一种基于量子密钥通信的远程证明方法、装置及系统与流程

1.本发明涉及量子通信技术领域，尤其涉及一种基于量子密钥通信的远程证明方法、装置及系统。


背景技术：

2.可信计算出现后远程证明技术便得到广泛关注，可信计算远程证明技术主要是一种将终端的可信延伸到网络并传递下去的方法，当前的远程证明主要包含基于平台身份的远程证明和基于平台完整性的远程证明。
3.基于平台身份的远程证明包含依赖第三方证书颁发机构ca(certificate authority)的远程证明和直接匿名证明协议daa。依赖第三方的私有证书颁发机构pca(private certificate authority)进行远程证明，借助pca颁发签署密钥ek(endorsement key)，在发起远程证明时通过ek生成身份认证密钥aik(attestation identity key)，并通过pca验证aik的合法性，从而实现远程身份证明；直接匿名证明协议daa(direct anonymous attestation)采用零知识证明以及群签名等技术，使得证明方申请一次证书就可以向网络内不同的验证方发起远程证明。基于平台完整性的远程证明主要基于二进制的远程证明和基于属性的远程证明。基于二进制的远程证明通过证明方将自身的平台度量值、度量日志打包发送给挑战方，挑战方将接收到的信息与本地存储的信息对比，依次判断证明方的合法性；基于属性的远程证明将平台配置度量值映射为特定的安全属性，挑战方只需要判断证明方是否符合安全属性即可。
4.上述的远程证明过程，需要基于第三方机构进行公私钥或者证书的分发，并且在度量过程中证明方身份容易被泄漏，导致证明方更容易遭受攻击者的攻击。


技术实现要素：

5.有鉴于此，本发明提供了一种基于量子密钥通信的远程证明方法、装置及系统，用于解决现有的远程证明过程，需要基于第三方机构进行公私钥或者证书的分发，并且在度量过程中证明方身份容易被泄漏，导致证明方更容易遭受攻击者攻击的问题。具体方案如下：
6.一种基于量子密钥通信的远程证明方法，应用于挑战方，所述挑战方预先获取第一量子密钥，所述方法包括：
7.生成第一随机数，基于所述第一量子密钥对所述第一随机数进行加密，得到第一随机数密文；
8.将所述第一随机数密文发送给证明方，以令所述证明方基于所述第一量子密钥对所述第一随机数密文进行解密，得到所述第一随机数，基于所述第一随机数对身份信息进行加密，得到身份信息密文，将所述身份信息密文发送给所述挑战方，其中，所述证明方预先获取第一量子密钥；
9.接收所述身份信息密文，对所述身份信息密文进行验证，验证通过的情况下，接收
所述证明方发送的属性信息密文；
10.基于所述第一随机数对所述属性信息密文进行解密，得到属性信息，基于可信策略判断所述属性信息是否合法，其中，所述可信策略基于预设的添加规则添加到所述挑战方。
11.上述的方法，可选的，对所述身份信息密文进行验证，包括：
12.基于所述第一随机数对所述身份信息进行解密，得到身份信息；
13.将所述身份信息与预设的身份信息列表中对应的标准身份信息进行匹配，判断所述身份信息与所述标准身份信息是否相同。
14.上述的方法，可选的，基于可信策略判断所述属性信息是否合法，包括：
15.将所述属性信息与所述可信策略中的对应项进行比较，得到比较结果；
16.判断所述比较结果是否满足预设的判定规则。
17.上述的方法，可选的，所述挑战方预先获取第二量子密钥，所述可信策略基于预设的添加规则添加到所述挑战方，包括：
18.生成第二随机数，基于所述第二量子密钥对所述第二随机数进行加密，得到第二随机数密文；
19.将所述第二随机数密文发送给可信配置服务端，以令所述可信配置服务端对基于所述第二量子密钥对所述第二随机数密文进行解密，得到所述第二随机数，并基于所述第二随机数对可信策略进行加密，得到可信策略密文，将所述可信策略密文发送给所述挑战方，其中，所述可信配置服务端预先获取第二量子密钥；
