[发明专利]一种基于量子通信的终端安全接入网关方法、装置及系统

权利要求书

1.一种基于量子通信的终端安全接入网关方法，其特征是，包括以下步骤：

终端与接入网关进行初始化；

终端与接入网关利用预置的数字身份证书进行身份认证，若认证通过，终端与接入网关建立安全隧道，接入网关建立安全缓冲区；

终端与接入网关通过已建立的安全隧道进行基于量子密钥的身份认证；

终端与接入网关再次利用数字身份证书进行身份认证，引入量子会话密钥建立量子安全加密隧道；

业务应用通过量子安全加密隧道进行数据安全传输；

所述终端与接入网关通过已建立的安全隧道进行基于量子密钥的身份认证，具体包括：

终端在预置量子密钥库中随机选择量子密钥，发送量子密钥编号至接入网关；

接入网关根据密钥编号认证终端身份的合法性，验证通过返回密钥编号对应的量子密钥的前半段值；

终端验证接入网关身份的合法性，验证通过后发送量子密钥后半段值，接入网关再次验证终端身份的合法性。

2.如权利要求1所述的基于量子通信的终端安全接入网关方法，其特征是，所述终端与接入网关进行初始化，具体包括：

终端与接入网关分别在专用设备中生成密钥对、证书请求、证书签发，以及量子密钥分发；

终端导入终端证书及网关证书、量子密钥；

接入网关导入网关证书及终端证书、量子密钥。

3.如权利要求1所述的基于量子通信的终端安全接入网关方法，其特征是，所述终端与接入网关利用预置的数字身份证书进行身份认证，若认证通过，终端与接入网关建立安全隧道，接入网关建立安全缓冲区，具体包括：

终端与接入网关通过预置的数字证书进行基于SSL协议的单向身份认证或双向身份认证，并建立VPN加密安全隧道，建立的安全隧道只允许访问指定服务和特定操作，接入网关创建内外网交互的安全缓冲区。

4.如权利要求1所述的基于量子通信的终端安全接入网关方法，其特征是，所述终端与接入网关再次利用数字身份证书进行身份认证，引入量子会话密钥建立量子安全加密隧道，具体包括：

终端与接入网关发起SSL协议认证，终端与接入网关协商预主密钥的同时完成量子会话密钥的协商，预主密钥与量子会话密钥通过多次hash计算生成准量子会话密钥库，所述准量子会话密钥库为建立的业务会话提供加解密。

5.一种基于量子通信的终端安全接入网关装置，其特征是，包括：

初始化模块，用于终端与接入网关的初始化；

第一身份认证模块，完成终端与接入网关利用预置的数字身份证书的身份认证；

安全隧道建立模块，完成终端与接入网关建立安全隧道，接入网关建立安全缓冲区；

第二身份认证模块，完成终端与接入网关通过已建立的安全隧道进行基于量子密钥的身份认证；

所述终端与接入网关通过已建立的安全隧道进行基于量子密钥的身份认证，具体包括：

终端在预置量子密钥库中随机选择量子密钥，发送量子密钥编号至接入网关；

接入网关根据密钥编号认证终端身份的合法性，验证通过返回密钥编号对应的量子密钥的前半段值；

终端验证接入网关身份的合法性，验证通过后发送量子密钥后半段值，接入网关再次验证终端身份的合法性；

量子安全加密隧道建立模块，用于终端与接入网关再次利用数字身份证书进行身份认证，引入量子会话密钥建立量子安全加密隧道；

数据安全传输模块，业务应用通过量子安全加密隧道进行数据安全传输。

6.一种基于量子通信的终端安全接入网关系统，其特征是，包括：

外网终端，包括但不限于平板、采集终端在内的移动作业设备，所述外网终端通过运营商无线网络和VPN专线接入量子安全接入网关；

量子安全接入网关，运营商外网与公司内网的网络边界设备，负责对接入公司内网的外网终端进行安全认证；

量子密钥服务单元，为量子安全接入网关提供量子密钥服务，独立部署不与公司内网业务发生交集；

内网业务服务单元，为外网终端提供业务服务，部署在公司内网，通过量子安全接入网关与外网终端进行安全交互；

所述量子安全接入网关包括：

外网访问口，为外网终端访问内网业务的统一入口；

量子认证安全区，为访问内网业务前的第一层安全认证，包括数字证书认证、量子密钥认证、量子会话密钥协商，数字证书认证通过后取得量子密钥接口权限，进行量子密钥认证，量子密钥认证通过后协商量子会话密钥；

量子密钥接口，是访问量子密钥服务的接口，通过所述量子密钥接口获取量子密钥，进行量子密钥认证和量子会话秘钥协商；

业务访问安全区，为外网终端访问内网时的第二层认证，包括二次数字证书认证、量子加密认证；终端与接入网关双向认证后，融入量子会话密钥建立量子加密隧道；

内网业务服务接口，是访问内网业务系统的统一接口，两层认证通过后获取此接口权限；

基于量子密钥的身份认证包括：

终端在预置量子密钥库中随机选择量子密钥，发送量子密钥编号至接入网关；

接入网关根据密钥编号认证终端身份的合法性，验证通过返回密钥编号对应的量子密钥的前半段值；

终端验证接入网关身份的合法性，验证通过后发送量子密钥后半段值，接入网关再次验证终端身份的合法性。