KR100608906B1

KR100608906B1 - Ｅｐｏｎ에서의 링크 보안을 위한 보안 모듈 발견 방법

Info

Publication number: KR100608906B1
Application number: KR1020040104351A
Authority: KR
Inventors: 은지숙; 권율
Original assignee: 한국전자통신연구원
Priority date: 2004-12-10
Filing date: 2004-12-10
Publication date: 2006-08-08
Also published as: US20060129491A1; KR20060065867A; US7571310B2

Abstract

본 발명은 EPON에 있어서 OLT와 ONU간의 링크 보안을 위한 메시지 암호화 시 메시지 유실을 피할 수 있도록 미리 상대측의 암호화 구성을 발견할 수 있는 EPON 에서의 링크 보안을 위한 보안 모듈 발견 방법을 제공하기 위한 것으로서, 본 발명은 EPON 의 OLT와 ONU 간에 슬로우 프로토콜 규칙이 적용된 정보프레임을 교환하여, 자신의 설정 상태를 나타내는 로컬 상태 정보, 목적지의 설정 상태를 나타내는 리모트 상태 정보, 자신의 보안 모듈 구성정보인 로컬 구성 정보, 목적지의 보안 모듈 구성 정보인 리모트 구성 정보를 교환하여, 보안 링크가 구현되는 양 장치간에 보안 모듈을 발견할 수 있도록 한 것이다.

EPON, OLT, ONU, 슬로우 프로토콜(slow protocol), 링크 보안, 데이터 링크 계층, 발견

Description

ＥＰＯＮ에서의 링크 보안을 위한 보안 모듈 발견 방법{Method for discovering a security module for a link protection in EPON}

도 1은 EPON 광가입자망의 일반적인 구성도이다.

도 2는 본 발명에 의한 EPON 에서의 링크 보안을 위한 보안 모듈 발견 방법을 나타낸 상태 천이도이다.

도 3은 본 발명에 의한 보안 모듈 발견 방법을 단방향으로 적용 시의 신호 처리도이다.

도 4는 본 발명에 의한 보안 모듈 발견 방법을 양방향으로 적용 시의 신호 처리도이다.

도 5는 일반적인 MAC 프레임의 구조도이다.

도 6은 본 발명에 의한 보안 모듈 발견 방법에 적용되는 프레임의 구조도이다.

도 7은 본 발명에 의한 보안 모듈 발견 방법에 있어서, 구성 정보 전송을 위한 프레임의 구조도이다.

본 발명은 이더넷 수동광가입자망(Ethernet Passive Optical Network, EPON)에 있어서 광회선단말(Optical Line Terminal, OLT)과 광망종단장치(Optical Network Unit, ONU)간의 링크 보안을 위하여, 상호의 보안 모듈의 존재 유무와 구성 정보를 확인할 수 있는 EPON 에서의 링크 보안을 위한 보안 모듈 발견 방법에 관한 것이다.

일반적으로, EPON은 하나의 OLT와, 상기 OLT에 접속되는 복수의 ONU로 이루어진다.

도 1은 EPON 광가입자망의 개략적인 구성도로서, 도시된 바와 같이, 다른 시스템, 예를 들어, IP망, 방송망(broadcating network), TDM망과 연결시키는 광종단장치인 OLT(11)와, 상기 OLT(11)에 연결되며 가입자 단말(13), 예를 들어, STB, PC등에 연결되는 복수의 ONU(12)로 이루어진다.

이런 구조의 EPON에서는 상향과 하향 데이터 전송시 전송 구조를 다르게 만들어, 상향은 유니캐스트, 하향은 브로드 캐스트 형태가 된다. 따라서, 유니캐스트의 하향데이타도 모든 ONU(12)로 전송되므로 보안상 취약점을 가지고 있다. 이러한 EPON 링크의 보안을 위하여, 상기 EPON 구간에서 전달되는 메시지를 보호하기 위한 보안 모듈이 요구된다.

상기 EPON 구간의 링크 보안을 위한 보안 모듈은 OLT(11)와 ONU(12)간에 전달되는 메시지 자체를 암호화하는 암호화 모듈과, 상기 암호화 모듈이 동작하기 위해 필요한 키를 제공하는 키 관리 모듈로 이루어진다. 여기서, 키 관리 모듈은 암호화 모듈에서 암호화 및 복호화에 필요한 키를 생성하고, 분배하고, 저장하는 등의 키 관리를 주로 수행하며, 더불어 상기 암호화 모듈을 동작하거나 동작하지 못하게 하는 등의 제어를 수행한다.

그런데, 이러한 암호화모듈과 키관리 모듈에 의해 수행되는 보안 기능이 정상적으로 동작하기 위해서는 보안 채널을 형성하는 두 장치, 즉, OLT(11)와 ONU(12)내에 보안 모듈이 존재하는지와, 상기 보안 모듈의 구성이 일치되는지를 먼저 확인해야 한다. 이러한 기능은 암호화모듈에서 이루어지거나, 키 관리 모듈에서 제공할 수 있다.

