CN102210121B - 将量子密钥分配与互联网密钥交换协议相结合的方法 - Google Patents

Abstract

本发明公开一种将量子密钥分配与互联网密钥交换相结合的方法，其中，该方法包括：在发起者与响应者之间交换来自互联网密钥交换协议的阶段1中的秘密密钥数据库的量子共享秘密索引(100)；利用互联网密钥交换协议的阶段2中的预定运算模式将若干来自秘密密钥数据库的量子共享秘密与经典共享秘密相结合(200)以生成将被发起者和响应者在单个互联网会话期间使用的一组安全关联；以及利用数据库结构管理安全关联数据库(402)中的安全关联组的入向和出向。

Description

将量子密钥分配与互联网密钥交换协议相结合的方法

技术领域

本发明涉及一种将量子密钥分配与互联网密钥交换协议相结合的方法。

背景技术

数字电信时代鼓励公司机构(corporations and institution)扩展它们的范围，全球性覆盖广阔的地理区域。随之，就有在这些公司机构与它们相应的远程个人用户或远程地址之间建立高速可靠甚至成本有效的通信的需要。这一需要由虚拟专用网络(VPN)实现，虚拟专用网络是一种技术，如需要或当需要时，经由容易获得的共享公共电信基础设施、互联网而在同位体网关(peer gateway)之间创建虚拟通信链路以允许远程个人用户或远程地址访问它们相应的公司机构的专用网。VPN技术具有成本效率的优势，取代了专用线系统。专用线昂贵，因为它需要使用大的带宽来在这些公司机构与它们相应的远程个人用户或远程地址之间提供持久的通信连接。

假如事实是经由承载在互联网(对第三方或竞争者开放或受其监控的共享公共基础设施)上的虚拟链路在传输的是机密资料，那么VPN技术所面临的挑战是安全性方面。为了克服这点，所有VPN装备有某种形式的安全系统，确保虚拟链路的安全，由此维护经这些虚拟链路传输的数据的机密性和完整性。互联网协议安全(IPSec)是安全系统的许多形式中的一种。IPSec能够以要么隧道模式(tunnel mode)要么传输模式(transport mode)实施。IPSec隧道模式对IP头及负载加密，而传输模式仅对IP负载加密。较常使用的IPSec模式是隧道模式，其中，创建一IPSec隧道以为正经由虚拟链路传输的机密资料提供安全性。

IPSec使用互联网安全关联(Internet security association)和密钥管理协议(ISAKMP)来建立安全关联和秘密密钥(cryptographic key)。ISAKMP定义用于认证同位体网关的程序，特别是安全关联的创建及管理以及秘密密钥生成技术。

安全关联是同位体网关之间的协议，并且规定有关加密和哈希算法(hash algorithm)以及涉及秘密密钥有效期(lifetime)的信息的约定。秘密密钥生成和分配是在同位体网关之间建立共享机密的过程，该技术除别的以外包括量子密码或量子密钥分配(QKD)。

ISAKMP的标准展开利用互联网密钥交换(IKE)协议(这是一种用以在IPSec隧道中安全交换秘密密钥的协议)，尽管也可以执行其它交换协议或方法用于该同一目的。IKE使用迪菲-赫尔曼算法(Diffie-Hellmanalgorithm)来使秘密密钥交换自动化。

IKE协议包括两个阶段，即，在建立安全关联时同位体网关必须经历的阶段1和阶段2。阶段1被用以认证每一同位体网关，并且在这些同位体网关之间建立安全信道(secure channel)。接着，阶段1完成之后，阶段2将使用在阶段1中建立的该安全信道来协商和生成秘密密钥材料，该秘密密钥材料将被用以产生由安全关联数据库管理的安全关联信息。

标准IKE协议为单个IKE会话(IKE session)创建一个安全关联。每一安全关联具有一有效期，并且基于该有效期的终止，新的IKE会话被发起以重新协商新的安全关联。假如事实是IKE是交互式协议，其中安全关联更新和交换经由共享公共基础设施而被执行，那么更新和交换安全关联的频率是有限的。因此，更新安全关联的频率取决于秘密密钥生成的复杂性，而交换安全关联的频率取决于公共网络的拥挤情况。单个IKE会话一个安全关联阻碍用于IPSec密钥的短有效期设置的实施，其中用于IPSec密钥的短有效期设置提高在VPN中创建的虚拟链路的安全级。这是因为用于IPSec密钥的短有效期设置的实施要求高频率更新和交换安全关联，由此，如果在IPSec密钥有效期到期的时候相应的安全关联没有被更新，那么在接收网关处将在包解密(packet decryption)中出现错误。因此，用于IPSec密钥的短有效期设置的实施要求在单个IKE会话中生成多个安全关联。

