CN107959656B - 数据安全保障系统及方法、装置 - Google Patents

数据安全保障系统及方法、装置 Download PDF

Info

Publication number
CN107959656B
CN107959656B CN201610899985.5A CN201610899985A CN107959656B CN 107959656 B CN107959656 B CN 107959656B CN 201610899985 A CN201610899985 A CN 201610899985A CN 107959656 B CN107959656 B CN 107959656B
Authority
CN
China
Prior art keywords
trusted
server
user terminal
key
quantum key
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201610899985.5A
Other languages
English (en)
Other versions
CN107959656A (zh
Inventor
付颖芳
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Alibaba Group Holding Ltd
Original Assignee
Alibaba Group Holding Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Alibaba Group Holding Ltd filed Critical Alibaba Group Holding Ltd
Priority to CN201610899985.5A priority Critical patent/CN107959656B/zh
Priority to TW106126104A priority patent/TWI738835B/zh
Priority to US15/716,965 priority patent/US10855452B2/en
Priority to PCT/US2017/054025 priority patent/WO2018071191A2/en
Priority to JP2019507154A priority patent/JP7011646B2/ja
Publication of CN107959656A publication Critical patent/CN107959656A/zh
Application granted granted Critical
Publication of CN107959656B publication Critical patent/CN107959656B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0435—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply symmetric encryption, i.e. same key used for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/061—Network architectures or network communication protocols for network security for supporting key management in a packet data network for key exchange, e.g. in peer-to-peer networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0825—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using asymmetric-key encryption or public key infrastructure [PKI], e.g. key signature or public key certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/083—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving central third party, e.g. key distribution center [KDC] or trusted third party [TTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/085—Secret sharing or secret splitting, e.g. threshold schemes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0852—Quantum cryptography
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0852—Quantum cryptography
    • H04L9/0855—Quantum cryptography involving additional nodes, e.g. quantum relays, repeaters, intermediate nodes or remote nodes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0877—Generation of secret information including derivation or calculation of cryptographic keys or passwords using additional device, e.g. trusted platform module [TPM], smartcard, USB or hardware security module [HSM]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H04L9/0897—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage involving additional devices, e.g. trusted platform module [TPM], smartcard or USB
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements

Abstract

本申请公开了一种数据安全保障系统及方法、装置。其中，该方法包括：服务器接收可信用户终端集群中的可信用户终端发送的密钥协商请求，其中，该密钥协商请求中携带有所述可信用户终端的签名证书；所述服务器依据所述可信用户终端的签名证书验证所述可信用户终端的合法性；在验证合法的情况下，所述服务器向所述可信用户终端发送携带有所述服务器的签名证书的响应；在所述可信用户终端依据所述服务器的签名证书验证所述服务器合法的情况下，所述服务器与所述可信用户终端协商共享的量子密钥，以及使用所述量子密钥与所述可信用户终端进行数据交互。

