1.1.2 远程医疗网络的安全目标和威胁

实现数据可靠的传输是网络的基本要求之一，也就是网络要确保所有数据分组在传输过程中可以从源传递到目的地。与此同时，网络设备在受到通信干扰或者发生故障时都可能造成数据分组传输错误。远程医疗网络中部署的网络设备多样，并且部署在广泛的地理区域。此外，远程医疗网络中部署的网络应用的需求不同，在数据传输中呈现的网络流量模式也存在较大的差异。基于此，远程医疗网络对网络性能与管理提出了更高的要求。为了提高远程医疗网络的可靠性与安全性，在其应用研究中必须考虑到目前所有具有挑战性的问题，这些问题都与远程医疗的可靠性密切相关。

在远程医疗网络应用中，研究人员正在积极面对并努力克服遇到的困难，其中对网络传输可靠性和安全性的提高一直是关注的焦点。针对远程医疗网络的应用，应充分考虑不同应用的系统架构、目标及约束条件。健壮性是指远程医疗网络在发生不可预知故障、错误或攻击时，在少数网络节点不能正常工作的情况下，基于网络运行系统仍可保证正常工作的功能。网络节点可能会因为供电电源、网络阻塞、物理损坏或者环境干扰而失效，此时网络应及时应对出现的网络故障以保障不影响整体网络任务的实施。

1）窃听

在通信网络中，攻击者攻击路由节点、捕获网络节点并监听通过节点的数据流，但不改变数据流的内容，这种行为称为窃听。由于路由节点处理来自多个网络节点的各种数据分组，因此窃听不仅会泄漏捕获的网络节点的信息，还会影响其他网络节点。此时，攻击者（窃听者）的目标是确定远程医疗系统传输的数据，并试图通过这些数据了解远程医疗系统正在做什么，如预测远程医疗系统的操作者将做出何种反应。攻击者可根据需要监听网络节点传输的信息，或者直接破坏某些网络节点。窃听可进一步分为被动和主动两种类型。

（1）被动：窃听者隐藏它的存在，仅仅只是从捕获的网络节点中复制监听到的信息。

（2）主动：窃听者不仅监听信息，而且积极主动地尝试辨别信息，并通过将信息发送到源端来获取或者攻击其他网络节点。

2）数据篡改和数据包注入

被捕获的网络节点可以修改通过它的数据分组，也可以构建错误的信息并将其发送到网络中。由于路由节点的信息来自网络中的多个节点，因此攻击者篡改获得的信息比简单地复制信息可以发动更有价值的攻击。

3）拒绝服务

被捕获的网络节点停止数据分组的转发，可以使网络系统中的信息无法正常传递。此外，网络节点对到达的数据分组采用指定的数据转发策略，也可能破坏系统的正常运行。对一个主动的攻击者来说，通过掌控的网络节点可随机发送信息进行网络攻击。此时，攻击者利用捕获的网络节点，发送合法的垃圾信息将很难被检测到。在网络应用系统运行中，拒绝服务（Denial of Service, DoS）是目前最常见的一种网络攻击方式，其目标明确，即试图阻止合法用户正常使用网络服务或数据。DoS攻击的方法很多，常见的有网络应用系统请求超载，进而使应用无法响应合法用户的请求流，从而使系统或服务对合法用户不可用。其攻击类型主要包括带宽消耗、阻滞设备间的通信、针对特定系统或人员的服务中断、路由信息中断和物理组件中断等。

如果远程医疗网络遭到DoS攻击，该攻击会逐渐降低远程医疗网络的信息交互功能和整体传输性能。由于远程医疗网络中的多数应用对信息传输性能的敏感性，以及一些应用对数据传输性能具有严格预期，因此DoS攻击可能对远程医疗系统造成潜在的巨大损失。DoS攻击的三种基本类型如下。

