認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステム及びその認証暗号化方法
【課題】本発明はギガビット受動型光ネットワーク(ＧＰＯＮ)のＯＬＴにおいて下り伝送の際、それぞれのＯＮＵに対する認証暗号化を通じて保安伝送が可能になるようにシステム及びその認証暗号化方法に関するものである。
【解決手段】本発明による認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムは外部のサービス提供者からデータの伝達を受けＧＴＣ下りフレームを生成して下り伝送するＯＬＴと、上記ＯＬＴから下り伝送されたＧＴＣ下りフレームを受信してこれを処理する多数のＯＮＵを含み、上記ＯＬＴは生成されたＧＴＣ下りフレームに対する上記ＯＮＵ別認証のための認証生成モジュールを具備して上記生成されたＧＴＣ下りフレームに対する認証暗号化を遂行し、上記ＯＮＵは認証チェックモジュールを具備して上記認証暗号化されたＧＴＣ下りフレームに対する認証成功の可否によって上記ＧＴＣ下りデータの受信可否を決定することを特徴とする。
【解決手段】本発明による認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムは外部のサービス提供者からデータの伝達を受けＧＴＣ下りフレームを生成して下り伝送するＯＬＴと、上記ＯＬＴから下り伝送されたＧＴＣ下りフレームを受信してこれを処理する多数のＯＮＵを含み、上記ＯＬＴは生成されたＧＴＣ下りフレームに対する上記ＯＮＵ別認証のための認証生成モジュールを具備して上記生成されたＧＴＣ下りフレームに対する認証暗号化を遂行し、上記ＯＮＵは認証チェックモジュールを具備して上記認証暗号化されたＧＴＣ下りフレームに対する認証成功の可否によって上記ＧＴＣ下りデータの受信可否を決定することを特徴とする。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明はギガビット受動型光ネットワーク(Ｇｉｇａｂｉｔ-ｃａｐａｂｌｅＰａｓｓｉｖｅ Ｏｐｔｉｃａｌ Ｎｅｔｗｏｒｋｓ: ＧＰＯＮ)に関するもので特に、ＧＰＯＮにおけるＯＬＴの下り伝送においてそれぞれのＯＮＵに対する認証暗号化を通じて保安伝送を可能にするシステム及びその認証暗号化方法に関するものである。
【背景技術】
【０００２】
近年、ＩＴＵ(Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎ Ｕｎｉｏｎ)-Ｔ Ｇ．９８４グループはＰＯＮ(Ｐａｓｓｉｖｅ Ｏｐｔｉｃａｌ Ｎｅｔｗｏｒｋ) 基盤の加入者アクセス網を通してＡＴＭ(Ａｓｙｎｃｈｒｏｎｏｕｓ Ｔｒａｎｓｆｅｒ Ｍｏｄｅ)セル及びイーサネット(Ｅｔｈｅｒｎｅｔ)（登録商標）フレーム、ＴＤＭ(Ｔｉｍｅ-Ｄｉｖｉｓｉｏｎ Ｍｕｌｔｉｐｌｅｘｉｎｇ)パケットなどを效率的に伝送し、最大２．５Ｇｂｐｓの帯域を提供することが可能なＧＰＯＮ規格を標準化した。ＧＰＯＮはＳＯＮＥＴ(Ｓｙｎｃｈｒｏｎｏｕｓ Ｏｐｔｉｃａｌ Ｎｅｔｗｏｒｋ)のように１２５ｕｓ週期(８ＫＨｚ)のフレーム伝送方式を利用してＴＤＭサービス及びＥ１/Ｔ１サービス、ＰＯＴＳ(Ｐｌａｉｎ Ｏｌｄ Ｔｅｌｅｐｈｏｎｅ Ｓｅｒｖｉｃｅ)を提供することができ、２．５Ｇｂｐｓの広帯域に数百チャンネルの高品質放送サービス及びＩＰ(Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ) データサービスが提供できる。このようなＧＰＯＮは米国やヨーロッパで予め使用中のＡＰＯＮ(ＡＴＭ ＰＯＮ)の代替用として利用されている。
【０００３】
ＧＰＯＮシステムは一般的に一つのＯＬＴ(Ｏｐｔｉｃａｌ Ｌｉｎｅ Ｔｅｒｍｉｎａｌ)から出力されるＴＤＭ方式の光信号が光分配器を通してそれぞれのＯＮＵに提供される構造を有するが、こうした構造では下り方向にブロードキャスト特性を有するので、一つのＯＬＴから伝送された下りフレーム等は全ＯＮＵに伝達される。従って、正常な場合にはそれぞれのＯＮＵは自らに伝送されるフレームのみをフィルターリングし受信するように具現されているが、仮に悪意のある加入者がフレームフィルターリングする部分を簡単に操作するとその人は他のＯＮＵに伝送される重要な情報を見ることが可能にする。
【０００４】
これにより、現在ＧＰＯＮ標準ではこのようにＧＰＯＮシステム内において伝送される情報を他のＯＮＵ等が見れないようにするため、伝送されるサービスデータのペイロードに対しては１２８ｂｉｔｓ ＣＴＲ(Ｃｏｕｎｔｅｒ)-ＡＥＳ(Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ)を利用した暗号化を遂行するように規格を定義している。しかし、ペイロードとともに伝送されるフレームヘッダ中にも重要な情報である網運用管理(ＰＬＯＡＭ : Ｐｈｙｓｉｃａl Ｌａｙｅｒ ＯＡＭ)情報及び上がり帯域割り当て(ＢＡ : Ｂａｎｄｗｉｄｔｈ Ａｌｌｏｃａｔｉｏｎ)情報などが含まれるが、このような情報についてはいかなる保安機能も提供できない。従って、かかるフレームヘッダに含まれた情報等の場合は相変らず認証されなかったＯＮＵ等の簡単な操作によって露出されやすく、これらの情報を悪用して他のＯＮＵ等のサービスを妨げる恐れのある問題点が生じる。
【０００５】
図１は、従来技術によってペイロードに対する暗号化機能を提供するためのＧＰＯＮシステムに対する一実施例構成図である。
【０００６】
図１を参照すれば、従来技術によってペイロードに対する暗号化機能を提供するためのＧＰＯＮシステムは、外部のサービス提供者からデータが伝達され一つの光信号で構成した後これを伝送し連結された多数のＯＮＵ１２からの上がりデータを受信してこれを外部に伝送するＯＬＴ１１とユーザー側装置にＯＬＴ１１を通して提供される光信号を受信して、これを光電変換して使用者に提供するＯＮＵ１２から成る。
【０００７】
それぞれの構成を上下りデータを作成するための階層構造の側面でさらに詳しく説明すると、ＯＬＴ１１は帯域に対する割り当て情報であるＤＢＡ(Ｄｙｎａｍｉｃ Ｂａｎｄｗｉｄｔｈ Ａｌｌｏｃａｔｉｏｎ)信号、ＰＬＯＡＭ情報を伝送するためのＰＬＯＡＭ信号などを受信してフレームヘッダを生成するヘッダ生成部１０１、ＡＴＭ ＳＤＵ(Ｓｅｒｖｉｃｅ Ｄａｔａ Ｕｎｉｔ)とＧＥＭ ＳＤＵ(Ｓｅｒｖｉｃｅ Ｄａｔａ Ｕｎｉｔ)を受信してそれぞれ処理するペイロード生成部１０２、ペイロード生成部１０２でＡＴＭとＧＥＭに分けられ処理されたペイロード信号を受信してこれをそれぞれ暗号化するペイロード暗号化部１０３、ヘッダ生成部１０１で生成されたヘッダとペイロード暗号化部１０３で暗号化されたペイロードを一つの下り信号に多重化する多重化部１０４及び多重化された下り信号を光信号に変換して伝送する電光変換部１０５を含む。
【０００８】
ここで、それぞれの構成部をさらに詳しく説明すると、上記ヘッダ生成部１０１はそれぞれのＯＮＵ１２の上がり帯域情報を示すＤＢＡ情報、網運用管理情報を示すＰＬＯＡＭ信号、同期パターン情報、ＧＴＣ下りフレームカウンター、ＦＥＣ設定情報、フレームペイロード長さ情報を含むフレームヘッダを生成する。
【０００９】
そしてペイロード生成部１０２は、外部のサービス提供者からＡＴＭ ＳＤＵ(Ｓｅｒｖｉｃｅ Ｄａｔａ Ｕｎｉｔ)を受信して処理するＡＴＭパーティション(Ｐａｒｔｉｔｉｏｎ)モジュールと外部のサービス提供者からＧＥＭ ＳＤＵ(Ｓｅｒｖｉｃｅ Ｄａｔａ Ｕｎｉｔ)を受信して処理するＧＥＭパーティション(Ｐａｒｔｉｔｉｏｎ)モジュールを含み、ＡＴＭパーティションモジュールでは５バイトのＡＴＭヘッダと４８バイトのペイロードで構成された５３バイト長さのＡＴＭセルを処理し、ＧＥＭパーティションモジュールでは５バイトのＧＥＭヘッダと４０９５バイト範囲内で可変長さのペイロードで構成されたＧＥＭフレームが処理される。
【００１０】
そして、ペイロード暗号化部１０３は１２８ビットＣＴＲ-ＡＥＳブロック暗号化を遂行するが、３０ビットのＧＴＣ下りフレームカウンターと１６ビットのブロックカウンターを組み合わせて４６ビットの暗号化カウンター(Ｃｒｙｐｔｏ-Ｃｏｕｎｔｅｒ)を作り、この暗号化カウンターを３つ連結して１３８ビットのランダム暗号化カウンター値を生成した後上位１０ビットを削除し、下位１２８ビットのみを暗号化ブロックカウンター値として使用し暗号化を遂行する。ここで、３０ビットのＧＴＣ下りフレームカウンターは下りにフレームを伝送する度に１つずつ増加され、１６ビットのブロックカウンターは４バイト単位にカウンターを増加させ一つのＧＴＣ下りフレームが伝送されたら“０”と初期化される。そして、ペイロード暗号化部１０３で使用される１２８ビットの暗号化キーはそれぞれのＯＮＵ１２から生成され、ＯＬＴ１１の要求によって受信される。
【００１１】
このように、ペイロード暗号化部１０３でそれぞれのＯＮＵ１２から伝達された１２８ビットのＯＮＵキーを利用して１２８ビットの暗号化ブロックカウンター値が暗号化されれば、この暗号化値は１２８ビットペイロードブロックと排他的論理演算(Ｅｘｃｌｕｓｉｖｅ-ＯＲ)を遂行し、ペイロードに対する暗号化を遂行する。そして、暗号化されたペイロードは多重化部１０４に伝送され、多重化部１０４はヘッダ生成部１０１から伝達されたフレームヘッダと暗号化されたペイロードを多重化してＧＴＣ下りフレームを生成する。
【００１２】
さらに、生成されたＧＴＣ下りフレームは電光変換部１０５を通して光信号に変換されそれぞれのＯＮＵ１２に伝達される。
【００１３】
この際、ＧＴＣ下りフレームを生成する過程においてヘッダ生成部１０１で生成されたフレームヘッダ１２０はイン-バンド(Ｉｎ-ｂａｎｄ)方式で処理され暗号化されずＧＴＣ下りフレーム１００中に含まれる。従って、ＧＴＣ下りフレームヘッダ１２０は暗号化されずＧＴＣ下りフレームペイロード１３０中に含まれたペイロード情報のみが暗号化されそれぞれのＯＮＵ１２等に伝送される。
【００１４】
一方、ＯＮＵ(ｏｐｔｉｃａｌ ｎｅｔｗｏｒｋ ｕｎｉｔ)１２は、光信号で伝達されるＧＴＣ下りフレームを受信して光電変換する光電変換部１０６、電気信号に変換されたＧＴＣ下りフレームをヘッダとペイロードに分離して伝達する逆多重化部１０７、逆多重化部１０７からフレームヘッダを受け取ってこれを処理するヘッダ処理部１１０、逆多重化１０７からペイロードを受け取ってこれを復号化するペイロード復号化部１０８及び復号化されたペイロードを処理するペイロード処理部１０９を含む。
【００１５】
ここで、ペイロード復号化部１０８はＯＬＴ１１で使用されるペイロード暗号化部１０３と対応される機能を遂行し、ペイロード暗号化部１０３において暗号化されたＡＴＭセル及びＧＥＭフレームをそれぞれ復号化する。
【００１６】
そして、ペイロード処理部１０９はＡＴＭパーティションモジュールとＧＥＭパーティションモジュールを含み、ＡＴＭパーティションモジュールでは５バイトのＡＴＭヘッダと４８バイトのペイロードで構成された５３バイト長さのＡＴＭセルを処理し、ＧＥＭパーティションモジュールでは５バイトのＧＥＭヘッダと４０９５バイト範囲内で可変長さのペイロードで構成されたＧＥＭフレームが処理される。
【００１７】
図２は従来技術によってペイロードに対する暗号化機能を提供するＧＰＯＮ システムでハッキング試しに対する概念例示図である。
【００１８】
図２を参照すると、ペイロードに対する暗号化機能を提供するＧＰＯＮシステムは下りに伝送されるＧＴＣ下りフレームに対するハッキング試しを大きく４種類の方式に分けることができる。
【００１９】
第一、ハッカー２０４はＯＬＴ２００とＯＬＴ２００から伝達された光信号をそれぞれのＯＮＵ(２０７、２１０、２１１)に光分配する光スプリッタ(ｓｐｌｉｔｅｒ)２０９の間に存在する共通リンクＳ２００に侵入して全ＯＮＵ(２０７、２１０、２１１)に伝送されるＧＴＣ下りフレーム２０１に対してハッキングができる。ここでハッキング方法はフレーム変調やインターセプション(ｉｎｔｅｒｃｅｐｔｉｏｎ)またはモニタリングを通すもので例示する。この場合ハッカー２０４によってハッキングが行われる場合にもＧＴＣ下りフレームのペイロード２０１は予め暗号化が成された状態なので影響を受けないが、暗号化されなかったＰＬＯＡＭ情報２０２及びＤＢＡ情報２０３などの重要な情報はハッキングによって流出される恐れがある。かかる一番目の暗号化攻撃はリンクＳ２００を切断した後侵入せざるを得ないため実際の環境において一般人が攻撃し難いが、専門家等によっていつでも暗号化攻撃を受ける可能性がある。
【００２０】
第二、ハッカー２０５はスプリッタ２０９とＯＮＵ２０７との間に連結されたリンクＳ２０１に接続して当該のＯＮＵ２０７に伝送されるＧＴＣ下りフレーム２０１に対してフレーム変調やインターセプションまたはモニタリングを通した重要な情報(２０２、２０３)獲得などの暗号化攻撃を遂行することができる。この暗号化攻撃又はリンクＳ２０１を切断した後侵入せざるをえないため実際の環境において一般人が攻撃し難いが、専門家等によっていつでも暗号化攻撃を受ける可能性がある。
【００２１】
第三、ハッカー２０６はにせのＯＮＵ２０７で簡単なプログラムの操作で他のＯＮＵ２１０に伝送される重要な情報等をフィルターリングせずそのまま受信し、これによる暗号化攻撃を遂行することが可能である。このような暗号化攻撃はにせのＯＮＵ２０７が真のＯＮＵ２１０のように行動したり、あるいは本当にＯＮＵ２１０の上がり方向への帯域伝送を妨げる。
【００２２】
第四、ハッカー２０７はＯＬＴ２００とＯＮＵ２１１に存在するスプリッタ２０９の残るポートに接続したり、あるいはスプリッタ２０９とＯＮＵ２１１との間に連結されたリンクにスプリッタ２０８を追加してＧＴＣ下りフレームをそのまま受信して、これによる暗号化攻撃を遂行することが可能である(Ｓ２０２、Ｓ２０３)。この暗号化攻撃はハッカー２０７が真のＯＮＵ２１１のように行動したり、あるいは真のＯＮＵ２１１の上がり方向への帯域伝送を妨げる。なお、ＯＮＵ２１１によって上がり方向に伝送される暗号化キーなどをインターセプションすることができるので、暗号化されたデータ情報がそのまま露出され得るため致命的な損失を発生させ得るようになる。
【００２３】
従って、ＧＰＯＮシステムにおいて伝送されるＧＴＣ下りフレームに対する認証及び暗号化機能を要求し、認証されないＯＮＵに対してはこのような重要な情報が露出されないようにする方法が必要となる。
【発明の開示】
【発明が解決しようとする課題】
【００２４】
本発明は、上記のような問題点を解決するために提案されたものであって、ＧＰＯＮシステムにおいて下りに伝送されるＧＴＣフレームをハッキングすることにより暗号化されない情報が流出されることを防止するため、認証アルゴリズムを使用して認証されたＯＮＵのみが下りに伝送されるＧＴＣフレーム情報が受信できるようにする認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムとその認証暗号化方法を提供するのにその目的がある。
【課題を解決するための手段】
【００２５】
上記目的を達成するための本発明による認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムは、外部のサービス提供者からデータの伝達を受けＧＴＣ下りフレームを生成して下り伝送するＯＬＴと、上記ＯＬＴから下り伝送されたＧＴＣ下りフレームを受信してこれを処理する多数のＯＮＵを含み、上記ＯＬＴは生成されたＧＴＣ下りフレームに対する上記ＯＮＵ別認証のための認証生成モジュールを具備して上記生成されたＧＴＣ下りフレームに対する認証暗号化を遂行し、上記ＯＮＵは認証チェックモジュールを具備して上記認証暗号化されたＧＴＣ下りフレームに対する認証成功可否によって上記ＧＴＣ下りデータの受信可否を決定することを特徴とする。
