CN108337089A - 信令传输加密、解密方法、装置及终端 - Google Patents

Abstract

本发明公开了一种信令传输加密、解密方法、装置及终端，其中加密方法包括：向第一量子秘钥机发送请求信息；从第一量子秘钥机接收量子秘钥索引号；其中，量子秘钥索引号为第一量子秘钥机根据请求信息生成的；根据量子秘钥索引号从第一量子秘钥机获取量子加密秘钥；使用量子加密秘钥对待发送通信协议进行加密；生成量子加密标识头；其中，量子加密标识头包括：量子加密标识符、本次呼叫CallID和量子秘钥索引号；由量子加密标识头和加密后的待发送通信协议得到加密数据；将加密数据发送至被叫端。通过本发明，采用量子加密的方式对协议信令数据进行加密，提高了会议通信的安全等级。

Description

信令传输加密、解密方法、装置及终端

技术领域

本发明涉及通信技术领域，具体涉及一种信令传输加密、解密方法、装置、终端及计算机可读存储介质。

背景技术

目前，视频会议系统主要用户集中在政府、军队、电信、能源媒体等重点行业以及大中型企业中，根据国家要求，其“信息安全等级保护”应达到三级或以上水平。

视频会议系统存在安全风险，主要来源于：系统自身的安全漏洞，攻击者可以利用系统漏洞获取会议信息；黑客入侵，主流的视频会议采用H.323、H264/H.265等协议是公开的，使得黑客更容易攻克系统；传输隧道和网络路由窃取，使用设备存在“后门”，容易被利用；使用国际公开密码算法，像数据加密标准(Data Encryption Standard，简称为DES)、高级加密标准(Advanced Encryption Standard，简称为AES)等，这些算法本身理论上是可以破解的，存在已知或是未知的漏洞或是“后门”。

现有技术中视频会议加密采用DES或是AES进行加密，主要加密的数据是视频会议的码流，包括音频、视频和双流等。

发明内容

有鉴于此，本发明实施例提供了一种信令传输加密、解密方法及装置，以解决现有技术中视频会议的加密方式依然使视频会议系统传输数据存在安全隐患的问题。

根据第一方面，本发明实施例提供了一种信令传输加密方法，包括：向第一量子秘钥机发送请求信息；其中，请求信息包括量子加密使能标志信息、本次会议ID、主叫端标识信息、被叫端标识信息、被叫端通信ID以及本次呼叫CallID；从第一量子秘钥机接收量子秘钥索引号；其中，量子秘钥索引号为第一量子秘钥机根据请求信息生成的；根据量子秘钥索引号从第一量子秘钥机获取量子加密秘钥；使用量子加密秘钥对待发送通信协议进行加密；生成量子加密标识头；其中，量子加密标识头包括：量子加密标识符、本次呼叫CallID和量子秘钥索引号；由量子加密标识头和加密后的待发送通信协议得到加密数据；将加密数据发送至被叫端。

可选地，请求信息还包括加密频率。

可选地，使用量子加密秘钥对待发送通信协议进行加密，还包括：将待发送通信协议分为TPKT头和信令数据部分；分别将TPKT头和信令数据部分的长度补充至预定数量字节的整数倍；采用AES-128加密算法分别对TPKT头和信令数据部分进行加密。

可选地，向第一量子秘钥机发送请求信息之前，还包括：向第一量子秘钥机发送被叫端的量子ID。

根据第二方面，本发明实施例提供了一种信令传输解密方法，包括：从主叫端接收加密数据；其中，加密数据是由主叫端根据从第一量子秘钥机接收到的秘钥对待发送通信协议进行加密得到的；秘钥是由第一量子秘钥机根据量子秘钥索引号生成的；量子秘钥索引号是由第一量子秘钥机根据从主叫端接收的请求信息生成的，请求信息包括量子加密使能标志信息、本次会议ID、主叫端标识信息、被叫端标识信息、被叫端的量子ID以及本次呼叫CallID；从加密数据中的量子加密标识头获取量子秘钥索引号；其中，量子加密标识头包括量子加密标识符、本次呼叫CallID和量子秘钥索引号；将量子秘钥索引号发送至第二量子秘钥机；从第二量子秘钥机接收量子解密秘钥；使用量子解密秘钥对加密数据进行解密。

可选地，从第二量子秘钥机接收量子解密秘钥，并使用量子解密秘钥对加密数据进行解密之前，还包括：从量子加密标识头获取第一主叫端CallID；从第二量子秘钥机获取第二主叫端CallID；将第一主叫端CallID与第二主叫端CallID进行比较；确定第一主叫端CallID与第二主叫端CallID一致。

根据第三方面，本发明实施例提供了一种信令传输加密装置，包括：第一发送单元，用于向第一量子秘钥机发送请求信息；其中，请求信息包括量子加密使能标志信息、本次会议ID、主叫端标识信息、被叫端标识信息、被叫端通信ID以及本次呼叫CallID；第一接收单元，用于从第一量子秘钥机接收量子秘钥索引号；其中，量子秘钥索引号为第一量子秘钥机根据请求信息生成的；第一获取单元，根据量子秘钥索引号从第一量子秘钥机获取量子加密秘钥；加密单元，用于使用量子加密秘钥对待发送通信协议进行加密；第一生成单元，用于生成量子加密标识头；其中，量子加密标识头包括：量子加密标识符、本次呼叫CallID和量子秘钥索引号；第二获取单元，用于由量子加密标识头和加密后的待发送通信协议得到加密数据；第二发送单元，用于将加密数据发送至被叫端。

