專利名稱：電纜調制解調器及其數字證書更新方法
技術領域：
本發明涉及一種電子設備及其安全管控方法，特別是關于一種電纜調制解調器及
其數字證書更新方法。
背景技術：
隨著通信和信息技術的發展，傳統的三大信息網絡(電信網、計算機網、有線電視 網)正在相互滲透、相互融合。光纖/同軸電纜混合網(Hybrid Fiber/coax， HFC)利用現 有的有線電視網，以其先進的光纖傳輸技術和帶寬優勢，成為兼容電話、有線電視和計算機 聯網功能的寬帶綜合信息網。 然而，由于HFC網絡自身采用共享信道的拓撲結構，用戶可以收到網上傳輸的所 有數據，因此存在很大的安全隱患。用戶可能假冒或偽裝成其他網絡終端向服務器發出申 請，獲取未經授權的業務，或者假冒服務器終端發出非法應答。黑客也可能在公共線路上偵 聽、竊取、惡意篡改信息，嚴重者可以導致整個網絡阻塞甚至癱瘓。因此，確保數據在HFC網 絡上的安全非常重要。 為此，每一個電纜調制解調器(Cable Modem, CM)都固化了一個經過認證中心 (Certificate Authority, CA)簽發的數字證書，該數字證書包括一對配套的密鑰(即密鑰 對)。在基線加密(BPI)協議中，電纜調制解調器前端系統(Cable Modem TerminalSystem， CMTS)通過該數字證書來驗證CM的合法身份，有效的防止了偽裝者盜用其他合法用戶的可 能。 CM的數字證書有一個有效期，例如20年。當數字證書到期后，CM的合法身份失 效，用戶就不能利用CM享受HFC網絡提供的服務。如果數字證書具有較短的有效期，或者 數字證書快要到期，為了確保用戶能夠在較長期限內正常使用，需要對CM更新數字證書。

發明內容
鑒于以上內容，有必要提出一種可更新數字證書的電纜調制解調器。
此外，還有必要提出一種電纜調制解調器數字證書更新方法。 —種可更新數字證書的電纜調制解調器，包括判斷模塊，用于根據該電纜調制解 調器現有的數字證書，判斷是否需要更新數字證書；請求模塊，用于發送更新請求數據包給 認證中心；分析模塊，用于監測并分析收到的數據包，以獲得來自于認證中心的更新請求響 應數據包；及寫入模塊，用于將更新請求響應數據包中重新簽發的數字證書寫入電纜調制 解調器的存儲器中并取代現有的數字證書。 —種電纜調制解調器數字證書更新方法，包括步驟當需要更新數字證書時，發送 更新請求數據包給認證中心；監測并分析收到的數據包，以獲得來自于認證中心的更新請 求響應數據包；及將更新請求響應數據包中重新簽發的數字證書寫入電纜調制解調器的存 儲器中并取代現有的數字證書。 利用本發明，能夠安全地更新數字證書，確保電纜調制解調器在期望期限內正常使用。


圖1為本發明電纜調制解調器較佳實施例的運行環境示意圖。 圖2為本發明電纜調制解調器較佳實施例的功能模塊圖。 圖3為本發明電纜調制解調器數字證書更新方法較佳實施例的流程圖。
具體實施例方式
參閱圖l所示，是本發明電纜調制解調器較佳實施例的運行環境示意圖。電纜調 制解調器(Cable Modem, CM) 2運行于數字證書更新系統5中，數字證書更新系統5還包 括電纜調制解調器前端系統(Cable Modem Terminal System, CMTS) 1、用戶端前置設備 (CustomPremise Equipment, CPE) 3及認證中心(Certificate Authority, CA) 4。電纜調 制解調器2通過以太網接口或USB接口與用戶端前置設備3相連。電纜調制解調器2接收 來自于用戶端前置設備3的數據包，將其調制成射頻信號并形成上行數據送到電纜調制解 調器前端系統1，以及將下行的射頻信號調制為數字信號輸出到用戶端前置設備3。