CN109714166A - 一种基于量子密钥的移动分发方法、***、终端及存储介质 - Google Patents

Abstract

本发明提供一种基于量子密钥的移动分发方法、***、终端及存储介质，所述方法包括：量子密钥管理平台对***的量子密钥移动存储设备执行初始化处理；若量子密钥移动存储设备初始化完成，则量子密钥管理平台将量子密钥移动存储设备发放给用户，量子密钥移动存储设备与用户进行身份绑定完成注册激活；量子密钥充注硬件设备和量子密钥管理平台分别对***的量子密钥移动存储设备进行身份认证，若身份认证均通过，则量子密钥充值设备获取原量子密钥设备内的量子密钥，并将量子密钥写入量子密钥移动存储设备，完成量子密钥充注；通过具有量子密钥充注权限的量子密钥移动存储设备将量子密钥分发给用户，实现了无光纤环境下的量子密钥安全分发。

Description

一种基于量子密钥的移动分发方法、***、终端及存储介质

技术领域

本发明属于量子通信技术领域，具体涉及一种基于量子密钥的移动分发方法、***、终端及存储介质。

背景技术

随着计算机计算能力的提升，尤其是量子计算技术的出现，现在广泛的非对称加密体系，面临着被破解的风险，量子通信技术作为目前唯一已证“无条件安全”的通信方式，有着广泛的应用前景。

量子通信是利用量子态和量子纠缠效应进行信息或密钥传输的新型通信方式。基于量子力学原理能够在理论和协议层面提供无法窃听的绝对安全性保证。广义的量子通信包括量子密钥分发、量子隐形传态、量子密集编码、量子安全直接通信等。量子通信中的量子隐形传态、量子安全直接通信和量子秘密共享等分支一直是前沿基础理论研究领域和科学实验探索方面的热点，但限于实用化发展水平，距离产业应用尚有一定距离。目前行内所说的量子通信，指的是狭义的量子通信技术，一般称量子密钥分发(Quantum KeyDistribution，QKD)，或量子保密通信。量子密钥分发以量子态为信息载体，基于量子力学的海森堡测不准原理和量子不可克隆定理，通信收发双方通过量子信道共享密钥，是量子力学与密码学相结合的产物。QKD技术在通信中并不传输密文，只是利用量子信道传输密钥，将密钥分发到通信双方。通过单光子量子态的制备、传输、测量和经典通信协议后处理，实现通信双方之间的量子密钥共享，再结合“一次一密”的对称加密机制(即通信双方均使用与信息等长的密码进行逐比特的加解密操作)，理论上可实现绝对安全的量子通信。1984年，Bennet C.H.和Brassard G.提出第一个量子密钥分发协议(BB84协议)，揭开了量子密钥分发技术研究的序幕，经过几十年的发展。量子通信技术从理论到实验再到实用化突破发展非常迅速，量子保密通信技术已经在军事、金融、政务、能源等领域开展了试点应用，但是由于技术条件的限制，量子保密通信技术尚存在以下几点问题：

(1)量子密钥分发技术在商用光纤上存在成码率低、传输距离短、抗干扰性差等局限性，无法满足单光纤长距离传输，量子密钥需每隔约50～80km增加可信中继站进行密钥中继，导致应用成本较高。

(2)由于目前技术条件的限制，量子密钥需要使用独立光传输通道进行分发，对光纤资源要求较苛刻，也是其推广应用面临的一个问题。

(3)目前量子密钥分发***的量子密钥成码率较低，不能满足高速业务数据“一次一密”通信的密钥消耗，不能达到真正的“无条件安全”的通信。

以上几点的问题，导致量子保密通信技术只能在具有充足光纤资源情况下进行使用，并且应用成本较高，所以目前只在对安全要求较高的军事、金融等多安全要求比较高的行业进行了试点应用。

