全光网络的安全分析

兴唐通信科技股份有限公司 陈敦

　　全光网络是指用户与用户之间的信号传输与交换全部采用光波技术，即数据从源节点到目的节点的传输过程都在光域内进行，其在各网络节点的交换使用高可靠、大容量和高度灵活的光交叉连接设备（OXC）。在全光网络中，由于不需要电信号的处理，所以允许存在各种不同的协议和编码形式，对信号的传输具有透明性。因此，全光网络以其良好的透明性、波长路由特性、兼容性和可扩展性，将成为下一代高速（超高速）宽带网络的首选。

　　一、全光网络的安全问题

　　全光网络的出现以其高传输带宽、高处理能力以及抗电磁干扰能力强而独具潜在的优势，它将逐步替代现有的网络和光电网络，成为干线通信网的首选技术。由于承载海量信息传输重任，其可靠性和安全性十分重要，而当全光网络应用于电信级网络时，能否为用户提供一个高安全性和高可靠性的传输平台，也是最为基本的要求。

　　网络的安全问题是任何一个网络在研究和发展的初期就要被重视和研究的问题。全光网络作为一种全新的网络构架，是否安全，是否坚不可摧，是否有顽强的生存能力，一直左右和影响着全光网络技术的发展。研究表明，在传统的电网络和光电网络中存在的安全问题在全光网络中也同样存在。在光纤刚刚出现而被应用做通信媒质的时候，所有人都认为光纤是十分安全的，人们无法从光纤中获取传输的信息，无法从光纤中破译出光信号的含义。但是时至今日，人们已经研究出各种各样的仪器和设备来窃听光纤中的信息了，显然，光纤作为传输媒质已经不再安全了。同样，在全光网络正在以其不可替代的优势逐步取代传统的网络时，安全问题已经提上了议事日程。

　　任何一个网络的安全问题都可以从如何保证网络物理性的安全和如何保护网络传输的信息的安全两大方面去考虑。所谓物理安全就是要保证网络中传输的数据应当具有一个最低限度的保密性和服务质量（QoS），并且一旦这种保密性和服务质量无法得以保证时，能够及时地告知用户。而信息安全就是指即使供给者已经得到了网络中的数据流，也无法知道其数据的真正含义，信息安全属于密码学的范畴。这两方面的研究都同等重要，密码技术不能保证网络物理上不受攻击，而物理上的绝对安全又是很难完美地实现，因此两种技术体系要相辅相成，才可真正实现一个安全的全光网络体系。本文就将从这两个方面讨论全光网络的安全问题，着重讨论应用于全光网络的密码技术。

　　在全光网络中，数据的传输和处理速率是非常高的，这种高的速度可能是如今的网络处理速度的上千倍，因此有两个非常重要的安全隐患需要引起重视：一是哪怕是对网络非常短暂或者不常见的有规律的攻击，都有可能造成大量的数据出错或被泄露，其量级是相当可观的；二是由于终端用户仍会保留使用较慢的电子网络规定的协议（如选定路由的TCP/IP），以这些协议定义的数据流在链路和网络中传输会在长距离的高速度运行，这时如果攻击者用分散的或低功率的方法进行拒绝服务攻击的话，要探测到它会相当的困难。另外，全光网络没有能力在节点上重建数据流，而且透明网络中的中继器也会使得通信中段到段的测试变得非常复杂，这就使得采用通常的方法找到攻击和故障位置变得非常困难。

　　目前，很多全光网络部件虽日趋成熟，但比起电子和电光网络来讲还很不够。相对来说，在现有的部件中，WDM信道之间有很大的串音干扰，这对安全问题表现得特别严重。串音干扰既可以被利用作搭线通信，也可以把恶意的信号输入网络中达到执行服务瓦解的目的。还有，在光纤和设备中的非线性变化导致的交叉调制，也会产生服务瓦解或者搭线攻击。而在攻击时受人工干扰的光放大器就会停止放大，并因此带来服务瓦解。所以很多全光网络部件，如光纤、光放大器，还有透明性，都可能对物理安全的脆弱性比具有再生网络中的脆弱性表现得更加突出。

