專利名稱：：無源光網(wǎng)絡(luò)中密鑰更新方法
技術(shù)領(lǐng)域：
：本發(fā)明涉及密鑰更新技術(shù)，尤其涉及一種無源光網(wǎng)絡(luò)中密鑰更新方法。
背景技術(shù)：
：無源光網(wǎng)絡(luò)(PON,PassiveOpticalNetwork)是一種寬帶無源光接入技術(shù)、點(diǎn)到多點(diǎn)的光纖接入技術(shù)，它由安裝于中心控制站的光線路終端(OLT,OpticalLineTerminal)、一批配套安裝于用戶場所的光網(wǎng)絡(luò)單元(ONU，OpticalNetworkUnit)以及光分配網(wǎng)絡(luò)(ODN,OpticalDistributionNetwork)組成。ODN通常為點(diǎn)到多點(diǎn)結(jié)構(gòu)，一個(gè)OLT連接多個(gè)ONU。在OLT與ONU之間的ODN包含了光纖以及無源分光器或耦合器等無源器件，不含有任何有源設(shè)備。PON由于在光纖接入方式中具有相對(duì)成本低，方便平滑升級(jí)等優(yōu)勢，成為未來接入網(wǎng)寬帶發(fā)展的方向。PON有多種形式，如APON(ATMPassiveOpticalNetwork,ATM無源光網(wǎng)絡(luò)(ATM,異步轉(zhuǎn)移模式))、BPON(BroadbandPassiveOpticalNetwork,寬帶無源光網(wǎng)絡(luò))、EPON(EthernetPassiveOpticalNetwork，以太網(wǎng)無源光網(wǎng)絡(luò))、GPON(GigabitPassiveOpticalNetwork,吉比特?zé)o源光網(wǎng)絡(luò))等，但是其基本構(gòu)造基本差異不大。傳送數(shù)據(jù)過程中，下行采用廣播方式，由局端的OLT將下行的光信號(hào)經(jīng)過光分路器，分成多路給各個(gè)ONU，而每個(gè)ONU上行的信號(hào)逆向通過光耦合器合成在一根光纖多任務(wù)傳送給OLT。以下以目前較常用的GPON為例說明ONU與OLT之間的密鑰更新方式。PON系統(tǒng)中，下行數(shù)據(jù)具有天然廣播特性，OLT發(fā)出的數(shù)據(jù)能夠被下連的所有ONU接收到?？紤]到安全性，國際電信聯(lián)盟ITU-TG.984.3建議在GPON系統(tǒng)中使用高級(jí)力口密標(biāo)準(zhǔn)(AES，AdvancedEncryptionStandard)4支術(shù)對(duì)下行凄t據(jù)進(jìn)行加密，OLT對(duì)下行數(shù)據(jù)采用密鑰進(jìn)行加密，ONU用密鑰對(duì)來自O(shè)LT的數(shù)據(jù)進(jìn)行解密。OLT和ONU各自保存一份密鑰并共同完成密鑰管理，OLT和ONU之間的密鑰管理流程可分為兩個(gè)階^險(xiǎn)密鑰交換和密鑰切換。在密鑰交換階段，OLT向ONU發(fā)送Key—Request消息，ONU產(chǎn)生新密鑰并保存到shadow—key—register寄存器，然后將新密鑰通過EncryptionJCey消息發(fā)送給OLT，OLT將密鑰保存到自己的shadow—key—register寄存器中。在密鑰切換階段，OLT選#^一個(gè)待發(fā)送數(shù)據(jù)幀作為開始使用新密鑰的第一幀，OLT通過Key—Switching—Time消息攜帶密鑰切換幀的復(fù)幀編號(hào)給ONU。Key—Switching—Time消息將會(huì)發(fā)送三次，ONU僅需接收其中一個(gè)正確的拷貝來獲知密鑰切換幀的復(fù)幀編號(hào)。