[go: up one dir, main page]

CN102656838A - 基于光网络终端管理控制接口的无源光网络安全性增强 - Google Patents

基于光网络终端管理控制接口的无源光网络安全性增强 Download PDF

Info

Publication number
CN102656838A
CN102656838A CN2010800283180A CN201080028318A CN102656838A CN 102656838 A CN102656838 A CN 102656838A CN 2010800283180 A CN2010800283180 A CN 2010800283180A CN 201080028318 A CN201080028318 A CN 201080028318A CN 102656838 A CN102656838 A CN 102656838A
Authority
CN
China
Prior art keywords
onu
olt
authentication
attribute
key
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN2010800283180A
Other languages
English (en)
Other versions
CN102656838B (zh
Inventor
J·埃芬博格·弗兰克
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Huawei Technologies Co Ltd
Original Assignee
Huawei Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co Ltd filed Critical Huawei Technologies Co Ltd
Publication of CN102656838A publication Critical patent/CN102656838A/zh
Application granted granted Critical
Publication of CN102656838B publication Critical patent/CN102656838B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04B—TRANSMISSION
    • H04B10/00—Transmission systems employing electromagnetic waves other than radio-waves, e.g. infrared, visible or ultraviolet light, or employing corpuscular radiation, e.g. quantum communication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0822—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using key encryption key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04Q—SELECTING
    • H04Q11/00—Selecting arrangements for multiplex systems
    • H04Q11/0001—Selecting arrangements for multiplex systems using optical switching
    • H04Q11/0062—Network aspects
    • H04Q11/0067—Provisions for optical access or distribution networks, e.g. Gigabit Ethernet Passive Optical Network (GE-PON), ATM-based Passive Optical Network (A-PON), PON-Ring
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/162—Implementing security features at a particular protocol layer at the data link layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04Q—SELECTING
    • H04Q11/00—Selecting arrangements for multiplex systems
    • H04Q11/0001—Selecting arrangements for multiplex systems using optical switching
    • H04Q11/0062—Network aspects
    • H04Q2011/0079—Operation or maintenance aspects
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04Q—SELECTING
    • H04Q11/00—Selecting arrangements for multiplex systems
    • H04Q11/0001—Selecting arrangements for multiplex systems using optical switching
    • H04Q11/0062—Network aspects
    • H04Q2011/0088—Signalling aspects

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Electromagnetism (AREA)
  • Small-Scale Networks (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

一种网络组件包括至少一个处理器，所述至少一个处理器耦合到存储器且经配置以经由光网络单元(ONU)管理控制接口(OMCI)信道使用ONU中的管理实体(ME)中的多个属性来交换安全信息，其中所述ME支持保护所述ONU与光线路终端(OLT)之间的上游发射的多个安全功能。还包含一种设备，所述设备包括经配置以耦合到OLT的ONU且包括OMCIME，其中所述OMCI ME包括支持用于所述ONU与所述OLT之间的上游发射的多个安全特征，且其中所述属性经由所述ONU与所述OLT之间的OMCI信道进行传送，且为所述ONU和所述OLT提供所述安全特征。

