傳統(tǒng)的加密算法不能很好的滿足客戶的需求，為此，我們?cè)诓桓膭?dòng)現(xiàn)有芯片結(jié)構(gòu)的基礎(chǔ)上對(duì)現(xiàn)有的加密算法以及加密的相關(guān)設(shè)備作了創(chuàng)新性設(shè)計(jì)，設(shè)計(jì)了一個(gè)基于多業(yè)務(wù)等級(jí)的EPON系統(tǒng)數(shù)據(jù)加密模塊，在不增加成本的情況下，全面地保障了EPON系統(tǒng)數(shù)據(jù)的安全，同時(shí)也滿足了不同用戶的需求。

一、EPON分級(jí)加密技術(shù)理論分析

以太網(wǎng)技術(shù)和PON技術(shù)雖然是兩種成熟的技術(shù)，然而兩者的結(jié)合是一次新的嘗試，需要解決的一些關(guān)鍵問題通過業(yè)界努力已逐步解決。EPON的安全問題也是一個(gè)全新的課題，盡管IEEE 802.3ah沒有形成EPON的安全標(biāo)準(zhǔn)，但在標(biāo)準(zhǔn)制定過程中，學(xué)者們對(duì)EPON安全措施的必要性達(dá)成了共識(shí)，有些學(xué)者提出了采用加密和認(rèn)證的措施來(lái)保障EPON的安全。加密和認(rèn)證方式的提出，直接導(dǎo)致了各種加密算法使用到EPON系統(tǒng)中。基于擾碼的加密方式，借助于密鑰更新來(lái)提供安全策略，但擾碼加密的安全性不高，APON(ATM PON)選用該加密方式得到了諸多學(xué)者的置疑。

采用了高級(jí)加密標(biāo)準(zhǔn)(AES)對(duì)下行數(shù)據(jù)流進(jìn)行加密，但只涉及到如何處理最后一個(gè)分組的方法，為了解決EPON的安全性問題，EPON標(biāo)準(zhǔn)802.3aU建議采用高級(jí)加密標(biāo)準(zhǔn)算法在物理層實(shí)現(xiàn)用戶信息的加密。經(jīng)過AES算法加密的用戶數(shù)據(jù)有效地降低了信息泄露的可能性。由于AES算法是對(duì)稱密鑰方式，即加密密鑰和解密密鑰相同。通信雙方要通過安全的密鑰信道傳送共享的密鑰，進(jìn)行加密和解密處理。在密鑰的傳送過程中存在密鑰泄露的隱患。而公開密鑰加密算法采用公鑰加密，私鑰解密，在加密解密過程中不需要通過網(wǎng)絡(luò)傳輸密鑰。

因此，鑒于對(duì)稱加密算法的高效性和公鑰算法在密鑰管理方面的各自優(yōu)勢(shì)，可以考慮采用兩者結(jié)合的加密方法。在加密領(lǐng)域里，人們已經(jīng)做了大量的研究實(shí)踐，有很多研究成果已經(jīng)商用化，比如：用于端到端的安全套接層、IPSec和虛擬專用網(wǎng)等。在接入網(wǎng)中完全可以借用這些加密措施提高接入網(wǎng)的安全性。不過采用這些方法勢(shì)必將在各用戶終端配置額外的加密設(shè)備，這不但增加亍網(wǎng)絡(luò)管理的復(fù)雜程度j使網(wǎng)絡(luò)管理的成本上升，而且會(huì)導(dǎo)致用戶的成本增加。因此，理想的解決方案應(yīng)該是從接入網(wǎng)協(xié)議的數(shù)據(jù)鏈路層入手進(jìn)行加密。

EPON系統(tǒng)的安全性包括系統(tǒng)的信息安全，它涉及到信息的保密性、完整性、可用性、可控性csi。EPON的發(fā)展目標(biāo)是全業(yè)務(wù)匯聚網(wǎng)，隨著EPON對(duì)多業(yè)務(wù)的支持的不斷成熟完善，我們面臨由多業(yè)務(wù)帶來(lái)一個(gè)相關(guān)的問題：不同的業(yè)務(wù)對(duì)加密特性要求各不相同。