상기 방법중 암호화모듈에서 스스로 보안 모듈의 발견 절차를 실행하는 경우, 메시지를 암호화하기 위해 프레임에 추가되는 정보의 일부를 이용해야 하는데, 이는 암호화 기술을 적용하기 위해 추가되는 오버헤드 이외의 별도의 오버헤드의 추가와, 또한 이를 제어하기 위한 별도의 기능 모듈의 추가를 의미한다. 따라서, 암호화 모듈에서 실행하는 방식은 암호화 모듈의 기능 추가와 프레임 오버헤드를 초래하게 된다. 이를 피하기 위하여 프레임을 수신하는 측에서 암호화된 프레임임을 인지하도록 하는 방법이 있으나, 이 경우 인지된 사실을 알아내기 위해 소요되는 시간동안에 전송되는 프레임이 유실될 수 있다. 특히, 수신측에서 암호화모듈이 존재하지 않는 경우, 송신측에서 전송한 암호화된 프레임은 계속 유실된다. 또한 이를 감지하기 위하여 송신측에서 수신프레임의 암호화 유무를 기준으로 판단할 수도 있으나, 송신 채널과 수신 채널은 서로 독립된 채널이기 때문에, 정확한 판단이 이루어질 수 없다.

본 발명은 상술한 종래의 문제점을 해결하기 위하여 제안된 것으로서, 그 목적은 EPON에 있어서 OLT와 ONU간의 링크 보안을 위한 메시지 암호화시 메시지 유실을 피할 수 있도록 미리 상대측의 암호화 모듈의 존재 유무와 구성 정보를 확인할 수 있는 EPON 에서의 링크 보안을 위한 보안 모듈 발견 방법을 제공하는 것이다.

상술한 목적을 달성하기 위한 구성수단으로서, 본 발명에 의한 EPON 에서의 링크 보안을 위한 보안 모듈 발견 방법은, 자신의 로컬 구성정보와 자신의 설정 상태를 나타내는 로컬 상태 정보를 포함하는 정보 프레임을 생성하여 전송하는 로컬 정보 전송 단계; 정보 프레임이 수신되면, 상기 수신된 정보 프레임을 체크하여 로컬과 리모트의 설정 상태를 판단하는 판단 단계; 상기 판단 결과, 로컬 상태 정보 및 리모트 상태 정보가 모두 설정 완료 상태가 아닌 경우, 상기 수신된 정보 프레임의 로컬 구성정보와 자신의 구성 정보를 비교하여 그 비교 결과를 로컬 상태 정보로, 수신 프레임의 로컬 상태정보를 리모트 상태 정보로, 수신 프레임의 로컬 구성 정보를 리모트 구성정보로, 자신의 구성 정보를 로컬 구성정보로 설정한 정보 프레임을 생성하여 전송하는 로컬 및 리모트 정보 전송 단계; 상기 체크 결과 수신된 정보 프레임의 로컬 상태 정보와 리모트 상태 정보가 설정 완료를 표시하는 경우, 양 장치의 보안 모듈이 동기된 것으로 판단하여 발견 절차를 완료하는 단계를 포함하여 이루어진다.

상기 본 발명에 의한 EPON 내에서의 링크 보안을 위한 보안 모듈 발견 방법에 있어서, 상기 로컬 및 리모트 정보 전송 단계는, 상기 수신된 정보 프레임의 로컬 구성정보와 자신의 구성 정보가 일치하지 않는 경우, 상기 수신된 정보 프레임의 로컬 구성 정보를 리모트 구성 정보로, 자신의 구성 정보를 로컬 구성 정보로 기재하고, 로컬 상태 정보와 리모트 상태 정보를 설정이 완료되지 않은 상태로 표시한 정보 프레임을 생성하여 전송하는 단계; 상기 수신된 정보 프레임의 로컬 구성정보와 자신의 구성 정보가 일치하고, 수신된 프레임의 로컬 상태 정보가 설정이 완료되지 않은 상태로 표시된 경우, 수신된 프레임의 로컬 구성 정보를 리모트 구성 정보로, 자신의 구성 정보를 로컬 구성 정보로 기재하고, 로컬 상태 정보를 설정 완료 상태로, 리모트 상태 정보는 설정이 완료되지 않은 상태로 설정한 정보 프레임을 생성하여 전송하는 단계; 및 상기 수신된 정보 프레임의 로컬 구성정보와 자신의 구성 정보가 일치하고, 수신된 프레임의 로컬 상태 정보가 설정 완료 상태로 표시된 경우, 수신된 프레임의 로컬 구성 정보를 리모트 구성 정보로, 자신의 구성 정보를 로컬 구성 정보로 기재하고, 로컬 상태 정보 및 리모트 상태 정보를 모두 설정 완료 상태로 설정한 정보 프레임을 생성하여 전송하는 단계를 포함하여 이루어진다.

상기 구성된 본 발명의 보안 모듈 발견 방법은 암호화 모듈이 아닌 키 관리 모듈에서 수행되는 것으로서, 송신측과 수신측 두 장치 내의 키 관리 모듈에서 암호화 모듈에 대한 발견 절차가 완료되기 전까지 암호화 모듈이 동작하지 않도록 암호화 모듈을 제어 할 수 있으며, 보안 모듈에 대한 발견 절차가 완료된 후 암호화 모듈이 동작하도록 데이터 전송동작을 제어할 수 있다. 그 결과, 본 발명은 키 관리 모듈이 보안 모듈에 대한 발견 절차를 진행하는 동안의 데이터 유실을 방지할 수 있고, 보안 모듈 발견에 실패한 경우, 암호화 모듈이 적절하게 동작하도록 제어할 수도 있다. 즉, 키 관리 모듈이 보안 모듈을 발견하지 못한 경우, 데이터를 송수신하는 두 장치는 보안 채널을 구성할 수 없기 때문에, 반드시 보안 채널을 요구하는 통신이라면 데이터의 전송이 이루어지지 않아야 하며, 수신측에서도 암호화되지 않은 데이터가 수신된다면 그 프레임에 대해 폐기가 이루어져야 한다. 이런 제어는 본 발명의 방법에 따른 보안 모듈 발견 결과에 따라서 키 관리 모듈에서 암호화 모듈을 제어토록 함으로써 이루어질 수 있다. 이와 관련하여, 현재 IEEE 802.1x는 암호화 모듈이 존재하지 않는 경우, 보안 채널을 요구하는 통신에 대해서는 전송을 금지하도록 권고 하고 있다.