Description

基于光网络终端管理控制接口的无源光网络安全性增强
本发明要求2009年7月31日递交的申请号为61/230,520的美国临时专利申请案以及2009年7月27日递交的申请号为US12/844173的美国非临时专利申请案的优先权，所述申请案的全部内容以引入的方式并入本文本中。
发明背景
无源光网络(PON)是一种用于经由“最后一英里”提供网络接入的系统。PON是点对多点网络，其包括中心局处的光线路终端(OLT)、光分配网络(ODN)，和客户驻地处的多个光网络单元(ONU)。使用时分多址(TDMA)或波分多址(WDMA)将下游数据传输广播给所有ONU，同时将上游数据发射发射到OLT。例如千兆比特PON(GPON)等PON系统可支持一些安全特征来保护用户数据，例如用于下游广播。举例来说，从OLT到ONU的广播发射可经过加密。
发明内容
在一个实施例中，本发明包含网络组件，所述网络组件包括至少一个处理器，所述至少一个处理器耦合到存储器且经配置以经由ONU管理控制接口(OMCI)信道使用ONU中的管理实体(ME)中的多个属性来交换安全信息，其中所述ME支持保护ONU与OLT之间的上游发射的多个安全功能。
在另一实施例中，本发明包含一种设备，所述设备包括经配置以耦合到OLT的ONU且包括OMCI ME，其中所述OMCI ME包括支持用于ONU与OLT之间的上游发射的多个安全特征的多个属性，且其中所述属性经由ONU与OLT之间的OMCI信道进行传送，且为ONU和OLT提供安全特征。
在又一实施例中，本发明包含一种方法，所述方法包括使用OMCI信道与ONU交换多个安全属性，进而为来自ONU的上游通信提供多个安全特征，其中在不修改OLT与ONU之间的物理层运行管理维护(PLOAM)信道的情况下交换所述属性。
从结合附图和权利要求书进行的以下详细描述将更清楚地理解这些和其它特征。
附图简述
为了更完整地理解本发明，现在参考以下结合附图和详细描述进行的简要描述，其中相同参考标号表示相同部分。
图1是PON的一实施例的示意图。
图2是ONU的一实施例的示意图。
图3是认证消息交换序列的一实施例的协议图。
图4是多个ONU状态的一实施例的示意图。
图5说明通用计算机系统的一实施例的示意图。
具体实施方式
最初应理解，尽管下文提供一个或一个以上实施例的说明性实施方案，但可使用任何数目的技术，不管是当前已知还是现有的，来实施所揭示的系统和/或方法。本发明决不应限于下文所说明的所述说明性实施方案、图式和技术，包含本文所说明并描述的示范性设计和实施方案，而是可在所附权利要求书的范围以及其均等物的完整范围内修改。
在PON系统中，从OLT到ONU的下游广播发射可能容易受到安全危胁，例如可由恶意用户尝试的“窃听危胁”。举例来说，未预订的用户可能尝试接收来自OLT的未经授权信道和/或时隙。为了克服此类安全危胁，通常加密下游广播。还可加密上游发射。然而，上游发射可能比下游广播发射更安全，因为归因于PON的物理架构和光信号的方向性质，合法或经授权的ONU无法接收来自其它ONU的上游发射。因此，通常从ONU上游以明码文本格式，例如在不加密的情况下，发射保密信息。然而，例如分接光发射缆线等增强的攻击方法可能仍在PON系统中造成安全问题。因此，可需要用于PON系统中的下游和/或上游发射的安全改进，例如以保护加密密钥和/或其它口令信息。
先前已提出用于提供一些安全改进的手段，但其通常需要修改PLOAM信道。由于PLOAM处理通常发生于物理层处，因此修改PLOAM信道可能涉及升级例如ONU和/或OLT处的多个网络组件中的硬件。PLOAM信道可能没那么容易经由软件修改，且可能需要远程现场安装来更新系统的组件中的硬件。因此，基于修改PLOAM信道的先前提出的安全改进可能是不实际或经济的。
本文中所揭示的是一种用于提供PON系统中的改进的安全性的方法和系统。所述安全性可通过使用OMCI信道来交换安全参数和数据而得以改进，所述OMCI信道可用于提供多个安全特征。所提供的安全特征可包括安全能力发现、ONU认证、OLT认证、密钥保密，或其组合。可通过在OMCI信道中传送多个对应的属性来支持所述安全特征。可使用OMCI ME来将所述属性添加到OMCI信道。可由OMCI经由软件实施方案来提供安全特征，且因此安全特征可在没有实质性困难的情况下扩展和升级以适应系统改变。因而，可在不对PLOAM信道进行实质性改变或修改的情况下提供安全特征。
图1说明PON 100的一个实施例。PON 100可包括OLT 110、多个ONU 120，和ODN 130，ODN 130可耦合到OLT 110和ONU 120。PON 100可为不需要任何有源组件来在OLT 110与ONU 120之间分配数据的通信网络。实际上，PON100可使用ODN 130中的无源光组件来在OLT 110与ONU 120之间分配数据。PON 100可为下一代接入(NGA)系统，例如十千兆比特每秒(Gbps)GPON(或XGPON)，其可具有约十Gbps的下游带宽和至少约2.5Gbps的上游带宽。合适的PON 100的其它实例包含由国际电信联盟电信标准化部门(ITU-T)G.983标准界定的异步传递模式PON(APON)和宽带PON(BPON)、由ITU-T G.984标准界定的GPON、由电气与电子工程师协会(IEEE)802.3ah标准界定的以太网PON(EPON)、由IEEE 802.3av标准界定的10G-EPON，和波分复用(WDM)PON(WPON)，其全部以全文引入的方式并入本文中。
在一实施例中，OLT 110可为经配置以与ONU 120和另一网络(未图示)通信的任何装置。具体来说，OLT 110可充当其它网络与ONU 120之间的媒介物。举例来说，OLT 110可将从网络接收到的数据转发到ONU 120，且将从ONU120接收到的数据转发到其它网络上。虽然OLT 110的具体配置可依据PON 100的类型而变化，但在一实施例中，OLT 110可包括发射器和接收器。当其它网络正在使用与PON 100中所使用的PON协议不同的网络协议时，例如以太网或同步光联网(SONET)同步数字体系(SDH)，OLT 110可包括将所述网络协议转换为PON协议的转换器。OLT 110转换器还可将PON协议转换成所述网络协议。OLT 110可通常位于中央位置处，例如中心局，但也可位于其它位置处。
在一实施例中，ONU 120可为经配置以与OLT 110和客户或用户(未图示)通信的任何装置。具体来说，ONU可充当OLT 110与客户之间的媒介物。举例来说，OLT 120可将从OLT 110接收到的数据转发到客户，且将从客户接收到的数据转发到OLT 110上。虽然ONU 120的具体配置可依据PON 100的类型而变化，但在一实施例中，ONU 120可包括经配置以将光信号发送到OLT 110的光发射器和经配置以从OLT 110接收光信号的光接收器。另外，ONU 120可包括为客户将光信号转换为例如以太网协议中的信号等电信号的转换器，和可发送和/或接收去往客户装置的电信号的第二发射器和/或接收器。在一些实施例中，ONU 120和光网络终端(ONT)是类似的，且因此在本文中互换地使用术语。通常，ONU可位于分布的位置处，例如客户驻地，但也可位于其它位置处。
在一实施例中，ODN 130可为数据分配系统，其可包括光纤缆线、耦合器、分离器、分布器和/或其它设备。在一实施例中，光纤缆线、耦合器、分离器、分布器和/或其它设备可为无源光组件。具体来说，光纤缆线、耦合器、分离器、分布器和/或其它设备可为不需要任何电力来在OLT 110与ONU 120之间分布数据信号的组件。或者，ODN 130可包括一个或多个处理设备，例如光放大器。ODN 130可通常以图1中所示的分支配置从OLT 110延伸到ONU 120，但可替代地以任何其它点对多点配置来配置。
在一实施例中，ONU 120和/或OLT 110可使用OMCI进行通信，例如，以在PON 100中交换控制信息。因而，OLT可建立OMCI信道来控制ONU 120的一些活动和/或操作。OMCI可用于管理一个或一个以上服务界定层。具体来说，OMCI可使用包括多个ME的协议无关的管理信息库(MIB)来将OLT 110与ONU 120之间的数据流模型化。此类配置描述于用于GPON、ITU-T G.984.4及其修正案的OMCI中，其全部以引入的方式并入本文中。在所述OMCI中，可使用IEEE 802.1p中所描述的虚拟局域联网(VLAN)过滤将客户包映射到GPON封装方法(GEM)端口，其全部以引入的方式并入本文中。
可使用软件、硬件或以上两者来实施ONU处的OMCI，其中可添加新的ME来支持额外或新的能力，例如满足不同客户需要的能力。OMCI中的每一ME可包括表示由OMCI支持的资源和/或服务的数据架构。举例来说，ME可描述ME的目的、ME与其它ME之间的关系、ME的属性，或其组合。ME可包括多个属性、特性、属性特性，或其组合。OMCI可描述于标题为“用于B-PON的ONU管理和控制接口规范(ONU Management and Control InterfaceSpecification for B-PON)”的ITU-T推荐G.983.2、标题为“具备千兆比特功能的无源光网络(G-PON)：ONU管理和控制接口规范(Gigabit-Capable PassiveOptical Networks(G-PON)：ONU Management and Control Interface Specification)”的ITU-T推荐G.984.4，或标题为“ONU管理和控制接口(OMCI)规范(ONUmanagement and control interface(OMCI)specification)”的ITU-T推荐G.988中，其全部以全文引入的方式并入本文中。
在一实施例中，所述OMCI可包括改进PON系统中的安全性的增强型安全控制ME。所述增强型安全控制ME可提供额外的安全特征和/或功能，其可包括安全能力发现功能、ONU认证功能、OLT认证功能，和密钥保密功能。OMCIME可包括多个属性，例如支持例如下文结合图2所描述的安全功能的表格和/或参数。安全功能和属性可用于向来自ONU的上游发射提供安全特征，且可选地向来自OLT的下游发射添加安全性。
安全能力发现功能可使得OLT或ONU中的一者能够发现其它组件的一个或一个以上安全能力的存在和/或可用性。安全能力发现功能还可使得网络组件能够发现支持其它组件的安全能力的一个或一个以上安全算法。另外，安全能力功能可使得所述组件能够选择激活哪一安全算法。在一实施例中，OLT可使用安全能力发现功能经由OMCI信道告知ONU可由OLT提供的安全能力和/或算法。可在ONU处的一个或一个以上可读和/或可写属性中，例如在ONU处的增强型安全控制ME中将安全能力和/或算法提供给ONU。OLT还可使用安全能力发现功能来经由OMCI信道接收由ONU支持的安全能力和/或算法。安全能力和/或算法可位于一个或一个以上可读属性中，例如在ONU处的增强型安全控制ME中，且可指示安全能力的存在和/或界定ONU的对特定能力和/或算法的支持等级。
另外，安全能力发现功能可允许OLT来指定可用于提供ONU认证功能、OLT认证功能、密钥保密功能或其组合的一个或一个以上安全算法。在一些实施例中，可由管理者而非OLT或ONU来指定这些安全功能能力/算法中的一者或一者以上。可例如在起始ONU认证功能、OLT认证功能和/或密钥保密功能之前将安全能力/算法指定为安全能力发现功能的一部分。或者，可将能力/算法指定为建立不同安全功能的一部分。
ONU认证功能可使得OLT能够验证ONU是经授权的用户和/或满足一个或一个以上安全限定标准。在一实施例中，OLT可经由OMCI信道与ONU交换用于ONU认证的信息。举例来说，ONU认证程序可包括挑战响应认证程序，其可使用OMCI信道建立于OLT与ONU之间。挑战响应认证程序可类似于标题为“用于安全散列标准的规范(Specifications for the Secure Hash Standard)”的第180-3号联邦信息处理标准(FIPS)公开案中所描述的认证程序，所述公开案以全文引入的方式并入本文中。在挑战响应认证程序期间，OLT可经由OMCI信道将呈随机数形式的挑战，例如随机产生的数字，发送到ONU。随后，ONU可经由OMCI信道将包括随机数与相互共享的秘密的散列组合的响应发送到OLT。举例来说，OLT可将随机数写入ONU的OMCIME中，且随后从OMCIME读取散列组合。OLT可通过验证所述散列组合实质上等于可通过OLT独立于散列组合计算出的ONU认证值而验证ONU。在一些实施例中，OLT可在确定散列组合实质上等于ONU认证值之后经由OMCI信道将ONU认证确认消息发送到ONU。ONU认证确认消息可指示ONU已由OLT认证。