Description

数据安全保障系统及方法、装置
技术领域
本申请涉及数据传输安全领域，具体而言，涉及一种数据安全保障系统及方法、装置。
背景技术
加密机一直是解决数据隐私的一个很好方法，随着用户数据存储、计算及应用的云化，加密机云化也随之成了需求。即很多用户采用密码机托管的方式，将物理密码机托管在云提供商的托管区内，来保护自己相应云上业务数据的隐私问题。如下对加密机功能阐述如下：
加密机前台API是给应用系统提供的加密开发接口，应用系统通过把加密机前台API使用加密的加密服务，加密机前台API是以标准C库的形式提供。目前加密机前台API支持的标准接口有：PKCS#11、Bsafe、CDSA等。
基于量子密钥的网络加密机是在现有的虚拟专用网络体系中，增加量子密钥注入模块，通过网络口，或者USB口，或者Console口等任何可以进行数据通信接口与量子密钥分发设备相连，建立密钥读取通道，然后在这条通道上读取量子密钥分发设备的密钥，量子密钥分发设备之间通过量子光纤通道传输密钥。量子虚拟专用网络(例如，图1中的VPN 1和VPN 2)向量子密钥分发设备发送密钥请求，从量子密钥分发设备得到密钥后，量子虚拟专用网络双方进行密钥同步，确定获取的密钥是相同的密钥对，如果同步正确，用获取的密钥对通信数据进行加密、解密。借助于量子力学特性，量子密钥传输过程是无法被攻破的。采用量子密钥对数据进行加密，实行一次一密的加密方式，保障数据绝对安全。
可信计算能够在计算运算的同时进行安全防护，使计算结果总是与预期一致，计算全程可测可控，不被干扰。
目前可信计算有国内可信平台控制模块(Trusted Platform Control Module，TPCM)和国际TCG标准组织的可信平台模块(Trusted Platform Module,TPM)两种技术路线。
可信计算的核心要素是可信链与可信根，TCG规范中的可信平台模块(TrustedPlatform Module,TPM)是可信计算平台的硬件可信根，TPM是提供受保护的安全存储、密码运算能力的安全芯片。TPM通过物理方式与计算平台相连并通过外部总线连接到CPU上，例如PC机平台上采取直接固化在主板上的方式并通过LPC总线连接。
TCG规范中给出了对可信(trusted)的定义：一个实体一直以一种可预期的方式为特定的目标运行。可信计算的核心机制是通过信任链机制构建可信计算环境，目前运行实体是否可信是建立系统前一运行过程是否可信的基础上。基于这种信任关系，如果系统从一个初始的信任根出发，在平台计算环境的每一次转换时，这种信任可以通过传递的方式维持下去，从而在计算平台上建立了一级验证一级，一级信任一级的可信链，该计算环境就始终是可信的，它就能够被本地用户或远程实体信任。
可信计算的关键技术包括可信度量，可信报告，可信存储和可信网络连接等几部分。
在计算平台的运行控制传递过程中，可信根TPCM判断其下一级执行代码的真实性和完整性是否被篡改，如果没有，系统将运行控制权传递到下一级可信执行代码，系统的可信范围因扩大到下一级功能代码；同理，这种系统控制权不断传递，就可以实现信任链的建立和传递过程，最终实现系统范围可信构建。一个完整的系统可信传递过程要从可信根开始，系统控制权顺序由可信平台控制模块传递到可信的BIOS，再传递到可信的操作系统装载器，从可信的操作系统装载器传递到可信的操作系统，再从可信的操作系统传递到可信的应用。
传统的金融加密和基于量子的网络加密，存在如下不足：仅能对计算节点的运行环境、用户的行为进行度量(比如系统安全启动关键环节代码的完整性度量、应用软件的启动代码的度量、行为度量等)；因此无法保证端到端用户的平台可信及用户的身份可信，因而无法保证用户平台数据的存储安全。
基于传统加解密技术，密码学中利用私钥密码机制和公钥密码机制保证通信中身份信息的安全性、完整性、不可否认性和抵抗身份冒充攻击。在公钥基础设施中主要应用以公钥密码机制为基础的数字签名技术实现身份认证，典型的数字签名算法有RSA算法、ECC算法、DSA算法、EIGamal算法等，这些算法基于计算复杂度来保证经典认证系统的安全性，这在量子计算及云计算环境中有被破解的风险。而传统加密机和可信计算采用的还是传统的加解密算法，因此无法保证用户敏感数据(包括用户的密钥)的传输安全。
针对上述的问题，目前尚未提出有效的解决方案。
发明内容
本申请实施例提供了一种数据安全保障系统及方法、装置，以至少解决相关技术中无法同时兼顾通信的用户之间的用户身份和平台身份的识别，密钥及数据的传输安全和存储安全的解决方案的技术问题。
根据本申请实施例的一个方面，提供了一种数据安全保障系统，包括：可信用户终端集群、服务器以及包括n个可信管控节点的可信授权中心，其中，所述可信授权中心与所述可信用户终端集群相连，所述服务器与所述可信授权中心连接；所述可信授权中心的可信管控节点之间通过量子密钥协商的方式得到所述可授权中心的私钥，并共享所述私钥；所述服务器与所述可信授权中心的可信管控节点之间通过量子密钥协商获取通信双方的密钥；所述可信用户终端集群，用于使用与所述服务器协商的量子密钥与所述服务器进行数据交互。
根据本申请实施例的另一方面，还提供了一种数据安全保障的实现方法，所述方法应用于以上所述的数据安全保障系统，所述方法包括：服务器接收可信用户终端集群中的可信用户终端发送的密钥协商请求，其中，该密钥协商请求中携带有所述可信用户终端的签名证书；所述服务器依据所述可信用户终端的签名证书验证所述可信用户终端的合法性；在验证合法的情况下，所述服务器向所述可信用户终端发送携带有所述服务器的签名证书的响应；在所述可信用户终端依据所述服务器的签名证书验证所述服务器合法的情况下，所述服务器与所述可信用户终端协商共享的量子密钥，以及使用所述量子密钥与所述可信用户终端进行数据交互。
根据本申请实施例的另一方面，还提供了一种数据安全保障的实现方法，所述方法应用于以上所述的数据安全保障系统，所述方法包括：可信用户终端集群中的可信用户终端向服务器发送密钥协商请求，其中，该密钥协商请求中携带有所述可信用户终端的签名证书；在所述服务器依据所述可信用户终端的签名证书验证所述可信用户终端合法的情况下，所述可信用户终端接收来自所述服务器的响应，其中，该响应中携带有所述服务器的签名证书；所述可信用户终端依据所述服务器的签名证书验证所述服务器的合法性；在验证所述服务器合法的情况下，所述可信用户终端与所述服务器协商共享的量子密钥，以及使用所述量子密钥与所述服务器进行数据交互。
根据本申请实施例的另一方面，还提供了一种数据安全保障的实现方法，该方法应用于以上所述的数据安全保障系统，所述方法包括：所述可信授权中心的指定可信管控节点生成私钥，并通过量子密钥协商的方式将所述私钥共享至所述可信授权中心中的其他可信管控节点，其中，该其他可信管控节点为除所述指定可信管控节点之外的可信管控节点。
根据本申请实施例的另一方面，还提供了一种数据安全保障的实现装置，应用于服务器，所述装置包括：接收模块，用于接收可信用户终端集群中的可信用户终端发送的密钥协商请求，其中，该密钥协商请求中携带有所述可信用户终端的签名证书；验证模块，用于依据所述可信用户终端的签名证书验证所述可信用户终端的合法性；发送模块，用于在验证合法的情况下，所述服务器向所述可信用户终端发送携带有所述服务器的签名证书的响应；交互模块，用于在所述可信用户终端依据所述服务器的签名证书验证所述服务器合法的情况下，与所述可信用户终端协商共享的量子密钥，以及使用所述量子密钥与所述可信用户终端进行数据交互。
根据本申请实施例的另一方面，还提供了一种数据安全保障的实现装置，应用于可信用户终端集群中的可信用户终端，所述装置包括：发送模块，用于向服务器发送密钥协商请求，其中，该密钥协商请求中携带有所述可信用户终端的签名证书；接收模块，用于在所述服务器依据所述可信用户终端的签名证书验证所述可信用户终端合法的情况下，接收来自所述服务器的响应，其中，该响应中携带有所述服务器的签名证书；验证模块，用于依据所述服务器的签名证书验证所述服务器的合法性；交互模块，用于在验证所述服务器合法的情况下，与所述服务器协商共享的量子密钥，以及使用所述量子密钥与所述服务器进行数据交互。
根据本申请实施例的另一方面，还提供了一种数据安全保障的实现装置，该装置应用于可信授权中心的指定可信管控节点，所述装置包括：生成模块，用于生成私钥；共享模块，用于通过量子密钥协商的方式将所述私钥共享至所述可信授权中心中的其他可信管控节点，其中，该其他可信管控节点为除所述指定可信管控节点之外的可信管控节点。
在本申请实施例中，由于服务器与可信授权中心之间以及可信用户终端与服务器之间可以进行量子密钥协商，因此，可以保证交互通信双方密钥的分发安全及数据传输安全，另外，基于可信计算的验证可以保证平台及用户身份识别保证通信双方身份的合法性；以及保证交互双方的环境可信及双方的行为可信，进而实现了可信计算与量子密钥分发网络的融合，解决了相关技术中无法同时兼顾通信的用户之间的用户身份和平台身份的识别，密钥及数据的传输安全和存储安全的解决方案的技术问题。
附图说明
此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：
图1为根据相关技术的一种基于量子密钥的网络加密机的实现原理示意图；
图2a为根据本申请实施例的一种数据安全保障系统的结构示意图；
图2b为根据本申请实施例的一种可选的数据安全保障系统的结构示意图；
图3为根据本申请可选实施例的数据传输流程示意图；
图4为根据本申请实施例的计算机终端的结构示意图；
图5为根据本申请实施例的数据安全保障的实现方法的流程图；
图6为根据本申请实施例的数据安全保障的实现装置的结构框图；
图7为根据本申请实施例的另一数据安全保障的实现方法的流程图；
图8为根据本申请实施例的另一数据安全保障的实现装置的结构框图；
图9为根据本申请实施例的数据安全保障的实现方法的流程图；
图10为根据本申请实施例的数据安全保障的实现装置的结构框图。
具体实施方式
为了使本技术领域的人员更好地理解本申请方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分的实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本申请保护的范围。
需要说明的是，本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本申请的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。
首先，在对本申请实施例进行描述的过程中出现的部分名词或术语适用于如下解释：
量子密钥，通信双方采用量子密钥分发协议(例如BB84协议,B92协议等)协商得到的密钥。
实施例1
在传统的金融加密和可信计算的应用场景中，往往基于计算复杂度来保证经典认证系统的安全性，这在量子计算及云计算环境中有被破解的风险。并且，传统加密机和可信计算的应用场景中采用的也是传统的加解密算法，因此无法保证用户敏感数据(包括用户的密钥)的传输安全；在对计算节点的运行环境、用户的行为进行动态度量，因此无法保证端到端用户的平台可信及用户的身份可信，因而无法保证用户平台数据的存储安全。针对上述问题，本实施例提供了一种数据安全保障系统，该系统中融合了可信计算和量子密钥分发网络的优点，具体如下：
图2a为根据本申请实施例的一种可选的数据安全保障系统的结构示意图。如图2a所示，该系统包括：可信用户终端集群中的可信用户终端20、服务器集群中的服务器22以及包括n个可信管控节点24的可信授权中心，其中，上述可信授权中心与上述可信用户终端集群(又称为用户群或可信用户群)中的可信用户终端20相连，上述服务器22与上述可信授权中心连接；其中，可信授权中心的可信管控节点24之间通过量子密钥协商的方式得到上述可授权中心的私钥，并共享上述私钥；在一个可选实施例中，上述可信管控节点24之间通过以下方式共享上述私钥：上述可信管控节点24中的指定可信管控节点将上述私钥分割为n份子私钥，并将n-1份子私钥通过量子密钥加密传输给n-1个上述可信管控节点。可选地，上述服务器22可以为应用服务器。
