CN102045601B - 一种gpon系统中的onu激活方法及系统 - Google Patents

Abstract

本发明公开了一种GPON系统中的ONU激活方法及系统，用于解决ONU激活过程中上行认证信息被窃听以及恶意注册的非法ONU占用GPON系统资源的技术问题。本发明为了保证ONU设备认证的安全性，为OLT和ONU预先分配用户标识和用户密钥，OLT在本地保存设备标识与用户标识以及用户密钥的对应关系，ONU在激活过程中向OLT提供设备标识、加密的用户标识，OLT通过所述设备标识获得ONU对应的本地保存的用户密钥和用户标识，对加密的用户标识进行ONU设备认证。本发明能够避免非法ONU激活时占用消耗GPON系统的资源，防止恶意用户对ONU认证过程的窃听和仿冒，保证了ONU设备认证的安全性。

Description

一种GPON系统中的ONU激活方法及系统

技术领域

本发明涉及GPON(Gigabit Passive Optical Network，吉比特无源光网络)领域，更具体的说，涉及一种GPON系统中的ONU激活方法及系统。

背景技术

GPON系统一般由OLT(Optical Line Terminal，光线路终端)、ONU(OpticalNetwork Unit，光网络单元)和ODN(Optical Distribution Network，光分配网络)组成，ODN为点到多点结构，一个OLT通过ODN连接多个ONU。

在GPON系统中，为了防止非法ONU接入OLT，一般OLT需要对ONU进行认证。OLT对ONU的认证是基于ONU的SN(Serial Number，序列号)或者RegID(Registration ID，注册身份标识)来实现的。OLT对ONU的认证是在ONU激活过程后期进行的，ONU的激活过程主要包括以下步骤：

步骤1、ONU侦听OLT发送的下行GTC(GPON Transmission Convergence，GPON传输汇聚)帧并获取帧同步；

步骤2、ONU侦听并获取OLT周期性发送的参数配置；

步骤3、ONU侦听OLT周期性发送的序列号请求，并向OLT发送SN；

步骤4、OLT根据SN向该ONU分配ONU标识(ONU-ID)；

步骤5、OLT对该ONU发送测距请求(该测距请求为一个带宽分配)进行测距，ONU发送测距响应，OLT计算测距结果并将测距结果通知给ONU；

步骤6、OLT向ONU请求RegID，ONU向OLT发送RegID；

步骤7、OLT对ONU的SN和RegID进行认证，如果认证通过则对ONU进行进一步的配置并提供业务，否则将去激活ONU并收回分配的ONU-ID。

可以看出ONU激活过程是占用系统资源的，如步骤4中分配的ONU-ID，在一个PON口下只有256个取值可用，因此ONU-ID是GPON系统中非常重要的资源；如步骤5中的测距请求实际上是一个带宽分配，步骤6中OLT和ONU之间交互RegID也涉及带宽分配，而带宽是也GPON系统中非常重要的资源；步骤7中还需要回收分配给非法ONU的ONU-ID，也增加了GPON系统及其管理系统的额外工作。

另外，步骤3、4中ONU的SN以及步骤6中ONU的RegID都是明文发送的，容易被窃听和仿冒；步骤5中ONU发送的测距响应没有任何保护措施，恶意ONU只要知道其它ONU的ONU-ID即可仿冒发送测距响应，可能造成测距结果的不准确。

发明内容

有鉴于此，本发明的主要目的在于提供一种GPON系统中的ONU激活方法及系统，用于解决ONU激活过程中上行认证信息被窃听以及恶意注册的非法ONU占用GPON系统资源的技术问题。

为达到上述目的，本发明的技术方案是这样实现的：

一种GPON系统中的ONU激活方法，包括：

所述光网络单元(ONU)在激活过程中向光线路终端(OLT)发送设备标识和加密的用户标识，所述OLT对所述ONU发送的设备标识和加密的用户标识进行认证，若认证成功则继续ONU激活过程，否则终止ONU激活过程。

进一步地，所述加密的用户标识由所述ONU利用用户密钥对用户标识进行加密而获得，所述用户标识及用户密钥在所述ONU激活之前分配给所述ONU，所述OLT中保存有设备标识与用户标识以及用户密码之间的对应关系。