OLT认证功能可使得ONU能够验证OLT是例如指派给ONU的合法OLT和/或满足一个或一个以上安全限定标准。在一实施例中，ONU可经由OMCI信道与OLT交换OLT认证所必需的信息。举例来说，OLT认证可包括挑战响应认证程序，其可使用OMCI信道建立于OLT与ONU之间。在挑战响应认证程序期间，ONU可经由OMCI信道将呈随机数的形式的挑战发送到OLT。作为响应，OLT可经由OMCI信道将含有随机数与相互共享的秘密的散列组合的消息发送到ONU。举例来说，OLT可从ONU处的OMCIME读取随机数，且随后在所述OMCI ME处写入散列组合。ONU可将散列组合与由ONU计算出的OLT认证值进行比较，以认证OLT。在一些实施例中，ONU可在确认散列组合实质上等于OLT认证值之后经由OMCI信道将OLT认证确认消息发送到OLT。散列组合和OLT认证值可分别由OLT和ONU独立地计算。此外，用于OLT认证程序中的随机数和散列组合可不同于ONU认证程序中所使用的随机数和散列组合。
密钥保密功能可允许OLT和ONU经由OMCI信道交换加密密钥和/或其它安全参数或信息，以建立加密协议来用于后续上游和/或下游发射。举例来说，密钥保密功能可允许OLT经由OMCI信道将密钥信息发送到ONU。密钥保密功能也可允许ONU经由OMCI信道将密钥信息发送到OLT。密钥信息可包括用于建立加密协议的任何信息。密钥信息可与利用不对称密钥算法的公共密钥协议相关联。可用于公共密钥密码术中的一些共同技术可描述于标题为“用于公共密钥密码术的标准规范(Standard Specifications For Public-Key Cryptography)”的IEEE标准1363中，其以全文引入的方式并入本文中。公共密钥密码术可包括用于使用公共密钥加密数据并使用私用密钥解密数据的方法，其中所述公共密钥经广泛分布且所述私用密钥可保持保密。在所述情况下，私用密钥不可用数学方法从公共密钥得到，且因而可防止不拥有公共密钥的攻击者解码经加密的消息。举例来说，密钥保密功能可允许OLT将公共密钥写入到ONU处的OMCI。ONU可随后用公共密钥加密高级加密标准(AES)，且在PLOAM信道上发送经加密的密钥。随后，OLT可获得经加密的密钥并从经加密的密钥获得AES密钥。
在不同的实施例中，安全能力发现功能、ONU认证功能、OLT认证功能和密钥保密功能可合并到单一认证功能中或同时执行。在一些实施例中，OLT可经由OMCI信道例如通过在增强型安全控制ME中读取和/或写入多个属性而与ONU交换属于OLT和/或ONU的密码能力、认证信息，和/或密钥信息。属性可在认证消息交换序列中交换，如下文详细描述。
图2说明可包括增强型安全控制ME 210的ONU 200的一个实施例。增强型安全控制ME 210可包括多个ME属性220(例如，A1-AN)。这些ME属性220可表示数据结构，例如可包括描述ONU的不同特征和/或认证消息交换序列中的数据的表格、参数和/或系统变量。ME属性220可包括ME ID属性、OLT密码能力属性、OLT随机挑战表格属性、OLT挑战状态属性、ONU选定的密码能力属性、ONU随机挑战表格属性、ONU认证结果表格属性、OLT认证结果表格属性、OLT结果状态属性、ONU认证状态属性、主会话密钥名称属性、广播密钥表格属性、有效密钥长度属性，或其组合。这些属性可用于支持或提供例如安全能力发现功能、ONU认证功能、OLT认证功能、密钥保密功能或其组合中的安全特征和/或功能。因而，一些ME属性220可单独地用于不同的安全功能中或联合地用于合并至少一些安全功能的组合的安全功能中。举例来说，ME属性220可用于实施基于对称密钥的三步骤认证过程。
ME ID属性可用于识别增强型安全控制ME 210的每一实例。在一实施例中，可能有增强型安全控制ME 210的单一实例与ONU相关联，其中所述实例可具有等于约零的ME ID值。在其它实施例中，可能有增强型安全控制ME 210的多个实例与ONU相关联，其中每一实例可具有不同的ME ID值。ME ID属性可为可读的且长度为约两字节。
OLT密码能力属性可指定OLT可用或支持的密码机制中的一者或一者以上。在一实施例中，OLT密码能力属性可被格式化为位图，其中位图中的位中的每一者可对应于一算法，如表格1中所示。因此，位可被设定为约一，以指示对应的密码或认证算法由OLT支持，或设定为约零，以指示对应的算法不受OLT支持。OLT密码能力属性可为可写的，且长度为约16字节。在一些情况下，OLT密码能力属性中的每一位可被设定为约零，以指示OLT不支持任何算法。
表格1描述OLT密码能力属性位图的一实施例。具体来说，位图中的不同位位置可对应于不同的密码算法。举例来说，位位置一(最低有效位(LSB))可对应于AES-CMAC-128算法，位位置二可对应于HMAC-SHA-256算法，位位置三可对应于HM C-SHA-512算法，且位位置四到约128可保留。
表格1
  位位置   算法
  1(LSB)   AES-CMAC-128
  2   HMAC-SHA-256
  3   HMAC-SHA-512
  4-128   保留
OLT随机挑战表格属性可指定由OLT在认证序列期间发布的随机挑战。在一实施例中，OLT随机挑战表格属性可为包括可由管理者确定的N个条目(N为整数)的表格。数据表格中的每一条目可具有固定长度，例如约17字节，其中每一条目的第一字节可包括条目索引或条目识别符，且每一条目的剩余字节可包括内容。OLT可将所述条目写入表格中，且随后例如使用OLT挑战状态属性来触发ONU处理所述表格条目。由于OLT随机挑战表格属性可具有可变数目个条目(例如，N个)，所以随机挑战的长度且因此复杂性可在需要时增加，以改进认证功能的安全性。OLT随机挑战表格属性可为可读的、可写的，且长度为约17×N个字节。
OLT挑战状态属性可用于控制并报告OLT密码能力属性和/或OLT随机挑战表格属性的状态。在一实施例中，OLT挑战状态属性可为布尔属性，其可在OLT密码能力属性和/或OLT随机挑战表格属性是完整时被设定为第一或真布尔值(例如，约一)，或在OLT密码能力属性和/或OLT随机挑战表格属性不完整时被设定为第二或假布尔值(例如，约零)。举例来说，OLT可在写入OLT密码能力属性和/或OLT随机挑战表格属性之前或在写入OLT密码能力属性和/或OLT随机挑战表格属性时将OLT挑战状态属性设定为假值(例如，约零)。随后，OLT可在完成写入OLT密码能力属性和/或OLT随机挑战表格属性的过程后即刻将OLT挑战状态属性设定为真值(例如，约一)。OLT可将OLT挑战状态属性设定为假值，将多个条目写入OLT密码能力属性和/或OLT随机挑战表格属性中，将OLT挑战状态属性设定为真值，且因此触发ONU来处理OLT密码能力属性和/或OLT随机挑战表格属性的内容。OLT挑战状态属性可为可读的、可写的，且长度为约一个字节。
ONU选定的密码能力属性可指定由ONU例如在认证序列中选择的密码能力。ONU选定的密码能力属性可被设定为一值，所述值指示由OLT例如在OLT密码能力属性中支持的算法。所述值可指定位位置中的曾在OLT密码能力属性中被设定为约一的一个位位置。
ONU随机挑战表格属性可指定由ONU在认证序列期间发布的随机挑战。在一实施例中，ONU随机挑战表格属性可为包括可由管理者设定的P个条目(P为整数)的表格。数据表格中的每一条目可具有固定长度，例如约16字节，其中每一条目的第一字节可包括条目索引或条目识别符，且每一条目的剩余字节可包括内容。ONU可响应于OLT产生OLT挑战状态属性而写入ONU随机挑战表格属性。在产生了ONU随机挑战表格属性之后，ONU可例如使用属性值改变(AVC)动作来向OLT通知挑战表格已建立以触发OLT开始取得/取得下一个序列来获得表格内容。由于ONU随机挑战表格属性可具有可变数目个条目，所以随机挑战的长度且因此复杂性可能会增加，以改进认证功能的安全性。ONU随机挑战表格属性可为可读的、可写的，且长度为约16×P个字节。
ONU认证结果表格属性可根据ONU的选定的密码能力属性而指定来自ONU的认证挑战的结果。ONU认证结果表格属性的值可使用由ONU选定的散列函数而产生，例如：
SelectedHashFunction(PSK，(ONU_selected_crypto_capabilities|OLT_random_challenge_table|ONU_random_challenge_table|0X0000000000000000))，
其中“|”表示级联，且ONU_selected_crypto_capabilities表示由ONU选择的密码能力。
在一实施例中，ONU认证结果表格属性可为包括可由管理者确定的Q个条目(Q为整数)的数据表格。数据表格中的每一条目可具有固定长度，例如约16字节。ONU可响应于OLT产生OLT挑战状态属性而写入ONU认证结果表格属性。在产生了ONU认证结果表格属性之后，ONU可例如使用AVC消息或通知来向OLT通知表格已建立以触发OLT开始取得/取得下一个序列来获得表格内容。由于ONU认证响应表格属性可具有可变数目个条目，所以散列组合的长度且因此复杂性可在需要时增加，以改进ONU认证功能的安全性。ONU认证结果表格属性可为可读的，且长度为约16×Q个字节。
OLT认证结果表格属性可指定来自OLT的认证计算的结果。OLT认证结果表格属性的值可使用由OLT选定的散列函数而产生，例如
SelectedHashFunction(PSK，(ONU_selected_crypto_capabilities|OLU_random_challenge_table|OLT_random_challenge_table|ONU_serial_number))，
其中为ONU ME的序号，其可由ONU序号属性指定。
在一实施例中，OLT认证结果表格属性可为包括可由管理者设定的R个条目(R为整数)的数据表格。数据表格中的每一条目可具有固定长度，例如约17字节，其中每一条目的第一字节可包括条目索引或条目识别符，且其中每一条目的剩余字节可包括内容。OLT可在OLT认证结果表格属性中写入所述条目，且随后触发ONU来用OLT结果状态属性来处理所述表格。由于OLT认证结果表格可具有可变数目个条目，所以所述结果的长度且因此复杂性可在需要时增加，以改进OLT认证功能的安全性。OLT认证响应表格可为可写的，且长度为约17×R个字节。
OLT结果状态属性可用于控制和/或报告OLT认证结果表格属性的状态。在一实施例中，OLT结果状态属性可为布尔属性，所述布尔属性可在ONU认证结果表格属性为完整时被设定为约一的真值，或在ONU认证结果表格属性不完整时被设定为约零的假布尔值。举例来说，OLT可在写入OLT认证结果表格属性之前或在写入OLT认证结果表格属性时将OLT结果状态属性设定为假(例如，约零)，且随后在完成将结果写入到OLT认证结果表格属性的过程后即刻将OLT结果状态属性设定为真(例如，约一)。OLT可将OLT认证结果状态属性设定为假，将多个条目写入到OLT认证结果表格属性，将OLT结果状态属性设定为真，且因此触发ONU处理OLT结果表格属性。OLT结果状态属性可为可读的、可写的，且长度为约一个字节。
ONU认证状态属性可指示来自ONU的观点的认证关系的状态。ONU认证状态属性可具有约零的值，以指示ONU处于例如认证程序不活动的非活动状态S0。ONU认证状态属性可具有约一的值，以指示ONU处于例如在认证程序在进行中时的OLT挑战待决状态S1。ONU认证状态属性可具有约二的值，以指示ONU处于ONU挑战待决状态S2。ONU认证状态属性可具有约三的值，以指示ONU处于例如在完成了认证程序且ONU已认证OLT时的认证成功状态S3。ONU认证状态属性可具有约四的值，以指示ONU处于例如在完成了认证程序且ONU未认证OLT时的认证失败状态S4。或者，ONU认证状态属性可具有约五的值，以指示ONU处于例如在认证程序已开始但无法完成时的认证错误状态S5。当ONU认证属性具有约三的值，例如处于认证成功状态S2时，可例如使用G.984中所描述的主会话密钥或G.987中所描述的密钥加密密钥在传送器(TC)层中交换多个加密密钥，G.984中所描述的主会话密钥或G.987中所描述的密钥加密密钥以全文引入的方式并入本文中。OLT可在起始密钥开关之前检查ONU认证状态属性的值。另外，OLT可告警ONU认证状态属性的状态的改变，例如由于经由OMCI信道从ONU接收到AVC消息或通知而从状态S1到状态S2的改变。ONU认证状态属性可为可读的，且长度为1字节。
主会话密钥名称属性可包括例如在成功认证后的当前会话密钥的名称。主会话密钥可由通过ONU选定的散列函数界定，例如
SelectedHashFunction(PSK，(OLT_random_challenge|ONU_random_challenge))。
主会话密钥名称属性可被界定为：