需要说明的是服务器22可以为多个，即可以为服务器集群。
可选地，上述指定可信管控节点，还用于通过该指定可信管控节点中的可信芯片模块生成上述私钥，并存储至上述指定可信管控节点中的可信芯片模块。这样，便可以实现量子通信与可信计算的融合，实现用户密钥的安全可控及安全存储。
可选地，可信用户终端，还用于将与上述服务器协商确定的上述量子密钥导入上述可信用户终端的可信芯片模块，或者，将使用可信存储密钥加密后的所述量子密钥存储至所述终端的外接设备；上述服务器，还用于将与上述可信终端协商确定的上述量子密钥导入上述服务器的可信芯片模块中或者将使用可信存储密钥加密后的所述量子密钥存储至所述服务器的外接设备。
其中，上述指定可信管控节点可以通过以下之一方式确定，但不限于此：从n个上述可信管控节点中随机选择一个可信管控节点；从n个上述可信管控节点中选择优先级最高的可信管控节点。
上述服务器22与上述可信授权中心的可信管控节点24之间通过量子密钥协商获取通信双方的密钥；
上述可信用户终端集群中的可信用户终端20，用于使用与上述服务器协商的量子密钥与上述服务器进行数据交互。可选地，可信用户终端集群分有量子密钥分发设备的可信用户终端集群和无量子密钥分发设备的可信用户终端集群。有量子密钥分发设备的可信用户群是指具有量子密钥分发设备，且终端实现了可信计算技术功能；无量子密钥分发设备的可信用户群是指无量子密钥分发设备，但其终端实现了可信计算技术功能(带硬件可信芯片的或无可信芯片但模拟了可信)；需要说明的是，无量子密钥分发设备的可信用户终端集群也可以为租用量子密钥分发设备的可信用户。
可选地，服务器22，还用于向上述n个可信管控节点24中的t个可信管控节点申请上述子私钥；上述t个可信管控节点通过与上述服务器22协商确定的量子密钥将上述子私钥加密传输至上述服务器22，其中，t为小于或等于n的正整数。
可选地，服务器22，还用于使用上述服务器与上述可信管控节点协商确定的上述量子密钥对上述子私钥进行解密，并使用解密后的上述子私钥生成上述服务器的私钥，将生成的私钥导入至上述服务器的可信芯片模块，以及使用上述生成的私钥生成上述服务器的签名证书。
可选地，上述子私钥为基于上述可信管控节点的身份标识和上述服务器所属可信计算平台的平台信息确定的。可选地，上述平台信息包括但不限于：可信平台控制模块TPCM标识或可信平台模块TPM标识；上述平台信息还可以包括平台配置寄存器PCR值，但不限于此。
其中，可信用户终端集群中的可信用户终端20，用于向上述服务器发送密钥协商请求，其中，该密钥协商请求中携带有上述可信用户终端的可信证书及可信度量报告；上述服务器22，还用于依据上述可信证书及可信度量报告验证上述可信用户终端的身份及上述可信用户终端所属可信计算平台的合法性；以及在验证合法的情况下，向上述可信用户终端发送携带有上述服务器的可信证书及可信度量报告的响应；上述可信用户终端，还用于依据上述响应中携带的上述服务器的可信证书及可信度量报告，验证上述服务器的身份及可信计算平台的合法性；并在合法的情况下，与上述服务器协商与上述服务器共享的量子密钥，以及使用上述量子密钥与上述服务器进行数据交互。
作为一个可选实施例，上述可信用户终端集群中的可信用户终端、服务器以及上述可信管控节点中均设置有可信芯片模块；或者，上述可信用户终端集群中的可信用户终端、服务器以及上述可信管控节点中均设置有具有可信芯片模块的软件模块。
以下基于量子通信和可信计算的数据安全服务模式，以云环境服务为例，详细说明：
如图2b所示，用于实现业务的实体包括：云提供商、有量子密钥分发设备的用户群(即可信用户终端集群)和第三方权威机构(如果可信CA证书由第三方权威机构颁发的话)；其中云提供商包含云管控平台和云的各种软硬资源池；
云提供商的可信服务器、可信加密机、可信管控节点(用做管控的可信服务器)均具有可信芯片模块，实现了可信动态度量、可信存储等可信计算技术功能的服务器或加密机；
用户群分有量子密钥分发设备的可信用户群和无量子密钥分发设备的可信用户群。有量子密钥分发设备的可信用户群是指具有量子密钥分发设备，且终端实现了可信计算技术功能；无量子密钥分发设备的可信用户群是指无量子密钥分发设备，但其终端实现了可信计算技术功能(带硬件可信芯片的或无可信芯片但模拟了可信)，但是，该无量子密钥分发设备的可信用户群可以租用量子密钥分发设备；
其中，本实施例中的数据安全保障系统中的上述业务实体主要有两类数据通信交互过程：
有量子密钥分发设备的可信用户群与云上承载数据资源的可信服务器交互；
云提供商的不同应用服务器集群之间的数据交互；
在上面提及的两类数据通信交互中，图2b中所示的量子密钥分发网为提到的两类通信服务中所牵涉到不同形状的线条(如图2b中所示)，其含义分别是：实线表示含有量子信道的通信信道；虚线表示专线加密的经典信道；有无量子密钥分发设备的用户群与云提供商可信服务器之间，可信管控节点与用户的数据资源服务器或其加密机之间，及云提供商各应用服务器之间均可通过量子密钥分发网协商获得双方通信的密钥；用户群可以通过量子密钥分发网络对其租用或代管的云加密机进行云加密机密钥初始化；应用服务器、数据资源等服务器与可信管控节点服务器之间可通过量子密钥分发网络协商获取通信密钥，以便对其进行可信初始密钥的更新配置。
该服务模式中，也包含其它可信路由器、可信交互机等可信网络设备，可信接入层代理服务器等。为了图的简洁性，将其忽略未在图2b中示出。
基于量子密钥分发设备，保证交互通信双方密钥的分发安全及数据传输安全，基于可信计算的平台及用户身份识别保证通信双方身份的合法性；基于可信计算的环境度量及行为度量保证交互双方的环境可信及双方的行为可信；
其中，云可信授权中心初始化的过程如下：
假设云可信授权中心具有权威的可信证书，公私钥对；其可信证书，公私钥对可以从外界更权威的CA机构获取，也可以是自身以“三权分立”的方式生成。其中，从更权威的CA机构获取可信证书，必须是权威CA机构对其平台的信息、以及其身份相关信息进行合法验证后，才颁发其可信CA证书；其中，所谓“三权分立”是指云可信授权中心由n个可信管控节点管控，云可信授权中心的公钥公开给这n个可信管控节点及对云提供商的其它节点公开，而将其对应的私钥，通过管控中心的量子密钥分发网络，由n个可信管控节点以量子通信的方式秘密共享这个私钥，这n个可信管控节点合起来也称可信授权中心；其中，所述量子通信方式是指n个可信管控节点之间通过量子通信BB84协议彼此已协商出一对共享的量子密钥；管控中心的n个可信管控节点通过量子密钥协商得到管控中心私钥的子私钥；
云可信授权中心的公钥和私钥S可以由管控中心其中的任意一个也可以是根据某权值推选出威望最高的可信管控节点，通过其可信(TPCM或TPM)平台产生，并将云可信授权中心的私钥秘密分割成n份si(i＝1,…,n)，将n-1份通过量子密钥加密传输给n-1个可信管控节点；这n份子私钥被导入，存储到各自相应设备平台的可信芯片模块里。
云可信授权中心的n个可信管控节点以及欲接入云的带可信芯片的服务器节点，均通过TPCM或TPM芯片，产生基于身份与平台相绑定的合法证书，和相应的公私钥对。
其中，云服务器接入云平台初始化的过程如下：
云服务器接入到云平台，需得向云管控平台的n个可信管控节点中的t个节点提出申请，管控中心的t个节点和服务器接入点之间会通过用户身份和平台身份绑定的合法证书来证明彼此身份的合法性；
彼此身份验证合法后，t个可信管控节点按公式1各自向申请者颁发基于其身份ID(UID)、平台ID(TPMID或者TPCMID)、时间戳的子私钥Sur，公式1中的身份ID，平台ID，由可信管控节点基于请求接入的服务器节点的身份信息及平台信息(平台信息包括芯片的唯一标识及PCR值等平台相关信息)，通过算法计算出的ID号；子私钥Sur被被请求的可信管控节点用其与请求的服务器接入点之间已协商好的量子通信密钥加密传输给请求的服务器接入点。(注：公式以国际标准符合TPM为例，如果是参与国内可信芯片，TPMID替换为TPCMID，后续公式中所涉及的符合TPMID，都可以用TPCMID替换)。
Figure BDA0001131416180000101
i＝1……n；r＝1……t,ir表示n个中的任意t个；其中，expire_time表示时间戳。例如，i＝3,t＝1，表示3个节点当中任选的一个节点，该符号
Figure BDA0001131416180000102
表示分享给这个节点的子私钥。
请求的服务器接入点获取t份私钥，用其相应的共享量子密钥解密后，按公式2算法合成自己的私钥su，将私钥su导入到可信芯片，并用合成的私钥产生自己的签名证书；
Figure BDA0001131416180000103
其中，X是拉格朗日插值函数的未知数，可以令其等于1，2，3……。
基于图2a和图2b所示架构，本实施例中提供了一种基于量子密钥&可信计算的传输密钥协商流程，以某一量子密钥可信用户C与云提供商服务器S的之间的密钥协商为例(云提供商)，图3为根据本申请可选实施例的数据传输流程示意图，如图3所示包括以下处理过程：
步骤S302，量子密钥可信用户C携带其可信证书及可信度量报告向云提供商服务器S发起密钥协商请求；
步骤S304，S依据C的证书及度量报告，验证其身份及平台的合法性，如合法则执行步骤S306，,否则流程终止；
步骤S306，S携带其可信证书及可信度量报告响应C请求；
步骤S308，C依据S的证书及度量报告，验证其身份及平台的合法性，如合法则执行步骤S310，,否则流程终止；
步骤S310，C与S基于BB84协议协商彼此共享的量子密钥；
步骤S312(312’)，C与S各自将协商好的量子密钥导入到可信芯片当中；
步骤S314，后续C与S就可以利用协商好的量子密钥就敏感数据进行安全交互，在交互过程中，利用共享量子密钥加密的各自平台信息，以保证数据传输安全及身份、平台合法性。
综上所述，基于量子密钥分发设备，可以保证交互通信双方密钥的分发安全及数据传输安全，基于可信计算的平台及用户身份识别保证通信双方身份的合法性；基于可信计算的环境度量及行为度量保证交互双方的环境可信及双方的行为可信。
实施例2
根据本申请实施例，还提供了一种数据安全保障的实现方法的方法实施例，需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。
本申请实施例一所提供的方法实施例可以在移动终端、计算机终端或者类似的运算装置中执行。图4示出了一种用于实现数据安全保障的实现方法的计算机终端(或移动设备)的硬件结构框图。如图4所示，计算机终端40(或移动设备40)可以包括一个或多个(图中采用402a、402b，……，402n来示出)处理器402(处理器402可以包括但不限于微处理器MCU或可编程逻辑器件FPGA等的处理装置)、用于存储数据的存储器404、以及用于通信功能的传输模块406。除此以外，还可以包括：显示器、输入/输出接口(I/O接口)、通用串行总线(USB)端口(可以作为I/O接口的端口中的一个端口被包括)、网络接口、电源和/或相机。本领域普通技术人员可以理解，图4所示的结构仅为示意，其并不对上述电子装置的结构造成限定。例如，计算机终端40还可包括比图4中所示更多或者更少的组件，或者具有与图4所示不同的配置。
应当注意到的是上述一个或多个处理器402和/或其他数据处理电路在本文中通常可以被称为“数据处理电路”。该数据处理电路可以全部或部分的体现为软件、硬件、固件或其他任意组合。此外，数据处理电路可为单个独立的处理模块，或全部或部分的结合到计算机终端40(或移动设备)中的其他元件中的任意一个内。如本申请实施例中所涉及到的，该数据处理电路作为一种处理器控制(例如与接口连接的可变电阻终端路径的选择)。
存储器404可用于存储应用软件的软件程序以及模块，如本申请实施例中的数据安全保障的实现方法对应的程序指令/数据存储装置，处理器402通过运行存储在存储器404内的软件程序以及模块，从而执行各种功能应用以及数据处理，即实现上述的应用程序的漏洞检测方法。存储器404可包括高速随机存储器，还可包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器404可进一步包括相对于处理器402远程设置的存储器，这些远程存储器可以通过网络连接至计算机终端40。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。
