CN108964896A - 一种基于群组密钥池的Kerberos身份认证系统和方法 - Google Patents

一种基于群组密钥池的Kerberos身份认证系统和方法 Download PDF

Info

Publication number
CN108964896A
CN108964896A CN201810688731.8A CN201810688731A CN108964896A CN 108964896 A CN108964896 A CN 108964896A CN 201810688731 A CN201810688731 A CN 201810688731A CN 108964896 A CN108964896 A CN 108964896A
Authority
CN
China
Prior art keywords
key
user terminal
group
network service
masters
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201810688731.8A
Other languages
English (en)
Other versions
CN108964896B (zh
Inventor
富尧
钟民
钟一民
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Ruban Quantum Technology Co Ltd
Original Assignee
Ruban Quantum Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Ruban Quantum Technology Co Ltd filed Critical Ruban Quantum Technology Co Ltd
Priority to CN201810688731.8A priority Critical patent/CN108964896B/zh
Publication of CN108964896A publication Critical patent/CN108964896A/zh
Application granted granted Critical
Publication of CN108964896B publication Critical patent/CN108964896B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0852—Quantum cryptography
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/06—Network architectures or network communication protocols for network security for supporting key management in a packet data network
    • H04L63/068—Network architectures or network communication protocols for network security for supporting key management in a packet data network using time-dependent keys, e.g. periodically changing keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/085—Secret sharing or secret splitting, e.g. threshold schemes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0891—Revocation or update of secret information, e.g. encryption key update or rekeying

Abstract

本发明公开了一种基于群组密钥池的Kerberos身份认证系统，包括量子网络服务站，以及分别包括多个用户端的主动方群组和被动方群组，进行身份认证时包括：步骤A、主动方群组中的其中一用户端依据预设的主动方通信范围向量子网络服务站申请TGT；步骤B、所述用户端依据获得的TGT以及预设的被动方通信范围向量子网络服务站申请相应的Ticket以及主动方会话密钥，并在主动方通信范围内共享所述Ticket以及主动方会话密钥；步骤C、主动方通信范围内的一用户端A向被动方通信范围内的一用户端B发送所述Ticket，所述Ticket中也包含有被动方会话密钥，使得用户端A和用户端B共享用于实施加密通信的会话密钥。