또한, 본 발명은 키 관리 모듈은 존재하지만, 암호화 모듈은 존재하지 않는 경우도 감지할 수 있다. 즉, 암호화 모듈의 암호화된 메시지를 전송하는 방법으로는 암호화 모듈의 존재 여부는 감지할 수 없지만, 키 관리 모듈에서는 요구에 대 한 응답 메시지를 기다리게 되므로, 키 관리 모듈의 존재 여부를 먼저 확인할 수 있으며, 이후에 키 관리 모듈에서 제공하는 암호화 모듈의 정보를 통해 암호화 모듈의 존재 여부 및 암호화 모듈과 키 관리 모듈에서 지원하는 기능까지 확인할 수 있게 된다.

이하, 첨부한 도면을 참조하여 본 발명에 따른 EPON 구간내에서의 링크 보안을 위한 보안 모듈 발견 방법에 대하여 설명한다. 하기 기능 및 첨부된 도면의 설명에 있어서, 본 발명의 기술적 요지를 흐릴 수 있는 공지 기능에 대한 상세한 설명은 생략한다.

도 2는 본 발명에 의한 보안 모듈 발견 방법을 나타낸 상태 천이도이다.

상기 도 2에 도시된 바와 같이, 본 발명에 의한 보안 모듈 발견 방법에 따른 처리 상태는 모두 5가지(21~25)이다. 상기 도 2에서 상태를 기술하는 표현으로 로컬(local)은 보안 모듈 발견 절차를 시작하는 장치를 나타내고, 리모트(remote)는 상기 로컬 장치에서 링크가 형성되는 상대 장치(예를 들어, ONU(12))를 나타낸다. 본 발명의 보안 모듈 발견 절차가 OLT(11)에서 시작되는 경우 로컬 장치는 OLT(11)가 되고, 리모트장치는 ONU(12)가 된다. 반대로, 보안 모듈 발견 절차가 ONU(12)에서 시작되는 경우 로컬장치는 ONU(12)가 되고, 리모트장치는 OLT(11)가 된다. 이하에서, 네트워크 장치를 로컬장치와 리모트 장치로 구분하여 설명한다.

상기 각 발견 처리 상태(21~25)에 있어서, 제5상태(25)를 제외하고, 본 발명이 적용되는 키 관리 모듈에서는 암호화 구성 정보만을 전송할 수 있다. 이것은 키 관리 모듈에서 보안 모듈 발견 절차가 완료된 후에, 프로토콜을 이용한 다른 기능들이 동작 가능함을 의미한다. 그리고, 상기 각 발견 처리 상태(21~25)는 송수신측의 암호화 모듈의 상태를 나타내는 파라미터 Local_set_done, Remote_set_done를 설정하는 과정을 구비한다. 상기 파라미터 Local_set_done은 자신, 즉 로컬 장치의 암호화 모듈 상태를 나타내는 파라미터이고, Remote_set_done은 채널이 형성될 상대측, 즉 리모트 장치의 암호화 모듈 상태를 나타내는 파라미터이다. 또한, 제 1상태(21)를 제외하고, 나머지 제2~제5 상태(22~25)에 있어서 수신 프레임에는 항상 자신이 이전에 전달한 설정 정보와 구성 정보가 포함되어 있으므로, 프레임 수신 시 각 상태에서 이전에 전달한 값과 수신한 값이 일치하는지도 확인하여야 한다. 따라서, 로컬과 리모트의 구성일치라는 이벤트는 로컬 구성정보와 리모트 구성정보가 일치하고, 수신 프레임의 리모트 구성 정보 및 설정 정보가 로컬의 구성 정보와 설정 정보와도 일치된 경우에 발생할 수 있다. 이하, 본 발명에서 로컬과 리모트의 구성일치라는 이벤트를 확인하는 경우를 제외하고 프레임 수신 시 각 상태에서 이전에 전달한 값과 수신한 값이 일치하는지도 확인하는 과정은 반복되는 내용이므로 기술하지 않는다.

이어서 상기 도 2을 참조하여, EPON 구간내에서의 보안 모듈 발견 절차를 설명한다.

먼저, 암호화 모듈의 발견이 시작되는 초기상태인 제1 상태(21)에서 로컬 장치는 상태 파라미터 Local_set_done은 암호화 모듈이 없거나 아직 설정되지 않은 것을 나타내는 "0"으로 설정하고, 자신의 설정 정보와 구성정보를 리모트 장치로 전송한다.

본 발명의 보안 모듈 발견 방법은 상기의 제1 상태(21)에서 리모트 장치의 암호화 모듈 정보가 실린 프레임이 수신되면, 제2 상태(22) 혹은 제3 상태(23)로 천이한다.

