CN109756325A

CN109756325A - 一种利用量子密钥提升移动办公系统安全性的方法

Info

Publication number: CN109756325A
Application number: CN201711073661.7A
Authority: CN
Inventors: 熊英; 唐小康; 陈娟
Original assignee: CHENGDU LINGGUANG QUANTUM TECHNOLOGY Co Ltd
Current assignee: CHENGDU LINGGUANG QUANTUM TECHNOLOGY Co Ltd
Priority date: 2017-11-05
Filing date: 2017-11-05
Publication date: 2019-05-14

Abstract

本发明公开了一种利用量子密钥提升移动办公系统安全性的方法，主要用于提升移动办公系统的安全性。本发明方法是注册的应用终端采用离线方法或在线方法获得共享量子密钥，应用终端与VPN安全网关基于所述共享量子密钥构建二者之间的VPN加密隧道；其中离线方法是密码管理服务器利用量子随机数发生器为应用终端提供共享量子密钥资源；在线方法是利用量子密钥分发网络为应用终端和VPN安全网关提供协商共享量子密钥的安全通道。本发明中的移动终端与VPN安全网关之间共享一对一的量子密钥，部署方式灵活，用完再补充，移动终端退出网络和失控都不会影响移动办公系统的通信安全；本发明在移动办公系统、移动支付等领域中有着十分重要的实际应用价值。

Description

一种利用量子密钥提升移动办公系统安全性的方法

技术领域

本发明涉及利用量子密钥分发网络提升移动办公系统安全性的技术领域，尤其涉及一种利用量子密钥提升移动办公系统安全性的方法。

背景技术

移动办公系统融合了移动通信技术、智能应用终端、VPN、身份认证及Web服务等技术，为用户提供了一种安全、快速的现代化移动办公机制。移动办公系统的数据传输安全性基于VPN加密隧道的安全性；但是，传统移动办公系统的VPN安全网关的数据加密密钥协商是采用基于公钥密码算法的密钥协商协议，其安全性面临量子计算等高性能计算的威胁。

量子密钥分发（QKD）是通过量子信道进行安全的密钥分发的新型方法。QKD基于量子态不可精确克隆等量子力学原理，具有实时监测在线窃听的特性，能够实现无条件安全的量子密钥分发，再结合无条件安全的一次一密加密算法，可以实现无条件安全的数据加密传输。利用量子密钥可以提升移动办公系统的安全性。

发明内容

一种利用量子密钥提升移动办公系统安全性的方法，其特征在于，包括如下步骤：

（1-1）注册的应用终端采用离线方法或在线方法获得共享量子密钥；

（1-2）所述应用终端与移动办公系统的VPN安全网关基于所述共享量子密钥构建二者之间的VPN加密隧道，即，VPN安全网关利用共享量子密钥加密需要发给应用终端的数据，应用终端利用共享量子密钥解密；应用终端利用共享量子密钥加密需要发给VPN安全网关的数据，VPN安全网关利用共享量子密钥解密。

所述离线方法包括但不限于：移动办公系统的密码管理服务器利用量子随机数发生器为注册的应用终端离线提供一定量的量子密钥资源Ru（比如，一次注入1GB量子随机数），并把Ru分割为n个子密钥Rui（i是不大于n的自然数，比如，一个子密钥1MB，可以把1GB量子随机数分为1000个子密钥）并把每一个子密钥及其密钥标识一起存储到应用终端的安全存储介质中；密码管理服务器把量子密钥资源Ru和Rui及其密钥标识同步到VPN安全网关并进行安全存储；每一次通信时应用终端和VPN安全网关选用量子密钥资源中的某个具有相同密钥标识的子密钥Rui作为该次通信的共享量子密钥，Rui被使用后即被删除；Ru被使用完后再申请注入新的量子密钥资源。

所述在线方法包括但不限于通过量子密钥分发网络的服务节点为应用终端和VPN安全网关提供共享量子密钥，所述通过量子密钥分发网络的服务节点为应用终端和VPN安全网关提供共享量子密钥的方法包括如下步骤：

（3-1）应用终端U从量子密钥分发网络的一个服务节点A获得一定量的量子密钥资源Ru（比如，服务节点A利用量子随机数发生器QRNG在本地产生并注入应用终端U），U把Ru分割为n个子密钥Rui（i是不大于n的自然数）把每一个子密钥及其密钥标识和服务节点A的地址一起存储到安全存储介质中；服务节点A对Ru和Rui及其密钥标识进行安全存储；

（3-2）当应用终端U需要访问移动办公系统内网资源时，应用终端U向VPN安全网关发送一个包含所述服务节点A地址的申请数据包，VPN安全网关向密码管理服务器请求协商与U之间的共享量子密钥，密码管理服务器向量子密钥分发网络的本地服务节点B申请与服务节点A之间的共享量子密钥，服务节点B向量子密钥分发网络的管控中心发送请求，量子密钥分发网络的管控中心为服务节点A和服务节点B建立量子密钥分发链路并协商共享量子密钥QK；

