CN117202191A - 一种量子安全边界基站之间的接入认证方法 - Google Patents

Abstract

本申请公开了一种量子安全边界基站之间的接入认证方法，在客户端与服务端之间的认证过程中，客户端生成的认证信息以及服务端生成的接入响应信息中的关键数据均通过加密方式进行传输，在确定解密密钥时，是通过客户端入网ID或服务端入网ID进行匹配的，因此整个过程不传输真正用于加密的密钥本身，使得密钥不会在认证过程中泄露，提高了信息传输过程中的安全性；服务端对客户端进行接入认证时，一方面要判断认证信息中的加密数据是否解密正确，另一方面还要将确定解密正确的第一加密数据中的客户端入网ID传输至认证中心即第三方进行进一步的校验，因此使得针对客户端入网ID的仿冒或窜改难以通过认证，从而大大提高了认证的安全性。

Description

一种量子安全边界基站之间的接入认证方法

技术领域

本申请涉及信息安全技术领域，尤其涉及一种量子安全边界基站之间的接入认证方法。

背景技术

随着量子计算技术的不断进步，传统加密算法所依赖的数学问题已经变得不再安全。具体来说，当前广泛使用的公钥加密算法(如RSA)和密钥交换协议(如DH)都存在被量子计算机攻破的风险。这是因为量子计算机可以通过量子并行和量子纠缠等特殊性质，在极短的时间内破解传统加密算法所依赖的大整数分解和离散对数等数学难题。因此在当前的通信环境下，传统的加密技术已经无法满足安全保护的需求，而采用量子密钥分发技术的量子安全设备则能够提供更高级别的保护。在量子安全网络中，量子安全边界基站是一种专门设计用于保护量子安全网络小区边界的网络通信设备。

量子安全边界基站的主要功能包括路由管理和密钥中继两大方面。其中，路由管理的作用是为量子安全网络小区提供高效的路由选择和管理功能，使得网络通信更加可靠和稳定。而密钥中继的作用则是在量子密钥分发的过程，将量子密钥从一个小区中继到另一个小区，并在传输过程中对量子密钥进行加密以确保密钥的安全性和完整性。例如，在量子安全网络中，发送端向接收端发送通信数据时，先通过量子密钥即量子真随机数加密通信数据形成加密数据，之后利用传统互联网向接收端发送加密数据，再通过接入基站向接收端传递用于加密的量子密钥，接收端根据获取到的量子密钥即可对从互联网获取的加密数据进行解密；当发送端与接收端分别处于不同小区即需要跨小区进行通信时，则通过小区间的边界基站传输量子密钥，且量子密钥传输的过程中是加密传输的，用于加密量子密钥的密钥为量子安全边界基站之间所共享的配对密钥。

在上述量子安全网络中，跨小区通信时量子安全边界基站之间需要先建立通信链接后，再对其进行身份认证，以此避免不合法设备的接入。而目前相关技术中，均未公开量子安全边界基站之间的接入认证方法，因此边界基站与边界基站之间如何进行安全的接入认证成为亟待解决的技术问题。

发明内容

本申请提供了一种量子安全边界基站之间的接入认证方法，接入认证过程包括：客户端隐私模块将至少包含有客户端入网ID和第一加密数据的认证信息发送给客户端通信模块，客户端通信模块将所接收的认证信息携带在认证请求中传输到服务端通信模块；

服务端通信模块将接收到的认证信息转发至服务端隐私模块，所述服务端隐私模块根据得到的认证信息中的客户端入网ID匹配对应的第一密钥对所述认证信息中的第一加密数据进行解密，以得到第一明文数据，所述服务端隐私模块在判断所述第一明文数据解密正确时，将得到的客户端入网ID携带在校验请求中发送至认证中心，所述认证中心根据接收到的客户端入网ID判断校验是否通过，并向所述服务端隐私模块返回校验结果信息，所述服务端隐私模块根据得到的校验结果信息生成至少包含有服务端入网ID和第二加密数据的接入响应信息，并通过所述服务端通信模块和所述客户端通信模块将所述接入响应信息传输到客户端隐私模块，其中，所述第二加密数据中包含有所述校验结果信息；

