一种pon网络系统中客户端代码完整性检测方法及装置的制造方法
【技术领域】
[0001]本发明涉及通信技术领域的，尤其涉及一种无源光网络Ρ0Ν系统中对客户端代码的完整性检测的方法及其装置。
【背景技术】
[0002]通信网络系统中，当恶意程序代码注入到网络设备后，受感染的文件(包括配置文件、可运行文件、管理文件等)一旦生效，恶意代码便会开始执行。如果网络设备上存在配置、程序、管理方面的漏洞，系统可能被入侵，恶意的代码文件被安装在设备中，或设备原始的代码被替换，设备可能被部分或完整地被恶意用户控制，例如僵尸网路。因此如何确保设备中代码、各种文件的完整性是成为通信网络中潜在的安全问题。
[0003]通常，在网络中有异常情况时候，将启动对系统中异常客户端进行排查、定位追踪，并进一步根据其异常行为特征，对安装和运行于客户端上的程序代码、配置文件、目录内容等进行排查、定位，这种方式需要现场检测异常行为特征，排查定位效率低下。
[0004]目前来看，保证代码完整性可以通过hash值计算、数字签名跟踪和文件修改跟踪等这几种方式来实施。然而，数字签名跟踪需要使用过于密集的资源才能保证一台客户端上的所有文件的完整性，它要求客户端具有较高的计算能力；而对于文件修改跟踪，现在的许多恶意程序都能够通过修改时间、欺骗等手段来绕过代码完整性检测。
[0005]而对于Ρ0Ν通信网络系统中，一般的客户端0NU属于简单的用户终端设备，受限于计算能力及其他资源，数字签名跟踪和文件修改跟踪这两种方案不适用于0NU代码完整性检测，通信网络安全的现状迫切需要为0NU这类设备量身定制的可以远程进行代码完整性检测的方案。
【发明内容】
[0006]本发明旨在提供一种Ρ0Ν通信网络系统中可远程地对客户端代码完整性进行跟踪检查的技术方案，客户端0NU可持续地通过受控于0LT的0MCI信道向局端0LT提供其客户端代码完整性检测结果，从而提高系统安全性。
[0007]根据本发明的一个方面，这里提供一种无源光网络Ρ0Ν系统中对客户端代码完整性检测方法，其包括步骤:局端光纤线路终端0LT保存客户端0NU的原始代码；0LT请求0NU侧执行客户端代码完整性计算；0NU根据所述请求执行客户端代码完整性计算、并保存客户端代码完整性计算结果；0LT获取0NU的客户端代码完整性计算结果与原始代码完整性计算结果进行比较，若一致，则确定客户端代码完整，若不一致，则确定客户端代码不完整。
[0008]根据本发明的另外一个方面，这里提供一种光纤线路终端，其包括二确定装置，用于保存客户端0NU的原始代码；请求装置，用于请求0NU执行客户端代码完整性计算；获取装置，用于获取0NU的客户端代码完整性计算结果；处理装置，将所获取0NU的客户端代码完整性计算结果与原始代码完整性计算结果进行比较，若一致，则确定客户端代码完整，若不一致，则确定客户端代码不完整。
[0009]根据本发明的另外一个方面，这里提供一种光网络单元，其包括:接收装置，用于接收来自局端光纤线路终端0LT的客户端代码完整性计算请求；计算装置，根据所述请求执行0NU侧代码完整性计算；响应装置，用于发送客户端0NU侧代码完整性计算结果。
[0010]根据本发明实施例所提供的方法及其装置，系统侧0LT能够持续地或根据请求远程监视0NU的客户端代码完整性；能够检测任何客户端0NU重要数据的修改，和快速响应系统安全事件；节约代码或文件完整性的调查成本，且更加有效，它能实时的检测运行代码的修改，取决于系统侧0LT端的对客户端0NU代码完整性检测的轮询周期。
【附图说明】
[0011]通过下面提出的结合附图的详细描述，本发明的特征、性质和优点将变得更加明显，附图中相同的元件具有相同的标识，其中:
[0012]图1是本发明所提供的Ρ0Ν网络系统中对0NU进行代码完整性检测实施图例；
[0013]图2是本发明所提供的光纤线路终端结构示意图例；
[0014]
[0015]图3是本发明所提供的光网络单元结构示意图例；
【具体实施方式】
[0016]下面结合附图，对本发明的优选实施方式进行详细的说明。
[0017]在以下优选的实施例的具体描述中，将参考构成本发明一部分的所附的附图。所附的附图通过示例的方式示出了能够实现本发明的特定的实施例。示例的实施例并不旨在穷尽根据本发明的所有实施例。需要说明的是，尽管本文中以特定顺序描述了本发明中有关方法的步骤，但是这并非要求或者暗示必须按照该特定顺序来执行这些操作，或是必须执行全部所示的操作才能实现期望的结果，相反，本文中所描述的步骤可以改变执行顺序。附加地或备选地，可以省略某些步骤，将多个步骤合并为一个步骤执行，和/或将一个步骤分解为多个步骤执行。
[0018]图1是本发明所提供的Ρ0Ν网络系统中对0NU进行代码完整性检测实施例，本实施例中，客户端0NU软件代码在开发完成并配置到0NU之前，其原始代码被配置到0LT本地或中央服务器中，其中，原始代码包括:目录结构、文件列表等目标属性，之后，0LT可通过特定方式请求0NU计算其客户端代码完整性，0LT在获取客户端代码完整性结果后与0LT侧的原始代码完整性进行比较，判断客户侧0NU的代码是否被修改。
