[發明專利]基于群組密鑰池和改進Kerberos的User-to-User身份認證系統和方法

有效

• 申請號: 201810688658.4
• 申請日: 2018-06-28
• 公開（公告）號: CN108964895B
• 公開（公告）日: 2021-04-06
• 發明（設計）人: 富堯;鐘一民
• 申請（專利權）人: 如般量子科技有限公司
• 主分類號: H04L9/08
• 分類號: H04L9/08;H04L9/32
• 代理公司: 杭州君度專利代理事務所(特殊普通合伙) 33240
• 代理人: 解明鎧;劉靜靜

1.一種基于群組密鑰池和改進Kerberos的User-to-User身份認證系統，其特征在于，包括量子網絡服務站，以及分別包括多個用戶端的主動方群組和被動方群組，主動方群組以及被動方群組的所有用戶端分別配置有量子密鑰卡；

各用戶端的量子密鑰卡各自獨立的與量子網絡服務站共享私有的對稱密鑰池；

同一群組中所有用戶端的量子密鑰卡與量子網絡服務站共享與所在群組相應的群組密鑰池；

進行身份認證時包括：

步驟A、主動方群組中的一用戶端依據預設的主動方通信范圍向量子網絡服務站申請許可票據TGT_(A)；

用戶端申請許可票據TGT_(A)時，采用加密的真隨機數N1作為與量子網絡服務站之間的身份認證數據，真隨機數N1采用傳輸密鑰進行加密，該傳輸密鑰由所述用戶端利用匹配的量子密鑰卡生成，且將生成傳輸密鑰的信息通知量子網絡服務站；

量子網絡服務站利用相應的方式生成真隨機數N1’并與真隨機數N1進行對比認證；

所述身份認證數據還包括用于生成真隨機數N1的真隨機數R_N1；所述真隨機數N1的生成方式為步驟A中主動方群組中的用戶端利用匹配的量子密鑰卡生成產生真隨機數R_N1，真隨機數R_N1結合預定算法得到指針并指向由標示符A指定的密鑰池中的某一部分，在該密鑰池中提取出的相應部分即作為真隨機數N1；

所述用戶端還向被動方群組中的一用戶端申請許可票據TGT_(B)；

步驟B、主動方群組中的所述用戶端再依據許可票據TGT_(A)以及許可票據TGT_(B)向量子網絡服務站申請主動方會話密鑰以及與預設的被動方通信范圍相應的票據Ticket，并在主動方通信范圍內共享所述票據Ticket以及主動方會話密鑰；

所述主動方會話密鑰為密文形式，主動方通信范圍為主動方群組中某一用戶端時，利用與該用戶端相應的對稱密鑰池中的密鑰來加密主動方會話密鑰；主動方通信范圍為主動方群組中全體用戶端時，利用與主動方群組相應的群組密鑰池中的密鑰來加密主動方會話密鑰；

所述票據Ticket中的被動方會話密鑰為密文形式，被動方通信范圍為被動方群組中某一用戶端時，利用與該用戶端相應的對稱密鑰池中的密鑰來加密被動方會話密鑰；被動方通信范圍為被動方群組中全體用戶端時，利用與被動方群組相應的群組密鑰池中的密鑰來加密被動方會話密鑰；

步驟C、主動方通信范圍內的一用戶端A向被動方通信范圍內的一用戶端B發送所述票據Ticket，所述票據Ticket中也包含有被動方會話密鑰，使得用戶端A和用戶端B共享用于實施加密通信的會話密鑰；

步驟A、B中主動方群組中的用戶端與量子網絡服務站通信時，以及步驟C中用戶端A與用戶端B通信時，分別采用真隨機數的方式作為身份驗證數據。

2.如權利要求1所述的基于群組密鑰池和改進Kerberos的User-to-User身份認證系統，其特征在于，步驟A、B、C中作為身份驗證數據的真隨機數各不相同，步驟A、B中的真隨機數由主動方群組中的用戶端匹配的量子密鑰卡生成，連同生成真隨機數的信息以加密形式發送至量子網絡服務站，供量子網絡服務站進行驗證；

步驟C中的真隨機數由量子網絡服務站生成，連同生成真隨機數的信息以加密形式在步驟B中發送給主動方群組中的用戶端，步驟C中，用戶端A與用戶端B通信時，用戶端A將步驟C中的真隨機數連同生成真隨機數的信息以加密形式發送至用戶端B，供用戶端B進行驗證。

3.如權利要求1所述的基于群組密鑰池和改進Kerberos的User-to-User身份認證系統，其特征在于，用于加密主動方會話密鑰的為第一安全密鑰，用于加密被動方會話密鑰為第二安全密鑰；

步驟B共享所述主動方會話密鑰時，共享的內容為采用第一安全密鑰加密的主動方會話密鑰，以及生成第一安全密鑰的信息；所述票據Ticket中包含有生成第二安全密鑰的信息。