[發(fā)明專利]一種吉比特無源光網(wǎng)絡加密業(yè)務的保護方法

有效

• 申請?zhí)枺?/td>: 200810055979.7
• 申請日: 2008-01-03
• 公開（公告）號: CN101197663A
• 公開（公告）日: 2008-06-11
• 發(fā)明（設計）人: 夏順東;張偉良
• 申請（專利權）人: 中興通訊股份有限公司
• 主分類號: H04L9/08
• 分類號: H04L9/08;H04L29/06
• 代理公司: 北京匯澤知識產(chǎn)權代理有限公司
• 代理人: 張穎玲

技術領域

本發(fā)明涉及吉比特無源光網(wǎng)絡(GPON，Gigabit?Passive?Optical?Network)領域，特別是一種GPON系統(tǒng)中加密業(yè)務的保護方法。

背景技術

GPON是基于ITU-T?G.984.x標準的新一代寬帶無源光綜合接入技術，系統(tǒng)結構如圖1所示，通常由局側的光線路終端(OLT，Optical?Line?Terminal)、用戶側的光網(wǎng)絡單元(ONU，Optical?Network?Unit)/光網(wǎng)絡終端(ONT，OpticalNetwork?Termination)和光分配網(wǎng)絡(ODN，Optical?Distribution?Network)組成。ODN由單模光纖和光分路器、光連接器等無源光器件組成，為OLT和ONU之間的物理連接提供光傳輸媒質。ODN通常為點到多點結構，即一個OLT連接多個ONU。OLT發(fā)往ONU的數(shù)據(jù)稱為下行數(shù)據(jù)，ONU發(fā)往OLT的數(shù)據(jù)稱為上行數(shù)據(jù)。如圖2所示，每個ONU中有一個Active?Key寄存器和一個ShadowKey寄存器，OLT中包含對應各個ONU的Active?Key寄存器和Shadow?Key寄存器。

GPON系統(tǒng)中，下行數(shù)據(jù)具有廣播特性，惡意用戶可以通過對其掌握的ONU重新編程，從而監(jiān)聽到所有用戶的所有下行數(shù)據(jù)。為此，ITU-T?G.984.3建議使用一種基于先進加密標準(AES，Advanced?Encryption?Standard)的加密技術來加以防范，該加密技術的流程可分為兩個階段：密鑰交換和密鑰切換。

在密鑰交換階段：OLT向ONU發(fā)送密鑰請求消息Request_Key，ONU產(chǎn)生新密鑰并保存到自身的shadow_key寄存器，然后將新密鑰發(fā)給OLT，OLT將密鑰保存到自己的shadow_key寄存器中。

在密鑰切換階段：OLT選擇一個幀號作為開始使用新密鑰的第一幀，并通過密鑰交換時間消息Key_switching_time傳送該幀的復幀編號給ONU。該消息將會發(fā)送三次，ONU僅需要接收其中一個正確的拷貝來獲知更換時間，并且，ONU通過確認消息Acknowledge進行確認響應。在開始使用新密鑰的第一幀的起始位置進行密鑰切換操作，具體的，OLT復制自身shadow_key寄存器的內容到自身的active_key寄存器，ONU復制自身的shadow_key寄存器到自身的active_key寄存器，OLT和ONU開始使用新密鑰對下行數(shù)據(jù)進行加密和解密。

在密鑰切換階段，如果OLT沒有成功收到Acknowledge消息，將會有嚴重后果。在選定幀到來時，由于不確定ONU是否會進行密鑰切換，此時OLT無論是否進行切換，都會存在與ONU實際使用密鑰不同步的可能性，進而造成ONU對下行數(shù)據(jù)解密失敗。目前，在ITU-T?G.984.3中，沒有對此風險加以說明和規(guī)定應對措施。

發(fā)明內容

有鑒于此，本發(fā)明的主要目的在于提供一種吉比特無源光網(wǎng)絡加密業(yè)務的保護方法，能提高GPON系統(tǒng)的安全性，減小OLT和ONU實際使用密鑰不同步的風險。

為達到上述目的，本發(fā)明的技術方案是這樣實現(xiàn)的：

一種吉比特無源光網(wǎng)絡加密業(yè)務的保護方法，該方法包括：

A、OLT向ONU發(fā)送密鑰切換消息之后，根據(jù)ONU對密鑰切換消息的反饋情況確定是否進行密鑰切換；

B、ONU進行密鑰切換之后，根據(jù)幀校驗結果確定是否重新啟用切換前的密鑰。

步驟A之前，該方法還包括設定保護時間，所設定的保護時間大于下行物理層維護管理信元PLOAM消息從OLT傳送到ONU的時間、ONU的響應PLOAM消息時間、以及上行PLOAM消息從ONU傳送到OLT的時間之和。

步驟A中所述OLT確定是否進行密鑰切換進一步包括：

A11、判斷OLT等待ONU的應答時間是否已超過所設定的保護時間，如果是，則保持當前使用的密鑰對下行數(shù)據(jù)加密，結束當前處理流程；否則執(zhí)行步驟A12；

A12、判斷是否收到ONU發(fā)來的ACK消息，如果收到，則執(zhí)行步驟A13，否則執(zhí)行步驟A11；

A13、在密鑰切換消息中規(guī)定的幀號到來時，進行密鑰切換，使用新密鑰對下行數(shù)據(jù)加密。

步驟B中所述ONU確定是否使用切換前的密鑰進一步包括：

B21、若ATM信元頭或GEM幀頭校驗正確，則進入步驟B22，否則，保持使用密鑰切換后的新密鑰對下行數(shù)據(jù)進行解密，結束當前處理流程；