CN114362952B - 一种发送方离线的数字货币抗量子计算交易方法及*** - Google Patents

Abstract

本发明公开了一种发送方离线的数字货币抗量子计算交易方法及***，该方法包括以下步骤：S1、利用密钥管理服务器分别为用户端和商业银行数字货币***颁发抗量子计算装置；S2、根据根证书颁发方法使用证书颁发机构分别为所述用户端及所述商业银行数字货币***颁发根证书，并存入对应的所述抗量子计算装置；S3、通过证书颁发方法利用所述证书颁发机构分别为所述用户端及所述商业银行数字货币***颁发证书，并存入对应的所述抗量子计算装置；S4、使用货币交易方法实现发送方用户端离线的数字货币交易。有益效果：不仅可以实现抗量子计算的基于数字证书发送方离线的数字货币通信***，而且还兼顾了***改进的成本。

Description

一种发送方离线的数字货币抗量子计算交易方法及***

技术领域

本发明涉及数字证书领域，尤其涉及一种发送方离线的数字货币抗量子计算交易方法及***。

背景技术

中国人民银行的数字货币D-RMB体系的核心要素为一种币、两类库和三个中心。一种币，即“D-RMB”(DC/EP)，简称D币，特指一串由央行签名的代表具体金额的加密数字串。两类库：分别是D-RMB的发行库和银行库(中央银行数字货币数据库、商业银行数字货币数据库)。数字货币在发行库中即表现为央行的数字货币基金；数字货币在银行库中即表现为商业银行的库存数字现金。三个中心：一是登记中心(记录货币产生、流通、清点核对及消亡全过程)；另外两个是认证中心，即CA认证中心(基于PKI体系，对机构和用户证书进行集中管理，如CFCA)和IBC认证中心[即基于标识的密码技术建立的认证中心(Identity-BasedCryptograph)]。在登记中心可设计两张表，一为数字货币权属登记表，记录数字货币的归属，另一张为交易流水表。

D-RMB***是一种分级式的体系，即由中央银行与各商业银行共建，中央银行数字货币***是由中央银行或中央银行指定机构运行维护的用来处理关于数字货币的信息的计算机***，其主要功能包括负责数字货币的发行与验证监测，商业银行数字货币***是由商业银行或商业银行指定机构运行维护的用来处理关于数字货币的信息的计算机***，其执行现有银行的有关货币的各种功能，即银行功能，主要包括从中央银行申请到数字货币后，负责直接面向社会，满足提供数字货币流通服务的各项需求。

为了使数字签名***能够抗量子计算，行业内提出了抗量子计算数字签名***，如专利CN109861813A提出一种基于非对称密钥池的抗量子计算HTTPS通信方法和***，并具体公开了一种通信方法，该方法的参与方包括服务器、证书授权中心及客户端，客户端配置密钥卡，密钥卡内存储有非对称密钥池；所述抗量子计算HTTPS通信方法，包括以下步骤：服务器端获取证书授权中心颁发的数字证书，并向客户端发送该数字证书，所述数字证书中记载有服务器的公钥指针随机数；客户端获取证书授权中心颁发的与所述数字证书相匹配的根数字证书，依据所述根数字证书对服务器发送的数字证书进行验证，根据验证通过的数字证书中记载的服务器的公钥指针随机数，在所述非对称密钥池中获取服务器公钥；利用服务器公钥对随机生成的共享密钥进行加密，向服务器发送加密结果以进行密钥协商；与服务器利用所述共享密钥进行HTTPS通信。

专利CN109861813A提出的方案虽然能够实现基于量子保密通信的抗量子计算，但是存在以下缺陷：

1、专利CN109861813A所提出的技术方案中，客户端需要配置存储了所有成员的公钥的量子密钥卡，增加了客户端密钥卡的存储成本和操作工作量，且用户端密钥管理工作较为复杂；

2、专利CN109861813A所提出的技术方案中，改变了传统CA及基于数字证书的数字签名***的整体流程和数据结构，例如导致数字证书的格式和使用方式的改变，导致CA及用户应用***切换到抗量子计算方案的成本过高。

发明内容

针对相关技术中的问题，本发明提出一种发送方离线的数字货币抗量子计算交易方法及***，以克服现有相关技术所存在的上述技术问题。

为此，本发明采用的具体技术方案如下：

根据本发明的一个方面，提供了一种发送方离线的数字货币抗量子计算交易方法，该方法包括以下步骤：

S1、利用密钥管理服务器分别为用户端和商业银行数字货币***颁发抗量子计算装置；

其中，所述密钥管理服务器为所述用户端颁发***公私钥时，计算消息认证码得到对应的***私钥，再根据该***私钥计算得到***公钥，并将该***私钥保存在所述密钥管理服务器的抗量子计算装置中，将该***公钥保存在对应所述用户端的抗量子计算装置中；

所述密钥管理服务器为所述商业银行数字货币***颁发***公私钥时，计算消息认证码得到对应的***私钥，再根据该***私钥计算得到***公钥，并将该***私钥保存在所述密钥管理服务器的抗量子计算装置中，将该***公钥保存在所述商业银行数字货币***的抗量子计算装置中；

所述密钥管理服务器为所述用户端颁发公私钥时，调用哈希函数计算得到公钥，再根据该公钥计算得到对应的私钥，并将所述用户端的ID和所述公私钥存入所述用户端的抗量子计算装置中；

所述密钥管理服务器为所述商业银行数字货币***颁发公私钥时，调用哈希函数计算得到公钥，再根据该公钥计算得到对应的私钥，并将所述商业银行数字货币***的ID和所述公私钥存入所述商业银行数字货币***的抗量子计算装置中；

