[发明专利]基于非对称密钥池的量子通信服务站身份认证方法和系统

说明书

本申请涉及一种基于非对称密钥池的量子通信服务站身份认证方法和系统，本申请中，使用的密钥卡是独立的硬件隔离设备。公钥、私钥和其他相关参数均存储在密钥卡中的数据安全区，被恶意软件或恶意操作窃取密钥的可能性大大降低，也不会被量子计算机获取并破解。由于在经典网络中均无涉及公私钥及算法参数的传递，因此非对称密钥被破解的风险很低，另外，服务站与服务站之间采用QKD进行加密传输消息，所以消息的安全性得到极大的保障。密钥卡保障了通信双方在群组中的通信安全，也极大的提高了身份认证的安全性。同时非对称密钥池解决了对称密钥池给量子通信服务站带来密钥存储压力，降低了存储成本。

技术领域

本申请涉及安全通信技术领域，特别是涉及基于非对称密钥池的量子通信服务站身份认证方法和系统。

背景技术

迅速发展的Internet给人们的生活、工作带来了巨大的方便，人们可以坐在家里通过Internet收发电子邮件、打电话、进行网上购物、银行转账等活动。同时网络信息安全也逐渐成为一个潜在的巨大问题。一般来说网络信息面临着以下几种安全隐患：网络信息被窃取、信息被篡改、攻击者假冒信息、恶意破坏等。

其中身份认证是其中一种保护人们网络信息的一种手段。身份认证也称为“身份验证”或“身份鉴别”，是指在计算机及计算机网络系统中确认操作者身份的过程，从而确定该用户是否具有对某种资源的访问和使用权限，进而使计算机和网络系统的访问策略能够可靠、有效地执行，防止攻击者假冒合法用户获得资源的访问权限，保证系统和数据的安全，以及授权访问者的合法利益。

而当前确保身份认证成功的主要是依靠密码技术，而在如今的密码学领域中，主要有两种密码系统，一是对称密钥密码系统，即加密密钥和解密密钥使用同一个。另一个是公开密钥密码系统，即加密密钥和解密密钥不同，其中一个可以公开。目前大部分的身份认证使用算法的主要依靠公钥密码体系。

公开密钥加密系统采用的加密钥匙(公钥)和解密钥匙(私钥)是不同的。由于加密钥匙是公开的，密钥的分配和管理就很简单，公开密钥加密系统还能够很容易地实现数字签名。

自公钥加密问世以来，学者们提出了许多种公钥加密方法，它们的安全性都是基于复杂的数学难题。根据所基于的数学难题来分类，有以下三类系统目前被认为是安全和有效的：大整数因子分解系统(代表性的有RSA)、离散对数系统(代表性的有DSA)和椭圆离散对数系统(ECC)。

但是随着量子计算机的发展，经典非对称密钥加密算法将不再安全，无论加解密还是密钥交换方法，量子计算机都可以通过公钥计算得到私钥，因此目前常用的非对称密钥将在量子时代变得不堪一击。目前量子密钥分发设备QKD可确保协商的密钥无法被获取。但是QKD主要用于量子干线，用户端设备到量子通信服务站依旧为经典网络，因此依靠非对称算法很难保证身份认证过程的安全。

现有技术存在的问题：

1.量子通信服务站与量子密钥卡之间使用对称密钥池，其容量巨大，对量子通信服务站的密钥存储带来压力；

2.由于对称密钥池密钥容量巨大，量子通信服务站不得不将密钥加密存储于普通存储介质例如硬盘内，而无法存储于量子通信服务站的密钥卡内；

3.由于对称密钥池密钥容量巨大，给密钥备份造成麻烦。

发明内容

基于此，有必要针对上述技术问题，提供一种能够减少服务站存储数据量的基于非对称密钥池的量子通信服务站身份认证方法。

基于非对称密钥池的量子通信服务站身份认证方法，实施在主动方，所述量子通信服务站认证方法包括：

向服务站发送利用第一密钥KR1加密的第一认证参数X，以及利用服务站公钥加密的所述第一密钥KR1；所述第一认证参数X用于经服务站转发至被动方后供被动方生成第一签名；