发明内容

在本发明的一个实施例中，提供一种将量子密钥分配与互联网密钥交换协议相结合的方法，其中该方法包括：在发起者与响应者之间交换来自互联网密钥交换协议的阶段1中的秘密密钥数据库的量子共享秘密索引；利用互联网密钥交换协议的阶段2中的预定运算模式将若干来自秘密密钥数据库的量子共享秘密与经典共享秘密相结合以生成将被发起者和响应者在单个互联网会话期间使用的一组安全关联；以及利用数据库结构管理安全关联数据库中的安全关联组的入向和出向。

本发明包括一些新颖的特征以及下文中充分描述和在附图中示出的部分的实施，应明白可进行细节上的各种改变而不脱离本发明的范围或者不有损本发明的任何优点。

附图说明

出于便于理解本发明的目的，提供了附图，由此当结合附图考虑下列说明时，本发明，其结构和实施以及许多优势将易于理解和领会。

图1是现有技术的IKE协议的阶段1的说明性视图。

图2是现有技术的IKE协议的阶段2的说明性视图。

图3是IKE-QKD协议的阶段1的说明性视图。

图4是IKE-QKD协议的阶段2的说明性视图。

图5是具有多个安全关联的IPSec隧道的说明性视图。

图6是IKE-QKD系统的说明性视图。

图7是应用在安全关联数据库中的链表结构的说明性视图。

具体实施方式

本发明涉及一种将量子密钥分配与互联网密钥交换协议相结合的方法。在下文中，这一说明将根据本发明的优选实施例描述本发明。然而，应明白将说明限制到本发明的优选实施例仅仅在于便于讨论本发明，可以想象的是本领域技术人员可以设想各种修改和当量而不脱离所附权利要求的范围。

将量子密钥分配(QKD)与互联网密钥交换协议(protocol)相结合的方法提供一种将QKD与IKE协议的阶段1和阶段2相结合的方法，由此，QKD的量子共享秘密(quantum-shared secret)与IKE协议的现有的经典Diffie-Hellman共享秘密结合使用，以在将被同位体网关、发起者以及响应者使用的单个IKE会话中生成多个安全关联。这些多个安全关联被改进的安全关联数据库管理，由此，这种改进涉及数据库结构在安全关联数据库中的应用。

QKD是一种秘密密钥生成和分配技术。它是与标准IKE协议并列执行的独立系统。QKD技术可被认为是成熟的，因为其有能力高速生成被称为量子共享秘密的安全的共享秘密，并且这些量子共享秘密被索引并且存储在秘密密钥数据库中。在本发明的其它实施例中，秘密密钥数据库包括任何秘密密钥数据库，不限于QKD数据库。出于便于解释和说明的目的，此申请的说明书和附图将秘密密钥数据库称为QKD数据库。QKD数据库包括一致的量子共享秘密(identical quantum-shared secrets)，该一致的量子共享秘密以被称为QKD数据库标识符(QID)的正整数做索引。

这一高速生成量子共享秘密的能力是通过将QKD的量子共享秘密与标准IKE协议相结合以在单个IKE会话中生成多个安全关联而被促成的。这一IKE-QKD协议使得用于IPSec密钥的短有效期设置能够实施以提高在虚拟专用网(VPN)中创建的虚拟链路的安全级，而不会在接收网关处在包解密中引发错误。

现在参见图1和图3，图1是现有技术的IKE协议的阶段1的说明性视图。图3是IKE-QKD协议的阶段1的说明性视图，其中QKD被结合至IKE协议的标准的阶段1中以包括在发起者和响应者之间交换来自QKD数据库的量子共享秘密索引(100)。

IKE协议的阶段1被用以认证发起者和响应者以在VPN中的虚拟通信链路上建立安全信道。安全信道通过在发起者和响应者处配置一致的共享秘密而被建立，并且QKD通过在发起者和响应者之间交换来自QKD数据库的量子共享秘密索引(100)而被结合。以阶段1的两种模式都可以实施该结合，即，主模式(main mode)和积极模式(aggressive mode)。

阶段1的主模式被设计用于一致性保护，并且其涉及发起者和响应者之间的六个消息交换。阶段2的积极模式不提供一致性保护，因此其仅涉及发起者和响应者之间的三个消息交换。无论为IKE会话的阶段1指定哪个模式，QKD的量子共享秘密都能够与IKE协议相结合。