電纜調 制解調器前端系統l通過光纖/同軸電纜混合(Hybrid Fiber/coax,HFC)網與至少一個電 纜調制解調器2(圖中只畫出一個)相連，用于對電纜調制解調器2進行管理，包括鑒別電 纜調制解調器2的合法身份、接收下行數據并傳送到電纜調制解調器2、接收來自于電纜調 制解調器2的上行數據并傳送到互聯網。用戶端前置設備3是用戶終端設備，包括個人計 算機、Voip電話等，每個調制解調器2連接至少一個用戶端前置設備3(圖中只畫出一個)。 認證中心4通過互聯網與電纜調制解調器前端系統1連接，用于響應電纜調制解調器2的 更新請求，為電纜調制解調器2重新簽發數字證書。 參閱圖2所示，是本發明電纜調制解調器較佳實施例的功能模塊圖。所述電纜調 制解調器2包括判斷模塊20、獲取模塊21、請求模塊22、分析模塊23及寫入模塊24。
所述判斷模塊20用于根據該電纜調制解調器2現有的數字證書，判斷是否需要更 新數字證書。在本實施例中，若數字證書的有效期小于期望期限，則需要更新數字證書。例 如，電纜調制解調器2現有的數字證書的有效期是10年，期望期限是15年，則需要對電纜 調制解調器2更新數字證書。還可以根據其他的條件進行判斷。例如，若現有的數字證書 的剩余有效時間小于最小剩余時間，則需要更新數字證書。 所述獲取模塊21用于獲取一個公網IP地址。在本實施例中，電纜調制解調器2 具有一個私網IP地址。在這種情況下，電纜調制解調器2不能利用自身的私網IP地址與 認證中心4通信。為了與認證中心4通信，電纜調制解調器2需要獲得一個公網IP地址。 為了保證調制解調器2能夠與外網正常通信，獲取模塊21根據收到的數據包的源IP地址 獲得所需的公網IP地址。若數據包的源IP地址是公網IP地址，則表明目的IP地址也是 公網IP地址，同時表明調制解調器2能夠與外網正常通信。具體方法如下監測是否收到 發送給用戶端前置設備3的數據包；若收到數據包，判斷該數據包的源IP地址是否是公網 IP地址；若該數據包的源IP地址是公網IP地址，則將該數據包的目的IP地址作為與認證 中心4通信的公網IP地址。若給電纜調制解調器2分配了一個公網IP地址，則可以直接 利用該公網IP地址與認證中心4進行通信。
4
所述請求模塊22用于以獲取的公網IP地址為源IP地址，通過電纜調制解調器前 端系統1發送更新請求數據包給認證中心4。更新請求數據包的數據包括源IP地址、目的 IP地址、源端口號、目的端口號、校驗數、設備物理地址、證書長度、證書信息等。其中，源IP 地址為獲取的公網IP地址，目的IP地址為認證中心4的公網IP地址；源端口號和目的端 口號為預先設定的兩個端口號。例如，更新請求數據包的源端口號為29370，目的端口號為 53539。校驗數用來校驗更新請求數據包，防止數據被更改。例如，更新請求數據包的校驗 數設定為0x97687654。當認證中心4收到更新請求數據包后，根據該校驗數判斷更新請求 數據包是否正確，若正確，認證中心4發送更新請求響應數據包。若多個電纜調制解調器2 同時與認證中心4通信，容易造成數據丟失。在本實施例中，利用一個隨機定時器A產生隨 機延時，以避免同時有多個電纜調制解調器2向認證中心4發送更新請求數據包。也就是 說，首先啟動一個隨機定時器A，當隨機定時器A的定時時間到達時，請求模塊22發送更新 請求數據包給認證中心4。在本實施例中，隨機定時器A的定時時間為0至10分鐘。
