[发明专利]一种基于群组密钥池的改进型Kerberos身份认证系统和方法

说明书

本发明公开了一种基于群组密钥池的改进型Kerberos身份认证系统和方法，进行身份认证时包括：步骤A、主动方群组中的其中一用户端依据预设的主动方通信范围向量子网络服务站申请TGT；步骤B、所述用户端依据获得的TGT以及预设的被动方通信范围向量子网络服务站申请相应的Ticket以及主动方会话密钥，并在主动方通信范围内共享所述Ticket以及主动方会话密钥；步骤C、主动方通信范围内的一用户端A向被动方通信范围内的一用户端B发送所述Ticket，所述Ticket中也包含有被动方会话密钥，使得用户端A和用户端B共享用于实施加密通信的会话密钥。

技术领域

本发明涉及量子通信技术领域，尤其涉及基于量子网络的身份认证系统。

背景技术

鉴权，即身份认证是实现信息安全的基本技术，系统通过审查用户的身份来确认该用户是否具有对某种资源的访问和使用权限，同样也可以进行系统与系统间的身份认证。

当前通信网络中身份认证系统普遍采用Kerberos认证方案。Kerberos是一种网络认证协议，其设计目标是通过密钥系统为客户机/服务器应用程序提供强大的认证服务。该认证过程的实现不依赖于主机操作系统的认证，无需基于主机地址的信任，不要求网络上所有主机的物理安全，并假定网络上传送的数据包可以被任意的读取、修改和插入数据。在以上情况下，Kerberos作为一种可信任的第三方认证服务，是通过传统的密码技术(如：共享密钥)执行认证服务的。

在Kerberos认证方案中，引入了时间戳timestamp来对重放攻击进行遏止，但是票据有生命周期，在其生命周期的有效时间内仍然可以使用。如果收到消息的时间是在规定允许的范围之内，那么就认为该消息具有新鲜性。但是，在得到许可证后的攻击者可以发送伪造的消息，这样的话，在允许的时间内是很难发现的。

攻击者有可能对加密设备进行攻击，或者利用恶意软件进行攻击，所以很多研究者把对Kerberos的改进放在对硬件设备的改进上。目前，适合在Kerberos系统的用户端使用的可信任硬件设备是智能卡。把智能卡集成到Kerberos系统中去，取得了很好的效果。

随着无线通信技术的不断发展，终端直接通信(Device to Device，D2D)已成为3GPP Rel-12标准化技术的热点之一。D2D允许两个用户设备(User Equipment，UE)通过特定的信道(Sidelink Channel)直接进行数据传输，而无需经过演进型基站设备(Evolutional Node B，eNB)。当然，D2D并不局限于两个用户设备之间的数据传输，还可以支持单点对多点的群组通信(Group Communication)。现有的网络认证体系大都是基于单个对象的一对一的认证方式，但是对于单点对多点的数据传输，会根据一定的原则形成群组。在这些应用场景下，当组内接入新的终端时，若采用现有的一对一的认证方式，不仅会增加网络信令，导致网络拥塞，且会占用大量网络资源，因此现有的一对一的网络认证体系不再适用。在这种情况下，为降低认证资源消耗，减少网络拥塞，需要相应的群组认证机制。现有的群组通信系统使用的密钥为传统密钥，传统密钥是由程序所产生的伪随机数，伪随机数都有特定的规律，相对来讲更容易被破译，量子密钥是根据量子特性所产生的真随机数，量子密钥的下一个比特是无法预知的，有效的克服了伪随机数的弊端。

公开号为CN106357649A，发明名称为“用户身份认证系统和方法”的专利文献，公开了一种对称密钥体制的身份认证方法。但是该发明中身份认证只能完成一对一的身份认证，而且其身份认证是单向的，存在较大的安全隐患。

现有技术存在的问题：

(1)现有基于量子密钥卡的身份认证技术只能完成一对一的身份认证，无法完成与群组的身份认证或群组间身份认证。

(2)现有技术中身份认证所传递的挑战信息一般是暴露的随机数，可能被攻击者对挑战和应答进行研究而破解出密钥。