- 1 -
分簇式移动 Ad hoc网络的一种信任模型
摘 要：由于没有固定的网络基础设施、无中心控制和网络拓扑结构频繁动态变化，移动
Ad hoc 网络容易遭到安全攻击，可以通过建立节点间的相互信任来保障网络的安全和可靠
运行。本文提出一种模型，用于网络节点之间的信任评估。在这个模型中，Ad hoc 网络采
用分簇式网络结构，节点的认证采用基于公钥证书的分布式认证，信任采用直接信任和推荐
信任。该信任模型满足 Ad hoc网络的可靠运行，消除恶意节点对网络的影响，建立一个安
全的 Ad hoc网络。
关键词：移动 Ad hoc网络，信任模型，分簇，公钥证书，认证
1. 引言
移动 Ad hoc 网络是一种临时自治的分布式系统，由多个移动节点通过无线连接组成，
无需依赖任何固定网络设施。移动节点可以寻找和发现网络中的相邻节点，通过多跳转发报
文取得互联。由于组网的快速灵活性，节点的分布性等诸多优点，Ad hoc 网络可以满足战
争、救灾、野外科考及临时组织的大型会议等一些特殊场合的需要，目前，Ad hoc 已经在
商业环境中得到广泛应用。
但是由于无固定网络基础设施，无中心以及各个节点的移动性，造成 Ad hoc 网络拓扑
结构频繁动态变化。无线信道完全开放，网络缺乏自稳性，这些特点使得 Ad hoc 网络更容
易受到各种网络攻击，安全问题突出。
Ad hoc 网络的安全问题主要有被动窃听、数据篡改和重发、伪造身份和拒绝服务等。
而解决这些问题的主要方法密钥管理机制和建立信任模型。常见的方法是使用 PKI 通过 CA
为每个节点颁发数字证书来实现身份认证。由于 Ad hoc 网络的节点比较容易贡献，采用一
个 CA 来实现认证功能不可行。因而可以使用多个节点一起来实现 CA 的功能，将对一个
CA 的信任分散到对若干个节点的共同信任中。
本文中，我们将介绍一种基于分簇结构的 Ad hoc 网络的信任模型，此模型基于 Pretty
Good Privacy[1]中提出的 Web 信任机制。此模型的几个关键特征如几点：
（1） 系统不依赖任何可信的第三方，身份认证由网络内部节点扮演 CA 角色完成；
（2） 处于同一簇中值得信任的节点可以推荐新的节点加入网络，网络的节点互相监
听彼此的行为，随时更新节点的信任度列表；
（3） 公钥管理机制能够容忍恶意节点做出的错误认证，但是这些恶意节点无法被选
为推荐节点。
总之，本模型采用密钥管理机制进行身份认证，建立信任模型，保证 Ad hoc 网络的安
全。接下来我们首先介绍和信任的定义和属性，其次对已有的基于门限密码的身份认证进行
讨论，然后介绍和本文提出模型密切相关的两种模型，并建立本文中的信任模型。最后介绍
本文所给模型的工作原理，给出结束语。
2. 信任的定义和属性
关于信任的定义有很多，哲学上对其定义过，社会学对其定义过，自然科学亦对其定义
过。 的 2000 年版对信任的定义为（，）：“一般说来，如果一个实体假定
- 2 -
另一个实体会严格地像它期望的那样行动，那么就称它信任那个实体。”其中的实体是指在
网络或分布式环境中具有独立决策和行动能力的终端、服务器或智能代理等。
在本文中我们将信任定义为：信任是节点在某一特定时刻、某一特定环境下对其他节点
的行为、能力、可靠性、安全性的主观评价。
信任具有如下属性：
属性 1 信任度：信任的程度；
属性 2 主观随意性：不同节点对同一节点的信任会有所不同；
属性 3 上下文相关：信任是和上下文相关的，通常使用信任目的（trust purpose）或信
任类别（trust class）来表示信任的上下文；
属性 4 多角度：多角度强调信任本身具有多个方面，每个方面都在影响着这个节点是
否是可以依赖的；
属性 5 动态性：信任是变化的，更新的。
安全与信任是两个联系非常紧密的概念。在计算机网络中，传统安全机制的目的是抵御
外部攻击，保护系统和数据不受恶意和未授权方的破坏。其安全目标概括为认证性、机密性、
完整性、非否认性、可用性。但在新型的开放式、分布式网络和电子商务环境中，还存在来
自资源提供者和内部恶意成员的破坏，例如，Ad Hoc 网络内部节点的“自私”行为，被攻破
节点提供错误路由信息的行为等。传统的安全机制无法抵御这些新型的安全威胁，信任机制
则是解决这些安全问题的有效手段。
3. 两种基于门限密码的身份认证方法
传统网络的认证工作主要有可信第三方完成，也可称为 CA（Certificate Authority）。CA
的安全性极其重要，例如 CA 私钥泄露或被破坏，那么将产生极大的危害性。 标准[2]
和 Kerberos 认证协议[3]都有提到关于对 CA 的建立和管理机制，不过这仅仅适用于现有有线
网络。Ad hoc 网络无固定的基础设施，没有专门的中心机构管理密钥，因此传统基于 CA 的
解决方案已经不在适用于移动 Ad hoc 网络。
PGP【1】是一个基于 RSA 公钥加密体系的邮件加密软件，它提出了公共密钥或不对称
文件加密和数字签名。任何用户为其他用户的密钥进行数字签名时，他就成为此密钥的推荐
