电力EPON通信网安全设计

梁晓红

(四川电力公司西昌电业局,四川 西昌 615000)

电力EPON通信网安全设计

梁晓红

(四川电力公司西昌电业局,四川 西昌 615000)

分析电力EPON通信网存在的安全隐患的基础上,对电力EPON通信网的安全机制进行了设计。针对电力EPON通信网的安全隐患,从终端认证、业务隔离、深度检测与防御三个方面对电力EPON通信设备进行安全防护部署。通过EPON通信数据的加密处理和密钥管理,实现OLT与ONU的双向身份认证,确保了电力EPON通信数据的安全。测试结果表明,系统正常工作时,数据传输的上行延时小于2 ms,下行延时不超过1 ms,完全满足电力系统数据和信息传输的要求。

EPON;电力通信;安全机制;通信加密;密钥管理

1 前言

EPON (EthernetPassive OpticalNetwork, EPON)结合了以太网和无源光网络技术的优点,被认为是下一代宽带接入网技术的首选[1]。电力EPON通信网传输的用户数据、配电网信息数据、电网结构信息、地理图形数据等基础数据源是电力营销管理和业务处理系统的重要数据来源,一旦这些数据源在EPON通信网传输过程中被窃听或篡改,将会给电力系统带来巨大的经济损失。因此,本文在对电力EPON通信网的安全问题分析的基础上,对其安全机制进行了设计,确保各种电力数据、信息的可靠、安全传输。

2 存在的安全问题

EPON技术的体系结构和传输方式决定了电力EPON通信网存在以下安全问题：

1)非法接入问题。由于EPON系统具有自动发现功能,新加入的ONU可以通过自动注册方式接入EPON系统,这也给非法ONU提供了自由接入的机会。

2)窃听问题。在EPON系统中,下行数据传输采用广播方式,如果在系统中接入一个带光口的以太网包探测工具,那么系统的下行数据将会被全部接收。

3)拒绝服务问题。在EPON系统的上行链路中,所有的 ONU都共享上行带宽。如果恶意ONU不断地向EPON上行链路发送大量的无效数据,将会导致整个网络堵塞,使得网络资源和OAM信息不可用。

4)假冒问题。在EPON系统注册的过程中,攻击者可以窃取ONU的MAC地址和OLT给ONU分配的逻辑链路标识LLID,从而伪装成其它的ONU,同时,OLT的网桥功能使得ONU可以伪装成OLT。

通过上面的分析,为了确保电力EPON通信网能够正确、可靠地传输各种电力应用数据和信息,对电力EPON通信网的安全机制进行研究就显得非常必要。

3 安全机制设计

3.1 设备的防护部署

针对电力EPON通信网的安全隐患,从终端认证、业务隔离、深度检测与防御三个方面对电力EPON通信设备进行安全防护部署,如图1所示。

图1 电力EPON通信设备安全防护部署

1)终端认证。主要是对电力二次设备进行MAC认证和IP+MAC绑定,以实现对终端的安全识别,并对接入流量限速,避免业务系统受到流量攻击。同时,系统也对远端的接入设备进行安全认证,防止非法网络设备接入EPON通信网。

2)业务隔离。通过网络设备隔离实现业务和用户的隔离,避免了业务间的攻击和控制。同时,各个网络设备间通信可采用加密方式,确保数据和信息传输的安全性。

3)深度检测与防御。在电力EPON通信网上部署电力行业定制的深度业务识别系统,实时对终端业务的合法性进行检查,一旦发现有非法操作便立即报警,甚至切断该业务。同时,通过及时更新数据库中的信息,采用SNMPv3、SSHv1/2等安全协议[2],对管理者进行认证,以确保网络设备的安全。

3.2 数据帧格式设计

为了实现对EPON的上下行通信数据的加密处理,利用以太网帧结构中前导码中保留的第4字节的前两个比特位来传递加密的相关信息,分别定义为加密指示比特ENC_INT和序号指示比特SN_INT,如图2所示。

图2 电力EPON通信数据帧格式

其中,加密指示比特和序号指示比特的含义如表1所示。

表1 加密和序号指示比特的含义

3.3 通信加密流程

电力EPON通信数据的加密流程如图3所示。

图3 电力EPON通信加密流程

整个加密过程分为五步：

第一步：密钥分配。密钥管理服务器KMS为配电子站的OLT和配电终端的ONU分别生成密钥并进行分配,这个过程是离线进行的,避免了KMS在线参与的安全威胁。

第二步：ONU注册。配电终端的ONU向配电子站的OLT发送申请加入EPON通信网的注册请求,OLT根据ONU的身份信息决定是否同意该ONU接入通信系统,并进行相应的处理。

