基于秘密共享和时间戳的量子通信服务站密钥协商系统和
方法
技术领域
背景技术
[0002] 鉴权，即身份认证是实现信息安全的基本技术，系统通过审查用户的身份来确认该用户是否具有对某种资源的
访问和使用权限，同样也可以进行系统与系统间的身份认证。
[0003] 当前通信网络中身份认证系统普遍采用Kerberos认证方案。Kerberos是一种网络认证协议，其设计目标是通过密钥系统为用户机/
服务器应用程序提供强大的认证服务。该认证过程的实现不依赖于主机
操作系统的认证，无需基于主机地址的信任，不要求网络上所有主机的物理安全，并假定网络上传送的数据包可以被任意的读取、
修改和插入数据。在以上情况下，Kerberos作为一种可信任的第三方认证服务，是通过传统的密码技术(如：共享密钥)执行认证服务的。
[0004] 在Kerberos认证方案中，引入了时间戳来对重放攻击进行遏止，但是票据有生命周期，在其生命周期的有效时间内仍然可以使用。如果收到消息的时间是在规定允许的范围之内，那么就认为该消息具有新鲜性。但是，在得到
许可证后的攻击者可以发送伪造的消息，这样的话，在允许的时间内是很难发现的。
[0005] 正如大多数人所了解的，
量子计算机在密码破解上有着巨大潜
力。当今主流的非对称(公钥)加密
算法，如RSA加密算法，大多数都是基于大整数的因式分解或者有限域上的离散对数的计算这两个数学难题。他们的破解难度也就依赖于解决这些问题的效率。传统计算机上，要求解这两个数学难题，花费时间为指数时间(即破解时间随着公钥长度的增长以指数级增长)，这在实际应用中是无法接受的。而为
量子计算机量身定做的秀尔算法可以在多项式时间内(即破解时间随着公钥长度的增长以k次方的速度增长，其中k为与公钥长度无关的常数)进行整数因式分解或者离散对数计算，从而为RSA、离散对数加密算法的破解提供可能。
[0007] 1.随着量子计算机的发展，主流的非对称加密算法将不再安全，无论加解密还是密钥交换方法，量子计算机都可以通过公钥计算得到私钥，因此目前常用的非对称密钥将在量子时代变得不堪一击。
[0008] 2.现有量子通信服务站与量子密钥卡之间使用非对称密钥池的方法，大大减轻了服务站的密钥存储压力。但是服务站中的非对称密钥池拥有与众多客户端进行保密通信的非对称密钥，因此非对称密钥池所在的密钥卡一旦遭到暴力破解，该服务站所对应的众多客户端将悉数丧失保密通信能力，且客户端的历史信息可根据客户端的身份进行搜索并破解；
[0009] 3.当前主流的密钥协商系统，客户端ID或其他身份信息必须公开，造成用户信息泄露。
发明内容
[0010] 发明目的：本发明的目的在于提供一种隐藏能够客户端ID实现抗量子运算防止破解的秘密共享和时间戳的量子通信服务站密钥的协商系统及其通信方法。
[0011] 技术方案：为了实现上述目的，本发明的基于秘密共享和时间戳的量子通信服务站密钥协商系统，用于用户端之间通过量子通信服务站的协商通信，包括密钥卡、多个用户端和量子通信服务站，不同量子通信服务站之间可以通过QKD方式共享站间量子密钥，用户端ID不公开、量子通信服务站对用户端ID进行秘密共享生成不同的秘密分量，分别存储在用户端密钥卡内和量子通信服务站中；
[0012] 用户端为接入量子通信服务站的设备，配备密钥卡，密钥卡内置有身份认证协议，各密钥卡均设有唯一的密钥卡身份信息；所述密钥卡内存储有用户端的公钥、私钥、假身份，由量子通信服务站生成用户端ID的秘密分量以及匹配量子通信服务站的身份信息IDQ；
[0013] 量子通信服务站内存储多组用户端信息的列表，每组用户端信息包括假身份PID以及ID的部分秘密分量；
[0014] 量子通信服务站选取一个随机数作为系统管理私钥，对系统管理私钥进行计算生成系统管理公钥。
[0015] 为了实现量子通信服务站密钥的颁发和协商通信，量子通信服务站下配置有用户端，各个量子通信服务站间存有认证协议，所述量子通信服务站包括：
[0016] 量子服务中心，主要用于通过经典网络与用户侧的各用户端通信连接以及与其他量子通信服务站通信连接；
[0017] 量子密钥分发设备，主要用于通过QKD方式实现站间量子密钥的共享；
[0018] 密钥颁发服务器，用于密钥卡颁发，是一台离线装置，由服务器管理员进行统一管理，密钥颁发服务器的密钥卡中存储有系统管理公钥；
[0019] 真随机数发生器，用于接收用户侧密钥管理服务器提出的
申请用户侧密钥的
请求，生成用户侧密钥，并发送给用户侧密钥管理服务器；
[0020] 用户侧密钥管理服务器，存放、管理从真随机数发生器生成的用户侧密钥，接收量子服务中心提出的申请用户侧密钥请求，发送相应长度的用户侧密钥给量子服务中心，接入量子密钥卡，实现发卡、登记、拷贝用户侧密钥。
[0021] 所述量子服务中心包括：身份认证服务器，票据许可服务器；
[0022] 身份认证服务器用于实现用户在接受消息认证、数字签名服务前与量子通信服务站的相互身份认证；内部具有加密卡，用于存储身份认证协议，包括密钥生成算法、认证函数、加密传输协议；
[0023] 票据许可服务器用于实现用户在获得与量子通信服务站的相互身份认证后，为用户分发其访问其他用户申请的许可。
[0024] 为了实现抗量子运算，本发明的基于秘密共享和时间戳的量子通信服务站密钥的协商方法：