【００２６】
また、上記目的を達成するための本発明による光端装置(ＯＬＴ)は、フレームヘッダを生成するヘッダ生成部；ＡＴＭ ＳＤＵ(Ｓｅｒｖｉｃｅ Ｄａｔａ Ｕｎｉｔ)とＧＥＭ ＳＤＵ(Ｓｅｒｖｉｃｅ Ｄａｔａ Ｕｎｉｔ)を受信してそれぞれ処理するペイロード生成部；上記ペイロード生成部においてＡＴＭとＧＥＭに分けられて処理されたペイロード信号を受信してこれをそれぞれ暗号化するペイロード暗号化部；上記ヘッダ生成部で生成されたヘッダと上記ペイロード暗号化部で暗号化されたペイロードを一つのＧＴＣ下りフレームに多重化する多重化部；上記多重化部を通して多重化されたＧＴＣ下りフレームに認証暗号化のための認証パラメータを生成して追加する認証生成部; 及び上記認証パラメータが追加されたＧＴＣ下りフレームを光信号に変換して伝送する電光変換部を含むことを特徴とする。
【００２７】
また、上記目的を達成するための本発明による光加入者装置(ＯＮＵ)は、ＯＬＴから光信号で伝達されるＩＣＶ'が含まれたＧＴＣ下りフレームを受信して光電変換する光電変換部；上記光電変換されたＩＣＶ'が含まれたＧＴＣ下りフレームに対する認証可否をチェックする認証チェック部；上記認証が確認されたＧＴＣ下りフレームをヘッダとペイロードに分離して伝達する逆多重化部; 上記逆多重化部から分離されたヘッダを受け取ってこれを処理するヘッダ処理部；上記逆多重化部から分離されたペイロードを受け取ってこれを復号化するペイロード復号化部；及び上記復号化されたペイロードを処理するペイロード処理部を含むことを特徴とする。
【００２８】
また、上記目的を達成するための本発明による認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおいて認証暗号化方法は、上記ＧＰＯＮシステムのＯＬＴにおいてＧＴＣ下りフレームを生成する第１段階；上記生成されたＧＴＣ下りフレームを認証モードを通して伝送するか否かを確認する第２段階；上記第２段階の確認結果認証モードであれば、上記ＯＬＴに認証のための認証キーが存在するのか検査する第３段階；検査結果、認証キーが存在するならば上記ＧＴＣ下りフレームを認証暗号化して伝送する第４段階；及び上記第３段階において確認結果認証モードではない場合、あるいは上記第３段階の検査結果認証キーが存在しない場合のいずれか一つの場合に、上記ＧＴＣ下りフレームを伝送する第５段階を含むことを特徴とする。
【００２９】
また、上記目的を達成するための本発明による認証暗号化を通じて保安の伝送を可能にするＧＰＯＮシステムにおける認証復号化方法は、上記ＧＰＯＮシステムのＯＮＵがＧＴＣ下りフレームを受信する第１段階；上記受信されたＧＴＣ下りフレームが認証モードを通して処理されるか否かを確認し、認証モードであれば受信されたＧＴＣ下りフレームを貯蔵する第２段階；上記ＯＮＵ内に貯蔵された上記ＧＴＣ下りフレームに対する認証のための認証キーが存在する否かを検査する第３段階；上記検査結果上記認証キーが存在するならば上記貯蔵されたＧＴＣ下りフレームに対する認証をチェックし、認証が成功されたら上記貯蔵されたＧＴＣ下りフレームを逆多重化部に伝送して上記ＧＴＣ下りフレームを処理する第４段階；及び上記第３段階において認証キーがない場合ないし上記第４段において認証に失敗した場合のいずれか一つの場合、上記貯蔵されたＧＴＣ下りフレームを削除する第５段階を含むことを特徴とする。
【発明の効果】
【００３０】
本発明によれば、ＯＬＴによって認証登録されたＯＮＵのみが正常にＧＴＣ下りフレーム情報が受信できるようにすることにより、ＧＰＯＮシステムで発生される多様なハッカーからの攻撃が遮られる利点がある。
【発明を実施するための最良の形態】
【００３１】
以下、本発明の好ましき実施例の詳細な説明を添付の図面を参照して説明する。図面の中の参照番号及び同一な構成要素に対してはたとえ他の図面上に表示されてもなるべく同一な参照番号及び符号で示していることに注意しなければならない。下記で本発明を説明することにおいて、かかる公知機能または構成に対する具体的な説明が本発明の旨を不要に曇らしかねないと判断される場合にはその詳細な説明を省略することにする。
【００３２】
図３は本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムに対する一実施例構成図である。
【００３３】
図３を参照すると、本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムは、図１に示した従来のＧＰＯＮシステムにおける認証暗号化のために追加的に光端装置(ＯＬＴ)３１と光加入者装置(ＯＮＵ)３２にそれぞれ認証生成部(ＧＭＡＣ)３０５と認証チェック部(ＧＭＡＣ)３０８を追加する構成である。
【００３４】
従って、それぞれの構成を上下りデータを作成するための階層構造の側面でより詳しく説明すると、ＯＬＴ３１は帯域に対する割り当て情報であるＤＢＡ(Ｄｙｎａｍｉｃ Ｂａｎｄｗｉｄｔｈ Ａｌｌｏｃａｔｉｏｎ) 信号、ＰＬＯＡＭ情報を伝送するためのＰＬＯＡＭ信号などを受信してフレームヘッダを生成するヘッダ生成部３０１、ＡＴＭ ＳＤＵ(Ｓｅｒｖｉｃｅ Ｄａｔａ Ｕｎｉｔ)とＧＥＭ ＳＤＵ(Ｓｅｒｖｉｃｅ Ｄａｔａ Ｕｎｉｔ)を受信してそれぞれ処理するペイロード生成部３０２、ペイロード生成部３０２でＡＴＭとＧＥＭに分けられて処理されたペイロード信号を受信しこれをそれぞれ暗号化するペイロード暗号化部３０３、ヘッダ生成部３０１で生成されたヘッダとペイロード暗号化部３０３で暗号化されたペイロードを一つのＧＴＣ下りフレーム１００に多重化する多重化部３０４、多重化されたＧＴＣ下りフレーム１００に認証暗号化のための認証パラメータを生成して追加する認証生成部３０５及び認証パラメータが追加されたＧＴＣ下りフレームを光信号に変換して伝送する電光変換部３０６を含む。
【００３５】
ここで、それぞれの構成部をさらに詳しく説明すると、上記ヘッダ生成部３０１はそれぞれのＯＮＵ１２の上がり帯域情報を示すＤＢＡ情報、網運用管理情報を示すＰＬＯＡＭ信号、同期パターン情報、ＧＴＣ下りフレームカウンター、ＦＥＣ設定情報、フレームペイロード長さ情報を含むフレームヘッダを生成する。
【００３６】
そしてペイロード生成部３０２は、外部のサービス提供者からＡＴＭ ＳＤＵ(Ｓｅｒｖｉｃｅ Ｄａｔａ Ｕｎｉｔ)を受信して処理するＡＴＭ パーティションモジュールと外部のサービス提供者からＧＥＭ ＳＤＵ(Ｓｅｒｖｉｃｅ Ｄａｔａ Ｕｎｉｔ)を受信して処理するＧＥＭパーティションモジュールを含み、ＡＴＭパーティションモジュールでは５バイトのＡＴＭヘッダと４８バイトのペイロードで構成された５３バイト長さのＡＴＭセルを処理し、ＧＥＭパーティションモジュールでは５バイトのＧＥＭヘッダと４０９５バイト範囲内で可変長さのペイロードで構成されたＧＥＭフレームが処理される。
【００３７】
そして、ペイロード暗号化部３０３は１２８ビットＣＴＲ-ＡＥＳブロック暗号化を遂行するのに、３０ビットのＧＴＣ下りフレームカウンターと１６ビットのブロックカウンターを組み合わせて４６ビットの暗号化カウンター(Ｃｒｙｐｔｏ-Ｃｏｕｎｔｅｒ)を作り、この暗号化カウンターを３つ連結して１３８ビットのランダム暗号化カウンター値を生成した後上位１０ビットを削除し、下位１２８ビットのみを暗号化ブロックカウンター値で使用して暗号化を遂行する。ここで、３０ビットのＧＴＣ下りフレームカウンターは下りにフレームを伝送する度に１ずつ増加され、１６ビットのブロックカウンターは４バイト単位にカウンターを増加させ一つのＧＴＣ下りフレームが伝送されると“０”に初期化される。そして、ペイロード暗号化部３０３で使用される１２８ビットの暗号化キーはそれぞれのＯＮＵ３２から生成され、ＯＬＴ３１の要求によって受信される。
【００３８】
このように、ペイロード暗号化部３０３においてそれぞれのＯＮＵ３２から伝達された１２８ビットのＯＮＵキーを利用して１２８ビットの暗号化ブロックカウンター値が暗号化されると、この暗号化値は１２８ビットペイロードブロックと排他的論理演算(Ｅｘｃｌｕｓｉｖｅ-ＯＲ)を遂行し、ペイロードに対する暗号化を遂行する。そして暗号化されたペイロードは多重化部３０４に伝送され、多重化部３０４はヘッダ生成部３０１から伝達されたフレームヘッダと暗号化されたペイロードを多重化してＧＴＣ下りフレームを生成する。
【００３９】
そして認証生成部３０６は、多重化部３０５において多重化されたＧＴＣ下りフレームに当該ＧＴＣ下りフレームに対する認証パラメータ値を計算し、上記計算された認証パラメータ値を当該ＧＴＣ下りフレーム端に追加する。
【００４０】
さらに、認証パラメータ値が追加されたＧＴＣ下りフレームは電光変換部３０６を通して光信号に変換されそれぞれのＯＮＵ３２に伝達される。
【００４１】
この際、ＧＴＣ下りフレームを生成する過程においてヘッダ生成部３０１で生成されたフレームヘッダ１２０はイン-バンド(Ｉｎ-ｂａｎｄ)方式で処理され暗号化されずＧＴＣ下りフレーム１００中に含まれる。従って、ＧＴＣ下りフレームヘッダ１２０は暗号化されずＧＴＣ下りフレームペイロード１３０中に含まれたペイロード情報のみが暗号化されそれぞれのＯＮＵ１２に伝送される。
【００４２】
一方、ＯＮＵ(ｏｐｔｉｃａｌ ｎｅｔｗｏｒｋ ｕｎｉｔ)３２は、光信号で伝達されるＧＴＣ下りフレームを受信して光電変換する光電変換部３０７、光電変換されたＧＴＣ下りフレームに対する認証可否をチェックする認証チェック部３０８、認証が確認されたＧＴＣ下りフレームをヘッダとペイロードに分離して伝達する逆多重化部３０９、逆多重化部３０９からフレームヘッダを受け取ってこれを処理するヘッダ処理部３１０、逆多重化部３０９からペイロードを受け取ってこれを復号化するペイロード復号化部３１１及び復号化されたペイロードを処理するペイロード処理部３１２を含む。
【００４３】
ここで、ペイロード復号化部３１１はＯＬＴ３１で使用されるペイロード暗号化部３０３と対応される機能を遂行し、ペイロード暗号化部３０３において暗号化されたＡＴＭセル及びＧＥＭフレームをそれぞれ復号化する。
【００４４】
そして、ペイロード処理部３１２はＡＴＭパーティションモジュールとＧＥＭパーティションモジュールを含み、ＡＴＭパーティションモジュールでは５バイトのＡＴＭヘッダと４８バイトのペイロードで構成された５３バイト長さのＡＴＭセルを処理し、ＧＥＭパーティションモジュールでは５バイトのＧＥＭヘッダと４０９５バイト範囲内で可変長さのペイロードで構成されたＧＥＭフレームが処理される。
【００４５】
従って、以上の構成による本発明は、ＧＴＣ下りフレームを通してフレームペイロードに含まれた情報を暗号化するだけでなく、当該ＧＴＣ下りフレームに対する認証機能を提供して全ＯＮＵ３２に伝送することで当該ＯＮＵ３２ではない場合にはＧＴＣ下りフレームを受信して処理できないようにする。
【００４６】
ここで、本発明の特徴である認証生成部３０５と認証チェック部３０８に対してより詳しく説明すると、まず認証生成部３０５は多重化部３０４で多重化されたＧＴＣ下りフレームに対する認証パラメータ値を計算し、上記計算された認証パラメータ値を当該ＧＴＣ下りフレーム端に追加して下り伝送する。
【００４７】
以上において、認証パラメータ値を計算する過程は多くの段階のＧＦ(Ｇａｌｏｉｓ Ｆｉｅｌｄ)２１２８多重化器(Ｍｕｌｔｉｐｌｉｅｒ)を使用して成り、ＧＦ多重化器は１２８ビットのハッシュキー値を使用する。このような１２８ビットハッシュキー値はそれぞれのＯＮＵ３２から提供を受けたＯＮＵキー値を利用してＯＬＴ３１で生成された認証キー値を利用してペイロード暗号化部３０３を通して生成される。これに対する詳細な説明は図５ａないし図５ｂに基づいて詳細に説明することにする。
【００４８】
一方、本発明による認証暗号化のためのＧＴＣ下りフレームを受信したＯＮＵ３２での動作を説明すると、ＯＮＵ３２はＧＴＣ下りフレームに対する認証機能を遂行する前にＯＬＴ３１から認証キー値を受信して貯蔵する。この際、認証キー値はＯＬＴ３１で生成されたハッシュキー値が使用される。そして、ＯＮＵ３２は認証暗号化のためのＧＴＣ下りフレームが受信されると、認証チェック部３０８を通して当該ＧＴＣ下りフレームを当該ＯＮＵ３２において受信できるか否かに対する認証を遂行する。すなわち、ＯＮＵ３２に貯蔵された認証キー値を利用して認証パラメータ値を計算し、上記計算された認証パラメータ値と認証暗号化されたＧＴＣ下りフレーム端に添付された認証パラメータ値を比較することにより認証を遂行する。その認証は各々の認証パラメータ値を比べた結果、二つのパラメータ値が同じである場合は認証成功であるので受信されたＧＴＣ下りフレームを逆多重化部３０９に伝送し、同じでない場合は認証失敗であるので受信されたＧＴＣ下りフレームを捨てる。
【００４９】
図４は本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムでの各階層別フレームの構造に対する一実施例の例示図である。
【００５０】
図４を参照すると、本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムでの各階層別フレームの構造は大きくヘッダ生成部/ペイロード生成部(３０１、３０２)、暗号化部３０３、多重化部３０４及び認証生成部３０にで分けられる。
【００５１】
各々の領域に対して説明すると、まずヘッダ生成部/ペイロード生成部(３０１、３０２)ではＧＴＣ下りフレームのヘッダ情報４００とＰＬＯＡＭメッセージ４０１、上がり帯域割り当て情報４０２及び各ＡＴＭセル４０３とＧＥＭフレーム４０４がそれぞれ独立的に入力される。
【００５２】
そして、暗号化部３０３ではヘッダ生成部/ペイロード生成部(３０１、３０２)と同じであるが、入力されたＡＴＭセル４０３とＧＥＭフレーム４０４のペイロード(４０５、４０６)に対する暗号化を遂行する。
【００５３】
そして、多重化部３０４ではヘッダ情報４００、ＰＬＯＡＭメッセージ４０１及び上がり帯域割り当て情報４０２を利用してＧＴＣ下りフレームのフレームヘッダ４１０を、暗号化部３０３で暗号化されたＡＴＭセル４０５を先にＧＴＣ下りフレームペイロード４１１にのせる。なお、ＡＴＭセル４０５をのせった後残るペイロード空間に暗号化されたＧＥＭフレーム４０６をのせる。ここで、ＧＴＣ下りフレームのヘッダ４１０内のＰｓｙｎｃ、Ｉｄｅｎｔ、ＢＩＰ、Ｐｌｅｎｄ フィールドはそれぞれヘッダ情報４００によるものである。
【００５４】
そして、認証生成部３０５では多重化部３０４において生成されたＧＴＣ下りフレームに対する認証パラメータであるＩＣＶ(Ｉｎｔｅｇｒｉｔｙ Ｃｈｅｃｋ Ｖａｌｕｅ)値を計算してＧＴＣ下りフレーム端に添付する。こうして構成されたＧＴＣ下りフレームはペイロード４１１に伝送されるデータに対する暗号化とＧＴＣ下りフレーム全体に対する認証をともに提供することが可能になる。
【００５５】
一方、認証復号化のための各階層別フレーム構造はこれと反対なのでこれについては当技術分野において通常の知識を有する者にとって自明である。そのため、ここではそれに対する説明は省略することにする。
【００５６】
図５ａないし図５ｂは図３に示した認証生成部及び認証チェック部に対する一実施例構成図である。
【００５７】
図５ａに示すように、認証生成部３０５は多重化されたＧＴＣ下りフレームの入力を受け順次に出力するデータ入力器５１、データ入力器５１の出力とＧＦ２１２８掛け算器５３の出力を論理合する演算器５２、演算器５２の出力とハッシュ値の入力を受けＧＦ２１２８掛け算処理するＧＦ２１２８掛け算器５３及びＧＦ２１２８掛け算器５３の出力を分岐して演算器５２に入力しＧＦ２１２８掛け算器５３の最終出力５０６をＩＣＶに出力する分岐器５４を含む。