20.接收所述可信策略密文，基于所述第二随机数对所述可信策略密文进行解密，保存所述可信策略。
21.上述的方法，可选的，还包括：
22.在所述挑战方和所述可信配置服务端启动之前，获取所述挑战方和所述可信配置服务端中对应部件的第一标准哈希值；
23.在所述挑战方和所述可信配置服务端启动之后，获取所述挑战方和所述可信配置服务端中对应部件的第一当前哈希值；
24.比较所述第一标准哈希值和所述第一当前哈希值。
25.一种基于量子密钥通信的远程证明方法，应用于证明方，所述证明方预先获取第一量子密钥，所述方法包括：
26.接收第一随机数密文，基于所述第一量子密钥对所述第一随机数密文进行解密，得到第一随机数；
27.基于所述第一随机数对身份信息进行加密，得到身份信息密文；
28.将所述身份信息密文发送给所述挑战方进行验证；
29.在接收到所述挑战方发送的验证通过指令时，基于所述第一随机数对属性信息进行加密，得到属性信息密文，将所述属性信息密文发送给所述挑战方，以令所述挑战方基于所述属性信息密文对所述证明方进行远程证明。
30.上述的方法，可选的，还包括：
31.在所述证明方启动之前，获取所述证明方中对应部件的第二标准哈希值；
32.在所述证明方启动之后，获取所述证明方中对应部件的第二当前哈希值；
33.比较所述第二标准哈希值和所述第二当前哈希值。
34.一种基于量子密钥通信的远程证明装置，应用于挑战方，所述挑战方预先获取第一量子密钥，所述装置包括：
35.生成和加密模块，用于生成第一随机数，基于所述第一量子密钥对所述第一随机数进行加密，得到第一随机数密文；
36.第一发送模块，用于将所述第一随机数密文发送给证明方，以令所述证明方基于所述第一量子密钥对所述第一随机数密文进行解密，得到所述第一随机数，基于所述第一随机数对身份信息进行加密，得到身份信息密文，将所述身份信息密文发送给所述挑战方，其中，所述证明方预先获取第一量子密钥；
37.接收和验证模块，用于接收所述身份信息密文，对所述身份信息密文进行验证，验证通过的情况下，接收所述证明方发送的属性信息密文；
38.解密和判断模块，用于基于所述第一随机数对所述属性信息密文进行解密，得到属性信息，基于可信策略判断所述属性信息是否合法，其中，所述可信策略基于预设的添加规则添加到所述挑战方。
39.一种基于量子密钥通信的远程证明装置，应用于证明方，所述证明方预先获取第一量子密钥，所述装置包括：
40.接收和解密模块，用于接收第一随机数密文，基于所述第一量子密钥对所述第一随机数密文进行解密，得到第一随机数；
41.加密模块，用于基于所述第一随机数对身份信息进行加密，得到身份信息密文；
42.第二发送模块，用于将所述身份信息密文发送给所述挑战方进行验证；
43.加密和发送模块，用于在接收到所述挑战方发送的验证通过指令时，基于所述第一随机数对属性信息进行加密，得到属性信息密文，将所述属性信息密文发送给所述挑战方，以令所述挑战方基于所述属性信息密文对所述证明方进行远程证明。
44.一种基于量子密钥通信的远程证明系统，包括：挑战方和证明方，所述挑战方和所述证明方预先获取第一量子密钥，所述系统包括：
45.所述挑战方，用于执行上述的用于挑战方的基于量子密钥通信的远程证明方法；
46.所述证明方，用于执行上述的用于证明方的基于量子密钥通信的远程证明方法。
47.与现有技术相比，本发明包括以下优点：
48.本发明公开了一种基于量子密钥通信的远程证明方法，应用于挑战方，挑战方预先获取第一量子密钥，该方法包括：生成第一随机数，基于第一量子密钥对所述第一随机数进行加密，得到第一随机数密文；将第一随机数密文发送给证明方，以令证明方基于第一随机数生成身份信息密文并发送给挑战方，在挑战方对身份信息密文验证通过的情况下，接收证明方发送的属性信息密文；基于第一随机数对属性信息密文进行解密，得到属性信息，基于可信策略判断所述属性信息是否合法，上述过程，采用量子密钥并且基于对称加密的方式在挑战方和证明方之间进行验证，不需要第三方机构，避免了度量过程中证明方身份容易被泄漏，导致证明方更容易遭受攻击者的攻击的问题。
附图说明
49.为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现
有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
50.图1为本技术实施例公开的一种基于量子密钥通信的远程证明方法流程图；
51.图2为本技术实施例公开的一种可信策略添加过程示意图；
52.图3为本技术实施例公开的一种基于量子密钥通信的远程证明方法又一流程图；
53.图4为本技术实施例公开的一种基于量子密钥通信的远程证明装置结构框图；
54.图5为本技术实施例公开的一种基于量子密钥通信的远程证明装置又一结构框图。
具体实施方式
55.下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
56.对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。
57.本发明公开了一种基于量子密钥通信的远程证明方法、装置及系统，应用于远程证明过程中，现有技术中，基于pca平台身份的远程证明，挑战方进行验证时需要验证其证书的合法性，pca完全掌握验证证书，一旦pca和挑战方进行合谋，将导致平台的身份被泄露；基于daa的远程证明适用于网络较小，边界比较确定的单域网络环境，此外由于基于daa远程证明的身份匿名性，证明方非常容易被伪装，造成中间人攻击；基于二进制的远程证明，证明过程中可信平台模块tpm(trusted platform module)对平台配置寄存器pcr(platform configuration register)值进行数字签名，然后发送签名后的平台完整性度量给远程挑战方，会暴露证明方的平台配置信息，从而使证明方更容易遭受攻击者的各种攻击；基于上述的问题，本发明提供了一种基于量子密钥通信的远程证明方法，所述证明方法应用于挑战方，预先基于安全通信协议从量子通信网络获取第一量子密钥，优选的，与所述挑战方对应的证明方基于所述安全通信协议从量子通信网络获取第一量子密钥，将所述第一量子密钥作为密钥加密密钥，所述证明方法的执行流程如图1所示，包括步骤：
58.s101、生成第一随机数，基于所述第一量子密钥对所述第一随机数进行加密，得到第一随机数密文；
59.本发明实施例中，在所述挑战方向所述证明方发起挑战的情况下，所述挑战方生成第一随机数，本发明实施例中对所述第一随机数的生成过程和存在形式不进行限定，基于所述第一量子密钥对所述第一随机数进行加密，得到第一随机数密文。
60.s102、将所述第一随机数密文发送给证明方，以令所述证明方基于所述第一量子密钥对所述第一随机数密文进行解密，得到所述第一随机数，基于所述第一随机数对身份
信息进行加密，得到身份信息密文，将所述身份信息密文发送给所述挑战方，其中，所述证明方预先获取第一量子密钥；
61.本发明实施例中，将所述第一随机数密文发送给所述证明方，由于所述证明方与所述挑战方采用对称加密的方式进行加密保护，因此，令所述证明方基于所述第一量子密钥对所述第一随机数密文进行解密，得到所述第一随机数，将所述第一随机数作为第一会话密钥，基于所述第一会话密钥与所述挑战方建立安全通道，基于所述第一随机数加密所述证明方的身份信息进行加密，得到身份信息密文，将所述身份信息密文通过安全通道发送给所述挑战方，其中，所述身份信息可以基于具体的情况或者经验进行设定，所述身份信息可以包括：ip地址，编号或者名称等，本发明实施例中不进行具体限定；优选的，预先将所述证明方中身份信息对应的标准身份信息存储到所述挑战方；优选的，所述挑战方将所述标准身份信息以预设的身份信息列表的形式存在，以令所述挑战方基于所述标准身份信息对所述身份信息密文进行验证。
62.s103、接收所述身份信息密文，对所述身份信息密文进行验证，验证通过的情况下，接收所述证明方发送的属性信息密文；
63.本发明实施例中，所述挑战方接收所述身份信息密文，对所述身份信息密文进行验证，具体的验证过程如下，基于所述第一随机数对所述身份信息密文进行解密，得到所述身份信息，将所述身份信息与所述身份信息列表中对应的标准身份信息进行匹配，其中，优选的，可以预先将每一个身份信息和其对应的标准身份信息基于标识建立关联，在进行匹配的过程中，获取每一个身份信息对应的标识，基于该标识确定所述身份信息列表中对应的标准身份信息，判断两者是否相同，在所述身份信息与所述身份信息列表中对应的标准身份信息全部相同的情况，判定所述身份信息验证通过，反之，判定所述身份信息验证失败，在所述身份信息验证失败的情况下，停止远程证明过程，并对验证失败的原因进行提示。
64.进一步的，在验证通过的情况下，向所述证明方发送验证通过指令，以令所述证明方发送属性信息密文，其中，所述属性信息密文用于对所述证明方进行远程证明。
65.s104、基于所述第一随机数对所述属性信息密文进行解密，得到属性信息，基于可信策略判断所述属性信息是否合法，其中，所述可信策略基于预设的添加规则添加到所述挑战方。
66.本发明实施例中，所述挑战方接收所述属性信息密文，基于所述第一随机数对所述属性信息密文进行解密，得到所述属性信息，基于可信策略判断所述属性信息是否合法，其中，所述属性信息的选取与可信策略有关，所述可信策略可以基于经验或者具体情况进行设定，本发明实施例中不进行限定，例如，所述可信策略包括：证明方的安全属性集合，比如某软件是否安装、是否运行等属性的集合。基于所述可信策略判断所述属性信息是否合法的执行流程如下，将每一个属性信息与所述可信策略中的对应项进行比较，得到比较结果，其中，所述结果可以为匹配，不匹配、相同、不相同或者其它比较结果组成的集合，基于所述比较结果是否满足预设的判定规则，在所述比较结果满足所述预设判定规则时，判定所述属性信息合法，反之判定，所述属性信息不合法，其中，所述预设的判定规则可以基于经验或者具体情况进行设定，本发明实施例中不进行限定，例如所述预设的判定规则可以为全部匹配或者匹配的百分比满足对应的百分比阈值等。
67.本发明公开了一种基于量子密钥通信的远程证明方法，应用于挑战方，挑战方预先获取第一量子密钥，该方法包括：生成第一随机数，基于第一量子密钥对所述第一随机数进行加密，得到第一随机数密文；将第一随机数密文发送给证明方，以令证明方基于第一随机数生成身份信息密文并发送给挑战方，在挑战方对身份信息密文验证通过的情况下，接收证明方发送的属性信息密文；基于第一随机数对属性信息密文进行解密，得到属性信息，基于可信策略判断所述属性信息是否合法，上述过程，采用量子密钥并且基于对称加密的方式在挑战方和证明方之间进行验证，不需要第三方机构，避免了度量过程中证明方身份容易被泄漏，导致证明方更容易遭受攻击者的攻击的问题。
68.本发明实施例中，所述可信策略可以直接在在指定位置获取后直接添加到所述挑战方，也可以基于可信配置服务端添加到所述挑战方，基于所述可信配置服务端添加所述可信策略的执行过程如图2所示，所述挑战方和所述可信配置服务端通过安全通信协议分别在量子通信网络节点a和量子通信网络节点b获取第二量子密钥，所述挑战方生成第二随机数，本发明实施例中，对所述第二随机数的生成过程和存在形式不进行限定，基于所述第二量子密钥对所述第二随机数进行加密，得到第二随机数密文，将所述第二随机数密文发送给可信配置服务端，以令所述可信配置服务端基于所述第二量子密钥对所述第二随机数密文进行解密，得到所述第二随机数，将所述第二随机数作为会话密钥，协商会话密钥后，采用经典加密信道，建立安全通道，并基于所述会话密钥(第二随机数)进行加密，所述可信配置服务端基于所述第二随机数对可信策略进行加密，得到可信策略密文，将所述可信策略密文发送给所述挑战方，所述挑战方接收所述可信策略密文，基于所述第二随机数对所述可信策略密文进行解密，保存所述可信策略。进一步的，当一个挑战过程完成后协商的会话密钥失效，在下一次挑战时重新协商。
69.优选的，所述挑战方、所述可信配置服务端分别内置tpm可信芯片，并通过完整性度量机制完成本端平台的完整性度量；完整性度量过程如下：
70.首先计算机bios会调用设备tpm芯片提供的哈希接口进行设备硬件rom、操作系统内核等关键部件的第一标准哈希值作为预期值，后续启动过程中采集各部件的第一当前哈希值并与所述第一标准哈希值对比，如果不一致则认为完整性度量不通过，否则认为完整性度量通过；其次操作系统启动后由操作系统内核模块对操作系统应用程序及关键配置文件进行哈希值对比，完成完整性度量。
71.本发明实施例中提供了一种基于量子密钥通信的远程证明方法，应用于证明方，假设所述证明方基于上述的挑战方进行远程证明，所述证明方和所述挑战方通过安全通信协议预先在量子通信网络节点c和量子通信网络节点a获取第一量子密钥，所述方法执行流程如图3所示，包括步骤：
72.s201、接收第一随机数密文，基于所述第一量子密钥对所述第一随机数密文进行解密，得到第一随机数；
73.本发明实施例中，所述证明方，接收所述第一随机数密文，基于所述第一量子密钥对所述第一随机数密文进行解密，得到第一随机数。
74.s202、基于所述第一随机数对身份信息进行加密，得到身份信息密文；
75.s203、将所述身份信息密文发送给所述挑战方进行验证；
76.本发明实施例中，所诉挑战方对所述身份信息的验证过程如s103所述，在此不再
赘述。
77.s204、在接收到所述挑战方发送的验证通过指令时，基于所述第一随机数对属性信息进行加密，得到属性信息密文，将所述属性信息密文发送给所述挑战方，以令所述挑战方基于所述属性信息密文对所述证明方进行远程证明。
78.本发明实施例中，接收到所述挑战方发送的验证通过指令时，获取所述属性信息，其中，基于所述第一随机数对所述属性信息进行加密，得到属性信息密文，所述属性信息的选取与可信策略有关，所述可信策略可以基于经验或者具体情况进行设定，本发明实施例中不进行限定，将所述属性信息密文发送给所述挑战方，以令所述挑战方基于所述属性信息密文对所述证明方进行远程证明，其中，所述挑战方的远程证明过程如s104所述，在此不再赘述。
79.本发明公开了一种基于量子通信的远程证明方法，应用于证明方，所述方法包括：接收第一随机数密文，基于所述第一量子密钥对所述第一随机数密文进行解密，得到第一随机数；基于所述第一随机数对身份信息进行加密，得到身份信息密文；将所述身份信息密文发送给所述挑战方进行验证；在接收到所述挑战方发送的验证通过指令时，基于所述第一随机数对属性信息进行加密，得到属性信息密文，将所述属性信息密文发送给所述挑战方，以令所述挑战方基于所述属性信息密文对所述证明方进行远程证明。上述过程，采用量子密钥并且基于对称加密的方式在挑战方和证明方之间进行验证，不需要第三方机构，避免了度量过程中证明方身份容易被泄漏，导致证明方更容易遭受攻击者的攻击的问题。
80.优选的，所述证明方内置tpm可信芯片，并通过完整性度量机制完成本端平台的完整性度量；完整性度量过程如下：
81.首先计算机bios会调用设备tpm芯片提供的哈希接口进行设备硬件rom、操作系统内核等关键部件的第二标准哈希值作为预期值，后续启动过程中采集各部件的第二当前哈希值并与预期值对比，如果不一致则认为完整性度量不通过，否则认为完整性度量通过；其次操作系统启动后由操作系统内核模块对操作系统应用程序及关键配置文件进行哈希值对比，完成完整性度量。
82.本发明主要基于量子通信远程证明方法，采用对称加解密方式对远程证明过程进行加解密，通过量子通信网络进行对称密钥的分发和更新，解决密钥实效性、远程密钥分发、多对多密钥分发等问题，能够更好地保护远程证明双方的隐私；量子通信网络支持星型网络、环形网络及混合结构部署，基于量子通信网络可以实现远程证明从单一域向多域扩展，满足各类复杂应用场景。
83.基于上述的一种基于量子密钥通信的远程证明方法，应用于挑战方，本发明实施例中还提供了一种基于量子密钥通信的远程证明装置，应用于挑战方，所述挑战方预先获取第一量子密钥，所述装置的结构框图如图4所示，包括：
84.生成和加密模块301、第一发送模块302、接收和验证模块303和解密和判断模块304。
85.其中，
86.所述生成和加密模块301，用于生成第一随机数，基于所述第一量子密钥对所述第一随机数进行加密，得到第一随机数密文；
87.所述第一发送模块302，用于将所述第一随机数密文发送给证明方，以令所述证明
方基于所述第一量子密钥对所述第一随机数密文进行解密，得到所述第一随机数，基于所述第一随机数对身份信息进行加密，得到身份信息密文，将所述身份信息密文发送给所述挑战方，其中，所述证明方预先获取第一量子密钥；
88.所述接收和验证模块303，用于接收所述身份信息密文，对所述身份信息密文进行验证，验证通过的情况下，接收所述证明方发送的属性信息密文；
89.所述解密和判断模块304，用于基于所述第一随机数对所述属性信息密文进行解密，得到属性信息，基于可信策略判断所述属性信息是否合法，其中，所述可信策略基于预设的添加规则添加到所述挑战方。
90.本发明公开了一种基于量子密钥通信的远程证明装置，应用于挑战方，挑战方预先获取第一量子密钥，该装置包括：生成和加密模块，用于生成第一随机数，基于第一量子密钥对所述第一随机数进行加密，得到第一随机数密文；第一发送模块，用于将第一随机数密文发送给证明方，以令证明方基于第一随机数生成身份信息密文并发送给挑战方；接收和验证模块，用于对身份信息密文验证通过的情况下，接收证明方发送的属性信息密文；解密和判断模块，用于基于第一随机数对属性信息密文进行解密，得到属性信息，基于可信策略判断所述属性信息是否合法。上述过程，采用量子密钥并且基于对称加密的方式在挑战方和证明方之间进行验证，不需要第三方机构，避免了度量过程中证明方身份容易被泄漏，导致证明方更容易遭受攻击者的攻击的问题。
91.基于上述的一种基于量子密钥通信的远程证明方法，应用于证明方，本发明实施例中还提供了一种基于量子密钥通信的远程证明装置，应用于证明方，所述证明方预先获取第一量子密钥，所述装置的结构框图如图5所示，包括：
92.接收和解密模块401、加密模块402、第二发送模块403和加密和发送模块404。
93.其中，
94.所述接收和解密模块401，用于接收第一随机数密文，基于所述第一量子密钥对所述第一随机数密文进行解密，得到第一随机数；
95.所述加密模块402，用于基于所述第一随机数对身份信息进行加密，得到身份信息密文；
96.所述第二发送模块403，用于将所述身份信息密文发送给所述挑战方进行验证；
97.所述加密和发送模块404，用于在接收到所述挑战方发送的验证通过指令时，基于所述第一随机数对属性信息进行加密，得到属性信息密文，将所述属性信息密文发送给所述挑战方，以令所述挑战方基于所述属性信息密文对所述证明方进行远程证明。
98.本发明公开了一种基于量子通信的远程证明装置，应用于证明方，所述装置包括：接收和解密模块，用于接收第一随机数密文，基于所述第一量子密钥对所述第一随机数密文进行解密，得到第一随机数；加密模块，用于基于所述第一随机数对身份信息进行加密，得到身份信息密文；第二发送模块，用于将所述身份信息密文发送给所述挑战方进行验证；加密和发送模块，用于在接收到所述挑战方发送的验证通过指令时，基于所述第一随机数对属性信息进行加密，得到属性信息密文，将所述属性信息密文发送给所述挑战方，以令所述挑战方基于所述属性信息密文对所述证明方进行远程证明。上述过程，采用量子密钥并且基于对称加密的方式在挑战方和证明方之间进行验证，不需要第三方机构，避免了度量过程中证明方身份容易被泄漏，导致证明方更容易遭受攻击者的攻击的问题。
99.本发明公开了一种基于量子密钥通信的远程证明系统，包括：挑战方和证明方，所述挑战方和所述证明方预先通过安全通信协议获取第一量子密钥，所述证明系统中量子通信网络主要实现量子密钥分发，借助量子密钥实现对远程证明过程中信息的对称加解密。通过该方法可以将远程证明参与者简化为证明方和挑战方，所有远程证明过程中的属性信息、身份信息等仅在证明方和挑战方之间传递。典型的远程证明系统还包含可信配置服务端，通过可信配置服务端向挑战方下发可信策略。基于量子通信的远程证明方法具体技术方案如下：
100.(1)挑战方、证明方和可信配置服务端分别内置tpm可信芯片，并通过完整性度量机制完成本端平台的完整性度量；完整性度量过程如下：
101.首先计算机bios会调用设备tpm芯片提供的哈希接口进行设备硬件rom、操作系统内核等关键部件的哈希值作为预期值，后续启动过程中采集各部件的哈希值并与预期值对比，如果不一致则认为完整性度量不通过，否则认为完整性度量通过；其次操作系统启动后由操作系统内核模块对操作系统应用程序及关键配置文件进行哈希值对比，完成完整性度量。
102.(2)挑战方与可信配置服务端通过安全通信协议分别从量子通信网络获取第一量子密钥，并将所述第一量子密钥作为密钥加密密钥，加密会话密钥协商过程；可信配置服务端通过会话密钥加密并下发可信策略到挑战方，挑战方进行解密并存储到本地；
103.(3)挑战方向证明方发起挑战，两端分别通过安全通信协议从量子通信网络获取第一量子密钥，并将第一量子密钥作为密钥加密密钥，加密会话密钥协商过程；证明方使用会话密钥与挑战方建立安全通道，并使用会话密钥加密本端的身份认证信息后通过安全通道发送给挑战方，挑战方解密并对证明方的平台身份进行认证；
104.(4)身份认证通过后，证明方收集本地属性信息，使用会话密钥加密属性信息，通过建立的安全通道发送给挑战方，挑战方接收后解密属性信息并与可信策略进行匹配性检测，判断证明方属性是否合法，从而完成远程证明；
105.进一步的，当挑战方或证明方变化后重复(2)-(4)即可。
106.需要说明的是，本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。对于装置类实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
107.最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个
……”
限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
108.为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本发明时可以把各单元的功能在同一个或多个软件和/或硬件中实现。
109.通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本发明可
借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如rom/ram、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例或者实施例的某些部分所述的方法。
110.以上对本发明所提供的一种基于量子密钥通信的远程证明方法、装置及系统进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。