Description

一种基于群组密钥池的Kerberos身份认证系统和方法
技术领域
本发明涉及量子通信技术领域，尤其涉及基于量子网络的身份认证系统。
背景技术
鉴权，即身份认证是实现信息安全的基本技术，系统通过审查用户的身份来确认该用户是否具有对某种资源的访问和使用权限，同样也可以进行系统与系统间的身份认证。
当前通信网络中身份认证系统普遍采用Kerberos认证方案。Kerberos是一种网络认证协议，其设计目标是通过密钥系统为客户机/服务器应用程序提供强大的认证服务。该认证过程的实现不依赖于主机操作系统的认证，无需基于主机地址的信任，不要求网络上所有主机的物理安全，并假定网络上传送的数据包可以被任意的读取、修改和插入数据。在以上情况下，Kerberos作为一种可信任的第三方认证服务，是通过传统的密码技术(如：共享密钥)执行认证服务的。
在Kerberos认证方案中，攻击者有可能对加密设备进行攻击，或者利用恶意软件进行攻击，所以很多研究者把对Kerberos的改进放在对硬件设备的改进上。目前，适合在Kerberos系统的用户端使用的可信任硬件设备是智能卡。把智能卡集成到Kerberos系统中去，取得了很好的效果。
随着无线通信技术的不断发展，终端直接通信(Device to Device，D2D)已成为3GPP Rel-12标准化技术的热点之一。D2D允许两个用户设备(User Equipment，UE)通过特定的信道(Sidelink Channel)直接进行数据传输，而无需经过演进型基站设备(Evolutional Node B，eNB)。当然，D2D并不局限于两个用户设备之间的数据传输，还可以支持单点对多点的群组通信(Group Communication)。现有的网络认证体系大都是基于单个对象的一对一的认证方式，但是对于单点对多点的数据传输，会根据一定的原则形成群组。在这些应用场景下，当组内接入新的终端时，若采用现有的一对一的认证方式，不仅会增加网络信令，导致网络拥塞，且会占用大量网络资源，因此现有的一对一的网络认证体系不再适用。在这种情况下，为降低认证资源消耗，减少网络拥塞，需要相应的群组认证机制。现有的群组通信系统使用的密钥为传统密钥，传统密钥是由程序所产生的伪随机数，伪随机数都有特定的规律，相对来讲更容易被破译，量子密钥是根据量子特性所产生的真随机数，量子密钥的下一个比特是无法预知的，有效的克服了伪随机数的弊端。
公开号为CN106357649A，发明名称为“用户身份认证系统和方法”的专利文献，公开了一种对称密钥体制的身份认证方法。但是该发明中身份认证只能完成一对一的身份认证，而且其身份认证是单向的，存在较大的安全隐患。
现有技术存在的问题：
(1)现有基于量子密钥卡的身份认证技术只能完成一对一的身份认证，无法完成与群组的身份认证或群组间身份认证。
(2)现有技术中身份认证所传递的挑战信息一般是暴露的随机数，可能被攻击者对挑战和应答进行研究而破解出密钥。
(3)现有基于量子密钥卡的身份认证和加密技术中，执行身份认证和加密前需要量子密钥卡和其颁发方预先约定使用什么密钥，而且在执行身份认证和加密过程中并不更换密钥。
(4)现有技术中，用户端密钥存储于用户端存储器中，可以被恶意软件或恶意操作窃取。
(5)现有技术中，用户端的长期密钥是不变的，安全性不够高。
发明内容
本发明提供一种适用于群组间身份认证的基于量子网络的身份认证系统。
一种基于群组密钥池的Kerberos身份认证系统，包括量子网络服务站，以及分别包括多个用户端的主动方群组和被动方群组，进行身份认证时包括：
步骤A、主动方群组中的其中一用户端依据预设的主动方通信范围向量子网络服务站申请TGT；
步骤B、所述用户端依据获得的TGT以及预设的被动方通信范围向量子网络服务站申请相应的Ticket以及主动方会话密钥，并在主动方通信范围内共享所述Ticket以及主动方会话密钥；
步骤C、主动方通信范围内的一用户端A向被动方通信范围内的一用户端B发送所述Ticket，所述Ticket中也包含有被动方会话密钥，使得用户端A和用户端B共享用于实施加密通信的会话密钥。
本发明步骤A中可以是主动方群组中的任一个用户端发起认证请求，主动方通信范围可理解为在主动方群组中某一个用户端拥有Ticket以及主动方会话密钥、并可以与被动方通信范围内的用户端进行身份认证以及后续的加密通信；或主动方群组全体用户端都分别拥有Ticket以及主动方会话密钥、并可以与被动方通信范围内的用户端进行身份认证以及后续的加密通信。
同理被动方通信范围可理解为被动方群组中某一个用户端可以从Ticket中获取并使用被动方会话密钥；或被动方群组中全体用户端都分别可以从Ticket中获取并使用被动方会话密钥。
作为优选，主动方群组以及被动方群组的所有用户端分别配置有量子密钥卡；
各用户端的量子密钥卡各自独立的与量子网络服务站共享私有的对称密钥池；
同一群组中所有用户端的量子密钥卡与量子网络服务站共享与所在群组相应的群组密钥池；
步骤B中，所述主动方会话密钥为密文形式，主动方通信范围为主动方群组中某一用户端时，主动方会话密钥利用与该用户端相应的对称密钥池进行加密；主动方通信范围为主动方群组中全体用户端时，主动方会话密钥利用与主动方群组相应的群组密钥池进行加密；
步骤B中，所述Ticket中的被动方会话密钥为密文形式，被动方通信范围为被动方群组中某一用户端时，被动方会话密钥利用与该用户端相应的对称密钥池进行加密；被动方通信范围为被动方群组中全体用户端时，被动方会话密钥利用与被动方群组相应的群组密钥池进行加密。
主动方会话密钥和被动方会话密钥内容相同由量子网络服务站生成用于对称加密，步骤B中直接发送给用户端的称为主动方会话密钥，而封装在Ticket中的则称为被动方会话密钥。主动方会话密钥和被动方会话密钥的传输均采用密文形式，且根据通信范围选择相应的加密方式，因此只有通信范围内的用户端才可以解密并使用。
在主动方通信范围内共享所述Ticket以及主动方会话密钥时，由于主动方会话密钥为密文形式，因此也共享解密主动方会话密钥所需的相关信息。
用于加密主动方会话密钥的为第一安全密钥，用于加密被动方会话密钥为第二安全密钥；
步骤B共享所述主动方会话密钥时，共享的内容为采用第一安全密钥加密的主动方会话密钥，以及生成第一安全密钥的信息；所述Ticket中包含有生成第二安全密钥的信息。
步骤B共享所述主动方会话密钥时，为了提高安全性，共享解密相关信息时息并非直接共享第一安全密钥，而是共享生成第一安全密钥的信息，只有在主动方通信范围内的用户端才拥有相应的密钥池，因此外部成员即使获知生成该第一安全密钥的信息，也无法生成第一安全密钥，进一步提高了主动方会话密钥的安全性。
同样的道理，Ticket中并不直接包含第二安全密钥，只是包含有生成第二安全密钥的信息，只有在被动方通信范围内的用户端才拥有相应的密钥池，因此外部成员即使获知生成该第二安全密钥的信息，也无法生成第二安全密钥，进一步提高了被动方会话密钥的安全性。
