BR112012008062B1 - aparelho e método para fornecer segurança melhorada em sistema de rede óptica passivo - Google Patents
aparelho e método para fornecer segurança melhorada em sistema de rede óptica passivo Download PDFInfo
- Publication number
- BR112012008062B1 BR112012008062B1 BR112012008062-8A BR112012008062A BR112012008062B1 BR 112012008062 B1 BR112012008062 B1 BR 112012008062B1 BR 112012008062 A BR112012008062 A BR 112012008062A BR 112012008062 B1 BR112012008062 B1 BR 112012008062B1
- Authority
- BR
- Brazil
- Prior art keywords
- olt
- onu
- attribute
- authentication
- authentication response
- Prior art date
Links
- 238000000034 method Methods 0.000 title claims abstract description 52
- 230000003287 optical effect Effects 0.000 title claims abstract description 29
- 230000006870 function Effects 0.000 claims abstract description 93
- 230000005540 biological transmission Effects 0.000 claims abstract description 21
- 238000011144 upstream manufacturing Methods 0.000 claims abstract description 18
- 230000004044 response Effects 0.000 claims description 68
- 238000004891 communication Methods 0.000 claims description 5
- 230000009471 action Effects 0.000 description 23
- 230000008569 process Effects 0.000 description 17
- 238000007726 management method Methods 0.000 description 9
- 230000007704 transition Effects 0.000 description 9
- 230000007246 mechanism Effects 0.000 description 7
- 238000012545 processing Methods 0.000 description 7
- 238000010586 diagram Methods 0.000 description 5
- 239000012634 fragment Substances 0.000 description 5
- 230000008859 change Effects 0.000 description 3
- 238000012790 confirmation Methods 0.000 description 3
- 239000000835 fiber Substances 0.000 description 3
- 230000006872 improvement Effects 0.000 description 3
- 230000001360 synchronised effect Effects 0.000 description 3
- 238000005538 encapsulation Methods 0.000 description 2
- 238000012986 modification Methods 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 238000012797 qualification Methods 0.000 description 2
- 241000234435 Lilium Species 0.000 description 1
- 230000004075 alteration Effects 0.000 description 1
- 238000013475 authorization Methods 0.000 description 1
- 230000006399 behavior Effects 0.000 description 1
- 238000004364 calculation method Methods 0.000 description 1
- 238000013500 data storage Methods 0.000 description 1
- 230000000694 effects Effects 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
- 238000001914 filtration Methods 0.000 description 1
- 230000010365 information processing Effects 0.000 description 1
- 230000000977 initiatory effect Effects 0.000 description 1
- 238000009434 installation Methods 0.000 description 1
- 230000008520 organization Effects 0.000 description 1
- 238000006467 substitution reaction Methods 0.000 description 1
- 238000012546 transfer Methods 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04B—TRANSMISSION
- H04B10/00—Transmission systems employing electromagnetic waves other than radio-waves, e.g. infrared, visible or ultraviolet light, or employing corpuscular radiation, e.g. quantum communication
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
- H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
- H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/16—Implementing security features at a particular protocol layer
- H04L63/162—Implementing security features at a particular protocol layer at the data link layer
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
- H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
- H04L9/0822—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using key encryption key
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3271—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using challenge-response
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04Q—SELECTING
- H04Q11/00—Selecting arrangements for multiplex systems
- H04Q11/0001—Selecting arrangements for multiplex systems using optical switching
- H04Q11/0062—Network aspects
- H04Q11/0067—Provisions for optical access or distribution networks, e.g. Gigabit Ethernet Passive Optical Network (GE-PON), ATM-based Passive Optical Network (A-PON), PON-Ring
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04Q—SELECTING
- H04Q11/00—Selecting arrangements for multiplex systems
- H04Q11/0001—Selecting arrangements for multiplex systems using optical switching
- H04Q11/0062—Network aspects
- H04Q2011/0079—Operation or maintenance aspects
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04Q—SELECTING
- H04Q11/00—Selecting arrangements for multiplex systems
- H04Q11/0001—Selecting arrangements for multiplex systems using optical switching
- H04Q11/0062—Network aspects
- H04Q2011/0088—Signalling aspects
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Hardware Design (AREA)
- Physics & Mathematics (AREA)
- Electromagnetism (AREA)
- Theoretical Computer Science (AREA)
- Small-Scale Networks (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Computer And Data Communications (AREA)
- Mobile Radio Communication Systems (AREA)
Abstract
COMPONENTE DE REDE, APARELHO E MÉTODO. Um componente de rede (500) compreendendo pelo menos um processador (502) acoplado a uma memória e configurado para trocar informação de segurança usando uma pluralidade de atributos (220) em uma entidade de gerenciamento (ME) em uma unidade de rede óptica (ONU) (120, 200) por meio de um canal de interface de controle de gerenciamento da ONU (OMCI), em que a ME suporto uma pluralidade de funções de segurança que protegem as transmissões a montante entre a ONU (120, 200) e um terminal de linha óptica (OLT) (110). Também incluso é um aparelho compreendendo uma ONU (120, 200) configurada para acoplar a um OLT (110) e compreendendo uma ME de OMCI, em que a ME de OMCI compreendo uma pluralidade de atributos (220) que suportam uma pluralidade de características de segurança para transmissões a montante entre a ONU (120, 200) e o OLT (110), e em que os atributos (220) são comunicados por meio de um canal de OMCI entre a ONU (120, 200) e o OLT (110) e fornecem as características de segurança para a ONU (120, 200) e o OLT (110).
Description
[0001] O presente pedido de patente reivindica prioridade para o Pedido de Patente Provisório US 61/230.520, depositado em 31 de julho de 2009, e Pedido de Patente Não-provisório US US12/844173, depositado em 27 de julho de 2009, que são aqui incorporados por referência como se reproduzidos em sua totalidade.
[0002] Uma rede óptica passiva (PON) é um sistema para for necer acesso de rede na "última milha". A PON é uma rede de ponto a ponto compreendida de um terminal de linha óptica (OLT) no escritório central, uma rede de distribuição óptica (ODN), e uma pluralidade de unidades de rede ópticas (ONUs) às premissas do cliente. Transmissões de dados a jusante são difundidas para todas as ONUs, enquanto transmissões de dados a montante são transmitidas para o OLT usando acesso múltiplo por divisão de tempo (TDMA) ou acesso múltiplo por divisão de onda (WDMA). Sistemas de PON, tais como PONs de Gigabit (GPONs), podem suportar algumas características de segurança para proteger os dados de usuário, por exemplo, para a difusão a jusante. Por exemplo, as transmissões difundidas do OLT para a ONU podem ser criptografadas.
[0003] Em uma modalidade, a revelação inclui um componente de rede que compreende pelo menos um processador acoplado a uma memória e configurado para trocar informação de segurança usando uma pluralidade de atributos em uma entidade de gerenciamento (ME) em uma ONU por meio de um canal de interface de controle de gerenciamento da ONU (OMCI), em que a ME suporta uma pluralidade de funções de segurança que protegem as transmissões a montante entre a ONU e um OLT.
[0004] Em outra modalidade, a revelação inclui um aparelho que compreende uma ONU configurada para acoplar-se a um OLT e com-preendendo uma ME de OMCI, em que a ME de OMCI compreende uma pluralidade de atributos que suportam uma pluralidade de características de segurança para transmissões a montante entre a ONU e o OLT, e em que os atributos são comunicados por meio de um canal de OMCI entre a ONU e o OLT e fornecem as características de segurança para a ONU e o OLT.
[0005] Em ainda outra modalidade, a revelação inclui um método compreendendo trocar uma pluralidade de atributos de segurança com uma ONU usando um canal de OMCI, assim fornecendo uma pluralidade de características de segurança para comunicações a montante da ONU, em que os atributos são trocados sem modificar um canal de operação de camada física, administração, e gerenciamento (PLOAM) entre um OLT e a ONU.
[0006] Estas e outras características serão mais claramente en tendidas a partir da descrição detalhada a seguir considerada juntamente com os desenhos em anexo e concretizações.
[0007] Para um entendimento mais completo desta revelação, re ferência é agora feita à breve descrição a seguir, tomada com relação aos desenhos em anexo e à descrição detalhada, em que numerais de referência iguais representam partes iguais. FIG. 1 é um diagrama esquemático de uma modalidade de uma PON. FIG. 2 é um diagrama esquemático de uma modalidade de uma ONU. FIG. 3 é um diagrama de protocolo de uma modalidade de uma sequência de troca de mensagens de autenticação. FIG. 4 é um diagrama esquemático de uma modalidade de uma pluralidade de estados da ONU. FIG. 5 ilustra um diagrama esquemático de uma modalidade de um sistema de computador de propósito geral.
[0008] Deve ser entendido no princípio que embora uma implementação ilustrativa de uma ou mais modalidades sejam fornecidas abaixo, os sistemas e/ou métodos revelados podem ser implementados usando qualquer número de técnicas, quer correntemente conhecidas quer em existência. A revelação não deve ser limitada de maneira alguma às implementações ilustrativas, desenhos, e técnicas ilustrados abaixo, incluindo os projetos e implementações exemplares ilustrados e descritos aqui, mas podem ser modificados dentro do escopo das concretizações em anexo junto com seu escopo total de equivalentes.
[0009] Em sistemas de PON, transmissões difundidas a jusante do OLT para a ONU podem ser suscetíveis a ameaças de segurança, tais como uma 'ameaça de escuta' que pode ser tentada por um usuário com intenção maliciosa. Por exemplo, um usuário não autorizado pode tentar receber canais e/ou espaços de tempo sem autorização do OLT. Para superar tais ameaças de segurança, difusões a jusante são tipicamente criptografadas. Transmissões a montante podem também ser criptografadas. Porém, as transmissões a montante podem ser mais seguras que as transmissões difundidas a jusante uma vez que as ONUs legítimas ou autorizadas não podem receber as transmissões a montante de outras ONUs devido à arquitetura física da PON e à natureza direcional dos sinais ópticos. Portanto, informação privilegiada é tipicamente transmitida a montante das ONUs em formato de texto claro, por exemplo sem criptografia. Porém, métodos de ataque intensificados, tais como fazer ligações clandestinas nos cabos de transmissão ópticos, ainda podem apresentar preocupações de segurança em sistemas de PON. Desse modo, melhorias de segurança para transmissões a jusante e/ou a montante em sistemas de PON podem ser desejadas, por exemplo, para proteger as chaves de criptografia e/ou outra informação de senha.
[00010] Meios para fornecer algumas melhorias de segurança foram propostos previamente, mas tipicamente requerem modificar o canal de PLOAM. Uma vez que o processamento de PLOAM comu- mente acontece na camada física, modificar o canal de PLOAM pode envolver atualizar o hardware em uma pluralidade de componentes de rede, por exemplo na ONU e/ou nos OLTs. O canal de PLOAM pode não ser facilmente modificado por meio de software e pode requerer instalações de campo remotas para atualizar o hardware nos componentes do sistema. Por conseguinte, as melhorias de segurança previ-amente propostas com base em modificar o canal de PLOAM podem não ser práticas ou efetivas no custo.
[00011] Revelados aqui são um método e sistema para fornecer segurança melhorada em sistemas de PON. A segurança pode ser melhorada trocando parâmetros de segurança e dados usando um canal de OMCI que pode ser usado para fornecer uma pluralidade de características de segurança. As características de segurança fornecidas podem compreender descoberta da capacidade de segurança, autenticação da ONU, autenticação do OLT, privacidade da chave, ou combinações dos mesmos. As características de segurança podem ser suportadas comunicando uma pluralidade de atributos correspondentes no canal de OMCI. Os atributos podem ser acrescentados ao canal de OMCI usando um ME de OMCI. As características de segu- rança podem ser fornecidas pela OMCI por meio de implementações de software, e desse modo podem ser extensíveis ou atualizadas sem dificuldade substancial para acomodar as alterações do sistema. Como tal, as características de segurança podem ser fornecidas sem alterações ou modificações substanciais ao canal de PLOAM.
[00012] FIG. 1 ilustra uma modalidade de uma PON 100. A PON 100 pode compreender um OLT 110, uma pluralidade de ONUs 120, e uma ODN 130 que pode ser acoplada ao OLT 110 e às ONUs 120. A PON 100 pode ser uma rede de comunicações que não requeira nenhum componente ativo para distribuir os dados entre o OLT 110 e as ONUs 120. Do contrário, a PON 100 pode usar os componentes ópticos passivos na ODN 130 para distribuir os dados entre o OLT 110 e as ONUs 120. A PON 100 pode ser um sistema de acesso de geração próximo (NGA), tal como uma GPON de dez Gigabits por segundo (Gbps) (ou XGPON) que pode ter uma largura de banda a jusante de cerca de dez Gbps e uma largura de banda a montante de pelo menos cerca de 2,5 Gbps. Outros exemplos de PONs 100 adequados incluem a PON de modo de transferência assíncrono (APON) e a PON de banda larga (BPON) definida pelo padrão International Telecommunications Union Telecommunications Standardization Sector (ITU-T) G.983, a GPON definida pelo padrão ITU-T G.984, a Ethernet PON (EPON) definida pelo padrão Electrical and Electronics Engineers (IEEE) 802.3ah, a 10G-EPON definida pelo padrão IEEE 802.3av, e a PON Multiplexada Por Divisão de Comprimento (WDM) (WPON), todas estas são aqui incorporadas por referência como se reproduzidas em sua totalidade.
