Ik heb een vraag over GPON versleuteling en de gevolgen voor beveiliging. Zoals bekend worden bij GPON de optische signalen van een aantal klanten (16? 32?) op dezelfde optische infra aangesloten. Je kunt dus “van elkaar de lichtsignalen zien” (het is immers een passief netwerk wat alleen maar het licht verdeelt).
Om te voorkomen dat je de data van je GPON-buurman kunt lezen, worden alle GPON signalen versleuteld. Voor zover ik weet wordt hiervoor een sleutel gebruikt die afhangt van het serienummer van de GPON optische transceiver. Daarom moet je het serienummer doorgeven aan je provider, maar bij de Fritzbox is het mogelijk het serienummer wat de belichter verwacht, in de SFP te programmeren.
De vraag is nu: hoe groot is de variatie van die serienummers? Ik ga twee aansluitingen tegelijk upgraden en de serienummers varieren niet zo heel erg veel. Moeten we ons zorgen maken dat een snodaard-buurman het serienummer / encryptiekey gaat enumereren om op die manier zijn optische buren af te tappen?
tldr; Theoretisch kan iemand meegluren. Maak je echter geen zorgen, voor iemand die dat kan en daartoe staat, zijn er effectievere methoden zoals het (jou of de provider) “vragen”.
Iemand kan nooit zeker uitsluiten, dat een signaal over een gedeeld medium niet door een ander kan worden mee/afgelezen. Ook ook al is dat verkeer gecodeerd (AES), dat dan hooguit een (forse) uitdaging betekent.
Er zijn (feitelijk) twee conversatie paden, opwaarts en neerwaarts die via (TDM/WDM) verschillende golflengten, bidirectioneel actief zijn. Om data zinnig te kunnen plaatsen zullen die pakketjes - met name t.a.v. sleuteluitwisseling, dat ongecodeerd verloopt - realtime met/bij/aan elkaar moeten worden gerelateerd. Hiervoor is tamelijk complexe apparatuur en software nodig om de boel in het snotje te kunnen houden.
In theorie kan jouw buurman jouw serienummer (LOID, serienummer en/of wachtwoord) ook toepassen waarbij corrigeer mij? de centrale (OLT) dat kan bemerken omdat o.a. het MAC-adress van jouw buurmans (closed-source hardware) een andere zal zijn en de OLT (als het o.a. goed is) de boel uit veiligheidsoverweging simpelweg zal afschakelen. ook omdat jijzelf reeds bent “ingelogd”.
Of deze “poort bescherming” (één tegelijk) in waan van een belichtersdag ook zo wordt gehanteerd, is iets dat de “provider” kan beantwoorden.
Strikt genomen staat het serienummer (gebruikt voor authenticatie) van een connectie, los van de (AES) encryptiesleutel die wordt toegepast om pakketjes tussen de OLT en de aanvragende ONT (cq FB) te coderen. De AES versleuteling per uit- en ingaand pad, zal regelmatig op verzoek van de OLT opnieuw worden overeengekomen met de ONT en dus inhoudelijk regelmatig veranderen.
Ondanks dat iemand dan dezelfde authenticatie heeft, wil dat niet zeggen dat die dan ook elkaars data-flows kunnen bekijken, laat staan manipuleren.
Veiligheid van GPON is o.a. gebaseerd dat MITM (man in the middle attack) op grond van authenticatie en wijzigende encryptie in een optisch medium, op zijn minst een uitdaging is.
Lees ook deze paper aangaande “security of gigabit passive optical networks”
2 likes