CN112929387A - 应用于智慧社区的宽带网络多重认证、加密方法 - Google Patents

应用于智慧社区的宽带网络多重认证、加密方法 Download PDF

Info

Publication number
CN112929387A
CN112929387A CN202110253435.7A CN202110253435A CN112929387A CN 112929387 A CN112929387 A CN 112929387A CN 202110253435 A CN202110253435 A CN 202110253435A CN 112929387 A CN112929387 A CN 112929387A
Authority
CN
China
Prior art keywords
security
module
information
authentication
block chain
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202110253435.7A
Other languages
English (en)
Other versions
CN112929387B (zh
Inventor
李家京
冯霄鹏
张岳
黄小兵
李海军
郭丙峰
李雯
代彬
于艳芳
王强
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
China Information Technology Designing and Consulting Institute Co Ltd
Beijing Telecom Planning and Designing Institute Co Ltd
Original Assignee
China Information Technology Designing and Consulting Institute Co Ltd
Beijing Telecom Planning and Designing Institute Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by China Information Technology Designing and Consulting Institute Co Ltd, Beijing Telecom Planning and Designing Institute Co Ltd filed Critical China Information Technology Designing and Consulting Institute Co Ltd
Priority to CN202110253435.7A priority Critical patent/CN112929387B/zh
Publication of CN112929387A publication Critical patent/CN112929387A/zh
Application granted granted Critical
Publication of CN112929387B publication Critical patent/CN112929387B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04Q—SELECTING
    • H04Q11/00—Selecting arrangements for multiplex systems
    • H04Q11/0001—Selecting arrangements for multiplex systems using optical switching
    • H04Q11/0062—Network aspects
    • H04Q11/0067—Provisions for optical access or distribution networks, e.g. Gigabit Ethernet Passive Optical Network (GE-PON), ATM-based Passive Optical Network (A-PON), PON-Ring

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Signal Processing (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Virology (AREA)
  • Power Engineering (AREA)
  • Small-Scale Networks (AREA)

Abstract

本发明公开了一种应用于智慧社区的宽带网络多重认证、加密方法，包括下述步骤：S1，社区的PON链路层认证及所述PON加密；S2，终端管理系统认证；S3，宽带接入服务认证；S4，公安系统认证及数据加密；S5，ONU内置的安全模块的入网及产品识别；S6,前端设备的应用机制；S7,前端设备与区块链集中管理系统之间建立虚通道，实现前端设备所产生的每一条流量信息传递到区块链终端安全认证管理子系统。本发明优点在于利用运营商已在社区楼道部署的用于家庭宽带接入的POS，打造一张网络提供家宽、企业、社区等多业务接入，大幅提升基础设施效率、降低建设和运营成本（经多场景测算，可降低40%‑70%的网络建设成本）；采用虚拟化切片技术，为智慧社区业务建立单独通道。

