CN113111372B - 一种基于量子秘钥加密的终端数据上云系统及上云方法 - Google Patents

Abstract

本发明公开一种基于量子秘钥加密的终端数据上云系统及上云方法，包括量子秘钥分发中心、接入云、时钟函数发生器和多个接入终端，多个接入终端根据接入系统中的先后顺序分别设为第一接入终端、第二接入终端、第三接入终端...第N接入终端，第一接入终端、第二接入终端、第三接入终端...第N接入终端的身份信息分别为ID₁、ID₂、ID₃...ID_N，本发明数据上云方法通过时钟函数发生器生成基于时间的函数，并将该接入终端预置的初始秘钥、该接入终端的身份信息、以及时刻为因子带入函数生成二次密钥，通过二次密钥对加密业务数据进行加密后再上传至接入云，降低了业务数据在上传到接入云过程中风险。

Description

一种基于量子秘钥加密的终端数据上云系统及上云方法

技术领域

本发明涉及量子通信领域，具体是一种基于量子秘钥加密的终端数据上云系统及上云方法。

背景技术

量子通信技术是量子信息技术的主要分支方向之一，基于量子力学的基本原理，量子具有不可复制、不可克隆的基本属性，基于此的量子通信技术(量子密钥分发)具备不可窃听、不可破译的天然优势，量子通信技术在信息安全领域的应用受到全球学术界和工业界的广泛关注并得到了成功的商业化应用，量子通信技术成为量子信息技术工程化和商业化发展最成熟的代表。

传统通信中的接入终端在业务数据上传到云的过程中，没有经过加密运算，导致数据在上传的过程中面临极大的安全威胁，为解决上述问题，现将量子通信技术和接入终端、云、时钟函数发生器有效结合，提供一种基于终端数据上云的加密系统及其加密方法。

发明内容

本发明的目的在于提供一种基于量子秘钥加密的终端数据上云系统及上云方法，通过时钟函数发生器生成基于时间的函数，并将该接入终端预置的初始秘钥、该接入终端的身份信息、以及时刻为因子带入函数生成二次密钥，通过二次密钥对加密业务数据进行加密后再上传至接入云，降低了业务数据在上传到接入云过程中风险，通过接入终端将二次密钥和其自身预置的初始秘钥进行异或加密后发送给量子密钥分发中心，避免了接入终端向量子密钥分发中心发送的二次密钥被窃取，提高了数据上云系统的安全性。

本发明的目的可以通过以下技术方案实现：

一种基于量子秘钥加密的终端数据上云系统，所述上云系统包括量子秘钥分发中心、接入云、时钟函数发生器和多个接入终端，多个接入终端根据接入系统中的先后顺序分别设为第一接入终端、第二接入终端、第三接入终端...、第N接入终端，第一接入终端、第二接入终端、第三接入终端、...、第N接入终端的身份信息分别为ID₁、ID₂、ID₃、...、ID_N。

所述量子秘钥分发中心与接入终端和接入云之间均设有量子秘钥传输链路，时钟函数发生器与量子分发中心、接入云和接入终端之间均设有时钟函数传输链路，接入云与接入终端之间设有业务数据传输链路。

一种基于量子秘钥加密的终端数据上云系统的数据上云方法，数据上云方法包括如下步骤：

S1：量子密钥分发中心生成解密密钥Kaccess和多个初始密钥，多个初始密钥根据生成的时间先后分别设为第一初始秘钥K₁、第二初始秘钥K₂、第三初始秘钥K₃、...、第N初始秘钥K_N；

S2：将多个初始密钥分别预置到对应的接入终端，同时在量子密钥分发中心对初始密钥进行备份，将解密密钥Kaccess，预置到接入云的存储装置，同时在量子密钥分发中心的内部对解密密钥Kaccess进行备份；

S3：时刻T，身份信息为ID_x的接入终端，准备向接入云发送业务数据，准备向接入云发送业务数据；

S4：时钟函数发生器生成基于时间的函数Function；

S5：所述S3中接入终端使用自身预置的初始秘钥K_x、其自身的身份信息ID_x、以及时刻T为因子，代入函数Function计算Function(K_x、ID_x、T)，生成二次密钥Kunknown；

