[發明專利]基于群組密鑰池的多次身份認證系統和方法

有效

• 申請號: 201810688718.2
• 申請日: 2018-06-28
• 公開（公告）號: CN108880799B
• 公開（公告）日: 2021-02-02
• 發明（設計）人: 富堯;鐘一民
• 申請（專利權）人: 如般量子科技有限公司
• 主分類號: H04L9/08
• 分類號: H04L9/08;H04L29/06
• 代理公司: 杭州君度專利代理事務所(特殊普通合伙) 33240
• 代理人: 解明鎧;劉靜靜

1.一種基于群組密鑰池的多次身份認證系統，其特征在于，包括量子網絡服務站，以及分別包括多個用戶端的主動方群組和被動方群組，所述主動方群組以及被動方群組的所有用戶端分別配置有量子密鑰卡，各用戶端的量子密鑰卡各自獨立的與量子網絡服務站共享私有的對稱密鑰池，同一群組中所有用戶端的量子密鑰卡與量子網絡服務站共享與所在群組相應的群組密鑰池，進行身份認證時包括：

步驟S1、主動方群組中的其中一用戶端A1依據預設的主動方通信范圍以及被動方通信范圍，向被動方群組中的其中一用戶端B1提出Ticket申請；

步驟S2、所述用戶端B1響應于所述Ticket申請，從量子網絡服務站獲得會話密鑰并轉發給用戶端A1；

其中，所述會話密鑰為主動方會話密鑰，且該主動方會話密鑰為密文形式，主動方通信范圍為主動方群組中某一用戶端時，利用與該用戶端相應的對稱密鑰池對所述主動方會話密鑰進行加密；主動方通信范圍為主動方群組中全體用戶端時，利用與主動方群組相應的群組密鑰池對所述主動方會話密鑰進行加密；

所述用戶端B1還從量子網絡服務站獲得會話密鑰或生成會話密鑰的信息并據此生成Ticket，再將所述Ticket轉發給用戶端A1；

其中，所述Ticket中會話密鑰或生成會話密鑰的信息為被動方會話密鑰，且該被動方會話密鑰為密文形式，被動方通信范圍為被動方群組中某一用戶端時，利用與該用戶端相應的對稱密鑰池對所述被動方會話密鑰加密；被動方通信范圍為被動方群組中全體用戶端時，利用與被動方群組相應的群組密鑰池對所述被動方會話密鑰進行加密；

用戶端A1在主動方通信范圍內共享所述Ticket以及會話密鑰；

步驟S3、主動方通信范圍內的一用戶端A2向被動方通信范圍內的一用戶端B2發送所述Ticket，使得用戶端A2和用戶端B2共享用于實施加密通信的會話密鑰。

2.如權利要求1所述的基于群組密鑰池的多次身份認證系統，其特征在于，用于加密主動方會話密鑰的為第一安全密鑰，用于加密被動方會話密鑰為第二安全密鑰；

步驟S2共享所述主動方會話密鑰時，共享的內容至少包括采用第一安全密鑰加密的主動方會話密鑰，以及生成第一安全密鑰的信息；所述Ticket中包含有生成第二安全密鑰的信息。

3.如權利要求2所述的基于群組密鑰池的多次身份認證系統，其特征在于，步驟S1中、所述用戶端A1向用戶端B1提出Ticket申請時，攜帶有標示符A和標示符B；

其中標示符A用于通知量子網絡服務站利用與主動方群組中某用戶端相應的對稱密鑰池、或利用與主動方群組相應的群組密鑰池生成第一安全密鑰；

其中標示符B用于通知用戶端B1利用與被動方群組中某用戶端相應的對稱密鑰池、或利用與被動方群組相應的群組密鑰池生成第二安全密鑰。

4.如權利要求3所述的基于群組密鑰池的多次身份認證系統，其特征在于，所述第一安全密鑰生成方式為量子網絡服務站產生真隨機數R_A，該真隨機數R_A結合密鑰生成算法得到指針，該指針指向由標示符A指定的密鑰池中的一部分，在該密鑰池中提取出相應的密鑰即作為第一安全密鑰。

5.如權利要求4所述的基于群組密鑰池的多次身份認證系統，其特征在于，所述第二安全密鑰生成方式為用戶端B1產生真隨機數R_BB，該真隨機數R_BB結合密鑰生成算法得到指針，該指針指向由標示符B指定的密鑰池中的一部分，在該密鑰池中提取出相應的密鑰即作為第二安全密鑰。

6.如權利要求5所述的基于群組密鑰池的多次身份認證系統，其特征在于，步驟S2中，所述用戶端B與用戶端A之間進行第一次雙向認證；

步驟S3中，所述用戶端A1與用戶端B1之間進行第二次雙向認證；

所述Ticket按照預定條件更新，更新時用戶端A1與用戶端B1之間實施第三次雙向認證以確認更新。

7.如權利要求6所述的基于群組密鑰池的多次身份認證系統，其特征在于，進行各雙向認證時，采用的認證標識都是相應的用戶端在匹配的量子密鑰卡中生成，且為真隨機數的形式。