传输装置406用于经由一个网络接收或者发送数据。上述的网络具体实例可包括计算机终端40的通信供应商提供的无线网络。在一个实例中，传输装置406包括一个网络适配器(Network Interface Controller，NIC)，其可通过基站与其他网络设备相连从而可与互联网进行通讯。在一个实例中，传输装置406可以为射频(Radio Frequency，RF)模块，其用于通过无线方式与互联网进行通讯。
显示器可以例如触摸屏式的液晶显示器(LCD)，该液晶显示器可使得用户能够与计算机终端40(或移动设备)的用户界面进行交互。
本实施例提供一种数据安全保障的实现方法，该方法运行于上述计算机终端上，该计算机终端可以为实施例1中所述的服务器22，但不限于此。图5为根据本申请实施例的数据安全保障的实现方法的流程图。如图5所示，该流程包括：
步骤S502，服务器接收可信用户终端集群中的可信用户终端发送的密钥协商请求，其中，该密钥协商请求中携带有上述可信用户终端的签名证书；
步骤S504，服务器依据上述可信用户终端的签名证书验证上述可信用户终端的合法性；可选地，上述可信用户终端的签名证书为依据上述可信用户终端的可信证书及可信度量报告生成；上述服务器的签名证书为依据上述服务器的可信证书及可信度量报告生成。
步骤S506，在验证合法的情况下，上述服务器向上述可信用户终端发送携带有上述服务器的签名证书的响应；
可选地，上述服务器的签名证书可以通过以下方式生成，但不限于此，该生成过程可以在上述服务器向上述可信用户终端发送携带有上述服务器的签名证书的响应之前执行，具体地：服务器与可信授权中心的可信管控节点之间进行双方身份验证，其中，该可信授权中心包括n个具有可信芯片模块的可信管控节点；在双方身份验证合法的情况下，上述服务器接收上述可信管控节点通过量子密钥加密发送的上述可信授权中心的子私钥，其中，该子私钥为将上述可信授权中心的私钥分割为n份得到的子私钥；服务器使用上述子私钥生成上述服务器的签名证书。上述可信授权中心的私钥为上述可信授权中心中的指定可信管控节点通过该指定可信管控节点中的可信芯片模块生成的。
可选地，上述服务器与上述可信用户终端协商共享的量子密钥之后，上述服务器将上述量子密钥存储至上述服务器中的可信芯片模块中或者将使用可信存储密钥加密后的上述量子密钥存储至上述服务器的外接设备；和/或，上述可信用户终端将上述量子密钥存储至上述可信用户终端中的可信芯片模块中或者将使用可信存储密钥加密后的上述量子密钥存储至上述可信用户终端的外接设备。这样便实现了可信计算和量子通信的融合。
步骤S508，在上述可信用户终端依据上述服务器的签名证书验证上述服务器合法的情况下，上述服务器与上述可信用户终端协商共享的量子密钥，以及使用上述量子密钥与上述可信用户终端进行数据交互。
需要说明的是，本实施例中的优选实施方式可以参见实施例1中的相关描述，此处不再赘述。
需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本申请并不受所描述的动作顺序的限制，因为依据本申请，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本申请所必须的。
通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到根据上述实施例的方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，或者网络设备等)执行本申请各个实施例所述的方法。
实施例3
根据本申请实施例，还提供了一种用于实施上述数据安全保障的实现方法的装置，该应用于服务器，该服务器的具体结构或功能可以参见实施例1和2中的相关描述，此处不再赘述。图6为根据本申请实施例的数据安全保障的实现装置的结构框图，如图6所示，该装置包括：
接收模块60，用于接收可信用户终端集群中的可信用户终端发送的密钥协商请求，其中，该密钥协商请求中携带有所述可信用户终端的签名证书；
验证模块62，用于依据所述可信用户终端的签名证书验证所述可信用户终端的合法性；
发送模块64，用于在验证合法的情况下，所述服务器向所述可信用户终端发送携带有所述服务器的签名证书的响应；
交互模块66，用于在所述可信用户终端依据所述服务器的签名证书验证所述服务器合法的情况下，与所述可信用户终端协商共享的量子密钥，以及使用所述量子密钥与所述可信用户终端进行数据交互。
需要说明的是，上述各个模块是可以通过软件或硬件的形式体现的，对于后者，可以表现为以下实现形式，但不限于此：上述各个模块以任意组合的形式分别位于不同的处理器中；或者，上述各个模块位于同一处理器中。
需要说明的是，本实施例中的优选实施方式可以参见实施例1和2中的相关描述，此处不再赘述。
实施例4
本实施例还提供另外一种数据安全保障的实现方法，图7为根据本申请实施例的另一数据安全保障的实现方法的流程图。如图7所示，该流程包括以下处理步骤：
步骤S702，可信用户终端集群中的可信用户终端向服务器发送密钥协商请求，其中，该密钥协商请求中携带有上述可信用户终端的签名证书；
步骤S704，在上述服务器依据上述可信用户终端的签名证书验证上述可信用户终端合法的情况下，可信用户终端接收来自上述服务器的响应，其中，该响应中携带有上述服务器的签名证书；
步骤S706，可信用户终端依据上述服务器的签名证书验证上述服务器的合法性；
步骤S708，在验证上述服务器合法的情况下，可信用户终端与上述服务器协商共享的量子密钥，以及使用上述量子密钥与上述服务器进行数据交互。
需要说明的是，本实施例中的优选实施方式可以参见实施例1和2中的相关描述，此处不再赘述。
实施例5
本实施例提供一种数据安全保障的实现装置，该装置应用于可信用户终端集群中的可信用户终端，如图8所示，该装置包括：
发送模块80，用于向服务器发送密钥协商请求，其中，该密钥协商请求中携带有所述可信用户终端的签名证书；
接收模块82，用于在所述服务器依据所述可信用户终端的签名证书验证所述可信用户终端合法的情况下，接收来自所述服务器的响应，其中，该响应中携带有所述服务器的签名证书；
验证模块84，用于依据所述服务器的签名证书验证所述服务器的合法性；
交互模块86，用于在验证所述服务器合法的情况下，与所述服务器协商共享的量子密钥，以及使用所述量子密钥与所述服务器进行数据交互。
需要说明的是，上述各个模块是可以通过软件或硬件的形式体现的，对于后者，可以表现为以下实现形式，但不限于此：上述各个模块以任意组合的形式分别位于不同的处理器中；或者，上述各个模块位于同一处理器中。
需要说明的是，本实施例中的优选实施方式可以参见实施例1和2中的相关描述，此处不再赘述。
实施例6
本实施例提供另外一种数据安全保障的实现方法，该方法应用于实施例1中所示的数据安全保障系统，如图9所示，上述方法包括：
步骤S902，可信授权中心的指定可信管控节点生成私钥；可选地，该步骤可以通过以下方式实现，但不限于此：上述指定可信管控节点通过上述指定可信管控节点中的可信芯片模块生成上述私钥，并存储至上述可信芯片模块。
步骤S904，通过量子密钥协商的方式将上述私钥共享至上述可信授权中心中的其他可信管控节点，其中，该其他可信管控节点为除上述指定可信管控节点之外的可信管控节点。可选地，该步骤可以表现为以下实现过程，但不限于此：上述指定可信管控节点将上述私钥分割为n份子私钥，并将n-1份子私钥通过量子密钥加密传输给n-1个可信管控节点。
需要说明的是，本实施例中的优选实施方式可以参见实施例1和2中的相关描述此处不再赘述。
实施例7
本实施例提供另外一种数据安全保障的实现装置，用于实现实施例6中所示方法，该装置应用于可信授权中心的指定可信管控节点，如图10所示，该装置包括：
生成模块1002，用于生成私钥；
共享模块1004，用于通过量子密钥协商的方式将上述私钥共享至上述可信授权中心中的其他可信管控节点，其中，该其他可信管控节点为除上述指定可信管控节点之外的可信管控节点。
需要说明的是，上述各个模块是可以通过软件或硬件的形式体现的，对于后者，可以表现为以下实现形式，但不限于此：上述各个模块以任意组合的形式分别位于不同的处理器中；或者，上述各个模块位于同一处理器中。
需要说明的是，本实施例中的优选实施方式可以参见实施例1和2中的相关描述，此处不再赘述。
实施例8
本申请的实施例还提供了一种存储介质。可选地，在本实施例中，上述存储介质可以用于保存上述实施例2所提供的数据安全保障的实现方法所执行的程序代码。
可选地，在本实施例中，上述存储介质可以位于计算机网络中计算机终端群中的任意一个计算机终端中，或者位于移动终端群中的任意一个移动终端中。
可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：服务器接收可信用户终端集群中的可信用户终端发送的密钥协商请求，其中，该密钥协商请求中携带有所述可信用户终端的签名证书；所述服务器依据所述可信用户终端的签名证书验证所述可信用户终端的合法性；在验证合法的情况下，所述服务器向所述可信用户终端发送携带有所述服务器的签名证书的响应；在所述可信用户终端依据所述服务器的签名证书验证所述服务器合法的情况下，所述服务器与所述可信用户终端协商共享的量子密钥，以及使用所述量子密钥与所述可信用户终端进行数据交互。
实施例9
本申请的实施例还提供了一种存储介质。可选地，在本实施例中，上述存储介质可以用于保存上述实施例4所提供的数据安全保障的实现方法所执行的程序代码。
在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：可信用户终端集群中的可信用户终端向服务器发送密钥协商请求，其中，该密钥协商请求中携带有所述可信用户终端的签名证书；在所述服务器依据所述可信用户终端的签名证书验证所述可信用户终端合法的情况下，所述可信用户终端接收来自所述服务器的响应，其中，该响应中携带有所述服务器的签名证书；所述可信用户终端依据所述服务器的签名证书验证所述服务器的合法性；在验证所述服务器合法的情况下，所述可信用户终端与所述服务器协商共享的量子密钥，以及使用所述量子密钥与所述服务器进行数据交互。
实施例10
本申请的实施例还提供了一种存储介质。可选地，在本实施例中，上述存储介质可以用于保存上述实施例6所提供的数据安全保障的实现方法所执行的程序代码。
在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：可信授权中心的指定可信管控节点生成私钥；通过量子密钥协商的方式将上述私钥共享至上述可信授权中心中的其他可信管控节点，其中，该其他可信管控节点为除上述指定可信管控节点之外的可信管控节点。
上述本申请实施例序号仅仅为了描述，不代表实施例的优劣。
在本申请的上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。
在本申请所提供的几个实施例中，应该理解到，所揭露的技术内容，可通过其它的方式实现。其中，以上所描述的装置实施例仅仅是示意性的，例如所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，单元或模块的间接耦合或通信连接，可以是电性或其它的形式。
所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。
另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。
所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可为个人计算机、服务器或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。
以上所述仅是本申请的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本申请的保护范围。