IP網(wǎng)絡(luò)技術(shù)使得各種業(yè)務(wù)的有機(jī)結(jié)合，使網(wǎng)絡(luò)成為集語(yǔ)音、圖像、數(shù)據(jù)等一體化多業(yè)務(wù)平臺(tái)。隨著internet的迅猛發(fā)展，人們對(duì)多媒體信息需求的增加，實(shí)時(shí)音／視頻流業(yè)務(wù)需求的不斷涌現(xiàn)。TDM over EPON技術(shù)就是通過EPON透明的傳送TDM業(yè)務(wù)，視頻流業(yè)務(wù)和TDM業(yè)務(wù)有其相似之處。如它們對(duì)時(shí)延、時(shí)延抖動(dòng)以及丟包率都要求比較高，必須保證它們的QoS要求。針對(duì)流媒體業(yè)務(wù)的特點(diǎn)進(jìn)行適當(dāng)?shù)膸挿峙?，也可以保證其有效的傳輸。

針對(duì)EPON多業(yè)務(wù)的支持，已有不少技術(shù)工作者通過不同的帶寬分配方案已提出了許多出色的建議。需要注意的工作就是進(jìn)行業(yè)務(wù)識(shí)別及分類標(biāo)記，流量分類經(jīng)常和接納控制策略、流量監(jiān)控等配合使用，這些工作主要在網(wǎng)絡(luò)邊緣由邊緣路由器或網(wǎng)關(guān)完成。傳統(tǒng)IP網(wǎng)絡(luò)只能提供“盡力而為”服務(wù)，所有業(yè)務(wù)流公平的競(jìng)爭(zhēng)網(wǎng)絡(luò)資源，很難保證每類業(yè)務(wù)的通信要求，這也是研究IP QoS的本質(zhì)原因。作為在IP上傳輸?shù)腜ON網(wǎng)絡(luò)要考慮不同業(yè)務(wù)對(duì)安全的不同要求，如何實(shí)現(xiàn)對(duì)不同的業(yè)務(wù)進(jìn)行區(qū)分，如何針對(duì)不同業(yè)務(wù)使用不同的加密方案就成為了一個(gè)很實(shí)際的問題。

二、加密子層處理機(jī)制建模

該方案的設(shè)計(jì)的原則是對(duì)數(shù)據(jù)鏈路層的幀數(shù)據(jù)進(jìn)行加密。實(shí)際應(yīng)用中盡可能地不對(duì)上層產(chǎn)生太多影響，保持上層的獨(dú)立和完整性?；谶@種考慮，提出在MAC子層和RS子層之間實(shí)現(xiàn)一個(gè)透明的加密子層，使之對(duì)上面的MAC層來(lái)說相當(dāng)于一個(gè)RS子層，而對(duì)下面RS子層來(lái)說相當(dāng)于一個(gè)MAC子層。

加密子層在發(fā)送時(shí)先模擬RS從MAC層接收數(shù)據(jù)，然后根據(jù)加密指示域中的業(yè)務(wù)分類進(jìn)行相應(yīng)的加密，再模擬MAC子層向RS子層發(fā)送數(shù)據(jù)，從而完成透明的發(fā)送過程。在接收時(shí)先模擬MAC子層從RS子層接受數(shù)據(jù)．然后根據(jù)加密指示域的業(yè)務(wù)分類進(jìn)行相應(yīng)的解密，再模擬RS子層將解密后的數(shù)據(jù)發(fā)送給MAC子層，從而實(shí)現(xiàn)了透明的接收。EPON系統(tǒng)中，在OLT和ONU之間傳輸?shù)氖嵌鄻I(yè)務(wù)的數(shù)據(jù)，每一種業(yè)務(wù)對(duì)安全性的要求并不一樣。OLT/ONU之間認(rèn)證信息關(guān)系整個(gè)網(wǎng)絡(luò)的帶寬配置，資源分配，工作狀態(tài)，授權(quán)鑒定等關(guān)系到整個(gè)系統(tǒng)安全穩(wěn)定的重要信息，對(duì)安全要求極高，同時(shí)數(shù)據(jù)流量較?。徽Z(yǔ)音視頻等流媒體業(yè)務(wù)對(duì)安全要求較低，數(shù)據(jù)流量很大，但對(duì)時(shí)延性可以相對(duì)放寬：數(shù)據(jù)業(yè)務(wù)包含較大的流量，相對(duì)時(shí)延要求低。針對(duì)上述各種數(shù)據(jù)的不同特點(diǎn)，提出了分級(jí)業(yè)務(wù)加密方案。