Description

应用于智慧社区的宽带网络多重认证、加密方法
技术领域
本发明涉及光纤宽带网络，尤其是涉及应用于智慧社区的宽带网络多重认证、加密方法。
背景技术
无源光网络(PON)是近几年在光接入网中的主流技术，PON系统由OLT（OpticalLine Terminal，光线路终端）、ONU（Optical Network Unit，光网络单元）和ODN（OpticalDistribution Network，光纤分布网）组成。其中，OLT位于局端，是整个PON系统的核心部件，向上提供接入网与核心网/城域网的高速接口，向下提供面向PON的一点对多点的PON接口，以广播方式向各ONU发送数据。ODN是由POS（Passive Optical Splitter，无源光纤分路器）组成的光纤分配网络，使得一个PON接口的光纤传输带宽可以由多个ONU共享。NU位于用户端，实现数据、话音等多业务的接入。
随着“互联网+”时代的发展，智慧社区建设进入快车道。2020年以来，由于新冠疫情的发生，使得人车识别、社区监控、智能门禁等业务成为政府刚需，抗疫需求加速了智慧社区建设。
当前，电信运营商宽带端口总体实占率平均40%，大量闲置资源亟需网业协同发展。传统建设模式下，家庭宽带业务、政企宽带业务、行业应用等存在多张业务网络。利用现有宽带端口构建智慧社区的宽带网络，不失为一种光纤宽带网络业务的资源利用。但是，根据国家安全部门来说，光纤宽带网络属于互联网，被认为不够安全，需要进一步加强安全传输、数据加密、系统认证及终端认证，否则光纤宽带网络将不被允许应用于平安城市、智慧社区等场景。
发明内容
本发明目的在于提供一种应用于智慧社区的宽带网络多重认证、加密方法。
为实现上述目的，本发明采取下述技术方案：
本发明所述应用于智慧社区的宽带网络多重认证、加密方法，包括下述步骤：
S1， 社区的PON链路层认证及所述PON加密；
S1.1， PON的ONU注册认证；
S1.1.1，OLT通过广播一个发现GATE消息来通知所述ONU发现窗口的周期；
S1.1.2，ONU发送含MAC地址的注册请求消息；
S1.1.3，注册ONU，分配和制定ONU的逻辑LID，绑定MAC和ONU的逻辑LID；
S1.2，PON加密；由于下行数据在POS上为广播复制，每个ONU都可以收到同样的数据；在OLT上需要采用加密处理，提高线路数据的可靠性；GPON与EPON支持的加密算法不同，GPON采用AES128加密处理，EPON采用三重搅动算法；
S2，终端管理系统认证；
当完成所述OLT与ONU之间的链路连接后，则ONU开启对终端管理系统通过TR069协议认证，目的是实现终端管理系统对各种CPE（也包括各个厂商ONU的业务服务进行无差别的管理和配置）；
S3，宽带接入服务认证；
完成底层连接和终端管理配置后，再完成网络注册认证服务，正式接入到互联网；通常采用IPoE和PPPoE技术：
以PPPoE为例：由个ONU终端启动一个PPPoE会话，它首先必须完成发现阶段，确定对端Server的以太网MAC地址，并建立一个唯一的PPPoE会话号（SESSION_ID）；PPP协议一般包括三个协商阶段：LCP（链路控制协议）阶段，认证阶段（比如CHAP/PAP），NCP（网络层控制协议，比如IPCP)阶段；拨号后，用户计算机和局方的接入服务器在LCP阶段协商底层链路参数，然后在认证阶段进行用户计算机将用户名和密码发送给接入服务器认证，接入服务器可以进行本地认证，可以通过RADIUS协议将用户名和密码发送给AAA服务器进行认证；认证通过后，在NCP（IPCP）协商阶段，接入服务器给用户计算机分配网络层参数如IP地址等；经过PPP的三个协商阶段后，用户就可以发送和接受网络报文，用户收发的所有网络层报文都封装在PPP报文中；
S4，公安系统认证及数据加密；
S4.1在智慧社区的ONU内置安全模块，所述安全模块用于：
1）数据传输保护；通过安全模块与公安系统平台之间建立加密通道对数据进行加密保护，例如采用SSL等加密算法，确保数据传输安全；
2）安全模块的身份认证；安全模块与公安系统的安全认证模块实现双向认证，确保数据安全无误发送到公安系统；
3）前端设备接入认证；
安全模块对小区的前端设备摄像头、门禁实现特征识别和绑定，根据数据特点形成所述前端设备指纹，防止假冒设备上传数据，确保前端设备真实可靠；
4）应用流量识别：
安全模块具备对图像信息、结构化数据的识别能力，对前端设备采集的信息进行数据预处理，并过滤、去重、格转、校验；
5）恶意代码检测：
安全模块具备对网络传输数据解析和恶意代码检测分析功能，有效防范病毒、蠕虫传播；
6）本地管理和远程管理：