ONU每收到OLT發(fā)送的Key—Switching—Time消息就向OLT發(fā)送確認(rèn)消息表示已經(jīng)獲取密鑰切換幀的復(fù)幀編號(hào)。在密鑰切換幀開始時(shí)，OLT復(fù)制本地shadow—key—register寄存器的內(nèi)容到本地的active—key—register寄存器，ONU復(fù)制本;也的shadow—key—register寄存器的內(nèi)容到active—key—register寄存器，OLT和ONU從密鑰切換幀開始使用新密鑰對(duì)下行數(shù)據(jù)進(jìn)行加密和解密。在密鑰切換階段，發(fā)送Key—Switching—Time消息后，如果OLT沒有收到ONU的確認(rèn)消息，OLT將無法知道ONU是否收到Key—Switching—Time消息，這時(shí)OLT無論是否進(jìn)行密鑰切換，都有可能引起OLT和ONU之間的當(dāng)前密鑰不一致如果OLT進(jìn)行密鑰切換而ONU沒有收到OLT的密鑰切換命令，ONU不會(huì)發(fā)生密鑰切換；如果OLT不進(jìn)行密鑰切換，而ONU已經(jīng)接收到OLT發(fā)送的Key—Switching—Tme消息，只是OLT沒有接收到ONU發(fā)送的確認(rèn)消息，ONU會(huì)發(fā)生密鑰切換。因此，PON系統(tǒng)中現(xiàn)有的密鑰切換過程可能導(dǎo)致OLT和ONU的密鑰不同步，密鑰不同步將會(huì)導(dǎo)致ONU端的所接收數(shù)據(jù)無法解密，從而導(dǎo)致ONU端的數(shù)據(jù)丟失。其他PON系統(tǒng)如APON、BPON、EPON等系統(tǒng)中也存在類似的問題，不再--贅述。
發(fā)明內(nèi)容有鑒于此，本發(fā)明的主要目的在于提供一種無源光網(wǎng)絡(luò)中密鑰更新方法，以保證ONU端始終可對(duì)OLT端發(fā)送數(shù)據(jù)進(jìn)行解密，保證ONU端4妄收數(shù)據(jù)準(zhǔn)確。為達(dá)到上述目的，本發(fā)明的技術(shù)方案是這樣實(shí)現(xiàn)的一種無源光網(wǎng)絡(luò)中密鑰更新方法，包括A、光網(wǎng)絡(luò)單元ONU接收到光線路終端OLT發(fā)送的密鑰請求后生成新密鑰，為所生成新密鑰分配索引，在本地緩存所述新密鑰及其索引，并將所述新密鑰及其索引發(fā)送至OLT;B、ONU接收到OLT端的數(shù)據(jù)包后解析出加密數(shù)據(jù)的密鑰的索引，判斷所解析索引與ONU當(dāng)前設(shè)定密鑰的索引是否相同，不同時(shí)在本地緩存中查找與所解析索引相同的密鑰，用查找出的新密鑰及其索引替換當(dāng)前設(shè)定密鑰及其索引。其中，步驟A、B之間還包括步驟OLT將當(dāng)前密鑰及其索引更新為新接收的密鑰及其索引，并使用更新后密鑰進(jìn)行數(shù)據(jù)加密，封裝加密數(shù)據(jù)的數(shù)據(jù)包中包含密鑰的索引。其中，步驟B中的當(dāng)前設(shè)定密鑰存儲(chǔ)在ONU中指定存儲(chǔ)區(qū)域。其中，步驟B中的當(dāng)前設(shè)定密鑰為ONU中解密所接收數(shù)據(jù)的缺省密鑰。其中，步驟B中所解析索引與當(dāng)前設(shè)定密鑰的索引相同時(shí)使用當(dāng)前設(shè)定密鑰對(duì)所接收數(shù)據(jù)包中數(shù)據(jù)解密。'其中，所述索引為密鑰標(biāo)識(shí)。其中，在吉比特?zé)o源光網(wǎng)絡(luò)GPON中，OLT發(fā)送所述索引時(shí)將所述索引和加密數(shù)據(jù)一起封裝在GEM(GPON封裝模式)幀中，ONU收到后通過直接解析所述GEM幀獲得所述索引。