　　但是，值得庆幸的是，我们几乎利用上述所有特性都可以做到对攻击采取相应的对抗措施。

　　二、全光网络的物理脆弱性和对抗措施

　　对于全光网络的攻击通常都在节点适当的范围之内，例如10km～20km就是一个典型的攻击距离。

　　1.服务瓦解攻击

　　服务瓦解攻击是一种典型的物理安全性攻击。这里主要对光纤、光放大器、波长选择开关（WSS）三个部件来讨论服务瓦解的攻击。

　　(1)光纤

　　光纤是以不同波长传播光的最理想的媒体，它仅有与频率有关的延迟和衰减。但当光纤受到弯曲或损坏时，光就可能辐射进或辐射出光纤，因而使用相关技术就会使服务受到干扰。在大功率或远距离的情况下，光纤会呈现某种非线性特性，这种非线性关系会在不同的波长下产生交互感应的信号，这样所产生的串音就有可能被攻击者所利用。

　　(2)光放大器

　　掺有稀土元素的光放大器（OA），特别是掺有铒（Er）的光放大器（EDFA），彻底改变了光纤通信，所以全光网络中会用到很多个EDFA。在WDM的通信链和节点中，EDFA的使用可能会带来所谓的“增益冲突”现象。这种增益冲突与光纤极低的损耗相互配合，就意味着EDFA对远距离的能量干扰是很敏感的。

　　(3)波段选择开关（WSS）

　　WSS是用来规定不同波段的信号配以不同的输出线路，其构成有两部分：波长多路分配器和多路开关选择器。WSS的主要问题是串音电平，串音会把产生的信号泄漏到无意义的输出上，再通过该部件上的其他光信号造成干扰。攻击者也可以利用这种串音电平进行干扰和拒绝服务。

　　2.搭线窃听攻击

　　光纤和参饵光放大器——攻击者对光纤作物理访问时，只要稍微弯曲光纤，就能够补充具有微小干扰破坏作用的信号。在有些光放大器中，增益冲突会很快地在信号中出现（也就是在调制速率时）。此时，只要通过交互调制操作，就能实现搭线窃听。

　　波段选择开关——由于串音，WSS对搭线窃听表现得是很脆弱的。

　　对于上述的两类物理安全性攻击，可以采用三方面的对抗措施加以解决其安全性问题。

　　(1)预防

　　能够利用预防的方法有三个类型：降低硬件内在固有的脆弱性技术；防某些攻击惯用最有效的传输系统；研究适合于全光网络的协议和体系结构设计。

　　(2)探测

　　对攻击的探测要求应具有三项基本功能，即：对事件的确认、对安全故障的识别（即对攻击位置的确定和对攻击类别的划分）和产生相应的报警信号（即对攻击要有充分的反应并及时发出报警信号）。要注意的是，这三项功能无需都连贯在一起，如报警信号也可以用于确定受攻击的位置。但是，在全光网络中，对攻击的探测，远比传统的电光网络要困难得多。

　　(3)回授

　　回授主要包括：为防止进一步受攻击而对攻击源的隔离、全光网络部件的重新配置、重新选定通信路由和不断改进网络的安全状态。当然，对某一攻击的回授也可决定攻击的位置和受攻击的严重程度。

　　三、全光网络的保密通信技术

　　对于网络的物理保护终究无法尽善尽美，攻击者总是想方设法研究不断先进的仪器和设备来尝试攻击网络的物理漏洞，因为任何一个网络在物理架构上都不可能有绝对的安全。因此，同样地，我们必须考虑如何保护网络中传输的数据，使得哪怕攻击者窃取到网络中数据，也没有任何的意义，这就是本节要讨论的保密技术。