Claims (21)

1.一种数据安全保障系统，其特征在于，包括：可信用户终端集群、服务器集群中的服务器以及包括n个可信管控节点的可信授权中心，其中，所述可信授权中心与所述可信用户终端集群相连，所述服务器与所述可信授权中心连接；
所述可信授权中心的可信管控节点之间通过量子密钥协商的方式得到所述可信授权中心的私钥，并共享所述私钥；
所述服务器与所述可信授权中心的可信管控节点之间通过量子密钥协商获取通信双方的密钥；
所述可信用户终端集群，用于使用与所述服务器协商的量子密钥与所述服务器进行数据交互；
其中，所述服务器为云提供商的应用服务器，所述服务器设置有可信芯片模块或者具有可信芯片模块的软件模块。
2.根据权利要求1所述的系统，其特征在于，所述可信管控节点之间通过以下方式共享所述私钥：所述可信管控节点中的指定可信管控节点将所述私钥分割为n份子私钥，并将n-1份子私钥通过量子密钥加密传输给n-1个所述可信管控节点。
3.根据权利要求2所述的系统，其特征在于，所述指定可信管控节点通过以下之一方式确定：
从n个所述可信管控节点中随机选择一个可信管控节点；
从n个所述可信管控节点中选择优先级最高的可信管控节点。
4.根据权利要求2所述的系统，其特征在于，所述服务器，还用于向所述n个可信管控节点中的t个可信管控节点申请所述子私钥；所述t个可信管控节点通过与所述服务器协商确定的量子密钥将所述子私钥加密传输至所述服务器，其中，t为小于或等于n的正整数。
5.根据权利要求4所述的系统，其特征在于，所述服务器，还用于使用所述服务器与所述可信管控节点协商确定的所述量子密钥对所述子私钥进行解密，并使用解密后的所述子私钥生成所述服务器的私钥，将生成的私钥导入至所述服务器的可信芯片模块，以及使用所述生成的私钥生成所述服务器的签名证书。
6.根据权利要求2所述的系统，其特征在于，所述指定可信管控节点，还用于通过该指定可信管控节点中的可信芯片模块生成所述私钥，并存储至所述指定可信管控节点中的可信芯片模块。
7.根据权利要求2所述的系统，其特征在于，所述子私钥为基于所述可信管控节点的身份标识和所述服务器所属可信计算平台的平台信息确定的。
8.根据权利要求7所述的系统，其特征在于，所述平台信息包括：可信平台控制模块TPCM标识或可信平台模块TPM标识；所述平台信息还包括平台配置寄存器PCR值。
9.根据权利要求1至8中任一项所述的系统，其特征在于，
所述可信用户终端集群中的可信用户终端，用于向所述服务器发送密钥协商请求，其中，该密钥协商请求中携带有所述可信用户终端的可信证书及可信度量报告；
所述服务器，还用于依据所述可信证书及可信度量报告验证所述可信用户终端的身份及所述可信用户终端所属可信计算平台的合法性；以及在验证合法的情况下，向所述可信用户终端发送携带有所述服务器的可信证书及可信度量报告的响应；
所述可信用户终端，还用于依据所述响应中携带的所述服务器的可信证书及可信度量报告，验证所述服务器的身份及可信计算平台的合法性；并在合法的情况下，与所述服务器协商与所述服务器共享的量子密钥，以及使用所述量子密钥与所述服务器进行数据交互。
10.根据权利要求9所述的系统，其特征在于，所述可信用户终端，还用于将与所述服务器协商确定的所述量子密钥导入所述可信用户终端的可信芯片模块并存储，或者将使用可信存储密钥加密后的所述量子密钥存储至所述可信用户终端的外接设备；所述服务器，还用于将与所述可信用户终端协商确定的所述量子密钥导入所述服务器的可信芯片模块中，或者将使用可信存储密钥加密后的所述量子密钥存储至所述服务器的外接设备。
11.根据权利要求1至8中任一项所述的系统，其特征在于，所述可信用户终端集群中的可信用户终端、服务器以及所述可信管控节点中均设置有可信芯片模块；或者，所述可信用户终端集群中的可信用户终端、服务器以及所述可信管控节点中均设置有具有可信芯片模块的软件模块。
12.一种数据安全保障的实现方法，其特征在于，所述方法应用于权利要求1至11中任一项所述的数据安全保障系统，所述方法包括：
服务器接收可信用户终端集群中的可信用户终端发送的密钥协商请求，其中，该密钥协商请求中携带有所述可信用户终端的签名证书；
所述服务器依据所述可信用户终端的签名证书验证所述可信用户终端的合法性；
在验证合法的情况下，所述服务器向所述可信用户终端发送携带有所述服务器的签名证书的响应；
在所述可信用户终端依据所述服务器的签名证书验证所述服务器合法的情况下，所述服务器与所述可信用户终端协商共享的量子密钥，以及使用所述量子密钥与所述可信用户终端进行数据交互。
13.根据权利要求12所述的方法，其特征在于，所述可信用户终端的签名证书为依据所述可信用户终端的可信证书及可信度量报告生成；所述服务器的签名证书为依据所述服务器的可信证书及可信度量报告生成。
14.根据权利要求12所述的方法，其特征在于，所述服务器向所述可信用户终端发送携带有所述服务器的签名证书的响应之前，所述方法还包括：
所述服务器与可信授权中心的可信管控节点之间进行双方身份验证，其中，该可信授权中心包括n个具有可信芯片模块的可信管控节点；
在双方身份验证合法的情况下，所述服务器接收所述可信管控节点通过量子密钥加密发送的所述可信授权中心的子私钥，其中，该子私钥为将所述可信授权中心的私钥分割为n份得到的子私钥；
所述服务器使用所述子私钥生成所述服务器的签名证书。
15.根据权利要求14所述的方法，其特征在于，所述可信授权中心的私钥为所述可信授权中心中的指定可信管控节点通过该指定可信管控节点中的可信芯片模块生成的。
16.根据权利要求12所述的方法，其特征在于，所述服务器与所述可信用户终端协商共享的量子密钥之后，所述方法还包括：所述服务器将所述量子密钥存储至所述服务器中的可信芯片模块中或将使用可信存储密钥加密后的所述量子密钥存储至所述服务器的外接设备；和/或，所述可信用户终端将所述量子密钥存储至所述可信用户终端中的可信芯片模块中或将使用可信存储密钥加密后的所述量子密钥存储至所述可信用户终端的外接设备。
17.一种数据安全保障的实现方法，其特征在于，所述方法应用于权利要求1至11中任一项所述的数据安全保障系统，所述方法包括：
可信用户终端集群中的可信用户终端向服务器发送密钥协商请求，其中，该密钥协商请求中携带有所述可信用户终端的签名证书；
在所述服务器依据所述可信用户终端的签名证书验证所述可信用户终端合法的情况下，所述可信用户终端接收来自所述服务器的响应，其中，该响应中携带有所述服务器的签名证书；
所述可信用户终端依据所述服务器的签名证书验证所述服务器的合法性；
在验证所述服务器合法的情况下，所述可信用户终端与所述服务器协商共享的量子密钥，以及使用所述量子密钥与所述服务器进行数据交互。
18.根据权利要求17所述的方法，其特征在于，所述可信用户终端与所述服务器协商共享的量子密钥之后，所述方法还包括：
所述可信用户终端将所述量子密钥存储至所述可信用户终端中的可信芯片模块中将使用可信存储密钥加密后的所述量子密钥存储至所述服务器的外接设备；和/或，
所述服务器将所述量子密钥存储至所述服务器中的可信芯片模块中，或者将使用可信存储密钥加密后的所述量子密钥存储至所述服务器的外接设备。
19.一种数据安全保障的实现方法，其特征在于，所述方法应用于权利要求1至11中任一项所述的数据安全保障系统，所述方法包括：
可信授权中心的指定可信管控节点生成私钥，并通过量子密钥协商的方式将所述私钥共享至所述可信授权中心中的其他可信管控节点，其中，该其他可信管控节点为除所述指定可信管控节点之外的可信管控节点。
20.根据权利要求19所述的方法，其特征在于，所述可信授权中心的指定可信管控节点生成私钥包括：所述指定可信管控节点通过所述指定可信管控节点中的可信芯片模块生成所述私钥，并存储至所述可信芯片模块。
21.根据权利要求19所述的方法，其特征在于，通过量子密钥协商的方式将所述私钥共享至所述可信授权中心中的其他可信管控节点，包括：
所述指定可信管控节点将所述私钥分割为n份子私钥，并将n-1份子私钥通过量子密钥加密传输给n-1个可信管控节点。
CN201610899985.5A 2016-10-14 2016-10-14 数据安全保障系统及方法、装置 Active CN107959656B (zh)

Priority Applications (5)

Application Number Priority Date Filing Date Title
CN201610899985.5A CN107959656B (zh) 2016-10-14 2016-10-14 数据安全保障系统及方法、装置
TW106126104A TWI738835B (zh) 2016-10-14 2017-08-02 資料安全保障系統及方法、裝置
US15/716,965 US10855452B2 (en) 2016-10-14 2017-09-27 Method and system for data security based on quantum communication and trusted computing
PCT/US2017/054025 WO2018071191A2 (en) 2016-10-14 2017-09-28 Method and system for data security based on quantum communication and trusted computing
JP2019507154A JP7011646B2 (ja) 2016-10-14 2017-09-28 量子通信及びトラステッドコンピューティングに基づくデータセキュリティのための方法及びシステム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201610899985.5A CN107959656B (zh) 2016-10-14 2016-10-14 数据安全保障系统及方法、装置

Publications (2)

Publication Number Publication Date
CN107959656A CN107959656A (zh) 2018-04-24
CN107959656B true CN107959656B (zh) 2021-08-31

Family

ID=61904199

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201610899985.5A Active CN107959656B (zh) 2016-10-14 2016-10-14 数据安全保障系统及方法、装置

Country Status (5)