现在参照图3，对于阶段1的主模式，除了在阶段1的第三个消息(106)期间发生的经典Diffie-Hellman交换之外，发起者(102)还向响应者(104)发送值Q_ID。Q_ID是代表量子共享秘密索引的QKD数据库标识符，其中量子共享秘密索引指示或指向被用以在发起者和响应者之间建立安全信道的相关的量子共享秘密。发起者和响应者两者都使用Q_ID值以从QKD数据库取来一致的量子共享秘密。

在阶段1的第四个消息交换(108)中，响应者(104)向发起者(102)返回一值Q_Stat。Q_Stat指示QKD数据库的状态，反映互联网密钥交换协议的阶段1中的量子共享秘密索引交换的状态。

至于积极模式，除了在阶段1的第一个消息期间发生的经典Diffie-Hellman交换之外，发起者(102)还向响应者(104)发送值Q_ID，并且在阶段1的第二个消息交换中，响应者(104)向发起者(102)返回一值Q_Stat。

量子共享秘密和经典Diffie-Hellman共享秘密(g^xy)被用以利用伪随机函数(prf)生成中间密钥SKEYID_d。该密钥接着被用以分别生成加密密钥SKEYID_e和认证密钥SKEYID_a，以加密和认证IKE协议的阶段2中的消息。SKEYID_d被给定为下面两式中任意一式：

SKEYID_d＝prf(SKEYID，g^xy XOR quantum_shared_secret|CKY-I|CKY-R|0)

或者

SKEYID_d＝prf(SKEYID，g^xy|CKY-I|CKY-R|0)XOR quantum_shared_secret

SKEYID_e和SKEYID_a被给定如下：

SKEYID_a＝prf(SKEYID，SKEYID_d|CKY-I|CKY-R|1)

SKEYID_e＝prf(SKEYID，SKEYID_a|CKY-I|CKY-R|2)

在阶段1末端，安全信道被已认证的发起者和响应者两者、由此被共享一致的经典Diffie-Hellman共享秘密(g^xy)和量子共享秘密两者建立。

现在参照图2和图4。图2是现有技术的IKE协议的阶段2的说明性视图。图4是IKE-QKD协议的阶段2的说明性视图，其中QKD被结合至IKE协议的标准的阶段2中以便利用预定运算模式(predeterminedoperation mode)将来自QKD数据库的若干量子共享秘密与经典Diffie-Hellman共享秘密相结合(200)以生成将被发起者和响应者在单个IKE会话期间使用的一组安全关联。

阶段2使用在阶段1建立的安全信道以交换安全关联信息。在IKE协议的阶段2期间交换的消息通过定义的两个交换方案中任意之一分别利用SKEYID_e和SKEYID_a被加密和认证。第一个交换方案不提供完美前向安全性(perfect forward secrecy)，而第二个交换方案提供。无论为IKE会话的阶段2指定哪个模式，阶段2生成用在IPSec系统中的安全关联和密钥材料以维护经由VPN中的虚拟通信链路传递的数据的机密性和完整性。

现在参照图4，除了使用用于加密的经典DH共享秘密之外，在阶段2的第一个消息交换(206)期间，发起者还向响应者发送新的Q-ID值(外加发送值N和值Q_Mode)。Q_ID是代表量子共享秘密索引的QKD数据库标识符，其中量子共享秘密索引指示或指向被用在完美前向安全性方案中的相关的量子共享秘密。而且，发起者(102)向响应者(104)发送值N(即，指示将被取来量子共享秘密的数量的正整数)和值Q(指示将被用以使量子共享秘密与经典Diffie-Hellman共享秘密相结合的预定运算模式)。在第二个消息交换(208)中，响应者(204)向发起者(202)返回一值Q_Stat。Q_Stat指示一组安全关联的生成的状态。在此，发起者和响应者具有N个带有索引Q_ID、Q_ID+1...以及Q_ID+N-1的一致的量子共享秘密。

多个秘密密钥或密钥材料被生成，并且随后被用以在单个IKE会话中生成多个安全关联。利用N个量子共享秘密创建密钥材料(KEYMAT)的方法被三个运算模式支持。一般而言，KEYMAT由以下任一式给定：

KEYMAT＝prf(SKEYID_d，quantum_shared_secret XOR g(qm)^xy，protocol，SPI，Ni_b，Nr_b)

或者

KEYMAT＝prf(SKEYID_d，g(qm)^xy，protocol，SPI，Ni_b，Nr_b)XOR

quantum_shared_secret

创建KEYMAT的第一运算模式是直接模式(Direct Mode)。该模式适用于高速生成量子共享秘密的QKD系统，并且量子信道的量子比特误码率(QBER)相当低。使用这一模式，N个量子共享秘密被直接用以创建N个KEYMAT。随后，具有不同秘密密钥材料的N个安全关联被生成。

