TW201815123A - 量子資料密鑰協商系統及量子資料密鑰協商方法 - Google Patents

量子資料密鑰協商系統及量子資料密鑰協商方法 Download PDF

Info

Publication number
TW201815123A
TW201815123A TW106126105A TW106126105A TW201815123A TW 201815123 A TW201815123 A TW 201815123A TW 106126105 A TW106126105 A TW 106126105A TW 106126105 A TW106126105 A TW 106126105A TW 201815123 A TW201815123 A TW 201815123A
Authority
TW
Taiwan
Prior art keywords
key
quantum
information
identity
platform
Prior art date
Application number
TW106126105A
Other languages
English (en)
Other versions
TWI738836B (zh
Inventor
付穎芳
Original Assignee
香港商阿里巴巴集團服務有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 香港商阿里巴巴集團服務有限公司 filed Critical 香港商阿里巴巴集團服務有限公司
Publication of TW201815123A publication Critical patent/TW201815123A/zh
Application granted granted Critical
Publication of TWI738836B publication Critical patent/TWI738836B/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/083—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) involving central third party, e.g. key distribution center [KDC] or trusted third party [TTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0852—Quantum cryptography
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0877—Generation of secret information including derivation or calculation of cryptographic keys or passwords using additional device, e.g. trusted platform module [TPM], smartcard, USB or hardware security module [HSM]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H04L9/0897—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage involving additional devices, e.g. trusted platform module [TPM], smartcard or USB

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Physics & Mathematics (AREA)
  • Electromagnetism (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Storage Device Security (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本案公開了一種量子資料密鑰協商系統，同時公開了一種量子資料密鑰協商方法，另一種量子資料密鑰協商方法，一種資料處理系統，一種資料處理方法，以及一種用於雲端服務網路系統的密鑰注入方法。其中，量子資料密鑰協商系統包括：分別具有可信計算平台的第一設備和第二設備、以及授權中心；授權中心，用於為第一設備和第二設備提供相應資訊，以供相應設備獲取基於其身份與平台資訊的私密密鑰及可信證書；第一設備和第二設備，分別用於對對方身份與平台的可信性進行驗證；並在雙方均通過驗證後，透過協商從各自的共用量子密鑰串中獲取量子資料密鑰。上述方法，由於引入了可信計算技術，可以保證了協商雙方的身份和平台的可信，保證協商過程的安全性。

Description

量子資料密鑰協商系統及量子資料密鑰協商方法
本案係關於量子資料密鑰協商技術，具體關於一種量子資料密鑰協商系統。本案同時關於一種量子資料密鑰協商方法、另一種量子資料密鑰協商方法、一種資料處理系統、一種資料處理方法、以及一種用於雲端服務網路系統的密鑰注入方法。
量子密碼作為量子力學和密碼學的交叉產物，其安全性由量子力學基本原理保證(未知量子態的測不准原理、測量坍縮原理、不可克隆原理(non-clone principle))，與攻擊者的計算能力和儲存能力無關，被證明具有無條件安全性和對竊聽者的可檢測性。
基於量子密碼的上述特點，出現了BB84等量子密鑰分發協定，具有資料保密通信需求的雙方，可以採用實現了該協定的量子密鑰分發設備經過原始密鑰協商、密鑰篩選、誤碼率估計、資料協調、隱私放大等階段，最終得到無條件安全的共用量子密鑰串。
具有資料保密通信需求的雙方在完成上述量子密鑰分發操作的基礎上，通常還要通過量子資料密鑰協商過程， 分別從各自的共用量子密鑰串中獲取某些特定的位作為雙方共用的量子資料密鑰，以便進行資料保密傳輸，即：其中一方採用量子資料密鑰對資料加密後發送給另一方，另一方接收資料後也採用同樣的量子資料密鑰執行解密操作，從而還原原始資料。
現有技術在進行量子資料密鑰協商時，通常僅對雙方身份進行驗證，而不對雙方的平台資訊(即：軟硬體環境)進行驗證，導致量子資料密鑰協商過程存在一定的安全隱患。
本案實施例提供一種量子資料密鑰協商系統，以消除現有的量子資料密鑰協商技術由於沒有對雙方平台可信性進行驗證而導致的安全隱憂。本案實施例還提供一種量子資料密鑰協商方法，另一種量子資料密鑰協商方法，一種資料處理系統，一種資料處理方法，以及一種用於雲端服務網路系統的密鑰注入方法。
本案提供一種量子資料密鑰協商系統，包括：具有共用量子密鑰串的第一設備和第二設備、以及授權中心，其中，所述第一設備和第二設備彼此之間、以及與授權中心之間通信連接，所述第一設備和第二設備以及授權中心分別具有可信計算平台；所述授權中心，用於分別根據所述第一設備和第二設備的授權請求，對相應請求方的身份與平台的可信性進行 驗證，並在驗證通過後基於授權中心的系統私密密鑰為相應請求方提供相應信息，以供相應請求方獲取基於其身份與平台資訊的私密密鑰及可信證書；所述第一設備和第二設備，分別用於向對方發送至少包含可信證書的驗證請求、並利用對方發送的驗證請求中的資訊對對方身份與平台的可信性進行驗證；並在雙方均通過驗證後，透過協商從各自的共用量子密鑰串中獲取量子資料密鑰。
可選的，所述第一設備和第二設備分別向對方發送的驗證請求中，還包含各自的可信度量報告。
可選的，所述授權中心包括至少兩個通信連接的管控節點，各管控節點分別具有可信計算平台；所述管控節點之一，用於將所述授權中心的系統私密密鑰根據門限密鑰共用機制拆分成n個系統子私密密鑰，n與管控節點的數目一致，並將其中n-1個系統子私密密鑰分別分發給不同的管控節點；還用於根據接收到的授權請求，對相應請求方的身份與平台的可信性進行驗證，並在驗證通過後基於自己持有的系統子私密密鑰向相應請求方頒發基於其身份與平台資訊的子私密密鑰及子證書；所述管控節點中的其他節點，用於根據接收到的授權請求，對相應請求方的身份與平台的可信性進行驗證，並在驗證通過後基於自己持有的系統子私密密鑰向相應請求方頒發基於其身份與平台資訊的子私密密鑰及子證書；所述第一設備和第二設備，分別具體用於向預定數量 的管控節點發送授權請求，並根據管控節點頒發的子私密密鑰及子證書，採用所述門限密鑰共用機制合成基於各自身份與平台資訊的私密密鑰及可信證書。
可選的，所述第一設備和第二設備，還分別用於將獲取的基於各自身份與平台資訊的私密密鑰及可信憑證存放區在各自可信計算平台提供的可信儲存空間中。
可選的，所述授權中心為一集中管控節點，具體用於分別根據第一設備和第二設備的授權請求，對相應請求方的身份與平台的可信性進行驗證，並在驗證通過後基於系統私密密鑰為相應的請求方頒發基於其身份與平台資訊的私密密鑰及可信證書。
可選的，所述系統私密密鑰是權威的認證授權機構向所述授權中心頒發的，或者是所述授權中心利用其可信計算平台產生的。
可選的，所述第一設備和第二設備，分別具體用於在雙方均通過驗證後，透過協商從各自的共用量子密鑰串中獲取兩個或者兩個以上量子資料密鑰。
可選的，所述第一設備，具體用於向所述第二設備發送協商消息，所述協商消息中至少包含指示第二設備從其共用量子密鑰串中獲取兩個或者兩個以上量子資料密鑰的參數資訊，並在接收到所述第二設備的確認應答後，從自己的共用量子密鑰串中獲取與所述參數資訊對應的量子資料密鑰；所述第二設備，具體用於根據接收到的協商消息包含的參數資訊，從自己的共用量子密鑰串中獲取相應的 量子資料密鑰，並向所述第一設備返回確認應答。
可選的，所述參數資訊包括：量子資料密鑰的數量、量子資料密鑰的固定長度、以及第一個量子資料密鑰的起始量子密鑰位元標識；或者，至少兩個參數組，每個參數組中包含相應量子資料密鑰的起始量子密鑰位元標識，或者，所述起始量子密鑰位元標識及長度資訊。
可選的，所述參數資訊包括：至少兩個參數組，每個參數組中包含相應量子資料密鑰的起始量子密鑰位元標識及長度資訊，且至少存在兩個參數組指定的量子資料密鑰具有重疊部分，使得所述參數資訊指定的量子資料密鑰的總長度大於雙方各自具有的共用量子密鑰串的長度。
可選的，所述第一設備，還用於在發送所述協商消息之前，採用所述第二設備可以解密的方式對所述協商消息中的參數資訊加密；所述第二設備，還用於在根據接收到的協商消息包含的參數資訊獲取相應的量子資料密鑰之前，對所述協商消息包含的參數資訊密文解密。
可選的，所述第一設備，具體用於採用所述第二設備的可信證書中的公開密鑰對所述協商消息中的參數資訊加密；所述第二設備，具體用於採用其基於身份與平台資訊的私密密鑰對接收到的協商消息中的參數資訊密文解密；或者，所述第一設備，具體用於採用雙方上一次進行量子資料密鑰協商獲取的量子資料密鑰、對所述協商消息中的參 數資訊加密；所述第二設備，具體用於採用所述雙方上一次進行量子資料密鑰協商獲取的量子資料密鑰、對接收到的協商消息中的參數資訊密文解密。
可選的，所述第一設備，還用於在向所述第二設備發送的所述協商消息中包含根據所述參數資訊以及雙方共用的秘密資訊計算得到的散列值；所述第二設備，還用於在從所述共用量子密鑰串中獲取相應的量子資料密鑰之前，根據解密後的參數資訊、所述雙方共用的秘密資訊以及接收到的散列值，對第一設備的身份及所述參數資訊的完整性進行驗證，並在驗證通過後執行獲取相應的量子資料密鑰的操作。
可選的，所述雙方共用的秘密資訊包括：雙方上一次進行量子資料密鑰協商獲取的量子資料密鑰。
可選的，所述第二設備，還用於在所述確認應答中包含，採用所述第一設備可以解密的方式對所述協商消息中的預設參數的變體進行加密後的密文；所述第一設備，還用於在接收到所述第二設備的確認應答後，對所述確認應答中包含的變體資訊密文解密，根據解密結果與之前發送的相應參數對所述第二設備的身份進行驗證，並在驗證通過後，執行從所述共用量子密鑰串中獲取與所述參數資訊對應的量子資料密鑰的操作。
可選的，所述量子資料密鑰協商系統部署於雲端服務網路系統中；所述雲端服務網路系統包括：雲端供應商子系統，和雲端用戶子系統；所述授權中心部署于雲端供應 商子系統；所述第一設備為雲端供應商子系統中的雲用戶租賃設備，所述第二設備為雲用戶子系統中的終端設備；或者，所述第一設備為雲用戶子系統中的終端設備，所述第二設備為雲端供應商子系統中的雲用戶租賃設備；所述雲用戶租賃設備包括：雲用戶租賃的可信儲存外設、或可信儲存伺服器；當所述第一設備或者所述第二設備為所述終端設備時，所述第一設備或所述第二設備，還用於將基於其身份與平台資訊的私密密鑰作為協商密鑰注入到所述雲用戶租賃設備的可信儲存空間中；所述第一設備，具體用於採用所述協商密鑰對所述協商消息中的參數資訊加密，並且採用所述協商密鑰對接收到的確認應答中的變體資訊密文解密；所述第二設備，具體用於採用所述協商密鑰對接收到的協商消息中的參數資訊密文解密，並且採用所述協商密鑰對所述確認應答中的所述預設參數的變體加密；所述雙方共用的秘密資訊為所述協商密鑰。
可選的，所述量子資料密鑰協商系統部署於雲端服務網路系統中；所述雲端服務網路系統包括：雲端供應商子系統，和雲端用戶子系統；所述授權中心部署於雲端供應商子系統；所述第一設備和第二設備分別為：雲端供應商子系統中的業務設備、雲用戶子系統中的 終端設備；或者，雲端用戶子系統中的終端設備、雲端供應商子系統中的業務設備；或者，雲端供應商子系統中的不同業務設備。
可選的，所述雲端供應商子系統中的業務設備包括：可信伺服器、可信儲存外設、或可信儲存伺服器。
此外，本案還提供一種量子資料密鑰協商方法，本方法所涉及的第一設備和第二設備、以及授權中心分別具有可信計算平台，所述第一設備和第二設備分別預先根據授權中心基於系統私密密鑰提供的相應資訊、獲取了基於各自身份與平台資訊的私密密鑰及可信證書；所述方法包括：所述第一設備和第二設備分別向對方發送至少包含可信證書的驗證請求，並利用對方發送的驗證請求中的資訊對對方身份與平台的可信性進行驗證；若所述第一設備和第二設備均通過驗證，則雙方透過協商從各自的共用量子密鑰串中獲取量子資料密鑰。
可選的，所述第一設備和第二設備分別向對方發送的驗證請求中，還包含各自的可信度量報告。
可選的，在所述第一設備和第二設備分別向對方發送驗證請求之前，包括：所述第一設備和第二設備分別向所述授權中心發送授權請求，所述授權請求中攜帶各自的身份資訊和平台資訊； 所述第一設備和第二設備，分別根據所述授權中心在驗證相應請求方的身份與平台可信性後、基於所述系統私密密鑰返回的相應資訊，獲取基於各自身份與平台資訊的私密密鑰及可信證書。
可選的，所述授權中心包括至少兩個管控節點，各管控節點分別具有可信計算平台；在所述第一設備和第二設備分別向所述授權中心發送授權請求之前，包括：所述管控節點之一，將所述授權中心的系統私密密鑰根據門限密鑰共用機制拆分成n個系統子私密密鑰，n與管控節點的數目一致，並將其中n-1個系統子私密密鑰分別分發給不同的管控節點；所述第一設備和第二設備分別向所述授權中心發送授權請求，包括：所述第一設備和第二設備分別向預定數量的管控節點發送授權請求；所述第一設備和第二設備，分別根據所述授權中心在驗證相應請求方的身份與平台可信性後、基於所述系統私密密鑰返回的相應資訊，獲取基於各自身份與平台資訊的私密密鑰及可信證書，包括：接收到相應授權請求的管控節點，根據相應請求方的授權請求，對相應請求方的身份與平台的可信性進行驗證，並在驗證通過後基於自己持有的系統子私密密鑰向相應請求方頒發基於其身份與平台資訊的子私密密鑰及子證書； 所述第一設備和第二設備分別根據管控節點頒發的子私密密鑰以及子證書，採用所述門限密鑰共用機制合成基於各自身份與平台資訊的私密密鑰以及可信證書。
可選的，所述授權中心為一集中管控節點；所述第一設備和第二設備，分別根據所述授權中心在驗證相應請求方的身份與平台可信性後、基於所述系統私密密鑰返回的相應資訊，獲取基於各自身份與平台資訊的私密密鑰及可信證書，包括：所述授權中心，分別根據所述第一設備和第二設備的授權請求，對相應請求方的身份與平台的可信性進行驗證，並在驗證通過後基於授權中心的系統私密密鑰為相應的請求方頒發基於其身份與平台資訊的私密密鑰以及可信證書。
可選的，所述第一設備和第二設備分別向對方發送至少包含可信證書的驗證請求、並利用對方發送的驗證請求中的資訊對對方身份與平台的可信性進行驗證，包括：所述第一設備將至少包含可信證書的驗證請求發送給所述第二設備；所述第二設備至少根據接收到的驗證請求中包含的可信證書，對所述第一設備的身份與平台的可信性進行驗證，並將至少包含自己的可信證書的驗證請求發送給所述第一設備；所述第一設備至少根據接收到的驗證請求中包含的可信證書，對所述第二設備的身份與平台的可信性進行驗 證。
可選的，所述雙方透過協商從各自的共用量子密鑰串中獲取量子資料密鑰，包括：雙方透過協商從各自的共用量子密鑰串中獲取兩個或者兩個以上量子資料密鑰。
可選的，所述雙方透過協商從各自的共用量子密鑰串中獲取兩個或者兩個以上量子資料密鑰，包括：所述第一設備向所述第二設備發送協商消息，所述協商消息中至少包含指示第二設備從其共用量子密鑰串中獲取兩個或者兩個以上量子資料密鑰的參數資訊；所述第二設備根據接收到的協商消息包含的參數資訊，從自己的共用量子密鑰串中獲取相應的量子資料密鑰，並向所述第一設備返回確認應答；所述第一設備在接收到所述確認應答後，從自己的共用量子密鑰串中獲取與其發送的參數資訊對應的量子資料密鑰。
可選的，所述參數資訊包括：量子資料密鑰的數量、量子資料密鑰的固定長度、以及第一個量子資料密鑰的起始量子密鑰位元標識；或者，至少兩個參數組，每個參數組中包含相應量子資料密鑰的起始量子密鑰位元標識，或者，所述起始量子密鑰位元標識及長度資訊。
可選的，所述參數資訊包括：至少兩個參數組，每個參數組中包含相應量子資料密鑰的起始量子密鑰位元標識及長度資訊，且至少存在兩個參數組指定的量子資料密鑰 具有重疊部分，使得所述參數資訊指定的量子資料密鑰的總長度大於雙方各自具有的共用量子密鑰串的長度。
可選的，所述第一設備在向所述第二設備發送至少包含參數資訊的協商消息之前，執行以下操作：採用所述第二設備可以解密的方式對所述參數資訊加密；所述第一設備向所述第二設備發送的協商消息中所包含的參數資訊是指，所述參數資訊密文；所述第二設備在根據接收到的協商消息包含的參數資訊獲取相應的量子資料密鑰之前，執行以下操作：對接收到的協商消息中的參數資訊密文解密。
可選的，所述第一設備採用所述第二設備可以解密的方式對所述協商消息中的參數資訊加密，包括：採用所述第二設備的可信證書中的公開密鑰對所述協商消息中的參數資訊加密；或者，採用雙方上一次進行量子資料密鑰協商獲取的量子資料密鑰、對所述協商消息中的參數資訊加密；相應的，所述第二設備對接收到的協商消息中的參數資訊密文解密，包括：採用第二設備的基於身份與平台資訊的私密密鑰對接收到的協商消息中的參數資訊密文解密；或者，採用所述雙方上一次進行量子資料密鑰協商獲取的量子資料密鑰、對接收到的協商消息中的參數資訊密文解密。
可選的，所述第一設備在向所述第二設備發送的所述 協商消息中還包含：根據所述參數資訊以及雙方共用的秘密資訊計算得到的散列值；所述第二設備在對接收到的協商消息中的參數資訊密文解密之後，在從所述共用量子密鑰串中獲取相應的量子資料密鑰之前，執行下述操作：根據解密後的參數資訊、所述雙方共用的秘密資訊以及接收到的散列值，對所述第一設備的身份及所述參數資訊的完整性進行驗證，並在驗證通過後執行所述獲取相應的量子資料密鑰的操作。
可選的，所述雙方共用的秘密資訊包括：雙方上一次進行量子資料密鑰協商獲取的量子資料密鑰。
可選的，所述第二設備發送的確認應答中包含：採用所述第一設備可以解密的方式對所述協商消息中的預設參數的變體進行加密後的密文；所述第一設備在接收到所述第二設備的確認應答後，執行如下操作：對所述確認應答中包含的變體資訊密文解密，根據解密結果與之前發送的相應參數對所述第二設備的身份進行驗證，並在驗證通過後，執行所述從所述共用量子密鑰串中獲取與其發送的參數資訊對應的量子資料密鑰的操作。
可選的，所述方法在雲端服務網路系統中實施；所述雲端服務網路系統包括：雲端供應商子系統，和雲端用戶子系統；所述授權中心部署於雲端供應商子系統；所述第一設備和第二設備分別為： 雲端供應商子系統中的業務設備、雲用戶子系統中的終端設備；或者，雲端用戶子系統中的終端設備、雲端供應商子系統中的業務設備；或者，雲端供應商子系統中的不同業務設備。
此外，本案還提供另一種量子資料密鑰協商方法，包括：第一設備向第二設備發送協商消息，所述協商消息中至少包含指示第二設備從其共用量子密鑰串中獲取兩個或者兩個以上量子資料密鑰的參數資訊；所述第二設備根據接收到的協商消息包含的參數資訊，從自己的共用量子密鑰串中獲取相應的量子資料密鑰；所述第一設備從自己的共用量子密鑰串中獲取與其發送的參數資訊對應的量子資料密鑰。
可選的，所述參數資訊包括：量子資料密鑰的數量、量子資料密鑰的固定長度、以及第一個量子資料密鑰的起始量子密鑰位元標識；或者，至少兩個參數組，每個參數組中包含相應量子資料密鑰的起始量子密鑰位元標識，或者，所述起始量子密鑰位元標識及長度資訊。