当通信范围为某一用户端而并非群组全体用户端时，可以理解为该用户端从量子网络服务站获取Ticket以及主动方会话密钥后，也即完成了共享。
步骤B中，主动方会话密钥的加密以及Ticket中被动方会话密钥的加密都是在量子网络服务站中完成，而量子网络服务站也是基于步骤A、步骤B中用户端的指定，作为优选：
步骤A中、所述用户端向量子网络服务站申请TGT时携带有标示符A，用于通知量子网络服务站利用与该用户端相应的对称密钥池、或利用与主动方群组相应的群组密钥池生成第一安全密钥；
步骤B中、所述用户端向量子网络服务站申请相应的Ticket以及主动方会话密钥时携带有标示符B，用于通知量子网络服务站利用与被动方群组中某用户端相应的对称密钥池、或利用与被动方群组相应的群组密钥池生成第二安全密钥。
所述第一安全密钥或第二安全密钥的生成方式为量子网络服务站产生真随机数，该真随机数结合密钥生成算法得到指针，该指针指向由标示符A或标示符B指定的密钥池中的一部分，在该密钥池中提取出相应的密钥即作为第一安全密钥或第二安全密钥。
在用户端与量子网络服务站之间，以及用户端之间只需传输真随机数或指针，即生成第一或第二安全密钥的信息，并不需要直接传输第一或第二安全密钥，因此外部成员即使获知生成第一或第二安全密钥的信息，由于并不具备相应的密钥池，因此也无法生成第一或第二安全密钥，进一步提高了会话密钥的安全性。
本发明中量子网络服务站作为可信的第三方，向主动方群组的用户端提供票据Ticket，在该用户端向量子网络服务站申请的票据过程中，以及用户端B对用户端A的认证过程中，都涉及身份认证数据的使用。
步骤A中、所述用户端申请TGT时，采用加密的第一时间戳作为与量子网络服务站之间的身份认证数据，第一时间戳采用传输密钥进行加密，该传输密钥由所述用户端利用匹配的量子密钥卡生成，且将生成传输密钥的信息通知量子网络服务站；
步骤B中、所述用户端申请Ticket以及主动方会话密钥时，采用加密的第二时间戳作为与量子网络服务站之间的身份认证数据，第二时间戳采用第一安全密钥进行加密；
步骤C中、用户端A向用户端B发送所述Ticket时，采用加密的第三时间戳作为与用户端B之间的身份认证数据，第三时间戳采用主动方会话密钥进行加密。
所述传输密钥的生成方式为步骤A中的用户端利用匹配的量子密钥卡生成产生真随机数RA，该真随机数RA结合密钥生成算法得到指针，该指针指向由标示符A指定的密钥池中的一部分，在该密钥池中提取出相应的密钥即作为传输密钥。
生成传输密钥的信息即为真随机数RA，至于密钥生成算法等可预先协商。量子网络服务站收到真随机数RA后可依据相应的密钥池生成传输密钥对第一时间戳解密验证。
步骤A中、所述用户端从量子网络服务站接收TGT时还接收利用传输密钥加密的真随机数RQ-A，真随机数RQ-A为量子网络服务站产生且用于生成所述第一安全密钥。
所述用户端可利用真随机数RQ-A结合相应的密钥池生成所述第一安全密钥，用来加密步骤B中的第二时间戳。
所述量子网络服务站包括身份认证服务器和票据许可服务器，所述用户端向身份认证服务器申请TGT，再依据该TGT向票据许可服务器申请Ticket。
量子密钥卡中对称密钥池以及群组密钥池长期使用或重复使用会有被破解的可能性，为提高身份认证系统的安全性，作为优选：
所述量子密钥卡中的对称密钥池以及群组密钥池定时更新。
更新时用户端与匹配的量子密钥卡建立通信连接后，用户端通过上层应用程序向量子密钥卡发送更新申请，该更新申请同时也发送至量子网络服务站；
密钥存储卡接收更新申请后，按预先设定的规则更新对称密钥池或群组密钥池；
量子网络服务站接收更新申请后，按预先与量子密钥卡协商一致的规则更新量子网络服务站内相应存储的对称密钥池或群组密钥池。
本发明中，可选的情况是，主动方群组与被动方群组中，所有用户端的量子密钥卡归属于同一量子网络服务站。即均与该量子网络服务站存储有相应的量子密钥，也可视为在局域网环境下。
若在广域网环境下，主动方群组的各用户端匹配的量子密钥卡归属于量子网络服务站A，被动方群组的各用户端匹配的量子密钥卡归属于量子网络服务站B；
步骤A中，主动方群组的用户端向量子网络服务站A的身份认证服务器申请TGT；
步骤B中，主动方群组的用户端再依据该TGT向量子网络服务站A的票据许可服务器申请Ticket，该Ticket由量子网络服务站B协助生成，并由量子网络服务站A发送给主动方群组的用户端。
由于Ticket中的被动方会话密钥采用第二安全密钥加密，而该第二安全密钥是利用被动方群组中相应的对称密钥池或群组密钥池生成，因此需要量子网络服务站B的协助，可以是量子网络服务站B响应量子网络服务站A的请求生成Ticket发送给量子网络服务站A；或者是量子网络服务站B件将生产的第二安全密钥或必要信息发送给量子网络服务站A，由量子网络服务站A自行生成Ticket。
本发明还提供一种基于群组密钥池的Kerberos身份认证方法，实施在本发明所述的基于群组密钥池的Kerberos身份认证系统中。有关具体步骤可参见本发明的Kerberos身份认证系统中的相关叙述。
本发明基于对称密钥池与群组密钥池实现身份认证，尤其是引入群组密钥池，可以实现用户与群组或群组之间进行身份认证。在用户与群组完成身份认证后，该用户可以与群组任一用户进行安全通信；在群组与群组完成身份认证后，两群组中每个用户之间都可以进行安全通信。
本发明中身份认证所传递的挑战信息仅仅是用于生成指针的随机数，在没有密钥池的情况下即使被攻击者对挑战和应答进行研究而破解出随机数甚至得到指针也无法得到用于加密的密钥。
本发明中身份认证中，执行身份认证和对身份认证消息加密前不需要量子密钥卡和其颁发方预先约定使用什么密钥，而且在执行身份认证的每条消息都可以随意更换密钥，只需要指出用于计算出指针的随机数即可，而公布该随机数的危险性非常小，一般来说对攻击者毫无用处。
本发明使用量子密钥卡存储用户端密钥而不是用户端存储器，量子密钥卡是独立的硬件设备，被恶意软件或恶意操作窃取密钥的可能性大大降低。
本发明中量子密钥卡中的对称密钥池以及群组密钥池定时更新，与现有技术中用户端长期密钥不变相比安全性大大提高。除此之外，经典身份认证服务器与服务器之间是通过经典网络传输消息的，在当前网络环境下，并不是安全的，而本发明中采用的是QKD网络保证了在广域网络中通信的安全。
附图说明
图1为单个量子网络服务站群组型量子密钥卡的量子密钥结构图。
图2为多个量子网络服务站群组型量子密钥卡的量子密钥结构图。
图3为局域网内身份认证流程图。
图4为广域网内身份认证流程图。
图5为实施例1身份认证方法详细步骤示意图。
图6为实施例2身份认证方法详细步骤示意图。
具体实施方式
本发明身份认证系统可以包括多个量子网络服务站，不同量子网络服务站之间可以通过QKD方式共享站间量子密钥。
量子网络服务站包括：
量子服务中心，主要用于通过经典网络与用户侧的各用户端通信连接以及与其他量子网络服务站通信连接；经典网络包括但不限于电信网、互联网、广播电视网或者其他通信网络等。
量子密钥分发设备，主要用于通过QKD方式实现站间量子密钥的共享。
