CN118101193A - 一种基于量子加密的通信方法及其在小水电控制中的应用 - Google Patents

Abstract

本发明公开了一种基于量子加密的通信方法在小水电控制中的应用，基于同态加密特性，服务端向设备端进行量子密钥的协商和在线分发；每个设备端在进行数据传输时，基于预设数量的所述量子密钥对待传输的目标数据进行签名；在进行数据接收时，通过签名的设备端所归属的密钥分发中心对接收的数据进行验签，以获取目标数据；本发明基于预设数量的量子密钥对待传输的目标数据进行签名，接收方通过密钥分发中心进行验签，量子密钥是通过量子力学特性产生密钥并进行分发，符合香农的信息论安全，具备更高的安全性。

Description

一种基于量子加密的通信方法及其在小水电控制中的应用

技术领域

本发明涉及数据通信技术领域，特别涉及一种基于量子加密的通信方法及其在小水电控制中的应用。

背景技术

当前，随着能源互联网建设的不断推进，新型配电设施大量接入，电网形态越来越复杂。通过多年建设，许多地区基本建成了蓄引提并举、大中小并重、兴利除害结合的水利基础设施体系。目前，已建设有大量的水电站，但因配电设备所处环境复杂，业务数据传输存在安全隐患。考虑到水电业务数据作为一种重要的电力业务数据，相关电网生产和企业管理信息一旦被泄露或篡改势必对居民用电乃至国家信息安全造成重大损失。

目前，采用传统加密体系进行通信传输加密。传统加密体系依赖于PKI，使用了非对称和对称算法进行身份认证、数据加密。依据现代密码分发体系，利用数学问题的求解实现远程密钥交换，并依赖求解的计算复杂度来保障密钥分发安全，包括协议、算法、密钥，协议和算法都是公开的，唯有密钥才是核心，一旦密钥被破解，整个加密体系都会产生问题。而传统密钥往往是通过数学算法得出，可以通过大算力破解，如果达到理想算力传统密钥将失去安全性。

清华大学教授王小云团队于2004年、2005先后破解了MD5和SHA-1两大密码算法；

RSA512，1999年被破解；

RSA768，2009年被破解；

2012年6月18日，日本国家信息通信技术研究院与富士通等组成的研究小组宣布，利用21台普通计算机成功破解了被认为相比目前的公钥密码安全性能更高、是下一代标准密码的“配对密码”(278位数)，仅用时148天。

因此，需要一种具备更高安全性的加密通信方法。

发明内容

本发明所要解决的技术问题是：提供一种基于量子加密的通信方法及其在小水电控制中的应用，提高数据传输的安全性。

为了解决上述技术问题，本发明采用的技术方案为：

一种基于量子加密的通信方法，包括步骤：

S1、基于同态加密特性，服务端向设备端进行量子密钥的协商和在线分发；

S2、每个设备端在进行数据传输时，基于预设数量的所述量子密钥对待传输的目标数据进行签名；

在进行数据接收时，通过签名的设备端所归属的密钥分发中心对接收的数据进行验签，以获取目标数据。

为了解决上述技术问题，本发明采用的另一种技术方案为：

一种基于量子加密的通信方法在小水电控制中的应用，包括量子密钥管理服务器以及量子安全路由器，以所述量子密钥服务器作为服务端，以所述量子安全路由器作为设备端，实现以上所述的一种基于量子加密的通信方法中的步骤。

本发明的有益效果在于：本发明的一种基于量子加密的通信方法及其在小水电控制中的应用，基于预设数量的量子密钥对待传输的目标数据进行签名，接收方通过密钥分发中心进行验签，量子密钥是通过量子力学特性产生密钥并进行分发，符合香农的信息论安全，具备更高的安全性。

