CN116055044A - 一种根密钥文件请求的处理方法和系统 - Google Patents

一种根密钥文件请求的处理方法和系统 Download PDF

Info

Publication number
CN116055044A
CN116055044A CN202310071944.7A CN202310071944A CN116055044A CN 116055044 A CN116055044 A CN 116055044A CN 202310071944 A CN202310071944 A CN 202310071944A CN 116055044 A CN116055044 A CN 116055044A
Authority
CN
China
Prior art keywords
key
root
information
root key
file
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202310071944.7A
Other languages
English (en)
Inventor
傅波海
黎爽
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Matrix Time Digital Technology Co Ltd
Original Assignee
Matrix Time Digital Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Matrix Time Digital Technology Co Ltd filed Critical Matrix Time Digital Technology Co Ltd
Priority to CN202310071944.7A priority Critical patent/CN116055044A/zh
Publication of CN116055044A publication Critical patent/CN116055044A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0852—Quantum cryptography
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0471—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload applying encryption by an intermediary, e.g. receiving clear information at the intermediary and encrypting the received information at the intermediary before forwarding
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Electromagnetism (AREA)
  • Theoretical Computer Science (AREA)
  • Power Engineering (AREA)
  • Storage Device Security (AREA)

Abstract

本发明公开了一种根密钥文件请求的处理方法和系统，本申请的根密钥文件请求处理方法，在发送密钥请求消息时，对消息中的设备ID和目标密钥标识都进行了加密，密钥分发端在接收密钥请求消息后先根据索引获取解密密钥，再解密密钥请求消息中的加密内容，并根据解密得到的设备ID对其进行进一步的身份认证后，再返回相应的根密钥响应消息；由于因信息在通信的全过程都是加密的，且加密的密钥全部为通信者掌握，所以通信的安全性大大提高；本申请的根密钥文件请求处理系统主要包括终端、密钥中继服务器和密钥分发服务器，密钥请求消息中的信息由终端加密生成，而密钥中继服务器并不存储用于加密所述密钥请求消息的密钥，降低了密钥泄露的可能性。