真随机数发生器，用于接收用户侧密钥管理服务器提出的申请用户侧密钥的请求，生成用户侧密钥，并发送给用户侧密钥管理服务器；此处采用的为真随机数发生器。其优选为量子真随机数发生器，也可以为基于电路的真随机数发生器、基于物理源的真随机数发生器以及其他种类的真随机发生器。
用户侧密钥管理服务器，存放、管理从真随机数发生器生成的用户侧密钥，可以接入可移动式的量子密钥卡，实现发卡、登记、拷贝用户侧密钥，还可以接收量子服务中心提出的申请用户侧密钥请求，发送相应长度的用户侧密钥给量子服务中心。量子密钥卡的详细内容也可参见申请号为“201610846210.6”的专利申请文献。
其中量子服务中心包括：身份认证服务器，票据许可服务器，还可根据需要设置其他服务器，例如数字签名服务器、签名验证服务器、加解密服务器等。
身份认证服务器用于实现用户在接受消息认证、数字签名等服务前与量子网络服务站的相互身份认证。身份认证服务器内部具有采用PCI总线接口的加密卡，用于存储身份认证协议，包括密钥生成算法、认证函数、加密传输协议等。
票据许可服务器用于实现用户在获得与量子网络服务站的相互身份认证后，为用户分发其访问某一用户的申请的许可。
各量子网络服务站下配置有用户端，如用户端1～用户端n，本说明书中不同的服务器或其他装置在硬件上也可以根据需要进行整合。
用户端为接入量子网络服务站的设备，可为移动终端，或为固定终端。当为移动终端时，量子密钥卡优选为量子SD卡；当为固定终端时，量子密钥卡优选为USBkey或主机加密板卡。
当客户前往所在区域的量子网络服务站进行注册登记，获批后得到量子密钥卡(具有唯一的量子密钥卡ID)。量子密钥卡存储了客户注册登记信息，还内置有身份认证协议，至少包括密钥生成算法以及认证函数，或其他与身份认证相关的算法。
网络侧的各个量子网络服务站也相应的存有认证协议，若协议中各算法存在两种以上，量子密钥卡在与量子网络服务站通信时会将算法标号发送给量子网络服务站，供量子网络服务站选取。
量子密钥卡中的用户侧密钥可能下载自不同的量子网络服务站，因此可按不同来源存在不同的密钥种子集中，用户端可按预先设定的规则取用密钥种子以生成密钥。不同的密钥种子集具有唯一的密钥种子ID，其指向的量子网络服务站中存储有相应的密钥种子。
量子密钥卡从智能卡技术上发展而来，是结合了量子物理学技术、密码学技术、硬件安全隔离技术的身份认证产品。量子密钥卡的内嵌芯片和芯片操作系统可以提供私钥的安全存储和密码算法等功能。由于其具有独立的数据处理能力和良好的安全性，量子密钥卡成为量子真随机数私钥的安全载体。每一个量子密钥卡都有硬件PIN码保护，PIN码和硬件构成了用户使用量子密钥卡的两个必要因素。即所谓“双因子认证”，用户只有同时取得保存了相关认证信息的量子密钥卡和用户PIN码，才可以登录系统。即使用户的PIN码被泄露，只要用户持有的量子密钥卡不被盗取，合法用户的身份就不会被仿冒；如果用户的量子密钥卡遗失，拾到者由于不知道用户PIN码，也无法仿冒合法用户的身份。
实施例1，局域网内同属于一个量子网络服务站的两个用户端身份认证
本实施例的场景如图1所示，参与身份认证的用户端A匹配的量子密钥卡中含有对称密钥池KA和群组密钥池KPA；参与身份认证的用户端B匹配的量子密钥卡中含有对称密钥池KB和群组密钥池KPB；用户端A和用户端B归属于量子网络服务站Q，用户端A和用户端B不属于同一个群组。量子网络服务站Q含有所有成员的对称密钥池以及群组密钥池KPA和KPB。A、B和Q的密码学模块均持有相对应的密钥池(包括对称密钥池和群组密钥池)和各类算法。用户端A参与的身份认证具体步骤中所使用的密钥池由FlagA指定，用户端B参与的身份认证具体步骤中所使用的密钥池由FlagB指定。
FlagA、FlagB的值由鉴权发起方即用户端A决定。
根据指定的密钥池的不同可以分为以下三种情况：
1、当FlagA指定的密钥池为对称密钥池KA，FlagB指定的密钥池为群组密钥池KPB，则指用户端A申请与用户端B所在的群组进行身份认证，具体情况可以是数据链系统中群组A中的成员A申请加入成员B所在的群组B，身份认证完成后，成员A可以与成员B所在的群组B中的所有成员进行安全的通信。
2、当FlagA指定的密钥池为群组密钥池KPA，FlagB指定的密钥池为对称密钥池KB，则指用户端A所在的群组申请与用户端B进行身份认证，具体情况可以是数据链系统中成员A所在的群组A申请与另一群组中的某一成员B进行身份认证，身份认证完成后，成员B可以与成员A所在的群组A中所有成员进行安全的通信。
3、当FlagA指定的密钥池为群组密钥池KPA，FlagB指定的密钥池为群组密钥池KPB，则指用户端A所在的群组申请与用户端B所在的群组进行身份认证，具体情况可以是数据链系统中成员A所在的群组A申请与成员B所在的群组B进行身份认证，身份认证完成后，群组A与群组B中所有成员之间都可以进行安全的通信。
以下步骤中，在各用户端侧涉及的多处加解、密操作，都在匹配的量子密钥卡中进行。身份认证服务器和票据许可服务器涉及的加、解密操作，是在量子网络服务站的加解密服务器中完成。
身份认证流程如图3所示，当用户端A、用户端B都同属于一个量子网络服务站时，身份认证过程中所涉及的量子密钥卡在该本地量子网络服务站注册颁发。具体步骤参见图5，图中，大括号内表示被加密的部分，后面紧跟的内容表示使用的密钥，如{T1}KA表示使用KA加密T1。
具体步骤文字描述如下：
第一步：用户端A向量子网络服务站申请许可票据TGT。
a.用户侧身份认证随机数以及密钥生成：用户端A匹配的量子密钥卡根据卡内随机数发生器产生真随机数RA(以下简称RA，其它同理省去汉字部分作为简称)。RA结合特定的密钥生成算法f得到指针PA。PA指向由FlagA指定的密钥池中的某一部分，可以在该密钥池中提取出相应的密钥KA(传输密钥)。
b.用户端A发送预身份认证服务请求：用户端A获取当前的时间T1作为时间戳，向量子网络服务站的身份认证服务器发送预身份认证服务请求，请求内容包括：
①用户端A的身份信息Ainfo(包括IDA和用于指定密钥池的FlagA)以及RA；
②用KA加密的时间戳T1作为预身份认证数据；
③量子网络服务站中票据许可服务器的身份信息TGSinfo。
c.量子网络服务站与用户端A进行身份认证：量子网络服务站得到RA后，结合特定的密钥生成算法f得到指针PA’，然后使用PA’从FlagA指定的密钥池中提取出与密钥KA相同的密钥KA’。
为便于区分原密钥KA，从与生成原密钥不同的密钥池中提取出的密钥以下记为KA’。下同。
使用KA’解密预身份认证数据得到T1。量子网络服务站提取当前时间T1’，然后将T1与T1’进行比对，如果两者之间的偏差未超出一个可以接受的时间范围，则完成量子网络服务站与用户端A之间的身份认证。
