CN108667607A - 一种配用电终端的量子密钥同步方法 - Google Patents

Abstract

本发明公开了一种配用电终端的量子密钥同步方法，其通过为每一个量子密钥分配唯一的ID，将这些共享量子密钥分别存储在量子密钥下载接口A和B，并采用第三方安全存储介质为中介的方法传递量子密钥，通过第三方安全存储介质从量子密钥下载接口获取配用电终端所需量子密钥，然后再逐一与配用电终端物理接口相连，将量子密钥输出到配用电终端中。本发明的配用电终端的量子密钥同步方法，是基于量子密钥“脱网”分发在各配用电终端形成的密钥池，基于量子密钥ID协商的方法，针对业务安全防护等级需求，采用两种量子密钥同步方法相结合的方法，提高信道利用率，并保障协商同步过程量子密钥ID的传输安全。

Description

一种配用电终端的量子密钥同步方法

技术领域

本发明涉及一种量子密钥同步方法，特别是一种配用电终端的量子密钥同步方法。

背景技术

量子保密通信是基于对称密钥来实现加密通信。通过量子密钥分发网络，在通信双方协商生成量子密钥（对称密钥），进而用于加密需要传输的数据。

量子密钥的分发架构主要有以下两种基本形式:一种是：（1）量子密钥点对点分发架构：

如图2所示是最基本的量子保密通信架构。量子密钥是对称密钥，通信双方需要获得相同的共享密钥，才能实现对数据的加密、解密。因此，对于图2，通信两端的量子密钥使用设备需要分别从量子密钥生成设备A和B获取量子密钥。量子密钥生成设备A和B，通过光纤，实现双方量子密钥协商生成，并分别将量子密钥输出到量子密钥使用设备。

无论是点对点的量子密钥分发，还是组成量子密钥分发网络，都是基于图2量子密钥生成设备A和B，以及光纤组成的点对点密钥分发架构实现及扩展的。

另一种是：图3所示为典型的量子密钥分发网络，网络中包含量子网络管理服务器、量子集控站、量子终端、量子密钥下载接口等设备。其中，量子网络管理服务器用于管理整个量子密钥分发网络设备，以及协调全网分发量子密钥，实现量子密钥在两个不同下载接口之间的共享。量子集控站用于与相连的量子终端（也即图2的量子密钥生成设备）协商生成量子密钥，实现量子密钥在量子集控站和量子终端之间分发（集控站内部实质是：分别与多个量子终端相对应的多个量子密钥生成设备，或者一个量子密钥生成设备，通过多路复用开关，与多个量子终端对应）。量子密钥下载接口作为量子密钥池，保存量子终端生成的量子密钥，是业务终端获取量子密钥的通道，也是量子密钥分发网络的边缘。量子密钥分发网络中各设备均是固定位置不动的。

业务终端A和B分别从量子密钥下载接口A和B获取共享的量子密钥，对业务数据进行加解密，并经过已有的传统数据通信网进行加密数据通信。业务终端与量子密钥下载接口之间实现量子密钥交互的手段，可以是直接物理接口连接（如USB接口直连等），也可以通过传统加密保护的网络（如以太网、无线网络等），或者通过第三方保密存储介质中转（如加密移动U盘等）。

目前，由于量子密钥分发网络相关设备成本较高、体积较大，将量子保密通信技术应用在配用电业务场景中，为每一台配用电终端配备一台量子密钥生成设备，是无法实现的。因此，对于数量多、分布广的配用电终端，采用如图1所示的“离线”分发量子密钥的方式，来进行量子密钥分发。量子密钥分发网络的作用是在各个量子密钥下载接口协商生成量子密钥，量子密钥下载接口的作用是将所生成的量子密钥输出到使用端。量子密钥分发网络根据用户需求，在量子密钥下载接口1和2（或者其他接口）上产生一定数量的对应量子密钥。一方面，量子密钥从下载接口1下载到主站业务系统，另一方面，相对应的量子密钥从下载接口2下载到各个配用电终端。如前所述，由于给每一个配用电终端配备一个量子密钥下载接口是无法实现的，因此，每一台配用电终端需要通过一定的方式（例如，对于移动业务终端可以移动到下载接口2去读取密钥，对于固定业务终端可以通过U盾等移动介质或者无线加密通道等进行中转，下面统一称简称为：“脱网”分发）从量子密钥下载接口2下载一批（多个）量子密钥到各个配用电终端。于是，每个配用电终端就拥有了多个量子密钥（且每个终端获得的量子密钥完全不同），在随后的业务加密通信过程中，能够利用这些预存的量子密钥，脱离量子密钥分发网络与主站业务系统进行加密通信。