즉, 제1 상태(21)에서 리모트 장치로부터 구성정보가 실린 정보 프레임을 수신하면, 리모트 상태는 정상으로 되고, 제2 상태(22)로 천이한다. 상기 제2 상태(22)에서 로컬 장치는 파라미터 Local_set_done은 "0"을 유지한 상태에서, 로컬 장치의 설정 정보와 구성정보, 수신된 리모트 장치의 설정 정보와 구성 정보를 리모트 장치로 전송한다.

상기 제1 상태(21), 제2 상태(22)에서 수신된 정보 프레임에 실린 리모트 구성 정보 및 설정 정보가 로컬 장치의 구성 정보 및 설정 정보와 일치하고, 즉, 앞서 전달한 로컬 장치의 정보가 리모트 장치에서 바르게 전달받았는지를 확인 하고, 리모트 장치의 로컬 구성 정보와 로컬 장치의 구성 정보가 일치하는 경우, 로컬장치와 리모트 장치의 구성이 일치되는 것으로 판단하여 제3 상태(23)로 천이한다.

상기 제1 상태(21)에서 제3 상태(23)로의 천이 과정에 있어서, EPON의 OLT(11)와 ONU(12)가 동시에 본 발명의 보안 모듈 발견 절차를 시작하는 경우, 상 기 OLT(11)와 ONU(12)는 제1 상태(21)에서 제2 상태(23)로 천이하며, OLT(11)가 보안 모듈 발견 절차를 먼저 시작하고 이에 ONU(12)가 응답하는 경우, OLT(11)는 제1 상태(21)에서 제3 상태(23)로 천이한다. 이는 ONU(12)가 제1 상태(21)에서 정보 프레임을 전송하기 전에 다음 상태로 천이할 수 있는 이벤트가 발생되기 때문이다.

그리고, 상기 제2 상태(22) 또는 제3 상태(23)에서 수신된 프레임의 설정정보를 체크하여, 리모트 장치에서 암호화 모듈이 있고 설정이 완료된 경우, 제2 상태(22)에서 제4 상태(24)로 천이한다. 상기 제2,4 상태(22,24)로의 상태 천이를 위한 이벤트는 수신프레임의 Local_set_done 값이 1인 경우 발생된다.

그리고, 상기 제3,4 상태(23,24)에서 로컬장치는 자신의 상태 파라미터 Local_set_done을 "1"로 설정하고, 수신한 프레임의 Local_set_done과 동일한 값으로 Remote_set_done을 설정하여 구성 정보를 전송한다.

상기에 의하여, 로컬장치와 리모트 장치의 상태 파라미터 Local_set_done, Remote_set_done이 모두 "1"인 경우, 즉, 수신한 프레임에 기재된 Local_set_done과 Remote_set_done이 모두 "1"이면, 로컬장치와 리모트장치의 암호화 발견 절차가 완료되었음을 나타내는 Local_Remote_set_done이 "1"로 되어, 해당 장치는 제5 상태(25)로 천이한다. 상기 제5 상태(25)는 로컬장치와 리모트 장치간의 보안 모듈 발견 절차가 완료된 상태로서, 이후부터 발견 절차를 위해 사용하는 메시지를 포함하여 다른 모든 프레임의 전송이 가능한 상태가 되었음을 나타낸다. 이와 같이, 제 5 상태(25)가 되면, 암호화 모듈이 동작하여 교환되는 메시지의 암호화를 수행한다.

이와 같은 과정을 통해 EPON의 OLT(11)와 ONU(12)는 서로의 구성 정보를 확인하고, 이에 대한 설정 정보를 전달할 수 있다.

상술한 본 발명의 보안 모듈 발견 방법은 EPON의 OLT(11)와 ONU(12)중 어느 한 쪽에서 시도하고 다른 한쪽은 응답하는 형태로 이루어질 수도 있으며, OLT(11)와 ONU(12) 양측에서 동시에 시도하는 형태로 이루어질 수도 있다.

도 3은 OLT(11)와 ONU(12)중 한 쪽에서 시도하고, 다른 쪽에서 응답하는 경우의 발견 과정을 나타낸 신호 흐름도이고, 도 4는 OLT(11)와 ONU(12) 양측에서 동시에 시도하여 동시에 발견절차를 완료하는 경우의 발견 과정을 나타낸 신호 흐름도이다.

상기 도 3 및 도 4에 도시된 바와 같이, 상대방으로부터 L(1)/R(1)을 확인함으로써 보안 모듈 발견 절차가 종료됨을 알 수 있다.

먼저, 도 3에 있어서, A장치는 자신의 구성정보를 로컬 정보로 설정하고, 로컬 상태 파라미터와, 리모트 상태 파라미터가 L(0)/R(0) 로 설정된 정보 프레임을 B 장치로 전송한다. 이를 수신한 B 장치는 로컬 상태 파라미터와 리모트 상태 파라미터를 L(0)/R(0)로 하고 로컬 정보에 자신의 구성정보를 싣고, 상기 수신 프 레임의 로컬정보를 송신 프레임의 리모트 정보에 실어 A장치에 전송한다.

상기 프레임을 수신한 A장치는 수신한 프레임이 리모트 구성 정보를 가지고 있고 그 정보가 자신의 정보와 일치하는 것을 확인한 후, 수신프레임의 로컬정보(즉, B장치의 구성정보)가 자신의 구성정보와 일치하면, 제3 상태(23)로 천이하여, 자신의 구성정보를 송신 프레임의 로컬정보에, B장치의 구성정보를 리모트 정보에 싣고, 상태 파라미터를 L(1)/R(0)로 하여 B 장치로 전송한다.