所述客户端隐私模块根据接收到的接入响应信息中的服务端入网ID匹配对应的第二密钥，解密所述接入响应信息中的第二加密数据，得到第二明文数据，再根据得到的第二明文数据中的所述校验结果信息判断客户端是否认证成功，如果所述校验结果信息指示为校验成功，则所述客户端接入认证成功；否则所述客户端接入认证失败。

上述方案中，所述第一加密数据中包含有对所述客户端入网ID和客户端中的配对密钥文件进行哈希计算所得到的第一哈希值，所述配对密钥文件为客户端和服务端中所共享的密钥文件；

所述服务端隐私模块在判断所述第一明文数据解密是否正确时，先根据所述客户端入网ID查找得到相应的配对密钥文件，再对查找得到的配对密钥文件以及接收到的客户端入网ID进行哈希计算得到第二哈希值，通过比较所述第二哈希值与所述第一哈希值是否一致确定所述第一明文数据是否解密正确。

上述方案中，所述认证信息中还包含有连接标识，所述连接标识用于指示所述客户端通信模块与服务端通信模块之间建立的通信链接；

所述客户端通信模块向所述服务端通信模块传输所述认证信息时，通过所述连接标识获取所述通信链接，再通过所述通信链接向所述服务端通信模块传输所述认证请求并携带所述认证信息。

上述方案中，所述连接标识是所述客户端通信模块向所述服务端通信模块发起连接建立请求时生成的请求随机唯一序列号。

上述方案中，所述第一密钥和所述第二密钥均为所述客户端隐私模块和所述服务端隐私模块中所共享的密钥，所述客户端入网ID与所述第一密钥之间建立有映射关系，所述服务端入网ID与所述第二密钥之间建立有映射关系。

上述方案中，所述客户端隐私模块和所述服务端隐私模块中均共享有上行密钥组和下行密钥组；

其中，所述第一密钥从所述上行密钥组中依次选取使用，所述第二密钥从所述下行密钥组中依次选取使用。

上述方案中，所述第一加密数据中还包含有服务端入网ID；

所述服务端隐私模块在向所述认证中心发送所述校验请求前，还验证接收到的所述第一加密数据中的服务端入网ID是否合法，如果验证合法且所述第一明文数据解密正确再生成所述校验请求。

上述方案中，所述第二加密数据中还携带有所述第一哈希值，所述客户端隐私模块在计算得到所述第一哈希值时，根据所述第一哈希值建立认证信息记录表，以存储所述计算得到的第一哈希值；

所述客户端隐私模块通过验证接收到的接入响应信息中的第一哈希值是否与所述认证信息记录表中存储的第一哈希值相匹配，以判断所述接收到的第一哈希值是否合法，并在判断合法且所述校验结果信息指示为校验成功时，所述客户端接入认证成功；否则所述客户端接入认证失败。

本申请的有益效果如下：

1.在客户端与服务端之间的认证过程中，客户端生成的认证信息以及服务端生成的接入响应信息中的关键数据均通过加密方式进行传输，且用于解密的密钥均为客户端与服务端之间所预先共享的密钥，在确定解密密钥时，是通过客户端入网ID或服务端入网ID进行匹配的，因此整个过程不传输真正用于加密的密钥本身，使得密钥不会在认证过程中泄露，提高了信息传输过程中的安全性；

2.服务端对客户端进行接入认证时，一方面要判断认证信息中的加密数据是否解密正确，另一方面还要将确定解密正确的第一加密数据中的客户端入网ID传输至认证中心即第三方进行进一步的校验，因此使得针对客户端入网ID的仿冒或窜改难以通过认证，从而大大提高了认证的安全性。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简要介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本实施例中客户端与服务端之间的接入认证流程图；