可见，配用电终端与主站业务系统之间不是实时协商生成量子密钥，而是配用电终端会一次性从量子密钥分发网络获取一定数量的密钥（同时主站业务系统也会从量子密钥分发网络获取相对应的量子密钥），用于接下来一段时间内业务加密通信。这种量子密钥“脱网”分发的方法，将在主站业务系统及配用电终端存放一定数量的量子密钥，形成量子密钥池，供业务数据加密通信使用。这种“脱网”分发的缺点是：1、通信双方需要协商所使用的量子密钥的长度，增加系统复杂度和通信数据量；2、通信双方需要确定各自在密钥池中选用的密钥是否相同，需要安全的密钥统一机制，确保双方的保密通信不因存储、系统控制等问题发生密钥比特丢失、错乱等问题，确保保密通信能够能够顺利进行；3、在配电自动化、用电信息采集等大规模终端覆盖的情况下，脱网分发相对于在线分发来说，更为低效。

发明内容

本发明的目的在于克服现有技术的不足之处，而提供一种在主站业务系统和配用电终端之间建立高效安全的协商方法，实现双方量子密钥同步使用，也即从一定数量的量子密钥中，双方约定本次数据或本段时间内加密通信所使用的量子密钥，用于业务数据加解密的一种配用电终端的量子密钥同步方法。

一种配用电终端的量子密钥同步方法，（1）、配电系统内的配用电终端向主站业务系统完成认证和注册后，申请数量为N的量子密钥；（2）、主站业务系统接收来自下属各个配用电终端的量子密钥申请，向量子密钥分发网络申请总数为M的量子密钥；（3）量子密钥分发网络生成M个量子密钥，并为每一个量子密钥分配唯一的ID，将这些共享量子密钥分别存储在量子密钥下载接口A和B，（3）主站业务系统从量子密钥下载接口A读取这M个量子密钥；（4）第三方安全存储介质从量子密钥下载接口B读取上述M个量子密钥，并依次接入各个配用电终端，每个配用电终端读取申请数量N的量子密钥存储在本地存储介质中，（5）量子密钥同步方法，包含消息协商同步方法和数据包字段同步方法，消息协商同步方法指的是在进行业务数据加密传输之前，主站业务系统与配用电终端通过消息协商的方式，确定本次或本段时间内所使用的量子密钥ID，确定好量子密钥之后，再进行业务数据加解密操作；数据包字段同步方法，在业务数据通信之前，不进行量子密钥ID协商，而是在数据包中特定字段加入量子密钥ID字段，接收端通过该字段ID在本地存储介质中找到对应的量子密钥，进行解密操作。

量子密钥下载接口、第三方安全存储介质、配用电终端，两两设备之间采用物理接口（如USB接口等）直接对接的方式传输量子密钥，非法窃听者一般难以直接在物理接口处进行窃听。量子密钥不在网络中传递，避免了其他攻击者在网络信道上非法窃听和窃取量子密钥的风险，因为网络上的窃听对于通信双方来说是不可知、不可探测的，这样，被窃听的量子密钥就有可能进入业务通信系统中应用，增加加密业务数据被破译的风险。

配用电终端A从第三方存储介质中读取量子密钥，读取过程可以是顺序读取，也可以是随机读取。

配用电终端与主站业务系统需要进行量子加密通信时，当配用电业务安全防护等级要求较低时，量子密钥使用更换频率较低，采用先协商同步量子密钥ID，再加密通信的方法，即消息协商同步方法。