第二运算模式是组合模式(Combinatorial Mode)。该模式适合于支持具有高量子比特误码率(QBER)的量子信道，导致生成较小量的量子共享秘密。利用这一模式，来自N个量子共享秘密中的N+(N！/(2！(N-2)！)对被XOR以产生N+(N！/(2！(N-2)！)个共享秘密。

第三运算模式是终止模式(Termination Mode)，假如QKD装置或任何安全监控模块已经检测到偷听者行为，该模式被用以在量子比特误码率(QBER)非常高时终止IPSec隧道。

不像标准IKE协议(一旦活动安全关联的有效期已经到期，新的IKE会话被发起以重新协商新的安全关联)，IKE-QKD协议鉴于活动安全关联有效期的到期不需要发起新的IKE会话。这是因为已经为单个IKE会话创建了多个安全关联，其中每一安全关联具有唯一秘密密钥材料或KEYMAT，并且易于为IPSec系统中的IPSec隧道获得。

现在参照图5，通用的IPSec模式是隧道模式，并且图5示出了三个IPSec隧道，由此每一隧道被多个安全关联保护。IPSec的标准执行仅支持每一IPSec隧道一个安全关联。在IKE-OKD协议的执行中，每一IPSec隧道的安全关联的数量取决于IKE-OKD协议的阶段2中所使用的运算模式。在图5的说明中，由于每一隧道具有由安全关联数据库中的数据库结构管理的N个安全关联，三个IPSec隧道都使用直接模式。每一安全关联中的秘密密钥材料或KEYMAT被封装安全负载(ESP)和认证头(AH)使用以加密和解密所传输的数据。

现在参照图6，图6示出了将QKD与IKE协议的阶段1和阶段2相结合的IKE-QKD系统的组件。这些组件包括IKE-QKD软件(400)，IKE-QKD软件与QKD数据库控制器(406)通信并利用IKE-QKD协议生成多个安全关联。这些多个安全关联由安全关联数据库(402)管理。QKD系统(404)包括QKD协议，QKD协议包括执行纠错和保密放大(privacy amplification)的硬件和软件的组合以及QKD装置，QKD装置是用以执行量子通信的光子装置(photonic device)。QKD数据库控制器(406)包括硬件和软件的组合，该组合保护QKD数据库(408)免遭未授权的访问并允许仅访问注册组件(registered components)。最后，QKD数据库(408)是存储以正整数做索引的量子共享秘密的关系数据库(relational database)。

在单个IKE会话中生成的多个安全关联在安全关联数据库(402)作为一组安全关联被管理。为此目的，安全关联数据库(402)应用特定数据库结构，其中诸如哈希(hash)、表(table)和链表结构(linked liststructure)这样的许多数据结构中之一可以被应用。出于便于解释和示例的目的，此申请的说明书和附图将数据库结构称为链表结构。

在安全关联组中的每一安全关联被连接到下一或随后的安全关联。隧道模式的每一IPSec隧道具有一组控制器指针以管理这些安全关联使得对所传输的数据无误地执行加密和解密。

IKE-QKD软件(400)指示指针管理安全关联组的入向(inbound)和出向(outbound)。

在安全关联的有效期到期之前(大体经历了安全关联有效期的四分之三)，IKE会话开始重新协商新的一组安全关联。协商的间隔时间被称为重新协商时间(renegotiation time)，并由IKE-QKD软件(400)确定。重新协商时间取决于安全关联数据库(402)中的安全关联的状态以及公共网络的拥挤情况。IKE会话重新协商之后，新的一组安全关联被生成。该新的安全关联组被附加到现有的安全关联链表结构，并且每一安全关联以自动增大的安全关联ID号做索引。

每一安全关联具有有效期(要么基于字节有效期(byte-lifetime)要么基于时间有效期(time-lifetime))，并且在安全关联因为在所传输的数据的加密和解密中使用而被激活之后被计算。每一IPSec隧道具有两种安全关联有效期，即，入向安全关联有效期和出向安全关联有效期。每一入向安全关联具有入向安全关联有效期，每一出向安全关联具有出向安全关联有效期。入向安全关联有效期与出向安全关联有效期分别被用以监控和管理入向安全关联与出向安全关联。而且，每一入向安全关联具有入向最大有效期(inbound max-lifetime)，该入向最大有效期被估计比重新协商时间大。入向最大有效期是可选参数，并且如果由IKE会话规定，则可用到入向最大有效期。

