[發明專利]一種基于群組密鑰池的Kerberos身份認證系統和方法

有效

• 申請號: 201810688731.8
• 申請日: 2018-06-28
• 公開（公告）號: CN108964896B
• 公開（公告）日: 2021-01-05
• 發明（設計）人: 富堯;鐘一民
• 申請（專利權）人: 如般量子科技有限公司
• 主分類號: H04L9/08
• 分類號: H04L9/08;H04L29/06
• 代理公司: 杭州君度專利代理事務所(特殊普通合伙) 33240
• 代理人: 解明鎧;劉靜靜

1.一種基于群組密鑰池的Kerberos身份認證系統，其特征在于，包括量子網絡服務站，以及分別包括多個用戶端的主動方群組和被動方群組，主動方群組以及被動方群組的所有用戶端分別配置有量子密鑰卡；各用戶端的量子密鑰卡各自獨立的與量子網絡服務站共享私有的對稱密鑰池；同一群組中所有用戶端的量子密鑰卡與量子網絡服務站共享與所在群組相應的群組密鑰池；進行身份認證時包括：

步驟A、主動方群組中的其中一用戶端依據預設的主動方通信范圍向量子網絡服務站申請許可票據TGT；

步驟B、用戶端依據獲得的許可票據TGT以及預設的被動方通信范圍向量子網絡服務站申請相應的票據Ticket以及主動方會話密鑰，并在主動方通信范圍內共享所述票據Ticket以及主動方會話密鑰；

步驟B中，所述主動方會話密鑰為密文形式，主動方通信范圍為主動方群組中某一用戶端時，利用與用戶端相應的對稱密鑰池對主動方會話密鑰進行加密；主動方通信范圍為主動方群組中全體用戶端時，利用與主動方群組相應的群組密鑰池對主動方會話密鑰進行加密；

步驟B中，所述票據Ticket中的被動方會話密鑰為密文形式，被動方通信范圍為被動方群組中某一用戶端時，利用與用戶端相應的對稱密鑰池對被動方會話密鑰進行加密；被動方通信范圍為被動方群組中全體用戶端時，利用與被動方群組相應的群組密鑰池對被動方會話密鑰進行加密；

步驟C、主動方通信范圍內的一用戶端A向被動方通信范圍內的一用戶端B發送所述票據Ticket，所述票據Ticket中也包含有被動方會話密鑰，使得用戶端A和用戶端B共享用于實施加密通信的會話密鑰。

2.如權利要求1所述的基于群組密鑰池的Kerberos身份認證系統，其特征在于，用于加密主動方會話密鑰的為第一安全密鑰，用于加密被動方會話密鑰為第二安全密鑰；

步驟B共享所述主動方會話密鑰時，共享的內容為采用第一安全密鑰加密的主動方會話密鑰，以及生成第一安全密鑰的信息；所述票據Ticket中包含有生成第二安全密鑰的信息。

3.如權利要求2所述的基于群組密鑰池的Kerberos身份認證系統，其特征在于，步驟A中、用戶端向量子網絡服務站申請許可票據TGT時攜帶有標示符A，用于通知量子網絡服務站利用與用戶端相應的對稱密鑰池、或利用與主動方群組相應的群組密鑰池生成第一安全密鑰；

步驟B中、用戶端向量子網絡服務站申請相應的票據Ticket以及主動方會話密鑰時攜帶有標示符B，用于通知量子網絡服務站利用與被動方群組中某用戶端相應的對稱密鑰池、或利用與被動方群組相應的群組密鑰池生成第二安全密鑰。

4.如權利要求3所述的基于群組密鑰池的Kerberos身份認證系統，其特征在于，所述第一安全密鑰或第二安全密鑰的生成方式為量子網絡服務站產生真隨機數，該真隨機數結合密鑰生成算法得到指針，該指針指向由標示符A或標示符B指定的密鑰池中的一部分，在該密鑰池中提取出相應的密鑰即作為第一安全密鑰或第二安全密鑰。

5.如權利要求4所述的基于群組密鑰池的Kerberos身份認證系統，其特征在于，步驟A中、用戶端申請許可票據TGT時，采用加密的第一時間戳作為與量子網絡服務站之間的身份認證數據，第一時間戳采用傳輸密鑰進行加密，該傳輸密鑰由用戶端利用匹配的量子密鑰卡生成，且將生成傳輸密鑰的信息通知量子網絡服務站；

步驟B中、用戶端申請票據Ticket以及主動方會話密鑰時，采用加密的第二時間戳作為與量子網絡服務站之間的身份認證數據，第二時間戳采用第一安全密鑰進行加密；

步驟C中、用戶端A向用戶端B發送所述票據Ticket時，采用加密的第三時間戳作為與用戶端B之間的身份認證數據，第三時間戳采用主動方會話密鑰進行加密。

6.如權利要求5所述的基于群組密鑰池的Kerberos身份認證系統，其特征在于，所述傳輸密鑰的生成方式為步驟A中的用戶端利用匹配的量子密鑰卡生成產生真隨機數R_A，該真隨機數R_A結合密鑰生成算法得到指針，該指針指向由標示符A指定的密鑰池中的一部分，在該密鑰池中提取出相應的密鑰即作為傳輸密鑰。