[發(fā)明專(zhuān)利]一種電網(wǎng)SSL VPN中密鑰更新和使用的方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201310373510.9
• 申請(qǐng)日: 2013-08-23
• 公開(kāi)（公告）號(hào): CN103490891A
• 公開(kāi)（公告）日: 2014-01-01
• 發(fā)明（設(shè)計(jì)）人: 王雙;周靜;劉東;陳巍;銀振強(qiáng);黃靖正;周政;陳希;雷煜卿;韓正甫;郭光燦
• 申請(qǐng)（專(zhuān)利權(quán)）人: 中國(guó)科學(xué)技術(shù)大學(xué);中國(guó)電力科學(xué)研究院;國(guó)網(wǎng)北京市電力公司
• 主分類(lèi)號(hào): H04L9/32
• 分類(lèi)號(hào): H04L9/32;H04L9/08;H04L29/06
• 代理公司: 北京科迪生專(zhuān)利代理有限責(zé)任公司 11251
• 代理人: 楊學(xué)明

1.一種電網(wǎng)SSL?VPN中密鑰更新和使用的方法，其特征在于，該方法需要兩個(gè)網(wǎng)絡(luò)，一個(gè)是量子密鑰分配網(wǎng)絡(luò)，一個(gè)是電力系統(tǒng)調(diào)度網(wǎng)絡(luò)；

其中，量子密鑰分配網(wǎng)絡(luò)用來(lái)實(shí)現(xiàn)密鑰的安全分配，實(shí)現(xiàn)密鑰分配使用BB84、B92、E91單光子協(xié)議或者連續(xù)變量協(xié)議，實(shí)現(xiàn)端到端的密鑰分發(fā)功能，至少需要通信雙方各有一個(gè)量子密鑰分配終端，并共享一條量子信道和一條經(jīng)典信道，為了實(shí)現(xiàn)網(wǎng)絡(luò)功能，需要使用到可信中繼、量子路由器、交換機(jī)設(shè)備來(lái)實(shí)現(xiàn)不同地域節(jié)點(diǎn)之間通信路徑的選擇，根據(jù)量子信道的實(shí)現(xiàn)方式的不同，量子密鑰分配網(wǎng)絡(luò)分為基于光纖的量子網(wǎng)絡(luò)和基于自由空間的量子網(wǎng)絡(luò)；

其中，電力系統(tǒng)調(diào)度網(wǎng)絡(luò)是用來(lái)實(shí)現(xiàn)電力系統(tǒng)安全數(shù)據(jù)傳輸和承載調(diào)度命令的經(jīng)典網(wǎng)絡(luò)，它是根據(jù)需要在一定區(qū)域內(nèi)基站間建立的專(zhuān)用局域網(wǎng)絡(luò)，考慮到不同的基站子網(wǎng)之間的消息互通性和安全性，使用了虛擬專(zhuān)用網(wǎng)技術(shù)來(lái)將不同局域網(wǎng)絡(luò)連接起來(lái)，組建成電力系統(tǒng)調(diào)度網(wǎng)絡(luò)使用，同時(shí)由于電力系統(tǒng)調(diào)度網(wǎng)絡(luò)中任務(wù)繁多，為了實(shí)現(xiàn)不同任務(wù)之間的有效隔離，實(shí)現(xiàn)任務(wù)分區(qū)和分級(jí)管理，針對(duì)不同的任務(wù)建立了不同的虛擬專(zhuān)用隧道，這里的電力系統(tǒng)調(diào)度網(wǎng)絡(luò)的組建至少需要兩個(gè)局域網(wǎng)，每個(gè)局域網(wǎng)中至少需要一個(gè)虛擬專(zhuān)用網(wǎng)服務(wù)器、多臺(tái)主機(jī)、網(wǎng)線(xiàn)和多臺(tái)任務(wù)服務(wù)器，為了組建覆蓋面更廣的網(wǎng)絡(luò)，需要將所有的基站-基站之間、基站-主站之間都連接起來(lái)，實(shí)現(xiàn)全網(wǎng)的安全通信；

為了在電力系統(tǒng)調(diào)度網(wǎng)絡(luò)中使用量子密鑰分配網(wǎng)絡(luò)中的量子密鑰，需要將兩網(wǎng)進(jìn)行有效地結(jié)合，在融合后的網(wǎng)絡(luò)中至少包含幾個(gè)必備的組成部分：量子密鑰分配網(wǎng)絡(luò)、量子密鑰服務(wù)器、公網(wǎng)、SSL?VPN服務(wù)器和客戶(hù)端、調(diào)度任務(wù)服務(wù)器和項(xiàng)目服務(wù)器等其他數(shù)據(jù)庫(kù)服務(wù)器；

所述量子密鑰分配網(wǎng)絡(luò)，是指用于傳遞分配量子密鑰的專(zhuān)用網(wǎng)絡(luò)，其傳輸通道是光纖信道或者自由空間信道，隨著距離的增加和網(wǎng)絡(luò)規(guī)模的擴(kuò)大，這里還應(yīng)該包含為延長(zhǎng)距離而采用的可信中繼和量子中繼，為節(jié)約資源和增加靈活性而使用到量子路由器、交換機(jī)設(shè)備；

所述量子密鑰服務(wù)器，是指使用量子密鑰的節(jié)點(diǎn)為接入量子密鑰分配網(wǎng)絡(luò)獲取安全密鑰的設(shè)備，集成了從量子密鑰分配網(wǎng)絡(luò)中獲取量子密鑰的終端模塊，以及密鑰存儲(chǔ)單元，量子密鑰實(shí)時(shí)地直接提供給應(yīng)用服務(wù)器，或者暫時(shí)存儲(chǔ)在服務(wù)器的存儲(chǔ)單元中，待需要使用時(shí)，再?gòu)拇鎯?chǔ)單元中調(diào)出，實(shí)現(xiàn)對(duì)突發(fā)應(yīng)用數(shù)據(jù)的處理；

所述SSL?VPN服務(wù)器和客戶(hù)端，用于實(shí)現(xiàn)電力系統(tǒng)調(diào)度網(wǎng)絡(luò)中虛擬隧道的建立和控制，管理VPN所需的加密算法、密鑰協(xié)商和提取過(guò)程，在用戶(hù)登錄時(shí)實(shí)現(xiàn)用戶(hù)身份的驗(yàn)證，然后需要在傳輸數(shù)據(jù)的兩端建立起虛擬專(zhuān)用鏈接，根據(jù)傳輸信息的需要，量子密鑰服務(wù)器協(xié)商密鑰的大小，以及調(diào)度策略，待密鑰讀取進(jìn)入服務(wù)器后對(duì)傳輸或接收的數(shù)據(jù)進(jìn)行加解密處理；

所述其他數(shù)據(jù)庫(kù)服務(wù)器，用于實(shí)現(xiàn)具體任務(wù)所需的數(shù)據(jù)庫(kù)，將不同的任務(wù)分區(qū)處理，這些服務(wù)器主要用于分類(lèi)存放相應(yīng)的數(shù)據(jù)信息，在處理不同的業(yè)務(wù)時(shí)，需要從指定的服務(wù)器上讀取或者寫(xiě)入數(shù)據(jù)；

通過(guò)實(shí)現(xiàn)量子密鑰在電力系統(tǒng)調(diào)度網(wǎng)絡(luò)中的使用，最大限度地保障電力數(shù)據(jù)傳輸?shù)耐暾院蜋C(jī)密性，其主要實(shí)現(xiàn)方法包含以下過(guò)程：

A.消息協(xié)商過(guò)程：

將量子密鑰分配網(wǎng)絡(luò)得到量子密鑰用在電力系統(tǒng)調(diào)度網(wǎng)絡(luò)有三種形式，分別是將量子密鑰用來(lái)替代SSL協(xié)議建立過(guò)程中的認(rèn)證密鑰、預(yù)主密鑰或主密鑰、會(huì)話(huà)密鑰，因此在連接建立之后，通信雙方需要協(xié)商好從量子密鑰服務(wù)器得到密鑰的具體用途，也就是需要指明是用來(lái)替換認(rèn)證密鑰，還是替換預(yù)主密鑰或主密鑰，抑或是替換會(huì)話(huà)密鑰的，也可能三者中的兩者或者三者全部替換，當(dāng)量子密鑰被用來(lái)替換會(huì)話(huà)密鑰時(shí)，需要進(jìn)一步協(xié)商在同一個(gè)會(huì)話(huà)之間量子密鑰更新的頻率，為了進(jìn)一步實(shí)現(xiàn)信息論無(wú)條件的安全性需求，需在加密算法集合中引入“一次一密”算法，擴(kuò)大加密算法的選擇性，因此還需要協(xié)商是否使用“一次一密”算法信息；

B.量子密鑰分配過(guò)程：

使用量子密鑰服務(wù)器在通信雙方或者多方之間建立共享的量子密鑰，如果不使用存儲(chǔ)技術(shù)，那么每次啟動(dòng)量子密鑰分配過(guò)程時(shí)，都需要實(shí)時(shí)的進(jìn)行密鑰分配處理，等到密鑰量到達(dá)上層協(xié)議所需要求時(shí)再停止，若是使用了存儲(chǔ)技術(shù)，那么在每次啟動(dòng)量子密鑰分配過(guò)程時(shí)，需先檢驗(yàn)存儲(chǔ)器中的密鑰量是否滿(mǎn)足任務(wù)的需要，若是滿(mǎn)足需要，則直接調(diào)用存儲(chǔ)器中的密鑰，否則需要開(kāi)始密鑰分配過(guò)程，量子密鑰分配過(guò)程，對(duì)是否使用存儲(chǔ)器不作要求，對(duì)于沒(méi)有存儲(chǔ)器時(shí)的情況相當(dāng)于存儲(chǔ)器中存儲(chǔ)量恒等于零；

C.電網(wǎng)SSL?VPN服務(wù)器和客戶(hù)端調(diào)用量子密鑰過(guò)程：

在建立隧道后，當(dāng)上層任務(wù)信息到達(dá)后，SSL?VPN服務(wù)器和客戶(hù)端分別需要向量子密鑰服務(wù)器請(qǐng)求所需的密鑰量，當(dāng)量子密鑰服務(wù)器中現(xiàn)有的密鑰量能滿(mǎn)足請(qǐng)求所需，則直接向SSLVPN服務(wù)器和客戶(hù)端傳輸密鑰，否則需要等待，直到量子密鑰量達(dá)到請(qǐng)求所需的密鑰量；

D.密鑰替代過(guò)程，使用量子密鑰替代SSL協(xié)議中相應(yīng)的密鑰：

當(dāng)隧道建立之后，SSL?VPN服務(wù)器和客戶(hù)端也已經(jīng)從量子密鑰服務(wù)器處提取出所需的量子密鑰，這時(shí)需要根據(jù)具體的需求將提出的量子密鑰替代掉原始SSL協(xié)議中相應(yīng)的密鑰。