CN117650883B - 一种基于动态密钥采样的连续安全密钥派生方法和系统 - Google Patents

Abstract

本发明提供了一种基于动态密钥采样的连续安全密钥派生方法和系统。该方法利用量子密钥分发设备协商密钥进行连续流式安全密钥派生，完善现有密钥派生算法中只针对特定长度种子密钥进行派生的机制，并充分利用量子密钥分发密钥流式输出并具有信息论安全的特性，在充分利用密钥的基础上，提升密钥派生的可靠性和安全性。同时，该方法可以根据当前密钥池的密钥缓存量及用户速率需求，动态决定密钥派生倍率，从而在满足通信安全需求的条件下，尽可能多的产生派生密钥，并稳定密钥产生速率。

Description

一种基于动态密钥采样的连续安全密钥派生方法和系统

技术领域

本发明涉及信息通信技术领域，特别涉及一种基于动态密钥采样的连续安全密钥派生方法和系统、电子设备以及存储介质。

背景技术

安全通信是现代网络安全的基石之一，用于在两个或多个通信双方之间构建具备机密性、完整性、可认证性保护的安全通信隧道。IPSec和SSL/TLS协议等均是基于密码学算法构建的网络安全协议。然而，随着量子信息学的发展，诸如Shor算法等量子计算计算的出现，给传统IPSec等安全协议带来了严重的安全挑战。这是因为传统安全协议中依赖的公钥证书机制、密钥协商机制和签名机制在量子计算模型下不再安全。例如，Shor算法可以在多项式时间内破解IPSec协议中的D-H密钥交换过程协商的密钥，进而威胁整个安全协议的可靠性。

QKD（Quantum Key Distribution）是一种基于量子信息技术的，用于在两个或多个实体节点之间，产生信息论安全的新型密钥协商方案。和传统基于非对称方案的密钥派生算法相比，QKD密钥具有信息论安全性，且可以有效对抗量子计算技术发展带来的威胁。QKD协议的主要流程是通过制备和测量编码在光子等载体的量子状态，实现信息的安全传递。这是由于量子态的不可克隆定律和不确定性原理，攻击者无法无损截取并重新制备量子态。

然而，QKD协议进行密钥协商，在大规模网络应用中，存在两个主要问题：（1）密钥产生速率低，无法满足广泛的网络加密需求。当前QKD设备的密钥产生速率多大在Kbps量级，和互联网Gbps以上的传输速率之间仍然有较大差距。（2）密钥产生速率不稳定，这主要来源于两方面：首先，由于QKD协议是概率性协议，即量子密钥产生成功与否是一个概率行为，导致单位时间内产生的量子密钥的速率不恒定。其次，由于量子信道衰减，导致量子态无法可靠在信道上传输。例如，在基于卫星的量子密钥协商中，卫星的密钥分发可用时间是受限且短暂的。

因此，对QKD协商的密钥进行可控、安全派生是有必要的。传统密码学中的密钥派生方案（如HDKF，PBKDF等），往往针对定长的密钥输入，而无法处理QKD系统中流式的密钥输入模式。此外，尽管当前有一些技术考虑了针对QKD密钥进行派生，但是这些技术只关注密钥量派生，而尚未考虑到密钥速率的因素和密钥派生安全性的因素。

发明内容

鉴于上述问题，本发明提供了一种基于动态密钥采样的连续安全密钥派生方法和系统、电子设备以及存储介质，以期至少能够解决上述问题之一。

根据本发明的第一个方面，提供了一种基于动态密钥采样的连续安全密钥派生方法，包括：

当第一终端实体向第二终端实体传输加密数据时，第一终端实体和第二终端实体分别执行量子密钥获取操作和量子密钥流存储操作，并通过共同协商操作得到密钥采样周期；

第一终端实体和第二终端实体基于密钥采样周期分别对存储在各自本地量子密钥池中的量子密钥进行滑动采样，得到第一终端实体和第二终端实体各自的本周期派生密钥种子；

第一终端实体和第二终端实体利用基于密钥散列的消息认证码算法和各自的上一个周期派生密钥种子将各自的本周期派生密钥种子分别派生为定长的主派生密钥；

根据目标量子密钥派生速率、密钥采样周期以及由安全哈希函数确定的长度阈值，由第一终端实体和第二终端实体确定各自的主派生密钥的派生倍率，其中，安全的哈希函数包括基于SM3标准的哈希函数，用于将任意长度的字符串映射为具有长度阈值的字符串；

按照各自的主派生密钥的派生倍率，第一终端实体和第二终端实体利用基于密钥散列的消息认证码算法对各自的主派生密钥分别进行多次派生，并将各自产生的派生密钥进行拼接和截取，将各自截取所得到的目标长度的字符串作为加密数据传输过程中的会话密钥。

根据本发明的实施例，上述当第一终端实体向第二终端实体传输加密数据时，第一终端实体和第二终端实体分别执行量子密钥获取操作和量子密钥流存储操作，并通过共同协商操作得到密钥采样周期包括：

当第一终端实体向第二终端实体传输加密数据时，第一终端实体和向与其直接相连的第一量子密钥分发设备发送量子密钥获取请求，同时，第二终端实体和向与其直接相连的第二量子密钥分发设备发送量子密钥获取请求；

第一量子密钥分发设备按照量子密钥分发协议持续地向第一终端实体发送连续的对称量子密钥流，同时，第二量子密钥分发设备按照量子密钥分发协议持续地向第二终端实体发送连续的对称量子密钥流；

第一终端实体和第二终端实体按照先进先出的队列结果将所获得的量子密钥流分别存储在各自的本地密钥池中，并通过共同协商的方式得到在加密数据传输过程中所需要的密钥采样周期，其中，密钥采样周期包括固定值或基于动态协商所确定的非固定值。

