一种用于密码机次主密钥的在线分发网络及方法与流程

本发明涉及密码，特别涉及借助量子通信方式实现的一种用于密码机次主密钥的在线分发网络及方法。

背景技术：

1、现有的商用密码机(例如服务器密码机、金融数据密码机等)在分发次主密钥(或称“密钥加密密钥”、“密钥保护密钥”等)时，往往是以人工的方式先向总部业务系统的密码机灌注次主密钥，并生成相应的密钥信封，然后通过邮递的方式向与其存在业务交互的分支业务系统的密码机线下快递密钥信封，使得能够借助密钥信封，同样以人工方式向该分支业务系统的密码机灌注次主密钥，例如图1所示那样。

2、然而，在现有商用密码机次主密钥的这种分发方式下，次主密钥容易暴露在安全域外。因此，现有的次主密钥分发方式必须依赖严格的管理制度和大量的人力支撑才能完成，某一个环节出现问题很容易造成次主密钥更新失败或者出现次主密钥泄露风险。

技术实现思路

1、针对现有技术中存在的上述问题，本发明公开了一种用于密码机次主密钥的在线分发网络及方法，其借助量子通信方式，以安全的方式将密码机的次主密钥由线下分发方式变更为在线分发方式，使得其分发效率得以提升，且能够有效规避管理、人员问题等造成的风险，彻底解决密钥在非安全区域出现的问题。同时，允许沿用密码机现有的密钥导入相关标准协议接口，无需对设备进行改造，有利于原有系统的兼容。

2、本发明的第一方面涉及一种用于密码机次主密钥的在线分发方法，其包括次主密钥生成步骤和次主密钥下发步骤；

3、在所述次主密钥生成步骤中，借助量子密钥分发过程在第一和第二密钥管理机之间生成共享量子密钥；

4、在所述次主密钥下发步骤中，由所述第一密钥管理机以加密方式将所述共享量子密钥写入第一密码机，由所述第二密钥管理机以加密方式将所述共享量子密钥写入第二密码机，并且将所述共享量子密钥设为用于所述第一和第二密码机的次主密钥。

5、进一步地，本发明的在线分发方法还可以包括网络配置步骤，其中，将所述第一密码机配置成与所述第一密钥管理机形成通信连接，将所述第二密码机配置成与所述第二密钥管理机形成通信连接，所述第一密钥管理机连接有第一qkd设备，所述第二密钥管理机连接有第二qkd设备；并且，

6、在所述次主密钥生成步骤中，基于量子密钥分发网络，借助所述第一和第二qkd设备在所述第一和第二密钥管理机之间生成共享量子密钥。

7、优选地，在所述网络配置步骤中，将所述第一密码机、第一密钥管理机和第一qkd设备部署于同一安全域内，并将所述第二密码机、第二密钥管理机和第二qkd设备部署于同一安全域内。

8、进一步地，本发明的在线分发方法还可以包括主密钥预分配步骤，用于预先在所述第一密码机和第一密钥管理机之间分配第一主密钥，以及预先在所述第二密码机和第二密钥管理机之间分配第二主密钥；并且，

9、在所述次主密钥下发步骤中，利用所述第一主密钥以加密方式将所述共享量子密钥写入第一密码机，利用所述第二主密钥以加密方式将所述共享量子密钥写入第二密码机。

10、可选地，在所述次主密钥下发步骤中，加密的共享量子密钥通过标准的密钥导入接口被写入至密码机中。

11、本发明的第二方面涉及一种用于密码机次主密钥的在线分发网络，其包括第一密码机、第二密码机、第一密钥管理机和第二密钥管理机；

12、所述第一和第二密钥管理机被设置用于借助量子密钥分发网络生成共享量子密钥；

13、所述第一密钥管理机还被设置成与所述第一密码机形成通信连接，用于以加密方式向其输出所述共享量子密钥，作为次主密钥使用；

14、所述第二密钥管理机还被设置成与所述第二密码机形成通信连接，用于以加密方式向其输出所述共享量子密钥，作为次主密钥使用。

15、进一步地，所述第一密钥管理机连接有第一qkd设备，且所述第一qkd设备被设置用于借助量子密钥分发网络生成量子密钥，以及向第一密钥管理机输出量子密钥；

16、所述第二密钥管理机连接有第二qkd设备，且所述第二qkd设备被设置用于借助量子密钥分发网络生成量子密钥，以及向第二密钥管理机输出量子密钥。

17、优选地，所述第一密码机、第一密钥管理机和第一qkd设备部署于同一安全域内，且所述第二密码机、第二密钥管理机和第二qkd设备部署于同一安全域内；以及/或者，所述密钥管理机和qkd设备为一体机设备。

18、进一步地，所述第一密钥管理机和第一密码机之间预先存储有第一主密钥，且所述第一密钥管理机被设置用于利用所述第一主密钥加密共享量子密钥；

19、所述第二密钥管理机和第二密码机之间预先存储有第二主密钥，且所述第二密钥管理机被设置用于利用所述第二主密钥加密共享量子密钥。

20、可选地，所述密码机具有标准的密钥导入接口，用于允许写入加密的共享量子密钥。

21、进一步地，本发明的在线分发网络还可以包括服务平台，所述服务平台被设置用于根据加密需求，调用密钥管理机以加密方式将共享量子密钥写入密码机。

技术特征：

1.一种用于密码机次主密钥的在线分发方法，其包括次主密钥生成步骤和次主密钥下发步骤；

2.如权利要求1所述的在线分发方法，其还包括网络配置步骤，其中，将所述第一密码机配置成与所述第一密钥管理机形成通信连接，将所述第二密码机配置成与所述第二密钥管理机形成通信连接，所述第一密钥管理机连接有第一qkd设备，所述第二密钥管理机连接有第二qkd设备；并且，

3.如权利要求2所述的在线分发方法，其中，在所述网络配置步骤中，将所述第一密码机、第一密钥管理机和第一qkd设备部署于同一安全域内，并将所述第二密码机、第二密钥管理机和第二qkd设备部署于同一安全域内。

4.如权利要求1所述的在线分发方法，其还包括主密钥预分配步骤，用于预先在所述第一密码机和第一密钥管理机之间分配第一主密钥，以及预先在所述第二密码机和第二密钥管理机之间分配第二主密钥；并且，

5.如权利要求1-4中任一项所述的在线分发方法，其中，在所述次主密钥下发步骤中，加密的共享量子密钥通过标准的密钥导入接口被写入至密码机中。

6.一种用于密码机次主密钥的在线分发网络，其包括第一密码机、第二密码机、第一密钥管理机和第二密钥管理机；

7.如权利要求6所述的在线分发网络，其中，所述第一密钥管理机连接有第一qkd设备，且所述第一qkd设备被设置用于借助量子密钥分发网络生成量子密钥，以及向第一密钥管理机输出量子密钥；

8.如权利要求7所述的在线分发网络，其中，所述第一密码机、第一密钥管理机和第一qkd设备部署于同一安全域内，且所述第二密码机、第二密钥管理机和第二qkd设备部署于同一安全域内；以及/或者，所述密钥管理机和qkd设备为一体机设备。

9.如权利要求6所述的在线分发网络，其中，所述第一密钥管理机和第一密码机之间预先存储有第一主密钥，且所述第一密钥管理机被设置用于利用所述第一主密钥加密共享量子密钥；

10.如权利要求6所述的在线分发网络，其中，所述密码机具有标准的密钥导入接口，用于允许写入加密的共享量子密钥。

11.如权利要求6所述的在线分发网络，其还包括服务平台，所述服务平台被设置用于根据加密需求，调用密钥管理机以加密方式将共享量子密钥写入密码机。

技术总结
本发明公开了一种用于密码机次主密钥的在线分发网络及方法，其借助量子通信方式，以安全的方式将密码机的次主密钥由线下分发方式变更为在线分发方式，使得其分发效率得以提升，且能够有效规避管理、人员问题等造成的风险，彻底解决密钥在非安全区域出现的问题。同时，允许沿用密码机现有的密钥导入相关标准协议接口，无需对设备进行改造，有利于原有系统的兼容。

技术研发人员：李霞
受保护的技术使用者：科大国盾量子技术股份有限公司
技术研发日：
技术公布日：2024/1/16