상기 B 장치는 수신한 프레임이 리모트 구성 정보를 가지고 있고 그 정보가 자신의 정보와 일치하는 것을 확인한 후, 수신프레임의 로컬정보가 자신의 구성정보와 일치하면, 제4 상태(24)로 천이되어, 자신의 구성정보를 송신 프레임의 로컬정보에, 수신프레임의 로컬정보를 송신프레임의 리모트 정보에 싣고, 상태 파라미터를 L(1)/R(1)로 하여 A 장치로 전송한다.

상기 A 장치는 수신된 프레임의 상태파라미터가 모두 "1"이므로(L(1)/R(1)), 제5 상태(25)로 천이하여 메시지 암호화를 준비하고, 동시에, L(1)/R(1)로 상태 파라미터를 설정하고, 자신의 구성정보를 로컬정보로 B장치의 구성정보를 리모트 정보로 프레임에 실어 B 장치로 전송한다.

마찬가지로, B장치는 수신된 프레임의 상태파라미터가 모두 "1"이므로(L(1)/R(1)), 제5 상태(25)로 천이하여 메시지 암호화를 준비한다.

상기에 의하여, A장치와 B장치의 보안 모듈 준비가 모두 완료되고, 이어 보안링크를 통한 메시지 전송이 가능하게 된다.

다음으로, 도 4의 경우에는, A장치와 B 장치에서 동시에 보안 모듈 발견 절차가 실시되며, 상기 도 3에 보인 각 과정이 A장치와 B 장치 간에 동시에 진행되는 것으로, A장치와 B장치가 각각 수신 프레임의 상태 파라미터 체크 및 구성 비교를 통하여, 제1~제5 상태(21~25)를 천이하게 되므로, A, B 두 장치가 동시에 절차를 수행하더라도, 같은 정보를 얻고 동시에 종료될 수 있다.

상기와 같이 두 장치가 동시에 동일한 과정을 시작하는 경우, 두 장치 중 어느 한 쪽에서 보안 모듈 발견 절차를 해지함으로서, 한 쪽의 절차를 따르는 것도 가능하다. 그러나, 이 경우, 어떠한 방법으로 어느 쪽을 해지할 것인지에 대한 결정을 위한 프로토콜 제어가 복잡해지고, 경우에 따라서 양쪽에서 동시에 해지됨으로서 수행 완료가 늦어질 수 있으므로, 본 발명은 동시에 시작할 경우, 동시에 발견 절차가 완료될 수 있도록 한다.

상기에 있어서, 보안 모듈 발견 절차를 위해 사용되는 정보 프레임은 데이터 링크 계층에서 적용될 수 있도록 하기 위하여 MAC 프레임을 기본으로 하며, EPON의 OLT(11)와 ONU(12)간에서 생성되고 소멸되는 EPON의 프로토콜의 하나인 슬로우 프로토콜(slow protocol)을 사용하여, 암호화 모듈의 구성정보 및 상태를 전송하기 위한 프레임을 구성한다.

일반적인 MAC 프레임은 도 3에 도시된 바와 같이, 목적지 주소 필드(DA)와, 송신지 주소 필드(SA)와, 길이 및 타입 정보 필드, 데이터/패드 필드, FCS 필 드로 이루어진다.

본 발명에 의한 보안 모듈 발견 방법에 있어서도, 상기 MAC 프레임의 구조와 유사하게 도 6과 같은 구조로 이루어진다.

상기 도 6을 참조하면, OLT(11)와 ONU(12) 구간에서 보안 모듈 발견을 위해 생성되고 소멸되는 프레임은 6바이트로 이루어진 목적지의 MAC 주소 필드(DA : Destination Address), 6바이트로 이루어진 송신지의 MAC 주소 필드(SA : Source Address), 2바이트로 이루어진 길이와 타입정보 필드(Length/Type), 1바이트의 서브 타입 정보 필드(subtype), 키 관리 프로토콜이 필요로 하는 정보로서 키 관리 프레임이 전송될 때마다 반드시 확인해야 하는 내용을 정의하는 1 바이트의 플래그(Flag) 필드, 프레임의 종류를 구별하는 1 바이트의 코드 필드(code), 최대 107바이트의 가변 길이로 이루어지며 인증 프레임에서 전송하는 메시지의 내용을 정의하는 데이터/패드필드(Data/Pad), 4바이트로 이루어지며 프레임의 전송 오류를 확인하기 위한 값을 정의하는 체크필드(FCS)로 이루어진다.

상기에서, 서브 타입 정보 필드(subtype), 플래그(flag)필드, 코드(code) 필드는 기존의 MAC 프레임구조에 있어서, 데이터/패드(data/pad)필드로 할당된 110 바이트 중 3 바이트를 이용하여 구성하고, 데이터/패드(data/pad) 필드의 크기는 최대 107 바이트로 설정한다.