进一步地，所述OLT对所述ONU发送的加密的用户标识进行认证的方法为：

所述OLT通过所述设备标识获得所述ONU对应的本地保存的用户密钥和用户标识；

所述OLT用本地用户密钥对本地用户标识进行加密并与所述ONU发送的加密的用户标识进行比较，如果一致则认证成功，否则认证失败；或所述OLT用本地用户密钥对所述ONU发送的加密的用户标识进行解密并与本地的用户标识进行比较，如果一致则认证成功，否则认证失败。

进一步地，基于实施例一，所述ONU在接收到所述OLT发送的设备认证请求后向所述OLT发送自身的设备标识、加密的用户标识，所述设备标识至少包括所述ONU的序列号或注册身份标识；所述OLT对所述ONU发送的设备标识和加密的用户标识进行认证，认证成功后，所述OLT根据所述ONU的序列号向所述ONU分配ONU标识(ONU-ID)。

基于上述方法，所述ONU在接收到所述OLT的测距请求后，向所述OLT发送测距响应和加密的用户标识；所述OLT对所述加密的用户标识进行认证，若认证成功则将测距结果通知给所述ONU，否则终止所述ONU的激活过程。

进一步地，基于实施例二，所述ONU在接收到所述OLT发送的设备认证请求后向所述OLT发送自身的设备标识；

所述OLT对所述ONU发送的设备标识进行认证，认证成功后，所述OLT根据所述ONU的设备标识向所述ONU分配ONU标识(ONU-ID)；

所述ONU在接收到所述OLT发送的测距请求后向所述OLT发送所述加密的用户标识作为测距响应，所述OLT对所述ONU发送的加密的用户标识进行认证，认证成功后，将测距结果通知给所述ONU。

基于上述方法，所述设备标识为所述ONU的序列号或注册身份标识；若所述设备标识为注册身份标识，则还包括所述OLT向所述ONU请求获取序列号的过程。

进一步地，在所述OLT对所述ONU发送的设备标识和加密的用户标识认证成功后，所述OLT和所述ONU更新所述ONU对应的用户密钥，并各自存储在本地，供下一次认证使用。

本发明还提出一种GPON系统中的ONU激活系统，包括光线路终端(OLT)、光网络单元(ONU)，所述OLT侧中还包括：

设备标识认证单元，位于OLT侧，用于对所述ONU发送的设备标识进行认证；

加密用户标识认证单元，位于OLT侧，用于对ONU发送的加密的用户标识进行认证；

所述OLT对根据所述设备标识和加密的用户标识的认证结果执行进一步地处理。

进一步地，所述加密的用户标识由所述ONU利用用户密钥对用户标识进行加密而获得，所述用户标识及用户密钥在所述ONU激活之前分配给所述ONU，所述OLT中保存有设备标识与用户标识以及用户密码之间的对应关系。

进一步地，所述加密用户标识认证单元通过所述设备标识获得所述ONU对应的本地保存的用户密钥和用户标识，

所述加密用户标识认证单元用本地用户密钥对本地用户标识进行加密并与所述ONU发送的加密的用户标识进行比较，如果一致则对所述加密用户标识的认证成功，否则认证失败；或所述加密用户标识认证单元用本地用户密钥对所述ONU发送的加密的用户标识进行解密并与本地的用户标识进行比较，如果一致则对所述加密用户标识的认证成功，否则认证失败。

进一步地，基于实施例一，所述ONU在接收到所述OLT发送的设备认证请求后向所述OLT发送自身的设备标识、加密的用户标识；所述设备标识至少包括所述ONU的序列号或注册身份标识；所述设备标识认证单元对所述设备标识进行认证，若认证失败则终止ONU激活过程；若认证成功则由所述加密用户标识认证单元对加密的用户标识进行认证，若认证成功则OLT根据所述ONU的序列号向所述ONU分配ONU标识(ONU-ID)，若认证失败则终止ONU激活过程。

基于上述方法，所述ONU在接收到所述OLT的测距请求后，向所述OLT发送测距响应和加密的用户标识；所述设备标识认证单元对所述加密的用户标识进行认证，若认证成功则将测距结果通知给所述ONU，否则终止所述ONU的激活过程。