附图说明

图1为本发明实施例的一种基于量子加密的通信方法的流程图；

图2为本发明实施例的一种基于量子加密的通信方法的密钥充注流程时序图；

图3为本发明实施例的一种基于量子加密的通信方法的密钥环结构示例图；

图4为本发明实施例的一种基于量子加密的通信方法的签名过程示例图；

图5为本发明实施例的一种基于量子加密的通信方法的验签流程示例图；

图6为本发明实施例的一种基于量子加密的通信方法在小水电控制中的应用的组网示例图；

图7为本发明实施例的一种基于量子加密的通信方法在小水电控制中的应用的现场机柜布置示例图；

图8为本发明实施例的一种基于量子加密的通信方法在小水电控制中的应用的接线方式示例图；

图9为本发明实施例的一种基于量子加密的通信的服务端的结构示例图；

图10为本发明实施例的一种基于量子加密的通信的设备端的结构示例图。

具体实施方式

为详细说明本发明的技术内容、所实现目的及效果，以下结合实施方式并配合附图予以说明。

请参照图1至图5，一种基于量子加密的通信方法，包括步骤：

S1、基于同态加密特性，服务端向设备端进行量子密钥的协商和在线分发；

S2、每个设备端在进行数据传输时，基于预设数量的所述量子密钥对待传输的目标数据进行签名；

在进行数据接收时，通过签名的设备端所归属的密钥分发中心对接收的数据进行验签，以获取目标数据。

从上述描述可知，本发明的有益效果在于：本发明的一种基于量子加密的通信方法及其在小水电控制中的应用，基于预设数量的量子密钥对待传输的目标数据进行签名，接收方通过密钥分发中心进行验签，量子密钥是通过量子力学特性产生密钥并进行分发，符合香农的信息论安全，具备更高的安全性。

进一步地，步骤S1包括步骤：

S11、服务端与设备端通过证书授权机构分别持有不同的个人证书，并共享同一个域证书；

S12、服务端通过域证书与设备端进行共享密钥的协商，并通过共享密钥与设备端进行个人证书的交换；

S13、服务端与设备端通过个人证书进行身份认证与通信密钥的协商；

S14、服务端通过所述通信密钥向设备端进行量子密钥的在线分发。

由上述描述可知，服务端与设备端通过域证书协商共享密钥，并基于共享密钥交换个人证书进行身份认证，并协商通信密钥，用于保证量子密钥分发的有效性和保密性。

进一步地，步骤S2中基于预设数量的所述量子密钥对待传输的目标数据进行签名包括步骤：

S21、基于预设数量的所述量子密钥，构建密钥环；

S22、对所述目标数据计算摘要数据，并对所述摘要数据进行切块，得到数据分块，根据每个所述数据分块的block值与所述密钥环，确定每个所述数据分块所对应的密钥环中的所述量子密钥的序列号；

S23、根据每个所述数据分块以及对应的所述量子密钥，进行HMAC值计算，根据所述HMAC值和所述量子密钥的序列号构建签名结果。

由上述描述可知，基于预设数量的量子密钥，通过构建密钥环，通过对目标数据进行数据分块，通过分块的block值与密钥环锁定该分块所使用的量子密钥。

进一步地，步骤S21具体为：

构建32比特的数值区间并根据所述预设数量N进行均分，将均分的每个区间分别与一个所述量子密钥关联，构建密钥环，每个区间的大小为2^32/N；

步骤S22具体为：

对所述目标数据进行摘要计算，并对摘要值以每个分块32比特大小进行切块，得到数据分块，根据每个所述数据分块的block值与所述密钥环，确定每个所述数据分块所对应的密钥环中的所述量子密钥的序列号seq：

