CN213279685U - 一种基于量子保密通信网络的身份认证见证者系统 - Google Patents

Abstract

本实用新型公开了一种基于量子保密通信网络的身份认证见证者系统，包括量子保密通信网络、至少一个见证者设备端、至少一个见证者量子密钥卡、至少一个普通设备端及至少一个普通量子密钥卡，其中，量子保密通信网络与见证者设备端及普通设备端之间均通过网络通信连接，见证者设备端与普通设备端之间通过近距离通信连接，见证者设备端配置有见证者量子密钥卡，普通设备端配置有普通量子密钥卡。有益效果：通过结合量子密钥卡和从见证者处得到的认证参数进行双重认证，且认证参数存储于安全芯片中，使得在量子密钥卡被破解的极端情况下，由于无法获取得到认证参数，使得基于对称密钥池的量子保密通信的安全性也仍然可以得到有效保证。

Description

一种基于量子保密通信网络的身份认证见证者系统

技术领域

本实用新型涉及量子保密通信安全领域，具体来说，涉及一种基于量子保密通信网络的身份认证见证者系统。

背景技术

古希腊的斯巴达人将一张皮革包裹在特定尺径的棍子上，再写上传递给他人的信息。而信息的接收者只需要有根同等尺径的棍子，收到皮革后再将皮革裹到棍子上就可以读出原始信息。即便这张皮革中途被截走，只要对方不知道棍子的尺径，所看到的也只是一些零乱而无用的信息。这就是历史上记载的人类最早对信息进行加密的方法之一。

早在20世纪初期，通信安全主要涉及电话、电报、传真等，而在此过程中存在的安全问题主要是在信息交换阶段，信息的保密性对于人们是十分重要的，因此，对安全理论和技术的研究更侧重于密码学。

20世纪60年代后，半导体和集成电路技术得到了飞速发展，这些技术的飞速发展推动了计算机软硬件的发展，单纯靠复杂的密码已经无法满足保密的要求，而且计算机和网络技术的应用进入了实用化和规模化阶段，人们对安全的关注已经逐渐扩展为以保密性、完整性和可用性为目标的信息安全阶段。

20世纪80年代开始，由于互联网技术的飞速发展，信息无论是对内还是对外都得到极大开放，而由互联网而产生的信息安全问题跨越了时间和空间，因此信息安全的焦点已经不仅仅是传统的保密性、完整性和可用性三个原则了，由此衍生出了诸如可控性、抗抵赖性、真实性等其他的原则和目标，信息安全也转化为从整体角度考虑其体系建设的信息保障阶段。

21世纪，信息安全现在已经由主机的安全技术发展到了网络的安全，从单层次的安全发展到了多层次立体的安全，从个人信息安全发展到了国家信息安全。根据国际问题研究中心发布的数据显示，网络犯罪每年给全球带来高达4450亿美元的经济损失。

如今，各国都在大力研发量子通信技术，期望在未来夺得通信安全方面的先机。我国在量子中继通信方面已有不小的进展，“京沪干线”项目的建立，让我国的量子通信发展进度进入了实质性的阶段。但是量子中继站点的单价和光纤的铺设价格依旧令人望而却步。后来有了关于通过密钥卡等设备实现个人或单位接入量子保密通信网络的可能性。然而，现有技术依旧存在以下问题：

1、现有技术中，量子密钥卡中的对称密钥池存在被俘获后被拆解从而被破解的可能性。一旦被破解，则基于对称密钥池的量子保密通信的安全性受到威胁；

2、现有技术中，量子密钥卡一旦丢失后，存在被冒名使用的可能性；

3、现有技术中，存在对量子密钥卡使用的审计需求，例如记录量子密钥卡对应的用户端及其使用者信息，但尚无解决方案。

实用新型内容

针对相关技术中的问题，本实用新型提出一种基于量子保密通信网络的身份认证见证者系统，以克服现有相关技术所存在的上述技术问题。

为此，本实用新型采用的具体技术方案如下：

一种基于量子保密通信网络的身份认证见证者系统，该系统包括量子保密通信网络、若干见证者设备端、若干见证者量子密钥卡、若干普通设备端及若干普通量子密钥卡，其中，量子保密通信网络与若干见证者设备端及若干普通设备端之间均通过网络通信连接，见证者设备端与普通设备端之间通过近距离通信连接，见证者设备端配置有见证者量子密钥卡，普通设备端配置有普通量子密钥卡。