（1）消耗资源受限或者稀少的资源（网络带宽、内存）。

（2）篡改或者毁坏网络运行相关配置信息。

（3）从物理上破坏网络设备。

诚然，DoS攻击不是一个新的网络安全现象，目前已有一些相关的标准和技术用来处理常见的DoS攻击。例如，可以通过深度包检测或者对网络异常流进行监控来发现DoS攻击，这种方法需要对部分或全部网络中流动的数据分组进行检查，这将对网络传输性能产生很大影响。此外，要完全防止网络节点不被捕获并不容易。配置更多的冗余设备可以缓解这种威胁。目前，虚拟设备的使用可以通过不断重置虚拟网络设备来清除可能正在发生的攻击，防止DoS攻击。

通信网络中的路由中断会导致使用中断路由的多个系统遭受DoS攻击，多种网络攻击会导致路由中断，如身份欺骗、数据分组重放等。路由认证可用来防范此类攻击。由于目前网络中使用最广泛的可靠性传输层通信协议为传输控制协议（Transmission Control Protocol, TCP），因此利用TCP协议的握手机制发动的同步泛洪攻击成为最常见的DoS攻击。基于TCP协议的通信，要建立连接，首先客户端需发送一个同步数据包。其次，服务器端返回一个同步确认信号。这是因为服务器需要来自客户端的确认信号以完成整个连接建立过程。此时，服务器端的套接字处于打开状态，并等待客户端发送确认信号包来完成三路握手。在同步泛洪攻击中，攻击者在短时间内将发送数以千万计的用伪造的源地址创建的同步数据包，这将导致服务器没有相应的内存资源来响应连接请求，造成操作系统功能的资源缺乏，可能带来严重的系统故障，甚至系统崩溃。在反同步攻击中，攻击者中断一个活跃的连接，通过发送伪造的带有控制标志的数据包来解除通信终端的同步，让通信终端重新传输数据。应对这种情况，可使用全包身份验证机制加以克服。

在基于路径的DoS攻击中，攻击者通过注入虚假数据包或重放数据包淹没端到端的通信路径。这种攻击不仅会消耗网络带宽，还会消耗网络节点性能。结合包认证和反重放可以防止基于路径的DoS攻击。

4）选择密文攻击

选择密文攻击（Chosen-Ciphertext Attack, CCA）是一种用于密码分析的攻击方式，密码分析人员通过选择一个密文并获得其在未知密钥下的解密，从而收集部分信息。选择密文攻击者有机会将一个或多个已知密码文本输入系统，并获得结果明文。通过这些信息片段，攻击者可以尝试恢复隐藏的密钥用于解密。

选择密文攻击可以击败许多安全方案。在安全套接字层（Secure Socket Layer, SSL）协议的早期版本中使用了RSA填充，其容易受到复杂自适应选择密文攻击方法的攻击，此种攻击会导致基于SSL会话的密钥泄露。选择密文攻击对一些自同步流密码也有影响。防篡改加密智能卡的设计者必须特别重视这些攻击，因为某些设备可能完全处于攻击者的控制之下，而攻击者可以发出大量的选择密文攻击，试图恢复隐藏的密钥。

当密码系统易受选择密文攻击时，通信必须小心避免攻击者可能解密选定密文的情况。此外，一些密码系统使用相同的机制对消息进行签名和解密。这使在未对要签名的消息使用散列时进行攻击易于实现。

在远程医疗网络中，网络路由节点可能受到窃听、数据篡改、选择密文攻击、假包注入和DoS攻击等。当源节点向目的节点发送信息包时，攻击者可能会窃听信息包所携带的消息。一些攻击者可能会导致网络路由错误，通过捕获的网络节点注入伪造数据包或丢弃数据包。由于采用确定的路由策略与路由选择算法生成源到目的节点的路径，所以僵化的路由有助于攻击者实施攻击。本书讨论了利用网络路径多样性的多路径路由方案，重点放在基于多路径路由算法的数据传输的可靠性和安全性方面。为了降低窃听、数据篡改、选择密文攻击、假包注入和DoS攻击的影响，本书对网络路径多样性的应用进行了研究。一旦出现数据包丢失或者数据包被破坏的情况，网络节点将对路由路径进行评估，并基于评估结果生成新的路径传输方案。