一种量子密钥管理方法、装置及系统与流程

1.本发明涉及量子通信技术领域，尤其涉及一种量子密钥的管理方法、装置及系统。


背景技术：

2.由于生成速度或生成线路的限制，量子密钥不能实时生成以满足加密通信需求，量子密码网络的节点之间需要预置量子密钥，有时候考虑到线路最大加密需求，需要预置大量量子密钥。
3.量子密钥从生成到使用需要在节点存储一段时间。这就为窃取节点量子密钥及监听节点间量子密钥加密通信信息的攻击者提供了可乘之机。攻击者有可能在量子密钥在节点的存储期间攻击节点系统，窃取量子密钥，使用窃取的量子密钥破解节点间的加密通信信息。


技术实现要素：

4.有鉴于此，本发明提供了一种量子密钥的管理方法、装置及系统，用于解决现有技术中攻击者有可能在量子密钥在节点的存储期间攻击节点系统，窃取量子密钥，使用窃取的量子密钥破解节点间的加密通信信息的问题。具体方案如下：
5.一种量子密钥管理方法，应用于加密方节点，预先为所述加密方节点分配第一主密钥和第一通信密钥加密密钥，对所述加密方节点的共享量子密钥进行分组，在每个分组中选取第一通信密钥，得到各个第一通信密钥，基于所述第一通信密钥加密密钥对所述各个第一通信密钥进行加密，得到各个第一通信密钥密文，基于所述第一主密钥对所述第一通信密钥加密密钥进行加密，得到第一通信密钥加密密钥密文，加密完成后，删除对应分组中各个第一通信密钥和所述第一通信密钥加密密钥，所述方法包括：
6.在接收到加密通信请求时，基于所述第一主密钥对所述第一通信密钥加密密钥密文进行解密，得到第一通信密钥加密密钥；
7.在所述各个第一通信密钥密文中选取目标第一通信密钥密文，基于所述第一通信密钥加密密钥对所述目标第一通信密钥密文进行解密，得到目标第一通信密钥；
8.基于所述目标第一通信密钥生成验证信息；
9.将所述验证信息发送给解密方节点，以令所述解密方节点进行验证，在验证通过的情况下，获取所述解密方节点生成的随机数；
10.基于所述目标第一通信密钥对应分组中的其余共享量子密钥和所述随机数生成更新后的共享量子密钥。
11.上述的方法，可选的，基于所述目标第一通信密钥生成验证信息，包括：
12.获取所述目标第一通信密钥密文的第一标识；
13.获取所述目标第一通信密钥对应分组的第二标识；
14.基于所述第一标识、所述第二标识和所述目标第一通信密钥生成第一认证码；
15.所述验证信息包括：所述第一标识、所述第二标识和所述第一认证码。
16.上述的方法，可选的，获取所述解密方节点生成的随机数，包括：
17.接收所述解密方节点发送的随机数密文；
18.基于所述目标第一通信密钥对多数随机数密文进行解密，得到所述随机数。
19.上述的方法，可选的，还包括：
20.在接收到删除指令时，将所述更新后的共享量子密钥进行删除。
21.一种量子密钥管理方法，应用于解密方节点，预先为所述解密方节点分配第二主密钥和第二通信密钥加密密钥，对所述解密方节点的共享量子密钥进行分组，在每个分组中选取第二通信密钥，得到各个第二通信密钥，基于所述第二通信密钥加密密钥对所述各个第二通信密钥进行加密，得到各个第二通信密钥密文，基于所述第二主密钥对所述第二通信密钥加密密钥进行加密，得到第二通信密钥加密密钥密文，加密完成后，删除对应分组中各个第二通信密钥和所述第二通信密钥加密密钥，所述方法包括：
22.接收验证信息，其中，所述验证信息包括：第一标识、第二标识和第一认证码；
23.基于所述第二主密钥对所述第二通信密钥加密密钥密文进行解密，得到第二通信密钥加密密钥；
24.基于所述第二通信密钥加密密钥和所述第一标识确定目标第二通信密钥；
