一种安全通信方法、装置、设备、介质及程序产品与流程

本技术涉及数据通信，尤其涉及一种安全通信方法、装置、设备、介质及程序产品。

背景技术：

1、随着srv6（segment routing over ipv6，ipv6段路由）在高安全场景中规模部署，传统加密算法面临量子计算破解风险，承载网存在数据窃听、流量劫持等安全隐患。当前业界普遍引入量子密钥分发技术以构建抗量子攻击的传输隧道。

2、现有一些现有方案中，由控制器统一获取并中转下发量子密钥，外置网关完成加解密处理，srv6转发设备仅执行常规转发。

3、该架构下，密钥经控制器中转缓存存在泄露风险；密钥与路径、业务无强绑定，多业务共用密钥导致防护粗放；外置网关增加时延与成本，且策略协同复杂，制约了高安全业务承载与规模化部署。

技术实现思路

1、本技术提供一种安全通信方法、装置、设备、介质及程序产品，用于提升加密通信的安全性、精细度与传输效率，降低部署复杂度，保障高安全等级业务的高质量承载与规模化部署。

2、第一方面，本技术实施例提供了一种安全通信方法，该方法包括：

3、获取目标业务对应的第一密钥上下文信息和第一目标段路由路径；

4、基于所述第一密钥上下文信息、所述第一目标段路由路径的第一路径标识以及所述目标业务的业务流标识，确定第一安全通信策略；

5、向量子密钥层发送第一密钥下发指令，所述第一密钥下发指令用于指示所述量子密钥层将所述第一密钥上下文信息对应的第一量子密钥下发至所述第一目标段路由路径对应的第一网络转发节点；

6、将所述第一安全通信策略下发至所述第一网络转发节点，所述第一安全通信策略用于指示所述第一网络转发节点利用所述第一量子密钥对所述目标业务的数据进行加密处理。

7、本技术提供的技术方案至少带来以下有益效果：

8、本实施例安全通信方法的安全策略由密钥、路径、业务三个维度的唯一绑定关系生成，因此当转发节点接收到策略后，只有同时匹配该业务流和该路径的数据包才能调用对应的量子密钥进行加解密处理，这从协议底层杜绝了密钥跨业务、跨路径复用的可能性，实现了单业务、单路径、单密钥的精细化安全隔离；其次，密钥下发指令直接指向量子密钥层、要求其将密钥本体直接推送给转发节点，而策略则由控制层下发，这种“密钥与策略分路传输”的架构，使得原始量子密钥无需经过控制层中转或缓存，规避了传统方案中密钥在集中控制节点被窃取或泄露的风险；进一步地，转发节点同时接收并本地缓存密钥与策略后，即可在报文转发线速上独立完成实时加解密，无需外置加密网关参与，从而在消除中间设备时延损耗的同时实现了传输与安全的一体化内生融合，最终从“精细化安全隔离”、“密钥传输安全”和“转发性能提升”三个层面协同作用，增强了srv6网络在抗量子计算攻击、防流量劫持与数据篡改等高安全场景下的内生安全保障能力。

9、一种可能的实现方式，所述获取目标业务对应的第一密钥上下文信息，包括：

10、生成密钥上下文调取指令，所述密钥上下文调取指令携带有所述目标业务的安全等级信息；

11、向所述量子密钥层发送所述密钥上下文调取指令，所述密钥上下文调取指令用于指示所述量子密钥层调取与所述安全等级信息对应的密钥上下文信息；

12、接收所述量子密钥层发送的所述第一密钥上下文信息。

13、另一种可能的实现方式，所述获取目标业务对应的第一目标段路由路径，包括：

14、基于所述目标业务的传输需求信息和转发层的网络状态参数，确定所述第一目标段路由路径。

15、又一种可能的实现方式，所述基于所述第一密钥上下文信息、所述第一目标段路由路径的第一路径标识以及所述目标业务的业务流标识，确定第一安全通信策略，包括：

16、建立所述第一密钥上下文信息、所述第一路径标识和所述业务流标识之间的绑定映射关系；

17、根据所述绑定映射关系生成所述第一安全通信策略。

18、又一种可能的实现方式，所述根据所述绑定映射关系生成所述第一安全通信策略，包括：

19、根据所述绑定映射关系生成转发匹配规则，所述转发匹配规则用于指示所述第一网络转发节点根据所述业务流标识和所述第一路径标识匹配对应的密钥标识；

20、根据所述绑定映射关系生成路径防护策略，所述路径防护策略用于指示所述第一网络转发节点在匹配到所述业务流标识与所述第一路径标识之外的数据包时，禁止对所述数据包进行处理；