图2为本实施例中服务端隐私模如何确定第一明文数据是否解密正确的流程图；

图3为本实施例中客户端隐私模块如何进一步确定接入认证是否成功的流程图；

图4为本实施例中量子安全边界基站A与量子安全边界基站B之间的接入认证示意图。

具体实施方式

为了使本申请的目的、技术方案和优点更加清楚，下面将结合附图对本申请作进一步地详细描述，显然，所描述的实施例仅仅是本发申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本申请保护的范围。

实施例：参见图1-4，一种量子安全边界基站之间的接入认证方法，应用于一侧量子安全边界基站作为客户端，另一侧量子安全边界基站作为服务端的接入认证；

具体的接入认证过程包括：客户端隐私模块将至少包含有客户端入网ID和第一加密数据的认证信息发送给客户端通信模块，客户端通信模块将所接收的认证信息携带在认证请求中传输到服务端通信模块；其中，用于加密第一加密数据的第一密钥为客户端隐私模块和服务端隐私模块中所共享的密钥；

在一种可能的示例中，客户端隐私模块生成所述认证信息时携带相应的连接标识，所述连接标识用于指示所述客户端通信模块与服务端通信模块之间建立的通信链接；

所述客户端通信模块向所述服务端通信模块传输所述认证信息时，通过所述连接标识获取所述通信链接，再通过所述通信链接向所述服务端通信模块传输所述认证请求并携带所述认证信息；

具体的，客户端通信模块与服务端通信模块在接入认证前已预先建立好通信链接，同时针对该通信链接进行唯一标识得到相应的连接标识，并生成相应的链接记录表；例如，客户端通信模块可以针对客户端与服务端之间建立过的各个通信链接生成一个32bits的请求随机唯一序列号，之后将所述请求随机唯一序列号与通信链接建立映射关系以得到链接记录表，所述请求随机唯一序列号即为连接标识；再将生成的连接标识同步发送到客户端隐私模块；这样在后续认证的过程中客户端通信模块可根据连接标识查询相应的链接记录表，以获取到对应的通信链接，再根据该通信链接将认证信息发送至服务端隐私模块。

服务端通信模块将接收到的认证信息转发至服务端隐私模块，所述服务端隐私模块根据得到的认证信息中的客户端入网ID匹配对应的第一密钥对所述认证信息中的第一加密数据进行解密，以得到第一明文数据，所述服务端隐私模块在判断所述第一明文数据解密正确时，将得到的客户端入网ID携带在校验请求中发送至认证中心，所述认证中心根据接收到的客户端入网ID判断校验是否通过，并向所述服务端隐私模块返回校验结果信息，所述服务端隐私模块根据得到的校验结果信息生成至少包含有服务端入网ID和第二加密数据的接入响应信息，并通过所述服务端通信模块和所述客户端通信模块将所述接入响应信息传输到客户端隐私模块，其中，所述第二加密数据中包含有所述校验结果信息；

具体的，服务端隐私模块在判断所述第一明文数据解密正确时，是通过哈希校验方式进行判断；例如：客户端隐私模块在生成的第一加密数据中携带有对所述客户端入网ID和客户端中的配对密钥文件进行哈希计算所得到的第一哈希值，所述配对密钥文件为客户端和服务端中所共享的密钥文件；由于量子安全边界基站与量子安全边界基站之间为跨小区通信进行服务，为了保证信息传输的安全性，在两者之间共享有相应的配对密钥文件，利用该配对密钥文件可以实现数据的加解密操作；针对这一特性，在判断所述第一明文数据是否解密正确时，可以将两者都具有的配对密钥文件作为关键数据进行比较；

所述服务端隐私模块在判断所述第一明文数据解密是否正确时，先根据所述客户端入网ID查找得到相应的配对密钥文件，再对查找得到的配对密钥文件以及接收到的客户端入网ID进行哈希计算得到第二哈希值，通过比较所述第二哈希值与所述第一哈希值是否一致确定所述第一明文数据是否解密正确。