【００５８】
その動作をさらに詳しく説明すると、データ入力器５１にＧＴＣ上記図５ａに示すような構造を有するＧＴＣ下りフレーム５００が入力されれば、データ入力器５１はＧＴＣ下りフレームのヘッダ情報を１２８ビットのブロック単位に分けＡＡＤ(Ａｄｄｉｔｉｏｎａｌ Ａｕｔｈｅｎｔｉｃａｔｅｄ Ｄａｔａ)５０１値にして演算器５２に出力される。そして、ＡＡＤ５０１値が全て演算器５２に出力されると次にはＧＴＣ下りフレームのペイロード情報が１２８ビットのブロック単位に分類されＤＡＴＡ５０２値にして演算器５２に出力される。そして、ＧＴＣ下りフレームのヘッダとペイロードがＡＡＤ５０１とＤＡＴＡ５０２に全て入力されれば、データ入力部５１は最後のＡＡＤ５０１値の６４ビットと最後のＤＡＴＡ５０２値の６４ビットを組み合わせ演算器５２に入力する。
【００５９】
最初の１２８ビットのＡＡＤ値５０１は演算器５２を通して初期フィードバック値５０５である“０”と排他的論理演算を遂行した後ＧＦ２１２８掛け算器５３に入力される。
【００６０】
そして、ＧＦ２１２８掛け算器５３は演算器５２を通して排他的論理演算値と１２８ビットのハッシュ値５０４の入力を受けＧＦ２１２８掛け算を遂行し、その結果を分岐器５４を通して演算器５２にフィードバックする５０５。そして、データ入力器５１を通して入力されるデータと分岐器５４を通してフィードバックされた結果に対する排他的論理演算を遂行し、その結果をＧＦ２１２８掛け算器５３に入力する。この動作はＧＴＣ下りフレームのヘッダとペイロードがＡＡＤ５０１値とＤＡＴＡ５０２値に全て入力されるまで繰り返される。
【００６１】
さらに、ＧＴＣ下りフレームのヘッダとペイロードがＡＡＤ５０１値とＤＡＴＡ５０２値で全て入力されると、データ入力器５１は最後のＡＡＤ５０１値の６４ビットと最後のＤＡＴＡ５０２値の６４ビットを組み合わせた値を出力する。この値は演算器５２とＧＦ２１２８掛け算器５３を通して演算された後当該ＧＴＣ下りフレームに対する認証パラメータ値５０６で最終出力される。この認証パラメータ値５０６はＩＣＶ値で出力され、ＧＴＣ下りフレームの後尾に追加して一緒に伝送される。
【００６２】
一方、図５ｂに示すような認証チェック部３０８は、ＩＣＶ'５０９が含まれたＧＴＣ下りフレーム５０７の入力を受け、ＩＣＶ'５０９を除いたＧＴＣ下りフレーム５０８をＧＴＣフレームメモリー５６に一時的に貯蔵する。ＩＣＶ'５０９を利用した認証結果によって一時的に貯蔵されたＩＣＶ'５０９を除いたＧＴＣ下りフレーム５０８を伝達することを決定する。認証チェック部３０８での認証過程はＯＬＴ３２から伝達されたＩＣＶ'５０９とＩＣＶ'５０９を除いたＧＴＣ下りフレームをデータ入力部５１'に入力して計算したＩＣＶ５０６'をＩＣＶ比較器５５を通して比較することにより遂行される。
【００６３】
認証チェック部３０８のＩＣＶ計算のための構成を説明すると、図５ａと対応されることが判る。すなわち、ＩＣＶ'５０９を除いたＧＴＣ下りフレーム５０８を順次に出力するデータ入力器５１'、データ入力器５１'の出力とＧＦ２１２８掛け算器５３'の出力を論理合する演算器５２'、演算器５２'の出力とハッシュ値の入力を受けＧＦ２１２８掛け算処理するＧＦ２１２８掛け算器５３'及びＧＦ２１２８掛け算器５３'の出力を分岐して演算器５２'に入力してＧＦ２１２８掛け算器５３'の最終出力５０６'をＩＣＶにしてＩＣＶ比較器５５に出力する分岐器５４'を含む。
【００６４】
その動作をさらに詳しく説明すれば、データ入力器５１’にＩＣＶ'５０９を除いたＧＴＣ下りフレーム５０８が入力されると、データ入力器５１'はＩＣＶ'５０９を除いたＧＴＣ下りフレーム５０８のヘッダ情報を１２８ビットのブロック単位に分類しＡＡＤ(Ａｄｄｉｔｉｏｎａｌ Ａｕｔｈｅｎｔｉｃａｔｅｄ Ｄａｔａ)５０１'値にして演算器５２'に出力される。さらにＡＡＤ５０１'値が全て演算器５２'に出力されたら、次にはＩＣＶ'５０９を除いたＧＴＣ下りフレーム５０８のペイロード情報が１２８ビットのブロック単位に分類されＤＡＴＡ５０２'値にして演算器５２'に出力される。そしてＩＣＶ'５０９を除いたＧＴＣ下りフレーム５０８のヘッダとペイロードがＡＡＤ５０１'とＤＡＴＡ５０２'に全て入力されたら、データ入力部５１'は最後のＡＡＤ５０１'値の６４ビットと最後のＤＡＴＡ５０２'値の６４ビットを組み合わせて演算器５２'に入力する。
【００６５】
最初の１２８ビットのＡＡＤ値５０１'は演算器５２'を通して初期フィードバック値５０５'である“０”と排他的論理演算を遂行した後ＧＦ２１２８掛け算器５３'に入力される。
【００６６】
そして、ＧＦ２１２８掛け算器５３'は演算器５２'を通して排他的論理演算値と１２８ビットのハッシュ値５０４'の入力を受けＧＦ２１２８掛け算を遂行し、その結果を継続して分岐器５４'を通して演算器５２'にフィードバックする５０５'。そして、データ入力器５１'を通して入力されるデータと分岐器５４'を通してフィードバックされた結果に対する排他的論理演算を遂行しその結果をＧＦ２１２８掛け算器５３'に入力する。この動作はＧＴＣ下りフレームのヘッダとペイロードがＡＡＤ５０１'値とＤＡＴＡ５０２'値に全て入力されるまで繰り返される。
【００６７】
そして、ＩＣＶ'５０９を除いたＧＴＣ下りフレーム５０８のヘッダとペイロードがＡＡＤ５０１'値とＤＡＴＡ５０２'値に全て入力されたら、データ入力器５１'は最後のＡＡＤ５０１'値の６４ビットと最後のＤＡＴＡ５０２'値の６４ビットを組み合わせた値を出力する５０３'。この値は演算器５２'とＧＦ２１２８掛け算器５３'を通して演算された後、当該ＧＴＣ下りフレームに対する認証パラメータ値５０６'で最終出力される。この認証パラメータ値５０６'はＩＣＶ値に出力され、ＩＣＶ比較器５５に入力され認証を遂行する。
【００６８】
ＩＣＶ比較器５５はＯＬＴ３１から伝達を受けたＩＣＶ'５０９が含まれたＧＴＣ下りフレーム５０７からＩＣＶ'５０９の伝達を受け、分岐器５４'から計算されたＩＣＶ値５０６'の伝達を受けその値が同じであるかを比較する。
【００６９】
仮にその値が同じであるならば、認証成功になってＧＴＣフレームメモリー５６に貯蔵されたＧＴＣ下りフレーム５０８を逆多重化部３０９に伝達する。そうでなければ認証失敗になりＧＴＣフレームメモリー５６に貯蔵されたＧＴＣ下りフレーム５０８は逆多重化部３０９に伝達されずに削除される。
【００７０】
認証生成部３０５及び認証チェック部３０８で使用されるハッシュキー値（５０４、５０４'）は認証暗号化キー値がアップデートされると多重化部３０４においてＧＴＣ下りフレームヘッダを組み立てる間当該認証暗号化キー値を利用してペイロード暗号化部３０３を通して生成する。
【００７１】
認証生成部３０５及び認証チェック部３０８での認証パラメータ値を計算する式は次のとおりである。
【数１】
ここで、ｍはＡＡＤ値が１２８ビットのブロック単位に分類される定数値であり、ｖはＡＡＤ値が１２８ビットの定数に分類された後残るビット数である。ｎはＤＡＴＡ値が１２８ビットのブロック単位に分類される定数値であり、ｕは ＤＡＴＡ値が１２８ビットの定数に分類された後残るビット数である。
【００７２】
図６は本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムで認証暗号化機能を提供するためにＯＮＵに対する認証キー分配及び認証登録過程に対する一実施例のタイミング図である。
【００７３】
図６に示すように、ＯＬＴ６００は認証暗号化機能を提供するために先ずそれぞれのＯＮＵ６０１に各々のＯＮＵ別キー値を要請するキー要請メッセージ(Ｋｅｙ Ｒｅｑｕｅｓｔ Ｍｅｓｓａｇｅ)Ｓ６００を伝送する。そして、ＯＮＵ６０１はキー要請メッセージ(Ｋｅｙ Ｒｅｑｕｅｓｔ Ｍｅｓｓａｇｅ)Ｓ６００を受信して１２８ビットのＯＮＵキーを生成し、これを２つのキー応答メッセージ(Ｋｅｙ Ｒｅｓｐｏｎｓｅ Ｍｅｓｓａｇｅ)Ｓ６０１を通して６４ビットずつ分けＯＬＴ６００に伝送する。
【００７４】
そして、ＯＬＴ６００はＯＮＵ６０１から１２８ビットのＯＮＵキーを受信するとＳ６０２、１２８ビットの認証キーを生成するＳ６０３。そしてこの認証キーを利用して１２８ビットのハッシュ値を計算するＳ６０４。
【００７５】
そして、ＯＬＴ６００は生成されたハッシュ値をＯＮＵ６０１に伝達するために受信されたＯＮＵキーをハッシュ値で利用して認証キーメッセージ(Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｋｅｙ Ｍｅｓｓａｇｅ)Ｓ６０５を認証してＯＮＵ６０１に伝送する。認証キーメッセージ(Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｋｅｙ Ｍｅｓｓａｇｅ)Ｓ６０５は６４ビットのハッシュ値が含まれ、それぞれのＯＮＵ６０１に３回伝送する。
【００７６】
ここで、認証キーメッセージ(Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｋｅｙ Ｍｅｓｓａｇｅ)はメッセージ識別字“２０”を有し、認証機能のため本発明によって新たに追加させたのである。
【００７７】
そして、ＯＮＵ６０１は自分のＯＮＵキーを利用して認証チェックを遂行しＳ６０６、同一な認証キーメッセージ(Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｋｅｙ Ｍｅｓｓａｇｅ)Ｓ６０５を２回受信すれば妥当なメッセージとして判断し当該メッセージに含まれたハッシュ値を貯蔵するＳ６０７。ＯＮＵ６０１は１２８ビットのハッシュ値を全て受信すると、認証チェックが行える状態になり認証登録が完了される６０２。こうした一認証登録のために取り交わすメッセージはＰＬＯＡＭメッセージに含まれる。
【００７８】
図７は本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムでハッキング試しに対する概念例示図である。
【００７９】
図７ａに示すように、仮にハッカー７００がＯＬＴとスプリッター（Ｓｐｌｉｔｔｅｒ）間の共通リンクＳ７００に接続してフレーム変調を加える場合、全てのＯＮＵの認証モジュールはＧＴＣ下りフレームに対して認証失敗が生じて当該ハッカーからの変調されたフレームを遮断する７０１。この場合においてＯＬＴはＯＮＵの状態を感知して代替リンクに切り替えなければならない。
【００８０】
そして、図７ｂのように、仮にハッカー７０２がスプリッター（Ｓｐｌｉｔｔｅｒ）と特定ＯＮＵとの間のリンクＳ７０１に接続してフレーム変調を加えると、このＯＮＵの認証モジュールはＧＴＣ下りフレームに対して認証失敗になり当該ハッカーからの変調されたフレームを遮断する７０３。
【００８１】
このような二つの場合において、ハッカーはＯＬＴに認証された登録状態ではないので認証過程において下り伝送されるＧＴＣフレームを受信することができないのでモニタリング動作もやはり不可能になる。
【００８２】
そして、図７ｃのように、仮にハッカー７０５がＯＬＴに認証されなず登録のみになったＯＮＵを通して簡単なプログラム操作でＧＴＣ下りフレーム情報を受信しようとすると、当該ＯＮＵの認証モジュールはＧＴＣ下りフレームに対して認証することができないので認証失敗になり当該ＧＴＣフレームが遮られる７０４。
【００８３】
または、ハッカー７０５がＯＬＴに認証登録されたＯＮＵを通して簡単なプログラム操作でＧＴＣ下りフレーム情報を受信しようとすると、当該ＯＮＵの認証モジュールはＧＴＣ下りフレームに対して認証成功され、ＧＴＣ下りフレームを受信することができるが、自らのＯＮＵキーを有しているので他のＯＮＵのペイロード情報を盗聴することはできない。仮に受信された下りフレームのヘッダ情報を利用して他のＯＮＵの伝送を妨げると、当該ＯＮＵはＯＬＴによって強制的に非活性化される７０５。
【００８４】
そして、図７ｄのように、ハッカー７０６がスプリッター（Ｓｐｌｉｔｔｅｒ）の残るポートに接続したりＳ７０２、或はスプリッター(Ｓｐｌｉｔｔｅｒ)と特定ＯＮＵとの間に新たなスプリッター(Ｓｐｌｉｔｔｅｒ)を追加Ｓ７０３してＧＴＣ下りフレームを受信しようとすると、このハッカー７０６はＯＬＴに認証登録されなかったためＧＴＣ下りフレームに対する認証失敗が発生されて遮られる。
【００８５】
図８は本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおける認証暗号化方法に対する一実施例の動作流れ図である。
【００８６】
図８に示すように、本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおける認証暗号化方法は、まずペイロードを暗号化したＧＴＣ下りフレームを生成するＳ８０１。
【００８７】
そして、生成されたＧＴＣ下りフレームを認証モードを通して伝送するか否かを確認しＳ８０２、認証モードであれば認証のための認証キーが存在するのか検査するＳ８０３。
【００８８】
その結果、認証キーが存在すればＳ８０３生成されたＧＴＣ下りフレームを認証暗号化して認証暗号化されたＧＴＣ下りフレームを伝送するＳ８０５。
【００８９】
一方、認証モードではないＳ８０２場合や認証キーが存在しない場合Ｓ８０３は、ペイロードに対する暗号化のみを遂行して生成されたＧＴＣ下りフレームを伝送するＳ８０４。
【００９０】
ここで、ペイロードを暗号化したＧＴＣ下りフレームを例示しているが、本発明の内容においてはあらゆる形式のＧＴＣ下りフレームが生成されても適用が可能である。すなわち、ペイロードに対する暗号化が行われなかったＧＴＣ下りフレームに対しても本発明の適用が可能であることは自明である。
【００９１】
図９は本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおける認証復号化方法に対する一実施例の動作流れ図である。
【００９２】
図９に示すように、本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおける認証復号化方法は、まずＧＰＯＮシステムのＯＮＵがＧＴＣ下りフレームを受信するＳ９０１。
【００９３】
そして、受信されたＧＴＣ下りフレームが認証モードを通して処理されるか否かを確認してＳ９０２、認証モードであれば受信されたＧＴＣ下りフレームを貯蔵するＳ９０３。一方認証モードでなければ、ＧＴＣ下りフレームを逆多重化部に伝送して当該ＧＴＣ下りフレームを処理するＳ９０９。ここで、認証モードであるか否かは受信されたＧＴＣ下りフレームに対するＯＮＵ別認証キーのための認証パラメータ値がＧＴＣ下りフレームの端に追加されているか否かを判断することで成る。
【００９４】
そして、ＯＮＵ内に受信されたＧＴＣ下りフレームに対する認証のための認証キーが存在するのか検査するＳ９０４。
【００９５】
その結果、認証キーが存在すればＳ９０４、受信されたＧＴＣ下りフレームに対する認証をチェックするＳ９０５。認証チェック結果認証が成功すればＳ９０６、貯蔵されたＧＴＣ下りフレームを逆多重化部に伝送して当該ＧＴＣ下りフレームを処理するＳ９０８。
【００９６】
一方、認証キーがない場合Ｓ９０４や認証に失敗した場合Ｓ９０６は、貯蔵されたＧＴＣ下りフレームを削除するＳ９０７。
【００９７】
本発明による認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおける認証暗号化方法及び復号化方法はコンピューターで読み取れる記録媒体にコンピューターが読み取れるコードとして具現することができる。コンピューターが読み取れる記録媒体はコンピューターシステムによって読み取られることができるデータが貯蔵される全種類の記録装置を含む。コンピューターが読み取れる記録媒体の例ではＲＯＭ、ＲＡＭ、ＣＤ-ＲＯＭ、磁気テープ、フロッピー、光データ貯蔵装置などがあり、またインターネットを通じた伝送のようにキャリアウェーブの形態に具現されるものも含む。またコンピューターが読み取れる記録媒体はネットワークで連結されたコンピューターシステムに分散され、分散方式でコンピューターの読み取れるコードが貯蔵され実行されることもできる。