[0025] (1)当用户端配置在同一个量子通信服务站下时，包括如下步骤：
[0026] 步骤1：用户端A向用户端B发起密钥协商请求，用户端A将信息M1发送给用户端B；M1中包含当前时间戳NA、用户端A的假身份、ID分量以及用户端A的私钥对NA、用户端A的两个新的秘密分量随机数进行的签名；
[0027] 步骤2：用户端B接收到信息M1，将信息M2发送给量子通信服务站Q，M2中包含M1、当前时间戳NB、用户端B的假身份、ID分量以及用户端B的私钥对M1、NB、用户端B的两个新的秘密分量随机数进行的签名；
[0028] 步骤3：量子通信服务站Q接收信息M2，分别利用用户端的两组秘密分量恢复用户端的真实身份，从而获得两个用户端的公钥。再采用哈希运算得到两组新的秘密分量随机数，并对M1和M2进行签名验证，验证通过后，进一步计算得到两个用户端的新ID分量以及两个新的假身份并分别更新；
[0029] 量子通信服务站Q生成会话密钥和随机数密钥K3A；
[0030] 通过随机数密钥K3A对两个用户端的假身份、NA和会话密钥进行加密运算，再根据用户端A的公钥对K3A进行加密得到ENCA，组合得到TICKETA，使用新的秘密分量随机数对用户端A的假身份和新的部分ID分量以及TICKETA计算得到消息认证码MACA；
[0031] 量子通信服务站Q生成会话密钥和随机数密钥K3B；
[0032] 通过随机数密钥K3B对两个用户端的假身份、NB和会话密钥进行加密运算，再根据用户端B的公钥对K3B进行加密得到ENCB，组合得到TICKETB，使用新的秘密分量随机数对用户端B的假身份和新的部分ID分量以及TICKETB计算得到消息认证码MACB；
[0033] 量子通信服务器把M3A和M3B组合成M3发送到用户端B；
[0034] M3A包括MACA，用户端A的假身份、新的部分ID分量、TICKETA；M3B包括MACB，用户端B的假身份、新的部分ID分量、TICKETB；
[0035] 步骤4：用户端B接收信息M3并解密还原用户端B的身份，并验证MACB，验证通过后更新假身份及秘密分量，通过用户端B的私钥解密ENCB得到随机数密钥K3B，通过K3B对TICKETB解密得到会话密钥，并生成随机数NC，并对NA通过会话密钥计算消息验证码MACAB，将M3A、使用会话密钥加密的NC和MACAB一起作为M4发送至客户端A；
[0036] 步骤5：用户端A对信息M4并解密并还原用户端A的身份，并验证MACA，验证通过后更新假身份及秘密分量，通过用户端A的私钥解密ENCA得到随机数密钥K3A，K3A对TICKETA解密得到会话密钥，使用会话密钥验证消息验证码MACAB，确认一致后，用户端A对NC通过会话密钥计算消息验证码MACAC，并将该消息验证码MACAC作为信息发送M5至用户端B；
[0037] 步骤6：用户端B接收到M5后，使用会话密钥验证MACAC，确认一致后，用户端B对用户端A认证通过，且确认会话密钥，用户端A和用户端B进行安全通信。
[0038] (2)当用户端属于不同的量子通信服务站时，包括如下步骤：
[0039] 步骤1：用户端A向用户端B发起密钥协商请求，用户端A将信息M1发送给用户端B；M1中包含当前时间戳NA、用户端A的假身份、ID分量，以及用户端A的私钥对NA、用户端A的两个新的秘密分量随机数进行的签名；
[0040] 步骤2：用户端B接收到信息M1，并将信息M2发送给量子通信服务站QB，M2中包含M1、当前时间戳NB、用户端B的假身份和ID分量，以及用户端B的私钥对M1、NB、用户端B的两个秘密分量随机数进行的签名；
[0041] 步骤3：量子通信服务站QB接收信息M2，利用用户端B的秘密分量恢复用户端B的真实身份，从而获得用户端B的公钥。再采用哈希运算得到两组新的秘密分量随机数，并对M2进行签名验证，验证通过后，进一步计算得到新的ID分量，同时量子通信服务站QB生成会话密钥，将会话密钥与M1、用户端B的假身份一起作为M′3发送至量子通信服务站QA，通过QKD密钥进行M′3的加密、解密和消息认证；
[0042] 步骤4：量子通信服务站QA通过QKD密钥解密M′3，利用用户端A的秘密分量恢复用户端A的真实身份，从而获得用户端A的公钥。再采用哈希运算得到两组新的秘密分量随机数，并对M1中的签名进行验证；验证通过后，进一步计算得到新的ID分量及新的假身份并更新，同时量子通信服务站QA生成会话密钥和随机数K3A；
[0043] 通过随机数密钥K3A对两个用户端的假身份、NA和会话密钥进行加密运算，再根据用户端A的公钥对K3A进行加密得到ENCA，组合得到TICKETA，使用新的秘密分量随机数对用户端A的假身份和新的部分ID分量以及TICKETA计算得到消息认证码MACA，将MACA、TICKETA、用户端A的假身份及新的部分ID分量组成M3A其发送到量子通信服务站QB；
[0044] 步骤5：量子通信服务站QB接收到信息M3A后，生成随机数密钥K3B；通过随机数密钥K3B，对两个用户端的假身份、NB和会话密钥进行加密运算，再根据用户端B的公钥对K3B进行加密得到ENCB，组合得到TICKETB，使用新的秘密分量随机数对用户端B的假身份和新的ID分量以及TICKETB计算得到消息认证码MACB，将MACB、TICKETB、用户端B的假身份及新的部分ID分量组成M3B；
