CN113452513A - 密钥分发方法、装置和系统 - Google Patents

Abstract

本发明公开了一种密钥分发方法、装置和系统。其中，第一服务器集群包括：量子密钥分发设备、第一密钥共享服务端、第一密钥共享客户端和第一应用，该方法包括：第一密钥共享客户端接收第一应用发送的密钥请求；第一密钥共享客户端根据密钥请求向第一密钥共享服务端请求量子密钥和量子密钥对应的密钥标识，其中，第一密钥共享服务端获取密钥分发设备分发的量子密钥，并将量子密钥返回至第一密钥共享服务端；第一密钥共享客户端将量子密钥发送至第一应用，并将密钥标识发送至第二服务器集群内的第二密钥共享客户端。本发明解决了现有技术中通过点对点的方式进行密钥分发导致设备成本高昂的技术问题。

Description

密钥分发方法、装置和系统

技术领域

本发明涉及量子密钥领域，具体而言，涉及一种密钥分发方法、装置和系统。

背景技术

量子密钥分发是利用量子力学特性来保证通信安全性。它使通信的双方能够产生并分享一个随机的、安全的密钥，来加解密消息。量子密钥分发的安全性基于量子力 学的基本原理，而传统密码学是基于某些数学算法的计算复杂度，因此，传统密码学 无法进行察觉侦听。

目前量子密钥分发通常使用点对点的方式进行，如果具有多个对象需要量子密钥， 则需要设置多个量子密钥分发设备，从而导致设备成本高昂，如果需要扩展应用场景，则需要通过增加更多的量子密钥分发设备来实现。

针对现有技术中通过点对点的方式进行密钥分发导致设备成本高昂的问题，目前尚未提出有效的解决方案。

发明内容

本发明实施例提供了一种密钥分发方法、装置和系统，以至少解决现有技术中通过点对点的方式进行密钥分发导致设备成本高昂的技术问题。

根据本发明实施例的一个方面，提供了一种密钥分发方法，第一服务器集群包括：量子密钥分发设备、第一密钥共享服务端、第一密钥共享客户端和第一应用，该方法 包括：第一密钥共享客户端接收第一应用发送的密钥请求；第一密钥共享客户端根据 密钥请求向第一密钥共享服务端请求量子密钥和量子密钥对应的密钥标识，其中，第 一密钥共享服务端获取密钥分发设备分发的量子密钥，并将量子密钥返回至第一密钥 共享服务端；第一密钥共享客户端将量子密钥发送至第一应用，并将密钥标识发送至 第二服务器集群内的第二密钥共享客户端，其中，第二密钥共享客户端根据密钥标识 获取量子密钥。

根据本发明实施例的另一方面，还提供了一种密钥分发方法，第二服务器集群包括：量子密钥分发设备、第二密钥共享服务端、第二密钥共享客户端和第二应用，该 方法包括：第二密钥共享客户端接收第一服务器集群的第一密钥共享客户端发送的密 钥标识；第二密钥共享客户端根据密钥标识向第二密钥共享服务端请求密钥标识对应 的量子密钥，其中，第二密钥共享服务端根据密钥标识从量子密钥分发设备处获取量 子密钥，并将量子密钥返回至第二密钥共享服务端；第二密钥共享客户端将量子密钥 发送至第二应用。

根据本发明实施例的另一方面，还提供了一种密钥分发系统，包括：第一服务器集群，包括：第一量子密钥分发设备、第一密钥共享服务端、第一密钥共享客户端和 第一应用；第二服务器集群，包括：第二量子密钥分发设备、第二密钥共享服务端、 第二密钥共享客户端和第二应用；其中，第一应用在接收到与第二应用通信的通信请 求之后，向第一密钥共享客户端发起密钥请求，第一密钥共享客户端向第一密钥共享 服务端请求量子密钥和量子密钥对应的密钥标识，并将密钥标识发送至第二密钥共享 客户端，其中，第一密钥共享客户端从第一量子密钥分发设备处获取量子密钥和密钥 标识；第二密钥共享客户端将密钥标识发送至第二密钥共享服务端，第二密钥共享服 务端根据密钥标识从第二量子密钥分发设备处获取量子密钥，并将量子密钥返回至第 二密钥共享客户端。

根据本发明实施例的另一方面，还提供了一种密钥分发装置，第一服务器集群包括：量子密钥分发设备、第一密钥共享服务端、第一密钥共享客户端和第一应用，该 装置包括：接收模块，用于第一密钥共享客户端接收第一应用发送的密钥请求；请求 模块，用于第一密钥共享客户端根据密钥请求向第一密钥共享服务端请求量子密钥和 量子密钥对应的密钥标识，其中，第一密钥共享服务端获取密钥分发设备分发的量子 密钥，并将量子密钥返回至第一密钥共享服务端；发送模块，用于第一密钥共享客户 端将量子密钥发送至第一应用，并将密钥标识发送至第二服务器集群内的第二密钥共 享客户端，其中，第二密钥共享客户端根据密钥标识获取量子密钥。

根据本发明实施例的另一方面，还提供了一种密钥分发装置，第二服务器集群包括：量子密钥分发设备、第二密钥共享服务端、第二密钥共享客户端和第二应用，该 装置包括：接收模块，用于第二密钥共享客户端接收第一服务器集群的第一密钥共享 客户端发送的密钥标识；请求模块，用于第二密钥共享客户端根据密钥标识向第二密 钥共享服务端请求密钥标识对应的量子密钥，其中，第二密钥共享服务端根据密钥标 识从量子密钥分发设备处获取量子密钥，并将量子密钥返回至第二密钥共享服务端； 发送模块，用于第二密钥共享客户端将量子密钥发送至第二应用。

根据本发明实施例的另一方面，还提供了一种存储介质，存储介质包括存储的程序，其中，在程序运行时控制存储介质所在设备执行上述的密钥分发方法。

通常量子密钥分发设备以点对点的方式进行，如果多个对象需要量子密钥，则需要设置与对象数量相同的量子密钥分发设备，每个对象从对应的一个量子密钥分发设 备处获取量子密钥，从而导致设备成本高昂，如需要扩展应用场景，则需要通过增加 更多的设备来实现。而本申请上述实施例中，设置密钥共享服务端作为量子密钥分发 设备的密钥缓冲池，将量子密钥分发设备分发的量子密钥进行池化存储，再分别向请 求量子密钥的第一密钥共享客户端进行分发，从而使得最少只需要设置一个量子密钥 分发设备，其将量子密钥分发至密钥共享服务端处，即可保证所有的密钥共享客户端 均可使用其分发的量子密钥。当密钥共享服务端接收到应用的密钥请求后，向密钥共 享服务端请求量子密钥，从而可以将请求得到的量子密钥发送给服务器集群内的应用， 进而解决了现有技术中通过点对点的方式进行密钥分发导致需要配置多个量子密钥分 发设备的技术问题。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图 中：

图1示出了一种用于实现密钥分发方法的计算机终端(或移动设备)的硬件结构框图；

图2是根据本申请实施例1的一种密钥分发方法的流程图；

图3是根据本申请实施例1的一种密钥分发场景的示意图；

图4是图3中VPN网关A2中的第一应用与WPN网关B1中的第二应用创建抗量子 VPN的交互图；

图5是根据本申请实施例2的一种密钥分发方法的流程图；

图6是根据本申请实施例3的一种密钥分发装置的示意图；

图7是根据本申请实施例4的一种密钥分发装置的示意图；

图8是根据本申请实施例5的一种密钥分发系统的示意图；以及

图9是根据本申请实施例6的一种计算机终端的结构框图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例 仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领 域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于 本发明保护的范围。