本發(fā)明為密鑰設(shè)置索引信息，通過索引信息的異同即可方便地確定ONU、OLT之間的密鑰是否相同。ONU應(yīng)OLT的請求生成新密鑰后，不是將該新密鑰立即更新為ONU當(dāng)前設(shè)定的解密用密鑰，而是需要在接收到OLT側(cè)數(shù)據(jù)包后確信OLT側(cè)使用了新密鑰后再更新。ONU解析OLT發(fā)送數(shù)據(jù)包中的密鑰索引后，在自身存儲(chǔ)的解密密鑰索引中查找出與解析索引相同的密鑰即為ONU中應(yīng)使用的解密密鑰，在密鑰再次更新之前始終采用所確定密鑰解密OLT端傳送的加密數(shù)據(jù)。密鑰更新過程中，無論OLT端與ONU端密鑰更新是否一致，ONU總可以選定與OLT端加密數(shù)據(jù)所用密鑰一致的密鑰對(duì)所接收的加密數(shù)據(jù)進(jìn)行解密。本發(fā)明充分保證了OLT與ONU之間數(shù)據(jù)交互的可靠性。圖1為本發(fā)明無源光網(wǎng)絡(luò)中密鑰更新方法的實(shí)現(xiàn)流程示意圖。具體實(shí)施例方式本發(fā)明的核心思想是為了確保PON中OLT到ONU數(shù)據(jù)的安全性，OLT發(fā)送到ONU側(cè)的數(shù)據(jù)需要加密，而OLT側(cè)所使用的數(shù)據(jù)加密密鑰正是由目的ONU生成的，這樣，OLT所傳輸?shù)募用軘?shù)據(jù)僅能被目的ONU所解密，與OLT連接的其他ONU接收到加密數(shù)據(jù)也因不能解密而失效。無疑，ONU與OLT側(cè)的密鑰一致是至關(guān)重要的，若不一致將會(huì)導(dǎo)致ONU接收不到OLT發(fā)送來的數(shù)據(jù)。目前，OLT與ONU之間密鑰更新采用消息通知機(jī)制，在正常情況下該機(jī)制可以保證OLT與ONU之間密鑰一致，但如果更新消息傳輸失敗，將會(huì)導(dǎo)致OLT與ONU之間的密鑰不一致，從而造成ONU側(cè)接收不到OLT側(cè)的數(shù)據(jù)，針對(duì)這一情況，本發(fā)明為密鑰設(shè)置了索引信息，通過索引信息來確定密鑰是否相同，ONU首先解析出OLT發(fā)送數(shù)據(jù)包中的密鑰索引，再在自身存儲(chǔ)的密鑰索引中查找出與解析索引相同的索引，從而確定ONU中應(yīng)使用的解密密鑰，在密鑰再次更新之前始終采用所確定密鑰解密OLT端傳送的加密數(shù)據(jù)。密鑰更新過程中，無論OLT端與ONU端密鑰更新是否一致，ONU總可以選定與OLT一致的密鑰對(duì)所接收的加密數(shù)據(jù)進(jìn)行解密。以下結(jié)合附圖對(duì)本發(fā)明進(jìn)行詳細(xì)描述。圖1為本發(fā)明無源光網(wǎng)絡(luò)中密鑰更新方法的實(shí)現(xiàn)流程示意圖，如圖1所示，本發(fā)明無源光網(wǎng)絡(luò)中密鑰更新方法包括以下步驟，其中的具體說明以GPON為例步驟101:ONU接收到OLT發(fā)送的密鑰請求后生成新密鑰，為所生成新密鑰分配索引，緩存新密鑰及其索引，將新密鑰及其索引發(fā)送至OLT。OLT側(cè)與ONU通信過程中，根據(jù)數(shù)據(jù)安全需要，在需要更新與某ONU之間的密鑰時(shí)向該ONU發(fā)送密鑰請求Request—Key消息。ONU接收到Request—Key消息生成新密鑰，并為該新密鑰分配相應(yīng)的索引。這里，密鑰索引主要作用即是標(biāo)識(shí)特定密鑰，ONU每次生成密鑰時(shí)，總會(huì)為所生成密鑰分配一個(gè)索引。