SelectedHashFunction(PSK，(ONU_random_challenge|OLT_random_challenge|0x 31415926535897933141592653589793))，
其中号码0x 31415926535897933141592653589793为ONU序号的一实例。如果选定的散列函数产生约128位以上，则可将结果截断到最左边的例如最高有效的约128位。在例如归因于ONU复位或主密钥已到期的ONU本地决策而终止主会话密钥之后，ONU可即刻将主会话密钥名称属性设定为约零的序列。主会话密钥名称属性可为可读的，且长度为约16字节。
广播密钥表格属性可包括由OLT产生的广播密钥。广播密钥表格属性可包括一表格，所述表格包括一个或一个以上行。每一行可包括行控制部分、行识别符部分，和密钥分片部分。所述行控制可包括约一个字节，所述行识别符也可包括约一个字节，且所述密钥分片可包括约16字节。因而，所述广播密钥表格属性可为可读的和可写的，任选的，且长度为约18×N字节。
所述行控制可描述将对指定行，例如，由行识别符指定的行采取的动作。行控制中的约两个LSB可确定在设定动作下的属性的行为，如表格2中所示。在表格2中，两个LSB可被设定为约00以设定指定行，被设定为约01以清除指定行，被设定为约10以清除整个表格，或被设定为11以指示保留的条目。此外，行控制中的约四个最高有效位(MSB)可指定对应密钥分片的长度。行控制中的剩余两个位可保留。行控制的两个LSB可在取得下一个动作下被读取为约零，且可在设定动作下以与表格2一致的方式运作。
表格2
  LSB   设定动作下的行为
  00   设定指定行
  01   清除指定行
  10   清除整个表格
  11   保留
行识别符可识别指定行。行识别符中的约两个MSB可表示密钥索引，所述密钥索引可出现在经加密的多播GPON加密方法(GEM)帧的标头处。约零的密钥索引可指示明码文本，且因此不可出现在行识别符中。行识别符中的约四个LSB可识别密钥分片编号，且可从约零开始。行识别符中的剩余约两个位可保留。密钥分片可包括例如由ONU指定的指定的密钥部分。举例来说，密钥部分可使用密钥加密密钥(KEK)用AES-电子码簿(ECB)进行加密。
有效密钥长度属性可指定由ONU产生的密钥的最大有效长度(例如，以位计)。有效密钥长度属性可为可读的、任选的，且长度为约两个字节。
另外或替代地，ME属性220可包括认证能力属性、ONU认证选择属性、ONU认证随机数表格属性、ONU认证随机数状态属性、ONU认证响应表格属性，或其组合。ME属性220还可包括OLT认证选择属性、OLT认证随机数表格属性、OLT认证响应表格属性、OLT认证响应状态属性、OLT公共密钥能力属性、OLT公共密钥选择属性、OLT公共密钥表格属性、OLT公共密钥表格属性，或其组合。
认证能力属性可指定ONU处可用的认证机制和/或ONU支持的认证算法。在一实施例中，认证能力属性可被格式化为位图，其中例如根据表格3，位图中的一些或所有位可对应于认证算法。因此，位可被设定为约一，以指示对应的认证算法由ONU支持，或设定为约零，以指示对应的认证算法不受ONU支持。认证能力属性可为可读的，且长度为约16字节。在一些情况下，认证能力属性中的每一位可被设定为约零，以指示无认证算法受ONU支持。
表格3
ONU认证选择属性可指定将在ONU认证功能期间使用的认证算法。举例来说，ONU认证选择属性可被设定为一值，所述值指示受ONU支持的认证算法。所述值可指示可列举于认证能力属性中的认证算法。ONU认证选择属性可用于例如在ONU认证功能的实施期间命令ONU使用对应的认证算法来产生散列组合。ONU认证选择属性可为可读的、可写的，且长度为约一个字节。ONU认证选择属性也可被设定为约零，以指示无认证算法用于ONU认证功能中。
ONU认证随机数表格属性可指定用于ONU认证功能的随机数。随机数可为用于增加ONU认证功能的安全性的目的而产生的随机或伪随机数。在一实施例中，ONU认证随机数表格可为包括可由管理者确定的N个条目(N为整数)的数据表格。数据表格中的每一条目可具有固定长度，例如约25字节，其中每一条目的第一字节可包括条目索引或条目识别符，且每一条目的剩余字节可包括内容。由于ONU认证随机数表格可具有可变数目个条目(例如，N个)，所以随机数的长度且因此复杂性可在需要时增加，以改进ONU认证功能的安全性。ONU认证随机数表格可为可读的、可写的，且长度为约25×N个字节。
ONU认证随机数状态属性可用于在ONU认证功能期间控制和报告ONU认证随机数表格属性的状态。在一实施例中，ONU认证随机数状态属性可在ONU认证表格是完整时被设定为第一或真布尔值(例如，约一)，或在ONU认证表格不完整时被设定为第二或假布尔值(例如，约零)。举例来说，OLT可在起始将随机数写入到ONU认证随机数表格属性的过程之后即刻将ONU认证随机数状态设定为约零的假值，且随后在完成将随机数写入到ONU认证随机数表格属性的过程之后即刻将ONU认证随机数状态设定为约一的真值。在一实施例中，OLT可将ONU认证随机数状态属性设定为假值，将多个条目写入ONU认证随机数表格属性中，将ONU认证随机数状态属性设定为真值，且因此触发ONU处理ONU认证随机数表格属性。ONU认证随机数状态属性可为可读的、可写的，且长度为约一个字节。
ONU认证响应表格属性可指定可用于ONU认证功能中的响应，例如散列组合。ONU认证响应表格属性可包括由ONU计算出的散列组合。可通过使用由ONU认证选择属性指定的认证算法来处理随机数，例如ONU认证随机数表格属性的内容，而计算出散列组合。OLT可通过读取ONU认证响应表格属性而获得散列组合。OLT可随后通过确定散列组合实质上等于ONU认证值而认证ONU。在一实施例中，ONU认证响应表格属性可为包括可由管理者确定的M个条目(M为整数)的数据表格。数据表格中的每一条目可具有固定长度，例如约25字节，其中每一条目的第一字节可包括条目索引或条目识别符，且每一条目的剩余字节可包括内容。由于ONU认证响应表格属性可具有可变数目个条目，所以散列组合的长度且因此复杂性可在需要时增加，以改进ONU认证功能的安全性。ONU认证响应表格属性可为可读的、可写的，且长度为约25×M个字节。
OLT认证选择属性可指定将在OLT认证功能期间使用的认证机制。在一实施例中，可将OLT认证选择属性设定为一值，所述值指示受ONU支持的认证算法。所述值可对应于列举于认证能力属性中的认证算法。OLT认证选择属性可在OLT认证功能期间命令ONU使用指定的认证算法来产生散列组合。OLT认证选择属性可为可读的、可写的，且长度为约一个字节。ONU认证选择属性也可被设定为约零，以指示无认证算法在ONU认证功能期间使用。
OLT认证随机数表格属性可指定将用于OLT认证功能中的随机数。可产生随机数以改进OLT认证功能的安全性。在一实施例中，OLT认证随机数表格可为包括可由管理者设定的P个条目(P为整数)的数据表格。数据表格中的每一条目可具有固定长度，例如约25字节，其中每一条目的第一字节可包括条目索引或条目识别符，且每一条目的剩余字节可包括内容。由于OLT认证随机数表格属性可具有可变数目个条目，所以所述随机数的长度且因此复杂性可能会增加，以改进OLT认证功能的安全性。ONU认证随机数表格属性可为可读的、可写的，且长度为约25×P个字节。
OLT认证响应表格属性可指定将用于OLT认证功能中的响应，例如散列组合。OLT认证响应表格属性可包括可由OLT计算出的散列组合。OLT可通过使用OLT认证选择属性中指定的认证算法来处理OLT认证随机数表格属性中的随机数来计算出散列组合。因而，ONU可读取OLT认证响应表格属性来获得散列组合值。ONU可随后通过确认散列组合值实质上类似于OLT认证值而认证OLT。在一实施例中，OLT认证响应表格可为包括可由管理者设定的Q个条目(Q为整数)的数据表格。数据表格中的每一条目可具有固定长度，例如约25字节，其中每一条目的第一字节可包括条目索引或条目识别符，且其中每一条目的剩余字节可包括内容。由于ONU认证响应表格可具有可变数目个条目，所以散列组合的长度且因此复杂性可在需要时增加，以改进OLT认证功能的安全性。OLT认证响应表格可为可读的，且长度为约25×Q个字节。
OLT认证响应状态属性可用于在OLT认证功能期间控制和/或报告OLT认证响应表格属性的状态。在一实施例中，OLT认证响应状态属性可在ONU认证表格为完整时被设定为约一的真布尔值，或在ONU认证表格不完整时被设定为约零的假布尔值。举例来说，OLT可在起始将随机数写入到OLT认证响应表格属性的过程后即刻将OLT认证响应状态设定为假，例如，约零，且随后在完成将随机数写入到OLT认证响应表格属性的过程后即刻将OLT认证响应状态设定为真，例如，约一。在一实施例中，OLT可将OLT认证响应状态属性设定为假，例如，约零，将多个条目写入到OLT认证响应表格属性，将OLT认证响应状态属性设定为真(例如，约一)，且因此触发ONU相应地处理OLT认证响应表格属性。OLT认证响应状态属性可为可读的、可写的，且长度为约一个字节。
OLT公共密钥能力属性可指定ONU 200处可用的公共密钥机制。在一实施例中，OLT公共密钥能力属性可被格式化为位图，其中例如根据表格4，位图中的一些或所有位可对应于特定公共密钥算法。举例来说，设定为约一的位可指示对应的公共密钥算法可受ONU支持，且设定为约零的位可指示对应的公共密钥算法不受ONU 200支持。OLT公共密钥能力属性可为可读的，且长度为约16字节。在一些实施例中，OLT公共密钥属性中的每一位可被设定为约零，以指示无公共密钥算法受OLT 200支持。
表格3
Figure BDA0000124533410000181
OLT公共密钥选择属性可指定将在密钥保密功能期间使用的公共密钥机制。在一实施例中，可将OLT公共密钥选择属性设定为一值，所述值指示受ONU200支持的认证算法，例如，如由OLT公共密钥能力属性指定。在一实施例中，OLT公共密钥选择属性可用于在密钥保密功能期间命令ONU使用指定的公共密钥算法来加密AES密钥。OLT公共密钥选择属性可为可读的、可写的，且长度为约一个字节。在一些实施例中，OLT公共密钥选择属性可被设定为约一，以指示未使用公共密钥算法。
OLT公共密钥表格属性可指定将在密钥保密功能期间使用的公共密钥。在一实施例中，OLT可将公共密钥写入到OLT公共密钥表格属性。OLT公共密钥表格属性可为包括可由管理者设定的R个条目(R为整数)。表格中的每一条目可具有固定长度，例如约25字节，其中每一条目的第一字节可包括条目索引或条目识别符，且其中每一条目的剩余字节可包括内容。由于OLT公共密钥表格属性可具有可变数目个条目，所以所述公共密钥的长度且因此复杂性可在需要时增加，以改进密钥保密功能的安全性。OLT公共密钥表格属性可为可读的、可写的，且长度为约25×R个字节。
OLT公共密钥状态属性可用于在密钥保密功能期间控制和/或报告OLT公共密钥表格属性的状态。在一实施例中，OLT公共密钥状态属性可在公共密钥表格为完整时被设定为真布尔值，例如约一，或在公共密钥表格不完整时被设定为假布尔值，例如约零。举例来说，OLT可在起始将公共密钥写入到OLT公共密钥表格属性的过程后即刻将OLT公共密钥状态设定为假，例如，约零，且随后在完成将现公共密钥写入到OLT公共密钥表格属性的过程后即刻将OLT公共密钥状态设定为真，例如，约一。在一实施例中，OLT可将OLT公共密钥状态属性设定为假，例如，约零，将多个条目写入到OLT公共密钥表格属性，将OLT公共密钥状态属性设定为真(例如，约一)，且因此触发ONU相应地处理OLT公共密钥表格属性。OLT认证响应状态属性可为可读的、可写的，且长度为约一个字节。
OLT可在经由OMCI信道与ONU通信时使用各种动作，例如指令类型，例如取得动作、取得下一个动作，和设定动作。取得动作可允许OLT读取ONU处的OMCIME的一个或一个以上属性，取得下一个动作可允许OLT读取OMCIME的属性的串或集合，且设定动作可允许ONU写入OMCI ME的一个或一个以上属性。
OLT还可在安全功能期间接收一个或一个以上OMCI通知。OMCI通知可呈AVC消息的形式被接收，所述AVC消息可经由OMCI信道进行传送。每一AVC消息可具有一数值，其可对应于不同消息类型，例如，如表格5A或5B中所示。举例来说，如表格3中所示，与ONU随机挑战表格属性相关联的AVC消息可被指派有约五的值。与ONU认证结果表格属性相关联的AVC消息可被指派有约六的值。与ONU认证状态属性相关联的AVC消息可被指派有约10的值。例如，从约一到约四、从约七到约九，以及从约十一到约十六的剩余值可保留。
表格5A
Figure BDA0000124533410000201
表格5B
Figure BDA0000124533410000202