可選的，所述協商消息中至少包含指示第二設備從其共用量子密鑰串中獲取兩個或者兩個以上量子資料密鑰的參數資訊，且所述參數資訊指定的量子資料密鑰的總長度 大於雙方各自具有的共用量子密鑰串的長度。
可選的，所述參數資訊包括：至少兩個參數組，每個參數組中包含相應量子資料密鑰的起始量子密鑰位元標識及長度資訊，且至少存在兩個參數組指定的量子資料密鑰具有重疊部分，使得所述參數資訊指定的量子資料密鑰的總長度大於雙方各自具有的共用量子密鑰串的長度。
可選的，所述第二設備從所述共用量子密鑰串中獲取相應的量子資料密鑰之後，包括：向所述第一設備返回確認應答；所述第一設備從自己的共用量子密鑰串中獲取與其發送的參數資訊對應的量子資料密鑰，包括：所述第一設備接收所述確認應答後，從自己的共用量子密鑰串中獲取與其發送的參數資訊對應的量子資料密鑰。
可選的，所述第一設備在向所述第二設備發送至少包含參數資訊的協商消息之前，執行以下操作：採用所述第二設備可以解密的方式對所述參數資訊加密；所述第一設備向所述第二設備發送的協商消息中所包含的參數資訊是指，所述參數資訊密文；所述第二設備在根據接收到的協商消息包含的參數資訊獲取相應的量子資料密鑰之前，執行以下操作：對接收到的協商消息中的參數資訊密文解密。
可選的，所述第一設備採用所述第二設備可以解密的 方式對所述協商消息中的參數資訊加密，包括：採用所述第二設備的公開密鑰對所述協商消息中的參數資訊加密；或者，採用雙方上一次進行量子資料密鑰協商獲取的量子資料密鑰、對所述協商消息中的參數資訊加密；相應的，所述第二設備對接收到的協商消息中的參數資訊密文解密，包括：採用所述第二設備的私密密鑰對接收到的協商消息中的參數資訊密文解密；或者，採用所述雙方上一次進行量子資料密鑰協商獲取的量子資料密鑰、對接收到的協商消息中的參數資訊密文解密。
可選的，所述第一設備在向所述第二設備發送的所述協商消息中還包含：根據所述參數資訊以及雙方共用的秘密資訊計算得到的散列值；所述第二設備在對接收到的協商消息中的參數資訊密文解密之後，在從所述共用量子密鑰串中獲取相應的量子資料密鑰之前，執行下述操作：根據解密後的參數資訊、所述雙方共用的秘密資訊以及接收到的散列值，對所述第一設備的身份及所述參數資訊的完整性進行驗證，並在驗證通過後執行獲取相應的量子資料密鑰的操作。
可選的，所述雙方共用的秘密資訊包括：雙方上一次進行量子資料密鑰協商獲取的量子資料密鑰。
可選的，所述第二設備發送的確認應答中包含：採用 所述第一設備可以解密的方式對所述協商消息中的預設參數的變體進行加密後的密文；所述第一設備在接收到所述第二設備的確認應答後，執行如下操作：對所述確認應答中包含的變體資訊密文解密，根據解密結果與之前發送的相應參數對所述第二設備的身份進行驗證，並在驗證通過後，執行所述從所述共用量子密鑰串中獲取與其發送的參數資訊對應的量子資料密鑰的操作。
此外，本案還提供一種資料處理系統，包括：第一設備和第二設備、以及授權中心，其中，所述第一設備和第二設備彼此之間、以及與授權中心之間通信連接，所述第一設備和第二設備以及授權中心分別具有可信計算平台；所述授權中心，用於分別根據所述第一設備和第二設備的授權請求，對相應請求方的身份與平台的可信性進行驗證，並在驗證通過後基於授權中心的系統私密密鑰為相應請求方提供相應信息，以供相應請求方獲取基於其身份與平台資訊的私密密鑰及可信證書；所述第一設備和第二設備，分別用於向對方發送至少包含可信證書的驗證請求、並利用對方發送的驗證請求中的資訊對對方的身份與平台的可信性進行驗證；並在雙方均通過驗證後，通過與對方的交互執行資料處理操作。
可選的，所述第一設備和第二設備分別向對方發送的驗證請求中，還包含各自的可信度量報告。
可選的，所述資料處理操作包括：從各自的共用量子 密鑰串中獲取量子資料密鑰；或者，執行儲存資料或獲取資料操作。
此外，本案還提供一種資料處理方法，本方法所涉及的第一設備和第二設備、以及授權中心，分別具有可信計算平台，所述第一設備和第二設備分別預先根據授權中心基於系統私密密鑰提供的相應資訊、獲取了基於各自身份與平台資訊的私密密鑰及可信證書；所述方法，包括：所述第一設備和第二設備分別向對方發送至少包含可信證書的驗證請求、並利用對方發送的驗證請求中的資訊對對方身份與平台的可信性進行驗證；若所述第一設備和第二設備均通過驗證，則雙方通過交互執行資料處理操作。
可選的，所述第一設備和第二設備分別向對方發送的驗證請求中，還包含各自的可信度量報告。
可選的，在第一設備和第二設備分別向對方發送驗證請求之前，包括：第一設備和第二設備分別向所述授權中心發送授權請求，所述授權請求中攜帶各自的身份資訊和平台資訊；第一設備和第二設備，分別根據所述授權中心在驗證相應請求方的身份與平台可信性後、基於所述系統私密密鑰返回的相應資訊，獲取基於各自身份與平台資訊的私密密鑰及可信證書。
可選的，所述資料處理操作包括：從各自的共用量子 密鑰串中獲取量子資料密鑰；或者，執行儲存資料或獲取資料操作。
此外，本案還提供一種用於雲端服務網路系統的密鑰注入方法，所述雲端服務網路系統的授權中心至少包括兩個管控節點，各管控節點遵循門限密鑰共用機制分別持有所述授權中心的系統子私密密鑰；所述方法，包括：雲端用戶終端設備遵循所述門限密鑰共用機制分別向預定數量管控節點發送授權請求；接收授權請求的各管控節點基於各自持有的系統子私密密鑰，分別向所述雲端用戶終端設備頒發至少基於所述雲用戶終端設備的身份資訊的子私密密鑰；雲端用戶終端設備將接收到的各子私密密鑰合成至少基於自己身份資訊的私密密鑰；雲用戶終端設備將所述至少基於自己身份資訊的私密密鑰注入到所述雲端服務網路系統中的、雲用戶租賃設備中。
與現有技術相比，本案具有以下優點：本案提供的量子資料密鑰協商系統，包括：具有共用量子密鑰串的第一設備和第二設備、以及授權中心，其中，所述第一設備和第二設備彼此之間、以及與授權中心之間通信連接，所述第一設備和第二設備以及授權中心分別具有可信計算平台；所述授權中心，用於分別根據所述第一設備和第二設備的授權請求，對相應請求方的身份與 平台的可信性進行驗證，並在驗證通過後基於授權中心的系統私密密鑰為相應請求方提供相應信息，以供相應請求方獲取基於其身份與平台資訊的私密密鑰及可信證書；所述第一設備和第二設備，分別用於向對方發送至少包含可信證書的驗證請求、並利用對方發送的驗證請求中的資訊對對方身份與平台的可信性進行驗證；並在雙方均通過驗證後，透過協商從各自的共用量子密鑰串中獲取量子資料密鑰。
採用本案提供的上述系統，由於引入了可信計算技術，參與量子資料密鑰協商過程的兩個設備都具有授權中心頒發的基於各自身份與平台資訊的可信證書，並在量子資料密鑰協商之前，雙方設備首先至少根據可信證書對對方身份與平台的可信性進行驗證，並在雙方都通過驗證後才進行量子資料密鑰的協商，從而保證了協商雙方的身份和平台的可信，保證了協商過程的安全性。
1‧‧‧管控節點
2‧‧‧管控節點
3‧‧‧管控節點
4‧‧‧管控節點
圖1是本案實施例提供的一種量子資料密鑰協商系統的示意圖；圖2是本案實施例提供的第一設備和第二設備進行量子資料密鑰協商的交互過程的示意圖；圖3是本案實施例提供的量子資料密鑰協商系統部署於雲端服務網路系統的架構圖；圖4是本案的一種量子資料密鑰協商方法的實施例的 流程圖；圖5是本案的另一種量子資料密鑰協商方法的實施例的流程圖；圖6是本案的一種資料處理系統的實施例的示意圖；圖7是本案的一種資料處理方法的實施例的流程圖；圖8是本案的一種用於雲端服務網路系統的密鑰注入方法的實施例的流程圖。
在下面的描述中闡述了很多具體細節以便於充分理解本案。但是，本案能夠以很多不同於在此描述的其它方式來實施，本領域技術人員可以在不違背本案內涵的情況下做類似推廣，因此，本案不受下面公開的具體實施的限制。
在本案中，分別提供了一種量子資料密鑰協商系統，一種量子資料密鑰協商方法，另一種量子資料密鑰協商方法，一種資料處理系統，一種資料處理方法，以及一種用於雲端服務網路系統的密鑰注入方法。在下面的實施例中逐一進行詳細說明。為了便於理解，先對以下實施例中涉及的概念作簡要說明。
可信計算平台，是指設置有基於可信晶片或基於軟體模擬的可信平台模組，且具有可信信任鏈傳遞功能的軟硬體執行環境，該平台能夠在計算的同時進行安全防護，使計算結果總是與預期一致，計算全程可測可控，不被干 擾。其中基於可信晶片的可信平台模組包括：TPCM晶片(Trusted Platform Control Module-可信平台控制模組)、或者TPM晶片(Trusted Platform Module-可信平台模組)。
基於身份與平台資訊的私密密鑰及可信證書(Trusted Certificate)，是指授權中心在驗證請求方身份與平台資訊可信後、為請求方頒發的與請求方身份與平台資訊相綁定的私密密鑰和相應證書，該證書中通常包含請求方的身份資訊、平台資訊、以及與所述私密密鑰相對應的、由請求方的身份資訊和平台資訊合成的公開密鑰。
共用量子密鑰串，是指兩個設備分別具有的相同量子密鑰串，可以是兩個設備利用各自的量子密鑰分發設備，基於BB84等協議協商獲取的，也可以是通過預設的介面從其他量子密鑰分發設備注入的。
量子資料密鑰，是指具有共用量子密鑰串的兩個設備透過協商過程、分別從各自共用量子密鑰串的相同位元獲取的相同資料密鑰，兩個設備可以將協商獲取的量子資料密鑰作為對稱密鑰對資料進行加解密傳輸。
可信度量報告(Trusted measurement report)，是指對可信計算平台進行可信度量得到的結果。具體的，可以以可信計算平台的平台狀態資訊作為度量內容，使用證書、完整性值、安全斷言等多種方式對可信計算平台的可信度進行度量，度量得到的結果即為可信度量報告。
下面對本案提供的各個實施例進行描述。
首先對本案的一種量子資料密鑰協商系統的實施例進行描述。所述量子資料密鑰協商系統包括：具有共用量子密鑰串的第一設備和第二設備、以及授權中心，其中，所述第一設備和第二設備彼此之間、以及與授權中心之間通信連接，所述第一設備和第二設備以及授權中心分別具有可信計算平台。
所述量子資料密鑰系統中各實體間的交互主要包括兩個方面，一方面是初始化過程中的交互，另一方面是初始化過程之後的量子密鑰協商過程。下面從這兩個方面對本系統中各個實體的功能及相互間的交互關係進行說明。
(一)初始化過程
所述授權中心可以具有系統私密密鑰及可信證書，所述系統私密密鑰和可信證書可以是比授權中心更權威的認證授權機構(也可簡稱CA機構)對授權中心的身份與平台進行合法性驗證後，向授權中心頒發的；也可以是授權中心利用自己的可信計算平台產生的。
所述第一設備和第二設備，分別通過向授權中心發送授權請求獲取基於各自身份與平台資訊的私密密鑰和可信證書。具體實施時，所述第一設備和第二設備可以在啟動後，執行上述發送授權請求以獲取私密密鑰和可信證書的操作。
所述授權中心，用於分別根據所述第一設備和第二設備的授權請求，對相應請求方的身份與平台的可信性進行 驗證，並在驗證通過後基於授權中心的系統私密密鑰為相應請求方提供相應信息，以供相應請求方獲取基於其身份與平台資訊的私密密鑰及可信證書。在具體實施時，所述授權中心可以採用集中管控方式或分散式管控方式，對於集中管控方式，所述授權中心提供的所述相應資訊可以是指，基於相應請求方身份與平台資訊的私密密鑰及可信證書；對於分散式管控方式，所述授權中心提供的所述相應資訊可以是指，由被請求的管控節點提供的基於相應請求方身份與平台資訊的子私密密鑰及子證書。
下面從授權中心採用集中管控方式、以及分散式管控方式兩個方面分別進行說明，其中集中管控方式比較簡便、易於實施，分散式管控方式則通過將許可權的分散化可以保障系統私密密鑰和各設備私密密鑰的安全性、而且可以在私密密鑰丟失或損毀的情況下提供找回機制。
1)集中管控方式
所述授權中心可以為一集中管控節點，例如：可以是一台具有可信計算平台的伺服器。所述第一設備和第二設備分別具體用於向所述集中管控節點發送授權請求，所述集中管控節點具體用於分別根據第一設備和第二設備的授權請求，對相應請求方的身份與平台的可信性進行驗證，並在驗證通過後基於系統私密密鑰為相應的請求方頒發基於其身份與平台資訊的私密密鑰及可信證書。即：接收第一設備的授權請求後為第一設備頒發基於第一設備的身份 與平台資訊的私密密鑰及可信證書，接收第二設備的授權請求後為第二設備頒發基於第二設備的身份與平台資訊的私密密鑰及可信證書。
以授權中心為第一設備頒發所述私密密鑰及可信證書為例，授權中心接收到第一設備發送的授權請求後，可以從授權請求中獲取第一設備的身份資訊和平台資訊。所述身份資訊可以包括以下資訊之一或者任意組合：使用第一設備的用戶資訊、第一設備的設備資訊、或者在第一設備上運行的特定進程或執行線程的資訊等；所述平台資訊，可以是可信晶片的標識資訊及PCR(平台配置寄存器)中儲存的資訊等，也可以是通過軟體模擬的可信平台模組的標識資訊及PCR中儲存的資訊等。授權中心對第一設備的身份資訊和平台資訊進行驗證，例如：通過白名單比對方式、或者通過查詢可信晶片廠家網站等方式，並在驗證通過後，即：認為第一設備的身份與平台可信後，採用如下計算過程為第一設備頒發基於其身份與平台資訊的私密密鑰及可信證書。
首先可以採用預設的演算法，根據身份資訊計算得到身份標識UID，根據平台資訊計算得到平台標識PID，然後按照預設方式將UID、PID合成後，以合成結果和授權中心的系統私密密鑰為輸入，採用相應的私密密鑰產生演算法：例如基於身份的私密密鑰產生演算法、將UID和PID的合成結果代替身份資訊輸入到演算法中，從而產生基於第一設備的身份與平台資訊的私密密鑰，並相應產生與私密 密鑰對應的可信證書，可信證書中的公開密鑰可以為所述按照預設方式將UID和PID合成得到的結果。在具體實施時，還可以將代表當前時間的時間戳記資訊帶入計算，從而產生隨時間動態變化的私密密鑰，提高安全性。
採用上述方式，第一設備即從授權中心獲取了基於其身份與平台資訊的私密密鑰及可信證書，同樣的道理，第二設備也可以採用相同的方式從授權中心獲取基於其身份與平台資訊的私密密鑰及可信證書。
在具體實施時，授權中心對第一設備的身份與平台驗證通過後，可以根據第一設備授權請求中攜帶的資訊，例如：PCR資訊，從中提取針對第一設備的可信計算平台的初始度量結果，作為後續對第一設備平台可信性驗證的比對基準。同樣的道理，授權中心對第二設備的身份與平台驗證通過後，可以採用同樣的方式，從第二設備授權請求中攜帶的資訊中提取針對第二設備的可信計算平台的初始度量結果，作為後續對第二設備平台可信性驗證的比對基準。
2)分散式管控方式
所述授權中心還可以採用分散式的實施方式，即：包括至少兩個通信連接的管控節點，各管控節點分別具有可信計算平台。
所述管控節點之一(可以稱為主管控節點)，用於將所述授權中心的系統私密密鑰根據門限密鑰共用機制拆分 成n個系統子私密密鑰Si(i=1,...,n)，n與管控節點的數目一致，並將其中n-1個系統子私密密鑰分別分發給不同的管控節點；還用於根據接收到的授權請求，對相應請求方的身份與平台的可信性進行驗證，並在驗證通過後基於自己持有的系統子私密密鑰向相應請求方頒發基於其身份與平台資訊的子私密密鑰及子證書。
其中，所述門限密鑰共用機制，即通常所說的(n,t)門限秘密共用機制，該機制定義如下：將秘密S通過秘密共用演算法分發給n個成員共用，每個成員持有一個子秘密，並且滿足以下兩個條件：(1)任何不少於t個的成員通過所持有的子秘密都可重構秘密S；(2)任何t個以下的成員都無法重構秘密S。
所述管控節點中的其他節點，用於根據接收到的授權請求，對相應請求方的身份與平台的可信性進行驗證，並在驗證通過後基於自己持有的系統子私密密鑰向相應請求方頒發基於其身份與平台資訊的子私密密鑰及子證書。
所述第一設備和第二設備，分別具體用於向預定數量的管控節點發送授權請求，所述預定數量可以取所述門限密鑰共用機制中的參數t的值；還用於根據管控節點頒發的子私密密鑰及子證書，採用所述門限密鑰共用機制合成基於各自身份與平台資訊的私密密鑰及可信證書。
具體的，接收授權請求的管控節點，可以採用以下公式1產生基於請求方身份與平台資訊的子私密密鑰：
其中，i=1......n，r=1...t，ir表示n中的任意t個，是管控節點持有的系統子私密密鑰，UID是請求方的身份標識，PID為請求方的平台標識，expire_time是代表當前時間的時間戳記資訊，UID/PID/expire_time表示將UID和PID按照預設方式合成後再與所述時間戳記資訊合成，Sur是管控節點產生的基於請求方的身份與平台資訊的子私密密鑰。管控節點還可以根據子私密密鑰產生與子私密密鑰對應的子證書。
第一設備和第二設備分別接收到各自請求的t個管控節點頒發的t個子私密密鑰，相當於知道了t個點的座標(xi1,Su1)、(xi2,Su2)......(xit,Sut)，採用lagrange插值公式則可以得到相應的f(x)，而合成的私密密鑰Su=f(0)。基於上述原理，第一設備和第二設備可以分別採用公式2合成基於各自身份與平台資訊的私密密鑰Su.，並相應地根據頒發的各子證書合成與所述私密密鑰對應的可信證書。
需要說明的是，為了避免所述主管控節點背叛或者被攻擊引發系統私密密鑰洩露，所述主管控節點還用於在將n-1個系統子私密密鑰分別分發給不同的管控節點之後，刪除所述n-1個系統子私密密鑰以及所述系統私密密鑰。
與集中管控方式類似，接收授權請求的各管控節點可以根據相應授權請求攜帶的資訊，從中提取針對相應請求方的可信計算平台的初始度量結果，作為後續對相應請求方平台可信性驗證的比對基準。在具體實施時，對於非主管控節點的其他管控節點，可以將自己提取的針對相應請求方的初始度量結果發送給主管控節點，即：由主管控節點儲存第一設備和第二設備的初始度量結果。
下面結合圖1給出的例子，對於上述基於分散式管控方式為第一設備和第二設備頒發子私密密鑰及子證書的實施方式進行詳細說明。請參見圖1，其為包括4個管控節點的量子資料密鑰協商系統的示意圖。其中4個管控節點通過交換機通信連接，第一設備和第二設備之間通信連接，第一設備和第二設備分別與4個管控節點通信連接。在圖1給出的例子中，n=4，並且預先設定門限密鑰共用機制中的t=3。
其中，管控節點1作為主管控節點，可以通過其可信計算平台為授權中心產生系統私密密鑰及相應的可信證書，例如可以採用以下公式3產生系統私密密鑰：S=S r ♁(CAID/CAP ID/expire_time)--------公式3
其中，Sr為量子噪音源產生的亂數，CAID是授權中心的身份標識，CAPID是授權中心的平台標識，expire_time是代表當前時間的時間戳記信息，CAID/CAPID/expire_time表示按照預設方式進行合成，S是授權中心的系統私密密鑰。
主管控節點隨後可以將所述系統私密密鑰根據預先設定的t值，利用門限密鑰共用機制拆分成4個系統子私密密鑰，自己保留1個系統子私密密鑰，並將其他3個系統子私密密鑰分別分發給其他3個管控節點。主管控節點和其他各管控節點，可以將各自持有的系統子私密密鑰儲存到各自可信計算平台提供的可信儲存空間中，例如：儲存在可信晶片中。
在具體實施時，為了保證系統子私密密鑰分發的安全性，主管控節點和其他管控節點可以有各自的量子密鑰分發設備，主管控節點可以通過量子密鑰協商的方式分發系統子私密密鑰，即：可以將各系統子私密密鑰轉換成量子態分發給相應的管控節點，具體可以採用冗餘傳輸或者按需重傳的方式；如果主管控節點和各其他管控節點之間通過BB84等協議已經協商出了共用量子密鑰串，那麼主管控節點也可以利用相應的共用量子密鑰串對系統子私密密鑰加密後分發給相應的管控節點。
所述第一設備可以向授權中心的任意3個節點發送授權請求，第二設備也是同樣。
以第一設備向管控節點2、管控節點3和管控節點4發送授權請求為例，這三個管控節點分別根據接收到的授權請求，對第一設備的身份與平台的可信性進行驗證，並在判定可信後利用公式1為第一設備產生基於其身份與平台資訊的子私密密鑰，並將所述子私密密鑰及相應的子證書頒發給第一設備。
在具體實施時，為了保證頒發過程的安全性，各管控節點與第一設備可以分別設置有量子密鑰分發設備，並且各管控節點與第一設備之間分別通過BB84等協議預先協商出了共用量子密鑰串，那麼收到第一設備授權請求的各管控節點，可以利用相應的共用量子密鑰串對已產生的所述子私密密鑰和子證書加密後發送給第一設備。
第一設備根據3個管控節點頒發的子私密密鑰及子證書，採用上述公式2合成基於自己身份與平台資訊的私密密鑰及可信證書。以上是以第一設備為例進行的說明，同樣的道理，第二設備也可以採用同樣的方式從任意三個管控節點獲取子私密密鑰和子證書，並合成基於自己身份與平台資訊的私密密鑰和可信證書。
以上針對集中管控方式和分散式管控方式，對第一設備和第二設備分別從授權中心獲取基於各自身份與平台資訊的私密密鑰及可信證書的交互過程進行了描述。第一設備和第二設備還分別用於將各自獲取的所述私密密鑰及可信憑證存放區在各自可信計算平台提供的可信儲存空間中，例如：可以儲存在可信晶片裡。
(二)量子資料密鑰協商過程
以上從初始化的角度對授權中心、第一設備、第二設備的功能和交互過程進行了說明。
在第一設備和第二設備分別獲取了基於各自身份與平台資訊的私密密鑰及可信證書的基礎上，第一設備和第二 設備，還分別用於向對方發送至少包含可信證書的驗證請求、並利用對方發送的驗證請求中的資訊對對方身份與平台的可信性進行驗證；並在雙方均通過驗證後，透過協商從各自的共用量子密鑰串中獲取量子資料密鑰。
優選地，為了進一步保證通信雙方平台的可信性，所述第一設備和第二設備分別向對方發送的驗證請求中，還可以包含各自的可信度量報告。第一設備的可信度量報告，可以是在第一設備向對方發送驗證請求之前、對第一設備的可信計算平台進行可信度量得到的；同樣，第二設備的可信度量報告，可以是在第二設備向對方發送驗證請求之前、對第二設備的可信計算平台進行可信度量得到的。以下對驗證過程作進一步說明。
1)第一設備可以將包含自己的可信證書和可信度量報告的驗證請求發送給第二設備。
2)第二設備根據接收到的驗證請求中包含的可信證書和可信度量報告，對第一設備的身份與平台的可信性進行驗證，並將至少包含自己的可信證書和可信度量報告的驗證請求發送給第一設備。
由於授權證書是由授權中心頒發的，其中包含的關於第一設備的身份資訊和平台資訊已通過授權中心的驗證，是可信的，因此第二設備根據第一設備持有可信證書，可以判定第一設備的身份與平台是可信的。在具體實施時，也可以採用白名單機制進行驗證，例如，在用授權中心的公開密鑰對可信證書解密後，可以從中提取關於第一設備 的身份資訊和平台資訊，然後通過將提取的身份資訊和平台資訊與白名單中的相應資訊進行比對，來驗證第一設備身份與平台的可信性。
在利用可信證書驗證了第一設備的身份與平台的可信性之後，可以利用第一設備提供的可信度量報告進一步對第一設備平台的可信性進行驗證，該驗證過程是一個將所述可信度量報告與授權中心儲存的初始度量報告進行比對分析的過程。
在具體實施時，可以採用不同的實施方式，例如：第二設備可以將第一設備提供的可信度量報告發送給授權中心(對於分散式管控方式，可以發送給授權中心的主管控節點)，由授權中心對第一設備的初始度量報告以及從第二設備接收到的可信度量報告進行比對分析，並向第二設備返回第一設備是否可信的判定結果；或者第二設備可以從授權中心(對於分散式管控方式，可以為主管控節點)獲取第一設備的初始度量報告，並將初始度量報告與第一設備提供的可信度量報告進行比對分析。通過比對分析，即可獲知第一設備平台是否仍處於可信狀態，例如：如果可信度量報告反映的某些平台狀態資訊與初始度量報告所記錄的相應狀態資訊不同，則說明第一設備平台可能執行了被篡改的非法代碼，那麼第一設備的平台處於不可信狀態；反之，如果可信度量報告反映的平台狀態資訊與初始度量報告所記錄的相應狀態資訊相同，則可以判定所述平台仍然處於可信狀態。採用這種方式，相當於從動態運行 的角度，對第一設備的平台的可信性進行驗證，能夠得到更為準確的驗證結果。
第二設備在對第一設備進行驗證的同時，也可以將包含自己的可信證書和可信度量報告的驗證請求發送給第一設備。
3)第一設備根據接收到的驗證請求中包含的可信證書和可信度量報告，對第二設備的身份與平台的可信性進行驗證。
第一設備可以採用2)中描述的方式對第二設備的身份與平台的可信性進行驗證，此處不再贅述。
在具體實施時，如果在2)中第二設備對第一設備的驗證結果為不可信，那麼第二設備可以無需向第一設備發送驗證請求，雙方也無需執行後續的操作。以上描述的是雙方都提供可信證書和可信度量報告的優選實施方式，在具體實施時，雙方僅向對方提供自己的可信證書也是可以的。
如果第一設備和第二設備都通過了對方的驗證，即：第一設備和第二設備都認為對方的身份與平台是可信的，那麼第一設備和第二設備還用於透過協商從各自的共用量子密鑰串中獲取量子資料密鑰，從而雙方可以使用量子資料密鑰進行資料的加解密傳輸。
第一設備和第二設備可以將各自的共用量子密鑰串儲存在各自可信計算平台提供的可信儲存空間中。例如：第一設備可以利用其可信計算平台的可信儲存根產生的可信 儲存密鑰、對自己的共用量子密鑰串加密後儲存在可信晶片中；第二設備同樣可以利用其可信計算平台的可信儲存根產生的可信儲存密鑰、對自己的共用量子密鑰串加密後儲存在可信晶片中。
第一設備和第二設備透過協商從各自的共用量子密鑰串中獲取量子資料密鑰的具體實現可以為：第一設備向第二設備發送指示第二設備從其共用量子密鑰串中獲取量子資料密鑰的起始量子密鑰位元標識和長度資訊，雙方可以按照該資訊從各自的共用量子密鑰串中獲取一個量子資料密鑰。
優選地，第一設備和第二設備，分別具體用於在雙方均通過驗證後，透過協商從各自的共用量子密鑰串中獲取兩個或者兩個以上量子資料密鑰。與通過一次協商過程只能獲取一個量子資料密鑰相比，採用本實施例提供的優選實施方式，可以提高獲取量子資料密鑰的效率。
所述第一設備，具體用於向所述第二設備發送協商消息，所述協商消息中至少包含指示第二設備從其共用量子密鑰串中獲取兩個或者兩個以上量子資料密鑰的參數資訊，並在接收到所述第二設備的確認應答後，從自己的共用量子密鑰串中獲取與所述參數資訊對應的量子資料密鑰，所述第二設備，具體用於根據接收到的協商消息包含的參數資訊，從自己的共用量子密鑰串中獲取相應的量子資料密鑰，並向所述第一設備返回確認應答。下面給出兩種參數資訊的指定方式。
1)獲取連續的、固定長度量子資料密鑰
所述參數資訊可以包括：量子資料密鑰的數量m、量子資料密鑰的固定長度ll、以及第一個量子資料密鑰的起始量子密鑰位元標識i(即：在共用量子密鑰串中的起始位置資訊)。如果量子密鑰串的長度為n，上述參數滿足以下關係：m×l<(n-i)。下面以表一所示的共用量子密鑰串舉例說明。
如果第一設備按照l、m、i的形式發送的參數資訊為8、2、1，那麼雙方透過協商過程可以得到以下兩個量子資料密鑰：01110101和10101100。
2)獲取不同長度量子資料密鑰
所述參數資訊可以包括：至少兩個參數組，每個參數組中包含相應量子資料密鑰的起始量子密鑰位元標識，或者，所述起始量子密鑰位元標識及長度資訊。
其中，第k個參數組可以包含第k個量子資料密鑰的長度l k，以及起始量子密鑰位元標識ik。仍以表一給出的共 用量子密鑰串舉例說明，如果第一設備按照(l k、ik)的形式發送以下參數組：(10、1)(3、12)，那麼雙方透過協商過程可以得到以下兩個量子資料密鑰：0111010110和011。
或者，如果雙方約定第k個量子資料密鑰的起始量子密鑰位元標識，緊鄰第k-1個量子資料密鑰的最後一個量子密鑰位元的標識，那麼每個參數組可以僅包含相應量子資料密鑰的起始量子密鑰位元標識ik即可。仍以表一給出的共用量子密鑰串舉例說明，如果第一設備發送以下參數組：(1)(5)(14)，那麼雙方透過協商過程可以得到以下三個量子資料密鑰：0111、010110101和100。
具體實施時，第一設備也可以在協商消息中包含不同於上述所列格式的參數資訊，只要第二設備能夠按照預先約定的方式識別參數資訊的含義、並且第一設備和第二設備根據所述參數資訊從各自的共用量子資料密鑰串中獲取兩個或者兩個以上量子資料密鑰，就都是可以的。
優選地，第一設備和第二設備，分別具體用於在雙方均通過驗證之後，透過協商從各自的共用量子密鑰串中獲取兩個或者兩個以上量子資料密鑰、且獲取的量子資料密鑰的總長度大於雙方各自具有的共用量子密鑰串的長度。採用這種優選實施方式，所述第一設備在發送的所述協商消息中至少包含指示第二設備從其共用量子密鑰串中獲取兩個或者兩個以上量子資料密鑰的參數資訊，且所述參數資訊指定的量子資料密鑰的總長度大於雙方各自具有的共 用量子密鑰串的長度。
具體的，所述第一設備在發送的所述協商消息中參數資訊可以包括：至少兩個參數組，每個參數組中包含相應量子資料密鑰的起始量子密鑰位元標識及長度資訊，且至少存在兩個參數組指定的量子資料密鑰具有重疊部分，使得所述參數資訊指定的量子資料密鑰的總長度大於雙方各自具有的共用量子密鑰串的長度。
仍以表一給出的共用量子密鑰串舉例說明，如果第一設備按照(l k、ik)的形式發送以下參數組：(10、1)(6、3)(9、8)，那麼雙方透過協商過程可以得到以下三個量子資料密鑰：0111010110、110101以及110101100，得到的量子資料密鑰的長度是25，而雙方各自具有的共用量子密鑰串的長度只有16，從而有效地擴充了量子資料密鑰的數量。
由此可見，採用這種方式，不僅可以一次性獲取兩個或者兩個以上量子資料密鑰，提高獲取量子資料密鑰的效率，而且可以獲取總長度大於共用量子密鑰串長度的量子資料密鑰，與按順序依次截取量子資料密鑰的現有技術相比，可以有效地擴充基於共用量子密鑰串獲取量子資料密鑰的數量，從而可以彌補由於BB84等量子密鑰分發協議對誤碼率的嚴格控制導致的成碼率低的缺陷，通過獲取更多的量子資料密鑰，滿足資料保密傳輸業務對量子資料密鑰的大規模需求。
進一步地，為了保證量子資料密鑰協商過程的安全 性，可以採用對上述參數資訊加密傳輸的優選實施方式。下面進行詳細說明。
所述第一設備，還用於在發送所述協商消息之前，採用所述第二設備可以解密的方式對所述協商消息中的參數資訊加密；所述第二設備，還用於在根據接收到的協商消息包含的參數資訊獲取相應的量子資料密鑰之前，對所述協商消息包含的參數資訊密文解密。對於參數資訊中包含多個參數組的情況，第一設備可以分別對各個參數組加密，第二設備則可以分別對各個參數組解密。
具體的，所述第一設備，可以採用所述第二設備的可信證書中的公開密鑰對所述協商消息中的參數資訊加密；所述第二設備，則可以採用其基於身份與平台資訊的私密密鑰對接收到的協商消息中的參數資訊密文解密。
或者，為了進一步保證安全性，所述第一設備可以採用雙方上一次進行量子資料密鑰協商獲取的量子資料密鑰、對所述協商消息中的參數資訊加密；所述第二設備，則可以採用所述雙方上一次進行量子資料密鑰協商獲取的量子資料密鑰、對接收到的協商消息中的參數資訊密文解密。例如：雙方預先約定採用上一次進行量子資料密鑰協商獲取的最後一個量子資料密鑰對本次協商過程進行加解密。採用這種實施方式，在雙方首次進行量子資料密鑰協商時，第一設備可以採用第二設備的可信證書中的公開密鑰加密，第二設備採用自己的相應私密密鑰解密，從第二次量子資料密鑰協商開始，雙方就可以採用上一次進行量 子資料密鑰協商獲取的量子資料密鑰對協商過程進行加解密。
優選地，為了保證量子資料密鑰協商過程的安全性，還可以採用基於散列值對第一設備進行身份驗證的優選實施方式。下面進行詳細說明。
所述第一設備，還用於在向所述第二設備發送的所述協商消息中包含根據所述參數資訊以及雙方共用的秘密資訊計算得到的散列值；所述第二設備，還用於在從所述共用量子密鑰串中獲取相應的量子資料密鑰之前，根據解密後的參數資訊、所述雙方共用的秘密資訊以及接收到的散列值，對第一設備的身份及所述參數資訊的完整性進行驗證，並在驗證通過後執行獲取相應的量子資料密鑰的操作。
所述第二設備驗證所述第一設備身份及所述參數資訊完整性的具體實現可以為：第二設備採用預設的與第一設備相同的散列演算法，根據解密後的參數資訊和所述秘密資訊計算散列值，並將計算得到的散列值與接收到的散列值進行比對，如果兩者一致，說明第一設備知道正確的秘密資訊，因此可以判定第一設備的身份合法，同時也說明接收到的參數資訊的完整性未被破壞。