【００９８】
一方、本発明の詳細な説明では具体的な実施例に関して説明したが、本発明の範囲で外れない限度内で様々な変形が可能であることは勿論のことである。従って、本発明の範囲は説明された実施例に限って定められてならず、後述する特許請求範囲のみならず、この特許請求範囲と均等なものによって定められるべきである。
【図面の簡単な説明】
【００９９】
【図１】従来技術によってペイロードに対する暗号化機能を提供するためのＧＰＯＮシステムに対する一実施例の構成図である。
【図２】従来技術によってペイロードに対する暗号化機能を提供するＧＰＯＮシステムにおいてハッキング試しに対する概念例示図である。
【図３】本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムに対する一実施例構成図である。
【図４】本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムでの各階層別フレームの構造に対する一実施例の例示図である。
【図５ａ】図３に示す認証生成モジュールに対する一実施例の構成図である。
【図５ｂ】図３に示す認証チェックモジュールに対する一実施例の構成図である。
【図６】本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおいて認証暗号化機能を提供するためにＯＮＵに対する認証キー分配及び認証登録過程に対する一実施例のタイミング図である。
【図７】本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおいてハッキング試しに対する概念例示図である。
【図８】本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおいて認証暗号化方法に対する一実施例の動作流れ図である。
【図９】本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおいて認証復号化方法に対する一実施例の動作流れ図である。
【技術分野】
【０００１】
本発明はギガビット受動型光ネットワーク(Ｇｉｇａｂｉｔ-ｃａｐａｂｌｅＰａｓｓｉｖｅ Ｏｐｔｉｃａｌ Ｎｅｔｗｏｒｋｓ: ＧＰＯＮ)に関するもので特に、ＧＰＯＮにおけるＯＬＴの下り伝送においてそれぞれのＯＮＵに対する認証暗号化を通じて保安伝送を可能にするシステム及びその認証暗号化方法に関するものである。
【背景技術】
【０００２】
近年、ＩＴＵ(Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎ Ｕｎｉｏｎ)-Ｔ Ｇ．９８４グループはＰＯＮ(Ｐａｓｓｉｖｅ Ｏｐｔｉｃａｌ Ｎｅｔｗｏｒｋ) 基盤の加入者アクセス網を通してＡＴＭ(Ａｓｙｎｃｈｒｏｎｏｕｓ Ｔｒａｎｓｆｅｒ Ｍｏｄｅ)セル及びイーサネット(Ｅｔｈｅｒｎｅｔ)（登録商標）フレーム、ＴＤＭ(Ｔｉｍｅ-Ｄｉｖｉｓｉｏｎ Ｍｕｌｔｉｐｌｅｘｉｎｇ)パケットなどを效率的に伝送し、最大２．５Ｇｂｐｓの帯域を提供することが可能なＧＰＯＮ規格を標準化した。ＧＰＯＮはＳＯＮＥＴ(Ｓｙｎｃｈｒｏｎｏｕｓ Ｏｐｔｉｃａｌ Ｎｅｔｗｏｒｋ)のように１２５ｕｓ週期(８ＫＨｚ)のフレーム伝送方式を利用してＴＤＭサービス及びＥ１/Ｔ１サービス、ＰＯＴＳ(Ｐｌａｉｎ Ｏｌｄ Ｔｅｌｅｐｈｏｎｅ Ｓｅｒｖｉｃｅ)を提供することができ、２．５Ｇｂｐｓの広帯域に数百チャンネルの高品質放送サービス及びＩＰ(Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ) データサービスが提供できる。このようなＧＰＯＮは米国やヨーロッパで予め使用中のＡＰＯＮ(ＡＴＭ ＰＯＮ)の代替用として利用されている。
【０００３】
ＧＰＯＮシステムは一般的に一つのＯＬＴ(Ｏｐｔｉｃａｌ Ｌｉｎｅ Ｔｅｒｍｉｎａｌ)から出力されるＴＤＭ方式の光信号が光分配器を通してそれぞれのＯＮＵに提供される構造を有するが、こうした構造では下り方向にブロードキャスト特性を有するので、一つのＯＬＴから伝送された下りフレーム等は全ＯＮＵに伝達される。従って、正常な場合にはそれぞれのＯＮＵは自らに伝送されるフレームのみをフィルターリングし受信するように具現されているが、仮に悪意のある加入者がフレームフィルターリングする部分を簡単に操作するとその人は他のＯＮＵに伝送される重要な情報を見ることが可能にする。
【０００４】
これにより、現在ＧＰＯＮ標準ではこのようにＧＰＯＮシステム内において伝送される情報を他のＯＮＵ等が見れないようにするため、伝送されるサービスデータのペイロードに対しては１２８ｂｉｔｓ ＣＴＲ(Ｃｏｕｎｔｅｒ)-ＡＥＳ(Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ)を利用した暗号化を遂行するように規格を定義している。しかし、ペイロードとともに伝送されるフレームヘッダ中にも重要な情報である網運用管理(ＰＬＯＡＭ : Ｐｈｙｓｉｃａl Ｌａｙｅｒ ＯＡＭ)情報及び上がり帯域割り当て(ＢＡ : Ｂａｎｄｗｉｄｔｈ Ａｌｌｏｃａｔｉｏｎ)情報などが含まれるが、このような情報についてはいかなる保安機能も提供できない。従って、かかるフレームヘッダに含まれた情報等の場合は相変らず認証されなかったＯＮＵ等の簡単な操作によって露出されやすく、これらの情報を悪用して他のＯＮＵ等のサービスを妨げる恐れのある問題点が生じる。
【０００５】
図１は、従来技術によってペイロードに対する暗号化機能を提供するためのＧＰＯＮシステムに対する一実施例構成図である。
【０００６】
図１を参照すれば、従来技術によってペイロードに対する暗号化機能を提供するためのＧＰＯＮシステムは、外部のサービス提供者からデータが伝達され一つの光信号で構成した後これを伝送し連結された多数のＯＮＵ１２からの上がりデータを受信してこれを外部に伝送するＯＬＴ１１とユーザー側装置にＯＬＴ１１を通して提供される光信号を受信して、これを光電変換して使用者に提供するＯＮＵ１２から成る。
【０００７】
それぞれの構成を上下りデータを作成するための階層構造の側面でさらに詳しく説明すると、ＯＬＴ１１は帯域に対する割り当て情報であるＤＢＡ(Ｄｙｎａｍｉｃ Ｂａｎｄｗｉｄｔｈ Ａｌｌｏｃａｔｉｏｎ)信号、ＰＬＯＡＭ情報を伝送するためのＰＬＯＡＭ信号などを受信してフレームヘッダを生成するヘッダ生成部１０１、ＡＴＭ ＳＤＵ(Ｓｅｒｖｉｃｅ Ｄａｔａ Ｕｎｉｔ)とＧＥＭ ＳＤＵ(Ｓｅｒｖｉｃｅ Ｄａｔａ Ｕｎｉｔ)を受信してそれぞれ処理するペイロード生成部１０２、ペイロード生成部１０２でＡＴＭとＧＥＭに分けられ処理されたペイロード信号を受信してこれをそれぞれ暗号化するペイロード暗号化部１０３、ヘッダ生成部１０１で生成されたヘッダとペイロード暗号化部１０３で暗号化されたペイロードを一つの下り信号に多重化する多重化部１０４及び多重化された下り信号を光信号に変換して伝送する電光変換部１０５を含む。
【０００８】
ここで、それぞれの構成部をさらに詳しく説明すると、上記ヘッダ生成部１０１はそれぞれのＯＮＵ１２の上がり帯域情報を示すＤＢＡ情報、網運用管理情報を示すＰＬＯＡＭ信号、同期パターン情報、ＧＴＣ下りフレームカウンター、ＦＥＣ設定情報、フレームペイロード長さ情報を含むフレームヘッダを生成する。
【０００９】
そしてペイロード生成部１０２は、外部のサービス提供者からＡＴＭ ＳＤＵ(Ｓｅｒｖｉｃｅ Ｄａｔａ Ｕｎｉｔ)を受信して処理するＡＴＭパーティション(Ｐａｒｔｉｔｉｏｎ)モジュールと外部のサービス提供者からＧＥＭ ＳＤＵ(Ｓｅｒｖｉｃｅ Ｄａｔａ Ｕｎｉｔ)を受信して処理するＧＥＭパーティション(Ｐａｒｔｉｔｉｏｎ)モジュールを含み、ＡＴＭパーティションモジュールでは５バイトのＡＴＭヘッダと４８バイトのペイロードで構成された５３バイト長さのＡＴＭセルを処理し、ＧＥＭパーティションモジュールでは５バイトのＧＥＭヘッダと４０９５バイト範囲内で可変長さのペイロードで構成されたＧＥＭフレームが処理される。
【００１０】
そして、ペイロード暗号化部１０３は１２８ビットＣＴＲ-ＡＥＳブロック暗号化を遂行するが、３０ビットのＧＴＣ下りフレームカウンターと１６ビットのブロックカウンターを組み合わせて４６ビットの暗号化カウンター(Ｃｒｙｐｔｏ-Ｃｏｕｎｔｅｒ)を作り、この暗号化カウンターを３つ連結して１３８ビットのランダム暗号化カウンター値を生成した後上位１０ビットを削除し、下位１２８ビットのみを暗号化ブロックカウンター値として使用し暗号化を遂行する。ここで、３０ビットのＧＴＣ下りフレームカウンターは下りにフレームを伝送する度に１つずつ増加され、１６ビットのブロックカウンターは４バイト単位にカウンターを増加させ一つのＧＴＣ下りフレームが伝送されたら“０”と初期化される。そして、ペイロード暗号化部１０３で使用される１２８ビットの暗号化キーはそれぞれのＯＮＵ１２から生成され、ＯＬＴ１１の要求によって受信される。
【００１１】
このように、ペイロード暗号化部１０３でそれぞれのＯＮＵ１２から伝達された１２８ビットのＯＮＵキーを利用して１２８ビットの暗号化ブロックカウンター値が暗号化されれば、この暗号化値は１２８ビットペイロードブロックと排他的論理演算(Ｅｘｃｌｕｓｉｖｅ-ＯＲ)を遂行し、ペイロードに対する暗号化を遂行する。そして、暗号化されたペイロードは多重化部１０４に伝送され、多重化部１０４はヘッダ生成部１０１から伝達されたフレームヘッダと暗号化されたペイロードを多重化してＧＴＣ下りフレームを生成する。
【００１２】
さらに、生成されたＧＴＣ下りフレームは電光変換部１０５を通して光信号に変換されそれぞれのＯＮＵ１２に伝達される。
【００１３】
この際、ＧＴＣ下りフレームを生成する過程においてヘッダ生成部１０１で生成されたフレームヘッダ１２０はイン-バンド(Ｉｎ-ｂａｎｄ)方式で処理され暗号化されずＧＴＣ下りフレーム１００中に含まれる。従って、ＧＴＣ下りフレームヘッダ１２０は暗号化されずＧＴＣ下りフレームペイロード１３０中に含まれたペイロード情報のみが暗号化されそれぞれのＯＮＵ１２等に伝送される。
【００１４】
一方、ＯＮＵ(ｏｐｔｉｃａｌ ｎｅｔｗｏｒｋ ｕｎｉｔ)１２は、光信号で伝達されるＧＴＣ下りフレームを受信して光電変換する光電変換部１０６、電気信号に変換されたＧＴＣ下りフレームをヘッダとペイロードに分離して伝達する逆多重化部１０７、逆多重化部１０７からフレームヘッダを受け取ってこれを処理するヘッダ処理部１１０、逆多重化１０７からペイロードを受け取ってこれを復号化するペイロード復号化部１０８及び復号化されたペイロードを処理するペイロード処理部１０９を含む。
【００１５】
ここで、ペイロード復号化部１０８はＯＬＴ１１で使用されるペイロード暗号化部１０３と対応される機能を遂行し、ペイロード暗号化部１０３において暗号化されたＡＴＭセル及びＧＥＭフレームをそれぞれ復号化する。
【００１６】
そして、ペイロード処理部１０９はＡＴＭパーティションモジュールとＧＥＭパーティションモジュールを含み、ＡＴＭパーティションモジュールでは５バイトのＡＴＭヘッダと４８バイトのペイロードで構成された５３バイト長さのＡＴＭセルを処理し、ＧＥＭパーティションモジュールでは５バイトのＧＥＭヘッダと４０９５バイト範囲内で可変長さのペイロードで構成されたＧＥＭフレームが処理される。
【００１７】
図２は従来技術によってペイロードに対する暗号化機能を提供するＧＰＯＮ システムでハッキング試しに対する概念例示図である。
【００１８】
図２を参照すると、ペイロードに対する暗号化機能を提供するＧＰＯＮシステムは下りに伝送されるＧＴＣ下りフレームに対するハッキング試しを大きく４種類の方式に分けることができる。
【００１９】
第一、ハッカー２０４はＯＬＴ２００とＯＬＴ２００から伝達された光信号をそれぞれのＯＮＵ(２０７、２１０、２１１)に光分配する光スプリッタ(ｓｐｌｉｔｅｒ)２０９の間に存在する共通リンクＳ２００に侵入して全ＯＮＵ(２０７、２１０、２１１)に伝送されるＧＴＣ下りフレーム２０１に対してハッキングができる。ここでハッキング方法はフレーム変調やインターセプション(ｉｎｔｅｒｃｅｐｔｉｏｎ)またはモニタリングを通すもので例示する。この場合ハッカー２０４によってハッキングが行われる場合にもＧＴＣ下りフレームのペイロード２０１は予め暗号化が成された状態なので影響を受けないが、暗号化されなかったＰＬＯＡＭ情報２０２及びＤＢＡ情報２０３などの重要な情報はハッキングによって流出される恐れがある。かかる一番目の暗号化攻撃はリンクＳ２００を切断した後侵入せざるを得ないため実際の環境において一般人が攻撃し難いが、専門家等によっていつでも暗号化攻撃を受ける可能性がある。
【００２０】
第二、ハッカー２０５はスプリッタ２０９とＯＮＵ２０７との間に連結されたリンクＳ２０１に接続して当該のＯＮＵ２０７に伝送されるＧＴＣ下りフレーム２０１に対してフレーム変調やインターセプションまたはモニタリングを通した重要な情報(２０２、２０３)獲得などの暗号化攻撃を遂行することができる。この暗号化攻撃又はリンクＳ２０１を切断した後侵入せざるをえないため実際の環境において一般人が攻撃し難いが、専門家等によっていつでも暗号化攻撃を受ける可能性がある。
【００２１】
第三、ハッカー２０６はにせのＯＮＵ２０７で簡単なプログラムの操作で他のＯＮＵ２１０に伝送される重要な情報等をフィルターリングせずそのまま受信し、これによる暗号化攻撃を遂行することが可能である。このような暗号化攻撃はにせのＯＮＵ２０７が真のＯＮＵ２１０のように行動したり、あるいは本当にＯＮＵ２１０の上がり方向への帯域伝送を妨げる。
【００２２】
第四、ハッカー２０７はＯＬＴ２００とＯＮＵ２１１に存在するスプリッタ２０９の残るポートに接続したり、あるいはスプリッタ２０９とＯＮＵ２１１との間に連結されたリンクにスプリッタ２０８を追加してＧＴＣ下りフレームをそのまま受信して、これによる暗号化攻撃を遂行することが可能である(Ｓ２０２、Ｓ２０３)。この暗号化攻撃はハッカー２０７が真のＯＮＵ２１１のように行動したり、あるいは真のＯＮＵ２１１の上がり方向への帯域伝送を妨げる。なお、ＯＮＵ２１１によって上がり方向に伝送される暗号化キーなどをインターセプションすることができるので、暗号化されたデータ情報がそのまま露出され得るため致命的な損失を発生させ得るようになる。
【００２３】
従って、ＧＰＯＮシステムにおいて伝送されるＧＴＣ下りフレームに対する認証及び暗号化機能を要求し、認証されないＯＮＵに対してはこのような重要な情報が露出されないようにする方法が必要となる。
【発明の開示】
【発明が解決しようとする課題】
【００２４】
本発明は、上記のような問題点を解決するために提案されたものであって、ＧＰＯＮシステムにおいて下りに伝送されるＧＴＣフレームをハッキングすることにより暗号化されない情報が流出されることを防止するため、認証アルゴリズムを使用して認証されたＯＮＵのみが下りに伝送されるＧＴＣフレーム情報が受信できるようにする認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムとその認証暗号化方法を提供するのにその目的がある。
【課題を解決するための手段】
【００２５】
