柱石之一10G平台华府市安全性.简单性、完整性、保密性和可用性都是Cable安全平台的不同方面并更新电缆宽带服务安全剖面

大发手游官网DOCISIS定义网络设备为电缆行业及其客户提供宽带具体地说,DOCSIS由一组技术文档组成,处于电缆宽带服务核心位置。大发三快彩票官网下载CableLabs电缆产业制造商和电缆宽带运营商持续协作提高效率、可靠性和安全性

安全方面,DOCSIS网络率先大规模使用公共密钥-DOCSIS公共密钥基础设施是世界上最大公钥基础设施之一,全世界每天发布并积极使用5亿个有效证书

介绍DOCSIS安全简史并研究当前授权框架的局限性,并随后描述安全属性,新版授权(认证)框架处理当前限制

游遍DOCISS安全

DOCISIS协议用于电缆网络向用户提供连通和服务,并经过最新版本的一系列安全相关更新DOCSIS4.0帮助满足10G平台需求

大发手游官网在第一个DOCISIS1.0规范中,射频接口包括三大安全规范:安全系统、可移动安全模块和基线隐私界面安全系统加可移动安全模块规范合并成为全安全

公钥密码程序通过后不久, 电缆产业意识到需要安全验证设备DOCSSIPKI为DOCSSIS1.1-3.0设备创建,为电缆调制解调器提供可验证身份

使用DOCSSIS3.0规范后,主要安全特征是在设备注册过程较早时执行认证和加密能力,从而为重要配置和搭建数据提供保护(例如CM配置文件或DHCP流量保护)新建特征称为提前授权加密,允许甚至在设备提供IP连接前启动基准隐私界面+

上头大发手游官网DOCISIS3.1规范新建公钥基础设施*(PKI)处理新设备类认证需求新建公钥基础设施引进数大改进原创公钥基础设施加密 — — 一套更新算法和增加密钥大小是遗留公钥基础设施的重大改变与今天用来安全DOCIS3.1设备相同的新PKI也将为新DOCSSIS4.0提供证书

DOCISIS4.0版规范除多项创新外,还引入改进认证框架(BPI+V2),解决BPI+当前限制并实现新安全属性,如全算法敏捷性、完全前向保密性、互报验证和下级攻击保护

基线隐私+V1及其限制

大发手游官网DOCISIS1.0-3.1规范中,当基准隐私加法(BPI+V1)启动时,CMTS直接授权CM后用这些秘密保护CMTS和CMTS之间的通信安全模型假设CMTS可信,身份未经验证

图1:BPI加授权交换

BPI+V1设计可追溯到短短几年后,特别是在密码学方面设计BPI+时,密码社区设置使用RSA公共密钥算法,而今天使用椭圆密码法和ECDSA签名算法由于其效率居主导地位,特别是在RSA 3072或大密钥需要时。

BPI+缺失特征是授权消息缺少认证具体地说,CMs和CMTS-es不需认证(即签名)自己的消息,使其容易受未经授权操作。

近些年来,围绕认证和如何确保长期证书折中性(例如与X.509证书关联的私有密钥)不提供用户清晰访问所有会议的机会(即通过破解单键解密所有记录会议)-因为BPI+V1使用内存设备证书中的RSA公钥直接加密授权密钥,它不支持完全前移secrecy

电缆行业为解决这些问题开发新版授权协议,即BPI+2版更新后,需要保护机制防止降级攻击,攻击者在那里强迫使用老化或弱化版本协议为解决这一可能问题,DOCSSIS社区决定需要一种特殊保护机制并引入信任优先机制解决它

新建基线隐私+V2

上头DOCISIS4.0规范引入新版验证框架,即基线隐私加二版,解决BPI+V1的局限性,为识别新安全需求提供支持以下是BPI+V2提供的新安全属性概述及其解决当前限制的方法

• 消息验证BPI+V2授权消息完全认证CMs表示他们需要数字签名授权请求消息,从而消除攻击者替换CM证书换另一证书的可能性CMTS-es,BPI+V2要求验证授权回复消息DOCISIS4.0规范承认需要部署互信认证,允许过渡阶段设备仍然允许使用BPI+V1选择的主要原因是对DOCSIS网络新要求,这些网络在授权BPI+V2时现在需要采购并更新DOCSIS证书
• 完全前沿保密不同于BPI+V1新认证框架要求双方从认证公共参数中提取授权密钥具体地说,在通信两端引入消息验证程序(即CM和CMTS)使BPI+V2使用 Elliptic-Curves Diffie-Hellman Ephemeral算法替代CMTS直接生成并加密不同CMs密钥
• 算法敏捷性经典计算和量子计算的进步为用户指尖提供令人难以置信计算能力,同时也为恶意用户提供不断增加的同样能力BPI+V2消除协议依赖BPI+V1中显示的具体公钥算法引入信息认证标准CMS格式(即签名)并使用ECDHED4.0安全协议允许安全或操作需要时使用新公钥算法
• 降级攻击保护新建信托优先使用机制以提供保护避免降级攻击-尽管TUF机制的原则不新,它用于保护降级攻击安全参数首次成功授权时使用,作为未来安全参数的基线,除非另有说明。DOCISIS4.0电缆调制解调器通过建立最起码认证协议版本积极防止未经授权使用DOCSSI认证框架弱版新版协议过渡期间,电缆运营商可允许下调级-例如节点拆分或故障设备替换BPI+V2换句话说,成功验证CMTS可设置允许最小版本(和其他CM-CMTS绑定参数)用于后续认证

未来工作

在这次工作中,我们提供DOCIS安全短历史并审查当前授权框架的局限性CMTS功能移入无人信域时,这些限制有可能转化成安全威胁,特别是在远程PHY等分布式新架构中。安全工作组目前正在处理对DOCIS4.0的拟议修改,尽管尚处于最后批准阶段。

成员组织DOCSIS设备商常受鼓励参加DOCSIS工作组-如果合格,请联系我们并参加DOCSIS4.0周安全会议,讨论这些问题和其他安全专题

有兴趣发现更多细节DOCSIS4.0并10G安全自由自在联系我们接收更多深入更新信息