CN113037478B - 一种量子密匙分发系统及方法 - Google Patents

Abstract

本发明公开了一种量子密匙分发系统及方法，包括服务器、支持多种终端操作的量子安全网关和量子密匙管理分发设备，所述量子安全网关分别与服务器和量子密匙管理分发设备电性连接，所述服务器包括加密模块，所述量子密匙管理分发设备包括管理模块、分发模块和控制模块，所述管理模块与控制模块电性连接，所述控制模块与分发模块电性连接，所述管理模块包括通道隔离单元、权限管理单元和具有多项认证的身份认证单元；本发明通过将量子密钥分发网络与通信网络结合，实现适用于不同场景的量子保密通信网络，保障系统安全稳定运行和用户信息安全，为数据传输提供更强的安全防护能力。

Description

一种量子密匙分发系统及方法

技术领域

本发明属于通信技术领域，具体涉及一种量子密匙分发系统及方法。

背景技术

量子密匙分发是利用量子力学特性来保证通信的安全，它使通信的双方能够产生并分享一个随机的、安全的密钥，来加密和解密消息。在党、政、军等行业用户安全接入、企业和分支机构之间的组网、互联金融网点接入和电力纵向网络接入的通信中，通过公钥算法分配的密钥可实现加密通信，但是，该产品不支持国密算法、不符合国家密码机构相关规范，作为网络的边界设备，该产品不支持双向认证，并不会对网络数据自动进行无感知的数据加密和解密，且不提供密钥的产生、安全管理、数据包的加密运算和解密运算服务，使加密通信存在一定的安全隐患。

为此，我们提出一种量子密匙分发系统及方法来解决现有技术中存在的问题，使其一定程度上提高加密通信的安全性。

发明内容

本发明的目的在于提供一种量子密匙分发系统及方法，以解决上述背景技术中提出现有技术中加密通信存在一定安全隐患的问题，使其以量子密钥替换现有基于公钥算法分配的密钥，实现更安全的加密通信。

为实现上述目的，本发明采用了如下技术方案：

一种量子密匙分发系统，包括服务器、支持多种终端操作的量子安全网关和量子密匙管理分发设备，所述量子安全网关分别与服务器和量子密匙管理分发设备电性连接，所述服务器包括加密模块，所述量子密匙管理分发设备包括管理模块、分发模块和控制模块，所述管理模块与控制模块电性连接，所述控制模块与分发模块电性连接，所述管理模块包括通道隔离单元、权限管理单元和具有多项认证的身份认证单元，所述通道隔离单元、权限管理单元和身份认证单元分别与控制模块电性连接，所述分发模块包括密匙产生单元、密匙读取单元、密匙存储单元和密匙传输单元，所述密匙产生单元与密匙读取单元电性连接，所述密匙读取单元与密匙存储单元电性连接，所述密匙存储单元与密匙传输单元电性连接。

优选的，所述量子密匙管理分发设备包括计算机和打印机，所述量子密匙管理分发设备至少设置有两组，且两组所述量子密匙管理分发设备均与服务器和量子安全网关电性连接，所述量子密匙管理分发设备设置为可以使用量子密钥建立起IPsec隧道，实现业务终端安全接入、通信链路加密传输、边界安全防护，并集成量子保密通信功能的设备，该量子密匙管理分发设备能够定期获取相同的量子密钥，并且定期频率可设置。

优选的，所述密匙产生单元是通过量子密钥生成终端生成时间相位型量子密钥，且量子密钥生成终端在量子保密通信网络中属于量子层设备，负责实现点对点的量子密钥协商与分发。

优选的，所述密匙传输单元包括在线分发和离线传输，所述密匙读取单元和密匙存储单元是将量子密钥生成终端产生的密钥进行读取和安全存储，并通过在线分发和离线传输两种方式将量子密钥输出到服务器的加密模块中。

优选的，所述通道隔离单元是通过量子密匙管理分发设备和服务器与量子安全接入网关之间建立了专用的数据传输通道，且数据传输通道之间相互隔离；所述权限管理单元中通过量子安全接入网关支持根据用户角色进行权限的分配。

优选的，所述身份认证单元是基于数字证书的方式提供对终端的强身份认证单元功能，同时提供终端对量子安全接入网关身份的认证，从而实现双向对等鉴别和认证功能，其中数字证书包括Ldap、OCSP、CRL、PKI/CA数字证书和第三方证书，所述身份认证单元支持双向/单向身份认证单元机制和Radius、kerberos的标准认证协议。