进一步的，量子保密通信网络中设置有若干量子通信服务站接入站点，且量子保密通信网络通过该量子通信服务站分别与见证者设备端和普通设备端通信连接。

进一步的，近距离通信包括但不限于有线连接、二维码通信、NFC通信、红外通信或蓝牙通信的近距离通信方式。

进一步的，见证者量子密钥卡与普通量子密钥卡均由量子通信服务站颁发，且见证者量子密钥卡和普通量子密钥卡中分别均配备有与量子通信服务站共享的对称密钥池。

进一步的，见证者量子密钥卡与普通量子密钥卡中分别均包括身份认证模块、算法实现模块及密钥存储模块；

其中，身份认证模块用于对调用量子密钥卡设备的身份进行认证，并确保设备身份的合法性；

算法实现模块用于为量子保密通信网络与调用量子密钥卡设备端之间的通信连接提供相对应的密码学算法支持；

密钥存储模块用于存储无法导出的对称密钥池。

进一步的，见证者设备端包括第一量子密钥卡接口模块、用户信息采集模块、第一近距离通信模块、用户信息存储模块及量子随机发生模块；

其中，第一量子密钥卡接口模块用于见证者设备端调用见证者量子密钥卡的接口；

用户信息采集模块用于对使用普通设备端的用户进行相关信息的采集；

第一近距离通信模块用于实现见证者设备端与普通设备端之间相应的通信；

用户信息存储模块用于对用户信息采集模块采集到的用户相关信息进行存储；

量子随机发生模块用于生成量子随机数。

进一步的，见证者设备端还包括第一CPU、第一RAM、第一存储模块、第一外设接口模块及第一网络通信模块，且第一存储模块与用户信息存储模块相互独立。

进一步的，普通设备端包括第二量子密钥卡接口模块、第二近距离通信模块及安全芯片；

其中，第二量子密钥卡接口模块用于普通设备端调用普通量子密钥卡的接口；

第二近距离通信模块用于实现普通设备端与见证者设备端之间相应的通信；

安全芯片用于存储认证参数，且认证参数为从见证者设备端请求得到的与量子通信服务站共享的数据。

进一步的，安全芯片具备抗拆除能力或拆除即自毁能力，该安全芯片包括TPM/TCM类芯片、具备计算和存储能力的单片机芯片或具备口令保护的存储装置中的至少一种；且安全芯片预先设置为每次上电即擦除其中存储的数据内容。

进一步的，普通设备端还包括第二CPU、第二RAM、第二存储模块、第二外设接口模块及第二网络通信模块。

本实用新型的有益效果为：

1)、通过结合量子密钥卡和从见证者处得到的认证参数进行双重认证，且认证参数存储于安全芯片中，使得在量子密钥卡被破解的极端情况下，由于破解者无法获取得到认证参数，从而使得基于对称密钥池的量子保密通信的安全性也仍然可以得到有效保证。

2)、本实用新型的量子密钥卡一旦丢失后，由于无法获取得到存有认证参数的安全芯片，从而使得量子密钥卡无法正常使用，有效地避免了被冒名使用的可能性。

3)、本实用新型针对量子密钥卡使用的审计需求，通过见证者用户端记录量子密钥卡对应的用户端及其使用者信息，使得量子保密通信系统更加安全。

附图说明

为了更清楚地说明本实用新型实施例或现有技术中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本实用新型的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是根据本实用新型实施例的一种基于量子保密通信网络的身份认证见证者系统的结构示意图；

图2是根据本实用新型实施例的一种基于量子保密通信网络的身份认证见证者系统中见证者量子密钥卡结构示意图；

图3是根据本实用新型实施例的一种基于量子保密通信网络的身份认证见证者系统中见证者设备端的结构示意图；

图4是根据本实用新型实施例的一种基于量子保密通信网络的身份认证见证者系统中普通设备端的结构示意图。

具体实施方式

为进一步说明各实施例，本实用新型提供有附图，这些附图为本实用新型揭露内容的一部分，其主要用以说明实施例，并可配合说明书的相关描述来解释实施例的运作原理，配合参考这些内容，本领域普通技术人员应能理解其他可能的实施方式以及本实用新型的优点。

