基于不可否認性和隱私保護的VAＮET安全框架研究

摘要： 車載自組網具有極高的應用前景和研究價值，隨之而來的安全和隱私保護的問題成為對其部署的主要障礙。討論了在ＶＡＮＥＴ環境下單播通訊、組內共享消息時的身份驗證、惡意和虛假數據識別以及隱私保護等相關安全問題，并且針對這些問題提出了一個行之有效的安全框架。該框架考慮了ＶＡＮＥＴ網絡環境的特殊性，在實現數據完整性、不可否認性的同時，盡可能降低通信時延。在隱私保護方面，車輛定時的更換假名，并且以組長為代理匿名接入基于位置的服務。

關鍵詞：

中圖分類號： ＴＰ３９３ 文獻標識碼：Ａ 文章編號：２０９５－２１６３（２０１１）０１－００６９－０５

０引言

道路交通事故已經成為全球性的公共安全問題。如何利用現有的無線網絡技術改善道路安全，實現車輛的智能化和自動化，已經成為學術界研究的熱點話題。基于此，ＶＡＮＥＴ（Ｖｅｈｉｃｕｌａｒ Ａｄ Ｈｏｃ Ｎｅｔｗｏｒｋ車載移動通信網，也稱為車載自組網）的概念應運而生。作為未來智能交通系統（Ｉｎｔｅｌｌｉｇｅｎｔ Ｔｒａｎｓｐｏｒｔａｔｉｏｎ Ｓｙｓｔｅｍ，簡稱ＩＴＳ）的核心部分，車載自組網為駕駛員提供實時緊急交通信息和交通誘導信息，以擴展駕駛員的視野與車輛部件功能。通過這些通信，車輛能夠大幅提升對周圍環境的感知能力，幫助分析和獲取最新的路況，規避交通擁堵，預知可能出現的危險，從而為駕駛員提供一個更加安全舒適的旅行環境。

伴隨著ＶＡＮＥＴ中的各類應用不斷豐富，通信安全以及隱私相關的問題逐漸突顯出來。未來的車載自組網可能面對著一系列的安全威脅，這些安全威脅會影響到車載自組網的運行效率，甚至可能會威脅人們的生命安全。此外，還存在專門針對車載自組網的若干攻擊形式，這些安全隱患和車載自組網本身的特性密切相關，需要新的理論和研究不斷加入進來。

近年來，ＶＡＮＥＴ 的安全問題已經引起世界各國政府、研究機構和學者的密切關注。基于ＩＥＥＥ Ｓｔａｎｄａｒｄ ８０２．１１ 協議，ＩＥＥＥ提出車輛間無線接入方案８０２．１１ｐ，又稱Ｗｉｒｅｌｅｓｓ Ａｃｃｅｓｓ ｉｎ Ｖｅｈｉｃｕｌａｒ Ｅｎｖｉｒｏｎｍｅｎｔｓ（ＷＡＶＥ），用在車載通訊（或稱專用短距離通訊，Ｄｅｄｉｃａｔｅｄ Ｓｈｏｒｔ Ｒａｎｇｅ Ｃｏｍ－ｍｕｎｉｃａｔｉｏｎｓ，ＤＳＲＣ）系統中。目前有很多項目致力于車載自組網的研究，比較著名的有Ｎｅｔｗｏｒｋ ｏｎ Ｗｈｅｅｌｓ，Ｗｉｌｌｗａｒｎ，ＧＳＴ，ＳＥＶＥＣＯＭ等。

１概述

１．１應用模型和特點

車載自組網中的通訊節點主要包括車載設備（Ｏｎ Ｂｏａｒｄ Ｕｎｉｔ，簡稱ＯＢＵ）和路邊基站（Ｒｏａｄ Ｓｉｄｅ Ｕｎｉｔ，簡稱ＲＳＵ）兩種，彼此間直接通訊或者通過中間節點建立多跳連接。車輛自帶的ＧＰＳ導航設備可以幫助車輛獲取自己的位置信息，同時維護了車輛與路邊基站節點之間的時鐘同步。