Seq＝RoundDown(block/(2^32/N))；

其中，RoundDown()表示向下取整。

由上述描述可知，通过上述步骤，确定对目标数据的每个分块所对应使用的量子密钥。

进一步地，步骤S23具体为：

根据每个所述数据分块以及对应的所述量子密钥，进行HMAC值计算；

根据每个所述数据分块的所述HMAC值和对应的所述量子密钥的序列号，进行合并散列；

将各个所述数据分块的散列结果和当前设备端的身份ID作为最终的签名结果。

由上述描述可知，对每个数据分块基于所对应的量子密钥进行HMAC值计算，由计算结果以及量子密钥进行合并散列，结合设备端的身份ID以生成最终的签名结果。

进一步地，在进行数据接收时，通过签名的设备端所归属的密钥分发中心对接收的数据进行验签，以获取目标数据包括步骤：

S24、在进行数据接收时，基于信任链获取对所述目标数据签名的设备端所归属的密钥分发中心；

S25、基于所述密钥分发中心，对接收的数据进行验签，进而得到目标数据。

由上述描述可知，基于信任链获取对所述目标数据签名的设备端所归属的密钥分发中心，密钥分发中心存储有设备端的量子密钥，进而由密钥分发中心能够对数据进行有效的验签。

进一步地，步骤S24具体为：

在进行数据接收时，设备端根据接收的数据中所含签名所属的设备端的身份ID，向预设的信任根查询签名的设备端所归属的密钥分发中心；

步骤S25具体为：

设备端就接收的数据向所述密钥分发中心发起验签，并接收所述密钥分发中心返回的验签结果，所述验签结果经密钥分发中心签名；

设备端向信任根就所述验签结果进行验签，并根据验签结果得到所述目标数据。

由上述描述可知，设备端向信任根获取对所述目标数据签名的设备端所归属的密钥分发中心，由密钥分发中心进行验签，并通过信任根就验签结果进行验签，保证验签结果的有效性。

一种基于量子加密的通信方法在小水电控制中的应用，包括量子密钥管理服务器以及量子安全路由器，以所述量子密钥服务器作为服务端，以所述量子安全路由器作为设备端，实现以上任一所述的一种基于量子加密的通信方法中的步骤。

本发明的一种基于量子加密的通信方法及其在小水电控制中的应用，适用于数据加密通信，尤其适用于小水电控制中的数据加密通信。

请参照图1至图5，本发明的实施例一为：

一种基于量子加密的通信方法，包括步骤：

S1、基于同态加密特性，服务端向设备端进行量子密钥的协商和在线分发；

本实施例中，基于同态加密特性原理，实现基于双证书量子安全在线充注。

步骤S1包括步骤：

S11、服务端与设备端通过证书授权机构分别持有不同的个人证书，并共享同一个域证书。

本实施例中，可参照图2，通过证书授权机构CA，EQC及其所发行的密码模块共享同一个域证书，且EQC及其所发行的密码模块各自持有一个个人证书。EQC表示企业安全解决方案，表示服务端。密钥模块表示客户端。

S12、服务端通过域证书与设备端进行共享密钥的协商，并通过共享密钥与设备端进行个人证书的交换。

本实施例中，通过域证书实现EQC与密码模块之间进行量子安全的密钥协商，得到量子密钥以及共享密钥。并通过协商的共享密钥加密交换EQC与密码模块间的个人证书。

S13、服务端与设备端通过个人证书进行身份认证与通信密钥的协商。

本实施例中，EQC与密码模块之间通过个人证书实现基于PKI的身份认证和通信密钥协商。

S14、服务端通过所述通信密钥向设备端进行量子密钥的在线分发。

本实施例中，通过协商的通信密钥保护EQC与密码模块间的量子密钥在线分发。

S2、每个设备端在进行数据传输时，基于预设数量的所述量子密钥对待传输的目标数据进行签名；

步骤S2中基于预设数量的所述量子密钥对待传输的目标数据进行签名包括步骤：

S21、基于预设数量的所述量子密钥，构建密钥环；

步骤S21具体为：

构建32比特的数值区间并根据所述预设数量N进行均分，将均分的每个区间分别与一个所述量子密钥关联，构建密钥环，每个区间的大小为2^32/N。

本实施例中，假设有N支预置密钥用于签名，密钥序号为1…N。使用密钥数N，对32比特的数值区间进行N等分，每区间大小为2^32/N，生成密钥环，如图3所示。

S22、对所述目标数据计算摘要数据，并对所述摘要数据进行切块，得到数据分块，根据每个所述数据分块的block值与所述密钥环，确定每个所述数据分块所对应的密钥环中的所述量子密钥的序列号；

步骤S22具体为：

对所述目标数据进行摘要计算，并对摘要值以每个分块32比特大小进行切块，得到数据分块，根据每个所述数据分块的block值与所述密钥环，确定每个所述数据分块所对应的密钥环中的所述量子密钥的序列号seq：

Seq＝RoundDown(block/(2^32/N))；

其中，RoundDown()表示向下取整。

本实施例中，签名过程具体为：对待签名数据首先使用SM3算法计算摘要，并对摘要值进行切块，块大小为32比特；以每块的block值通过GetKEY获取对应的签名密钥分量的序列号。