所述分析模塊23用于監測及分析來自于互聯網的數據包以獲得更新請求響應數 據包。在本實施例中，利用一個隨機定時器B來監測來自于互聯網的數據包。在本實施例 中，隨機定時器B的定時時間為0至10分鐘。在隨機定時器B的定時時間到達時，若未收 到來自于互聯網的數據包，或者收到的數據包不是更新請求響應數據包，則請求模塊22重 新發送更新請求數據包給認證中心4。若收到來自于互聯網的數據包，分析模塊23判斷收 到的數據包是否是更新請求響應數據包。與更新請求數據包相對應，更新請求響應數據包 的數據包括源IP地址、目的IP地址、源端口號、目的端口號、校驗數、設備物理地址、證書長 度、證書信息等。并且，更新請求響應數據包的源IP地址、目的IP地址、源端口號、目的端 口號分別與更新請求數據包相對應。例如，更新請求響應數據包的源IP地址是更新請求數 據包的目的IP地址，更新請求響應數據包的目的IP地址是更新請求數據包的源IP地址。 在本實施例中，分析模塊23根據收到的數據包的數據判斷是否是更新請求響應數據包。例 如，首先判斷該數據包的源IP地址是否是認證中心4的公網IP地址，目的IP地址是否是獲 取的公網IP地址。若該數據包的源IP地址是認證中心4的公網IP地址，并且目的IP地址 是獲取的公網IP地址，則判斷該數據包的源端口號和目的端口號是否是正確。例如，請求 模塊22發送的更新請求數據包的源端口號為29370，目的端口號為53539，若收到的數據包 的源端口號為53539，目的端口號為29370，則該收到的數據包的源端口號和目的端口號正 確。若收到的數據包的源端口號和目的端口號正確，則判斷校驗數是否正確。例如，設定的 更新請求響應數據包的校驗數是0x75493023，則若收到的數據包的校驗數是0x75493023， 則校驗數正確。若校驗數正確，則該數據包是更新請求響應數據包。若不是更新請求響應 數據包，則分析模塊23將該數據包傳送給相應的用戶端前置設備3。 所述寫入模塊24用于當更新請求響應數據包中重新簽發的數字證書符合要求 時，將重新簽發的數字證書寫入電纜調制解調器2的存儲器中并取代現有的數字證書。在 本實施例中，若重新簽發的數字證書的有效期大于或者等于期望期限，則該數字證書符合 要求。若重新簽發的數字證書不符合要求，則丟棄該數據包。在本實施例中，將重新簽發的 數字證書寫入電纜調制解調器2的閃存中。重新簽發的數字證書在電纜調制解調器2重新 啟動后生效。 參閱圖3所示，是本發明電纜調制解調器數字證書更新方法較佳實施例的流程圖。 步驟S301，開啟電纜調制解調器2。 步驟S302，判斷模塊20根據該電纜調制解調器2現有的數字證書，判斷是否需要 更新數字證書。若不需要更新數字證書，流程結束。在本實施例中，若數字證書的有效期小 于期望期限，則需要更新數字證書。例如，電纜調制解調器2現有的數字證書的有效期是10 年，期望期限是15年，則需要對電纜調制解調器2更新數字證書。還可以根據其他的條件 進行判斷。例如，若現有的數字證書的剩余有效時間小于最小剩余時間，則需要更新數字證 書。 步驟S303，若需要更新數字證書，則獲取模塊21監測是否收到發送給用戶端前置 設備3的數據包。若未收到數據包，則繼續監測。 步驟S304，若收到數據包，獲取模塊21判斷該數據包的源IP地址是否是公網IP 地址。若該數據包的源IP地址不是公網IP地址，則返回步驟S303。 步驟S305，若該數據包的源IP地址是公網IP地址，則獲取模塊21將該數據包的 目的IP地址作為與認證中心4通信的公網IP地址。 在本實施例中，電纜調制解調器2具有一個私網IP地址。在這種情況下，電纜調 制解調器2不能利用自身的私網IP地址與認證中心4通信。為了與認證中心4通信，電纜 調制解調器2需要獲得一個公網IP地址。步驟S303至S305為電纜調制解調器2獲取一 個公網IP地址的具體步驟。此外，在本實施例中，為了保證調制解調器2能夠與外網正常 通信，獲取模塊21根據收到的數據包的源IP地址獲得所需的公網IP地址。若數據包的源 IP地址是公網IP地址，則表明目的IP地址也是公網IP地址，并且表明調制解調器2能夠 與外網正常通信。若給電纜調制解調器2分配了一個公網IP地址，則可以直接利用該公網 IP地址與認證中心4進行通信。 步驟S306，啟動一個隨機定時器A，當隨機定時器A的定時時間到達時，執行步驟 S307。若多個電纜調制解調器2同時與認證中心4通信，容易造成數據丟失。在本實施例 中，利用隨機定時器A產生隨機延時，以避免同時有多個電纜調制解調器2向認證中心4發 送更新請求數據包。在本實施例中，隨機定時器A的定時時間為0至10分鐘。