車載自組網主要有兩種環境：城市環境（Ｃｉｔｙ Ｅｎｖｉｒｏｎｍｅｎｔ）和道路環境 （Ｈｉｇｈｗａｙ Ｅｎｖｉｒｏｎｍｅｎｔ），不同的環境在應用場景上有一些不同。城市環境具有下面一些特點：（１）車輛密度較大，行駛速度偏慢；（２）無線信號的傳輸容易受到建筑物的干擾和折射；（３）道路交叉，車輛運動方向較復雜。而道路環境的特點包括：（１）車輛運行速度快，車輛密度較稀疏；（２）路邊基站較少，通訊產生的時延較大；（３）道路的拓撲結構清晰，每條車道上車輛的行進方向唯一。

從大的方面說，ＶＡＮＥＴ仍然屬于移動自組網（Ｍｏｂｉｌｅ Ａｄ ｈｏｃ Ｎｅｔｗｏｒｋｓ，ＭＡＮＥＴ）的范疇，同樣存在一般無線自組網所固有的問題，如隱藏點問題、暴露點問題、信道捕獲問題等。相對于傳統移動自組網絡，ＶＡＮＥＴ還有自己的特點。傳統移動自組網中的節點移動速度并不是太快，但是在ＶＡＮＥＴ中，車輛都以較快的速度移動。這一點在道路環境下表現更為明顯。快速移動會引起網絡拓撲頻繁變化，剛剛建立的連接可能很快會失效，鄰居車輛之間通信時間非常短暫。車輛的運動軌跡受到道路的制約，因而現有提出的很多車載自組網的路由協議都是基于位置信息的路由協議，主要代表協議有ＧＳＲ[１]和ＧＰＳＲ[２]等。

１．２存在的安全問題

與傳統的網絡類似，ＶＡＮＥＴ中也存在對通信數據的篡改、仿冒、竊聽、阻斷、重放、業務否認、非授權訪問等威脅。此外，廣受關注的分布式拒絕服務攻擊（ＤＤＯＳ）也可能出現在車載自組網中。

在ＶＡＮＥＴ通訊中，很大的威脅來自傳播錯誤信息的節點。如果節點出于惡意或者自私的目的發布虛假信息，會給整個網絡帶來混亂。例如，路況信息通告是ＶＡＮＥＴ 非常重要的一類應用，如果攻擊者通過ＶＡＮＥＴ網絡發布并不存在的交通堵塞通告，則有可能導致車流從一條道路移動到另一條道路，從而引起一次真的交通堵塞。而假如攻擊者發布虛假的事故通告引起緊急制動的啟動，從而可能導致一場真正的事故。

基于地理位置的路由在ＶＡＮＥＴ的網絡環境中表現出很高的性能[３]，被廣泛的研究和采用。很多應用場景也需要車輛提供位置信息，因而在無線通訊中車輛經常暴露自己的位置信息。如果只關注車輛在某個特定時刻的位置，并不會出現什么問題。但是把經過一段時間的大量數據組合起來就會暴露出很多隱私信息，而且很容易遭到定位和跟蹤。例如，私人偵探在１００米外可以很輕松地跟蹤目標。因而，隱私保護成為一個重要的安全話題。

此外，還存在硬件上的安全問題。例如ＧＰＳ接收器可能會遭到干擾。市區的建筑物、橋梁、隧道等都會阻擋ＧＰＳ信號，攻擊者可能發出功率更強的假信號，欺騙車輛自帶的ＧＰＳ接收器。車輛自身的ＣＰＵ和安全部件還可能被損壞，然后非法獲取里面存放的安全密鑰信息。

１．３ＶＡＮＥＴ安全框架

絕大多數的ＶＡＮＥＴ安全應用要求提供不可否認性，確保收發雙方的任何一方無法抵賴自己曾經做過的操作，從而防止中途發生欺騙。欺騙和犯罪行為能夠被追溯，并受到法律的制裁，這樣就能有效地減少欺騙行為的發生。

隱私保護與不可否認性的需求存在著矛盾。個人信息不希望被追蹤，但若要為鄰居節點提供盡可能多的安全信息，就必須暴露自己的位置。隱私保護也可能被濫用，諸如攪亂正常交通環境的車輛可能逃避責任。因此，需要實行有條件的隱私保護。假定只有注冊機構ＲＡ知曉車輛的真實身份，在必要的情況下，ＲＡ可以追溯到相關車輛并追究責任。

