Mejora de seguridad de una red óptica pasiva sobre la base de una interfaz de control de gestión de terminal de red óptica.

Un aparato que comprende:

una unidad de red óptica, ONU (120,

200), configurada para acoplarse a un terminal de línea óptica, OLT (110) y que comprende una entidad de gestión, ME, de interfaz de control de gestión de unidad ONU, OMCI,

en donde la entidad OMCI ME comprende una pluralidad de atributos que soportan una pluralidad de características de seguridad para transmisiones en sentido ascendente entre la unidad ONU y el terminal OLT, en donde los atributos comprenden un atributo de tabla de respuesta de autenticación de terminal OLT para especificar una respuesta a utilizarse en una función de autenticación de terminal OLT, un atributo de estado de respuesta de autenticación de terminal OLT que permite controlar y comunicar el estado del atributo de tabla de respuesta de autenticación de terminal OLT durante la función de autenticación de terminal OLT; en donde el valor falso del atributo de estado de respuesta de autenticación del terminal OLT indica que el atributo de tabla de respuesta de autenticación de terminal OLT no está completo, el valor verdadero del atributo de estado de respuesta de autenticación de terminal OLT indica que el atributo de tabla de respuesta de autenticación de terminal OLT está completo; y

en donde los atributos se comunican por intermedio de un canal de interfaz OMCI entre la unidad ONU (120, 200) y el terminal OLT (110) y proporciona las características de seguridad para la unidad ONU (120, 200) y para el terminal OLT (110).

Mejora de seguridad de una red óptica pasiva sobre la base de una interfaz de control de gestión de terminal de red óptica

ANTECEDENTES DE LA INVENCIÓN

Una red óptica pasiva (PON) es un sistema para proporcionar acceso de red a través de la denominada "última milla". La red PÓN es una red de punto a multipunto constituida por un terminal de línea óptica (OLT) en la oficina central, una red de distribución óptica (ODN) y una pluralidad de unidades de redes ópticas (ONUs) en las instalaciones del cliente. Las transmisiones de datos de flujo descendente son objeto de difusión a todas las unidades ONUs, mientras que las transmisiones de datos de flujo ascendente son transmitidas al terminal OLT utilizando un sistema de acceso múltiple por división temporal (TDMA) o de acceso múltiple por división de onda (WMDA). Los sistemas PON, tal como Glgabit PONS (GPONs), pueden soportar algunas funciones de seguridad para proteger los datos de usuarios, pe., para la difusión de flujo descendente. A modo de ejemplo, las transmisiones de difusión desde el terminal OLT a la unidad ONU pueden serencriptadas.

El documento US 2009/049532 A1 da a conocer un método para la autenticación del usuario, que comprende: la recepción, por un terminal de línea óptica, OLT, de una demanda de autenticación del usuario iniciada por una unidad de red óptica, ONU, que incluye una identificación de contraseña, ID y la autenticación, por el terminal OLT, en función de la contraseña de usuario ID, comunicada por la unidad ONU y el control del estado de un canal desde la unidad ONU al lado de red de enlace ascendente.

El documento US 2007/133800 A1 se refiere a un método para establecer un canal de seguridad entre un terminal OLT y al menos una unidad ONU en una EPON. En detalle, se genera un canal mediante el cual el terminal OLT establece un acuerdo de capacidad de seguridad recíproca con la unidad ONU que desea establecer un canal de seguridad en un Intervalo de descubrimiento y luego, registra automáticamente la unidad ONU con el acuerdo de capacidad de seguridad.

El documento CN 101064719 A se refiere a un método y un sistema para negociar un algoritmo de encriptación en un sistema PON, comprendiendo dicho método las etapas: adquisición de los modos del algoritmo soportados por la unidad de red óptica; la selección del modo de algoritmo en función de los modos de algoritmo permitidos por la estrategia de preestablecimlento; el establecimiento de la unidad de red óptica para utilizar dicho modo de algoritmo seleccionado.

SUMARIO DE LA INVENCIÓN

En una forma de realización, la Invención Incluye un aparato que comprende una unidad ONU configurada para acoplarse a un terminal OLT y que comprende una entidad OMCI ME, en donde la OMCI ME comprende una pluralidad de atributos que soportan una pluralidad de funciones de seguridad para transmisiones de flujo ascendente entre la unidad ONU y el terminal OLT, en donde los atributos que comprenden un atributo de tabla de respuesta de autenticación de terminal OLT para especificar una respuesta a utilizarse en una función de autenticación de terminal OLT, un atributo de estado de respuesta de autenticación de terminal OLT para controlar y comunicar el estado del atributo de tabla de respuesta de autenticación de terminal OLT durante la función de autenticación de OLT; en donde el valor falso del atributo de estado de respuesta de autenticación de terminal OLT Indica que el atributo de tabla de respuesta de autenticación de terminal OLT no está completo, el valor verdadero del atributo de estado de respuesta de autenticación de terminal OLT indica que el atributo de tabla de respuesta de autenticación de terminal OLT está completo y en donde los atributos se comunican por Intermedio de un canal OMCI entre la unidad ONU y el terminal OLT y se proporcionan las funciones de seguridad para la unidad ONU y el terminal OLT.

En otra forma de realización, la ¡dea Inventiva Incluye un método que comprende el Intercambio de una pluralidad de atributos de seguridad con una unidad ONU que utiliza un canal OMCI, proporcionando, de este modo, una pluralidad de funciones de seguridad para la comunicación de flujo ascendente desde la unidad ONU, en donde los atributos comprenden un atributo de tabla de respuesta de autenticación de terminal OLT para especificar una respuesta a utilizarse en una función de autenticación de terminal OLT, un atributo de estado de respuesta de autenticación de terminal OLT para controlar y comunicar el estado del atributo de tabla de respuesta de autenticación de terminal OLT durante la función de autenticación del OLT; en donde el valor falso del atributo de estado de respuesta de autenticación del terminal OLT Indica que el atributo de tabla de respuesta de autenticación del terminal ÓLT no está completo, el valor verdadero del atributo de estado de respuesta de autenticación de terminal OLT indica que el atributo de tabla de respuesta de autenticación del terminal OLT está completo; en donde los atributos se Intercambian sin modificar un canal de operación, administración y gestión de capa física (PLOAM) entre un terminal OLT y la unidad ONU.

Estas y otras características serán más claramente entendidas a partir de la siguiente descripción detallada en la que se hace referencia a los dibujos adjuntos y a las reivindicaciones.

BREVE DESCRIPCIÓN DE LOS DIBUJOS

Para un entendimiento más completo de esta ¡dea Inventiva, se hace ahora referencia a la siguiente breve descripción, tomada en relación con los dibujos adjuntos y una descripción detallada, en donde las referencias numéricas similares representan partes similares.

La Figura 1 es un diagrama esquemático de una forma de realización de una PON.

La Figura 2 es un diagrama esquemático de una forma de realización de una unidad ONU.

La Figura 3 es un diagrama de protocolo de una forma de realización de una secuencia de Intercambio de mensajes

de autenticación.

La Figura 4 es un diagrama esquemático de una forma de realización de una pluralidad de estados de unidad ONU.

La Figura 5 ¡lustra un diagrama esquemático de una forma de realización de un sistema Informático de uso general.

DESCRIPCIÓN DETALLADA DE LA INVENCIÓN

Debe entenderse, desde el principio, que aunque se proporciona a continuación una puesta en práctica ilustrativa de una o más formas de realización, los sistemas y/o métodos de la Invención pueden ponerse en práctica utilizando cualquier número de técnicas, actualmente conocidas o en existencia. La ¡dea Inventiva no debe estar en ninguna forma limitada a las puestas en práctica Ilustrativas, dibujos y técnicas ¡lustradas a continuación, incluyendo los diseños y puestas en práctica, a modo de ejemplo, que se ¡lustran y se describen en esta memoria, pero pueden modificarse dentro del alcance de protección de las reivindicaciones adjuntas junto con su alcance completo de las equivalentes.