在一实施例中，增强型安全控制ME可包括多个设施来执行常规的三步骤基于散列的认证序列，例如，如标题为“信息技术-安全技术-实体认证-第4部分：使用密码检查功能的机制(Information technology-Security Techniques-Entity Authentication-Part 4：Mechanisms using a cryptographic check function)”的国际标准组织(ISO)/国际电工委员会(IEC)公开案9798-4中所描述，所述公开案以全文引入的方式并入本文中。常规的三步骤认证序列可用于采用MS-CHAPv2协议的DSL系统中，或可使用取得和设定消息的其它系统中。常规的三步骤序列的逻辑结构可包括若干消息，例如，消息1、消息2，和消息3，例如：
消息1：(Peer 1→peer 2)my_cryptographic_capabilities|random_challenge_1，
消息2：(Peer 2→peer 1)：selected_cryptographic_capabilities|random_challenge_2|MsgHash(PSK，(selected_cryptographic_capabilities|random_challenge_1|random_challenge_2，peer_1_identity))，和
消息3：(Peer 1→peer 2)：MsgHash(PSK，(selected_cryptographic_capabilities|random_challenge_2|random_challenge_1|peer_2_identity))，
其中MsgHash()为消息的经加密的散列函数，PSK为仅会话的对等体知道的预共享的密钥，Peer_1_identity被设定为约0x0000000000000000，且Peer_2_identity为ONU序号。
用于使用三步骤基于散列的认证序列的一个先决条件可为预共享秘密(PSK)的可用性。约128位的PSK可简化对基于AES-128(例如，AES-CMAC-128)的安全算法的应用。PSK可与ONU相关联，且可存储于ONU处以及运营商基础结构处。在运营商侧，用于ONU的PSK可存储于耦合到ONU的OLT中，或中央服务器处，OLT可在认证期间接入所述中央服务器。将PSK配置到ONU中以及配置到运营商基础结构中可以满足这些要求的任何方式执行。
图3说明可在OMCI信道中的OLT与ONU之间建立的认证消息交换序列300的一实施例。认证消息交换序列300可在PON系统中提供改进的安全性，例如用于上游发射。认证消息交换序列300可包括可由OLT实施以经由OMCI信道与ONU通信并接入增强型安全控制ME的各种动作。举例来说，OLT可通过使用设定动作来写入各种增强型安全控制ME属性(例如，ME属性220)。OLT可通过使用设定动作在需要时执行多个设定操作以将多个条目写入到一个或一个以上属性。OLT可通过使用取得功能读取各种增强型安全控制ME属性，其可触发get_response消息，所述消息获得一个或一个以上增强型安全控制ME属性的内容或内容的一部分。另外，OLT可接收呈AVC消息的形式的一个或一个以上OMCI通知。
认证消息交换序列300可开始于步骤302处，其中OLT可使用设定动作写入OLT密码能力属性和/或OLT随机挑战表格属性。在步骤304处，OLT可使用设定动作将例如约一的真值写入到OLT挑战状态属性，以向ONU指示OLT密码能力属性和/或OLT随机挑战表格属性已建立。在步骤306处，OLT可从ONU接收AVC消息，所述AVC消息向OLT通知ONU随机挑战表格属性已建立。在步骤308处，OLT可从ONU接收AVC消息，所述AVC消息向OLT通知ONU认证结果表格属性已建立。
在步骤310处，OLT可使用取得动作向ONU请求ONU选定的密码能力属性、ONU随机挑战表格属性、ONU认证结果表格属性，或其组合。在步骤312处，ONU可通过使用get_response动作发送所请求的信息而响应于OLT。在步骤314处，OLT可使用设定动作写入OLT认证结果表格属性。在步骤316处，OLT可使用设定动作将真值写入到OLT结果状态属性。在步骤318处，OLT可从ONU接收AVC消息，所述AVC消息向OLT通知ONU认证状态属性已建立。在步骤320处，OLT可使用取得动作向ONU请求主会话密钥名称属性。在步骤322处，ONU可通过使用get_response动作发送所请求的信息而响应于OLT。随后可结束认证消息交换。
图4说明多个ONU状态400的一实施例。ONU状态400可由状态机指定，所述状态机可操作如ITU-T G.784.3和G987.3中所界定的状态O5，ITU-TG.784.3和G987.3以全文引入的方式并入本文中。起初在方框410处，ONU可例如在ONU注册后处于不活动状态(S0)。状态S0可由ONU认证状态属性使用约零的值来指示。OLT可随后通过在ONU处将挑战写入到OMCI ME处的OLT随机挑战表格属性来起始认证过程。
在方框420处，OLT可例如在OLT将其挑战写入到OLT随机挑战表格属性之后进入挑战待决状态(S1)。OLT挑战待决状态(S1)可由ONU认证状态属性使用约一的值来指示。在状态S1期间，ONU可选择ONU随机挑战属性，且/或计算ONU认证结果表格属性，且OLT不可将新的值写入到OLT随机挑战表格属性中。ONU可随后在选择ONU随机挑战属性且/或计算出ONU认证结果表格属性之后转变到ONU挑战待决状态(S2)。如果ONU不能执行转变到状态S2所需的操作，那么ONU可转变到认证错误状态(S5)而非状态S2。
在方框430处，ONU可例如在选择ONU随机挑战属性且/或计算出ONU认证结果表格属性之后进入状态S2。状态S2可由ONU认证状态属性使用约二的值来指示。在状态S2期间，ONU可等待OLT读取相关的表格/属性，例如ONU选定的密码能力属性、ONU随机挑战表格属性、ONU认证结果表格属性，或其组合，且将ONU的认证挑战的结果写入到OLT认证结果表格属性。OLT的响应可为时间受限的。举例来说，OLT可能需要在定时器周期(T1)到期之前响应于ONU的认证挑战。举例来说，T1可被设定为在约三秒内到期。如果OLT在T1到期之前无法在状态S2期间作出响应，那么ONU可转变到状态S5。如果OLT在T1到期之前例如通过将ONU的认证挑战的结果写入到ONU认证结果表格属性中而作出响应，那么ONU可转变到认证成功状态(S3)或认证失败状态(S4)，其取决于OLT是否曾被ONU成功认证。如果结果实质上与OLT认证值相同，那么OLT可已被ONU成功认证，且ONU可转变到状态S3。如果结果与OLT认证值不相同，那么OLT可未被成功认证，且ONU可转变到状态S4。虽然ONU处于状态S2，但OLT可不将新的值写入到OLT随机挑战表格属性中。
在方框440处，在进入状态S3之前，ONU可针对主会话密钥名称属性设定有效值。在状态S3中，OLT可在从ONU接收到例如使用约三的值向OLT指示ONU认证状态属性值已改变为状态S3的AVC消息后，即刻读取主会话密钥名称属性。等待AVC通知然后读取主会话密钥名称属性可允许OLT保证ONU经同步，且准备好在TC层PLOAM功能内利用新的密钥。
方框450处的认证失败状态S4可由ONU认证状态属性使用约四的值来指示。在状态S4期间，ONU和/或OLT可放弃目前的认证尝试。认证失败状态S4可表示认证程序已出于一些原因而失败，例如，由于PSK不匹配。ONU可在预定时期(T2)已逝去后，例如在约一秒后从状态S4转变到状态S0。
状态S5可由ONU认证状态属性使用约五的值来指示。在状态S5期间(方框460)，ONU和/或OLT可放弃目前的认证尝试。状态S5可表示认证程序已开始但无法完成，例如，归因于通信错误，例如，连接的丢失。ONU可在预定时期(T3)已逝去后，例如在约一秒后从状态S5转变到状态S0。
在一实施例中，OLT可经配置以与例如PLOAM处的TC层同步，且实现例如G.984系统中的其它安全考虑。当ONU处于经认证的状态时，ONU可使用其主会话密钥来加密在encryption_key PLOAM消息中发射的密钥。主会话密钥名称属性可被界定为：
MasterSessionKey＝SelectedHashFunction(PSK，(OLT random_challenge|ONUrandom challenge))，
其中SelectedHashFunction()为由ONU在来自由OLT供应的列表的ONU选定的密码能力属性中选出的散列函数。
在一些情况下，可在ECB模式中使用AES-128密钥来实施对加密密钥的加密。由于加密密钥PLOAM消息中所携带的加密密钥可能无法避免伪造，所以可能存在密钥可被攻击者伪造或重放的可能性。可使用密钥同步机制来检测经伪造和重放的密钥。然而，重放攻击可迫使OLT使用较旧的加密密钥，其违反了下游数据加密的安全要求。因此，经设计以抵制重放攻击的OLT可确保ONU不在认证循环间发送先前使用的加密密钥。
上文所描述的网络组件可实施于任何通用网络组件上，例如具有充分的处理能力、存储器资源和网络吞吐量能力以处理置于其上的必要工作负荷的计算机或网络组件。图5说明适合于实施本文中所揭示的组件的一个或一个以上实施例的典型的通用网络组件500。网络组件500包含处理器502(其可被称作中央处理单元或CPU)，处理器502与存储器装置通信，存储器装置包含次要存储装置504、只读存储器(ROM)506、随机存取存储器(RAM)508、输入/输出(I/O)装置510，和网络连接性装置512。处理器502可实施为一个或一个以上CPU芯片，或可为一个或一个以上专用集成电路(ASIC)的一部分。
次要存储装置504通常由一个或一个以上磁盘驱动器或磁带驱动器组成，且用于数据的非易失性存储，且在RAM 508的大小不足以保持所有工作数据的情况下用作溢出数据存储装置。次要存储装置504可用于存储程序，当选择此些程序来执行时，将所述程序加载到RAM 508中。ROM 506用于存储在程序执行期间读取的指令以及可能的数据。ROM 506为非易失性存储器装置，相对于次要存储装置504的较大存储器容量，其通常具有较小的存储器容量。RAM 508用于存储易失性数据且可能用于存储指令。对ROM 506和RAM 508两者的存取通常比对次要存储装置504的存取快。
揭示至少一个实施例，且所属领域的技术人员对所述实施例和/或所述实施例的特征作出的变化、组合和/或修改在本发明的范围内。因组合、整合和/或省略所述实施例的特征而产生的替代实施例也在本发明的范围内。在明确规定数值范围或限制的情况下，应将此些表达范围或限制理解为包含属于明确规定的范围或限制内的类似量值的重复范围或限制(例如，从约1到约10包含2、3、4等；大于0.10包含0.11、0.12、0.13等)。举例来说，每当揭示具有下限Rl和上限Ru的数值范围时，具体是揭示属于所述范围的任何数字。具体来说，具体揭示处于所述范围内的以下数字：R＝Rl+k*(Ru-Rl)，其中k是范围从百分之1到百分之100的变量，且增量为百分之1，即，k为百分之1、百分之2、百分之3、百分之4、百分之5，…，百分之50、百分之51、百分之52，…，百分之95、百分之96、百分之97、百分之98、百分之99，或百分之100。此外，还具体揭示由如上文所定义的两个R数字定义的任何数值范围。相对于权利要求的任一元素使用术语“任选地”意味着所述元素是需要的，或者所述元素是不需要的，两种替代方案均在所述权利要求的范围内。使用例如包括、包含和具有等较广术语应被理解为提供对例如由……组成、基本上由……组成以及实质上由……组成等较窄术语的支持。因此，保护范围不受上文所陈述的描述限制，而是由所附权利要求书界定，所述范围包含所附权利要求书的标的物的所有均等物。每一和每个权利要求作为进一步揭示内容并入说明书中，且所附权利要求书是本发明的实施例。所述揭示内容中的参考的论述并不是承认其为现有技术，尤其是具有在本申请案的在先申请优先权日期之后的公开日期的任何参考。本发明中所引用的所有专利、专利申请案和公开案的揭示内容特此以引入的方式并入本文中，其提供补充本发明的示范性、程序性或其它细节。
虽然本发明中已提供若干实施例，但应理解，在不脱离本发明的精神或范围的情况下，所揭示的系统和方法可以许多其它特定形式来体现。本发明的实例应被视为说明性的而非限制性的，且本发明不限于本文所给出的细节。举例来说，各种元件或组件可在另一系统中组合或集成，或某些特征可被省略或不实施。
另外，在不脱离本发明的范围的情况下，各种实施例中描述和说明为离散或单独的技术、系统、子系统和方法可与其它系统、模块、技术或方法组合或整合。展示或论述为彼此耦合或直接耦合或通信的其它项目也可以电方式、机械方式或其它方式通过某一接口、装置或中间组件间接地耦合或通信。改变、替代和更改的其它实例可由所属领域的技术人员确定，且可在不脱离本文所揭示的精神和范围的情况下作出。