S2、根据根证书颁发方法使用证书颁发机构分别为所述用户端及所述商业银行数字货币***颁发根证书，并存入对应的所述抗量子计算装置；

S3、通过证书颁发方法利用所述证书颁发机构分别为所述用户端及所述商业银行数字货币***颁发证书，并存入对应的所述抗量子计算装置；

S4、使用货币交易方法实现发送方用户端离线的数字货币交易；

其中，所述S4使用货币交易方法实现发送方用户端离线的数字货币交易具体包括以下步骤：

S41、所述发送方用户端签名得到签名交易，并将所述签名交易发送给接收方用户端；

S42、所述接收方用户端接收所述签名交易，并向所述证书颁发机构验证所述发送方用户端证书的有效性；

S43、所述证书颁发机构接收验证消息并对所述发送方用户端的证书进行验证；

S44、所述接收方用户端与对应的商业银行进行协商，得到会话密钥；

S45、所述接收方用户端接收验证结果，并对所述签名交易进行验证，验证通过后，使用所述会话密钥向对应的所述商业银行汇报；

S46、对应的所述商业银行接收交易信息，并通过中央银行对所述交易信息进行验证；

S47、所述中央银行将所述交易验证结果分别发送给所述接收方用户端对应的商业银行和所述发送方用户端对应的商业银行；

S48、所述接收方用户端对应的商业银行将所述交易验证结果发送给所述接收方用户端；

S49、所述接收方用户端将所述交易验证结果发送给所述发送方用户端。

进一步的，所述S2根据根证书颁发方法使用证书颁发机构分别为所述用户端及所述商业银行数字货币***颁发根证书，并存入对应的所述抗量子计算装置具体包括以下步骤：

S21、使用所述证书颁发机构为所述用户端颁发根证书，并存入所述用户端的抗量子计算装置中；

S22、使用所述证书颁发机构为所述商业银行数字货币***颁发根证书，并存入所述商业银行数字货币***的抗量子计算装置中。

进一步的，所述S21中使用所述证书颁发机构为所述用户端颁发根证书包括以下步骤：

S211、所述用户端将身份信息发送给所述证书颁发机构；

S212、所述证书颁发机构向所述用户端返回所述证书颁发机构根证书；

S213、所述用户端接收所述证书颁发机构的根证书。

进一步的，所述S22中使用所述证书颁发机构为所述商业银行数字货币***颁发根证书包括以下步骤：

S221、所述商业银行数字货币***将身份信息发送给所述证书颁发机构；

S222、所述证书颁发机构向所述商业银行数字货币***返回所述证书颁发机构根证书；

S223、所述商业银行数字货币***接收所述证书颁发机构的根证书。

进一步的，所述S3通过证书颁发方法利用所述证书颁发机构分别为所述用户端及所述商业银行数字货币***颁发证书，并存入对应的所述抗量子计算装置具体包括以下步骤：

S31、利用所述证书颁发机构为所述用户端颁发证书，并存入所述用户端的抗量子计算装置中；

S32、利用所述证书颁发机构为所述商业银行数字货币***颁发证书，并存入所述商业银行数字货币***的抗量子计算装置中。

进一步的，所述S31中利用所述证书颁发机构为所述用户端颁发证书包括以下步骤：

S311、所述用户端将身份信息和证书公钥发送给所述证书颁发机构；

S312、所述证书颁发机构向所述用户端返回证书；

S313、所述用户端收到证书。

进一步的，所述S32中利用所述证书颁发机构为所述商业银行数字货币***颁发证书包括以下步骤：

S321、所述商业银行数字货币***将身份信息和证书公钥发送给所述证书颁发机构；

S322、所述证书颁发机构向所述商业银行数字货币***返回证书；

S323、所述商业银行数字货币***收到证书。

进一步的，所述S44中所述接收方用户端与对应的商业银行进行协商，得到会话密钥具体包括以下步骤：

S441、所述接收方用户端向对应的所述商业银行发送签名会话密钥；

S442、对应的所述商业银行向所述证书颁发机构验证所述接收方用户端证书的有效性；

S443、所述证书颁发机构对所述接收方用户端证书的有效性进行验证，并将所述验证结果发送给对应的所述商业银行；

S444、对应的所述商业银行将所述验证结果发送给所述接收方用户端。

根据本发明的另一个方面，提供了一种抗量子计算数字货币***，该***包括中央银行数字货币***、商业银行数字货币***、用户和认证***，所述中央银行数字货币***与所述商业银行数字货币***进行身份认证并进行保密通信，所述商业银行数字货币***与所述用户进行身份认证并进行保密通信；

其中，所述中央银行数字货币***用于生产和发行数字货币，还用于对对所述数字货币进行权属登记；

所述商业银行数字货币***用于针对数字货币执行银行功能；

所述用户为所述数字货币的使用主体；

所述认证***用于对所述商业银行数字货币***和所述数字货币的用户终端设备之间的交互进行认证，还用于对所述中央银行数字货币***和所述商业银行数字货币***之间的交互进行认证。

进一步的，还包括证书颁发机构，所述证书颁发机构中设置有抗量子计算装置，且所述抗量子计算装置中部署有基于ID密码学的密钥管理服务器，所述中央银行数字货币***包括中央银行，所述商业银行数字货币***包括发送方用户端对应的商业银行和接收方用户端对应的商业银行，所述用户包括发送方用户端和接收方用户端，且所述发送方用户端与所述接收方用户端之间进行近距离通信。

本发明的有益效果为：

1)、本发明可以实现抗量子计算的基于数字证书发送方离线的数字货币通信***；

2)、本发明中所使用的对称密钥均基于ID密码学实时计算生成，不需要进行对称密钥提前存储，对用户来说成本低、不存在对称密钥管理和存储问题；

3)、本发明没有改变传统CA及基于数字证书的数字签名***的整体流程和数据结构，因此CA及用户应用***切换到抗量子计算方案的成本不高；

4)、本发明中，基于ID密码学的密钥颁发服务器对每个不同用户的***公私钥均不同，即使某个用户的***公钥丢失导致***私钥被量子计算机破解，也不会危及到CA和其他用户的***公私钥；

5)、本发明的通信模式满足了两种不同情况下对于安全性和成本的要求，即：对于机密性要求极度高、方案改动影响范围相对较小的中央银行与商业银行之间的通信，采用更高成本且更安全的量子保密通信，从而实现具有更高安全度的通信；对于机密性要求并非极度高、方案改动影响范围相对较大的商业银行与用户之间的通信，采用基于数字证书的抗量子计算通信，从而实现具有较高安全度且兼顾成本的通信。因此本发明将现有数字货币通信***改进为抗量子计算数字货币通信***，且兼顾了***改进的成本。