优选的，所述量子安全网关包括报文内容过滤和安全审计，所述报文内容过滤可针对不同的报文内容进行过滤，实现数据交换过程中的合法数据信息的识别和非法数据信息的过滤，杜绝非法信息进入内网，并防止敏感信息泄露，所述安全审计可审计事件生成审计记录，并提供事件审计查阅功能，审计记录包含事件产生的日期和时间，事件的结果。

优选的，所述控制模块包括访问控制和IP地址控制，所述访问控制是通过量子安全接入网关只允许身份验证正确的实体访问被授权访问的资源，只有具有授权的实体才能发出访问请求，进行网络层的安全访问控制，对终端可切回的内网资源服务及数据内容进行有效地控制，禁止终端对内网资源越权访回，对网络访问控制至少应该控制到IP地址、端口级；所述IP地址控制用于使量子安全接入网关能够通过IP地址进行访问控制。

优选的，所述量子安全网关支持至少一种操作终端，其中操作终端包括PC机、安全盒子和移动终端，所述管理模块通过Web的方式和使用HTTPS通道安全地进行管理，所述量子安全网关还包括硬件负载均衡设备，通过硬件负载均衡设备把并发请求分配到多台安全接入服务器上来解决因用户访问量大，用户的访问请求处理面临的并发处理压力的问题。

一种根据以上所述的量子密匙分发系统的方法，包括如下步骤：

S1、将至少两个量子密匙管理分发设备与服务器和量子安全网关进行电性连接；

S2、其中一个量子密匙管理分发设备先通过量子密钥生成终端生成时间相位型量子密钥，再通过密匙读取单元和密匙存储单元读取产生的量子密钥和安全储存，并将量子密钥输出到加密模块中；

S3、另一个量子密匙管理分发设备通过量子安全网关定期获取相同的量子密钥，实现两个量子密匙管理分发设备之间的密钥分发和接收。

本发明提出的一种量子密匙分发系统及方法，与现有技术相比，具有以下优点：

1、本发明通过服务器、量子安全网关和量子密匙管理分发设备的配合使用，实现更安全的加密通信，且通过量子密匙管理分发设备的多项身份认证来增加通信的安全性，量子安全网关支持多种终端操作，通过将量子密钥分发网络与通信网络结合，实现适用于不同场景的量子保密通信网络，保障系统安全稳定运行和用户信息安全，为数据传输提供更强的安全防护能力。

2、量子密匙管理分发设备包括管理模块、分发模块和控制模块，通过管理模块进行通道隔离、权限管理和身份认证，通过分发模块产生密钥，并进行读取和安全存储，最后通过传输组件将产生的密钥传输至服务器中，在管理时网络管理人员和系统管理员可以通过浏览器在任何地方进行远程访问管理，给密匙的分发管理带来便捷。

附图说明

图1为本发明的量子密匙分发系统框图；

图2为本发明的量子密匙管理分发设备的系统框图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

请参阅图1-2，本发明提供了一种量子密匙分发系统，包括服务器、支持多种终端操作的量子安全网关和量子密匙管理分发设备，量子安全网关分别与服务器和量子密匙管理分发设备电性连接，服务器包括加密模块，量子密匙管理分发设备包括管理模块、分发模块和控制模块，管理模块与控制模块电性连接，控制模块与分发模块电性连接，管理模块包括通道隔离单元、权限管理单元和具有多项认证的身份认证单元，通道隔离单元、权限管理单元和身份认证单元分别与控制模块电性连接，分发模块包括密匙产生单元、密匙读取单元、密匙存储单元和密匙传输单元，密匙产生单元与密匙读取单元电性连接，密匙读取单元与密匙存储单元电性连接，密匙存储单元与密匙传输单元电性连接；通过量子密匙管理分发设备的多项身份认证单元来增加通信的安全性，量子安全网关支持多种终端操作，使量子密钥分发网络与通信网络结合，实现适用于不同场景的量子保密通信网络，保障系统安全稳定运行和用户信息安全，为数据传输提供更强的安全防护能力；

量子密匙管理分发设备包括计算机和打印机，量子密匙管理分发设备至少设置有两组，且两组量子密匙管理分发设备均与服务器和量子安全网关电性连接，量子密匙管理分发设备设置为可以使用量子密钥建立起IPsec隧道，实现业务终端安全接入、通信链路加密传输、边界安全防护，并集成量子保密通信功能的设备，该量子密匙管理分发设备能够定期获取相同的量子密钥，并且定期频率可设置，从而两个量子密匙管理分发设备的汇聚端与终端安全加解密；

密匙产生单元是通过量子密钥生成终端生成时间相位型量子密钥，且量子密钥生成终端在量子保密通信网络中属于量子层设备，负责实现点对点的量子密钥协商与分发，使每个量子密匙管理分发设备之间都可进行密钥通信；