可选地，请求信息还包括加密频率。

可选地，加密单元包括：拆分模块，用于将待发送通信协议分为TPKT头和信令数据部分；补充模块，用于分别将TPKT头和信令数据部分的长度补充至预定数量字节的整数倍；加密单元，还用于采用AES-128加密算法分别对TPKT头和信令数据部分进行加密。

可选地，还包括：第三发送单元，用于向第一量子秘钥机发送被叫端的量子ID。

根据第四方面，本发明实施例提供了一种信令传输解密装置，包括：

第三接收单元，用于从主叫端接收加密数据；其中，加密数据是由主叫端根据从第一量子秘钥机接收到的秘钥对待发送通信协议进行加密得到的；秘钥是由第一量子秘钥机根据量子秘钥索引号生成的；量子秘钥索引号是由第一量子秘钥机根据从主叫端接收的请求信息生成的，请求信息包括量子加密使能标志信息、本次会议ID、主叫端标识信息、被叫端标识信息、被叫端的量子ID以及本次呼叫CallID；第三获取单元，用于从加密数据中的量子加密标识头获取量子秘钥索引号；其中，量子加密标识头包括量子加密标识符、本次呼叫CallID和量子秘钥索引号；第四发送单元，用于将量子秘钥索引号发送至第二量子秘钥机；第四接收单元，用于从第二量子秘钥机接收量子解密秘钥；解密单元，用于使用量子解密秘钥对加密数据进行解密。

可选地，还包括：第四获取单元，用于从量子加密标识头获取第一主叫端CallID；第五获取单元，用于从第二量子秘钥机获取第二主叫端CallID；比较单元，用于将第一主叫端CallID与第二主叫端CallID进行比较；确定单元，用于确定第一主叫端CallID与第二主叫端CallID一致。

根据第五方面，本发明实施例提供了一种终端，包括：至少一个处理器；以及与至少一个处理器通信连接的存储器；其中，存储器存储有可被一个处理器执行的指令，指令被至少一个处理器执行，以使至少一个处理器执行第一方面或者第一方面的任意一种实施方式中的信令传输加密方法或者第二方面或者第二方面的任意一种实施方式中的信令传输解密方法。

根据第六方面，本发明实施例提供了一种计算机可读存储介质，其上存储有计算机指令，其特征在于，该指令被处理器执行时实现第一方面或者第一方面的任意一种实施方式中的信令传输加密方法或者第二方面或者第二方面的任意一种实施方式中的信令传输解密方法。

本发明实施例技术方案，具有如下优点：

1、本发明实施提供一种信令传输加密方法及装置，其中方法包括：向第一量子秘钥机发送请求信息；其中，请求信息包括量子加密使能标志信息、本次会议ID、主叫端标识信息、被叫端标识信息、被叫端通信ID以及本次呼叫CallID；从第一量子秘钥机接收量子秘钥索引号；其中，量子秘钥索引号为第一量子秘钥机根据请求信息生成的；根据量子秘钥索引号从第一量子秘钥机获取量子加密秘钥；使用量子加密秘钥对待发送通信协议进行加密；生成量子加密标识头；其中，量子加密标识头包括：量子加密标识符、本次呼叫CallID和量子秘钥索引号；由量子加密标识头和加密后的待发送通信协议得到加密数据；将加密数据发送至被叫端。终端MT1向第一量子秘钥机发送请求信息，从第一量子秘钥机获得量子秘钥索引号，终端MT1根据量子秘钥索引号再向第一量子秘钥机获取对应的量子加密秘钥，使用量子加密秘钥对待发送通信协议进行加密，生成量子加密标识头，并将量子加密标识头添加到加密后的待发送通信协议之前，最后将加密数据发送至被叫端。采用量子加密的方式对协议信令数据进行加密，提高了会议通信的安全等级。

2、本发明实施提供一种信令传输加密方法及装置，请求信息还包括加密频率。采用不同的加密频率，能够加强会议通信安全等级。

3、本发明实施提供一种信令传输加密方法及装置，使用量子加密秘钥对待发送通信协议进行加密，还包括：将待发送通信协议分为TPKT头和信令数据部分；分别将TPKT头和信令数据部分的长度补充至预定数量字节的整数倍；采用AES-128加密算法分别对TPKT头和信令数据部分进行加密。将待发送通信协议分为TPKT头和信令数据部分，分别补充字节长度后再采用AES-128加密算法对TPKT头和信令数据部分分别加密，进一步提高加密安全等级。

4、本发明实施提供一种信令传输加密方法及装置，向第一量子秘钥机发送请求信息之前，还包括：向第一量子秘钥机发送被叫端的量子ID。使主叫端使用的第一量子秘钥机同被叫端使用的第二量子秘钥机建立通信关系，协商生成量子加密秘钥。确保主叫端和被叫端采用多台量子秘钥机上时，加密或解密能够使用同样的秘钥。