本地管理，设置安全模块的主机信息：包括IP 地址、DNS、接入小区信息、地址信息；
远程管理，实现对安全模块的状态监控和配置管理，包括自动上联到安全模块管理平台，实时上报CPU、内存、网络带宽以及监听服务状态的本地运行状态，对安全模块的远程配置以及程序补丁的在线升级；
S4.2，在公安系统平台设置分布式的、区块链方式的终端安全认证管理子系统，对各类终端，包括ONU内置的安全模块进行发放、认证，以充分保障可信性、安全性；
S4.3，在公安系统平台设置数据加密模块，实现与安全模块之间的进一步加密通信，以充分保障数据信息安全；
S5，ONU内置的安全模块的入网及产品识别；
S5.1,安全模块验证入网的机制：
当安全模块通过共享宽带网络连接到区块链终端安全认证管理子系统时，要与区块链终端安全认证管理子系统进行双向认证；
S5.1.1,安全模块的区块链模块中包括出厂模块、发放模块；
S5.1.2,ONU出厂时，启动所述出厂模块，建立起始区块，形成信息追溯链；
S5.1.3, 安全模块验证：
采用安全模块的产品公钥对安全模块的验证码进行解密，解密过程使用椭圆曲线算法，如果验证所述验证码是由安全模块的产品私钥生成，则反馈激活成功信息，证明安全模块为真；如果验证所述验证码不是由安全模块的所述产品私钥生成，则反馈激活失败信息，证明安全模块为假，不能成为区块链节点使用；
S5.2,安全模块认证完成后，区块链终端安全认证管理子系统给安全模块下发安全参数，例如密钥等信息；同时区块链终端安全认证管理子系统的该节点将相关信息保存起来，并传递给其他节点，并供其他子系统或者其他管理模块调用；
S5.3,安全模块根据其服务运营商或服务者的服务范围、服务类型指标，分为不同的型号和档次；根据这些不同的型号和档次，对各个智慧社区ONU内置的安全模块做相应的标识，称之为服务标识；通过所述服务标识识别出各个智慧社区ONU内置的安全模块的服务商、服务位置信息；
在安全模块入网认证时，除去ONU内置的安全模块本身的位置区码信息外，区块链终端安全认证管理子系统还记录每个智慧社区ONU内置的安全模块的服务标识；
S6,前端设备的应用机制；
前端设备的入网流程如下：
S6.1,每个前端设备（例如小区监控摄像头、门禁）入网使用时，首先完成与宽带网络所下带的智慧社区ONU内置的安全模块建立物理或无线连接；
S6.2,通过智慧社区ONU内置的安全模块查询区块链终端安全认证管理子系统的索引和目录，选择到对应的终端安全认证管理子系统，建立与对应的应用关联，并完成注册认证；
S6.3,注册认证成功后，区块链终端安全认证管理子系统通告与该前端设备所连接的智慧社区ONU内置的安全模块，该前端设备进入服务应用状态；
S6.4,区块链终端安全认证管理子系统对其他节点进行信息扩散；
S7,前端设备之间及与区块链终端安全认证管理子系统；
前端设备与区块链集中管理系统之间建立虚通道，实现前端设备所产生的每一条流量信息传递到区块链终端安全认证管理子系统；
S7.1,第一连接的区块链终端安全认证管理子系统将前端设备的服务情况、流量信息摘要发送给其他相关节点；
S7.2,其他相关节点判断是否该信息已获取，若信息已获取，则丢弃新信息；若该信息未获取，则区块链终端安全认证管理子系统对信息传递扩散。
S2中，所述TR-069协议完成以下四方面的工作：
一是用户设备自动配置和动态的业务配置：对于ACS来说，每个用户设备在协议中对自己作出标志（例如型号、版本等），根据设定的规则，所述ACS对某一个特定的所述用户设备下发配置，或对某一组用户设备下发配置；CPE在开机后自动请求ACS中的配置信息，或ACS在任意需要的时刻主动发起配置；通过该功能可以实现用户设备的“零配置安装”功能，或是可以从网络侧控制业务参数的动态改变；
二是对用户设备的软件、固件的管理：TR-069协议提供了对用户设备中的软件、固件进行管理和下载的功能；ACS识别用户设备的版本号，决定是否远程更新用户设备的软件版本，并且在更新完成后得知是否成功；例如，当用户设备需要加载新的软件以实现新的业务功能时，或是当前软件存在必须修复的bug时，通过该功能可以实现对用户设备的远程管理升级。
三是对用户设备的状态和性能进行监测：TR-069协议定义了ACS对用户设备的状态和性能进行监测的手段，其中包括了通用的性能参数，反映当前用户设备的工作状态；另外还提供了标准的语法，运营商可以定义额外的参数；
四是对通信故障的诊断：TR-069协议定义了用户端自我诊断和报告的能力；例如在ACS的指示下，用户端可以通过ping或其它手段检查用户端与网络业务提供点之间的连通性、带宽等，检测结果返回给ACS。这样，运营商通过在远端操作，就可以对用户申告的设备故障进行简单定位，并作相应的处理。