所述客户端隐私模块根据接收到的接入响应信息中的服务端入网ID匹配对应的第二密钥，解密所述接入响应信息中的第二加密数据，得到第二明文数据，再根据得到的第二明文数据中的所述校验结果信息判断客户端是否认证成功，如果所述校验结果信息指示为校验成功，则所述客户端接入认证成功；否则所述客户端接入认证失败，其中，所述第二密钥也为所述客户端隐私模块和所述服务端隐私模块中所共享的密钥，所述服务端入网ID与所述第二密钥之间建立有映射关系。

综上可知，在客户端与服务端之间的认证过程中，客户端生成的认证信息以及服务端生成的接入响应信息中的关键数据均通过加密方式进行传输，且用于解密的密钥均为客户端与服务端之间所预先共享的密钥，在确定解密密钥时，是通过客户端入网ID或服务端入网ID进行匹配的，因此整个过程不传输真正用于加密的密钥本身，使得密钥不会在认证过程中泄露，提高了信息传输过程中的安全性；服务端对客户端进行接入认证时，一方面要判断认证信息中的加密数据是否解密正确，另一方面还要将确定解密正确的第一加密数据中的客户端入网ID传输至认证中心即第三方进行进一步的校验，因此使得针对客户端入网ID的仿冒或窜改难以通过认证，从而大大提高了认证的安全性。

此外在所述客户端隐私模块和所述服务端隐私模块中均共享有上行密钥组和下行密钥组；

其中，所述第一密钥从所述上行密钥组中依次选取使用，所述第二密钥从所述下行密钥组中依次选取使用；在接入认证过程出现异常时，例如响应失败或者认证失败需要进行再次认证时，将之前使用过的第一密钥和第二密钥进行丢弃重新选取新的密钥，避免密钥的重复使用，降低安全性。

在一种可能的示例中，所述第一加密数据中还包含有服务端入网ID；

所述服务端隐私模块在向所述认证中心发送所述校验请求前，还验证接收到的所述第一加密数据中的服务端入网ID是否合法，如果验证合法且所述第一明文数据解密正确后再生成所述校验请求；即服务端隐私模将接收的服务端入网ID与服务端隐私模块本身的入网ID进行匹配，以进一步判断认证是否合法，从而进行多重认证以提高安全性。

所述第二加密数据中还携带有所述第一哈希值，所述客户端隐私模块在计算得到所述第一哈希值时，根据所述第一哈希值建立认证信息记录表，以存储所述计算得到的第一哈希值；并将所述认证信息记录表与连接标识建立映射关系，通过所述连接标识可从所述认证信息记录表中获取到所述客户端隐私模块在生成所述认证信息时计算得到所述第一哈希值；

所述客户端隐私模块还通过验证接收到的接入响应信息中的第一哈希值是否与所述认证信息记录表中存储的第一哈希值相匹配，判断所述接收到的第一哈希值是否合法，并在判断合法且所述校验结果信息指示为校验成功时，所述客户端接入认证成功；否则所述客户端接入认证失败；即客户端隐私模块不仅需要根据所述校验结果信息判断是否接入认证成功，还需要通过校验接入响应信息中的第一哈希值是否合法，来确定该接入响应信息是否与其生成的接入认证信息相对应；如果该接入响应信息中的第一哈希值与客户端隐私模块生成认证信息时计算得到的哈希值不匹配，则有可能该接入响应信息是仿冒或窜改的，从而通过该方式能够进一步提升认证过程中的安全性。

此外，在上述认证方案中，接入认证为单向认证，当客户端向服务端认证成功后，仅允许从该客户端向所述服务端中继密钥，当服务端需要向客户端中继密钥时，则需要进行双向认证。

下面以量子安全边界基站A和量子安全边界基站B为例，若量子安全边界基站A作为客户端向作为服务端的量子安全边界基站B发起接入认证时，则该认证流程包括以下步骤：

S101：量子安全边界基站A的隐私模块从量子安全边界基站A的通信模块获取连接标识(记为Seq)，查找量子安全边界基站A与量子安全边界基站B之间所共享的配对密钥文件，对该查找到的配对密钥文件和量子安全边界基站A的入网ID(记为RIDa)进行哈希计算得到第一哈希值(记为Hash1)；其中，当配对密钥文件存在多个时，选取其中的首个密钥文件；通过量子安全边界基站A与量子安全边界基站B之间所共享的第一密钥加密边界基站B的入网ID(记为RIDb)和Hash1得到第一加密数据(记为Enc1)；同时，量子安全边界基站A的隐私模块还根据所述第一哈希值建立认证信息记录表，以存储所述计算得到的第一哈希值；并将所述认证信息记录表与连接标识建立映射关系，通过所述连接标识可从所述认证信息记录表中获取到所述量子安全边界基站A的隐私模块在生成所述认证信息时计算得到的所述第一哈希值；

量子安全边界基站A的隐私模块生成包含有Seq、RIDa和第一加密数据的认证信息，并将其发送至量子安全边界基站A的通信模块；

S102：量子安全边界基站A的通信模块根据认证信息中的Seq，查找之前与量子安全边界基站B的通信模块之间建立过的通信链接，通过该通信链接获取量子安全边界基站B的通信模块的地址信息，例如IPv6地址；根据通信链接向量子安全边界基站B的通信模块发送认证请求，并在该认证请求中携带接收到的所述认证信息；

S103：量子安全边界基站B的通信模块接收到认证请求后，将认证请求转发给量子安全边界基站B的隐私模块；

S104：量子安全边界基站B的隐私模块根据得到的认证信息中的RIDa匹配到相应的第一密钥，对认证信息中的第一加密数据进行解密，获取到RIDb和Hash1，再根据RIDa查找其对应的配对密钥文件，对查找到的配对密钥文件和接收到的RIDa进行哈希计算，得到Hash'1，校验Hash'1和Hash1是否一致，如果一致则数据和解密正确，并向认证中心发送携带有RIDa的校验请求，认证中心通过判断所述接收到的校验请求中的RIDa是否与认证中心的合法设备入网记录中的信息相匹配对所述RIDa进行合法性校验，如果相匹配则生成用于指示校验成功的校验结果信息(记为rst)；否则生成用于指示校验失败的校验结果信息；并向所述量子安全边界基站B的隐私模块回复所述校验结果信息；

量子安全边界基站B的隐私模块根据接收到的校验结果信息生成接入响应信息，将接入响应信息发送至量子安全边界基站B的通信模块；其中，所述接入响应信息中携带有RIDb和第二加密数据(记为Enc2)，所述第二加密数据通过量子安全边界基站B的隐私模块与量子安全边界基站A的隐私模块共享过的第二密钥加密所述Hash1以及rst得到；

S105：量子安全边界基站B的通信模块接收接入响应信息，通过之前与量子安全边界基站A的通信模块之间建立过的通信链接，将接入响应信息发送给量子安全边界基站A的通信模块；

S106：量子安全边界基站A的通信模块接收所述接入响应信息，并根据链接记录表获取量子安全边界基站A的通信模块与量子安全边界基站B的通信模块之间建立的通信链接所对应的连接标识；再将该连接标识携带在接收到的接入响应信息中转发给量子安全边界基站A的隐私模块；

S107：量子安全边界基站A的隐私模块根据得到的接入响应信息中的RIDb匹配到对应的第二密钥，解密接入响应信息中的第二加密数据获取到Hash1和rst，再根据得到的连接标识匹配到Hash1，验证匹配得到的Hash1与第二加密数据获取到的Hash1是否一致，当Hash1的验证结果一致且rst指示为校验成功时，本次接入认证成功；否则，本次接入认证失败。

显然，本领域的技术人员可以对本申请进行各种改动和变型而不脱离本申请的精神和范围。这样，倘若本申请的这些修改和变型属于本申请权利要求及其等同技术的范围之内，则本申请也意图包含这些改动和变型在内。

Claims (8)

1.一种量子安全边界基站之间的接入认证方法，其特征在于，接入认证过程包括：客户端隐私模块将至少包含有客户端入网ID和第一加密数据的认证信息发送给客户端通信模块，客户端通信模块将所接收的认证信息携带在认证请求中传输到服务端通信模块；