Country Link
US (1) US10855452B2 (zh)
JP (1) JP7011646B2 (zh)
CN (1) CN107959656B (zh)
TW (1) TWI738835B (zh)
WO (1) WO2018071191A2 (zh)

Families Citing this family (65)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11308486B2 (en) 2016-02-23 2022-04-19 nChain Holdings Limited Method and system for the secure transfer of entities on a blockchain
US11126976B2 (en) 2016-02-23 2021-09-21 nChain Holdings Limited Method and system for efficient transfer of cryptocurrency associated with a payroll on a blockchain that leads to an automated payroll method and system based on smart contracts
BR112018016822A2 (pt) 2016-02-23 2018-12-26 Nchain Holdings Ltd método implementado por computador para realizar uma troca de entidades entre um primeiro usuário e um segundo usuário, processador e meio legível por computador
KR101999188B1 (ko) 2016-02-23 2019-07-11 엔체인 홀딩스 리미티드 비밀 공유를 위한 타원 곡선 암호를 사용하는 개인용 장치 보안
BR112018016234A2 (pt) * 2016-02-23 2019-01-02 Nchain Holdings Ltd método implementado por computador para controlar o acesso a um recurso, sistemas baseados em computador e método para controle de acesso a uma carteira digital
EP3420507A1 (en) 2016-02-23 2019-01-02 Nchain Holdings Limited Tokenisation method and system for implementing exchanges on a blockchain
US10652014B2 (en) 2016-02-23 2020-05-12 nChain Holdings Limited Determining a common secret for the secure exchange of information and hierarchical, deterministic cryptographic keys
KR20180114939A (ko) 2016-02-23 2018-10-19 엔체인 홀딩스 리미티드 블록 체인을 통해 자산 관련 활동을 제어하는 시스템 및 방법
WO2017145048A1 (en) 2016-02-23 2017-08-31 nChain Holdings Limited Cryptographic method and system for secure extraction of data from a blockchain
GB2561725A (en) 2016-02-23 2018-10-24 Nchain Holdings Ltd Blockchain-implemented method for control and distribution of digital content
JP6877448B2 (ja) 2016-02-23 2021-05-26 エヌチェーン ホールディングス リミテッドＮｃｈａｉｎ Ｈｏｌｄｉｎｇｓ Ｌｉｍｉｔｅｄ 分散ハッシュテーブル及びブロックチェーンを用いてコンピュータソフトウェアを保証する方法及びシステム
US11120437B2 (en) 2016-02-23 2021-09-14 nChain Holdings Limited Registry and automated management method for blockchain-enforced smart contracts
WO2017145004A1 (en) 2016-02-23 2017-08-31 nChain Holdings Limited Universal tokenisation system for blockchain-based cryptocurrencies
EP3420675B1 (en) 2016-02-23 2020-03-11 Nchain Holdings Limited Blockchain implemented counting system and method for use in secure voting and distribution
CN110414244B (zh) * 2018-04-28 2023-07-21 阿里巴巴集团控股有限公司 加密卡、电子设备及加密服务方法
US11164182B2 (en) 2018-05-17 2021-11-02 Conio Inc. Methods and systems for safe creation, custody, recovery, and management of a digital asset
CN110677250B (zh) 2018-07-02 2022-09-02 阿里巴巴集团控股有限公司 密钥和证书分发方法、身份信息处理方法、设备、介质
CN110795774B (zh) 2018-08-02 2023-04-11 阿里巴巴集团控股有限公司 基于可信高速加密卡的度量方法、设备和系统
CN110795742B (zh) 2018-08-02 2023-05-02 阿里巴巴集团控股有限公司 高速密码运算的度量处理方法、装置、存储介质及处理器
CN110874478B (zh) 2018-08-29 2023-05-02 阿里巴巴集团控股有限公司 密钥处理方法及装置、存储介质和处理器
CN109299618B (zh) * 2018-09-20 2020-06-16 如般量子科技有限公司 基于量子密钥卡的抗量子计算云存储方法和系统
US11240025B2 (en) 2018-11-09 2022-02-01 Ares Technologies, Inc. Systems and methods for distributed key storage
CN109462476B (zh) * 2018-11-23 2021-10-08 成都卫士通信息产业股份有限公司 密钥协商方法、装置、终端及计算机可读存储介质
CN110046507B (zh) * 2018-12-12 2024-02-06 创新先进技术有限公司 形成可信计算集群的方法及装置
CN109905360B (zh) * 2019-01-07 2021-12-03 平安科技（深圳）有限公司 数据验证方法及终端设备
US11310040B2 (en) * 2019-03-01 2022-04-19 Parallel Wireless, Inc. Quantum cipher based on phase inversion
CN110022204B (zh) * 2019-03-20 2022-03-18 中国电子科技集团公司第三十研究所 基于内容真随机化分割增强文件保密通信安全性的方法
CN111756675B (zh) * 2019-03-28 2023-04-07 钉钉控股（开曼）有限公司 数据处理方法、装置、设备和系统
CN111756529B (zh) * 2019-03-28 2023-05-19 广东国盾量子科技有限公司 一种量子会话密钥分发方法及系统
US11424918B2 (en) 2019-05-03 2022-08-23 Quantumxchange, Inc. Method of operation of a trusted node software in a quantum key distribution system
US11411722B2 (en) * 2019-05-03 2022-08-09 Quantumxchange, Inc. Method of operation of a quantum key controller
CN110334515B (zh) * 2019-07-05 2021-05-14 北京可信华泰信息技术有限公司 一种基于可信计算平台生成度量报告的方法及装置
CN110321695B (zh) * 2019-07-11 2021-07-20 成都卫士通信息产业股份有限公司 大数据系统密码服务方法、装置
CN110535628B (zh) * 2019-08-29 2020-07-17 阿里巴巴集团控股有限公司 通过证书签发进行多方安全计算的方法及装置
US11038699B2 (en) 2019-08-29 2021-06-15 Advanced New Technologies Co., Ltd. Method and apparatus for performing multi-party secure computing based-on issuing certificate
CN110690960B (zh) * 2019-09-01 2022-02-22 成都量安区块链科技有限公司 一种中继节点的路由服务方法与装置
CN112367124B (zh) * 2019-09-01 2022-07-15 成都量安区块链科技有限公司 一种量子中继节点虚拟化方法与装置
US11228431B2 (en) * 2019-09-20 2022-01-18 General Electric Company Communication systems and methods for authenticating data packets within network flow
CN110830242A (zh) * 2019-10-16 2020-02-21 聚好看科技股份有限公司 一种密钥生成、管理方法和服务器
EP4062350A4 (en) 2019-11-22 2024-03-06 Conio Inc METHOD AND APPARATUS FOR BLOCKCHAIN AGNOSTIC SECURE MULTI-SIGNATURE MANAGEMENT OF DIGITAL ASSETS
CN113132323B (zh) * 2019-12-31 2022-11-18 华为技术有限公司 一种通信方法及装置
US11366897B1 (en) 2020-01-17 2022-06-21 Wells Fargo Bank, N.A. Systems and methods for layered quantum computing detection
US11334667B1 (en) * 2020-01-17 2022-05-17 Wells Fargo Bank, N.A. Systems and methods for disparate quantum computing threat detection
CN111314083B (zh) * 2020-01-21 2023-04-07 南京如般量子科技有限公司 基于秘密共享和非对称密码学的量子保密通信系统和方法
CN111490871A (zh) * 2020-03-13 2020-08-04 南京南瑞国盾量子技术有限公司 一种基于量子密钥云的sm9密钥认证方法、系统及存储介质
DE102020109246B4 (de) * 2020-04-02 2021-10-21 Deutsche Telekom Ag Nutzung quantensicherer Schlüssel mit Endgeräteeinrichtungen
US10951404B1 (en) * 2020-06-09 2021-03-16 Quantropi Inc. Methods and systems for digital message encoding and signing
US20220006654A1 (en) * 2020-07-02 2022-01-06 EMC IP Holding Company LLC Method to establish an application level ssl certificate hierarchy between master node and capacity nodes based on hardware level certificate hierarchy
CN114362926B (zh) * 2020-09-30 2024-04-09 如般量子科技有限公司 基于密钥池的量子保密通信网络密钥管理通信系统及方法
CN114430328A (zh) * 2020-10-14 2022-05-03 中国移动通信有限公司研究院 密钥协商方法、装置、设备及存储介质
CN112311542B (zh) * 2020-11-17 2023-06-20 国网福建省电力有限公司信息通信分公司 一种满足电力业务隔离需求的量子保密通信系统及方法
US11632246B2 (en) * 2020-12-30 2023-04-18 International Business Machines Corporation Hybrid key derivation to secure data
CN112866998B (zh) * 2021-01-26 2023-06-16 国网福建省电力有限公司泉州供电公司 基于可信计算的5g切片配置数据安全保护方法
WO2022187959A1 (en) 2021-03-10 2022-09-15 Quantropi Inc. Quantum-safe cryptographic methods and systems
CN114362928B (zh) * 2021-03-23 2023-11-24 长春大学 一种用于多节点间加密的量子密钥分发与重构方法
US11689375B2 (en) * 2021-05-21 2023-06-27 International Business Machines Corporation Data in transit protection with exclusive control of keys and certificates across heterogeneous distributed computing environments
EP4099611B1 (de) * 2021-05-31 2024-01-10 Deutsche Telekom AG Erzeugung quantensicherer schlüssel in einem netzwerk
US11915325B2 (en) 2021-06-09 2024-02-27 Bank Of America Corporation Quantum enabled resource activity investigation and response tool
US20230017231A1 (en) * 2021-07-17 2023-01-19 International Business Machines Corporation Securely executing software based on cryptographically verified instructions
CN113824718B (zh) * 2021-09-18 2022-11-25 国科量子通信网络有限公司 一种量子网络接入安全中间件平台系统
WO2023078639A1 (en) * 2021-11-05 2023-05-11 Universität Hamburg Quantum-secured communication
CN114089674A (zh) * 2021-11-22 2022-02-25 安徽健坤通信股份有限公司 一种基于量子身份认证的云终端管控系统
US11575627B1 (en) * 2022-02-05 2023-02-07 Uab 360 It Optimized messaging in a mesh network
CN114666103B (zh) * 2022-03-04 2023-08-15 阿里巴巴（中国）有限公司 可信度量装置、设备、系统及可信身份认证方法
WO2024068938A1 (en) * 2022-09-30 2024-04-04 Utimaco Management Gmbh Securely obtaining an electronic key