5、本发明实施提供一种信令传输解密方法及装置，其中方法包括：从主叫端接收加密数据；其中，加密数据是由主叫端根据从第一量子秘钥机接收到的秘钥对待发送通信协议进行加密得到的；秘钥是由第一量子秘钥机根据量子秘钥索引号生成的；量子秘钥索引号是由第一量子秘钥机根据从主叫端接收的请求信息生成的，请求信息包括量子加密使能标志信息、本次会议ID、主叫端标识信息、被叫端标识信息、被叫端的量子ID以及本次呼叫CallID；从加密数据中的量子加密标识头获取量子秘钥索引号；其中，量子加密标识头包括量子加密标识符、本次呼叫CallID和量子秘钥索引号；将量子秘钥索引号发送至第二量子秘钥机；从第二量子秘钥机接收量子解密秘钥；使用量子解密秘钥对加密数据进行解密。被叫端MT2从主叫端MT1接收加密数据，从加密数据中的量子加密标识头获取量子秘钥索引号，根据量子秘钥索引号向第二量子秘钥机请求量子解密秘钥，对加密数据进行解密。采用量子秘钥进行解密，能够有效避免第三方窃听，提高通信安全性。

6、本发明实施提供一种信令传输解密方法及装置，在使用量子解密秘钥对加密数据进行解密之前，还包括：从量子加密标识头获取第一主叫端CallID；从第二量子秘钥机获取第二主叫端CallID；将第一主叫端CallID与第二主叫端CallID进行比较；确定第一主叫端CallID与第二主叫端CallID一致。在对加密数据进行解密之前，从量子加密标识头获取本次呼叫CallID中包含的第一主叫端CallID信息，与从第二量子秘钥机获取的第二主叫端CallID进行比较，二者一致则确定本次通话身份信息无误。通过核对CallID信息，保证通信身份正确，避免接收第三方的信息进行误解密操作，提高了通信效率。

附图说明

通过参考附图会更加清楚的理解本发明的特征和优点，附图是示意性的而不应理解为对本发明进行任何限制，在附图中：

图1为本发明实施例中一种信令传输加密方法的流程示意图；

图2为本发明实施例中一种信令传输加密方法的信令量子加密前后数据结构对比示意图；

图3为本发明实施例中一种信令传输解密方法的流程示意图；

图4为本发明实施例中一种信令传输加密装置的结构示意图；

图5为本发明实施例中一种信令传输加密装置中加密单元的结构示意图；

图6为本发明实施例中一种信令传输解密装置的结构示意图；

图7本发明实施例中一种点对点会议量子加密组网示意图；

图8为发明实施例中一种H323多点会议量子加密组网示意图；

图9为本发明实施例中一种终端的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

现有技术中视频会议系统中主要加密的数据是视频会议的音频、视频和双流等，而不会对通信协议进行加密，本发明实施例提供了一种信令传输加密方法，应用于视频会议的主叫端，例如H323终端MT1，如图1所示，包括如下步骤：

S11，向第一量子秘钥机发送请求信息。其中，请求信息包括量子加密使能标志信息、本次会议ID、主叫端标识信息、被叫端标识信息、被叫端通信ID以及本次呼叫CallID。

在本实施例中，H323终端MT1是基于H323的视频会议的会话发起方，H323终端、GK服务器和量子秘钥机通过IP网络连接到同一台交换机上，可以采用星星网络拓扑结构，或其他拓扑结构。终端MT1先在GK服务器上注册信息，呼叫时终端可以采用IP、E164号或者别名形式。不论采用那种形式的呼叫，终端都会走ARQ/ACF的逻辑，目的是获取同样注册到GK服务器上的被叫终端MT2通信ID。

在具体实施例中，终端MT1向第一量子秘钥机发送的请求信息中包含量子加密使能标志信息，用于标注本次会话采用量子加密；请求信息中包含本次会议ID、主叫端标识信息、被叫端标识信息、被叫端通信ID和本次呼叫CallID，目的是确保会话的唯一性和正确性。

S12，从第一量子秘钥机接收量子秘钥索引号。其中，量子秘钥索引号为第一量子秘钥机根据请求信息生成的。

在本实施例中，第一量子秘钥机接收到终端MT1的请求信息后，会生成量子秘钥或量子秘钥池，同时产生一个量子秘钥索引号，可用于获得唯一的量子秘钥；终端MT1接收该量子秘钥索引号。

S13，根据量子秘钥索引号从第一量子秘钥机获取量子加密秘钥。

在本实施例中，终端MT1根据接收到的量子秘钥索引号向第一量子秘钥机请求并获取与该量子秘钥索引号对应的量子加密秘钥。

S14，使用量子加密秘钥对待发送通信协议进行加密。

在本实施例中，用获取的量子加密秘钥对待发送的通信协议进行加密。在具体实施方式中，待发送的通信协议，如H.225和H.245协议，每一条协议数据具体内容即为信令。例如，H.225的呼叫控制信令能建立H.323终端连接，这是通过在呼叫信令信道上交换H.225协议信息实现的。该呼叫信令信道可以位于两H.323终端之间也可以位于终端和关守之间。在本实施方式中，用量子加密秘钥对待发送的H.225协议进行加密。