Description

一种根密钥文件请求的处理方法和系统
技术领域
本发明涉及信息安全技术领域，具体涉及一种根密钥文件请求的处理方法和系统。
背景技术
信息技术在国民经济中的地位日益重要，它已经成为经济发展、社会进步的强大动力，且已成为衡量一个国家综合国力强弱和国际竞争力高低的主要标志之一。现如今电子商务、电子政务、云计算、物联网、大数据处理等大型应用信息系统相继出现并广泛应用。这些都对信息安全提出了更新更高的要求。信息安全不再局限于对信息的静态保护而需要对整个信息和信息系统进行保护和防御。
为了适应日益增长的信息安全和网络安全需求，相关技术中出现了通过量子加密技术来保障信息安全的量子安全设备。量子安全设备利用量子特性及原理进行密钥的生成、明文的混淆加密、密文的还原解密、密文的通信、反窃听等一系列加密技术。它不仅可以解决一次一密的密码本传输问题，且量子加密的密钥是在通信时随机产生的，无法被窃听和破解，整体的安全性得到了大大提高。
量子安全设备在通信过程中，一方面通过传统网络传递加密数据，另一方面还通过密钥中继网络传递用于加密数据的量子密钥。量子密钥在传递的过程中需要密钥中继服务器将发送端使用的量子密钥中继至接收端，为了提高安全性，在中继过程中只传递密钥索引，而不传输真正的密钥。因此在密钥中继网络中，密钥中继服务器与发送端之间需要同步相同的根密钥，但目前密钥中继服务器在向密钥分发端请求根密钥时，发送的消息内容均以明文方式传输，这就导致密钥中继服务器在请求根密钥文件时，存在信息泄露的安全隐患。
发明内容
为解决上述问题，本发明公开了一种根密钥文件请求的处理方法。
本申请提供了一种根密钥文件请求的处理方法，所述方法包括：
接收来自密钥中继端的密钥请求消息，所述密钥请求消息中包含密钥文件索引、第一加密信息和第二加密信息，其中，所述第一加密信息的加密内容包括设备ID，所述第二加密信息的加密内容包括目标密钥标识；
根据密钥请求消息中的密钥文件索引和第一加密信息匹配根密钥生成记录；在根密钥生成记录匹配成功时，根据根密钥生成记录获取解密密钥，以解密第一加密信息和第二加密信息得到设备关键信息和目标密钥标识；若解密得到的设备关键信息与根密钥生成记录中的信息相符，则生成用于指示请求成功的根密钥响应消息，并在所述根密钥响应消息中携带目标密钥标识对应的根密钥文件的文件位置信息，否则向所述密钥中继端发送用于指示请求失败的根密钥响应消息；
在根密钥生成记录匹配失败时，向所述密钥中继端发送根密钥响应失败消息。
上述方案中，所述密钥中继端生成密钥请求消息的方法包括：
接收来自终端的接入命令消息，根据所述接入命令消息中的密钥文件索引、第一加密信息和第二加密信息生成所述密钥请求消息。
上述方案中，所述第一加密信息和第二加密信息的加密方法包括：
接收来自密钥分发端的第一密钥扩展参数，根据预设的参数数据获取第二密钥扩展参数；
将所述第一密钥扩展参数与第二密钥扩展参数拼接，得到初始密钥，再根据预设的密钥扩充算法将所述初始密钥扩充形成扩充密钥；
按照预设的规则将所述扩充密钥分割形成两个加密密钥；选取两所述加密密钥中的一者加密所述设备关键信息得到第一加密信息，利用两所述加密密钥中的另一者加密所述目标密钥标识得到第二加密信息。
上述方案中，所述扩充密钥的长度与所述设备ID和目标密钥标识的总长度一致。
上述方案中，选取所述设备关键信息和目标密钥标识的加密密钥方法包括：
获取待下载的根密钥的属性信息，根据所述属性信息获取组随机数，判断所述组随机数的奇偶性；
若所述组随机数为奇数，则选择第一密钥加密所述设备ID，选择第二密钥加密所述目标密钥标识；否则选择第二密钥加密所述设备ID，选择第一密钥加密目标密钥标识。
上述方案中，解密所述第一加密信息和第二加密信息的方法包括：
根据根密钥生成记录中获取组随机数，确定所述组随机数的奇偶性；
若组随机数为奇数，则利用第一密钥解密所述第一加密信息，利用第二密钥解密所述第二加密信息；否则利用第二密钥解密所述第一加密信息，利用第一密钥解密第二加密信息。
上述方案中，生成所述目标密钥标识的方法包括：
终端对根密钥文件进行哈希校验，若校验成功，则生成该校验成功的根密钥文件的对应的索引，以此作为所述目标密钥标识。
本申请还提供了一种根密钥文件请求处理系统，所述系统包括：
终端，用于对预注的根密钥文件进行哈希校验，并在校验通过后生成所述根密钥文件对应的目标密钥标识，以及根据预设的参数数据获取设备ID和密钥文件索引，生成接入命令消息；其中，所述接入命令消息中包含密钥文件索引、第一加密信息和第二加密信息，所述第一加密信息的加密内容包括设备ID，所述第二加密信息的加密内容包括目标密钥标识；
密钥中继服务器，用于接收来自终端的接入命令消息，根据接入命令消息生成根密钥请求消息，以及向根密钥中心发送该根密钥请求消息，再根据来自根密钥中心的根密钥响应消息，从所述根密钥中心下载根密钥文件；
密钥分发服务器，用于接收根密钥请求消息，并根据密钥请求消息中的密钥文件索引和第一加密信息匹配根密钥生成记录；在根密钥生成记录匹配成功时，根据密钥生成记录获取解密密钥，以解密第一加密信息和第二加密信息得到设备关键信息和目标密钥标识；若解密得到的设备关键信息与根密钥生成记录中的信息相符，则生成用于指示请求成功的根密钥响应消息，并在所述根密钥响应消息中携带目标密钥标识对应的根密钥文件的文件位置信息，否则向所述密钥中继端发送用于指示请求失败的根密钥响应消息；