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102946313A (zh) * 2012-10-08 2013-02-27 北京邮电大学 一种用于量子密钥分配网络的用户认证模型和方法
CN105827397A (zh) * 2015-01-08 2016-08-03 阿里巴巴集团控股有限公司 基于可信中继的量子密钥分发系统、方法及装置
CN105871538A (zh) * 2015-01-22 2016-08-17 阿里巴巴集团控股有限公司 量子密钥分发系统、量子密钥分发方法及装置

Family Cites Families (104)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CA2152628C (en) 1992-12-24 1999-02-02 Paul David Townsend System and method for key distribution using quantum cryptography
US5307410A (en) 1993-05-25 1994-04-26 International Business Machines Corporation Interferometric quantum cryptographic key distribution system
US6151676A (en) 1997-12-24 2000-11-21 Philips Electronics North America Corporation Administration and utilization of secret fresh random numbers in a networked environment
US6505247B1 (en) 1998-08-21 2003-01-07 National Instruments Corporation Industrial automation system and method for efficiently transferring time-sensitive and quality-sensitive data
US8677505B2 (en) 2000-11-13 2014-03-18 Digital Doors, Inc. Security system with extraction, reconstruction and secure recovery and storage of data
JPWO2003069489A1 (ja) 2002-02-14 2005-11-04 若山　裕典 本人認証の方法
US8850179B2 (en) 2003-09-15 2014-09-30 Telecommunication Systems, Inc. Encapsulation of secure encrypted data in a deployable, secure communication system allowing benign, secure commercial transport
US7299354B2 (en) 2003-09-30 2007-11-20 Intel Corporation Method to authenticate clients and hosts to provide secure network boot
US7831048B2 (en) 2003-12-17 2010-11-09 General Dynamics Advanced Information Systems, Inc. Secure quantum key distribution using entangled photons
US7644278B2 (en) 2003-12-31 2010-01-05 International Business Machines Corporation Method for securely creating an endorsement certificate in an insecure environment
US7181011B2 (en) 2004-05-24 2007-02-20 Magiq Technologies, Inc. Key bank systems and methods for QKD
US7646873B2 (en) 2004-07-08 2010-01-12 Magiq Technologies, Inc. Key manager for QKD networks
US7484099B2 (en) * 2004-07-29 2009-01-27 International Business Machines Corporation Method, apparatus, and product for asserting physical presence with a trusted platform module in a hypervisor environment
US20060056630A1 (en) 2004-09-13 2006-03-16 Zimmer Vincent J Method to support secure network booting using quantum cryptography and quantum key distribution
US9191198B2 (en) 2005-06-16 2015-11-17 Hewlett-Packard Development Company, L.P. Method and device using one-time pad data
US7885412B2 (en) 2005-09-29 2011-02-08 International Business Machines Corporation Pre-generation of generic session keys for use in communicating within communications environments
DE602005014879D1 (de) 2005-12-23 2009-07-23 Alcatel Lucent Ressourcen-Zugangskontrolle für Kunden-gesteuerte und Netzwerk-gesteuerte Abfragen
US8082443B2 (en) 2006-01-09 2011-12-20 Bbnt Solutions Llc. Pedigrees for quantum cryptography
US20130227286A1 (en) 2006-04-25 2013-08-29 Andre Jacques Brisson Dynamic Identity Verification and Authentication, Dynamic Distributed Key Infrastructures, Dynamic Distributed Key Systems and Method for Identity Management, Authentication Servers, Data Security and Preventing Man-in-the-Middle Attacks, Side Channel Attacks, Botnet Attacks, and Credit Card and Financial Transaction Fraud, Mitigating Biometric False Positives and False Negatives, and Controlling Life of Accessible Data in the Cloud
CA2648780C (en) 2006-04-25 2013-07-16 Stephen Laurence Boren Dynamic distributed key system and method for identity management, authentication servers, data security and preventing man-in-the-middle attacks
US8555072B2 (en) 2006-08-31 2013-10-08 International Business Machines Corporation Attestation of computing platforms
US8418235B2 (en) 2006-11-15 2013-04-09 Research In Motion Limited Client credential based secure session authentication method and apparatus
US8213602B2 (en) 2006-11-27 2012-07-03 Broadcom Corporation Method and system for encrypting and decrypting a transport stream using multiple algorithms
US20080165973A1 (en) 2007-01-09 2008-07-10 Miranda Gavillan Jose G Retrieval and Display of Encryption Labels From an Encryption Key Manager
EP2122900A4 (en) 2007-01-22 2014-07-23 Spyrus Inc PORTABLE DATA ENCRYPTION DEVICE WITH CONFIGURABLE SAFETY FUNCTIONS AND METHOD FOR FILING ENCRYPTION
US20080219449A1 (en) 2007-03-09 2008-09-11 Ball Matthew V Cryptographic key management for stored data
AU2008240065A1 (en) 2007-04-12 2008-10-23 Landon Curt Noll Method and system for identifying and managing encryption keys
GB2450869B (en) * 2007-07-09 2012-04-25 Hewlett Packard Development Co Establishing a trust relationship between computing entities
US8111828B2 (en) 2007-07-31 2012-02-07 Hewlett-Packard Development Company, L.P. Management of cryptographic keys for securing stored data
CN101106455B (zh) 2007-08-20 2010-10-13 北京飞天诚信科技有限公司 身份认证的方法和智能密钥装置
US9323901B1 (en) 2007-09-28 2016-04-26 Emc Corporation Data classification for digital rights management
US20090204812A1 (en) 2008-02-13 2009-08-13 Baker Todd M Media processing
US8838990B2 (en) 2008-04-25 2014-09-16 University Of Colorado Board Of Regents Bio-cryptography: secure cryptographic protocols with bipartite biotokens
GB0809044D0 (en) 2008-05-19 2008-06-25 Qinetiq Ltd Multiplexed QKD
EA201100389A1 (ru) 2008-08-20 2011-08-30 УЭРЕПРО, ЛЛСи Генератор пакетов данных, способ определения положения и передачи пароля
MY147120A (en) 2008-09-10 2012-10-31 Mimos Berhad Method of integrating quantum key distribution with internet key exchange protocol
GB0819665D0 (en) 2008-10-27 2008-12-03 Qinetiq Ltd Quantum key dsitribution
US9438574B2 (en) 2008-12-30 2016-09-06 Avago Technologies General Ip (Singapore) Pte. Ltd. Client/server authentication over Fibre channel
KR20110126124A (ko) 2009-02-04 2011-11-22 데이터 시큐어리티 시스템즈 솔루션스 피티이 엘티디 2-요소 인증을 위해 정적 암호를 변경하는 시스템
US8194858B2 (en) 2009-02-19 2012-06-05 Physical Optics Corporation Chaotic cipher system and method for secure communication
US8077047B2 (en) 2009-04-16 2011-12-13 Ut-Battelle, Llc Tampering detection system using quantum-mechanical systems
GB0917060D0 (en) 2009-09-29 2009-11-11 Qinetiq Ltd Methods and apparatus for use in quantum key distribution
US8700893B2 (en) 2009-10-28 2014-04-15 Microsoft Corporation Key certification in one round trip
WO2011050745A1 (zh) 2009-10-30 2011-05-05 北京飞天诚信科技有限公司 认证方法及系统
KR101314210B1 (ko) 2009-11-24 2013-10-02 한국전자통신연구원 사용자 인증 양자 키 분배 방법
WO2011068784A1 (en) 2009-12-01 2011-06-09 Azuki Systems, Inc. Method and system for secure and reliable video streaming with rate adaptation
KR101351012B1 (ko) 2009-12-18 2014-01-10 한국전자통신연구원 다자간 양자 통신에서의 사용자 인증 방법 및 장치
US8418259B2 (en) 2010-01-05 2013-04-09 Microsoft Corporation TPM-based license activation and validation
US8850554B2 (en) 2010-02-17 2014-09-30 Nokia Corporation Method and apparatus for providing an authentication context-based session
US8984588B2 (en) 2010-02-19 2015-03-17 Nokia Corporation Method and apparatus for identity federation gateway
US8868846B2 (en) 2010-03-19 2014-10-21 Netapp, Inc. Method and system for maintaining data coherency across a network
US9002009B2 (en) 2010-06-15 2015-04-07 Los Alamos National Security, Llc Quantum key distribution using card, base station and trusted authority
US8917631B2 (en) 2010-08-23 2014-12-23 Ortsbo Inc. System and method for sharing information between two or more devices
US8505083B2 (en) * 2010-09-30 2013-08-06 Microsoft Corporation Remote resources single sign on
GB201020424D0 (en) 2010-12-02 2011-01-19 Qinetiq Ltd Quantum key distribution
US8839134B2 (en) 2010-12-24 2014-09-16 Intel Corporation Projection interface techniques
CN103608829A (zh) 2011-01-18 2014-02-26 舍德Ip有限责任公司 用于基于编码完整性进行计算机化协商的系统和方法
US9531758B2 (en) 2011-03-18 2016-12-27 Zscaler, Inc. Dynamic user identification and policy enforcement in cloud-based secure web gateways
WO2012139174A1 (en) 2011-04-15 2012-10-18 Quintessencelabs Pty Ltd Qkd key management system
KR20140051354A (ko) 2011-07-29 2014-04-30 쓰리엠 이노베이티브 프로퍼티즈 컴파니 자동 연관 및 연결을 허용하는 무선 프레젠테이션 시스템
ES2509816T3 (es) 2011-08-05 2014-10-20 Selex Es S.P.A. Sistema para la distribución de claves criptográficas
EP2745212B1 (en) * 2011-08-19 2020-12-30 Quintessencelabs Pty Ltd Virtual zeroisation system and method
US9509506B2 (en) * 2011-09-30 2016-11-29 Los Alamos National Security, Llc Quantum key management
US9008308B2 (en) 2012-02-08 2015-04-14 Vixs Systems, Inc Container agnostic decryption device and methods for use therewith
EP2817941A4 (en) 2012-02-24 2015-10-21 Nokia Technologies Oy METHOD AND DEVICE FOR A DYNAMIC SERVICE CLIENTS-CONTROLLED CONNECTIVITY LOGIC
US9130742B2 (en) 2012-03-30 2015-09-08 California Institute Of Technology Key agreement in wireless networks with active adversaries
US8693691B2 (en) 2012-05-25 2014-04-08 The Johns Hopkins University Embedded authentication protocol for quantum key distribution systems
US10171454B2 (en) 2012-08-23 2019-01-01 Alejandro V. Natividad Method for producing dynamic data structures for authentication and/or password identification
US9887976B2 (en) 2012-08-30 2018-02-06 Los Alamos National Security, Llc Multi-factor authentication using quantum communication
CN102801530B (zh) 2012-09-04 2015-08-26 飞天诚信科技股份有限公司 一种基于声音传输的认证方法
JP2014078185A (ja) 2012-10-12 2014-05-01 Sony Corp 情報処理システムおよび方法、並びに情報処理端末
US9294267B2 (en) 2012-11-16 2016-03-22 Deepak Kamath Method, system and program product for secure storage of content
CN103856477B (zh) * 2012-12-06 2018-01-02 阿里巴巴集团控股有限公司 一种可信计算系统及相应的认证方法和设备
CN103034603B (zh) 2012-12-07 2014-06-18 天津瑞发科半导体技术有限公司 多通道闪存卡控制装置及其控制方法
US8990550B1 (en) * 2012-12-27 2015-03-24 Emc Corporation Methods and apparatus for securing communications between a node and a server based on hardware metadata gathered by an in-memory process
US8869303B2 (en) 2013-02-16 2014-10-21 Mikhail Fleysher Method and system for generation of dynamic password
US9374376B2 (en) 2013-02-27 2016-06-21 The Boeing Company Anti-hacking system for quantum communication
CN104036780B (zh) 2013-03-05 2017-05-24 阿里巴巴集团控股有限公司 一种人机识别方法及系统
US9747456B2 (en) 2013-03-15 2017-08-29 Microsoft Technology Licensing, Llc Secure query processing over encrypted data
CN105308616B (zh) 2013-04-18 2018-07-17 费思康有限公司 文件安全方法及其设备
CN105191249A (zh) 2013-04-26 2015-12-23 日立麦克赛尔株式会社 投影型影像显示装置
US9282093B2 (en) 2013-04-30 2016-03-08 Microsoft Technology Licensing, Llc Synchronizing credential hashes between directory services
CN103491531B (zh) * 2013-08-23 2016-07-06 中国科学技术大学 在电力系统WiMAX无线通信网中使用量子密钥提高电力信息传输安全性的方法
US20150095987A1 (en) 2013-10-01 2015-04-02 Certify Global LLC Systems and methods of verifying an authentication using dynamic scoring
US9684780B2 (en) 2013-11-25 2017-06-20 Yingjie Liu Dynamic interactive identity authentication method and system
US20150207926A1 (en) 2014-01-23 2015-07-23 Microsoft Corporation Entity-linked reminder notifications
WO2015113138A1 (en) 2014-01-31 2015-08-06 Teixem Corp. System and method for performing secure communications
US9747450B2 (en) 2014-02-10 2017-08-29 Facebook, Inc. Attestation using a combined measurement and its constituent measurements
JP6359285B2 (ja) 2014-02-17 2018-07-18 株式会社東芝 量子鍵配送装置、量子鍵配送システムおよび量子鍵配送方法
JP6203093B2 (ja) 2014-03-19 2017-09-27 株式会社東芝 通信システム、通信装置、通信方法およびプログラム
US20150288517A1 (en) 2014-04-04 2015-10-08 Ut-Battelle, Llc System and method for secured communication
US9331875B2 (en) 2014-04-04 2016-05-03 Nxgen Partners Ip, Llc System and method for communication using orbital angular momentum with multiple layer overlay modulation
US9083739B1 (en) 2014-05-29 2015-07-14 Shape Security, Inc. Client/server authentication using dynamic credentials
JP6399821B2 (ja) 2014-06-23 2018-10-03 キヤノン株式会社 情報処理装置、情報処理方法、およびコンピュータプログラム
CN105553648B (zh) 2014-10-30 2019-10-29 阿里巴巴集团控股有限公司 量子密钥分发、隐私放大及数据传输方法、装置及系统
KR101776137B1 (ko) 2014-10-30 2017-09-19 에스케이 텔레콤주식회사 양자 키 분배 시스템에서 복수의 장치에 키를 공급하는 장치 및 방법
CN104657099B (zh) 2015-01-15 2019-04-12 小米科技有限责任公司 屏幕投射方法、装置及系统
CN105991285B (zh) 2015-02-16 2019-06-11 阿里巴巴集团控股有限公司 用于量子密钥分发过程的身份认证方法、装置及系统
WO2016145037A1 (en) 2015-03-09 2016-09-15 University Of Houston System Methods and apparatuses for authentication in quantum key distribution and/or quantum data communication
US9667600B2 (en) 2015-04-06 2017-05-30 At&T Intellectual Property I, L.P. Decentralized and distributed secure home subscriber server device
US9578008B2 (en) 2015-05-11 2017-02-21 Intel Corporation Technologies for secure bootstrapping of virtual network functions
US10348704B2 (en) 2015-07-30 2019-07-09 Helder Silvestre Paiva Figueira Method for a dynamic perpetual encryption cryptosystem
US11398915B2 (en) 2016-08-26 2022-07-26 Samsung Electronics Co., Ltd. Apparatus and method for two-way authentication
US9923717B2 (en) * 2015-10-07 2018-03-20 International Business Machines Corporation Refresh of shared cryptographic keys