第三步：KMS验证ONU信息。配电子站的OLT收到ONU的注册身份消息后,向KMS发送该注册消息,由KMS存储的信息决定是否同意ONU接入通信系统,并发送相应的处理信息给OLT。

第四步：OLT和ONU实现双向身份认证。该流程在验证ONU身份是否合法的同时,也验证了OLT身份的合法性,完成了双向身份验证,既防止了非法ONU接入系统,也防止了非法的OLT冒充合法的OLT做出控制决策。

第五步：通信数据加密。在ONU、OLT身份认证完成后,OLT和ONU均拥有彼此的主密钥,然后利用Hash函数对主密钥进行处理,生成新的会话密钥。当一方要发送数据时,利用新生成的会话密钥进行数据加密,即可完成加密通信。其对称加密算法可根据实际情况进行选择,例如选择分组密码、流密码等[3],这样就实现了OLT和ONU之间的安全通信。

3.4 密钥管理方案设计

在上面的通信加密流程中,第一至第四步是一个完整的密钥产生和协商的过程。整个密钥管理过程大致分为密钥产生、密钥分配、密钥协商和密钥更新四个部分。为了便于表述,这里仅以一个OLT和一个ONU的密钥管理为例进行介绍,多个ONU的密钥管理原理是一样的。

1)密钥产生：KMS采用椭圆曲线密码体制ECC[4]为配电子站的OLT和配电终端的ONU生成身份认证时所需的公私密钥对,分别为 (QOLT, dOLT)、(QONU,dONU)。

2)密钥分配：KMS利用ONU的公钥QONU和OLT的私钥dOLT计算出密钥k,然后把密钥k分配给ONU设备,并将密钥k与合法ONU的身份ID或MAC地址绑定后存储在KMS中,最后把公私密钥对 (QOLT,dOLT)分配给OLT。密钥k的计算方法如下：

k=QONU*dOLT(1)

3)密钥协商：密钥协商以IEEE802.3ah标准协议为基础,实现ONU设备的注册、OLT和ONU的双向身份验证,具体流程如图4所示。

用Ek(·)表示加密操作,Dk(·)表示解密操作,设存在一个供加解密使用的Hash函数,则图4的密钥协商过程如下：

*OLT发送GATE发现帧,检测是否有ONU设备请求接入网络。

*ONU向OLT发送注册请求帧Register_ REQ,其内容包括ONU本身的ID或MAC地址。

图4 密钥协商流程

*OLT向新发现的ONU发送注册帧Register。

*OLT向ONU发送GATE认证帧。

*OLT向密钥管理服务器KMS发送请求注册的ONU的ID或MAC地址,进行合法验证。KMS接收到该ONU的ID或MAC地址后,在其存储信息中查询该ONU的身份信息是否合法。若验证为非法ONU,则不允许该ONU注册;若验证为合法,则用OLT的公钥QOLT加密该ONU的私钥dONU,发送EQOLT(dONU)给OLT。

*OLT利用自己的私钥dOLT解密出ONU的私钥dONU,然后生成协商密钥k,并产生一个随机数ni,用密钥k加密后将密文Ek(ni)发送给ONU。协商密钥k的计算方法为：

k=dONU*QOLT(2)

*ONU首先解密Ek(ni)得到ni,并生成一个随机数nj,然后用密钥k加密nj,并将密文Ek(nj)和ni发送给OLT。

*OLT比较收到的ni与自己生成的随机数是否相同。若不同,则ONU为非法;若相同,则ONU为合法,OLT向ONU发送标准的GATE授权帧,允许ONU发送消息,并向ONU发送Register_ACK。

*OLT解密Ek(nj),并将nj发送给ONU。

*ONU收到GATE授权帧和nj后,比较nj与自己产生的随机数是否相同。若不同,则OLT为非法;若相同,则OLT为合法,并计算与OLT的会话密钥ks,利用ks将Register_ACK加密后发送给OLT。会话密钥ks的计算方法为：

ks=Hash(k,nj)(3)

4)密钥更新：为了进一步提高整个EPON通信网的安全性,需要对会话密钥进行周期性地更新。本文的密钥更新采用询问响应的更新方式,整个密钥的更新流程如下：

*OLT向ONU发出新密钥请求帧;

*ONU收到新密钥请求帧后利用Hash函数对主密钥进行计算,得出新的密钥,然后向OLT发送一个新密钥通知帧,新密钥通知帧中包含新的密钥;