本实施例中，提供函数GetKEY用于确定使用哪只签名密钥分量。GetKEY函数定义如下：

函数原型	KeyPTR*GetKEY(WORD32 block)
		功能描述	通过入参获取签名密钥分量
参数说明	block：待签名消息摘要的切块值
		返回值	返回签名密钥分量的指针

具体地，每个所述数据分块所对应的密钥环中的所述量子密钥的序列号seq：

Seq＝RoundDown(block/(2^32/N))；

其中，RoundDown()表示向下取整。

S23、根据每个所述数据分块以及对应的所述量子密钥，进行HMAC值计算，根据所述HMAC值和所述量子密钥的序列号构建签名结果；

步骤S23具体为：

根据每个所述数据分块以及对应的所述量子密钥，进行HMAC值计算；

根据每个所述数据分块的所述HMAC值和对应的所述量子密钥的序列号，进行合并散列；

将各个所述数据分块的散列结果和当前设备端的身份ID作为最终的签名结果。

本实施例中，可参照图4，基于SM3的HMAC计算每块的认证结果。最后对每个分块的HMAC值附带密钥ID进行合并散列，将散列结果和身份ID作为最终的签名结果，签名结果为(Sign,ID)。

在进行数据接收时，通过签名的设备端所归属的密钥分发中心对接收的数据进行验签，以获取目标数据，包括步骤：

S24、在进行数据接收时，基于信任链获取对所述目标数据签名的设备端所归属的密钥分发中心。

信任链通常有两种模型，直接信任模型、树形信任模型和网状信任模型，本实施例中采用基于直接信任模型的简单方法。

可参照图5，步骤S24具体为：

在进行数据接收时，设备端根据接收的数据中所含签名所属的设备端的身份ID，向预设的信任根查询签名的设备端所归属的密钥分发中心。

S25、基于所述密钥分发中心，对接收的数据进行验签，进而得到目标数据；

步骤S25具体为：

设备端就接收的数据向所述密钥分发中心发起验签，并接收所述密钥分发中心返回的验签结果，所述验签结果经密钥分发中心签名；

设备端向信任根就所述验签结果进行验签，并根据验签结果得到所述目标数据。

本实施例中，由于密钥分发中心KDC知道签名的密钥序列，所以验签过程由KDC通过同样的计算流程即可获得签名结果，通过比对返回给验签方。即验签方通过签名方归属的KDC完成验签。

验签方需要信任根，可通过对称密码实现身份认证和通信加密。对于签名方归属的KDC，在向验签方返回验签结果时需要通过同样的方法进行结果签名，由验签方向信任根请求验证KDC的结果签名是否有效，最后完成完整的验签流程。

请参照图6至图8，本发明的实施例二为：

一种基于量子加密的通信方法在小水电控制中的应用，包括量子密钥管理服务器以及量子安全路由器，以所述量子密钥服务器作为服务端，以所述量子安全路由器作为设备端，实现以上所述的一种基于量子加密的通信方法中的步骤。

本实施例中，一种基于量子加密的通信方法在小水电控制中的应用，主要由量子随机数分发器、量子密钥管理服务器、量子安全路由器构成，应用组网可参照图6所示。

量子密钥管理服务器在Ukey中预制一段密钥，Ukey将这部分密钥充注到量子安全路由器的网关中，当网关设备之间需要通信时，会在这部分密钥中取一段用来加密通信请求，中间会协商出会话密钥，最后网关设备用会话密钥加密通信数据进行双方之间的通信。

本实施例中，量子随机数分发器、量子密钥管理服务器以及量子安全路由器的使用型号可参照图7以及下表所示。

本实施例中，现场机柜布置如图7所示，中心机房部署一台量子随机数分发器、一台密钥管理服务器、一台量子安全路由器，小水电机房部署一台量子安全路由器作为量子安全网关，用于接入各个小水电的业务应用数据采集服务器，其业务数据通过中心机房量子路由器和小水电机房量子路由器之间建立的量子安全网关通信隧道传送至中心机房，实现传输过程中端到端加密。