服务端通信模块将接收到的认证信息转发至服务端隐私模块，所述服务端隐私模块根据得到的认证信息中的客户端入网ID匹配对应的第一密钥对所述认证信息中的第一加密数据进行解密，以得到第一明文数据，所述服务端隐私模块在判断所述第一明文数据解密正确时，将得到的客户端入网ID携带在校验请求中发送至认证中心，所述认证中心根据接收到的客户端入网ID判断校验是否通过，并向所述服务端隐私模块返回校验结果信息，所述服务端隐私模块根据得到的校验结果信息生成至少包含有服务端入网ID和第二加密数据的接入响应信息，并通过所述服务端通信模块和所述客户端通信模块将所述接入响应信息传输到客户端隐私模块，其中，所述第二加密数据中包含有所述校验结果信息；

所述客户端隐私模块根据接收到的接入响应信息中的服务端入网ID匹配对应的第二密钥，解密所述接入响应信息中的第二加密数据，得到第二明文数据，再根据得到的第二明文数据中的所述校验结果信息判断客户端是否认证成功，如果所述校验结果信息指示为校验成功，则所述客户端接入认证成功；否则所述客户端接入认证失败。

2.如权利要求1所述的方法，其特征在于，所述第一加密数据中包含有对所述客户端入网ID和客户端中的配对密钥文件进行哈希计算所得到的第一哈希值，所述配对密钥文件为客户端和服务端中所共享的密钥文件；

所述服务端隐私模块在判断所述第一明文数据解密是否正确时，先根据所述客户端入网ID查找得到相应的配对密钥文件，再对查找得到的配对密钥文件以及接收到的客户端入网ID进行哈希计算得到第二哈希值，通过比较所述第二哈希值与所述第一哈希值是否一致确定所述第一明文数据是否解密正确。

3.如权利要求2所述的方法，其特征在于，所述认证信息中还包含有连接标识，所述连接标识用于指示所述客户端通信模块与服务端通信模块之间建立的通信链接；

所述客户端通信模块向所述服务端通信模块传输所述认证信息时，通过所述连接标识获取所述通信链接，再通过所述通信链接向所述服务端通信模块传输所述认证请求并携带所述认证信息。

4.如权利要求3所述的方法，其特征在于，所述连接标识是所述客户端通信模块向所述服务端通信模块发起连接建立请求时生成的请求随机唯一序列号。

5.如权利要求1-4中任一项所述的方法，其特征在于，所述第一密钥和所述第二密钥均为所述客户端隐私模块和所述服务端隐私模块中所共享的密钥，所述客户端入网ID与所述第一密钥之间建立有映射关系，所述服务端入网ID与所述第二密钥之间建立有映射关系。

6.如权利要求2所述的方法，其特征在于，所述客户端隐私模块和所述服务端隐私模块中均共享有上行密钥组和下行密钥组；

其中，所述第一密钥从所述上行密钥组中依次选取使用，所述第二密钥从所述下行密钥组中依次选取使用。

7.如权利要求1所述的方法，其特征在于，所述第一加密数据中还包含有服务端入网ID；

所述服务端隐私模块在向所述认证中心发送所述校验请求前，还验证接收到的所述第一加密数据中的服务端入网ID是否合法，如果验证合法且所述第一明文数据解密正确再生成所述校验请求。

8.如权利要求2所述的方法，其特征在于，所述第二加密数据中还携带有所述第一哈希值，所述客户端隐私模块在计算得到所述第一哈希值时，根据所述第一哈希值建立认证信息记录表，以存储所述计算得到的第一哈希值；

所述客户端隐私模块通过验证接收到的接入响应信息中的第一哈希值是否与所述认证信息记录表中存储的第一哈希值相匹配，以判断所述接收到的第一哈希值是否合法，并在判断合法且所述校验结果信息指示为校验成功时，所述客户端接入认证成功；否则所述客户端接入认证失败。