S6：所述S3中的接入终端使用二次密钥Kunknown对业务数据进行加密，然后将密文数据发到接入云；

S7：所述S3中的接入终端在使用二次密钥Kunknown对业务数据进行加密的同时，将第二次密钥Kunknown和其自身预置的初始秘钥K_x进行异或加密，生成加密密钥Kunknown⊕K_x，并将加密密钥Kunknown⊕K_x发送给量子密钥分发中心；

S8：量子密钥分发中心收到加密密钥Kunknown⊕K_x后，利用备份的初始秘钥K_x，对Kunknown⊕K_x进行异或运算(Kunknown⊕K_x)⊕K_x，得到第二次密钥Kunknown；

S9：接入云接收到加密后的业务数据后，向量子密钥分发中心申请得到二次密钥Kunknown；

S10：量子密钥分发中心以接入云中预置的解密密钥Kaccess、时刻T和二次密钥Kunknown为因子，代入Function计算Function(Kunknown、Kaccess、T)，生成三次秘钥Kfinal，并将三次秘钥Kfinal发送给接入云；

S11：接入云接收到三次秘钥Kfinal后，执行函数Function(Kunknown、Kaccess、T)的逆运算，最终得到二次密钥Kunknown；

S12：接入云通过二次密钥Kunknown对业务数据进行解密，最终得到明文数据。

进一步的，所述S4中的函数Function的表达形式为：

Function(X₁、X₂、X₃、X₄)＝random(exp(X₁+X₄)*exp(X₂⊕X₃)/π,128)

其中，Random(*,128)指对函数Function(X₁、X₂、X₃、X₄)的运算结果，取前128位。

进一步的，当所述S4中的接入终端其后的接入终端接入到系统时，S4中的接入终端使用自身预置的初始秘钥K_x、其自身的身份信息ID_x、与其后接入的接入终端的身份信息ID_x+1以及时刻T为因子，代入Function进行计算：

Function(K_x、ID_x、ID_x+1、T)＝random(exp(K_x+T)*exp(ID_x⊕ID_x+1)/π,128)；

当所述S5中的接入终端其后的接入终端未接入到系统中时，仅以所述S4中的接入终端自身预置的初始秘钥K_x、其自身的身份信息ID_x以及时刻T为因子，代入Function进行计算：

Function(K_x、ID_x、T)＝random(exp(K_x+T)*exp(ID_x)/π,128)。

进一步的，所述S10中Function(Kunknown、Kaccess、T)的计算公式为：

Function(Kunknown、Kaccess、T)＝random(exp(Kunknown+T)*exp(Kaccess)/π,128)。

本发明的有益效果：

1、本发明数据上云方法通过时钟函数发生器生成基于时间的函数，并将该接入终端预置的初始秘钥、该接入终端的身份信息、以及时刻为因子带入函数生成二次密钥，通过二次密钥对加密业务数据进行加密后再上传至接入云，降低了业务数据在上传到接入云过程中风险；

2、本发明数据上云方法通过接入终端将二次密钥和其自身预置的初始秘钥进行异或加密后发送给量子密钥分发中心，避免了接入终端向量子密钥分发中心发送的二次密钥被窃取，提高了数据上云系统的安全性。

附图说明

下面结合附图对本发明作进一步的说明。

图1是本发明数据上云系统结构示意图；

图2是本发明数据上云方法工作流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

一种基于量子秘钥加密的终端数据上云系统，如图1所示，上云系统包括量子秘钥分发中心、接入云、时钟函数发生器和多个接入终端，多个接入终端根据接入系统中的先后顺序分别设为第一接入终端、第二接入终端、第三接入终端、...、第N接入终端，第一接入终端、第二接入终端、第三接入终端、...、第N接入终端的身份信息分别为ID₁、ID₂、ID₃、...、ID_N。

量子秘钥分发中心与接入终端和接入云之间均设有量子秘钥传输链路，时钟函数发生器与量子分发中心、接入云和接入终端之间均设有时钟函数传输链路，接入云与接入终端之间设有业务数据传输链路。

量子秘钥分发中心用于产生量子密钥，且具有基于国密算法的软硬件加解密能力和量子密钥存储功能。

接入终端是具备有线/无线收发信功能手持终端、车载终端或微信终端，且具备业务数据产生的能力、基于国密算法的软硬件加解密能力、量子密钥存储能力和基于算法的数据运算能力。