Claims (20)

1.一种网络组件，其包括：
至少一个处理器，其耦合到存储器且经配置以：
经由光网络单元(ONU)管理控制接口(OMCI)信道使用ONU中的管理实体(ME)中的多个属性来交换安全信息，
其中所述ME支持保护所述ONU与光线路终端(OLT)之间的上游发射的多个安全功能，且其中所述属性为所述ONU和所述OLT提供安全特征。
2.根据权利要求1所述的设备，其中所述安全功能包括安全能力发现功能、ONU认证功能、OLT认证功能，和密钥保密功能。
3.根据权利要求2所述的设备，其中所述安全能力发现功能向所述OLT指示安全功能的存在和由所述ONU支持的多个算法，且其中所述安全能力发现功能允许所述OLT选择激活所述安全算法中的哪一者。
4.根据权利要求2所述的设备，其中所述ONU认证功能允许所述OLT将随机数发送到所述ME，并从所述ME获得所述随机数和在所述ONU与所述OLT之间的相互共享秘密的散列组合，且其中所述OLT将所述散列组合与所计算出的值进行比较以认证所述ONU。
5.根据权利要求2所述的设备，其中所述OLT认证功能允许所述OLT从所述ME获得随机数，并将所述随机数和在所述ONU与所述OLT之间的相互共享秘密的散列组合发送到所述ME，且其中所述ONU将所述散列组合与所计算出的值进行比较以认证所述OLT。
6.根据权利要求2所述的设备，其中所述密钥保密功能允许所述OLT将公共密钥发送到所述ME，其中所述ONU使用所述公共密钥来加密高级加密标准(AES)密钥以获得私用密钥，且随后经由物理层运行管理维护(PLOAM)信道将所述私用密钥发送到所述OLT，且其中所述OLT从所述私用密钥解密所述AES密钥。
7.一种设备，其包括：
光网络单元(ONU)，其经配置以耦合到光线路终端(OLT)且包括ONU管理控制接口(OMCI)管理实体(ME)，
其中所述OMCI ME包括支持用于所述ONU与所述OLT之间的上游发射的多个安全特征的多个属性，且
其中所述属性经由所述ONU与所述OLT之间的OMCI信道进行传送，且为所述ONU和所述OLT提供所述安全特征。
8.根据权利要求7所述的设备，其中所述属性包括识别所述ME的实例的约两个字节的ME识别符(ID)属性。
9.根据权利要求7所述的设备，其中所述属性由所述OLT写入，且包括：
OLT密码能力属性，其指定所述OLT处可用的密码机制，且包括约16个字节的位图，其中位位置一对应于AES-CMAC-128算法，位位置二对应于HMAC-SHA-256算法，位位置三对应于HMAC-SHA-512算法，且位位置四到128经保留；
OLT随机挑战表格属性，其指定由所述OLT发布的随机挑战且包括约17个字节的条目；以及
OLT挑战状态属性是约一个字节的布尔属性，其报告所述OLT密码能力属性和所述OLT随机挑战表格属性的状态。
10.根据权利要求7所述的设备，其中所述属性进一步包括：
OLT认证结果表格属性，其指定由所述OLT进行的认证计算的结果且包括约17个字节的条目；以及
OLT结果状态属性是约一个字节的布尔属性，其报告所述OLT认证结果表格属性的状态。
11.根据权利要求7所述的设备，其中所述属性由所述ONU设定，且包括：
ONU密码能力属性，其包括约一个字节且指定由所述ONU通过在所述OLT密码能力属性中指定被设定为约一的位位置而选出的密码能力。
ONU随机挑战表格属性，其指定由所述ONU发布的随机挑战且包括约16个字节的条目；以及
ONU认证结果表格属性，其包括由所述ONU根据所述ONU选定的密码能力属性进行的认证计算的结果，且包括响应于所述OLT挑战状态属性而产生的约16个字节的条目。
12.根据权利要求7所述的设备，其中所述属性包括由所述ONU设定的ONU认证状态属性，其指示所述ONU的立场的认证关系的状态，且包括：
约零的值，其表示在认证程序不活动时的非活动状态S0；
约一的值，其表示在所述认证程序未完成时的OLT挑战待决状态S1；
约二的值，其表示在所述认证程序未完成时的ONU挑战待决状态S2；
约三的值，其表示在所述认证程序完成且所述ONU已认证所述OLT时的认证成功状态S3；
约四的值，其表示在所述认证程序完成且所述ONU未认证所述OLT时的认证失败状态S4；以及
约五的值，其表示在所述认证程序无法完成时的错误状态S5。
13.根据权利要求7所述的设备，其中所述属性包括由所述ONU设定的主会话密钥名称属性，且包括由选定的散列函数界定的会话密钥的名称，且包括约16个字节。
14.根据权利要求7所述的设备，其中所述属性包括：
广播密钥表格属性，其由所述OLT产生且包括约18个字节的行，
其中所述行包括约一个字节的行控制、约一个字节的行识别符，和约一个字节的密钥分片，
其中所述行控制包括约两个最低有效位，所述约两个最低有效位被设定为00以设定指定行，被设定为约01以清除所述指定行，被设定为10以清除整个表格，或被设定为约11以指示保留条目，
其中所述行识别符包括：约两个最高有效位，其表示出现于经加密的多播千兆比特无源光网络封装方法(GEM)帧的标头中的密钥索引；约四个最低有效位，其识别密钥分片编号；以及约两个位，其经保留，且其中所述密钥分片指定密钥的分片。
15.根据权利要求7所述的设备，其中所述属性包括指定最大有效长度的约两个字节的有效密钥长度属性。
16.一种方法，其包括：
使用ONU管理控制接口(OMCI)信道与光网络单元(ONU)交换多个安全属性，进而为来自所述ONU的上游通信提供多个安全特征，
其中在不修改光线路终端(OLT)与所述ONU之间的物理层运行管理维护(PLOAM)信道的情况下交换所述属性。
17.根据权利要求16所述的方法，其进一步包括：
在所述ONU处设定多个OLT密码能力和OLT随机挑战表格；
在所述ONU处将OLT挑战状态设定为真；
从所述ONU接收ONU随机挑战表格和ONU认证结果表格；
从所述ONU取得多个ONU选定的密码能力、ONU随机挑战表格和ONU认证结果表格；
在所述ONU处设定OLT认证结果表格；
在所述ONU处将OLT结果状态设定为真；
从所述ONU接收ONU认证状态；以及
从所述ONU取得主会话密钥名称。
18.根据权利要求16所述的方法，其中通过状态机来跟踪ONU认证状态，所述ONU认证状态包括：
非活动状态S0；
OLT挑战待决状态S1；
ONU挑战待决状态S2；以及
认证成功状态S3、认证失败状态S4，或认证错误状态S5，
其中ONU挑战待决定时器T1用于通过限制所述ONU挑战待决状态S2的时间而中止不成功的OLT认证尝试，其中认证失败定时器T2用于通过限制所述认证失败状态S4的时间而确定主会话密钥条件的不匹配，且其中认证错误定时器T3用于通过限制所述认证错误状态S5的时间而确定认证条件的失败。
19.根据权利要求16所述的方法，其进一步包括使用取得和设定消息执行三步骤基于散列的认证序列，所述取得和设定消息包括：
消息1：(Peer 1→peer 2)my_cryptographic_capabilities|random_challenge_1；
消息2：(Peer 2→peer 1)selected_cryptographic_capabilities|random_challenege_2|MsgHash(PSK，(selected_cryptographic_capabilities|random_challenege_1|random_challenge_2，peer_1_identity))；以及
消息3：(Peer 1→peer 2)MsgHash(PSK，(selected_cryptographic_capabilities|random_challenge_2|random_challenege_1|peer_2_identity))，
其中MsgHash()是消息的经加密的散列函数，PSK是仅会话的对等体知道的预共享的密钥，peer_1_identity等于0x0000000000000000，|是级联，且peer_2_identity是ONU的序号。
20.根据权利要求16所述的方法，其中在所述OUN处于认证状态时，所述ONU使用主会话密钥来加密在encryption_key PLOAM消息中发射的密钥，其中所述主会话密钥被界定为MasterSessionKey＝SelectedHashFunction(PSK，(OLT random_challenge|ONU random challenge))，且其中SelectedHashFunction()为由所述ONU在来自由所述OLT供应的列表的ONU选定的密码能力属性中选出的散列函数。
CN201080028318.0A 2009-07-31 2010-07-31 基于光网络终端管理控制接口的无源光网络安全性增强 Active CN102656838B (zh)

