Pour résumer,
L'UIT a considérait que seul la protection du Downstream était importante du fait qu'il broadcast (niveau 1) vers tous les ONU. Il a jugé que les autres attaques plus exotiques ne sont pas a considérer comme importantes, car elles nécessitent des ressources plus importantes. Il a considéré que du fait de sa nature hautement directionnelle, un ONU ne pouvant pas observer le trafic d'un autre ONU. Cela autorisait l’envoie de clés en claire sur l'upstream. Il évoque bien la menace que représente la pose d'un TAP, mais ils ne considère pas ça comme réaliste du fait que cela doit être fait dans un lieu publique. Par contre ils ne disent pas explicitement si l'Upstream est chiffré.
L’algorithme de cryptage symétrique utilisé et l'AES sur des blocs de 128 bits, avec des clés de taille 128, 192 ou 256 bits. Avec un chiffrement par flot. La norme prévoit quand même la possibilité que l'AES soit un jour cassé, et qu'il puisse être remplacé par un autre algorithme.
Pour l'échange de clés, pas d'algorithme asymétrique, qui aurait permit de protéger l'échange d'une clé de session. La clé est envoyée en claire a l'OLT. Elle est générée aléatoirement par l'ONT, et peut toutefois être changée périodiquement et automatiquement.
Le provisionning de l'ONT peut être réalisé manuellement ou automatiquement grâce a la couche PLOAM. Le mot de passe entré par le technicien évoqué plus haut est a mon avis le mot de passe d'administration de l'ONT et ou de provisionning PLOAM.
Bref il ne reste plus que 802.1x/MACSec ou PPP pour assurer un peut de sécurité, si tant est que les OLT/LNS le supportent.