*OLT收到新密钥通知帧后,就可以使用新密钥对随后的数据帧进行加密。如果密钥更新失败,则OLT会向ONU发送密钥更新失败通知,并进行下一轮密钥更新。

4 结束语

由于电力EPON通信网能够提供千兆级带宽,系统正常工作时,不存在带宽瓶颈问题。但是,在EPON系统开始运行或故障恢复时,会出现OLT下挂的所有ONU都等待注册加入的极端情况,这时会产生注册冲突。为避免这种极端情况的发生,采用随机跳窗方式[5]和发现窗口内随机延时[6]两种方法解决注册冲突问题。通过系统运行测试,结果表明：在极端情况下,所有ONU注册成功的时间为18 s;在正常工作时,数据传输的上行时延小于2 ms,下行时延不超过1 ms。因此,整个电力EPON通信网完全满足电力系统的数据和信息传输要求。

[1] MUKAI Hiroaki,TANO Fumihiko,TANKA Masaki,et.al. ONU Power Saving Scheme for EPON System[J].IEICE Communications,2012,95(5)：1625-1632.

[2] 厉颖,韩殿国.网络安全管理技术研究 [J].软件导刊, 2013,12(2)：20-23.

[3] 李雨峰.混沌密码学技术及其应用 [J].信息与电脑(理论版),2013(2)：148-149.

[4] 李浪,杨柳,李肯立,等.一种椭圆曲线密码算法ECC旁路攻击方法研究 [J].计算机应用研究,2013,30(3)：15-17.

[5] 殷爱菡,朱明,展爱云,等.基于NTRU的EPON认证方案研究 [J].光通信技术,2013,37(3)：24-26.

[6] 殷爱菡,刘方仁.以太无源光网络中光网络单元注册的FPGA实现 [J].华东交通大学学报,2011,28(2)：19-23.

12月19日,国家电网公司召开哈密南-郑州±800千伏特高压直流输电工程双极高端系统调试启动会。按照预定计划,整个工程将于2014年1月15日左右完成调试工作并投入试运行。

哈密南-郑州±800千伏特高压直流输电工程是新疆首个特高压"疆电外送"工程,工程输电线路途经新疆、甘肃、宁夏、陕西、山西、河南6省 (区),全长2 210千米,总投资233.9亿元,建成后输电能力可达800万千瓦。在公司统一部署和各参建单位的共同努力下,经过一年多的建设,目前,工程各项施工任务优质高效地向前推进,郑州换流站极Ⅰ高端已经充电成功并完成全部站系统调试项目,哈密南换流站极Ⅰ高端竣工验收工作全面完成,影响带电的缺陷已经处理完毕,具备开始站系统调试的条件。待哈密南换流站极Ⅰ高端站系统调试结束后,随即启动极Ⅰ高端系统调试工作。线路沿途各省(区)电网运行安全稳定,线路不存在缺陷,运行维护和抢修保障人员全部就位,线路完全具备带电调试条件。

据了解,自2012年5月13日举行开工仪式以来,哈郑特高压直流输电工程仅历时一年多时间,就先后实现了送端750千伏交流系统、两端500千伏交流系统和双极低端直流系统投产目标。按照公司确定的建设目标,工程将于2014年春节前整体投运。(信息来源：中国电力网)

Design of Security Mechanism for Electric Power EPON Communication Network

LIANG Xiaohong
(Xichang Electric Power Bureau of Sichuan Electric Power Company,Xichang,Sichuan 615000)

In order to ensure the reliable and secure transmission of electric power data and information,on the basis of analyzing the potential safety hazard in electric power EPON communication network,the security mechanism of electric power EPON communication network is designed.According to the potential safety hazard in electric power EPON communication network,the electric power EPON communication devices is deployed with secure defense from three aspects：terminal authentication,business isolation, deep detection and defense.The bidirectional identity authentication between OLT and ONU is realized by encryption processing and key management of EPON communication data,which ensures the security of electric power EPON communication data.The results of testing demonstrate that when the communication system works normally,the up-delay of data transmission is less than 2 microsecond,and the down-delay is not beyond 1 microsecond,which entirely meets the demands of data and information transmission in electric power system.

Ethernet Passive Optical Network(EPON);electric power communication;security mechanism;communication encryption;key management.

TN919

B

1006-7345(2014)01-0091-04

2013-09-15

梁晓红 (1968),男,学士,工程师,主要从电力通信网和电力营销等方面的研究 (e-mail)tougaoxcu@126.com。