S15，生成量子加密标识头。其中，量子加密标识头包括：量子加密标识符、本次呼叫CallID和量子秘钥索引号。

在本实施例中，为区分其他加密方式，生成携带有量子加密标识符、本次呼叫CallID和量子秘钥索引号的量子加密标识头。

S16，由量子加密标识头和加密后的待发送通信协议得到加密数据。

在本实施例中，加密数据包括量子加密标识头和加密后的待发送通信协议两部分，其中量子加密标识头包含表明采用量子加密的量子加密标识符、本次呼叫CallID和用于查找量子加密秘钥的量子索引号等信息。在具体实施例中，量子加密标识头在加密后的待发送通信协议前端。

S17，将加密数据发送至被叫端。

在本实施例中，终端MT1将加密数据发送至被叫端MT2。

本实施例中提供的信令传输加密方法，终端MT1向第一量子秘钥机发送请求信息，从第一量子秘钥机获得量子秘钥索引号，终端MT1根据量子秘钥索引号再向第一量子秘钥机获取对应的量子加密秘钥，使用量子加密秘钥对待发送通信协议进行加密，生成量子加密标识头，并将量子加密标识头添加到加密后的待发送通信协议之前，最后将加密数据发送至被叫端。采用量子加密的方式对协议信令数据进行加密，提高了会议通信的安全等级。

作为可选的实施方式，请求信息还包括加密频率。

在本实施例中，加密频率也是量子秘钥的更新频率，是指协议信令所采用的秘钥多久更新一次。目前有三个等级：一会一密，一分一密以及一秒一密三种。一会一密表示整个视频会议期间，H323信令都只使用固定的秘钥，不更新；一分一密表示会议开启后，每隔一分钟H323信令所用秘钥更新一次；一秒一密表示会议开启后，每隔一秒H323信令所用的秘钥更新一次。采用不同的加密频率，能够加强会议通信安全等级。

作为可选的实施方式，步骤S14还包括将待发送通信协议分为TPKT头和信令数据部分；分别将TPKT头和信令数据部分的长度补充至预定数量字节的整数倍；采用AES-128加密算法分别对TPKT头和信令数据部分进行加密。

在本实施例中，如图2所示，将待发送通信协议分为TPKT头和信令数据部分，例如，H.225和H.245交错发送的信令，由于采用TCP连接方式，就需要将TPKT头设置在每一条H.225或H.245信令前端，以此分隔不同协议的信令；在拆分出TPKT头以及信令数据后，受AES-128加密算法的字节数长度要求限制，分别将TPKT头和信令数据部分的长度补充至16字节的整数倍，量子秘钥作为加密秘钥，采用AES-128加密算法分别对TPKT头和信令数据部分进行加密。将待发送通信协议分为TPKT头和信令数据部分，分别补充字节长度后再采用AES-128加密算法对TPKT头和信令数据部分分别加密，进一步提高加密安全等级。

作为可选的实施方式，在步骤S11之前，还包括向第一量子秘钥机发送被叫端的量子ID。

在本实施例中，终端MT1向第一量子秘钥机发送被叫终端MT2的量子ID：当被叫终端MT2的量子ID与终端MT1的量子ID一致时，终端MT1和终端MT2使用同一台量子秘钥机；当被叫终端MT2的量子ID与终端MT1的量子ID不一致时，主叫终端MT1使用的第一量子秘钥机同被叫终端MT2使用的第二量子秘钥机建立通信关系，第一量子秘钥机和第二量子秘钥机协商生成量子加密秘钥。确保主叫端和被叫端采用多台量子秘钥机时，加密或解密能够使用同样的秘钥。

与上述实施例对应的，本发明实施例提供了一种信令传输解密方法，如图3所示，包括如下步骤：

S21，从主叫端接收加密数据。其中，加密数据是由主叫端根据从第一量子秘钥机接收到的秘钥对待发送通信协议进行加密得到的；秘钥是由第一量子秘钥机根据量子秘钥索引号生成的；量子秘钥索引号是由第一量子秘钥机根据从主叫端接收的请求信息生成的，请求信息包括量子加密使能标志信息、本次会议ID、主叫端标识信息、被叫端标识信息、被叫端的量子ID以及本次呼叫CallID。

在本实施例中，被叫端MT2从主叫端MT1接收加密数据。加密数据采用上述实施例中的信令传输加密方法产生。与上述实施例中主叫端MT1类似，在H323视频会议系统中，被叫端MT2也需在GK服务器上注册信息，使主叫端MT1在向GK服务器发送呼叫请求信令ARQ后，从GK服务器接收到呼叫确认信令ACF中携带被叫端MT2的通信ID，通过被叫端MT2的通信ID，主叫端MT1得以与之建立通信关系。

