[发明专利]基于量子通信网络与真随机数的多次身份认证系统和方法

说明书

本发明公开了一种基于量子通信网络与真随机数的多次身份认证系统即方法，用户端A向用户端B申请并获得ticket时，用户端A与用户端B之间实施第一次双向认证；用户端A利用所述ticket访问用户端B时，用户端A与用户端B之间实施第二次双向认证；各用户端分别配置有量子密钥卡，用于生成真随机数作为双向认证标识，实施双向认证时通过用户端A与用户端B之间的会话密钥加密传输所述双向认证标识；所述会话密钥由用户端B与量子网络服务站同步生成，量子网络服务站还以密文方式经由用户端B将会话密钥分发给用户端A。本发明身份认证系统，其基于量子通信网络与真随机数的实施多次认证，进一步提高了安全性。

技术领域

本发明涉及量子通信技术领域，尤其涉及基于量子网络服务站的身份认证的系统和方法。

背景技术

身份认证是实现信息安全的基本技术，系统通过审查用户的身份来确认该用户是否具有对某种资源的访问和使用权限，同样也可以进行系统与系统间的身份认证。

当前通信网络中身份认证系统普遍采用Kerberos认证方案。Kerberos是一种网络认证协议，其设计目标是通过密钥系统为用户机/服务器应用程序提供强大的认证服务。该认证过程的实现不依赖于主机操作系统的认证，无需基于主机地址的信任，不要求网络上所有主机的物理安全，并假定网络上传送的数据包可以被任意的读取、修改和插入数据。在以上情况下，Kerberos作为一种可信任的第三方认证服务，是通过传统的密码技术(如：共享密钥)执行认证服务的。

在Kerberos认证方案中，引入了时间戳timestamp来对重放攻击进行遏止，但是票据有生命周期，在其生命周期的有效时间内仍然可以使用。如果收到消息的时间是在规定允许的范围之内，那么就认为该消息具有新鲜性。但是，在得到许可证后的攻击者可以发送伪造的消息，这样的话，在允许的时间内是很难发现的。

现有技术存在的问题：

(1)现有身份认证技术基于Kerberos认证方案对时间戳的使用导致有出现重放攻击的可能。

(2)Kerberos协议要求是基于网络中时钟同步，对整个系统时间同步要求高，在大型分布式系统中难以实现。

(3)现有技术中服务器要分别向两个用户端分发会话密钥，存在一定的安全隐患。

(4)现有技术中，用户端密钥存储于用户端存储器中，可以被恶意软件或恶意操作窃取。

(5)现有技术中由服务器配发ticket，在二次身份认证和更新ticket时压力较大。

发明内容

本发明提供一种身份认证系统，其基于量子通信网络与真随机数实施多次认证，进一步提高了安全性，另外改进了ticket的生成和更新方式，降低了服务器的压力。

一种基于量子通信网络与真随机数的多次身份认证系统，包括用户端A，用户端B以及量子网络服务站，其中用户端A向用户端B申请并获得ticket时，用户端A与用户端B之间实施第一次双向认证；用户端A利用所述ticket访问用户端B时，用户端A与用户端B之间实施第二次双向认证；

各用户端分别配置有量子密钥卡，用于生成真随机数作为双向认证标识，实施双向认证时通过用户端A与用户端B之间的会话密钥加密传输所述双向认证标识；所述会话密钥由用户端B与量子网络服务站同步生成，量子网络服务站还以密文方式经由用户端B将会话密钥分发给用户端A。

本发明所述的第一次双向认证以及第二次双向认证仅仅是相对概念，以便于区别和描述，并不理解为绝对次数和顺序，在通信时可根据需要设置其它双向认证环节。

通过第一次双向认证后意味着ticket的成功分发，而通过第二次双向认证意味着ticket的成功使用。

本发明所述的用户端A与用户端B仅仅是便于区别和描述，A、B并不对用户端本身作出额外限定。