S5.1.2中,所述出厂模块的工作过程如下：
在所述起始区块中记录所述区块链模块的ID和生产信息，生产厂商节点签名后，盖上时间戳，建立起始区块，加入到信息追溯链中，起始区块就是所述信息追溯链中的第一个区块；
所述区块链模块在入网使用时启动所述发放模块，向区块链终端安全认证管理子系统发送认证请求，区块链集中管理节点进行验证，成功后建立区块，盖上时间戳，并加入到所述信息追溯链中。
本发明优点在于利用运营商已在社区楼道部署的用于家庭宽带接入的POS（无源光纤分路器），打造一张网络提供家宽、企业、社区等多业务接入，可大幅提升基础设施效率、降低建设和运营成本（经多场景测算，可降低40%-70%的网络建设成本）；采用虚拟化切片技术，为智慧社区业务建立单独通道。
附图说明
图1是本发明的工作流程示意图。
图2是本发明所述智慧社区的宽带网络示意图。
具体实施方式
下面结合附图对本发明的实施例作详细说明，本实施例在以本发明技术方案为前提下进行实施，给出了详细的实施方式和具体的操作过程，但本发明的保护范围不限于下述实施例。
如图1、2所示，本发明所述应用于智慧社区的宽带网络多重认证、加密方法，包括下述步骤：
S1， PON链路层认证及PON加密；
S1.1，PON的ONU注册认证；
S1.1.1，OLT通过广播一个发现GATE消息来通知ONU发现窗口的周期；
S1.1.2，ONU发送含MAC地址的注册请求消息；
S1.1.3，注册ONU，分配和制定ONU的逻辑LID，绑定MAC和ONU的逻辑LID；
S1.2，PON加密；
由于下行数据在POS上为广播复制，每个ONU都可以收到同样的数据；在OLT上需要采用加密处理，提高线路数据的可靠性；由于GPON与EPON支持的加密算不同，GPON采用AES128加密处理，EPON采用三重搅动算法；
S2，终端管理系统认证；
当完成OLT与ONU之间的链路连接后，则ONU开启对终端管理系统通过TR069协议认证，目的是实现终端管理系统对各种CPE（Customer Premise Equipment,移动信号接入设备）的认证，也包括各个厂商ONU的业务服务进行无差别的管理和配置；
TR-069主要完成以下四方面的工作：
一是用户设备自动配置和动态的业务配置。对于ACS来说，每个用户设备可以在协议中对自己作出标志（例如型号、版本等），根据可设定的规则，ACS可以对某一个特定用户设备下发配置，也可以对某一组用户设备下发配置。CPE可以在开机后自动请求ACS中的配置信息，ACS也可在任意需要的时刻主动发起配置。通过该功能可以实现用户设备的“零配置安装”功能，或是可以从网络侧控制业务参数的动态改变；
二是对用户设备的软件、固件的管理。TR-069的协议提供了对用户设备中的软件、固件进行管理和下载的功能。ACS可以识别用户设备的版本号，决定是否远程更新用户设备的软件版本，并且在更新完成后能够得知是否成功。例如，当用户设备需要加载新的软件以实现新的业务功能时，或是当前软件存在必须修复的bug时，通过该功能可以实现对用户设备的远程管理升级；
三是对用户设备的状态和性能进行监测。TR-069定义了ACS对用户设备的状态和性能进行监测的手段。其中包括了一些通用的性能参数，可以反映当前用户设备的工作状态；另外还提供了标准的语法，运营商可以定义额外的参数；
四是对通信故障的诊断。TR-069还定义了可以用户端自我诊断和报告的能力，例如在ACS的指示下，用户端可以通过ping或其它手段检查用户端与网络业务提供点之间的连通性、带宽等，检测结果返回给ACS。这样，运营商通过在远端操作，就可以对用户申告的设备故障进行简单定位，并作相应的处理；
S3，宽带接入服务认证；
完成底层连接和终端管理配置后，再完成网络注册认证服务，正式接入到互联网；网络注册认证服务通常采用IPoE和PPPoE技术：
以PPPoE为例：由ONU终端启动一个PPPoE会话，它首先必须完成发现阶段，确定对端Server的以太网MAC地址，并建立一个唯一的PPPoE会话号（SESSION_ID）；PPP协议一般包括三个协商阶段：LCP（链路控制协议）阶段，认证阶段（比如CHAP/PAP），NCP（网络层控制协议，比如IPCP)阶段；拨号后，用户计算机和局方的接入服务器在LCP阶段协商底层链路参数，然后在认证阶段进行用户计算机将用户名和密码发送给接入服务器认证，接入服务器可以进行本地认证，可以通过RADIUS协议将用户名和密码发送给AAA服务器进行认证；认证通过后，在NCP（IPCP）协商阶段，接入服务器给用户计算机分配网络层参数如IP地址等；经过PPP的三个协商阶段后，用户就可以发送和接受网络报文，用户收发的所有网络层报文都封装在PPP报文中；