上記目的を達成するための本発明による認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムは、外部のサービス提供者からデータの伝達を受けＧＴＣ下りフレームを生成して下り伝送するＯＬＴと、上記ＯＬＴから下り伝送されたＧＴＣ下りフレームを受信してこれを処理する多数のＯＮＵを含み、上記ＯＬＴは生成されたＧＴＣ下りフレームに対する上記ＯＮＵ別認証のための認証生成モジュールを具備して上記生成されたＧＴＣ下りフレームに対する認証暗号化を遂行し、上記ＯＮＵは認証チェックモジュールを具備して上記認証暗号化されたＧＴＣ下りフレームに対する認証成功可否によって上記ＧＴＣ下りデータの受信可否を決定することを特徴とする。
【００２６】
また、上記目的を達成するための本発明による光端装置(ＯＬＴ)は、フレームヘッダを生成するヘッダ生成部；ＡＴＭ ＳＤＵ(Ｓｅｒｖｉｃｅ Ｄａｔａ Ｕｎｉｔ)とＧＥＭ ＳＤＵ(Ｓｅｒｖｉｃｅ Ｄａｔａ Ｕｎｉｔ)を受信してそれぞれ処理するペイロード生成部；上記ペイロード生成部においてＡＴＭとＧＥＭに分けられて処理されたペイロード信号を受信してこれをそれぞれ暗号化するペイロード暗号化部；上記ヘッダ生成部で生成されたヘッダと上記ペイロード暗号化部で暗号化されたペイロードを一つのＧＴＣ下りフレームに多重化する多重化部；上記多重化部を通して多重化されたＧＴＣ下りフレームに認証暗号化のための認証パラメータを生成して追加する認証生成部; 及び上記認証パラメータが追加されたＧＴＣ下りフレームを光信号に変換して伝送する電光変換部を含むことを特徴とする。
【００２７】
また、上記目的を達成するための本発明による光加入者装置(ＯＮＵ)は、ＯＬＴから光信号で伝達されるＩＣＶ'が含まれたＧＴＣ下りフレームを受信して光電変換する光電変換部；上記光電変換されたＩＣＶ'が含まれたＧＴＣ下りフレームに対する認証可否をチェックする認証チェック部；上記認証が確認されたＧＴＣ下りフレームをヘッダとペイロードに分離して伝達する逆多重化部; 上記逆多重化部から分離されたヘッダを受け取ってこれを処理するヘッダ処理部；上記逆多重化部から分離されたペイロードを受け取ってこれを復号化するペイロード復号化部；及び上記復号化されたペイロードを処理するペイロード処理部を含むことを特徴とする。
【００２８】
また、上記目的を達成するための本発明による認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおいて認証暗号化方法は、上記ＧＰＯＮシステムのＯＬＴにおいてＧＴＣ下りフレームを生成する第１段階；上記生成されたＧＴＣ下りフレームを認証モードを通して伝送するか否かを確認する第２段階；上記第２段階の確認結果認証モードであれば、上記ＯＬＴに認証のための認証キーが存在するのか検査する第３段階；検査結果、認証キーが存在するならば上記ＧＴＣ下りフレームを認証暗号化して伝送する第４段階；及び上記第３段階において確認結果認証モードではない場合、あるいは上記第３段階の検査結果認証キーが存在しない場合のいずれか一つの場合に、上記ＧＴＣ下りフレームを伝送する第５段階を含むことを特徴とする。
【００２９】
また、上記目的を達成するための本発明による認証暗号化を通じて保安の伝送を可能にするＧＰＯＮシステムにおける認証復号化方法は、上記ＧＰＯＮシステムのＯＮＵがＧＴＣ下りフレームを受信する第１段階；上記受信されたＧＴＣ下りフレームが認証モードを通して処理されるか否かを確認し、認証モードであれば受信されたＧＴＣ下りフレームを貯蔵する第２段階；上記ＯＮＵ内に貯蔵された上記ＧＴＣ下りフレームに対する認証のための認証キーが存在する否かを検査する第３段階；上記検査結果上記認証キーが存在するならば上記貯蔵されたＧＴＣ下りフレームに対する認証をチェックし、認証が成功されたら上記貯蔵されたＧＴＣ下りフレームを逆多重化部に伝送して上記ＧＴＣ下りフレームを処理する第４段階；及び上記第３段階において認証キーがない場合ないし上記第４段において認証に失敗した場合のいずれか一つの場合、上記貯蔵されたＧＴＣ下りフレームを削除する第５段階を含むことを特徴とする。
【発明の効果】
【００３０】
本発明によれば、ＯＬＴによって認証登録されたＯＮＵのみが正常にＧＴＣ下りフレーム情報が受信できるようにすることにより、ＧＰＯＮシステムで発生される多様なハッカーからの攻撃が遮られる利点がある。
【発明を実施するための最良の形態】
【００３１】
以下、本発明の好ましき実施例の詳細な説明を添付の図面を参照して説明する。図面の中の参照番号及び同一な構成要素に対してはたとえ他の図面上に表示されてもなるべく同一な参照番号及び符号で示していることに注意しなければならない。下記で本発明を説明することにおいて、かかる公知機能または構成に対する具体的な説明が本発明の旨を不要に曇らしかねないと判断される場合にはその詳細な説明を省略することにする。
【００３２】
図３は本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムに対する一実施例構成図である。
【００３３】
図３を参照すると、本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムは、図１に示した従来のＧＰＯＮシステムにおける認証暗号化のために追加的に光端装置(ＯＬＴ)３１と光加入者装置(ＯＮＵ)３２にそれぞれ認証生成部(ＧＭＡＣ)３０５と認証チェック部(ＧＭＡＣ)３０８を追加する構成である。
【００３４】
従って、それぞれの構成を上下りデータを作成するための階層構造の側面でより詳しく説明すると、ＯＬＴ３１は帯域に対する割り当て情報であるＤＢＡ(Ｄｙｎａｍｉｃ Ｂａｎｄｗｉｄｔｈ Ａｌｌｏｃａｔｉｏｎ) 信号、ＰＬＯＡＭ情報を伝送するためのＰＬＯＡＭ信号などを受信してフレームヘッダを生成するヘッダ生成部３０１、ＡＴＭ ＳＤＵ(Ｓｅｒｖｉｃｅ Ｄａｔａ Ｕｎｉｔ)とＧＥＭ ＳＤＵ(Ｓｅｒｖｉｃｅ Ｄａｔａ Ｕｎｉｔ)を受信してそれぞれ処理するペイロード生成部３０２、ペイロード生成部３０２でＡＴＭとＧＥＭに分けられて処理されたペイロード信号を受信しこれをそれぞれ暗号化するペイロード暗号化部３０３、ヘッダ生成部３０１で生成されたヘッダとペイロード暗号化部３０３で暗号化されたペイロードを一つのＧＴＣ下りフレーム１００に多重化する多重化部３０４、多重化されたＧＴＣ下りフレーム１００に認証暗号化のための認証パラメータを生成して追加する認証生成部３０５及び認証パラメータが追加されたＧＴＣ下りフレームを光信号に変換して伝送する電光変換部３０６を含む。
【００３５】
ここで、それぞれの構成部をさらに詳しく説明すると、上記ヘッダ生成部３０１はそれぞれのＯＮＵ１２の上がり帯域情報を示すＤＢＡ情報、網運用管理情報を示すＰＬＯＡＭ信号、同期パターン情報、ＧＴＣ下りフレームカウンター、ＦＥＣ設定情報、フレームペイロード長さ情報を含むフレームヘッダを生成する。
【００３６】
そしてペイロード生成部３０２は、外部のサービス提供者からＡＴＭ ＳＤＵ(Ｓｅｒｖｉｃｅ Ｄａｔａ Ｕｎｉｔ)を受信して処理するＡＴＭ パーティションモジュールと外部のサービス提供者からＧＥＭ ＳＤＵ(Ｓｅｒｖｉｃｅ Ｄａｔａ Ｕｎｉｔ)を受信して処理するＧＥＭパーティションモジュールを含み、ＡＴＭパーティションモジュールでは５バイトのＡＴＭヘッダと４８バイトのペイロードで構成された５３バイト長さのＡＴＭセルを処理し、ＧＥＭパーティションモジュールでは５バイトのＧＥＭヘッダと４０９５バイト範囲内で可変長さのペイロードで構成されたＧＥＭフレームが処理される。
【００３７】
そして、ペイロード暗号化部３０３は１２８ビットＣＴＲ-ＡＥＳブロック暗号化を遂行するのに、３０ビットのＧＴＣ下りフレームカウンターと１６ビットのブロックカウンターを組み合わせて４６ビットの暗号化カウンター(Ｃｒｙｐｔｏ-Ｃｏｕｎｔｅｒ)を作り、この暗号化カウンターを３つ連結して１３８ビットのランダム暗号化カウンター値を生成した後上位１０ビットを削除し、下位１２８ビットのみを暗号化ブロックカウンター値で使用して暗号化を遂行する。ここで、３０ビットのＧＴＣ下りフレームカウンターは下りにフレームを伝送する度に１ずつ増加され、１６ビットのブロックカウンターは４バイト単位にカウンターを増加させ一つのＧＴＣ下りフレームが伝送されると“０”に初期化される。そして、ペイロード暗号化部３０３で使用される１２８ビットの暗号化キーはそれぞれのＯＮＵ３２から生成され、ＯＬＴ３１の要求によって受信される。
【００３８】
このように、ペイロード暗号化部３０３においてそれぞれのＯＮＵ３２から伝達された１２８ビットのＯＮＵキーを利用して１２８ビットの暗号化ブロックカウンター値が暗号化されると、この暗号化値は１２８ビットペイロードブロックと排他的論理演算(Ｅｘｃｌｕｓｉｖｅ-ＯＲ)を遂行し、ペイロードに対する暗号化を遂行する。そして暗号化されたペイロードは多重化部３０４に伝送され、多重化部３０４はヘッダ生成部３０１から伝達されたフレームヘッダと暗号化されたペイロードを多重化してＧＴＣ下りフレームを生成する。
【００３９】
そして認証生成部３０６は、多重化部３０５において多重化されたＧＴＣ下りフレームに当該ＧＴＣ下りフレームに対する認証パラメータ値を計算し、上記計算された認証パラメータ値を当該ＧＴＣ下りフレーム端に追加する。
【００４０】
さらに、認証パラメータ値が追加されたＧＴＣ下りフレームは電光変換部３０６を通して光信号に変換されそれぞれのＯＮＵ３２に伝達される。
【００４１】
この際、ＧＴＣ下りフレームを生成する過程においてヘッダ生成部３０１で生成されたフレームヘッダ１２０はイン-バンド(Ｉｎ-ｂａｎｄ)方式で処理され暗号化されずＧＴＣ下りフレーム１００中に含まれる。従って、ＧＴＣ下りフレームヘッダ１２０は暗号化されずＧＴＣ下りフレームペイロード１３０中に含まれたペイロード情報のみが暗号化されそれぞれのＯＮＵ１２に伝送される。
【００４２】
一方、ＯＮＵ(ｏｐｔｉｃａｌ ｎｅｔｗｏｒｋ ｕｎｉｔ)３２は、光信号で伝達されるＧＴＣ下りフレームを受信して光電変換する光電変換部３０７、光電変換されたＧＴＣ下りフレームに対する認証可否をチェックする認証チェック部３０８、認証が確認されたＧＴＣ下りフレームをヘッダとペイロードに分離して伝達する逆多重化部３０９、逆多重化部３０９からフレームヘッダを受け取ってこれを処理するヘッダ処理部３１０、逆多重化部３０９からペイロードを受け取ってこれを復号化するペイロード復号化部３１１及び復号化されたペイロードを処理するペイロード処理部３１２を含む。
【００４３】
ここで、ペイロード復号化部３１１はＯＬＴ３１で使用されるペイロード暗号化部３０３と対応される機能を遂行し、ペイロード暗号化部３０３において暗号化されたＡＴＭセル及びＧＥＭフレームをそれぞれ復号化する。
【００４４】
そして、ペイロード処理部３１２はＡＴＭパーティションモジュールとＧＥＭパーティションモジュールを含み、ＡＴＭパーティションモジュールでは５バイトのＡＴＭヘッダと４８バイトのペイロードで構成された５３バイト長さのＡＴＭセルを処理し、ＧＥＭパーティションモジュールでは５バイトのＧＥＭヘッダと４０９５バイト範囲内で可変長さのペイロードで構成されたＧＥＭフレームが処理される。
【００４５】
従って、以上の構成による本発明は、ＧＴＣ下りフレームを通してフレームペイロードに含まれた情報を暗号化するだけでなく、当該ＧＴＣ下りフレームに対する認証機能を提供して全ＯＮＵ３２に伝送することで当該ＯＮＵ３２ではない場合にはＧＴＣ下りフレームを受信して処理できないようにする。
【００４６】
ここで、本発明の特徴である認証生成部３０５と認証チェック部３０８に対してより詳しく説明すると、まず認証生成部３０５は多重化部３０４で多重化されたＧＴＣ下りフレームに対する認証パラメータ値を計算し、上記計算された認証パラメータ値を当該ＧＴＣ下りフレーム端に追加して下り伝送する。
【００４７】
以上において、認証パラメータ値を計算する過程は多くの段階のＧＦ(Ｇａｌｏｉｓ Ｆｉｅｌｄ)２１２８多重化器(Ｍｕｌｔｉｐｌｉｅｒ)を使用して成り、ＧＦ多重化器は１２８ビットのハッシュキー値を使用する。このような１２８ビットハッシュキー値はそれぞれのＯＮＵ３２から提供を受けたＯＮＵキー値を利用してＯＬＴ３１で生成された認証キー値を利用してペイロード暗号化部３０３を通して生成される。これに対する詳細な説明は図５ａないし図５ｂに基づいて詳細に説明することにする。
【００４８】
一方、本発明による認証暗号化のためのＧＴＣ下りフレームを受信したＯＮＵ３２での動作を説明すると、ＯＮＵ３２はＧＴＣ下りフレームに対する認証機能を遂行する前にＯＬＴ３１から認証キー値を受信して貯蔵する。この際、認証キー値はＯＬＴ３１で生成されたハッシュキー値が使用される。そして、ＯＮＵ３２は認証暗号化のためのＧＴＣ下りフレームが受信されると、認証チェック部３０８を通して当該ＧＴＣ下りフレームを当該ＯＮＵ３２において受信できるか否かに対する認証を遂行する。すなわち、ＯＮＵ３２に貯蔵された認証キー値を利用して認証パラメータ値を計算し、上記計算された認証パラメータ値と認証暗号化されたＧＴＣ下りフレーム端に添付された認証パラメータ値を比較することにより認証を遂行する。その認証は各々の認証パラメータ値を比べた結果、二つのパラメータ値が同じである場合は認証成功であるので受信されたＧＴＣ下りフレームを逆多重化部３０９に伝送し、同じでない場合は認証失敗であるので受信されたＧＴＣ下りフレームを捨てる。
【００４９】
図４は本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムでの各階層別フレームの構造に対する一実施例の例示図である。
【００５０】
図４を参照すると、本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムでの各階層別フレームの構造は大きくヘッダ生成部/ペイロード生成部(３０１、３０２)、暗号化部３０３、多重化部３０４及び認証生成部３０にで分けられる。
【００５１】
各々の領域に対して説明すると、まずヘッダ生成部/ペイロード生成部(３０１、３０２)ではＧＴＣ下りフレームのヘッダ情報４００とＰＬＯＡＭメッセージ４０１、上がり帯域割り当て情報４０２及び各ＡＴＭセル４０３とＧＥＭフレーム４０４がそれぞれ独立的に入力される。
【００５２】
そして、暗号化部３０３ではヘッダ生成部/ペイロード生成部(３０１、３０２)と同じであるが、入力されたＡＴＭセル４０３とＧＥＭフレーム４０４のペイロード(４０５、４０６)に対する暗号化を遂行する。
【００５３】
そして、多重化部３０４ではヘッダ情報４００、ＰＬＯＡＭメッセージ４０１及び上がり帯域割り当て情報４０２を利用してＧＴＣ下りフレームのフレームヘッダ４１０を、暗号化部３０３で暗号化されたＡＴＭセル４０５を先にＧＴＣ下りフレームペイロード４１１にのせる。なお、ＡＴＭセル４０５をのせった後残るペイロード空間に暗号化されたＧＥＭフレーム４０６をのせる。ここで、ＧＴＣ下りフレームのヘッダ４１０内のＰｓｙｎｃ、Ｉｄｅｎｔ、ＢＩＰ、Ｐｌｅｎｄ フィールドはそれぞれヘッダ情報４００によるものである。
【００５４】
そして、認証生成部３０５では多重化部３０４において生成されたＧＴＣ下りフレームに対する認証パラメータであるＩＣＶ(Ｉｎｔｅｇｒｉｔｙ Ｃｈｅｃｋ Ｖａｌｕｅ)値を計算してＧＴＣ下りフレーム端に添付する。こうして構成されたＧＴＣ下りフレームはペイロード４１１に伝送されるデータに対する暗号化とＧＴＣ下りフレーム全体に対する認証をともに提供することが可能になる。
【００５５】
一方、認証復号化のための各階層別フレーム構造はこれと反対なのでこれについては当技術分野において通常の知識を有する者にとって自明である。そのため、ここではそれに対する説明は省略することにする。
【００５６】
図５ａないし図５ｂは図３に示した認証生成部及び認証チェック部に対する一実施例構成図である。
【００５７】