在根密钥生成记录匹配失败时，向所述密钥中继端发送根密钥响应失败消息。
上述方案中，所述密钥分发服务器包括加解密模块，所述加解密模块用于对所述根密钥请求消息中的加密内容进行解密。
上述方案中，所述加解密模块还用于将第一密钥扩展参数和第二密钥扩展参数进行拼接形成初始随机数，再根据预设的密钥扩充算法将初始密钥扩充形成加密密钥，以及通过预设的规则将扩充密钥中的首个密钥分割形成第一密钥和第二密钥。
上述方案中，所述密钥分发服务器还包括查询模块，所述查询模块用于根据密钥文件索引和加密的设备ID，查找并确定根密钥生成记录。
本申请的根密钥文件请求处理方法，在发送密钥请求消息时，对消息中的设备ID和目标密钥标识都进行了加密，以形成加密信息，密钥分发端在接收密钥请求消息后先根据索引获取解密密钥，再解密密钥请求消息中的加密内容，并根据解密得到的设备ID对其进行进一步的身份认证后，再返回相应的根密钥响应消息；由于因信息在通信的全过程都是加密的，且加密的密钥全部为通信者掌握，所以通信的安全性大大提高；本申请的根密钥文件请求处理系统主要包括终端、密钥中继服务器和密钥分发服务器，密钥请求消息中的信息由终端加密生成，而密钥中继服务器并不存储用于加密所述密钥请求消息的密钥，降低了密钥泄露的可能性，更有利于提高其安全性。
附图说明
图1为本申请实施例中的根密钥文件请求的处理方法流程图；
图2为本申请实施例2中根密钥文件请求处理方法的时序图；
图3为本申请实施例2中生成第一密钥和第二密钥的方法流程图；
图4为本申请实施例2中获取用于解密第一加密信息和第二加密信息的解密密钥方法流程图；
图5为本申请实施例中密钥分发服务器的结构图。
具体实施方式
为了使本申请的目的、技术方案和优点更加清楚，下面将结合附图本申请作进一步地详细描述，显然，所描述的实施例仅是本申请的一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。
实施例1：参见图1-5，一种根密钥文件请求的处理方法，应用于量子安全设备的密钥中继网络，该密钥中继网络用于量子密钥的中继，它通常包括量子安全终端、密钥中继服务器以及密钥分发服务器；密钥分发服务器用于生成用于预注在量子安全终端的密钥文件，量子安全终端在接入密钥中继服务器后，密钥中继服务器需要向密钥分发服务器请求密钥文件，请求的密钥文件与量子安全终端内预注的密钥文件相同，密钥中继过程中，量子安全终端与密钥中继服务器之间仅传输用于指示待中继的密钥的索引，密钥中继服务器根据索引查找量子安全终端需要中继的密钥；本实施例中的量子安全终端主要指通过量子随机数(QRNG)对数据进行加解密的终端；
所述方法包括：
接收来自密钥中继端的密钥请求消息，所述密钥请求消息中包含密钥文件索引、第一加密信息和第二加密信息，其中，所述第一加密信息的加密内容包括设备ID，所述第二加密信息的加密内容包括目标密钥标识；密钥文件索引用于指示密钥分发服务器生成的密钥文件的索引关系，密钥分发服务器接收密钥文件索引，根据所述密钥文件索引查找其生成的密钥文件；密钥文件通常包括多组，每组密钥文件可以包括多个单独的根密钥文件；量子安全终端在接入密钥中继服务器后会对其预注的每组密钥文件中各单独的根密钥文件进行哈希校验，并生成校验成功的根密钥文件对应的索引，即目标密钥标识；密钥中继服务器请求的密钥为量子安全终端校验成功的根密钥文件；
量子安全终端内存储有预注的密钥文件所对应的密钥文件索引和设备ID，设备ID用于指示设备的唯一属性编码；
第一加密信息和第二加密信息由量子安全终端加密设备ID和目标密钥标识得到，密钥文件索引第一加密信息和第二加密信息经量子安全终端发送至密钥中继服务器，密钥中继服务器根据密钥文件索引、第一加密信息和第二加密信息构造密钥请求消息；
密钥分发服务器根据密钥请求消息中的密钥文件索引和第一加密信息匹配根密钥生成记录；在根密钥生成记录匹配成功时，根据根密钥生成记录获取解密密钥，以解密第一加密信息和第二加密信息得到设备关键信息和目标密钥标识；若解密得到的设备关键信息与根密钥生成记录中的信息相符，则生成用于指示请求成功的根密钥响应消息，并在所述根密钥响应消息中携带目标密钥标识对应的根密钥文件的文件位置信息，否则向所述密钥中继端发送用于指示请求失败的根密钥响应消息；密钥分发服务器一方面通过第一加密信息匹配根密钥生成记录，另一方面还验证解密得到的设备关键信息与根密钥生成记录中的信息是否相符，形成了双重认证，可靠性更高，安全性更好；
根密钥生成记录中包含密钥分发服务器生成密钥文件时的相关属性信息，该属性信息主要包括生成的密钥文件对应的设备ID、加密的设备ID、密钥文件索引、密钥文件存储位置信息以及用于加密或解密消息的密钥参数等信息；其中加密的设备ID用于在密钥请求时直接能够与第一加密信息相匹配，密钥分发服务器无需在对其进行解密后再进行查找和匹配相关记录，更加方便快捷，同时由于匹配的是加密信息，外界即便获取也难以知晓加密的真正内容，安全性也更高；
