[发明专利]基于一次性非对称密钥对和密钥卡的外网接入身份认证方法和系统

摘要

本申请涉及一种基于一次性非对称密钥对和密钥卡的外网接入身份认证方法和系统，本发明中，使用的密钥卡是独立的硬件隔离设备。公钥、私钥和其他相关参数均存储在密钥卡中的数据安全区，被恶意软件或恶意操作窃取密钥的可能性大大降低，也不会被量子计算机获取并破解。由于在经典网络中均无涉及公私钥及算法参数的传递，因此非对称密钥被破解的风险很低，所以消息的安全性得到极大的保障。密钥卡保障了通信双方在群组中的通信安全，也极大的提高了身份认证的安全性，从而实现了抗量子计算的外网接入系统。

主权项

1.基于一次性非对称密钥对和密钥卡的外网接入身份认证方法，其特征在于，所述外网接入身份认证方法包括：/n客户端利用自身存储的一次性公钥PKQA和客户端私钥根据DH算法生成第一密钥KA，生成第一随机参数x并根据第一随机参数x生成客户端临时公钥X，利用客户端私钥和客户端临时公钥X生成第一签名，生成第一消息并发送给服务站，所述第一消息包括客户端设备参数以及利用第一密钥KA加密的第一签名和客户端临时公钥X；/n服务站存储有新一次性私钥和旧一次性私钥，获取、解密所述第一消息后，利用新一次性私钥和客户端公钥生成所述第一密钥KA，解密并验证所述第一签名；验证失败后，利用旧一次性私钥和和客户端公钥生成所述第一密钥KA；解密并验证所述第一签名；验证通过后生成第二随机参数y并根据第二随机参数y生成服务站临时公钥Y，利用所述第二随机参数y和客户端临时公钥X生成第二密钥KS，生成一次性私钥SKQA’和一次性公钥PKQA'，利用服务站临时公钥Y和旧一次性私钥生成第二签名，将一次性私钥SKQA’存储为新一次性私钥；生成第二消息，所述第二消息的至少一部分由所述第二密钥KS加密，向所述客户端发送所述第二消息；/n客户端获取、解密所述第二消息后，验证所述第二签名，计算得到第二密钥KS，通过验证所述第二消息的内容后确认第二密钥KS为会话密钥；将所述第二消息内的PKQA’存储为一次性公钥PKQA；向所述服务站发送利用第二密钥KS加密的第三消息；/n所述服务站获取、解密所述第三消息后，确认第二密钥KS为为会话密钥。/n