[00013] Em uma modalidade, o OLT 110 pode ser qualquer dispositivo que seja configurado para comunicar-se com as ONUs 120 e outra rede (não mostrada). Especificamente, o OLT 110 pode agir como um intermediário entre a outra rede e as ONUs 120. Por exemplo, o OLT 110 pode encaminhar os dados recebidos da rede para as ONUs 120, e encaminhar os dados recebidos das ONUs 120 para outra rede. Embora a configuração específica do OLT 110 possa variar, dependendo do tipo de PON 100, em uma modalidade, o OLT 110 pode compreender um transmissor e um receptor. Quando a outra rede estiver usando um protocolo de rede, tal como Ethernet ou Gestão de Rede Óptica Síncrona (SONET)/Hierarquia Digital Síncrona (SDH), que é diferente do protocolo de PON usado na PON 100, o OLT 110 pode compreender um conversor que converte o protocolo de rede no protocolo de PON. O conversor do OLT 110 pode também converter o protocolo de PON no protocolo de rede. O OLT 110 pode estar tipicamente localizado em uma localização central, tal como um escritório central, mas pode estar localizado em outras localizações também.
[00014] Em uma modalidade, as ONUs 120 podem ser quaisquer dispositivos que sejam configurados para se comunicarem com o OLT 110 e o cliente ou o usuário (não mostrado). Especificamente, as ONUs podem agir como um intermediário entre o OLT 110 e o cliente. Por exemplo, as ONUs 120 podem encaminhar os dados recebidos do OLT 110 para o cliente, e encaminhar os dados recebidos do cliente para o OLT 110. Embora a configuração específica das ONUs 120 possa variar, dependendo do tipo de PON 100, em uma modalidade, as ONUs 120 podem compreender um transmissor óptico configurado para enviar sinais ópticos para o OLT 110 e um receptor óptico configurado para receber sinais ópticos do OLT 110. Adicionalmente, as ONUs 120 podem compreender um conversor que converte o sinal óptico em sinais elétricos para o cliente, tais como sinais no protocolo de Ethernet, e um segundo transmissor e/ou receptor que pode enviar e/ou receber os sinais elétricos em um dispositivo cliente. Em algumas modalidades, as ONUs 120 e os terminais de rede óptica (ONTs) são similares, e desse modo os termos são usados alternadamente aqui.Tipicamente, as ONUs podem estar localizadas em localizações distribuídas, tais como às premissas do cliente, mas podem estar localizadas em outras localizações também.
[00015] Em uma modalidade, a ODN 130 pode ser um sistema de distribuição de dados, que pode compreender cabos de fibra óptica, acopladores, divisores, distribuidores, e/ou outro equipamento. Em uma modalidade, os cabos de fibra óptica, acopladores, divisores, distribuidores, e/ou outro equipamento podem ser componentes ópticos passivos. Especificamente, os cabos de fibra óptica, acopladores, divisores, distribuidores, e/ou outro equipamento podem ser componentes que não requerem potência para distribuir os sinais de dados entre o OLT 110 e as ONUs 120. Alternativamente, a ODN 130 pode compreender um ou uma pluralidade de equipamentos de processamento, tais como amplificadores ópticos. A ODN 130 pode tipicamente estender- se do OLT 110 às ONUs 120 em uma configuração de ramificação como mostrado na FIG. 1, mas pode ser configurada alternativamente em qualquer outra configuração de ponto-para-multipontos.
[00016] Em uma modalidade, as ONUs 120 e/ou o OLT 110 podem se comunicar usando uma OMCI, por exemplo para informação de controle de câmbio na PON 100. Como tal, o OLT pode estabelecer um canal de OMCI para controlar algumas das atividades e/ou operações das ONUs 120. A OMCI pode ser usada para gerenciar uma ou mais camadas de definição de serviço. Especificamente, a OMCI pode modelar o fluxo de dados entre o OLT 110 e as ONUs 120 usando uma base de informação de gerenciamento (MIB) independente do protocolo compreendendo uma pluralidade das MEs. Uma tal configuração é descrita na OMCI para GPON, ITU-T G.984.4 e suas emendas, que são aqui incorporadas por referência como se reproduzidas em sua totalidade. Na OMCI, os pacotes de cliente podem ser mapeados para as portas do Método de Encapsulação de GPON (GEM) usando filtração de Gestão de Redes de Área Local Virtual (VLAN), como descrito em IEEE 802.1p que é aqui incorporada por referência como se reproduzida em sua totalidade.
[00017] A OMCI na ONU pode ser implementada usando software, hardware, ou ambos, onde MEs novas podem ser adicionadas para suportar capacidades adicionais ou novas, por exemplo capacidades que satisfazem as diferentes necessidades do cliente. Cada ME na OMCI pode compreender uma arquitetura de dados que representa um recurso e/ou serviço suportado pela OMCI. Por exemplo, a ME pode descrever o propósito da ME, a relação entre a ME e outras MEs, o(s) atributo(s) da ME, ou combinações das mesmas. A ME pode compreender uma pluralidade de atributos, propriedades, propriedades de atributo, ou combinações dos mesmos. A OMCI pode ser descrita na recomendação de ITU-T G.983.2, intitulada "ONU Management and Control Interface Specification for B-PON," recomendação de ITU-T G.984.4, intitulada "Gigabit-Capable Passive Optical Networks (G- PON): ONU Management and Control Interface Specification," ou recomendação de ITU-T G.988, intitulada "ONU management and control interface (OMCI) specification", todas estas são aqui incorporadas por referência como se reproduzidas em sua totalidade.
[00018] Em uma modalidade, a OMCI pode compreender um ME de Controle de Segurança Intensificada que melhora a segurança nos sistemas de PON. O ME de Controle de Segurança Intensificada pode fornecer características e/ou funções de segurança adicionais que podem compreender uma função de descoberta da capacidade de segurança, uma função de autenticação da ONU, uma função de autenticação do OLT, e uma função de privacidade da chave. A ME de OMCI pode compreender uma pluralidade de atributos, por exemplo tabelas e/ou parâmetros que suportam as funções de segurança tais como aquelas descritas juntamente com a FIG. 2 abaixo. As funções e atri- butos de segurança podem ser usados para fornecer características de segurança para transmissões a montante das ONUs e opcionalmente adicionar segurança para transmissões a jusante do OLT.
[00019] A função de descoberta da capacidade de segurança pode permitir um do OLT ou da ONU a descobrir a existência e/ou disponibilidade de uma ou mais capacidades de segurança do outro componente. A função de descoberta da capacidade de segurança pode também permitir o componente de rede a descobrir um ou mais algoritmos de segurança que suportam uma capacidade de segurança do outro componente. Adicionalmente, a função de capacidade de segurança pode permitir o componente a selecionar quais dos algoritmos de segurança ativar. Em uma modalidade, o OLT pode usar a função de descoberta da capacidade de segurança para informar a ONU, por meio do canal de OMCI, das capacidades e/ou algoritmos de segurança que podem ser fornecidos pelo OLT. As capacidades e/ou algoritmos de segurança podem ser fornecidos à ONU em um ou mais atributos legíveis e/ou graváveis na ONU, por exemplo, na ME de controle da segurança intensificada à ONU. O OLT pode também usar a função de descoberta da capacidade de segurança para receber da ONU por meio do canal de OMCI, as capacidades e/ou algoritmos de segurança suportados pela ONU. As capacidades e/ou algoritmos de segurança podem estar localizados em um ou mais atributos legíveis, por exemplo na ME de controle da segurança intensificada na ONU, e podem indicar a existência de uma capacidade de segurança e/ou definir o nível da ONU de suporte para uma capacidade e/ou algoritmo particulares.
[00020] Adicionalmente, a função de descoberta da capacidade de segurança pode permitir o OLT especificar um ou mais algoritmos de segurança que podem ser usados para fornecer a função de autenticação da ONU, a função de autenticação do OLT, a função de privaci- dade da chave, ou combinações dos mesmos. Em algumas modalidades, uma ou mais destas capacidades/algoritmos da função de segurança podem ser especificados por um administrador em vez do OLT ou da ONU. As capacidades/algoritmos de segurança podem ser especificados como parte da função de descoberta da capacidade de segurança, por exemplo antes de iniciar a função de autenticação da ONU, a função de autenticação do OLT, e/ou a função de privacidade da chave. Alternativamente, as capacidades/algoritmos podem ser especificados como parte de estabelecer as funções de segurança diferentes.
[00021] A função de autenticação da ONU pode permitir o OLT a verificar que a ONU é um usuário autorizado e/ou satisfaz um ou mais critérios de qualificação de segurança. Em uma modalidade, o OLT pode trocar informação para autenticação da ONU com a ONU por meio do canal de OMCI. Por exemplo, o procedimento de autenticação da ONU pode compreender um procedimento de autenticação de desafio-resposta que pode ser estabelecido entre o OLT e a ONU usando o canal de OMCI. O procedimento de autenticação de desafio- resposta pode ser similar ao procedimento de autenticação descrito na publicação de Federal Information Processing Standards (FIPS) No. 180-3, intitulada "Specifications for the Secure Hash Standard", que é aqui incorporado por referência como se reproduzida em sua totalidade. Durante um procedimento de autenticação de desafio-resposta, o OLT pode enviar um desafio na forma de um nonce, por exemplo um número gerado aleatório, para a ONU por meio do canal de OMCI. Subsequentemente, a ONU pode enviar uma resposta que compreende uma combinação em valores hash do nonce e um segredo mutuamente compartilhado para o OLT por meio do canal de OMCI. Por exemplo, o OLT pode escrever o nonce na ME de OMCI da ONU, e depois ler a combinação em valores hash da ME de OMCI. O OLT po- de autenticar a ONU verificando que a combinação em valores hash é substancialmente igual a um valor de autenticação da ONU que pode ser calculado pelo OLT independente da combinação em valores hash. Em algumas modalidades, o OLT pode enviar uma mensagem de confirmação de autenticação da ONU à ONU, por meio do canal de OMCI, após determinar que a combinação em valores hash é substancialmente igual ao valor de autenticação da ONU. A mensagem de confirmação de autenticação da ONU pode indicar que a ONU foi autenticada pelo OLT.
[00022] A função de autenticação do OLT pode permitir a ONU a verificar que o OLT é um OLT legítimo, por exemplo atribuído à ONU e/ou satisfaz um ou mais critérios de qualificação de segurança. Em uma modalidade, a ONU pode trocar informação necessária para autenticação de OLT com o OLT, por meio do canal de OMCI. Por exemplo, a autenticação de OLT pode compreender um procedimento de autenticação de desafio-resposta que pode ser estabelecido entre o OLT e a ONU usando o canal de OMCI. Durante um procedimento de autenticação de desafio-resposta, a ONU pode enviar um desafio na forma de um nonce, para o OLT por meio do canal de OMCI. Em resposta, o OLT pode enviar uma mensagem que contém uma combinação em valores hash do nonce e um segredo mutuamente compartilhado à ONU por meio do canal de OMCI. Por exemplo, o OLT pode ler um nonce da ME de OMCI na ONU, e depois escrever a combinação em valores hash na ME de OMCI. A ONU pode comparar a combinação em valores hash com um valor de autenticação do OLT que é calculado pela ONU para autenticar o OLT. Em algumas modalidades, a ONU pode enviar uma mensagem de confirmação de autenticação do OLT ao OLT por meio do canal de OMCI após confirmar que a combinação em valores hash é substancialmente igual ao valor de au-tenticação do OLT. A combinação em valores hash e o valor de auten- ticação do OLT podem ser calculados independentemente pelo OLT e pela ONU, respectivamente. Ainda, o nonce e a combinação em valores hash usados no procedimento de autenticação do OLT podem ser diferentes que o nonce e a combinação em valores hash usados no procedimento de autenticação da ONU.
[00023] A função de privacidade da chave pode permitir o OLT e a ONU trocar, por meio do canal de OMCI, chaves de criptografia e/ou outro parâmetro ou informação de segurança para estabelecer um protocolo de criptografia para transmissões a montante e/ou a jusante subsequentes. Por exemplo, a função de privacidade da chave pode permitir o OLT a enviar informação de chave à ONU por meio do canal de OMCI. A função de privacidade da chave pode também permitir a ONU a enviar informação de chave ao OLT por meio do canal de OMCI. A informação de chave pode compreender qualquer informação que seja usada para estabelecer um protocolo de criptografia. A informação de chave pode ser associada a um protocolo de chave pública que utiliza um algoritmo de chave assimétrica. Algumas técnicas comuns que podem ser usadas em criptografia de chave pública podem ser descritas no padrão IEEE 1363, intitulado "Standard Specifications For Public-Key Cryptography", que é aqui incorporado por referência como se reproduzido em sua totalidade. Criptografia de chave pública pode compreender um método para criptografar dados usando uma chave pública e dados de descriptografia usando uma chave privada, onde a chave pública pode ser distribuída amplamente e a chave privada pode ser mantida secreta. Em tais casos, a chave privada pode não ser matematicamente derivada da chave pública, e como tal para um atacante que não tem posse da chave pública pode ser impedido de decodificar uma mensagem criptografada. Por exemplo, a função de privacidade da chave pode permitir o OLT a escrever uma chave pública para a OMCI na ONU. A ONU pode depois criptografar uma chave do Padrão de Criptografia Avançada (AES) com a chave pública, e envia a chave criptografada no canal de PLOAM. Subsequentemente, o OLT pode obter a chave criptografada e obter a chave de AES da chave criptografada.
[00024] Em modalidades diferentes, a função de descoberta da capacidade de segurança, a função de autenticação da ONU, a função de autenticação do OLT, e a função de privacidade da chave podem ser consolidadas em uma função de autenticação simples ou executadas simultaneamente. Em algumas modalidades, o OLT pode trocar com a ONU, por meio do canal de OMCI, capacidades criptográficas, informação de autenticação, e/ou informação de chave que pertencem ao OLT e/ou à ONU, por exemplo lendo e/ou escrevendo uma pluralidade de atributos na ME de Controle de Segurança Intensificada. Os atributos podem ser trocados em uma sequência de troca de mensagens de autenticação como descrito abaixo em detalhes.
[00025] FIG. 2 ilustra uma modalidade de uma ONU 200 que pode compreender uma ME de controle da segurança intensificada 210. A ME de Controle de Segurança Intensificada 210 pode compreender uma pluralidade de atributos da ME 220 (por exemplo A1-AN). Estes atributos da ME 220 podem representar estruturas de dados, por exemplo tabelas, parâmetros, e/ou variáveis do sistema que podem compreender dados que descrevem características diferentes da ONU e/ou em uma sequência de troca de mensagens de autenticação. Os atributos da ME 220 podem compreender um atributo de ID da ME, um atributo das capacidades de criptografia do OLT, um atributo da tabela de desafio aleatório do OLT, um atributo dos estados de desafio do OLT, um atributo das capacidades de criptografia selecionadas da ONU, um atributo da tabela de desafio aleatório da ONU, um atributo da tabela de resultado de autenticação da ONU, um atributo da tabela de resultado de autenticação do OLT, um atributo do estado de resul- tado do OLT, um atributo do estado de autenticação da ONU, um atributo do nome da chave da sessão principal, um atributo da tabela de chave difundida, um atributo de comprimento efetivo da chave, ou combinações dos mesmos. Estes atributos podem ser usados para suportar ou fornecer características e/ou funções de segurança, tais como na função de descoberta da capacidade de segurança, na função de autenticação da ONU, na função de autenticação do OLT, na função de privacidade da chave, ou combinações das mesmas. Como tais, alguns dos atributos da ME 220 podem ser usados separadamente em funções de segurança diferentes ou juntamente em uma função de segurança combinada que consolida pelo menos algumas das funções de segurança. Por exemplo, os atributos da ME 220 podem ser usados para implementar um processo de autenticação de três etapas baseado na chave simétrica.
[00026] O atributo de ID da ME pode ser usado para identificar cada instância da ME de controle da segurança intensificada 210. Em uma modalidade, pode haver uma instância só da ME de controle da segurança intensificada 210 associada à ONU onde a instância pode ter um valor de ID da ME igual a cerca de zero. Em outras modalidades, pode haver instâncias múltiplas da ME de Controle de Segurança Intensificada 210 associado à ONU, onde cada instância pode ter um valor de ID da ME diferente. O atributo de ID da ME pode ser legível e cerca de dois bytes em comprimento.
[00027] O atributo das capacidades de criptografia do OLT pode especificar um ou mais dos mecanismos criptográficos disponíveis ou suportados pelo OLT. Em uma modalidade, o atributo das capacidades de criptografia do OLT pode ser formatado como um mapa de bits onde cada um dos bits no mapa de bits podem corresponder a um algoritmo, por exemplo como mostrado na Tabela 1. Consequentemente, um bit pode ser ajustado para cerca de um para indicar que um algo- ritmo de autenticação criptográfico correspondente ou é suportado pelo OLT, ou para cerca de zero para indicar que o algoritmo correspondente não é suportado pelo OLT. O atributo das capacidades de criptografia do OLT pode ser gravável e cerca de 16 bytes em comprimento. Em alguns casos, cada bit no atributo das capacidades de criptografia do OLT pode ser ajustado para cerca de zero para indicar que o OLT não suporta nenhum algoritmo.
[00028] Tabela 1 descreve uma modalidade do mapa de bits do atributo das capacidades de criptografia do OLT. Especificamente, as posições de bit diferentes no mapa de bits podem corresponder aos algoritmos criptográficos diferentes. Por exemplo, a posição de bit um (o bit menos significativo (LSB)) pode corresponder a um algoritmo de AES-CMAC-128, posição de bit dois pode corresponder a um algoritmo de HMAC-SHA-256, posição de bit três pode corresponder a um algoritmo de HMAC-SHA-512, e posições de bit quatro a cerca de 128 podem ser reservadas.TABELA 1
[00029] O atributo da tabela de desafio aleatório do OLT pode especificar um desafio aleatório emitido pelo OLT durante uma sequência de autenticação. Em uma modalidade, o atributo da tabela de desafio aleatório do OLT pode ser uma tabela compreendendo N entradas (N é um número inteiro) que pode ser determinado por um administrador. Cada entrada na tabela de dados pode ter um comprimento fixo, por exemplo cerca de 17 bytes, onde o primeiro byte de cada entrada pode compreender um índice de entrada ou identificador de en- trada e os bytes restantes de cada entrada podem compreender o conteúdo. O OLT pode escrever as entradas na tabela e depois desencadear a ONU para processar as entradas da tabela, por exemplo usando o atributo do estado de desafio do OLT. Uma vez que o atributo da tabela de desafio aleatório do OLT pode ter um número variável de entradas (por exemplo N), o comprimento e, portanto, a complexidade do desafio aleatório podem ser aumentados para melhorar a segurança da função de autenticação, se necessário. O atributo da tabela de desafio aleatório do OLT pode ser legível, gravável, e cerca de 17xN bytes em comprimento.
[00030] O atributo do estado de desafio do OLT pode ser usado para controlar e relatar o estado do atributo das capacidades de criptografia do OLT e/ou do atributo da tabela de desafio aleatório do OLT. Em uma modalidade, atributo do estado de desafio do OLT pode ser um atributo booleano que pode ser ajustado para um valor booleano primeiro ou verdadeiro (por exemplo cerca de um) quando o atributo das capacidades de criptografia do OLT e/ou o atributo da tabela de desafio aleatório do OLT estiver completo ou para um valor booleano segundo ou falso (por exemplo cerca de zero) quando o atributo das capacidades de criptografia do OLT e/ou o atributo da tabela de desafio aleatório do OLT não estiver completo. Por exemplo, o OLT pode ajustar o atributo do estado de desafio do OLT para o valor falso (por exemplo cerca de zero) antes ou enquanto escrevendo o atributo das capacidades de criptografia do OLT e/ou o atributo da tabela de desafio aleatório do OLT. Subsequentemente, o OLT pode ajustar o atributo do estado de desafio do OLT para um valor verdadeiro (por exemplo cerca de um) ao completar o processo de escrever o atributo das capacidades de criptografia do OLT e/ou o atributo da tabela de desafio aleatório do OLT. O OLT pode ajustar o atributo do estado de desafio do OLT para valor falso, escrever uma pluralidade de entradas no atri-buto das capacidades de criptografia do OLT e/ou no atributo da tabela de desafio aleatório do OLT, ajustar o atributo do estado de desafio do OLT para valor verdadeiro, e desse modo ativar a ONU para processar os conteúdos do atributo das capacidades de criptografia do OLT e/ou do atributo da tabela de desafio aleatório do OLT. O atributo do estado de desafio do OLT pode ser legível, gravável, e cerca de um byte em comprimento.
[00031] O atributo das capacidades de criptografia selecionadas do OLT pode especificar uma capacidade criptográfica que é selecionada pela ONU, por exemplo em uma sequência de autenticação. O atributo das capacidades de criptografia selecionadas do OLT pode ser ajustado para um valor que indica um algoritmo suportado pelo OLT, por exemplo no atributo das capacidades de criptografia do OLT. O valor pode especificar uma das posições de bit que foi ajustada para cerca de um no atributo das capacidades de criptografia do OLT.
[00032] O atributo da tabela de desafio aleatório da ONU pode especificar um desafio aleatório emitido pela ONU durante a sequência de autenticação. Em uma modalidade, o atributo da tabela de desafio aleatório da ONU pode ser uma tabela que compreende P entradas (P é um número inteiro) que podem ser ajustadas por um administrador. Cada entrada na tabela de dados pode ter um comprimento fixo, por exemplo cerca de 16 bytes onde o primeiro byte de cada entrada pode compreender um índice de entrada ou identificador de entrada e os bytes restantes de cada entrada podem compreender o conteúdo. A ONU pode escrever o atributo da tabela de desafio aleatório da ONU em resposta ao OLT gerando o atributo do estado de desafio do OLT. Após gerar o atributo da tabela de desafio aleatório da ONU, a ONU pode notificar o OLT, por exemplo usando uma ação de alteração de valor do atributo (AVC), que a tabela de desafio é estabelecida para desencadear o OLT para começar uma sequência de obter/obter-o- próximo para obter o conteúdo da tabela. Uma vez que o atributo da tabela de desafio aleatório da ONU pode ter um número variável de entradas, o comprimento e, portanto, a complexidade do desafio aleatório podem ser aumentados para melhorar a segurança da função de autenticação. O atributo da tabela de desafio aleatório da ONU pode ser legível e cerca de 16xP bytes em comprimento.
[00033] O atributo da tabela de resultado de autenticação da ONU pode especificar um resultado do desafio de autenticação da ONU de acordo com o atributo das capacidades de criptografia selecionadas do OLT. O valor do atributo da tabela de resultado de autenticação da ONU pode ser gerado usando uma função hash selecionada pela ONU, tal como:SelectedHashFunction (PSK, (ONU_selected_crypto_capabilities | OLTrandomchallengetable | ONUrandomchallengetable | 0X0000 0000 0000 0000)),onde "|" denota concatenação e ONU_selected_crypto_capabilities representa as capacidades de criptografia selecionadas pela ONU.
[00034] Em uma modalidade, o atributo da tabela de resultado de autenticação da ONU pode ser uma tabela de dados que compreende Q entradas (Q é um número inteiro) que podem ser determinadas por um administrador. Cada entrada na tabela de dados pode ter um comprimento fixo, por exemplo cerca de 16 bytes. A ONU pode escrever o atributo da tabela de resultado de autenticação da ONU em resposta ao OLT que gera o atributo do estado de desafio do OLT. Após gerar o atributo da tabela de resultado de autenticação da ONU, a ONU pode notificar o OLT, por exemplo usando uma mensagem ou notificação de AVC que a tabela está estabelecida para desencadear o OLT para começar uma sequência de obter/obter-o-próximo para obter o conteúdo da tabela. Uma vez que o atributo da tabela de resposta de autenticação da ONU pode ter um número variável de entradas, o comprimento e, portanto, a complexidade da combinação hash podem ser aumentados para melhorar a segurança da função de autenticação da ONU, se necessário. O atributo da tabela de resultado de autenticação da ONU pode ser legível e cerca de 16xQ bytes em comprimento.
[00035] O atributo da tabela de resultado de autenticação do OLT pode especificar um resultado do cálculo de autenticação do OLT. O valor do atributo da tabela de resultado de autenticação do OLT pode ser gerado usando uma função hash selecionada pelo OLT, tal como:SelectedHashFunction (PSK, (ONU selected crypto capabilities | OLU_random_challenge_table | OLT_random_cballenge_table | ONU_serial_number)),onde ONU_serial_number é o número de série da ME da ONU, que pode ser especificado por um atributo do número de série da ONU.
[00036] Em uma modalidade, o atributo da tabela de resultado de autenticação do OLT pode ser uma tabela de dados que compreende R entradas (R é um número inteiro) que podem ser ajustadas por um administrador. Cada entrada na tabela de dados pode ter um comprimento fixo, por exemplo cerca de 17 bytes onde o primeiro byte de cada entrada pode compreender um índice de entrada ou identificador de entrada e onde os bytes restantes de cada entrada podem compreender o conteúdo. O OLT pode escrever as entradas no atributo da tabela de resultado de autenticação do OLT e depois desencadear a ONU para processar a tabela com o atributo do estado de resultado do OLT. Uma vez que a tabela do resultado de autenticação do OLT pode ter um número variável de entradas, o comprimento e, portanto, a complexidade do resultado podem ser aumentados para melhorar a segurança da função de autenticação do OLT, quando necessário. A tabela de resposta de autenticação do OLT pode ser gravável e cerca de 17xR bytes em comprimento.
[00037] O atributo do estado de resultado do OLT pode ser usado para controlar e/ou relatar o estado do atributo da tabela de resultado de autenticação do OLT. Em uma modalidade, o atributo do estado de resultado do OLT pode ser um atributo booleano que pode ser ajustado para um valor verdadeiro de cerca de um quando o atributo da tabela de resultado de autenticação da ONU estiver completo ou para um valor booleano falso de cerca de zero quando o atributo da tabela de resultado de autenticação da ONU não estiver completo. Por exemplo, o OLT pode ajustar o atributo do estado de resultado do OLT para falso (por exemplo cerca de zero) antes ou enquanto escrevendo para o atributo da tabela de resultado de autenticação do OLT, e subsequentemente para verdadeiro (por exemplo cerca de um) ao completar o processo de escrever o resultado para o atributo da tabela de resultado de autenticação do OLT. O OLT pode ajustar o atributo do estado de resultado do OLT para falso para escrever uma pluralidade de entradas para o atributo da tabela de resultado de autenticação do OLT, ajustar o atributo do estado de resultado do OLT para verdadeiro, e desse modo desencadear a ONU para processar o atributo da tabela de resultado do OLT. O atributo do estado de resultado do OLT pode ser legível, gravável, e cerca de um byte em comprimento.
[00038] O atributo do estado de autenticação da ONU pode indicar o estado da relação de autenticação da perspectiva da ONU. O atributo do estado de autenticação da ONU pode ter um valor de cerca de zero para indicar que a ONU está em um estado inativo S0, por exemplo onde o procedimento de autenticação não está ativo. O atributo do estado de autenticação da ONU pode ter um valor de cerca de um para indicar que a ONU está em um estado pendente de desafio do OLT S1, por exemplo quando o procedimento de autenticação estiver em curso. O atributo do estado de autenticação da ONU pode ter um valor de cerca de dois para indicar que a ONU está em um estado pendente de desafio da ONU S2. O atributo do estado de autenticação da ONU pode ter um valor de cerca de três para indicar que a ONU está em um estado de sucesso de autenticação S3, por exemplo quando o proce- dimento de autenticação estiver completado e a ONU autenticado o OLT. O atributo do estado de autenticação da ONU pode ter um valor de cerca de quatro para indicar que a ONU está em um estado de falha de autenticação S4, por exemplo quando o procedimento de autenticação estiver completado e a ONU não autenticou o OLT. Alternativamente, o atributo do estado de autenticação da ONU pode ter um valor de cerca de cinco para indicar que a ONU está em um estado de erro de autenticação S5, por exemplo quando o procedimento de autenticação iniciou mas não pôde ser completado. Quando o atributo de autenticação da ONU tiver um valor de cerca de três, por exemplo no estado de sucesso de autenticação S2, uma pluralidade de chaves de criptografia pode ser trocada em uma camada de Recipiente de Transmissão (TC), por exemplo usando uma chave de sessão mestre como descrita em G.984 ou uma chave de criptografia principal como descrita em G. 987, ambas sendo aqui incorporadas como se reproduzidas em sua totalidade. O OLT pode verificar o valor do atributo do estado de autenticação da ONU antes de iniciar uma comutação de chaves. Adicionalmente, o OLT pode ser alertado de uma alteração no estado do atributo do estado de autenticação da ONU, por exemplo uma alteração de estado S1 para estado S2, recebendo uma mensa-gem de AVC ou notificação da ONU por meio do canal de OMCI. O atributo do estado de autenticação da ONU pode ser legível e de 1 byte em comprimento.
[00039] O atributo do nome da chave da sessão principal pode compreender o nome da chave de sessão atual, por exemplo após uma autenticação com sucesso. Uma chave de sessão mestre pode ser definida por uma função hash selecionada pela ONU, tal como: SelectedHashFunction (PSK, (OLTrandomchallenge | ONU random challenge)).
[00040] O atributo do nome da chave da sessão principal pode ser definido como: SelectedHashFunction (PSK, (ONU_random_challenge | OLT random challenge | Ox 3141 5926 5358 9793 3141 5926 5358 9793)), ~onde o número 0x 3141 5926 5358 9793 3141 5926 5358 9793 é um exemplo de um número de série da ONU. Se a função hash selecionada gerar mais que cerca de 128 bits, o resultado pode ser truncado mais à esquerda, por exemplo para mais significativo, cerca de 128 bits. Na terminação de uma chave de sessões mestre, por exemplo devido a uma reinicialização da ONU ou decisão local da ONU que a chave mestra expirou, a ONU pode ajustar o atributo do nome da chave da sessão principal para uma sequência de cerca de zero. O atributo do nome da chave da sessão principal pode ser legível e cerca de 16 bytes em comprimento.
[00041] O atributo da tabela de chave difundida pode compreender uma chave difundida gerada pelo OLT. O atributo da tabela de chave difundida pode compreender uma tabela compreendendo uma ou mais fileiras. Cada fileira pode compreender uma porção de controle de fileira, uma porção de identificador de fileira, e uma porção de fragmento de chave. O controle de fileira pode compreender cerca de um byte, o identificador de fileira pode também compreender cerca de um byte, e o fragmento de chave pode compreender cerca de 16 bytes. Como tal, o atributo da tabela de chave difundida pode ser legível e gravável, opcional, e cerca de 18*N bytes em comprimento.
[00042] O controle de fileira pode descrever a ação a ser tomada em uma fileira especificada, por exemplo a fileira especificada pelo identificador de fileira. Aproximadamente dois LSBs no controle de fileira podem determinar o comportamento do atributo sob uma ação de ajustar, por exemplo como mostrado na Tabela 2. Na Tabela 2, os dois LSBs podem ser ajustados para cerca de 00 para ajustar a fileira especificada, para cerca de 01 para limpar a fileira especificada, para cerca de 10 para limpar a tabela inteira, ou para cerca de 11 para indicar uma entrada reservada. Ainda, cerca de quatro bits mais significa- tivos (MSBs) no controle de fileira podem especificar o comprimento do fragmento de chave correspondente. Os dois bits restantes no controle de fileira podem ser reservados. O dois LSBs do controle de fileira podem ser lidos como cerca de zero sob a ação de obter-o-próximo e pode se comportar de uma maneira consistente com a Tabela 2 sob a ação de ajustar.TABELA 2
[00043] O identificador de fileira pode identificar a fileira especificada. Cerca de dois MSBs no identificador de fileira podem representar o índice de chave que pode se aparecer no cabeçalho de uma estrutura do Método de Encapsulação de GPON (GEM) de multidifusão criptografada. Um índice de chave de cerca de zero pode indicar um texto limpo, e desse modo pode não aparecer no identificador de fileira. Aproximadamente quatro LSBs no identificador de fileira pode identificar o número de fragmento de chave e pode iniciar de cerca de zero. Cerca de dois bits restantes no identificador de fileira podem ser reservados. O fragmento de chave pode compreender uma porção de chave especificada, por exemplo especificada pela ONU. Por exemplo a porção de chave pode ser criptografada com o livro de código eletrônico AES (ECB) usando a chave de criptografia de chave (KEK).
[00044] O atributo de comprimento efetivo da chave pode especificar um comprimento efetivo máximo (por exemplo em bits) das chaves geradas pela ONU. O atributo de comprimento efetivo da chave pode ser legível, opcional, e cerca de dois bytes em comprimento.
[00045] Adicional ou alternativamente, os atributos da ME 220 podem compreender um atributo de capacidade de autenticação, um atributo de seleção de autenticação da ONU, um atributo da tabela de nonce de autenticação da ONU, um atributo do estado de nonce de autenticação da ONU, um atributo da tabela de resposta de autenticação da ONU, ou combinações dos mesmos. Os atributos da ME 220 podem também compreender um atributo de seleção de autenticação do OLT, um atributo da tabela de nonce de autenticação do OLT, um atributo da tabela de resposta de autenticação do OLT, atributo do estado resposta de autenticação do OLT, um atributo de capacidade de chave pública do OLT, um atributo de seleção de chave pública do OLT, um atributo da tabela de chave pública do OLT, um atributo da tabela de chave pública do OLT, ou combinações dos mesmos.
[00046] O atributo de capacidade de autenticação pode especificar os mecanismos de autenticação disponíveis na ONU e/ou os algoritmos de autenticação suportados pela ONU. Em uma modalidade, o atributo de capacidade de autenticação pode ser formatado como um mapa de bits onde alguns ou todos os bits no mapa de bits podem corresponder a um algoritmo de autenticação, por exemplo de acordo com a Tabela 3. Consequentemente, um bit pode ser ajustado para cerca de um para indicar que um algoritmo de autenticação correspondente é suportado pela ONU, ou para cerca de zero para indicar que o algoritmo de autenticação correspondente não é suportado pela ONU. O atributo de capacidade de autenticação pode ser legível e cerca de 16 bytes em comprimento. Em alguns casos, cada bit no atributo de capacidade de autenticação pode ser ajustado para cerca de zero para indicar que nenhum algoritmo de autenticação é suportado pela ONU.TABELA 3
[00047] O atributo de seleção de autenticação da ONU pode espe- cificar um algoritmo de autenticação a ser usado durante a função de autenticação da ONU. Por exemplo, o atributo de seleção de autenticação da ONU pode ser ajustado para um valor que indica um algoritmo de autenticação suportado pela ONU. O valor pode indicar um algoritmo de autenticação que pode ser listado no atributo de capacidade de autenticação. O atributo de seleção de autenticação da ONU pode ser usado para instruir que a ONU usa o algoritmo de autenticação correspondente para gerar uma combinação hash, por exemplo durante a implementação da função de autenticação da ONU. O atributo de seleção de autenticação da ONU pode ser legível, gravável, e cerca de um byte em comprimento. O atributo de seleção de autenticação da ONU pode também ser ajustado para cerca de zero para indicar que nenhum algoritmo de autenticação é usado na função de autenticação da ONU.
[00048] O atributo da tabela de nonce de autenticação da ONU pode especificar um nonce que é usado para a função de autenticação da ONU. O nonce pode ser um número aleatório ou pseudoaleatório gerado para o propósito de aumentar a segurança da função de autenticação da ONU. Em uma modalidade, a tabela de nonce de autenticação da ONU pode ser uma tabela de dados que compreende N entradas (N é um número inteiro) que pode ser determinado por um administrador. Cada entrada na tabela de dados pode ter um comprimento fixo, por exemplo cerca de 25 bytes onde o primeiro byte de cada entrada pode compreender um índice de entrada ou identificador de entrada e os bytes restantes de cada entrada podem compreender o conteúdo. Uma vez que a tabela de nonce de autenticação da ONU pode ter um número variável de entradas (por exemplo N), o comprimento e, portanto, a complexidade do nonce podem ser aumentados para melhorar a segurança da função de autenticação da ONU, se necessário. A tabela de nonce de autenticação da ONU pode ser legível e cerca de 25xN bytes em comprimento.
[00049] O atributo do estado de nonce de autenticação da ONU pode ser usado para controlar e relatar o estado do atributo da tabela de nonce de autenticação da ONU durante a função de autenticação da ONU. Em uma modalidade, o atributo do estado de nonce de autenticação da ONU pode ser ajustado para um valor booleano primeiro ou verdadeiro (por exemplo cerca de um) quando a tabela de autenticação da ONU estiver completa ou para um valor booleano segundo ou falso (por exemplo cerca de zero) quando a tabela de autenticação da ONU estiver incompleta. Por exemplo, o OLT pode ajustar o estado de nonce de autenticação da ONU para o valor falso de cerca de zero ao iniciar o processo de escrever o nonce para o atributo da tabela de nonce de autenticação da ONU, e subsequentemente para um valor verdadeiro de cerca de um ao completar o processo de escrever o nonce para o atributo da tabela de nonce de autenticação da ONU. Em uma modalidade, o OLT pode ajustar o atributo do estado de nonce de autenticação da ONU para o valor falso, escrever uma pluralidade de entradas no atributo da tabela de nonce de autenticação da ONU, ajustar o atributo do estado de nonce de autenticação da ONU para o valor verdadeiro, e desse modo desencadear a ONU para processar o atributo da tabela de nonce de autenticação da ONU. O atributo do estado de nonce de autenticação da ONU pode ser legível, gravável, e cerca de um byte em comprimento.
[00050] O atributo da tabela de resposta de autenticação da ONU pode especificar uma resposta, por exemplo a combinação hash que pode ser usada na função de autenticação da ONU. O atributo da tabela de resposta de autenticação da ONU pode compreender uma combinação hash que é calculada pela ONU. A combinação hash pode ser calculada processando o nonce, por exemplo os conteúdos do atributo da tabela de nonce de autenticação da ONU, usando um algo- ritmo de autenticação que é especificado pelo atributo de seleção de autenticação da ONU. O OLT pode obter a combinação hash lendo o atributo da tabela de resposta de autenticação da ONU. O OLT pode depois autenticar a ONU confirmando que a combinação hash é substancialmente igual ao valor de autenticação da ONU. Em uma modalidade, o atributo da tabela de resposta de autenticação da ONU pode ser uma tabela de dados que compreende M entradas (M é um número inteiro) que pode ser determinado por um administrador. Cada entrada na tabela de dados pode ter um comprimento fixo, por exemplo cerca de 25 bytes onde o primeiro byte de cada entrada pode compreender um índice de entrada ou identificador de entrada e os bytes res-tantes de cada entrada podem compreender o conteúdo. Uma vez que o atributo da tabela de resposta de autenticação da ONU pode ter um número variável de entradas, o comprimento e, portanto, a complexidade da combinação hash podem ser aumentados para melhorar a segurança da função de autenticação da ONU, se necessário. O atributo da tabela de resposta de autenticação da ONU pode ser legível e cerca de 25xM bytes em comprimento.
[00051] O atributo de seleção de autenticação do OLT pode especificar um mecanismo de autenticação a ser usado durante a função de autenticação do OLT. Em uma modalidade, o atributo de seleção de autenticação do OLT pode ser ajustado para um valor que indica um algoritmo de autenticação suportado pela ONU. O valor pode corresponder a um algoritmo de autenticação listado no atributo de capacidade de autenticação. O atributo de seleção de autenticação do OLT pode instruir que a ONU use um algoritmo de autenticação especificado para gerar uma combinação hash durante a função de autenticação do OLT. O atributo de seleção de autenticação do OLT pode ser legível, gravável, e cerca de um byte em comprimento. O atributo de sele-ção de autenticação do OLT pode também ser ajustado para cerca de zero para indicar que nenhum algoritmo de autenticação é usado durante a função de autenticação do OLT.
[00052] O atributo da tabela de nonce de autenticação do OLT pode especificar um nonce a ser usado na função de autenticação do OLT. O nonce pode ser gerado para melhorar a segurança da função de autenticação do OLT. Em uma modalidade, a tabela de nonce de autenticação do OLT pode ser uma tabela de dados que compreende P entradas (P é um número inteiro) que podem ser ajustadas por um administrador. Cada entrada na tabela de dados pode ter um comprimento fixo, por exemplo cerca de 25 bytes onde o primeiro byte de cada entrada pode compreender um índice de entrada ou identificador de entrada e os bytes restantes de cada entrada podem compreender o conteúdo. Uma vez que o atributo da tabela de nonce de autenticação do OLT pode ter um número variável de entradas, o comprimento e, portanto, a complexidade do nonce podem ser aumentados para melhorar a segurança da função de autenticação do OLT. O atributo da tabela de nonce de autenticação da ONU pode ser legível e cerca de 25xP bytes em comprimento.
[00053] O atributo da tabela de resposta de autenticação do OLT pode especificar a resposta, por exemplo a combinação hash, a ser usada na função de autenticação do OLT. O atributo da tabela de resposta de autenticação do OLT pode compreender a combinação hash que pode ser calculada pelo OLT. O OLT pode calcular a combinação hash processando o nonce no atributo da tabela de nonce de autenticação do OLT usando o algoritmo de autenticação especificado no atributo de seleção de autenticação do OLT. Como tal, a ONU pode ler o atributo da tabela de resposta de autenticação do OLT para obter o valor de combinação hash. A ONU pode depois autenticar o OLT confirmando que o valor de combinação hash é substancialmente similar a um valor de autenticação do OLT. Em uma modalidade, a tabela de resposta de autenticação do OLT pode ser uma tabela de dados que compreende Q entradas (Q é um número inteiro) que podem ser ajustadas por um administrador. Cada entrada na tabela de dados pode ter um comprimento fixo, por exemplo cerca de 25 bytes onde o primeiro byte de cada entrada pode compreender um índice de entrada ou identificador de entrada e onde os bytes restantes de cada entrada podem compreender o conteúdo. Uma vez que a tabela de resposta de autenticação da ONU pode ter um número variável de entradas, o comprimento e, portanto, a complexidade, da combinação hash podem ser aumentados para melhorar a segurança da função de autenticação do OLT quando necessário. A tabela de resposta de autenticação do OLT pode ser legível e cerca de 25xQ bytes em comprimento.
[00054] O atributo do estado de resposta de autenticação do OLT pode ser usado para controlar e/ou relatar o estado do atributo da tabela de resposta de autenticação do OLT durante a função de autenticação do OLT. Em uma modalidade, o atributo do estado de resposta de autenticação do OLT pode ser ajustado para um valor booleano verdadeiro de cerca de um quando a tabela de autenticação da ONU estiver completa ou para um valor booleano falso de cerca de zero quando a tabela de autenticação da ONU estiver incompleta. Por exemplo, o OLT pode ajustar o estado de resposta de autenticação do OLT para falso, por exemplo cerca de zero, ao iniciar o processo de escrever o nonce para o atributo da tabela de resposta de autenticação do OLT, e subsequentemente para verdadeiro, por exemplo cerca de um, ao completar o processo de escrever o nonce para o atributo da tabela de resposta de autenticação do OLT. Em uma modalidade, o OLT pode ajustar o atributo de estado de resposta de autenticação do OLT para falso, por exemplo cerca de zero, para escrever uma pluralidade de entradas para o atributo da tabela de resposta de autenticação do OLT, ajustar o atributo do estado de resposta de autenticação do OLT para verdadeiro (por exemplo cerca de um), e desse modo de-sencadear a ONU para processar o atributo da tabela de resposta de autenticação do OLT consequentemente. O atributo do estado de resposta de autenticação do OLT pode ser legível, gravável, e cerca de um byte em comprimento.
[00055] O atributo de capacidade de chave pública do OLT pode especificar os mecanismos de chave pública disponíveis na ONU 200. Em uma modalidade, o atributo de capacidade de chave pública do OLT pode ser formatado como um mapa de bits onde alguns ou todos os bits no mapa de bits podem corresponder a um algoritmo de chave pública específico, por exemplo de acordo com a Tabela 4. Por exemplo, um bit ajustado para cerca de um pode indicar que o algoritmo de chave pública correspondente é suportado pela ONU e um bit ajustado para cerca de zero pode indicar que o algoritmo de chave pública correspondente não é suportado pela ONU 200. O atributo de capacidade de chave pública do OLT pode ser legível e cerca de 16 bytes em comprimento. Em algumas modalidades, cada bit no atributo de capacidade de chave pública do OLT pode ser ajustado para cerca de zero para indicar que nenhum algoritmo de chave pública é suportado pelo OLT 200.TABELA 3
[00056] O atributo de seleção de chave pública do OLT pode especificar o mecanismo de chave pública a usar durante a função de privacidade da chave. Em uma modalidade, o atributo de seleção de chave pública do OLT pode ser ajustado para um valor que indica um algoritmo de autenticação suportado pela ONU 200, por exemplo como especificado pelo atributo de capacidade de chave pública do OLT. Em uma modalidade, o atributo de seleção de chave pública do OLT pode ser usado para instruir que a ONU use o algoritmo de chave pública especificado para criptografar a chave de AES durante a função de privacidade da chave. O atributo de seleção de chave pública do OLT pode ser legível, gravável, e cerca de um byte em comprimento. Em algumas modalidades, o atributo de seleção de chave pública do OLT pode ser ajustado para cerca de zero para indicar que nenhum algoritmo de chave pública é usado.
[00057] O atributo da tabela de chave pública do OLT pode especificar a chave pública a ser usada durante a função de privacidade da chave. Em uma modalidade, o OLT pode escrever a chave pública para o atributo da tabela de chave pública do OLT. O atributo da tabela de chave pública do OLT pode ser uma tabela que compreende R entradas (R é um número inteiro) que podem ser por um administrador. Cada entrada na tabela pode ter um comprimento fixo, por exemplo cerca de 25 bytes onde o primeiro byte de cada entrada pode compreender um índice de entrada ou identificador de entrada e onde os bytes restantes de cada entrada podem compreender o conteúdo. Uma vez que o atributo da tabela de chave pública do OLT pode ter um número variável de entradas, o comprimento e, portanto, a complexidade da chave pública podem ser aumentados para melhorar a segurança da função de privacidade de chave quando necessário. O atributo da tabela de chave pública do OLT pode ser legível, gravável, e cerca de 25xR bytes em comprimento.
[00058] O atributo de estado de chave pública de OLT pode ser usado para controlar e/ou relatar o estado do atributo da tabela de chave pública do OLT durante a função de privacidade da chave. Em uma modalidade, o atributo de estado de chave pública do OLT pode ser ajustado para um valor booleano verdadeiro, por exemplo cerca de um, quando a tabela de chave pública estiver completa ou para um valor booleano falso, por exemplo cerca de zero, quando a tabela de chave pública estiver incompleta. Por exemplo, o OLT pode ajustar o estado de chave pública do OLT para falso, por exemplo cerca de zero, ao iniciar o processo de escrever a chave pública para o atributo da tabela de chave pública do OLT, e subsequentemente ajustar o estado de chave pública do OLT para verdadeiro, por exemplo cerca de um, ao completar o processo de escrever a chave pública para o atributo da tabela de chave pública do OLT. Em uma modalidade, o OLT pode ajustar o atributo do estado de chave pública do OLT para falso, por exemplo cerca de zero, escrever uma pluralidade de entradas para o atributo da tabela de chave pública do OLT, ajustar o atributo do estado de chave pública do OLT para verdadeiro, por exemplo cerca de um, e desse modo desencadear a ONU para processar o atributo da tabela de chave pública do OLT consequentemente. O atributo do estado de resposta de autenticação do OLT pode ser legível, gravável, e cerca de um byte em comprimento.
[00059] O OLT pode usar várias ações, por exemplo tipos de instrução, ao se comunicar com a ONU por meio do canal de OMCI, tal como uma ação de obter, uma ação de obter-o-próximo, e uma ação de ajustar. A ação de obter pode permitir o OLT a ler um ou mais atributos da ME de OMCI na ONU, a ação de obter-o-próximo pode permitir o OLT a ler uma cadeia ou coletânea de atributos da ME de OMCI, e a ação de ajustar pode permitir a ONU a escrever um ou mais atributos da ME de OMCI.
[00060] O OLT pode também receber uma ou mais notificações de OMCI durante as funções de segurança. As notificações de OMCI podem ser recebidas na forma de mensagens de AVC que podem ser comunicadas por meio do canal de OMCI. Cada mensagem de AVC pode ter um valor numérico que pode corresponder a um tipo de mensagem diferente por exemplo como mostrado na Tabela 5A ou 5B. Por exemplo, como mostrado na Tabela 3, uma mensagem de AVC asso- ciada ao atributo da tabela de desafio aleatório da ONU pode ser atribuída a um valor de cerca de cinco. Uma mensagem de AVC associada ao atributo da tabela de resultado de autenticação da ONU pode ser atribuída a um valor de cerca de seis. Uma mensagem de AVC associada ao atributo do estado de autenticação da ONU pode ser atribuída a um valor de cerca de 10. Os valores restantes, por exemplo de cerca de um a cerca de quatro, de cerca de sete a cerca de nove, e de cerca de onze a cerca de dezesseis, podem ser reservados.TABELA 5ATABELA 5B
[00061] Em uma modalidade, a ME de Controle de Segurança In-tensificada pode compreender uma pluralidade de instalações para executar uma sequência de autenticação com base em hash de três etapas convencional, por exemplo como descrito na publicação de International Standards Organization (ISO)/International Electrotechnical Commission (IEC) 9798-4 intitulado, "Information technology - Security Techniques - Entity Autentication - Part 4: Mechanisms using a cryptographic check function", que é aqui incorporada por referência como se reproduzida em sua totalidade. A sequência de autenticação de três etapas convencional pode ser usada em sistemas de DSL que empregam um protocolo MS-CHAPv2, ou outros sistemas que possam usar mensagens de obter e ajustar. A estrutura lógica da sequência de três etapas convencional pode compreender mensagens, por exemplo mensagem 1, mensagem 2, e mensagem 2, tais como: Message 1: (Peer 1 -> peer 2) my_cryptographic_capabi lilies | randomchallenegel; Message 2: (Peer 2 -> peer 1) selected cryptographic capabilities | random_challenege_2 | MsgHash (PSK, (selected_cryptographic_capabilities | random challenege l | randomchallenge?, peer_l-identity)); and Message 3: (Peer 1 peer 2) MsgHash (PSK, (selected_cryptographic_capabilities | random_challenge_2 | random challenege l | peer_2_identity)), onde MsgHash () é uma função hash chaveada da mensagem, PSK é a chave pré-compartilhada conhecida apenas para os pontos da sessão, Peer_1_identity é ajustada para cerca de 0x0000 0000 0000 0000, e Peer_2_identity é o número de série da ONU.
[00062] Uma condição prévia para usar a sequência de autenticação com base em hash de três etapas pode ser a disponibilidade de um segredo pré-compartilhado (PSK). Um PSK de cerca de 128 bits pode simplificar a aplicação de algoritmos de segurança com base em um AES-128 (por exemplo AES-CMAC-128). Um PSK pode ser associado a uma ONU e armazenado naquela ONU e na infraestrutura do operador. No lado do operador, o PSK para a ONU pode ser armaze- nado no OLT que está acoplado à ONU ou a um servidor central que o OLT pode acessar durante a autenticação. A configuração do PSK na ONU e na infraestrutura do operador pode ser executada de qualquer maneira que satisfaça estes requerimentos.
[00063] FIG. 3 ilustra uma modalidade de uma sequência de permuta de mensagem de autenticação 300 que pode ser estabelecida entre o OLT e a ONU no canal de OMCI. A sequência de permuta de mensagem de autenticação 300 pode fornecer segurança melhorada nos sistemas de PON, por exemplo para transmissões a montante. A sequência de permuta de mensagem de autenticação 300 pode compreender várias ações que podem ser implementadas pelo OLT para se comunicar com a ONU por meio do canal de OMCI e acessar a ME de controle da segurança intensificada. Por exemplo, o OLT pode escrever em vários atributos da ME de controle da segurança intensificada (por exemplo atributos da ME 220) usando a ação de ajustar. O OLT pode executar múltiplas operações ajustadas conforme necessário para escrever múltiplas entradas para um ou mais atributos usando a ação de ajustar. O OLT pode ler de vários atributos da ME de controle da segurança intensificada usando a função de obter que pode desencadear uma mensagem de obter resposta que obtém os conteúdos ou parte dos conteúdos de um ou mais atributos da ME de Controle de Segurança Intensificada. Adicionalmente, o OLT pode receber uma ou mais notificações de OMCI na forma de mensagens de AVC.
[00064] A sequência de permuta de mensagem de autenticação 300 pode começar na etapa 302, onde o OLT pode escrever o atributo das capacidades de criptografia do OLT e/ou o atributo da tabela de desafio aleatório do OLT usando uma ação de ajustar. Na etapa 304, o OLT pode escrever um valor verdadeiro, por exemplo cerca de um, para o atributo do estado de desafio do OLT usando uma ação de ajustar para indicar à ONU que o atributo das capacidades de cripto- grafia do OLT e/ou o atributo da tabela de desafio aleatório do OLT foram estabelecidos. Na etapa 306, o OLT pode receber da ONU uma mensagem de AVC que notifica o OLT que o atributo da tabela de desafio aleatório da ONU está estabelecido. Na etapa 308, o OLT pode receber da ONU uma mensagem de AVC que notifica o OLT que o atributo da tabela de resultado de autenticação da ONU está estabelecido.
[00065] Na etapa 310, o OLT pode requerer o atributo das capacidades de criptografia selecionadas da ONU, o atributo da tabela de desafio aleatório da ONU, o atributo da tabela de resultado de autenticação da ONU, ou uma combinação dos mesmos da ONU usando uma ação de obter. Na etapa 312, a ONU pode responder ao OLT enviando a informação requerida usando uma ação de obter resposta. Na etapa 314, o OLT pode escrever para o atributo da tabela de resultado de autenticação do OLT usando uma ação de ajustar. Na etapa 316, o OLT pode escrever um valor verdadeiro para o atributo do estado de resultado do OLT usando uma ação de ajustar. Na etapa 318, o OLT pode receber da ONU uma mensagem de AVC que notifica o OLT que o atributo do estado de autenticação da ONU esta estabelecido. Na etapa 320, o OLT pode requerer o atributo do nome da chave da sessão principal da ONU usando uma ação de obter. Na etapa 322, a ONU pode responder ao OLT enviando a informação requerida usando uma ação de obter resposta. A permuta de mensagem de autenticação pode depois terminar.
[00066] FIG. 4 ilustram uma modalidade de uma pluralidade de Estados da ONU 400. Os estados da ONU 400 podem ser especificados por uma máquina de estado que pode operar o estado 05 como definido em ITU-T G.784.3 e G987.3, que são aqui incorporadas por referência como se reproduzidas em sua totalidade. Inicialmente no bloco 410, a ONU pode estar em um estado inativo (S0), por exemplo após o registro da ONU. O estado S0 pode ser indicado pelo um atributo do estado de autenticação da ONU usando um valor de cerca de zero. O OLT pode depois iniciar um processo de autenticação escrevendo um desafio para o atributo da tabela de desafio aleatório do OLT na ME de OMCI na ONU.
[00067] No bloco 420, o OLT pode entrar em um estado pendente de desafio (S1), por exemplo após o OLT escrever seu desafio para o atributo da tabela de desafio aleatório do OLT. O estado pendente de desafio do OLT (S1) pode ser indicado pelo um atributo do estado de autenticação da ONU usando um valor de cerca de um. Durante o estado S1, a ONU pode selecionar o atributo de desafio aleatório da ONU, e/ou calcular o atributo da tabela de resultado de autenticação da ONU, e o OLT pode não escrever um valor novo no atributo da tabela de desafio aleatório do OLT. A ONU pode depois transitar para um estado pendente de desafio da ONU (S2) após selecionar o atributo de desafio aleatório da ONU e/ou calcular o atributo da tabela de resultado de autenticação da ONU. Se a ONU não pode executar as operações necessárias para transição para o estado S2, então a ONU pode transitar para um estado de erro de autenticação (S5) em vez do estado S2.
[00068] No bloco 430, a ONU pode entrar no estado S2, por exemplo após selecionar o atributo de desafio aleatório da ONU e/ou calcular o atributo da tabela de resultado de autenticação da ONU. O estado S2 pode ser indicado pelo um atributo do estado de autenticação da ONU usando um valor de cerca de dois. Durante o estado S2, a ONU pode esperar pelo OLT a ler as tabelas/atributos relevantes, por exemplo o atributo das capacidades de criptografia selecionadas da ONU, o atributo da tabela de desafio aleatório da ONU, o atributo da tabela de resultado de autenticação da ONU, ou combinações dos mesmos, e escrever o resultado do desafio de autenticação da ONU para o atributo da tabela de resultado de autenticação do OLT. A resposta do OLT pode ser de tempo limitado. Por exemplo, o OLT pode necessitar responder ao desafio de autenticação da ONU antes de um período de tempo (T1) expirar. Por exemplo, T1 pode ser ajustado para expirar em cerca de três segundos. Se o OLT não responder durante o estado S2 antes de T1 expirar, a ONU pode transitar para o estado S5. Se o OLT responder antes de T1 expirar, por exemplo escrevendo o resultado do desafio de autenticação da ONU no atributo da tabela de resultado de autenticação da ONU, então a ONU pode transitar para um estado de sucesso de autenticação (S3) ou um estado de falha de autenticação (S4), dependendo se ou não o OLT foi autenticado de forma bem sucedida pela ONU. Se o resultado for substancialmente igual a um valor de autenticação do OLT, então o OLT pode ter sido autenticado de forma bem sucedida pela ONU e a ONU transita para o estado S3. Se o resultado não for igual ao valor de autenticação do OLT, então o OLT pode não ter sido autenticado de forma bem sucedida e a ONU pode transitar para o estado S4. Enquanto a ONU estiver no estado S2, o OLT pode não escrever um valor novo no atributo da tabela de desafio aleatório do OLT.
[00069] Antes de entrar no estado S3 no bloco 440, a ONU pode ajustar um valor válido pelo atributo do nome da chave da sessão principal. No estado S3, o OLT pode ler o atributo do nome da chave da sessão principal ao receber uma mensagem de AVC da ONU que indica ao OLT que o valor do atributo do estado de autenticação da ONU foi alterado para valor do estado S3, por exemplo usando um valor de cerca de três. Esperar pela notificação de AVC antes de ler o atributo de nome de chave para a sessão mestre pode permitir o OLT a garantir que a ONU seja sincronizada e a chave nova esteja pronta para ser utilizada dentro da função de PLOAM da camada de TC.
[00070] O estado de falha de autenticação S4 no bloco 450 pode ser indicado pelo um atributo do estado de autenticação da ONU usando um valor de cerca de quatro. Durante o estado S4, a ONU e/ou o OLT podem abandonar a tentativa de autenticação presente. O estado de falha de autenticação S4 pode significar que o procedimento de autenticação falhou por alguma razão, por exemplo por causa de uma desigualdade de PSK. A ONU pode transitar do estado S4 para o estado S0 após um período predeterminado de tempo (T2) decorrido, por exemplo após cerca de um segundo.
[00071] O estado S5 pode ser indicado pelo atributo do estado de autenticação da ONU usando um valor de cerca de cinco. Durante o estado S5 (Bloco 460), a ONU e/ou o OLT podem abandonar a tentativa de autenticação presente. O estado S5 pode significar que o procedimento de autenticação foi iniciado mas não foi completado, por exemplo devido a um erro de comunicação, tal como uma perda de conexão. A ONU pode transitar do estado S5 para o estado S0 após um período predeterminado de tempo (T3) decorrido, por exemplo após cerca de um segundo.
[00072] Em uma modalidade, o OLT pode ser configurado para sincronizar com uma camada de TC, por exemplo no PLOAM, e alcançar outras considerações de segurança, por exemplo como nos sistemas de G.984. Quando a ONU estiver em um estado autenticado, a ONU pode usar sua chave de sessão mestre para criptografar a chave transmitida em uma mensagem de PLOAM chave de criptografia. A chave de sessão mestre pode ser definida como:MasterSessionKey = SelectedHashFunction (PSK, (OLT random challenge | ONU random challenge)), onde SelectedHashFunction () é a função hash selecionada pela ONU no atributo de capacidades de criptografia selecionadas da ONU a partir de uma lista fornecida pelo OLT.
[00073] Em alguns casos, a criptografia da chave de criptografia pode ser implementada usando uma chave AES-128 no modo de ECB. Considerando que a chave de criptografia carregada na mensagem de PLOAM de chave de criptografia pode não ser protegida contra falsificação, pode haver uma possibilidade que a chave possa ser falsificada ou reproduzida por um atacante. Ambas chaves falsificadas ou reproduzidas podem ser detectadas usando mecanismos de sincronização de chave. Porém, um ataque de reprodução pode forçar o OLT a usar uma chave de criptografia velha que pode violar os requerimentos de segurança da criptografia de dados a jusante. Por conseguinte, um OLT projetado para resistir a um ataque de reprodução pode assegurar que a ONU não envie uma chave de criptografia previamente usada entre os ciclos de autenticação.
[00074] Os componentes de rede descritos acima podem ser implementados em qualquer componente de rede de propósito geral, tal como um computador ou componente de rede com potência de processamento suficiente, recursos de memória, e capacidade de processamento de rede para manipular a carga de trabalho necessária colocada no mesmo. FIG. 5 ilustra um típico componente de rede de propósito geral 500 adequado para implementar uma ou mais modalidades dos componentes revelados aqui. O componente de rede 500 inclui um processador 502 (que pode ser referido como uma unidade de processador central ou CPU) que está em comunicação com os dispositivos de memória incluindo armazenamento secundário 504, memória exclusiva de leitura (ROM) 506, memória de acesso aleatório (RAM) 508, dispositivos de entrada/saída (E/S) 510, e dispositivos de conectividade da rede 512. O processador 502 pode ser implementado como um ou mais circuitos integrados da CPU, ou pode ser parte de um ou mais circuitos integrados específicos para a aplicação (ASICs).
[00075] O armazenamento secundário 504 é tipicamente compreendido de uma ou mais unidades de disco ou unidades de fita e é usado para armazenamento não volátil dos dados e como um dispositivo de armazenamento de dados de sobrefluxo se a RAM 508 não for grande o bastante para reter todos os dados de funcionamento. Armazenamento secundário 504 pode ser usado para armazenar os programas que são carregados na RAM 508 quando tais programas forem selecionados para execução. A ROM 506 é usada para armazenar instruções e talvez dados que são lidos durante a execução dos programas. A ROM 506 é um dispositivo de memória não-volátil que tipicamente tem uma capacidade de memória pequena com relação à capacidade de memória maior do armazenamento secundário 504. A RAM 508 é usada para armazenar dados voláteis e talvez para arma-zenar instruções. Acesso à ROM 506 e RAM 508 é tipicamente mais rápido que ao armazenamento secundário 504.
[00076] Pelo menos uma modalidade é revelada e variações, combinações, e/ou modificações da(s) modalidade(s) e/ou características da(s) modalidade(s) feita(s) por uma pessoa tendo habilidade usual na técnica estão dentro do escopo da revelação. Modalidades alternativas que resultam de combinar, integrar, e/ou omitir as características da(s) modalidade(s) estão também dentro do escopo da revelação. Onde faixas ou limitações numéricas forem expressamente declaradas, tais faixas ou limitações expressas devem ser entendidas incluir faixas ou limitações iterativas de magnitude igual que caiam dentro das faixas ou limitações expressamente declaradas (por exemplo, de cerca de 1 a cerca de 10 inclui, 2, 3, 4, etc.; maior que 0,10 inclui 0,11, 0,12, 0,13, etc.). Por exemplo, sempre que uma faixa numérica com um limite inferior, R1, e um limite superior, Ru, for revelada, qualquer número que caia dentro da faixa é especificamente revelado. Em particular, os seguintes números dentro da faixa são especificamente revelados: R = R1 + k * (Ru - R1), em que k é uma variável variando de 1 por cento a 100 por cento com um incremento de 1 por cento, isto é, k é 1 por cento, 2 por cento, 3 por cento, 4 por cento, 5 por cento,..., 50 por cento, 51 por cento, 52 por cento,..., 95 por cento, 96 por cento, 97 por cento, 98 por cento, 99 por cento, ou 100 por cento. Além disso, qualquer faixa numérica definida pelos dois números R como definidos no acima é também especificamente revelada. Uso do termo "opcionalmente" com respeito a qualquer elemento de uma concretização significa que o elemento é requerido, ou alternativamente, o elemento não é requerido, ambas as alternativas estando dentro do escopo da concretização. Uso de termos mais vastos tais como compreende, inclui, e tendo devem ser entendidos para prover suporte aos termos mais limitados tais como consistindo, consistindo essencialmente, e compreendido substancialmente. Consequentemente, o escopo de proteção não é limitado pela descrição exposta acima mas é definido pelas concretizações que seguem, aquele escopo incluindo todos os equivalentes do assunto das concretizações. Cada e toda concretização é incorporada como revelação adicional no relatório descritivo e as concretizações são mo- dalidade(s) da revelação presente. O debate de uma referência na revelação não é uma admissão que seja técnica anterior, especialmente qualquer referência que tenha uma data de publicação após a data de prioridade deste pedido de patente. A revelação de todas as patentes, pedidos de patente, e publicações citados na revelação é por este meio incorporada por referência, à extensão que fornecem detalhes exemplares, processuais, ou outros adicionais à revelação.
[00077] Embora várias modalidades tenham sido fornecidas na revelação presente, deve ser entendido que os sistemas e métodos revelados poderiam ser incorporados em muitas outras formas específicas sem abandono do espírito ou escopo da revelação presente. Os exemplos presentes são para ser considerados como ilustrativos e não restritivos, e a intenção não é para ser limitada aos detalhes dados aqui. Por exemplo, os vários elementos ou componentes podem ser combinados ou integrados em outro sistema ou certas características podem ser omitidas, ou não implementadas.
[00078] Além disso, as técnicas, sistemas, subsistemas, e métodos descritos e ilustrados nas várias modalidades como distintos ou separados podem ser combinados ou integrados aos outros sistemas, módulos, técnicas, ou métodos sem abandono do escopo da revelação presente. Outros itens mostrados ou debatidos quando acoplados ou diretamente acoplados ou comunicando entre si podem ser acoplados indiretamente ou comunicando através de alguma interface, dispositivo, ou componente intermediário quer de modo elétrico, mecânico ou diferente. Outros exemplos de alterações, substituições, e alterações são determináveis por alguém versado na técnica e podem ser feitas sem abandono do espírito e escopo revelados aqui.
Claims (6)
1. Aparelho para fornecer segurança melhorada em sistema de rede óptica passivo, caracterizado pelo fato de que compreende: um terminal de linha óptica (OLT) (110) configurado para: ler e/ou escrever, em uma unidade de rede óptica (ONU) (120, 200), uma entidade de gerenciamento (ME) de interface de controle de ONU (OMCI), em que a ME de OMCI compreende uma pluralidade de atributos (200) que suporta uma pluralidade de funções de segurança de transmissões a montante entre a ONU (120, 200) e o OLT (110), em que os atributos compreendo um atributo de tabela de resposta de autenticação de OLT para especificar um resposta a ser usada em uma função de autenticação de OLT, um atributo de estado de resposta de autenticação de OLT para controlar e reportar o estado do atributo de tabela de resposta de autenticação de OLT; em que o valor falso do atributo de estado de resposta de autenticação de OLT indica que o atributo de tabela de resposta de autenticação de OLT não está completo, e o valor verdadeiro do atributo de estado de resposta de auten-ticação de OLT indica que o atributo de tabela de resposta de autenticação de OLT está completo; e em que os atributos (220) são comunicados através de um canal de OMCI entre a ONU (120, 200) e o OLT (110) e fornece as funções de segurança para a ONU (120, 200) e para o OLT (110).
2. Aparelho, de acordo com a reivindicação 1, caracterizado pelo fato de que as funções de segurança compreendem uma função de descoberta da capacidade de segurança, uma função de autenticação da ONU, uma função de autenticação do OLT, e uma função de privacidade da chave.
3. Aparelho, de acordo com a reivindicação 1, caracterizado pelo fato de que os atributos (220) compreendem um atributo de identificado (ID) de ME de dois bytes que identifica uma instância do ME.
4. Aparelho para fornecer segurança melhorada em sistema de rede óptica passivo, caracterizado pelo fato de que compreende: uma unidade de rede óptica (ONU) (120, 200) configurada para se acoplar a um terminal de linha óptico (OLT) (110) e compreendendo uma entidade de gerenciamento (ME) de interface de controle de ONU (OMCI), em que a ME de OMCI compreende uma pluralidade de atributos (220) que suporta uma pluralidade de funções de segurança de transmissões a montante entre a ONU (120, 200) e o OLT (110), em que os atributos compreendo um atributo de tabela de resposta de autenticação de OLT para especificar um resposta a ser usada em uma função de autenticação de OLT, um atributo de estado de resposta de autenticação de OLT para controlar e reportar o estado do atributo de tabela de resposta de autenticação de OLT; em que o valor falso do atributo de estado de resposta de autenticação de OLT indica que o atributo de tabela de resposta de autenticação de OLT não está completo, e o valor verdadeiro do atributo de estado de resposta de auten-ticação de OLT indica que o atributo de tabela de resposta de autenticação de OLT está completo; e em que os atributos (220) são comunicados através de um canal de OMCI entre a ONU (120, 200) e o OLT (110) e fornece as funções de segurança para a ONU (120, 200) e para o OLT (110).
5. Aparelho, de acordo com a reivindicação 4, caracterizado pelo fato de que os atributos (220) compreendem um atributo de identificado (ID) de ME de dois bytes que identifica uma instância do ME.
6. Método para fornecer segurança melhorada em sistema de rede óptica passivo, caracterizado pelo fato de que compreende as etapas de: trocar uma pluralidade de atributos de segurança com uma unidade de rede óptica (ONU) (120, 200) usando um canal de interface de controle de ONU (OMCI), para assim fornecer uma pluralidade de funções de segurança de para comunicações a montante a partir da ONU (120, 200), em que os atributos compreendo um atributo de tabela de resposta de autenticação de terminal de linha óptico (OLT) para especificar um resposta a ser usada em uma função de autenticação de OLT, um atributo de estado de resposta de autenticação de OLT para controlar e reportar o estado do atributo de tabela de resposta de autenticação de OLT; em que o valor falso do atributo de estado de resposta de autenticação de OLT indica que o atributo de tabela de resposta de autenticação de OLT não está completo, e o valor verdadeiro do atributo de estado de resposta de autenticação de OLT indica que o atributo de tabela de resposta de autenticação de OLT está completo; em que os atributos são trocados sem modicar um canal de operação de camada física, administração, e gerenciamento (PLOAM) entre o OLT (110) e a ONU (120, 200).
Applications Claiming Priority (5)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| US23052009P | 2009-07-31 | 2009-07-31 | |
| US61/230,520 | 2009-07-31 | ||
| US12/844,173 | 2010-07-27 | ||
| US12/844,173 US8850197B2 (en) | 2009-07-31 | 2010-07-27 | Optical network terminal management control interface-based passive optical network security enhancement |
| PCT/CN2010/075618 WO2011012092A1 (en) | 2009-07-31 | 2010-07-31 | Optical network terminal management control interface-based passive optical network security enhancement |
Publications (3)
| Publication Number | Publication Date |
|---|---|
| BR112012008062A2 BR112012008062A2 (pt) | 2016-03-01 |
| BR112012008062B1 true BR112012008062B1 (pt) | 2021-04-20 |
| BR112012008062B8 BR112012008062B8 (pt) | 2024-02-27 |
Family
ID=43528092
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| BR112012008062A BR112012008062B8 (pt) | 2009-07-31 | 2010-07-31 | Aparelho e método para fornecer segurança melhorada em sistema de rede óptica passivo |
Country Status (14)
| Country | Link |
|---|---|
| US (3) | US8850197B2 (pt) |
| EP (3) | EP2449718B1 (pt) |
| JP (1) | JP5366108B2 (pt) |
| KR (1) | KR101370272B1 (pt) |
| CN (1) | CN102656838B (pt) |
| AU (1) | AU2010278478B2 (pt) |
| BR (1) | BR112012008062B8 (pt) |
| CA (1) | CA2769226C (pt) |
| ES (2) | ES2606959T3 (pt) |
| MX (1) | MX2012001203A (pt) |
| PL (2) | PL2882134T3 (pt) |
| PT (1) | PT2882134T (pt) |
| RU (1) | RU2507691C2 (pt) |
| WO (1) | WO2011012092A1 (pt) |
Families Citing this family (40)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US8751630B2 (en) * | 2008-10-28 | 2014-06-10 | Futurewei Technologies, Inc. | Collecting status from a partner management domain |
| US8850197B2 (en) | 2009-07-31 | 2014-09-30 | Futurewei Technologies, Inc. | Optical network terminal management control interface-based passive optical network security enhancement |
| CN102136907A (zh) * | 2010-01-25 | 2011-07-27 | 中兴通讯股份有限公司 | 一种无源光网络系统组播业务加密方法和装置 |
| US8422887B2 (en) * | 2010-01-31 | 2013-04-16 | Pmc Sierra Ltd | System for redundancy in Ethernet passive optical networks (EPONs) |
| US9185555B2 (en) * | 2010-04-22 | 2015-11-10 | Futurewei Technologies, Inc. | Method for authentication of a wireless backup system for an optical network unit |
| KR20120073869A (ko) * | 2010-12-27 | 2012-07-05 | 한국전자통신연구원 | Ｐｏｎ 시스템에서 ｏａｍ 메시지 전송 방법 및 에러 처리 방법 |
| CN102395056B (zh) * | 2011-06-29 | 2017-09-26 | 中兴通讯股份有限公司 | 虚拟局域网模式的配置方法、系统 |
| CN102571350B (zh) * | 2011-12-30 | 2018-04-10 | 中兴通讯股份有限公司 | 光网络单元认证方法及装置 |
| US8909929B2 (en) * | 2012-05-31 | 2014-12-09 | Atmel Corporation | Stored public key validity registers for cryptographic devices and systems |
| US9756036B2 (en) * | 2012-06-15 | 2017-09-05 | Nokia Technologies Oy | Mechanisms for certificate revocation status verification on constrained devices |
| EP2865109B1 (en) * | 2012-06-20 | 2018-06-06 | Telefonaktiebolaget LM Ericsson (publ) | Devices and methods for flow control of messages in an passive optical network (pon) and methods therein |
| CN103067204B (zh) * | 2012-12-25 | 2017-08-04 | 上海斐讯数据通信技术有限公司 | 一种从应用层访问omci实体的方法 |
| US9535680B2 (en) * | 2013-03-12 | 2017-01-03 | Broadcom Corporation | Flashless optical network unit |
| TWI504176B (zh) | 2013-06-14 | 2015-10-11 | Univ Nat Chiao Tung | 分波多工光纖網路系統 |
| MY184439A (en) * | 2013-08-22 | 2021-04-01 | Huawei Tech Co Ltd | Terminal authentication method, apparatus, and system in passive optical network |
| SG11201604669XA (en) | 2013-12-13 | 2016-07-28 | Huawei Tech Co Ltd | Optical line terminal, communications method, and passive optical network system |
| US9768905B2 (en) * | 2014-06-25 | 2017-09-19 | Futurewei Technologies, Inc. | Optical line terminal (OLT) support of optical network unit (ONU) calibration |
| CN105471603B (zh) * | 2014-08-19 | 2020-12-11 | 中兴通讯股份有限公司 | 一种远程配置光网络单元ptp业务的方法、装置和系统 |
| CN105447380A (zh) * | 2014-09-28 | 2016-03-30 | 上海贝尔股份有限公司 | 一种pon网络系统中客户端代码完整性检测方法及装置 |
| CN104394042B (zh) * | 2014-12-17 | 2018-01-02 | 上海斐讯数据通信技术有限公司 | 一种mib测试onu系统升级的方法 |
| US10063312B2 (en) | 2016-06-21 | 2018-08-28 | Futurewei Technologies, Inc. | Optical network unit reset message |
| US10210317B2 (en) * | 2016-08-15 | 2019-02-19 | International Business Machines Corporation | Multiple-point cognitive identity challenge system |
| JP6841120B2 (ja) * | 2017-03-29 | 2021-03-10 | 沖電気工業株式会社 | 加入者側終端装置、局側終端装置、通信システム、加入者側終端装置のプログラムおよび局側終端装置のプログラム |
| RU2754871C2 (ru) * | 2017-04-03 | 2021-09-08 | Листат Лтд. | Способы и устройство гиперзащищенной связи "последней мили" |
| CN109039600B (zh) * | 2018-07-16 | 2020-01-07 | 烽火通信科技股份有限公司 | 一种无源光网络系统中协商加密算法的方法及系统 |
| CN109246119B (zh) * | 2018-09-28 | 2021-09-14 | 四川天邑康和通信股份有限公司 | 一种具有认证信息自动修改功能的pon系统 |
| CN112232817A (zh) * | 2018-10-25 | 2021-01-15 | 创新先进技术有限公司 | 基于区块链的交易处理方法及装置、电子设备 |
| CN111526107B (zh) * | 2019-02-01 | 2022-07-19 | 中国移动通信有限公司研究院 | 一种网络设备认证方法、装置和存储介质 |
| CN112769547A (zh) * | 2019-11-05 | 2021-05-07 | 成都鼎桥通信技术有限公司 | 密钥分片传输方法和装置、及对应的接收方法和装置 |
| CN113068086B (zh) * | 2020-01-02 | 2023-04-18 | 上海诺基亚贝尔股份有限公司 | 一种用于传输omci消息的方法、装置和系统 |
| CN111786773B (zh) * | 2020-06-24 | 2022-10-18 | 重庆邮电大学 | 一种基于md5校验和aes加密的twdm-pon系统物理层安全方法 |
| US11184085B1 (en) * | 2020-09-03 | 2021-11-23 | Mellanox Technologies, Ltd. | Electro-optical interconnect assembly with integral tampering protection |
| CN114765706A (zh) * | 2021-01-15 | 2022-07-19 | 上海诺基亚贝尔股份有限公司 | 用于从OLT触发vOMCI功能发送OMCI消息的方法和装置 |
| US20220277102A1 (en) * | 2021-02-28 | 2022-09-01 | John JungKyun Kim | Process using one-way hashing function for secure collection, presentation and storage of PII |
| CN115277458B (zh) * | 2021-04-30 | 2023-11-17 | 阿里巴巴新加坡控股有限公司 | 服务提供方法、设备及存储介质 |
| WO2022231618A1 (en) * | 2021-04-30 | 2022-11-03 | Hewlett-Packard Development Company, L.P. | Protection of computing device from potential optical network intrusion attack |
| TWI757192B (zh) * | 2021-05-27 | 2022-03-01 | 瑞昱半導體股份有限公司 | 光網路單元及控制光網路單元與光連結終端進行連線的方法 |
| CN113395615B (zh) * | 2021-06-10 | 2022-05-06 | 烽火通信科技股份有限公司 | 一种消息处理方法、装置、电子设备和可读存储介质 |
| CN113923544B (zh) * | 2021-09-28 | 2023-05-12 | 烽火通信科技股份有限公司 | 标准及私有omci业务模型onu的管理方法及系统 |
| CN114302269B (zh) * | 2021-12-17 | 2024-04-09 | 博为科技有限公司 | Onu接入方法、装置、存储介质及电子设备 |
Family Cites Families (23)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US7301968B2 (en) * | 2001-03-02 | 2007-11-27 | Pmc-Sierra Israel Ltd. | Communication protocol for passive optical network topologies |
| NO319065B1 (no) | 2002-10-11 | 2005-06-13 | Telenor Asa | Apen aksessnettverks-arkitektur |
| KR100547724B1 (ko) | 2003-08-26 | 2006-01-31 | 삼성전자주식회사 | 데이터를 안정적으로 전송할 수 있는 기가비트 이더넷기반의 수동 광가입자망 및 이를 이용한 데이터 암호화 방법 |
| FI20031429A0 (fi) * | 2003-10-02 | 2003-10-02 | Nokia Corp | Varma upstream -tiedonsiirto passiivisessa optisissa verkoissa |
| US20060228113A1 (en) * | 2003-12-01 | 2006-10-12 | Siemens Aktiengesellschaft | Passive optical network unit management and control interface support for a digital subscriber line network |
| KR100675836B1 (ko) * | 2004-12-10 | 2007-01-29 | 한국전자통신연구원 | Ｅｐｏｎ 구간내에서의 링크 보안을 위한 인증 방법 |
| KR100715679B1 (ko) * | 2005-12-05 | 2007-05-09 | 한국전자통신연구원 | 인증 암호화를 통해 보안 전송을 가능하게 하는 ｇｐｏｎ시스템 및 그 인증 암호화 방법 |
| US8086872B2 (en) | 2005-12-08 | 2011-12-27 | Electronics And Telecommunications Research Institute | Method for setting security channel based on MPCP between OLT and ONUs in EPON, and MPCP message structure for controlling frame transmission |
| EP1978654B1 (en) | 2006-01-18 | 2014-01-08 | Huawei Technologies Co., Ltd. | A method for mapping the service stream to the service transmission channel, system and optical network terminator thereof |
| CN101064719A (zh) | 2006-04-27 | 2007-10-31 | 华为技术有限公司 | Pon系统中加密算法协商方法 |
| US20070274720A1 (en) * | 2006-05-25 | 2007-11-29 | Menasco Heyward E Jr | Optical Network Unit Activation |
| JP4753254B2 (ja) * | 2006-08-08 | 2011-08-24 | 日本電信電話株式会社 | 暗号化通信システム、ならびに暗号化手段を備えたｏｌｔおよびｏｎｕ |
| US8121479B2 (en) * | 2006-08-11 | 2012-02-21 | Futurewei Technologies, Inc. | Optical network terminal management and control interface (OMCI) containing a description of the OMCI |
| CN1968089A (zh) | 2006-09-29 | 2007-05-23 | 华为技术有限公司 | 一种无源光网络的用户认证方法 |
| CN101247258B (zh) | 2007-02-12 | 2011-02-09 | 华为技术有限公司 | 一种业务发放方法及系统 |
| CN101247220B (zh) | 2008-03-14 | 2011-03-02 | 中兴通讯股份有限公司 | 一种无源光网络系统密钥交换的方法 |
| CN101252522B (zh) | 2008-04-02 | 2012-07-04 | 中兴通讯股份有限公司 | 介质访问控制地址过滤配置的方法及系统 |
| CN101252500B (zh) | 2008-04-16 | 2012-08-08 | 杭州华三通信技术有限公司 | 任意拓扑相交环网的实现方法、节点和相交环网 |
| JP5276935B2 (ja) * | 2008-09-12 | 2013-08-28 | 株式会社日立製作所 | 受動光網システムおよびその障害特定方法 |
| KR100982017B1 (ko) * | 2008-10-02 | 2010-09-14 | 한국전자통신연구원 | 기가비트 수동형 광 통신망 장치에서 동일한 시리얼 넘버를가진 비 정상적인 광 가입자장치의 차단방법 |
| EP2351311B1 (en) * | 2008-11-03 | 2015-07-01 | Telecom Italia S.p.A. | Method for increasing security in a passive optical network |
| JP5269641B2 (ja) * | 2009-02-23 | 2013-08-21 | 富士通テレコムネットワークス株式会社 | ユーザ認証システムおよびユーザ認証方法 |
| US8850197B2 (en) | 2009-07-31 | 2014-09-30 | Futurewei Technologies, Inc. | Optical network terminal management control interface-based passive optical network security enhancement |
-
2010
- 2010-07-27 US US12/844,173 patent/US8850197B2/en active Active
- 2010-07-31 EP EP10803925.6A patent/EP2449718B1/en active Active
- 2010-07-31 BR BR112012008062A patent/BR112012008062B8/pt active IP Right Grant
- 2010-07-31 RU RU2012107414/08A patent/RU2507691C2/ru active
- 2010-07-31 MX MX2012001203A patent/MX2012001203A/es active IP Right Grant
- 2010-07-31 EP EP14200355.7A patent/EP2882134B1/en active Active
- 2010-07-31 CA CA2769226A patent/CA2769226C/en active Active
- 2010-07-31 KR KR1020127003798A patent/KR101370272B1/ko active IP Right Grant
- 2010-07-31 WO PCT/CN2010/075618 patent/WO2011012092A1/en active Application Filing
- 2010-07-31 PL PL14200355T patent/PL2882134T3/pl unknown
- 2010-07-31 JP JP2012521952A patent/JP5366108B2/ja active Active
- 2010-07-31 AU AU2010278478A patent/AU2010278478B2/en active Active
- 2010-07-31 PT PT142003557T patent/PT2882134T/pt unknown
- 2010-07-31 ES ES14200355.7T patent/ES2606959T3/es active Active
- 2010-07-31 ES ES10803925.6T patent/ES2536784T3/es active Active
- 2010-07-31 CN CN201080028318.0A patent/CN102656838B/zh active Active
- 2010-07-31 EP EP16184139.0A patent/EP3125465B1/en active Active
- 2010-07-31 PL PL10803925T patent/PL2449718T3/pl unknown
-
2011
- 2011-11-14 US US13/296,158 patent/US8442229B2/en active Active
-
2013
- 2013-10-25 US US14/063,922 patent/US9032209B2/en active Active
Also Published As
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| KR101370272B1 (ko) | 광 네트워크 단말 관리 제어 인터페이스에 기초한 수동 광 네트워크 보안성 강화 | |
| KR100715679B1 (ko) | 인증 암호화를 통해 보안 전송을 가능하게 하는 ｇｐｏｎ시스템 및 그 인증 암호화 방법 | |
| Yang et al. | Two-factor mutual authentication based on smart cards and passwords | |
| KR100675836B1 (ko) | Ｅｐｏｎ 구간내에서의 링크 보안을 위한 인증 방법 | |
| EP2351311B1 (en) | Method for increasing security in a passive optical network | |
| EP2957053B1 (en) | Authentication and initial key exchange in ethernet passive optical network over coaxial network | |
| WO2011131141A1 (en) | Ethod for authentication of a wireless backup system for an optical network unit | |
| EP2439871B1 (en) | Method and device for encrypting multicast service in passive optical network system | |
| JP2017135461A (ja) | 加入者終端装置、局側終端装置、光信号伝送装置および通信システム | |
| WO2014101084A1 (zh) | 一种认证方法、设备和系统 | |
| EP2091176A1 (en) | Data communication | |
| CN101998180A (zh) | 一种支持光线路终端和光网络单元版本兼容的方法及系统 | |
| US20230231728A1 (en) | Secure communication method and apparatus in passive optical network |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| B06F | Objections, documents and/or translations needed after an examination request according [chapter 6.6 patent gazette] | ||
| B06U | Preliminary requirement: requests with searches performed by other patent offices: procedure suspended [chapter 6.21 patent gazette] | ||
| B15K | Others concerning applications: alteration of classification |
Free format text: AS CLASSIFICACOES ANTERIORES ERAM: H04L 9/08 , H04B 10/00 , H04Q 11/00 Ipc: H04L 9/08 (1990.01), H04L 9/32 (1990.01), H04L 29/ |
|
| B09A | Decision: intention to grant [chapter 9.1 patent gazette] | ||
| B16A | Patent or certificate of addition of invention granted [chapter 16.1 patent gazette] |
Free format text: PRAZO DE VALIDADE: 10 (DEZ) ANOS CONTADOS A PARTIR DE 20/04/2021, OBSERVADAS AS CONDICOES LEGAIS. |
|
| B16B | Notification of grant cancelled [chapter 16.2 patent gazette] |
Free format text: ANULADA A PUBLICACAO CODIGO 16.1 NA RPI NO 2624 DE 20/04/2021 POR TER SIDO INDEVIDA. |
|
| B09W | Correction of the decision to grant [chapter 9.1.4 patent gazette] |
Free format text: DEVIDO A INCORRECOES NO QUADRO 1. |
|
| B16A | Patent or certificate of addition of invention granted [chapter 16.1 patent gazette] |
Free format text: PRAZO DE VALIDADE: 20 (VINTE) ANOS CONTADOS A PARTIR DE 31/07/2010, OBSERVADAS AS CONDICOES LEGAIS. PATENTE CONCEDIDA CONFORME ADI 5.529/DF, QUE DETERMINA A ALTERACAO DO PRAZO DE CONCESSAO. |