密匙传输单元包括在线分发和离线传输，密匙读取单元和密匙存储单元是将量子密钥生成终端产生的密钥进行读取和安全存储，并通过在线分发和离线传输两种方式将量子密钥输出到服务器的加密模块中；

通道隔离单元是通过量子密匙管理分发设备和服务器与量子安全接入网关之间建立了专用的数据传输通道，且数据传输通道之间相互隔离；权限管理单元中通过量子安全接入网关支持根据用户角色进行权限的分配；基于角色的访问授权管理，同时基于最小化授权原则，对终端只开放必要的权限，提供终端在线注册功能，进行终端的软、硬件特征信息收集和注册功能；

身份认证单元是基于数字证书的方式提供对终端的强身份认证单元功能，同时提供终端对量子安全接入网关身份的认证，从而实现双向对等鉴别和认证功能，其中数字证书包括Ldap、OCSP、CRL、PKI/CA数字证书和第三方证书，身份认证单元支持双向/单向身份认证单元机制和Radius、kerberos的标准认证协议，强身份认证单元支持高强度的基于国产SM2、SM3密码算法的身份认证单元技术，也支持国产SM1、SM4密码算法的安全通道加密技术，避免了数据在经过互联网传输过程中遭受窃取攻击、中间人攻击、重放攻击等的可能性；

量子安全网关包括报文内容过滤和安全审计，报文内容过滤可针对不同的报文内容进行过滤，实现数据交换过程中的合法数据信息的识别和非法数据信息的过滤，杜绝非法信息进入内网，并防止敏感信息泄露，安全审计可审计事件生成审计记录，并提供事件审计查阅功能，审计记录包含事件产生的日期和时间，事件的结果，具体功能包括：具备记录、存储并导出日志的功能，日志类型包括管理工具的日志、系统自身的日志、接入终端的日志以及告警日志；日志内容包括日志级别、日志时间、日志类型、详细内容等信息；详细内容信息包括终端IP、终端证书信息、访问资源、上传流量、下载流量、访问结果、错误原因等，日志具备可读性；

控制模块包括访问控制和IP地址控制，访问控制是通过量子安全接入网关只允许身份验证正确的实体访问被授权访问的资源，只有具有授权的实体才能发出访问请求，进行网络层的安全访问控制，对终端可切回的内网资源服务及数据内容进行有效地控制，禁止终端对内网资源越权访回，对网络访问控制至少应该控制到IP地址、端口级；IP地址控制用于使量子安全接入网关能够通过IP地址进行访问控制，系统还支持基于用户账户及权限分配的细粒度访问控制；支持根据认证方式、时间、IP策略的访问控制，以保证特定的资源只有授权的用户才能访问，本系统支持第三方CA签发的数字证书。这样可以在保证安全性的同时提供更多的灵活性，简化部署过程，避免多套认证体系带来的维护成本和安全风险；

量子安全网关支持至少一种操作终端，其中操作终端包括PC机、安全盒子和移动终端，管理模块通过Web的方式和使用HTTPS通道安全地进行管理，量子安全网关还包括硬件负载均衡设备，通过硬件负载均衡设备把并发请求分配到多台安全接入服务器上来解决因用户访问量大，用户的访问请求处理面临的并发处理压力的问题；

一种根据以上的量子密匙分发系统的方法，包括如下步骤：

S1、将至少两个量子密匙管理分发设备与服务器和量子安全网关进行电性连接；

S2、其中一个量子密匙管理分发设备先通过量子密钥生成终端生成时间相位型量子密钥，再通过密匙读取单元和密匙存储单元读取产生的量子密钥和安全储存，并将量子密钥输出到加密模块中；

S3、另一个量子密匙管理分发设备通过量子安全网关定期获取相同的量子密钥，实现两个量子密匙管理分发设备之间的密钥分发和接收。

使用时，通过量子密匙管理分发设备中的密匙产生单元生成终端生成时间相位型量子密钥，通过密匙读取单元进行产生的量子密钥读取，通过密匙存储单元进行安全储存，并将量子密钥输出到服务器的加密模块中，在管理时网络管理人员和系统管理员可以通过浏览器在任何地方进行远程访问管理，给密匙的分发管理带来便捷，且通过量子密匙管理分发设备的多项身份认证单元来增加通信的安全性，量子安全网关支持多种终端操作，通过将量子密钥分发网络与通信网络结合，实现适用于不同场景的量子保密通信网络，保障系统安全稳定运行和用户信息安全，为数据传输提供更强的安全防护能力。

最后应说明的是：以上所述仅为本发明的优选实施例而已，并不用于限制本发明，尽管参照前述实施例对本发明进行了详细的说明，对于本领域的技术人员来说，其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (7)