应当理解的是，在技术上可行的情况下，以上针对不同实施例所列举的技术特征可以相互组合，从而形成本实用新型范围内的另外的实施例。此外，本实用新型所述的特定示例和实施例是非限制性的，并且可以对以上所阐述的结构、步骤、顺序做出相应修改而不脱离本实用新型的保护范围。

根据本实用新型的实施例，提供了一种基于量子保密通信网络的身份认证见证者系统。

现结合附图和具体实施方式对本实用新型进一步说明，如图1所示，根据本实用新型实施例的基于量子保密通信网络的身份认证见证者系统，该系统包括量子保密通信网络、若干见证者设备端、若干见证者量子密钥卡、若干普通设备端及若干普通量子密钥卡，其中，量子保密通信网络与若干见证者设备端和若干普通设备端之间均通过经典网络通信连接，见证者设备端与普通设备端之间通过近距离通信连接，见证者设备端配置有见证者量子密钥卡，普通设备端配置有普通量子密钥卡。

在一个实施例中，量子保密通信网络中设置有若干量子通信服务站接入站点，且量子保密通信网络通过量子通信服务站分别与见证者设备端和普通设备端通信连接。

在一个实施例中，近距离通信包括但不限于有线连接、二维码通信、NFC通信、红外通信或蓝牙通信的近距离通信方式，且在确保近距离通信时，设备端需在人为可控范围内。

在一个实施例中，见证者量子密钥卡与普通量子密钥卡均由量子通信服务站颁发，且见证者量子密钥卡和普通量子密钥卡中分别均配备有与量子通信服务站共享的对称密钥池。

在一个实施例中，见证者量子密钥卡与普通量子密钥卡中分别均包括身份认证模块、算法实现模块及密钥存储模块；如图2所示为见证者量子密钥卡的结构示意图。

其中，身份认证模块用于对调用量子密钥卡设备的身份进行认证，并确保设备身份的合法性；

算法实现模块用于为量子保密通信网络与调用量子密钥卡设备端之间的通信连接提供相对应的密码学算法支持；

密钥存储模块用于存储无法导出的对称密钥池。

在一个实施例中，如图3所示，见证者设备端包括第一量子密钥卡接口模块、用户信息采集模块、第一近距离通信模块、用户信息存储模块及量子随机发生模块；

其中，第一量子密钥卡接口模块用于见证者设备端调用见证者量子密钥卡的接口；

用户信息采集模块用于对使用普通设备端的用户进行相关信息的采集；具体的，用户信息采集模块的采集方式包括但不限于用户身份证信息采集、用户生物学信息采集。用户生物学信息包括但不仅限于人脸、指纹、虹膜、静脉、声纹、步态信息等。

第一近距离通信模块用于实现见证者设备端与普通设备端之间相应的通信；

用户信息存储模块用于对用户信息采集模块采集到的用户相关信息进行存储；

量子随机发生模块用于生成量子随机数。

在一个实施例中，如图3所示，见证者设备端还包括第一其他基础功能模块，第一其他基础功能模块包括第一CPU、第一RAM、第一存储模块、第一外设接口模块及第一网络通信模块等，且第一存储模块与用户信息存储模块相互独立，提高了用户基础信息的安全性。

在一个实施例中，如图4所示，普通设备端包括第二量子密钥卡接口模块、第二近距离通信模块及安全芯片；其中，安全芯片具备一定的抗拆除能力或拆除即自毁能力，该安全芯片包括TPM/TCM类芯片、具备计算和存储能力的单片机芯片或具备口令保护的存储装置中的至少一种；且安全芯片预先设置为每次上电即擦除其中存储的数据内容。

其中，第二量子密钥卡接口模块用于普通设备端调用普通量子密钥卡的接口；

第二近距离通信模块用于实现普通设备端与见证者设备端之间相应的通信；

安全芯片用于存储认证参数，且认证参数为从见证者设备端请求得到的与量子通信服务站共享的数据。具体的，认证参数为普通设备端接入量子保密通信网络时与量子通信服务站进行认证时的必要参数。

在一个实施例中，如图4所示，普通设备端还包括第二其他基础功能模块，第二其他基础功能模块包括第二CPU、第二RAM、第二存储模块、第二外设接口模块及第二网络通信模块等。