在具體實施時，對於參數資訊中包含多個參數組的情況，第一設備可以分別計算各組參數與所述秘密資訊的散列值，並將計算得到的多個散列值都包含在協商消息中，第二設備則可以針對每個參數組，採用上述方式計算散列 值並與接收到的相應散列值進行比對，如果針對所有參數組的比對結果都一致，則判定第一設備的身份合法並且接收到的參數資訊的完整性未被破壞。
在具體實施時，所述雙方共用的秘密資訊可以是：雙方上一次進行量子資料密鑰協商獲取的量子資料密鑰。雙方首次進行量子資料密鑰協商時可以採用雙方預置密鑰作為雙方共用的秘密資訊。
優選地，為了保證量子資料密鑰協商過程的安全性，還可以採用根據確認應答中包含的加密資訊對第二設備進行身份驗證的優選實施方式。下面進行詳細說明。
所述第二設備，還用於在所述確認應答中包含，採用所述第一設備可以解密的方式對所述協商消息中的預設參數的變體進行加密後的密文；所述第一設備，還用於在接收到所述第二設備的確認應答後，對所述確認應答中包含的變體資訊密文解密，根據解密結果與之前發送的相應參數對第二設備的身份進行驗證，並在驗證通過後，執行從所述共用量子密鑰串中獲取與其發送的參數資訊對應的量子資料密鑰的操作。
所述預設參數的變體，是指採用預設演算法對所述預設參數進行計算得到的結果，例如，可以指定預設參數為參數資訊中的第一個參數，如，量子資料密鑰的固定長度l，預設演算法可以為加一計算，那麼預設參數的變體就是：l+1的值。第二設備在確認應答中包含預設參數的變體的密文，第一設備接收確認應答後，對所述確認應答中 包含的變體資訊密文解密，並將解密結果與之前發送的相應參數的變體進行比對，如果兩者一致，說明第二設備執行了正確的解密(獲取參數)及加密(產生參數變體密文)操作，第二設備知道正確的密鑰，因此可以判定第二設備的身份合法。
具體的，所述第二設備，可以採用所述第一設備的可信證書中的公開密鑰對所述預設參數的變體加密；所述第一設備，則可以採用其基於身份與平台資訊的私密密鑰對接收到的確認應答中的變體資訊密文解密。
或者，為了進一步保證安全性，所述第二設備可以採用雙方上一次進行量子資料密鑰協商獲取的量子資料密鑰、對所述預設參數的變體加密；所述第一設備，則可以採用所述雙方上一次進行量子資料密鑰協商獲取的量子資料密鑰、對接收到的確認應答中的變體資訊密文解密。
以上，對量子資料密鑰協商過程進行了說明。為了便於理解，下面給出本系統中第一設備和第二設備進行量子資料密鑰協商的交互過程的一個具體例子。在該例子中，第一設備和第二設備通過量子資料密鑰協商過程獲取若干個連續的、固定長度的量子資料密鑰，並且雙方在交互過程中採用上一次進行量子資料密鑰協商獲取的量子資料密鑰key進行加解密和散列值的計算，所述key分別儲存在第一設備和第二設備的可信晶片中。
請參見圖2，其為第一設備和第二設備進行量子資料密鑰協商的交互過程的示意圖。下面對圖示各個過程作簡 要說明。
1)第一設備向第二設備發送驗證請求，所述驗證請求中攜帶第一設備的可信證書和可信度量報告；2)第二設備根據第一設備的可信證書和可信度量報告，對第一設備的身份與平台的可信性進行驗證，若通過驗證，即：第一設備的身份與平台可信，則執行3)，否則流程終止；3)作為回應，第二設備向第一設備發送驗證請求，所述驗證請求中攜帶第二設備的可信證書和可信度量報告；4)第一設備根據第二設備的可信證書和可信度量報告，對第二設備的身份與平台的可信性進行驗證，若通過驗證，即：第一設備的身份與平台可信，則執行5)，否則流程終止；5)第一設備採用key對參數l、m、i加密得到參數資訊密文Enckey(l,m,i)，並採用預設散列演算法、根據key和l、m、i計算散列值hash(key,l,m,i)，隨後在向第二設備發送的協商消息中包含所述密文、以及所述散列值；6)第二設備接收到協商消息後，將儲存的key和參數資訊密文導入記憶體，在為第一設備隔離的CPU空間中，用key解密參數資訊密文，獲取l、m、i，同時根據key和解密後的l、m、i，採用預設的、與第一設備相同的散列演算法計算散列值，並判斷計算得到的散列值與接收到的散列值是否一致，若一致，則說明第一設備的身份合法且 參數資訊是完整的，則執行7)和9)；7)第二設備計算預設參數m的變體m-1，並用key對變體加密，得到變體資訊密文EncKey(m-1)，隨後向第一設備發送包含變體資訊密文的確認應答；8)第一設備接收確認應答後，用key對變體資訊密文解密，並判斷解密得到的數值，是否與自己在5)中發送的m的相應變體(即：m-1)一致，若一致，則說明第二設備的身份合法，則執行10)；9)第二設備根據從協商消息中獲取的參數資訊，從自己的共用量子密鑰串中獲取相應的量子資料密鑰，並將量子資料密鑰儲存在自己的可信晶片中，或者在可信晶片加密後，匯出儲存在可信儲存外設中；10)第一設備從自己的共用量子密鑰串中獲取與5)中的參數資訊對應的量子資料密鑰，並將量子資料密鑰儲存在自己的可信晶片中，或者在可信晶片加密後，匯出儲存在儲存外設或可信儲存外設中。
以上，對本實施例提供的量子資料密鑰協商系統的實施方式進行了詳細說明。在具體實施時，所述量子資料密鑰協商系統可以部署于不同的應用場景中，考慮到現有的雲端服務網路架構中，雲端的各種設備之間、以及雲端設備與雲用戶的終端設備之間，存在大量的量子資料密鑰協商需求，因此可以將上述提供的量子資料密鑰協商系統應用到雲端服務網路架構中，從而可以在雲端服務網路架構中保證量子資料密鑰協商雙方的身份與平台的可信，保證 協商過程的安全性。
具體的，本實施例提供的上述量子資料密鑰協商系統可以部署於雲端服務網路系統中，請參見圖3，所述雲端服務網路系統包括：雲端供應商子系統和雲端用戶子系統，所述授權中心部署於雲端供應商子系統中，可以稱為雲授權中心。雲用戶子系統中的終端設備可以通過閘道設備和/或代理伺服器等設備與雲端供應商子系統中的設備通信連接。
所述第一設備可以為雲端供應商子系統中的業務設備，所述第二設備可以為雲用戶子系統中的終端設備；或者，所述第一設備可以為雲用戶子系統中的終端設備，所述第二設備可以為雲端供應商子系統中的業務設備；或者，所述第一設備和第二設備可以分別為雲端供應商子系統中的不同業務設備。
所述雲端供應商子系統中的業務設備包括：可信伺服器(例如：Web伺服器)、可信儲存外設、或可信儲存伺服器；此處所述可信設備以及雲用戶子系統中的終端設備都是具有可信計算平台的設備。
第一設備和第二設備具有共用量子密鑰串，所述共用量子密鑰串通常可以儲存在相應設備的可信計算平台提供的可信儲存空間中，對於第一設備或者第二設備是雲用戶子系統中的終端設備、而雲端用戶子系統沒有量子密鑰分發設備的情況，終端設備通常可以通過租賃雲端的量子密鑰分發設備實現獲取共用量子密鑰串的功能，並可以將獲 取的共用量子密鑰串儲存在雲端租賃的存放裝置中，在需要進行量子資料密鑰協商的情況下，則可以利用專線加密傳輸的方式將共用量子密鑰串下載到自己的可信計算平台提供的可信儲存空間中。
在第一設備和第二設備為上面列舉的雲端服務網路系統中的不同實體設備的情況下，都可以通過向雲授權中心獲取基於各自身份與平台資訊的私密密鑰及可信證書，並在至少利用可信證書驗證對方身份與平台可信後，再透過協商從各自的共用量子密鑰串中獲取量子資料密鑰，並且可以透過協商獲取兩個或者兩個以上量子資料密鑰，也可以獲取總長度大於共用量子密鑰串長度的多個量子資料密鑰。具體的實施方式在前面已有詳細描述，此處不再贅述。
特別的，如果所述第一設備為雲端供應商子系統中的雲用戶租賃設備(例如：雲用戶租賃的可信儲存外設或者可信儲存伺服器)，所述第二設備為雲用戶子系統中的終端設備(即：與所述雲用戶租賃設備對應的雲用戶終端設備)；或者，所述第一設備為雲用戶子系統中的終端設備，所述第二設備為部署于雲端供應商子系統中的雲用戶租賃設備，那麼當所述第一設備或者所述第二設備為所述終端設備時，所述第一設備或所述第二設備，還用於將基於其身份與平台資訊的私密密鑰作為協商密鑰注入到所述雲用戶租賃設備的可信儲存空間中，例如所述租賃設備的可信晶片中，或者在所述可信晶片加密後，匯出並儲存於 可信晶片之外的可信儲存空間中。
具體的，所述終端設備可以採用與雲用戶租賃設備預置的共用密鑰，將所述協商密鑰傳輸到所述雲用戶租賃設備中。為了提供安全性保障，所述終端設備可以和所述雲用戶租賃設備，利用各自的量子密鑰分發設備協商出共用量子密鑰串，所述終端設備利用共用量子密鑰串將所述協商密鑰加密傳輸到所述雲用戶租賃設備中，所述雲用戶租賃設備執行相應的解密操作後儲存在其可信儲存空間中。
在量子資料密鑰的協商過程中，所述第一設備，具體用於採用所述協商密鑰對所述協商消息中的參數資訊加密；所述第二設備，具體用於採用所述協商密鑰對接收到的協商消息中的參數資訊密文解密。
進一步地，所述第一設備，還用於在向所述第二設備發送的所述協商消息中包含根據所述參數資訊以及所述協商密鑰計算得到的散列值；所述第二設備，還用於在從所述共用量子密鑰串中獲取相應的量子資料密鑰之前，根據解密後的參數資訊、所述協商密鑰以及接收到的散列值對第一設備的身份及所述參數資訊的完整性進行驗證，並在驗證通過後執行獲取相應的量子資料密鑰的操作。
進一步地，所述第二設備，還用於在所述確認應答中包含，採用所述協商密鑰對所述協商消息中的預設參數的變體進行加密後的密文；所述第一設備，還用於在接收到所述第二設備的確認應答後，對所述確認應答中包含的變體資訊密文解密，根據解密結果與之前發送的相應參數對 所述第二設備的身份進行驗證，並在驗證通過後，執行從所述共用量子密鑰串中獲取與所述參數資訊對應的量子資料密鑰的操作。
針對所述第一設備或第二設備為雲端供應商子系統中的雲用戶租賃設備的情況，通過雲用戶終端設備將其基於身份與平台資訊的私密密鑰注入到雲用戶租賃設備的可信儲存空間中，由於雲用戶租賃設備的可信儲存空間通常只有相應的雲端用戶具有存取權限，而雲端服務網路系統中的管理員等人員都沒有存取權限，因此保證了所述私密密鑰的安全性。在量子資料密鑰協商過程中，雲用戶租賃設備和終端設備將雙方具有的所述私密密鑰作為協商密鑰使用，進行加解密和散列值的計算，進一步保證了協商過程的安全性。
以上，對本實施例提供的量子資料密鑰協商系統的實施方式、以及所述系統在雲端服務網路系統中的實施方式進行了詳細描述。
在實際應用中，量子密鑰分發技術主要用於保障密鑰的分發安全和資料的傳輸安全，通常應用於對安全性要求比較高的場景中。作為資料安全傳輸的重要環節，這些場景對量子資料密鑰協商過程的安全性也提出了較高的要求。面對這種需求，採用本實施例提供的量子資料密鑰協商系統，由於引入了可信計算技術，參與量子資料密鑰協商過程的兩個設備都具有授權中心頒發的基於各自身份與平台資訊的可信證書，並在量子資料密鑰協商之前，雙方 設備首先至少根據可信證書對對方身份與平台的可信性進行驗證，並在雙方都通過驗證後才進行量子資料密鑰的協商，從而保證了協商雙方的身份和平台的可信，保證了協商過程的安全性。
在上述實施例中提供了一種量子資料密鑰協商系統，在此基礎上，本案還提供一種量子資料密鑰協商方法，所述方法可以在上述量子資料密鑰協商系統中實施。請參考圖4，其為本案提供的一種量子資料密鑰協商方法的實施例的流程圖，本實施例與第一實施例內容相同的部分不再贅述，下面重點描述不同之處。本實施例提供的量子資料密鑰協商方法，包括：
步驟401、第一設備和第二設備分別向對方發送至少包含可信證書的驗證請求，並利用對方發送的驗證請求中的資訊對對方身份與平台的可信性進行驗證。
其中，所述第一設備、所述第二設備、以及所述授權中心分別具有可信計算平台；所述第一設備和第二設備分別預先根據授權中心基於系統私密密鑰提供的相應資訊、獲取了基於各自身份與平台資訊的私密密鑰及可信證書。
在所述第一設備和第二設備分別向對方發送驗證請求之前，包括：所述第一設備和第二設備分別向所述授權中心發送授權請求，所述授權請求中攜帶各自的身份資訊和平台資訊；所述第一設備和第二設備分別根據所述授權中心在驗證相應請求方的身份與平台可信性後、基於所述系統私密 密鑰返回的相應資訊，獲取基於各自身份與平台資訊的私密密鑰及可信證書。
如果授權中心為一集中管控節點，上述獲取私密密鑰及可信證書的實現可以為：所述授權中心，分別根據所述第一設備和第二設備的授權請求，對相應請求方的身份與平台的可信性進行驗證，並在驗證通過後基於授權中心的系統私密密鑰為相應的請求方頒發基於其身份與平台資訊的私密密鑰以及可信證書。相應的，所述第一設備和所述第二設備就分別獲取了基於各自身份與平台資訊的私密密鑰及可信證書。
如果授權中心包括至少兩個管控節點，各管控節點分別具有可信計算平台，上述獲取私密密鑰及可信證書的實現可以為：在所述第一設備和第二設備分別向所述授權中心發送授權請求之前，所述管控節點之一，將所述授權中心的系統私密密鑰根據門限密鑰共用機制拆分成n個系統子私密密鑰，n與管控節點的數目一致，並將其中n-1個系統子私密密鑰分別分發給不同的管控節點。所述第一設備和第二設備分別向預定數量的管控節點發送授權請求；接收到相應授權請求的管控節點，根據相應請求方的授權請求，對相應請求方的身份與平台的可信性進行驗證，並在驗證通過後基於自己持有的系統子私密密鑰向相應請求方頒發基於其身份與平台資訊的子私密密鑰及子證書；所述第一設備和第二設備分別根據管控節點頒發的子私密密鑰以及子證書，採用所述門限密鑰共用機制合成基於各自身 份與平台資訊的私密密鑰以及可信證書。
第一設備和第二設備分別獲取基於各自身份與平台資訊的私密密鑰及可信證書後，第一設備和第二設備可以分別向對方發送至少包含可信證書的驗證請求，並利用對方發送的驗證請求中的資訊對對方身份與平台的可信性進行驗證。具體可以包括以下處理過程：1)所述第一設備將至少包含可信證書的驗證請求發送給所述第二設備；2)所述第二設備至少根據接收到的驗證請求中包含的可信證書，對所述第一設備的身份與平台的可信性進行驗證，並將至少包含自己的可信證書的驗證請求發送給所述第一設備；3)所述第一設備至少根據接收到的驗證請求中包含的可信證書，對所述第二設備的身份與平台的可信性進行驗證。
優選地，所述第一設備和第二設備分別向對方發送的驗證請求中，還可以包含各自的可信度量報告。採用這種優選實施方式，第一設備和第二設備在對對方身份與平台的可信性進行驗證時，可以先根據可信證書進行驗證，在驗證通過的情況下，在利用對方提供的可信度量報告進行進一步驗證。
步驟402、若所述第一設備和第二設備均通過驗證，則雙方透過協商從各自的共用量子密鑰串中獲取量子資料密鑰。
優選地，雙方可以雙方透過協商從各自的共用量子密鑰串中獲取兩個或者兩個以上量子資料密鑰。
具體實現可以為：所述第一設備向所述第二設備發送協商消息，所述協商消息中至少包含指示第二設備從其共用量子密鑰串中獲取兩個或者兩個以上量子資料密鑰的參數資訊；所述第二設備根據接收到的協商消息包含的參數資訊，從自己的共用量子密鑰串中獲取相應的量子資料密鑰，並向所述第一設備返回確認應答；所述第一設備在接收到所述確認應答後，從自己的共用量子密鑰串中獲取與其發送的參數資訊對應的量子資料密鑰。
其中，所述參數資訊包括：量子資料密鑰的數量、量子資料密鑰的固定長度、以及第一個量子資料密鑰的起始量子密鑰位元標識；或者，至少兩個參數組，每個參數組中包含相應量子資料密鑰的起始量子密鑰位元標識，或者，所述起始量子密鑰位元標識及長度資訊。
優選地，所述參數資訊包括：至少兩個參數組，每個參數組中包含相應量子資料密鑰的起始量子密鑰位元標識及長度資訊，且至少存在兩個參數組指定的量子資料密鑰具有重疊部分，使得所述參數資訊指定的量子資料密鑰的總長度大於雙方各自具有的共用量子密鑰串的長度。
進一步地，為了保證量子資料密鑰協商過程的安全性，在協商的過程中可以採用加密傳輸、利用散列值進行身份及參數資訊完整性驗證等優選實施方式。
所述第一設備在向所述第二設備發送至少包含參數資 訊的協商消息之前，可以執行以下操作：採用所述第二設備可以解密的方式對所述參數資訊加密；相應的，所述第一設備在向所述第二設備發送的協商消息中包含的是參數資訊密文。所述第二設備在根據接收到的協商消息包含的參數資訊獲取相應的量子資料密鑰之前，執行以下操作：對接收到的協商消息中的參數資訊密文解密。