附图说明

图1为本发明实施例中交易方法的流程图；

图2为本发明实施例中涉及的交易方法的流程原理图；

图3为本发明实施例中涉及的用户端与商业银行协商密钥的流程图；

图4为本发明实施例中中央银行数字货币***的基本结构图。

具体实施方式

下面将结合附图和具体实施例对本发明作更进一步的说明。但应当理解的是，本发明可以以各种形式实施，以下在附图中出示并且在下文中描述的一些示例性和非限制性实施例，并不意图将本发明限制于所说明的具体实施例。

应当理解的是，在技术上可行的情况下，以上针对不同实施例所列举的技术特征可以相互组合，从而形成本发明范围内的另外的实施例。此外，本发明所述的特定示例和实施例是非限制性的，并且可以对以上所阐述的结构、步骤、顺序做出相应修改而不脱离本发明的保护范围。

根据本发明的实施例，提供了一种发送方离线的数字货币抗量子计算交易方法及***。

现结合附图和具体实施方式对本发明进一步说明，如图1-3所示，根据本发明的一个实施例，提供了一种发送方离线的数字货币抗量子计算交易方法，该方法包括以下步骤：

S1、利用密钥管理服务器KMS分别为用户端(包括发送方用户端A和接收方用户端B)和商业银行数字货币***(包括发送方用户端对应的商业银行A₀和接收方用户端对应的商业银行B₀)颁发抗量子计算装置；

其中，所述密钥管理服务器KMS为所述用户端颁发***公私钥时，计算消息认证码得到对应的***私钥，再根据该***私钥计算得到***公钥，并将该***私钥保存在所述密钥管理服务器KMS的抗量子计算装置中，将该***公钥保存在对应所述用户端的抗量子计算装置中；

具体的，所述密钥管理服务器KMS对每个不同用户的***公私钥均不同，对于用户端A，KMS会生成唯一编码作为ID_A，A的***私钥为SK_MSA，***私钥可以为真随机数或者由计算得到，例如SK_MSA＝MAC(ID_A，SK_MS)[MAC(m，k)为使用密钥k对消息m计算消息认证码]，A的***公钥为PK_MSA＝SK_MSA*P；对于用户端B，KMS会生成唯一编码作为ID_B，B的***私钥为SK_MSB，***私钥可以为真随机数或者由计算得到，例如SK_MSB＝MAC(ID_B，SK_MS)，B的***公钥为PK_MSB＝SK_MSB*P；***私钥保存在KMS的抗量子计算装置中，***公钥保存在对应用户端的抗量子计算装置中，即PK_MSA保存在T_A中，PK_MSB保存在T_B中；

所述密钥管理服务器KMS为所述商业银行数字货币***颁发***公私钥时，计算消息认证码得到对应的***私钥，再根据该***私钥计算得到***公钥，并将该***私钥保存在所述密钥管理服务器KMS的抗量子计算装置中，将该***公钥保存在所述商业银行数字货币***的抗量子计算装置中；

所述密钥管理服务器KMS为所述用户端颁发公私钥时，调用哈希函数计算得到公钥，再根据该公钥计算得到对应的私钥，并将所述用户端的ID和所述公私钥存入所述用户端的抗量子计算装置中；

具体的，以下以用户端A为例，KMS为用户端A颁发公私钥时，调用哈希函数H₁计算公钥PK_A＝H₁(ID_A)，再根据公钥PK_A计算私钥SK_A＝SK_MSA*PK_A，将A的ID和公私钥即ID_A、PK_A、SK_A存储于A的抗量子计算装置T_A；

所述密钥管理服务器KMS为所述商业银行数字货币***颁发公私钥时，调用哈希函数计算得到公钥，再根据该公钥计算得到对应的私钥，并将所述商业银行数字货币***的ID和所述公私钥存入所述商业银行数字货币***的抗量子计算装置中；

具体的，以下以商业银行A₀为例，KMS为商业银行A₀颁发公私钥时，调用哈希函数H₁计算公钥再根据公钥/>计算私钥/>将A₀的ID和公私钥即/>存储于A₀的抗量子计算装置/>

S2、CA为用户端和商业银行数字货币***颁发根证书(根据根证书颁发方法使用证书颁发机构分别为所述用户端及所述商业银行数字货币***颁发根证书，并存入对应的所述抗量子计算装置)；

其中，所述S2包括CA机构分别为所有用户端和商业银行数字货币***颁发根证书，此处以用户端A为例详述颁发过程：

(1)A→CA(所述用户端A将身份信息发送给所述证书颁发机构CA)；

用户端A根据ID_CA计算得到PK_CA＝H₁(ID_CA)，进一步计算与CA之间的对称密钥K_A-CA＝e(SK_A，PK_CA)。获取时间戳T₁，使用K_A-CA对T₁加密，得到最终密钥K₁＝MAC(T₁，K_A-CA)。

使用K₁对A的身份信息AINFO加密得到{AINFO}K₁，使用K₁对T₁和AINFO计算消息认证码得到MAC(T₁||AINFO，K₁)，连同ID_A、ID_CA以及T₁一起发送至CA，发送的消息可表示为ID_A||ID_CA||T₁||{AINFO}K₁||MAC(T₁||AINFO，K₁)。

(2)CA→A(所述证书颁发机构CA向所述用户端A返回所述证书颁发机构根证书)；

CA中的KMS计算A的***私钥为SK_MSA＝MAC(ID_A，SK_MS)，根据PK_CA＝H₁(ID_CA)得到SK_CAA＝SK_MSA*PK_CA。进一步得到CA与A之间的对称密钥K_CA-A＝e(SK_CAA，PK_A)。根据ID密码学可得：K_A-CA＝e(SK_A，PK_CA)＝e(SK_MSA*PK_A，PK_CA)＝e(PK_A，SK_MSA*PK_CA)＝e(PK_A，SK_CAA)＝e(SK_CAA，PK_A)＝K_CA-A。使用K_CA-A对T₁计算消息认证码得到K′₁＝MAC(T₁，K_CA-A)。使用K′₁解密并验证消息认证码，得到A的身份信息AINFO。