本系统中，普通设备配备的普通量子密钥卡存在被盗用的可能性；与量子通信服务站进行认证时，需要见证者设备的配合。见证者设备一般为用户局域网的网关、服务器或Internet中运营商控制的运营终端等，由于其安全防护等级较高，因此其配备的见证者量子密钥卡不太可能被盗。见证者设备端可以独立与量子通信服务站认证，而与普通设备端进行近距离通信。

为了方便理解本实用新型的上述技术方案，以下就本实用新型的见证者系统关于普通用户接入量子保密通信网络的工作原理进行详细说明。

本实用新型的见证者系统关于普通用户接入量子保密通信网络的工作原理如下：

1、见证者设备与量子通信服务站实现认证

见证者设备与见证者设备所属的量子通信服务站双方按照预定的密钥选择逻辑，从对称密钥池中按照顺序取出同样的对称密钥。双方利用所得对称密钥进行双向挑战应答认证，该对称密钥使用后不再使用或者经过变换后再使用，做到每次认证更换密钥。认证后生成见证者设备与其所属的量子通信服务站之间的会话密钥KS₁。

2、普通设备获取与量子通信服务站的认证参数

2.1)见证者设备通过近距离通信或用户信息采集模块等方式采集普通设备及其使用者信息，采集信息包括但不仅限于普通设备的身份号、机型、设备码，使用者的身份证信息、人脸照片及其他生物学信息(指纹、虹膜、静脉、声纹、步态信息等)等等，对普通设备实现初步身份认证：确保普通设备提供了必须提供的信息，且各信息格式符合规范、数值处于合理范围值域内。其中普通设备的身份号、机型、设备码存储于见证者设备存储区域内的专用存储空间。审计的时候，用户向量子通信网络举报量子密钥卡丢失并可能被盗用，专业人员找到发生盗用的见证者，从见证者那取得盗用者的信息，从而抓获盗用者。

2.2)见证者设备生成真随机数KR作为认证参数。见证者设备利用会话密钥KS₁对普通设备的ID以及认证参数KR进行加密并发送至见证者设备所属的量子通信服务站。见证者设备所属的量子通信服务站将该认证参数KR通过量子密钥加密发送至普通设备所属的量子通信服务站。普通设备所属的量子通信服务站将KR与普通设备的量子密钥卡所对应的对称密钥池存储在一起，即存储在相应的密钥存储设备上，以备后续使用。

2.3)见证者设备将认证参数KR通过近距离通信的方式发送至普通设备的普通量子密钥卡。由于是近距离通信，且可设置信息传输的保护措施，例如设置ATM机的带锁隔间、设置无线通信的一次性密码等，因此可以确保该近距离通信的通信安全。普通设备的普通量子密钥卡将认证参数存储于安全芯片中。这样降低了认证参数被盗取的可能性。

3、普通设备与量子通信服务站实现认证

3.1)普通设备按照预定的密钥选择逻辑，即按顺序取出密钥K。普通设备用KA＝K||KR作为认证密钥。因为敌方几乎不可能获取到认证参数KR，所以，敌方几乎无法得到正确的认证密钥。

3.2)普通设备所属的量子通信服务站从相应的对称密钥池按照顺序取出同样的协商密钥并得到认证密钥KA，获取协商密钥和认证密钥的方法与普通用户端相同。

3.3)普通设备与其所属的量子通信服务站双方利用认证密钥KA进行双向挑战应答认证。认证后普通设备生成与量子通信服务站之间的会话密钥KS₂。

3.4)普通设备断电后重新上电，由于安全芯片内的认证参数丢失，需要重新到见证者处进行认证参数颁发。

综上，借助于本实用新型的上述技术方案，本实用新型通过结合量子密钥卡和从见证者处得到的认证参数进行双重认证，且认证参数存储于安全芯片中，使得在量子密钥卡被破解的极端情况下，由于破解者无法获取得到认证参数，从而使得基于对称密钥池的量子保密通信的安全性也仍然可以得到有效保证。

此外，本实用新型的量子密钥卡一旦丢失后，由于无法获取得到存有认证参数的安全芯片，从而使得量子密钥卡无法正常使用，有效地避免了被冒名使用的可能性。

此外，本实用新型针对量子密钥卡使用的审计需求，通过见证者用户端记录量子密钥卡对应的用户端及其使用者信息，使得量子保密通信系统更加安全。

以上所述实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。

Claims (10)