図５ａに示すように、認証生成部３０５は多重化されたＧＴＣ下りフレームの入力を受け順次に出力するデータ入力器５１、データ入力器５１の出力とＧＦ２１２８掛け算器５３の出力を論理合する演算器５２、演算器５２の出力とハッシュ値の入力を受けＧＦ２１２８掛け算処理するＧＦ２１２８掛け算器５３及びＧＦ２１２８掛け算器５３の出力を分岐して演算器５２に入力しＧＦ２１２８掛け算器５３の最終出力５０６をＩＣＶに出力する分岐器５４を含む。
【００５８】
その動作をさらに詳しく説明すると、データ入力器５１にＧＴＣ上記図５ａに示すような構造を有するＧＴＣ下りフレーム５００が入力されれば、データ入力器５１はＧＴＣ下りフレームのヘッダ情報を１２８ビットのブロック単位に分けＡＡＤ(Ａｄｄｉｔｉｏｎａｌ Ａｕｔｈｅｎｔｉｃａｔｅｄ Ｄａｔａ)５０１値にして演算器５２に出力される。そして、ＡＡＤ５０１値が全て演算器５２に出力されると次にはＧＴＣ下りフレームのペイロード情報が１２８ビットのブロック単位に分類されＤＡＴＡ５０２値にして演算器５２に出力される。そして、ＧＴＣ下りフレームのヘッダとペイロードがＡＡＤ５０１とＤＡＴＡ５０２に全て入力されれば、データ入力部５１は最後のＡＡＤ５０１値の６４ビットと最後のＤＡＴＡ５０２値の６４ビットを組み合わせ演算器５２に入力する。
【００５９】
最初の１２８ビットのＡＡＤ値５０１は演算器５２を通して初期フィードバック値５０５である“０”と排他的論理演算を遂行した後ＧＦ２１２８掛け算器５３に入力される。
【００６０】
そして、ＧＦ２１２８掛け算器５３は演算器５２を通して排他的論理演算値と１２８ビットのハッシュ値５０４の入力を受けＧＦ２１２８掛け算を遂行し、その結果を分岐器５４を通して演算器５２にフィードバックする５０５。そして、データ入力器５１を通して入力されるデータと分岐器５４を通してフィードバックされた結果に対する排他的論理演算を遂行し、その結果をＧＦ２１２８掛け算器５３に入力する。この動作はＧＴＣ下りフレームのヘッダとペイロードがＡＡＤ５０１値とＤＡＴＡ５０２値に全て入力されるまで繰り返される。
【００６１】
さらに、ＧＴＣ下りフレームのヘッダとペイロードがＡＡＤ５０１値とＤＡＴＡ５０２値で全て入力されると、データ入力器５１は最後のＡＡＤ５０１値の６４ビットと最後のＤＡＴＡ５０２値の６４ビットを組み合わせた値を出力する。この値は演算器５２とＧＦ２１２８掛け算器５３を通して演算された後当該ＧＴＣ下りフレームに対する認証パラメータ値５０６で最終出力される。この認証パラメータ値５０６はＩＣＶ値で出力され、ＧＴＣ下りフレームの後尾に追加して一緒に伝送される。
【００６２】
一方、図５ｂに示すような認証チェック部３０８は、ＩＣＶ'５０９が含まれたＧＴＣ下りフレーム５０７の入力を受け、ＩＣＶ'５０９を除いたＧＴＣ下りフレーム５０８をＧＴＣフレームメモリー５６に一時的に貯蔵する。ＩＣＶ'５０９を利用した認証結果によって一時的に貯蔵されたＩＣＶ'５０９を除いたＧＴＣ下りフレーム５０８を伝達することを決定する。認証チェック部３０８での認証過程はＯＬＴ３２から伝達されたＩＣＶ'５０９とＩＣＶ'５０９を除いたＧＴＣ下りフレームをデータ入力部５１'に入力して計算したＩＣＶ５０６'をＩＣＶ比較器５５を通して比較することにより遂行される。
【００６３】
認証チェック部３０８のＩＣＶ計算のための構成を説明すると、図５ａと対応されることが判る。すなわち、ＩＣＶ'５０９を除いたＧＴＣ下りフレーム５０８を順次に出力するデータ入力器５１'、データ入力器５１'の出力とＧＦ２１２８掛け算器５３'の出力を論理合する演算器５２'、演算器５２'の出力とハッシュ値の入力を受けＧＦ２１２８掛け算処理するＧＦ２１２８掛け算器５３'及びＧＦ２１２８掛け算器５３'の出力を分岐して演算器５２'に入力してＧＦ２１２８掛け算器５３'の最終出力５０６'をＩＣＶにしてＩＣＶ比較器５５に出力する分岐器５４'を含む。
【００６４】
その動作をさらに詳しく説明すれば、データ入力器５１’にＩＣＶ'５０９を除いたＧＴＣ下りフレーム５０８が入力されると、データ入力器５１'はＩＣＶ'５０９を除いたＧＴＣ下りフレーム５０８のヘッダ情報を１２８ビットのブロック単位に分類しＡＡＤ(Ａｄｄｉｔｉｏｎａｌ Ａｕｔｈｅｎｔｉｃａｔｅｄ Ｄａｔａ)５０１'値にして演算器５２'に出力される。さらにＡＡＤ５０１'値が全て演算器５２'に出力されたら、次にはＩＣＶ'５０９を除いたＧＴＣ下りフレーム５０８のペイロード情報が１２８ビットのブロック単位に分類されＤＡＴＡ５０２'値にして演算器５２'に出力される。そしてＩＣＶ'５０９を除いたＧＴＣ下りフレーム５０８のヘッダとペイロードがＡＡＤ５０１'とＤＡＴＡ５０２'に全て入力されたら、データ入力部５１'は最後のＡＡＤ５０１'値の６４ビットと最後のＤＡＴＡ５０２'値の６４ビットを組み合わせて演算器５２'に入力する。
【００６５】
最初の１２８ビットのＡＡＤ値５０１'は演算器５２'を通して初期フィードバック値５０５'である“０”と排他的論理演算を遂行した後ＧＦ２１２８掛け算器５３'に入力される。
【００６６】
そして、ＧＦ２１２８掛け算器５３'は演算器５２'を通して排他的論理演算値と１２８ビットのハッシュ値５０４'の入力を受けＧＦ２１２８掛け算を遂行し、その結果を継続して分岐器５４'を通して演算器５２'にフィードバックする５０５'。そして、データ入力器５１'を通して入力されるデータと分岐器５４'を通してフィードバックされた結果に対する排他的論理演算を遂行しその結果をＧＦ２１２８掛け算器５３'に入力する。この動作はＧＴＣ下りフレームのヘッダとペイロードがＡＡＤ５０１'値とＤＡＴＡ５０２'値に全て入力されるまで繰り返される。
【００６７】
そして、ＩＣＶ'５０９を除いたＧＴＣ下りフレーム５０８のヘッダとペイロードがＡＡＤ５０１'値とＤＡＴＡ５０２'値に全て入力されたら、データ入力器５１'は最後のＡＡＤ５０１'値の６４ビットと最後のＤＡＴＡ５０２'値の６４ビットを組み合わせた値を出力する５０３'。この値は演算器５２'とＧＦ２１２８掛け算器５３'を通して演算された後、当該ＧＴＣ下りフレームに対する認証パラメータ値５０６'で最終出力される。この認証パラメータ値５０６'はＩＣＶ値に出力され、ＩＣＶ比較器５５に入力され認証を遂行する。
【００６８】
ＩＣＶ比較器５５はＯＬＴ３１から伝達を受けたＩＣＶ'５０９が含まれたＧＴＣ下りフレーム５０７からＩＣＶ'５０９の伝達を受け、分岐器５４'から計算されたＩＣＶ値５０６'の伝達を受けその値が同じであるかを比較する。
【００６９】
仮にその値が同じであるならば、認証成功になってＧＴＣフレームメモリー５６に貯蔵されたＧＴＣ下りフレーム５０８を逆多重化部３０９に伝達する。そうでなければ認証失敗になりＧＴＣフレームメモリー５６に貯蔵されたＧＴＣ下りフレーム５０８は逆多重化部３０９に伝達されずに削除される。
【００７０】
認証生成部３０５及び認証チェック部３０８で使用されるハッシュキー値（５０４、５０４'）は認証暗号化キー値がアップデートされると多重化部３０４においてＧＴＣ下りフレームヘッダを組み立てる間当該認証暗号化キー値を利用してペイロード暗号化部３０３を通して生成する。
【００７１】
認証生成部３０５及び認証チェック部３０８での認証パラメータ値を計算する式は次のとおりである。
【数１】
ここで、ｍはＡＡＤ値が１２８ビットのブロック単位に分類される定数値であり、ｖはＡＡＤ値が１２８ビットの定数に分類された後残るビット数である。ｎはＤＡＴＡ値が１２８ビットのブロック単位に分類される定数値であり、ｕは ＤＡＴＡ値が１２８ビットの定数に分類された後残るビット数である。
【００７２】
図６は本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムで認証暗号化機能を提供するためにＯＮＵに対する認証キー分配及び認証登録過程に対する一実施例のタイミング図である。
【００７３】
図６に示すように、ＯＬＴ６００は認証暗号化機能を提供するために先ずそれぞれのＯＮＵ６０１に各々のＯＮＵ別キー値を要請するキー要請メッセージ(Ｋｅｙ Ｒｅｑｕｅｓｔ Ｍｅｓｓａｇｅ)Ｓ６００を伝送する。そして、ＯＮＵ６０１はキー要請メッセージ(Ｋｅｙ Ｒｅｑｕｅｓｔ Ｍｅｓｓａｇｅ)Ｓ６００を受信して１２８ビットのＯＮＵキーを生成し、これを２つのキー応答メッセージ(Ｋｅｙ Ｒｅｓｐｏｎｓｅ Ｍｅｓｓａｇｅ)Ｓ６０１を通して６４ビットずつ分けＯＬＴ６００に伝送する。
【００７４】
そして、ＯＬＴ６００はＯＮＵ６０１から１２８ビットのＯＮＵキーを受信するとＳ６０２、１２８ビットの認証キーを生成するＳ６０３。そしてこの認証キーを利用して１２８ビットのハッシュ値を計算するＳ６０４。
【００７５】
そして、ＯＬＴ６００は生成されたハッシュ値をＯＮＵ６０１に伝達するために受信されたＯＮＵキーをハッシュ値で利用して認証キーメッセージ(Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｋｅｙ Ｍｅｓｓａｇｅ)Ｓ６０５を認証してＯＮＵ６０１に伝送する。認証キーメッセージ(Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｋｅｙ Ｍｅｓｓａｇｅ)Ｓ６０５は６４ビットのハッシュ値が含まれ、それぞれのＯＮＵ６０１に３回伝送する。
【００７６】
ここで、認証キーメッセージ(Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｋｅｙ Ｍｅｓｓａｇｅ)はメッセージ識別字“２０”を有し、認証機能のため本発明によって新たに追加させたのである。
【００７７】
そして、ＯＮＵ６０１は自分のＯＮＵキーを利用して認証チェックを遂行しＳ６０６、同一な認証キーメッセージ(Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｋｅｙ Ｍｅｓｓａｇｅ)Ｓ６０５を２回受信すれば妥当なメッセージとして判断し当該メッセージに含まれたハッシュ値を貯蔵するＳ６０７。ＯＮＵ６０１は１２８ビットのハッシュ値を全て受信すると、認証チェックが行える状態になり認証登録が完了される６０２。こうした一認証登録のために取り交わすメッセージはＰＬＯＡＭメッセージに含まれる。
【００７８】
図７は本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムでハッキング試しに対する概念例示図である。
【００７９】
図７ａに示すように、仮にハッカー７００がＯＬＴとスプリッター（Ｓｐｌｉｔｔｅｒ）間の共通リンクＳ７００に接続してフレーム変調を加える場合、全てのＯＮＵの認証モジュールはＧＴＣ下りフレームに対して認証失敗が生じて当該ハッカーからの変調されたフレームを遮断する７０１。この場合においてＯＬＴはＯＮＵの状態を感知して代替リンクに切り替えなければならない。
【００８０】
そして、図７ｂのように、仮にハッカー７０２がスプリッター（Ｓｐｌｉｔｔｅｒ）と特定ＯＮＵとの間のリンクＳ７０１に接続してフレーム変調を加えると、このＯＮＵの認証モジュールはＧＴＣ下りフレームに対して認証失敗になり当該ハッカーからの変調されたフレームを遮断する７０３。
【００８１】
このような二つの場合において、ハッカーはＯＬＴに認証された登録状態ではないので認証過程において下り伝送されるＧＴＣフレームを受信することができないのでモニタリング動作もやはり不可能になる。
【００８２】
そして、図７ｃのように、仮にハッカー７０５がＯＬＴに認証されなず登録のみになったＯＮＵを通して簡単なプログラム操作でＧＴＣ下りフレーム情報を受信しようとすると、当該ＯＮＵの認証モジュールはＧＴＣ下りフレームに対して認証することができないので認証失敗になり当該ＧＴＣフレームが遮られる７０４。
【００８３】
または、ハッカー７０５がＯＬＴに認証登録されたＯＮＵを通して簡単なプログラム操作でＧＴＣ下りフレーム情報を受信しようとすると、当該ＯＮＵの認証モジュールはＧＴＣ下りフレームに対して認証成功され、ＧＴＣ下りフレームを受信することができるが、自らのＯＮＵキーを有しているので他のＯＮＵのペイロード情報を盗聴することはできない。仮に受信された下りフレームのヘッダ情報を利用して他のＯＮＵの伝送を妨げると、当該ＯＮＵはＯＬＴによって強制的に非活性化される７０５。
【００８４】
そして、図７ｄのように、ハッカー７０６がスプリッター（Ｓｐｌｉｔｔｅｒ）の残るポートに接続したりＳ７０２、或はスプリッター(Ｓｐｌｉｔｔｅｒ)と特定ＯＮＵとの間に新たなスプリッター(Ｓｐｌｉｔｔｅｒ)を追加Ｓ７０３してＧＴＣ下りフレームを受信しようとすると、このハッカー７０６はＯＬＴに認証登録されなかったためＧＴＣ下りフレームに対する認証失敗が発生されて遮られる。
【００８５】
図８は本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおける認証暗号化方法に対する一実施例の動作流れ図である。
【００８６】
図８に示すように、本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおける認証暗号化方法は、まずペイロードを暗号化したＧＴＣ下りフレームを生成するＳ８０１。
【００８７】
そして、生成されたＧＴＣ下りフレームを認証モードを通して伝送するか否かを確認しＳ８０２、認証モードであれば認証のための認証キーが存在するのか検査するＳ８０３。
【００８８】
その結果、認証キーが存在すればＳ８０３生成されたＧＴＣ下りフレームを認証暗号化して認証暗号化されたＧＴＣ下りフレームを伝送するＳ８０５。
【００８９】
一方、認証モードではないＳ８０２場合や認証キーが存在しない場合Ｓ８０３は、ペイロードに対する暗号化のみを遂行して生成されたＧＴＣ下りフレームを伝送するＳ８０４。
【００９０】
ここで、ペイロードを暗号化したＧＴＣ下りフレームを例示しているが、本発明の内容においてはあらゆる形式のＧＴＣ下りフレームが生成されても適用が可能である。すなわち、ペイロードに対する暗号化が行われなかったＧＴＣ下りフレームに対しても本発明の適用が可能であることは自明である。
【００９１】
図９は本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおける認証復号化方法に対する一実施例の動作流れ図である。
【００９２】
図９に示すように、本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおける認証復号化方法は、まずＧＰＯＮシステムのＯＮＵがＧＴＣ下りフレームを受信するＳ９０１。
【００９３】
そして、受信されたＧＴＣ下りフレームが認証モードを通して処理されるか否かを確認してＳ９０２、認証モードであれば受信されたＧＴＣ下りフレームを貯蔵するＳ９０３。一方認証モードでなければ、ＧＴＣ下りフレームを逆多重化部に伝送して当該ＧＴＣ下りフレームを処理するＳ９０９。ここで、認証モードであるか否かは受信されたＧＴＣ下りフレームに対するＯＮＵ別認証キーのための認証パラメータ値がＧＴＣ下りフレームの端に追加されているか否かを判断することで成る。
【００９４】
そして、ＯＮＵ内に受信されたＧＴＣ下りフレームに対する認証のための認証キーが存在するのか検査するＳ９０４。
【００９５】
その結果、認証キーが存在すればＳ９０４、受信されたＧＴＣ下りフレームに対する認証をチェックするＳ９０５。認証チェック結果認証が成功すればＳ９０６、貯蔵されたＧＴＣ下りフレームを逆多重化部に伝送して当該ＧＴＣ下りフレームを処理するＳ９０８。
【００９６】
一方、認証キーがない場合Ｓ９０４や認証に失敗した場合Ｓ９０６は、貯蔵されたＧＴＣ下りフレームを削除するＳ９０７。
【００９７】
本発明による認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおける認証暗号化方法及び復号化方法はコンピューターで読み取れる記録媒体にコンピューターが読み取れるコードとして具現することができる。コンピューターが読み取れる記録媒体はコンピューターシステムによって読み取られることができるデータが貯蔵される全種類の記録装置を含む。コンピューターが読み取れる記録媒体の例ではＲＯＭ、ＲＡＭ、ＣＤ-ＲＯＭ、磁気テープ、フロッピー、光データ貯蔵装置などがあり、またインターネットを通じた伝送のようにキャリアウェーブの形態に具現されるものも含む。またコンピューターが読み取れる記録媒体はネットワークで連結されたコンピューターシステムに分散され、分散方式でコンピューターの読み取れるコードが貯蔵され実行されることもできる。
【００９８】
一方、本発明の詳細な説明では具体的な実施例に関して説明したが、本発明の範囲で外れない限度内で様々な変形が可能であることは勿論のことである。従って、本発明の範囲は説明された実施例に限って定められてならず、後述する特許請求範囲のみならず、この特許請求範囲と均等なものによって定められるべきである。
【図面の簡単な説明】
【００９９】
【図１】従来技術によってペイロードに対する暗号化機能を提供するためのＧＰＯＮシステムに対する一実施例の構成図である。
【図２】従来技術によってペイロードに対する暗号化機能を提供するＧＰＯＮシステムにおいてハッキング試しに対する概念例示図である。
【図３】本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムに対する一実施例構成図である。
【図４】本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムでの各階層別フレームの構造に対する一実施例の例示図である。
【図５ａ】図３に示す認証生成モジュールに対する一実施例の構成図である。
【図５ｂ】図３に示す認証チェックモジュールに対する一実施例の構成図である。
【図６】本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおいて認証暗号化機能を提供するためにＯＮＵに対する認証キー分配及び認証登録過程に対する一実施例のタイミング図である。
【図７】本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおいてハッキング試しに対する概念例示図である。
【図８】本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおいて認証暗号化方法に対する一実施例の動作流れ図である。
【図９】本発明によって認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおいて認証復号化方法に対する一実施例の動作流れ図である。
【特許請求の範囲】
【請求項１】
認証暗号化を通じて保安伝送を可能にするＧＰＯＮ(Ｇｉｇａｂｉｔ-ｃａｐａｂｌｅ Ｐａｓｓｉｖｅ Ｏｐｔｉｃａｌ Ｎｅｔｗｏｒｋｓ) システムにおいて、
外部のサービス提供者からデータの伝達を受けＧＴＣ(ＧＰＯＮ Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｖｅｒｇｅｎｃｅ) 下りフレームを生成して下り伝送する光端装置(ＯＬＴ)と、
上記ＯＬＴから下り伝送されたＧＴＣ下りフレームを受信してこれを処理する光加入者装置(ＯＮＵ)を含み、
上記ＯＬＴは生成されたＧＴＣ下りフレームに対する上記ＯＮＵ別認証のための認証生成部を具備し上記生成されたＧＴＣ下りフレームに対する認証暗号化を行い、上記ＯＮＵは認証チェック部を具備し上記認証暗号化されたＧＴＣ下りフレームに対する認証成功可否によって上記ＧＴＣ下りデータの受信可否を決定することを特徴とする認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステム。
【請求項２】
上記認証生成部は、上記生成されたＧＴＣ下りフレームに対する上記ＯＮＵ別認証のために、認証パラメータ値を計算し、上記計算された認証パラメータ値を当該ＧＴＣ下りフレーム端に追加することを特徴とする請求項１に記載の認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステム。
【請求項３】
上記認証パラメータ値は、上記それぞれのＯＮＵから提供されたＯＮＵキー値を利用して上記ＯＬＴにおいて認証キー値を生成し、上記生成された認証キー値を利用してハッシュキー値を生成し、上記生成されたハッシュキー値をＧＦ(Ｇａｌｏｉｓ Ｆｉｅｌｄ)２１２８多重化器(Ｍｕｌｔｉｐｌｉｅｒ)で入力を受けて演算することにより得られることを特徴とする請求項２に記載の認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステム。
【請求項４】
上記認証チェック部は、上記ＯＮＵが有している認証キーを入力にして、ＧＦ(Ｇａｌｏｉｓ Ｆｉｅｌｄ)２１２８多重化器(Ｍｕｌｔｉｐｌｉｅｒ)を利用する演算を通して得られる値を、
上記認証パラメータ値と比較して認証成功可否を決定することを特徴とする請求項２又は請求項３に記載の認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステム。
【請求項５】
上記認証パラメータ値と上記演算を通して得られる値が同一であれば、上記ＧＴＣ下りフレームに対する認証が成功したものと判断し、
上記認証パラメータ値と上記演算を通して得られる値が同一でなければ、上記ＧＴＣ下りフレームに対する認証が失敗したものと判断することを特徴とする請求項４に記載の認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステム。
【請求項６】
上記認証チェック部は、上記認証暗号化されたＧＴＣ下りフレームを貯蔵するＧＴＣフレーム貯蔵部を具備して、認証成功の場合は上記ＧＴＣフレーム貯蔵部に貯蔵されたＧＴＣ下りフレームを受信して処理し、認証失敗の場合には上記ＧＴＣ貯蔵部に貯蔵されたＧＴＣ下りフレームを削除することを特徴とする請求項５に記載の認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステム。
【請求項７】
上記認証キーは、上記ＯＬＴから伝達を受けた上記ハッシュキー値であることを特徴とする請求項４に記載の認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステム。
【請求項８】
認証暗号化を通じて保安伝送を可能にするＧＰＯＮ(Ｇｉｇａｂｉｔ-ｃａｐａｂｌｅ Ｐａｓｓｉｖｅ Ｏｐｔｉｃａｌ Ｎｅｔｗｏｒｋｓ) システムの光端装置(ＯＬＴ)において、
フレームヘッダを生成するヘッダ生成部；
ＡＴＭ ＳＤＵ(Ｓｅｒｖｉｃｅ Ｄａｔａ Ｕｎｉｔ)とＧＥＭ ＳＤＵ(Ｓｅｒｖｉｃｅ Ｄａｔａ Ｕｎｉｔ)を受信してそれぞれ処理するペイロード生成部;
上記ペイロード生成部においてＡＴＭとＧＥＭに分けられ処理されたペイロード信号を受信してこれをそれぞれ暗号化するペイロード暗号化部;
上記ヘッダ生成部で生成されたヘッダと上記ペイロード暗号化部で暗号化されたペイロードを一つのＧＴＣ下りフレームに多重化する多重化部；及び
上記多重化部を通して多重化されたＧＴＣ下りフレームに認証暗号化のための認証パラメータを生成して追加する認証生成部; 及び
上記認証パラメータが追加されたＧＴＣ下りフレームを光信号に変換して伝送する電光変換部を含むことを特徴とする光端装置(ＯＬＴ)。
【請求項９】
上記認証生成部は、上記多重化部を通して多重化されたＧＴＣ下りフレームが入力されて順次に出力するデータ入力器;
上記データ入力器の出力とＧＦ２１２８掛け算器の出力を論理合する演算器;
上記演算器の出力とハッシュ値が入力されＧＦ２１２８掛け算処理する上記ＧＦ２１２８掛け算器；及び
上記ＧＦ２１２８掛け算器の出力を分岐して上記演算器に入力し上記ＧＦ２１２８掛け算器の最終出力を上記ＧＴＣ下りフレームの認証暗号化のための認証パラメータにして上記ＧＴＣ下りフレームに追加するようにする分岐器を含むことを特徴とする請求項８に記載の光端装置(ＯＬＴ)。
【請求項１０】
上記データ入力器は、
上記ＧＴＣ下りフレームのヘッダ情報を１２８ビットのブロック単位に分類しこれをＡＡＤ(Ａｄｄｉｔｉｏｎａｌ Ａｕｔｈｅｎｔｉｃａｔｅｄ Ｄａｔａ)値とし順次に上記演算器に出力し、
上記ＡＡＤ値を全て出力した後、上記ＧＴＣ下りフレームのペイロード情報を１２８ビットのブロック単位に分類しこれをＤＡＴＡ値とし上記演算器に出力し、
上記ＧＴＣ下りフレームのヘッダ情報とペイロード情報が上記ＡＡＤと上記ＤＡＴＡに全て出力されたら、上記ＡＡＤ値の最後の６４ビットと上記ＤＡＴＡ値の最後の６４ビットを組み合わせ上記演算器に入力することを特徴とする請求項９に記載の光端装置(ＯＬＴ)。
【請求項１１】
認証暗号化を通じて保安伝送を可能にするＧＰＯＮ(Ｇｉｇａｂｉｔ-ｃａｐａｂｌｅ Ｐａｓｓｉｖｅ Ｏｐｔｉｃａｌ Ｎｅｔｗｏｒｋｓ)システムの光加入者装置(ＯＮＵ)において、
ＯＬＴから光信号で伝達されるＩＣＶ'が含まれたＧＴＣ下りフレームを受信して光電変換する光電変換部;
上記光電変換されたＩＣＶ'が含まれたＧＴＣ下りフレームに対する認証可否をチェクする認証チェック部;
上記認証が確認されたＧＴＣ下りフレームをヘッダとペイロードに分離して伝達する逆多重化部;
上記逆多重化部から分離されたヘッダを受け取って取りこれを処理するヘッダ処理部;
上記逆多重化部から分離されたペイロードを受け取って取りこれを復号化するペイロード復号化部；及び
上記復号化されたペイロードを処理するペイロード処理部を含むことを特徴とする光加入者装置(ＯＮＵ)。
【請求項１２】
上記認証チェック部は、
上記ＩＣＶ'が含まれたＧＴＣ下りフレームが入力され、ＩＣＶ'を除いたＧＴＣ下りフレームを一時的に貯蔵し認証結果によって上記逆多重化部に出力するＧＴＣフレームメモリー;
上記ＩＣＶ'とＩＣＶ'を除いたＧＴＣ下りフレームをデータ入力部に入力して計算したＩＣＶを比較して認証しその結果を上記ＧＴＣフレームメモリーに伝達するＩＣＶ比較器;
上記ＩＣＶ'を除いたＧＴＣ下りフレームを順次に出力するデータ入力器;
上記データ入力器の出力とＧＦ２１２８掛け算器５３'の出力を論理合する演算器;
上記演算器の出力とハッシュ値が入力されＧＦ２１２８掛け算処理する上記ＧＦ２１２８掛け算器；上記ＧＦ２１２８掛け算器の出力を分岐して上記演算器に入力し、上記ＧＦ２１２８掛け算器の最終出力を上記ＩＣＶにして出力する分岐器；及び
上記ＩＣＶ'と上記分岐器で出力された上記ＩＣＶを比較して認証し、その結果を上記ＧＴＣフレームメモリーに伝達するＩＣＶ比較器を含むことを特徴とする請求項１１に記載の光加入者装置(ＯＮＵ)。
【請求項１３】
上記ＩＣＶ比較器は、
上記ＩＣＶ'と上記ＩＣＶが同一であれば、上記ＧＴＣ下りフレームに対する認証が成功したことと判断し、
上記ＩＣＶ'と上記ＩＣＶが同一でなければ、上記ＧＴＣ下りフレームに対する認証が失敗したことと判断することを特徴とする請求項１２に記載の光加入者装置(ＯＮＵ)。
【請求項１４】
上記ＧＴＣフレームメモリーは、
上記ＩＣＶ'が含まれたＧＴＣ下りフレームの入力を受け、ＩＣＶ'を除いたＧＴＣ下りフレームを一時的に貯蔵して、上記ＩＣＶ比較器が認証成功を知らせる場合、上記貯蔵されたＧＴＣ下りフレームを上記逆多重化部に伝達し、
上記ＩＣＶ比較器が認証失敗を知らせる場合、上記貯蔵されたＧＴＣ下りフレームを削除することを特徴とする請求項１３に記載の光加入者装置(ＯＮＵ)。
【請求項１５】
認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおける認証暗号化方法において、
上記ＧＰＯＮシステムのＯＬＴにおいてＧＴＣ下りフレームを生成する第１段階;
上記生成されたＧＴＣ下りフレームを認証モードを通して伝送するか否かを確認する第２段階;
上記第２段階の確認結果認証モードであれば、上記ＯＬＴに認証のための認証キーが存在するか検査する第３段階;
検査結果、認証キーが存在するならば上記ＧＴＣ下りフレームを認証暗号化して伝送する第４段階；及び
上記第３段階において、確認結果、認証モードではない場合、もしくは上記第３段階の検査結果認証キーが存在しない場合のいずれか一つの場合に、上記ＧＴＣ下りフレームを伝送する第５段階を含む認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおける認証暗号化方法。
【請求項１６】
第４段階の認証暗号化は、
上記生成されたＧＴＣ下りフレームに対する上記ＯＮＵ別認証のために、認証パラメータ値を計算し、上記計算された認証パラメータ値を当該ＧＴＣ下りフレーム端に追加することにより成されることを特徴とする請求項１５に記載の認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおける認証暗号化方法。
【請求項１７】
上記認証パラメータ値は、
上記それぞれのＯＮＵから提供を受けたＯＮＵキー値を利用して、上記ＯＬＴにおいて認証キー値を生成し、上記生成された認証キー値を利用してハッシュキー値を生成し、上記生成されたハッシュキー値をＧＦ(Ｇａｌｏｉｓ Ｆｉｅｌｄ)２１２８多重化器(Ｍｕｌｔｉｐｌｉｅｒ)で入力を受けて演算することにより得られることを特徴とする請求項１６に記載の認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおける認証暗号化方法。
【請求項１８】
認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおける認証復号化方法において、
上記ＧＰＯＮシステムのＯＮＵがＧＴＣ下りフレームを受信する第１段階;
上記受信されたＧＴＣ下りフレームが認証モードを通して処理されるか否かを確認して、認証モードであれば受信されたＧＴＣ下りフレームを貯蔵する第２段階;
上記ＯＮＵ内に貯蔵された上記ＧＴＣ下りフレームに対する認証のための認証キーが存在するか否かを検査する第３段階;
上記検査結果、上記認証キーが存在するならば上記貯蔵されたＧＴＣ下りフレームに対する認証をチェックし、認証が成功されたら上記貯蔵されたＧＴＣ下りフレームを逆多重化部に伝送し上記ＧＴＣ下りフレームを処理する第４段階；及び
上記第３段階において認証キーがない場合、もしくは上記第４段階において認証に失敗した場合のいずれか一つの場合、上記貯蔵されたＧＴＣ下りフレームを削除する第５段階を含む認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおける認証復号化方法。
【請求項１９】
上記第２段階において、認証モードでなければ、上記ＧＴＣ下りフレームを逆多重化部に伝送して上記ＧＴＣ下りフレームを処理する第６段階をさらに含む請求項１８に記載の認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおける認証復号化する方法。
【請求項２０】
上記認証モードの可否は、
上記受信されたＧＴＣ下りフレームに対する上記ＯＮＵ別認証のための認証パラメータ値が、上記ＧＴＣ下りフレーム端に追加されているか否かを判断することで成されることを特徴とする請求項１８又は１９に記載の認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおける認証復号化方法。
【請求項２１】
上記第４段階の認証チェック過程は、
上記ＯＮＵが有している認証キーを入力にして、ＧＦ(Ｇａｌｏｉｓ Ｆｉｅｌｄ)２１２８多重化器(Ｍｕｌｔｉｐｌｉｅｒ)を利用する演算を通して得られる値を、
