CN114301593B - 一种基于量子密钥的eap认证系统及方法 - Google Patents

Abstract

本发明提供了一种基于量子密钥的EAP认证系统及方法，所述系统，包括：认证方、被认证方和认证服务器，认证方与被认证方通信，认证方与认证服务器通信；被认证方、认证方和认证服务器分别接入量子密钥分发网络的不同节点，被认证方与认证方从各自的接入节点获取节点之间的共享量子密钥，认证与认证服务器从各自的接入节点获取节点之间的共享量子密钥；被认证方、认证方和认证服务器在进行EAP认证时，使用获取的共享量子密钥进行认证，采用获取的共享量子密钥对认证过程中传输的关键数据进行加密；本发明使用量子密钥对EAP认证过程中的关键信息进行加密保护，提高了EAP认证过程中数据传输的安全性。

Description

一种基于量子密钥的EAP认证系统及方法

技术领域

本发明涉及EAP认证技术领域，特别涉及一种基于量子密钥的EAP认证系统及方法。

背景技术

本部分的陈述仅仅是提供了与本发明相关的背景技术，并不必然构成现有技术。

EAP(Extensible Authentication Protocol，可扩展认证协议)，是一种支持多种认证方法的认证框架，支持多种认证协议，如EAP-MD5、EAP-LEAP、EAP-AKA、EAP-AKA'、EAP-TLS等。

现有EAP认证方法中使用基于非对称密钥的数字证书认证体系，或者基于预置的共享密钥进行认证过程中的数据保护和密钥协商。其中，使用数字证书认证体系部署较为复杂，增加了系统的成本，且基于计算复杂度的非对称密码算法，随着计算能力的提升存在被破解的风险；预置共享密钥的方式，需要手动预置认证方法使用的密钥，且密钥更新时仍需要手动更新，易用性和安全性不高。

发明内容

为了解决现有技术的不足，本发明提供了一种基于量子密钥的EAP认证系统及方法，使用量子密钥对EAP认证过程中的关键信息进行加密保护，提高了EAP认证过程中数据传输的安全性。

为了实现上述目的，本发明采用如下技术方案：

本发明第一方面提供了一种基于量子密钥的EAP认证系统。

一种基于量子密钥的EAP认证系统，包括：认证方、被认证方和认证服务器，认证方与被认证方通信，认证方与认证服务器通信；

被认证方、认证方和认证服务器分别接入量子密钥分发网络的不同节点，被认证方与认证方从各自的接入节点获取节点之间的共享量子密钥，认证方与认证服务器从各自的接入节点获取节点之间的量子密钥，被认证方与认证服务器从各自的接入节点获取节点之间的量子密钥；