d.量子网络服务站发送身份认证服务回复：量子网络服务站根据站内真随机数发生器产生真随机数RQ，RQ结合特定的密钥生成算法f得到指针PQ，PQ指向量子网络服务站特有的密钥池中的某一部分，可以在该密钥池中提取出相应的密钥KQ。量子网络服务站根据站内真随机数发生器产生真随机数RQ-A，RQ-A结合特定的密钥生成算法f得到指针PQ-A，PQ-A指向由FlagA指定的密钥池中的某一部分，可以在该密钥池中提取出相应的密钥KQ-A(第一安全密钥)。
量子网络服务站与用户端A之间的身份认证完成后，量子网络服务站向用户端A发送一份身份认证服务回复，回复内容包括：
①用KA’加密的RQ-A；
②许可票据TGT；
TGT包括RQ、Ainfo以及使用KQ加密的RQ-A和TGT到期时间endtime1。到期时间可以是最大时间段，也可以是最大使用次数，或者两者结合并取先达到的一个。TGT可用于申请获取访问该量子服务站的票据许可服务器能够提供的某一用户端的Ticket。
e.用户端A获取回复：用户端A收到身份认证服务回复后，即得到TGT。使用与KA’相同的KA解密第一部分，得到RQ-A，结合特定的密钥生成算法f得到指针PQ-A，再根据PQ-A从FlagA指定的密钥池中提取出与密钥KQ-A相同的密钥KQ-A’。
第二步：用户端A通过TGT向量子网络服务站申请用于访问用户端B的票据Ticket。
a.用户端A发送票据许可服务请求：用户端A获取当前的时间T2作为时间戳，向量子网络服务站中的票据许可服务器发送票据许可请求，请求内容包括：
①TGT；
②用KQ-A’加密的时间戳T2作为身份认证数据；
③用户端A想要访问的用户端B的身份信息Binfo(包括用户端B的身份信息IDB和用于指定密钥池的FlagB)。
b.票据许可服务器对用户端A进行身份认证：量子网络服务站中的票据许可服务器得到TGT后，使用真随机数RQ结合特定的密钥生成算法f得到指针PQ，然后使用PQ从量子网络服务站特有的密钥池中提取出密钥KQ。
使用KQ解密TGT的加密部分获得RQ-A，使用RQ-A结合特定的密钥生成算法f得到指针PQ-A，然后使用PQ-A从由FlagA指定的密钥池中提取出密钥KQ-A。
使用KQ-A解密身份认证数据获得T2。量子网络服务站提取当前时间T2’，然后将T2与T2’进行比对，如果两者之间的偏差未超出一个可以接受的时间范围，则完成量子网络服务站与用户端A之间的身份认证。
c.量子网络服务站生成加密Ticket的密钥KB：量子网络服务站认证用户端A的身份通过后，量子网络服务站根据站内真随机数发生器产生真随机数RB，RB结合特定的密钥生成算法f得到指针PB。然后使用PB从由FlagB指定的密钥池中提取出密钥KB(第二安全密钥)。
d.量子网络服务站生成会话密钥：量子网络服务站通过站内真随机数发生器生成用户端A与用户端B的会话密钥KA-B(主动方会话密钥)。
e.量子网络服务站发送票据许可服务回复：量子网络服务站向用户端A发送票据许可服务回复，回复内容包括：
①使用KQ-A加密的KA-B；
②票据Ticket。
Ticket包括RB、Binfo以及用KB加密的KA-B、用户端A的身份信息IDA和Ticket到期时间endtime2。
f.用户端A获取回复：用户端A收到票据许可服务回复后，即得到Ticket，并使用KQ-A解密第一部分，得到KA-B。
第三步：用户端A向用户端B提供Ticket完成身份认证。
FlagA是用于标注密钥池的，IDA是用于标注用户端的。
由于IDA在ticket加密部分内部，所以虽然用户端A可能与之前的不为同一个，但是ticket是使用同一个。
FlagB是用于标注密钥池的，IDB是用于标注用户端的。
二次身份认证步骤中，用户端A可修改Binfo中的IDB，根据IDB的不同指向不同的用户端B。
a.用户端A发起会话请求：用户端A获取当前的时间T3作为时间戳，向用户端B发起会话请求，请求内容包括：
①Ticket；
②用KA-B加密的用户端A的身份信息IDA和时间戳T3作为身份认证数据；
③Flag(用于表示是否需要双向验证)。
b.用户端B对用户端A进行身份认证：用户端B得到Ticket后，使用真随机数RB结合特定的密钥生成算法f得到指针PB，然后使用PB从由FlagB指定的密钥池中提取出与密钥KB相同的KB’。
使用KB’解密Ticket的加密部分获得KA-B’(被动方会话密钥)，使用KA-B’解密身份认证数据获得T3。用户端B提取当前时间T3’，然后将T3与T3’进行比对，如果两者之间的偏差未超出一个可以接受的时间范围，则完成用户端B与用户端A之间的身份认证。如果验证成功，则让用户端A访问需要访问的资源，否则直接拒绝对方的请求。
d.如果需要双向验证，用户端B提取身份认证数据中的T3，使用KA-B加密，并将其发送给用户端A用于用户端A验证用户端B的身份。
实施例2，广域网内的两个用户端的身份认证
广域网内两个用户端的身份认证流程如图4所示，当用户端A、用户端B不属于同一个量子网络服务站时，身份认证过程中所涉及的量子密钥卡分别在该用户端所属的量子网络服务站注册颁发。本实施例中的系统架构区别于实施例1之处为应用在广域网中，一级交换中心是一个地级市或相当大小区域的量子网络核心站，二级交换中心是一个县级市或相当大小区域的量子网络核心站，量子网络服务站是一个乡镇或街道办事处相当大小区域的量子通信接入站点。
一级交换中心和下属的多个二级交换中心以星型网络结构相连，二级交换中心可以和多个下属的量子网络服务站以星型网络结构相连。
由于需要站间通信，因此各交换中心以及量子网络服务站分别设有量子密钥分发设备，可通过QKD方式实现站间密钥的共享。本实施例中量子网络服务站的其他设备以及关于量子密钥卡的描述可参见实施例1。
例如一级交换中心和下属的二级交换中心分别利用量子密钥分发设备实现站间量子密钥的共享，二级交换中心和下属的的量子网络服务站分别利用量子密钥分发设备实现站间量子密钥的共享，量子密钥分发设备可以是一套也可以是至少两套集成。
两个一级交换中心之间由于距离较远，可采用量子中继站的方式实现站间量子密钥共享。
本实施例的场景如图2所示，参与身份认证的用户端A匹配的量子密钥卡中含有对称密钥池KA和群组密钥池KPA；参与身份认证的用户端B匹配的量子密钥卡中含有对称密钥池KB和群组密钥池KPB；用户端A归属于量子网络服务站A，即相对于用户端A而言，其当前量子网络服务站为与用户端A通信连接的量子网络服务站A；同理用户端B归属于量子网络服务站B。用户端A和用户端B不属于同一个群组。量子网络服务站A含有所有成员的对称密钥池以及群组密钥池KPA；量子网络服务站B含有所有成员的对称密钥池以及群组密钥池KPB。用户端A、用户端B、量子网络服务站A和量子网络服务站B的密码学模块均持有相对应的密钥池(包括对称密钥池和群组密钥池)和各类算法。用户端A参与的身份认证具体步骤中所使用的密钥池由FlagA指定，用户端B参与的身份认证具体步骤中所使用的密钥池由FlagB指定。FlagA、FlagB的值由鉴权发起方即用户端A决定。指定的密钥池不同所对应的实际情况与实施例1描述一致。
以下步骤中，在各用户端侧涉及的多处加解、密操作，都在匹配的量子密钥卡中进行。身份认证服务器和票据许可服务器涉及的加、解密操作，是在量子网络服务站的加解密服务器中完成。