在根密钥生成记录匹配失败时，向所述密钥中继端发送根密钥响应失败消息，此处表示密钥分发服务器未找到正确的根密钥生成记录从而也无法为密钥中继服务器提供密钥下载服务。
上述密钥中继服务器生成密钥请求消息的方法包括：
接收来自量子安全终端的接入命令消息，根据所述接入命令消息中的密钥文件索引、第一加密信息和第二加密信息生成所述密钥请求消息。
其中，量子安全终端生成所述第一加密信息和第二加密信息的方法包括：
接收来自密钥分发服务器的第一密钥扩展参数，根据预设的参数数据获取第二密钥扩展参数；量子安全终端接入密钥中继服务器时，会向密钥中继服务器发送接入请求消息；密钥中继服务器接收接入请求消息，根据预设的配置选择对应的密钥分发服务器，密钥分发服务器根据接入请求消息中的设备ID等信息对量子安全终端进行身份认证，并在认证通过后向量子安全终端返回第一密钥扩展参数；第二密钥扩展参数在量子安全终端出厂时预注在相应的参数数据中；
将所述第一密钥扩展参数与第二密钥扩展参数拼接，得到初始密钥，再根据预设的密钥扩充算法将所述初始密钥扩充形成扩充密钥；第一密钥扩展参数与第二密钥扩展参数均为随机数，拼接时两者按照连续的比特位进行首尾拼接，以形成初始密钥；密钥扩充算法可以使用现有的AES或SM3等算法，本处不具体对其进行限定，扩充时可使扩充密钥的长度与所述设备ID和目标密钥标识的总长度一致；
按照预设的规则将所述扩充密钥分割形成两个加密密钥；选取两所述加密密钥中的一者加密所述设备关键信息得到第一加密信息，利用两所述加密密钥中的另一者加密所述目标密钥标识得到第二加密信息，具体分割时可按照设备ID和目标密钥标识的长度将扩充密钥按连续的比特位分割成相应长度的加密密钥；
具体选取所述设备关键信息和目标密钥标识的加密密钥方法包括：
获取待下载的根密钥的属性信息，根据所述属性信息获取组随机数，判断所述组随机数的奇偶性；属性信息包含在上述量子安全终端的参数数据中，该组随机数为密钥分发服务器在生成每组密钥文件时根据设备ID和每组密钥文件的序号同步生成；组随机数在量子安全终端出厂时导入到量子安全终端内，同时密钥分发服务器的根密钥生成记录中，也对该组随机数进行记录；
若所述组随机数为奇数，则选择第一密钥加密所述设备ID，选择第二密钥加密所述目标密钥标识；否则选择第二密钥加密所述设备ID，选择第一密钥加密目标密钥标识。
密钥分发服务器解密所述第一加密信息和第二加密信息的方法包括：
根据根密钥生成记录中获取组随机数，确定所述组随机数的奇偶性；
若组随机数为奇数，则利用第一密钥解密所述第一加密信息，利用第二密钥解密所述第二加密信息；否则利用第二密钥解密所述第一加密信息，利用第一密钥解密第二加密信息。
上述方法在发送密钥请求消息时，对消息中的设备ID和目标密钥标识都进行了加密，以形成加密信息，密钥分发端在接收密钥请求消息后先根据索引获取解密密钥，再解密密钥请求消息中的加密内容，并根据解密得到的设备ID对其进行进一步的身份认证后，再返回相应的根密钥响应消息；该过程中一方面由于信息在通信的全过程都是加密的，另一方面加密的密钥需要获取第一密钥扩展参数和第二密钥扩展参数，结合预设的密钥扩充算法才能生成，即使量子安全终端内的第一密钥扩展参数泄露，外界也无法知晓正确的加密密钥，从而无法对信息的内容进行解密；同时在确定具体的加密密钥时，需要按照组随机数的奇偶性，进行密钥的选取，由于随机数具有不确定性，因此加密密钥的选取也处于不断变化之中，窃密者需要获取全部参数和方法才能正确解密，这无疑增大了破解的难度，整个过程中加密的密钥全部为通信者掌握，所以通信的安全性大大提高。
本申请还提供了一种根密钥文件请求处理系统，该系统包括：
终端，即量子安全终端，用于对预注的根密钥文件进行哈希校验，并在校验通过后生成所述根密钥文件对应的目标密钥标识，以及根据预设的参数数据获取设备ID和密钥文件索引，生成接入命令消息；其中，所述接入命令消息中包含密钥文件索引、第一加密信息和第二加密信息，所述第一加密信息的加密内容包括设备ID，所述第二加密信息的加密内容包括目标密钥标识；
密钥中继服务器，用于接收来自终端的接入命令消息，根据接入命令消息生成根密钥请求消息，以及向根密钥中心发送该根密钥请求消息，再根据来自根密钥中心的根密钥响应消息，从所述根密钥中心下载根密钥文件；
参见图5，密钥分发服务器，用于接收根密钥请求消息，并根据密钥请求消息中的密钥文件索引和第一加密信息匹配根密钥生成记录；在根密钥生成记录匹配成功时，根据密钥生成记录获取解密密钥，以解密第一加密信息和第二加密信息得到设备关键信息和目标密钥标识；若解密得到的设备关键信息与根密钥生成记录中的信息相符，则生成用于指示请求成功的根密钥响应消息，并在所述根密钥响应消息中携带目标密钥标识对应的根密钥文件的文件位置信息，否则向所述密钥中继端发送用于指示请求失败的根密钥响应消息；
在根密钥生成记录匹配失败时，向所述密钥中继端发送根密钥响应失败消息。
所述密钥分发服务器包括加解密模块302，所述加解密模块302用于对所述根密钥请求消息中的加密内容进行解密。
所述加解密模块302还用于将第一密钥扩展参数和第二密钥扩展参数进行拼接形成初始随机数，再根据预设的密钥扩充算法将初始密钥扩充形成加密密钥，以及通过预设的规则将扩充密钥中的首个密钥分割形成第一密钥和第二密钥。