En los sistemas PON, las transmisiones de difusión de fiujo descendente desde el terminal OLT a la unidad ONU pueden ser susceptibles de amenazas de la seguridad, tales como una amenaza de escucha clandestina denominada eavesdropp/ng que puede intentarse por un usuario con intención maliciosa. A modo de ejemplo, un usuario no suscrito puede intentar recibir canales no autorizados y/o intervalos temporales desde el terminal OLT. Para superar dichas amenazas de seguridad, se suelen encriptar las difusiones de flujo descendente. Las transmisiones de flujo ascendente pueden también ser objeto de encriptación. Sin embargo, las transmisiones de flujo ascendente pueden ser más seguras que las transmisiones de difusión de flujo descendente puesto que las unidades ONUs legítimas o autorizadas no pueden recibir transmisiones de flujo ascendente desde otras unidades ONUs debido a la arquitectura física del sistema PON y la naturaleza direccional de las señales ópticas. Por lo tanto, la información privilegiada se suele transmitir en fiujo ascendente desde las unidades ONUs en un formato de texto simple, p e., sin encriptación. Sin embargo, métodos de ataque perfeccionados, tales como la derivación con cables de transmisión óptica, pueden todavía presentar amenazas de seguridad en los sistemas PON. Por consiguiente, pueden desearse mejoras de seguridad para las transmisiones de flujo descendente y/o de flujo ascendente en sistemas PON, a modo de ejemplo, para proteger las claves de encriptación y/o otra información de contraseñas.

Medios para proporcionar algunas mejoras de la seguridad han sido propuestos con anterioridad, pero suelen requerir la modificación del canal de PLOAM. Puesto que el procesamiento de PLOAM suele tener lugar en la capa física, la modificación... [Seguir leyendo]

1. Un aparato que comprende:

una unidad de red óptica, ONU (120, 200), configurada para acoplarse a un terminal de línea óptica, OLT (110) y que comprende una entidad de gestión, ME, de interfaz de control de gestión de unidad ONU, OMCI,

en donde la entidad OMCI ME comprende una pluralidad de atributos que soportan una pluralidad de características de seguridad para transmisiones en sentido ascendente entre la unidad ONU y el terminal OLT, en donde los atributos comprenden un atributo de tabla de respuesta de autenticación de terminal OLT para especificar una respuesta a utilizarse en una función de autenticación de terminal OLT, un atributo de estado de respuesta de autenticación de terminal OLT que permite controlar y comunicar el estado del atributo de tabla de respuesta de autenticación de terminal OLT durante la función de autenticación de terminal OLT; en donde el valor falso del atributo de estado de respuesta de autenticación del terminal OLT indica que el atributo de tabla de respuesta de autenticación de terminal OLT no está completo, el valor verdadero del atributo de estado de respuesta de autenticación de terminal OLT indica que el atributo de tabla de respuesta de autenticación de terminal OLT está completo; y

en donde los atributos se comunican por intermedio de un canal de interfaz OMCI entre la unidad ONU (120, 200) y el terminal OLT (110) y proporciona las características de seguridad para la unidad ONU (120, 200) y para el terminal OLT (110).

2. El aparato según la reivindicación 1, en donde los atributos comprenden un atributo de identificador ID, de entidad ME, de aproximadamente dos bytes que identifican una instancia operativa de la entidad ME.

3. Un método que comprende:

el intercambio de una pluralidad de atributos de seguridad con una unidad de red óptica, ONU (120, 200), utilizando un canal OMCI de interfaz de control de gestión de unidad ONU, lo que proporciona una pluralidad de características de seguridad para comunicaciones en sentido ascendente a partir de la unidad ONU (120, 200), en donde los atributos comprenden un atributo de tabla de respuesta de autenticación de terminal OLT para especificar una respuesta a utilizarse en una función de autenticación de terminal OLT, un atributo de estado de respuesta de autenticación de terminal OLT para controlar y comunicar el estado del atributo de tabla de respuesta de autenticación de terminal OLT, en donde el valor falso del atributo de estado de respuesta de autenticación de terminal OLT indica que el atributo de tabla de respuesta de autenticación del terminal OLT no está completo, Indicando el valor verdadero del atributo de estado de respuesta de autenticación del terminal OLT que el atributo de tabla de respuesta de autenticación de terminal OLT está completo;

en donde los atributos se intercambian sin modificar un canal de operación, administración y gestión, PLOAM, de capa física, entre un terminal de línea óptica, OLT (110) y la unidad ONU (120, 200).