一種10 Gbit/s EPON的綜合安全方案

占雪梅，李春瑩，張清淼

（鄭州鐵路職業技術學院，鄭州 450000）

一種10 Gbit/s EPON的綜合安全方案

占雪梅，李春瑩，張清淼

（鄭州鐵路職業技術學院，鄭州 450000）

設計了一種10 Gbit/s EPON（以太網無源光網絡）綜合安全方案，用于解決其點到多點拓撲結構造成的諸如竊聽和偽裝對安全敏感類業務的威脅。該方案包括含有密鑰交換的雙向認證方案及基于時間標簽的加密算法。其中，認證方案可在注冊過程中驗證OLT（光線路終端）及ONU（光網絡單元），加密算法可使用幀結構中的時間戳生成時變的密鑰。實驗結果證明了該綜合安全方案的有效性。

10 Gbit/s以太網無源光網絡；雙向認證；加密算法；安全

0 引 言

作為EPON（以太網無源光網絡）的演進技術，10 Gbit/s EPON在帶寬、分光比和傳輸距離等方面有了大幅提升，可與EPON兼容組網，實現平滑升級［1］。但10 Gbit/s EPON的網絡結構仍是點到多點，未能解決EPON中的諸如竊聽和偽裝等安全問題，對于銀行賬號、個人隱私等敏感數據構成較大威脅［2］，因此本文設計一種含有密鑰交換的雙向認證方案及可產生時變密鑰的加密算法。

1 包含密鑰交換的雙向認證方案

1.1 橢圓曲線數字簽名算法

本文采用ECDSA（橢圓曲線數字簽名算法）［3］作為基本認證協議，其相關參數如表1所示。

表1 ECDSA參數

Bob對Alice的簽名認證過程如圖1所示。

圖1 ECDSA簽名認證過程

1.2 包含密鑰交換的雙向認證協議

Diffie-Hellman是一種密鑰交換協議，它允許通信雙方在不安全的信道上共享一個密鑰s［4］，其密鑰交換過程如圖2所示。

密鑰交換步驟如下：（1）Alice和Bob事先約定一個素數p和基g，其中g是素數p的原根；（2）Alice選擇一個整數x并保密不公開，發送A= gxmod p給Bob；（3）Bob選擇一個整數y并保密不公開，發送B=gymod p給Alice；（4）Alice計算s=Bxmod p=gxymod p，Bob計算s=Aymod p=gxymod p，兩者共享密鑰s。

圖2 Diffie-Hellman密鑰交換過程

雖然Diffie-Hellman協議可抵抗竊聽，但由于能被中間人攻擊攻破，因此需要對雙方身份進行驗證。

根據上述兩種協議和ONU（光網絡單元）的注冊過程，設計了一種雙向認證方案，該方案可在ONU注冊過程中實現OLT（光線路終端）和ONU的互相認證，并在認證過程中實現密鑰交換，提高安全性及效率。該注冊認證方案過程如圖3所示。

圖3 包含密鑰交換的雙向認證

步驟如下：（1）OLT周期廣播DISCOVERY_ GATE消息，其中包含發現窗口起始時間及長度，供ONU注冊；（2）需要注冊的ONU收到消息后，發送REGISTER_REQ給OLT，請求加入網絡；（3）OLT收到請求消息后，向ONU發送注冊信息REGISTER，為其分配新的LLID（邏輯鏈路標識）；（4）OLT緊接著發送CERTIFICATION_GATE來驗證ONU的身份，該消息中包含OLT的公鑰QOLT；（5）根據Diffie-Hellman協議，ONU計算圖2中的信息A，并使用ECDSA得到簽名Sign（A），使用私鑰dONU對前兩個信息加密，得到EONUd［A‖Sign（A）］，最后ONU使用OLT的公鑰對ONU的ID（IDONU）、OLT的ID（IDOLT）、ONU的公鑰（QONU）和簽名信息進行加密，得到EOLTQ，發送給OLT；（6）OLT使用私鑰dOLT進行解密，并驗證ONU的身份，如果ONU合法，OLT將發送BACK_GATE信息給ONU，否則中斷注冊過程；（7）OLT再次發送BACK_GATE信息后緊接著對圖2中的消息B進行簽名，得到EOLTd［B‖Sign（B）］，使用私鑰dOLT對B和簽名消息進行加密。最后使用ONU的公鑰QONU進行加密，發送給ONU；（8）ONU驗證OLT的簽名，如果OLT合法，ONU將返回REGISTER_ACK確認信息給OLT，否則中斷注冊過程；（9）注冊過程結束后，OLT和ONU可根據A和B共享密鑰s。