本实施例区别于实施例1的具体部分为Ticket和会话密钥KA-B的生成与传输方式。
具体步骤参见图6，文字描述如下：
第一步：用户端A向量子网络服务站A申请许可票据TGT。
a.用户侧身份认证随机数以及密钥生成：用户端A匹配的量子密钥卡根据卡内随机数发生器产生真随机数RA。RA结合特定的密钥生成算法f得到指针PA。PA指向由FlagA指定的密钥池中的某一部分，可以在该密钥池中提取出相应的密钥KA。
b.用户端A发送预身份认证服务请求：用户端A获取当前的时间T1作为时间戳，向量子网络服务站A的身份认证服务器发送预身份认证服务请求，请求内容包括：
①用户端A的身份信息Ainfo(包括IDA和用于指定密钥池的FlagA)以及RA；
②用KA加密的时间戳T1作为预身份认证数据；
③量子网络服务站A中票据许可服务器的身份信息TGSinfo。
c.量子网络服务站A与用户端A进行身份认证：量子网络服务站A得到RA后，结合特定的密钥生成算法f得到指针PA’，然后使用PA’从FlagA指定的密钥池中提取出与密钥KA相同的密钥KA’。
使用KA’解密预身份认证数据得到T1。量子网络服务站提取当前时间T1’，然后将T1与T1’进行比对，如果两者之间的偏差未超出一个可以接受的时间范围，则完成量子网络服务站A与用户端A之间的身份认证。
d.量子网络服务站A发送身份认证服务回复：量子网络服务站A根据站内真随机数发生器产生真随机数RQ，RQ结合特定的密钥生成算法f得到指针PQ，PQ指向量子网络服务站A特有的密钥池中的某一部分，可以在该密钥池中提取出相应的密钥KQ。量子网络服务站A根据站内真随机数发生器产生真随机数RQ-A，RQ-A结合特定的密钥生成算法f得到指针PQ-A，PQ指向由FlagA指定的密钥池中的某一部分，可以在该密钥池中提取出相应的密钥KQ-A。
量子网络服务站A与用户端A之间的身份认证完成后，量子网络服务站A向用户端A发送一份身份认证服务回复，回复内容包括：
①用KA’加密的RQ-A；
②许可票据TGT；
TGT包括RQ、Ainfo以及使用KQ加密的RQ-A和TGT到期时间endtime。到期时间可以是最大时间段，也可以是最大使用次数，或者两者结合并取先达到的一个。TGT可用于申请获取访问该量子服务站A的票据许可服务器能够提供的某一用户端的Ticket。
e.用户端A获取回复：用户端A收到身份认证服务回复后，即得到TGT。使用与KA’相同的KA解密第一部分，得到RQ-A，结合特定的密钥生成算法f得到指针PQ-A，再根据PQ-A从FlagA指定的密钥池中提取出与密钥KQ-A相同的密钥KQ-A’。
第二步：用户端A通过TGT向量子网络服务站A申请用于访问用户端B的票据Ticket。
a.用户端A发送票据许可服务请求：用户端A获取当前的时间T2作为时间戳，向量子网络服务站A中的票据许可服务器发送票据许可请求，请求内容包括：
①TGT；
②用KQ-A’加密的时间戳T2作为身份认证数据；
③用户端A想要访问的用户端B的身份信息Binfo(包括IDB和用于指定密钥池的FlagB)。
b.票据许可服务器A对用户端A进行身份认证：量子网络服务站A中的票据许可服务器得到TGT后，使用真随机数RQ结合特定的密钥生成算法f得到指针PQ，然后使用PQ从量子网络服务站A特有的密钥池中提取出密钥KQ。
使用KQ解密TGT的加密部分获得RQ-A，使用RQ-A结合特定的密钥生成算法f得到指针PQ-A，然后使用PQ-A从由FlagA指定的密钥池中提取出密钥KQ-A。
使用KQ-A解密身份认证数据获得T2。量子网络服务站A提取当前时间T2’，然后将T2与T2’进行比对，如果两者之间的偏差未超出一个可以接受的时间范围，则完成量子网络服务站A与用户端A之间的身份认证。
c.量子网络服务站B生成Ticket和会话密钥KA-B并发送给量子网络服务站A：
量子网络服务站A将用于说明用户端B的身份以及指定密钥池的Binfo传给量子网络服务站B。同时传递的还有IDA。
量子网络服务站A与量子网络服务站B利用各自的量子密钥分发设备实现站间量子密钥的共享，使得明文形式的Binfo和IDA在量子网络服务站A加密后发送至量子网络服务站B，再经解密恢复出明文形式的Binfo和IDA。
量子网络服务站A与量子网络服务站B之间如果还要通过其他网络节点中转，则直接通信连接的两量子网络服务站(或网络节点)之间通过相应的量子密钥分发设备形成的站间量子密钥，并依次中转传送密文。
站间量子密钥的分发是利用量子力学基本原理实现的异地密钥共享的方式，优选为BB84协议。
量子网络服务站B收到Binfo和IDA后，根据站内真随机数发生器产生真随机数RB，RB结合特定的密钥生成算法f得到指针PB。然后使用PB从由FlagB指定的密钥池中提取出密钥KB。
量子网络服务站B通过真随机数发生器生成用户端A与用户端B的会话密钥KA-B。然后量子网络服务站B生成Ticket。Ticket包括RB，Binfo以及使用KB加密的KA-B、IDA和到期时间endtime2。
量子网络服务站B将Ticket和会话密钥KA-B给量子网络服务站A。传递方式与上文站间传递方式一致。
d.量子网络服务站A发送票据许可服务回复：量子网络服务站A向用户端A发送票据许可服务回复，回复内容包括：
①使用KQ-A加密的KA-B；
②票据Ticket。
e.用户端A获取回复：用户端A收到票据许可服务回复后，即得到Ticket，并使用KQ-A解密第一部分，得到KA-B。
第三步：用户端A向用户端B提供Ticket完成身份认证。
a.用户端A发起会话请求：用户端A获取当前的时间T3作为时间戳，向用户端B发起会话请求，请求内容包括：
①Ticket；
②用KA-B加密的用户端A的身份信息IDA和时间戳T3作为身份认证数据；
③Flag(用于表示是否需要双向验证)。
b.用户端B对用户端A进行身份认证：用户端B得到Ticket后，使用真随机数RB结合特定的密钥生成算法f得到指针PB，然后使用PB从由FlagB指定的密钥池中提取出与密钥KB相同的KB’。
使用KB’解密Ticket的加密部分获得KA-B’，使用KA-B’解密身份认证数据获得T3。用户端B提取当前时间T3’，然后将T3与T3’进行比对，如果两者之间的偏差未超出一个可以接受的时间范围，则完成用户端B与用户端A之间的身份认证。如果验证成功，则让用户端A访问需要访问的资源，否则直接拒绝对方的请求。
d.如果需要双向验证，用户端B提取身份认证数据中的T3，使用KA-B加密，并将其发送给用户端A用于用户端A验证用户端B的身份。
以上公开的仅为本发明的实施例，但是本发明并非局限于此，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。显然这些改动和变型均应属于本发明要求的保护范围保护内。此外，尽管本说明书中使用了一些特定的术语，但这些术语只是为了方便说明，并不对本发明构成任何特殊限制。

