[论文解读] TRAIL: Topology Authentication in RPL

Heiner Perrey, Martin Landsmann+3 more|arXiv (Cornell University)|Dec 3, 2013

Security in Wireless Sensor Networks参考文献 12被引用 45

一句话总结

TRAIL 是一种轻量级、基于拓扑的 RPL 认证方案，通过信任锚点驱动的可达性测试验证路径完整性，检测并隔离恶意节点，减少对复杂密码学的依赖。在真实测试中，其收敛时间额外增加不足 20%，实现了可扩展的低开销安全防护，有效抵御基于排名的拓扑攻击，且资源开销极小。

ABSTRACT

The IPv6 Routing Protocol for Low-Power and Lossy Networks (RPL) was recently introduced as the new routing standard for the Internet of Things. Although RPL defines basic security modes, it remains vulnerable to topological attacks which facilitate blackholing, interception, and resource exhaustion. We are concerned with analyzing the corresponding threats and protecting future RPL deployments from such attacks. Our contributions are twofold. First, we analyze the state of the art, in particular the protective scheme VeRA and present two new rank order attacks as well as extensions to mitigate them. Second, we derive and evaluate TRAIL, a generic scheme for topology authentication in RPL. TRAIL solely relies on the basic assumptions of RPL that (1) the root node serves as a trust anchor and (2) each node interconnects to the root as part of a hierarchy. Using proper reachability tests, TRAIL scalably and reliably identifies any topological attacker without strong cryptographic efforts.

研究动机与目标

• 为解决 RPL 面临的拓扑攻击（如黑洞攻击、拦截攻击和资源耗尽攻击）问题，这些攻击通过伪造排名和版本号实现。
• 分析并改进先前的 RPL 安全方案 VeRA，识别其局限性，并提出改进措施以抵御排名顺序伪造和重放攻击。
• 设计并评估 TRAIL，一种通用的、轻量级的拓扑认证机制，依赖最少的密码学开销和根节点信任锚定。
• 在基于 RIOT 操作系统的大型测试平台上验证 TRAIL 的性能与可扩展性，证明其在真实物联网环境中的可行性。

提出的方法

• TRAIL 使用信任锚点（即根节点）通过发送基于随机数的证明消息，启动可达性测试，以验证路径完整性。
• 每个节点累积并转发其父节点传来的随机数值，使根节点能够通过检查证明链的一致性来验证路径的真实性。
• 通过验证排名和父节点关系是否构成一条一致且无环的到根节点的路径，检测拓扑异常，拒绝任何未通过测试的节点。
• TRAIL 不依赖端到端加密或复杂的密钥交换，而是依靠轻量级、周期性的可达性验证来检测并隔离非法节点。
• 该协议在 RIOT OS 上实现，并在包含 25 个节点的测试平台中进行评估，通过控制性攻击者注入测量消息开销和收敛延迟。

实验结果

研究问题

• RQ1 TRAIL 如何在不依赖重型密码学的情况下检测并隔离 RPL 中的拓扑攻击者？
• RQ2 TRAIL 在消息开销和收敛延迟方面存在哪些性能与可扩展性权衡？
• RQ3 TRAIL 在抵御排名顺序伪造和重放攻击方面与 VeRA 相比表现如何？
• RQ4 TRAIL 是否能在资源受限的真实物联网网络中高效部署，且对路由性能影响极小？

主要发现

• TRAIL 平均每节点仅引入两个额外消息，消息大小在最多约 250 个节点的网络中仍保持在 6LoWPAN MTU 限制内。
• 消息大小随网络深度增加而增长，在包含 1365 个节点、拓扑扇出为 5 的网络中达到最大值 1023 字节。
• 在大多数情况下，TRAIL 对路由收敛时间的额外开销低于 20%，偶尔因消息丢失和重传出现峰值。
• 当存在恶意节点宣布虚假根节点排名时，TRAIL 能够成功隔离攻击者，并仅依靠诚实节点重建正确的 DODAG。
• 该方案有效缓解了损害 VeRA 的排名顺序伪造和重放攻击，展现出更优的鲁棒性。