需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这 样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在 这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的 任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方 法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚 地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

首先，在对本申请实施例进行描述的过程中出现的部分名词或术语适用于如下解释：

VPN：Virtual Private Network,虚拟专用网络,一种通过隧道协议达到机密性，身份认证，数据完整性等信息安全目的的技术。

QKD:quantum key distribution,量子密钥分发，其利用了量子力学特性，使得通信双方能够产生并共享一对随机的，安全的密钥，来用对消息进行加解密。

Restful API：具有RESTFUL的API，其基于HTTP，可以使用XML格式定义或JSON 格式定义。

实施例1

根据本发明实施例，还提供了一种密钥分发方法的实施例，需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且， 虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行 所示出或描述的步骤。

本申请实施例一所提供的方法实施例可以在移动终端、计算机终端或者类似的运算装置中执行。图1示出了一种用于实现密钥分发方法的计算机终端(或移动设备) 的硬件结构框图。如图1所示，计算机终端10(或移动设备10)可以包括一个或多个 (图中采用102a、102b，……，102n来示出)处理器102(处理器102可以包括但不 限于微处理器MCU或可编程逻辑器件FPGA等的处理装置)、用于存储数据的存储器104、 以及用于通信功能的传输模块106。除此以外，还可以包括：显示器、输入/输出接口 (I/O接口)、通用串行总线(USB)端口(可以作为USB总线的端口中的一个端口被 包括)、网络接口、电源和/或相机。本领域普通技术人员可以理解，图1所示的结构 仅为示意，其并不对上述电子装置的结构造成限定。例如，计算机终端10还可包括比 图1中所示更多或者更少的组件，或者具有与图1所示不同的配置。

应当注意到的是上述一个或多个处理器102和/或其他数据处理电路在本文中通常可以被称为“数据处理电路”。该数据处理电路可以全部或部分的体现为软件、硬件、 固件或其他任意组合。此外，数据处理电路可为单个独立的处理模块，或全部或部分 的结合到计算机终端10(或移动设备)中的其他元件中的任意一个内。如本申请实施 例中所涉及到的，该数据处理电路作为一种处理器控制(例如与接口连接的可变电阻 终端路径的选择)。

存储器104可用于存储应用软件的软件程序以及模块，如本发明实施例中的密钥分发方法对应的程序指令/数据存储装置，处理器102通过运行存储在存储器104内的 软件程序以及模块，从而执行各种功能应用以及数据处理，即实现上述的应用程序的 漏洞检测方法。存储器104可包括高速随机存储器，还可包括非易失性存储器，如一 个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存 储器104可进一步包括相对于处理器102远程设置的存储器，这些远程存储器可以通 过网络连接至计算机终端10。上述网络的实例包括但不限于互联网、企业内部网、局 域网、移动通信网及其组合。

传输装置106用于经由一个网络接收或者发送数据。上述的网络具体实例可包括计算机终端10的通信供应商提供的无线网络。在一个实例中，传输装置106包括一个 网络适配器(Network Interface Controller，NIC)，其可通过基站与其他网络设备 相连从而可与互联网进行通讯。在一个实例中，传输模块106可以为射频(Radio Frequency，RF)模块，其用于通过无线方式与互联网进行通讯。

显示器可以例如触摸屏式的液晶显示器(LCD)，该液晶显示器可使得用户能够与计算机终端10(或移动设备)的用户界面进行交互。

此处需要说明的是，在一些可选实施例中，上述图1所示的计算机设备(或移动 设备)可以包括硬件元件(包括电路)、软件元件(包括存储在计算机可读介质上的计 算机代码)、或硬件元件和软件元件两者的结合。应当指出的是，图1仅为特定具体实 例的一个实例，并且旨在示出可存在于上述计算机设备(或移动设备)中的部件的类 型。

在上述运行环境下，本申请提供了如图2所示的密钥分发方法。第一服务器集群包括：量子密钥分发设备、第一密钥共享服务端、第一密钥共享客户端和第一应用， 图2是根据本申请实施例1的一种密钥分发方法的流程图。

步骤S21，第一密钥共享客户端接收第一应用发送的密钥请求。

具体的，上述第一服务器集群可以用于构建对应的数据中心或类似的数据管理系统，以来实现数据中心的实际功能，下述实施例中，均以第一服务器集群组建第一数 据中心为例进行说明。第一服务器集群内均可以配置有多个应用，上述第一应用可以 是第一服务器集群内的任意一个应用。上述密钥请求可以是第一应用向第一密钥共享 客户端请求量子密钥的请求，第一应用在接收到需要使用量子密钥的功能时，可以向 第一密钥共享客户端发送密钥请求。

在一种可选的实施例中，第一应用接收到了与第二服务器集群的第二应用创建抗量子VPN的通信请求，该通信请求需要第一应用和第二应用具有相同的量子密钥，此 时第一密钥可以向第一密钥共享客户端发出密钥请求。

步骤S23，第一密钥共享客户端根据密钥请求向第一密钥共享服务端请求量子密钥和量子密钥对应的密钥标识，其中，第一密钥共享服务端获取密钥分发设备分发的 量子密钥，并将量子密钥返回至第一密钥共享服务端。

具体的，上述第一服务器集群中可以仅包含一个密钥共享服务端，即上述第一密钥共享服务端。第一服务器集群内可以包含一个量子密钥分发设备，也可以包含多个 量子密钥分发设备，但所有量子密钥分发设备生成的量子密钥和密钥标识并不直接发 送至请求量子密钥的第一密钥共享客户端，而是全部发送至第一量子密钥服务端，由 第一量子密钥服务端分发给请求量子密钥的第一密钥共享客户端。在这一过程中，第 一密钥共享服务端用于作为量子密钥分发设备的密钥缓冲池，将量子密钥分发设备分 发的量子密钥进行池化存储，再分别向请求量子密钥的第一密钥共享客户端进行分发。

上述密钥请求中可以包括此次请求的量子密钥的数量，第一密钥共享服务端从量子密钥分发设备处获取量子密钥时，可以一次性获取多个并进行缓存，在第一密钥共 享客户端向第一密钥共享服务端请求量子密钥时，第一密钥共享服务端向第一密钥共 享客户端返回与其请求的数量相对应的量子密钥。

图3是根据本申请实施例1的一种密钥分发场景的示意图，在该示例中，第一应 用为第一服务器集群组建的第一数据中心内的VPN应用。

结合图3所示，第一数据中心IDC(Internet Data Center)A、第一量子密钥分 发设备QKD(quantum key distribution)A、第一密钥共享服务端(Quantum key shareserver)以及四个VPN网关(VPN网关A1、VPN网关A2、VPN网关A3、VPN网关A4)， 每个VPN网关内均包括一个第一密钥共享客户端(Quantum key share client)和一个 第一VPN应用(VPN application)。第二数据中心IDC B包括第二量子密钥分发设备 QKD B、第二密钥共享服务端以及四个VPN网关(VPN网关B1、VPN网关B2、VPN网关 B3、VPN网关B4)，每个VPN网关内均包括一个第二密钥共享客户端(Quantum key share client)和一个第二VPN应用。

在上述的密钥分发场景中，第一应用是VPN网关A2中的VPN应用，第一应用向 VPN网关A2内的第一密钥共享客户端发送密钥请求，该第一密钥共享客户端根据该密 钥请求向第一密钥共享服务端请求量子密钥，第一密钥共享服务端随即向第一量子密 钥分发设备请求量子密钥。第一量子密钥分发设备将量子密钥和密钥标识分发至第一 密钥共享服务端，第一密钥共享服务端将量子密钥和密钥标识发送至第一密钥共享客 户端，从而使得第一密钥共享客户端获得了量子密钥和对应的密钥标识。

