一种基于量子密钥的通信方法及其加密通信终端

本发明涉及通信加密，具体涉及一种基于量子密钥的通信方法及其加密通信终端。

目前，移动终端之间通信的加密措施，主要采用基于公私钥和对称密钥结合的加密体制进行通信加密，其工作密钥通过公私钥体制在公网上进行分发，中心站点和每个移动终端之间各共享一对公私钥，中心站点生成工作密钥，采用公钥对工作密钥进行加密，并发送给移动终端，移动终端采用配对的私钥进行解密，获得工作密钥。移动终端和中心站点之间的链路可将此工作密钥作为对称加密算法的密钥，进行加密、解密。

然而，随着量子计算机技术的飞速发展，特别是结合相应的破解算法(如shor算法)，在量子计算模型下可在多项式时间内解决数学困难性问题。这意味着基于数学困难性问题的公私钥密码算法在量子计算模型下已不再安全，从而导致基于公私钥算法保护的通信数据不再安全。

量子密钥分发基于量子力学基本原理，从原理上保证了一旦存在窃听就必然会被发现，其不会受到计算能力、数学水平不断提升的威胁，具有长期安全性，理论上可实现不可破译的安全保密通信，已经成为国内外保障通信数据安全的发展应用趋势。

由于光量子具有不可克隆、不可分割等特性，因此量子信道仅能采用裸光纤为传输介质，且中途不可分光、放大或再生，占用了大量裸光纤资源。同时，当前的通信网络采用光纤、无线、电力线载波等多种通信方式，且为延长传输距离大量采用了光放、电中继等方式，难以满足上述要求，在一定程度上限制了量子加密在通信领域中的推广应用。

(一)解决的技术问题

针对现有技术所存在的上述缺点，本发明提供了一种基于量子密钥的通信方法及其加密通信终端，能够有效克服现有技术所存在的量子加密难以在移动终端之间的通信上得到有效应用的缺陷。

(二)技术方案

为实现以上目的，本发明通过以下技术方案予以实现：

一种基于量子密钥的通信方法，包括以下步骤：

S1、建立充注终端、量子随机数发生器、交换密码机和密码服务平台之间的连接关系；

S2、充注终端通过密码服务平台向交换密码机发送充注密钥申请，由密码服务平台进行密钥充注控制；

S3、量子随机数发生器生成充注密钥，并向充注终端返回充注密钥，由充注终端对移动终端进行密钥充注；

S4、交换密码机通过计算认证MAC信息对移动终端进行入网认证；

S5、密码服务平台从交换密码机申请获取会话密钥，并将会话密钥发送给移动终端；

S6、移动终端之间通过会话密钥进行量子加密通信。

优选地，S1中建立充注终端、量子随机数发生器、交换密码机和密码服务平台之间的连接关系，包括：

S11、交换密码机向密码服务平台进行入网注册，密码服务平台进行入网鉴权，并向交换密码机返回入网结果；

S12、充注终端插入Ukey进行登录，交换密码机向密码服务平台发送基于Ukey的私钥签名认证数据；

S13、密码服务平台利用基于Ukey的私钥签名认证数据进行身份鉴权，并通过交换密码机向充注终端返回身份认证结果。

优选地，S2中充注终端通过密码服务平台向交换密码机发送充注密钥申请，由密码服务平台进行密钥充注控制，包括：

密码服务平台首先通过交换密码机、充注终端对移动终端内的安全介质进行初始化，移动终端向充注终端返回安全介质初始化结果。

优选地，S4中交换密码机通过计算认证MAC信息对移动终端进行入网认证，包括：

移动终端内的终端应用通过密码服务SDK向密码服务平台提供入网注册应用信息，密码服务SDK计算认证MAC信息，交换密码机计算认证MAC信息，密码服务平台对计算结果进行对比，并通过密码服务SDK向密码服务SDK返回入网注册结果。

优选地，所述移动终端内的终端应用通过密码服务SDK向密码服务平台提供入网注册应用信息，密码服务SDK计算认证MAC信息，包括：

密码服务平台进行认证方式确认，并查对应的交换密码机与使用的加密密钥，密码服务平台向密码服务SDK返回包括认证方式、充注密钥ID、量子随机数在内的认证信息；

密码服务SDK将加密密钥基于加密公钥导入充注密钥，同时利用入网注册应用信息中的Ra、Rb计算认证MAC信息，并将该认证MAC信息发送给密码服务平台。

优选地，所述交换密码机计算认证MAC信息，包括：

交换密码机基于充注密钥计算认证MAC信息，并发送给密码服务平台。

优选地，S5中密码服务平台从交换密码机申请获取会话密钥，并将会话密钥发送给移动终端，包括：

交换密码机基于量子随机数生成量子密钥，并利用量子密钥生成会话密钥，密码服务平台将会话密钥加密后发送给移动终端内的密码服务SDK。

一种加密通信终端，包括终端应用、密码服务SDK和安全介质；

密码服务SDK，与密码服务平台建立通信，向密码服务平台提供入终端应用的网注册应用信息，利用入网注册应用信息中的Ra、Rb计算认证MAC信息，借助会话密钥对移动终端之间的终端应用通信数据进行加密；

安全介质，与充注终端建立通信，接收充注终端导入的充注密钥，并借助充注密钥对移动终端之间的终端应用通信数据进行加密。

(三)有益效果

与现有技术相比，本发明所提供的一种基于量子密钥的通信方法及其加密通信终端，充注终端通过密码服务平台向交换密码机发送充注密钥申请，由密码服务平台进行密钥充注控制，量子随机数发生器生成充注密钥，并向充注终端返回充注密钥，由充注终端对移动终端进行密钥充注，使得量子加密能够在移动终端之间的通信上得到有效应用，从而能够实现对通信数据的安全保护。

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍。显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明的系统示意图；

图2为本发明图1中密钥充注的整体系统示意图；

图3为本发明中密钥充注的第一阶段示意图；

图4为本发明中密钥充注的第二阶段示意图；

图5为本发明中移动终端入网认证的流程示意图；

图6为本发明中移动终端获取会话密钥的示意图；

图7为本发明中移动终端之间进行量子加密通信的流程示意图。

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述。显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

一种基于量子密钥的通信方法，图2和图3为密钥充注的第一阶段，建立充注终端、量子随机数发生器、交换密码机和密码服务平台之间的连接关系，具体包括：

S11、交换密码机向密码服务平台进行入网注册，密码服务平台进行入网鉴权，并向交换密码机返回入网结果；

S12、充注终端插入Ukey进行登录，交换密码机向密码服务平台发送基于Ukey的私钥签名认证数据；

S13、密码服务平台利用基于Ukey的私钥签名认证数据进行身份鉴权，并通过交换密码机向充注终端返回身份认证结果。

图2和图4为密钥充注的第二阶段，①充注终端通过密码服务平台向交换密码机发送充注密钥申请，由密码服务平台进行密钥充注控制，具体包括：

密码服务平台首先通过交换密码机、充注终端对移动终端内的安全介质进行初始化，移动终端向充注终端返回安全介质初始化结果。

②量子随机数发生器生成充注密钥，并向充注终端返回充注密钥，由充注终端对移动终端进行密钥充注。

如图5所示，交换密码机通过计算认证MAC信息对移动终端进行入网认证，具体包括：

移动终端内的终端应用通过密码服务SDK向密码服务平台提供入网注册应用信息，密码服务SDK计算认证MAC信息，交换密码机计算认证MAC信息，密码服务平台对计算结果进行对比，并通过密码服务SDK向密码服务SDK返回入网注册结果。

其中，移动终端内的终端应用通过密码服务SDK向密码服务平台提供入网注册应用信息，密码服务SDK计算认证MAC信息，包括：

密码服务平台进行认证方式确认，并查对应的交换密码机与使用的加密密钥，密码服务平台向密码服务SDK返回包括认证方式、充注密钥ID、量子随机数在内的认证信息；

密码服务SDK将加密密钥基于加密公钥导入充注密钥，同时利用入网注册应用信息中的Ra、Rb(代表移动终端自身属性的参数值，与移动终端一一对应)计算认证MAC信息(相当于校验信息)，并将该认证MAC信息发送给密码服务平台。

其中，交换密码机计算认证MAC信息，包括：

交换密码机基于充注密钥计算认证MAC信息，并发送给密码服务平台。

如图6所示，密码服务平台控制交换密码机生成会话密钥，并将会话密钥发送给移动终端，具体包括：

交换密码机基于量子随机数生成量子密钥，并利用量子密钥生成会话密钥，密码服务平台将会话密钥加密后发送给移动终端内的密码服务SDK。

如图7所示，移动终端之间通过充注密钥和/或会话密钥进行量子加密通信。获取并充注相同的充注密钥后，两端对讲机即可进行安全通信，通信数据可以使用充注密钥进行加密、解密，支持双向加密、解密通信，即A端使用安全介质存储的充注密钥进行加密，B端会使用自己安全介质存储的充注密钥进行解密，进而实现通信数据在传输过程中的安全传输。另外，如果安全介质无法提供加密、解密能力，可以由密码服务SDK中的会话密钥提供加密、解密能力。

一种加密通信终端，包括终端应用、密码服务SDK和安全介质；

密码服务SDK，与密码服务平台建立通信，向密码服务平台提供入终端应用的网注册应用信息，利用入网注册应用信息中的Ra、Rb计算认证MAC信息，借助会话密钥对移动终端之间的终端应用通信数据进行加密；

安全介质，与充注终端建立通信，接收充注终端导入的充注密钥，并借助充注密钥对移动终端之间的终端应用通信数据进行加密。

以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不会使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。