具体接线方式如图8所示。

基于量子加密的小水电控制应用实现对密钥全生命周期进行管理，采用量子随机数生成密钥，量子随机数来源于量子密钥分发网络或量子随机数发生器。主要包括以下功能特性：

(1)可视化运维功能

提供系统级视图，将系统运行的关键信息呈现在可视化仪表盘上。展示分支节点、中心节点以及CPE设备之间拓扑，支持拓扑。

提供本设备系统版本、上电时间、设备类型等信息；提供CPU占用率、内存占用率、存储占用率、CPU当前温度等设备状态信息；提供设备面板，可视化显示设备状态。

可查询设备告警信息，包括当前告警、历史告警、通知，具体是流水号、所属告警码、告警等级、告警发生位置、发生时间、附加说明，当前告警可进行清除操作。

系统运行过程中，可以记录系统管理操作和自身运行产生的日志，便于跟踪和问题定位。

(2)设备管理功能

提供设备状态展示功能，包括设备名称、所属节点、运行状态等信息；提供多条件查询功能，支持查询条件包括：设备批次、设备类型、设备型号、设备生产商、密表生成者、生产状态、密表生成时间、预交付时间和交付时间等。

(3)零配置部署功能

接入待激活的设备，自动进入检测接入配置设备信息的状态，在正确检测到设备信息后，在设备信息显示区选择要进行激活的设备，在填写使用者、使用者电话、系统角色、所属中心、所属中心和所属部门等信息后，完成设备激活操作。

(4)量子加密功能

在主站部署量子密钥管理服务系统，该系统可管理区内所有的量子加密模块的发行、充注和量子密钥协商，为所有的采集终端提供绝对安全的量子密码服务；在主站提供量子加密通信服务，支持国密算法，实现对业务数据的“一业一密”加密保护，可为业务数据提供基于量子密钥加密的高安全性保障，同时为大量加密终端接入提供安全可靠的统一加解密服务。

请参照图9，本发明的实施例三为：

一种基于量子加密的通信的服务端1，包括第一处理器2、第一存储器3以及存储在所述第一存储器3中并可在所述第一处理器2上运行的第一计算机程序，所述第一处理器2在执行所述第一计算机程序时，实现以上实施例一所述的一种基于量子加密的通信的方法中服务端所执行的步骤。

请参照图10，本发明的实施例四为：

一种基于量子加密的通信的设备端4，包括第二处理器5、第二存储器6以及存储在所述第二存储器6中并可在所述第二处理器5上运行的第二计算机程序，所述第二处理器5在执行所述第二计算机程序时，实现以上实施例一所述的一种基于量子加密的通信的方法中设备端所执行的步骤。

综上所述，本发明提供的一种基于量子加密的通信方法及其在小水电控制中的应用，基于预设数量的量子密钥对待传输的目标数据进行签名，接收方通过密钥分发中心进行验签，量子密钥是通过量子力学特性产生密钥并进行分发，符合香农的信息论安全，具备更高的安全性。

本发明解决位置分散难以用电力专网覆盖的小水电站数据加密传输问题，采用高安全的量子加密技术+成本较低的网络专线，实现了小水电站生产数据可靠安全传输。

且在小水电控制应用中，量子保密通讯离线方案全程使用了对称加密算法，首先通过预制密钥的方法，将密钥导入到网关设备中，网关设备使用预制密钥作为工作密钥，和量子密钥管理服务系统通信，协商出会话密钥，网关设备使用会话密钥进行数据通信。量子密钥分发在原理上有根本性的不同，量子密钥分发是通过量子力学特性产生密钥并进行分发，符合香农的信息论安全，无论攻击者具有怎样的计算分析能力、乃至任意的量子计算分析能力，量子密钥分发都是安全的。

以上所述仅为本发明的实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等同变换，或直接或间接运用在相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (10)