步骤S25，第一密钥共享客户端将量子密钥发送至第一应用，并将密钥标识发送至第二服务器集群内的第二密钥共享客户端，其中，第二密钥共享客户端根据密钥标 识获取量子密钥。

在上述方案中，第一密钥共享客户端将获取的量子密钥发送至第一应用，将量子密钥对应的密钥标识发送至第二服务器集群的第二密钥共享客户端。

第二服务器集群与第一服务器集群的结构类似，用于组建第二数据中心或类似的数据管理系统，下述实施例中，均以第二服务器集群组建第二数据中心为例进行说明。 第二密钥共享客户端在获取到密钥标识之后，可以根据密钥标识向第二服务器集群内 的量子密钥分发设备请求对应的量子密钥，从而能够得到与第一密钥共享客户端相同 的量子密钥。

第二量子密钥客户端在获取到与第一密钥共享客户端相同的量子密钥之后，可以将该量子密钥发送至与其对应的第二应用，从而使得第一应用和第二应用能够具有相 同的量子密钥，进而允许第一应用和第二应用根据该量子密钥创建抗量子VPN。

需要说明的是，上述第一服务器集群和第二服务器集群之间具有量子通道(Quantum Channel)，以使得在不同的量子密钥分发设备中，密钥标识与量子密钥的 对应关系是相同的，也即，同一个密钥标识在不同的量子密钥分发设备中对应同一个 量子密钥。

通常量子密钥分发设备以点对点的方式进行，如果多个对象需要量子密钥，则需要设置与对象数量相同的量子密钥分发设备，每个对象从对应的一个量子密钥分发设 备处获取量子密钥，从而导致设备成本高昂，如需要扩展应用场景，则需要通过增加 更多的设备来实现。而本申请上述实施例中，设置密钥共享服务端作为量子密钥分发 设备的密钥缓冲池，将量子密钥分发设备分发的量子密钥进行池化存储，再分别向请 求量子密钥的第一密钥共享客户端进行分发，从而使得最少只需要设置一个量子密钥 分发设备，其将量子密钥分发至密钥共享服务端处，即可保证所有的密钥共享客户端 均可使用其分发的量子密钥。当密钥共享服务端接收到应用的密钥请求后，向密钥共 享服务端请求量子密钥，从而可以将请求得到的量子密钥发送给服务器集群内的应用， 进而解决了现有技术中通过点对点的方式进行密钥分发导致需要配置多个量子密钥分 发设备的技术问题。

作为一种可选的实施例，在第一密钥共享客户端接收第一应用发送的密钥请求之前，上述方法包括：第一应用接收通信请求，其中，通信请求用于与第二服务器集群 内的第二应用通信；第一应用向第一密钥共享客户端发送密钥请求。

具体的，上述通信请求是与第二服务器集群内的第二应用进行通信的通信请求。上述第一服务器集群和第二服务器集群均可以由服务器集群构成，其中的服务器集群 用于实现服务器集群的实际功能。第一服务器集群和第二服务器集群内均可以配置有 相同和不同的应用，上述第一应用可以是第一服务器集群内的任意一个应用，第二应 用也可以是第二服务器集群内的任意一个应用。

在一种可选的实施例中，结合图3所示，用户向第一应用发出通信请求，请求第 一应用与第二数据中心内的第二应用创建抗量子VPN。创建抗量子VPN需要第一应用 和第二应用具有相同的量子密钥，因此第一应用向第一密钥共享客户端发送密钥请求， 以获取用于此次通信的量子密钥。

作为一种可选的实施例，在第一密钥共享客户端根据密钥请求向第一密钥共享服务端请求量子密钥和量子密钥对应的密钥标识之前，上述方法还包括：第一密钥共享 客户端向第一密钥共享服务端发送认证信息，其中，第一密钥共享服务端根据认证信 息对第一密钥共享客户端进行身份认证；在认证成功的情况下，第一密钥共享客户端 根据密钥请求向第一密钥共享服务端请求量子密钥和量子密钥对应的密钥标识。

在上述方案中，在第一密钥共享服务端向第一密钥共享客户端发送量子密钥之前， 会对第一密钥共享客户端的身份进行验证，以确定第一密钥共享客户端的身份合法，在确定第一密钥共享客户端的身份合法后，才允许第一密钥共享客户端向其请求量子 密钥。

具体的，第一密钥共享服务端对第一密钥共享客户端的认证方式可以是基于第一密钥共享客户端所持有的证书等文件进行。

在一种可选的实施例中，第一密钥共享客户端向第一密钥共享服务端发送包括认证证书的认证信息，第一密钥共享服务端对认证证书进行认证后，向第一密钥共享客 户端返回认证结果，该认证结果包括认证通过和认证不通过。在认证通过的情况下， 第一密钥共享客户端向第一密钥共享服务端请求量子密钥，第一密钥共享服务端从量 子密钥分发设备处获取到量子密钥后向第一密钥共享客户端进行分发。

作为一种可选的实施例，在第一密钥共享客户端将量子密钥和量子密钥的密钥标识发送至第一应用之后，上述方法还包括：第一应用与第二应用通过量子密钥建立通 信关系。

通过之前的交互使得第一应用和第二应用具有相同的目标量子密钥，此时第一应用和第二应用即可基于共同拥有的目标量子密钥创建通信关系。

在一种可选的实施例中，仍结合图3所示，第一应用和第二应用通过目标量子密钥建立了抗量子VPN通道(VPN tunnel)。

作为一种可选的实施例，第一密钥共享服务端提供RESTful的接口。

具体的，RESTful是一种网络应用程序的设计风格和开发方式，其基于HTTP，可 以使用XML格式定义或JSON格式定义。满足REST所指示的构架约束条件和原则的接 口即为RESTful的接口。REST原则至少包括，客户端与服务器之间的交互在请求之间 是无状态的。从客户端到服务器的每个请求都必须包含理解请求所必须的信息。如果 服务器在请求之间的任何时间点重启，客户端不会得到通知。

Restful接口可以提供TLS(Transport Layer Security，安全传输层协议)用于传输层的安全，从而保护密钥的安全传输，如果对安全级别有更高要求，可基于PQC (post-quantumcryptography，后量子)算法增加其抗量子能力。通过在第一密钥共 享服务端RESTful的接口，使第一密钥共享服务端具有便于使用以及易于开发的特点。

图4是图3中VPN网关A2中的第一应用与WPN网关B1中的第二应用创建抗量子 VPN的交互图。下面对交互的步骤详细进行说明：

S41，第一应用向第一密钥共享客户端发送密钥请求。

S42，第一密钥共享客户端向第一密钥共享服务端发送认证信息。

S43，第一密钥共享服务端对第一密钥共享客户端的认证信息进行认证。

步骤S42至S43中，密钥共享服务采用客户端/服务端架构，服务端对外提供基于Restful API风格接口。服务端首先会为对每个预连接的客户端进行身份认证。

S44，身份认证通过后，客户端可向服务端发送获取量子密钥的请求消息，其中，消息的格式可以根据实际需求自定义。

S45，第一密钥共享服务端向第一量子密钥分发设备请求量子密钥及其对应的密钥 标识。

S46，第一量子密钥分发设备向第一密钥共享服务端下发量子密钥及其对应的密钥 标识。

S47，第一密钥共享服务端向第一密钥共享客户端返回量子密钥及其对应的密钥标 识。

步骤S45至S47中，第一密钥共享服务端通过调用QKD设备的接口发送获取密钥 的请求，QKD设备返回密钥内容和相应的密钥ID，第一密钥共享服务端再将数据包含 在响应消息(消息格式根据实际需求自定义)中返回给第一密钥共享客户端。由于I/O， 网络，以及QKD设备误码率等多重因素对性能可能带来的负面影响，因此上述第一密 钥共享服务端可以利用本地缓冲池预先从QKD设备获取部分密钥进行本地缓存，并将 这些密钥作为请求响应返回给客户端，当第一密钥共享服务端的缓冲池不足时，再去 QKD设备继续获取密钥。如要需要对量子密钥做持久化处理，必须对其进行安全存储。

