Cable Modem Security DownLoad-Cable Modem 安全升级方式简介.doc

Cable Modem Security Download By Forrest.Hong V1.0 一﹑非對稱加密算法。 非對稱加密算法就是有一個Public⑴A首先用B的Puk-b加密Data生成密文. ; ⑵然后A用自己的Prk-a加密生成的 ; ⑶B收到后﹐用A的Puk-a解密得到 ⑷B解開得到后﹐用自己的Prk-a解密就可得到B要的Data了。 這就是非對稱加密解密的運作機制。 二﹑Ambit Cable Modem Security Download. Purpose of CM Security Download.防止非授權者用非法的Image Download到CM里來達到竊切服務的目的。 Ambit CM Security Download 運作機制。1).首先在Security Room中產生一對Key Pair﹐Kpu-cm和kpr-cm.2).Kpr-cm用來對我們的unsigned Image(.bin)進行加密并成成signed Image(.cdf)。Kpr-cm只能有一份Copy﹐并把它放入Security Room中﹐Security Room中不能有Internet,只有授權者才能進入進行signed Image的動作。3).被Signed 后的Image(cdf)可用來Download在CM中。4).Kpu-cm的一些信息(如Kpu-cm的有效期﹑所有者)﹐放入到Certification(証書)中﹐這個Certification要經過Very Sign的Root Private Key Sign,就成為了CVC(Code Verification Certificate).5)CVC放入在CM的Configuration File 之中。6).Very Sign的Public Key 內嵌Cable Modem里﹐用來解密CVC。 整個過程如下圖﹕ CVC是存放在config file里面的，在CM上线过程获取Config file，获得CVC，然后通过内嵌在Cable Modem里的Public Key来解密与检查CVC（加密的），如果成功则允许dload；若CVC正确，则CVC中的Private Key来解密与检查Image，signed的Image（.cdf）比unsigned的Image（.cpr）在开始部分多了加密的PKCS数据，所以很容易检测出是signed还是unsigned的Image，只有signed的才允许dload. Security Room产生Key pair：Kpu-cm（public Key）和Kpr-cm（private Key）。 Kpr-cm对Unsigned Image加密，成为Signed Image；与此同时，Kpu-cm存放到一个Certification(証書)里面。 这个Certification要经过Very Sign的Private Key加密成为CVC，CVC存放在Configuration file中。 Very Sign的Public Key内嵌到CM中。 CM上线获取Configuration file。 然后通过内嵌在CM中的Very Sign Public Key来解密CVC。 若CVC正确，则CVC中的Kpu-cm会对Image文件进行检查与解密，若正确则执行dload,否则升级失败 Manufacture must only use the CVC to digitally sign software image for Devices of the manufacture One practical use of certificates is to restrict a cable modem’s unit update process. By installing a certificate into a cable modem, a service operator can ensure that the modem will only download and install firmware that is authorized by CMTS. This security feature is very important, which is why there is a method available to DOCSIS 1.1 with signed firmware. To install signed firmware, a DOCSIS 1.0 modem capable