CA取出CA根证书CERT_CA，获取时间戳T₂，使用K_CA-A对T₂加密计算得到最终密钥K₂＝MAC(T₂，K_CA-A)。使用K₂对CERT_CA加密得到{CERT_CA}K₂，使用K₂对T₂和CERT_CA计算消息认证码得到MAC(T₂||CERT_CA，K₂)，连同ID_CA、ID_A以及T₂一起发送至A，发送的消息可表示为ID_CA||ID_A||T₂||{CERT_CA}K₂||MAC(T₂||CERT_CA，K₂)。

(3)A收到CA根证书(所述用户端A接收所述证书颁发机构CA的根证书)；

A收到消息后，使用K_A-CA对T₂加密计算得到最终密钥K′₂＝MAC(T₂，K_A-CA)。使用K′₂解密并验证消息认证码，得到CA根证书CERT_CA，A对其进行验证后，存入本地抗量子计算装置T_A内。

S3、CA为用户端和商业银行数字货币***颁发证书(通过证书颁发方法利用所述证书颁发机构分别为所述用户端及所述商业银行数字货币***颁发证书，并存入对应的所述抗量子计算装置)；

其中，所述S3包括CA机构为所有用户端和商业银行数字货币***颁发证书，此处以用户端A为例详述颁发过程：

(1)A→CA(所述用户端A将身份信息和证书公钥发送给所述证书颁发机构CA)；

用户端A计算与CA之间的对称密钥K_A-CA＝e(SK_A，PK_CA)。获取时间戳T₃，使用K_A-CA对T₃加密计算得到最终密钥K₃＝MAC(T₃，K_A-CA)。

A生成证书公私钥对PK_CERTA、SK_CERTA，可以基于RSA、ECC、离散对数、ID密码学等多种非对称密码算法。使用K₃对A的身份信息AINFO和A的证书公钥PK_CERTA加密得到{AINFO||PK_CERTA}K₃，使用K₃对T₃、AINFO以及PK_CERTA计算消息认证码得到MAC(T₃||AINFO||PK_A，K₃)，连同ID_A、ID_CA以及T₃一起发送至CA，发送的消息可表示为ID_A||ID_CA||T₃||{AINFO||PK_CERTA}K₃||MAC(T₃||AINFO||PK_CERTA，K₃)。

(2)CA→A(所述证书颁发机构CA向所述用户端A返回证书)；

CA中的KMS计算A的***私钥为SK_MSA＝MAC(ID_A，SK_MS)，根据PK_CA＝H₁(ID_CA)得到SK_CAA＝SK_MSA*PK_CA。进一步得到CA与A之间的对称密钥K_CA-A＝e(SK_CAA，PK_A)。根据ID密码学可得：K_A-CA＝e(SK_A，PK_CA)＝e(SK_MSA*PK_A，PK_CA)＝e(PK_A，SK_MSA*PK_CA)＝e(PK_A，SK_CAA)＝e(SK_CAA，PK_A)＝K_CA-A。使用K_CA-A对T₃加密计算得到最终密钥K′₃＝MAC(T₃，K_CA-A)。使用K′₃解密并验证消息认证码，得到A的身份信息AINFO和用于计算CERT_A的PK_CERTA。

CA制作A的证书CERT_A。然后CA获取时间戳T₄，使用K_CA-A对T₄加密计算得到最终密钥K₄＝MAC(T₄，K_CA-A)。使用K₄对CERT_A加密得到{CERT_A}K₄，使用K₄对T₄和CERT_A计算消息认证码得到MAC(T₄||CERT_A，K₄)，连同ID_CA、ID_A以及T₄一起发送至A，发送的消息可表示为ID_CA||ID_A||T₄||{CERT_A}K₄||MAC(T₄||CERT_A，K₄)。

(3)A收到CA证书(所述用户端A接收所述证书颁发机构CA的证书)；

A收到消息后，使用K_A-CA对T₄加密计算得到K′₄＝MAC(T₄，K_A-CA)。使用K′₄解密并验证消息认证码，得到自己的证书CERT_A，A对其进行验证后，存入本地抗量子计算装置T_A内。

此外，本实施例中的用户端B而言，用户端B生成证书公私钥对PK_CERTB、SK_CERTB，也与CA进行如上相同步骤，获得自己的证书CERT_B。B对CERT_B进行验证后，存入本地抗量子计算装置T_B内。

商业银行B₀生成证书公私钥对也与CA进行如上相同步骤，获得自己的证书/>B₀对/>进行验证后，存入本地抗量子计算装置/>内。

S4、发送方A离线的数字货币交易(使用货币交易方法实现发送方用户端A离线的数字货币交易)；

S41、A签名得到签名交易(所述用户端A签名得到签名交易，并将所述签名交易发送给用户端B)；

用户端A计算与CA之间的对称密钥K_A-CA＝e(SK_A，PK_CA)。使用K_A-CA对签名时间T加密计算得到最终密钥K_T＝MAC(T，K_A-CA)。待签名消息即交易为TX，包括发送方信息、接收方信息、数字货币等交易信息。

使用A的证书私钥SK_CERTA对T和TX计算签名得到SIG_A＝SIGN(T||TX，SK_CERTA)。使用K_T对TX||SIG_A和CERT_A分别加密得到{TX||SIG_A}K_T和{CERT_A}K_T。连同ID_A和T一起作为MSG_A，可表示为MSG_A＝ID_A||T||{TX||SIG_A}K_T||{CERT_A}K_T。使用K_T对MSG_A计算消息认证码得到MAC(MSG_A，K_T)。A通过近距离通信将MSG_A||MAC(MSG_A，K_T)发送给B。