S48，第一密钥共享客户端将密钥标识发送至第二密钥共享客户端。

位于第一数据处理中心的VPN网关A2中的第一密钥共享客户端以消息的方式通知位于第二数据中心处的VPN网关B1中的第二密钥共享服务端后续将要使用的密钥ID。 该消息将在不同数据中心间，或数据中心与第三方机房之间进行传输。其传输的是密 钥ID而非密钥具体内容，因此可根据不同的安全需求采用不同方式进行数据传输，如 明文或其他安全传输方式。

S49，第二密钥共享客户端向第二密钥共享服务端发送认证信息。

S410，第二密钥共享服务端对第二密钥共享客户端的认证信息进行认证。

S411，身份认证通过后，第二密钥共享客户端可向第二密钥共享服务端发送密钥标识，以获取对应的量子密钥。

S412，第二密钥共享服务端向第二量子密钥分发设备发送密钥标识，以请求对应的量子密钥。

S413，第二量子密钥分发设备向第一密钥共享服务端下发与密钥标识对应的量子密钥标识。

S414，第二量子密钥服务端将量子密钥和密钥标识返回该第一密钥共享客户端。

S415，第二密钥共享客户端先第一密钥共享客户端返回响应消息。

S416，第一密钥共享客户端将量子密钥发送至第一应用，以触发第一应用与第二应用进行通信。

S417，第二密钥共享客户端将量子密钥发送至第二应用。

S418，第一应用和第二应用通过量子密钥建立安全通道。

此时，位于第一数据中心与第二数据中心的两处VPN网关所需的密钥就绪，触发VPN程序应用量子密钥建立安全通道。

在图3的示例中，还可以包括第三方机房，也即第三方服务器集群组建的第三数据中心，第三方数据中心内包括第三量子密钥分发设备QKD C、第三密钥共享服务端 以及VPN网关C1，其中，VPN网关C1中包括VPN应用以及第三密钥共享客户端。第三 方数据中心还包括用于为用户提供交互界面的APP服务器。再该结构下，还可以创建 第二数据中心的VPN网关B1中的VPN应用(即第二应用)与第三方数据中心中的VPN 网关C1中的VPN应用之间的抗量子VPN通道，方法与上述步骤类似，此处不再赘述。

需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本发明并不受所描述的动作顺序的限 制，因为依据本发明，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术 人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块 并不一定是本发明所必须的。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到根据上述实施例的方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但 很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者 说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存 储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端 设备(可以是手机，计算机，服务器，或者网络设备等)执行本发明各个实施例的方 法。

实施例2

根据本发明实施例，还提供了一种密钥分发方法，第二服务器集群包括：量子密钥分发设备、第二密钥共享服务端、第二密钥共享客户端和第二应用，图5是根据本 申请实施例2的一种密钥分发方法的流程图，结合图5所示，该方法包括如下步骤：

步骤S51，第二密钥共享客户端接收第一服务器集群的第一密钥共享客户端发送的密钥标识。

具体的，上述第一服务器集群可以用于构建对应的数据中心或类似的数据管理系统，以来实现数据中心的实际功能，下述实施例中，均以第一服务器集群组建第一数 据中心为例进行说明。第二服务器集群与第一服务器集群的结构类似，用于组建第二 数据中心或类似的数据管理系统，下述实施例中，均以第二服务器集群组建第二数据 中心为例进行说明。

在上述方案中，第二服务器集群内可以包括至少一个量子密钥分发设备，一个第二密钥共享服务端，以及多组应用客户端，每个应用客户端包括一个第二密钥共享客 户端和一个第二应用。

在一种可选的实施例中，第一密钥共享客户端接收第一应用发送的密钥请求后，根据密钥请求向第一密钥共享服务端请求量子密钥和量子密钥对应的密钥标识，其中， 第一密钥共享服务端获取第一服务器集群内的密钥分发设备分发的量子密钥，并将量 子密钥返回至第一密钥共享服务端，在第一密钥共享客户端获取到量子密钥和密钥标 识之后，将密钥标识发送至第二服务器集群内的第二密钥共享客户端，此时，第二密 钥共享客户端获取到了密钥标识。

在一种可选的实施例中，结合图3所示，第一数据中心IDC(Internet DataCenter) A、第一量子密钥分发设备QKD(quantum key distribution)A、第一密钥共享服务端(Quantum key share server)以及四个VPN网关(VPN网关A1、VPN网关A2、VPN 网关A3、VPN网关A4)，每个VPN网关内均包括一个第一密钥共享客户端(Quantum key shareclient)和一个第一VPN应用(VPN application)。第二数据中心IDC B包括第 二量子密钥分发设备QKD B、第二密钥共享服务端以及四个VPN网关(VPN网关B1、 VPN网关B2、VPN网关B3、VPN网关B4)，每个VPN网关内均包括一个第二密钥共享客 户端(Quantum key shareclient)和一个第二VPN应用。

在上述的密钥分发场景中，第一应用是VPN网关A2中的VPN应用，第一应用向 VPN网关A2内的第一密钥共享客户端发送密钥请求，该第一密钥共享客户端根据该密 钥请求向第一密钥共享服务端请求量子密钥，第一密钥共享服务端随即向第一量子密 钥分发设备请求量子密钥。第一量子密钥分发设备将量子密钥和密钥标识分发至第一 密钥共享服务端，第一密钥共享服务端将量子密钥和密钥标识发送至第一密钥共享客 户端，从而使得第一密钥共享客户端获得了量子密钥和对应的密钥标识。

第一密钥共享客户端获得了量子密钥和密钥标识后，将密钥标识发送至第二密钥共享客户端。

步骤S52，第二密钥共享客户端根据密钥标识向第二密钥共享服务端请求密钥标识对应的量子密钥，其中，第二密钥共享服务端根据密钥标识从量子密钥分发设备处 获取量子密钥，并将量子密钥返回至第二密钥共享服务端。

在上述方案中，第二密钥共享客户端根据第一密钥共享客户端发送的密钥标识向第二密钥共享服务端获取对应的量子密钥，该量子密钥与第一密钥共享客户端所持有 的量子密钥相同。第二密钥共享服务端在接收到第二密钥共享客户端发送的密钥标识 后，根据该密钥标识向第二服务器集群内的量子密钥分发设备请求对应的量子密钥。

步骤S53，第二密钥共享客户端将量子密钥发送至第二应用。

在上述方案中，第二密钥共享客户端在获取到量子密钥之后，将该量子密钥发送至第二应用，以使第二应用能够使用该量子密钥与第一应用创建通信关系。

通常量子密钥分发设备以点对点的方式进行，如果多个对象需要量子密钥，则需要设置与对象数量相同的量子密钥分发设备，每个对象从对应的一个量子密钥分发设 备处获取量子密钥，从而导致设备成本高昂，如需要扩展应用场景，则需要通过增加 更多的设备来实现。而本申请上述实施例中，设置密钥共享服务端作为量子密钥分发 设备的密钥缓冲池，将量子密钥分发设备分发的量子密钥进行池化存储，再分别向请 求量子密钥的第二密钥共享客户端进行分发，从而使得最少只需要设置一个量子密钥 分发设备，其将量子密钥分发至密钥共享服务端处，即可保证所有的密钥共享客户端 均可使用其分发的量子密钥。当密钥共享服务端接收到应用的密钥请求后，向密钥共 享服务端请求量子密钥，从而可以将请求得到的量子密钥发送给服务器集群内的应用， 进而解决了现有技术中通过点对点的方式进行密钥分发导致需要配置多个量子密钥分 发设备的技术问题。