這里圍繞不可否認性和隱私保護兩個需求提出了一整套的安全框架，如圖１所示。其中主要涵蓋了四個方面的安全問題：單播通訊的消息驗證，對組內共享消息的驗證，識別惡意和虛假數據以及隱私保護。各部分內容將在下一節詳細給出。

２框架組成部分

２．１單播通信

２．１．１數據完全性和不可否認性的實現

ＤＳＲＣ協議建議使用非對稱密碼來加密安全消息，每個車輛都擁有一系列的公鑰私鑰對，用其對發出的消息進行簽名。假定ＶＡＮＥＴ有一個合適的公鑰基礎設施ＰＫＩ（Ｐｕｂｌｉｃ ｋｅｙ Ｉｎｓｔｒｕｃｔｉｏｎ），在加入ＶＡＮＥＴ之前，每個車輛以及ＲＳＵ都要先向一個受信任的注冊中心注冊，獲得一個唯一的ＩＤ、公用密鑰、專用密鑰和執照。不可否認性可以通過數字簽名和ＰＫＩ實現。

在對安全性要求很高的情況下，需要對消息進行加密。非對稱密碼加密數據會帶來很大的計算開銷，加密和解密過程時間消耗都很大。可以先用非對稱加密方式協商一個對稱密碼（如ＡＥＳ）的會話密鑰，然后使用會話密鑰對整個會話進行加密。

數字簽名技術提供了不可否認性，同時能保證數據在傳輸過程中不被篡改，因而成為通訊安全不可或缺的一個環節。為了降低消息簽名帶來的空間開銷，可以用ＥＣＣ（Ｅｌｌｉｐｔｉｃ Ｃｕｒｖｅ Ｃｒｙｐｔｏｓｙｓｔｅｍｓ，橢圓曲線密碼）代替ＲＳＡ算法。

２．１．２通信時延的降低

在保障ＶＡＮＥＴ安全的同時，還必須把網絡環境的特殊性考慮進去。ＶＡＮＥＴ的某些應用場景對于通信的實時性要求很高，信息的產生和傳遞的高時延很多時候是不能容忍的。例如某些關鍵的路況信息，如果提前幾分之一秒傳送出去，就可能避免一場可怕的交通事故。因而在提供安全性的同時，通信的各個環節要盡可能減少開銷。

數據包可能需要一跳或者多跳的傳遞才能到達目的地。一個消息在被轉發和確認的時候都要進行驗證，如果驗證失敗則會被丟棄。考慮到節點在更多情況下是轉發數據包而不是發送數據包， 應當盡可能把驗證消息產生的開銷降到最小。為了簡化驗證過程，可以在數據包的頭部設置兩個字段：可變（Ｍｕｔａｂｌｅ）字段和不變（Ｉｍｍｕｔａｂｌｅ）字段，數據包結構如圖２所示。其中可變字段包括鏈路層的地址、位置和ＴＴＬ等，在傳輸的中間節點中可以改變。不變字段包含了數據包的源地址和目的地址，以及一些選項信息。在路由的過程中，將會添加兩個簽名，一個是端到端的，一個是跳到跳的。端到端的簽名，由源節點添加，負責對不變數據進行簽名；跳到跳的簽名是中間節點添加的，負責對可變字段的數據簽名。中間節點在收到數據后，依次驗證這兩個簽名，然后保留端到端的簽名，更新跳到跳的簽名。

２．２組內共享消息

為了提升整個網絡的通信效率，簡化ＶＡＮＥＴ的消息路由機制，可以考慮把分散的車輛節點分成多個“組”。信息的傳遞是發生在組與組之間而不是單個車輛之間。從安全角度考慮，以組為單位通訊還可以用于車輛的隱私保護，具體請參閱第２．４節。

２．２．１車輛分組

在ＶＡＮＥＴ的應用場景中建立組的方法有很多。有一點必須保證，就是組內的各個車輛可以相互聽到彼此的廣播消息，即通訊范圍相互覆蓋。

組的構成有兩種方案。一種方案是：組可以是預先約定好的，例如所有的運輸車組成一個預先安排好的組。這需要首先知道組內成員，而且需要一個共同的管理，可擴展性比較差。第二種方案是：組也可以是動態創建的。由于車輛的運動受到地形的限制，并且在一定范圍內車輛的運動通常是相關的，可以選取行駛速度相近，方向相同的車輛臨時構成一個組。