根据本发明的实施例，上述当第一终端实体和第二终端实体基于密钥采样周期分别对存储在各自本地量子密钥池中的量子密钥进行滑动采样，得到第一终端实体和第二终端实体各自的本周期派生密钥种子包括：

第一终端实体根据密钥采样周期从本地密钥池中滑动采样具有长度阈值的量子密钥作为第一终端实体的本周期派生密钥种子；

第二终端实体根据密钥采样周期从本地密钥池中滑动采样具有长度阈值的量子密钥作为第二终端实体的本周期派生密钥种子；

在第一终端实体的本地密钥池中的量子密钥的字符串长度超过长度阈值的情况下，从第一终端实体的本地密钥池的队头取出具有长度阈值的量子密钥作为第一终端实体的本周期派生密钥种子，在第一终端实体的本地密钥池中的量子密钥的字符串长度未超过长度阈值的情况下，将第一终端实体的本地密钥池中的量子密钥全部取出作为第一终端实体的本周期派生密钥种子；

在第二终端实体的本地密钥池中的量子密钥的字符串长度超过长度阈值的情况下，从第二终端实体的本地密钥池的队头取出具有长度阈值的量子密钥作为第二终端实体的本周期派生密钥种子，在第二终端实体的本地密钥池中的量子密钥的字符串长度未超过长度阈值的情况下，将第二终端实体的本地密钥池中的量子密钥全部取出作为第二终端实体的本周期派生密钥种子。

根据本发明的实施例，上述当第一终端实体和第二终端实体利用基于密钥散列的消息认证码算法和各自的上一个周期派生密钥种子将各自的本周期派生密钥种子分别派生为定长的主派生密钥包括：

在加密数据传输是首轮传输周期或第一终端实体和第二终端实体各自的本周期密钥派生种子的字符串长度是长度阈值的情况下，第一终端实体和第二终端实体将各自的本周期密钥派生种子分别作为各自的主派生密钥；

在第一终端实体的本周期密钥派生种子的字符串长度小于长度阈值的情况下，第一终端实体利用安全的哈希函数作为杂凑函数，将上一个周期派生密钥种子和本周期派生密钥种子进行异或操作，将异或操作的结果作为基于密钥散列的消息认证码算法的密钥，并结合本周期的当前周期数，产生具有长度阈值的第一终端实体的主派生密钥；

在第二终端实体的本周期密钥派生种子的字符串长度小于长度阈值的情况下，第二终端实体利用安全的哈希函数作为杂凑函数，将上一个周期派生密钥种子和本周期派生密钥种子进行异或操作，将异或操作的结果作为基于密钥散列的消息认证码算法的密钥，并结合本周期的当前周期数，产生具有长度阈值的第二终端实体的主派生密钥。

根据本发明的实施例，上述当第一终端实体和第二终端实体利用基于密钥散列的消息认证码算法和各自的上一个周期派生密钥种子将各自的本周期派生密钥种子分别派生为定长的主派生密钥还包括：

在加密数据传输是首个传输周期的情况下，第一终端实体和第二终端实体分别将主派生密钥初始化为预设值，并通过等待各自的本地密钥池中的量子密钥满足长度阈值后，对各自的本地密钥池中的量子密钥直接采样，得到各自的主派生密钥。

根据本发明的实施例，上述根据目标量子密钥派生速率、密钥采样周期以及由安全哈希函数确定的长度阈值，第一终端实体和第二终端实体确定各自的主派生密钥的派生倍率包括：

第一终端实体和第二终端实体通过共同协商确定目标量子密钥派生速率，分别将目标量子密钥派生速率、采样周期以及长度阈值进行运算，并分别将运算结果进行向上取整操作，得到第一终端实体和第二终端实体各自的主派生密钥的派生倍率。

根据本发明的实施例，上述按照各自的主派生密钥的派生倍率，第一终端实体和第二终端实体利用基于密钥散列的消息认证码算法对各自的主派生密钥分别进行多次派生，并将各自产生的派生密钥进行拼接和截取，将各自截取所得到的目标长度的字符串作为加密数据传输过程中的会话密钥包括：

将安全的哈希函数作为杂凑函数，在派生是首轮派生的情况下，第一终端实体和第二终端实体分别将预定义的特定字符与当前派生轮数进行拼接后作为所述基于密钥散列的消息认证码算法的消息输入，并分别将各自的主派生密钥作为所述基于密钥散列的消息认证码算法的密钥；

在派生不是首轮派生的情况下，第一终端实体和第二终端实体分别将预定义的特定字符与当前派生轮数进行拼接后作为基于密钥散列的消息认证码算法的消息输入，并分别将上一轮的派生结果作为基于密钥散列的消息认证码算法的密钥；

按照各自的主派生密钥的派生倍率进行多轮派生后，第一终端实体和第二终端实体分别将多轮派生的结果按照顺序进行拼接得到量子派生密钥派生，并分别将量子派生密钥从头截取目标长度的字符串作为会话密钥；

第一终端实体和第二终端实体基于各自的会话密钥，对各自的传输数据进行加密或完整性保护。

根据本发明的第二个方面，提供了一种基于动态密钥采样的连续安全密钥派生系统，包括：第一终端实体和第二终端实体；其中：

当第一终端实体向第二终端实体传输加密数据时，第一终端实体和第二终端实体分别执行量子密钥获取操作和量子密钥流存储操作，并通过共同协商操作得到密钥采样周期；

第一终端实体和第二终端实体基于密钥采样周期分别对存储在各自本地量子密钥池中的量子密钥进行滑动采样，得到第一终端实体和第二终端实体各自的本周期派生密钥种子；

第一终端实体和第二终端实体利用基于密钥散列的消息认证码算法和各自的上一个周期派生密钥种子将各自的本周期派生密钥种子分别派生为定长的主派生密钥；

根据目标量子密钥派生速率、密钥采样周期以及由安全哈希函数确定的长度阈值，第一终端实体和第二终端实体确定各自的主派生密钥的派生倍率，其中，安全的哈希函数包括基于SM3标准的哈希函数，用于将任意长度的字符串映射为具有长度阈值的字符串；