者。依次进行，Web 信任机制就建立起来了[4]。然而，认证的分布位于集中管理服务器的公
共认证目录里，而不是采用一种自组织和自管理的方法。
另外共享安全功能也成为研究的重要方向，包括时下人们经常采取的门限密钥共享方
法。基本思想是是将集中式 CA 服务器的功能转移到一组节点上。在文献[5]中，提出使用基
于证书的公钥建立 Ad hoc 网络节点间的信任关系，利用（t，n）门限密码，将 CA 的私钥
分配给其中 n 个节点，在从中选取至少 t 个节点共同完成 CA 的功能，为其他节点颁发证书。
文献[6]提出类似的方法，不同指出在于将 CA 的私钥分配给网络中的所有节点。
这两种方案都需要有可信的权威结构完成初始化工作，另外 Ad hoc 网络的高度移动性造成
路由拓扑频繁变化，及时和 CA 进行信息交流变得不可行。并且在 Ad hoc 网络中，本地 CA
可能距离节点很远，需要经过多跳才能到达，而且它本身也具有移动性。同时，本地 CA 也
可能存在单点失败和拒绝服务攻击。可以看出，使用基于证书的公钥有一定的困难。
因此希望建立一种模型，此模型在恶意节点存在并可能对于虚假公共密钥进行数字签名
的情况下仍能正常工作。充分利用监听，通过选取更多的值得信任的节点增加安全性，同时
当检测到恶意节点是其踢出网络。为此，采用分簇式 Ad hoc 网络，同一簇的节点互相监听。
- 3 -
新节点可以通过请求这些簇中它所知道的值得信任的节点，完成身份认证，从而和其他节点
建立联系。多个推荐者对新节点的验证防止了恶意节点给出错误认证。另外，定义节点的信
任度作为验证条件，为节点选择推荐者提供参考。信任度随时保持更新，增加认证的安全性，
同时隔离恶意节点。
4. 两种相关模型介绍
本小节介绍和本文模型相关的两种模型，即一种网络模型和一种信任度评估模型。网络
模型即具有分簇网络结构的 Ad hoc 网络，信任度评估模型我们将介绍 Beth 信任度评估模型。
结合这两种模型，提出一种新的信任模型。
分簇 Ad hoc 网络模型
Ad Hoc 网络一般有两种结构：平面结构和分级结构。平面结构中，其中所有结点的地
位平等，所以又可以称为对等式结构。在分级结构中，网络被划分为簇（cluster）。每个簇
由一个簇头（cluster-header）和多个簇成员（cluster member）组成。这些簇头形成了高一级
的网络。在高一级的网络中，又可以分簇，再次形成更高一级的网络，直至最高级。在分级
结构中，簇头结点负责簇间数据的转发，它可以预先指定，也可以由结点使用算法选举产生。
分级网络的体系结构如图 1 所示。
图 1 分级结构
分级结构的最大优点是网络的可扩充性好，路由和控制开销比平面结构的小，可以优化
网络带宽开销，并且可以减少共享相同信道的节点的数目，从而降低碰撞概率[7]。
除去这些优点，我们认为分簇可以改善网络的安全性。Ad hoc 网络无中心、自组织，
它的安全性主要依赖节点之间的互相监听。然而一般来说，直接监听只局限于相邻节点，如
能对节点进行分簇，监听的范围和效率都将得到改善。关于分簇算法有很多，在这里我们略
过去，在本文中我们假定 Ad hoc 网络已经有一种分簇算法，即将节点分到不同的簇中，并
且具有唯一的 ID。这样我们的网络模型及就建立起来了。
一种信任评估模型
关于信任度的评估模型很多，在此我们借鉴Beth信任度评估模型[8]。它引入了经验的概
念来表述和度量信任关系，并给出了由经验推荐所引出的信任度推导和综合计算公式。在
Beth信任度评估模型中，经验被定义为对某个实体完成某项任务的情况记录，对应于任务的
成败，经验被分为肯定经验和否定经验。若实体任务成功则对其的肯定经验记数增加，若实
体任务失败则否定经验记数增加。
在本文提出的信任模型中，将信任度定义为和之间的连续值，另外定义位于同一
簇中的节点之间的信任关系称为直接信任，不同簇中的节点之间的信任关系称为推荐信任。
直接信任定义为“若P对Q的所有(包括直接的或由推荐获得的)经验均为肯定经验，则P对Q存
- 4 -
在直接信任关系”。当Q被信任时，Q能成功完成任务的概率被用于评价这种信任关系，而概
率的计算则取决于P对Q的肯定经验记录。Beth采用公式（1）描述直接信任度与肯定经验记
录的关系：
p
z pv α−= 1)( （1）
其中是P所获得的关于Q肯定经验数，α则是对Q成功完成一次任务的可能性期望。推荐信任
定义为“若P愿意接受Q提供的关于目标实体的经验，则P对Q存在推荐经验关系”。Beth采用
肯定经验与否定经验相结合的方法描述推荐信任度.推荐信任度与经验记录的关系采用公式
（2）描述：
npifnpv npr >−= − K,1),( α （2）
elsenpvr ,0),( = （3）
其中公式（2）和公式（3）分别是P所获得的关于Q的肯定经验和否定经验数。
对于同一个信任关系，多个不同的经验推荐者可能形成多条不同的推荐路径。这就需要
有一个计算方法能够推导并综合所有推荐路径的经验信息，以获得一致的信任度。