所述第一設備採用所述第二設備可以解密的方式對所述協商消息中的參數資訊加密，包括：採用所述第二設備的可信證書中的公開密鑰對所述協商消息中的參數資訊加密；或者，採用雙方上一次進行量子資料密鑰協商獲取的量子資料密鑰、對所述協商消息中的參數資訊加密。
相應的，所述第二設備對接收到的協商消息中的參數資訊密文解密，包括：採用第二設備的基於身份與平台資訊的私密密鑰對接收到的協商消息中的參數資訊密文解密；或者，採用所述雙方上一次進行量子資料密鑰協商獲取的量子資料密鑰、對接收到的協商消息中的參數資訊密文解密。
進一步地，所述第一設備在向所述第二設備發送的所述協商消息中還可以包含：根據所述參數資訊以及雙方共用的秘密資訊計算得到的散列值；所述第二設備在對接收到的協商消息中的參數資訊密文解密之後，在從所述共用量子密鑰串中獲取相應的量子資料密鑰之前，執行下述操作：根據解密後的參數資訊、所述雙方共用的秘密資訊以及接收到的散列值，對所述第一設備的身份及所述參數資 訊的完整性進行驗證，並在驗證通過後執行所述獲取相應的量子資料密鑰的操作。
其中，所述雙方共用的秘密資訊包括：雙方上一次進行量子資料密鑰協商獲取的量子資料密鑰。
進一步地，所述第二設備發送的確認應答中可以包含：採用所述第一設備可以解密的方式對所述協商消息中的預設參數的變體進行加密後的密文；所述第一設備在接收到所述第二設備的確認應答後，執行如下操作：對所述確認應答中包含的變體資訊密文解密，根據解密結果與之前發送的相應參數對所述第二設備的身份進行驗證，並在驗證通過後，執行所述從所述共用量子密鑰串中獲取與其發送的參數資訊對應的量子資料密鑰的操作。
本實施例提供的量子資料密鑰協商方法，可以在雲端服務網路系統中實施；所述雲端服務網路系統包括：雲端供應商子系統，和雲端用戶子系統；所述授權中心可以部署于雲端供應商子系統；所述第一設備和第二設備可以分別為：雲端供應商子系統中的業務設備、雲用戶子系統中的終端設備；或者，雲端用戶子系統中的終端設備、雲端供應商子系統中的業務設備；或者，雲端供應商子系統中的不同業務設備。
特別地，當第一設備和第二設備中，一個為雲端供應商子系統中的雲用戶租賃設備，一個為雲用戶子系統中的終端設備時，作為終端設備的第一設備或者第二設備，可以在通過授權中心獲取基於其身份與平台資訊的私密密鑰 及可信證書之後，將所述基於其身份與平台資訊的私密密鑰作為協商密鑰注入到所述雲用戶租賃設備的可信儲存空間中。那麼在此後的量子資料密鑰的協商過程中，第一設備和第二設備可以利用雙方共用的協商密鑰執行所涉及的加解密操作，還可以將協商密鑰作為雙方共用的秘密資訊執行計算散列值等操作，從而可以提高量子資料密鑰協商過程的安全性。這部分操作的具體實施方式，可以參見之前提供的量子資料密鑰協商系統中的相關文字描述。
此外，本案還提供另一種量子資料密鑰協商方法。請參看圖5，其為本案的另一種量子資料密鑰協商方法的實施例的流程圖。本實施例與上述各實施例內容相同的部分不再贅述，下面重點描述不同之處。本實施例提供的另一種量子資料密鑰協商方法，包括：
步驟501、第一設備向第二設備發送協商消息，所述協商消息中至少包含指示第二設備從其共用量子密鑰串中獲取兩個或者兩個以上量子資料密鑰的參數資訊。
具體的，所述參數資訊包括：量子資料密鑰的數量、量子資料密鑰的固定長度、以及第一個量子資料密鑰的起始量子密鑰位元標識；或者，至少兩個參數組，每個參數組中包含相應量子資料密鑰的起始量子密鑰位元標識，或者，所述起始量子密鑰位元標識及長度資訊。
優選地，所述協商消息中至少包含指示第二設備從其共用量子密鑰串中獲取兩個或者兩個以上量子資料密鑰的參數資訊，且所述參數資訊指定的量子資料密鑰的總長度 大於雙方各自具有的共用量子密鑰串的長度。
具體的，所述參數資訊包括：至少兩個參數組，每個參數組中包含相應量子資料密鑰的起始量子密鑰位元標識及長度資訊，且至少存在兩個參數組指定的量子資料密鑰具有重疊部分，使得所述參數資訊指定的量子資料密鑰的總長度大於雙方各自具有的共用量子密鑰串的長度。
優選地，所述第一設備在向所述第二設備發送協商消息之前，可以採用所述第二設備可以解密的方式對所述參數資訊加密，例如：採用第二設備的公開密鑰或者雙方上一次進行量子資料密鑰協商獲取的量子資料密鑰進行加密。那麼本步驟中，第一設備向第二設備發送的協商消息中至少包含所述參數資訊密文。
優選地，所述第一設備在向所述第二設備發送的所述協商消息中還可以包含：根據所述參數資訊以及雙方共用的秘密資訊計算得到的散列值。
步驟502、所述第二設備根據接收到的協商消息包含的參數資訊，從自己的共用量子密鑰串中獲取相應的量子資料密鑰。
對於接收到的協商消息包含參數資訊密文的情況，所述第二設備在根據接收到的協商消息包含的參數資訊獲取相應的量子資料密鑰之前，可以對接收到的協商消息中的參數資訊密文解密。與第一設備產生參數資訊密文所採用的密鑰相對應，第二設備可以採用自己的私密密鑰或者雙方上一次進行量子資料密鑰協商獲取的量子資料密鑰進行 解密。
對於接收到的協商消息中包含散列值的情況，所述第二設備在對接收到的協商消息中的參數資訊密文解密之後，可以根據解密後的參數資訊、所述雙方共用的秘密資訊以及接收到的散列值，對所述第一設備的身份及所述參數資訊的完整性進行驗證，並在驗證通過後從自己的共用量子密鑰串中獲取相應的量子資料密鑰。其中，步驟501和本步驟中所述的雙方共用的秘密資訊可以為：雙方上一次進行量子資料密鑰協商獲取的量子資料密鑰。
優選地，為了確保雙方協商量子資料密鑰過程的正確執行，所述第二設備從所述共用量子密鑰串中獲取相應的量子資料密鑰之後，可以向所述第一設備返回確認應答。
優選地，所述第二設備發送的確認應答中可以包含：採用所述第一設備可以解密的方式對所述協商消息中的預設參數的變體進行加密後的密文，例如，採用第一設備的公開密鑰或者雙方上一次進行量子資料密鑰協商獲取的量子資料密鑰進行加密。
步驟503、所述第一設備從自己的共用量子密鑰串中獲取與其發送的參數資訊對應的量子資料密鑰。
優選地，第一設備可以在接收第二設備發送的確認應答後，從自己的共用量子密鑰串中獲取與其發送的參數資訊對應的量子資料密鑰。
如果確認應答中包含變體資訊密文，第一設備可以對所述確認應答中包含的變體資訊密文解密，根據解密結果 與之前發送的相應參數對所述第二設備的身份進行驗證，並在驗證通過後，執行所述從自己的共用量子密鑰串中獲取與其發送的參數資訊對應的量子資料密鑰的操作。其中，在執行解密操作時，與第二設備產生變體資訊密文采用的密鑰相對應，第一設備可以採用其公開密鑰或者雙方上一次進行量子資料密鑰協商獲取的量子資料密鑰進行解密。
至此，通過上述步驟501-503，對本實施例提供的另一種量子資料密鑰協商方法的實施方式進行了描述。採用本實施例提供的量子資料密鑰協商方法，協商雙方可以通過一次協商過程獲取兩個或者兩個以上量子資料密鑰，從而可以提高協商量子資料密鑰的效率。
此外，本案還提供一種資料處理系統。請參看圖6，其為本案的一種資料處理系統的實施例的示意圖。本實施例與上述各實施例內容相同的部分不再贅述，下面重點描述不同之處。本實施例提供的一種資料處理系統，包括：第一設備和第二設備、以及授權中心，所述第一設備和第二設備彼此之間、以及與授權中心之間通信連接；其中，所述第一設備和第二設備以及授權中心分別具有可信計算平台；所述授權中心，用於分別根據所述第一設備和第二設備的授權請求，對相應請求方的身份與平台的可信性進行驗證，並在驗證通過後基於授權中心的系統私密密鑰為相應請求方提供相應信息，以供相應請求方獲取基於其身份 與平台資訊的私密密鑰及可信證書；所述第一設備和第二設備，分別用於向對方發送至少包含可信證書的驗證請求、並利用對方發送的驗證請求中的資訊對對方的身份與平台的可信性進行驗證；並在雙方均通過驗證後，通過與對方的交互執行資料處理操作。
所述第一設備和第二設備分分別向對方發送的驗證請求中，還可以包含各自的可信度量報告。
所述資料處理操作包括：從各自的共用量子密鑰串中獲取量子資料密鑰；或者，執行儲存資料或獲取資料操作。
在具體實施時，與上述關於量子資料密鑰協商系統的實施例中所描述的授權中心的實施方式相同，本實施例中的授權中心，可以是一集中管控節點，該節點負責為第一設備和第二設備分別頒發基於各自身份與平台資訊的私密密鑰及可信證書；也可以是採用分散式方式的至少兩個管控節點，每個管控節點負責為相應請求方頒發基於其身份與平台資訊的子私密密鑰和子證書，由相應請求方合成基於自己身份與平台資訊的私密密鑰和可信證書。具體的實施方式請參見上述關於量子資料密鑰協商系統的實施例的描述，此處不再贅述。
類似的，與上述關於量子資料密鑰協商系統的實施例中所描述的實施方式相同，本實施例提供的系統也可以部署在雲端服務網路系統中，例如：第一設備可以是雲端供應商子系統中的業務設備，第二設備可以是雲用戶子系統 中的終端設備。資料處理操作可以是：第二設備向第一設備中儲存資料、或者第二設備向第一設備獲取已儲存資料。
隨著資料量的增多以及資料儲存服務的出現，對設備間的資料儲存及獲取操作的需求越來越多，而且資料中往往還包含用戶的隱私資料，因此對設備間的資料儲存和獲取過程的安全性提出了較高的要求。在該應用場景下，採用本實施例提供的系統，可以為執行資料儲存或獲取操作的雙方設備的身份與平台的可信性提供保障，從而保障資料儲存過程及獲取過程的安全性。
由此可見，採用本實施例提供的資料處理系統，由於待進行資料處理的交互雙方，首先至少根據對方提供的可信證書對對方身份與平台的可信性進行驗證，並在雙方都通過驗證後才通過與對方的交互執行預設的資料處理操作，從而保證了雙方的身份和平台的可信，保證了資料交互處理過程的安全性。
此外，本案還提供一種資料處理方法，所述方法可以在上述資料處理系統中實施。請參看圖7，其為本案的一種資料處理方法的實施例的流程圖。本實施例與上述各實施例內容相同的部分不再贅述，下面重點描述不同之處。本實施例提供的一種資料處理方法，包括：
步驟701、第一設備和第二設備分別向對方發送至少包含可信證書的驗證請求、並利用對方發送的驗證請求中的資訊對對方身份與平台的可信性進行驗證。
其中，所述第一設備、所述第二設備、以及所述授權中心分別具有可信計算平台；所述第一設備和第二設備分別預先根據授權中心基於系統私密密鑰提供的相應資訊、獲取了基於各自身份與平台資訊的私密密鑰及可信證書。
所述第一設備和第二設備可以通過以下方式預先獲取各自的私密密鑰和可信證書：在第一設備和第二設備分別向對方發送驗證請求之前，第一設備和第二設備分別向所述授權中心發送授權請求，所述授權請求中攜帶各自的身份資訊和平台資訊；第一設備和第二設備，分別根據所述授權中心在驗證相應請求方的身份與平台可信性後、基於所述系統私密密鑰返回的相應資訊，獲取基於各自身份與平台資訊的私密密鑰及可信證書。
在具體實施時，與上述關於量子資料密鑰協商系統及方法的實施例中所描述的授權中心的實施方式相同，本實施例中的授權中心，可以是一集中管控節點，該節點為第一設備和第二設備分別頒發基於各自身份與平台資訊的私密密鑰及可信證書；也可以是採用分散式方式的至少兩個管控節點，每個管控節點為相應請求方頒發基於其身份與平台資訊的子私密密鑰和子證書，由相應請求方合成基於自己身份與平台資訊的私密密鑰和可信證書。具體的實施方式請參見上述實施例中的相關描述，此處不再贅述。
所述第一設備和第二設備分別向對方發送的驗證請求中，還可以包含各自的可信度量報告。接收到驗證請求的一方則可以根據驗證請求中的可信證書和可信度量報告對 對方身份與平台的可信性進行驗證。
步驟702、若第一設備和第二設備均通過驗證，則雙方通過交互執行資料處理操作。
所述資料處理操作包括：從各自的共用量子密鑰串中獲取量子資料密鑰；或者，執行儲存資料或獲取資料操作。
與上述關於量子資料密鑰協商方法實施例類似的，本實施例提供的方法也可以在雲端服務網路系統中實施，例如：第一設備可以是雲端供應商子系統中的業務設備，第二設備可以是雲用戶子系統中的終端設備。資料處理操作可以是：第二設備向第一設備中儲存資料、或者第二設備向第一設備獲取已儲存資料。
採用本實施例提供的資料處理方法，由於待進行資料處理的交互雙方，首先至少根據對方提供的可信證書對對方身份與平台的可信性進行驗證，並在雙方都通過驗證後才通過與對方的交互執行預設的資料處理操作，從而保證了雙方的身份和平台的可信，保證了資料交互處理過程的安全性。
此外，本案還提供一種用於雲端服務網路系統的密鑰注入方法。請參看圖8，其為本案的一種用於雲端服務網路系統的密鑰注入方法的實施例的流程圖。本實施例與上述各實施例內容相同的部分不再贅述，下面重點描述不同之處。在本實施例提供的一種資料處理方法中，雲端服務網路系統的授權中心至少包括兩個管控節點，各管控節點 遵循門限密鑰共用機制分別持有所述授權中心的系統子私密密鑰，所述方法包括：
步驟801、雲用戶終端設備遵循所述門限密鑰共用機制分別向預定數量管控節點發送授權請求。
所述授權請求中至少攜帶所述雲用戶終端設備的身份資訊，在所述雲端用戶終端設備具有可信計算平台的情況下，所述授權請求中還可以攜帶所述雲用戶終端設備的平台資訊。
步驟802、接收授權請求的各管控節點基於各自持有的系統子私密密鑰，分別向所述雲端用戶終端設備頒發至少基於所述雲用戶終端設備的身份資訊的子私密密鑰。
在所述雲端用戶終端設備具有可信計算平台的情況下，所述至少基於所述雲用戶終端設備的身份資訊的子私密密鑰，可以包括：基於所述雲用戶終端設備的身份及平台資訊的子私密密鑰。
步驟803、雲用戶終端設備將接收到的各子私密密鑰合成至少基於自己身份資訊的私密密鑰。
步驟804、雲用戶終端設備將所述至少基於自己身份資訊的私密密鑰注入到所述雲端服務網路系統中的、雲用戶租賃設備中。
在所述雲端用戶終端設備具有可信計算平台的情況下，上述步驟803和步驟804所述的至少基於自己身份資訊的私密密鑰，可以包括：基於自己身份及平台資訊的私密密鑰。
具體實施時，雲端用戶終端設備可以將所述私密密鑰注入到所述雲用戶租賃設備的安全儲存空間中，例如，當所述租賃設備具有可信計算平台的情況下，可以注入到所述租賃設備的可信晶片中，或者在所述可信晶片加密後，匯出並儲存於可信晶片之外的可信儲存空間中。
由此可見，採用本實施例提供的密鑰注入方法，由於雲端用戶終端設備的私密密鑰由雲端用戶終端設備自己合成，雲端管理員或者其他人員無法竊取該私密密鑰，保證雲端用戶終端設備私密密鑰的安全性，並且雲端用戶終端設備將其私密密鑰注入到雲用戶租賃設備中，從而雲用戶終端設備和雲用戶租賃設備間可以採用所述私密密鑰作為對稱密鑰進行彼此之間的資料加解密傳輸，提高安全性以及加解密的效率。
本案雖然以較佳實施例公開如上，但其並不是用來限定本案，任何本領域技術人員在不脫離本案的精神和範圍內，都可以做出可能的變動和修改，因此本案的保護範圍應當以本案權利要求所界定的範圍為准。
在一個典型的配置中，計算設備包括一個或多個處理器(CPU)、輸入/輸出介面、網路介面和記憶體。
記憶體可能包括電腦可讀媒體中的非永久性記憶體，隨機存取記憶體(RAM)和/或非易失性記憶體等形式，如唯讀記憶體(ROM)或快閃記憶體(flash RAM)。記憶體是電腦可讀媒體的示例。
電腦可讀媒體包括永久性和非永久性、可移動和非可 移動媒體可以由任何方法或技術來實現資訊儲存。資訊可以是電腦可讀指令、資料結構、程式的模組或其他資料。電腦的儲存媒體的例子包括，但不限於相變記憶體(PRAM)、靜態隨機存取記憶體(SRAM)、動態隨機存取記憶體(DRAM)、其他類型的隨機存取記憶體(RAM)、唯讀記憶體(ROM)、電可擦除可程式設計唯讀記憶體(EEPROM)、快閃記憶體或其他記憶體技術、唯讀光碟唯讀記憶體(CD-ROM)、數位多功能光碟(DVD)或其他光學記憶體、磁盒式磁帶，磁帶磁磁片儲存或其他磁性存放裝置或任何其他非傳輸媒體，可用於儲存可以被計算設備訪問的資訊。按照本文中的界定，電腦可讀媒體不包括非暫存電腦可讀媒體(transitory media)，如調製的資料信號和載波。
本領域技術人員應明白，本案的實施例可提供為方法、系統或電腦程式產品。因此，本案可採用完全硬體實施例、完全軟體實施例或結合軟體和硬體方面的實施例的形式。而且，本案可採用在一個或多個其中包含有電腦可用程式碼的電腦可用儲存媒體(包括但不限於磁碟記憶體、CD-ROM、光學記憶體等)上實施的電腦程式產品的形式。