21、根据所述密钥标识生成加解密处理规则，所述加解密处理规则用于指示所述第一网络转发节点调用与所述密钥标识对应的所述第一量子密钥；

22、基于所述转发匹配规则、所述路径防护策略和所述加解密处理规则生成所述第一安全通信策略。

23、又一种可能的实现方式，在所述将所述第一安全通信策略下发至所述第一网络转发节点之后，所述安全通信方法还包括：

24、在满足切换触发条件的情况下，获取所述目标业务对应的第二密钥上下文信息和第二目标段路由路径；

25、基于所述第二密钥上下文信息、所述第二目标段路由路径的第二路径标识以及所述业务流标识，确定第二安全通信策略；

26、向所述量子密钥层发送第二密钥下发指令，所述第二密钥下发指令用于指示所述量子密钥层将所述第二密钥上下文信息对应的第二量子密钥下发至所述第二目标段路由路径对应的第二网络转发节点；

27、将所述第二安全通信策略下发至所述第二网络转发节点；

28、发送切换指令，所述切换指令用于指示将执行策略从所述第一安全通信策略切换为所述第二安全通信策略，将承载路径从所述第一目标段路由路径切换为所述第二目标段路由路径。

29、第二方面，本技术实施例提供了一种安全通信装置，包括：

30、获取模块，用于获取目标业务对应的第一密钥上下文信息和第一目标段路由路径；

31、确定模块，用于基于所述第一密钥上下文信息、所述第一目标段路由路径的第一路径标识以及所述目标业务的业务流标识，确定第一安全通信策略；

32、发送模块，用于向量子密钥层发送第一密钥下发指令，所述第一密钥下发指令用于指示所述量子密钥层将所述第一密钥上下文信息对应的第一量子密钥下发至所述第一目标段路由路径对应的第一网络转发节点；

33、所述发送模块，还用于将所述第一安全通信策略下发至所述第一网络转发节点，所述第一安全通信策略用于指示所述第一网络转发节点利用所述第一量子密钥对所述目标业务的数据进行加密处理。

34、一种可能的实现方式，所述获取模块，具体用于：

35、生成密钥上下文调取指令，所述密钥上下文调取指令携带有所述目标业务的安全等级信息；

36、向所述量子密钥层发送所述密钥上下文调取指令，所述密钥上下文调取指令用于指示所述量子密钥层调取与所述安全等级信息对应的密钥上下文信息；

37、接收所述量子密钥层发送的所述第一密钥上下文信息。

38、另一种可能的实现方式，所述获取模块，具体用于：

39、基于所述目标业务的传输需求信息和转发层的网络状态参数，确定所述第一目标段路由路径。

40、又一种可能的实现方式，所述确定模块，具体用于：

41、建立所述第一密钥上下文信息、所述第一路径标识和所述业务流标识之间的绑定映射关系；

42、根据所述绑定映射关系生成所述第一安全通信策略。

43、又一种可能的实现方式，所述确定模块，具体用于：

44、根据所述绑定映射关系生成转发匹配规则，所述转发匹配规则用于指示所述第一网络转发节点根据所述业务流标识和所述第一路径标识匹配对应的密钥标识；

45、根据所述绑定映射关系生成路径防护策略，所述路径防护策略用于指示所述第一网络转发节点在匹配到所述业务流标识与所述第一路径标识之外的数据包时，禁止对所述数据包进行处理；

46、根据所述密钥标识生成加解密处理规则，所述加解密处理规则用于指示所述第一网络转发节点调用与所述密钥标识对应的所述第一量子密钥；

47、基于所述转发匹配规则、所述路径防护策略和所述加解密处理规则生成所述第一安全通信策略。

48、又一种可能的实现方式，在所述将所述第一安全通信策略下发至所述第一网络转发节点之后，所述获取模块，还用于：

49、在满足切换触发条件的情况下，获取所述目标业务对应的第二密钥上下文信息和第二目标段路由路径；

50、所述确定模块，还用于：

51、基于所述第二密钥上下文信息、所述第二目标段路由路径的第二路径标识以及所述业务流标识，确定第二安全通信策略；

52、所述发送模块，还用于：

53、向所述量子密钥层发送第二密钥下发指令，所述第二密钥下发指令用于指示所述量子密钥层将所述第二密钥上下文信息对应的第二量子密钥下发至所述第二目标段路由路径对应的第二网络转发节点；

54、将所述第二安全通信策略下发至所述第二网络转发节点；

55、发送切换指令，所述切换指令用于指示将执行策略从所述第一安全通信策略切换为所述第二安全通信策略，将承载路径从所述第一目标段路由路径切换为所述第二目标段路由路径。

56、第三方面，本技术提供一种电子设备，该电子设备包括：处理器和存储器；该存储器存储可在处理器上运行的程序或指令，上述程序或指令被该处理器执行时实现上述第一方面的方法。

57、第四方面，本技术提供一种可读存储介质，该可读存储介质上存储程序或指令，上述程序或指令被计算机执行时实现上述第一方面的方法。

58、第五方面，本技术提供一种计算机程序产品，该计算机程序产品被存储在存储介质中，当该计算机程序产品被计算机执行时以实现上述第一方面的方法。

59、第六方面，本技术实施例提供了一种芯片，该芯片包括处理器和通信接口，所述通信接口和所述处理器耦合，所述处理器用于运行程序或指令，实现如第一方面所述的方法。

60、上述第二方面至第六方面的有益效果参考第一方面的对应描述，不再赘述。