S22，从加密数据中的量子加密标识头获取量子秘钥索引号。其中，量子加密标识头包括量子加密标识符、本次呼叫CallID和量子秘钥索引号。

在本实施例中，读取加密数据中的量子加密标识头，从量子加密标识头中获取量子加密标识符、本次呼叫CallID和量子秘钥索引号。根据量子加密标识符确定加密数据是采用的是量子加密的方式；若未读取到量子加密标识符，则被叫端MT2不对该加密数据采用量子解密。

S23，将量子秘钥索引号发送至第二量子秘钥机。

在本实施例中，被叫端MT2与第二量子秘钥机建立TCP连接，向第二量子秘钥机发送加密数据中携带的量子秘钥索引号，第二量子秘钥机根据量子秘钥索引号查找出对应的量子解密秘钥。

S24，从第二量子秘钥机接收量子解密秘钥。

在本实施例中，被叫端MT2从第二量子秘钥机接收量子解密秘钥。

S25，使用量子解密秘钥对加密数据进行解密。

在本实施例中，被叫端MT2使用量子解密秘钥以及与主叫端MT1约定的解密算法对加密数据进行解密。

根据本实施例提供的信令传输解密方法，被叫端MT2从主叫端MT1接收加密数据，从加密数据中的量子加密标识头获取量子秘钥索引号，根据量子秘钥索引号向第二量子秘钥机请求量子解密秘钥，对加密数据进行解密。采用量子秘钥进行解密，能够有效避免第三方窃听，提高通信安全性。

作为可选的实施方式，在步骤S25之前，还包括：

从量子加密标识头获取第一主叫端CallID；

从第二量子秘钥机获取第二主叫端CallID；

将第一主叫端CallID与第二主叫端CallID进行比较；

确定第一主叫端CallID与第二主叫端CallID一致。

在本实施例中，在对加密数据进行解密之前，从量子加密标识头获取本次呼叫CallID中包含的第一主叫端CallID信息，与从第二量子秘钥机获取的第二主叫端CallID进行比较，二者一致则确定本次通话身份信息无误。通过核对CallID信息，保证通信身份正确，避免接收第三方的信息进行误解密操作，提高了通信效率。

如图4所示，本发明实施例还提供了一种信令传输加密装置，包括第一发送单元101，第一接收单元103，第一获取单元104，加密单元105，第一生成单元106，第二获取单元107和第二发送单元108，其中：

第一发送单元101用于向第一量子秘钥机102发送请求信息；其中，请求信息包括量子加密使能标志信息、本次会议ID、主叫端标识信息、被叫端标识信息、被叫端通信ID以及本次呼叫CallID；

第一接收单元103用于从第一量子秘钥机102接收量子秘钥索引号；其中，量子秘钥索引号为第一量子秘钥机102根据请求信息生成的；

第一获取单元104根据量子秘钥索引号从第一量子秘钥机102获取量子加密秘钥；

加密单元105用于使用量子加密秘钥对待发送通信协议进行加密；

第一生成单元106用于生成量子加密标识头；其中，量子加密标识头包括：量子加密标识符、本次呼叫CallID和量子秘钥索引号；

第二获取单元107用于由量子加密标识头和加密后的待发送通信协议得到加密数据；

第二发送单元108用于将加密数据发送至被叫端2。

在本实施例中，第一发送单元向第一量子秘钥机发送请求信息，第一接收单元从第一量子秘钥机获得量子秘钥索引号第一获取单元根据量子秘钥索引号再向第一量子秘钥机获取对应的量子加密秘钥，加密单元使用量子加密秘钥对待发送通信协议进行加密，第一生成单元生成量子加密标识头，添加单元将量子加密标识头添加到加密后的待发送通信协议之前，最后第二发送单元将加密数据发送至被叫端。采用量子加密的方式对协议信令数据进行加密，提高了会议通信的安全等级。

作为可选的实施方式，请求信息还包括加密频率。

在本实施例中，加密频率也是量子秘钥的更新频率，是指协议信令所采用的秘钥多久更新一次。目前有三个等级：一会一密，一分一密以及一秒一密三种。一会一密表示整个视频会议期间，H323信令都只使用固定的秘钥，不更新；一分一密表示会议开启后，每隔一分钟H323信令所用秘钥更新一次；一秒一密表示会议开启后，每隔一秒H323信令所用的秘钥更新一次。采用不同的加密频率，能够加强会议通信安全等级。

作为可选的实施方式，如图5所示，加密单元105还包括拆分模块1051和补充模块1052，其中：

拆分模块1051用于将待发送通信协议分为TPKT头和信令数据部分；

补充模块1052用于分别将TPKT头和信令数据部分的长度补充至预定数量字节的整数倍；

加密单元105还用于采用AES-128加密算法分别对TPKT头和信令数据部分进行加密。

在本实施例中，拆分单元将待发送通信协议分为TPKT头和信令数据部分，补充单元分别补充字节长度后，加密单元采用AES-128加密算法对TPKT头和信令数据部分分别加密，进一步提高加密安全等级。

作为可选的实施方式，还包括：

第三发送单元109，用于向第一量子秘钥机发送被叫端的量子ID。

具体请参考上述实施例中信令传输加密方法部分，使主叫端使用的第一量子秘钥机和被叫端使用的第二量子秘钥机建立通信关系，协商生成量子加密秘钥，确保主叫端和被叫端采用多台量子秘钥机时，加密或解密能够使用同样的秘钥。