Claims (10)

1.一种基于群组密钥池的Kerberos身份认证系统，其特征在于，包括量子网络服务站，以及分别包括多个用户端的主动方群组和被动方群组，进行身份认证时包括：
步骤A、主动方群组中的其中一用户端依据预设的主动方通信范围向量子网络服务站申请TGT；
步骤B、所述用户端依据获得的TGT以及预设的被动方通信范围向量子网络服务站申请相应的Ticket以及主动方会话密钥，并在主动方通信范围内共享所述Ticket以及主动方会话密钥；
步骤C、主动方通信范围内的一用户端A向被动方通信范围内的一用户端B发送所述Ticket，所述Ticket中也包含有被动方会话密钥，使得用户端A和用户端B共享用于实施加密通信的会话密钥。
2.如权利要求1所述的基于群组密钥池的Kerberos身份认证系统，其特征在于，主动方群组以及被动方群组的所有用户端分别配置有量子密钥卡；
各用户端的量子密钥卡各自独立的与量子网络服务站共享私有的对称密钥池；
同一群组中所有用户端的量子密钥卡与量子网络服务站共享与所在群组相应的群组密钥池；
步骤B中，所述主动方会话密钥为密文形式，主动方通信范围为主动方群组中某一用户端时，主动方会话密钥利用与该用户端相应的对称密钥池进行加密；主动方通信范围为主动方群组中全体用户端时，主动方会话密钥利用与主动方群组相应的群组密钥池进行加密；
步骤B中，所述Ticket中的被动方会话密钥为密文形式，被动方通信范围为被动方群组中某一用户端时，被动方会话密钥利用与该用户端相应的对称密钥池进行加密；被动方通信范围为被动方群组中全体用户端时，被动方会话密钥利用与被动方群组相应的群组密钥池进行加密。
3.如权利要求2所述的基于群组密钥池的Kerberos身份认证系统，其特征在于，用于加密主动方会话密钥的为第一安全密钥，用于加密被动方会话密钥为第二安全密钥；
步骤B共享所述主动方会话密钥时，共享的内容为采用第一安全密钥加密的主动方会话密钥，以及生成第一安全密钥的信息；所述Ticket中包含有生成第二安全密钥的信息。
4.如权利要求3所述的基于群组密钥池的Kerberos身份认证系统，其特征在于，步骤A中、所述用户端向量子网络服务站申请TGT时携带有标示符A，用于通知量子网络服务站利用与该用户端相应的对称密钥池、或利用与主动方群组相应的群组密钥池生成第一安全密钥；
步骤B中、所述用户端向量子网络服务站申请相应的Ticket以及主动方会话密钥时携带有标示符B，用于通知量子网络服务站利用与被动方群组中某用户端相应的对称密钥池、或利用与被动方群组相应的群组密钥池生成第二安全密钥。
5.如权利要求4所述的基于群组密钥池的Kerberos身份认证系统，其特征在于，所述第一安全密钥或第二安全密钥的生成方式为量子网络服务站产生真随机数，该真随机数结合密钥生成算法得到指针，该指针指向由标示符A或标示符B指定的密钥池中的一部分，在该密钥池中提取出相应的密钥即作为第一安全密钥或第二安全密钥。
6.如权利要求5所述的基于群组密钥池的Kerberos身份认证系统，其特征在于，步骤A中、所述用户端申请TGT时，采用加密的第一时间戳作为与量子网络服务站之间的身份认证数据，第一时间戳采用传输密钥进行加密，该传输密钥由所述用户端利用匹配的量子密钥卡生成，且将生成传输密钥的信息通知量子网络服务站；
步骤B中、所述用户端申请Ticket以及主动方会话密钥时，采用加密的第二时间戳作为与量子网络服务站之间的身份认证数据，第二时间戳采用第一安全密钥进行加密；
步骤C中、用户端A向用户端B发送所述Ticket时，采用加密的第三时间戳作为与用户端B之间的身份认证数据，第三时间戳采用主动方会话密钥进行加密。
7.如权利要求6所述的基于群组密钥池的Kerberos身份认证系统，其特征在于，所述传输密钥的生成方式为步骤A中的用户端利用匹配的量子密钥卡生成产生真随机数RA，该真随机数RA结合密钥生成算法得到指针，该指针指向由标示符A指定的密钥池中的一部分，在该密钥池中提取出相应的密钥即作为传输密钥。
8.如权利要求7所述的基于群组密钥池的Kerberos身份认证系统，其特征在于，步骤A中、所述用户端从量子网络服务站接收TGT时还接收利用传输密钥加密的真随机数RQ-A，真随机数RQ-A为量子网络服务站产生且用于生成所述第一安全密钥。
9.如权利要求8所述的基于群组密钥池的Kerberos身份认证系统，其特征在于，主动方群组的各用户端匹配的量子密钥卡归属于量子网络服务站A，被动方群组的各用户端匹配的量子密钥卡归属于量子网络服务站B；
步骤A中，主动方群组的用户端向量子网络服务站A的身份认证服务器申请TGT；
步骤B中，主动方群组的用户端再依据该TGT向量子网络服务站A的票据许可服务器申请Ticket，该Ticket由量子网络服务站B协助生成，并由量子网络服务站A发送给主动方群组的用户端。
10.一种基于群组密钥池的Kerberos身份认证方法，其特征在于，实施在权利要求1～9任一项所述的基于群组密钥池的Kerberos身份认证系统中。
CN201810688731.8A 2018-06-28 2018-06-28 一种基于群组密钥池的Kerberos身份认证系统和方法 Active CN108964896B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201810688731.8A CN108964896B (zh) 2018-06-28 2018-06-28 一种基于群组密钥池的Kerberos身份认证系统和方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201810688731.8A CN108964896B (zh) 2018-06-28 2018-06-28 一种基于群组密钥池的Kerberos身份认证系统和方法