具体为在进行加密通信前，主站业务系统与配用电终端A进行量子密钥ID协商，确定本次加密通信或本段时间内所使用的量子密钥ID，协商完毕后，在量子密钥有效期内采用该量子密钥ID所对应的量子密钥进行加密通信。

配用电终端与主站业务系统需要进行量子加密通信时，当配用电业务安全防护等级要求较高，量子密钥使用更换频率较高，需要经常更换密钥的，采用协商量子密钥ID与加密通信同时进行的方法，即数据包字段同步方法。

具体为在通信数据包中，加入一个字节，用于记录发送端当前数据包所使用的量子密钥的ID，在接受端用此ID所对应的量子密钥进行解密。

在传输量子密钥ID，对于协商同步量子密钥ID的保护，采用共享算法和更新计数器来进行保护，其具体为在主站业务系统和配用电终端，共享有一个算法K(x)以及计数器Counter，当量子密钥更新时，计数器Counter加1，将Counter的数值代入算法K(x)计算出一个数值，作为第一个数据包所使用的量子密钥ID，对于后面传输的量子密钥ID，从密钥池中随机选择，然后用前一个数据包所用的量子密钥来加密本次所用量子密钥的ID。

这样，避免了量子密钥ID明文传输。同时，量子密钥在本地密钥池中随机选择，能够避免有规律重复选择造成的选择密文攻击风险。同时，又能（非周期性）重复使用分发的量子密钥，减少从量子密钥分发网络频繁获取并更新量子密钥的工作量。

综上所述的，本发明相比现有技术如下优点：

本发明的配用电终端的量子密钥同步方法，是基于量子密钥“脱网”分发在各配用电终端形成的密钥池，基于量子密钥ID协商的方法，针对业务安全防护等级需求，采用两种量子密钥同步方法相结合的方法，提高信道利用率，并保障协商同步过程量子密钥ID的传输安全。 1.有助于修正因脱网分发带来的存储、读取过程中密钥比特的丢失问题，有效匹配配用电终端侧与业务汇聚侧的量子密钥池，提高整个系统的密钥匹配率与加解密成功率。2.基于协议的匹配方式有助于规范通信过程，降低系统复杂度，提升通信效率。3.安全协商协议可以有效的保证量子密钥在使用过程中的安全性。

附图说明

图1是现有技术的量子密钥在配用电终端分发的示意图。

图2是现有技术的量子密钥分发及使用典型架构图。

图3是现有技术的量子密钥在移动终端分发使用的典型架构图。

具体实施方式

下面结合实施例对本发明进行更详细的描述。

实施例1

一种配用电终端的量子密钥同步方法，配用电终端A加入配用电系统，向主站业务系统完成认证和注册后，申请数量为N的量子密钥。

主站业务系统接收来自下属各个配用电终端（包括终端A）的量子密钥申请，向量子密钥分发网络申请总数为M的量子密钥。

量子密钥分发网络生成M个量子密钥，并为每一个量子密钥分配唯一的ID。这些共享量子密钥分别存储在量子密钥下载接口A和B。

主站业务系统从量子密钥下载接口A读取这M个量子密钥。

第三方安全存储介质从量子密钥下载接口B读取上述M个量子密钥，并依次接入各个配用电终端，每个配用电终端读取申请数量的量子密钥存储在本地存储介质中。其中，配用电终端A从第三方存储介质中读取N个量子密钥。读取过程可以是顺序读取，也可以是随机读取。

若配用电终端A与主站业务系统需要进行量子加密通信时，分为以下两种情况：第一种情况，配用电业务安全防护等级要求较低，量子密钥使用更换频率较低，如一天更换一次密钥。第二种情况，配用电业务安全防护等级要求较高，量子密钥使用更换频率较高，如一次通信更换一次密钥。

对于第一种情况，采用先协商同步量子密钥ID，再加密通信的方法。即，在进行加密通信前，主站业务系统与配用电终端A进行量子密钥ID协商，确定本次加密通信或本段时间内（如本日内）所使用的量子密钥ID。协商完毕后，在量子密钥有效期内采用该量子密钥ID所对应的量子密钥进行加密通信。