作为一种可选的实施例，在第二密钥共享客户端根据密钥标识向第二密钥共享服务端请求密钥标识对应的量子密钥之前，上述方法还包括：第二密钥共享客户端向第 二密钥共享服务端发送认证信息，其中，第二密钥共享服务端根据认证信息对第二密 钥共享客户端进行身份认证；在认证成功的情况下，第二密钥共享客户端根据密钥标 识向第二密钥共享服务端请求密钥标识对应的量子密钥。

在上述方案中，在第二密钥共享服务端向第二密钥共享客户端发送量子密钥之前， 会对第二密钥共享客户端的身份进行验证，以确定第二密钥共享客户端的身份合法，在确定第二密钥共享客户端的身份合法后，才允许第二密钥共享客户端向其请求量子 密钥。

具体的，第二密钥共享服务端对第二密钥共享客户端的认证方式可以是基于第二密钥共享客户端所持有的证书等文件进行。

在一种可选的实施例中，第二密钥共享客户端向第二密钥共享服务端发送包括认证证书的认证信息，第二密钥共享服务端对认证证书进行认证后，向第二密钥共享客 户端返回认证结果，该认证结果包括认证通过和认证不通过。在认证通过的情况下， 第二密钥共享客户端向第二密钥共享服务端请求量子密钥，第二密钥共享服务端从量 子密钥分发设备处获取到量子密钥后向第二密钥共享客户端进行分发。

作为一种可选的实施例，在第二密钥共享客户端将量子密钥发送至第二应用之后， 上述方法还包括：第二应用与第一服务器集群的第一应用通过量子密钥建立通信关系。

通过之前的交互使得第一应用和第二应用具有相同的目标量子密钥，此时第一应用和第二应用即可基于共同拥有的目标量子密钥创建通信关系。

在一种可选的实施例中，仍结合图3所示，第一应用和第二应用通过目标量子密钥建立了抗量子VPN通道(VPN tunnel)。

作为一种可选的实施例，第二密钥共享服务端提供RESTful的接口。

具体的，RESTful是一种网络应用程序的设计风格和开发方式，其基于HTTP，可 以使用XML格式定义或JSON格式定义。满足REST所指示的构架约束条件和原则的接 口即为RESTful的接口。REST原则至少包括，客户端与服务器之间的交互在请求之间 是无状态的。从客户端到服务器的每个请求都必须包含理解请求所必须的信息。如果 服务器在请求之间的任何时间点重启，客户端不会得到通知。

Restful接口可以提供TLS(Transport Layer Security，安全传输层协议)用于传输层的安全，从而保护密钥的安全传输，如果对安全级别有更高要求，可基于PQC (post-quantumcryptography，后量子)算法增加其抗量子能力。通过在第一密钥共 享服务端RESTful的接口，使第一密钥共享服务端具有便于使用以及易于开发的特点。

实施例3

根据本发明实施例，还提供了一种用于实施上述实施例1中的密钥分发方法的密钥分发装置，图6是根据本申请实施例3的一种密钥分发装置的示意图，第一服务器 集群包括：量子密钥分发设备、第一密钥共享服务端、第一密钥共享客户端和第一应 用，如图3所示，该装置600包括：

接收模块602，用于第一密钥共享客户端接收第一应用发送的密钥请求。

请求模块604，用于第一密钥共享客户端根据密钥请求向第一密钥共享服务端请求量子密钥和量子密钥对应的密钥标识，其中，第一密钥共享服务端获取密钥分发设 备分发的量子密钥，并将量子密钥返回至第一密钥共享服务端。

发送模块606，用于第一密钥共享客户端将量子密钥发送至第一应用，并将密钥标识发送至第二服务器集群内的第二密钥共享客户端，其中，第二密钥共享客户端根 据密钥标识获取量子密钥。

此处需要说明的是，上述接收模块602、请求模块604和发送模块606对应于实 施例1中的步骤S21至步骤S25，三个模块与对应的步骤所实现的实例和应用场景相 同，但不限于上述实施例一所公开的内容。需要说明的是，上述模块作为装置的一部 分可以运行在实施例一提供的计算机终端10中。

作为一种可选的实施例，上述装置还包括：第一接收模块，用于在第一密钥共享客户端接收第一应用发送的密钥请求之前，第一应用接收通信请求，其中，通信请求 用于与第二服务器集群内的第二应用通信；第一发送模块，用于第一应用向第一密钥 共享客户端发送密钥请求。

作为一种可选的实施例，上述装置还包括：第二发送模块，用于在第一密钥共享客户端根据密钥请求向第一密钥共享服务端请求量子密钥和量子密钥对应的密钥标识 之前，第一密钥共享客户端向第一密钥共享服务端发送认证信息，其中，第一密钥共 享服务端根据认证信息对第一密钥共享客户端进行身份认证；第一请求模块，用于在 认证成功的情况下，第一密钥共享客户端根据密钥请求向第一密钥共享服务端请求量 子密钥和量子密钥对应的密钥标识。

作为一种可选的实施例，上述装置还包括：创建模块，用于在第一密钥共享客户端将量子密钥发送至第一应用，并将密钥标识发送至第二服务器集群内的第二密钥共 享客户端之后，第一应用与第二应用通过量子密钥建立通信关系。

作为一种可选的实施例，第一密钥共享服务端提供RESTful的接口。

实施例4

根据本发明实施例，还提供了一种用于实施上述实施例2中的密钥分发方法的密钥分发装置，图7是根据本申请实施例4的一种密钥分发装置的示意图，第二服务器 集群包括：量子密钥分发设备、第二密钥共享服务端、第二密钥共享客户端和第二应 用，如图4所示，该装置700包括：

接收模块702，用于第二密钥共享客户端接收第一服务器集群的第一密钥共享客户端发送的密钥标识。

请求模块704，用于第二密钥共享客户端根据密钥标识向第二密钥共享服务端请求密钥标识对应的量子密钥，其中，第二密钥共享服务端根据密钥标识从量子密钥分 发设备处获取量子密钥，并将量子密钥返回至第二密钥共享服务端。

发送模块706，用于第二密钥共享客户端将量子密钥发送至第二应用。

此处需要说明的是，上述接收模块702、请求模块704和发送模块706对应于实 施例2中的步骤S51至步骤S55，三个模块与对应的步骤所实现的实例和应用场景相 同，但不限于上述实施例一所公开的内容。需要说明的是，上述模块作为装置的一部 分可以运行在实施例一提供的计算机终端10中。

作为一种可选的实施例，上述装置还包括：第一发送模块，用于在第二密钥共享客户端根据密钥标识向第二密钥共享服务端请求密钥标识对应的量子密钥之前，第二 密钥共享客户端向第二密钥共享服务端发送认证信息，其中，第二密钥共享服务端根 据认证信息对第二密钥共享客户端进行身份认证；第一请求模块，用于在认证成功的 情况下，第二密钥共享客户端根据密钥标识向第二密钥共享服务端请求密钥标识对应 的量子密钥。

作为一种可选的实施例，上述装置还包括：创建模块，用于在第二密钥共享客户端将量子密钥发送至第二应用之后，第二应用与第一服务器集群的第一应用通过量子 密钥建立通信关系。