索引可以是一個(gè)某數(shù)位的隨機(jī)數(shù)，也可是依序循環(huán)的某數(shù)位的數(shù)，例如可以在8位字符數(shù)0255中隨機(jī)產(chǎn)生，也可以從0~255依序循環(huán)作為密鑰的索引。ONU在本地的shadow_key—register暫存新的密鑰以及密鑰索引，并通過密鑰應(yīng)答Encryption—Key消息向OLT發(fā)送新生成的密鑰以及密鑰索引?？煞殖?次進(jìn)行發(fā)送，每次Encryption—Key消息攜帶一部分新密鑰。G.984.3中的Encryption—Key支持?jǐn)y帶密鑰索引。ONU中，還存儲(chǔ)有對(duì)OLT側(cè)加密數(shù)據(jù)解密用的密鑰，該解密密鑰存儲(chǔ)在設(shè)定的存儲(chǔ)區(qū)域，也是ONU對(duì)OLT側(cè)發(fā)送數(shù)據(jù)解密的缺省密鑰。本發(fā)明并不直接用新生成的密鑰替換該缺省密鑰，而是在確認(rèn)OLT采用了新生成密鑰對(duì)所發(fā)送數(shù)據(jù)加密情況下才使用新生成密鑰替換ONU中當(dāng)前設(shè)定的缺省密鑰。步驟102:OLT將當(dāng)前密鑰及其索引更新為新接收的密鑰及其索引，并使用更新后密鑰進(jìn)行數(shù)據(jù)加密，封裝加密數(shù)據(jù)的數(shù)據(jù)包中包含密鑰的索引。OLT接收到所述ONU發(fā)送密鑰應(yīng)答Encryption—Key消息后，提取其中的密鑰及其索引信息，并用該新密鑰及其索引分別替換本地所存儲(chǔ)的所述ONU的舊密鑰及其索引。OLT需向所述ONU發(fā)送數(shù)據(jù)時(shí)，使用替換后的新密鑰對(duì)欲發(fā)送數(shù)據(jù)進(jìn)行加密，并將所用新密鑰索引也封裝到數(shù)據(jù)包中。OLT側(cè)在收到某ONU的新密鑰及其索引后，即用該新密鑰替換所述ONU的原密鑰，并在數(shù)據(jù)幀中指示所使用密鑰的索引。密鑰索引在發(fā)送時(shí)和加密數(shù)據(jù)一起封裝在GEM(GPON封裝模式)幀中，ONU收到后，通過直接解析GEM幀即可獲得密鑰索引。包含密鑰索引的GEM幀結(jié)構(gòu)如表一所示<table>tableseeoriginaldocumentpage8</column></row><table>步驟103:ONU接收到OLT端的數(shù)據(jù)包后解析出加密數(shù)據(jù)的密鑰的索引，判斷與當(dāng)前設(shè)定密鑰的索引是否相同，不同時(shí)在緩存的新密鑰中查找與所解析索引相同的密鑰，用查找出的新密鑰及其索引替換當(dāng)前設(shè)定密鑰及其索引。ONU更新密鑰后首次接收到OLT發(fā)送的數(shù)據(jù)包后進(jìn)行解析，提取數(shù)據(jù)包中的密鑰索引，并與ONU中當(dāng)前設(shè)定的解密密鑰索引進(jìn)行比對(duì)，判斷兩索引是否相同，如果相同，說明OLT更新ONU新生成的密鑰失敗，OLT仍使用更新前的密鑰進(jìn)行數(shù)據(jù)加密的，ONU側(cè)不進(jìn)行密鑰更新才喿作，刪除所暫存的新生成密鑰。而如果解析密鑰索引與ONU中當(dāng)前設(shè)定的解密密鑰索引不同，則在ONU中暫存的密鑰索引中查找與解析密鑰索引相同的索引，查找出后用該新密鑰索引及密鑰替換ONU的缺省密鑰，并用該更新后密鑰對(duì)OLT發(fā)送的數(shù)據(jù)進(jìn)行解密，直到下次更新密鑰的請求到來。本發(fā)明的密鑰更新方法適用于各種無源光網(wǎng)絡(luò)中，如APON、BPON、EPON及GPON中。本發(fā)明充分保證了OLT與ONU之間數(shù)據(jù)交互的可靠性，且實(shí)現(xiàn)簡單。