如图6所示，本发明实施例还提供了一种信令传输解密装置，包括：

第三接收单元201，用于从主叫端1接收加密数据；其中，加密数据是由主叫端根据从第一量子秘钥机102接收到的秘钥对待发送通信协议进行加密得到的；秘钥是由第一量子秘钥机102根据量子秘钥索引号生成的；量子秘钥索引号是由第一量子秘钥机102根据从主叫端1接收的请求信息生成的，请求信息包括量子加密使能标志信息、本次会议ID、主叫端标识信息、被叫端标识信息、被叫端的量子ID以及本次呼叫CallID；

第三获取单元202，用于从加密数据中的量子加密标识头获取量子秘钥索引号；其中，量子加密标识头包括量子加密标识符、本次呼叫CallID和量子秘钥索引号；

第四发送单元203，用于将量子秘钥索引号发送至第二量子秘钥机204；

第四接收单元205，用于从第二量子秘钥机204接收量子解密秘钥；

解密单元206，用于使用量子解密秘钥对加密数据进行解密。

具体请参考上述信令传输解密方法实施例，被叫端MT2从主叫端MT1接收加密数据，从加密数据中的量子加密标识头获取量子秘钥索引号，根据量子秘钥索引号向第二量子秘钥机请求量子解密秘钥，对加密数据进行解密。采用量子秘钥进行解密，能够有效避免第三方窃听，提高通信安全性。

作为可选的实施方式，还包括：

第四获取单元207，用于从第二量子秘钥机获取第一主叫端CallID

第五获取单元208，用于从第二量子秘钥机获取第二主叫端CallID；

比较单元209，用于将第一主叫端CallID与第二主叫端CallID进行比较；

确定单元210，用于确定第一主叫端CallID与第二主叫端CallID一致。

具体请参考上述信令传输解密方法实施例，通过核对CallID信息，保证通信双方身份正确，避免接收第三方的信息进行误解密操作，提高了通信效率。

在另一实施例中，如图7所示，这里用最简单的点对点视频会议系统来阐述视频会议系统中信令进行量子加密和解密的过程。整个点对点系统需要两个H323终端，一台GK服务器和量子密匙机。

在使用同一台量子秘钥机的情况下，两个终端使用的量子ID是相同的。假设MT1呼叫MT2，则MT1会向量子秘钥机请求秘钥，此时获取到量子密匙索引号。当发送一条H323信令时(比如呼叫信令setup)，会对本条信令进行对齐操作，TPKT头按照16字节倍数对齐，信令数据部分也按照16字节倍数对齐，将补齐之后的TPKT和信令数据进行拼接，如图2所示。然后通过量子密匙索引号获取量子密匙，接着利用AES-128算法对信令补齐之后的数据进行整体加密，最后在整个数据前加量子头，再发送出去。其中，量子头中携带量子加密标识符，目的用来标识本次信令是量子加密信令，CallID目的用来标识呼叫的唯一性，KeyHandle量子秘钥索引号，由主叫端生成，目的在于解密端通过主叫端生成的量子秘钥索引号从量子秘钥机中获取密匙，从而解密信令。

解密端收到H323信令之后，先从量子头中取出量子加密标识符，如果不是规定的量子加密标识符，则认为不是量子加密信令，不进行解密。如果判断是正确的量子加密标识符，则认为是量子加密信令，接着取出KeyHandle量子秘钥索引号，利用KeyHandle量子秘钥索引号从量子秘钥机中取出密匙，通过AES-128算法解密数据。首先，解密的是TPKT头，它携带了H323信令的长度，因为加密端对TPKT进行了字节补齐，所以解密之后去掉补齐的字节数；其次，解密H323信令数据部分，同样利用KeyHandle量子秘钥索引号从量子秘钥机中取出密匙，通过AES-128算法解密数据。如果H323信令数据部分有进行字节补齐，那么解密之后去掉补齐的字节数,这样就解密了一条完成的H323量子加密信令。之后所有的信令数据都是按照呼叫setup信令消息进行量子加密和解密的。

在另一实施例中，如图8所示，这里用最简单的多点视频会议系统来阐述视频会议系统中信令进行量子加密和解密的过程。整个点对点系统需要两个H323终端，一台GK服务器，一台MCU服务器和量子密匙机。

两个H323终端，一台GK服务器，一台MCU服务器和量子密匙机，通过IP网络都连接到同一台交换机上，网络拓扑结构采用星型结构，其他网络拓扑结构均可。首先，两个H323终端和MCU都注册到GK服务器上，目的是将自己的量子ID注册到GK上。其次，当MCU邀请终端入会，此时终端都会走ARQ/ACF流程，ACF信令会携带终端的量子ID，MCU侧可以通过量子ID获取到KeyHandle量子秘钥索引号，在发送信令数据前，利用KeyHandle量子秘钥索引号获取到量子密匙。然后，将H323信令分为TPKT和信令数据两个部分。如果TPKT和信令数据长度不是16字节倍数，则需要对齐。接下来，通过获取到的量子密匙，利用AES-128算法对整个TPKT和信令数据进行加密。最后，在加密后的数据前加上量子头，一起发送出去。量子头携带的内容和作用在上述实施例中有说明，不在赘述。