（3-3）服务节点A利用QK加密应用终端U的量子密钥资源Ru中的一个子密钥Rui并通过传统网络发给VPN安全网关或密码管理服务器；VPN安全网关把Rui的密钥标识发给U并确认把Rui作为该次通信的共享量子密钥；Rui被使用后即被删除；Ru被使用完后再申请注入新的量子密钥资源。

其中，所述密钥标识包括但不限于密钥的批次号和子密钥的序列号；所述安全存储介质包括但不限于应用终端的系统存储器和SD密码卡；所述安全存储包括但不限于对数据进行加密存储。

进一步地，所述方法还包括：

所述VPN安全网关包括但不限于采用标准安全协议SSL和IPSec协议的VPN网关。

进一步地，所述方法还包括：

所述数据加/解密所采用的算法包括但不限于采用一次一密加密算法和数据加密标准算法；对于采用一次一密加密算法的加/解密直接采用量子密钥与明文/密文数据进行异或运算，一个共享量子密钥完成一次加密和解密后即删除；对于采用数据加密标准算法的加/解密，首先把共享量子密钥编排为密码算法的多个工作密钥，采用所述工作密钥对数据进行加/解密运算，并提升所述工作密钥的更换频率。

进一步地，所述方法还包括：所述应用终端包括但不限于智能手机、笔记本电脑和平板。

进一步地，所述方法还包括：所述移动办公系统包括但不限于企业OA系统、VPN安全网关、密码管理服务器和应用终端；其中，VPN安全网关具有传统数据加密功能和量子密钥加密功能；密码管理服务器具有应用终端和VPN安全网关的密钥管理功能，还具有量子随机数产生和分发功能。

与现有技术相比具有以下几方面的显著创新性：

1. 本发明具有更灵活高效的量子密钥获取方式，不需要对现有移动办公系统的技术体系进行大的改动，部署方式灵活，安全性可证明；

2. 应用终端与VPN安全网关之间共享一对一的量子密钥，用完再补充，应用终端接入和退出网络、应用终端失控都不会影响其他应用终端和移动办公系统的通信安全；

本发明在移动办公系统、移动支付等领域中有着十分重要的实际应用价值。

附图说明

图1为本发明实施例的利用量子密钥提升移动办公系统安全性的方法示意图。

为使本发明的技术方案及优点更加清楚，作为本发明的一部分，以下结合附图及具体实施例，对本发明作进一步详细的说明。

本发明方案中所涉及的加密和解密具有一致性，即选择某个密钥和加密算法加密某个数据得到一个密文，解密时必须选择相应的密钥和解密算法才能解密该密文；对于采用一次一密加密算法的加/解密直接采用量子密钥与明文/密文数据进行异或运算；对于采用数据加密标准算法的加/解密，首先把共享量子密钥编排为密码算法的多个工作密钥，采用所述工作密钥对数据进行加/解密运算，并提升所述工作密钥的更换频率。

如图1所示，应用终端101和102可以采用离线方法获取量子密钥，即101和102从密码管理服务器105的量子随机数发生器（QRNG）106分别申请注入一定量的量子密钥资源R101和R102（比如，一次分别注入1GB量子随机数）， 101和102分别把R101和R102分割为n个子密钥R101i和R102i（i是不大于n的自然数，比如，一个子密钥1MB，把1GB分为1000个子密钥；当这个子密钥用于一次一密加密时可以加密1MB的数据，当这个子密钥用于数据加密标准算法AES时，可以先分割为4000个256比特的工作密钥，并通过提升工作密钥的更换频率提升安全性，以下描述中的子密钥具有相同的内涵，不再特别标注），并分别把每一个子密钥及其密钥标识一起存储到各自的SD密码卡中（密钥标识包含密钥的批次号和子密钥的序列号，以下描述中的密钥标识具有相同的内涵，不再特别标注）；密码管理服务器把量子密钥资源R101和R102及其密钥标识同步到VPN安全网关并进行安全存储。

当101需要访问企业OA系统时，101选择R101x作为该次通信的数据加解密密钥，并通过4G无线网络向VPN安全网关103发送包含R101x的密钥标识的请求，103确认并把 R101x作为该次通信的共享量子密钥；103利用R101x加密需要发给101的数据，101利用R101x解密；或者101利用R101x加密需要发给103的数据，103利用R101x解密；R101x被使用后即被删除；R101被使用完后再申请注入新的量子密钥资源。

当102需要访问企业OA系统时，102选择R102x作为该次通信的数据加解密密钥，并通过互联网向VPN安全网关104发送包含R102x的密钥标识的请求，104确认并把 R102x作为该次通信的共享量子密钥；104利用R102x加密需要发给应用终端的数据，102利用R102x解密；或者102利用R102x加密需要发给104的数据，104利用R102x解密；R102x被使用后即被删除；R102被使用完后再申请注入新的量子密钥资源。