[0019]步骤101，0LT保存客户端0NU的原始代码；
[0020]基于所保存客户端0NU的原始代码，局端光纤线路终端0LT可以通过特定的算法来计算原始代码完整性。
[0021]为了计算代码完整性，可以使用SHA或MD5算法，输入为原始代码，输出为对应前述原始代码的完整性计算结果。
[0022]对应于MD5算法，其具体算式为:Code = MD5 (原始代码)
[0023]MD全称又称信息摘要算法，MD5从MD2/3/4演化而来，MD5散列长度通常是128位，也是目前被大量广泛使用的散列算法之一，主要用于密码加密和文件校验等。
[0024]对应于SHA算法，其具体算式为:Code = SHA (原始代码)
[0025]SHA又称安全哈希算法，原理和MD5原理相似，SHA可将一个最大2~64位信息，转换成一串160位(20字节)的散列值(摘要信息)，目前也是应用最广泛的HASH算法。
[0026]为了使得不同0NU对同一原始代码的完整性返回不同的代码，可以使用SHA/MD5版本的HAMC算法，其具体算式为:
[0027]Code = HMAC-SHA/MD5 (key,原始代码)
[0028]其中，使用0LT和0NU之间协商的机密信息作为Key，前述Key可以是0LT和0NU预先保留的、或基于给个主控密钥签masterkey)衍生而来，masterkey以是0LT与0NU之间认证过程中的MasterSess1nKey衍生而来。
[0029]为进一步增强安全性，0LT将为每次代码完整性的请求生成随机的挑战值Challenge, HMAC是密钥相关的哈希运算消息认证码，HMAC运算利用哈希算法，以一个密钥和一个消息为输入,生成一个消息摘要作为输出。
[0030]Code = HMAC-SHA/MD5 (key,原始代码，Challenge)
[0031]数字签名和基于HMAC的消息认证码都可以保证代码完整性，但两者的实现需要客户端0NU是一个可以值得信任的计算单元，否则，即使复杂的数字签名方案也只能实现消息认证码类似的功能，然而值得信任的计算单元是比较昂贵的。因此，对于0NU这样的简单设备选择基于前述哈希或HMAC方式的代码完整性，具有良好的性价比。
[0032]步骤102，0LT请求0NU侧客户端代码完整性计算；
[0033]以GP0N网络为例，0NU启动并注册到OLT，0MCI通道建立，0MCI是GP0N标准中定义的一种配置传输通道，通过在0LT和0ΝΤ之间建立专有的ATM PVC或GEM PORT传输0MCI消息，0MCI的管理功能0LT通过0MCI (0ΝΤ管理控制接口 )来控制ONT。0MCI协议允许0LT进行下列动作:建立和释放与0NU之间的连接，管理0NU上的UNI，请求配置信息和性能统计.
[0034]本发明实施例中，Ρ0Ν系统为支持上述代码完整性的请求和响应，特定的0MCI消息被定义，0LT可0MCI消息请求0NU计算并报告其所运行的代码完整性，其消息中可包括约定的客户端代码目标属性、计算算法、或相关计算参数等。其中，客户端代码目标属性可以设定要进行完整性检测的目录、文件列表，以及在计算哈希值时目录和文件的相对顺序；计算算法可以设定前述基于前述以何种特定的算法来计算原始代码完整性，例如:SHA算法、MD5算法或SHA/MD5版本的HAMC算法等；相关计算参数设定对前述客户端代码目标属性进行特定计算所需要的计算参数，可以是Key, Challege值等。
[0035]步骤103，0NU计算、保存客户端代码完整性计算结果；
[0036]0NU接收到前述0MCI请求，响应于所述请求，它计算其本地客户端代码完整性；如果0MCI请求包括相关参数，它可基于约定的客户端代码目标属性、计算算法、或相关计算参数计算其本地代码完整性，为避免重复，这里就不进一步累述，计算所获得的客户端代码完整性结果并设置在管理实体中的相应对象中。
[0037]在现有G.984.4GP0N 0MCI管理架构下，我们可以为0NU新增加一个客户端代码完整性管理实体ME (Managed Ent ity),该管理实体至少包含下列属性:
[0038]客户端代码目标属性，该属性为可写，通过该属性0LT可以设定要进行完整性检测的目录、文件列表，以及在计算哈希值时目录和文件的相对顺序；
[0039]计算算法，该属性为可写，由0LT指定；
[0040]相关计算参数,该属性为可写，由0LT指定,可以是Key, Challege值等；
[0041]客户端代码完整性计算结果，该值有0NU根据以上参数规定的内容和算法，按照指定的算法计算客户端代码完整性，该值为0LT可读。
[0042]步骤104，0LT检测客户端代码完整性；
[0043]0LT可通过0MCI消息获取0NU客户端代码完整性管理实体ME中的相应对象中的前述0NU客户端代码完整性计算结果，它与0LT本地或中央服务器中的原始代码完整性配置进行比较，如果一致，则确定客户端代码完整，若不一致，则确定客户端代码不完整。
[0044]如果0LT确定客户端代码不完整，可触发安全事件警告，进而通过网络管理系统对客户端0NU的代码进行更新，或释放与0ΝΤ之间的连接以维护系统的安全性。
[0