作为一种可选的实施例，第二密钥共享服务端提供RESTful的接口。

实施例5

本发明的实施例可以提供一种密钥分发系统，图8是根据本申请实施例5的一种密钥分发系统的示意图，结合图8所示，该系统包括：

第一服务器集群80，包括：第一量子密钥分发设备801、第一密钥共享服务端802、第一密钥共享客户端803和第一应用804；

第二服务器集群90，包括：第二量子密钥分发设备901、第二密钥共享服务端902、第二密钥共享客户端903和第二应用904；

其中，第一应用在接收到与第二应用通信的通信请求之后，向第一密钥共享客户端发起密钥请求，第一密钥共享客户端向第一密钥共享服务端请求量子密钥和量子密 钥对应的密钥标识，并将密钥标识发送至第二密钥共享客户端，其中，第一密钥共享 客户端从第一量子密钥分发设备处获取量子密钥和密钥标识；

第二密钥共享客户端将密钥标识发送至第二密钥共享服务端，第二密钥共享服务端根据密钥标识从第二量子密钥分发设备处获取量子密钥，并将量子密钥返回至第二 密钥共享客户端。

在一种可选的实施例中，如图3所示，第一应用为第一服务器集群内的VPN应用，第二应用为第二服务器集群内的VPN应用，第一服务器集群IDC(Internet Data Center)A、第一量子密钥分发设备QKD(quantum key distribution)A、第一密钥共享服务 端(Quantum key share server)以及四个VPN网关(VPN网关A1、VPN网关A2、VPN 网关A3、VPN网关A4)，每个VPN网关内均包括一个第一密钥共享客户端(Quantum key share client)和一个第一VPN应用(VPN application)。第二服务器集群IDC B包括 第二量子密钥分发设备QKD B、第二密钥共享服务端以及四个VPN网关(VPN网关B1、 VPN网关B2、VPN网关B3、VPN网关B4)，每个VPN网关内均包括一个第二密钥共享客 户端(Quantum key share client)和一个第二VPN应用。

在上述的密钥分发场景中，第一应用是VPN网关A2中的VPN应用，第二应用是 VPN网关B1中的VPN应用，第一应用向VPN网关A2内的第一密钥共享客户端发送密 钥请求，该第一密钥共享客户端根据该密钥请求向第一密钥共享服务端请求量子密钥， 第一密钥共享服务端随即向第一量子密钥分发设备请求量子密钥。第一量子密钥分发 设备将量子密钥和密钥标识分发至第一密钥共享服务端，第一密钥共享服务端将量子 密钥和密钥标识发送至第一密钥共享客户端，从而使得第一密钥共享客户端获得了量 子密钥和对应的密钥标识。

第一密钥共享客户端获得了量子密钥和密钥标识后，将密钥标识发送至第二密钥共享客户端，第二密钥共享客户端将该密钥标识发送至第二密钥共享服务，第二密钥 共享服务端根据该密钥标识向第二服务器集群内的量子密钥分发设备请求对应的量子 密钥，并将请求的量子密钥返回给第二密钥共享服务端，第二密钥共享服务端再将量 子密钥返回给第一密钥共享客户端。

通常量子密钥分发设备以点对点的方式进行，如果多个对象需要量子密钥，则需要设置与对象数量相同的量子密钥分发设备，每个对象从对应的一个量子密钥分发设 备处获取量子密钥，从而导致设备成本高昂，如需要扩展应用场景，则需要通过增加 更多的设备来实现。而本申请上述实施例中，设置密钥共享服务端作为量子密钥分发 设备的密钥缓冲池，将量子密钥分发设备分发的量子密钥进行池化存储，再分别向请 求量子密钥的密钥共享客户端进行分发，从而使得最少只需要设置一个量子密钥分发 设备，其将量子密钥分发至密钥共享服务端处，即可保证所有的密钥共享客户端均可 使用其分发的量子密钥。当密钥共享服务端接收到应用的密钥请求后，向密钥共享服 务端请求量子密钥，从而可以将请求得到的量子密钥发送给服务器集群内的应用，进 而解决了现有技术中通过点对点的方式进行密钥分发导致需要配置多个量子密钥分发 设备的技术问题。

作为一种可选的实施例，第一密钥共享服务端和第二密钥共享服务端均提供RESTful的接口。

具体的，RESTful是一种网络应用程序的设计风格和开发方式，其基于HTTP，可 以使用XML格式定义或JSON格式定义。满足REST所指示的构架约束条件和原则的接 口即为RESTful的接口。REST原则至少包括，客户端与服务器之间的交互在请求之间 是无状态的。从客户端到服务器的每个请求都必须包含理解请求所必须的信息。如果 服务器在请求之间的任何时间点重启，客户端不会得到通知。

Restful接口可以提供TLS(Transport Layer Security，安全传输层协议)用于传输层的安全，从而保护密钥的安全传输，如果对安全级别有更高要求，可基于PQC (post-quantumcryptography，后量子)算法增加其抗量子能力。通过在第一密钥共 享服务端RESTful的接口，使第一密钥共享服务端具有便于使用以及易于开发的特点。

作为一种可选的实施例，第一密钥共享客户端还用于将量子密钥发送至第一应用， 第二密钥共享客户端还用于将量子密钥发送至第二应用。

在上述方案中，在第一密钥共享客户端还用于将量子密钥发送至第一应用，第二密钥共享客户端还用于将量子密钥发送至第二应用之后，第一应用和第二应用才能够 具有共同的量子密钥，进而才能够根据共有的量子密钥创建通信关系。

作为一种可选的实施例，第一应用和第二应用通过量子密钥建立通信关系。

通过之前的交互使得第一应用和第二应用具有相同的目标量子密钥，此时第一应用和第二应用即可基于共同拥有的目标量子密钥创建通信关系。

在一种可选的实施例中，仍结合图3所示，第一应用和第二应用通过目标量子密钥建立了抗量子VPN通道(VPN tunnel)。

作为一种可选的实施例，第一密钥共享客户端还用于向第一密钥共享服务端发送第一认证信息，第一密钥共享服务端根据第一认证信息对第一密钥共享客户端进行身 份认证，在认证通过的情况下，第一密钥共享客户端再向第一密钥共享服务端请求量 子密钥和量子密钥对应的密钥标识。

在上述方案中，在第一密钥共享服务端向第一密钥共享客户端发送量子密钥之前， 会对第一密钥共享客户端的身份进行验证，以确定第一密钥共享客户端的身份合法，在确定第一密钥共享客户端的身份合法后，才允许第一密钥共享客户端向其请求量子 密钥。

具体的，第一密钥共享服务端对第一密钥共享客户端的认证方式可以是基于第一密钥共享客户端所持有的证书等文件进行。

在一种可选的实施例中，第一密钥共享客户端向第一密钥共享服务端发送包括认证证书的认证信息，第一密钥共享服务端对认证证书进行认证后，向第一密钥共享客 户端返回认证结果，该认证结果包括认证通过和认证不通过。在认证通过的情况下， 第一密钥共享客户端向第一密钥共享服务端请求量子密钥，第一密钥共享服务端从量 子密钥分发设备处获取到量子密钥后向第一密钥共享客户端进行分发。

作为一种可选的实施例，第二密钥共享客户端还用于向第二密钥共享服务端发送第二认证信息，第二密钥共享服务端根据第二认证信息对第二密钥共享客户端进行身 份认证，在认证通过的情况下，第二密钥共享客户端再将密钥标识发送至第二密钥共 享服务端。

在上述方案中，在第二密钥共享服务端向第二密钥共享客户端发送量子密钥之前， 会对第二密钥共享客户端的身份进行验证，以确定第二密钥共享客户端的身份合法，在确定第二密钥共享客户端的身份合法后，才允许第二密钥共享客户端向其请求量子 密钥。

具体的，第二密钥共享服务端对第二密钥共享客户端的认证方式可以是基于第二密钥共享客户端所持有的证书等文件进行。

在一种可选的实施例中，第二密钥共享客户端向第二密钥共享服务端发送包括认证证书的认证信息，第二密钥共享服务端对认证证书进行认证后，向第二密钥共享客 户端返回认证结果，该认证结果包括认证通过和认证不通过。在认证通过的情况下， 第二密钥共享客户端向第二密钥共享服务端请求量子密钥，第二密钥共享服务端从量 子密钥分发设备处获取到量子密钥后向第二密钥共享客户端进行分发。

实施例6

本发明的实施例可以提供一种计算机终端，该计算机终端可以是计算机终端群中的任意一个计算机终端。可选地，在本实施例中，上述计算机终端也可以替换为移动 终端等终端设备。

可选地，在本实施例中，上述计算机终端可以位于计算机网络的多个网络设备中的至少一个网络设备。

在本实施例中，上述计算机终端可以执行应用程序的漏洞检测方法中以下步骤的程序代码：第一密钥共享客户端接收第一应用发送的密钥请求；第一密钥共享客户端 根据密钥请求向第一密钥共享服务端请求量子密钥和量子密钥对应的密钥标识，其中， 第一密钥共享服务端获取密钥分发设备分发的量子密钥，并将量子密钥返回至第一密 钥共享服务端；第一密钥共享客户端将量子密钥发送至第一应用，并将密钥标识发送 至第二服务器集群内的第二密钥共享客户端，其中，第二密钥共享客户端根据密钥标 识获取量子密钥。

可选地，图9是根据本申请实施例6的一种计算机终端的结构框图。如图9所示， 该计算机终端A可以包括：一个或多个(图中仅示出一个)处理器902、存储器904、 以及外设接口906。

其中，存储器可用于存储软件程序以及模块，如本发明实施例中的安全漏洞检测方法和装置对应的程序指令/模块，处理器通过运行存储在存储器内的软件程序以及模块，从而执行各种功能应用以及数据处理，即实现上述的系统漏洞攻击的检测方法。 存储器可包括高速随机存储器，还可以包括非易失性存储器，如一个或者多个磁性存 储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器可进一步包括 相对于处理器远程设置的存储器，这些远程存储器可以通过网络连接至终端A。上述 网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

处理器可以通过传输装置调用存储器存储的信息及应用程序，以执行下述步骤：第一密钥共享客户端接收第一应用发送的密钥请求；第一密钥共享客户端根据密钥请 求向第一密钥共享服务端请求量子密钥和量子密钥对应的密钥标识，其中，第一密钥 共享服务端获取密钥分发设备分发的量子密钥，并将量子密钥返回至第一密钥共享服 务端；第一密钥共享客户端将量子密钥发送至第一应用，并将密钥标识发送至第二服 务器集群内的第二密钥共享客户端，其中，第二密钥共享客户端根据密钥标识获取量 子密钥。

可选的，上述处理器还可以执行如下步骤的程序代码：在第一密钥共享客户端接收第一应用发送的密钥请求之前，第一应用接收通信请求，其中，通信请求用于与第 二服务器集群内的第二应用通信；第一应用向第一密钥共享客户端发送密钥请求。

可选的，上述处理器还可以执行如下步骤的程序代码：在第一密钥共享客户端根据密钥请求向第一密钥共享服务端请求量子密钥和量子密钥对应的密钥标识之前，第 一密钥共享客户端向第一密钥共享服务端发送认证信息，其中，第一密钥共享服务端 根据认证信息对第一密钥共享客户端进行身份认证；在认证成功的情况下，第一密钥 共享客户端根据密钥请求向第一密钥共享服务端请求量子密钥和量子密钥对应的密钥 标识。

可选的，上述处理器还可以执行如下步骤的程序代码：在第一密钥共享客户端将量子密钥发送至第一应用，并将密钥标识发送至第二服务器集群内的第二密钥共享客 户端之后，第一应用与第二应用通过量子密钥建立通信关系。

可选的，上述处理器还可以执行如下步骤的程序代码：第一密钥共享服务端提供RESTful的接口。

采用本发明实施例，提供了一种密钥分发方法。本申请上述实施例中，设置密钥共享服务端作为量子密钥分发设备的密钥缓冲池，将量子密钥分发设备分发的量子密 钥进行池化存储，再分别向请求量子密钥的第一密钥共享客户端进行分发，从而使得 最少只需要设置一个量子密钥分发设备，其将量子密钥分发至密钥共享服务端处，即 可保证所有的密钥共享客户端均可使用其分发的量子密钥。当密钥共享服务端接收到 应用的密钥请求后，向密钥共享服务端请求量子密钥，从而可以将请求得到的量子密 钥发送给服务器集群内的应用，进而解决了现有技术中通过点对点的方式进行密钥分 发导致需要配置多个量子密钥分发设备的技术问题。

本领域普通技术人员可以理解，图9所示的结构仅为示意，计算机终端也可以是智能手机(如Android手机、iOS手机等)、平板电脑、掌声电脑以及移动互联网设备 (MobileInternet Devices，MID)、PAD等终端设备。图9其并不对上述电子装置的 结构造成限定。例如，计算机终端90还可包括比图9中所示更多或者更少的组件(如 网络接口、显示装置等)，或者具有与图9所示不同的配置。

本领域普通技术人员可以理解上述实施例的各种方法中的全部或部分步骤是可以 通过程序来指令终端设备相关的硬件来完成，该程序可以存储于一计算机可读存储介质中，存储介质可以包括：闪存盘、只读存储器(Read-Only Memory，ROM)、随机存 取器(Random Access Memory，RAM)、磁盘或光盘等。

实施例7

本发明的实施例还提供了一种存储介质。可选地，在本实施例中，上述存储介质可以用于保存上述实施例一所提供的密钥分发方法所执行的程序代码。

可选地，在本实施例中，上述存储介质可以位于计算机网络中计算机终端群中的任意一个计算机终端中，或者位于移动终端群中的任意一个移动终端中。

可选地，在本实施例中，存储介质被设置为存储用于执行以下步骤的程序代码：第一密钥共享客户端接收第一应用发送的密钥请求；第一密钥共享客户端根据密钥请 求向第一密钥共享服务端请求量子密钥和量子密钥对应的密钥标识，其中，第一密钥 共享服务端获取密钥分发设备分发的量子密钥，并将量子密钥返回至第一密钥共享服 务端；第一密钥共享客户端将量子密钥发送至第一应用，并将密钥标识发送至第二服 务器集群内的第二密钥共享客户端，其中，第二密钥共享客户端根据密钥标识获取量 子密钥。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

在本发明的上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

在本申请所提供的几个实施例中，应该理解到，所揭露的技术内容，可通过其它的方式实现。其中，以上所描述的装置实施例仅仅是示意性的，例如所述单元的划分， 仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件 可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所 显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，单元或模 块的间接耦合或通信连接，可以是电性或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到 多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例 方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成 的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时， 可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的 形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一 台计算机设备(可为个人计算机、服务器或者网络设备等)执行本发明各个实施例所 述方法的全部或部分步骤。而前述的存储介质包括：U盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、移动硬盘、磁碟或者光盘 等各种可以存储程序代码的介质。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润 饰也应视为本发明的保护范围。

Claims (18)

