[發明專利]一種基于量子密鑰分發的無線局域網安全通信方法

在審

• 申請號: 201310226205.7
• 申請日: 2013-06-07
• 公開（公告）號: CN103338448A
• 公開（公告）日: 2013-10-02
• 發明（設計）人: 雷煜卿;周靜;陳希
• 申請（專利權）人: 國家電網公司;中國電力科學研究院;北京市電力公司
• 主分類號: H04W12/04
• 分類號: H04W12/04;H04W12/06;H04L9/08
• 代理公司: 北京安博達知識產權代理有限公司 11271
• 代理人: 徐國文

1.一種基于量子密鑰分發的無線局域網安全通信方法，其特征在于，所述方法包括以下步驟：

(1)進行基于量子密鑰的身份認證；

(2)進行量子密鑰協商；

(3)開始加密。

2.如權利要求1所述的安全通信方法，其特征在于：所述方法包括生成組密鑰GTK以進行所述加密。

3.如權利要求1所述的安全通信方法，其特征在于，所述身份認證包括如下步驟：（1.1）申請者通過無線接入點AP實現和認證服務器AS之間的雙向認證；（1.2）申請者和無線接入點AP之間通過交換信息確立量子成對主密鑰PMK。

4.如權利要求3所述的安全通信方法，其特征在于，所述確立量子成對主密鑰包括以下步驟：

（1.2.1）檢測申請者和無線接入點AP之間是否存在共享的量子密鑰庫；若不存在則進行量子密鑰分發，生成共享的量子密鑰庫；若存在則執行步驟（1.2.2）；

（1.2.2）申請者和無線接入點AP交換各自生成的隨機數，并根據所述隨機數計算密鑰庫中指針的指向，確定雙方共享的成對主密鑰PMK；

（1.2.3）無線接入點AP產生隨機數randomB并發給申請者，申請者產生隨機數randomA，并利用偽隨機函數PRF對randomA、randomB、申請者的MAC地址、無線接入點AP的MAC地址和所述成對主密鑰PMK進行計算得到申請者的密鑰確認密鑰KCK；

（1.2.4）申請者將自己的KCK和所述PMK經Hmac算法得到自己的消息完整性認證碼MIC，并將該MIC和randomA發送給無線接入點AP；

（1.2.5）無線接入點AP利用偽隨機函數PRF將randomA、randomB、申請者的MAC地址、無線接入點AP的MAC地址和所述PMK進行計算得到無線接入點AP的密鑰確認密鑰KCK；（1.2.6）無線接入點AP將自己的KCK和所述PMK經Hmac算法得到自己的消息完整性認證碼MIC；

（1.2.7）無線接入點AP將自己的MIC和申請者的MIC進行比較，若一致，則身份認證成功；若不一致，則終止身份認證。

5.如權利要求1所述的安全通信方法，其特征在于，所述量子密鑰協商包括如下步驟：（2.1）無線接入點AP和申請者交換量子密鑰協商的控制消息；（2.2）雙方根據BB84協議產生量子密鑰；（2.3）雙方得到共享的量子分段傳輸密鑰Q-PTK，進一步將Q-PTK分解為密鑰加密密鑰KEK和臨時密鑰TK。

6.如權利要求2或5所述的安全通信方法，其特征在于，所述密鑰加密密鑰KEK加密所述組密鑰GTK，所述臨時密鑰TK加密申請者和無線接入點AP之間的通信數據；無線接入點AP分配由KEK加密的所述組密鑰GTK以實現加密過程。

7.如權利要求5所述的安全通信方法，其特征在于，所述根據BB84協議產生量子密鑰包括以下步驟：

（2.3.1）申請者向無線接入點AP發送極化光子，并于所述光子極化態上加載信息；

（2.3.2）無線接入點AP接收所述光子并解碼以提取所述信息；

（2.3.3）無線接入點AP向申請者發送第1條消息，公布其在步驟（2.3.2）的光子接收中所使用的基；

（2.3.4）申請者根據該第1條消息，比對無線接入點AP公布的基與其發送極化光子所選用的基，并將比對一致的基通過第2條消息返回給無線接入點AP；

（2.3.5）無線接入點AP選取測試基，并發送第3條消息向申請者公布該測試值；

（2.3.6）申請者將收到的測試值與其在步驟（2.3.1）中發送的所述極化光子的原始值進行比較，并發送第4條消息向無線接入點AP確認所述測試值；

（2.3.7）用下式估算錯誤率：

式中，p為測試用的總比特數；若錯誤率Er低于閾值Emax，則沒有竊聽存在，該步驟完成；否則存在竊聽，丟棄全部光子信息，終止量子握手；

所述第1-4條消息均包括：基于該條消息內容和根據申請者與無線接入點AP預共享的密鑰所計算出的消息完整性認證碼MIC。

8.如權利要求3所述的安全通信方法，其特征在于，所述雙向認證包括以下步驟：

（1.1.1）所述申請者通過客戶端發起連接請求；

（1.1.2）無線接入點AP收到請求認證，回應一個請求幀要求傳輸用戶名；

（1.1.3）客戶端響應無線接入點AP發出的請求，無線接入點AP收到信息后傳給認證服務器AS進行處理；

（1.1.4）認證服務器AS將收到的信息與數據庫中用戶名信息進行比對，找到該用戶名對應的口令信息，用隨機生成的加密字對其進行加密處理，同時將該加密字傳給無線接入點AP，并通過無線接入點AP傳給客戶端；

（1.1.5）客戶端收到無線接入點AP轉傳來的加密字后，用該加密字對口令信息進行加密處理，并通過無線接入點AP轉發給認證服務器AS；

（1.1.6）認證服務器AS將送上來的加密后的口令信息和之前自身加密運算后的口令信息進行對比；如果相同，則認為該用戶為合法用戶，發出認證通過信息，并向無線接入點AP發出打開控制端口的命令，允許申請者的業務流通過端口訪問網絡；否則，保持無線接入點AP的端口關閉，只允許認證信息數據流通過而不允許業務數據流通過；

（1.1.7）認證成功后，認證服務器AS向無線接入點AP發送信息確認認證成功，完成認證，并執行所述步驟（1.2）。