S4，公安系统认证及数据加密；
S4.1在智慧社区的ONU内置安全模块，所述安全模块用于：
1）数据传输保护；通过安全模块与公安系统平台之间建立加密通道对数据进行加密保护，例如采用SSL等加密算法，确保数据传输安全；
2）安全模块的身份认证；安全模块与公安系统的安全认证模块实现双向认证，确保数据安全无误发送到公安系统；
3）前端设备接入认证；
安全模块对小区的前端设备摄像头、智慧门禁实现特征识别和绑定，根据数据特点形成所述前端设备指纹，防止假冒设备上传数据，确保前端设备真实可靠；
4）应用流量识别：
安全模块具备对图像信息、结构化数据的识别能力，对前端设备采集的信息进行数据预处理，并过滤、去重、格转、校验；
5）恶意代码检测：
安全模块具备对网络传输数据解析和恶意代码检测分析功能，有效防范病毒、蠕虫传播；
6）本地管理和远程管理：
本地管理，设置安全模块的主机信息：包括IP 地址、DNS、接入小区信息、地址信息；
远程管理，实现对安全模块的状态监控和配置管理，主要包括自动上联到部署在光网络单元ONU内置的安全模块管理平台，实时上报CPU、内存、网络带宽以及监听服务状态的本地运行状态，对安全模块的远程配置以及程序补丁的在线升级；
公安系统认证及数据加密具体流程如下：
1）在公安系统平台设置分布式的、区块链方式的终端安全认证管理子系统（即公安系统也是个分布式系统），对各类终端，包括安全模块进行发放、认证，以充分保障可信性、安全性；
2）在公安系统平台设置数据加密模块，实现与安全模块之间的进一步加密通信，以充分保障数据信息安全；
S5，安全模块的入网及产品识别;
S5.1,安全模块验证入网的机制：
当安全模块通过共享宽带网络连接到区块链终端安全认证管理子系统时，要与区块链终端安全认证管理子系统进行双向认证；
S5.1.1,安全模块的区块链模块中包括出厂模块、发放模块；
S5.1.2, ONU出厂时，启动所述出厂模块，建立起始区块，形成信息追溯链；出厂模块的工作过程如下：
在所述起始区块中记录所述区块链模块的所述产品ID和生产信息，所述生产厂商节点签名后，盖上时间戳，建立起始区块，加入到信息追溯链中，所述起始区块就是所述信息追溯链中的第一个区块；
所述区块链模块在入网使用时启动所述发放模块，向区块链终端安全认证管理子系统发送认证请求，区块链集中管理节点进行验证，成功后建立区块，盖上时间戳，并加入到所述信息追溯链中；
S5.1.3,验证过程如下：
采用安全模块的产品公钥对安全模块的验证码进行解密，解密过程使用所述椭圆曲线算法，如果验证所述验证码是由安全模块的产品私钥生成，则反馈激活成功信息，证明安全模块为真；
如果验证所述验证码不是由安全模块的所述产品私钥生成，则反馈激活失败信息，证明安全模块为假，不能成为区块链节点使用；
S5.2,安全模块认证完成后，区块链终端安全认证管理子系统给智慧社区的安全模块下发安全参数，如设备的密钥等信息，同时区块链终端安全认证管理子系统的该节点将相关信息保存起来，并传递给其他节点，并供其他子系统或者其他管理模块调用；
S5.3,智慧社区的安全模块根据其服务运营商或服务者的服务范围、服务类型指标的不同，分为不同的型号和档次，根据这些不同型号和档次，对各个智慧社区ONU内置的安全模块做相应的标识，称之为服务标识；通过所述服务标识识别出各个智慧社区ONU内置的安全模块的服务商、服务位置信息；
在智慧社区ONU内置的安全模块入网认证时，除去ONU内置的安全模块本身的位置区码信息外，区块链终端安全认证管理子系统还记录每个智慧社区ONU内置的安全模块的服务标识；
S6,前端设备的应用机制；
前端设备的入网流程如下：
S6.1,每个前端设备（例如小区监控摄像头、门禁等）入网使用时，首先完成与宽带网络所下带的智慧社区ONU内置的安全模块建立物理或无线连接；
S6.2,通过智慧社区ONU内置的安全模块查询区块链终端安全认证管理子系统的索引和目录，选择到对应的终端安全认证管理子系统，建立与对应的应用的关联，并完成注册认证；
S6.3,注册认证成功后，区块链终端安全认证管理子系统通告与该前端设备所连接的智慧社区ONU内置的安全模块，该前端设备进入服务应用状态；
S6.4,区块链终端安全认证管理子系统对其他节点进行信息扩散；
S7,前端设备之间及与区块链终端安全认证管理子系统；
前端设备与区块链集中管理系统之间建立虚通道，实现前端设备所产生的每一条流量信息传递到区块链终端安全认证管理子系统；
S7.1,第一连接的区块链终端安全认证管理子系统将前端设备的服务情况、流量信息摘要发送给其他相关节点；
S7.2,其他相关节点判断是否该信息已获取，若信息已获取，则丢弃新信息；若该信息未获取，则区块链终端安全认证管理子系统对信息传递扩散。