如图1所示，应用终端101和102也可以采用在线方法获取量子密钥，即101和102从量子密钥分发网络的一个服务节点107分别注入一定量的量子密钥资源，比如107利用系统配置的QRNG分别为101和102产生一定量的量子密钥资源R101和R102（比如，一次分别产生并注入1GB量子随机数）；101和102分别把R101和R102分割为n个子密钥R101i和R102i（i是不大于n的自然数，比如，假设一个子密钥1MB，那么可以把1GB分为1000个子密钥），并分别把每一个子密钥及其密钥标识一起存储到各自的SD密码卡中；107保存101的身份信息、R101和R101i及其密钥标识；107保存102的身份信息、R102和R102i及其密钥标识。

当101需要访问企业OA系统时，101通过4G无线网络向VPN安全网关103发送一个包含服务节点107地址的申请数据包，103向密码管理服务器105请求协商与101之间的共享量子密钥；105首先向量子密钥分发网络的本地服务节点108申请与107之间的共享量子密钥，108向量子密钥分发网络的管控中心发送请求，量子密钥分发网络的管控中心建立107和108之间的量子密钥分发链路并协商共享量子密钥QK；107利用QK加密101的某个子密钥R101x并通过传统网络（无线通信网络或互联网）发给105；105再把R101x分发给103；103把R101x的密钥标识发给101并确认把R101x作为该次通信的共享量子密钥，即，103利用R101x加密需要发给101的数据，101利用R101x解密；或者101利用R101x加密需要发给103的数据，103利用R101x解密；R101x被使用后即被删除；R101被使用完后可以再向某个服务节点申请注入新的量子密钥资源。

当102需要访问企业OA系统时，102通过互联网向VPN安全网关104发送一个包含服务节点107地址的申请数据包，104向密码管理服务器105请求协商与102之间的共享量子密钥，105首先向量子密钥分发网络的本地服务节点108申请与107之间的共享量子密钥，量子密钥分发网络的管控中心建立107和108之间的量子密钥分发链路并协商共享量子密钥QK；107利用QK加密102的某个子密钥R102x并通过传统网络（无线通信网络或互联网）发给105；105再把R102x分发给104；104把R102x的密钥标识发给102并确认把R102x作为该次通信的共享量子密钥，104利用R102x加密需要发给102的数据，102利用R102x解密；或者102利用R102x加密需要发给104的数据，104利用R102x解密；R102x被使用后即被删除；R102被使用完后可以再向某个服务节点申请注入新的量子密钥资源。

以上所描述的实施例仅是本发明的一部分实施例，而不是全部的实施例。基于本发明中实施例的各种变形和组合可以得到更多的实施例，本领域普通技术人员在未做出创造性劳动前提下所获得的其他直接采用本发明方法的实施例，都属于本发明保护的范围。

Claims

1.一种利用量子密钥提升移动办公系统安全性的方法，其特征在于，包括如下步骤：

2.根据权利要求1所述的方法，其特征在于，所述离线方法包括但不限于：

移动办公系统的密码管理服务器利用量子随机数发生器为注册的应用终端离线提供一定量的量子密钥资源Ru，把Ru分割为n个子密钥Rui（i是不大于n的自然数）并把每一个子密钥及其密钥标识一起存储到应用终端的安全存储介质中；密码管理服务器把量子密钥资源Ru和Rui及其密钥标识同步到VPN安全网关并进行安全存储；每一次通信时应用终端和VPN安全网关选用量子密钥资源中某个具有相同密钥标识的子密钥Rui作为该次通信的共享量子密钥，Rui被使用后即被删除；Ru被使用完后再申请注入新的量子密钥资源。

3.根据权利要求1所述的方法，其特征在于，所述在线方法包括但不限于通过量子密钥分发网络的服务节点为应用终端和VPN安全网关提供共享量子密钥，所述通过量子密钥分发网络的服务节点为应用终端和VPN安全网关提供共享量子密钥的方法包括如下步骤：

（3-1）应用终端U从量子密钥分发网络的一个服务节点A获得一定量的量子密钥资源Ru，U把Ru分割为n个子密钥Rui（i是不大于n的自然数），把每一个子密钥及其密钥标识和服务节点A的地址一起存储到安全存储介质中；服务节点A对Ru和Rui及其密钥标识进行安全存储；

4.根据权利要求1所述的方法，其特征在于：

5.根据权利要求1所述的方法，其特征在于：

6.根据权利要求1所述的方法，其特征在于，所述应用终端包括但不限于智能手机、笔记本电脑和平板。

7.根据权利要求1所述的方法，其特征在于，所述移动办公系统包括但不限于企业OA系统、VPN安全网关、密码管理服务器和应用终端；其中，VPN安全网关具有传统数据加密功能和量子密钥加密功能；密码管理服务器具有应用终端和VPN安全网关的密钥管理功能，还具有量子随机数产生和分发功能。

8.根据权利要求2和权利要求3所述的方法，其特征在于，所述密钥标识包括但不限于密钥的批次号和子密钥的序列号。

9.根据权利要求2和权利要求3所述的方法，其特征在于，所述安全存储介质包括但不限于应用终端的系统存储器和SD密码卡。

10.根据权利要求2和权利要求3所述的方法，其特征在于，所述安全存储包括但不限于对数据进行加密存储。