按照各自的主派生密钥的派生倍率，第一终端实体和第二终端实体利用基于密钥散列的消息认证码算法对各自的主派生密钥分别进行多次派生，并将各自产生的派生密钥进行拼接和截取，将各自截取所得到的目标长度的字符串作为加密数据传输过程中的会话密钥。

根据本发明的第三个方面，提供了一种电子设备，包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

其中，当一个或多个程序被一个或多个处理器执行时，使得一个或多个处理器执行基于动态密钥采样的连续安全密钥派生方法。

根据本发明的第四个方面，提供了一种计算机可读存储介质，其上存储有可执行指令，该指令被处理器执行时使处理器执行基于动态密钥采样的连续安全密钥派生方法。

本发明提供的上述基于动态密钥采样的连续安全密钥派生方法，利用QKD设备协商密钥进行连续流式安全密钥派生，完善现有密钥派生算法中只针对特定长度种子密钥进行派生的机制，并充分利用QKD密钥流式输出并具有信息论安全的特性，在充分利用密钥的基础上，提升密钥派生的可靠性和安全性。同时，本发明提供的上述方法可以根据当前密钥池的密钥缓存量及用户速率需求，动态决定密钥派生倍率，从而在满足通信安全需求的条件下，尽可能多的产生派生密钥，并稳定密钥产生速率。

附图说明

图1是根据本发明实施例的基于动态密钥采样的连续安全密钥派生方法的流程图；

图2是根据本发明实施例的量子密钥分发设备和本地量子密钥池的结构示意图；

图3是根据本发明实施例的量子密钥分发设备进行量子密钥采样和熵提取的流程示意图；

图4是根据本发明实施例的动态密钥派生倍率的密钥派生流程示意图；

图5示意性示出了根据本发明实施例的适于实现基于动态密钥采样的连续安全密钥派生方法的电子设备的方框图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明白，以下结合具体实施例，并参照附图，对本发明作进一步的详细说明。

为了解决现有技术中的技术问题，本发明提供了一种基于动态密钥采样的连续安全密钥派生方法，实现充分利用QKD协议流式产生密钥的随机性特性，提升密钥派生的安全性；本发明可根据QKD密钥池中的密钥量、用户期望密钥量和安全性动态进行密钥采样和派生倍率决定，以提升QKD的输出密钥量并稳定QKD的密钥产生速率，为请求提供更高的密钥分发服务质量。

图1是根据本发明实施例的基于动态密钥采样的连续安全密钥派生方法的流程图。

如图1所示，上述基于动态密钥采样的连续安全密钥派生方法包括操作S110~操作S150。

在操作S110，当第一终端实体向第二终端实体传输加密数据时，第一终端实体和第二终端实体分别执行量子密钥获取操作和量子密钥流存储操作，并通过共同协商操作得到密钥采样周期。

当终端实体A（即第一终端实体，下同）和终端实体B（即第二终端实体，下同）传输加密数据时，二者通过直接相连的QKD（Quantum Key Distribution，量子密钥分发）设备持续获取量子密钥作为初始派生密钥源；终端实体A和终端实体B将所述的量子密钥流存放到本地量子密钥池中，二者协商初始的密钥采样周期T，之后分别执行密钥派生操作以获得加密数据传输过程中使用的会话密钥。

在操作S120，第一终端实体和第二终端实体基于密钥采样周期分别对存储在各自本地量子密钥池中的量子密钥进行滑动采样，得到第一终端实体和第二终端实体各自的本周期派生密钥种子。

本地量子密钥池中的量子密钥按照密钥采样周期T进行滑动采样，得到本周期派生密钥种子 SDKS；其中，密钥采样周期T为固定周期采样或根据终端实体A和终端实体B协商的周期进行采样。

在操作S130，第一终端实体和第二终端实体利用基于密钥散列的消息认证码算法和各自的上一个周期派生密钥种子将各自的本周期派生密钥种子分别派生为定长的主派生密钥。

终端实体A和终端实体B使用采用HMAC（Keyed-Hashing for MessageAuthentication，基于密钥散列的消息认证码算法，参考IETF RFC2104）算法将本周期派生密钥种子SDKS派生为定长的主派生密钥MDK（Master Derivation Key，MDK）；HMAC算法采用本周期T内的派生密钥种子SDKS和上一周期产生的主派生密钥MDK作为输入，产生本周期主派生密钥MDK；对于第一个周期，主派生密钥MDK初始置零，并通过等待本地量子密钥池中密钥满足长度要求|H|后，直接采样并作为MDK使用，其中，|H|表述本发明的密码学安全哈希算法H的定长输出字符串的长度。

在操作S140，根据目标量子密钥派生速率、密钥采样周期以及由安全哈希函数确定的长度阈值，由第一终端实体和第二终端实体确定各自的主派生密钥的派生倍率，其中，安全的哈希函数包括基于SM3标准的哈希函数，用于将任意长度的字符串映射为具有长度阈值的字符串。

终端实体A和终端实体B根据目标量子密钥派生速率和密钥采样周期确定主派生密钥派生倍率；当目标量子密钥派生速率为且密钥采样周期为T时，主派生密钥派生倍率DM如公式（1）所示：

（1）。

在操作S150，按照各自的主派生密钥的派生倍率，第一终端实体和第二终端实体利用基于密钥散列的消息认证码算法对各自的主派生密钥分别进行多次派生，并将各自产生的派生密钥进行拼接和截取，将各自截取所得到的目标长度的字符串作为加密数据传输过程中的会话密钥。