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102946313A (zh) * 2012-10-08 2013-02-27 北京邮电大学 一种用于量子密钥分配网络的用户认证模型和方法
CN105827397A (zh) * 2015-01-08 2016-08-03 阿里巴巴集团控股有限公司 基于可信中继的量子密钥分发系统、方法及装置
CN105871538A (zh) * 2015-01-22 2016-08-17 阿里巴巴集团控股有限公司 量子密钥分发系统、量子密钥分发方法及装置

Also Published As

Publication number Publication date
TW201814578A (zh) 2018-04-16
JP2019531630A (ja) 2019-10-31
WO2018071191A2 (en) 2018-04-19
US10855452B2 (en) 2020-12-01
WO2018071191A3 (en) 2019-06-06
TWI738835B (zh) 2021-09-11
JP7011646B2 (ja) 2022-01-26
US20180109377A1 (en) 2018-04-19
CN107959656A (zh) 2018-04-24

Similar Documents

Publication Publication Date Title
CN107959656B (zh) 数据安全保障系统及方法、装置
US10785019B2 (en) Data transmission method and apparatus
US11271730B2 (en) Systems and methods for deployment, management and use of dynamic cipher key systems
KR102015201B1 (ko) 보안 접속 및 관련 서비스를 위한 효율적인 개시
CN111416807B (zh) 数据获取方法、装置及存储介质
CN108234115B (zh) 信息安全的验证方法、装置和系统
KR102469979B1 (ko) 제1 애플리케이션과 제2 애플리케이션 사이의 상호 대칭 인증을 위한 방법
CN110874478B (zh) 密钥处理方法及装置、存储介质和处理器
WO2016065321A1 (en) Secure communication channel with token renewal mechanism
CN108418686A (zh) 一种多分布式的sm9解密方法与介质及密钥生成方法
CN111756529B (zh) 一种量子会话密钥分发方法及系统
CN112351037B (zh) 用于安全通信的信息处理方法及装置
Obert et al. Recommendations for trust and encryption in DER interoperability standards
KR20200040248A (ko) 매우 안전한, 데이터의 고속 암호화 및 전송을 위한 컴퓨터-구현 시스템 및 방법
Niu et al. A novel user authentication scheme with anonymity for wireless communications
CN113411187B (zh) 身份认证方法和系统、存储介质及处理器
Zerrouki et al. PUF-based mutual authentication and session key establishment protocol for IoT devices
CN111756528A (zh) 一种量子会话密钥分发方法、装置及通信架构
Ashraf et al. Lightweight and authentic symmetric session key cryptosystem for client–server mobile communication
CN114696999A (zh) 一种身份鉴别方法和装置
TWI804179B (zh) 量子安全金鑰交換方案
Barman et al. Cryptanalysis and improvement of three-factor-based confidentiality-preserving remote user authentication scheme in multi-server environment
WO2022135404A1 (zh) 身份鉴别方法、装置、存储介质、程序、及程序产品
CN117421757A (zh) 数据加密的方法、装置及电子设备
CN117375910A (zh) 一种基于不可信云fpga的可信通信方法及系统

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant