[发明专利]一种广域量子密钥服务方法与系统

说明书

本发明提供了一种广域量子密钥服务方法与系统，其中，方法包括，响应用户请求，获取一个或多个虚拟链路参数和两个用户密钥关联参数，计算虚拟链路参数与两个用户密钥关联参数的异或值；其中系统包括一级服务装置、两个或多个二级服务装置，用于为广域QKD网络中任意两个服务节点之间或/和为广域QKD网络的用户之间提供端到端密钥服务。本发明基于QKD链路网络虚拟化实现量子密钥服务过程的互联网化，基于通用服务平台接口实现广域QKD网络的多领域共享，有效解决QKD网络的规模应用问题，是一种更安全高效的实时量子密钥服务技术，具有良好的应用前景。

技术领域

本发明涉及量子密钥分发网络与应用技术领域，尤其涉及一种广域量子密钥服务方法与系统。

背景技术

随着量子计算等高性能计算技术的快速发展，基于计算复杂度安全的密码算法和密钥协商协议面临越来越大的安全性挑战，在这种背景下，物理安全的量子密钥分发（quantum key distribution，QKD）得到了快速发展。但是，QKD网络是业务系统之外相对独立的网络基础设施，QKD网络的复杂度和成本都远远超过传统的密钥分发手段和密码应用系统，因此，很难直接把QKD网络集成到基于互联网体系的业务系统。另外，不同企业和用户建设的QKD网络之间缺少统一的标准接口，不同QKD网络之间的互联互通和资源共享面临挑战。因此，构建广域QKD网络的统一应用服务平台对QKD网络的规模应用具有重要应用价值。

发明内容

为了解决背景技术中的量子密钥服务所存在的问题，本发明提供了一种广域量子密钥服务方法，包括：广域量子密钥服务系统响应用户的服务请求，判断两个目标用户获取预置密钥的服务节点是否归属于同一个局域QKD网络，如果是，则，广域量子密钥服务系统把用户的服务请求转给相应的局域量子密钥服务系统，局域量子密钥服务系统获取一个或多个局域虚拟链路参数，并向一个或多个局域虚拟链路参数所关联的服务节点发送服务指令并获取相应的用户密钥关联参数，计算一个或多个局域虚拟链路参数与两个用户密钥关联参数的异或值，并把该异或值分别发送给两个目标用户或通过广域量子密钥服务系统分别发送给两个目标用户；否则，广域量子密钥服务系统获取一个或多个跨域虚拟链路参数，并向一个或多个跨域虚拟链路参数所关联的服务节点发送服务指令并获取相应的用户密钥关联参数，计算一个或多个跨域虚拟链路参数与两个用户密钥关联参数的异或值，并把该异或值分别发送给两个目标用户；其中，虚拟链路参数是两个服务节点的量子密钥的异或值或共享量子密钥（通常情况下，服务节点存储与一个或多个虚拟链路切片关联的量子密钥，而不存储端到端的共享量子密钥；如果两个服务节点已经共享端到端的共享量子密钥的情况，也可以采用该量子密钥作为虚拟链路参数），用户密钥关联参数是与一个或多个虚拟链路参数关联的服务节点的一个或多个量子密钥与一个用户密钥的异或值。

进一步地，上述方法还包括：广域量子密钥服务系统与用户之间进行身份认证，量子密钥服务系统与服务节点之间进行身份认证；其中，身份认证包括以下方法中的任一个：采用预置随机数的方法；采用CA证书与预置随机数相结合的方法；采用抗量子计算的身份认证算法；采用抗量子计算的身份认证算法与预置随机数相结合的方法。

本发明还提供了一种广域量子密钥服务系统，包括至少一个一级服务装置、两个或多个二级服务装置；一级服务装置包括存储单元和数据处理单元，存储单元用于存储程序和指令或用于存储跨域虚拟链路参数、程序和指令，数据处理单元用于通过调用上述存储单元中存储的程序和指令，响应用户的服务请求，为广域QKD网络中任意两个服务节点之间或/和为广域QKD网络的用户之间提供端到端密钥服务；二级服务装置包括存储单元和数据处理单元，存储单元用于存储程序和指令或用于存储局域虚拟链路参数、程序和指令，数据处理单元用于通过调用上述存储单元中存储的程序和指令，响应一级服务装置的服务请求，获取一个或多个局域虚拟链路参数，并向局域虚拟链路参数所关联的服务节点发送服务指令并获取相应的用户密钥关联参数，计算局域虚拟链路参数与两个用户密钥关联参数的异或值，并把该异或值分别发送给两个目标用户或通过广域量子密钥服务系统分别发送给两个目标用户。