　　尽管传统安全机制，如端到端的加密技术等也同样可以应用到全光网络中，然而应用在全光网络中的安全机制也有着自己独特的地方。加密技术是对于数据包而言的，因此我们有必要先讨论一下全光网络的数据包封技术。

　　在全光网络中，全部的数据都以光信号的方式在网络中传输、中继、交换。我们把在光域中以光信号存在的数据包称为光包。上层的业务数据是如何封装成光包从而在全光网络中传送的呢?目前普遍采用的方式是数字包封（Digital Wrapper）技术，数字包封实质上是ITU-T关于光段开销的建议。

　　由此可见，传输的业务信号位于光通路（即光路净负荷）中，其格式可以是多种多样的，并且与光路彼此独立，只要满足固定码速及带宽小于3R中继设备工作带宽这两个条件，任何信号都可以这种方式在光网络上传输。由于在段开销中没有指针一类的消息定位信息帧的位置，故数字包封满足了理想光网络应能传送各种不同格式与码速信号的要求。

　　在考虑对光包进行加密时，我们首先必须先了解光包的基本结构，对于采用数字包封技术形成的光包而言，光路的净负荷就是我们需要加密的内容。作为加密机制的加密切入点而言，光路净负荷是属于物理层的内容，它所承载的内容可以是OSI下三层中的任一种形式的数据，现在已经实现了IP over WDM，ATM over WDM，SDH over WDM等方式的包封，表明了网络层和链路层的数据也可以直接封装在光包里。这样在光包中直接进行加解密处理的优势是显而易见的，它可以适用全光网络上承载的任何一种协议的数据。

　　同时，引起我们兴趣的是，尽管现在全光网络技术还在不停的发展，技术上还存在许多不定的变数，人们还在轰轰烈烈地争论哪一种光交换技术是最好的技术时，光包加密技术的原形已经初见倪端，因为不论采用何种交换技术，都只是对光包信息头进行复杂的光信号处理，而对光包净荷都采取不经过光—电—光处理的路由和转发。下面以目前研究的较成熟的光标记交换技术为例，我们来看一看如何处理光包加解密问题。

　　光标记交换技术中有两种光标记的新方法：前置光标记法和高强度光脉冲光标记法。在前置光标记法中设计的光包由低速率的包头段和高速率的净负荷段构成，包头作为光标记，置于净负荷的前面，二者间由光标或光包保护带(64ns)与负荷保护带(6.4ns)分离，光包之间有包间保护段。总包宽为1.6us，净负荷约800字节，占640ns；由于低速率的光包头/光标记占用了较多的包宽或信道资源，故净负荷的宽度受限制，尽管大的净负荷宽度可节约信道资源，但净负荷过宽会影响光包交换的灵活性，故800字节是比较合适的。因此，我们要做的只是保护这800字节的净荷。高强度光脉冲光标记法是利用高强度包头作为光标记，利用非线性光学介质的非线形效应实现光标记的提取。在用高强度光脉冲实现光标记的技术方法中，光包由高速率低强度的净负荷和低速率高强度的包头/光标记构成，二者有相同的时钟并占用相同的时间段。

　　由于光包净荷都是高速率的，因此剩下的工作也是最为艰巨的工作就是研究适合如此高速率的基于光信号的加密技术了。加密算法可以使用传统的算法，但是必须在高速光逻辑器件上实现，目前，光器件正在不断地发展成熟，光可编程逻辑专用芯片也已在实验室测试阶段，到时候就能够应用这些可编程器件实现对高速光数据的加密了。

　　以上概述了全光网络的发展及其存在的安全问题，并提出了对抗其物理安全的有效措施，以及保护全光网络中数据安全的初步想法。然而，全光网络的发展目前还处在初步阶段，全光网络的完全实现还依赖于光器件的发展以及全光交换技术的成熟，作为安全问题应该在网络设计和建设的初期就必须从技术的角度予以考虑，只有一个对安全足够成熟的网络在可能有良好的发展前景。

----《通信世界》