그리고, 상기 프레임의 각 필드 값은, 슬로우 프로토콜(slow Protocol)의 규칙을 적용하여 설정한다. 즉, 슬로우 프로토콜의 규칙을 적용하여, 상기 목적지의 MAC 주소필드(DA) 값으로 "01-80-c2-00-00-02" 을 가지며, 길이와 타입정보필드(Length/Type) 값으로 "88-09" 을 가지며, 서브타입(Subtype) 값은 기존에 사용되는 1~3의 값을 제외한 나머지 4~10 중 하나(예를 들어, "4")를 사용한다. 이는 OLT(11)와 ONU(12)간에 링크 보안을 위해 교환되는 모든 프레임에 공통적으로 적용된다.

그리고 MAC 프레임의 최소 길이는 64바이트이므로, 상기 데이터/패드 필드(Data/Pad)는 최소 43바이트 이상 최대 107 바이트 이하 범위의 가변 길이를 갖는다. 여기서, MAC 프레임의 최대 길이가 1522바이트라 하더라도 슬로우 프로토콜(Slow Protocol)에 사용되는 프레임의 최대 길이는 128바이트 제한되어 있기 때문에, 상기 인증 프레임은 107바이트까지만 정보를 확장할 수 있다.

상기 플래그(Flag) 필드는 암호화 모듈의 설정 정보를 나타내는 필드로서, 1 바이트로 구성되며 각 비트의 다음의 표 1과 같다.

비트	이름	설명
0	로컬설정 Local_set_done	0 = Local 장치에 암호화 모듈이 없거나, 설정 안 됨 1 = Local 장치에 암호화 모듈이 있고, 설정 됨
1	리모트 설정 Remote_set_done	0 = Remote 장치에 암호화 모듈이 없거나, 설정 안 됨 1 = Remote 장치에 암호화 모듈이 있고, 설정됨
2~7	reserved

상기 표 1에 보인 바와 같이, 플래그(flag) 필드는, 로컬(Local) 설정 정보(Local set done)와 리모트 설정 정보(Remote set done)로 이루어지며, 이는 상기 도 2를 참조한 설명에서의 프레임을 송신하는 장치의 암호화 모듈의 설정 상태를 나타내는 로컬 상태 파라미터 Local_set_done과 프레임을 수신하는 장치의 암호화 모듈의 설정 상태를 나타내는 리모트 상태 파라미터 Remote_set_done과 일치한다.

예를 들어, OLT(11)가 ONU(12)에게 프레임을 전송하는 경우 로컬 상태 정보(Local Set done)는 OLT(11)의 암호화 모듈 설정 상태를 가리키고, 리모트 상태 정보(Remote Set done)는 ONU(12)의 암호화 모듈 설정 상태를 나타낸다. 반대로, ONU(12)에서 OLT(11)로 전송되는 프레임인 경우, 로컬 상태 정보(Local Set done)는 ONU(12)의 암호화 모듈 설정 상태를 가리키고, 리모트 상태 정보(Remote Set done)는 OLT(11)의 암호화 모듈 설정 상태를 나타낸다.

그리고, 비트 0과 1의 값이 "0"이면 해당 장치에 암호화 모듈이 없거나, 있지만 서로 간의 구성이 일치되는 않는 경우를 나타내고, 비트 0과 1의 값이 "1"이면 암호화 모듈이 있으며, 그 구성이 양 장치 간에 일치되는 경우를 나타낸다. 따라서, 상기 로컬 상태 정보(Local Set done)와 리모트 상태 정보(Remote Set done)가 모두 "1"인 경우 양 장치 간에 암호화 모듈이 동작될 수 있다.

본 발명은 OLT(11)와 ONU(12)간에 전송되는 프레임의 로컬 상태 정보(Local Set done)와 리모트 상태 정보(Remote Set done)를 모두 "1"로 설정하기 위한 방법으로서, 상기와 같이, 본 발명에 의하여, 플래그 필드의 로컬 상태 정보 (Local Set done)와 리모트 상태 정보(Remote Set done)가 모두 "1"인 경우, 두 장치 간에 암호화에 의한 메시지 전달이 이루어진다.

본 발명에 의한 양 장치의 보안 모듈 발견 방법에 의하여, 상기 플래그(Flag) 필드의 두 비트 값이 "1"인 상태에서 정상 동작 하던 중 암호화 모듈에 변경이 발생한 경우, 상기 플래그(flag) 필드의 비트 값이 변경되므로, 이러한 플래그 필드의 체크만으로 암호화 모듈 변경에 빠르게 대처할 수 있게 된다.

다음으로, 상기 코드(Code) 필드는 1바이트로 할당되어, 해당 프레임의 종류를 구별하는데 이용된다. 즉, 본 발명에 따른 보안 모듈 발견 방법에 따라서, OLT(11)와 ONU(12)간에 전달되는 프레임인 경우 상기 코드 필드를 1로 함으로서, 구별할 수 있게 한다.

더불어, 보안 모듈 발견에 이용되는 프레임의 경우, 데이터/패드 필드는 도 7에 도시된 바와 같이, 프레임의 송신측 구성정보인 로컬 구성 정보(Local_config)와 프레임의 수신측 구성정보인 리모트 구성 정보(Remote_config)로 이루어진다. 상기 로컬 구성 정보와 리모트 구성 정보는 해당 장치에 암호화 모듈이 있는 경우에만 전달되는 정보로서, 암호화 모듈이 없어 플래그 필드의 대응하는 상태 정보(local set done, remote set done)가 0인 경우, 상기 데이터/패드 필드의 해당 구성정보는 모두 "Null"로 채워지며, 암호화 모듈은 있으나 암호화 모듈이 동작 상태가 아닌 경우, 상기 데이터/패드 필드에 해당 구성정보가 실린다.