终端实体A和终端实体B使用量子密钥派生模块，将主密钥MDK通过HMAC技术派生DM次；将产生的派生密钥拼接并截取目标长度后，作为对数据包进行加密或认证的会话密钥。

本发明提供的上述基于动态密钥采样的连续安全密钥派生方法，利用QKD设备协商密钥进行连续流式安全密钥派生，完善现有密钥派生算法中只针对特定长度种子密钥进行派生的机制，并充分利用QKD密钥流式输出并具有信息论安全的特性，在充分利用密钥的基础上，提升密钥派生的可靠性和安全性。同时，本发明提供的上述方法可以根据当前密钥池的密钥缓存量及用户速率需求，动态决定密钥派生倍率，从而在满足通信安全需求的条件下，尽可能多的产生派生密钥，并稳定密钥产生速率。

根据本发明的实施例，上述当第一终端实体向第二终端实体传输加密数据时，第一终端实体和第二终端实体分别执行量子密钥获取操作和量子密钥流存储操作，并通过共同协商操作得到密钥采样周期包括：当第一终端实体向第二终端实体传输加密数据时，第一终端实体和向与其直接相连的第一量子密钥分发设备发送量子密钥获取请求，同时，第二终端实体和向与其直接相连的第二量子密钥分发设备发送量子密钥获取请求；第一量子密钥分发设备按照量子密钥分发协议持续地向第一终端实体发送连续的对称量子密钥流，同时，第二量子密钥分发设备按照量子密钥分发协议持续地向第二终端实体发送连续的对称量子密钥流；第一终端实体和第二终端实体按照先进先出的队列结果将所获得的量子密钥流分别存储在各自的本地密钥池中，并通过共同协商的方式得到在加密数据传输过程中所需要的密钥采样周期，其中，密钥采样周期包括固定值或基于动态协商所确定的非固定值。

下面通过具体实施例并结合附图2对本发明提供的上述第一终端和第二终端在加密数据传输过程中的量子密钥的获取、存储以及密钥采样周期的确定操作做进一步详细地说明。

图2是根据本发明实施例的量子密钥分发设备和本地量子密钥池的结构示意图。

当终端实体A和终端实体B传输加密数据的时候，从相邻的QKD设备A或B中发出量子密钥请求；所述的QKD设备A或B根据QKD协议持续向终端实体A和终端实体B提供连续的对称量子密钥流；终端实体A和终端实体B将连续的对称量子密钥流存放到各自本地量子密钥池中；其中，量子密钥池具有先进先出的队列结构，即新产生的量子密钥流按密钥产生顺序存放在量子密钥池队尾，终端实体A或终端实体B从量子密钥池的队头取出密钥并使用；终端实体A和终端实体B协商密钥采样周期T；其中，量子密钥采样周期T可由终端实体A和终端实体B在加密通信前确定为一个定值，或在加密通信时动态协商，以提升量子密钥利用效率；如图2所示，当终端实体A和终端实体B传输加密数据的时候，会触发底层QKD设备A或B之间进行量子密钥协商，协商产生的量子密钥将放入各自本地量子密钥池中；量子密钥池是一个具有先进先出队列接口，新产生的量子密钥将有序放入量子密钥池队尾；实体终端使用量子密钥时，将从本地量子密钥池队头取出量子密钥。

根据本发明的实施例，上述当第一终端实体和第二终端实体基于密钥采样周期分别对存储在各自本地量子密钥池中的量子密钥进行滑动采样，得到第一终端实体和第二终端实体各自的本周期派生密钥种子包括：第一终端实体根据密钥采样周期从本地密钥池中滑动采样具有长度阈值的量子密钥作为第一终端实体的本周期派生密钥种子；第二终端实体根据密钥采样周期从本地密钥池中滑动采样具有长度阈值的量子密钥作为第二终端实体的本周期派生密钥种子；在第一终端实体的本地密钥池中的量子密钥的字符串长度超过长度阈值的情况下，从第一终端实体的本地密钥池的队头取出具有长度阈值的量子密钥作为第一终端实体的本周期派生密钥种子，在第一终端实体的本地密钥池中的量子密钥的字符串长度未超过长度阈值的情况下，将第一终端实体的本地密钥池中的量子密钥全部取出作为第一终端实体的本周期派生密钥种子；在第二终端实体的本地密钥池中的量子密钥的字符串长度超过长度阈值的情况下，从第二终端实体的本地密钥池的队头取出具有长度阈值的量子密钥作为第二终端实体的本周期派生密钥种子，在第二终端实体的本地密钥池中的量子密钥的字符串长度未超过长度阈值的情况下，将第二终端实体的本地密钥池中的量子密钥全部取出作为第二终端实体的本周期派生密钥种子。

下面通过具体实施例并结合对本发明提供的上述获取各自本周期派生密钥种子的过程做进一步详细地说明。

终端实体A和终端实体B在根据量子密钥采样周期，从量子密钥池中取出长度不超过|H|比特的量子密钥作为本周期派生密钥种子SDKS；如果量子密钥池中的密钥长度超过|H|比特，那么从量子密钥池的队头取出|H|比特密钥作为SDKS；如果量子密钥池中的量子密钥长度不超过|H|比特，那么从量子密钥池中取出全部量子密钥；其中，|H|为本发明所述的密码学安全哈希函数H的定长输出字符串的长度。

H是本发明所使用的密码学安全哈希函数，一种可使用的哈希函数为国密SM3标准。H函数是一个将任意长度输入字符串映射为长度为|H|的函数；考虑到QKD密钥已经具备无条件的信息论安全性，当向哈希函数H中输入长度超过|H|的密钥时，将会导致密钥的浪费，因此本发明将使用连续流式密钥派生策略，并且单轮密钥派生至多使用|H|长度的QKD密钥。