对于第二种情况，采用协商量子密钥ID与加密通信同时进行的方法。即，在通信数据包中，加入一个字节，用于记录发送端当前数据包所使用的量子密钥的ID，在接受端用此ID所对应的量子密钥进行解密。

第一种方法的好处是，在一定时间内，仅需要一次协商，当密钥更换频率低时使用，相对第二种方法，能够不增加数据包大小。第二种方法的好处是，当密钥频繁更换时，特别是密集数据传输时，如果先协商再通信，则会出现大量密钥ID协商的过程，造成通信压力，并由协商造成数据传输延迟。

无论是第一种方法还是第二种方法，都需要传输量子密钥ID，为了提高量子密钥ID传输的安全性，需要采取一定的保护手段，如下：对于第一个传输的量子密钥ID的保护，采用共享算法和更新计数器来进行保护。具体来说是，在主站业务系统和配用电终端，共享有一个算法K(x)以及计数器Counter，当量子密钥更新时，计数器Counter加1。将Counter的数值代入算法K(x)计算出一个数值，作为第一个数据包所使用的量子密钥ID。对于后面传输的量子密钥ID，从密钥池中随机选择，然后用前一个数据包所用的量子密钥来加密本次所用量子密钥的ID。

本实施例未述部分与现有技术相同。

Claims (5)

1.一种配用电终端的量子密钥同步方法，其特征在于：（1）、配电系统内的配用电终端向主站业务系统完成认证和注册后，申请数量为N的量子密钥；（2）、主站业务系统接收来自下属各个配用电终端的量子密钥申请，向量子密钥分发网络申请总数为M的量子密钥；（3）量子密钥分发网络生成M个量子密钥，并为每一个量子密钥分配唯一的ID，将这些共享量子密钥分别存储在量子密钥下载接口A和B，（3）主站业务系统从量子密钥下载接口A读取这M个量子密钥；（4）第三方安全存储介质从量子密钥下载接口B读取上述M个量子密钥，并依次接入各个配用电终端，每个配用电终端读取申请数量N的量子密钥存储在本地存储介质中，（5）量子密钥同步方法，包含消息协商同步方法和数据包字段同步方法，消息协商同步方法指的是在进行业务数据加密传输之前，主站业务系统与配用电终端通过消息协商的方式，确定本次或本段时间内所使用的量子密钥ID，确定好量子密钥之后，再进行业务数据加解密操作；数据包字段同步方法，在业务数据通信之前，不进行量子密钥ID协商，而是在数据包中特定字段加入量子密钥ID字段，接收端通过该字段ID在本地存储介质中找到对应的量子密钥，进行解密操作。

2.根据权利要求1所述的配用电终端的量子密钥同步方法，其特征在于：配用电终端A从第三方存储介质中读取量子密钥，读取过程可为顺序读取，或为随机读取。

3.根据权利要求1所述的配用电终端的量子密钥同步方法，其特征在于：配用电终端与主站业务系统需要进行量子加密通信时，当配用电业务安全防护等级要求较低时，量子密钥使用更换频率较低，采用先协商同步量子密钥ID，再加密通信的方法，即消息协商同步方法。

4.根据权利要求2或3所述的配用电终端的量子密钥同步方法，其特征在于：配用电终端与主站业务系统需要进行量子加密通信时，当配用电业务安全防护等级要求较高，量子密钥使用更换频率较高，需要经常更换密钥的，采用协商量子密钥ID与加密通信同时进行的方法，即数据包字段同步方法。

5.根据权利要求4所述的配用电终端的量子密钥同步方法，其特征在于：在传输量子密钥ID，对于协商同步量子密钥ID的保护，采用共享算法和更新计数器来进行保护，其具体为在主站业务系统和配用电终端，共享有一个算法K(x)以及计数器Counter，当量子密钥更新时，计数器Counter加1，将Counter的数值代入算法K(x)计算出一个数值，作为第一个数据包所使用的量子密钥ID，对于后面传输的量子密钥ID，从密钥池中随机选择，然后用前一个数据包所用的量子密钥来加密本次所用量子密钥的ID。