[0045] 将M3A和M3B作为M3发送到用户端B。
[0046] 步骤6：用户端B接收信息M3并解密还原用户端B的身份，并验证MACB，验证通过后更新假身份及秘密分量，通过用户端B的私钥解密ENCB得到随机数密钥K3B，通过K3B对TICKETB解密得到会话密钥，并生成随机数NC，并对NA通过会话密钥计算消息验证码MACAB，将M3A、使用会话密钥加密的NC和MACAB一起作为M4发送至客户端A；
[0047] 步骤7：用户端A收到信息M4后解密并还原用户端A的身份，并验证MACA，验证通过后更新假身份及秘密分量，通过用户端A的私钥对ENCA解密得到随机数密钥K3A，K3A对TICKETA解密得到会话密钥，使用会话密钥验证消息验证码MACAB，确认一致后，用户端A对NC通过会话密钥计算消息验证码MACAC，并将该消息验证码MACAC作为信息发送M5至用户端B；
[0048] 步骤8：用户端B接收到M5后，使用会话密钥验证MACAC，确认一致后，用户端B对用户端A认证通过，且确认会话密钥，用户端A和用户端B进行安全通信。
[0049] 上述通信方法中，信息M3的处理还可以采用下述方法：通过随机数密钥K3B，对两个用户端的假身份、NB和会话密钥进行加密运算，再根据用户端B的公钥对K3B进行加密得到ENCB，组合得到TICKETB，使用新的秘密分量随机数对M3A、用户端B的假身份和新的部分ID分量以及TICKETB计算得到消息认证码MAC′B；将M3A、MAC′B、TICKETB、用户端B的假身份及新的部分ID分量组成M3发送到用户端B。
[0050] 为了认证客户端的身份，量子通信服务站收到消息后，根据假身份搜索本地客户端信息列表中的假身份，如找不到对应假身份，则认证失败，流程结束；找到对应假身份后，根据当前时间戳判断与当前时间是否位于可允许误差范围内，如在允许误差范围内，则认证通过。
[0051] 优选的，步骤1中，用户端的初始ID分量通过随机数、两个不相等的秘密分量随机数、用户端ID计算得到。
[0052] 用户端的假身份是通过用户端ID和ID分量通过哈希运算得到的。
[0053] 凑齐两组秘密分量通过计算恢复用户端ID，对用户端ID进行哈希运算得到公钥，公钥和系统管理私钥计算得到用户端私钥。
[0054] 公钥对随机数密钥的加密结果中，还包括用于抗量子计算加密的偏移量，该偏移量通过用户端ID、量子通信服务站ID和秘密分量随机数进行哈希运算得到的。
[0055] 有益效果：
[0056] 1、本发明采用独立的密钥卡存储公钥和私钥，密钥卡为
硬件隔离设备，被恶意
软件或恶意操作窃取密钥的可能性大大降低；由于量子计算机无法得到用户公钥，因此也无法得到对应的私钥；同时，基于公私钥的抗量子计算签名和加密，即使在量子计算机存在的情况下，也难以被推导出私钥；因此该方案不容易被量子计算机破解。
[0057] 2、本发明将ID进行隐藏，采用假ID的方式，实现不公开ID却可以完成用户端和服务器之间身份认证的目的，敌方无法通过通信与存储数据得到用户的真实ID，则敌方无法实现ID追踪，大大提高了通信的安全性。
[0058] 3、本发明中，在流程中的不同场合使用偏移量，偏移量的使用对数据进行了加密，使得传输过程更加安全，具有抗量子计算的特性；偏移量都需要不公开的ID的参与，其他方将无法破解这些被偏移量保护的数据，采用本发明中的加密方式比普通加密方式的计算量更小，因此避免了使用普通加密方式来抵抗量子计算机的攻击，同时降低了各方的设备负担。
[0059] 4、本发明对量子通信服务站与量子密钥卡之间的密钥管理机制进行改进，通过各个量子通信服务站与量子密钥卡对各个ID进行秘密共享，使得敌方盗取ID信息更加困难。
附图说明
[0060] 图1为本发明
实施例提供的系统结构图；
[0062] 图3为本发明中实施例2流程图。
具体实施方式
[0063] 下面结合附图1对本方案做进一步的说明。
[0064] 如附图1所示为本发明的一个实施例的结构示意图，一种基于秘密共享和时间戳的量子通信服务站密钥协商系统，用于用户端之间通过量子通信服务站的协商通信，包括密钥卡、多个用户端和量子通信服务站，不同量子通信服务站之间可以通过QKD方式共享站间量子密钥，用户端ID不公开、量子通信服务站对用户端ID通过秘密共享分成不同的秘密分量，分别存储在用户端密钥卡内和量子通信服务站中。
[0065] 量子通信服务站包括：
[0066] 量子服务中心，主要用于通过经典网络与用户侧的各用户端通信连接以及与其他量子通信服务站通信连接；经典网络包括但不限于电信网、互联网、广播电视网或者其他通信网络等。
[0067] 量子密钥分发设备，主要用于通过QKD方式实现站间量子密钥的共享。
[0068] 密钥颁发服务器，用于密钥卡颁发，是一台离线装置，由服务器管理员进行统一管理。
[0069] 真随机数发生器，用于接收用户侧密钥管理服务器提出的申请用户侧密钥的请求，生成用户侧密钥，并发送给用户侧密钥管理服务器；此处采用的为真随机数发生器。其优选为量子真随机数发生器，也可以为基于
电路的真随机数发生器、基于物理源的真随机数发生器以及其他种类的真随机发生器。
[0070] 用户侧密钥管理服务器，存放、管理从真随机数发生器生成的用户侧密钥，可以接入可移动式的量子密钥卡，实现发卡、登记、拷贝用户侧密钥，还可以接收量子服务中心提出的申请用户侧密钥请求，发送相应长度的用户侧密钥给量子服务中心。
[0071] 其中量子服务中心包括：身份认证服务器，票据许可服务器，还可根据需要设置其他服务器，例如数字签名服务器、签名验证服务器、加解密服务器等。
[0072] 身份认证服务器用于实现用户在接受消息认证、数字签名等服务前与量子通信服务站的相互身份认证。身份认证服务器内部具有加密卡，用于存储身份认证协议，包括密钥生成算法、认证函数、加密传输协议。
[0073] 票据许可服务器用于实现用户在获得与量子通信服务站的相互身份认证后，为用户分发其访问某一用户的申请的许可。
[0074] 各量子通信服务站下配置有用户端，如用户端1-用户端n，本
说明书中不同的服务器或其他装置在硬件上也可以根据需要进行整合。
[0075] 用户端为接入量子通信服务站的设备，可为移动终端，或为固定终端。当为移动终端时，量子密钥卡优选为量子SD卡；当为固定终端时，量子密钥卡优选为USBkey或主机加密板卡。
[0076] 当用户前往所在区域的量子通信服务站进行注册登记，获批后得到量子密钥卡(具有唯一的量子密钥卡ID)。量子密钥卡存储了用户注册登记信息，还内置有身份认证协议，至少包括密钥生成算法以及认证函数，或其他与身份认证相关的算法。
[0077] 网络侧的各个量子通信服务站也相应的存有认证协议，若协议中各算法存在两种以上，量子密钥卡在与量子通信服务站通信时会将算法标号发送给量子通信服务站，供量子通信服务站选取。
[0078] 量子密钥卡从
智能卡技术上发展而来，是结合了量子物理学技术、
密码学技术、智能卡技术的身份认证产品。量子密钥卡的内嵌芯片和芯片操作系统可以提供秘密信息的安全存储和密码算法等功能。由于其具有独立的
数据处理能力和良好的安全性，量子密钥卡成为秘密信息的安全载体。每一个量子密钥卡都有硬件PIN码保护，PIN码和硬件构成了用户使用量子密钥卡的两个必要因素。即所谓“双因子认证”，用户只有同时取得保存了相关认证信息的量子密钥卡和用户PIN码，才可以登录系统。即使用户的PIN码被泄露，只要用户持有的量子密钥卡不被盗取，合法用户的身份就不会被仿冒；如果用户的量子密钥卡遗失，拾到者由于不知道用户PIN码，也无法仿冒合法用户的身份。
[0079] 量子通信服务站(以下简称服务站)在密钥卡注册时，先由服务站选择椭圆曲线的域参数包含q，a，b，G和n。q代表有限域Fq的大小；变量a和b是椭圆曲线y2＝x3+ax+b的系数，3 2
这里4a+27b≠0；G是基点生成元。服务站生成椭圆曲线后，选择基点生成元G，满足它的阶是整数n。算法的相关参数{q，a，b，G，n}写入到密钥卡
指定区域。
[0080] 本
专利所用非对称算法为ID密码学。基于ID密码学的相关知识，服务站选取一个随机数作为系统管理私钥s，进一步生成系统管理公钥Ppub＝s*G。系统管理公钥Ppub存储在服务站的密钥颁发服务器的密钥卡中，密钥颁发服务器是服务器的一部分，由服务器管理员进行统一管理，而且为保证安全，是一台离线装置。系统管理公钥Ppub还通过QKD密钥加密发送给其他服务站成员，那些成员将得到的Ppub存储在己端的密钥卡高安全级别密码芯片内。
[0081] 用户端的身份为ID，公钥为PK，私钥为SK。其中，公钥PK＝H(ID)，私钥SK＝s*PK，其中s为系统管理私钥，H是HASH函数。
[0082] 量子通信服务站对用户ID进行(2，2)的秘密共享。在对信息m进行(t，n)的秘密共享时，n为m拆分共享秘密的碎片数，t为恢复m的最小碎片数，2≤t≤n。
[0083] 构造函数fID(x)＝ID+RAND*x。RAND为随机数，不同的ID，RAND也不同。
[0084] 服务站根据匹配的密钥卡生成随机数x1和x2。其中，x1与x2不能相等，如相等则进行更换。
[0085] 计算得到ID1＝fID(x1)＝ID+RAND*x1，ID2＝fID(x2)＝ID+RAND*x2
[0086] 计算得到两个秘密即秘密分量为(x1，ID1)，(x2，ID2)。凑齐2组秘密即可恢复ID，具体步骤如下：
[0087] 2组秘密求得拉格朗日参数 其中 求得
[0088] 计算用户端PK＝H(ID)。由于本专利的用户ID不公开，敌方无法得到PK。计算假身份ID即PID＝HASH(ID||ID1||ID2)，将PID、秘密分量(x1，ID1)以及用户的公私钥PK和SK存入用户密钥卡中，同时存入的还有匹配的服务站的身份。
[0089] 服务站存储有包括多组客户端信息的列表，每组客户端信息包括PID||x1||(x2，ID2)。
[0090] 实施例1，局域网内的两个用户端的密钥协商：
[0091] 本实施例中，用户端A、用户端B属于同一个量子通信服务站Q。流程图如图2所示。
[0092] 步骤1：A→B。
[0093] 用户端A获取当前时间戳timestampA，令x0A＝timestampA
[0094] 用户端A由匹配的密钥卡中读取x1A，计算x′1A＝HASH(x1A||x0A)，x′2A＝HASH(x0A||x1A)。
[0095] 将x1A、x′1A以及x′2A进行比较，如果任意二者相等，则当前timestampA不满足更换PID的条件，此时需要重新获得timestampA并进行更换，查看是否满足更换PID的条件。
[0096] 令NA＝timestampA。使用用户端A的私钥对NA、x′1A以及x′2A进行签名得到SIGN(NA||x′1A||x′2A，SKA)。SIGN(m，k)表示以m为消息、以k为密钥的基于ID密码学的签名，签名过程如下：
[0097] 以计算SIGN(m，k)为例。取随机数r，计算参数u＝r*PK。计算哈希值h＝H1(m，U)，H1是一个HASH函数。计算参数V＝(r+h)*SK。即SIGN(m，SK)＝(U，V)＝(r*PK，(r+h)*SK)。由于本专利ID不公开且敌方无法得到PK，因此敌方无法通过U和PK得到随机数r。由于签名的对象m无法被敌方所知，因此敌方无法通过m得到h；由于敌方无法得到r和h，因此敌方无法通过V＝(r+h)*SK得到SK。综上所述，公开的数字签名能抵抗敌方量子计算机对基于身份的公钥密码学的攻击。
[0098] 用户端A从密钥卡中读取PIDA和ID1A，与NA以及签名一起作为M1发送至客户端B，M1可表示为PIDA||ID1A||NA||SIGN(NA||x′1A||x′2A，SKA)。
[0099] 步骤2：B→Q。
[0100] 用户端B收到M1后，获取当前时间戳timestampB，令x0B＝timestampB。
[0101] 用户端B由匹配的密钥卡中读取x1B，计算x′1B＝HASH(x1B||x0B)，x′2B＝HASH(x0B||x1B)。
[0102] 将x1B、x′1B以及x′2B进行比较，如果任意二者相等，则当前timestampB不满足更换PID的条件，此时需要重新获得timestampB并进行更换，查看是否满足更换PID的条件。
[0103] 令NB＝timestampB。使用用户端B的私钥对M1、NB、x′1B以及x′2B进行签名得到SIGN(M1||NB||x′1B|x′2B，SKB)。
[0104] 用户端B从密钥卡中读取PIDB和ID1B，与M1、NB以及签名一起作为M2发送至服务站Q，M2可表示为M1||PIDB||ID1B||NB||SIGN(M1||NB||x′1B|x′2B，SKB)。
[0105] 步骤3：Q→B。
[0106] 服务站Q收到M2后，根据PIDA和PIDB搜索本地客户端信息列表中的PIDA和PIDB项，如找不到PIDA和PIDB，则认证失败，流程结束。
[0107] 找到PIDA和PIDB后，根据NA和NB判断与当前时间是否位于可允许误差范围内。
[0108] 判断通过后，根据(x1A，ID1A)和(x2A，ID2A)，按照上文所述方式恢复IDA和RANDA；根据(x1B，ID1B)和(x2B，ID2B)，按照上文所述方式恢复IDB和RANDB。
[0109] 计算x′1A＝HASH(x1A||x0A)，x′2A＝HASH(x0A||x1A)，进一步计算ID′1A＝IDA+RANDA*x′1A，ID′2A＝IDA+RANDA*x′2A。
[0110] 计算x′1B＝HASH(x1B||x0B)，x′2B＝HASH(x0B||x1B)，进一步计算ID′1B＝IDB+RANDB*x′1B，ID′2B＝IDB+RANDB*x′2B。
[0111] 计算PKA＝H(IDA)对M1中签名进行验证。具体原理可见参考文献：《An Identity-Based Signature from Gap Diffie-Hellman Groups》。
[0112] 签名验证成功则表明找到IDA，认证成功。
[0113] 对M2中签名进行验证。签名验证方式与上文相同。签名验证成功则表明找到IDB，认证成功。
[0114] 服务站Q生成会话密钥KAB。
[0115] 接下来服务站Q计算用户端A的新的假身份PID′A＝HASH(IDA||ID′1A||ID′2A)，将PIDA更新为PID′A，x1A更新为x′1A，(x2A，ID2A)更新为(x′2A，ID′2A)。计算用户端B的新的假身份为PID′B＝HASH(IDB||ID′1B||ID′2B)，将PIDB更新为PID′B，x1B更新为x′1B，(x2B，ID2B))更新为(x′2B，ID′2B)。因为ID没有存储于服务站
存储器，仅在执行身份认证流程时短暂存在于服务站内存中，因此单独对其进行断电拆解无法获取ID。
[0116] 令M3_0A＝PIDA||ID′2A，M3_1A＝x′1A||x′2A
[0117] 令M3_0B＝PIDB||ID′2B，M3_1B＝x′1B||x′2B
[0118] 服务站Q生成随机数密钥K3A对PIDA、NA、PIDB以及KAB进行加密，再根据PKA对K3A进行加密，组合成TICKETA可表示为{PIDA||NA||PIDB||KAB}K3A||ENC(K3A，PKA)}。其中，ENC(m，pk)表示以m为消息、以pk为公钥的基于ID密码学的加密，具体原理可见参考文献《Identity-Based Encryption from the Weil Pairing》。ENC(K3A，PKA)＝(QAU-H(IDA||IDQ||x1A)，QAV)，此处H(IDA||IDQ||x1A)为偏移量，效果相当于加密，用于抗量子计算。K3A用公钥PKA进行加密，只能用对应的私钥SKA进行解密，其他人无法读取。
[0119] 服务站Q生成随机数密钥K3B对PIDB、NB、PIDA以及KAB进行加密，再根据PKB＝H(IDB)得PKB，加密K3B组合成TICKETB＝{PIDB||NB||PIDA||KAB}K3B||ENC(K3B，PKB)}
[0120] ENC(K3B，PKB)＝(QBU-H(IDB||IDQ||x1B)，QBV)，此处H(IDB||IDQ||x1B)为偏移量，效果相当于加密，用于抗量子计算。K3B用公钥PKB进行加密，只能用对应的私钥SKB进行解密，其他人无法读取。
[0121] 使用M3_1A对M3_0A以及TICKETA计算消息认证码得到MAC(M3_0A||TICKETA，M3_1A)，MAC(m，k)表示以m为消息，以k为密钥的消息认证码。连同M3_0A和TICKETA一起组成M3A，可表示为M3A＝{M3_0A||TICKETA||MAC(M3_0A||TICKETA，M3_1A)}。
[0122] 使用M3_1B对M3_0B以及TICKETB计算消息认证码得到MAC(M3_0B||TICKETB，M3_1B，连同M3_0B和TICKETB一起组成M3B，M3B＝{M3_0B||TICKETB||MAC(M3_1B||TICKETB，M3_1B)}。
[0123] 将M3A和M3B作为M3发送到用户端B，可表示为M3＝M3A||M3B。
[0124] 步骤4：B→A。
[0125] 用户端B收到M3后，根据(x1B，ID1B)和(x′2B，ID′2B)，按照上文所述方式恢复IDB和RANDB。根据x′1B计算得到ID′1B＝IDB+RANDB*x′1B
[0126] 使用x′1B||x′2B′对M3B中消息认证码进行验证。验证成功则表明IDB已被服务站认可，认证成功。如验证失败，或没有收到确认消息，则认证失败。
[0127] 用户端B计算新的假身份PID′B＝HASH(IDB||ID′1B||ID′2B)，将PIDB更新为PID′B，(x1B，ID1B)更新为(x′1B，ID′1B)。因为ID没有存储于用户端密钥卡存储器，仅在执行身份认证流程时短暂存在于用户端密钥卡内存中，因此单独对其进行断电拆解无法获取ID。
[0128] 用户端B使用私钥SKB对TICKETB中ENC(K3B，PKB)进行解密，计算H(IDB||IDQ||x1B)，对QBU-H(IDB||IDQ||x1B)加上H(IDB||IDQ||x1B)恢复出(QBU，QBV)，进一步解密得到K3B。使用K3B对TICKETB进行解密得到会话密钥KAB。
[0129] 用户端B生成随机数NC，使用KAB加密NC，并对NA计算消息认证码得到MAC(NA，KAB)。将M3A、加密的NC以及该消息认证码一起作为M4发送至用户端A。M4可表示为M3A||{NC}KAB||MAC(NA，KAB)。
[0130] 步骤5：A→B。
[0131] 用户端A收到M4后，根据(x1A，ID1A)和(x′2A，ID′2A)，按照上文所述方式恢复IDA和RANDA。根据x′1A计算得到ID′1A＝IDA+RANDA*x′1A。
[0132] 使用x′1A||x′2A′对M3A中消息认证码进行验证。验证成功则表明IDA已被服务站认可，认证成功。如验证失败，或没有收到确认消息，则认证失败。
[0133] 用户端A计算新的假身份PID′A＝HASH(IDA||ID′1A||ID′2A)，将PIDA更新为PID′A，(x1A，ID1A)更新为(x′1A，ID′1A)。因为ID没有存储于用户端密钥卡存储器，仅在执行身份认证流程时短暂存在于用户端密钥卡内存中，因此单独对其进行断电拆解无法获取ID。
[0134] 用户端A使用私钥SKA对TICKETA中ENC(K3A，PKA)进行解密，计算H(IDA||IDQ||x1A)，对QAU-H(IDA||IDQ||x1A)加上H(IDA||IDQ||x1A)恢复出(QAU，QAV)，进一步解密得到K3A。使用K3A对TICKETA进行解密得到会话密钥KAB。
[0135] 用户端A使用KAB验证MAC(NA，KAB)，确认NA、KAB的一致性。至此，用户端A对用户端B认证通过，且确认协商密钥为KAB。
[0136] 用户端A对NC计算消息认证码得到MAC(NC，KAB)。将该消息认证码作为M5发送至用户端B。
[0137] 用户端B收到M5后，使用KAB验证MAC(NC，KAB)，确认NC、KAB的一致性。至此，用户端B对用户端A认证通过，且确认协商密钥为KAB。
[0138] 后续用户端A和用户端B进行安全通信，利用KAB进行消息加解密和消息认证。可将KAB拆分为KABE和KABA，分别作为消息加解密和消息认证密钥。
[0139] 实施例2，广域网内的两个用户端的密钥协商：
[0140] 如图3所示，本实施例中，用户端A、用户端B不属于同一个量子通信服务站。其中，用户端A归属于量子通信服务站QA，同理用户端B归属于量子通信服务站QB。
[0141] 步骤1：A→B。
[0142] 用户端A获取当前时间戳timestampA，令x0A＝timestampA
[0143] 用户端A由匹配的密钥卡中读取x1A，计算x′1A＝HASH(x1A||x0A)，x′2A＝HASH(x0A||x1A)。
[0144] 将x1A、x′1A以及x′2A进行比较，如果任意二者相等，则当前timestampA不满足更换PID的条件，此时需要重新获得timestampA并进行更换，查看是否满足更换PID的条件。
[0145] 令NA＝timestampA。使用用户端A的私钥对NA、x′1A以及x′2A进行签名得到SIGN(NA||x′1A||x′2A，SKA)。
[0146] 用户端A从密钥卡中读取PIDA和ID1A，与NA以及签名一起作为M1发送至客户端B，M1可表示为PIDA||ID1A||NA||SIGN(NA||x′1A||x′2A，SKA)。
[0147] 步骤2：B→QB。
[0148] 用户端B收到M1后，获取当前时间戳timestampB，令x0B＝timestampB。
[0149] 用户端B由匹配的密钥卡中读取x1B，计算x′1B＝HASH(x0B||x1B)，x′2B＝HASH(x0B||x1B)。
[0150] 将x1B、x′1B以及x′2B进行比较，如果任意二者相等，则当前timestampB不满足更换PID的条件，此时需要重新获得timestampB并进行更换，查看是否满足更换PID的条件。
[0151] 令NB＝timestampB。使用用户端B的私钥对M1、NB、x′1B以及x′2B进行签名得到SIGN(M1||NB||x′1B|x′2B，SKB)。
[0152] 用户端B从密钥卡中读取PIDB和ID1B，与M1、NB以及签名一起作为M2发送至服务站QB，M2可表示为M1||PIDB||ID1B||NB||SIGN(M1||NB||x′1B|x′2B，SKB)。
[0153] 步骤3：QB→QA。
[0154] 服务站QB收到M2后，根据PIDB搜索本地客户端信息列表中的PIDB项，如找不到PIDB，则认证失败，流程结束。
[0155] 找到PIDB后，根据NB判断与当前时间是否位于可允许误差范围内。
[0156] 判断通过后，根据(x1B，ID1B)和(x2B，ID2B)，按照上文所述方式恢复IDB和RANDB。
[0157] 计算x′1B＝HASH(x1B||x0B)，x′2B＝HASH(x0B||x1B)，进一步计算ID′1B＝IDB+RANDB*x′1B，ID′2B＝IDB+RANDB*x′2B。
[0158] 对M2中签名进行验证。签名验证方式与上文相同。签名验证成功则表明找到IDB，认证成功。
[0159] 量子通信服务站QB生成会话密钥KAB，与M1、PIDB一起作为M′3发送至量子通信服务站QA，M′3＝{M1||PIDB||KAB}通过QKD密钥KQ对M′3进行保护，即利用KQ进行消息加解密和消息认证。
[0160] 步骤4：QA→QB。
[0161] 服务站QA通过QKD密钥KQ解密得到M′3。
[0162] 服务站QA根据PIDA搜索本地客户端信息列表中的PIDA项，如找不到PIDA，则认证失败，流程结束。
[0163] 找到PIDA后，根据NA判断与当前时间是否位于可允许误差范围内。
[0164] 判断通过后，根据(x1A，ID1A)和(x2A，ID2A)，按照上文所述方式恢复IDA和RANDA。
[0165] 计算x′1A＝HASH(x1A||x0A)，x′2A＝HASH(x0A||x1A)，进一步计算ID′1A＝IDA+RANDA*x′1A，ID′2A＝IDA+RANDA*x′2A。
[0166] 对M1中签名进行验证。签名验证方式与上文相同。签名验证成功则表明找到IDA，认证成功。
[0167] 接下来服务站QA计算用户端A的新的假身份PID′A＝HASH(IDA||ID′1A||ID′2A)，将PIDA更新为PID′A，x1A更新为x′1A，(x2A，ID2A)更新为(x′2A，ID′2A)。因为ID没有存储于服务站存储器，仅在执行身份认证流程时短暂存在于服务站内存中，因此单独对其进行断电拆解无法获取ID。
[0168] 令M3A_0＝PIDA||ID′2A，M3A_1＝x′1A||x′2A。服务站QA生成随机数密钥K3A对PIDA、NA、PIDB以及KAB进行加密，再根据PKA＝H(IDA)得到PKA并对K3A进行加密，组合成TICKETA可表示为{PIDA||NA||PIDB||KAB}K3A||ENC(K3A，PKA)}。其中，ENC(m，pk)表示以m为消息、以pk为公钥的基于ID密码学的加密，ENC(K3A，PKA)＝(QAU-H(IDA||IDQA||x1A)，QAV)，此处H(IDA||IDQA||x1A)为偏移量，效果相当于加密，用于抗量子计算。K3A用公钥PKA进行加密，只能用对应的私钥SKA进行解密，其他人无法读取。
[0169] 使用M3A_0对M3A_1以及TICKETA计算消息认证码得到MAC(M3A_0||TICKETA，M3A_1)。连同M3A_0和TICKETA一起组成M3A并发送到量子通信服务站QB，可表示为M3A＝{M3A_0||TICKETA||MAC(M3A_0||TICKETA，M3A_1)}。通过QKD密钥KQ对M3A进行保护，即利用KQ进行消息加解密和消息认证。
[0170] 步骤5：QB→B。
[0171] 服务站QB收到M3A后，计算新的假身份PID′B＝HASH(IDB||ID′1B||ID′2B)，将PIDB更新为PID′B，x1B更新为x′1B，(x2B，ID2B)更新为(x′2B，ID′2B)。因为ID没有存储于服务站存储器，仅在执行身份认证流程时短暂存在于服务站内存中，因此单独对其进行断电拆解无法获取ID。
[0172] 令M3B_0＝PIDB||ID′2B，M3B_1＝x′1B||x′2B。服务站QB生成随机数密钥K3B对PIDB、NB、PIDA以及KAB进行加密，再根据PKB＝H(IDB)得到PKB并对K3B进行加密，组合成TICKETB可表示为{PIDB||NB||PIDA||KAB}K3B||ENC(K3B，PKB)}。ENC(K3B，PKB)＝(QBU-H(IDB||IDQB||x1B)，QBV)，此处H(IDB||IDQB||x1B)为偏移量，效果相当于加密，用于抗量子计算。K3B用公钥PKB进行加密，只能用对应的私钥SKB进行解密，其他人无法读取。
[0173] 服务站QB使用M3B_1对M3A、M3B_0以及TICKETB计算消息认证码得到MAC(M3A|||M3B_0||TICKETB，M3B_1)，同M3A、M3B_0和TICKETB组成M3B发送到量子通信服务站QB，M3＝{M3A|M3B_0||TICKETB||MAC(M3A|||M3B_0||TICKETB，M3B_1)}。
[0174] 步骤6：B→A。
[0175] 用户端B收到M3后，根据(x1B，ID1B)和(x′2B，ID′2B)，按照上文所述方式恢复IDB和RANDB。根据x′1B计算得到ID′1B＝IDB+RANDB*x′1B
[0176] 使用x′1B|x′2B’对M3中消息认证码进行验证。验证成功则表明IDB已被服务站认可，认证成功。如验证失败，或没有收到确认消息，则认证失败。
[0177] 用户端B计算新的假身份PID′B＝HASH(IDB||ID′1B|ID′2B)，将PIDB更新为PID′B，(x1B，ID1B)更新为(x′1B，ID′1B)。因为ID没有存储于用户端密钥卡存储器，仅在执行身份认证流程时短暂存在于用户端密钥卡内存中，因此单独对其进行断电拆解无法获取ID。
[0178] 用户端B使用私钥SKB对TICKETB中ENC(K3B，PKB)进行解密，计算H(IDB||IDQB||x1B)，对QBU-H(IDB||IDQB||x1B)加上H(IDB||IDQB||x1B)恢复出(QBU，QBV)，进一步解密得到K3B。使用K3B对TICKETB进行解密得到会话密钥KAB。
[0179] 用户端B生成随机数NC，使用KAB加密NC，并对NA计算消息认证码得到MAC(NA，KAB)。将M3A、加密的NC以及该消息认证码一起作为M4发送至用户端A。M4可表示为M3A||{NC}KAB|MAC(NA，KAB)。
[0180] 步骤7：A→B。
[0181] 用户端A收到M4后，根据(x1A，ID1A)和(x′2A，ID′2A)，按照上文所述方式恢复IDA和RANDA。根据x′1A计算得到ID′1A＝IDA+RANDA*x′1A
[0182] 使用x′1A|x′2A对M3A中消息认证码进行验证。验证成功则表明IDA已被服务站认可，认证成功。如验证失败，或没有收到确认消息，则认证失败。
[0183] 用户端A计算新的假身份PID′A＝HASH(IDA||ID′1A|ID′2A)，将PIDA更新为PID′A，(x1A，ID1A)更新为(x′1A，ID′1A)。因为ID没有存储于用户端密钥卡存储器，仅在执行身份认证流程时短暂存在于用户端密钥卡内存中，因此单独对其进行断电拆解无法获取ID。
[0184] 用户端A使用私钥SKA对TICKETA中ENC(K3A，PKA)进行解密，计算H(IDA||IDQA||x1A)，对QAU-H(IDA||IDQA||x1A)加上H(IDA||IDQA||x1A)恢复出(QAU，QAV)，进一步解密得到K3A。使用K3A对TICKETA进行解密得到会话密钥KAB。
[0185] 用户端A使用KAB验证MAC(NA，KAB)，确认NA、KAB的一致性。至此，用户端A对用户端B认证通过，且确认协商密钥为KAB。
[0186] 用户端A对NC计算消息认证码得到MAC(NC，KAB)。将该消息认证码作为M5发送至用户端B。
[0187] 用户端B收到M5后，使用KAB验证MAC(NC，KAB)，确认NC，、KAB的一致性。至此，用户端B对用户端A认证通过，且确认协商密钥为KAB。
[0188] 后续用户端A和用户端B进行安全通信，利用KAB进行消息加解密和消息认证。可将KAB拆分为KABE和KABA，分别作为消息加解密和消息认证密钥。
[0189] 以上所述实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。
[0190] 以上所述实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干
变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附
权利要求为准。