Publications (2)

Publication Number Publication Date
CN108964896A true CN108964896A (zh) 2018-12-07
CN108964896B CN108964896B (zh) 2021-01-05

Family

ID=64487611

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201810688731.8A Active CN108964896B (zh) 2018-06-28 2018-06-28 一种基于群组密钥池的Kerberos身份认证系统和方法

Country Status (1)

Country Link
CN (1) CN108964896B (zh)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109787763A (zh) * 2019-03-05 2019-05-21 山东鲁能软件技术有限公司 一种基于量子密钥的移动通信认证方法、系统、终端及存储介质
CN110380845A (zh) * 2019-06-25 2019-10-25 如般量子科技有限公司 基于群组对称密钥池的量子保密通信联盟链交易方法、系统、设备
CN111756528A (zh) * 2019-03-28 2020-10-09 广东国盾量子科技有限公司 一种量子会话密钥分发方法、装置及通信架构
CN111756529A (zh) * 2019-03-28 2020-10-09 广东国盾量子科技有限公司 一种量子会话密钥分发方法及系统
WO2020244145A1 (zh) * 2019-06-06 2020-12-10 江苏亨通问天量子信息研究院有限公司 量子无线网络通信系统

Citations (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102170440A (zh) * 2011-03-24 2011-08-31 北京大学 适用于存储云间数据安全迁移的方法
US20110268274A1 (en) * 2008-05-28 2011-11-03 Agency For Science, Technology And Research Authentication and Key Establishment in Wireless Sensor Networks
CN104753918A (zh) * 2014-12-30 2015-07-01 胡祥义 一种手机离线认证的方法
CN105162791A (zh) * 2015-09-23 2015-12-16 盛科网络（苏州）有限公司 基于capwap使用共享密钥的方法及装置
US20160078243A1 (en) * 2014-09-15 2016-03-17 Unisys Corporation Secured file system management
CN106452741A (zh) * 2016-09-23 2017-02-22 浙江神州量子网络科技有限公司 基于量子网络实现信息加解密传输的通信系统和通信方法
CN106817694A (zh) * 2017-04-14 2017-06-09 江苏亨通问天量子信息研究院有限公司 量子无线保密通信系统及移动终端
CN107580766A (zh) * 2015-06-09 2018-01-12 英特尔公司 用于网络的群组密钥分发的系统、装置和方法
WO2018071244A1 (en) * 2016-10-14 2018-04-19 Alibaba Group Holding Limited Method and system for secure data storage and retrieval
CN108173649A (zh) * 2018-01-10 2018-06-15 如般量子科技有限公司 一种基于量子密钥卡的消息认证方法和系统

Patent Citations (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20110268274A1 (en) * 2008-05-28 2011-11-03 Agency For Science, Technology And Research Authentication and Key Establishment in Wireless Sensor Networks
CN102170440A (zh) * 2011-03-24 2011-08-31 北京大学 适用于存储云间数据安全迁移的方法
US20160078243A1 (en) * 2014-09-15 2016-03-17 Unisys Corporation Secured file system management
CN104753918A (zh) * 2014-12-30 2015-07-01 胡祥义 一种手机离线认证的方法
CN107580766A (zh) * 2015-06-09 2018-01-12 英特尔公司 用于网络的群组密钥分发的系统、装置和方法
CN105162791A (zh) * 2015-09-23 2015-12-16 盛科网络（苏州）有限公司 基于capwap使用共享密钥的方法及装置
CN106452741A (zh) * 2016-09-23 2017-02-22 浙江神州量子网络科技有限公司 基于量子网络实现信息加解密传输的通信系统和通信方法
WO2018071244A1 (en) * 2016-10-14 2018-04-19 Alibaba Group Holding Limited Method and system for secure data storage and retrieval
CN106817694A (zh) * 2017-04-14 2017-06-09 江苏亨通问天量子信息研究院有限公司 量子无线保密通信系统及移动终端
CN108173649A (zh) * 2018-01-10 2018-06-15 如般量子科技有限公司 一种基于量子密钥卡的消息认证方法和系统

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
KE JIA ET AL.: "《The Improved Public Key Encryption Algorithm of Kerberos Protocol Based on Braid Groups》", 《2008 4TH INTERNATIONAL CONFERENCE ON WIRELESS COMMUNICATIONS, NETWORKING AND MOBILE COMPUTING》 *
杨萍: "《Kerberos的安全性分析及其认证模式的研究与改进》", 《中国优秀硕士学位论文全文数据库 信息科技辑》 *

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109787763A (zh) * 2019-03-05 2019-05-21 山东鲁能软件技术有限公司 一种基于量子密钥的移动通信认证方法、系统、终端及存储介质
CN111756528A (zh) * 2019-03-28 2020-10-09 广东国盾量子科技有限公司 一种量子会话密钥分发方法、装置及通信架构
CN111756529A (zh) * 2019-03-28 2020-10-09 广东国盾量子科技有限公司 一种量子会话密钥分发方法及系统
CN111756529B (zh) * 2019-03-28 2023-05-19 广东国盾量子科技有限公司 一种量子会话密钥分发方法及系统
WO2020244145A1 (zh) * 2019-06-06 2020-12-10 江苏亨通问天量子信息研究院有限公司 量子无线网络通信系统
CN110380845A (zh) * 2019-06-25 2019-10-25 如般量子科技有限公司 基于群组对称密钥池的量子保密通信联盟链交易方法、系统、设备
CN110380845B (zh) * 2019-06-25 2023-06-09 如般量子科技有限公司 基于群组对称密钥池的量子保密通信联盟链交易方法、系统、设备

Also Published As

Publication number Publication date
CN108964896B (zh) 2021-01-05

Similar Documents

Publication Publication Date Title
US10243742B2 (en) Method and system for accessing a device by a user
CN108683501B (zh) 基于量子通信网络的以时间戳为随机数的多次身份认证系统和方法
CN108768653A (zh) 基于量子密钥卡的身份认证系统
CN108566273A (zh) 基于量子网络的身份认证系统
CN106357649A (zh) 用户身份认证系统和方法
CN108964896A (zh) 一种基于群组密钥池的Kerberos身份认证系统和方法
CN109923830A (zh) 用于配置无线网络接入设备的系统和方法
CN108964897B (zh) 基于群组通信的身份认证系统和方法
CN108650028B (zh) 基于量子通信网络与真随机数的多次身份认证系统和方法
CN106411525A (zh) 消息认证方法和系统
CN108600152B (zh) 基于量子通信网络的改进型Kerberos身份认证系统和方法
CN106452739A (zh) 一种量子网络服务站以及量子通信网络
CN107454079A (zh) 基于物联网平台的轻量级设备认证及共享密钥协商方法
CN109787761A (zh) 一种基于物理不可克隆函数的设备认证与密钥分发系统和方法
CN108964895B (zh) 基于群组密钥池和改进Kerberos的User-to-User身份认证系统和方法
CN103427992A (zh) 用于在网络中的节点之间建立安全通信的方法、网络节点、密钥管理器、安装设备和计算机程序产品
CN101741555A (zh) 身份认证和密钥协商方法及系统
CN108880799B (zh) 基于群组密钥池的多次身份认证系统和方法
CN108809636A (zh) 基于群组型量子密钥卡实现成员间消息认证的通信系统和通信方法
CN101192927B (zh) 基于身份保密的授权与多重认证方法
CN110505055A (zh) 基于非对称密钥池对和密钥卡的外网接入身份认证方法和系统
CN107911211B (zh) 基于量子通信网络的二维码认证系统
CN111416712B (zh) 基于多个移动设备的量子保密通信身份认证系统及方法
Hou et al. Lightweight and privacy-preserving charging reservation authentication protocol for 5G-V2G
CN206042014U (zh) 一种量子网络服务站以及量子通信网络

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant