CN103684762A - 用于增强无源光网络中的传输安全性的方法 - Google Patents

Abstract

本发明涉及一种增强无源光网络(PON)中的传输安全性的方法。特别地，本发明提出了一种在PON中的光线路终端(OLT)中用于增强所述PON中的传输安全性的方法，其包括以下步骤：从所述OLT所连接的光网络单元(ONU)接收第二消息，其包含由所述ONU所生成的公私钥对中的公钥；生成待用于所述OLT与所述ONU间的数据传输的数据密钥；通过用所述公钥加密所述数据密钥而获得经加密的所述数据密钥；向所述ONU发送第三消息，其包含所述经加密的所述数据密钥。采用本发明的方案，避免了以明文形式传输数据密钥，由此显著降低了数据密钥被截获的可能性，从而增强了传输安全性。此外，由OLT而非由ONU生成数据密钥，这能够防止恶意用户冒充ONU发送数据密钥。

Description

用于增强无源光网络中的传输安全性的方法

技术领域

本发明涉及无源光网络，尤其涉及用于增强无源光网络中的传输安全性的方法。

背景技术

无源光网络(Passive Optical Network，PON)是用于提供光纤接入(Fiber-to-x，FTTx)的常用技术之一。众多运营商将PON视为极具吸引力的、可用于提供高速宽带接入的解决方案。一般来说，一个PON包括一个光线路终端(Optical Line Terminal，OLT)以及经由光分配网络(Optical Distribution Network，ODN)连接至该OLT的若干光网络单元(Optical Network Unit，ONU)。在现有PON系统中，通常认为下行帧对于所有光网络单元都是可见的，而上行帧仅对于光线路终端是可见的。因而，在现有的PON系统中，仅对下行数据帧进行加密，而上行帧均是以明文传输的。

然而，在实际应用中，上行帧并不一定仅对于光线路终端是可见的。例如，恶意用户能够在光分配网络中对上行光线干线(fiertrunk upstream)进行窃听，从而有可能非法获得上行信息。另外，恶意用户也有可能利用光纤网络中的光反射而非法获得上行信息。

图1示出了现有PON系统中的密钥交换和加密的方法的流程图。参照图1，在步骤S101中，OLT 10向ONU 20发送新密钥请求；接着，在步骤S103中，ONU 20将新的加密密钥Key0发送给OLT 10。一旦接收到新的加密密钥Key0，OLT 10便使用该加密密钥Key0对下行数据进行加密并且向ONU 20发送经加密的下行数据。相应地，ONU 20使用该加密密钥Key0对接收到的下行数据进行解密。此外，OLT 10每隔一段预定的时间T_key将发送新密钥请求。继续参照图1，在步骤S105中，OLT 10再次向ONU 20发送新密钥请求；接着，在步骤S107中，ONU 20将新的加密密钥Key1发送给OLT 10；一旦接收到新的加密密钥Key1，OLT 10便使用该加密密钥Key1代替之前使用的加密密钥Key0对下行数据进行加密。相应地，ONU 20使用该加密密钥Key1对接收到的下行数据进行解密。

在现有PON系统中，由于上行帧均是以明文传输的，因此恶意用户有可能获得任一ONU的上行数据。因而，现有PON系统中的上行传输是不安全的。此外，由于用于加密下行数据的密钥是通过上行帧发送给OLT的，因此恶意用户有可能获得该密钥。而一旦获得了该密钥，恶意用户便能够使用该密钥来解密下行数据。因而，现有PON系统中的下行传输也是不安全的。

因此，需要提供一种能够增强PON系统中传输安全性的方案。

发明内容

针对上述技术问题，本发明的一个目的在于提供一种用于增强PON系统中传输安全性的方法。

根据本发明的一个方面，提供了一种在无源光网络中的光线路终端中用于增强所述无源光网络中的传输安全性的方法，其包括以下步骤：B.从所述光线路终端所连接的光网路单元接收第二消息，其包含由所述光网路单元所生成的公私钥对中的公钥；C.生成待用于所述光线路终端与所述光网路单元间的数据传输的数据密钥；D.通过用所述公钥加密所述数据密钥而获得经加密的所述数据密钥；E.向所述光网路单元发送第三消息，其包含所述经加密的所述数据密钥。

采用本发明的方案，避免了以明文形式传输数据密钥，由此显著降低了数据密钥被恶意用户所截获的可能性，从而增强了传输安全性。

特别地，光网络单元生成公私密钥对并且将公钥发送给光线路终端；接着，光线路终端以公钥加密生成的数据密钥并且将经加密的数据密钥发送给光网络单元；相应地，光网络单元在接收到经加密的数据密钥之后以私钥解密经加密的数据密钥而获得数据密钥。换言之，在传输数据密钥时，采用了非对称的加密技术对数据密钥进行加密。如此一来，即便恶意用户窃听到了公钥以及经加密的数据密钥，恶意用户也因没有私钥而无法获得数据密钥。

此外，根据本发明，由光线路终端而非由光网络单元生成数据密钥，这能够防止恶意用户冒充该光网络单元发送数据密钥。

假设以下由光网络单元生成数据密钥的情形：光线路终端生成公私密钥对并且将公钥发送给光网络单元；接着，光网络单元以公钥加密生成的数据密钥K1并且将经加密的数据密钥发送给光线路终端；相应地，光线路终端在接收到经加密的数据密钥之后以私钥解密经加密的数据密钥而获得数据密钥。在该情形下，恶意用户有可能窃听到公钥，以公钥加密其所生成的数据密钥K2，并且冒充该光网络单元将经加密的数据密钥发送给光线路终端。此时，光线路终端将获得来自该光线路终端的两个数据密钥K1和K2并且无法难以鉴别出其中一个实际上来自恶意用户。

与之相反，根据本发明，由光线路终端生成数据密钥，而恶意用户冒充光线路终端是几乎不可能的。

根据本发明的一个实施例，上述方法在所述步骤B之前包括以下步骤：A.向所述光网路单元发送包含第一信息的第一消息，所述第一信息用于请求所述光网路单元发送所述公钥。

相应地，响应于所接收的第一消息，光网络单元将生成公私钥对，并且将公钥发送给光线路终端。附加地或者替代地，光网络单元能够自发地发送公钥而无需光线路终端进行请求。例如，光网络单元能够以一预定的时间段周期性地生成公私钥对并将公钥发送给光线路终端。

根据本发明的另一个实施例，以一预定的周期执行所述步骤A。如此一来，能够周期性地更新数据密钥，从而进一步增强传输安全性。

根据本发明的另一个实施例，上述方法在所述步骤E之后还包括以下步骤：G1.通过用所述数据密钥加密待发送给所述光网路单元的下行数据而获得经加密的所述下行数据；G2.向所述光网路单元发送第六消息，其包含所述经加密的所述下行数据。

根据本发明的另一个实施例，上述方法在所述步骤E和所述步骤G1之间还包括以下步骤：F.从所述光网路单元接收包含第二信息的第四消息，所述第二信息用于指示所述光网路单元已通过解密所述经加密的所述数据密钥而获得所述数据密钥；以及在步骤F之后，执行所述步骤G1至所述步骤G2。

如此一来，能够确保光线路终端只有当光网络单元已经获得该数据密钥时才使用该数据密钥进行下行传输，从而确保下行数据的正确传输。尽管光线路终端在将包含经加密的数据密钥的第三消息发送给光网络单元(即步骤E)之后才发送包含以该数据密钥加密的下行数据的第六消息(即步骤G2)，然而有可能的是：光网络单元先于第三消息而收到第六消息(例如在有可能先发后至的系统中)；或者光网络单元没有收到包含经加密的数据密钥的第三消息，或者收到了第三消息却尚未成功获得该数据密钥。由此，光网络单元可能会错误地使用不同于该数据密钥的先前的数据密钥来解密第六消息中的经该数据密钥加密的下行数据。

作为上述步骤F的替代，光线路终端能够在完成步骤E之后，等待一预定的时间段再执行步骤G1和G2。能够如此选择该预定的时间段，以使得光网络单元在接收到第六消息之前已经收到第三消息并获得包含其中的数据密钥。

根据本发明的另一个实施例，所述第六消息还包含第四信息，其用于标识所述数据密钥。

相应地，光网络单元在接收到第六消息之后，用所述第四信息所标识的数据密钥对第六消息中所包含的经加密的下行数据进行解密。如此一来，能够进一步确保光网络单元总是使用正确的数据密钥对下行数据进行解密。

根据本发明的另一个实施例，上述方法还包括以下步骤：H1.从所述光网路单元接收第五消息，其包含经所述数据密钥加密的所述光网路单元的上行数据；H2.通过用所述数据密钥解密所接收的所述经所述数据密钥加密的所述上行数据而获得所述上行数据。

由此，上行数据也均得到了数据密钥的保护，从而实现了双向加密，增强了上行传输的安全性。

根据本发明的另一方面，提供了一种在无源光网络中的光网路单元中用于增强所述无源光网络的传输安全性的方法，包括以下步骤：b.生成公私钥对，其包含公钥和私钥；c.向所述光网路单元所连接的光线路终端发送第二消息，其包含所述公钥；d.从所述光线路终端接收第三消息，其包含经所述公钥加密的数据密钥；e.通过用所述私钥解密所述经所述公钥加密的所述数据密钥而获得所述数据密钥。

附图说明

通过参照附图阅读以下所作的对非限制性实施例的详细描述，本发明的其它特征、目的和优点将会变得更明显。

图1示出了现有PON系统中的密钥交换和加密的方法的流程图；

图2示出了根据本发明的一个实施例的用于增强PON的传输安全性的方法的流程图；

图3示出了图2中步骤S217的流程图；以及

图4示出了根据本发明的一个实施例的用于增强PON的传输安全性的方法的流程图；

其中，相同或相似的附图标记表示相同或相似的步骤特征或装置/模块。

具体实施方式

图2示出了根据本发明的一个实施例的用于增强PON的传输安全性的方法的流程图。图3示出了图2中步骤S217的流程图。

如前所述，无源光网络(PON)通常包括一个光线路终端(OLT)以及连接至该OLT的若干光网络单元(ONU)。在此，PON能够是E-PON(Ethernet PON，以太网无源光网络)、G-PON(1G bit PON，1G无源光网络)、XG-PON(10G bit PON，10G无源光网络)、TWDM-PON(time and wavelength division multiplexed PON，时分波分复用无源光网络)或者其他的现有的或将来开发的无源光网络。此外，虽然附图中仅示出了一个ONU 10，但是本领域技术人员应当理解能够存在多个ONU并且根据本发明的方案能够适用于各个ONU。

参照图2，在步骤S201中，在OLT 10与ONU 20之间完成ONU注册过程。例如，在E-PON中，该注册过程例如包括MPCP(multipoint control protocol，多点控制协议)注册过程以及OAM(operation，administration，maintenance，操作管理维护)消息发现过程。

接着，在步骤S203中，OLT 10向ONU 20发送第一消息，其包含用于请求ONU 20发送会话密钥(即用于加密数据密钥的公钥)的第一信息。

响应于所接收的第一消息，在步骤S205中，ONU 20生成一公私钥对，其包含公钥PubKey0以及私钥PriKey0。在此，公私钥对以及相应的非对称加密算法能够采用任何一种合适的非对称加密技术。在步骤207中，ONU 20向OLT 10发送第二消息，其包含其所生成的公钥PubKey0。

在步骤S209中，OLT 10生成数据密钥TrKey0以用于其与ONU20之间的数据传输，并且以所接收到的公钥PubKey0对生成的数据密钥TrKey0进行加密。在步骤S211中，OLT 10向ONU 20发送第三消息，其包含经加密的数据密钥TrKey0。

在接收到第三消息之后，在步骤S213中，ONU 20用私钥PriKey0对第三消息中所包含的经加密的数据密钥TrKey0进行解密以获得该数据密钥TrKey0。接着，在步骤S215中，ONU 20向OLT 10发送第四消息，其包含用于指示ONU 20已获得数据密钥TrKey0的第二信息。

随后，在步骤S217中，OLT 10和ONU 20使用数据密钥TrKey0进行数据传输。也就是说，OLT 10和ONU 20之间传输的上行、下行数据均由数据密钥TrKey0进行加密。在此，数据密钥以及相应的对称加密算法能够采用任何一种合适的对称加密技术。

根据本发明的一个实施例，能够通过扩展PON的管理消息来实现第一、第二、第三、第四消息。例如，在E-PON中，能够通过扩展的OAM消息来实现第一、第二、第三、第四消息；在G-PON或XG-PON中，能够通过扩展的PLOAM(physicallayer OAM，物理层OAM)消息来实现第一、第二、第三、第四消息。

下面参照图3对图2中的步骤S217进行说明。

参照图3，在步骤S301中，ONU 20以数据密钥TrKey0对待发送给OLT 10的上行数据进行加密以获得经TrKey0加密的上行数据，以及在步骤S303中，向OLT 10发送第五消息，其包含经TrKey0加密的上行数据。