상기 로컬 구성 정보(Local_config)와 리모트 구성 정보(Remote_config)는 각각 2바이트로 이루어지며, 다음의 표 2와 같이 구성될 수 있다.

비트	이름	설명
0	동작상태	0 = 암호화 모듈 오프상태 1 = 암호화 모듈 온 상태
1~2	암호화 모드	0 = 암호화만 제공 1 = 복호화만 제공 2 = 모두 제공
3~6	암호화 알고리즘	0 = GCM-AES-128 1 = CCM-AES-128 2 = OCB-AES-128 3 = RSA
7~10	키분배 알고리즘	0 = no-Diffie-Hellman 1 = Diffie-Hellman
11~15	reserved

상기에서 동작 상태는 현재 암호화 모듈이 시스템에 있는 경우, 실제로 동작가능한지를 나타내는 정보로서, 동작 가능한 경우 "1"로, 동작이 불가능한 경우 "0"로 된다. 상기에서, 동작 상태가 "1"인 경우, 이어지는 나머지 비트에 구성정보가 실리며, 동작상태가 "0"인 경우(동작이 불가능한 경우)는 나머지 비트 값이 "Null"로 표시된다.

구성정보 중 암호화 모드는 해당 장치의 암호화 모듈에서 제공하는 기능을 나타내는 정보로서, EPON의 경우 하향 전송은 브로드캐스트인 반면에 상향 전송은 유니캐스트 방식이므로, 경우에 따라서 상향 데이터에 대해 암호화 동작을 하지 않을 수도 있다. 이에 상기 암호화 모드를 포함함으로서, 양 장치는 암호화 동기여부를 판단할 수 있다.

그리고, 구성정보 중 암호화 알고리즘은 해당 장치의 암호화 모듈에서 데 이터의 암호화 및 복호화시 사용되는 알고리즘 정보를 나타내는 것으로서, 상기 표 2에 보인 예에서는, RSA를 제외하면 모두 대칭키 알고리즘이다. 경우에 따라서 암호화 모듈은 다수개의 암호화 알고리즘을 동작시키는 독립적인 모듈을 가질 수 있다.

그리고, 키분배 알고리즘은 보안 모듈중 키 관리 모듈에서 키를 분배하기 위해 사용하는 방식을 전달하는 것으로서, 상기 표 2에서는 2 개의 알고리즘을 예로 기술하였으나, 키 분배를 위해 별도의 암호화 채널을 구성하는 경우에는 키 분배 암호화에 사용된 알고리즘의 정보를 가리키게 된다. 더불어, 키 분배를 위하여 별도의 암호화 채널을 구성하는 경우, 상기 데이터/패드 필드의 구성이 변경될 수 있으며, 새로운 프레임을 정의하여 사용할 수 도 있다.

본 발명에 의한 보안 모듈 발견 방법은, 상기 제1~제4 상태(21~25)에서 수신 프레임의 데이터/패드 필드에 실린 양 장치의 구성정보를 비교하여, 암호화 모드, 암호화 알고리즘, 키 분배 알고리즘이 일치하는지를 체크함으로서, 양 장치의 보안 모듈이 동기 될 수 있는지를 판단할 수 있다.

이상과 같이, 본 발명의 보안 모듈 발견 방법은, 링크가 구성되는 양 장치간에 암호화 모듈의 구성정보 및 상태 정보를 상술한 구조의 프레임을 통해 교환함으로서, 양 장치의 보안 모듈이 동기 될 수 있는 지를 쉽게 체크할 수 있게 된다.

상술한 바와 같이, 본 발명은 EPON의 ONU와 OLT간에 보안 채널을 구성하기 위하여 양 장치의 보안 모듈의 존재 여부를 확인하고 구성 정보를 비교하는 모듈 발견 방법에 관한 것으로서, 암호화 모듈이 아닌 키 관리 모듈에서 수행될 수 있어, 보안 모듈 발견이 수행되는 동안 암호화되거나 이미 암호화된 데이터가 유실되는 것을 방지할 수 있고, 암호화 모듈의 추가적인 기능 수행이나 프레임 오버헤드 없이 발견이 수행될 수 있는 우수한 효과가 있다.

또한, 본 발명에 의한 보안 모듈 발견 방법은 데이터 링크 계층에서 수행되는 슬로우 프로토콜을 적용함으로서, EPON의 구간 밖으로 프레임이 전송되지 않으므로 EPON 구간에서 안전하면서, EPON 구간에서 전송되는 데이터 량에 큰 영향을 주지 않는 우수한 효과가 있다.

또한, 본 발명에 의한 보안 모듈 발견 방법은 양 장치 중 어느 한 장치에서만 시도될 수도 있고, 양 장치 모두에서 동시에 진행되더라도 충돌 없이 양 장치에서 동시에 절차가 완료될 수 있는 우수한 효과가 있다.

Claims

EPON 구간내에서 두 네트워크 장치간의 링크 보안을 위한 보안 모듈 발견 방법에 있어서,

소정 장치가 자신의 구성정보를 나타내는 로컬 구성정보와, 자신의 설정 상태를 나타내는 로컬 상태 정보만을 포함한 제1 정보 프레임을 생성하여 전송하는 로컬 정보 전송 단계;

상대 장치로부터 정보 프레임을 수신하는 단계;

상기 수신된 정보 프레임의 로컬 상태정보 및 리모트 상태 정보를 체크하여 자신과 리모트 측의 설정 상태를 판단하는 판단 단계;

상기 판단 단계에서, 로컬 상태 정보, 리모트 상태 정보 중 어느 하나라도 설정이 완료된 상태가 아닌 경우, 수신된 정보 프레임의 로컬 구성정보와 자신의 구성 정보를 비교하는 단계;

상기 비교 결과를 로컬 상태 정보로, 수신 프레임의 로컬 상태정보를 리모트 상태 정보로, 수신 프레임의 로컬 구성 정보를 리모트 구성정보로, 자신의 구성 정보를 로컬 구성정보로 설정한 제2 정보 프레임을 생성하여 전송한 후 상기 수신 단계로 리턴하는 로컬 및 리모트 정보 전송 단계; 및

상기 판단 단계에서, 수신된 정보 프레임의 로컬 상태 정보와 리모트 상태 정보가 모두 설정 완료를 표시하는 경우, 발견 절차를 종료하는 단계를 포함하는 네트워크 장치간의 링크 보안을 위한 보안 모듈 발견 방법.
제 1 항에 있어서, 상기 로컬 및 리모트 정보 전송 단계는

상기 수신된 정보 프레임의 로컬 구성정보와 자신의 구성 정보가 일치하지 않는 경우, 상기 수신된 정보 프레임의 로컬 구성 정보를 리모트 구성 정보로, 자신의 구성 정보를 로컬 구성 정보로 기재하고, 로컬 상태 정보와 리모트 상태 정보를 설정이 완료되지 않은 상태로 표시한 정보 프레임을 생성하여 전송하는 단계;

상기 수신된 정보 프레임의 로컬 구성정보와 자신의 구성 정보가 일치하고, 수신된 프레임의 로컬 상태 정보가 설정이 완료되지 않은 상태로 표시된 경우, 수신된 프레임의 로컬 구성 정보를 리모트 구성 정보로, 자신의 구성 정보를 로컬 구성 정보로 기재하고, 로컬 상태 정보를 설정 완료 상태로, 리모트 상태 정보는 설정이 완료되지 않은 상태로 설정한 정보 프레임을 생성하여 전송하는 단계; 및

상기 수신된 정보 프레임의 로컬 구성정보와 자신의 구성 정보가 일치하고, 수신된 프레임의 로컬 상태 정보가 설정 완료 상태로 표시된 경우, 수신된 프레임의 로컬 구성 정보를 리모트 구성 정보로, 자신의 구성 정보를 로컬 구성 정보로 기재하고, 로컬 상태 정보 및 리모트 상태 정보를 모두 설정 완료 상태로 설정한 정보 프레임을 생성하여 전송하는 단계

를 포함하는 것을 특징으로 하는 EPON 내에서의 링크 보안을 위한 보안 모듈 발견 방법.
제 1 항에 있어서, 상기 정보 프레임은

목적지의 MAC 주소 필드(DA : Destination Address)와, 송신지의 MAC 주소 필드(SA : Source Address)와, 프레임의 길이 및 타입을 나타내는 길이와 타입정보 필드(Length/Type)와, 서브 타입 정보 필드(subtype)와, 송신측의 설정상태를 나타내는 로컬 상태 정보와 수신측의 설정상태를 나타내는 리모트 상태 정보를 정의하는 플래그(Flag) 필드와, 정보 프레임임을 구별하기 위한 코드 필드(code)와, 송신측의 보안 모듈 구성정보인 로컬 구성 정보와 수신측의 보안 모듈 구성 정보인 리모트 구성 정보가 기재되는 데이터/패드필드(Data/Pad)와, 프레임의 전송 오류를 확인하기 위한 값을 정의하는 체크필드(FCS)로 이루어지는 것을 특징으로 하는 EPON 내에서의 링크 보안을 위한 보안 모듈 발견 방법.
제 3 항에 있어서, 상기 정보 프레임은 슬로우 프로토콜(slow protocol)의 규칙을 적용하여 설정하는 것을 특징으로 하는 EPON 내에서의 링크 보안을 보안 모듈 발견 방법.
제 3 항에 있어서,

상기 플래그 필드의 로컬 상태 정보와 리모트 상태 정보는, 각각

해당 장치의 보안 모듈에 암호화 모듈이 없거나 설정이 안 된 경우 해당 비트 값을 "0"로 설정하고, 보안 모듈에 암호화 모듈이 있으며 설정된 경우 해당 비트 값을 "1"로 설정하는 것을 특징으로 하는 EPON 내에서의 링크 보안을 보안 모듈 발견 방법.
제 3 항에 있어서, 상기 데이터/패드 필드의 로컬 구성 정보와 리모트 구성 정보는, 각각

상기 보안 모듈에 구비된 암호화모듈의 동작상태 정보,

상기 보안 모듈에 구비된 암호화 모듈이 암호화 및 복호화중 하나 또는 둘 다를 제공하는 지를 표시하는 암호화 모드 정보,

상기 보안 모듈에 구비된 암호화 모듈에 적용된 암호화 알고리즘을 나타내는 암호화 알고리즘 정보,

키 분배를 위해 별도의 암호화 채널을 구성하는 경우의 알고리즘 정보를 나타내는 키 분배 알고리즘 정보중 하나 이상을 포함하여 구성되는 것을 특징으로 하는 EPON 내에서의 링크 보안을 위한 보안 모듈 발견 방법.