被认证方、认证方和认证服务器在进行EAP认证时，使用获取的共享量子密钥进行认证，采用获取的共享量子密钥对认证过程中传输的关键数据进行加密。

本发明第二方面提供了一种基于量子密钥的EAP认证方法。

一种基于量子密钥的EAP认证方法，包括以下过程：

进行认证方与被认证方的身份验证；

认证服务器根据认证方量子密钥标识，得到认证服务器与认证方之间的共享量子密钥，根据被认证方的量子密钥标识，得到认证服务器与被认证方之间的共享量子密钥；

认证方根据认证服务器的量子密钥标识，得到认证方与认证服务器之间的共享量子密钥；

被认证方根据认证方的量子密钥标识，得到被认证方与认证方之间的共享量子密钥，根据认证服务器的量子密钥标识，得到被认证方与认证服务器之间的共享量子密钥；

被认证方根据与认证服务器的共享量子密钥进行认证响应时的认证应答计算，认证服务器根据与被认证方之间的共享量子密钥进行认证响应时的认证应答计算；

认证方、被认证方与认证服务器根据相互间的共享量子密钥进行认证确认信息中关键信息的加密和解密。

进一步的，进行认证方与被认证方的身份验证，包括：

认证方向被认证方发起身份请求；

被认证方向认证方回复第一身份响应，第一响应信息包括：被认证方身份标识和被认证方量子密钥标识；

认证方检查被认证方的身份标识，检查通过后，发送第二身份响应到认证服务器，第二身份响应信息包含：被认证方身份标识、被认证方量子密钥标识和认证方量子密钥标识。

进一步的，被认证方根据与认证服务器的共享量子密钥进行认证响应时的认证应答计算，认证服务器根据与被认证方之间的共享量子密钥进行认证响应时的认证应答计算，包括：

被认证方根据认证方发来的认证挑战和被认证方与认证服务器之间的共享量子密钥计算出认证应答；

被认证方发送包含认证应答的认证响应给认证方；

认证方接收到认证响应后，转发给认证服务器；

认证服务器使用与被认证方之间的共享量子密钥计算认证应答；

认证服务器将计算的认证应答与收到的认证应答进行对比验证，验证通过后，进行认证确认。

进一步的，认证方、被认证方与认证服务器根据相互间的共享量子密钥进行认证确认信息中关键信息的加密和解密，包括：

认证应答完后，发送认证确认信息给认证方，认证确认信息包含：认证结果以及使用认证服务器与认证方之间共享的量子密钥加密的第一关键信息；

认证方使用与认证服务器之间的共享量子密钥解密认证服务器发送的认证确认信息，得到明文；

认证方发送认证确认信息给被认证方，确认信息包含：认证结果以及使用认证方与被认证方之间的共享量子密钥加密的第二关键信息；

被认证方使用与认证方之间的共享量子密钥解密第二关键信息，得到明文。

进一步的，被认证方和认证方、认证服务器在认证完成后，删除本次认证过程中使用的共享量子密钥。

本发明第三方面提供了一种基于量子密钥的EAP认证系统。

一种基于量子密钥的EAP认证系统，包括：认证方和被认证方，认证方与被认证方通信；

被认证方和认证方分别接入量子密钥分发网络的不同节点，被认证方与认证方从各自的接入节点获取节点之间的共享量子密钥；

被认证方和认证方在进行EAP认证时，使用获取的共享量子密钥进行认证，采用获取的共享量子密钥对认证过程中传输的关键数据进行加密。

本发明第四方面提供了一种基于量子密钥的EAP认证方法。

一种基于量子密钥的EAP认证方法，包括以下过程：

进行认证方与被认证方的身份验证；

认证方根据被认证方的量子密钥标识，得到认证方与被认证方的两组共享量子密钥，其中一组用于认证，另一组用于加密；

被认证方根据认证方的量子密钥标识，得到被认证方与认证方的两组共享量子密钥，其中一组用于认证，另一组用于加密；

认证方根据与被认证方的用于认证的共享量子密钥进行认证响应时的认证应答计算，被认证方根据与认证方之间的用于认证的共享量子密钥进行认证响应时的认证应答计算；

认证方和被认证方根据相互间的用于加密的共享量子密钥进行认证确认信息中关键信息的加密和解密。

进一步的，进行认证方与被认证方的身份验证，包括：

认证方向被认证方发起身份请求；

被认证方向认证方回复身份响应，身份响应包含：被认证方身份标识以及被认证方接入量子密钥分发网络节点的第一标识；

认证方检查被认证方的身份标识，根据第一标识，获取被认证方与认证方之间的两组共享量子密钥，其中一组用于认证，另一组用于加密。

进一步的，认证方根据与被认证方的用于认证的共享量子密钥进行认证响应时的认证应答计算，被认证方根据与认证方之间的用于认证的共享量子密钥进行认证响应时的认证应答计算，包括：

被认证方根据认证挑战和用于认证的共享量子密钥计算出认证应答；

被认证方发送包含认证应答的认证响应给认证方；

认证方使用用于认证的共享量子密钥计算认证应答；

认证方将计算的认证应答与收到的认证应答进行对比验证，验证通过后，进行认证确认。

进一步的，认证方和被认证方根据相互间的用于加密的共享量子密钥进行认证确认信息中关键信息的加密和解密，包括：

认证方发送验证确认信息给被认证方，确认信息包括：认证结果和使用用于加密的共享量子密钥加密的关键信息；

被认证方使用用于加密的共享量子密钥解密关键信息，得到明文。

进一步的，被认证方和认证方在认证完成后，删除认证过程中使用的共享量子密钥。

与现有技术相比，本发明的有益效果是：

1、本发明使用量子密钥分发网络为EAP认证系统中的各方提供共享的量子密钥，用于EAP认证过程中的安全保护，使用量子密钥分发网络为EAP认证各方分发共享量子密钥，不受计算能力提升对安全性的影响，且具有真随机性，可以提高EAP认证过程的安全性，同时降低了密钥预置成本。