S42、B收到签名交易(所述接收方用户端B接收所述签名交易，并向所述证书颁发机构CA验证所述发送方用户端A证书的有效性)；

B收到后，向CA确认A的证书的有效性。B计算与CA之间的对称密钥K_B-CA＝e(SK_B，PK_CA)。获取时间戳T₅，使用K_B-CA对T₅加密计算得到K₅＝MAC(T₅，K_B-CA)。将ID_B、ID_CA、T₅、ID_A、T以及{CERT_A}K_T组合得到MSG₅＝ID_B||ID_CA||T₅||ID_A||T||{CERT_A}K_T，使用K₅对MSG₅计算消息认证码得到MAC(MSG₅，K₅)。B向CA发送的消息为MSG₅||MAC(MSG₅，K₅)。

S43、CA验证A的证书(所述证书颁发机构CA接收验证消息并对所述用户端A的证书进行验证)；

CA收到后，CA中的KMS计算B的***私钥为SK_MSB＝MAC(ID_B，SK_MS)，根据PK_CA＝H₁(ID_CA)计算得到SK_CAB＝SK_MSB*PK_CA。进一步根据PK_B＝H₁(ID_B)得到CA与B之间的对称密钥K_CA-B＝e(SK_CAB，PK_B)。根据ID密码学可得：K_B-CA＝e(SK_B，PK_CA)＝e(SK_MSB*PK_B，PK_CA)＝e(PK_B，SK_MSB*PK_CA)＝e(PK_B，SK_CAB)＝e(SK_CAB，PK_B)＝K_CA-B。CA使用K_CA-B对T₅加密计算得到K′₅＝MAC(T₅，K_CA-B)。使用K′₅解密MSG₅并验证消息认证码，证实消息来自于B。

CA中的KMS计算A的***私钥为SK_MSA＝MAC(ID_A，SK_MS)，计算得到SK_CAA＝SK_MSA*PK_CA。进一步根据PK_A＝H₁(ID_A)得到CA与A之间的对称密钥K_CA-A＝e(SK_CAA，PK_A)。根据ID密码学可得：K_A-CA＝e(SK_A，PK_CA)＝e(SK_MSA*PK_A，PK_CA)＝e(PK_A，SK_MSA*PK_CA)＝e(PK_A，SK_CAA)＝e(SK_CAA，PK_A)＝K_CA-A。

CA使用K_CA-A对T加密计算得到K′_T＝MAC(T，K_CA-A)。使用K′_T解密{CERT_A}K_T得到CERT_A。判断CERT_A的有效性及是否在证书撤销列表中，判断结果记为RET_A。

CA获取时间戳T₆，使用K_CA-B对T₆加密计算得到K₆＝MAC(T₆，K_CA-B)。使用K₆加密RET_A和K′_T得到{RET_A||K′_T}K₆，将ID_CA、ID_B、T₆、以及{RET_A||K′_T}K₆组合得到MSG₆＝ID_CA||ID_B||T₆||{RET_A||K′_T}K₆，使用K₆对MSG₆计算消息认证码得到MAC(MSG₆，K₆)。CA向B发送的消息为MSG₆||MAC(MSG₆，K₆)。

S44、B与商业银行协商会话密钥(所述用户端B与对应的商业银行B₀进行协商，得到会话密钥)；

具体的，所述S44具体包括以下步骤：

S441、B向商业银行发送签名会话密钥(所述用户端B向对应的所述商业银行B₀发送签名会话密钥)；

B生成会话密钥KSB，获取时间戳T₇，使用K_B-CA对T₇加密计算得到K₇＝MAC(T₇，K_B-CA)。使用B的证书私钥SK_CERTB对T₇和KSB计算签名得到SIG_B＝SIGN(T₇||KSB，SK_CERTB)。使用K₇对KSB||SIG_B和CERT_B分别加密得到{KSB||SIG_B}K₇和{CERT_B}K₇。连同T₇一起作为MSG₇，可表示为MSG₇＝T₇||{KSB||SIG_B}K₇||{CERT_B}K₇。使用K₇对MSG₇计算消息认证码得到MAC(MSG₇，K₇)。B将MSG₇||MAC(MSG₇，K₇)发送给B₀。

S442、商业银行向CA寻求验证(对应的所述商业银行B₀向所述证书颁发机构CA验证所述用户端B证书的有效性)；

B₀收到后，向CA确认B的证书的有效性。B₀计算与CA之间的对称密钥获取时间戳T₈，使用/>对T₈加密计算得到/> 将/>T₈、ID_B、T₇以及{CERT_B}K₇组合得到/> 使用K₈对MSG₈计算消息认证码得到MAC(MSG₈，K₈)B向CA发送的消息为MSG₈||MAC(MSG₈，K₈)。

S443、CA返回验证结果(所述证书颁发机构CA对所述用户端B证书的有效性进行验证，并将所述验证结果发送给对应的所述商业银行B₀)；

CA收到后，CA中的KMS计算B₀的***私钥为根据PK_CA＝H₁(ID_CA)计算得到/>进一步根据/>得到CA与B₀之间的对称密钥/>根据ID密码学可得：/> CA使用/>对T₈加密计算得到使用K′₈解密MSG₈并验证消息认证码，证实消息来自于B₀。

CA中的KMS计算B的***私钥为SK_MSB＝MAC(ID_B，SK_MS)，计算得到SK_CAB＝SK_MSB*PK_CA。进一步根据PK_B＝H₁(ID_B)得到CA与B之间的对称密钥K_CA-B＝e(SK_CAB，PK_B)。根据ID密码学可得：K_B-CA＝e(SK_B，PK_CA)＝e(SK_MSB*PK_B，PK_CA)＝e(PK_B，SK_MSB*PK_CA)＝e(PK_B，SK_CAB)＝e(SK_CAB，PK_B)＝K_CA-B。CA使用K_CA-B对T₇加密计算得到K′₇＝MAC(T₇，K_CA-B)。使用K′₇解密{CERT_B}K₇得到CERT_B。判断CERT_B的有效性及是否在证书撤销列表中，判断结果记为RET_B。

CA获取时间戳T₉，使用对T₉加密计算得到K₉＝MAC(T₉，K_CA-B)。使用K₉加密RET_B和K′₇得到{RET_B||K′₇}K₉，将ID_CA、/>T₉、以及{RET_B||K′₇}K₉组合得到使用K₉对MSG₉计算消息认证码得到MAC(MSG₉，K₉)。CA向B₀发送的消息为MSG₉||MAC(MSG₉，K₉)。