Beth分别对直接信任和推荐信任进行了讨论，并给出了相应的信任度推导和综合计算公式。
假设A对B的推荐信任度为V1，B对C的直接信任度为V2，B对D的推荐信任度为V3，则A对C
的直接信任度推导公式表述为：
,)1(1 1221
VVVV −−=⊗ （4）
A对D的推荐信任度可以简单地表述为 31 VV • 。
Beth模型还给出了推荐信任度综合计算公式表述为
（5）
其中 iV 是由单个推荐路径而
推导出的信任度,综合推荐信任度 comV 是这些单个信任度的简单算术平均。设 ),...,1( miPi =
是推荐路径上各不相同的最终推荐实体， iV 表示其最终推荐实体为 iP 的各条推荐路径的信
任度，则直接信任度综合计算公式表述为公式（6）：
∏∏
==
−−= i
n
j
ji
m
i
icom VnV
1
,
1
)1(1
（6）
该公式考虑了同一个经验推荐者出现在不同推荐路径上的情况。相同的经验信息经不同的路
径被多次传递，产生不同的推导结果，该公式采用取推导值平均的方法得到一个唯一值。
Beth 模型对直接信任的定义比较严格，仅采用肯定经验对信任关系进行度量。另外，
其信任度综合计算采用简单的算术平均，无法很好地消除恶意推荐所带来的影响。因此我们
将公钥认证身份和信任评估模型有机结合起来，建立起我们本文中所述的信任模型。
∑= n icom VnV 1
1
- 5 -
5. 基于分簇认证信任模型的建立
为了更好的建立本文中所述的模型，首先给出以下几个假设条件：
（1） 每个节点都和它所处簇中的其他节点交换信息；
（2） 每个节点都可以监听簇中的其他节点并获得它们的公钥；
（3） 每个节点都拥有一张表，存储其他节点的信任度。
基于公钥证书的认证
本文中所述网络中的认证依赖于一些值得信任的节点的数字签名。假设 s 是请求节点，
t 是目标节点。节点 s 需要推荐节点{例如 1i 、 2i …… ni }的公钥证书签名，如图 2 所示。推
荐节点可以选取和节点 t 位于同一簇中，且已经和 s 建立可信关系的节点。推荐节点对节点
s 的请求做出答复，回复信息包含节点 t 的公钥和信任度。节点 s 综合各个推荐节点所给与
的信任度计算出节点 t 的平均信任度。为了保证有效性，每条回复信息必须用推荐节点的私
钥进行加密并签名。
节点 s 获得节点 t 的公钥证书的步骤列举如下：
（1） 为了获得节点 t 的公钥，节点 s 首先查询节点 t 所在簇的 ID 号，设为 tϕ ；
（2） 列举出 ID 号均为 tϕ 节点的信任度，选取信任度最高的节点作为推荐者，设为 1i ，
2i ，…… ni ，向他们发送请求信息；
（3） 节点 s 收集经过推荐节点用其私钥加密过的回复信息，并用相应的公钥进行解密，
回复信息表述如下：
（7）
其中 tPk 表示节点 t 的公钥， tikV , 表示节点 ki 和节点 t 之间的信任度， ikSk 表示节点 ki 的
簇 A
整个 Ad hoc 网络
簇 B
s
簇 C 簇 D
t 2i
1i
直接信任
推荐信任
图 2 利用公钥证书进行节点认证
{ }
ikSktikt
VPkmessage K,,,=
- 6 -
私钥。
（4） 节点 s 将收到所有信息中包含的节点 t 公钥进行比较，选取出现次数最多的公钥作
为 tPk 。假设 badbadgoodgood IiIi ∈∈ , ，其中 goodi 被认为是具有诚信度高的节点， badi
则被认为是欺骗节点或恶意节点；
（5） 将节点 badi 的信任度减为零，并计算和更新节点 t 的信任度。
信任度的计算和更新
通过节点的自身经验和其他节点的推荐，节点和本簇或其他簇中的节点建立信任关系。
信任度更新机制维持和随时更新信任关系。通过簇间的信任关系，请求节点选取目标簇中一
些值得信任的节点作为推荐者，推荐者作为请求节点到目标节点之间的信任路径上的中间
者。
信任值 tiksV ,, 实际上是信任路径上推荐节点和节点 t之间的直接信任度和节点 s到推荐节
点的推荐信任度的综合计算值，如图 3 所示。
计算公式可以表述如下：
（8）
（9）
其中， ki 表示属于 goodi 的节点，n 表示中 goodi 的节点数目。 tV 是经过公钥证书认证后
的节点 s 关于节点 t 的最终信任度。这个信任度将被存储到节点 s 的信任列表中，如果 tV 很
高，表示节点 t 是值得信任的，亦可以成为日后节点 s 的推荐节点。
在本模型中，每个节点都拥有自己的信任列表，而且不断更新，这将增加节点的能耗和
网络的开销。为了减少能耗和开销，可以考虑只存储一定数量的信任度记录。通过验证，本
模型可以很好的满足 Ad hoc 网络的安全性需要。
S
i1
i2
in
t
图 3 信任度的计算
∏
=
−−=
−−=⊗=
n
k
tikst
V
tiktikikstiks
VV
VVVV iks
1
,,
,,,,,
)1(1
,)1(1 ,
- 7 -
6. 结束语
作为一种特殊的无线通信网络，Ad hoc 网络在军事领域和商业领域受到了越来越多的
重视，并逐渐成为网络研究的一个热点。但是，Ad hoc 网络的安全问题一直没有得到太好
的解决，这也限制了它的进一步应用。本文描述了利用基于公钥证书的分布式认证，实现一
个 Ad hoc 网络的信任模型。在该信任模型中，Ad hoc 网络采用分簇式网络结构，利用公钥
证书进行认证，然后在认证后的节点之间建立信任关系，计算信任度并且更新。此模型可以
在一定程度上保障 Ad hoc 网络的安全。在未来的工作中，我们将进一步探讨更好的认证方
法，另外信任模型在实际 Ad hoc 中应用还需要解决诸如如何合理分类直接信任和推荐信任、
如何保障信任路径的可靠建立等问题，这些都将是我们进一步研究的内容。
参考文献
[1] .“PGP: Pretty Good Privacy.”[M] , O'Reilly & Associates Inc., USA, 1995.
[2] PKIX Working Group, “Internet Public Key Infrastructure,”[S] ,draft-ietf-pkix- , 2002.
[3] J. Kohl, B. Neuman. “The Kerberos network authentication service (version 5),”[S], RFC-1510, 1991.
[4] “How PGP Works,” Chapter 1 of the document Introduction to Cryptography in the PGP documentation,
Copyright , 1990-1999 Network Associates, Inc. and its Affiliated Companies.
[5] L Zhou, Z Haas. Securing Ad hoc Networks[J]. IEEE Network，1999，13（6）：24-30.
[6] J Kong，P Zerfos，H Luo，et al. Providing Robust and Ubiquitous Security Support for Mobile Ad hoc
Networks[C]. Proc. 9th Int’l Conf. Network Protocols（ICNP），2001.
[7] 郑少仁，王海涛，赵志峰等. 《Ad Hoc网络技术》[M]，北京：人民邮电出版社，2005
[8] T. Beth, B. Malte, and K. Birgit, “Valuation of Trust in Open Networks,”[J] Proceedings of the Conference
on Computer Security, Sprintger-Verlag, New York, pp. 3-18, 1994.
A Trust Model in Clustering-based Mobile Ad hoc Networks
Pang Dan1，Zeng Ping2
1 Key Lab of Universal Wireless Communications，MOE Wireless Network Lab，Beijing
University of Posts and Telecommunications，BUPT，Beijing （100876）
2 Communication Department，Beijing Electrical Science &Technology Institute，Beijing
(100070)
Abstract
Because independent of any fixed infrastructure, lack of any centralized control and dynamic topology ,
the mobile Ad hoc network is vulnerable to security attacks. A trust model is given to build up trust
relationships between nodes. In the model, Ad hoc network adapts clustering-based network framework,
providing public key certificate-based authentication services. This trust model will be significant for
creating a secure Ad hoc network.
Keywords：Mobile Ad hoc networks，Trust Model，Clustering，Public Key Certificate，Authentication