时钟函数发生器用于生成基于时间的函数，并授权给接入云、量子密钥分发中心和接入终端，保持整个系统的时钟同步。

接入云是接入终端产生的业务数据汇聚端，具有基于国密算法的软硬件加解密能力、量子密钥存储能力好和基于算法的数据运算能力。

一种基于量子秘钥加密的终端数据上云系统的数据上云方法，数据上云方法包括如下步骤：

S1：量子密钥分发中心生成解密密钥Kaccess和多个初始密钥，多个初始密钥根据生成的时间先后分别设为第一初始秘钥K₁、第二初始秘钥K₂、第三初始秘钥K₃、...、第N初始秘钥K_N。

S2：将多个初始密钥分别预置到对应的接入终端，同时在量子密钥分发中心对初始密钥进行备份，将解密密钥Kaccess，预置到接入云的存储装置，同时在量子密钥分发中心的内部对解密密钥Kaccess进行备份。

S3：时刻T，某个接入终端准备向接入云发送业务数据，以分发有第一初始秘钥K₁的第一接入终端为例进行说明。

S4：时钟函数发生器生成基于时间的函数Function，函数Function的表达形式为：

Function(X₁、X₂、X₃、X₄)＝random(exp(X₁+X₄)*exp(X₂⊕X₃)/π,128)

其中，Random(*,128)指对函数Function(X₁、X₂、X₃、X₄)的运算结果，取前128位。

S5：第一接入终端使用自身预置的第一初始秘钥K₁、其自身的身份信息ID₁、与其后接入的接入终端即第二接入终端的身份信息ID₂以及时刻T为因子，代入Function进行计算：

Function(K₁、ID₁、ID₂、T)＝random(exp(K₁+T)*exp(ID₁⊕ID₂)/π,128)生成二次

密钥Kunknown。

当第二接入终端未接入到系统中时，仅以第一接入终端自身预置的第一初始秘钥K₁、其自身的身份信息ID₁以及时刻T为因子，代入Function进行计算：

Function(K₁、ID₁、T)＝random(exp(K₁+T)*exp(ID₁)/π,128)

生成二次密钥Kunknown。

S6：第一接入终端使用二次密钥Kunknown对业务数据进行加密，然后将密文数据发到接入云。

S7：第一接入终端在使用二次密钥Kunknown对业务数据进行加密的同时，将第二次密钥Kunknown和其自身预置的第一初始秘钥K₁进行异或加密，生成加密密钥Kunknown⊕K₁，并将加密密钥Kunknown⊕K₁发送给量子密钥分发中心。

S8：量子密钥分发中心收到加密密钥Kunknown⊕K₁后，利用备份的第一初始秘钥K₁，对Kunknown⊕K₁进行异或运算(Kunknown⊕K₁)⊕K₁，得到第二次密钥Kunknown。

S9：接入云接收到加密后的业务数据后，向量子密钥分发中心申请得到二次密钥Kunknown。

S10：量子密钥分发中心以接入云中预置的解密密钥Kaccess、时刻T和二次密钥Kunknown为因子，代入Function进行计算：

Function(Kunknown、Kaccess、T)＝random(exp(Kunknown+T)*exp(Kaccess)/π,128)生成三次秘钥Kfinal，并将三次秘钥Kfinal发送给接入云。

S11：接入云接收到三次秘钥Kfinal后，执行函数Function(Kunknown、Kaccess、T)的逆运算，最终得到二次密钥Kunknown。

S12：接入云通过二次密钥Kunknown对业务数据进行解密，最终得到明文数据。

在应用中，通过时钟函数发生器生成基于时间的函数，并将该接入终端预置的初始秘钥、该接入终端的身份信息、以及时刻为因子带入函数生成二次密钥，通过二次密钥对加密业务数据进行加密后再上传至接入云，降低了业务数据在上传到接入云过程中风险。

在本说明书的描述中，参考术语“一个实施例”、“示例”、“具体示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。

以上显示和描述了本发明的基本原理、主要特征和本发明的优点。本行业的技术人员应该了解，本发明不受上述实施例的限制，上述实施例和说明书中描述的只是说明本发明的原理，在不脱离本发明精神和范围的前提下，本发明还会有各种变化和改进，这些变化和改进都落入要求保护的本发明范围内。

Claims (4)

1.一种基于量子秘钥加密的终端数据上云系统的数据上云方法，其特征在于，所述上云系统包括量子秘钥分发中心、接入云、时钟函数发生器和多个接入终端，多个接入终端根据接入系统中的先后顺序分别设为第一接入终端、第二接入终端、第三接入终端...、第N接入终端，第一接入终端、第二接入终端、第三接入终端、...、第N接入终端的身份信息分别为ID₁、ID₂、ID₃、...、ID_N；

所述量子秘钥分发中心与接入终端和接入云之间均设有量子秘钥传输链路，时钟函数发生器与量子分发中心、接入云和接入终端之间均设有时钟函数传输链路，接入云与接入终端之间设有业务数据传输链路；

所述数据上云方法包括如下步骤：

S1：量子密钥分发中心生成解密密钥Kaccess和多个初始密钥，多个初始密钥根据生成的时间先后分别设为第一初始秘钥K₁、第二初始秘钥K₂、第三初始秘钥K₃、...、第N初始秘钥K_N；

S2：将多个初始密钥分别预置到对应的接入终端，同时在量子密钥分发中心对初始密钥进行备份，将解密密钥Kaccess，预置到接入云的存储装置，同时在量子密钥分发中心的内部对解密密钥Kaccess进行备份；

S3：时刻T，身份信息为ID_x的接入终端，准备向接入云发送业务数据；

S4：时钟函数发生器生成基于时间的函数Function；

S5：所述S3中接入终端使用自身预置的初始秘钥K_x、其自身的身份信息ID_x、以及时刻T为因子，代入函数Function计算Function(K_x、ID_x、T)，生成二次密钥Kunknown；

S6：所述S3中的接入终端使用二次密钥Kunknown对业务数据进行加密，然后将密文数据发到接入云；

S7：所述S3中的接入终端在使用二次密钥Kunknown对业务数据进行加密的同时，将第二次密钥Kunknown和其自身预置的初始秘钥K_x进行异或加密，生成加密密钥并将加密密钥/>发送给量子密钥分发中心；

S8：量子密钥分发中心收到加密密钥后，利用备份的初始秘钥K_x，对进行异或运算/>得到第二次密钥Kunknown；

S9：接入云接收到加密后的业务数据后，向量子密钥分发中心申请得到二次密钥Kunknown；

S10：量子密钥分发中心以接入云中预置的解密密钥Kaccess、时刻T和二次密钥Kunknown为因子，代入Function计算Function(Kunknown、Kaccess、T)，生成三次秘钥Kfinal，并将三次秘钥Kfinal发送给接入云；

S11：接入云接收到三次秘钥Kfinal后，执行函数Function(Kunknown、Kaccess、T)的逆运算，最终得到二次密钥Kunknown；

S12：接入云通过二次密钥Kunknown对业务数据进行解密，最终得到明文数据。

2.根据权利要求1所述的一种基于量子秘钥加密的终端数据上云系统的数据上云方法，其特征在于，所述S4中的函数Function的表达形式为：

其中，Random(*,128)指对函数Function(X₁、X₂、X₃、X₄)的运算结果，取前128位。

3.根据权利要求2所述的一种基于量子秘钥加密的终端数据上云系统的数据上云方法，其特征在于，当所述S4中的接入终端其后的接入终端接入到系统时，S4中的接入终端使用自身预置的初始秘钥K_x、其自身的身份信息ID_x、与其后接入的接入终端的身份信息ID_x+1以及时刻T为因子，代入Function进行计算：

当所述S5中的接入终端其后的接入终端未接入到系统中时，仅以所述S4中的接入终端自身预置的初始秘钥K_x、其自身的身份信息ID_x以及时刻T为因子，代入Function进行计算：

Function(K_x、ID_x、T)＝random(exp(K_x+T)*exp(ID_x)/π,128)。

4.根据权利要求2所述的一种基于量子秘钥加密的终端数据上云系统的数据上云方法，其特征在于，所述S10中Function(Kunknown、Kaccess、T)的计算公式为：

Function(Kunknown、Kaccess、T)＝random(exp(Kunknown+T)*exp(Kaccess)/π,128)。