解密端(H323终端)收到量子加密过来的信令，先取出量子头，如果量子头中的量子标识符不是我们规定的，则不认为是量子加密信令，不进行解密。如果量子标识符符合我们规定的，那么取出KeyHandle量子秘钥索引号，通过KeyHandle量子秘钥索引号从量子密匙机中取出密匙，此密匙和加密端密匙相同，通过此密匙可以利用AES-128算法先将TPKT解密出来，并去除对齐的字节数。然后，利用密匙继续将H323信令数据进行解密，一般来说信令数据都是加密前对齐过的，则解密之后将对齐补充的数据去掉，保留有效的H323信令数据部分。这样就可以完整解密一条H323信令数据。之后所有的信令数据都是按照呼叫setup信令消息的方式进行量子加密和解密的。

多点会议中，终端之间并不直接通信，而是通过MCU进行转发信令数据。因为只有一台量子密匙机，所以终端和MCU使用的量子ID都是相同的。如果有多台量子密匙机，通过量子ID标识它们，那么密匙机之间则可以通过光纤网络进行密匙协商和分发。

本发明实施例还提供了一种终端，如图9所示，包括：至少一个处理器91；以及与至少一个处理器91通信连接的存储器92；其中，存储器92存储有可被一个处理器91执行的指令，指令被至少一个处理器91执行，以使至少一个处理器执行上述任意一种实施方式中的信令传输加密方法或者信令传输解密方法。

处理器91可以为中央处理器(Central Processing Unit，CPU)。处理器91还可以为其他通用处理器、数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等芯片，或者上述各类芯片的组合。

存储器92作为一种非暂态计算机可读存储介质，可用于存储非暂态软件程序、非暂态计算机可执行程序以及模块，如本发明实施例中的信令传输加密方法对应的程序指令/模块(例如，图4所示的第一发送单元101、第一接收单元103、第一获取单元104和加密单元105等)。处理器91通过运行存储在存储器92中的非暂态软件程序、指令以及模块，从而执行处理器的各种功能应用以及数据处理，即实现上述方法实施例中的信令传输加密方法。

存储器92可以包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需要的应用程序；存储数据区可存储处理器91所创建的数据等。此外，存储器92可以包括高速随机存取存储器，还可以包括非暂态存储器，例如至少一个磁盘存储器件、闪存器件、或其他非暂态固态存储器件。在一些实施例中，存储器92可选包括相对于处理器91远程设置的存储器，这些远程存储器可以通过网络连接至处理器91。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

所述一个或者多个模块存储在所述存储器92中，当被所述处理器91执行时，执行如图1-3所示实施例中的信令传输加密方法或者信令传输解密方法。

上述终端具体细节可以对应参阅图1至图3所示的实施例中对应的相关描述和效果进行理解，此处不再赘述。

本领域技术人员可以理解，实现上述实施例信令传输加密方法或者信令传输解密方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，所述存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)、随机存储记忆体(Random Access Memory，RAM)、快闪存储器(Flash Memory)、硬盘(Hard DiskDrive，缩写：HDD)或固态硬盘(Solid-State Drive，SSD)等；所述存储介质还可以包括上述种类的存储器的组合。

虽然结合附图描述了本发明的实施例，但是本领域技术人员可以在不脱离本发明的精神和范围的情况下作出各种修改和变型，这样的修改和变型均落入由所附权利要求所限定的范围之内。

Claims (12)

1.一种信令传输加密方法，其特征在于，包括：

向第一量子秘钥机发送请求信息；其中，所述请求信息包括量子加密使能标志信息、本次会议ID、主叫端标识信息、被叫端标识信息、被叫端通信ID以及本次呼叫CallID；

从所述第一量子秘钥机接收量子秘钥索引号；其中，所述量子秘钥索引号为所述第一量子秘钥机根据所述请求信息生成的；

根据所述量子秘钥索引号从所述第一量子秘钥机获取量子加密秘钥；

使用所述量子加密秘钥对待发送通信协议进行加密；

生成量子加密标识头；其中，所述量子加密标识头包括：量子加密标识符、所述本次呼叫CallID和所述量子秘钥索引号；

由所述量子加密标识头和加密后的所述待发送通信协议得到加密数据；

将所述加密数据发送至所述被叫端。

2.根据权利要求1所述的信令传输加密方法，其特征在于，所述使用所述量子加密秘钥对待发送通信协议进行加密，还包括：

将所述待发送通信协议分为TPKT头和信令数据部分；

分别将所述TPKT头和所述信令数据部分的长度补充至预定数量字节的整数倍；

采用AES-128加密算法分别对TPKT头和信令数据部分进行加密。

3.根据权利要求1或2所述的信令传输加密方法，其特征在于，向第一量子秘钥机发送请求信息之前，还包括：

向所述第一量子秘钥机发送所述被叫端的量子ID。

4.一种信令传输解密方法，其特征在于，包括：

从主叫端接收加密数据；其中，所述加密数据是由所述主叫端根据从第一量子秘钥机接收到的秘钥对待发送通信协议进行加密得到的；所述秘钥是由所述第一量子秘钥机根据量子秘钥索引号生成的；所述量子秘钥索引号是由所述第一量子秘钥机根据从所述主叫端接收的请求信息生成的，所述请求信息包括量子加密使能标志信息、本次会议ID、所述主叫端标识信息、被叫端标识信息、所述被叫端的量子ID以及本次呼叫CallID；