根据本发明的实施例，上述当第一终端实体和第二终端实体利用基于密钥散列的消息认证码算法和各自的上一个周期派生密钥种子将各自的本周期派生密钥种子分别派生为定长的主派生密钥包括：在加密数据传输是首轮传输周期或第一终端实体和第二终端实体各自的本周期密钥派生种子的字符串长度是长度阈值的情况下，第一终端实体和第二终端实体将各自的本周期密钥派生种子分别作为各自的主派生密钥；在第一终端实体的本周期密钥派生种子的字符串长度小于长度阈值的情况下，第一终端实体利用安全的哈希函数作为杂凑函数，将上一个周期派生密钥种子和本周期派生密钥种子进行异或操作，将异或操作的结果作为基于密钥散列的消息认证码算法的密钥，并结合本周期的当前周期数，产生具有长度阈值的第一终端实体的主派生密钥；在第二终端实体的本周期密钥派生种子的字符串长度小于长度阈值的情况下，第二终端实体利用安全的哈希函数作为杂凑函数，将上一个周期派生密钥种子和本周期派生密钥种子进行异或操作，将异或操作的结果作为基于密钥散列的消息认证码算法的密钥，并结合本周期的当前周期数，产生具有长度阈值的第二终端实体的主派生密钥；在加密数据传输是首个传输周期的情况下，第一终端实体和第二终端实体分别将主派生密钥初始化为预设值，并通过等待各自的本地密钥池中的量子密钥满足长度阈值后，对各自的本地密钥池中的量子密钥直接采样，得到各自的主派生密钥。

下面通过具体实施例并结合附图3对本发明提供的上述主派生密钥的获取过程做进一步详细地说明。

图3是根据本发明实施例的量子密钥分发设备进行量子密钥采样和熵提取的流程示意图。

使用HMAC算法将采样得到的本周期量子派生密钥种子SKDS变换为主派生密钥MDK，分为下述几种情况：

（1）如果本周期量子密钥派生种子SKDS的长度为|H|比特或是第一周期，那么直接将SKDS作为MDK；

（2）如果本周期量子密钥派生种子SKDS的长度不足|H|比特，那么通过HMAC算法产生主派生密钥MDK，算法使用密码学安全的哈希算法H作为杂凑函数，使用SKDS和上一周期主派生密钥异或的结果作为HMAC算法的密钥，使用当前周期数/>作为消息产生长度为|H|的主派生密钥/>，计算过程如公式（1）所示：

（1）。

两种情况产生的主密钥MDK长度均为|H|比特；在第一个周期运行时，将初始置为零，并通过延长采样周期/>，直至从量子密钥池中确保能够采样长度为|H|的量子密钥作为第一周期的主派生密钥/>。

如图3所示，用于通信的终端实体A和终端实体B根据上述判断条件中采样的密钥长度进行判定：如果采样密钥长度为|H|，那么考虑QKD密钥的信息论安全特性，可以直接输出作为主派生密钥；否则，SKDS将和上一轮产生的/>异或后，通过HMAC算法产生作为主派生密钥/>。

根据本发明的实施例，上述根据目标量子密钥派生速率、密钥采样周期以及由安全哈希函数确定的长度阈值，第一终端实体和第二终端实体确定各自的主派生密钥的派生倍率包括：第一终端实体和第二终端实体通过共同协商确定目标量子密钥派生速率，分别将目标量子密钥派生速率、采样周期以及长度阈值进行运算，并分别将运算结果进行向上取整操作，得到第一终端实体和第二终端实体各自的主派生密钥的派生倍率。

本发明中，通信双方可以通过设置目标密钥派生速率和采样周期/>，来控制每一周期的主密钥派生倍率DM，并保证该派生倍率符合通信的安全需求。

根据本发明的实施例，上述按照各自的主派生密钥的派生倍率，第一终端实体和第二终端实体利用基于密钥散列的消息认证码算法对各自的主派生密钥分别进行多次派生，并将各自产生的派生密钥进行拼接和截取，将各自截取所得到的目标长度的字符串作为加密数据传输过程中的会话密钥包括：将安全的哈希函数作为杂凑函数，在派生是首轮派生的情况下，第一终端实体和第二终端实体分别将预定义的特定字符与当前派生轮数进行拼接后作为所述基于密钥散列的消息认证码算法的消息输入，并分别将各自的主派生密钥作为所述基于密钥散列的消息认证码算法的密钥；在派生不是首轮派生的情况下，第一终端实体和第二终端实体分别将预定义的特定字符与当前派生轮数进行拼接后作为基于密钥散列的消息认证码算法的消息输入，并分别将上一轮的派生结果作为基于密钥散列的消息认证码算法的密钥；按照各自的主派生密钥的派生倍率进行多轮派生后，第一终端实体和第二终端实体分别将多轮派生的结果按照顺序进行拼接得到量子派生密钥派生，并分别将量子派生密钥从头截取目标长度的字符串作为会话密钥；第一终端实体和第二终端实体基于各自的会话密钥，对各自的传输数据进行加密或完整性保护。

下面通过具体实施例并结合附图4对本发明提供的上述会话密钥的产生过程以及加密数据的传输过程做进一步详细地说明。

图4是根据本发明实施例的动态密钥派生倍率的密钥派生流程示意图。

根据本发明提供的上述主派生密钥MDK和主派生密钥派生倍率，得到长度为的量子派生密钥，需要进行如下的操作。

首先，根据终端实体A和终端实体B的协商，设置应用特定字符串；如果终端实体A和终端实体B无协商过程，那么根据算法事前协商，确定应用特定字符串/>，或将其置为空；如图4所示，本发明将可使用由通信双方实现协商的应用特定字符串作为密钥派生参数之一，以增强量子密钥派生安全性；当通信双方无法协商时，该应用特定字符串可以为空。