2、本发明使用共享量子密钥对EAP认证流程中的认证挑战信息进行计算，得到认证应答信息，通过对认证应答信息的验证来验证对方身份，与不使用密钥或者使用预置的共享密钥相比，具有更高的安全性。

3、共享量子密钥仅用于一次认证挑战计算或者一次关键信息加密，使用完成后即删除，下次认证重新向量子密钥分发网络获取新的量子密钥，可以防止攻击者窃取密钥信息，比长期使用同一保护密钥具有更高的安全性。

附图说明

构成本发明的一部分的说明书附图用来提供对本发明的进一步理解，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。

图1为本发明实施例1提供的基于量子密钥的EAP认证系统的部署方式示意图。

图2为本发明实施例2提供的基于量子密钥的EAP认证方法的流程示意图。

图3为本发明实施例4提供的基于量子密钥的EAP认证方法的流程示意图。

具体实施方式

下面结合附图与实施例对本发明作进一步说明。

应该指出，以下详细说明都是例示性的，旨在对本发明提供进一步的说明。除非另有指明，本文使用的所有技术和科学术语具有与本发明所属技术领域的普通技术人员通常理解的相同含义。

需要注意的是，这里所使用的术语仅是为了描述具体实施方式，而非意图限制根据本发明的示例性实施方式。如在这里所使用的，除非上下文另外明确指出，否则单数形式也意图包括复数形式，此外，还应当理解的是，当在本说明书中使用术语“包含”和/或“包括”时，其指明存在特征、步骤、操作、器件、组件和/或它们的组合。

在不冲突的情况下，本发明中的实施例及实施例中的特征可以相互组合。

实施例1：

本发明实施例1提供了一种EAP认证系统，使用量子密钥对EAP认证过程中的数据传输进行加密，量子密钥可采用量子密钥分发技术为被认证方(客户端)、认证方、认证服务器之间分发共享的量子密钥。

在EAP认证过程中，可以使用共享量子密钥进行身份的认证，同时也可以使用量子密钥对认证过程中的密钥等关键信息的传输进行加密保护，提高了认证过程的安全性。

如图1所示，为一种部署方式示例，其中，QNode1～QNode5为量子密钥分发网络中的节点，相邻节点之间使用量子密钥分发技术分发共享的量子密钥；非相邻节点可以使用中继加密技术获取共享量子密钥，如QNode1与QNode2可以通过QNode4进行中继加密来传输共享量子密钥，QNode1与QNode3可以通过QNode4、QNode2、QNode5进行中继加密来传输共享量子密钥。

EAP认证系统中的被认证方、认证方和认证服务器分别接入其中任意的3个节点，例如：QNode1、QNode2、QNode3。被认证方与认证方从各自的接入节点获取QNode1和QNode2之间的共享量子密钥，认证与认证服务器从各自的接入节点获取QNode2和QNode3之间的量子密钥，被认证方与认证服务器从各自的接入节点获取QNode1和QNode3之间的量子密钥。

被认证方、认证方和认证服务器在进行EAP认证的过程中，可使用获取的共享量子密钥进行认证，以及对认证过程中传输的关键数据进行加密和解密。

实施例2：

如图2所示，本发明实施例2提供了一种基于量子密钥的EAP认证方法，认证方作为传递代理，包括以下过程：

S1：认证方向被认证方发起身份请求。

S2：被认证方向认证方回复身份响应，响应信息包含：被认证方身份标识UsrID、被认证方接入量子密钥分发网络节点的标识QNode1。

S3：认证方检查被认证方的身份标识，转发身份响应信息到认证服务器，响应信息包含：被认证方身份标识UsrID、认证方接入量子密钥分发网络节点的标识QNode2；

本实施例中，使用量子密钥计算认证应答，故身份响应信息还需要包含被认证方接入量子密钥分发网络节点的标识QNode1，使用QNode3和QNode1之间的共享量子密钥计算认证应答，可采用例如：带密钥的哈希校验码计算、对称算法的校验码计算或者对称加密算法。

S4：认证服务器根据认证方接入量子密钥分发网络节点的标识QNode2，从量子密钥分发网络获取QNode3与QNode2之间的共享量子密钥；优选的，使用量子密钥计算认证应答，故认证服务器还需要获取QNode3与QNode1之间的共享量子密钥；

认证服务器发送认证请求给认证方，请求信息包含：认证挑战、认证服务器接入量子密钥分发网络节点的标识QNode3。

S5：认证方根据认证服务器接入量子密钥分发网络节点的标识QNode3，从量子密钥分发网络获取QNode2与QNode3之间的共享量子密钥；

认证方转发认证请求给被认证方，请求消息包含：认证挑战、认证方接入量子密钥分发网络节点的标识QNode2；

本实施例中，使用量子密钥计算认证应答，故还需要包含认证服务器接入量子密钥分发网络节点的标识QNode3。

S6：被认证方根据认证方接入量子密钥分发网络节点的标识QNode2，从量子密钥分发网络获取QNode1与QNode2之间的共享量子密钥；

本实施例中，使用量子密钥计算认证应答，故被认证方还需要获取QNode1与QNode3之间的共享量子密钥；

被认证方根据认证挑战计算出认证应答，本实施例中，使用量子密钥计算认证应答；

被认证方发送认证响应给认证方，响应信息包含：认证应答。

S7：认证方接收到认证响应后，转发给认证服务器；

S8：认证服务器计算认证应答，优选的，使用量子密钥计算认证应答；

认证服务器将计算的认证应答与收到的认证应答进行对比验证，验证通过后，发送验证确认信息给认证方，确认信息包含：认证结果、使用认证服务器与认证方之间的共享量子密钥加密的关键信息。

本实施例中，关键信息的加密算法优选的采用“一字一密”异或方式进行加密，增强了关键数据传输的安全性。

S9：认证方使用量子密钥解密关键信息，得到明文；

认证方转发验证确认信息给被认证方，确认信息包含：认证结果、使用认证方与被认证方之间共享的量子密钥加密的关键信息。

S10：被认证方和认证方在认证完成后，删除本次EAP认证过程中使用的共享量子密钥，包括：用于计算认证应答的量子密钥，用于加密关键信息的量子密钥。

实施例3：

本发明实施例3提供了一种基于量子密钥的EAP认证系统，包括：认证方和被认证方，认证方与被认证方通信；

被认证方和认证方分别接入量子密钥分发网络的不同节点，被认证方与认证方从各自的接入节点获取节点之间的共享量子密钥；

被认证方和认证方在进行EAP认证时，使用获取的共享量子密钥进行认证，采用获取的共享量子密钥对认证过程中传输的关键数据进行加密。

实施例4：

如图3所示，本发明实施例4提供了一种基于量子密钥的EAP认证方法，认证方与认证服务器的功能合并在一个实体，包括以下过程：

A1：认证方向被认证方发起身份请求。

A2：被认证方向认证方回复身份响应，响应信息包含：被认证方身份标识UsrID、被认证方接入量子密钥分发网络节点的标识QNode1。

A3：认证方检查被认证方的身份标识，根据被认证方接入量子密钥分发网络节点的标识QNode1，从量子密钥分发网络获取QNode2与QNode1之间的共享量子密钥；

认证服务器发送认证请求给认证方，请求信息包含：认证挑战、认证方接入量子密钥分发网络节点的标识QNode2。

A4：被认证方根据认证方接入量子密钥分发网络节点的标识QNode2，从量子密钥分发网络获取QNode1与QNode2之间的共享量子密钥；

被认证方根据认证挑战计算出认证应答，本实施例中，使用共享量子密钥计算认证应答；

被认证方发送认证响应给认证方，响应信息包含：认证应答。

A5：认证方计算认证应答，优选的，使用共享量子密钥计算认证应答；

认证方对挑战响应中的认证应答进行验证，验证通过后，发送验证确认信息给被认证方，确认信息包含：认证结果、使用共享量子密钥加密的关键信息；

本实施例中，关键信息的加密算法优选的采用“一字一密”异或方式进行加密。

A6：被认证方和认证方在认证完成后，删除本次EAP认证过程中使用的共享量子密钥，包括：用于计算认证应答的量子密钥，用于加密关键信息的量子密钥。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (5)

1.一种基于量子密钥的可扩展协议EAP认证方法，其特征在于：所述可扩展协议EAP认证方法使用量子密钥对EAP认证过程中的数据传输进行加密；被认证方、认证方和认证服务器分别接入量子密钥分发网络任意的三个不同节点，包括以下过程：

进行认证方与被认证方的身份验证；

认证服务器根据认证方量子密钥标识，得到认证服务器与认证方之间的共享量子密钥，根据被认证方的量子密钥标识，得到认证服务器与被认证方之间的共享量子密钥；

认证方根据认证服务器的量子密钥标识，得到认证方与认证服务器之间的共享量子密钥；

被认证方根据认证方的量子密钥标识，得到被认证方与认证方之间的共享量子密钥，根据认证服务器的量子密钥标识，得到被认证方与认证服务器之间的共享量子密钥；

被认证方根据与认证服务器的共享量子密钥进行认证响应时的认证应答计算，认证服务器根据与被认证方之间的共享量子密钥进行认证响应时的认证应答计算，包括：

被认证方根据认证方发来的认证挑战和被认证方与认证服务器之间的共享量子密钥计算出认证应答；

被认证方发送包含认证应答的认证响应给认证方；

认证方接收到认证响应后，转发给认证服务器；

认证服务器使用与被认证方之间的共享量子密钥计算认证应答；

认证服务器将计算的认证应答与收到的认证应答进行对比验证，验证通过后，进行认证确认；

认证方、被认证方与认证服务器根据相互间的共享量子密钥进行认证确认信息中关键信息的加密和解密，包括：

认证应答完后，发送认证确认信息给认证方，认证确认信息包含：认证结果以及使用认证服务器与认证方之间共享的量子密钥加密的第一关键信息；

认证方使用与认证服务器之间的共享量子密钥解密认证服务器发送的认证确认信息，得到明文；

认证方发送认证确认信息给被认证方，认证确认信息包含：认证结果以及使用认证方与被认证方之间的共享量子密钥加密的第二关键信息；

被认证方使用与认证方之间的共享量子密钥解密第二关键信息，得到明文。

2.如权利要求1所述的基于量子密钥的可扩展协议EAP认证方法，其特征在于：

进行认证方与被认证方的身份验证，包括：

认证方向被认证方发起身份请求；

被认证方向认证方回复第一身份响应，第一身份响应信息包括：被认证方身份标识和被认证方量子密钥标识；

认证方检查被认证方的身份标识，检查通过后，发送第二身份响应到认证服务器，第二身份响应信息包含：被认证方身份标识、被认证方量子密钥标识和认证方量子密钥标识。

3.如权利要求1所述的基于量子密钥的可扩展协议EAP认证方法，其特征在于：

被认证方和认证方、认证服务器在认证完成后，删除本次认证过程中使用的共享量子密钥。

4.一种基于量子密钥的可扩展协议EAP认证系统，用于实现如权利要求1-3任意一项所述的基于量子密钥的可扩展协议EAP认证方法，其特征在于：所述可扩展协议EAP认证系统使用量子密钥对EAP认证过程中的数据传输进行加密；

所述可扩展协议EAP认证系统包括：认证方、被认证方和认证服务器，认证方与被认证方通信，认证方与认证服务器通信。

5.如权利要求4所述的基于量子密钥的可扩展协议EAP认证系统，其特征在于：

被认证方、认证方和认证服务器分别接入量子密钥分发网络任意的三个不同节点，被认证方与认证方从各自的接入节点获取节点之间的共享量子密钥，认证方与认证服务器从各自的接入节点获取节点之间的量子密钥，被认证方与认证服务器从各自的接入节点获取节点之间的量子密钥；相邻节点之间使用量子密钥分发技术分发共享量子密钥；非相邻节点使用中继加密技术获取共享量子密钥；

被认证方、认证方和认证服务器在进行EAP认证时，使用获取的共享量子密钥进行认证，采用获取的共享量子密钥对认证过程中传输的关键数据进行加密。