1.一种基于量子加密的通信方法，其特征在于，包括步骤：

S1、基于同态加密特性，服务端向设备端进行量子密钥的协商和在线分发；

S2、每个设备端在进行数据传输时，基于预设数量的所述量子密钥对待传输的目标数据进行签名；

在进行数据接收时，通过签名的设备端所归属的密钥分发中心对接收的数据进行验签，以获取目标数据。

2.根据权利要求1所述的一种基于量子加密的通信方法，其特征在于，步骤S1包括步骤：

S11、服务端与设备端通过证书授权机构分别持有不同的个人证书，并共享同一个域证书；

S12、服务端通过域证书与设备端进行共享密钥的协商，并通过共享密钥与设备端进行个人证书的交换；

S13、服务端与设备端通过个人证书进行身份认证与通信密钥的协商；

S14、服务端通过所述通信密钥向设备端进行量子密钥的在线分发。

3.根据权利要求1所述的一种基于量子加密的通信方法，其特征在于，步骤S2中基于预设数量的所述量子密钥对待传输的目标数据进行签名包括步骤：

S21、基于预设数量的所述量子密钥，构建密钥环；

S22、对所述目标数据计算摘要数据，并对所述摘要数据进行切块，得到数据分块，根据每个所述数据分块的block值与所述密钥环，确定每个所述数据分块所对应的密钥环中的所述量子密钥的序列号；

S23、根据每个所述数据分块以及对应的所述量子密钥，进行HMAC值计算，根据所述HMAC值和所述量子密钥的序列号构建签名结果。

4.根据权利要求3所述的一种基于量子加密的通信方法，其特征在于，步骤S21具体为：

构建32比特的数值区间并根据所述预设数量N进行均分，将均分的每个区间分别与一个所述量子密钥关联，构建密钥环，每个区间的大小为2^32/N；

步骤S22具体为：

对所述目标数据进行摘要计算，并对摘要值以每个分块32比特大小进行切块，得到数据分块，根据每个所述数据分块的block值与所述密钥环，确定每个所述数据分块所对应的密钥环中的所述量子密钥的序列号seq：

Seq＝RoundDown(block/(2^32/N))；

其中，RoundDown()表示向下取整。

5.根据权利要求3所述的一种基于量子加密的通信方法，其特征在于，步骤S23具体为：

根据每个所述数据分块以及对应的所述量子密钥，进行HMAC值计算；

根据每个所述数据分块的所述HMAC值和对应的所述量子密钥的序列号，进行合并散列；

将各个所述数据分块的散列结果和当前设备端的身份ID作为最终的签名结果。

6.根据权利要求5所述的一种基于量子加密的通信方法，其特征在于，在进行数据接收时，通过签名的设备端所归属的密钥分发中心对接收的数据进行验签，以获取目标数据包括步骤：

S24、在进行数据接收时，基于信任链获取对所述目标数据签名的设备端所归属的密钥分发中心；

S25、基于所述密钥分发中心，对接收的数据进行验签，进而得到目标数据。

7.根据权利要求6所述的一种基于量子加密的通信方法，其特征在于，步骤S24具体为：

在进行数据接收时，设备端根据接收的数据中所含签名所属的设备端的身份ID，向预设的信任根查询签名的设备端所归属的密钥分发中心；

步骤S25具体为：

设备端就接收的数据向所述密钥分发中心发起验签，并接收所述密钥分发中心返回的验签结果，所述验签结果经密钥分发中心签名；

设备端向信任根就所述验签结果进行验签，并根据验签结果得到所述目标数据。

8.一种基于量子加密的通信方法在小水电控制中的应用，其特征在于，包括量子密钥管理服务器以及量子安全路由器，以所述量子密钥服务器作为服务端，以所述量子安全路由器作为设备端，实现以上权利要求1-7任一所述的一种基于量子加密的通信方法中的步骤。

9.一种基于量子加密的通信的服务端，包括第一处理器、第一存储器以及存储在所述第一存储器中并可在所述第一处理器上运行的第一计算机程序，其特征在于，所述第一处理器在执行所述第一计算机程序时，实现以上权利要求1-7任一所述的一种基于量子加密的通信的方法中服务端所执行的步骤。

10.一种基于量子加密的通信的设备端，包括第二处理器、第二存储器以及存储在所述第二存储器中并可在所述第二处理器上运行的第二计算机程序，其特征在于，所述第二处理器在执行所述第二计算机程序时，实现以上权利要求1-7任一所述的一种基于量子加密的通信的方法中设备端所执行的步骤。