因此，亟需一种基于可信计算的量子密钥移动分发方法、***、终端及存储介质，解决量子保密通信需要依赖光纤进行量子密钥分发、应用场景有限、应用成本高等问题。

发明内容

针对现有技术的不足，本发明提供一种基于量子密钥的移动分发方法、***、终端及存储介质，实现量子密钥在无光纤环境下的安全分发，解决了量子密钥应用“最后一公里”的问题。

第一方面，本申请实施例提供一种基于量子密钥的移动分发方法，所述方法包括：

量子密钥管理平台对***的量子密钥移动存储设备执行初始化处理；

若量子密钥移动存储设备初始化完成，则量子密钥管理平台将量子密钥移动存储设备发放给用户，量子密钥移动存储设备与用户进行身份绑定完成注册激活；

量子密钥充注硬件设备和量子密钥管理平台分别对***的量子密钥移动存储设备进行身份认证，若身份认证均通过，则量子密钥充值设备获取原量子密钥设备内的量子密钥，并将量子密钥写入量子密钥移动存储设备，完成量子密钥充注。

结合第一方面，在第一方面的第一种实施方式中，所述量子密钥管理平台对***的量子密钥移动存储设备执行初始化处理，包括：

量子密钥管理平台为每个量子密钥移动存储设备生成唯一的数字证书或者量子密钥串，并将数字证书或量子密钥串信息写入量子密钥移动存储设备；

量子密钥管理平台获取量子密钥移动存储设备的设备序列号，并连同数字证书或量子密钥串信息一起写入量子密钥管理平台数据库。

结合第一方面，在第一方面的第二种实施方式中，所述若量子密钥移动存储设备初始化完成，则量子密钥管理平台将量子密钥移动存储设备发放给用户，量子密钥移动存储设备与用户进行身份绑定完成注册激活，包括：

若量子密钥移动存储设备初始化完成，则量子密钥管理平台将量子密钥移动存储设备发放给用户管理员；

用户管理员根据用户申请情况，在量子密钥管理平台完成量子密钥移动存储硬件设备与用户的身份绑定完成注册激活。

结合第一方面，在第一方面的第三种实施方式中，所述量子密钥充注硬件设备和量子密钥管理平台分别对***的量子密钥移动存储设备进行身份认证，若身份认证均通过，则量子密钥充值设备获取原量子密钥设备内的量子密钥，并将量子密钥写入量子密钥移动存储设备，完成量子密钥充注，包括：

量子密钥充值硬件设备自动检测量子密钥移动存储设备***，通过获取用户输入的量子密钥充值硬件设备PIN码，对量子密钥移动存储设备进行身份认证；

若身份验证通过，则量子密钥管理平台获取量子密钥移动存储设备内的量子密钥，对量子密钥移动存储设备进行身份认证；

若身份验证通过，则量子密钥充值设备获取原量子密钥设备内量子密钥，量子密钥充值设备与量子密钥管理平台协商获取一致的密钥并进行相同编码；

量子密钥充值设备将编码后的量子密钥写入量子密钥移动存储设备，量子密钥管理平台将量子密钥写入量子密钥管理平台数据库。

第二方面，本申请实施例提供一种基于量子密钥的移动分发***，所述***包括：

量子密钥管理平台，所述量子密钥管理平台配置用于对量子密钥移动存储设备进行初始化、用户分发、注册激活，还用于量子密钥充注过程对***的量子密钥移动存储设备进行身份认证以及对量子密钥进行重新编码和加密存储。

若干量子密钥移动存储设备，所述量子密钥移动存储设备配置用于对量子密钥进行移动存储。

量子密钥充注硬件设备，所述量子密钥充注硬件设备配置用于量子密钥充注过程对***的量子密钥移动存储设备进行身份认证，还用于获取原量子密钥设备内的量子密钥，并将量子密钥写入量子密钥移动存储设备。

结合第二方面，在第二方面的第一种实施方式中，所述量子密钥管理平台具体包括：

硬件设备发行管理模块，所述硬件设备发行管理模块配置用于对量子密钥移动存储设备进行初始化、用户分发、注册激活，以及对量子密钥移动存储设备进行挂失冻结、解除挂失；

身份认证模块，所述身份认证模块配置用于完成量子密钥充注过程对量子密钥移动存储设备进行身份认证；

量子密钥管理存储模块，所述量子密钥管理存储模块配置用于获取量子密钥管理机或者量子密钥生成装置内的量子密钥，并对量子密钥进行重新编码、加密存储及全过程管理，并对外提供量子密钥服务；

审计管理模块，所述审计管理模块配置用于完成身份认证、量子密钥充注、量子密钥冻结、量子密钥恢复、量子密钥销毁等时间日志的安全审计，以及审计结果的查询和统计等；

与充注机硬件通信模块，所述与充注机硬件通信模块配置用于与量子密钥充注硬件设备之间的通信，完成量子密钥充值过程身份认证信息、密钥充注编码一致性检校信息的传递。

结合第二方面，在第二方面的第二种实施方式中，所述量子密钥移动存储设备具体包括：

量子UKEY、量子TF卡、量子SD卡，以及带安全芯片的其他移动设备。

结合第二方面，在第二方面的第三种实施方式中，所述量子密钥充注硬件设备具体包括：

可信平台模块，所述可信平台模块配置用于完成量子密钥充注过程对量子密钥移动存储设备进行身份认证；

量子密钥移动存储设备插拔监控模块，所述量子密钥移动存储设备插拔监控模块配置用于自动检测量子密钥移动存储设备的插拔情况；

量子密钥移动存储设备控制模块，所述量子密钥移动存储设备控制模块配置用于禁止未经安全初始化的量子密钥移动存储设备用于量子密钥充值硬件设备；

与量子密钥管理平台通信模块，所述与量子密钥管理平台通信模块配置用于与量子密钥管理平台通信，完成量子密钥充值过程身份认证信息、密钥充注编码一致性检校信息的传递；

量子密钥充注模块，所述量子密钥充注模块配置用于获取原量子密钥设备内的量子密钥，并写入经过身份认证的量子密钥移动存储设备；

硬件接口模块，所述硬件接口模块配置具备以太网接口、USB接口、SD卡接口、TF卡接口等通信接口。

第三方面，提供一种终端，包括：

处理器、存储器，其中，

该存储器用于存储计算机程序，

该处理器用于从存储器中调用并运行该计算机程序，使得终端执行上述的终端的方法。

第四方面，提供了一种计算机存储介质，所述计算机可读存储介质中存储有指令，当其在计算机上运行时，使得计算机执行上述各方面所述的方法。

第五方面，提供了一种包含指令的计算机程序产品，当其在计算机上运行时，使得计算机执行上述各方面所述的方法。

本发明的有益效果在于，

本发明提供的基于量子密钥的移动分发方法、***、终端及存储介质，通过具有量子密钥充注权限的量子密钥移动存储设备将量子密钥分发给用户，实现了无光纤环境下的量子密钥安全分发，解决了目前量子密钥应用“最后一公里”的难题。此外，本***结构简单、成本低，对现有的密钥管理***针对量子密钥的特性做了适应性改造，为量子通信技术低成本的广泛应用创造了条件。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，对于本领域普通技术人员而言，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本申请一个实施例的方法的示意性流程图。

图2是本申请量子密钥移动分发***的网络拓扑图。

图3是本申请量子密钥充值流程说明示意图。

图4是本申请一个实施例的***的示意性框图。

图5为本申请实施例提供的一种终端的结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本发明中的技术方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

图1是本申请一个实施例的方法的示意性流程图。其中，图1执行主体可以为一种基于量子密钥的移动分发***。

如图1所示，该方法100包括：

步骤110，量子密钥管理平台对***的量子密钥移动存储设备执行初始化处理；

步骤120，若量子密钥移动存储设备初始化完成，则量子密钥管理平台将量子密钥移动存储设备发放给用户，量子密钥移动存储设备与用户进行身份绑定完成注册激活；

步骤130，量子密钥充注硬件设备和量子密钥管理平台分别对***的量子密钥移动存储设备进行身份认证，若身份认证均通过，则量子密钥充值设备获取原量子密钥设备内的量子密钥，并将量子密钥写入量子密钥移动存储设备，完成量子密钥充注。

可选地，作为本申请一个实施例，所述量子密钥管理平台对***的量子密钥移动存储设备执行初始化处理，包括：

量子密钥管理平台为每个量子密钥移动存储设备生成唯一的数字证书或者量子密钥串，并将数字证书或量子密钥串信息写入量子密钥移动存储设备；

量子密钥管理平台获取量子密钥移动存储设备的设备序列号，并连同数字证书或量子密钥串信息一起写入量子密钥管理平台数据库。

可选地，作为本申请一个实施例，所述若量子密钥移动存储设备初始化完成，则量子密钥管理平台将量子密钥移动存储设备发放给用户，量子密钥移动存储设备与用户进行身份绑定完成注册激活，包括：

若量子密钥移动存储设备初始化完成，则量子密钥管理平台将量子密钥移动存储设备发放给用户管理员；

用户管理员根据用户申请情况，在量子密钥管理平台完成量子密钥移动存储硬件设备与用户的身份绑定完成注册激活。

可选地，作为本申请一个实施例，所述量子密钥充注硬件设备和量子密钥管理平台分别对***的量子密钥移动存储设备进行身份认证，若身份认证均通过，则量子密钥充值设备获取原量子密钥设备内的量子密钥，并将量子密钥写入量子密钥移动存储设备，完成量子密钥充注，包括：

量子密钥充值硬件设备自动检测量子密钥移动存储设备***，通过获取用户输入的量子密钥充值硬件设备PIN码，对量子密钥移动存储设备进行身份认证；

若身份验证通过，则量子密钥管理平台获取量子密钥移动存储设备内的量子密钥，对量子密钥移动存储设备进行身份认证；

若身份验证通过，则量子密钥充值设备获取原量子密钥设备内量子密钥，量子密钥充值设备与量子密钥管理平台协商获取一致的密钥并进行相同编码；

量子密钥充值设备将编码后的量子密钥写入量子密钥移动存储设备，量子密钥管理平台将量子密钥写入量子密钥管理平台数据库。

为了便于对本发明的理解，下面以本发明基于量子密钥的移动分发方法的原理，结合实施例中对基于量子密钥的移动分发方法的过程，对本发明提供的基于量子密钥的移动分发方法做进一步的描述。

图2是本申请量子密钥移动分发***的网络拓扑图。如图2所示，基于量子密钥的移动分发***包括：

量子密钥管理平台210、若干量子密钥移动存储设备220及量子密钥充注硬件设备230，其中，上述量子密钥管理平台210、量子密钥移动存储设备220及量子密钥充注硬件设备230在量子专网240内进行量子密钥通信传输。

图3是本申请量子密钥充值流程说明示意图。如图3所示，基于量子密钥的移动分发方法过程具体包括如下步骤：

S1、初始化阶段：

(1)将量子密钥移动存储设备***量子密钥管理平台硬件设备发行客户端；

(2)用户管理员通过量子密钥管理平台的硬件设备发行模块提供的操作接口，选择初始化操作；

(3)量子密钥管理平台为每个量子密钥移动存储设备生成唯一的数字证书或者量子密钥串，并将数字证书或量子密钥串信息写入量子密钥移动存储设备的安全芯片加密存储区；

值得注意的是，数字证书和量子密钥串存储在量子密钥移动存储设备的安全芯片控制的加密存储区内，能保证量子密钥移动存储设备不能仿冒。

(4)量子密钥管理平台获取量子密钥移动存储设备的设备序列号，并连同数字证书或量子密钥串信息一起写入量子密钥管理平台数据库。

S2、注册激活阶段：

(1)将量子密钥移动存设备***量子密钥管理平台硬件设备发行客户端；

(2)用户管理员通过量子密钥管理平台硬件设备发行模块提供的操作接口，选择注册激活操作；

(3)若量子密钥移动存储设备初始化完成，则量子密钥管理平台将量子密钥移动存储设备发放给用户管理员；

(4)用户管理员根据用户申请情况，在量子密钥管理平台完成量子密钥移动存储硬件设备与用户的身份绑定完成注册激活；

S3、密钥充注使用阶段：

(1)将量子密钥移动存设备***量子密钥充值硬件设备；

(2)量子密钥充值硬件设备自动检测设备***，然后***界面提醒用户输入量子密钥充值硬件设备的PIN码；

(3)用户通过触摸屏输入PIN码，量子密钥充值硬件设备通过获取用户输入的量子密钥充值硬件设备PIN码完成PIN码身份认证，认证通过之后获取量子密钥移动存储设备内的量子密钥与量子密钥管理平台进行认证；

(4)验证通过之后量子密钥充值机获取原量子密钥设备内的量子密钥，并与量子密钥管理平台之间进行协商，获取一致的密钥并进行相同的方法进行编码；

(5)量子密钥充值机将编码后的量子密钥写入量子密钥移动存储设备，量子密钥管理平台将量子密钥写入数据库。

图4是本申请一个实施例的***的示意性框图。如图4示，该***400包括：

量子密钥管理平台410，所述量子密钥管理平台410配置用于对量子密钥移动存储设备进行初始化、用户分发、注册激活，还用于量子密钥充注过程对***的量子密钥移动存储设备进行身份认证以及对量子密钥进行重新编码和加密存储；

若干量子密钥移动存储设备420，所述量子密钥移动存储设备420配置用于对量子密钥进行移动存储；

量子密钥充注硬件设备430，所述量子密钥充注硬件设备430配置用于量子密钥充注过程对***的量子密钥移动存储设备进行身份认证，还用于获取原量子密钥设备内的量子密钥，并将量子密钥写入量子密钥移动存储设备；

可选地，作为本申请一个实施例，所述量子密钥管理平台410具体包括：

硬件设备发行管理模块，所述硬件设备发行管理模块配置用于对量子密钥移动存储设备进行初始化、用户分发、注册激活，以及对量子密钥移动存储设备进行挂失冻结、解除挂失；

身份认证模块，所述身份认证模块配置用于完成量子密钥充注过程对量子密钥移动存储设备进行身份认证；

具体的，上述身份认证方法包含基于量子密钥的身份认证或基于数字证书的认证方式等；

量子密钥管理存储模块，所述量子密钥管理存储模块配置用于获取量子密钥管理机或者量子密钥生成装置内的量子密钥，并对量子密钥进行重新编码、加密存储及全过程管理，并对外提供量子密钥服务；

具体的，量子密钥管理存储模块基于量子密钥装置的私有化接口协议获取量子密钥管理机或者量子密钥生成装置内的量子密钥，并对量子密钥进行重新编码和加密存储，从量子密钥的抽取、编码、分发、使用、冻结、恢复、销毁进行全过程的管理，并对外提供量子密钥服务。

审计管理模块，所述审计管理模块配置用于完成身份认证、量子密钥充注、量子密钥冻结、量子密钥恢复、量子密钥销毁等时间日志的安全审计，以及审计结果的查询和统计等；

与充注机硬件通信模块，所述与充注机硬件通信模块配置用于与量子密钥充注硬件设备之间的通信，完成量子密钥充值过程身份认证信息、密钥充注编码一致性检校信息的传递。

可选地，作为本申请一个实施例，所述量子密钥移动存储设备420具体包括：

量子UKEY、量子TF卡、量子SD卡，以及带安全芯片的其他移动设备。

可选地，作为本申请一个实施例，所述量子密钥充注硬件设备430具体包括：

可信平台模块，所述可信平台模块配置用于完成量子密钥充注过程对量子密钥移动存储设备进行身份认证；

具体的，可信平台模块用于完成量子密钥充注客户端的启动的可信引导，例如以TCM为可信根,开机启动时,由TCM度量和验证启动模块的完整性,然后由启动模块度量和验证嵌入式OS的完整性,然后由嵌入式OS度量和验证应用程序的完整性，以及身份认证的量子密钥或数字证书的安全存储和认证。

量子密钥移动存储设备插拔监控模块，所述量子密钥移动存储设备插拔监控模块配置用于自动检测量子密钥移动存储设备的插拔情况；

具体的，量子密钥移动存储设备插拔监控模块一旦检测到量子密钥移动存储设备***时，自动调用量子密钥移动存储设备控制模块。

量子密钥移动存储设备控制模块，所述量子密钥移动存储设备控制模块配置用于禁止未经安全初始化的量子密钥移动存储设备用于量子密钥充值硬件设备；

具体的，量子密钥移动存储设备控制模块采用硬件序列号或证书认证的方式，控制量子密钥移动存储设备是否运行在主机上使用，即禁止未经安全初始化的量子密钥移动存储设备用于量子密钥充值硬件设备。

与量子密钥管理平台通信模块，所述与量子密钥管理平台通信模块配置用于与量子密钥管理平台通信，完成量子密钥充值过程身份认证信息、密钥充注编码一致性检校信息的传递；

量子密钥充注模块，所述量子密钥充注模块配置用于获取原量子密钥设备内的量子密钥，并写入经过身份认证的量子密钥移动存储设备；

具体的，量子密钥充注模块基于量子密钥装置的私有化接口协议，获取量子密钥管理机或者量子密钥生成装置内的与量子密钥管理平台侧一致的量子密钥，并采用相同的编码方式进行编码，并写入经过认证的量子密钥移动存储设备。

硬件接口模块，所述硬件接口模块配置具备以太网接口、USB接口、SD卡接口、TF卡接口等通信接口。

图5为本发明实施例提供的一种终端装置500的结构示意图，该终端装置500可以用于执行本申请实施例提供的基于量子密钥的移动分发的方法。

其中，该终端装置500可以包括：处理器510、存储器520及通信单元530。这些组件通过一条或多条总线进行通信，本领域技术人员可以理解，图中示出的服务器的结构并不构成对本申请的限定，它既可以是总线形结构，也可以是星型结构，还可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。

其中，该存储器520可以用于存储处理器510的执行指令，存储器520可以由任何类型的易失性或非易失性存储终端或者它们的组合实现，如静态随机存取存储器(SRAM)，电可擦除可编程只读存储器(EEPROM)，可擦除可编程只读存储器(EPROM)，可编程只读存储器(PROM)，只读存储器(ROM)，磁存储器，快闪存储器，磁盘或光盘。当存储器520中的执行指令由处理器510执行时，使得终端500能够执行以下上述方法实施例中的部分或全部步骤。

处理器510为存储终端的控制中心，利用各种接口和线路连接整个电子终端的各个部分，通过运行或执行存储在存储器520内的软件程序和/或模块，以及调用存储在存储器内的数据，以执行电子终端的各种功能和/或处理数据。所述处理器可以由集成电路(Integrated Circuit，简称IC)组成，例如可以由单颗封装的IC所组成，也可以由连接多颗相同功能或不同功能的封装IC而组成。举例来说，处理器510可以仅包括中央处理器(Central Processing Unit，简称CPU)。在本申请实施方式中，CPU可以是单运算核心，也可以包括多运算核心。

通信单元530，用于建立通信信道，从而使所述存储终端可以与其它终端进行通信。接收其他终端发送的用户数据或者向其他终端发送用户数据。

本申请还提供一种计算机存储介质，其中，该计算机存储介质可存储有程序，该程序执行时可包括本申请提供的各实施例中的部分或全部步骤。所述的存储介质可为磁碟、光盘、只读存储记忆体(英文：read-only memory，简称：ROM)或随机存储记忆体(英文：random access memory，简称：RAM)等。

因此，本申请通过具有量子密钥充注权限的量子密钥移动存储设备将量子密钥分发给用户，实现了无光纤环境下的量子密钥安全分发，解决了目前量子密钥应用“最后一公里”的难题。此外，该***结构简单，解决了目前大量移动用户间进行相互量子保密通信的认证问题，为量子通信技术低成本的广泛应用创造了条件。本实施例所能达到的技术效果可以参见上文中的描述，此处不再赘述。

本领域的技术人员可以清楚地了解到本申请实施例中的技术可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本申请实施例中的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中如U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质，包括若干指令用以使得一台计算机终端(可以是个人计算机，服务器，或者第二终端、网络终端等)执行本发明各个实施例所述方法的全部或部分步骤。

在本申请所提供的几个实施例中，应该理解到，所揭露的***、装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个***，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

尽管通过参考附图并结合优选实施例的方式对本发明进行了详细描述，但本发明并不限于此。在不脱离本发明的精神和实质的前提下，本领域普通技术人员可以对本发明的实施例进行各种等效的修改或替换，而这些修改或替换都应在本发明的涵盖范围内/任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。

Claims (10)

1.一种基于量子密钥的移动分发方法，其特征在于，所述方法包括：

量子密钥管理平台对***的量子密钥移动存储设备执行初始化处理；

若量子密钥移动存储设备初始化完成，则量子密钥管理平台将量子密钥移动存储设备发放给用户，量子密钥移动存储设备与用户进行身份绑定完成注册激活；

量子密钥充注硬件设备和量子密钥管理平台分别对***的量子密钥移动存储设备进行身份认证，若身份认证均通过，则量子密钥充值设备获取原量子密钥设备内的量子密钥，并将量子密钥写入量子密钥移动存储设备，完成量子密钥充注。

2.根据权利要求1所述的方法，其特征在于，所述量子密钥管理平台对***的量子密钥移动存储设备执行初始化处理，包括：

量子密钥管理平台为每个量子密钥移动存储设备生成唯一的数字证书或者量子密钥串，并将数字证书或量子密钥串信息写入量子密钥移动存储设备；

量子密钥管理平台获取量子密钥移动存储设备的设备序列号，并连同数字证书或量子密钥串信息一起写入量子密钥管理平台数据库。

3.根据权利要求1所述的方法，其特征在于，所述若量子密钥移动存储设备初始化完成，则量子密钥管理平台将量子密钥移动存储设备发放给用户，量子密钥移动存储设备与用户进行身份绑定完成注册激活，包括：

若量子密钥移动存储设备初始化完成，则量子密钥管理平台将量子密钥移动存储设备发放给用户管理员；

用户管理员根据用户申请情况，在量子密钥管理平台完成量子密钥移动存储硬件设备与用户的身份绑定完成注册激活。

4.根据权利要求1所述的方法，其特征在于，所述量子密钥充注硬件设备和量子密钥管理平台分别对***的量子密钥移动存储设备进行身份认证，若身份认证均通过，则量子密钥充值设备获取原量子密钥设备内的量子密钥，并将量子密钥写入量子密钥移动存储设备，完成量子密钥充注，包括：

量子密钥充值硬件设备自动检测量子密钥移动存储设备***，通过获取用户输入的量子密钥充值硬件设备PIN码，对量子密钥移动存储设备进行身份认证；

若身份验证通过，则量子密钥管理平台获取量子密钥移动存储设备内的量子密钥，对量子密钥移动存储设备进行身份认证；

若身份验证通过，则量子密钥充值设备获取原量子密钥设备内量子密钥，量子密钥充值设备与量子密钥管理平台协商获取一致的密钥并进行相同编码；

量子密钥充值设备将编码后的量子密钥写入量子密钥移动存储设备，量子密钥管理平台将量子密钥写入量子密钥管理平台数据库。

5.一种基于量子密钥的移动分发***，其特征在于，所述***包括：

量子密钥管理平台，所述量子密钥管理平台配置用于对量子密钥移动存储设备进行初始化、用户分发、注册激活，还用于量子密钥充注过程对***的量子密钥移动存储设备进行身份认证以及对量子密钥进行重新编码和加密存储。

若干量子密钥移动存储设备，所述量子密钥移动存储设备配置用于对量子密钥进行移动存储。

量子密钥充注硬件设备，所述量子密钥充注硬件设备配置用于量子密钥充注过程对***的量子密钥移动存储设备进行身份认证，还用于获取原量子密钥设备内的量子密钥，并将量子密钥写入量子密钥移动存储设备。

6.根据权利要求5所述的***，其特征在于，所述量子密钥管理平台具体包括：

硬件设备发行管理模块，所述硬件设备发行管理模块配置用于对量子密钥移动存储设备进行初始化、用户分发、注册激活，以及对量子密钥移动存储设备进行挂失冻结、解除挂失；

身份认证模块，所述身份认证模块配置用于完成量子密钥充注过程对量子密钥移动存储设备进行身份认证；

量子密钥管理存储模块，所述量子密钥管理存储模块配置用于获取量子密钥管理机或者量子密钥生成装置内的量子密钥，并对量子密钥进行重新编码、加密存储及全过程管理，并对外提供量子密钥服务；

审计管理模块，所述审计管理模块配置用于完成身份认证、量子密钥充注、量子密钥冻结、量子密钥恢复、量子密钥销毁等时间日志的安全审计，以及审计结果的查询和统计等；

与充注机硬件通信模块，所述与充注机硬件通信模块配置用于与量子密钥充注硬件设备之间的通信，完成量子密钥充值过程身份认证信息、密钥充注编码一致性检校信息的传递。

7.根据权利要求5所述的***，其特征在于，所述量子密钥移动存储设备具体包括：

量子UKEY、量子TF卡、量子SD卡，以及带安全芯片的其他移动设备。

8.根据权利要求5所述的***，其特征在于，所述量子密钥充注硬件设备具体包括：

可信平台模块，所述可信平台模块配置用于完成量子密钥充注过程对量子密钥移动存储设备进行身份认证；

量子密钥移动存储设备插拔监控模块，所述量子密钥移动存储设备插拔监控模块配置用于自动检测量子密钥移动存储设备的插拔情况；

量子密钥移动存储设备控制模块，所述量子密钥移动存储设备控制模块配置用于禁止未经安全初始化的量子密钥移动存储设备用于量子密钥充值硬件设备；

与量子密钥管理平台通信模块，所述与量子密钥管理平台通信模块配置用于与量子密钥管理平台通信，完成量子密钥充值过程身份认证信息、密钥充注编码一致性检校信息的传递；

量子密钥充注模块，所述量子密钥充注模块配置用于获取原量子密钥设备内的量子密钥，并写入经过身份认证的量子密钥移动存储设备；

硬件接口模块，所述硬件接口模块配置具备以太网接口、USB接口、SD卡接口、TF卡接口等通信接口。

9.一种终端，其特征在于，包括：

处理器；

用于存储处理器的执行指令的存储器；

其中，所述处理器被配置为执行权利要求1-4任一项所述的方法。

10.一种存储有计算机程序的计算机可读存储介质，其特征在于，该程序被处理器执行时实现如权利要求1-4中任一项所述的方法。