步驟S307，請求模塊22以獲取的公網IP地址為源IP地址，通過電纜調制解調器 前端系統1發送更新請求數據包給認證中心4，并啟動一個隨機定時器B。更新請求數據包 的數據包括源IP地址、目的IP地址、源端口號、目的端口號、校驗數、設備物理地址、證書長 度、證書信息等。其中，源IP地址為獲取的公網IP地址，目的IP地址為認證中心4的公網 IP地址；源端口號和目的端口號為預先設定的兩個端口號。例如，更新請求數據包的源端 口號為29370，目的端口號為53539。校驗數用來校驗更新請求數據包，防止數據被更改。例 如，更新請求數據包的校驗數設定為0x97687654。當認證中心4收到更新請求數據包后，根 據該校驗數判斷更新請求數據包是否正確，若正確，認證中心4發送更新請求響應數據包。 在本實施例中，隨機定時器B的定時時間為0至10分鐘。 步驟S308，分析模塊23監測是否收到來自于互聯網的數據包。若未收到來自于互 聯網的數據包，則執行步驟S309 ;否則，若收到來自于互聯網的數據包，則執行步驟S310。
步驟S309，分析模塊23判斷隨機定時器B的定時時間是否到達，若定時時間未到， 返回S308，否則返回步驟S307。
步驟S310，分析模塊23判斷收到的數據包是否是更新請求響應數據包。與更新 請求數據包相對應，更新請求響應數據包的數據也包括源IP地址、目的IP地址、源端口號、 目的端口號、校驗數、設備物理地址、證書長度、證書信息等。并且，更新請求響應數據包的 源IP地址、目的IP地址、源端口號、目的端口號分別與更新請求數據包相對應。例如，更新 請求響應數據包的源IP地址是更新請求數據包的目的IP地址，更新請求響應數據包的目 的IP地址是更新請求數據包的源IP地址。在本實施例中，分析模塊23根據收到的數據包 的數據判斷是否是更新請求響應數據包。例如，首先判斷該數據包的源IP地址是否是認證 中心4的公網IP地址，目的IP地址是否是獲取的公網IP地址。若該數據包的源IP地址 是認證中心4的公網IP地址，并且目的IP地址是獲取的公網IP地址，則判斷該數據包的 源端口號和目的端口號是否是正確。例如，在步驟S307中，更新請求數據包的源端口號為 29370，目的端口號為53539，若收到的數據包的源端口號為53539，目的端口號為29370，則 該收到的數據包的源端口號和目的端口號正確。若收到的數據包的源端口號和目的端口號 正確，則判斷校驗數是否正確。例如，設定的更新請求響應數據包的校驗數是0x75493023， 則若收到的數據包的校驗數是0x75493023，則校驗數正確。若校驗數正確，則該數據包是更 新請求響應數據包。 步驟S311，若不是更新請求響應數據包，則分析模塊23將該數據包傳送給相應的 用戶端前置設備3，并轉向步驟S309。 步驟S312，若是更新請求響應數據包，則寫入模塊24判斷該數據包中重新簽發的 數字證書是否符合要求。在本實施例中，若重新簽發的數字證書的有效期大于或者等于期 望期限，則該數字證書符合要求。 步驟S313，若重新簽發的數字證書不符合要求，則寫入模塊24丟棄該數據包，隨 機定時器B停止計時，并返回步驟S307。 步驟S314，若重新簽發的數字證書符合要求，則隨機定時器B停止計時，寫入模塊 24將該重新簽發的數字證書寫入電纜調制解調器2的存儲器中并取代現有的數字證書，例 如寫入電纜調制解調器2的閃存中。重新簽發的數字證書在電纜調制解調器2重新啟動后 生效。 此外，在上述實施例中，認證中心4負責接收來自于電纜調制解調器2的更新請求 數據包，并判斷是否需要更新數字證書；若需要更新數字證書，則重新簽發數字證書，將重 新簽發的數字證書發送給電纜調制解調器2，并在認證中心4的數據庫中生成一條重新簽 發數字證書的記錄。認證中心4采用與電纜調制解調器2相同的判別方法確定是否需要更 新數字證書，例如，若電纜調制解調器2現有的數字證書的有效期小于期望期限，則需要更 新數字證書。