在接收到第五消息之后，在步骤S305中，OLT 10以数据密钥TrKey0对第五消息中的经加密的上行数据进行解密以获得来自ONU 20的上行数据。

由此，通过步骤S301至S305，上行数据以密文形式从ONU 20发送至OLT 10。

类似地，通过步骤S307至S311，下行数据以密文形式从OLT 10发送至ONU 20。

具体地，在步骤S307中，OLT 10以数据密钥TrKey0对待发送给ONU 20的下行数据进行加密以获得经TrKey0加密的下行数据，以及在步骤S309中，向ONU 20发送第六消息，其包含经TrKey0加密的下行数据。

在接收到第六消息之后，在步骤S311中，ONU 20以数据密钥TrKey0对第六消息中的经加密的下行数据进行解密以获得来自OLT10的下行数据。

上述第五消息和第六消息例如能够分别是上行数据帧和下行数据帧。不同于现有的上行、下行数据帧，本发明中的上行、下行数据帧中包含的是以密文形式的数据，而非以明文形式的数据。

根据本发明的一个实施例，能够对公私钥对和/或数据密钥进行更新。这种更新能够是周期性地，也能够由其他事件触发。例如，光网络单元以第一时间段周期性地生成公私钥对并将其中的公钥发送给光线路终端，以及光线路终端以第二时间段周期性地生成数据密钥并使用当前的公钥对之加密后发送给光网络单元。在一个例子中，第一时间段和第二时间段能够是相同的。在另一个例子中，第一时间段能够比第二时间段长，即在一个公私钥对的有效期内，数据密钥可能被更新过若干次。

图4示出了根据本发明的一个实施例的用于增强PON的传输安全性的方法的流程图。在该实施例中，每当公私钥对被更新后都将更新数据密钥。

参照图4，在步骤S401中，OLT 10与ONU 20使用数据密钥TrKey0进行数据传输。类似于图2中的步骤S201，在步骤S401，ONU 20向OLT 10发送第五消息，其包含经数据密钥TrKey0加密的上行数据，而OLT 10向ONU 20发送第六消息，其包含经数据密钥TrKey0加密的下行数据。

接着，在步骤S403中，OLT 10向ONU 20发送第一消息以用于请求会话密钥(即用于加密数据密钥的公钥)。例如，OLT 10能够设有一个定时器以定期触发该步骤S403。又例如，能够由其他事件(例如来自某一管理信息的指示、或者来自系统管理员的指令等)来触发该步骤S403。

接着，通过步骤S405至步骤S415，将公私钥对和数据密钥分别更新为PubKey1、PriKey1和TrKey1。步骤S405至步骤S415与图2中的步骤S205至步骤S215相类似，在此不予赘述。

在步骤S417中，OLT 10与ONU 20使用更新后的数据密钥TrKey1进行数据传输。类似于图2中的步骤S201，在步骤S417中，ONU 20向OLT 10发送第五消息，其包含经数据密钥TrKey1加密的上行数据，而OLT 10向ONU 20发送第六消息，其包含经数据密钥TrKey1加密的下行数据。

根据本发明的一个实施例，除了经加密的上行/下行数据，第五消息和第六消息还包含用于标识所使用的数据密钥的信息，例如数据密钥的标识或序号。例如，在步骤S401中，第五消息和第六消息均包含数据密钥TrKey0的序号，而在步骤S417中，第五消息和第六消息均包含数据密钥TrKey1的序号。

根据本发明的一个实施例，数据密钥的序号能够以1个比特表示。例如数据密钥TrKey0的序号是0，而数据密钥TrKey1的序号是1。该1比特的信息足以将当前的数据密钥TrKey1与上一个数据密钥TrKey0区分开。

本领域技术人员应能理解，上述实施例均是示例性而非限制性的。在不同实施例中出现的不同技术特征可以进行组合，以取得有益效果。本领域技术人员在研究附图、说明书及权利要求书的基础上，应能理解并实现所揭示的实施例的其他变化的实施例。在权利要求书中，术语“包括”并不排除其他装置或步骤；不定冠词“一个”不排除多个；术语“第一”、“第二”用于标示名称而非用于表示任何特定的顺序。权利要求中的任何附图标记均不应被理解为对保护范围的限制。某些技术特征出现在不同的从属权利要求中并不意味着不能将这些技术特征进行组合以取得有益效果。