Claims (33)

  1. 一種量子資料密鑰協商系統，其中，包括：具有共用量子密鑰串的第一設備和第二設備、以及授權中心，其中，所述第一設備和第二設備彼此之間、以及與授權中心之間通信連接，所述第一設備和第二設備以及授權中心分別具有可信計算平台；所述授權中心，用於分別根據所述第一設備和第二設備的授權請求，對相應請求方的身份與平台的可信性進行驗證，並在驗證通過後基於授權中心的系統私密密鑰為相應請求方提供相應信息，以供相應請求方獲取基於其身份與平台資訊的私密密鑰及可信證書；所述第一設備和第二設備，分別用於向對方發送至少包含可信證書的驗證請求、並利用對方發送的驗證請求中的資訊對對方身份與平台的可信性進行驗證；並在雙方均通過驗證後，透過協商從各自的共用量子密鑰串中獲取量子資料密鑰。
  2. 如申請專利範圍第1項所述的系統，其中，所述第一設備和第二設備分別向對方發送的驗證請求中，還包含各自的可信度量報告。
  3. 如申請專利範圍第1項所述的系統，其中，所述授權中心包括至少兩個通信連接的管控節點，各管控節點分別 具有可信計算平台；所述管控節點之一，用於將所述授權中心的系統私密密鑰根據門限密鑰共用機制拆分成n個系統子私密密鑰，n與管控節點的數目一致，並將其中n-1個系統子私密密鑰分別分發給不同的管控節點；還用於根據接收到的授權請求，對相應請求方的身份與平台的可信性進行驗證，並在驗證通過後基於自己持有的系統子私密密鑰向相應請求方頒發基於其身份與平台資訊的子私密密鑰及子證書；所述管控節點中的其他節點，用於根據接收到的授權請求，對相應請求方的身份與平台的可信性進行驗證，並在驗證通過後基於自己持有的系統子私密密鑰向相應請求方頒發基於其身份與平台資訊的子私密密鑰及子證書；所述第一設備和第二設備，分別具體用於向預定數量的管控節點發送授權請求，並根據管控節點頒發的子私密密鑰及子證書，採用所述門限密鑰共用機制合成基於各自身份與平台資訊的私密密鑰及可信證書。
  4. 如申請專利範圍第1項所述的系統，其中，所述第一設備和第二設備，還分別用於將獲取的基於各自身份與平台資訊的私密密鑰及可信憑證存放區在各自可信計算平台提供的可信儲存空間中。
  5. 如申請專利範圍第1項所述的系統，其中，所述授權中心為一集中管控節點，具體用於分別根據第一設備和第 二設備的授權請求，對相應請求方的身份與平台的可信性進行驗證，並在驗證通過後基於系統私密密鑰為相應的請求方頒發基於其身份與平台資訊的私密密鑰及可信證書。
  6. 如申請專利範圍第1項所述的系統，其中，所述第一設備和第二設備，分別具體用於在雙方均通過驗證後，透過協商從各自的共用量子密鑰串中獲取兩個或者兩個以上量子資料密鑰。
  7. 如申請專利範圍第6項所述的系統，其中，所述第一設備，具體用於向所述第二設備發送協商消息，所述協商消息中至少包含指示第二設備從其共用量子密鑰串中獲取兩個或者兩個以上量子資料密鑰的參數資訊，並在接收到所述第二設備的確認應答後，從自己的共用量子密鑰串中獲取與所述參數資訊對應的量子資料密鑰；所述第二設備，具體用於根據接收到的協商消息包含的參數資訊，從自己的共用量子密鑰串中獲取相應的量子資料密鑰，並向所述第一設備返回確認應答。
  8. 如申請專利範圍第7項所述的系統，其中，所述參數資訊包括：量子資料密鑰的數量、量子資料密鑰的固定長度、以及第一個量子資料密鑰的起始量子密鑰位元標識；或者，至少兩個參數組，每個參數組中包含相應量子資料密 鑰的起始量子密鑰位元標識，或者，所述起始量子密鑰位元標識及長度資訊。
  9. 如申請專利範圍第7項所述的系統，其中，所述參數資訊包括：至少兩個參數組，每個參數組中包含相應量子資料密鑰的起始量子密鑰位元標識及長度資訊，且至少存在兩個參數組指定的量子資料密鑰具有重疊部分，使得所述參數資訊指定的量子資料密鑰的總長度大於雙方各自具有的共用量子密鑰串的長度。
  10. 如申請專利範圍第1-9項中任一項所述的系統，其中，所述量子資料密鑰協商系統部署於雲端服務網路系統中；所述雲端服務網路系統包括：雲端供應商子系統，和雲端用戶子系統；所述授權中心部署於雲端供應商子系統；所述第一設備和第二設備分別為：雲端供應商子系統中的業務設備、雲用戶子系統中的終端設備；或者，雲端用戶子系統中的終端設備、雲端供應商子系統中的業務設備；或者，雲端供應商子系統中的不同業務設備。
  11. 一種量子資料密鑰協商方法，所述方法所含有的第一設備和第二設備、以及授權中心分別具有可信計算平台， 所述第一設備和第二設備分別預先根據授權中心基於系統私密密鑰提供的相應資訊、獲取了基於各自身份與平台資訊的私密密鑰及可信證書；所述方法包括：所述第一設備和第二設備分別向對方發送至少包含可信證書的驗證請求，並利用對方發送的驗證請求中的資訊對對方身份與平台的可信性進行驗證；若所述第一設備和第二設備均通過驗證，則雙方透過協商從各自的共用量子密鑰串中獲取量子資料密鑰。
  12. 如申請專利範圍第11項所述的方法，其中，所述第一設備和第二設備分別向對方發送的驗證請求中，還包含各自的可信度量報告。
  13. 如申請專利範圍第11項所述的方法，其中，在所述第一設備和第二設備分別向對方發送驗證請求之前，包括：所述第一設備和第二設備分別向所述授權中心發送授權請求，所述授權請求中攜帶各自的身份資訊和平台資訊；所述第一設備和第二設備，分別根據所述授權中心在驗證相應請求方的身份與平台可信性後、基於所述系統私密密鑰返回的相應資訊，獲取基於各自身份與平台資訊的私密密鑰及可信證書。
  14. 如申請專利範圍第13項所述的方法，其中，所述授權 中心包括至少兩個管控節點，各管控節點分別具有可信計算平台；在所述第一設備和第二設備分別向所述授權中心發送授權請求之前，包括：所述管控節點之一，將所述授權中心的系統私密密鑰根據門限密鑰共用機制拆分成n個系統子私密密鑰，n與管控節點的數目一致，並將其中n-1個系統子私密密鑰分別分發給不同的管控節點；所述第一設備和第二設備分別向所述授權中心發送授權請求，包括：所述第一設備和第二設備分別向預定數量的管控節點發送授權請求；所述第一設備和第二設備，分別根據所述授權中心在驗證相應請求方的身份與平台可信性後、基於所述系統私密密鑰返回的相應資訊，獲取基於各自身份與平台資訊的私密密鑰及可信證書，包括：接收到相應授權請求的管控節點，根據相應請求方的授權請求，對相應請求方的身份與平台的可信性進行驗證，並在驗證通過後基於自己持有的系統子私密密鑰向相應請求方頒發基於其身份與平台資訊的子私密密鑰及子證書；所述第一設備和第二設備分別根據管控節點頒發的子私密密鑰以及子證書，採用所述門限密鑰共用機制合成基於各自身份與平台資訊的私密密鑰以及可信證書。
  15. 如申請專利範圍第13項所述的方法，其中，所述授權中心為一集中管控節點；所述第一設備和第二設備，分別根據所述授權中心在驗證相應請求方的身份與平台可信性後、基於所述系統私密密鑰返回的相應資訊，獲取基於各自身份與平台資訊的私密密鑰及可信證書，包括：所述授權中心，分別根據所述第一設備和第二設備的授權請求，對相應請求方的身份與平台的可信性進行驗證，並在驗證通過後基於授權中心的系統私密密鑰為相應的請求方頒發基於其身份與平台資訊的私密密鑰以及可信證書。
  16. 如申請專利範圍第11項所述的方法，其中，所述第一設備和第二設備分別向對方發送至少包含可信證書的驗證請求、並利用對方發送的驗證請求中的資訊對對方身份與平台的可信性進行驗證，包括：所述第一設備將至少包含可信證書的驗證請求發送給所述第二設備；所述第二設備至少根據接收到的驗證請求中包含的可信證書，對所述第一設備的身份與平台的可信性進行驗證，並將至少包含自己的可信證書的驗證請求發送給所述第一設備；所述第一設備至少根據接收到的驗證請求中包含的可信證書，對所述第二設備的身份與平台的可信性進行驗 證。
  17. 如申請專利範圍第11項所述的方法，其中，所述雙方透過協商從各自的共用量子密鑰串中獲取量子資料密鑰，包括：雙方透過協商從各自的共用量子密鑰串中獲取兩個或者兩個以上量子資料密鑰。
  18. 如申請專利範圍第17項所述的方法，其中，所述雙方透過協商從各自的共用量子密鑰串中獲取兩個或者兩個以上量子資料密鑰，包括：所述第一設備向所述第二設備發送協商消息，所述協商消息中至少包含指示第二設備從其共用量子密鑰串中獲取兩個或者兩個以上量子資料密鑰的參數資訊；所述第二設備根據接收到的協商消息包含的參數資訊，從自己的共用量子密鑰串中獲取相應的量子資料密鑰，並向所述第一設備返回確認應答；所述第一設備在接收到所述確認應答後，從自己的共用量子密鑰串中獲取與其發送的參數資訊對應的量子資料密鑰。
  19. 如申請專利範圍第18項所述的方法，其中，所述參數資訊包括：量子資料密鑰的數量、量子資料密鑰的固定長度、以及第一個量子資料密鑰的起始量子密鑰位元標識；或者， 至少兩個參數組，每個參數組中包含相應量子資料密鑰的起始量子密鑰位元標識，或者，所述起始量子密鑰位元標識及長度資訊。
  20. 如申請專利範圍第18項所述的方法，其中，所述參數資訊包括：至少兩個參數組，每個參數組中包含相應量子資料密鑰的起始量子密鑰位元標識及長度資訊，且至少存在兩個參數組指定的量子資料密鑰具有重疊部分，使得所述參數資訊指定的量子資料密鑰的總長度大於雙方各自具有的共用量子密鑰串的長度。
  21. 如申請專利範圍第11-20項中任一項所述的方法，其中，所述方法在雲端服務網路系統中實施；所述雲端服務網路系統包括：雲端供應商子系統，和雲端用戶子系統；所述授權中心部署於雲端供應商子系統；所述第一設備和第二設備分別為：雲端供應商子系統中的業務設備、雲用戶子系統中的終端設備；或者，雲端用戶子系統中的終端設備、雲端供應商子系統中的業務設備；或者，雲端供應商子系統中的不同業務設備。
  22. 一種量子資料密鑰協商方法，包括：第一設備向第二設備發送協商消息，所述協商消息中 至少包含指示第二設備從其共用量子密鑰串中獲取兩個或者兩個以上量子資料密鑰的參數資訊；所述第二設備根據接收到的協商消息包含的參數資訊，從自己的共用量子密鑰串中獲取相應的量子資料密鑰；所述第一設備從自己的共用量子密鑰串中獲取與其發送的參數資訊對應的量子資料密鑰。
  23. 如申請專利範圍第22項所述的方法，其中，所述參數資訊包括：量子資料密鑰的數量、量子資料密鑰的固定長度、以及第一個量子資料密鑰的起始量子密鑰位元標識；或者，至少兩個參數組，每個參數組中包含相應量子資料密鑰的起始量子密鑰位元標識，或者，所述起始量子密鑰位元標識及長度資訊。
  24. 如申請專利範圍第22項所述的方法，其中，所述協商消息中至少包含指示第二設備從其共用量子密鑰串中獲取兩個或者兩個以上量子資料密鑰的參數資訊，且所述參數資訊指定的量子資料密鑰的總長度大於雙方各自具有的共用量子密鑰串的長度。
  25. 如申請專利範圍第24項所述的方法，其中，所述參數資訊包括：至少兩個參數組，每個參數組中包含相應量子 資料密鑰的起始量子密鑰位元標識及長度資訊，且至少存在兩個參數組指定的量子資料密鑰具有重疊部分，使得所述參數資訊指定的量子資料密鑰的總長度大於雙方各自具有的共用量子密鑰串的長度。
  26. 如申請專利範圍第22項所述的方法，其中，所述第二設備從所述共用量子密鑰串中獲取相應的量子資料密鑰之後，包括：向所述第一設備返回確認應答；所述第一設備從自己的共用量子密鑰串中獲取與其發送的參數資訊對應的量子資料密鑰，包括：所述第一設備接收所述確認應答後，從自己的共用量子密鑰串中獲取與其發送的參數資訊對應的量子資料密鑰。
  27. 一種資料處理系統，包括：第一設備和第二設備、以及授權中心，其中，所述第一設備和第二設備彼此之間、以及與授權中心之間通信連接，所述第一設備和第二設備以及授權中心分別具有可信計算平台；所述授權中心，用於分別根據所述第一設備和第二設備的授權請求，對相應請求方的身份與平台的可信性進行驗證，並在驗證通過後基於授權中心的系統私密密鑰為相應請求方提供相應信息，以供相應請求方獲取基於其身份與平台資訊的私密密鑰及可信證書； 所述第一設備和第二設備，分別用於向對方發送至少包含可信證書的驗證請求、並利用對方發送的驗證請求中的資訊對對方的身份與平台的可信性進行驗證；並在雙方均通過驗證後，通過與對方的交互執行資料處理操作。
  28. 如申請專利範圍第27項所述的系統，其中，所述第一設備和第二設備分別向對方發送的驗證請求中，還包含各自的可信度量報告。
  29. 如申請專利範圍第27項所述的系統，其中，所述資料處理操作包括：從各自的共用量子密鑰串中獲取量子資料密鑰；或者，執行儲存資料或獲取資料操作。
  30. 一種資料處理方法，所述方法所含有的第一設備和第二設備、以及授權中心，分別具有可信計算平台，所述第一設備和第二設備分別預先根據授權中心基於系統私密密鑰提供的相應資訊、獲取了基於各自身份與平台資訊的私密密鑰及可信證書；所述方法，包括：所述第一設備和第二設備分別向對方發送至少包含可信證書的驗證請求、並利用對方發送的驗證請求中的資訊對對方身份與平台的可信性進行驗證；若所述第一設備和第二設備均通過驗證，則雙方通過交互執行資料處理操作。
  31. 如申請專利範圍第30項所述的方法，其中，所述第一設備和第二設備分別向對方發送的驗證請求中，還包含各自的可信度量報告。
  32. 如申請專利範圍第30項所述的方法，其中，所述資料處理操作包括：從各自的共用量子密鑰串中獲取量子資料密鑰；或者，執行儲存資料或獲取資料操作。
  33. 一種用於雲端服務網路系統的密鑰注入方法，所述雲端服務網路系統的授權中心至少包括兩個管控節點，各管控節點遵循門限密鑰共用機制分別持有所述授權中心的系統子私密密鑰；所述方法，包括：雲端用戶終端設備遵循所述門限密鑰共用機制分別向預定數量管控節點發送授權請求；接收授權請求的各管控節點基於各自持有的系統子私密密鑰，分別向所述雲端用戶終端設備頒發至少基於所述雲用戶終端設備的身份資訊的子私密密鑰；雲端用戶終端設備將接收到的各子私密密鑰合成至少基於自己身份資訊的私密密鑰；雲用戶終端設備將所述至少基於自己身份資訊的私密密鑰注入到所述雲端服務網路系統中的、雲用戶租賃設備中。
TW106126105A 2016-10-14 2017-08-02 量子資料密鑰協商系統及量子資料密鑰協商方法 TWI738836B (zh)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
??201610900271.1 2016-10-14
CN201610900271.1 2016-10-14
CN201610900271.1A CN107959566A (zh) 2016-10-14 2016-10-14 量子数据密钥协商***及量子数据密钥协商方法

Publications (2)

Publication Number Publication Date
TW201815123A true TW201815123A (zh) 2018-04-16
TWI738836B TWI738836B (zh) 2021-09-11

Family

ID=61902766

Family Applications (1)

Application Number Title Priority Date Filing Date
TW106126105A TWI738836B (zh) 2016-10-14 2017-08-02 量子資料密鑰協商系統及量子資料密鑰協商方法

Country Status (5)

Country Link
US (1) US10103880B2 (zh)
JP (1) JP7033120B2 (zh)
CN (1) CN107959566A (zh)
TW (1) TWI738836B (zh)
WO (1) WO2018071195A1 (zh)

Families Citing this family (48)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10903997B2 (en) * 2017-10-19 2021-01-26 Autnhive Corporation Generating keys using controlled corruption in computer networks
KR102028098B1 (ko) * 2018-01-29 2019-10-02 한국전자통신연구원 양자암호통신 인증 장치 및 방법
EP3562115A1 (de) * 2018-04-25 2019-10-30 Siemens Aktiengesellschaft Geschützte übertragung von daten mit hilfe post-quanten kryptographie
KR102011042B1 (ko) * 2018-06-11 2019-08-14 한국과학기술연구원 공증된 양자 암호 시스템 및 방법
US11290436B2 (en) 2018-09-21 2022-03-29 Cisco Technology, Inc. Mechanism for encryption key distribution in computer networks
CN109302284B (zh) * 2018-09-28 2021-10-22 北京金山安全软件有限公司 一种硬件钱包
CN109088729B (zh) * 2018-09-28 2021-03-26 北京金山安全软件有限公司 一种密钥存储方法及装置
CN109194465B (zh) * 2018-09-30 2022-02-18 巍乾全球技术有限责任公司 用于管理密钥的方法、用户设备、管理设备、存储介质
CN109450641B (zh) * 2018-10-25 2021-12-07 山东达创网络科技股份有限公司 一种高端模具信息管理***访问控制方法
US11240025B2 (en) * 2018-11-09 2022-02-01 Ares Technologies, Inc. Systems and methods for distributed key storage
US11316668B2 (en) * 2018-11-16 2022-04-26 Safetech Bv Methods and systems for cryptographic private key management for secure multiparty storage and transfer of information
CN109660340B (zh) * 2018-12-11 2021-11-26 北京安御道合科技有限公司 一种基于量子密钥的应用***及其使用方法
CN109672537B (zh) * 2019-01-18 2021-08-10 如般量子科技有限公司 基于公钥池的抗量子证书获取***及获取方法
CN110012074B (zh) * 2019-03-12 2021-11-30 北京可信华泰信息技术有限公司 一种云环境可信上下文管理方法
CN111756675B (zh) * 2019-03-28 2023-04-07 钉钉控股（开曼）有限公司 数据处理方法、装置、设备和***
CN110190952A (zh) * 2019-05-09 2019-08-30 浙江神州量子通信技术有限公司 一种基于量子随机数对物联网安全的加密传输方法
CN112291179B (zh) * 2019-07-22 2022-04-12 科大国盾量子技术股份有限公司 一种实现设备认证的方法、***及装置
CN112468287B (zh) * 2019-09-09 2022-02-22 科大国盾量子技术股份有限公司 一种密钥分配方法、***、移动终端和可穿戴设备
GB2587438A (en) * 2019-09-30 2021-03-31 Governing Council Univ Toronto Key generation for use in secured communication
US11258580B2 (en) 2019-10-04 2022-02-22 Red Hat, Inc. Instantaneous key invalidation in response to a detected eavesdropper
CN110738767A (zh) * 2019-10-29 2020-01-31 安徽问天量子科技股份有限公司 一种基于量子真随机密钥的电子门禁认证方法
CN110932870B (zh) * 2019-12-12 2023-03-31 南京如般量子科技有限公司 一种量子通信服务站密钥协商***和方法
CN113132323B (zh) * 2019-12-31 2022-11-18 华为技术有限公司 一种通信方法及装置
US11423141B2 (en) 2020-02-10 2022-08-23 Red Hat, Inc. Intruder detection using quantum key distribution
CN111490878B (zh) * 2020-04-09 2021-07-27 腾讯科技（深圳）有限公司 密钥生成方法、装置、设备及介质
US11374975B2 (en) * 2020-07-02 2022-06-28 International Business Machines Corporation TLS integration of post quantum cryptographic algorithms
CN111884798B (zh) * 2020-07-22 2023-04-07 全球能源互联网研究院有限公司 一种电力业务量子加密***
CN112152817B (zh) * 2020-09-25 2022-07-12 国科量子通信网络有限公司 基于后量子密码算法进行认证的量子密钥分发方法及***
CN114448638B (zh) * 2020-11-02 2024-02-13 如般量子科技有限公司 基于见证者的量子保密通信网络密钥管理通信方法及***
CN112751858B (zh) * 2020-12-30 2023-04-07 恒安嘉新（北京）科技股份公司 数据加密通信终端方法、装置、终端、服务器及存储介质
CN112822010B (zh) * 2021-01-28 2022-08-26 成都信息工程大学 一种基于量子密钥和区块链的可移动存储介质管理方法
CN113014379B (zh) * 2021-02-05 2022-05-17 南阳理工学院 支持跨云域数据分享的三方认证和密钥协商方法、***和计算机存储介质
CN113067699B (zh) * 2021-03-04 2021-12-03 深圳科盾量子信息科技有限公司 基于量子密钥的数据共享方法、装置和计算机设备
CN114362928B (zh) * 2021-03-23 2023-11-24 长春大学 一种用于多节点间加密的量子密钥分发与重构方法
CN113449343B (zh) * 2021-05-31 2024-03-26 国科量子通信网络有限公司 基于量子技术的可信计算***
CN113595722B (zh) * 2021-06-28 2023-11-07 阿里巴巴新加坡控股有限公司 量子安全密钥同步方法、装置、电子设备和存储介质
CN113346996B (zh) * 2021-07-13 2022-07-12 郑州轻工业大学 一种基于量子的内容中心网络隐私保护方法
US20230017231A1 (en) * 2021-07-17 2023-01-19 International Business Machines Corporation Securely executing software based on cryptographically verified instructions
CN113765660B (zh) * 2021-09-06 2022-08-02 东南大学 一种物联网终端设备量子密钥按需分配方法
EP4156001A1 (en) * 2021-09-27 2023-03-29 ARRIS Enterprises LLC Method and apparatus for two-step data signing
US11895234B2 (en) * 2021-09-30 2024-02-06 Juniper Networks, Inc. Delayed quantum key-distribution
CN113890732B (zh) * 2021-10-14 2022-10-14 成都信息工程大学 一种基于区块链的保密通信方法及其安全事件的追溯方法
CN114124372B (zh) * 2021-11-01 2024-06-04 易迅通科技有限公司 一种基于量子密钥分发的网络跳变生成装置及方法
CN113810432B (zh) * 2021-11-19 2022-06-17 阿里云计算有限公司 一种量子安全的数据加密方法、加密设备及存储介质
CN114244513B (zh) * 2021-12-31 2024-02-09 日晷科技(上海)有限公司 密钥协商方法、设备及存储介质
GB2617907A (en) * 2022-03-16 2023-10-25 Honeywell Ltd Honeywell Limitee Method and system for secure distribution of symmetric encryption keys using quantum key distribution (QKD)
WO2024034699A1 (ko) * 2022-08-08 2024-02-15 엘지전자 주식회사 양자 통신 시스템에서 사용자 인증을 수행하기 위한 방법 및 이를 위한 장치
US11991269B1 (en) 2022-11-15 2024-05-21 Quantum Bridge Technologies Inc. System and method for distribution of key generation data in a secure network

Family Cites Families (49)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6151676A (en) 1997-12-24 2000-11-21 Philips Electronics North America Corporation Administration and utilization of secret fresh random numbers in a networked environment
US8850179B2 (en) 2003-09-15 2014-09-30 Telecommunication Systems, Inc. Encapsulation of secure encrypted data in a deployable, secure communication system allowing benign, secure commercial transport
US7181011B2 (en) 2004-05-24 2007-02-20 Magiq Technologies, Inc. Key bank systems and methods for QKD
US7484099B2 (en) 2004-07-29 2009-01-27 International Business Machines Corporation Method, apparatus, and product for asserting physical presence with a trusted platform module in a hypervisor environment
US9191198B2 (en) 2005-06-16 2015-11-17 Hewlett-Packard Development Company, L.P. Method and device using one-time pad data
JP2007019789A (ja) 2005-07-07 2007-01-25 Nec Corp 乱数共有システムおよび方法
US7885412B2 (en) 2005-09-29 2011-02-08 International Business Machines Corporation Pre-generation of generic session keys for use in communicating within communications environments
ES2327428T3 (es) 2005-12-23 2009-10-29 Alcatel Lucent Control de admision de recursos para peticiones de reserva activadas por cliente y activadas por red.
US20130227286A1 (en) 2006-04-25 2013-08-29 Andre Jacques Brisson Dynamic Identity Verification and Authentication, Dynamic Distributed Key Infrastructures, Dynamic Distributed Key Systems and Method for Identity Management, Authentication Servers, Data Security and Preventing Man-in-the-Middle Attacks, Side Channel Attacks, Botnet Attacks, and Credit Card and Financial Transaction Fraud, Mitigating Biometric False Positives and False Negatives, and Controlling Life of Accessible Data in the Cloud
CA2648780C (en) 2006-04-25 2013-07-16 Stephen Laurence Boren Dynamic distributed key system and method for identity management, authentication servers, data security and preventing man-in-the-middle attacks
US8418235B2 (en) 2006-11-15 2013-04-09 Research In Motion Limited Client credential based secure session authentication method and apparatus
US8213602B2 (en) 2006-11-27 2012-07-03 Broadcom Corporation Method and system for encrypting and decrypting a transport stream using multiple algorithms
US20080165973A1 (en) 2007-01-09 2008-07-10 Miranda Gavillan Jose G Retrieval and Display of Encryption Labels From an Encryption Key Manager
EP2122900A4 (en) 2007-01-22 2014-07-23 Spyrus Inc PORTABLE DATA ENCRYPTION DEVICE WITH CONFIGURABLE SAFETY FUNCTIONS AND METHOD FOR FILING ENCRYPTION
US20080219449A1 (en) 2007-03-09 2008-09-11 Ball Matthew V Cryptographic key management for stored data
CA2684229A1 (en) 2007-04-12 2008-10-23 Ncipher Corporation Ltd. Method and system for identifying and managing keys
US8111828B2 (en) 2007-07-31 2012-02-07 Hewlett-Packard Development Company, L.P. Management of cryptographic keys for securing stored data
US9323901B1 (en) 2007-09-28 2016-04-26 Emc Corporation Data classification for digital rights management
GB0801395D0 (en) 2008-01-25 2008-03-05 Qinetiq Ltd Network having quantum key distribution
US8838990B2 (en) 2008-04-25 2014-09-16 University Of Colorado Board Of Regents Bio-cryptography: secure cryptographic protocols with bipartite biotokens
GB0809044D0 (en) 2008-05-19 2008-06-25 Qinetiq Ltd Multiplexed QKD
US8194858B2 (en) 2009-02-19 2012-06-05 Physical Optics Corporation Chaotic cipher system and method for secure communication
US8077047B2 (en) 2009-04-16 2011-12-13 Ut-Battelle, Llc Tampering detection system using quantum-mechanical systems
GB0917060D0 (en) * 2009-09-29 2009-11-11 Qinetiq Ltd Methods and apparatus for use in quantum key distribution
WO2011068784A1 (en) 2009-12-01 2011-06-09 Azuki Systems, Inc. Method and system for secure and reliable video streaming with rate adaptation
US8850554B2 (en) 2010-02-17 2014-09-30 Nokia Corporation Method and apparatus for providing an authentication context-based session
US8892820B2 (en) 2010-03-19 2014-11-18 Netapp, Inc. Method and system for local caching of remote storage data
US9002009B2 (en) 2010-06-15 2015-04-07 Los Alamos National Security, Llc Quantum key distribution using card, base station and trusted authority
GB201020424D0 (en) 2010-12-02 2011-01-19 Qinetiq Ltd Quantum key distribution
WO2012098543A2 (en) 2011-01-18 2012-07-26 Fortress Gb Ltd. System and method for computerized negotiations based on coded integrity
WO2012139174A1 (en) 2011-04-15 2012-10-18 Quintessencelabs Pty Ltd Qkd key management system
WO2013026086A1 (en) 2011-08-19 2013-02-28 Quintessencelabs Pty Ltd Virtual zeroisation system and method
US9509506B2 (en) 2011-09-30 2016-11-29 Los Alamos National Security, Llc Quantum key management
US9088805B2 (en) 2012-02-08 2015-07-21 Vixs Systems, Inc. Encrypted memory device and methods for use therewith
US20150188701A1 (en) 2012-08-24 2015-07-02 Los Alamos National Security, Llc Scalable software architecture for quantum cryptographic key management
CN103856477B (zh) * 2012-12-06 2018-01-02 阿里巴巴集团控股有限公司 一种可信计算***及相应的认证方法和设备
CN104036780B (zh) 2013-03-05 2017-05-24 阿里巴巴集团控股有限公司 一种人机识别方法及***
US9747456B2 (en) 2013-03-15 2017-08-29 Microsoft Technology Licensing, Llc Secure query processing over encrypted data
CN103491531B (zh) * 2013-08-23 2016-07-06 中国科学技术大学 在电力***WiMAX无线通信网中使用量子密钥提高电力信息传输安全性的方法
WO2015048783A1 (en) 2013-09-30 2015-04-02 Nordholt, Jane, E. Quantum-secured communications overlay for optical fiber communications networks
WO2015113138A1 (en) 2014-01-31 2015-08-06 Teixem Corp. System and method for performing secure communications
JP6359285B2 (ja) 2014-02-17 2018-07-18 株式会社東芝 量子鍵配送装置、量子鍵配送システムおよび量子鍵配送方法
US9331875B2 (en) 2014-04-04 2016-05-03 Nxgen Partners Ip, Llc System and method for communication using orbital angular momentum with multiple layer overlay modulation
CN105553648B (zh) * 2014-10-30 2019-10-29 阿里巴巴集团控股有限公司 量子密钥分发、隐私放大及数据传输方法、装置及***
CN105827397B (zh) 2015-01-08 2019-10-18 阿里巴巴集团控股有限公司 基于可信中继的量子密钥分发***、方法及装置
CN105871538B (zh) * 2015-01-22 2019-04-12 阿里巴巴集团控股有限公司 量子密钥分发***、量子密钥分发方法及装置
CN105991285B (zh) 2015-02-16 2019-06-11 阿里巴巴集团控股有限公司 用于量子密钥分发过程的身份认证方法、装置及***
US9667600B2 (en) * 2015-04-06 2017-05-30 At&T Intellectual Property I, L.P. Decentralized and distributed secure home subscriber server device
CN107404461B (zh) 2016-05-19 2021-01-26 阿里巴巴集团控股有限公司 数据安全传输方法、客户端及服务端方法、装置及***

Also Published As

Publication number Publication date
US20180109372A1 (en) 2018-04-19
JP2019535153A (ja) 2019-12-05
WO2018071195A1 (en) 2018-04-19
CN107959566A (zh) 2018-04-24
TWI738836B (zh) 2021-09-11
JP7033120B2 (ja) 2022-03-09
US10103880B2 (en) 2018-10-16

Similar Documents

Publication Publication Date Title
TWI738836B (zh) 量子資料密鑰協商系統及量子資料密鑰協商方法
JP7011646B2 (ja) 量子通信及びトラステッドコンピューティングに基づくデータセキュリティのための方法及びシステム
TWI744371B (zh) 資料儲存方法、資料獲取方法、裝置及系統
JP6515246B2 (ja) 情報及び階層的で決定性の暗号化鍵のセキュアな交換のための共通秘密の決定
CN110855671B (zh) 一种可信计算方法和***
US11271730B2 (en) Systems and methods for deployment, management and use of dynamic cipher key systems
JP6680791B2 (ja) 量子鍵配送のための方法、装置、及びシステム
CN110214440B (zh) 计算***，传送受保护数据的方法和可读存储介质
US10187373B1 (en) Hierarchical, deterministic, one-time login tokens
US20080301436A1 (en) Method and apparatus for performing authentication between clients using session key shared with server
CN108347404B (zh) 一种身份认证方法及装置
TW201638824A (zh) 基於雲環境的加密機金鑰注入系統、方法及裝置
CN113987554B (zh) 获取数据授权的方法、装置及***
US20230188325A1 (en) Computer-implemented system and method for highly secure, high speed encryption and transmission of data
WO2018127118A1 (zh) 一种身份认证方法及装置
US11528127B2 (en) Computer-implemented system and method for highly secure, high speed encryption and transmission of data
JP2022500920A (ja) コンピュータにより実施される、共通シークレットを共有するシステム及び方法
US20240113885A1 (en) Hub-based token generation and endpoint selection for secure channel establishment
Alston Attribute-based encryption for attribute-based authentication, authorization, storage, and transmission in distributed storage systems
CN114866328A (zh) 一种边缘计算环境下基于区块链的跨域访问控制方法及***
KR101389981B1 (ko) 퍼블릭 클라우드 스토리지 서비스를 위한 데이터 위임 및 엑세스 방법
CN108429717B (zh) 一种身份认证方法及装置
Donald et al. Key based mutual authentication (KBMA) mechanism for secured access in MobiCloud environment
WO2023198036A1 (zh) 一种密钥生成方法、装置及设备
Román et al. Post-quantum Secure Communication with IoT Devices Using Kyber and SRAM Behavioral and Physical Unclonable Functions