从所述加密数据中的量子加密标识头获取量子秘钥索引号；其中，所述量子加密标识头包括量子加密标识符、本次呼叫CallID和所述量子秘钥索引号；

将所述量子秘钥索引号发送至第二量子秘钥机；

从所述第二量子秘钥机接收量子解密秘钥；

使用所述量子解密秘钥对所述加密数据进行解密。

5.根据权利要求4所述的信令传输解密方法，其特征在于，从所述第二量子秘钥机接收量子解密秘钥，并使用所述量子解密秘钥对所述加密数据进行解密之前，还包括：

从所述量子加密标识头获取第一主叫端CallID；

从所述第二量子秘钥机获取第二主叫端CallID；

将所述第一主叫端CallID与第二主叫端CallID进行比较；

确定所述第一主叫端CallID与所述第二主叫端CallID一致。

6.一种信令传输加密装置，其特征在于，包括：

第一发送单元(101)，用于向第一量子秘钥机(102)发送请求信息；其中，所述请求信息包括量子加密使能标志信息、本次会议ID、主叫端标识信息、被叫端标识信息、被叫端通信ID以及本次呼叫CallID；

第一接收单元(103)，用于从所述第一量子秘钥机(102)接收量子秘钥索引号；其中，所述量子秘钥索引号为所述第一量子秘钥机(102)根据所述请求信息生成的；

第一获取单元(104)，根据所述量子秘钥索引号从所述第一量子秘钥机(102)获取量子加密秘钥；

加密单元(105)，用于使用所述量子加密秘钥对待发送通信协议进行加密；

第一生成单元(106)，用于生成量子加密标识头；其中，所述量子加密标识头包括：量子加密标识符、本次呼叫CallID和所述量子秘钥索引号；

第二获取单元(107)，用于由所述量子加密标识头和加密后的所述待发送通信协议得到加密数据；

第二发送单元(108)，用于将所述加密数据发送至所述被叫端(2)。

7.根据权利要求6所述的信令传输加密装置，其特征在于，所述加密单元(105)包括：

拆分模块(1051)，用于将所述待发送通信协议分为TPKT头和信令数据部分；

补充模块(1052)，用于分别将所述TPKT头和所述信令数据部分的长度补充至预定数量字节的整数倍；

所述加密单元(105)，还用于采用AES-128加密算法分别对所述TPKT头和所述信令数据部分进行加密。

8.根据权利要求6或7所述的信令传输加密装置，其特征在于，还包括：

第三发送单元(109)，用于向所述第一量子秘钥机(102)发送所述被叫端的量子ID。

9.一种信令传输解密装置，其特征在于，包括：

第三接收单元(201)，用于从主叫端(1)接收加密数据；其中，所述加密数据是由所述主叫端(1)根据从第一量子秘钥机(102)接收到的秘钥对待发送通信协议进行加密得到的；所述秘钥是由所述第一量子秘钥机(102)根据量子秘钥索引号生成的；所述量子秘钥索引号是由所述第一量子秘钥机(102)根据从所述主叫端接收的请求信息生成的，所述请求信息包括量子加密使能标志信息、本次会议ID、所述主叫端标识信息、被叫端标识信息、所述被叫端的量子ID以及本次呼叫CallID；

第三获取单元(202)，用于从所述加密数据中的量子加密标识头获取量子秘钥索引号；其中，所述量子加密标识头包括量子加密标识符、本次呼叫CallID和所述量子秘钥索引号；

第四发送单元(203)，用于将所述量子秘钥索引号发送至第二量子秘钥机(204)；

第四接收单元(205)，用于从所述第二量子秘钥机(204)接收量子解密秘钥；

解密单元(206)，用于使用所述量子解密秘钥对所述加密数据进行解密。

10.根据权利要求9所述的信令传输解密装置，其特征在于，还包括：

第四获取单元(207)，用于从所述量子加密标识头获取第一主叫端CallID；

第五获取单元(208)，用于从所述第二量子秘钥机(204)获取第二主叫端CallID；

比较单元(209)，用于将所述第一主叫端CallID与第二主叫端CallID进行比较；

确定单元(210)，用于确定所述第一主叫端CallID与所述第二主叫端CallID一致。

11.一种终端，其特征在于，包括：至少一个处理器；以及与所述至少一个处理器通信连接的存储器；其中，所述存储器存储有可被所述一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器执行上述权利要求1-3中任一所述的信令传输加密方法或者上述权利要求4或5所述的信令传输解密方法。

12.一种计算机可读存储介质，其上存储有计算机指令，其特征在于，该指令被处理器执行时实现上述权利要求1-3中任一所述的信令传输加密方法或者上述权利要求4或5所述的信令传输解密方法。