兼顧第一種方案的高效率和第二種方案的靈活性，可以采用基于地理位置的分組，如圖３所示。考慮把整個地圖劃分為一個一個的“格子”，車輛可以通過比對自身的ＧＰＳ位置，自動獲悉自己在哪個組[４]。可以選取最靠近中心的節點作為“組長”節點，該節點為組內所有節點對外通訊提供代理。組與組之間存在重疊區域，重疊區域內的節點充當中繼節點。

２．２．２共享消息的驗證

同一個組內的車輛通常會共享一些信息，如周圍的道路和交通狀況。車輛廣播某一類消息時，例如前方路段發生交通事故，鄰居節點收到以后需要轉發消息。如果對每一條消息都直接轉發的話， 會產生巨大的開銷， 很可能會形成“廣播風暴”。作為替代方案，車輛可以先將多個短消息聚

合為一個長消息，然后一次性轉發。原理是車輛收到廣播以后緩存起來，等待一段時間，從中拋除相同的消息，因此提高了整體通訊效率。

節點之間共享信息，常見的驗證方式有三種：

（１）多重數字簽名

對組內廣播消息的驗證，可以采用數字簽名的方案。數字簽名不僅保證了傳輸數據的完整性，更提供了不可否認的特性。

通常有兩種簽名方法，如圖４所示。第一種稱為“聯合簽名”，直接在消息后面附加上每個中間節點的簽名Ｓ１（ｍ）， ．．． ， Ｓｎ（ｍ）及其證書Ｃ１， …， Ｃｎ，所以需要ｎ個簽名。這種方法的缺點是，隨著消息的傳播，簽名的長度呈線性增長。第二種稱為“洋蔥簽名”，考慮到簽名的時候，先把消息哈希成一個固定長度的串，然后進行簽名，可以對一個簽名進行二次簽名，在轉發消息的時候應當把前一個簽名同時轉發以驗證其合法性。這種簽名方法類似洋蔥路由（ｏｎｉｏｎ ｒｏｕｔｉｎｇ）[５]的思想，因而被稱作“洋蔥簽名”（ｏｎｉｏｎ ｓｉｇｎａｔｕｒｅ）。

（２）共享對稱密鑰

盡管數字簽名的框架有很多優點，但仍然是在非對稱密碼學的范疇。為了降低算法的時間和空間復雜度，通訊安全還可以由對稱密碼來保證。

這就需要組內成員共享一個對稱密鑰。這個對稱密鑰可以由組內成員通過協商生成，但是這要求很大的通訊量，而且會花費很長時間。更好的辦法是由組長節點選取一個密鑰，然后將其發送給組內所有成員。組內廣播的消息使用一個哈希生成的、長度很短的消息驗證碼用于驗證。當一個新的成員加入組時，將自己的位置信息和公鑰發送給組長節點，然后從組長節點收到組密鑰。所有的組內通訊都使用建立好的對稱密鑰進行驗證，因而保護了組內節點，沒有加入組的車輛不能向組內廣播消息。

（３）共享非對稱密鑰

使用共享對稱密鑰在組內通訊，可以有效減少通訊的時間和計算開銷，而缺點就是不能驗證節點的位置信息，并且喪失了不可否認性。為了結合對稱密碼的高性能以及非對稱密碼的不可否認性等優勢，可以在組內共享非對稱的組密鑰進行通訊。

當處在路邊基站的通訊范圍內時，組長節點可以和在線的ＣＡ認證中心（Ｃｅｒｔｉｆｉｃａｔｉｏｎ Ａｕｔｈｏｒｉｔｙ）協商建立一個經ＣＡ認證的ｋｅｙ用作組內通訊，并將其廣播給組內的每個成員。一旦非對稱組密鑰建立起來，任何組成員都可以用組的名義發送消息。此外，ＣＡ給每個組成員分配一個臨時的ＩＤ以達到不可否認的目的。

２．３剔除惡意數據

２．３．１消息驗證

車輛收到數據之后，應該首先校驗數據真實性，一個簡單、典型的方法是交叉驗證多個信息源。有三類基本的驗證方法：首先判斷車輛是否在信號接收范圍內，其次比較車輛匯報的兩次位置距離是否合理，第三是檢查密度，看看是否報告的區域密度比實際可能的密度大，或者車輛報告的位置是不可能的位置。文獻[６]提出了一種通用的、感知器驅動的技術，用以識別惡意的節點，以很高的概率鑒別某個節點是否是錯誤消息的來源。

２．３．２數據范圍驗證

除了惡意偽造的數據，看似合法的信息中也可能包含錯誤的數據，例如攻擊者可能把溫度傳感器放在冷水中。因而不僅要檢驗傳輸的數據包是否合法，還要驗證得到的信息是否處在一個合理的閾值內。盡管消息的發送者可能不是有意的，而是車輛的傳感器發生了故障，還是應把所有的錯誤數據都歸類為惡意的，因為這些錯誤數據都會對整個網絡造成潛在的危害。

２．３．３剔除發布惡意數據的節點

車輛將一段時間接收到的數據保存起來，作為評價其他車輛信任值的權值。因此，為每個車輛關聯一個信任等級，可以由其鄰居節點或者ＣＡ維護和管理。當某個節點的信任等級下降到一定閾值后，鄰居節點會拒絕接收此節點發出的數據，或者由ＣＡ收回其證書，放在證書撤銷列表中，從而將惡意節點從網絡中分隔開。根據先前描述的不可否認性，該節點所造成的破壞行為還可能遭到起訴。

２．４隱私保護

如果車輛的位置信息持續暴露在網絡中，就可能泄露隱私信息，遭到定位和跟蹤。但是很多路由協議要求得到車輛的位置，為鄰居節點提供安全信息也需要位置坐標，有很多基于位置的服務ＬＢＳ（Ｌｏｃａｔｉｏｎ Ｂａｓｅｄ Ｓｅｒｖｉｃｅ）也需要用戶的位置信息，在這種情況下如何保護用戶的隱私，成為值得研究的重要問題。

２．４．１變更假名

在車輛只使用一個唯一標識符（Ｇｌｏｂｅ Ｉｄｅｎｔｉｆｉｅｒ，簡稱ＧＩＤ）的情況下，竊聽者很容易收集位置信息。目前比較主流的解決方案是使用經常變更的假名替代ＧＩＤ。保護用戶隱私的方法通常有兩類：一類是帶有大量的匿名證書（ＨＡＢ）[７]；另一類是純的組加密方式（ＧＳＢ）[８]。

ＨＡＢ要求每個車輛節點ＯＢＵ攜帶大量的公私鑰對，周期性地更換，這帶來三方面問題：（１）存儲占用空間大；（２）證書撤銷列表ＣＲＬ（Ｃｅｒｔｉｆｉｃａｔｉｏｎ Ｒｅｖｏｃａｔｉｏｎ Ｌｉｓｔ）太長，不易追溯信息來源；（３）ＣＲＬ更新不及時。

ＧＳＢ中，成員代表整個組簽名，組的管理者可以鑒別出信息來源。這種方法不需要一長串的公私鑰對，但是當ＣＲＬ變大時，驗證的代價呈線性增長。

文獻[９]提出有條件的隱私保護方案ＥＣＰＰ，引入了匿名證書，能有效處理不斷增長的撤銷列表。車輛節點ＯＢＵ經過路邊基站ＲＳＵ的時候，都申請一個短期的密鑰。ＯＢＵ首先認證服務器，確認ＲＳＵ是合法的，然后將時間戳、公鑰、假名和用私鑰簽名的串（包括臨時私鑰）發給ＲＳＵ；ＲＳＵ檢查假名和時間戳是否正確，最后為車輛發放匿名證書。

２．４．２匿名接入協議

以組為單位通訊能夠保護用戶所在地理位置的隱私，車輛在組內可以較好地隱藏自己的身份。組長代表整個組通訊（相當于一個代理），而組內其他的車輛可以在一段時間內保持靜默。在靜默期內，車輛可以根據需要或者事先的約定更換假名，這樣就能減少車輛被暴露和追蹤的可能性[１０]。在這種情況下，群組為組內成員提供ＬＢＳ的匿名接入，組長對于匿名接入ＬＢＳ服務扮演了代理的角色，如圖５所示。具體的實現方法如下：

假定每個車輛和ＲＳＵ向ＲＡ注冊的同時，每個ＬＢＳ服務提供商也向ＲＡ注冊，并且取得了一個公鑰私鑰對。組內節點ｉ通過組長把自己的地址發給ＲＳＵ，繼而發給注冊機構ＲＡ。ＲＡ驗證這個請求消息，然后提供一個會話密鑰Ｋｘ，ｉ給服務提供商（ＳＰｘ）和車輛ｉ。這個密鑰用來加密兩者之間的整個通訊內容。所在組的組長ＧＬ把從ＳＰｘ那里收到的消息廣播給組內的所有成員。事實上，只有節點ｉ能正常識別消息，因為該節點持有會話密鑰Ｋｘ，ｉ。

２．４．３隱私保護

變更假名可以避免長期被追蹤，但是對于路由效率是有害的，會導致很高的丟包率，此外還可能帶來其他的負面影響[１１]。如果其他的協議層使用未經加密或者改變的原始標識符，車輛仍可能遭到跟蹤。頻繁變更假名還可能導致上層應用程序協議不一致，給認證增加困難， 例如文件傳輸或者交互式的聊天進程。此外，即便更換假名，車輛在某些情況下仍然會被跟蹤，例如當周圍的車輛很少的情況下，就很容易把新舊兩個假名關聯起來。

另外匿名也有缺點，很多應用場景在發現自私或者惡意節點以后即可將其從網絡中剔除；但若是使用假名的話，惡意節點通過頻繁更換假名就可以避免被剔除。因而應當在設計ＶＡＮＥＴ應用以及網絡通信協議時充分考慮這一因素，在安全和性能之間做一定的權衡。

３相關工作比較

目前，國內外科研機構和研究學者均對ＶＡＮＥＴ的安全問題給予了極大的關注，較為典型的有：文獻[９]提出有條件的隱私保護方案ＥＣＰＰ，引入了匿名證書，有效處理不斷增長的撤銷列表。文獻[１０]提出了針對ＬＢＳ服務提供隱私保護的框架ＣＡＲＡＶＡＮ。在該框架中，車輛節點在ＲＡ中獲得一個假名的集合。為防止被追蹤，車輛在進入網絡會保持一段時間的沉默，然后更換假名。文獻[１２]從功能性和組織模塊、引用關系等多個角度展示了安全框架，其中包含隱私保護、證書的撤銷、檢測和識別惡意數據等內容。

雖然上述各安全方法和機制均提出了ＶＡＮＥＴ體系的安全措施，但僅針對某一個問題給出了解決方案和措施，完整針對ＶＡＮＥＴ的不可否認性和隱私保護等重要安全問題的統一解決方案未有提及。表１給出了本文方法與當前較為流行的ＶＡＮＥＴ安全框架的橫向比較。從表１中可以看出，本文方法涵蓋了ＶＡＮＥＴ不可否認性和隱私保護的各個方面，實現了綜合、全面、系統而有效的ＶＡＮＥＴ安全解決方案。

４結束語

本文針對ＶＡＮＥＴ安全問題的多個方面，提出了一個基于不可否認性和隱私保護的安全框架。下一步研究的重點是在保障安全的同時，盡可能提高整個通訊系統的效率，從而更好地滿足道路安全應用的實時性需求。隨著更多安全和性能的不斷增強，ＶＡＮＥＴ的應用前景將更加廣闊。

參考文獻：

[１] ＢＡＳＡＧＮＩ Ｓ，ＣＨＬＡＭＴＡＣ Ｉ，ＳＹＲＯＴＩＵＫ Ｖ Ｒ． Ｄｙｎａｍｉｃ ｓｏｕｒｃｅｒｏｕｔｉｎｇ ｆｏｒ ａｄ ｈｏｃ ｎｅｔｗｏｒｋｓ ｕｓｉｎｇ ｔｈｅ ｇｌｏｂａｌ ｐｏｓｉｔｉｏｎｉｎｇ ｓｙｓｔｅｍ [Ｃ]／／ Ｗｉｒｅｌｅｓｓ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ ａｎｄ Ｎｅｔｗｏｒｋｉｎｇ Ｃｏｎｆｅｒｅｎｃｅ，ＷＣ－ ＮＣ，１９９９： ３０１－３０５．

[２] ＫＡＲＰ Ｂ，ＫＵＮＧ ＨＴ． ＧＰＳＲ：ｇｒｅｅｄｙ ｐｅｒｉｍｅｔｅｒ ｓｔａｔｅｌｅｓｓ ｒｏｕｔｉｎｇｆｏｒ ｗｉｒｅｌｅｓｓ ｎｅｔｗｏｒｋｓ[Ｃ]／／ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ Ｓｉｘｔｈ Ａｎｎｕａｌ ＡＣＭ／ ＩＥＥＥ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｍｏｂｉｌｅ Ｃｏｍｐｕｔｉｎｇ ａｎｄ Ｎｅｔｗｏｒｋｉｎｇ． ＵＳＡ，２－ ０００：２４３－２５４

[３] ＭＡＵＶＥ Ｍ，ＷＩＤＭＥＲ Ｊ，ＨＨＲＴＥＮＳＴＥＩＮ Ｈ． Ａ Ｓｕｒｖｅｙ ｏｎ Ｐｏｓｉ－ ｔｉｏｎ－ｂａｓｅｄ Ｒｏｕｔｉｎｇ ｉｎ Ｍｏｂｉｌｅ Ａｄ Ｈｏｃ Ｎｅｔｗｏｒｋｓ[Ａ]． ２００１（６）．

[４] ＲＡＹＡ Ｍ，ＡＺＩＺ Ａ，ＨＵＢＡＵＸ Ｊ Ｐ． Ｅｆｆｉｃｉｅｎｔ ｓｅｃｕｒｅ ａｇｇｒｅｇａｔｉｏｎｉｎ ＶＡＮＥＴｓ[Ｃ]／／ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ Ｉｎｔｅｒｎａｔｉｏｎａｌ ｗｏｒｋｓｈｏｐ ｏｎ Ｖｅｈｉｃ－ ｕｌａｒ ａｄ ｈｏｃ ｎｅｔｗｏｒｋｓ （ＶＡＮＥＴ），２００６．

[５] ＧＯＬＤＳＣＨＬＡＧ Ｄ，ＲＥＥＤ Ｍ，ＳＹＶＥＲＳＯＮ Ｐ． Ｏｎｉｏｎ ｒｏｕｔｉｎｇ，Ｃｏ－ ｍｍｕｎｉｃａｔｉｏｎｓ ｏｆ ｔｈｅ ＡＣＭ，１９９９，４２（２）：３９－４１．

[６] ＲＡＹＡ Ｍ，ＨＵＢＡＵＸ Ｊ Ｐ． Ｓｅｃｕｒｉｎｇ ｖｅｈｉｃｕｌａｒ ａｄ ｈｏｃ ｎｅｔｗｏｒｋｓ[ｊ]． Ｊｏｕｒｎａｌ ｏｆ Ｃｏｍｐｕｔｅｒ Ｓｅｃｕｒｉｔｙ，２００７，１５（１）：３９－６８．

[７] ＬＩＮ Ｘ，ＳＵＮ Ｘ，ＨＯ Ｐ Ｈ，ｅｔ ａｌ． ＧＳＩＳ： ａ ｓｅｃｕｒｅ ａｎｄ ｐｒｉｖａｃｙ ｐｒｅ－ ｓｅｒｖｉｎｇ ｐｒｏｔｏｃｏｌ ｆｏｒ ｖｅｈｉｃｕｌａｒ ｃｏｍｍｕｎｉｃａｔｉｏｎｓ． ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏｎ ｏｎ Ｖｅｈｉｃｕｌａｒ Ｔｅｃｈｎｏｌｏｇｙ，２００７，５６（６）：３４４２－３４５６．

[８] ＬＵ Ｒ，ＬＩＮ Ｘ，ＺＨＵ Ｈ，ｅｔ ａｌ． ＥＣＰＰ： Ｅｆｆｉｃｉｅｎｔ Ｃｏｎｄｉｔｉｏｎａｌ Ｐｒｉｖａｃｙ Ｐｒｅｓｅｒｖａｔｉｏｎ Ｐｒｏｔｏｃｏｌ ｆｏｒ Ｓｅｃｕｒｅ Ｖｅｈｉｃｕｌａｒ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ[Ｃ]／／ Ｔｈｅ ２７ｔｈ ＩＥＥＥ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ Ｃｏｍｍｕｎｉ－ ｃａｔｉｏｎｓ， ２００８．

[９] ＡＲＭＫＮＥＣＨＴ Ｆ，ＦＥＳＴＡＧ Ａ，ＷＥＳＴＨＯＦＦＬ Ｄ， ｅｔ ａｌ．Ｃｒｏｓｓ－Ｌ－ ａｙｅｒ Ｐｒｉｖａｃｙ Ｅｎｈａｎｃｅｍｅｎｔ ａｎｄ Ｎｏｎ－Ｒｅｐｕｄｉａｔｉｏｎ ｉｎ Ｖｅｈｉｃｕｌａｒ Ｃ－ ｏｍｍｕｎｉｃａｔｉｏｎ[Ｃ]／／ ４ｔｈ Ｗｏｒｋｓｈｏｐ ｏｎ Ｍｏｂｉｌｅ Ａｄ－Ｈｏｃ Ｎｅｔｗｏｒｋｓ （Ｗ－ ＭＡＮ），２００７．

[１０] ＳＡＭＰＩＧＥＴＨＡＶＡ Ｋ，ＨＵＡＮＧ Ｌ，ＬＩ Ｍ，ｅｔ ａｌ． ＣＡＲＡＶＡＮ： Ｐｒｏ－ｖｉｄｉｎｇ Ｌｏｃａｔｉｏｎ Ｐｒｉｖａｃｙ ｆｏｒ ＶＡＮＥＴ[Ｃ]／／ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ Ｉｎｔｅｒｎａ－ｔｉｏｎａｌ ｗｏｒｋｓｈｏｐ ｏｎ Ｖｅｈｉｃｕｌａｒ ａｄ ｈｏｃ ｎｅｔｗｏｒｋｓ （ＶＡＮＥＴ），２０－０６．

[１１] ＳＣＨＯＣＨ Ｅ，ＫＡＲＧＬ Ｆ，ＬＥＩＮＭＵＬＬＥＲ Ｔ，ｅｔ ａｌ． Ｉｍｐａｃｔ ｏｆ Ｐｓｅ－ｕｄｏｎｙｍ Ｃｈａｎｇｅｓ ｏｎ Ｇｅｏｇｒａｐｈｉｃ Ｒｏｕｔｉｎｇ ｉｎ ＶＡＮＥＴｓ[Ｃ]／／ ｐｒｏｃｅ－ｅｄｉｎｇｓ ｏｆ ｔｈｅ Ｅｕｒｏｐｅａｎ Ｗｏｒｋｓｈｏｐ ｏｎ Ｓｅｃｕｒｉｔｙ ａｎｄ Ｐｒｉｖａｃｙ ｉｎ Ａｄ ｈｏｃ ａｎｄ Ｓｅｎｓｏｒ Ｎｅｔｗｏｒｋｓ （ＥＳＡＳ），２００６．

[１２] ＧＥＲＬＡＣＨ Ｍ，ＦＡＳＴＡＧ Ａ，ＬＥＩＮＭＵＬＬＥＲ Ｔ，ｅｔ ａｌ． Ｓｅｃｕｒｉｔｙ Ａ－ｒｃｈｉｔｅｃｔｕｒｅ ｆｏｒ Ｖｅｈｉｃｕｌａｒ Ｃｏｍｍｕｎｉｃａｔｉｏｎ[Ｃ]／／ ５ｔｈ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｗ－ｏｒｋｓｈｏｐ ｏｎ Ｉｎｔｅｌｌｉｇｅｎｔ Ｔｒａｎｓｐｏｒｔａｔｉｏｎ （ＷＩＴ）， ２００７．