2 時變密碼的加密方案

10 Gbit/s EPON中OLT和ONU采用輪詢方式進行信息傳輸，并且為了調整各個ONU的邏輯距離，OLT會對所有ONU進行測距，而輪詢信息和測距信息中均含有時間戳，用于標識本地時間。由于10 Gbit/s EPON下行采用廣播方式發送信息，任何人均可獲得所有信息，存在竊聽危險。

AES（高級加密標準）是一種安全快速的加密算法［5］，本文采用密鑰長度為256位的AES-256作為基本加密算法。但長期使用一個密鑰對于高安全敏感業務來說存在風險，為了提高安全性，將時間戳與AES-256相結合，使密鑰隨時間變化。加入時間戳的加密方案如圖4所示。

在注冊過程結束后，OLT和ONU共享了密鑰s，將s按照512 bit分為n塊，每塊的數據和時間戳t進行異或運算，經過SHA-256函數得到256 bit的密鑰，作為AES-256的加密密鑰。由于OLT和ONU在認證注冊過程中本地時刻已調整至同一時鐘，且每次用于加密的時間戳不同，因此OLT和ONU在共享密鑰的情況下，可得到隨時間變化的加密密鑰，用于保證數據傳輸安全。

圖4 時變密碼的加密方案

3 仿真結果及分析

采用雙向認證的發現注冊仿真結果如圖5所示。由于在一般發現注冊過程中加入了密鑰交換及雙向認證過程，增加了注冊過程的時延，且隨著注冊ONU的數量增加，時延繼續增大。雖然增加了時延，但是在注冊過程中實現了認證及密鑰交換，提高了安全性。對于安全敏感類數據，避免了密鑰在不安全的信道上直接傳輸，同時驗證了通信雙方的身份，因此犧牲部分時延來換取更強的安全性是可取的。

圖5 發現注冊平均時延

采用時變密鑰加密方案的仿真結果如圖6所示，其時延與僅使用AES加密相差不多，因此并未對數據傳輸帶來太大影響，同時由于時間戳的變換，使加密密鑰也隨時間變化，提高了數據的安全性。

圖6 加密平均時延

圖7所示為綜合安全方案與一般情況下的平均吞吐量對比。從圖中可以看出，兩者的平均吞吐量基本保持一致，綜合安全方案負載在8 Gbit/s左右達到飽和，而一般情況的負載在8.5 Gbit/s左右達到飽和，兩者相差不大。

圖7 平均吞吐量

4 結束語

本文設計了一種10 Gbit/s EPON的綜合安全方案，該方案包括含有密鑰交換的雙向認證協議和基于時間戳的加密算法，在發現注冊過程中可完成OLT和ONU的雙向認證和密鑰的安全交換，生成隨時間變化的加密密鑰。該方案可用于解決安全敏感類數據在網絡中傳輸時被竊聽和偽裝等安全問題。仿真結果表明，該方案可在不影響網絡時延、吞吐量的前提下，提高網絡的安全性。

［1］ Tanaka K，Agata A，Horiuchi Y.IEEE 802.3av 10 GEPON Standardization and Its Research and Development Status［J］.Lightwave Technology，2010，28 （4）：651-661.

［2］ Chowdhury S，Maier M.Security Issues in Integrated EPON and Next-Generation WLAN Networks［C］// CCNC 2010.Las Vegas，US：IEEE，2010：1-2.

［3］ Marzouqi H，Al-Qutayri M，Salah K.Review of Elliptic Curve Cryptography processor designs［J］.Microprocessors and Microsystems，2015，39（2）：97-112.

［4］ Roh D，Hahn S G.On the bit security of the weak Diffie-Hellman problem［J］.Information Processing Letters，2010，110（s 18-19）：799-802.

［5］ Kumar P，Rana S B.Development of modified AES algorithm for data security［J］.Optik-International Journal for Light and Electron Optics，2016，127（4）：2341-2345.

An Integrated Security Scheme Based on 10 Gbit/s EPON

ZHAN Xue-mei，LI Chun-ying，ZHANG Qing-miao
（Zhengzhou Railway Vocational&Technical College，Zhengzhou 450000）

An integrated security scheme for 10 Gbit/s EPON is proposed to prevent eavesdropping and masquerading threats to sensitive data caused by its point-to-multi-point topology.This scheme includes a bilateral authentication method combining with key exchange protocol and an encryption algorithm based on the timestamp.The authentication method can verify the OLT and ONU during the registration process and the encryption algorithm adopts timestamp in the frameto generate time-varying cipher keys.The validity of the proposed scheme is demonstrated in the experiment.

10 Gbit/s EPON；bilateral authentication；encryption algorithm；security

TN915.6

A

1005-8788（2016）03-0013-03

10.13756/j.gtxyj.2016.03.005

2016-01-14

占雪梅（1987-），女，甘肅武威人。助教，碩士研究生，主要研究方向為光通信。