上記認証パラメータ値と比較して認証成功可否を決定することを特徴とする請求項２０に記載の認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおける認証復号化方法。
【請求項２２】
上記認証キーは、上記ＧＰＯＮシステムのＯＬＴから伝達されたハッシュキー値であることを特徴とする請求項２１に記載の認証暗号化を通じて伝送を可能にするＧＰＯＮシステムにおける認証復号化方法。
【請求項１】
認証暗号化を通じて保安伝送を可能にするＧＰＯＮ(Ｇｉｇａｂｉｔ-ｃａｐａｂｌｅ Ｐａｓｓｉｖｅ Ｏｐｔｉｃａｌ Ｎｅｔｗｏｒｋｓ) システムにおいて、
外部のサービス提供者からデータの伝達を受けＧＴＣ(ＧＰＯＮ Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｖｅｒｇｅｎｃｅ) 下りフレームを生成して下り伝送する光端装置(ＯＬＴ)と、
上記ＯＬＴから下り伝送されたＧＴＣ下りフレームを受信してこれを処理する光加入者装置(ＯＮＵ)を含み、
上記ＯＬＴは生成されたＧＴＣ下りフレームに対する上記ＯＮＵ別認証のための認証生成部を具備し上記生成されたＧＴＣ下りフレームに対する認証暗号化を行い、上記ＯＮＵは認証チェック部を具備し上記認証暗号化されたＧＴＣ下りフレームに対する認証成功可否によって上記ＧＴＣ下りデータの受信可否を決定することを特徴とする認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステム。
【請求項２】
上記認証生成部は、上記生成されたＧＴＣ下りフレームに対する上記ＯＮＵ別認証のために、認証パラメータ値を計算し、上記計算された認証パラメータ値を当該ＧＴＣ下りフレーム端に追加することを特徴とする請求項１に記載の認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステム。
【請求項３】
上記認証パラメータ値は、上記それぞれのＯＮＵから提供されたＯＮＵキー値を利用して上記ＯＬＴにおいて認証キー値を生成し、上記生成された認証キー値を利用してハッシュキー値を生成し、上記生成されたハッシュキー値をＧＦ(Ｇａｌｏｉｓ Ｆｉｅｌｄ)２１２８多重化器(Ｍｕｌｔｉｐｌｉｅｒ)で入力を受けて演算することにより得られることを特徴とする請求項２に記載の認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステム。
【請求項４】
上記認証チェック部は、上記ＯＮＵが有している認証キーを入力にして、ＧＦ(Ｇａｌｏｉｓ Ｆｉｅｌｄ)２１２８多重化器(Ｍｕｌｔｉｐｌｉｅｒ)を利用する演算を通して得られる値を、
上記認証パラメータ値と比較して認証成功可否を決定することを特徴とする請求項２又は請求項３に記載の認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステム。
【請求項５】
上記認証パラメータ値と上記演算を通して得られる値が同一であれば、上記ＧＴＣ下りフレームに対する認証が成功したものと判断し、
上記認証パラメータ値と上記演算を通して得られる値が同一でなければ、上記ＧＴＣ下りフレームに対する認証が失敗したものと判断することを特徴とする請求項４に記載の認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステム。
【請求項６】
上記認証チェック部は、上記認証暗号化されたＧＴＣ下りフレームを貯蔵するＧＴＣフレーム貯蔵部を具備して、認証成功の場合は上記ＧＴＣフレーム貯蔵部に貯蔵されたＧＴＣ下りフレームを受信して処理し、認証失敗の場合には上記ＧＴＣ貯蔵部に貯蔵されたＧＴＣ下りフレームを削除することを特徴とする請求項５に記載の認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステム。
【請求項７】
上記認証キーは、上記ＯＬＴから伝達を受けた上記ハッシュキー値であることを特徴とする請求項４に記載の認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステム。
【請求項８】
認証暗号化を通じて保安伝送を可能にするＧＰＯＮ(Ｇｉｇａｂｉｔ-ｃａｐａｂｌｅ Ｐａｓｓｉｖｅ Ｏｐｔｉｃａｌ Ｎｅｔｗｏｒｋｓ) システムの光端装置(ＯＬＴ)において、
フレームヘッダを生成するヘッダ生成部；
ＡＴＭ ＳＤＵ(Ｓｅｒｖｉｃｅ Ｄａｔａ Ｕｎｉｔ)とＧＥＭ ＳＤＵ(Ｓｅｒｖｉｃｅ Ｄａｔａ Ｕｎｉｔ)を受信してそれぞれ処理するペイロード生成部;
上記ペイロード生成部においてＡＴＭとＧＥＭに分けられ処理されたペイロード信号を受信してこれをそれぞれ暗号化するペイロード暗号化部;
上記ヘッダ生成部で生成されたヘッダと上記ペイロード暗号化部で暗号化されたペイロードを一つのＧＴＣ下りフレームに多重化する多重化部；及び
上記多重化部を通して多重化されたＧＴＣ下りフレームに認証暗号化のための認証パラメータを生成して追加する認証生成部; 及び
上記認証パラメータが追加されたＧＴＣ下りフレームを光信号に変換して伝送する電光変換部を含むことを特徴とする光端装置(ＯＬＴ)。
【請求項９】
上記認証生成部は、上記多重化部を通して多重化されたＧＴＣ下りフレームが入力されて順次に出力するデータ入力器;
上記データ入力器の出力とＧＦ２１２８掛け算器の出力を論理合する演算器;
上記演算器の出力とハッシュ値が入力されＧＦ２１２８掛け算処理する上記ＧＦ２１２８掛け算器；及び
上記ＧＦ２１２８掛け算器の出力を分岐して上記演算器に入力し上記ＧＦ２１２８掛け算器の最終出力を上記ＧＴＣ下りフレームの認証暗号化のための認証パラメータにして上記ＧＴＣ下りフレームに追加するようにする分岐器を含むことを特徴とする請求項８に記載の光端装置(ＯＬＴ)。
【請求項１０】
上記データ入力器は、
上記ＧＴＣ下りフレームのヘッダ情報を１２８ビットのブロック単位に分類しこれをＡＡＤ(Ａｄｄｉｔｉｏｎａｌ Ａｕｔｈｅｎｔｉｃａｔｅｄ Ｄａｔａ)値とし順次に上記演算器に出力し、
上記ＡＡＤ値を全て出力した後、上記ＧＴＣ下りフレームのペイロード情報を１２８ビットのブロック単位に分類しこれをＤＡＴＡ値とし上記演算器に出力し、
上記ＧＴＣ下りフレームのヘッダ情報とペイロード情報が上記ＡＡＤと上記ＤＡＴＡに全て出力されたら、上記ＡＡＤ値の最後の６４ビットと上記ＤＡＴＡ値の最後の６４ビットを組み合わせ上記演算器に入力することを特徴とする請求項９に記載の光端装置(ＯＬＴ)。
【請求項１１】
認証暗号化を通じて保安伝送を可能にするＧＰＯＮ(Ｇｉｇａｂｉｔ-ｃａｐａｂｌｅ Ｐａｓｓｉｖｅ Ｏｐｔｉｃａｌ Ｎｅｔｗｏｒｋｓ)システムの光加入者装置(ＯＮＵ)において、
ＯＬＴから光信号で伝達されるＩＣＶ'が含まれたＧＴＣ下りフレームを受信して光電変換する光電変換部;
上記光電変換されたＩＣＶ'が含まれたＧＴＣ下りフレームに対する認証可否をチェクする認証チェック部;
上記認証が確認されたＧＴＣ下りフレームをヘッダとペイロードに分離して伝達する逆多重化部;
上記逆多重化部から分離されたヘッダを受け取って取りこれを処理するヘッダ処理部;
上記逆多重化部から分離されたペイロードを受け取って取りこれを復号化するペイロード復号化部；及び
上記復号化されたペイロードを処理するペイロード処理部を含むことを特徴とする光加入者装置(ＯＮＵ)。
【請求項１２】
上記認証チェック部は、
上記ＩＣＶ'が含まれたＧＴＣ下りフレームが入力され、ＩＣＶ'を除いたＧＴＣ下りフレームを一時的に貯蔵し認証結果によって上記逆多重化部に出力するＧＴＣフレームメモリー;
上記ＩＣＶ'とＩＣＶ'を除いたＧＴＣ下りフレームをデータ入力部に入力して計算したＩＣＶを比較して認証しその結果を上記ＧＴＣフレームメモリーに伝達するＩＣＶ比較器;
上記ＩＣＶ'を除いたＧＴＣ下りフレームを順次に出力するデータ入力器;
上記データ入力器の出力とＧＦ２１２８掛け算器５３'の出力を論理合する演算器;
上記演算器の出力とハッシュ値が入力されＧＦ２１２８掛け算処理する上記ＧＦ２１２８掛け算器；上記ＧＦ２１２８掛け算器の出力を分岐して上記演算器に入力し、上記ＧＦ２１２８掛け算器の最終出力を上記ＩＣＶにして出力する分岐器；及び
上記ＩＣＶ'と上記分岐器で出力された上記ＩＣＶを比較して認証し、その結果を上記ＧＴＣフレームメモリーに伝達するＩＣＶ比較器を含むことを特徴とする請求項１１に記載の光加入者装置(ＯＮＵ)。
【請求項１３】
上記ＩＣＶ比較器は、
上記ＩＣＶ'と上記ＩＣＶが同一であれば、上記ＧＴＣ下りフレームに対する認証が成功したことと判断し、
上記ＩＣＶ'と上記ＩＣＶが同一でなければ、上記ＧＴＣ下りフレームに対する認証が失敗したことと判断することを特徴とする請求項１２に記載の光加入者装置(ＯＮＵ)。
【請求項１４】
上記ＧＴＣフレームメモリーは、
上記ＩＣＶ'が含まれたＧＴＣ下りフレームの入力を受け、ＩＣＶ'を除いたＧＴＣ下りフレームを一時的に貯蔵して、上記ＩＣＶ比較器が認証成功を知らせる場合、上記貯蔵されたＧＴＣ下りフレームを上記逆多重化部に伝達し、
上記ＩＣＶ比較器が認証失敗を知らせる場合、上記貯蔵されたＧＴＣ下りフレームを削除することを特徴とする請求項１３に記載の光加入者装置(ＯＮＵ)。
【請求項１５】
認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおける認証暗号化方法において、
上記ＧＰＯＮシステムのＯＬＴにおいてＧＴＣ下りフレームを生成する第１段階;
上記生成されたＧＴＣ下りフレームを認証モードを通して伝送するか否かを確認する第２段階;
上記第２段階の確認結果認証モードであれば、上記ＯＬＴに認証のための認証キーが存在するか検査する第３段階;
検査結果、認証キーが存在するならば上記ＧＴＣ下りフレームを認証暗号化して伝送する第４段階；及び
上記第３段階において、確認結果、認証モードではない場合、もしくは上記第３段階の検査結果認証キーが存在しない場合のいずれか一つの場合に、上記ＧＴＣ下りフレームを伝送する第５段階を含む認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおける認証暗号化方法。
【請求項１６】
第４段階の認証暗号化は、
上記生成されたＧＴＣ下りフレームに対する上記ＯＮＵ別認証のために、認証パラメータ値を計算し、上記計算された認証パラメータ値を当該ＧＴＣ下りフレーム端に追加することにより成されることを特徴とする請求項１５に記載の認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおける認証暗号化方法。
【請求項１７】
上記認証パラメータ値は、
上記それぞれのＯＮＵから提供を受けたＯＮＵキー値を利用して、上記ＯＬＴにおいて認証キー値を生成し、上記生成された認証キー値を利用してハッシュキー値を生成し、上記生成されたハッシュキー値をＧＦ(Ｇａｌｏｉｓ Ｆｉｅｌｄ)２１２８多重化器(Ｍｕｌｔｉｐｌｉｅｒ)で入力を受けて演算することにより得られることを特徴とする請求項１６に記載の認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおける認証暗号化方法。
【請求項１８】
認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおける認証復号化方法において、
上記ＧＰＯＮシステムのＯＮＵがＧＴＣ下りフレームを受信する第１段階;
上記受信されたＧＴＣ下りフレームが認証モードを通して処理されるか否かを確認して、認証モードであれば受信されたＧＴＣ下りフレームを貯蔵する第２段階;
上記ＯＮＵ内に貯蔵された上記ＧＴＣ下りフレームに対する認証のための認証キーが存在するか否かを検査する第３段階;
上記検査結果、上記認証キーが存在するならば上記貯蔵されたＧＴＣ下りフレームに対する認証をチェックし、認証が成功されたら上記貯蔵されたＧＴＣ下りフレームを逆多重化部に伝送し上記ＧＴＣ下りフレームを処理する第４段階；及び
上記第３段階において認証キーがない場合、もしくは上記第４段階において認証に失敗した場合のいずれか一つの場合、上記貯蔵されたＧＴＣ下りフレームを削除する第５段階を含む認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおける認証復号化方法。
【請求項１９】
上記第２段階において、認証モードでなければ、上記ＧＴＣ下りフレームを逆多重化部に伝送して上記ＧＴＣ下りフレームを処理する第６段階をさらに含む請求項１８に記載の認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおける認証復号化する方法。
【請求項２０】
上記認証モードの可否は、
上記受信されたＧＴＣ下りフレームに対する上記ＯＮＵ別認証のための認証パラメータ値が、上記ＧＴＣ下りフレーム端に追加されているか否かを判断することで成されることを特徴とする請求項１８又は１９に記載の認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおける認証復号化方法。
【請求項２１】
上記第４段階の認証チェック過程は、
上記ＯＮＵが有している認証キーを入力にして、ＧＦ(Ｇａｌｏｉｓ Ｆｉｅｌｄ)２１２８多重化器(Ｍｕｌｔｉｐｌｉｅｒ)を利用する演算を通して得られる値を、
上記認証パラメータ値と比較して認証成功可否を決定することを特徴とする請求項２０に記載の認証暗号化を通じて保安伝送を可能にするＧＰＯＮシステムにおける認証復号化方法。
【請求項２２】
上記認証キーは、上記ＧＰＯＮシステムのＯＬＴから伝達されたハッシュキー値であることを特徴とする請求項２１に記載の認証暗号化を通じて伝送を可能にするＧＰＯＮシステムにおける認証復号化方法。
【図１】
【図２】
【図３】
【図４】
【図５ａ】
【図５ｂ】
【図６】
【図７】
【図８】
【図９】
【図２】
【図３】
【図４】
【図５ａ】
【図５ｂ】
【図６】
【図７】
【図８】
【図９】
【公開番号】特開２００７−１５９１０４（Ｐ２００７−１５９１０４Ａ）
【公開日】平成１９年６月２１日（２００７．６．２１）
【国際特許分類】
【出願番号】特願２００６−２９６２８３（Ｐ２００６−２９６２８３）
【出願日】平成１８年１０月３１日（２００６．１０．３１）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．フロッピー
２．ＥＴＨＥＲＮＥＴ
【出願人】（５９６１８００７６）韓國電子通信研究院 (733)
【氏名又は名称原語表記】Ｅｌｅｃｔｒｏｎｉｃｓ ａｎｄ Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｒｅｓｅａｒｃｈ Ｉｎｓｔｉｔｕｔｅ
【住所又は居所原語表記】１６１ Ｋａｊｏｎｇ−ｄｏｎｇ， Ｙｕｓｏｎｇ−ｇｕ， Ｔａｅｊｏｎ ｋｏｒｅａ
【Ｆターム（参考）】
【公開日】平成１９年６月２１日（２００７．６．２１）
【国際特許分類】
【出願日】平成１８年１０月３１日（２００６．１０．３１）
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．フロッピー
２．ＥＴＨＥＲＮＥＴ
【出願人】（５９６１８００７６）韓國電子通信研究院 (733)
【氏名又は名称原語表記】Ｅｌｅｃｔｒｏｎｉｃｓ ａｎｄ Ｔｅｌｅｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｒｅｓｅａｒｃｈ Ｉｎｓｔｉｔｕｔｅ
【住所又は居所原語表記】１６１ Ｋａｊｏｎｇ−ｄｏｎｇ， Ｙｕｓｏｎｇ−ｇｕ， Ｔａｅｊｏｎ ｋｏｒｅａ
【Ｆターム（参考）】
[ Back to top ]