Applications Claiming Priority (5)

Application Number Priority Date Filing Date Title
US23052009P 2009-07-31 2009-07-31
US61/230,520 2009-07-31
US12/844,173 2010-07-27
US12/844,173 US8850197B2 (en) 2009-07-31 2010-07-27 Optical network terminal management control interface-based passive optical network security enhancement
PCT/CN2010/075618 WO2011012092A1 (en) 2009-07-31 2010-07-31 Optical network terminal management control interface-based passive optical network security enhancement

Publications (2)

Publication Number Publication Date
CN102656838A true CN102656838A (zh) 2012-09-05
CN102656838B CN102656838B (zh) 2015-06-17

Family

ID=43528092

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201080028318.0A Active CN102656838B (zh) 2009-07-31 2010-07-31 基于光网络终端管理控制接口的无源光网络安全性增强

Country Status (14)

Country Link
US (3) US8850197B2 (zh)
EP (3) EP2449718B1 (zh)
JP (1) JP5366108B2 (zh)
KR (1) KR101370272B1 (zh)
CN (1) CN102656838B (zh)
AU (1) AU2010278478B2 (zh)
BR (1) BR112012008062B8 (zh)
CA (1) CA2769226C (zh)
ES (2) ES2536784T3 (zh)
MX (1) MX2012001203A (zh)
PL (2) PL2449718T3 (zh)
PT (1) PT2882134T (zh)
RU (1) RU2507691C2 (zh)
WO (1) WO2011012092A1 (zh)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105447380A (zh) * 2014-09-28 2016-03-30 上海贝尔股份有限公司 一种pon网络系统中客户端代码完整性检测方法及装置
CN109039600A (zh) * 2018-07-16 2018-12-18 烽火通信科技股份有限公司 一种无源光网络系统中协商加密算法的方法及系统
CN111526107A (zh) * 2019-02-01 2020-08-11 中国移动通信有限公司研究院 一种网络设备认证方法、装置和存储介质
CN113068086A (zh) * 2020-01-02 2021-07-02 上海诺基亚贝尔股份有限公司 一种用于传输omci消息的方法、装置和系统
CN113395615A (zh) * 2021-06-10 2021-09-14 烽火通信科技股份有限公司 一种消息处理方法、装置、电子设备和可读存储介质
CN118158582A (zh) * 2024-04-30 2024-06-07 新华三技术有限公司 一种报文转发方法及装置

Families Citing this family (37)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8751630B2 (en) * 2008-10-28 2014-06-10 Futurewei Technologies, Inc. Collecting status from a partner management domain
US8850197B2 (en) 2009-07-31 2014-09-30 Futurewei Technologies, Inc. Optical network terminal management control interface-based passive optical network security enhancement
CN102136907A (zh) * 2010-01-25 2011-07-27 中兴通讯股份有限公司 一种无源光网络系统组播业务加密方法和装置
US8422887B2 (en) * 2010-01-31 2013-04-16 Pmc Sierra Ltd System for redundancy in Ethernet passive optical networks (EPONs)
US9185555B2 (en) * 2010-04-22 2015-11-10 Futurewei Technologies, Inc. Method for authentication of a wireless backup system for an optical network unit
KR20120073869A (ko) * 2010-12-27 2012-07-05 한국전자통신연구원 Ｐｏｎ 시스템에서 ｏａｍ 메시지 전송 방법 및 에러 처리 방법
CN102395056B (zh) * 2011-06-29 2017-09-26 中兴通讯股份有限公司 虚拟局域网模式的配置方法、系统
CN102571350B (zh) * 2011-12-30 2018-04-10 中兴通讯股份有限公司 光网络单元认证方法及装置
US8909929B2 (en) * 2012-05-31 2014-12-09 Atmel Corporation Stored public key validity registers for cryptographic devices and systems
US9756036B2 (en) * 2012-06-15 2017-09-05 Nokia Technologies Oy Mechanisms for certificate revocation status verification on constrained devices
EP2865109B1 (en) * 2012-06-20 2018-06-06 Telefonaktiebolaget LM Ericsson (publ) Devices and methods for flow control of messages in an passive optical network (pon) and methods therein
CN103067204B (zh) * 2012-12-25 2017-08-04 上海斐讯数据通信技术有限公司 一种从应用层访问omci实体的方法
US9535680B2 (en) 2013-03-12 2017-01-03 Broadcom Corporation Flashless optical network unit
TWI504176B (zh) 2013-06-14 2015-10-11 Univ Nat Chiao Tung 分波多工光纖網路系統
MY184439A (en) * 2013-08-22 2021-04-01 Huawei Tech Co Ltd Terminal authentication method, apparatus, and system in passive optical network
CN104937862B (zh) 2013-12-13 2017-06-06 华为技术有限公司 一种光线路终端、通信方法及无源光网络系统
US9768905B2 (en) 2014-06-25 2017-09-19 Futurewei Technologies, Inc. Optical line terminal (OLT) support of optical network unit (ONU) calibration
CN105471603B (zh) * 2014-08-19 2020-12-11 中兴通讯股份有限公司 一种远程配置光网络单元ptp业务的方法、装置和系统
CN104394042B (zh) * 2014-12-17 2018-01-02 上海斐讯数据通信技术有限公司 一种mib测试onu系统升级的方法
US20230319019A1 (en) * 2015-10-28 2023-10-05 Qomplx, Inc. Detecting and mitigating forged authentication attacks using an advanced cyber decision platform
US10063312B2 (en) * 2016-06-21 2018-08-28 Futurewei Technologies, Inc. Optical network unit reset message
US10210317B2 (en) * 2016-08-15 2019-02-19 International Business Machines Corporation Multiple-point cognitive identity challenge system
JP6841120B2 (ja) * 2017-03-29 2021-03-10 沖電気工業株式会社 加入者側終端装置、局側終端装置、通信システム、加入者側終端装置のプログラムおよび局側終端装置のプログラム
BR112019020749A2 (pt) * 2017-04-03 2020-04-28 Listat Ltd. método de transmissão de pacotes de dados de um dispositivo cliente para a nuvem.
CN109246119B (zh) * 2018-09-28 2021-09-14 四川天邑康和通信股份有限公司 一种具有认证信息自动修改功能的pon系统
CN112232817B (zh) * 2018-10-25 2024-12-27 蚂蚁链技术有限公司 基于区块链的交易处理方法及装置、电子设备
CN112769547A (zh) * 2019-11-05 2021-05-07 成都鼎桥通信技术有限公司 密钥分片传输方法和装置、及对应的接收方法和装置
CN111786773B (zh) * 2020-06-24 2022-10-18 重庆邮电大学 一种基于md5校验和aes加密的twdm-pon系统物理层安全方法
US11184085B1 (en) * 2020-09-03 2021-11-23 Mellanox Technologies, Ltd. Electro-optical interconnect assembly with integral tampering protection
CN114302264B (zh) * 2020-09-22 2025-12-05 华为技术有限公司 一种无源光网络中的安全通信方法和装置
CN114765706A (zh) * 2021-01-15 2022-07-19 上海诺基亚贝尔股份有限公司 用于从OLT触发vOMCI功能发送OMCI消息的方法和装置
US20220277102A1 (en) * 2021-02-28 2022-09-01 John JungKyun Kim Process using one-way hashing function for secure collection, presentation and storage of PII
WO2022231618A1 (en) * 2021-04-30 2022-11-03 Hewlett-Packard Development Company, L.P. Protection of computing device from potential optical network intrusion attack
CN115277458B (zh) * 2021-04-30 2023-11-17 阿里巴巴新加坡控股有限公司 服务提供方法、设备及存储介质
TWI757192B (zh) * 2021-05-27 2022-03-01 瑞昱半導體股份有限公司 光網路單元及控制光網路單元與光連結終端進行連線的方法
CN113923544B (zh) * 2021-09-28 2023-05-12 烽火通信科技股份有限公司 标准及私有omci业务模型onu的管理方法及系统
CN114302269B (zh) * 2021-12-17 2024-04-09 博为科技有限公司 Onu接入方法、装置、存储介质及电子设备