同时，所述密钥分发服务器还包括查询模块303，所述查询模块用于根据密钥文件索引和加密的设备ID，查找并确定根密钥生成记录。
此外密钥分发服务器还包括用于接收消息的接收模块301，以及用于发送消息的发送模块304。
上述方案中，量子安全终端生成接入命令消息时需要依靠来自密钥分发服务器的第一密钥扩展参数，再结合自己的第二密钥扩展参数以获取用于加密设备ID和目标密钥标识的加密密钥；
实施例2：一种根密钥文件请求处理系统，该系统包括：量子安全终端、密钥中继服务器和密钥分发服务器；
其中，量子安全终端出厂时预注根密钥，该根密钥由密钥分发服务器根据界面配置或者导入的设备信息生成。
根密钥生成时：密钥分发服务器根据导入的设备信息为设备生成根密钥信息，其中，根密钥信息包括根密钥文件及根密钥对应的生成记录；
密钥分发服务器生成的根密钥为一个或多个根密钥组，每个根密钥组通过组ID标识其生成时的编号；同时还基于设备ID和组ID为每个根密钥组生成对应的组选择随机数Rg；
在一种可能的示例中，该组选择随机数Rg为通过真随机数发生器生成的真随机数编号，以保证其随机性、不可重复性和唯一性，避免在根密钥组分配较多时出现重复；由于组选择随机数Rg的随机性，也导致其难以被预测；
每个根密钥组可以包括多个根密钥文件，其数量根据文件大小粒度确定，根密钥文件的编号从1开始编号，文件序号为1……n；本实施例中，每个根密钥组中的根密钥文件的数量为偶数个，文件编号为奇数的作为上行根密钥，文件编号为偶数的作为下行根密钥；各根密钥文件生成后计算其对应的哈希值ho；
密钥分发服务器基于设备ID为根密钥组生成相应的生成记录；
该生成记录包括：
密钥分发服务器根据预设的长度生成的第一密钥扩展参数、第二密钥扩展参数；
以及对设备ID进行加密得到的设备ID密文信息Ir。
密钥分发服务器同时建立生成记录表和文件记录表，其中生成记录表基于上述根密钥文件生成时的生成记录，文件记录表用于从生成记录表查找定位文件，两表之间通过关联索引R相关联，一对多关系。
根密钥输出时：从密钥分发服务器导出根密钥组和其对应的根密钥参数数据，其中，根密钥参数数据中包含：根密钥组对应的设备ID(记为DID)、类型标识、根密钥组对应的认证信息；所述认证信息包括：该根密钥组对应的索引(记为根密钥索引I1)和第二密钥扩展参数；所述类型标识用于指示加密密钥扩充算法和解密密钥扩充算法；
导出根密钥时：导出的文件以DID为目录，以组ID为子目录；
导出的各根密钥组中的根密钥文件中均携带有该文件所对应的哈希值ho；此外各根密钥文件的文件头中还携带有相应的属性信息，所述属性信息包括该根密钥文件所对应的文件类型、组ID、总文件数、类型文件数、类型文件序号、组选择随机数Rg；所述属性信息未加密；
从上述根密钥的生成和导出过程可知，预注在量子安全终端中的根密钥组中的根密钥文件包括多个；同时各单独的根密钥文件的文件头中携带有该文件对应的属性信息，该属性信息包括该根密钥文件所对应的文件类型、组ID、总文件数、类型文件数、类型文件序号、组选择随机数Rg；根密钥组中的各根密钥文件按照文件具有编号，其中，文件编号为奇数的作为量子安全终端的上行根密钥，文件编号为偶数的作为量子安全终端的下行根密钥；
同时量子安全终端中还存储有每根密钥组对应的根密钥参数数据，该根密钥参数数据中包含：根密钥对应的设备ID(记为DID)、类型标识、每根密钥组文件对应的认证信息；所述认证信息包括：该根密钥组对应的根密钥索引I1和第二密钥扩展参数；所述类型标识用于指示密钥扩充算法和解密密钥扩充算法；
参见图2，密钥中继服务器请求密钥的具体过程包括：
101、量子安全终端生成接入请求消息，并向密钥中继服务器发送该接入请求消息，接入请求消息中携带有设备ID；
102、密钥中继服务器接收接入请求消息，根据预设的配置查找确定对应的密钥分发服务器，生成认证请求消息，再向密钥分发服务器发送认证请求消息，所述认证请求消息中携带有设备ID；
103、密钥分发服务器接收认证请求消息，根据认证请求消息中的设备ID对量子安全终端进行身份认证，在身份认证合法时，生成用于指示认证成功的认证响应消息，并在所述认证响应消息中携带第一密钥扩展参数；
在认证失败时，生成用于指示认证失败的认证响应消息；
104、密钥分发服务器向密钥中继服务器返回所述认证响应消息；
105、密钥中继服务器向量子安全终端转发认证响应消息；
106、量子安全终端接收认证响应消息，若认证响应消息指示为认证成功，则根据预设的密钥扩充算法生成第一密钥和第二密钥；生成第一密钥和第二密钥的方法包括：
S1，将第一密钥扩展参数和第二密钥扩展参数拼接形成初始密钥；
S2，从根密钥参数数据的类型标识中获取加密密钥扩充算法；
S3，根据预设的加密密钥扩充算法和待加密文件的长度，将所述初始密钥扩展形成该待加密文件所对应的扩充密钥；按照连续的比特位将扩充密钥的前半段作为第一密钥，扩充密钥的后半段作为第二密钥；
S4，从根密钥文件的文件头中的属性信息获取组随机数Rg，确定该组随机数Rg的奇偶性；
若所述组随机数Rg为奇数，则选择第一密钥加密所述设备ID，选择第二密钥加密所述目标密钥标识；否则选择第二密钥加密所述设备ID，选择第一密钥加密目标密钥标识；以此得到第一加密信息和第二加密信息；