进一步地，基于实施例二，所述ONU在接收到所述OLT发送的设备认证请求后向所述OLT发送自身的设备标识；

所述设备标识认证单元对所述ONU发送的设备标识进行认证，认证成功后，所述OLT根据所述ONU的设备标识向所述ONU分配ONU标识(ONU-ID)；

所述ONU在接收到所述OLT发送的测距请求后向所述OLT发送所述加密的用户标识作为测距响应，所述加密用户标识认证单元对所述ONU发送的加密的用户标识进行认证，认证成功后，将测距结果通知给所述ONU。

进一步地，在所述设备标识认证单元对所述设备标识进行认证及所述加密用户标识认证单元对所述加密的用户标识进行认证成功后，所述OLT和所述ONU更新所述ONU对应的用户密钥，并各自存储在本地，供下一次认证使用。

本发明改进了GPON系统现有的ONU认证过程，避免非法ONU激活时占用消耗GPON系统的资源，同时防止恶意用户对ONU认证过程的窃听和仿冒，从而保证了ONU设备认证的安全性。

附图说明

图1集中发送认证信息的ONU设备认证过程；

图2对集中发送的认证信息的认证过程；

图3分散发送认证信息的ONU设备认证过程。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明白，以下举实施例并参照附图，对本发明进一步详细说明。

ONU的应用场景一般存在以下两种情况：

(1)ONU设备是运营商分配的

这种情况下，ONU的序列号(Serial Number，SN)一般已经配置在OLT的数据库中，也就是说ONU的序列号是合法的，因此ONU激活过程仅需要序列号而不需要RegID，OLT对ONU的初始激活过程和后续激活过程都是基于序列号SN进行的。

(2)ONU设备是用户自行购买的

这种情况下，运营商不知道该设备的序列号，运营商需要给用户分配一个RegID，ONU设备初次认证需提供RegID，使得OLT通过合法的RegID让序列号成为合法。以后的ONU激活过程中序列号已经配置在OLT中，该序列号类同于第一种情况，ONU设备初次激活之后的激活过程只需要序列号。

本发明中，为了保证ONU设备认证的安全性，为OLT和ONU预先分配用户标识和用户密钥，OLT在本地保存设备标识(包括序列号和/或RegID)与用户标识以及用户密钥的对应关系。ONU在激活过程中向OLT提供设备标识、加密的用户标识，OLT通过所述设备标识获得ONU对应的本地保存的用户密钥和用户标识，然后对所述ONU发送的加密的用户标识进行ONU设备认证。其中，加密的用户标识是用用户密钥对用户标识进行加密而得到的，设备标识是明文发送的。

本发明中，为了防止恶意用户侦听、仿冒ONU发送的加密的用户标识，在ONU设备认证成功后需更新ONU的用户密钥，用户密钥的更新过程可由OLT发起也可以由ONU发起，主要有以下两种方式：

a、用户密钥更新过程由OLT发起(发起端)。OLT产生新的用户密钥，并用旧的用户密钥加密，再将加密后的新用户密钥发送给ONU(对端)；ONU收到OLT发送的加密的新用户密钥，用旧的用户密钥解密得到新的用户密钥，并保存新的用户密钥。下一次ONU激活过程中，OLT和ONU都采用新的用户密钥。

b、用户密钥更新过程由ONU发起(发起端)。ONU产生新的用户密钥，并用旧的用户密钥加密，再将加密后的新用户密钥发送给OLT(对端)，OLT收到ONU发送的加密的新用户密钥，用旧的用户密钥解密得到新的用户密钥。下一次ONU激活过程中，OLT和ONU都采用新的用户密钥。

实施例一：集中发送认证信息的ONU激活过程

本实施例在ONU设备激活过程中集中发送ONU的认证信息，如图1所示，关键步骤包括：

步骤101：OLT发送设备认证请求给ONU；

步骤102：ONU向OLT发送设备标识(包括序列号和RegID)和加密的用户标识；

步骤103：OLT针对ONU发送的设备标识和加密的用户标识进行认证，认证成功进入步骤104，否则终止ONU激活过程并停止与ONU进一步交互。

为实现对设备标识及加密的用户标识的认证，本发明在OLT中增添两个模块，分别是用于进行设备标识认证的设备标识认证单元及用于对加密的用户标识进行认证的加密用户标识认证单元。本实施例中，步骤103同时调用这两个单元分别对设备标识和加密的用户标识进行认证。该实施例中的设备标识包括ONU的序列号及RegID，具体认证过程如图2所示。

步骤104：OLT根据ONU的序列号向该ONU分配ONU-ID，并发送新的用户密钥；

步骤105：OLT向该ONU发送测距请求；

步骤106：ONU发送测距响应和加密的用户标识给OLT；

步骤107：OLT首先判断加密的用户标识是否合法，如果合法则计算测距结果，进入步骤108，否则终止ONU的激活过程；

该步骤中，OLT调用加密用户标识认证单元对加密的用户标识进行认证，如果ONU提供的加密的用户标识合法则认证成功。

步骤108：OLT将测距结果通知给ONU；

图2为本发明OLT对ONU的设备标识和加密的用户标识的认证过程：

步骤201：OLT调用设备标识认证单元判断ONU的序列号是否合法，如果合法，则OLT根据序列号获得OLT本地保存的对应ONU的用户标识和用户密码，进入步骤203，否则进入步骤202；

步骤202：如果存在RegID，则OLT调用设备标识认证单元判断RegID是否合法，若合法则将序列号也设置为合法，并根据RegID获得OLT本地保存的对应ONU的用户标识和用户密码，进入步骤203，否则认证失败；

步骤203：OLT调用加密用户标识认证单元用本地用户密钥对本地用户标识进行加密并与ONU发送的加密的用户标识进行比较，如果一致则认证成功，否则认证失败。

实施例二：分散发送认证信息的ONU激活过程

本实施例在ONU激活过程中分散发送ONU的认证信息，如图3所示，关键步骤包括：

步骤301：OLT发送设备认证请求；

步骤302：ONU向OLT发送设备标识，设备标识为序列号或者RegID；

步骤303：OLT调用设备标识认证单元判断设备标识(序列号或者RegID)是否合法，如果合法则进入步骤304；否则终止ONU激活过程并停止与ONU进一步交互；

步骤304：OLT根据合法的ONU设备标识(序列号或者RegID)向该ONU分配ONU-ID；

步骤305：OLT对该ONU发送测距请求进行测距；

步骤306：ONU发送加密的用户标识作为对测距请求的响应；

步骤307：OLT调用加密用户标识认证单元对ONU发送的加密的用户标识进行认证，该单元根据设备标识获得本地保存的ONU对应的用户标识和用户密码，用本地用户密钥对ONU发送的加密的用户标识进行解密并与本地的用户标识进行比较，如果一致则计算测距结果，进入步骤308，否则终止ONU的激活认证过程；

步骤308：OLT将测距结果通知给ONU；

步骤309：若在步骤303中ONU发送的是RegID，则OLT向ONU发送序列号请求；

步骤310：ONU发送序列号给OLT；

步骤311：ONU向OLT发送新的用户密钥。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。

Claims (11)

1.一种GPON系统中的ONU激活方法，其特征在于，包括：

在光网络单元ONU激活之前，为光线路终端OLT和所述ONU预先分配用户标识和用户密钥，所述OLT在本地保存设备标识与用户标识以及用户密钥的对应关系，所述设备标识包括序列号SN；

所述ONU在激活过程中向所述OLT发送设备标识和加密的用户标识，所述OLT对所述ONU发送的设备标识和加密的用户标识进行认证，若认证成功则继续ONU激活过程，否则终止ONU激活过程；

所述OLT对所述ONU发送的设备标识和加密的用户标识进行认证为：所述OLT通过所述设备标识获得所述ONU对应的本地保存的用户密钥和用户标识；所述OLT用本地用户密钥对本地用户标识进行加密并与所述ONU发送的加密的用户标识进行比较，如果一致则认证成功，否则认证失败；或，所述OLT用本地用户密钥对所述ONU发送的加密的用户标识进行解密并与本地的用户标识进行比较，如果一致则认证成功，否则认证失败；所述加密的用户标识由所述ONU利用用户密钥对用户标识进行加密而获得。

2.根据权利要求1所述的方法，其特征在于，

所述ONU在接收到所述OLT发送的设备认证请求后向所述OLT发送自身的设备标识、加密的用户标识，所述设备标识至少包括所述ONU的序列号或注册身份标识；

所述OLT对所述ONU发送的设备标识和加密的用户标识进行认证，认证成功后，所述OLT根据所述ONU的序列号向所述ONU分配ONU标识(ONU-ID)。

3.根据权利要求2所述的方法，其特征在于，所述ONU在接收到所述OLT的测距请求后，向所述OLT发送测距响应和加密的用户标识；所述OLT对所述加密的用户标识进行认证，若认证成功则将测距结果通知给所述ONU，否则终止所述ONU的激活过程。

4.根据权利要求1所述的方法，其特征在于，

所述ONU在接收到所述OLT发送的设备认证请求后向所述OLT发送自身的设备标识；

所述OLT对所述ONU发送的设备标识进行认证，认证成功后，所述OLT根据所述ONU的设备标识向所述ONU分配ONU标识(ONU-ID)；

所述ONU在接收到所述OLT发送的测距请求后向所述OLT发送所述加密的用户标识作为测距响应，所述OLT对所述ONU发送的加密的用户标识进行认证，认证成功后，将测距结果通知给所述ONU。

5.根据权利要求4所述的方法，其特征在于，所述设备标识为所述ONU的序列号或注册身份标识；若所述设备标识为注册身份标识，则还包括所述OLT向所述ONU请求获取序列号的过程。

6.根据权利要求1所述的方法，其特征在于，在所述OLT对所述ONU发送的设备标识和加密的用户标识认证成功后，所述OLT和所述ONU更新所述ONU对应的用户密钥，并各自存储在本地，供下一次认证使用。

7.一种GPON系统中的ONU激活系统，包括光线路终端OLT、光网络单元ONU，其特征在于，在所述ONU激活之前，为所述OLT和所述ONU预先分配用户标识和用户密钥，所述OLT在本地保存设备标识与用户标识以及用户密钥的对应关系，所述设备标识包括序列号SN；还包括：

设备标识认证单元，位于OLT侧，用于对所述ONU发送的设备标识进行认证；

加密用户标识认证单元，位于OLT侧，用于对ONU发送的加密的用户标识进行认证，具体为：通过所述设备标识获得所述ONU对应的本地保存的用户密钥和用户标识；用本地用户密钥对本地用户标识进行加密并与所述ONU发送的加密的用户标识进行比较，如果一致则对所述加密用户标识的认证成功，否则认证失败；或，用本地用户密钥对所述ONU发送的加密的用户标识进行解密并与本地的用户标识进行比较，如果一致则对所述加密用户标识的认证成功，否则认证失败；

所述OLT对根据所述设备标识和加密的用户标识的认证结果执行进一步地处理；所述加密的用户标识由所述ONU利用用户密钥对用户标识进行加密而获得。

8.根据权利要求7所述的系统，其特征在于，所述ONU在接收到所述OLT发送的设备认证请求后向所述OLT发送自身的设备标识、加密的用户标识；所述设备标识至少包括所述ONU的序列号或注册身份标识；

所述设备标识认证单元对所述设备标识进行认证，若认证失败则终止ONU激活过程；若认证成功则由所述加密用户标识认证单元对加密的用户标识进行认证，若认证成功则OLT根据所述ONU的序列号向所述ONU分配ONU标识(ONU-ID)，若认证失败则终止ONU激活过程。

9.根据权利要求8所述的系统，其特征在于，所述ONU在接收到所述OLT的测距请求后，向所述OLT发送测距响应和加密的用户标识；所述设备标识认证单元对所述加密的用户标识进行认证，若认证成功则将测距结果通知给所述ONU，否则终止所述ONU的激活过程。

10.根据权利要求7所述的系统，其特征在于，

所述ONU在接收到所述OLT发送的设备认证请求后向所述OLT发送自身的设备标识；

所述设备标识认证单元对所述ONU发送的设备标识进行认证，认证成功后，所述OLT根据所述ONU的设备标识向所述ONU分配ONU标识(ONU-ID)；

所述ONU在接收到所述OLT发送的测距请求后向所述OLT发送所述加密的用户标识作为测距响应，所述加密用户标识认证单元对所述ONU发送的加密的用户标识进行认证，认证成功后，将测距结果通知给所述ONU。

11.根据权利要求7所述的系统，其特征在于，在所述设备标识认证单元对所述设备标识进行认证及所述加密用户标识认证单元对所述加密的用户标识进行认证成功后，所述OLT和所述ONU更新所述ONU对应的用户密钥，并各自存储在本地，供下一次认证使用。