入向最大有效期被用于监控未用过的安全管理。如果一安全关联已经被用于数据解密，则因袋传输误差(packet transmission error)在前的安全关联节点未被使用是可能的。在此，IKE软件启动在前的节点中的最大有效期的计算时间(counting time)。入向最大有效期计算器(counter)在安全关联被用于解密并且此时入向安全关联有效期开始的情况下停止。

现在参照图7，入向和出向的安全关联组被链表结构(500)管理，由此控制器指针(508)指向正在当前IKE会话中使用的活动安全关联(active security association)(504)并且监控活动安全关联(504)的有效期。如果活动安全关联(504)的有效期已经终止，活动安全关联(504)从链表中被删除。而后，控制器(508)指向安全关联组中的将被用在当前IKE会话中的下一或随后的安全关联(506)。在这期间，IKE-QKD软件不需要基于活动安全关联(504)的有效期的终止而发起新的IKE会话，因为由IKE-QKD协议在单个IKE会话中生成了多个安全关联。

链表结构(500)安全关联管理技术执行垃圾回收机制(garbagecollection mechanism)以确保存储区被适当和有效地管理。由于删除的安全关联(502)的堆积会降低IKE-QKD系统的性能，垃圾回收机制在多个安全关联系统中是重要的。

如在此申请中提议的将QKD与IKE协议相结合的方法也可以在IKE版本2中执行。IKE版本2的IKE_SA_INIT对应于IKE版本1的阶段1，IKE版本2的CREATE_CHILD_SA对应于IKE版本1的阶段2，其中IKE版本1涉及此文描述的IKE协议。

Claims (5)

1.将量子密钥分配与互联网密钥交换相结合的方法，其中，所述方法包括：

在发起者与响应者之间交换来自所述互联网密钥交换协议的阶段1中的秘密密钥数据库的量子共享秘密索引(100)；

利用所述互联网密钥交换协议的阶段2中的预定运算模式将若干来自秘密密钥数据库的量子共享秘密与经典共享秘密相结合(200)以生成将被所述发起者和所述响应者在单个互联网会话期间使用的一组安全关联，其中，利用所述互联网密钥交换协议的阶段2中的预定运算模式将若干来自秘密密钥数据库的量子共享秘密与经典共享秘密相结合(200)以生成将被所述发起者和所述响应者在单个互联网会话期间使用的一组安全关联包括：

所述发起者(202)向所述响应者(204)发送：

值Q_ID，代表所述量子共享秘密索引；

值N，指量子共享秘密的数量；以及

值Q_Mode，指示所述预定运算模式；

所述值Q_Mode具体指示直接模式或组合模式中的一个，所述直接模式适用于高速生成量子共享秘密的量子密钥分配系统，并且量子信道的量子比特误码率(QBER)相当低，所述组合模式适合于支持具有高量子比特误码率(QBER)的量子信道，导致生成较小量的量子共享秘密；

所述响应者(204)向所述发起者(202)返回一值Q_Sat，其中所述值Q_Sat指示所生成的安全关联组的状态；以及

利用数据库结构管理安全关联数据库(402)中的安全关联组的入向和出向。

2.根据权利要求1所述的方法，其中，在发起者与响应者之间交换来自所述互联网密钥交换协议的阶段1中的秘密密钥数据库的量子共享秘密索引(100)包括：

所述发起者(102)向所述响应者(104)发送一值Q_ID，其中所述值Q_ID代表所述量子共享秘密索引；以及

所述响应者(104)向所述发起者(102)返回一值Q_Sat，其中所述值Q_Sat指示所述互联网密钥交换协议的阶段1中的量子共享秘密索引交换的状态。

3.根据权利要求1所述的方法，其中，利用应用链表结构(500)的数据库结构管理安全关联数据库(402)中的安全关联组的入向和出向包括：

指向所述互联网密钥交换会话中正使用的安全关联组中的活动安全关联(504)；

利用入向安全关联组的入向安全关联有效期和出向安全关联组的出向安全关联有效期监控所述安全关联组中的所述活动安全关联(504)的有效期；

如果所述安全关联组中的活动安全关联(504)的有效期已经到期，则将所述活动安全关联(504)从所述安全关联组中删除；以及

指向所述安全关联组中的将被用在所述互联网密钥交换会话中的下一安全关联(506)。

4.根据权利要求3所述的方法，其中，监控安全关联组中的所述活动安全关联(504)的有效期包括利用入向最大有效期监控未使用的安全关联的有效期。

5.根据权利要求1所述的方法，其中，所述秘密密钥数据库包括QKD数据库(408)。