S444、商业银行将结果通知B(对应的所述商业银行B₀将所述验证结果发送给所述用户端B)；

B₀收到CA的消息后，使用K_B-CA对T₉加密计算得到K′₉＝MAC(T₉，K_B-CA)。使用K′₉解密{RET_B||K′₇}K₉得到RET_B和K′₇。如果RET_B为失败，则协商密钥失败，流程结束；否则继续。使用K′₇解密MSG₇中的{CERT_B}K₇和{KSB||SIG_B}K₇得到CERT_B、SIG_A和KSB。使用CERT_CA中的PK_CERTCA验证B的证书CERT_B，验证通过后，使用PK_CERTB验证SIG_B，验证通过后，信任KSB是与B之间的会话密钥。

B₀使用KSB加密RET_B得到{RET_B}KSB，发送给B。B收到后，使用KSB解密得到RET_B，信任KSB是与B₀之间的会话密钥。

S45、B向商业银行汇报(所述用户端B接收验证结果，并对所述签名交易进行验证，验证通过后，使用所述会话密钥向对应的所述商业银行汇报B₀)；

B收到步骤3.3中的消息后，使用K_B-CA对T₆加密计算得到K′₆＝MAC(T₆，K_B-CA)。使用K′₆解密{RET_A||K′_T}K₆得到RET_A和K′_T。如果RET_A为失败，则交易签名验证失败，流程结束；否则继续。使用K′_T解密MSG_A中的加密部分得到CERT_A、TX和SIG_A。使用CERT_CA中的PK_CERTCA验证A的证书CERT_A，验证通过后，使用PK_CERTA验证SIG_A，验证通过后，信任TX是来自A的交易。

B将T、TX、CERT_A和SIG_A组合得到MSG_B＝T||TX||CERT_A||SIG_A。B使用与B₀之间的会话密钥KSB对MSG_B加密得到{MSG_B}KSB，发送至B所属的商业银行B₀。

S46、商业银行向央行汇报(对应的所述商业银行B₀接收交易信息，并通过中央银行对所述交易信息进行验证)；

B₀收到{MSG_B}KSB后，使用KSB解密得到MSG_B，通过QKD密钥K_Q将MSG_B加密转发给央行。央行收到后使用K_Q解密，然后对交易进行验证，使用CERT_CA中的PK_CERTCA验证A的证书CERT_A，验证通过后，使用PK_CERTA验证SIG_A，验证通过后，信任TX是来自A的交易。验证结果记为RET_TX。

S47、央行通知商业银行(所述中央银行将所述交易验证结果分别发送给所述接收方用户端对应的商业银行A₀和所述发送方用户端对应的商业银行B₀)；

央行记录交易成功后数字货币的归属变化，并将T||TX||RET_TX通过QKD密钥加密发送给B₀和A所属的商业银行A₀。A₀和B₀解密后验证央行的消息，记录T||TX||RET_TX。

S48、B₀将结果通知B(所述接收方用户端对应的商业银行B₀将所述交易验证结果发送给所述用户端B)；

B₀将T||TX||RET_TX使用KSB加密得到{T||TX||RET_TX}KSB发给B。B使用KSB解密，确认RET_TX后，如成功则存储收到的数字货币。

S49、B将结果通知A(所述用户端B将所述交易验证结果发送给所述用户端A)；

确认成功后，B使用K′_T加密T||TX||RET_TX得到{T||TX||RET_TX}K′_T并通过近距离通信发送给A。

A收到后，使用K_T解密并确认RET_TX，确认后交易结束。

为了方便理解本发明的上述技术方案，以下就本发明在实际过程中建立一套基于ID密钥学的***参数的方法进行详细说明。

KMS为某个成员颁发公私钥时，首先需要建立一套基于ID密钥学的***参数，步骤如下：

(1)G₁，G₂是阶为q的GDH(Diffie-Hellman群)群，q是一个大素数，G₁是由椭圆曲线上的点构成的加法循环群，P是群G₁的生成元；G₂是一个乘法循环群；双线性映射e：G₁×G₁→G₂。

(2)随机地取SK_MS∈Z_p ^*作为CA的***私钥，SK_MS仅保存在KMS的抗量子计算装置中，计算CA的***公钥PK_MS＝SK_MS*P，PK_MS保存在CA的抗量子计算装置T_CA。KMS对每个不同用户的***公私钥均不同，对于用户端A，KMS会生成唯一编码作为ID_A，A的***私钥为SK_MSA，***私钥可以为真随机数或者由计算得到，例如SK_MSA＝MAC(ID_A，SK_MS)(MAC(m，k)为使用密钥k对消息m计算消息认证码)，A的***公钥为PK_MSA＝SK_MSA*P；对于用户端B，KMS会生成唯一编码作为ID_B，B的***私钥为SK_MSB，***私钥可以为真随机数或者由计算得到，例如SK_MSB＝MAC(ID_B，SK_MS)，B的***公钥为PK_MSB＝SK_MSB*P；***私钥保存在KMS的抗量子计算装置中，***公钥保存在对应用户端的抗量子计算装置中，即PK_MSA保存在T_A中，PK_MSB保存在T_B中。商业银行A₀、B₀同理。如果***私钥为真随机数，则KMS将***私钥及其对应的用户端ID存储在数据库中，在需要时直接取用；如果***私钥由计算得到，则KMS在需要时实时计算生成，无需存储；以下实施例以***私钥由计算得到为例。

(3)选择哈希函数H₁：{0，1}^*→G₁，H₂：G₂→{0，1}^*。

(4)***参数为{q，G₁，G₂，e，n，P，H₁，H₂}。

KMS为CA颁发公私钥时，生成唯一编码作为ID_CA，调用哈希函数H₁计算公钥PK_CA＝H₁(ID_CA)，再根据公钥PK_CA计算私钥SK_CA＝SK_MS*PK_CA，将CA的ID和公私钥即ID_CA、PK_CA、SK_CA存储于CA的抗量子计算装置T_CA。T_CA中还存储有CA根证书CERT_CA，CERT_CA中包括证书的版本号、序列号、有效期以及CA的证书公钥PK_CERTCA和证书签名，其中证书公钥和证书签名可以基于RSA、ECC、离散对数、ID密码学等多种非对称密码算法。