1.一种密钥分发方法，其特征在于，第一服务器集群包括：量子密钥分发设备、第一密钥共享服务端、第一密钥共享客户端和第一应用，包括：

第一密钥共享客户端接收第一应用发送的密钥请求；

所述第一密钥共享客户端根据所述密钥请求向第一密钥共享服务端请求量子密钥和所述量子密钥对应的密钥标识，其中，所述第一密钥共享服务端获取密钥分发设备分发的量子密钥，并将所述量子密钥返回至所述第一密钥共享服务端；

所述第一密钥共享客户端将所述量子密钥发送至所述第一应用，并将所述密钥标识发送至第二服务器集群内的第二密钥共享客户端，其中，所述第二密钥共享客户端根据所述密钥标识获取所述量子密钥。

2.根据权利要求1所述的方法，其特征在于，在第一密钥共享客户端接收第一应用发送的密钥请求之前，所述方法包括：

所述第一应用接收通信请求，其中，所述通信请求用于与第二服务器集群内的第二应用通信；

所述第一应用向所述第一密钥共享客户端发送所述密钥请求。

3.根据权利要求1所述的方法，其特征在于，在所述第一密钥共享客户端根据所述密钥请求向第一密钥共享服务端请求量子密钥和所述量子密钥对应的密钥标识之前，所述方法还包括：

所述第一密钥共享客户端向所述第一密钥共享服务端发送认证信息，其中，所述第一密钥共享服务端根据所述认证信息对所述第一密钥共享客户端进行身份认证；

在认证成功的情况下，所述第一密钥共享客户端根据所述密钥请求向第一密钥共享服务端请求量子密钥和所述量子密钥对应的密钥标识。

4.根据权利要求2所述的方法，其特征在于，在所述第一密钥共享客户端将所述量子密钥发送至所述第一应用，并将所述密钥标识发送至第二服务器集群内的第二密钥共享客户端之后，所述方法还包括：

所述第一应用与所述第二应用通过所述量子密钥建立通信关系。

5.根据权利要求1所述的方法，其特征在于，所述第一密钥共享服务端提供RESTful的接口。

6.一种密钥分发方法，其特征在于，第二服务器集群包括：量子密钥分发设备、第二密钥共享服务端、第二密钥共享客户端和第二应用，包括：

第二密钥共享客户端接收第一服务器集群的第一密钥共享客户端发送的密钥标识；

所述第二密钥共享客户端根据所述密钥标识向第二密钥共享服务端请求所述密钥标识对应的量子密钥，其中，所述第二密钥共享服务端根据所述密钥标识从所述量子密钥分发设备处获取所述量子密钥，并将所述量子密钥返回至所述第二密钥共享服务端；

所述第二密钥共享客户端将所述量子密钥发送至所述第二应用。

7.根据权利要求6所述的方法，其特征在于，在所述第二密钥共享客户端根据所述密钥标识向第二密钥共享服务端请求所述密钥标识对应的量子密钥之前，所述方法还包括：

所述第二密钥共享客户端向所述第二密钥共享服务端发送认证信息，其中，所述第二密钥共享服务端根据所述认证信息对所述第二密钥共享客户端进行身份认证；

在认证成功的情况下，所述第二密钥共享客户端根据所述密钥标识向第二密钥共享服务端请求所述密钥标识对应的量子密钥。

8.根据权利要求6所述的方法，其特征在于，在所述第二密钥共享客户端将所述量子密钥发送至所述第二应用之后，所述方法还包括：

所述第二应用与所述第一服务器集群的第一应用通过所述量子密钥建立通信关系。

9.根据权利要求6所述的方法，其特征在于，所述第二密钥共享服务端提供RESTful的接口。

10.一种密钥分发系统，其特征在于，包括：

第一服务器集群，包括：第一量子密钥分发设备、第一密钥共享服务端、第一密钥共享客户端和第一应用；

第二服务器集群，包括：第二量子密钥分发设备、第二密钥共享服务端、第二密钥共享客户端和第二应用；

其中，所述第一应用在接收到与所述第二应用通信的通信请求之后，向所述第一密钥共享客户端发起密钥请求，所述第一密钥共享客户端向第一密钥共享服务端请求量子密钥和所述量子密钥对应的密钥标识，并将所述密钥标识发送至所述第二密钥共享客户端，其中，所述第一密钥共享客户端从所述第一量子密钥分发设备处获取所述量子密钥和所述密钥标识；

所述第二密钥共享客户端将所述密钥标识发送至所述第二密钥共享服务端，所述第二密钥共享服务端根据所述密钥标识从所述第二量子密钥分发设备处获取所述量子密钥，并将所述量子密钥返回至所述第二密钥共享客户端。

11.根据权利要求10所述的系统，其特征在于，所述第一密钥共享服务端和所述第二密钥共享服务端均提供RESTful的接口。

12.根据权利要求10所述的系统，其特征在于，所述第一密钥共享客户端还用于将所述量子密钥发送至所述第一应用，所述第二密钥共享客户端还用于将所述量子密钥发送至所述第二应用。

13.根据权利要求12所述的系统，其特征在于，所述第一应用和所述第二应用通过所述量子密钥建立通信关系。

14.根据权利要求10所述的系统，其特征在于，所述第一密钥共享客户端还用于向所述第一密钥共享服务端发送第一认证信息，所述第一密钥共享服务端根据所述第一认证信息对所述第一密钥共享客户端进行身份认证，在认证通过的情况下，所述第一密钥共享客户端再向第一密钥共享服务端请求量子密钥和所述量子密钥对应的密钥标识。

15.根据权利要求10所述的系统，其特征在于，所述第二密钥共享客户端还用于向所述第二密钥共享服务端发送第二认证信息，所述第二密钥共享服务端根据所述第二认证信息对所述第二密钥共享客户端进行身份认证，在认证通过的情况下，所述第二密钥共享客户端再将所述密钥标识发送至所述第二密钥共享服务端。

16.一种密钥分发装置，其特征在于，第一服务器集群包括：量子密钥分发设备、第一密钥共享服务端、第一密钥共享客户端和第一应用，包括：

接收模块，用于第一密钥共享客户端接收第一应用发送的密钥请求；

请求模块，用于所述第一密钥共享客户端根据所述密钥请求向第一密钥共享服务端请求量子密钥和所述量子密钥对应的密钥标识，其中，所述第一密钥共享服务端获取密钥分发设备分发的量子密钥，并将所述量子密钥返回至所述第一密钥共享服务端；

发送模块，用于所述第一密钥共享客户端将所述量子密钥发送至所述第一应用，并将所述密钥标识发送至第二服务器集群内的第二密钥共享客户端，其中，所述第二密钥共享客户端根据所述密钥标识获取所述量子密钥。

17.一种密钥分发装置，其特征在于，第二服务器集群包括：量子密钥分发设备、第二密钥共享服务端、第二密钥共享客户端和第二应用，包括：

接收模块，用于第二密钥共享客户端接收第一服务器集群的第一密钥共享客户端发送的密钥标识；

请求模块，用于所述第二密钥共享客户端根据所述密钥标识向第二密钥共享服务端请求所述密钥标识对应的量子密钥，其中，所述第二密钥共享服务端根据所述密钥标识从所述量子密钥分发设备处获取所述量子密钥，并将所述量子密钥返回至所述第二密钥共享服务端；

发送模块，用于所述第二密钥共享客户端将所述量子密钥发送至所述第二应用。

18.一种存储介质，其特征在于，所述存储介质包括存储的程序，其中，在所述程序运行时控制所述存储介质所在设备执行权利要求1至9中任意一项所述的密钥分发方法。

Images