以上所述僅為本發(fā)明的較佳實(shí)施例而已,并非用于限定本發(fā)明的保護(hù)范圍。權(quán)利要求1、一種無源光網(wǎng)絡(luò)中密鑰更新方法，其特征在于，該方法包括A、光網(wǎng)絡(luò)單元ONU接收到光線路終端OLT發(fā)送的密鑰請求后生成新密鑰，為所生成新密鑰分配索引，在本地緩存所述新密鑰及其索引，并將所述新密鑰及其索引發(fā)送至OLT；B、ONU接收到OLT端的數(shù)據(jù)包后解析出加密數(shù)據(jù)的密鑰的索引，判斷所解析索引與ONU當(dāng)前設(shè)定密鑰的索引是否相同，不同時(shí)在本地緩存中查找與所解析索引相同的密鑰，用查找出的新密鑰及其索引替換當(dāng)前設(shè)定密鑰及其索引。2、根據(jù)權(quán)利要求1所述的無源光網(wǎng)絡(luò)中密鑰更新方法，其特征在于，步驟A、B之間還包括步驟OLT將當(dāng)前密鑰及其索引更新為新接收的密鑰及其索引，并使用更新后密鑰進(jìn)行數(shù)據(jù)加密，封裝加密數(shù)據(jù)的數(shù)據(jù)包中包含密鑰的索引。3、根據(jù)權(quán)利要求2所述的無源光網(wǎng)絡(luò)中密鑰更新方法，其特征在于，步驟B中的當(dāng)前設(shè)定密鑰存儲(chǔ)在ONU中指定存儲(chǔ)區(qū)域。4、根據(jù)權(quán)利要求2所述的無源光網(wǎng)絡(luò)中密鑰更新方法，其特征在于，步驟B中的當(dāng)前設(shè)定密鑰為ONU中解密所接收數(shù)據(jù)的缺省密鑰。5、根據(jù)權(quán)利要求4所述的無源光網(wǎng)絡(luò)中密鑰更新方法，其特征在于，步驟B中所解析索引與當(dāng)前設(shè)定密鑰的索引相同時(shí)使用當(dāng)前設(shè)定密鑰對(duì)所接收數(shù)據(jù)包中數(shù)據(jù)解密。6、根據(jù)權(quán)利要求1至5中任一項(xiàng)所述的無源光網(wǎng)絡(luò)中密鑰更新方法，其特征在于，所述索引為密鑰標(biāo)識(shí)。7根據(jù)權(quán)利要求2所述的無源光網(wǎng)絡(luò)中密鑰更新方法，其特征在于，在吉比特?zé)o源光網(wǎng)絡(luò)GPON中，OLT發(fā)送所述索引時(shí)將所述索引和加密數(shù)據(jù)一起封裝在GPON封裝模式GEM幀中，ONU收到后通過直接解析所述GEM幀獲得所述索引。全文摘要本發(fā)明公開了一種無源光網(wǎng)絡(luò)中密鑰更新方法，涉及密鑰更新技術(shù)，為解決目前無源光網(wǎng)絡(luò)中密鑰更新可能導(dǎo)致ONU與OLT密鑰不一致而提出，所采用的技術(shù)方案包括A.光網(wǎng)絡(luò)單元ONU接收到光線路終端OLT發(fā)送的密鑰請求后生成新密鑰，為所生成新密鑰分配索引，緩存新密鑰及其索引，將新密鑰及其索引發(fā)送至OLT；B.ONU接收到OLT端的數(shù)據(jù)包后解析出加密數(shù)據(jù)的密鑰的索引，判斷與當(dāng)前設(shè)定密鑰的索引是否相同，不同時(shí)在緩存的新密鑰中查找與所解析索引相同的密鑰，用查找出的新密鑰及其索引替換當(dāng)前設(shè)定密鑰及其索引。本發(fā)明充分保證了OLT與ONU之間數(shù)據(jù)交互的可靠性，且實(shí)現(xiàn)簡單。文檔編號(hào)H04L9/08GK101183934SQ20071018156公開日2008年5月21日申請日期2007年10月23日優(yōu)先權(quán)日2007年10月23日發(fā)明者張偉良申請人:中興通訊股份有限公司