KMS为用户端A颁发公私钥时，调用哈希函数H₁计算公钥PK_A＝H₁(ID_A)，再根据公钥PK_A计算私钥SK_A＝SK_MSA*PK_A，将A的ID和公私钥即ID_A、PK_A、SK_A存储于A的抗量子计算装置T_A。

KMS为用户端A₀颁发公私钥时，调用哈希函数H₁计算公钥再根据公钥/>计算私钥/>将A₀的ID和公私钥即/>存储于A₀的抗量子计算装置/>

根据本发明的另一个方面，提供了一种抗量子计算数字货币***，以中央银行数字货币的运行实例来说，如图4所示，数字货币***基本结构主要包括中央银行数字货币***、商业银行数字货币***(在实际中可以是多个商业银行数字货币***)和用户，以及对三者之间进行认证的***。中央银行与各商业银行之间搭建有QKD网络。中央银行与各商业银行进行身份认证并进行保密通信，各商业银行与各自用户身份认证并进行保密通信。

其中，中央银行数字货币***用于产生和发行数字货币，以及对数字货币进行权属登记；商业银行数字货币***用于针对数字货币执行银行功能；用户则是数字货币使用的主体；认证***包括对商业银行数字货币***和数字货币的用户所使用的终端设备之间的交互提供认证，以及对中央银行数字货币***和商业银行数字货币***之间的交互提供认证。所述中央银行数字货币***和商业银行数字货币***之间是通过QKD(量子密钥分发)通信来进行身份认证：中央银行数字货币***和商业银行数字货币***双方各有一QKD设备，双方设备通过QKD线路进行量子保密通信并协商得到会话密钥。

此外，所述用户包括发送方用户端A和接收方用户端B。用户端A所对应的商业银行记为A₀，用户端B所对应的商业银行记为B₀。A为离线成员，与B进行近距离通信，从而进行数字货币交易。B为在线成员，且与商业银行B₀通过CA机构进行认证后产生会话密钥KSB。A和B进行近距离通信互换双方信息。发送方信息包括发送方ID、钱包ID、联系方式以及硬件设备码等。接收方信息与此类似。

本实施例的***还包括证书颁发机构CA。CA具有抗量子计算装置T_CA，T_CA中部署有基于ID密码学的密钥管理服务器KMS。

KMS为A和B颁发抗量子计算装置T_A、T_B，为A₀和B₀颁发抗量子计算装置

抗量子计算装置可以是密钥卡、移动终端、密码机、网关等，可与CA机构或各个用户端分别进行主板接口通信、近距离无线通信、可控的内网通信等，可保证通信范围内不会被量子计算机窃取信息，例如抗量子计算装置可以是密钥卡插接在CA机构的主机主板上，或者抗量子计算装置可以是移动终端与同样是移动终端的双方进行NFC通信，或者抗量子计算装置是密码机或网关与同一内网的PC主机双方进行安全的内网通信。

综上所述，借助于本发明的上述技术方案，本发明可以实现抗量子计算的基于数字证书发送方离线的数字货币通信***；此外，本发明中所使用的对称密钥均基于ID密码学实时计算生成，不需要进行对称密钥提前存储，对用户来说成本低、不存在对称密钥管理和存储问题；

此外，本发明没有改变传统CA及基于数字证书的数字签名***的整体流程和数据结构，因此CA及用户应用***切换到抗量子计算方案的成本不高；此外，本发明中，基于ID密码学的密钥颁发服务器对每个不同用户的***公私钥均不同，即使某个用户的***公钥丢失导致***私钥被量子计算机破解，也不会危及到CA和其他用户的***公私钥；

此外，本发明的通信模式满足了两种不同情况下对于安全性和成本的要求，即：对于机密性要求极度高、方案改动影响范围相对较小的中央银行与商业银行之间的通信，采用更高成本且更安全的量子保密通信，从而实现具有更高安全度的通信；对于机密性要求并非极度高、方案改动影响范围相对较大的商业银行与用户之间的通信，采用基于数字证书的抗量子计算通信，从而实现具有较高安全度且兼顾成本的通信。因此本发明将现有数字货币通信***改进为抗量子计算数字货币通信***，且兼顾了***改进的成本。

以上所述实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。

Claims (10)

1.一种发送方离线的数字货币抗量子计算交易方法，其特征在于，该方法包括以下步骤：

S1、利用密钥管理服务器分别为用户端和商业银行数字货币***颁发抗量子计算装置；

其中，所述密钥管理服务器为所述用户端颁发***公私钥时，计算消息认证码得到对应的***私钥，再根据该***私钥计算得到***公钥，并将该***私钥保存在所述密钥管理服务器的抗量子计算装置中，将该***公钥保存在对应所述用户端的抗量子计算装置中；

所述密钥管理服务器为所述商业银行数字货币***颁发***公私钥时，计算消息认证码得到对应的***私钥，再根据该***私钥计算得到***公钥，并将该***私钥保存在所述密钥管理服务器的抗量子计算装置中，将该***公钥保存在所述商业银行数字货币***的抗量子计算装置中；

所述密钥管理服务器为所述用户端颁发公私钥时，调用哈希函数计算得到公钥，再根据该公钥计算得到对应的私钥，并将所述用户端的ID和所述公私钥存入所述用户端的抗量子计算装置中；

所述密钥管理服务器为所述商业银行数字货币***颁发公私钥时，调用哈希函数计算得到公钥，再根据该公钥计算得到对应的私钥，并将所述商业银行数字货币***的ID和所述公私钥存入所述商业银行数字货币***的抗量子计算装置中；

所述抗量子计算装置包括密钥卡、移动终端、密码机或网关中的至少一种，可与CA机构或各个用户端分别进行主板接口通信、近距离无线通信、可控的内网通信，保证通信范围内不会被量子计算机窃取信息；

S2、根据根证书颁发方法使用证书颁发机构分别为所述用户端及所述商业银行数字货币***颁发根证书，并存入对应的所述抗量子计算装置；

S3、通过证书颁发方法利用所述证书颁发机构分别为所述用户端及所述商业银行数字货币***颁发证书，并存入对应的所述抗量子计算装置；

S4、使用货币交易方法实现发送方用户端离线的数字货币交易；

其中，所述S4使用货币交易方法实现发送方用户端离线的数字货币交易具体包括以下步骤：

S41、所述发送方用户端签名得到签名交易，并将所述签名交易发送给接收方用户端；

S42、所述接收方用户端接收所述签名交易，并向所述证书颁发机构验证所述发送方用户端证书的有效性；

S43、所述证书颁发机构接收验证消息并对所述发送方用户端的证书进行验证；

S44、所述接收方用户端与对应的商业银行进行协商，得到会话密钥；

S45、所述接收方用户端接收验证结果，并对所述签名交易进行验证，验证通过后，使用所述会话密钥向对应的所述商业银行汇报；

S46、对应的所述商业银行接收交易信息，并通过中央银行对所述交易信息进行验证；

S47、所述中央银行将所述交易验证结果分别发送给所述接收方用户端对应的商业银行和所述发送方用户端对应的商业银行；

S48、所述接收方用户端对应的商业银行将所述交易验证结果发送给所述接收方用户端；

S49、所述接收方用户端将所述交易验证结果发送给所述发送方用户端。

2.根据权利要求1所述的一种发送方离线的数字货币抗量子计算交易方法，其特征在于，所述S2根据根证书颁发方法使用证书颁发机构分别为所述用户端及所述商业银行数字货币***颁发根证书，并存入对应的所述抗量子计算装置具体包括以下步骤：

S21、使用所述证书颁发机构为所述用户端颁发根证书，并存入所述用户端的抗量子计算装置中；

S22、使用所述证书颁发机构为所述商业银行数字货币***颁发根证书，并存入所述商业银行数字货币***的抗量子计算装置中。

3.根据权利要求2所述的一种发送方离线的数字货币抗量子计算交易方法，其特征在于，所述S21中使用所述证书颁发机构为所述用户端颁发根证书包括以下步骤：

S211、所述用户端将身份信息发送给所述证书颁发机构；

S212、所述证书颁发机构向所述用户端返回所述证书颁发机构根证书；

S213、所述用户端接收所述证书颁发机构的根证书。

4.根据权利要求2所述的一种发送方离线的数字货币抗量子计算交易方法，其特征在于，所述S22中使用所述证书颁发机构为所述商业银行数字货币***颁发根证书包括以下步骤：

S221、所述商业银行数字货币***将身份信息发送给所述证书颁发机构；

S222、所述证书颁发机构向所述商业银行数字货币***返回所述证书颁发机构根证书；

S223、所述商业银行数字货币***接收所述证书颁发机构的根证书。

5.根据权利要求1所述的一种发送方离线的数字货币抗量子计算交易方法，其特征在于，所述S3通过证书颁发方法利用所述证书颁发机构分别为所述用户端及所述商业银行数字货币***颁发证书，并存入对应的所述抗量子计算装置具体包括以下步骤：

S31、利用所述证书颁发机构为所述用户端颁发证书，并存入所述用户端的抗量子计算装置中；

S32、利用所述证书颁发机构为所述商业银行数字货币***颁发证书，并存入所述商业银行数字货币***的抗量子计算装置中。

6.根据权利要求5所述的一种发送方离线的数字货币抗量子计算交易方法，其特征在于，所述S31中利用所述证书颁发机构为所述用户端颁发证书包括以下步骤：

S311、所述用户端将身份信息和证书公钥发送给所述证书颁发机构；

S312、所述证书颁发机构向所述用户端返回证书；

S313、所述用户端收到证书。

7.根据权利要求5所述的一种发送方离线的数字货币抗量子计算交易方法，其特征在于，所述S32中利用所述证书颁发机构为所述商业银行数字货币***颁发证书包括以下步骤：

S321、所述商业银行数字货币***将身份信息和证书公钥发送给所述证书颁发机构；

S322、所述证书颁发机构向所述商业银行数字货币***返回证书；

S323、所述商业银行数字货币***收到证书。

8.根据权利要求1所述的一种发送方离线的数字货币抗量子计算交易方法，其特征在于，所述S44中所述接收方用户端与对应的商业银行进行协商，得到会话密钥具体包括以下步骤：

S441、所述接收方用户端向对应的所述商业银行发送签名会话密钥；

S442、对应的所述商业银行向所述证书颁发机构验证所述接收方用户端证书的有效性；

S443、所述证书颁发机构对所述接收方用户端证书的有效性进行验证，并将所述验证结果发送给对应的所述商业银行；

S444、对应的所述商业银行将所述验证结果发送给所述接收方用户端。

9.一种抗量子计算数字货币***，以实现权利要求1-8中任一项所述的发送方离线的数字货币抗量子计算交易方法的步骤，其特征在于，该***包括中央银行数字货币***、商业银行数字货币***、用户和认证***，所述中央银行数字货币***与所述商业银行数字货币***进行身份认证并进行保密通信，所述商业银行数字货币***与所述用户进行身份认证并进行保密通信；

其中，所述中央银行数字货币***用于生产和发行数字货币，还用于对对所述数字货币进行权属登记；

所述商业银行数字货币***用于针对数字货币执行银行功能；

所述用户为所述数字货币的使用主体；

所述认证***用于对所述商业银行数字货币***和所述数字货币的用户终端设备之间的交互进行认证，还用于对所述中央银行数字货币***和所述商业银行数字货币***之间的交互进行认证。

10.根据权利要求9所述的一种抗量子计算数字货币***，其特征在于，还包括证书颁发机构，所述证书颁发机构中设置有抗量子计算装置，且所述抗量子计算装置中部署有基于ID密码学的密钥管理服务器，所述中央银行数字货币***包括中央银行，所述商业银行数字货币***包括发送方用户端对应的商业银行和接收方用户端对应的商业银行，所述用户包括发送方用户端和接收方用户端，且所述发送方用户端与所述接收方用户端之间进行近距离通信。