Claims (3)

1.一种应用于智慧社区的宽带网络多重认证、加密方法，其特征在于：包括下述步骤：
S1， 社区的PON链路层认证及所述PON加密；
S1.1， PON的ONU注册认证；
S1.1.1，OLT通过广播一个发现GATE消息来通知所述ONU发现窗口的周期；
S1.1.2，ONU发送含MAC地址的注册请求消息；
S1.1.3，注册ONU，分配和制定ONU的逻辑LID，绑定MAC和ONU的逻辑LID；
S1.2，PON加密；
S2，终端管理系统认证；
当完成所述OLT与ONU之间的链路连接后，则ONU开启对终端管理系统通过TR069协议认证；
S3，宽带接入服务认证；
完成底层连接和终端管理配置后，再完成网络注册认证服务，正式接入到互联网；
S4，公安系统认证及数据加密；
S4.1在智慧社区的ONU内置安全模块，所述安全模块用于：
1）数据传输保护；通过安全模块与公安系统平台之间建立加密通道对数据进行加密保护，确保数据传输安全；
2）安全模块的身份认证；安全模块与公安系统的安全认证模块实现双向认证，确保数据安全无误发送到公安系统；
3）前端设备接入认证；
安全模块对小区的前端设备摄像头、门禁实现特征识别和绑定，根据数据特点形成所述前端设备指纹，防止假冒设备上传数据，确保前端设备真实可靠；
4）应用流量识别：
安全模块具备对图像信息、结构化数据的识别能力，对前端设备采集的信息进行数据预处理，并过滤、去重、格转、校验；
5）恶意代码检测：
安全模块具备对网络传输数据解析和恶意代码检测分析功能，有效防范病毒、蠕虫传播；
6）本地管理和远程管理：
本地管理；设置安全模块的主机信息：包括IP 地址、DNS、接入小区信息、地址信息；
远程管理；实现对安全模块的状态监控和配置管理，包括自动上联到安全模块管理平台，实时上报CPU、内存、网络带宽以及监听服务状态的本地运行状态，对安全模块的远程配置以及程序补丁的在线升级；
S4.2，在公安系统平台设置分布式的、区块链方式的终端安全认证管理子系统，对各类终端，包括ONU内置的安全模块进行发放、认证，以充分保障可信性、安全性；
S4.3，在公安系统平台设置数据加密模块，实现与安全模块之间的进一步加密通信，以充分保障数据信息安全；
S5，ONU内置的安全模块的入网及产品识别；
S5.1,安全模块验证入网的机制：
当安全模块通过共享宽带网络连接到区块链终端安全认证管理子系统时，要与区块链终端安全认证管理子系统进行双向认证；
S5.1.1,安全模块的区块链模块中包括出厂模块、发放模块；
S5.1.2,ONU出厂时，启动所述出厂模块，建立起始区块，形成信息追溯链；
S5.1.3, 安全模块验证：
采用安全模块的产品公钥对安全模块的验证码进行解密，解密过程使用椭圆曲线算法，如果验证所述验证码是由安全模块的产品私钥生成，则反馈激活成功信息，证明安全模块为真；如果验证所述验证码不是由安全模块的所述产品私钥生成，则反馈激活失败信息，证明安全模块为假，不能成为区块链节点使用；
S5.2,安全模块认证完成后，区块链终端安全认证管理子系统给安全模块下发安全参数，同时区块链终端安全认证管理子系统的该节点将相关信息保存起来，并传递给其他节点，并供其他子系统或者其他管理模块调用；
S5.3,安全模块根据其服务运营商或服务者的服务范围、服务类型指标，分为不同的型号和档次；根据这些不同的型号和档次，对各个智慧社区ONU内置的安全模块做相应的标识，称之为服务标识；通过所述服务标识识别出各个智慧社区ONU内置的安全模块的服务商、服务位置信息；
在安全模块入网认证时，除去ONU内置的安全模块本身的位置区码信息外，区块链终端安全认证管理子系统还记录每个智慧社区ONU内置的安全模块的服务标识；
S6,前端设备的应用机制；
前端设备的入网流程如下：
S6.1,每个前端设备入网使用时，首先完成与宽带网络所下带的智慧社区ONU内置的安全模块建立物理或无线连接；
S6.2,通过智慧社区ONU内置的安全模块查询区块链终端安全认证管理子系统的索引和目录，选择到对应的终端安全认证管理子系统，建立与对应的应用关联，并完成注册认证；
S6.3,注册认证成功后，区块链终端安全认证管理子系统通告与该前端设备所连接的智慧社区ONU内置的安全模块，该前端设备进入服务应用状态；
S6.4,区块链终端安全认证管理子系统对其他节点进行信息扩散；
S7,前端设备之间及与区块链终端安全认证管理子系统；
前端设备与区块链集中管理系统之间建立虚通道，实现前端设备所产生的每一条流量信息传递到区块链终端安全认证管理子系统；
S7.1,第一连接的区块链终端安全认证管理子系统将前端设备的服务情况、流量信息摘要发送给其他相关节点；
S7.2,其他相关节点判断是否该信息已获取，若信息已获取，则丢弃新信息；若该信息未获取，则区块链终端安全认证管理子系统对信息传递扩散。
2.根据权利要求1所述应用于智慧社区的宽带网络多重认证、加密方法，其特征在于：S2中，所述TR-069协议完成以下四方面的工作：
一是用户设备自动配置和动态的业务配置：对于ACS来说，每个用户设备在协议中对自己作出标志，根据设定的规则，所述ACS对某一个特定的所述用户设备下发配置，或对某一组用户设备下发配置；CPE在开机后自动请求ACS中的配置信息，或ACS在任意需要的时刻主动发起配置；
二是对用户设备的软件、固件的管理：TR-069协议提供了对用户设备中的软件、固件进行管理和下载的功能；ACS识别用户设备的版本号，决定是否远程更新用户设备的软件版本，并且在更新完成后得知是否成功；
三是对用户设备的状态和性能进行监测：TR-069协议定义了ACS对用户设备的状态和性能进行监测的手段，其中包括了通用的性能参数，反映当前用户设备的工作状态；
四是对通信故障的诊断：TR-069协议定义了用户端自我诊断和报告的能力。
3.根据权利要求1所述应用于智慧社区的宽带网络多重认证、加密方法，其特征在于：S5.1.2中,所述出厂模块的工作过程如下：
在所述起始区块中记录所述区块链模块的ID和生产信息，生产厂商节点签名后，盖上时间戳，建立起始区块，加入到信息追溯链中，起始区块就是所述信息追溯链中的第一个区块；
所述区块链模块在入网使用时启动所述发放模块，向区块链终端安全认证管理子系统发送认证请求，区块链集中管理节点进行验证，成功后建立区块，盖上时间戳，并加入到所述信息追溯链中。
CN202110253435.7A 2021-03-09 2021-03-09 应用于智慧社区的宽带网络多重认证、加密方法 Active CN112929387B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202110253435.7A CN112929387B (zh) 2021-03-09 2021-03-09 应用于智慧社区的宽带网络多重认证、加密方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202110253435.7A CN112929387B (zh) 2021-03-09 2021-03-09 应用于智慧社区的宽带网络多重认证、加密方法

Publications (2)

Publication Number Publication Date
CN112929387A true CN112929387A (zh) 2021-06-08
CN112929387B CN112929387B (zh) 2022-10-11

Family

ID=76172008

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202110253435.7A Active CN112929387B (zh) 2021-03-09 2021-03-09 应用于智慧社区的宽带网络多重认证、加密方法

Country Status (1)

Country Link
CN (1) CN112929387B (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113507484A (zh) * 2021-07-31 2021-10-15 汇智道晟(杭州)物联科技有限公司 一种智慧网连接系统
CN116545890A (zh) * 2023-04-26 2023-08-04 苏州维格纳信息科技有限公司 一种基于区块链的信息传输管理系统

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20100040371A1 (en) * 2007-07-13 2010-02-18 Huawei Technologies Co., Ltd. Method, equipment, and system for detecting and authenticating terminal in passive optical network
CN104079436A (zh) * 2014-07-14 2014-10-01 武汉大学 一种跨设备跨协议的epon网络中的网元管理系统
CN106162383A (zh) * 2015-03-26 2016-11-23 中兴通讯股份有限公司 一种光网络单元业务信息的发放方法、装置及光线路终端
CN108282708A (zh) * 2018-01-31 2018-07-13 北京电信规划设计院有限公司 多运营商odn共享及异构pon统一管理方法
CN109729180A (zh) * 2018-06-21 2019-05-07 安恩达科技（深圳）有限公司 全体系智慧社区平台

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20100040371A1 (en) * 2007-07-13 2010-02-18 Huawei Technologies Co., Ltd. Method, equipment, and system for detecting and authenticating terminal in passive optical network
CN104079436A (zh) * 2014-07-14 2014-10-01 武汉大学 一种跨设备跨协议的epon网络中的网元管理系统
CN106162383A (zh) * 2015-03-26 2016-11-23 中兴通讯股份有限公司 一种光网络单元业务信息的发放方法、装置及光线路终端
CN108282708A (zh) * 2018-01-31 2018-07-13 北京电信规划设计院有限公司 多运营商odn共享及异构pon统一管理方法
CN109729180A (zh) * 2018-06-21 2019-05-07 安恩达科技（深圳）有限公司 全体系智慧社区平台

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113507484A (zh) * 2021-07-31 2021-10-15 汇智道晟(杭州)物联科技有限公司 一种智慧网连接系统
CN116545890A (zh) * 2023-04-26 2023-08-04 苏州维格纳信息科技有限公司 一种基于区块链的信息传输管理系统

Also Published As

Publication number Publication date
CN112929387B (zh) 2022-10-11

Similar Documents

Publication Publication Date Title
US8745702B2 (en) System and method for managing access to a network interface device
EP2052327B1 (en) Early authentication in cable modem initialization
US9036582B2 (en) Method and system for efficient management of a telecommunications network and the connection between the telecommunications network and a customer premises equipment
CN112929387B (zh) 应用于智慧社区的宽带网络多重认证、加密方法
EP3285411B1 (en) Method for registering an optical network unit to an optical line terminal, apparatus for processing a registering of an optical network unit, and optical line terminal
CN113852883B (zh) Fttr场景下的光网设备认证和配置管理方法和系统
CN106162387B (zh) 光接入模块的认证注册方法、装置及系统
CN111614476A (zh) 设备配置方法、系统和装置
JP7299541B2 (ja) サービス開始方法及び通信システム
EP2583412A1 (en) Method for efficient initialization of a telecommunications network and telecommunications network
CN102170421A (zh) 一种混合认证的实现方法和系统
WO2017206690A1 (zh) 光网络单元配置方法、装置及光线路终端
CN118075057A (zh) 基于tr069+mqtt方式管理fttr主从网关方法
WO2017077760A1 (ja) 局側装置、情報管理装置、端末認証方法および情報管理方法
CN115086061B (zh) 一种用于fttr的认证及网络接入控制方法和系统
US7631344B2 (en) Distributed authentication framework stack
JP7247848B2 (ja) Ｐｏｎシステム、管理サーバ、管理方法、及び設置方法
JP2007226620A (ja) 宅内ゲートウェイ装置およびネットワークシステムのアカウンティング管理方式
CN110995510B (zh) 一种pol中实现voip业务零配置的管理方法和装置
KR102283192B1 (ko) 다수개의 네트워크 장비 및 관리자용 대시보드를 연계하기 위한 임베디드 장치 연결 및 통신 방식의 내부 네트워크 통합 관리 방법 및 장치
CN107800569B (zh) 一种基于ont的vpn快速接入系统和方法
JP3790174B2 (ja) 通信網制御方法
US20050216589A1 (en) System and method for indicating network connectivity and access to an information service offering
CN115243121A (zh) 光网路单元及控制光网路单元与光连接终端连线的方法
CN117478370A (zh) 一种互联网专线管理方法和装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant