一种量子密钥传输控制方法及系统的制作方法
【技术领域】
[0001]本发明涉及量子安全通信领域，特别是提供了一种量子密钥传输控制方法、系统、量子密钥管理终端以及业务应用终端。
【背景技术】
[0002]随着网络技术的快速发展，大量敏感信息需要通过网络传输，人们需要对敏感信息进行保护以免丢失或遭到攻击。加密是保障信息安全的重要手段之一。对于经典通信，当前最常用的加密技术是用复杂的数学算法来改变原始信息，如AES、3DES、RSA、MD5、SHA-1等等。
[0003]现有经典加密体系是建立在计算复杂度基础之上的，随着数学的进步和计算机速度的不断提升，其存在被破译的可能，并非绝对可靠。经典密码体制中，只有一次一密具有无条件安全性，它要求有与被加密数据相同长度的随机数密钥。而如何产生大量的随机数密钥一直是个难题，所以一次一密并没有得到实际应用。量子密钥分配(QKD)技术的出现解决了这个难题。
[0004]量子密钥分配技术，基于“海森堡测不准原理”和“量子不可复制原理”，使用每比特单光子传输随机数，在发送端和接收端之间能够产生并共享大量的随机数密钥，即量子密钥。原理上，对QKD过程的任何窃听都必然会被发现。以常用的光量子通信方案为例，量子信息由单光子的量子状态承载；而单光子是光能量变化的最小单元，也可以说是组成光的最基本单元，已不可再分，窃听者不能通过分割光子来窃听信息；“量子不可复制原理”决定了未知单光子状态不能被精确复制，因此窃听者也不能通过截获并复制光子状态来窃听信息；“海森堡测不准原理”则决定了对未知单光子状态的测量必然会对其状态产生扰动，通信者就可以利用这一点发现窃听。因此，QKD过程所产生的密钥具有理论上的绝对安全性。
[0005]QKD技术使得一次一密得以真正实现。使用量子密钥对通信业务或数据采用一次一密的加密方式，能够保证加密通信具有无条件安全性。即使不采用一次一密，通过使用量子密钥代替经典加密体系中的种子密钥，以及提高密钥更新频率，也能够极大地增强加密通信的安全性。
[0006]通常，QKD系统生成的量子密钥通过本地连接注入到量子密钥管理终端中，业务应用终端需要具备向量子密钥管理终端请求并接收量子密钥的功能，以便使用量子密钥进行身份认证、会话密钥协商保护、数据报文的加解密和完整性保护等安全通信。因此，需要为业务应用终端同量子密钥管理终端设计接口通信协议，以保证业务应用终端申请和获取量子密钥的顺利进行，能够对量子密钥的传输过程进行有效控制，并能保证通信双方从量子密钥管理终端所获取的量子密钥的一致性。同时，该接口通信协议应具有较好的通用性，能够适用于不同的业务应用终端与量子密钥管理终端间的通信过程。
【发明内容】
[0007]针对上述现有技术存在的缺陷，本发明提出一种量子密钥传输控制方法和系统，用于业务应用终端与量子密钥管理终端间的通信过程，能够保证业务应用终端申请和获取量子密钥的高效性，保证通信双方所获取量子密钥的一致性。该方法具有较好的通用性，能够运用于不同的业务应用终端与量子密钥管理终端间的通信过程。
[0008]本发明一方面提供一种量子密钥传输控制方法，包括如下步骤:
[0009]步骤1，发送端业务应用终端和接收端业务应用终端协商获取量子密钥的各种参数，该参数包括:开始ID、目的ID、密钥使用方式、请求的密钥字节数；其中，开始ID和目的ID为量子密钥的获取标识，用于标识发送端业务应用终端对应的第一量子密钥管理终端和接收端业务应用终端对应的第二量子密钥管理终端间共享的量子密钥；
[0010]步骤2，发送端和接收端业务应用终端分别向第一和第二量子密钥管理终端发送密钥请求并获取量子密钥；
[0011]步骤3，发送端和接收端业务应用终端使用量子密钥对用户业务或者数据进行加解密等，从而提供安全通信服务。
[0012]进一步地，所述参数还包括申请标识，用于标识业务应用终端并行处理的多个密钥申请进程。
[0013]优选地，发送端业务应用终端和接收端业务应用终端以挑战-应答的方式进行参数协商，发送端业务应用终端将开始ID、申请标识、密钥使用方式、请求的密钥字节数发送到接收端业务应用终端，接收端业务应用终端将开始ID、目的ID、申请标识、密钥使用方式、请求的密钥字节数回复给发送端业务应用终端，双方完成一次参数协商过程。
[0014]优选地，在步骤I之前，发送端和接收端业务应用终端分别向第一和第二量子密钥管理终端发送认证请求，与向其提供服务的量子密钥管理终端进行握手认证。
[0015]进一步地，发送端和接收端业务应用终端分别向第一和第二量子密钥管理终端发送认证请求帧，第一和第二量子密钥管理终端分别回复认证响应帧给发送端和接收端业务应用终端，如果认证成功，发送端和接收端业务应用终端分别与第一和第二量子密钥管理终端建立对应关系。
[0016]进一步地，在握手认证之前，还包括发送端和接收端业务应用终端、第一和第二量子密钥管理终端的初始化，该初始化包括:第一，对发送端和接收端业务应用终端的设备参数进行初始化配置，包括密钥请求量、设备ID、IP地址、安全通信策略；第二，对发送端和接收端业务应用终端分别与第一和第二量子密钥管理终端间的物理连接进行确认。
[0017]优选地，根据步骤I所确定的各参数，发送端业务应用终端向第一量子密钥管理终端发送申请密钥数据请求帧，第一量子密钥管理终端回复申请密钥数据响应帧给发送端业务应用终端，如果第一量子密钥管理终端中符合要求的量子密钥量不小于密钥请求量，则在申请密钥数据响应帧中标注密钥足够的标识，否则，在申请密钥数据响应帧中标注密钥不足的标识。
[0018]进一步地，发送端业务应用终端将密钥是否充足的信息发送给接收端业务应用终端，如果密钥充足，则双方协商确定一次读取的密钥字节数；如果密钥不足，则双方继续协商获取量子密钥的相关参数。
[0019]进一步地，在步骤2中，发送端和接收端业务应用终端分别向第一和第二量子密钥管理终端发送密钥请求帧，该密钥请求帧中包括在步骤I中确定的参数配置，第一和第二量子密钥管理终端根据所述确定的参数配置回复密钥响应帧。
[0020]优选地，发送端和接收端业务应用终端将获取的量子密钥存入缓存区，并对获取的量子密钥进行一致性校验，双方保留通过一致性校验的量子密钥。
[0021]本发明第二方面提供一种量子密钥传输控制系统，包括发送端业务应用终端和接收端业务应用终端在内的至少两个业务应用终端，及对应的包括第一和第二量子密钥管理终端在内的至少两个量子密钥管理终端，其特征在于:
[0022]发送端业务应用终端，用于与接收端业务应用终端协商获取量子密钥的各种参数，并根据协商参数向第一量子密钥管理终端发送密钥请求并获取量子密钥，所述参数包括:开始ID、目的ID、密钥使用方式、请求的密钥字节数；其中，开始ID和目的ID为量子密钥的获取标识，用于标识发送端业务应用终端对应的第一量子密钥管理终端和接收端业务应用终端对应的第二量子密钥管理终端间共享的量子密钥；
[0023]接收端业务应用终端，用于与发送端业务应用终端进行上述参数协商，并根据协商参数向第二量子密钥管理终端发送密钥请求并获取量子密钥；
[0024]第一和第二量子密钥管理终端，用于分别响应对应的发送端业务应用终端和接收端业务应用终端的密钥请求，并向相应的业务应用终端提供量子密钥；
[0025]发送端和接收端业务应用终端使用量子密钥对用户业务或者数据进行加解密等，以提供安全通信服务。
[0026]进一步地，所述参数还包括申请标识，用于标识业务应用终端并行处理的多个密钥申请进程。
[0027]优选地，发送端业务应用终端和接收端业务应用终端以挑战-应答的方式进行参数协商，发送端业务应用终端将开始ID、申请标识、密钥使用方式、请求的密钥字节数发送到接收端业务应用终端，接收端业务应用终端将开始ID、目的ID、申请标识、密钥使用方式、请求的密钥字节数回复给发送端业务应用终端，双方完成一次参数协商过程。
[0028]优选地，在参数协商之前，发送端和接收端业务应用终端分别向第一和第二量子密钥管理终端发送认证请求，与向其提供服务的量子密钥管理终端进行握手认证。
[0029]进一步地，发送端和接收端业务应用终端分别向第一和第二量子密钥管理终端发送认证请求帧，第一和第二量子密钥管理终端分别回复认证响应帧给发送端和接收端业务应用终端，如果认证成功，发送端和接收端业务应用终端分别与第一和第二量子密钥管理终端建立对应关系。
[0030]进一步地，在握手认证之前，还包括发送端和接收端业务应用终端、第一和第二量子密钥管理终端的初始化，该初始化包括:第一，对发送端和接收端业务应用终端的设备参数进行初始化配置，包括密钥请求量、设备ID、IP地址、安全通信策略；第二，对发送端和接收端业务应用终端分别与第一和第二量子密钥管理终端间的物理连接进行确认。
[0031]优选地，根据协商所确定的各参数，发送端业务应用终端向第一量子密钥管理终端发送申请密钥数据请求帧，第一量子密钥管理终端回复申请密钥数据响应帧给发送端业务应用终端，如果第一量子密钥管理终端中符合要求的量子密钥量不小于密钥请求量，则在申请密钥数据响应帧中标注密钥足够的标识，否则，在申请密钥数据响应帧中标注密钥不足的标识。
[0032]进一步地，发送端业务应用终端将密钥是否充足的信息发送给接收端业务应用终端，如果密钥充足，则双方协商确定一次读取的密钥字节数；如果密钥不足，则双方继续协商获取量子密钥的相关参数。
[0033]进一步地，发送端和接收端业务应用终端分别向第一和第二量子密钥管理终端发送密钥请求帧，该密钥请求帧中包括所述协商确定的各参数，第一和第二量子密钥管理终端根据所述协商确定的各参数回复密钥响应帧。
[0034]优选地，发送端和接收端业务应用终端将获取的量子密钥存入缓存区，并对获取的量子密钥进行一致性校验，双方保留通过一致性校验的量子密钥。
[0035]本发明第三方面提供一种量子密钥管理终端，用于在上述量子密钥传输控制系统中为包括发送端和接收端业务应用终端在内的多个业务应用终端之间的安全通信提供量子密钥，该量子密钥管理终端包括:
[0036]存储模块，用于对量子密钥分发(QKD)系统发送的量子密钥进行存储，根据对应的业务应用终端的密钥需求，将相应数量的量子密钥发送到第一量子密钥交互模块；
[0037]第一量子密钥交互模块，用于接收对应的业务应用终端发送的密钥请求，从存储模块中获取量子密钥，从而实现向业务应用终端的量子密钥输出。
[0038]优选地，该量子密钥管理终端还包括第一初始化模块，用于对量子密钥管理终端进行物理连接确认的初始化工作。
[0039]进一