上述多業(yè)務(wù)的加密機(jī)制最重要的是針對(duì)不同業(yè)務(wù)采用不同的算法，但在考慮實(shí)現(xiàn)的復(fù)雜性，所以在設(shè)計(jì)的加密方案中，加密的范圍都包括了源地址、目的地址：數(shù)據(jù)域和校驗(yàn)域是通過在導(dǎo)引序列中劃分一塊作為業(yè)務(wù)加密指示域，加密子層通過上層數(shù)據(jù)的業(yè)務(wù)指示標(biāo)記采取相應(yīng)的加密方式，對(duì)上層數(shù)據(jù)進(jìn)行加密后送給下層，在接收端同樣根據(jù)下層數(shù)據(jù)中的業(yè)務(wù)指示標(biāo)記采取相應(yīng)的解密方式，再送給MAC層。

三、基于業(yè)務(wù)等級(jí)EPON系統(tǒng)數(shù)據(jù)加密方案的設(shè)計(jì)

為了解決EPON系統(tǒng)數(shù)據(jù)庫(kù)中存在的各種安全隱患，針對(duì)傳統(tǒng)加密算法中存在的一些不足，從以下兩個(gè)方面入手：，對(duì)傳統(tǒng)的加密方案做一些改進(jìn)。由于傳統(tǒng)的加密方案是對(duì)所有業(yè)務(wù)采用同一種加密算法。而有些加密算法的加解密速度比較慢，不能很好地滿足語(yǔ)音視頻等實(shí)時(shí)性較高的業(yè)務(wù)，或者有些加密算法的安全性不夠高，不能保證機(jī)密信息的絕對(duì)安全。因此，這里采用分級(jí)加密的思想，將業(yè)務(wù)分等級(jí)，對(duì)不同客戶的需求。

本方案是從數(shù)據(jù)鏈路層入手，將業(yè)務(wù)分為三個(gè)等級(jí)進(jìn)行加密。

從上往下，等級(jí)由高到低排列：①ONU的注冊(cè)認(rèn)證信令，它的安全性等級(jí)最高，且對(duì)時(shí)延沒什么要求，因此要采用最具有安全性的加密算法來(lái)對(duì)其進(jìn)行加密，這里采用安全性高且加解密速度快的基于橢圓的加密算法ECC進(jìn)行加密；②一般的數(shù)據(jù)業(yè)務(wù)等信息，它的安全性等級(jí)也比較高，且對(duì)時(shí)延也沒什么要求，如果要保證其安全性，也可以采用ECC來(lái)加密；③語(yǔ)音視頻等業(yè)務(wù)，它的安全等級(jí)最低，即對(duì)安全性要求不高，但是它對(duì)延時(shí)和抖動(dòng)要求比較高，故要用一個(gè)加解密速度很快的加密算法來(lái)對(duì)其進(jìn)行加密，這樣可以減少延時(shí)和抖動(dòng)，以最好的方式滿足客戶的需求．因此這里用加解密速度最快的對(duì)稱加密算法AES對(duì)其進(jìn)行加密。

OLT發(fā)送下行數(shù)據(jù)時(shí)，首先提取數(shù)據(jù)幀中同步時(shí)間作為時(shí)間標(biāo)記，同時(shí)通過主控制模塊根據(jù)不同的業(yè)務(wù)產(chǎn)生相應(yīng)的時(shí)間加密函數(shù)。主控模塊控制加密或者解密．加解密控制模塊通過調(diào)用相關(guān)的加密函數(shù)對(duì)不同業(yè)務(wù)在加密數(shù)據(jù)通道進(jìn)行分級(jí)加密，加解密完成后加密數(shù)據(jù)通道會(huì)通過相關(guān)接口通知加解密控制模塊。

