[发明专利]一种实现量子安全的IPSecVPN的方法

摘要

本发明公开了一种实现量子安全的IPSec VPN的方法，通过在IPSec VPN网关中增加QKD的安全接口，在IPSec VPN安全策略中增加量子密钥接入及应用机制，在IPSec加密组件中增加基于量子密钥的一次一密加密选项，并增加优先采用量子密钥作为预共享密钥、数据加密算法的会话密钥、HMAC算法的共享密钥的策略；实现QKD和量子加密与IPSec协议的融合应用，提升IPSec VPN系统的身份认证、消息鉴别和数据加密的量子安全性。本发明系统的安全性更高、应用接入更灵活，在党、政、工控、金融、军事等领域具有良好的应用前景。

主权项

1.一种实现量子安全的IPSec VPN的方法，其特征在于：包括如下步骤：步骤一、终端A向终端B发送触发IKE过程的数据流；VPN网关A和VPN网关B分别向QKDA和QKDB发送协商量子密钥的指令；步骤二、QKDA和QKDB基于预共享密钥进行身份鉴别，然后进行量子密钥协商，并将协商到的量子密钥分别注入VPN网关A和VPN网关B，优先把所述量子密钥用作VPN网关A和VPN网关B之间的IKE SA协商和IPSec SA协商过程中使用的预共享密钥、消息鉴别算法的共享密钥和共享会话密钥；所述QKDA和QKDB在进行量子密钥协商时，根据VPN网关所采用的密码算法和密钥应用策略，QKDA和QKDB分别对共享的量子密钥进行随机性测试、完整性和一致性校验；并对通过随机性测试、完整性和一致性校验的量子密钥进行编排和缓存，增加相应的密钥索引号；步骤三、VPN网关A和VPN网关B采用量子密钥作为预共享密钥、消息鉴别算法的共享密钥进行第一阶段IKE SA协商；步骤四、VPN网关A和VPN网关B采用量子密钥作为预共享密钥、消息鉴别算法的共享密钥进行第二阶段IPSec SA协商，并把量子一次一密算法和共享量子密钥分别作为密码算法和会话密钥的优先选项；步骤五、VPN网关A和VPN网关B采用所述IPSec SA构建IPSec加密隧道。