權利要求
一種可更新數字證書的電纜調制解調器，其特征在于，包括判斷模塊，用于根據該電纜調制解調器現有的數字證書，判斷是否需要更新數字證書；請求模塊，用于當需要更新數字證書時，發送更新請求數據包給認證中心；分析模塊，用于監測并分析收到的數據包，以獲得來自于認證中心的更新請求響應數據包；及寫入模塊，用于將更新請求響應數據包中重新簽發的數字證書寫入電纜調制解調器的存儲器中并取代現有的數字證書。
2. 如權利要求1所述的電纜調制解調器，其特征在于，該電纜調制解調器還包括獲取模塊，用于獲取一個公網IP地址，所述更新請求數據包以獲取的公網IP地址為源IP地址。
3. 如權利要求2所述的電纜調制解調器，其特征在于，所述獲取模塊獲取一個公網IP地址的具體方法如下監測是否收到發送給與所述電纜調制解調器相連的用戶端前置設備的數據包；若收到數據包，判斷該數據包的源IP地址是否是公網IP地址；若該數據包的源IP地址是公網IP地址，則將該數據包的目的IP地址作為與認證中心通信的公網IP地址。
4. 如權利要求1所述的電纜調制解調器，其特征在于，所述更新請求數據包內包括校驗數，所述認證中心根據該校驗數校驗更新請求數據包。
5. 如權利要求1所述的電纜調制解調器，其特征在于，所述更新請求響應數據包內包括校驗數，所述分析模塊根據該校驗數校驗更新請求響應數據包。
6. —種電纜調制解調器數字證書更新方法，其特征在于，包括步驟當需要更新數字證書時，發送更新請求數據包給認證中心；監測并分析收到的數據包，以獲得來自于認證中心的更新請求響應數據包；及將更新請求響應數據包中重新簽發的數字證書寫入電纜調制解調器的存儲器中并取代現有的數字證書。
7. 如權利要求6所述的電纜調制解調器數字證書更新方法，其特征在于，在發送更新請求數據包給認證中心之前還包括獲取一個公網IP地址，所述更新請求數據包以獲取的公網IP地址為源IP地址。
8. 如權利要求7所述的電纜調制解調器數字證書更新方法，其特征在于，所述獲取一個公網IP地址的具體方法如下監測是否收到發送給與所述電纜調制解調器相連的用戶端前置設備的數據包；若收到數據包，判斷該數據包的源IP地址是否是公網IP地址；若該數據包的源IP地址是公網IP地址，則將該數據包的目的IP地址作為與認證中心通信的公網IP地址。
9. 如權利要求6所述的電纜調制解調器數字證書更新方法，其特征在于，所述更新請求數據包內包括校驗數，所述認證中心根據該校驗數校驗更新請求數據包。
10. 如權利要求6所述的電纜調制解調器數字證書更新方法，其特征在于，所述更新請求響應數據包內包括校驗數，所述電纜調制解調器根據該校驗數校驗更新請求響應數據包。
全文摘要
一種電纜調制解調器及其數字證書更新方法，該電纜調制解調器包括判斷模塊，用于根據該電纜調制解調器現有的數字證書，判斷是否需要更新數字證書；請求模塊，用于發送更新請求數據包給認證中心；分析模塊，用于監測并分析收到的數據包，以獲得來自于認證中心的更新請求響應數據包；及寫入模塊，用于將更新請求響應數據包中重新簽發的數字證書寫入電纜調制解調器的存儲器中并取代現有的數字證書。利用本發明，能夠安全地更新數字證書，確保電纜調制解調器在期望期限內正常使用。
文檔編號H04L29/06GK101729257SQ20081030492
公開日2010年6月9日 申請日期2008年10月14日 優先權日2008年10月14日
發明者羅佑銘 申請人:鴻富錦精密工業(深圳)有限公司;鴻海精密工業股份有限公司