同时根据各根密钥明文文件中携带的哈希值ho，对各根密钥明文文件进行哈希校验，生成校验成功的根密钥明文文件对应的索引，记为目标密钥标识I2；
在一种可能的示例中，扩展得到了256bits扩充密钥K，若组随机数Rg为奇数，取扩充密钥K的前128bits作为第一密钥，后128bits作为第二密钥；则利用第一密钥加密设备ID得到第一加密信息，利用第二密钥加密目标密钥标识I2得到第二加密信息；
同时生成接入命令消息，在该接入命令消息中携带根密钥索引I1、第一加密信息和第二加密信息；并向所述密钥中继服务器发送接入命令消息。
107、密钥中继服务器接收接入命令消息，根据接入命令消息生成根密钥请求消息，并在消息中携带根密钥索引I1、第一加密信息和第二加密信息；
109、密钥中继服务器向密钥分发服务器发送根密钥请求消息；
110、密钥分发服务器接收根密钥请求消息，根据消息中的根密钥索引I1和加密的设备ID匹配根密钥的生成记录，若匹配成功，则根据生成记录获取解密密钥，解密根密钥请求消息中的加密内容以得到设备ID和目标密钥标识I2，将解密得到的设备ID与生成记录中记录的设备ID进行比较，并在两者相符时，生成用于指示成功的根密钥响应消息，并在该消息中携带目标密钥标识I2对应的根密钥文件位置信息，在校验失败时向所述基站发送用于指示失败的根密钥响应消息；
将加密的设备ID与前述根密钥服务器生成记录中对设备ID进行加密得到的设备ID密文信息Ir进行比对，以进行身份认证，避免在消息传递过程中暴露设备ID明文，从而进一步提升认证过程中的安全性；
其中获取用于解密第一加密信息和第二加密信息的密钥的方法包括：
S11，从根密钥生成记录中获取第一密钥扩展参数和第二密钥扩展参数，将第一密钥扩展参数和第二密钥扩展参数拼接形成初始密钥；
S12，从根密钥生成记录获取解密密钥的扩充算法；
S13，根据预设的解密密钥的扩充算法和待解密文件的长度，将所述初始密钥扩展形成待解密文件所对应的扩充密钥；按照连续的比特位将扩充密钥的前半段作为第一密钥，扩充密钥的后半段作为第二密钥；
S14，从根密钥文件的文件头中的属性信息获取组随机数Rg，确定该组随机数Rg的奇偶性；
若所述组随机数Rg为奇数，则利用第一密钥解密所述设备ID，利用第二密钥解密所述目标密钥标识；否则选择第二密钥解密所述设备ID，选择第一密钥解密目标密钥标识；以此得到设备ID和目标密钥标识I2；
若匹配失败，则直接向基站返回用于指示失败的根密钥响应消息；
上述匹配根密钥生成记录时，加密的设备ID应与生成记录中的设备ID密文信息Ir相符；通过将加密的设备ID与前述根密钥服务器生成记录中对设备ID进行加密得到的设备ID密文信息Ir进行比对，以进行身份认证，避免在消息传递过程中暴露设备ID明文，从而进一步提升认证过程中的安全性；
量子安全终端能够正确加密的关键需要依靠来自密钥分发服务器的第二密钥扩展参数，因此只有之前通过身份认证的合法设备、正确的第一密钥扩展参数、第二密钥扩展参数和密钥扩充算法、密钥选择方法才能进行正确的加密文件；且由于量子安全终端内只保留有第一密钥扩展参数，即使泄露也难以使外界获取完整的加密和解密密钥，整体的安全性更高；
111、密钥分发服务器向密钥中继服务器发送根密钥响应消息；
112、密钥中继服务器接收根密钥响应消息，若根密钥响应消息指示为成功，则根据根密钥响应消息中的文件位置信息，从密钥分发服务器下载对应的根密钥文件，并在对下载的根密钥文件进行哈希校验成功后，向量子安全终端发送用于指示接入成功的接入完成消息；在下载的根密钥文件全部哈希校验失败时，向量子安全终端发送用于指示接入失败的接入完成消息；
校验时可根据各根密钥明文文件中携带的哈希值A，对各根密钥明文文件进行哈希校验，直至所有根密钥明文文件校验完毕，记录校验成功的根密钥明文文件。
用于进一步校验解密后得到的各根密钥明文文件的正确性的哈希值A，在密钥文件预注到量子安全设备中时，由根密钥中心及密钥分发端对各密钥明文文件进行生成，携带在根密钥明文文件中一起加密，保证了其安全性，不易被篡改，通过进一步校验哈希值A以保证解密后得到的各根密钥明文文件的正确性。
若根密钥响应消息指示为失败，则向量子安全终端发送用于指示接入失败的消息。
本实施例中，在发送密钥请求消息时，对消息中的设备ID和目标密钥标识都进行了加密，以形成加密信息，密钥分发端在接收密钥请求消息后先根据索引获取解密密钥，再解密密钥请求消息中的加密内容，并根据解密得到的设备ID对其进行进一步的身份认证后，再返回相应的根密钥响应消息；由于因信息在通信的全过程都是加密的，且加密的密钥全部为通信者掌握，所以通信的安全性大大提高；本申请的根密钥文件请求处理系统主要包括终端、密钥中继服务器和密钥分发服务器，密钥请求消息中的信息由终端加密生成，而密钥中继服务器并不存储用于加密所述密钥请求消息的密钥，降低了密钥泄露的可能性，更有利于提高其安全性。
显然，本领域的技术人员可以对本申请进行各种改动和变型而不脱离本申请的精神和范围。这样，倘若本申请的这些修改和变型属于本申请权利要求及其等同技术的范围之内，则本申请也意图包含这些改动和变型在内。

Claims (11)

1.一种根密钥文件请求的处理方法，其特征在于，所述方法包括：
接收来自密钥中继端的密钥请求消息，所述密钥请求消息中包含密钥文件索引、第一加密信息和第二加密信息，其中，所述第一加密信息的加密内容包括设备ID，所述第二加密信息的加密内容包括目标密钥标识；
根据密钥请求消息中的密钥文件索引和第一加密信息匹配根密钥生成记录；在根密钥生成记录匹配成功时，根据根密钥生成记录获取解密密钥，以解密第一加密信息和第二加密信息得到设备关键信息和目标密钥标识；若解密得到的设备关键信息与根密钥生成记录中的信息相符，则生成用于指示请求成功的根密钥响应消息，并在所述根密钥响应消息中携带目标密钥标识对应的根密钥文件的文件位置信息，否则向所述密钥中继端发送用于指示请求失败的根密钥响应消息；
在根密钥生成记录匹配失败时，向所述密钥中继端发送根密钥响应失败消息。
2.根据权利要求1所述的根密钥文件请求的处理方法，其特征在于，所述密钥中继端生成密钥请求消息的方法包括：
接收来自终端的接入命令消息，根据所述接入命令消息中的密钥文件索引、第一加密信息和第二加密信息生成所述密钥请求消息。
3.根据权利要求1所述的根密钥文件请求的处理方法，其特征在于，所述第一加密信息和第二加密信息的加密方法包括：
接收来自密钥分发端的第一密钥扩展参数，根据预设的参数数据获取第二密钥扩展参数；
将所述第一密钥扩展参数与第二密钥扩展参数拼接，得到初始密钥，再根据预设的密钥扩充算法将所述初始密钥扩充形成扩充密钥；
按照预设的规则将所述扩充密钥分割形成两个加密密钥；选取两所述加密密钥中的一者加密所述设备关键信息得到第一加密信息，利用两所述加密密钥中的另一者加密所述目标密钥标识得到第二加密信息。
4.根据权利要求3所述的根密钥文件请求的处理方法，其特征在于，所述扩充密钥的长度与所述设备ID和目标密钥标识的总长度一致。
5.根据权利要求4所述的根密钥文件请求的处理方法，其特征在于，选取所述设备关键信息和目标密钥标识的加密密钥方法包括：
获取待下载的根密钥的属性信息，根据所述属性信息获取组随机数，判断所述组随机数的奇偶性；
若所述组随机数为奇数，则选择第一密钥加密所述设备ID，选择第二密钥加密所述目标密钥标识；否则选择第二密钥加密所述设备ID，选择第一密钥加密目标密钥标识。
6.根据权利要求5所述的根密钥文件请求的处理方法，其特征在于，解密所述第一加密信息和第二加密信息的方法包括：
根据根密钥生成记录中获取组随机数，确定所述组随机数的奇偶性；
若组随机数为奇数，则利用第一密钥解密所述第一加密信息，利用第二密钥解密所述第二加密信息；否则利用第二密钥解密所述第一加密信息，利用第一密钥解密第二加密信息。
7.根据权利要求2所述的根密钥文件请求的处理方法，其特征在于，生成所述目标密钥标识的方法包括：
终端对根密钥文件进行哈希校验，若校验成功，则生成该校验成功的根密钥文件的对应的索引，以此作为所述目标密钥标识。
8.一种根密钥文件请求处理系统，其特征在于，所述系统包括：
终端，用于对预注的根密钥文件进行哈希校验，并在校验通过后生成所述根密钥文件对应的目标密钥标识，以及根据预设的参数数据获取设备ID和密钥文件索引，生成接入命令消息；其中，所述接入命令消息中包含密钥文件索引、第一加密信息和第二加密信息，所述第一加密信息的加密内容包括设备ID，所述第二加密信息的加密内容包括目标密钥标识；
密钥中继服务器，用于接收来自终端的接入命令消息，根据接入命令消息生成根密钥请求消息，以及向根密钥中心发送该根密钥请求消息，再根据来自根密钥中心的根密钥响应消息，从所述根密钥中心下载根密钥文件；
密钥分发服务器，用于接收根密钥请求消息，并根据密钥请求消息中的密钥文件索引和第一加密信息匹配根密钥生成记录；在根密钥生成记录匹配成功时，根据密钥生成记录获取解密密钥，以解密第一加密信息和第二加密信息得到设备关键信息和目标密钥标识；若解密得到的设备关键信息与根密钥生成记录中的信息相符，则生成用于指示请求成功的根密钥响应消息，并在所述根密钥响应消息中携带目标密钥标识对应的根密钥文件的文件位置信息，否则向所述密钥中继端发送用于指示请求失败的根密钥响应消息；
在根密钥生成记录匹配失败时，向所述密钥中继端发送根密钥响应失败消息。
9.根据权利要求8所述的根密钥文件请求处理系统，其特征在于，所述密钥分发服务器包括加解密模块，所述加解密模块用于对所述根密钥请求消息中的加密内容进行解密。
10.根据权利要求9所述的根密钥文件请求处理系统，其特征在于，所述加解密模块还用于将第一密钥扩展参数和第二密钥扩展参数进行拼接形成初始随机数，再根据预设的密钥扩充算法将初始密钥扩充形成加密密钥，以及通过预设的规则将扩充密钥中的首个密钥分割形成第一密钥和第二密钥。
11.根据权利要求9所述的根密钥文件请求处理系统，其特征在于，所述密钥分发服务器还包括查询模块，所述查询模块用于根据密钥文件索引和加密的设备ID，查找并确定根密钥生成记录。
CN202310071944.7A 2023-01-30 2023-01-30 一种根密钥文件请求的处理方法和系统 Pending CN116055044A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202310071944.7A CN116055044A (zh) 2023-01-30 2023-01-30 一种根密钥文件请求的处理方法和系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202310071944.7A CN116055044A (zh) 2023-01-30 2023-01-30 一种根密钥文件请求的处理方法和系统

Publications (1)

Publication Number Publication Date
CN116055044A true CN116055044A (zh) 2023-05-02

Family

ID=86114528

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202310071944.7A Pending CN116055044A (zh) 2023-01-30 2023-01-30 一种根密钥文件请求的处理方法和系统

Country Status (1)

Country Link
CN (1) CN116055044A (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117032908A (zh) * 2023-10-10 2023-11-10 中国船舶集团有限公司第七〇七研究所 基于冗余架构的集成计算设备部署运行方法及系统

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN117032908A (zh) * 2023-10-10 2023-11-10 中国船舶集团有限公司第七〇七研究所 基于冗余架构的集成计算设备部署运行方法及系统
CN117032908B (zh) * 2023-10-10 2023-12-08 中国船舶集团有限公司第七〇七研究所 基于冗余架构的集成计算设备部署运行方法及系统

Similar Documents

Publication Publication Date Title
CN106357649B (zh) 用户身份认证系统和方法
CN110519260B (zh) 一种信息处理方法及信息处理装置
CN111756737B (zh) 数据传输方法、装置、系统、计算机设备及可读存储介质
CN108809633B (zh) 一种身份认证的方法、装置及系统
CN109905384B (zh) 数据迁移方法及系统
CN111080299B (zh) 一种交易信息的防抵赖方法及客户端、服务器
CN112383395B (zh) 密钥协商方法及装置
CN112311537A (zh) 基于区块链的设备接入认证系统及方法
JP2001177513A (ja) 通信システムにおける認証方法、センタ装置、認証プログラムを記録した記録媒体
CN111192050B (zh) 一种数字资产私钥存储提取方法及装置
CN116055044A (zh) 一种根密钥文件请求的处理方法和系统
CN114629713A (zh) 身份验证方法、装置及系统
CN116709325B (zh) 一种基于高速加密算法的移动设备安全认证方法
US8914640B2 (en) System for exchanging data between at least one sender and one receiver
CN112202551B (zh) 基于零知识证明的密码验证方法、装置及电子设备
CN112422289B (zh) 一种NB-IoT终端设备的数字证书离线安全分发方法和系统
WO2021060720A1 (ko) 트랜잭션에 포함된 평문 데이터의 변경을 지원하는 블록체인 시스템
CN115913521A (zh) 基于量子密钥进行身份认证的方法
CN106534275B (zh) 一种通用的安全可靠的数据交换方法
CN116074839A (zh) 一种量子安全终端接入量子安全网络的认证方法
CN115801453B (zh) 一种敏感数据互联网安全查询的系统
CN116094705A (zh) 一种根密钥文件的校验方法和装置
CN116782210B (zh) 一种高速加密算法的动态加密密钥生成方法
JP6538923B2 (ja) 認証システム、方法及びプログラム並びにサーバ
CN113660089B (zh) 一种基于区块链的纳税用户身份认证方法及装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination