一种基于量子安全移动存储介质的密钥管理方法与流程

本发明涉及电力通信、量子密码、量子通信领域。

背景技术：

量子密码是一种新的密码体系，与传统的密码系统不同，量子密码的安全性依赖于量子物理学，而非数学的运算复杂度。目前，量子密码设备能够基于单个光子和它们固有的量子属性生成出一种不可破解的密码系统，缘由是在不干扰系统的情况下无法测定该系统的量子状态，理论上能达到密码不可被窃听和破译的水平。

电力企业事关国家安全、社会稳定，一直以来都是信息安全领域攻击者的重点目标，极易成为国家间尤其是大国间网络战的首选目标。近年来，随着电力通信安全需求的不断提升以及量子通信在商业领域的应用与日俱增，量子密钥在电力通信网业务数据加密的应用也越来越广泛。量子通信的核心是量子密钥分配系统。量子密钥分配系统使用量子密钥分配设备(qkd)为电力通信骨干网中端到端的安全网关、专用加密机等安全设备提供对称的量子密钥。量子密钥的使用提高了电力通信骨干网业务数据的传输安全性，但处于电力通信边际网的大量电力业务终端设备仍然处于短密钥防护，甚至无防护状态。

技术实现要素：

本发明所要解决的技术问题是实现一种以量子安全移动存储介质为载体的，易于实现密钥充注时自动绑定存储介质的密钥管理方法，以满足巨量电力业务终端设备实时量子保密通信的需求。

为了实现上述目的，本发明采用的技术方案为：一种基于量子安全移动存储介质的密钥管理方法，通过获取量子安全移动存储介质中硬件标识绑定的一级密钥标识，再依次通过识别硬件、匹配密钥、检查密钥、读取密钥和充注密钥过程，完成量子密钥自动冲注。

所述量子安全移动存储介质包括：

一级密钥标识为量子密钥单元标识，由管理中心生成唯一一级标识id，所述一级标识id由电力机构标识、量子密钥应用加解密双方标识id和量子安全移动存储介质标识id组成；

二级标识为量子密钥块标识，二级标识id由量子密钥使用期限和量子密钥长度标识组成，所述量子密钥使用期限和量子密钥长度标识根据应用系统的更新周期设定；

三级标识为量子密钥标识，对应加解密数据的量子密钥，其密钥长度根据加密算法要求的密钥长度设定。

当量子安全移动存储介质进行密钥充注时，一级标识与二级标识的组合内容使用国密算法生成唯一标识，结合三级标识写入量子安全移动存储介质中。

主密钥加密离线量子密钥后生成的密文数据构成密文密钥，所述密文密钥存储在密钥存储区。

其特征在于：

所述一级标识：应用于量子密钥自动充注过程中量子安全移动存储介质识别和介质绑定；

所述二级标识：用于量子密钥自动充注过程中密钥生命周期管理和解密密钥映射标识；

每个量子安全移动存储介质对应n个一级标识，每个一级标识对应k个二级标识，每个二级标识对应l个三级级标识，其中n≥1，k≥1，l≥1。

量子密钥自动冲注包括以下步骤：

步骤1：量子安全移动存储介质插入充注接口，系统自动检测并读取量子安全移动存储介质硬件标识；

步骤2：查询量子安全移动存储介质硬件标识关联的密钥单元标识，根据系统加密算法和密钥更新周期查找对应的量子密钥；

步骤3：如果量子安全移动存储介质硬件标识无关联密钥单元标识，则进入步骤5,否则进入步骤4；

步骤4：检查密钥，如果密钥内容不一致，则进入步骤5，否则进入步骤6；

步骤5：量子安全移动存储介质一键制作，选择绑定密钥单元标识并进行格式化，成功则进入下一步，否则告警提示并结束；

步骤6：读取量子密钥到密钥缓冲池，如果密钥不足，则系统自动产生量子随机数补充密钥；

步骤7：量子密钥注入量子安全移动存储介质中，完成自动冲注。

本发明是一种应用于电力量子保密通信网络的量子安全移动存储介质密钥管理方法，针对当前电力信息系统中广泛使用的业务终端，通过量子保密通信技术，在不破坏原有网络结构的前提下，为业务终端提供高速率、真随机的量子离线密钥，提高了业务通信安全性。

附图说明

下面对本发明说明书中每幅附图表达的内容作简要说明：

图1为离线量子密钥三级标识结构图；

图2为密文密钥的主密钥对应结构；

图3为量子安全移动存储介质自动识别和充注流程。

具体实施方式

下面对照附图，通过对实施例的描述，本发明的具体实施方式如所涉及的各构件的形状、构造、各部分之间的相互位置及连接关系、各部分的作用及工作原理、制造工艺及操作使用方法等，作进一步详细的说明，以帮助本领域技术人员对本发明的发明构思、技术方案有更完整、准确和深入的理解。

以量子安全移动存储介质为载体分发的量子密钥称为离线量子密钥。离线量子密钥采用两层密钥加密存储，第一层密钥为主密钥，是量子密钥，由主密钥加密，第二层为离线量子密钥，其中离线量子密钥数据部分由主密钥加密。

主密钥在量子安全移动存储介质中采用隐藏式存储结构，该存储结构的主密钥块通过量子安全移动存储介质提供的pin密码和接口进行读取。量子密钥块中存储的密文密钥解密过程由管理系统初始设定的保密映射算法，从主密钥的n长度中随机选择选择l个字节组成解密密钥，通过设定解密算法(如sm4算法)还原密钥。

如图2所示，主密钥是加密芯片存储的少量量子密钥，采用随机方式从主密钥中选择l个字节组成一个主密钥块，并将该主密钥块对应于一个量子密钥块标识，

离线量子密钥采用三级存储标识，如图1所示，量子密钥单元标识为一级密钥标识，由管理中心生成唯一标识id，该标识id由电力机构标识、量子密钥应用加解密双方标识id和量子安全移动存储介质标识id组成；量子密钥块标识为二级标识，二级标识id由量子密钥使用期限和量子密钥长度标识组成，期限与长度根据应用系统的更新周期设定；量子密钥标识为三级标识，对应加解密数据的量子密钥，其密钥长度根据加密算法要求的密钥长度设定。在量子安全移动存储介质进行密钥充注时，一级标识与二级标识的组合内容使用国密算法生成唯一标识，结合三级标识写入量子安全移动存储介质中。密文密钥是由主密钥加密离线量子密钥后生成的密文数据，存储在密钥存储区。

以上三级存储标识中，一级标识应用于量子密钥自动充注过程中量子安全移动存储介质识别和介质绑定，二级标识用于量子密钥自动充注过程中密钥生命周期管理和解密密钥映射标识，三级标识用于每份量子密钥的识别与应用。每个量子安全移动存储介质对应n(n≥1)个一级标识，每个一级标识对应k(k≥1)个二级标识，每个二级标识对应l(l≥1)个三级级标识。

量子安全移动存储介质充注量子密钥过程采用自动充注方法，依据量子安全移动存储介质硬件标识绑定的一级密钥标识，依次通过识别硬件、匹配密钥、检查密钥、读取密钥和充注密钥过程，实现量子密钥自动冲注。步骤如下：

步骤1：量子安全移动存储介质插入充注接口，系统自动检测并读取量子安全移动存储介质硬件标识；

步骤2：查询量子安全移动存储介质硬件标识关联的密钥单元标识，根据系统加密算法和密钥更新周期查找对应的量子密钥；

步骤3：如果量子安全移动存储介质硬件标识无关联密钥单元标识，则进入步骤5；

步骤4：检查密钥，如果密钥内容不一致，则进入步骤5；

步骤5：量子安全移动存储介质一键制作，选择绑定密钥单元标识并进行格式化，成功则进入下一步，否则告警提示并结束；

步骤6：读取量子密钥到密钥缓冲池，如果密钥不足，则系统自动产生量子随机数补充密钥；

步骤7：量子密钥注入量子安全移动存储介质中，完成自动冲注。

上面结合附图对本发明进行了示例性描述，显然本发明具体实现并不受上述方式的限制，只要采用了本发明的方法构思和技术方案进行的各种非实质性的改进，或未经改进将本发明的构思和技术方案直接应用于其它场合的，均在本发明的保护范围之内。