CN213846703U - 基于量子安全加密的企业vpn系统 - Google Patents

Abstract

本实用新型提供基于量子安全加密的企业VPN系统，所述企业VPN系统包括至少一个发起方企业用户端和至少一个响应方企业用户端，两者之间通过公共互联网连接；所述发起方企业用户端和所述响应方企业用户端各自部署支持量子安全加密的VPN客户端和量子随机数发生装置；发起方VPN客户端和响应方VPN客户端之间建立IPsec VPN安全通道。本实用新型系统在原有VPN安全通道的基础上增加多一重量子安全加密手段，对数据增加一把量子安全加密保护锁，使数据具备双重安全传输保障。同时由于采用量子随机数生成数据加密密钥，可具备抗量子计算机破解攻击的能力，有效提升企业VPN组网数据传输的安全性。

Description

基于量子安全加密的企业VPN系统

技术领域

本实用新型涉及通信安全领域，具体涉及一种基于量子安全加密的企业VPN系统。

背景技术

企业分支机构与总部间、不同分支机构间通过公共互联网连接，安全传输方式主要基于IPsec VPN方式进行安全通道传输。

基于IPsec VPN方式进行安全通道传输，当前的IPSecVPN产品，主要依赖非对称密码体制进行身份鉴别和密钥交换，通过IKE协议，对通网关双方协商产生通信的工作密钥、会话密钥，并通过加解密和完整性校验等技术保障数据在传输过程中的安全性。密钥交换过程主要通过DH算法实现，通信双方的DH密钥协商过程中需要使用随机字符串作为密钥生成素材，常规的基于软件的随机数不具备完全随机性，存在被破解的风险。

实用新型内容

为了解决上述问题，本发明提供一种基于量子安全加密的企业VPN系统，所述企业VPN系统包括至少一个发起方企业用户端和至少一个响应方企业用户端，两者之间通过公共互联网连接；所述发起方企业用户端和所述响应方企业用户端各自部署支持量子安全加密的VPN客户端和量子随机数发生装置，量子随机数发生装置生成量子随机数；发起方VPN客户端和响应方VPN客户端之间建立IPsec VPN安全通道；和，发起方VPN客户端和响应方VPN客户端之间需要通信的数据通过采用量子随机数生成的密钥进行量子加密，并通过所述IPsec VPN安全通道将量子加密数据传输给通信对端，对端接收到加密数据后，对其进行解密。

在一种实施方式中，所述量子随机数发生装置包括量子随机数发生器和量子随机数管理平台，所述量子随机数发生器基于量子状态的随机性，通过测量量子状态，获取一串量子随机数，和所述量子随机数管理平台用于实现量子随机数的生成控制、存储、生存周期管理，并对随机数请求做出响应。

在一种实施方式中，所述IPsec VPN安全通道将量子加密数据传输包括发起方VPN客户端和响应方VPN客户端之间通过加密策略协商、量子随机数生成、密钥协商和量子安全加密数据传输过程。

在一种实施方式中，所述加密策略协商过程包括发起方VPN客户端收到加密感兴趣流数据后，向响应方VPN客户端发送加密策略协商请求，获取加密策略协商结果，两端协商一致，双方进行密钥交换。

在一种实施方式中，所述密钥交换过程包括：发起方VPN客户端和响应方VPN客户端分别向各自的量子随机数发生装置请求量子随机数，发起方VPN客户端和响应方VPN客户端接收到量子随机数响应，通过DH算法，把量子随机数作为密钥生成素材，发起方VPN客户端和响应方VPN客户端生成通信加密所需的对称密钥对；发起方VPN客户端和响应方VPN客户端之间建立IPSec VPN通道，实现两端应用数据的量子安全加密传输。

在一种实施方式中，所述量子安全加密传输包括：发起方VPN客户端和响应方VPN客户端根据获取到的量子随机数和加密策略协商结果，协商会话密钥，将应用数据进行“一次一密”加密传输加密报文，对端以对应的量子密钥句柄和加密策略对加密报文进行解密，在通信双方完成加密报文传输后结束保密数据传输。

在本实用新型中各种术语含义如下。

VPN客户端：利用VPN技术实现网络中安全通信服务的实体。

IPsec VPN:指采用IPSec协议来实现远程接入的一种VPN技术，在公网上为两个私有网络提供安全通信通道,通过加密通道保证连接的安全。

密钥：控制密码算法运算的关键信息或参数。

对称加密：采用单钥密码系统的加密方法，同一个密钥可以同时用作信息的加密和解密。

非对称密码体制：非对称密码体制又称为双密钥密码体制或公开密钥密码体制，是指加密和解密操作分别使用两个不同的密钥，并且不可能由加密密钥推导出解密密钥。

量子随机数发生装置：基于量子密钥分发技术构建的装置，可通过量子的随机性原理生成理论随机的数据串，其随机性由量子力学特性保证。

在本实用新型中，依托量子随机性的特性，结合DH算法，设计一种基于量子安全加密的企业机构间跨公共互联网通信的安全传输系统，该系统在原有VPN安全通道的基础上增加多一重量子安全加密手段，对数据增加一把量子安全加密保护锁，使数据具备双重安全传输保障。同时由于采用量子随机性原理，可确保随机数抗破解能力，从而达到提高密钥安全性的目的。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请中记载的一些实施例，对于本领域普通技术人员来说，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。

图1本实用新型基于量子安全加密的企业VPN系统的结构示意图；

图2本实用新型基于量子安全加密的企业VPN系统中工作流程示意图。

具体实施方式

为了使企业技术人员更好地理解本申请中的技术方案，下面将结合实施例对本实用新型作进一步说明。下面结合附图及实施例对本实用新型作进一步描述。

如图1所示，本实用新型的基于量子安全加密的企业VPN系统及其应用方法至少包含了两个企业用户端。具体地说，每个企业用户端包括：VPN客户端和量子随机数发生装置，其中量子随机数发生装置由量子随机数发生器和量子随机数管理平台组成。其中：

量子随机数发生器主要基于量子状态的随机性，通过测量量子状态，获取对应的一串随机数。

量子随机数管理平台实现量子随机数的生成控制、存储、生存周期管理，并对随机数请求做出响应。

如图2所示，本实用新型的基于量子安全加密的企业VPN系统具体工作流程如下：

1.应用发起通信请求：

企业用户1的应用需要向企业用户2的应用发起通信请求，此时企业用户1的应用为请求发起端，企业用户2的应用为响应端；

2.触发感兴趣流：企业用户1的VPN客户端检测到通信数据包符合加密感兴趣流的策略配置，触发VPN的建立；

3.VPN客户端发起量子随机数请求：企业用户1的VPN客户端和企业用户2的VPN客户端分别向各自的量子随机数发生装置发送随机数请求；

4.安全通道建立：企业用户1的VPN客户端与企业用户2的VPN客户端使用获取到的量子随机数作为交换素材，进行IKE SA协商和IPSec SA协商，完成安全通道建立，实现企业用户1和企业用户2的应用数据通信连接。

量子安全加密数据传输：VPN客户端根据获取到的量子随机数和加密策略协商结果，协商会话密钥，将应用数据进行“一次一密”加密传输加密报文，对端以对应的量子密钥句柄和加密策略对加密报文进行解密，在通信双方完成加密报文传输后结束保密数据传输。如通信过程发生异常，则根据企业应用的通信协议重新传输加密报文，超过预定的重传次数仍失败，则本次加密数据传输失败。

以上仅为本实用新型的较佳实施例而已，并不用以限制本实用新型，凡在本实用新型的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本实用新型的保护范围之内。以上仅是本实用新型的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本实用新型技术原理的前提下，还可以做出若干改进和变型，这些改进和变型也应视为本实用新型的保护范围。

Claims (3)

1.基于量子安全加密的企业VPN系统，其特征在于，所述企业VPN系统包括至少一个发起方企业用户端和至少一个响应方企业用户端，两者之间通过公共互联网连接；

所述发起方企业用户端和所述响应方企业用户端各自部署支持量子安全加密的VPN客户端和量子随机数发生装置，量子随机数发生装置生成量子随机数；

发起方VPN客户端和响应方VPN客户端之间建立IPsec VPN安全通道；

发起方VPN客户端和响应方VPN客户端之间需要通信的数据通过采用所述量子随机数生成的密钥进行量子安全加密，并通过所述IPsec VPN安全通道将量子安全加密数据传输给通信对端，对端接收到加密数据后，对其进行解密。

2.根据权利要求1所述的企业VPN系统，其特征在于，所述量子随机数发生装置包括量子随机数发生器和量子随机数管理平台，所述量子随机数发生器基于量子状态的随机性，通过测量量子状态，获取一串量子随机数，和，所述量子随机数管理平台用于实现量子随机数的生成控制、存储、生存周期管理，并对随机数请求做出响应。

3.根据权利要求1所述的企业VPN系统，其特征在于，所述IPsec VPN安全通道将量子安全加密数据传输包括发起方VPN客户端和响应方VPN客户端之间通过加密策略协商、量子随机数生成、密钥协商和量子安全加密数据传输过程。

Images