1.一种量子密匙分发系统，包括服务器、支持多种终端操作的量子安全网关和量子密匙管理分发设备，其特征在于：所述量子安全网关分别与服务器和量子密匙管理分发设备电性连接，所述服务器包括加密模块，所述量子密匙管理分发设备包括管理模块、分发模块和控制模块，所述管理模块与控制模块电性连接，所述控制模块与分发模块电性连接，所述管理模块包括通道隔离单元、权限管理单元和具有多项认证的身份认证单元，所述通道隔离单元、权限管理单元和身份认证单元分别与控制模块电性连接，所述分发模块包括密匙产生单元、密匙读取单元、密匙存储单元和密匙传输单元，所述密匙产生单元与密匙读取单元电性连接，所述密匙读取单元与密匙存储单元电性连接，所述密匙存储单元与密匙传输单元电性连接；

所述通道隔离单元是通过量子密匙管理分发设备和服务器与量子安全接入网关之间建立了专用的数据传输通道，且数据传输通道之间相互隔离；所述权限管理单元中通过量子安全接入网关支持根据用户角色进行权限的分配；

所述身份认证单元是基于数字证书的方式提供对终端的强身份认证单元功能，同时提供终端对量子安全接入网关身份的认证，从而实现双向对等鉴别和认证功能，其中数字证书包括Ldap、OCSP、CRL、PKI/CA数字证书和第三方证书，所述身份认证单元支持双向/单向身份认证单元机制和Radius、kerberos的标准认证协议；

所述量子安全网关包括报文内容过滤和安全审计，所述报文内容过滤可针对不同的报文内容进行过滤，实现数据交换过程中的合法数据信息的识别和非法数据信息的过滤，杜绝非法信息进入内网，并防止敏感信息泄露，所述安全审计可审计事件生成审计记录，并提供事件审计查阅功能，审计记录包含事件产生的日期和时间，事件的结果。

2.根据权利要求1所述的一种量子密匙分发系统，其特征在于：所述量子密匙管理分发设备包括计算机和打印机，所述量子密匙管理分发设备至少设置有两组，且两组所述量子密匙管理分发设备均与服务器和量子安全网关电性连接，所述量子密匙管理分发设备设置为可以使用量子密钥建立起IPsec隧道，实现业务终端安全接入、通信链路加密传输、边界安全防护，并集成量子保密通信功能的设备，该量子密匙管理分发设备能够定期获取相同的量子密钥，并且定期频率可设置。

3.根据权利要求2所述的一种量子密匙分发系统，其特征在于：所述密匙产生单元是通过量子密钥生成终端生成时间相位型量子密钥，且量子密钥生成终端在量子保密通信网络中属于量子层设备，负责实现点对点的量子密钥协商与分发。

4.根据权利要求3所述的一种量子密匙分发系统，其特征在于：所述密匙传输单元包括在线分发和离线传输，所述密匙读取单元和密匙存储单元是将量子密钥生成终端产生的密钥进行读取和安全存储，并通过在线分发和离线传输两种方式将量子密钥输出到服务器的加密模块中。

5.根据权利要求4所述的一种量子密匙分发系统，其特征在于：所述控制模块包括访问控制和IP地址控制，所述访问控制是通过量子安全接入网关只允许身份验证正确的实体访问被授权访问的资源，只有具有授权的实体才能发出访问请求，进行网络层的安全访问控制，对终端可切回的内网资源服务及数据内容进行有效地控制，禁止终端对内网资源越权访回，对网络访问控制至少应该控制到IP地址、端口级；所述IP地址控制用于使量子安全接入网关能够通过IP地址进行访问控制。

6.根据权利要求5所述的一种量子密匙分发系统，其特征在于：所述量子安全网关支持至少一种操作终端，其中操作终端包括PC机、安全盒子和移动终端，所述管理模块通过Web的方式和使用HTTPS通道安全地进行管理，所述量子安全网关还包括硬件负载均衡设备，通过硬件负载均衡设备把并发请求分配到多台安全接入服务器上来解决因用户访问量大，用户的访问请求处理面临的并发处理压力的问题。

7.一种根据权利要求1-6任意一项所述的量子密匙分发系统的方法，其特征在于：包括如下步骤：

S1、将至少两个量子密匙管理分发设备与服务器和量子安全网关进行电性连接；

S2、其中一个量子密匙管理分发设备先通过量子密钥生成终端生成时间相位型量子密钥，再通过密匙读取单元和密匙存储单元读取产生的量子密钥和安全储存，并将量子密钥输出到加密模块中；

S3、另一个量子密匙管理分发设备通过量子安全网关定期获取相同的量子密钥，实现两个量子密匙管理分发设备之间的密钥分发和接收。

Images