Claims (15)

1.一种在无源光网络中的光线路终端中用于增强所述无源光网络中的传输安全性的方法，包括以下步骤：

B.从所述光线路终端所连接的光网路单元接收第二消息，其包含由所述光网路单元所生成的公私钥对中的公钥；

C.生成待用于所述光线路终端与所述光网路单元间的数据传输的数据密钥；

D.通过用所述公钥加密所述数据密钥而获得经加密的所述数据密钥；

E.向所述光网路单元发送第三消息，其包含所述经加密的所述数据密钥。

2.根据权利要求1所述的方法，其特征在于，在所述步骤B之前包括以下步骤：

A.向所述光网路单元发送包含第一信息的第一消息，所述第一信息用于请求所述光网路单元发送所述公钥。

3.根据权利要求2所述的方法，其特征在于，以一预定的周期执行所述步骤A。

4.根据权利要求1所述的方法，其特征在于，在所述步骤E之后还包括以下步骤：

G1.通过用所述数据密钥加密待发送给所述光网路单元的下行数据而获得经加密的所述下行数据；

G2.向所述光网路单元发送第六消息，其包含所述经加密的所述下行数据。

5.根据权利要求4所述的方法，其特征在于，所述步骤E和所 述步骤G1之间还包括以下步骤：

F.从所述光网路单元接收包含第二信息的第四消息，所述第二信息用于指示所述光网路单元已通过解密所述经加密的所述数据密钥而获得所述数据密钥；以及

在步骤F之后，执行所述步骤G1至所述步骤G2。

6.根据权利要求4所述的方法，其特征在于，所述第六消息还包含第四信息，其用于标识所述数据密钥。

7.根据权利要求1所述的方法，其特征在于，还包括以下步骤：

H1.从所述光网路单元接收第五消息，其包含经所述数据密钥加密的所述光网路单元的上行数据；

H2.通过用所述数据密钥解密所接收的所述经所述数据密钥加密的所述上行数据而获得所述上行数据。

8.根据权利要求7所述的方法，其特征在于：

所述第五消息还包含第三信息，其用于标识所述数据密钥；

在所述步骤H2中，通过用所述第三信息所标识的数据密钥解密所接收的所述经所述数据密钥加密的所述上行数据而获得所述上行数据。

9.一种在无源光网络中的光网路单元中用于增强所述无源光网络的传输安全性的方法，包括以下步骤：

b.生成公私钥对，其包含公钥和私钥；

c.向所述光网路单元所连接的光线路终端发送第二消息，其包含所述公钥；

d.从所述光线路终端接收第三消息，其包含经所述公钥加密的数据密钥；

e.通过用所述私钥解密所述经所述公钥加密的所述数据密钥而 获得所述数据密钥。

10.根据权利要求9所述的方法，其特征在于，在所述步骤b之前还包括以下步骤：

a.从所述光线路终端接收包含第一信息的第一消息，所述第一信息用于请求所述光网路单元发送所述公钥；以及

响应于所接收的所述第一消息，执行所述步骤b至所述步骤e。

11.根据权利要求9所述的方法，其特征在于，在所述步骤e之后还包括以下步骤：

f1.通过用所述数据密钥加密待发送给所述光线路终端的上行数据而获得经加密的所述上行数据；

f2.向所述光线路终端发送第五消息，其包含所述经加密的所述上行数据。

12.根据权利要求11所述的方法，其特征在于，所述第五消息还包含第三信息，其用于标识所述数据密钥。

13.根据权利要求9所述的方法，其特征在于，所述步骤e还包括：

向所述光线路终端发送包含第二信息的第四消息，所述第二信息用于指示所述光网路单元已通过解密所述经加密的所述数据密钥而获得所述数据密钥。

14.根据权利要求9所述的方法，其特征在于，还包括以下步骤：

g1.从所述光线路终端接收第六消息，其包含经所述数据密钥加密的所述光网路单元的下行数据；

g2.通过用所述数据密钥解密所接收的所述经所述数据密钥加密的所述下行数据而获得所述下行数据。 

15.根据权利要求14所述的方法，其特征在于：

所述第六消息还包含第四信息，其用于标识所述数据密钥；

在所述步骤g2中，通过用所述第四信息所标识的数据密钥解密所接收的所述经所述数据密钥加密的所述下行数据而获得所述下行数据。 

Images