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20060129814A1 (en) * 2004-12-10 2006-06-15 Eun Jee S Authentication method for link protection in Ethernet Passive Optical Network
CN1968089A (zh) * 2006-09-29 2007-05-23 华为技术有限公司 一种无源光网络的用户认证方法
CN101064719A (zh) * 2006-04-27 2007-10-31 华为技术有限公司 Pon系统中加密算法协商方法
CN101361399A (zh) * 2006-08-11 2009-02-04 华为技术有限公司 光网络终端管理和控制接口

Family Cites Families (19)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7301968B2 (en) * 2001-03-02 2007-11-27 Pmc-Sierra Israel Ltd. Communication protocol for passive optical network topologies
NO319065B1 (no) 2002-10-11 2005-06-13 Telenor Asa Apen aksessnettverks-arkitektur
KR100547724B1 (ko) 2003-08-26 2006-01-31 삼성전자주식회사 데이터를 안정적으로 전송할 수 있는 기가비트 이더넷기반의 수동 광가입자망 및 이를 이용한 데이터 암호화 방법
FI20031429A0 (fi) * 2003-10-02 2003-10-02 Nokia Corp Varma upstream -tiedonsiirto passiivisessa optisissa verkoissa
US20060228113A1 (en) * 2003-12-01 2006-10-12 Siemens Aktiengesellschaft Passive optical network unit management and control interface support for a digital subscriber line network
KR100715679B1 (ko) * 2005-12-05 2007-05-09 한국전자통신연구원 인증 암호화를 통해 보안 전송을 가능하게 하는 ｇｐｏｎ시스템 및 그 인증 암호화 방법
US8086872B2 (en) 2005-12-08 2011-12-27 Electronics And Telecommunications Research Institute Method for setting security channel based on MPCP between OLT and ONUs in EPON, and MPCP message structure for controlling frame transmission
EP1978654B1 (en) 2006-01-18 2014-01-08 Huawei Technologies Co., Ltd. A method for mapping the service stream to the service transmission channel, system and optical network terminator thereof
US20070274720A1 (en) * 2006-05-25 2007-11-29 Menasco Heyward E Jr Optical Network Unit Activation
JP4753254B2 (ja) * 2006-08-08 2011-08-24 日本電信電話株式会社 暗号化通信システム、ならびに暗号化手段を備えたｏｌｔおよびｏｎｕ
CN101247258B (zh) 2007-02-12 2011-02-09 华为技术有限公司 一种业务发放方法及系统
CN101247220B (zh) 2008-03-14 2011-03-02 中兴通讯股份有限公司 一种无源光网络系统密钥交换的方法
CN101252522B (zh) 2008-04-02 2012-07-04 中兴通讯股份有限公司 介质访问控制地址过滤配置的方法及系统
CN101252500B (zh) 2008-04-16 2012-08-08 杭州华三通信技术有限公司 任意拓扑相交环网的实现方法、节点和相交环网
JP5276935B2 (ja) * 2008-09-12 2013-08-28 株式会社日立製作所 受動光網システムおよびその障害特定方法
KR100982017B1 (ko) * 2008-10-02 2010-09-14 한국전자통신연구원 기가비트 수동형 광 통신망 장치에서 동일한 시리얼 넘버를가진 비 정상적인 광 가입자장치의 차단방법
EP2351311B1 (en) * 2008-11-03 2015-07-01 Telecom Italia S.p.A. Method for increasing security in a passive optical network
JP5269641B2 (ja) * 2009-02-23 2013-08-21 富士通テレコムネットワークス株式会社 ユーザ認証システムおよびユーザ認証方法
US8850197B2 (en) 2009-07-31 2014-09-30 Futurewei Technologies, Inc. Optical network terminal management control interface-based passive optical network security enhancement

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20060129814A1 (en) * 2004-12-10 2006-06-15 Eun Jee S Authentication method for link protection in Ethernet Passive Optical Network
CN101064719A (zh) * 2006-04-27 2007-10-31 华为技术有限公司 Pon系统中加密算法协商方法
CN101361399A (zh) * 2006-08-11 2009-02-04 华为技术有限公司 光网络终端管理和控制接口
CN1968089A (zh) * 2006-09-29 2007-05-23 华为技术有限公司 一种无源光网络的用户认证方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
ITU-T: "Gigabit-capable passive optical networks (G-PON):ONT management and control interface specification；G.984.4 (2008) Amendment 2", 《G.984（2008） AMENDMENT 2 11/2009》 *

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN105447380A (zh) * 2014-09-28 2016-03-30 上海贝尔股份有限公司 一种pon网络系统中客户端代码完整性检测方法及装置
CN109039600A (zh) * 2018-07-16 2018-12-18 烽火通信科技股份有限公司 一种无源光网络系统中协商加密算法的方法及系统
CN109039600B (zh) * 2018-07-16 2020-01-07 烽火通信科技股份有限公司 一种无源光网络系统中协商加密算法的方法及系统
WO2020015338A1 (zh) * 2018-07-16 2020-01-23 烽火通信科技股份有限公司 一种无源光网络系统中协商加密算法的方法及系统
CN111526107A (zh) * 2019-02-01 2020-08-11 中国移动通信有限公司研究院 一种网络设备认证方法、装置和存储介质
CN111526107B (zh) * 2019-02-01 2022-07-19 中国移动通信有限公司研究院 一种网络设备认证方法、装置和存储介质
CN113068086A (zh) * 2020-01-02 2021-07-02 上海诺基亚贝尔股份有限公司 一种用于传输omci消息的方法、装置和系统
CN113068086B (zh) * 2020-01-02 2023-04-18 上海诺基亚贝尔股份有限公司 一种用于传输omci消息的方法、装置和系统
CN113395615A (zh) * 2021-06-10 2021-09-14 烽火通信科技股份有限公司 一种消息处理方法、装置、电子设备和可读存储介质
CN118158582A (zh) * 2024-04-30 2024-06-07 新华三技术有限公司 一种报文转发方法及装置

Also Published As

Publication number Publication date
EP2882134A1 (en) 2015-06-10
US9032209B2 (en) 2015-05-12
CA2769226C (en) 2015-11-24
CA2769226A1 (en) 2011-02-03
KR101370272B1 (ko) 2014-03-25
RU2507691C2 (ru) 2014-02-20
US8850197B2 (en) 2014-09-30
US20120128155A1 (en) 2012-05-24
JP2013501389A (ja) 2013-01-10
EP2882134B1 (en) 2016-09-21
PL2882134T3 (pl) 2017-04-28
JP5366108B2 (ja) 2013-12-11
US20140052991A1 (en) 2014-02-20
WO2011012092A1 (en) 2011-02-03
BR112012008062B8 (pt) 2024-02-27
BR112012008062B1 (pt) 2021-04-20
AU2010278478B2 (en) 2014-02-27
US8442229B2 (en) 2013-05-14
EP3125465B1 (en) 2021-09-01
ES2606959T3 (es) 2017-03-28
KR20120048625A (ko) 2012-05-15
BR112012008062A2 (pt) 2016-03-01
EP2449718A4 (en) 2012-09-05
MX2012001203A (es) 2012-03-26
EP2449718B1 (en) 2015-02-25
US20110029773A1 (en) 2011-02-03
RU2012107414A (ru) 2013-09-10
PL2449718T3 (pl) 2015-07-31
EP2449718A1 (en) 2012-05-09
PT2882134T (pt) 2016-12-06
EP3125465A1 (en) 2017-02-01
AU2010278478A1 (en) 2012-03-01
CN102656838B (zh) 2015-06-17
ES2536784T3 (es) 2015-05-28

Similar Documents

Publication Publication Date Title
CN102656838B (zh) 基于光网络终端管理控制接口的无源光网络安全性增强
US9838363B2 (en) Authentication and initial key exchange in ethernet passive optical network over coaxial network
CN102246487B (zh) 提高无源光网络中的安全性的方法
CN103200161A (zh) 一种gpon网络中onu身份认证方法
CN100596060C (zh) 一种防止无源光网络系统中光网络单元被仿冒的方法、系统及设备
US20230231728A1 (en) Secure communication method and apparatus in passive optical network
US20250150268A1 (en) Systems and methods for advanced quantum-safe pki credentials for authentications
Hajduczenia et al. On EPON security issues
EP2091176A1 (en) Data communication
US20250184162A1 (en) Secure identifier exchange in an optical network

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant