CN111526131B - 基于秘密共享和量子通信服务站的抗量子计算的电子公文传输方法和*** - Google Patents

Abstract

本发明公开了一种基于秘密共享和量子通信服务站的抗量子计算的电子公文传输方法和***，***包括办公组织和地区分部，各地区分部部署有量子通信服务站和用户端，用户端和对应的量子通信服务站之间秘密共享一对主密钥，且每次通信时生成己方的临时私钥分量和临时公钥分量等。本发明密钥卡不会被破解得到用户密钥，即使丢失也不用担心密钥失效，并实现了抗量子计算且简化流程的门限签名，文件接收方不拥有权威机构的公钥从而保护了权威机构的私钥，且服务站在验证和签名过程中仅能获取到电子公文的哈希值而无法获取到文件内容，用户权益得到了保障。

Description

基于秘密共享和量子通信服务站的抗量子计算的电子公文传 输方法和***

技术领域

本发明涉及量子通信身份认证技术领域，尤其涉及一种基于秘密共享和量子通信服务站的抗量子计算的电子公文传输方法和***。

背景技术

公文传输***一般使用数据加密技术实现以网络化手段进行文件传输过程中的文件信息的保密性，***使用对称加密体制来对文件件信息加密，保障文件信息的机密性。文件信息在存储介质和传输信道上都是以密文形态存在的，只有发文方指定的接收用户才可以得到文件信息的明文，确保涉密信息不会泄露和流失。

使用非对称加密体制来对文件信息进行签名处理，即发送方使用自己的签名私钥对文件信息的HASH值进行签名处理，形成文件信息的签名值，并与文件一起被加密后发送给接收方，接收方使用发送方的验证公钥对接收到的签名值进行签名验证处理。通过这种方式保障文件信息的完整性和发送方对发送行为的不可抵赖。

以上加密或签名可由密钥卡来实现。

公开号为CN104796254A的专利文献公开了一种基于ECC的公文流转方法，电子公文发送方将原始电子公文生成原始电子公文摘要，再使用发送方私钥对原始电子公文摘要做数字签名，发送方用双方协商好的对称密钥对原始电子公文进行AES加密，得到原始电子公文密文，发送方用接收方公钥将双方协商好的对称密钥采用ECC算法进行加密得到加密后的公钥，发送方将数字签名后的原始电子公文摘要、原始电子公文密文和加密后的公钥按顺序合并成组合电子公文发送给接收方，其计算量小且在一定程度上提高了文件传输的安全性，其密钥管理方式传统，且对信息来源的验证较简单，不能实现对用户隐私和信息安全的可靠保护。

现有技术存在的问题：

1.密钥卡丢失或者被窃取后，可能被暴力破解等方式获取到内部的密钥。如果非对称密钥***的私钥被敌方所知，则将丧失该私钥所对应的所有权益。如果非对称密钥***的公钥被敌方所知，假如敌方拥有量子计算机，则将通过公钥破解出私钥，同样将丧失该私钥所对应的所有权益。

2.密钥卡丢失或者被窃取后，失主进行密钥卡挂失，假设敌方拥有破解密钥卡的能力，则密钥卡挂失将导致密钥卡所对应的公私钥对同时失效，不再允许被使用。

3.现有多方门限签名的方法，拥有签名组织者的角色，需要多次汇总签名中间变量及签名分量，流程较为复杂，通信代价较高。

4.现有公文传输***，文件接收方拥有权威机构如CA机构的公钥，一旦该接收方的密钥卡被破解，则CA机构的公钥被暴露，通过量子计算机可破解得到CA机构的私钥。

5.现有公文传输***，如文件接收方请求文件服务器来验证文件签名，则文件服务器可以获取到文件内容，使得文件接收方的敏感信息暴露给文件服务器。

发明内容

技术目的：针对上述技术问题，本发明提出了一种基于秘密共享和量子通信服务站的抗量子计算的电子公文传输方法和***，密钥卡不会被破解得到用户密钥，即使丢失也不用担心密钥失效，并实现了抗量子计算且简化流程的门限签名，文件接收方不拥有权威机构的公钥从而保护了权威机构的私钥，且服务站在验证和签名过程中仅能获取到电子公文的哈希值而无法获取到文件内容，用户权益得到了保障。

技术方案：为实现上述技术目的，本发明采用了如下技术方案：

一种基于秘密共享和量子通信服务站的抗量子计算的电子公文传输方法，其特征在于：包括办公组织和地区分部，各地区分部部署有量子通信服务站和用户端；两个用户端之间进行电子公文传输时，发起方记为第一用户端、接收方记为第二用户端，对应的量子通信服务站分别记为第一服务站和第二服务站，包括步骤：

S1、第一用户端向第一服务站发送发起方请求消息和第一验证密文，发起方请求消息包括待传输的电子公文哈希值的加密文；第一服务站对第一用户端发送的消息进行验证和处理，向第一用户端返回服务站间密文和第二验证密文，服务站间密文中包括电子公文哈希值和第一用户端生成的第一随机数，第一随机数用于加密电子公文哈希值；

S2、第一用户端向第二用户端发送发起方交易信息，发起方交易信息包括发起方请求消息、服务站间密文、文件密文和发起方总门限签名，文件密文通过第一随机数对电子公文进行加密得到。

优选地，还包括步骤：

S3、第二用户端对发起方交易信息进行初步验证，验证通过后，向第二服务站发送接收方请求消息和第三验证密文，第三验证密文中包括第二用户端生成的第二随机数，接收方请求消息中包括发起方请求消息和服务站间密文；第二服务站对第二用户端发送的消息进行验证和处理，第二服务站解密服务站间密文并向第二用户端返回随机数密文，第二随机数密文使用第二随机数对第一随机数加密得到；

S4、第二用户端解密随机数密文得到第一随机数，采用第一随机数解密文件密文，得到电子公文。

优选地，位于同一个内网的各用户端和对应的量子通信服务站之间以(2，2)秘密共享方式共享一对主密钥，主密钥包括主公钥和主私钥，对应的秘密共享随机数和密钥分量分别存储到用户端密钥卡和量子通信服务站密钥卡内，根据用户端ID查找量子通信服务站密钥卡内的秘密共享随机数和密钥分量；

所述用户端和量子通信服务站每次通信时生成一真随机数作为己方的临时私钥分量，根据临时私钥分量计算对应的临时公钥分量，在交易过程中将本地密钥卡存储的主密钥分量、生成的临时密钥分量、及根据秘密共享原理恢复的完整的主密钥用于签名和加密运算。

优选地，所述第一验证密文、第二验证密文和第三验证密文的生成步骤，均包括：

从本地密钥卡取出主公钥分量对密文内容加密得到相应的验证密文，验证密文的生成过程中加入偏移量，所述密文内容在第一用户端侧包括本地秘密共享随机数、本地生成的临时公钥分量和第一随机数、在第二用户端侧包括第二随机数、在第一服务站侧包括本地秘密共享随机数和本地生成的临时公钥分量；

验证密文的接收者计算相应的偏移量，对验证密文进行解密，解密后得到密文内容。

优选地，所述用户端向服务站发送的消息中均包括用于验证身份的签名者签名，签名者签名包括对应的签名参数，包括步骤：

用户端生成第一签名者签名和第一签名参数发送给量子通信服务站；

量子通信服务站对第一签名者签名和第一签名参数进行验证，验证通过进入下一步；

量子通信服务站生成第二签名者签名和第二签名参数返回给用户端；

用户端对服务站侧生成的第二签名者签名、第二签名参数进行验证，验证通过表示身份认证通过。

优选地，其特征在于，所述第一签名者签名、第二签名者签名及对应的签名参数的生成步骤，包括：

生成一随机数作为验证私钥，根据验证私钥和计算验证公钥；

取验证公钥的x方向参数进行取模运算，得到签名R参数；

对签名R参数和签名内容的组合进行哈希运算，得到的结果作为签名参数，所述签名内容在第一用户端侧则包括发起方请求消息、在第二用户端侧则包括发起方请求消息和服务站间密文、在第二服务站侧则包括发起方请求消息、第一随机数和电子公文的哈希值；

根据验证私钥、签名参数和本地主私钥分量，计算得到对应的签名者签名。

优选地，所述第一用户端完成对第一服务站侧生成的第二签名者签名的验证后，生成第三签名者签名和对应的第三签名参数；所述第三签名者签名、第一服务站侧的第二签名者签名和第二签名参数，均包括步骤：

根据秘密共享原理恢复完整的临时公钥，对临时公钥的x方向参数进行取模运算，得到签名R参数；

对签名R参数、发送方请求消息和服务站密文的组合进行哈希运算，得到的结果作为签名参数；

根据临时私钥分量、签名参数和本地主私钥分量，计算得到对应的签名者签名；

所述发送方总门限签名根据第一服务站一侧的第二签名者签名和用户一侧第三签名者签名计算得到，发送方总签名参数根据第二、第三签名参数计算获得。

优选地，所述发起方交易消息中还包括CA签名，所述CA签名采用CA服务器私钥对用户端ID和主公钥的组合进行签名获得，CA公钥存储在量子通信服务站的密钥卡私有区内，第二用户端将CA签名转发给第二服务站，由第二服务站对CA签名进行验证。

优选地，所述量子通信服务站密钥卡内存储自身私钥和所有量子通信服务站的公钥，或者量子通信服务站之间设有QKD设备，通过QKD设备生成用于通信的QKD密钥。

一种基于秘密共享和量子通信服务站的抗量子计算的电子公文传输***，其特征在于：包括办公组织、地区分部和量子通信服务站，各办公组织下设置多个具有各自内网的地区分部和量子通信服务站，地区分部作为用户端，量子通信网络设有为量子通信服务站和用户端颁发密钥卡的密钥管理服务器；

各用户端以及量子通信服务站分别包括存储器和处理器，存储器中存储有计算机程序，该处理器执行计算机程序时实现所述的基于秘密共享和量子通信服务站的抗量子计算的电子公文传输方法。

有益效果：由于采用了上述技术方案，本发明具有如下技术效果：

1.密钥卡丢失或者被窃取后，不可能被暴力破解等方式获取到内部的密钥。如果敌方获取到用户密钥卡，用户密钥卡内存有公私钥的秘密分量，但是无法利用秘密共享恢复得到用户的公私钥对，即没有任何有效的与身份相关的密钥信息。如果敌方获取到服务站密钥卡，服务站密钥卡内存有相应的随机数池和部分公私钥的秘密分量，同样无法利用秘密共享恢复对应的公私钥对，即没有任何有效的与身份相关的密钥信息。由于电子公文传输***的用户私钥不会被敌方所知，且每次颁发用户密钥卡时同时颁发若干同样的用户密钥卡作为备份，则既不会被恶意获取私钥，也不会因丢失而丧失私钥，因此极大保护了私钥所对应的整个密钥卡***账号的所有权益。

2.密钥卡丢失或者被窃取后，失主进行密钥卡挂失，即使敌方拥有破解密钥卡的能力，则密钥卡挂失也不会导致密钥卡所对应的公私钥对同时失效，该公私钥对可以继续被使用。

3.本发明的门限签名的方法，实现了抗量子计算的门限签名，并通过去除签名组织者的角色，大大简化了门限签名的流程，降低了通信代价。

4.本发明的公文传输***，文件接收方不拥有权威机构如CA机构的公钥，即使该接收方的密钥卡被破解，则CA机构的公钥也不会被暴露，敌方无法通过量子计算机破解得到CA机构的私钥。

5.本发明的公文传输***，虽然文件接收方请求文件服务器来验证文件签名，但文件服务器仅获取到文件的HASH值而没有获取到文件内容，使得文件接收方的敏感信息没有暴露给文件服务器。

附图说明

图1为用户端密钥卡的结构示意图；

图2为量子通信服务站密钥卡的结构示意图；

图3为两个量子通信服务站之间无QKD设备的网络结构示意图；

图4为两个量子通信服务站之间存在QKD设备的网络结构示意图。

具体实施方式

***说明

本发明实现场景为一个基于秘密共享和量子通信服务站的抗量子计算的电子公文传输***。其中进行公文传输的办公组织拥有多个地区分部，每个分部拥有各自的内部网络，公文传输往往需要从一个分部的内网跨越internet传输到另一分部的内网中。可通过目前的量子保密通信网络，将办公组织的多个地区分部用QKD设备进行密钥分发，并在每个地区分部结合QKD设备搭建一个量子通信服务站，作为安全通信中心。任意2个量子通信服务站之间可以存在直接相连的QKD线路；也可以不存在直接相连的QKD线路。量子通信服务站同时作为所述办公组织的各地区分部的公文传输服务中心，用于对internet传来的公文进行鉴别。

本发明中涉及到密钥卡，密钥卡的描述可见申请号为“201610843210.6”的专利。密钥卡不仅可以存储大量的数据，还具有处理信息的能力。本发明中，密钥卡内存在相应的算法以满足发明的需求。当为移动终端时，密钥卡优选为密钥SD卡；当为固定终端时，密钥卡优选为密钥USBkey或主机密钥板卡。在本发明中，用户与量子通信服务站都匹配有对应的密钥卡。密钥卡从智能卡技术上发展而来，是结合了真随机数发生器(优选为量子随机数发生器)、密码学技术、硬件安全隔离技术的身份认证和加解密产品。密钥卡的内嵌芯片和操作***可以提供密钥的安全存储和密码算法等功能。由于其具有独立的数据处理能力和良好的安全性，密钥卡成为私钥和密钥池的安全载体。每一个密钥卡都有硬件PIN码保护，PIN码和硬件构成了用户使用密钥卡的两个必要因素。即所谓“双因子认证”，用户只有同时取得保存了相关认证信息的密钥卡和用户PIN码，才可以登录***。即使用户的PIN码被泄露，只要用户持有的密钥卡不被盗取，合法用户的身份就不会被仿冒；如果用户的密钥卡遗失，拾到者由于不知道用户PIN码，也无法仿冒合法用户的身份。

本***用户端密钥卡与量子通信服务站密钥卡使用的密码体系是基于ECC***，即基于椭圆曲线的密码体系。***初始化时，设Fq是元素个数为q的有限域，其特征值为p，p、q为大素数，E是定义在Fq上的安全椭圆曲线，并且其离散对数问题是难解的。选取基点P，并且P∈E(Fq)，其阶数μ为大素数。所有量子通信服务站的密钥卡***均基于该椭圆曲线的算法参数。

一个量子通信服务站及其下用户群组为一个密钥卡群组，同时N也为该量子通信服务站所有用户的数量。密钥卡群组建立时，基于该椭圆曲线***产生一对用于签名的公私钥对PKMain/SKMain，即主公私钥对。

密钥管理服务器产生N对真随机数，表示为xai和xbi，i∈[1,N]。利用xai和xbi分别对SKMain进行(2,2)秘密共享得到(SKaMain,SKbMain)i，i∈[1,N]。利用(SKaMain,SKbMain)i，i∈[1,N]进行公钥计算得到主公钥的秘密分量(SKaMain*P,SKbMain*P)i＝(PKaMain,PKbMain)i，i∈[1,N]。

密钥管理服务器颁发客户端密钥卡时，首先会分配一个唯一的ID，并会利用量子通信服务站下CA服务器的私钥SKCA对(ID||PKMain)进行签名得到CA签名SIGCA＝SIGNRSA(ID||PKMain,SKCA)，并将签名存储到密钥卡内。其中SIGNRSA(M,SK)表示对M用私钥SK进行RSA签名。由于PKMain不公开，因此敌方无法通过SIGCA求得SKCA。密钥管理服务器会将xa/PKaMain/SKaMain/PKbMain存储到密钥卡内。SKaMain为主公私钥对通过对应随机数对xa/xb进行计算得到的秘密分量，PKaMain/PKbMain为主私钥分量通过公钥计算方式计算得到的主公钥分量。客户端密钥区具体结构请参考图1。除此之外，密钥卡内还存储有相应的椭圆曲线参数。

密钥管理服务器颁发量子通信服务站密钥卡时，同样会分配给一个服务站身份ID。同时会将用于计算临时公私钥对秘密分量的随机数对中的xbi，i∈[1,N]存储到服务站密钥卡的随机数池内，并且随机数对应有用户ID。密钥管理服务器将(ID/PKaMain/PKbMain/SKbMain)i，i∈[1,N]存储到密钥卡的密钥区内，以公私钥秘密分量的形式且对应用户ID分别存储。服务站密钥卡内还存储有CA服务器的公钥PKCA。另服务站的密钥卡内还存储自身的RSA私钥和量子通信网络内所有服务站公钥，即服务站公钥池。可以根据量子通信服务站的ID从量子通信服务站公钥池中获取该量子通信服务站的公钥。服务站之间通信的密码***使用RSA算法。量子通信服务站密钥区具体结构请参考图2。除此之外，密钥卡内还存储有相应的椭圆曲线参数。

量子通信服务站密钥卡的私有区，可以是本密钥卡内的具有更高安全性的区域。例如安全芯片内部；也可以是私有区密钥卡，与量子通信服务站密钥卡进行受控且可以保证不存在敌方的有线通信连接如USB连接，或与量子通信服务站密钥卡进行受控且可以保证不存在敌方的无线通信连接如NFC连接。

实施例

本实施例为实现用户A与用户B之间的电子公文传输。用户A属于量子通信服务站QA，用户B属于量子通信服务站QB，即用户A与用户B分别属于所述办公组织的不同地区分部。如图3所示，QA与QB之间存在QKD通道则通信的密码***使用QKD密钥协商***；如图4所示，QA与QB之间不存在QKQ通道则通信的密码***使用RSA***。

电子公文传输的具体步骤如下：

1、A到QA的过程：

1.1、A获取当前时间戳Time。

1.2、A将文件F进行哈希计算得到HF，文件F为待传输的电子公文。

1.3、A产生一个真随机数作为临时私钥分量SKaTemp，和基点P进行计算得到临时公钥分量PKaTemp＝SKaTemp*P。

1.4、A产生一个真随机数NA，并利用NA对HF进行加密得到消息{HF}NA。

1.5、A将IDA、IDB、Time、{HF}NA组成消息MA＝IDA||IDB||Time||{HF}NA，其中IDA和IDB分别为用户端A和用户端B的身份ID。

1.6、A从密钥区取出随机数xa和主公钥分量PKbMain，PKbMain可表示为为(PKbMainx,PKbMainy)。

1.7、A将xa、PKaTemp、NA组成消息，并用PKbMain对该消息进行ECIES(椭圆曲线的集成加密方案)加密得到消息EAQ，加密后得到三个分量消息EAQR、EAQc、EAQt，即EAQ＝ENC(xa||PKaTemp||NA,PKbMain)＝{EAQR,EAQc,EAQt}。

1.8、A将PKbMainx、PKbMainy和Time组成消息并用哈希函数进行计算得到HG(PKbMainx||PKbMainy||Time)，HG()为将整数映射到椭圆曲线点的哈希函数。

1.9、A使用HG(PKbMainx||PKbMainy||Time)作为偏移量对EAQR进行加密保护，得到EAQR-HG(PKbMainx||PKbMainy||Time)，并与分量消息EAQc、EAQt组成密文消息EAQ’＝{EAQR-HG(PKbMainx||PKbMainy||Time),EAQc,EAQt}。

1.10、A根据密钥卡产生一个真随机数MASK，并和基点P计算得到MAPK＝MASK*P＝(MAPKx,MAPKy)。

1.11、A将MAPK的横坐标进行计算得到消息MASigR＝MAPKx(mod q)，并将该消息与MA组合后进行哈希计算得到消息MASigE＝H(MASigR||MA)。

1.12、A从密钥区取出密钥SKaMain，并计算得到消息MASig＝MASK+MASigE*SKaMain。

1.13、A将MA、EAQ’、MASig、MASigE组成信息MsgAQ＝MA||EAQ’||MASig||MASigE发送给QA。

2、QA到A的过程：

2.1、QA收到A的MsgAQ后进行解析，得到IDA、IDB、Time、{HF}NA、EAQ’、MASig、MASigE。QA根据IDA的属性判断A是否属于QA的合法客户端，同时根据Time判断当前请求是否合法，合法则进行下一步。

2.2、QA根据MASig、MASigE、基点P和密钥PKaMain，计算得到MAPK’＝(MAPKx’,MAPKy’)＝MASig*P-MASigE*PKaMain，并取横坐标MAPKx’计算得到MASigR’＝MAPKx’(modq)，并与MA组成消息进行哈希计算得到消息MASigE’＝H(MASigR’||MA)。

QA判断MASigE和MASigE’是否相同，若是相同则进行下一步。

2.3、QA利用PKbMain、EAQ’和时间戳Time进行恢复EAQ计算，即计算HG(PKbMainx||PKbMainy||Time)，对EAQR-HG(PKbMainx||PKbMainy||Time)加上HG(PKbMainx||PKbMainy||Time)得到EAQR，然后得到EAQ。并利用SKbMain对EAQ进行解密计算得到xa||PKaTemp||NA。解密{HF}NA得到HF。

2.4、QA产生一个真随机数作为临时私钥分量SKbTemp，和基点P进行计算得到临时公钥分量PKbTemp＝SKbTemp*P。并根据IDA从密钥区找到PKaMain、PKbMain、SKbMain、xb。

2.5、QA根据xa/xb/PKaMain/PKbMain进行(2,2)秘密共享恢复计算得到PKMain，利用xa/xb/PKaTemp/PKbTemp通过相同的计算得到临时公钥PKTemp。

因为

而

所以，PKTemp的临时公钥计算成立。

2.6、QA将xb、PKbTemp组合并用PKaMain对其进行ECIES加密得到消息EQA＝ENC(xb||PKbTemp,PKaMain)＝{EQAR,EQAc,EQAt}。

主公钥分量PKaMain可表示为PKaMain＝(PKaMainx,PKaMainy)，并将PKaMainx、PKaMainy和Time组成消息并用哈希函数进行计算得到HG(PKaMainx||PKaMainy||Time)，并使用HG(PKaMainx||PKaMainy||Time)作为偏移量对EQAR进行加密保护，得到EQAR-HG(PKaMainx||PKaMainy||Time)，并与分量消息EQAc、EQAt组成密文消息EQA’＝{EQAR-HG(PKaMainx||PKaMainy||Time),EQAc,EQAt}。

2.7、QA根据IDB找到其隶属的量子通信服务站的身份ID，即IDQB。如果量子通信服务站QA与QB之间不存在QKD设备，则量子通信服务站QA利用量子通信服务站QB的RSA公钥PKQB对PKMain||NA进行RSA加密，得到消息ENCQQA＝ENCRSA(PKMain||NA||HF,PKQB)，ENCRSA(M,PK)表示对M使用PK进行RSA加密；如果量子通信服务站QA与QB之间存在QKD设备则使用QKD设备协商双方的对称密钥KQ，并使用KQ对PKMain||NA加密，得到消息ENCQQA＝ENCQKD(PKMain||NA||HF,KQ)，ENCQKD(M,KQ)表示对M使用双方协商的QKD密钥KQ进行对称加密。

2.8、QA将MA、ENCQQA组成消息得到MQA＝MA||ENCQQA。PKTemp可表示为PKTemp＝(PKTempx,PKTempy)，并将PKTemp的横坐标PKTempx进行计算得到消息MQASigR＝PKTempxmod q。

2.9、QA将MQASigR、MQA组成消息并进行哈希计算得到消息MQASigE＝H(MQASigR||MQA)。

QA计算得到消息MQASig＝SKbTemp+MQASigE*SKbMain。

2.10、QA组成消息MsgQA＝MA||EQA’||ENCQQA||MQASig，并将MsgQA发送给A。

3、A到B的过程

3.1、A收到QA的MsgQA后进行解析，并根据MA找到初始的请求消息，同时验证Time是否合法，合法后进行下一步。

3.2、A利用PKaMain、EQA’和时间戳Time进行恢复EQA计算，并利用SKaMain对EQA进行解密计算得到xb、PKbTemp。

3.3、A根据xa/xb/PKaMain/PKbMain，恢复PKMain，根据xa/xb/PKaTemp/PKbTemp，计算得到临时公钥PKTemp。

3.4、A将MA、ENCQQA组成成消息MQA＝MA||ENCQQA，并取PKTemp＝(PKTempx,PKTempy)的横坐标进行计算得到MQASigR＝PKTempx mod q，将MQA与MQASigR组合进行哈希计算的到消息MQASigE＝H(MQASigR||MQA)。

3.5、A验证MQASig*P＝PKbTemp+MQASigE*PKbMain是否成立，等式成立则进行计算得到MQASigA＝SKaTemp+MQASigE*SKaMain。

3.6、A计算得到SigA＝λa*MQASigA+λb*MQASig，原理如下：

SigA＝λa*MQASigA+λb*MQASig＝λa*(SKaTemp+MQASigE*SKaMain)+λb*(SKbTemp+MQASigE*SKbMain)＝λa*SKaTemp+λb*SKbTemp+λa*MQASigE*SKaMain+λb*MQASigE*SKbMain＝SKTemp+MQASigE*SKMain，其中

3.7、A利用NA对文件F进行加密得到{F}NA，并组成消息MsgAB＝MQA||{F}NA||SigA||MQASigE||SIGCAA，并将消息MsgAB发送给用户B，其中SIGCAA为用户A密钥卡中的CA签名。

4、B到QB的过程：

4.1、B接到A发过来的MsgAB消息进行解析，并根据解析出来的Time判断该时间戳是否合法，合法则进行下一步。

4.2、B从密钥卡中取出主公钥分量PKbMainB。

4.3、B产生一个真随机数NB，并用PKbMainB对其进行ECIES加密得到消息EBQ＝ENC(NB,PKbMainB)＝{EBQR,EBQc,EBQt}。

4.4、PKbMainB可表示为{PKbMainBx,PKbMainBy}，将坐标和Time组成消息用哈希函数进行计算得到HG(PKbMainBx||PKbMainBy||Time)。

B使用HG(PKbMainBx||PKbMainBy||Time)作为偏移量，对EBQR进行加密保护，并与消息分量EBQc和EBQt组成密文消息。

EBQ’＝{EBQR-HG(PKbMainBx||PKbMainBy||Time),EBQc,EBQt}。

4.5、B令消息MB＝MQA。B产生一个真随机数MBSK并计算得到公钥MBPK＝MBSK*P。计算MBPK在椭圆曲线上的点坐标为MBPK＝(MBPKx,MBPKy)。

4.6、B计算得到消息MBSigR＝MBPKx mod q，并与MB组成消息进行哈希计算得到MBSigE＝H(MBSigR||MB)，计算得到MBSig＝MBSK+MBSigE*SKaMainB。

4.8、B组成消息MsgBQ＝MB||EBQ’||MBSig||MBSigE||SIGCAA，并将MsgBQ发送给QB。

5、QB到B的过程：

5.1、QB收到B的MsgBQ后对MB进行解析得到IDA、IDB、Time、{F}NA、ENCQQA。QB根据IDB判断是否属于QB的合法用户端，同时根据Time判断当前请求是否合法，合法则进行下一步。

5.2、QB根据IDB从密钥区的用户公钥池中取出PKaMainB和PKbMainB。

5.3、QB计算得到(MBPKx’,MBPKy’)＝MBSig*P-MBSigE*PKaMainB，并进行计算得到MBSigR’＝MBPKx’mod q。将MBSigR’与MB进行哈希计算得到消息MBSigE’＝H(MBSigR’||MB)，并验证MBSigE’＝MBSigE是否相等，相等则进行下一步。

5.4、QB对ENCQQA进行解密计算：如果量子通信服务站QA与QB之间不存在QKD设备，则利用RSA私钥SKQB对ENCQQA进行RSA解密计算得到PKMain、NA、HF；如果量子通信服务站QA和QB之间存在QKD设备，则根据IDA找到其对应的IDQA，取得IDQA与IDQB之间的QKD协商密钥KQ对ENCQQA进行解密计算得到PKMain、NA、HF。

5.5、QB对消息MsgBQ中的CA的签名消息SIGCAA＝SIGNRSA(IDA||PKMain,SKCA)(SIGNRSA(M,SK)表示对M用私钥SK进行RSA签名)，利用CA公钥PKCA验证签名，如果通过则证明PKMain是合法的公钥，进行下一步.

5.6、QB利用PKMain验证门限签名(SigA,MQASigE)，通过后进行下一步。

5.7、QB利用PKbMainB进行计算恢复EBQ’为EBQ，用SKbMainB解密EBQ得到消息NB。

5.8、QB令MQB＝MA||NA||HF，并取随机数MQBSK，计算公钥MQBPK＝MQBSK*P。

5.8、MQBPK可表示为MQBPK＝(MQBPKx,MQBPKy)，并计算得到MQBSigR＝MQBPKx modq，将MQBSigR、MQB组成消息进行哈希计算得到消息MQBSigE＝H(MQBSigR||MQB)。QB计算得到消息MQBSig＝MQBSK+MQBSigE*SKbMainB。

5.10、QB组成消息MsgQB＝MA||{NA}NB||MQBSig||MQBSigE发送给B。

6、B:

6.1、B接到QB的MsgQB消息进行解析，根据MA找到初始的请求消息。并根据Time判断当前请求是否合法。

6.2、B根据NB解密消息{NA}NB得到NA。用NA解密{F}NA得到F，计算得到HF’＝H(F)。

6.3、B计算得到(MQBPKx’,MQBPKy’)＝MQBSig*P-MQBSigE*PKaMainB，并计算得到MQBSigR’＝MQBPKx’mod q，

B令MQB＝MA||NA||HF’，将MQBSigR’、MQB组成消息进行哈希计算得到MQBSigE’＝H(MQBSigR’||MQB)，并验证MQBSigE＝MQBSigE’是否成立，成立则B确认F来自A。

如果B需要发送接收公文的反馈消息FF给A，则参考A发送F给B的流程，即可完成。

以上所述实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。

Claims (9)

1.一种基于秘密共享和量子通信服务站的抗量子计算的电子公文传输方法，其特征在于：包括办公组织和地区分部，各地区分部部署有量子通信服务站和用户端；两个用户端之间进行电子公文传输时，发起方记为第一用户端、接收方记为第二用户端，对应的量子通信服务站分别记为第一服务站和第二服务站，包括步骤：

S1、第一用户端向第一服务站发送发起方请求消息和第一验证密文，发起方请求消息包括待传输的电子公文哈希值的加密文；第一服务站对第一用户端发送的消息进行验证和处理，向第一用户端返回服务站间密文和第二验证密文，服务站间密文中包括电子公文哈希值和第一用户端生成的第一随机数，第一随机数用于加密电子公文哈希值；

S2、第一用户端向第二用户端发送发起方交易信息，发起方交易信息包括发起方请求消息、服务站间密文、文件密文和发起方总门限签名，文件密文通过第一随机数对电子公文进行加密得到；

S3、第二用户端对发起方交易信息进行初步验证，验证通过后，向第二服务站发送接收方请求消息和第三验证密文，第三验证密文中包括第二用户端生成的第二随机数，接收方请求消息中包括发起方请求消息和服务站间密文；第二服务站对第二用户端发送的消息进行验证和处理，第二服务站解密服务站间密文并向第二用户端返回随机数密文，第二随机数密文使用第二随机数对第一随机数加密得到；

S4、第二用户端解密随机数密文得到第一随机数，采用第一随机数解密文件密文，得到电子公文。

2.根据权利要求1所述的一种基于秘密共享和量子通信服务站的抗量子计算的电子公文传输方法，其特征在于，位于同一个内网的各用户端和对应的量子通信服务站之间以(2，2)秘密共享方式共享一对主密钥，主密钥包括主公钥和主私钥，对应的秘密共享随机数和密钥分量分别存储到用户端密钥卡和量子通信服务站密钥卡内，根据用户端ID查找量子通信服务站密钥卡内的秘密共享随机数和密钥分量；

所述用户端和量子通信服务站每次通信时生成一真随机数作为己方的临时私钥分量，根据临时私钥分量计算对应的临时公钥分量，在交易过程中将本地密钥卡存储的主密钥分量、生成的临时密钥分量、及根据秘密共享原理恢复的完整的主密钥用于签名和加密运算。

3.根据权利要求2所述的一种基于秘密共享和量子通信服务站的抗量子计算的电子公文传输方法，其特征在于，所述第一验证密文、第二验证密文和第三验证密文的生成步骤，均包括：

从本地密钥卡取出主公钥分量对密文内容加密得到相应的验证密文，验证密文的生成过程中加入偏移量，所述密文内容在第一用户端侧包括本地秘密共享随机数、本地生成的临时公钥分量和第一随机数、在第二用户端侧包括第二随机数、在第一服务站侧包括本地秘密共享随机数和本地生成的临时公钥分量；

验证密文的接收者计算相应的偏移量，对验证密文进行解密，解密后得到密文内容。

4.根据权利要求3所述的一种基于秘密共享和量子通信服务站的抗量子计算的电子公文传输方法，其特征在于，所述用户端向服务站发送的消息中均包括用于验证身份的签名者签名，签名者签名包括对应的签名参数，包括步骤：

用户端生成第一签名者签名和第一签名参数发送给量子通信服务站；

量子通信服务站对第一签名者签名和第一签名参数进行验证，验证通过进入下一步；

量子通信服务站生成第二签名者签名和第二签名参数返回给用户端；

用户端对服务站侧生成的第二签名者签名、第二签名参数进行验证，验证通过表示身份认证通过。

5.根据权利要求4所述的一种基于秘密共享和量子通信服务站的抗量子计算的电子公文传输方法，其特征在于，所述第一签名者签名、第二签名者签名及对应的签名参数的生成步骤，包括：

生成一随机数作为验证私钥，根据验证私钥和计算验证公钥；

取验证公钥的x方向参数进行取模运算，得到签名R参数；

对签名R参数和签名内容的组合进行哈希运算，得到的结果作为签名参数，所述签名内容在第一用户端侧则包括发起方请求消息、在第二用户端侧则包括发起方请求消息和服务站间密文、在第二服务站侧则包括发起方请求消息、第一随机数和电子公文的哈希值；

根据验证私钥、签名参数和本地主私钥分量，计算得到对应的签名者签名。

6.根据权利要求4所述的一种基于秘密共享和量子通信服务站的抗量子计算的电子公文传输方法，其特征在于，所述第一用户端完成对第一服务站侧生成的第二签名者签名的验证后，生成第三签名者签名和对应的第三签名参数；所述第三签名者签名、第一服务站侧的第二签名者签名和第二签名参数，均包括步骤：

根据秘密共享原理恢复完整的临时公钥，对临时公钥的x方向参数进行取模运算，得到签名R参数；

对签名R参数、发送方请求消息和服务站密文的组合进行哈希运算，得到的结果作为签名参数；

根据临时私钥分量、签名参数和本地主私钥分量，计算得到对应的签名者签名；

所述发送方总门限签名根据第一服务站一侧的第二签名者签名和用户一侧第三签名者签名计算得到，发送方总签名参数根据第二、第三签名参数计算获得。

7.根据权利要求1所述的一种基于秘密共享和量子通信服务站的抗量子计算的电子公文传输方法，其特征在于：所述发起方交易消息中还包括CA签名，所述CA签名采用CA服务器私钥对用户端ID和主公钥的组合进行签名获得，CA公钥存储在量子通信服务站的密钥卡私有区内，第二用户端将CA签名转发给第二服务站，由第二服务站对CA签名进行验证。

8.根据权利要求3所述的一种基于秘密共享和量子通信服务站的抗量子计算的电子公文传输方法，其特征在于：所述量子通信服务站密钥卡内存储自身私钥和所有量子通信服务站的公钥，或者量子通信服务站之间设有QKD设备，通过QKD设备生成用于通信的QKD密钥。

9.一种基于秘密共享和量子通信服务站的抗量子计算的电子公文传输***，其特征在于：包括办公组织、地区分部和量子通信服务站，各办公组织下设置多个具有各自内网的地区分部和量子通信服务站，地区分部作为用户端，量子通信网络设有为量子通信服务站和用户端颁发密钥卡的密钥管理服务器；

各用户端以及量子通信服务站分别包括存储器和处理器，存储器中存储有计算机程序，该处理器执行计算机程序时实现权利要求1～8任一项所述的基于秘密共享和量子通信服务站的抗量子计算的电子公文传输方法。

Images