[发明专利]加密方法、解密方法及装置

说明书

本申请公开了加密方法、解密方法及装置，其中加密方法包括：获取需发送给第一目标设备的非密钥数据；向密码卡输入所述需发送给第一目标设备的非密钥数据；控制密码卡进行第一加密操作，第一加密操作为仅对非密钥数据加密；在需发送给第一目标设备会话密钥的情况下，控制密码卡进行第二加密操作，第二加密操作为仅对会话密钥加密。通过本申请实施例，KDC、终端与服务端之间传输的数据都为非密钥数据，即使KDC、终端与服务端中任意设备的操作系统被攻破，攻击者都不可能通过控制操作系统获取密钥。

技术领域

本申请涉及量子通信领域，特别是涉及加密方法、解密方法及装置。

背景技术

在量子通信网络中，两个设备进行数据通信前均需要进行认证。一种可能的应用场景为当终端需要向服务端申请资源或服务时，终端与服务端需要进行认证。终端与服务端为非对等实体，服务端提供服务而终端使用服务。终端主动发起认证过程，服务端等待终端的连接并对终端进行合法性验证。量子通信网络中设备的认证需要采用对称密码技术，由于Kerberos协议使用对称密码技术进行认证，因此，Kerberos协议特别适用于量子通信网络的设备认证。其中，Kerberos协议是一种网络身份认证协议，是一种基于可信任第三方(密钥分发中心(Key Distribution Center，KDC))的使用对称密码技术的认证协议。目前，已经广泛用于经典网络较为成熟的身份认证协议。

KDC包括认证服务(Authentication Service，AS)和票据授权服务(TicketGranting Service，TGS)，其中，AS用于接收终端的认证信息，并依据所接收的认证信息对终端进行认证；TGS用于对终端进行合法性校验。终端与服务端按照Kerberos协议进行身份验证的过程包括：AS接收终端的认证信息，并依据所接收的认证信息对终端进行认证，若AS对终端的认证通过，向终端发放票据授权票据(Ticket Granting Ticket，TGT)，以便终端利用TGT向TGS申请服务票据(Service Ticket，ST)；若TGS向终端发放ST，表明TGS认证终端的身份是合法的，ST是终端访问服务端的凭证；接着，终端与服务端间进行身份认证。

但是，在上述终端与服务端认证的过程中，KDC、终端与服务端的内存、CPU中出现认证密钥和会话密钥中的部分或全部。当KDC、终端与服务端的操作系统被攻击者攻破，即攻击者获取了操作系统的控制权，此时，攻击者可以通过控制操作系统获取到认证密钥和/或会话密钥。

发明内容

基于此，本申请提出了一种加密方法，用以即使KDC、终端与服务端的操作系统被攻击者攻破，攻击者通过控制KDC、终端与服务端的操作系统也无法获取到认证密钥与会话密钥。

本申请还提供了一种加密装置，用以保证上述方法在实际中的实现及应用。

本申请提供的技术方案为：

本申请公开了一种加密方法，应用于第一设备，所述第一设备中预置有密码卡，所述方法包括：

获取需发送给第一目标设备的非密钥数据；

向所述密码卡输入所述需发送给第一目标设备的非密钥数据；

控制所述密码卡进行第一加密操作，所述第一加密操作为仅对所述非密钥数据加密；

在需发送给所述第一目标设备会话密钥的情况下，控制所述密码卡进行第二加密操作，所述第二加密操作为仅对所述会话密钥加密。

其中，所述第一设备为KDC；

在所述控制所述密码卡进行第二加密操作之前，还包括：

控制所述密码卡生成所述需发送给所述第一目标设备的会话密钥。

其中，所述密码卡中预置有与终端共享的第一认证密钥、与服务端共享的第二认证密钥、以及独有的第三认证密钥；