1.一种基于量子保密通信网络的身份认证见证者系统，其特征在于，该系统包括量子保密通信网络、至少一个见证者设备端、至少一个见证者量子密钥卡、至少一个普通设备端及至少一个普通量子密钥卡；

其中，所述量子保密通信网络与所述见证者设备端及所述普通设备端之间均通过网络通信连接；

所述见证者设备端与所述普通设备端之间通过近距离通信连接；

所述见证者设备端配置有所述见证者量子密钥卡；

所述普通设备端配置有所述普通量子密钥卡。

2.根据权利要求1所述的一种基于量子保密通信网络的身份认证见证者系统，其特征在于，所述量子保密通信网络中设置有至少一个量子通信服务站接入站点，且所述量子保密通信网络通过该量子通信服务站分别与所述见证者设备端和所述普通设备端通信连接。

3.根据权利要求1所述的一种基于量子保密通信网络的身份认证见证者系统，其特征在于，所述近距离通信包括但不限于有线连接、二维码通信、NFC通信、红外通信或蓝牙通信的近距离通信方式。

4.根据权利要求2所述的一种基于量子保密通信网络的身份认证见证者系统，其特征在于，所述见证者量子密钥卡与所述普通量子密钥卡均由所述量子通信服务站颁发，且所述见证者量子密钥卡和所述普通量子密钥卡中分别均配备有与所述量子通信服务站共享的对称密钥池。

5.根据权利要求4所述的一种基于量子保密通信网络的身份认证见证者系统，其特征在于，所述见证者量子密钥卡与所述普通量子密钥卡中分别均包括身份认证模块、算法实现模块及密钥存储模块；

其中，所述身份认证模块用于对调用量子密钥卡设备的身份进行认证，并确保设备身份的合法性；

所述算法实现模块用于为所述量子保密通信网络与调用量子密钥卡设备端之间的通信连接提供相对应的密码学算法支持；

所述密钥存储模块用于存储无法导出的所述对称密钥池。

6.根据权利要求1所述的一种基于量子保密通信网络的身份认证见证者系统，其特征在于，所述见证者设备端包括第一量子密钥卡接口模块、用户信息采集模块、第一近距离通信模块、用户信息存储模块及量子随机发生模块；

其中，所述第一量子密钥卡接口模块用于所述见证者设备端调用所述见证者量子密钥卡的接口；

所述用户信息采集模块用于对使用所述普通设备端的用户进行相关信息的采集；

所述第一近距离通信模块用于实现所述见证者设备端与所述普通设备端之间相应的通信；

所述用户信息存储模块用于对所述用户信息采集模块采集到的用户相关信息进行存储；

所述量子随机发生模块用于生成量子随机数。

7.根据权利要求6所述的一种基于量子保密通信网络的身份认证见证者系统，其特征在于，所述见证者设备端还包括第一CPU、第一RAM、第一存储模块、第一外设接口模块及第一网络通信模块，且所述第一存储模块与所述用户信息存储模块相互独立。

8.根据权利要求2所述的一种基于量子保密通信网络的身份认证见证者系统，其特征在于，所述普通设备端包括第二量子密钥卡接口模块、第二近距离通信模块及安全芯片；

其中，所述第二量子密钥卡接口模块用于所述普通设备端调用所述普通量子密钥卡的接口；

所述第二近距离通信模块用于实现所述普通设备端与所述见证者设备端之间相应的通信；

所述安全芯片用于存储认证参数，且所述认证参数为从所述见证者设备端请求得到的与所述量子通信服务站共享的数据。

9.根据权利要求8所述的一种基于量子保密通信网络的身份认证见证者系统，其特征在于，所述安全芯片具备抗拆除能力或拆除即自毁能力，该安全芯片包括TPM/TCM类芯片、具备计算和存储能力的单片机芯片或具备口令保护的存储装置中的至少一种；且所述安全芯片预先设置为每次上电即擦除其中存储的数据内容。

10.根据权利要求8所述的一种基于量子保密通信网络的身份认证见证者系统，其特征在于，所述普通设备端还包括第二CPU、第二RAM、第二存储模块、第二外设接口模块及第二网络通信模块。

Images