ONU收到從OLT發(fā)送過來(lái)的加密數(shù)據(jù)，只需要提取自己的時(shí)間函數(shù)作為解密的密鑰．用它對(duì)數(shù)據(jù)進(jìn)行解密。每一個(gè)ONU只擁有自己的時(shí)間函數(shù)，所以就防止了其它ONU竊取數(shù)據(jù)：而且每個(gè)ONU的時(shí)間函數(shù)會(huì)變化，即使有竊取者竊聽了某數(shù)據(jù)幀，分析出密鑰，也不能對(duì)該ONU的接收數(shù)據(jù)幀進(jìn)行解密，這樣就防止了非法的ONU通過偽裝發(fā)送數(shù)據(jù)了。

在EPON系統(tǒng)中對(duì)安全機(jī)制的實(shí)驗(yàn)方案主要考慮通過建模的方法驗(yàn)證加密方案的可行性，主要分析各種加密算法對(duì)系統(tǒng)中的相關(guān)參數(shù)例如時(shí)延等的影響，然后通過軟件程序設(shè)計(jì)語(yǔ)言進(jìn)行加密實(shí)現(xiàn)。針對(duì)語(yǔ)音：圖像、數(shù)據(jù)等多業(yè)務(wù)的傳輸中采用分級(jí)加密的機(jī)制。由于采用了分業(yè)務(wù)加密處理的思路，有效改善了ITU標(biāo)準(zhǔn)中單獨(dú)采用攪動(dòng)加密帶來(lái)的安全系數(shù)低不足，同時(shí)也克服了完全采用高級(jí)加密算法加密帶來(lái)的吞吐量瓶頸的缺陷，應(yīng)用私鑰密碼進(jìn)行公鑰密碼的密鑰分配，進(jìn)一步提高了系統(tǒng)的安全性。這一技術(shù)還可以使用在無(wú)線局域網(wǎng)中。

完成加密和解密功能的加密數(shù)據(jù)通道的具體結(jié)構(gòu)，左邊是輸入模塊，它通過接口和加密函數(shù)產(chǎn)生模塊獲取數(shù)據(jù)和密鑰，并為加解密模塊提供時(shí)鐘信號(hào)，這里定義數(shù)據(jù)和密鑰的長(zhǎng)度都為128，即0—127。中間是加解密模塊，當(dāng)加解密模塊中的ENC是“1”時(shí)，該模塊執(zhí)行加密操作，當(dāng)ENC為“O”時(shí)，執(zhí)行解密操作。其中，Clock代表時(shí)鐘信號(hào)，Clear是清零操作，即把過去時(shí)間的加解密密鑰進(jìn)行清除，以免占用空間。右邊是輸出模塊，為解密后數(shù)據(jù)的輸出，Verifer是用來(lái)進(jìn)行數(shù)字簽名認(rèn)證的，與輸入模塊的Cipher相連，完成簽名操作。

綜上所述，模塊中包括提取時(shí)間標(biāo)記模塊、主控制模塊、產(chǎn)生時(shí)間加密函數(shù)模塊、加解密控制模塊、加密數(shù)據(jù)通道以及與外圍的接口。其中，提取時(shí)間標(biāo)記模塊是提取數(shù)據(jù)幀中同步時(shí)間作為時(shí)間標(biāo)記。讓OLT和ONU兩端的時(shí)間同步，以便使不同時(shí)間的加密和解密密鑰保持同步：主控制模塊，通過它根據(jù)不同的業(yè)務(wù)產(chǎn)生相應(yīng)的時(shí)間加密函數(shù)：產(chǎn)生時(shí)間加密函數(shù)模塊，讓加解密函數(shù)與時(shí)間對(duì)應(yīng)起來(lái)，用f時(shí)刻加密的數(shù)據(jù)只能用f時(shí)刻的密鑰進(jìn)行解密：加解密控制模塊，根據(jù)不同的業(yè)務(wù)等級(jí)調(diào)用相關(guān)的加密函數(shù)；加密數(shù)據(jù)通道，完成數(shù)據(jù)的加密和解密操作。

admin

收藏 海報(bào)分享