重复使用DM次HMAC算法产生派生密钥：HMAC算法使用密码学安全的哈希算法H作为杂凑函数；如果是第一轮派生，将HMAC算法的密钥设置为本周期主派生密钥；否则，如果是第/>轮派生（/>）,则将HMAC密钥设置为上一轮HMAC算法的输出/>；将应用特定字符串/>和派生次数/>拼接作为HMAC算法的消息输入；根据所述的杂凑函数H、HMAC算法密钥及HMAC算法的消息输入，HMAC算法产生第/>轮的派生密钥，上述计算过程如公式（2）和（3）所示：

（2），

（3），

其中，为第/>轮派生的密钥，其长度为|H|；/>为第/>周期的主派生密钥；/>为应用特定字符串，/>为当前轮数。

如图4所示，密钥派生方案共有DM轮，每一轮的输入包括：（1）应用特定字符串和当前轮数/>的拼接；（2）如果是第一轮派生，那么使用主派生密钥/>，否则使用上一轮派生的输出密钥/>。输入经过HMAC算法后产生长度为|H|的本轮派生密钥/>。

其次，将上述操产生的DM轮密钥输出（第零轮除外）按顺序拼接形成量子派生密钥，所述的量子派生密钥长度为；将所述的量子派生密钥截取前/>比特作为输出；

如图4所示，本发明将共计DM轮的密钥输出拼接后，截取前长度为/>比特作为本周期的派生密钥输出。

最后，终端实体A和终端实体B根据前述操作的量子派生密钥，产生通信使用的会话密钥，用于对所需传输数据进行加密或完整性保护。

根据本发明的第二个方面，提供了一种基于动态密钥采样的连续安全密钥派生系统，包括：第一终端实体和第二终端实体；其中：当第一终端实体向第二终端实体传输加密数据时，第一终端实体和第二终端实体分别执行量子密钥获取操作和量子密钥流存储操作，并通过共同协商操作得到密钥采样周期；第一终端实体和第二终端实体基于密钥采样周期分别对存储在各自本地量子密钥池中的量子密钥进行滑动采样，得到第一终端实体和第二终端实体各自的本周期派生密钥种子；第一终端实体和第二终端实体利用基于密钥散列的消息认证码算法和各自的上一个周期派生密钥种子将各自的本周期派生密钥种子分别派生为定长的主派生密钥；根据目标量子密钥派生速率、密钥采样周期以及由安全哈希函数确定的长度阈值，第一终端实体和第二终端实体确定各自的主派生密钥的派生倍率，其中，安全的哈希函数包括基于SM3标准的哈希函数，用于将任意长度的字符串映射为具有长度阈值的字符串；按照各自的主派生密钥的派生倍率，第一终端实体和第二终端实体利用基于密钥散列的消息认证码算法对各自的主派生密钥分别进行多次派生，并将各自产生的派生密钥进行拼接和截取，将各自截取所得到的目标长度的字符串作为加密数据传输过程中的会话密钥。

为了更好地说明上述系统的优点，下面结合具体实施例对本发明提供的上述系统做进一步详细地说明。

在终端节点A和终端节点B之间，通过QKD设备A或B产生量子密钥；量子密钥分发模块在终端节点A和终端节点B之间连续产生量子密钥流，并提供密钥流的同步和验证功能，保证终端节点A和终端节点B获得的量子密钥流的安全性和一致性。

终端节点A和终端节点B调用参数协商模块，协商密钥派生参数；所述的密钥派生参数包括：采样周期、应用特定字符串/>、密钥派生目标速率/>；所述的密钥派生可在通信前和通信中通过协商方式产生，或由用户在密钥派生前固定。

终端节点A和终端节点B利用QKD密钥熵提取模块对QKD设备A或B产生的密钥进行依据固定采样周期的动态采样，每一周期采样的密钥量不固定；所述的QKD密钥采样模块还将采样的密钥的随机性进行提取并产生主派生密钥MDK。

终端节点A和终端节点B利用QKD密钥扩展模块，根据用户需求动态决定每一周期的密钥派生倍率，然后根据决定的密钥派生倍率进行密钥多轮密钥派生，并将派生的密钥进行拼接截取处理后输出使用。

终端节点A和终端节点B通过数据加密模块，用于利用派生后的密钥对消息进行加密和传输；数据加密模块将的量子密钥派生方案得到量子派生密钥对需要加密和认证的数据报文进行加密和认证，然后将加密后的数据包传输给另一通信实体。

终端节点A和终端节点B利用数据解密模块66对接收到的加密数据包进行解密并获得消息明文；当通信实体收到加密数据包时，通过的量子密钥派生方案得到的量子派生密钥，对加密数据包进行解密并获得消息明文。

本发明提供的上述基于动态密钥采样的安全密钥派生方法及系统，利用QKD设备协商密钥进行连续流式安全密钥派生，完善现有密钥派生算法中只针对特定长度种子密钥进行派生的机制，并充分利用QKD密钥流式输出并具有信息论安全的特性，在充分利用密钥的基础上，提升密钥派生的可靠性和安全性。本发明提出了一种基于动态采样的密钥扩展方案，可以根据当前密钥池的密钥缓存量及用户速率需求，动态决定密钥派生倍率，从而在满足通信安全需求的条件下，尽可能多的产生派生密钥，并稳定密钥产生速率。

图5示意性示出了根据本发明实施例的适于实现基于动态密钥采样的连续安全密钥派生方法的电子设备的方框图。

如图5所示，根据本发明实施例的电子设备500包括处理器501，其可以根据存储在只读存储器（ROM）502中的程序或者从存储部分508加载到随机访问存储器（RAM）503中的程序而执行各种适当的动作和处理。处理器501例如可以包括通用微处理器（例如CPU）、指令集处理器和/或相关芯片组和/或专用微处理器（例如，专用集成电路（ASIC））等等。处理器501还可以包括用于缓存用途的板载存储器。处理器501可以包括用于执行根据本发明实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。

在RAM 503中，存储有电子设备500操作所需的各种程序和数据。处理器 501、ROM502以及RAM 503通过总线504彼此相连。处理器501通过执行ROM 502和/或RAM 503中的程序来执行根据本发明实施例的方法流程的各种操作。需要注意，程序也可以存储在除ROM502和RAM 503以外的一个或多个存储器中。处理器501也可以通过执行存储在一个或多个存储器中的程序来执行根据本发明实施例的方法流程的各种操作。

根据本发明的实施例，电子设备500还可以包括输入/输出（I/O）接口505，输入/输出（I/O）接口505也连接至总线504。电子设备500还可以包括连接至I/O接口505的以下部件中的一项或多项：包括键盘、鼠标等的输入部分506；包括诸如阴极射线管（CRT）、液晶显示器（LCD）等以及扬声器等的输出部分507；包括硬盘等的存储部分508；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分509。通信部分509经由诸如因特网的网络执行通信处理。驱动器510也根据需要连接至I/O接口505。可拆卸介质511，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器510上，以便于从其上读出的计算机程序根据需要被安装入存储部分508。

本发明还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的设备/装置/系统中所包含的；也可以是单独存在，而未装配入该设备/装置/系统中。上述计算机可读存储介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，实现根据本发明实施例的方法。

根据本发明的实施例，计算机可读存储介质可以是非易失性的计算机可读存储介质，例如可以包括但不限于：便携式计算机磁盘、硬盘、随机访问存储器（RAM）、只读存储器（ROM）、可擦式可编程只读存储器（EPROM或闪存）、便携式紧凑磁盘只读存储器（CD-ROM）、光存储器件、磁存储器件、或者上述的任意合适的组合。在本发明中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。例如，根据本发明的实施例，计算机可读存储介质可以包括上文描述的ROM 502和/或RAM 503和/或ROM 502和RAM 503以外的一个或多个存储器。

附图中的流程图和框图，图示了按照本发明各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

以上的具体实施例，对本发明的目的、技术方案和有益效果进行了进一步详细说明，应理解的是，以上仅为本发明的具体实施例而已，并不用于限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种基于动态密钥采样的连续安全密钥派生方法，其特征在于，包括：

当第一终端实体向第二终端实体传输加密数据时，所述第一终端实体和所述第二终端实体分别执行量子密钥获取操作和量子密钥流存储操作，并通过共同协商操作得到密钥采样周期；

所述第一终端实体和所述第二终端实体基于所述密钥采样周期分别对存储在各自本地量子密钥池中的量子密钥进行滑动采样，得到所述第一终端实体和所述第二终端实体各自的本周期派生密钥种子；

所述第一终端实体和所述第二终端实体利用基于密钥散列的消息认证码算法和各自的上一个周期派生密钥种子将各自的本周期派生密钥种子分别派生为定长的主派生密钥；

根据目标量子密钥派生速率、所述密钥采样周期以及由安全哈希函数确定的长度阈值，由所述第一终端实体和所述第二终端实体确定各自的主派生密钥的派生倍率，其中，所述安全的哈希函数包括基于SM3标准的哈希函数，用于将任意长度的字符串映射为具有所述长度阈值的字符串；

按照各自的主派生密钥的派生倍率，所述第一终端实体和所述第二终端实体利用所述基于密钥散列的消息认证码算法对各自的主派生密钥分别进行多次派生，并将各自产生的派生密钥进行拼接和截取，将各自截取所得到的目标长度的字符串作为所述加密数据传输过程中的会话密钥。

2.根据权利要求1所述的方法，其特征在于，当第一终端实体向第二终端实体传输加密数据时，所述第一终端实体和所述第二终端实体分别执行量子密钥获取操作和量子密钥流存储操作，并通过共同协商操作得到密钥采样周期包括：

当第一终端实体向第二终端实体传输加密数据时，所述第一终端实体和向与其直接相连的第一量子密钥分发设备发送量子密钥获取请求，同时，所述第二终端实体和向与其直接相连的第二量子密钥分发设备发送量子密钥获取请求；

所述第一量子密钥分发设备按照量子密钥分发协议持续地向所述第一终端实体发送连续的对称量子密钥流，同时，所述第二量子密钥分发设备按照量子密钥分发协议持续地向所述第二终端实体发送连续的对称量子密钥流；

所述第一终端实体和所述第二终端实体按照先进先出的队列结果将所获得的量子密钥流分别存储在各自的本地密钥池中，并通过共同协商的方式得到在所述加密数据传输过程中所需要的密钥采样周期，其中，所述密钥采样周期包括固定值或基于动态协商所确定的非固定值。

3.根据权利要求1所述的方法，其特征在于，所述第一终端实体和所述第二终端实体基于所述密钥采样周期分别对存储在各自本地量子密钥池中的量子密钥进行滑动采样，得到所述第一终端实体和所述第二终端实体各自的本周期派生密钥种子包括：

所述第一终端实体根据所述密钥采样周期从本地密钥池中滑动采样具有所述长度阈值的量子密钥作为所述第一终端实体的本周期派生密钥种子；

所述第二终端实体根据所述密钥采样周期从本地密钥池中滑动采样具有所述长度阈值的量子密钥作为所述第二终端实体的本周期派生密钥种子；

在所述第一终端实体的本地密钥池中的量子密钥的字符串长度超过所述长度阈值的情况下，从所述第一终端实体的本地密钥池的队头取出具有所述长度阈值的量子密钥作为所述第一终端实体的本周期派生密钥种子，在所述第一终端实体的本地密钥池中的量子密钥的字符串长度未超过所述长度阈值的情况下，将所述第一终端实体的本地密钥池中的量子密钥全部取出作为所述第一终端实体的本周期派生密钥种子；

在所述第二终端实体的本地密钥池中的量子密钥的字符串长度超过所述长度阈值的情况下，从所述第二终端实体的本地密钥池的队头取出具有所述长度阈值的量子密钥作为所述第二终端实体的本周期派生密钥种子，在所述第二终端实体的本地密钥池中的量子密钥的字符串长度未超过所述长度阈值的情况下，将所述第二终端实体的本地密钥池中的量子密钥全部取出作为所述第二终端实体的本周期派生密钥种子。

4.根据权利要求1所述的方法，其特征在于，所述第一终端实体和所述第二终端实体利用基于密钥散列的消息认证码算法和各自的上一个周期派生密钥种子将各自的本周期派生密钥种子分别派生为定长的主派生密钥包括：

在所述加密数据传输是首轮传输周期或所述第一终端实体和所述第二终端实体各自的本周期密钥派生种子的字符串长度是所述长度阈值的情况下，所述第一终端实体和所述第二终端实体将各自的本周期密钥派生种子分别作为各自的主派生密钥；

在所述第一终端实体的本周期密钥派生种子的字符串长度小于所述长度阈值的情况下，所述第一终端实体利用所述安全的哈希函数作为杂凑函数，将所述上一个周期派生密钥种子和本周期派生密钥种子进行异或操作，将异或操作的结果作为所述基于密钥散列的消息认证码算法的密钥，并结合本周期的当前周期数，产生具有所述长度阈值的第一终端实体的主派生密钥；

在所述第二终端实体的本周期密钥派生种子的字符串长度小于所述长度阈值的情况下，所述第二终端实体利用所述安全的哈希函数作为杂凑函数，将所述上一个周期派生密钥种子和本周期派生密钥种子进行异或操作，将异或操作的结果作为所述基于密钥散列的消息认证码算法的密钥，并结合本周期的当前周期数，产生具有所述长度阈值的第二终端实体的主派生密钥。

5.根据权利要求4所述的方法，其特征在于，还包括：

在所述加密数据传输是首个传输周期的情况下，所述第一终端实体和所述第二终端实体分别将所述主派生密钥初始化为预设值，并通过等待各自的本地密钥池中的量子密钥满足所述长度阈值后，对各自的本地密钥池中的量子密钥直接采样，得到各自的主派生密钥。

6.根据权利要求1所述的方法，其特征在于，根据目标量子密钥派生速率、所述密钥采样周期以及由安全哈希函数确定的长度阈值，所述第一终端实体和所述第二终端实体确定各自的主派生密钥的派生倍率包括：

所述第一终端实体和所述第二终端实体通过共同协商确定所述目标量子密钥派生速率，分别将所述目标量子密钥派生速率、所述采样周期以及所述长度阈值进行运算，并分别将运算结果进行向上取整操作，得到所述第一终端实体和所述第二终端实体各自的主派生密钥的派生倍率。

7.根据权利要求1所述的方法，其特征在于，按照各自的主派生密钥的派生倍率，所述第一终端实体和所述第二终端实体利用所述基于密钥散列的消息认证码算法对各自的主派生密钥分别进行多次派生，并将各自产生的派生密钥进行拼接和截取，将各自截取所得到的目标长度的字符串作为所述加密数据传输过程中的会话密钥包括：

将所述安全的哈希函数作为杂凑函数，在派生是首轮派生的情况下，所述第一终端实体和所述第二终端实体分别将预定义的特定字符与当前派生轮数进行拼接后作为所述基于密钥散列的消息认证码算法的消息输入，并分别将各自的主派生密钥作为所述基于密钥散列的消息认证码算法的密钥；

在派生不是首轮派生的情况下，所述第一终端实体和所述第二终端实体分别将所述预定义的特定字符与当前派生轮数进行拼接后作为所述基于密钥散列的消息认证码算法的消息输入，并分别将上一轮的派生结果作为所述基于密钥散列的消息认证码算法的密钥；

按照各自的主派生密钥的派生倍率进行多轮派生后，所述第一终端实体和所述第二终端实体分别将多轮派生的结果按照顺序进行拼接得到量子派生密钥派生，并分别将量子派生密钥从头截取目标长度的字符串作为会话密钥；

所述第一终端实体和所述第二终端实体基于各自的会话密钥，对各自的传输数据进行加密或完整性保护。

8.一种基于动态密钥采样的连续安全密钥派生系统，其特征在于，包括：第一终端实体和第二终端实体；其中：

当所述第一终端实体向所述第二终端实体传输加密数据时，所述第一终端实体和所述第二终端实体分别执行量子密钥获取操作和量子密钥流存储操作，并通过共同协商操作得到密钥采样周期；

所述第一终端实体和所述第二终端实体基于所述密钥采样周期分别对存储在各自本地量子密钥池中的量子密钥进行滑动采样，得到所述第一终端实体和所述第二终端实体各自的本周期派生密钥种子；

所述第一终端实体和所述第二终端实体利用基于密钥散列的消息认证码算法和各自的上一个周期派生密钥种子将各自的本周期派生密钥种子分别派生为定长的主派生密钥；

根据目标量子密钥派生速率、所述密钥采样周期以及由安全哈希函数确定的长度阈值，所述第一终端实体和所述第二终端实体确定各自的主派生密钥的派生倍率，其中，所述安全的哈希函数包括基于SM3标准的哈希函数，用于将任意长度的字符串映射为具有所述长度阈值的字符串；

按照各自的主派生密钥的派生倍率，所述第一终端实体和所述第二终端实体利用所述基于密钥散列的消息认证码算法对各自的主派生密钥分别进行多次派生，并将各自产生的派生密钥进行拼接和截取，将各自截取所得到的目标长度的字符串作为所述加密数据传输过程中的会话密钥。

9.一种电子设备，包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

其中，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器执行根据权利要求1~7中任一项所述的方法。

10.一种计算机可读存储介质，其上存储有可执行指令，该指令被处理器执行时使处理器执行根据权利要求1~7中任一项所述的方法。