25.基于所述第一标识，所述第二标识和所述目标第二通信密钥生成第二认证码；
26.在所述第二认证码与所述第一认证码相同的情况下，生成随机数密文发送给加密方节点，以令所述加密方节点获取随机数；
27.基于所述随机数和所述目标第二通信密钥对应分组中的共享量子密钥生成更新后的共享量子密钥。
28.上述的方法，可选的，基于所述第二通信密钥加密密钥和所述第一标识确定目标第二通信密钥，包括：
29.基于所述第一标识选取目标第二通信密钥密文；
30.基于所述第二通信密钥加密密钥对所述目标第二通信密钥密文进行解密，得到目标第二通密密钥。
31.上述的方法，可选的，还包括：
32.若间隔预设时长，所述解密方节点未接收到解密请求，则删除所述更新后的共享量子密钥；
33.发送删除指令到所述加密方节点，以令所述加密方节点删除相应的所述更新后的共享量子密钥。
34.一种量子密钥管理装置，应用于加密方节点，预先为所述加密方节点分配第一主密钥和第一通信密钥加密密钥，对所述加密方节点的共享量子密钥进行分组，在每个分组中选取第一通信密钥，得到各个第一通信密钥，基于所述第一通信密钥加密密钥对所述各个第一通信密钥进行加密，得到各个第一通信密钥密文，基于所述第一主密钥对所述第一通信密钥加密密钥进行加密，得到第一通信密钥加密密钥密文，加密完成后，删除对应分组中各个第一通信密钥和所述第一通信密钥加密密钥，所述装置包括：
35.第一解密模块，用于在接收到加密通信请求时，基于所述第一主密钥对所述第一通信密钥加密密钥密文进行解密，得到第一通信密钥加密密钥；
36.选取和解密模块，用于在所述各个第一通信密钥密文中选取目标第一通信密钥密
文，基于所述第一通信密钥加密密钥对所述目标第一通信密钥密文进行解密，得到目标第一通信密钥；
37.验证信息生成模块，用于基于所述目标第一通信密钥生成验证信息；
38.发送模块，用于将所述验证信息发送给解密方节点，以令所述解密方节点进行验证，在验证通过的情况下，获取所述解密方节点生成的随机数；
39.第一密钥生成模块，用于基于所述目标第一通信密钥对应分组中的共享量子密钥和所述随机数生成更新后的共享量子密钥。
40.一种量子密钥管理装置，应用于解密方节点，预先为所述解密方节点分配第二主密钥和第二通信密钥加密密钥，对所述解密方节点的共享量子密钥进行分组，在每个分组中选取第二通信密钥，得到各个第二通信密钥，基于所述第二通信密钥加密密钥对所述各个第二通信密钥进行加密，得到各个第二通信密钥密文，基于所述第二主密钥对所述第二通信密钥加密密钥进行加密，得到第二通信密钥加密密钥密文，加密完成后，删除对应分组中各个第二通信密钥和所述第二通信密钥加密密钥，所述装置包括：
41.接收模块，用于接收验证信息，其中，所述验证信息包括：第一标识、第二标识和第一认证码；
42.第二解密模块，用于基于所述第二主密钥对所述第二通信密钥加密密钥密文进行解密，得到第二通信密钥加密密钥；
43.确定模块，用于基于所述第二通信密钥加密密钥和所述第一标识确定目标第二通信密钥；
44.认证码生成模块，用于基于所述第一标识，所述第二标识和所述目标第二通信密钥生成第二认证码；
45.随机数生成模块，用于在所述第二认证码与所述第一认证码相同的情况下，生成随机数密文发送给加密方节点，以令所述加密方节点获取随机数；
46.第二密钥生成模块，用于基于所述随机数和所述目标第二通信密钥对应分组中的共享量子密钥生成更新后的共享量子密钥。
47.一种量子密钥管理系统，其特征在于，包括：加密方节点和解密方节点，其中，
48.所述加密方节点，用于执行上述的应用于加密方节点的量子密钥管理方法；
49.所述解密方节点，用于执行上述的应用于解密方节点的量子密钥管理方法。
50.与现有技术相比，本发明包括以下优点：
51.本发明公开了一种量子密钥管理方法，包括：在接收到加密通信请求时，基于第一主密钥对第一通信密钥加密密钥密文进行解密，得到第一通信密钥加密密钥；在各个第一通信密钥密文中选取目标第一通信密钥密文，基于第一通信密钥加密密钥对目标第一通信密钥密文进行解密，基于得到的目标第一通信密钥生成验证信息；将验证信息发送给解密方节点，以令解密方节点进行验证，在验证通过的情况下，获取解密方节点生成的随机数；基于目标第一通信密钥对应分组中的共享量子密钥和随机数生成更新后的共享量子密钥。上述过程，在共享量子密钥使用之前基于随机数对其进行更新，并没有直接基于共享量子密钥进行加解密，由于恶意第三方无法获取随机数，无法对其窃取的量子密钥进行相应的密钥变换，避免了长时间存储的密钥被窃取可以破解节点间的加密通信信息的问题。
52.另外，为了防止恶意第三方获取密钥变换时所使用的随机数，本发明使用通信密
钥对所述随机数进行加密通信保护，对通信密钥进行了主密钥和通信密钥加密密钥的双重加密保护，由于主密钥在节点系统存储位置的特殊性，恶意第三方无法获取主密钥，也无法获取由主密钥加密保护的通信密钥加密密钥，所以也无法获取通信密钥，这保证了通信密钥的安全性，从而保证了用于密钥变换的随机数的安全性。并且，如果没有立即进行加密通信，则删除新生成的密钥，这防止了新生成的密钥存储时间过长再次被恶意第三方窃取。
附图说明
53.为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
54.图1为本技术实施例公开的一种量子密钥管理方法流程图；
55.图2为本技术实施例公开的一种量子密钥管理方法又一流程图；
56.图3为本技术实施例公开的一种量子密钥管理装置结构框图；
57.图4为本技术实施例公开的一种量子密钥管理装置又一结构框图。
具体实施方式
58.下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
59.对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。
60.本发明公开了一种量子密钥的管理方法、装置及系统，应用于量子密钥的管理过程中，以量子密钥分发(qkd)协议为基础的量子密码技术是现阶段量子通信最重要的实际应用之一。传统的密码学是以数学为基础的密码体制，而量子密码以量子力学为基础，它的安全性是建立在测不准原理、量子的不可克隆及量子相干性等物理特性之上的，被证明是无条件安全的。
61.量子密码网络便是采用量子密码术的一种安全通信网络。量子密码网络是由经典通信网络和qkd网络共同构建而成。qkd网络主要由qkd终端设备和量子链路组成，用于进行量子密钥分发。经典通信网络使用量子密钥实现数据的加解密和加密数据的传输。一个量子密码网络节点一般是由一个连接于经典通信网络的经典通信终端和连接于qkd网络的qkd终端设备组成。一个经典通信终端一般与一个qkd终端设备相绑定，qkd终端设备的量子密钥分发行为由经典通信终端根据加密需求发起。
62.现有量子密码网络存在的一个不足之处在于：由于量子密钥生成速度或生成线路的限制，量子密钥不能实时生成以满足加密通信需求，量子密码网络的节点之间需要预置
量子密钥，有时候考虑到线路最大加密需求，需要预置大量量子密钥。量子密钥从生成到使用需要在节点存储一段时间。这就为窃取节点量子密钥及监听节点间量子密钥加密通信信息的攻击者提供了可乘之机。攻击者有可能在量子密钥在节点的存储期间攻击节点系统，窃取量子密钥，使用窃取的量子密钥破解节点间的加密通信信息。基于上述的问题，本发明实施例中提供了一种量子密钥管理方法，所述管理方法应用于加密方节点，所述加密方节点可以为终端或者处理器等，预先为所述加密方节点分配第一主密钥和第一通信密钥加密密钥，对所述加密方节点的共享量子密钥进行密钥划分和分组，优选的，可以基于所述共享量子密钥的密钥长度(比特数)对共享量子密钥进行划分，将一定数量的共享量子密钥划分为一组，为每一个分组分配一个第二标识，所述第二标识用于区分各个分组，优选的，所述第二标识可以为组号，从每一组共享量子密钥中提取一个共享量子密钥作为第一通信密钥，得到各个第一通信密钥，删除每一组共享量子密钥中的第一通信密钥，将每一组共享量子密钥中的剩余共享量子密钥进行编号，每一个共享量子密钥都有自己的序号。
63.基于所述第一通信密钥加密密钥对所述各个第一通信密钥进行加密，得到各个第一通信密钥密文，优选的，为每个第一通信密钥密文分配第一标识，所述第一标识用于区分各个第一通信密钥密文，所述第一标识可以为编号，将所述各个第一通信密钥密文按顺序进行编号，基于所述第一主密钥对所述第一通信密钥加密密钥进行加密，得到第一通信密钥加密密钥密文，同时删除对应分组中各个第一通信密钥和所述第一通信密钥加密密钥，所述管理方法的执行流程如图1所示，包括步骤：
64.s101、在接收到加密通信请求时，基于所述第一主密钥对所述第一通信密钥加密密钥密文进行解密，得到第一通信密钥加密密钥；
65.s102、在所述各个第一通信密钥密文中选取目标第一通信密钥密文，基于所述第一通信密钥加密密钥对所述目标第一通信密钥密文进行解密，得到目标第一通信密钥；
66.本发明实施例中，任选编号为n(第一标识)的没有使用过的第一通信密钥密文作为目标第一通信密钥密文，基于所述第一通信密钥加密密钥对所述目标第一通信密钥密文进行解密，得到目标第一通信密钥ca；
67.s103、基于所述目标第一通信密钥生成验证信息；
68.本发明实施例中，假设要使用组号为m
id
(第二标识)的对应分组中的共享量子密钥进行加密通信，本发明实施例中，基于m
id
、n和所述目标第一通信密钥ca确定第一认证码hmac(m
id
||n；ca)，其中，所述第一认证码hmac(m
id
||n；ca)为数据m
id
||n的关于ca的密钥相关的哈希运算消息认证码，||为数据的连接运算符。其中，所述验证信息包括：m
id
、n和hmac(m
id
||n；ca)。
69.s104、将所述验证信息发送给解密方节点，以令所述解密方节点进行验证，在验证通过的情况下，获取所述解密方节点生成的随机数；
70.本发明实施例中，将所述验证信息发送给解密方节点，其中，所述解密方节点与所述加密方节点存有相同的共享量子密钥并采用相同的分组方法，所述解密方节点中先为所述解密方节点分配第二主密钥和第二通信密钥加密密钥，基于所述第二主密钥和所述第二通信密钥加密密钥采用与所述加密方节点相同的预处理方式，令所述解密方节点基于所述验证信息进行验证，在验证通过的情况下，所述解密方节点会发送随机数密文到所述加密方节点，所述加密方节点接收所述解密方节点发送的随机数密文，基于所述目标第一通信
密钥对所述随机数密文进行解密，得到所述随机数。
71.s105、基于所述目标第一通信密钥对应分组中的共享量子密钥和所述随机数生成更新后的共享量子密钥。
72.本发明实施例中，基于所述目标第一通信密钥和所述随机数生成更新后的共享量子密钥，为了避免更新后的共享量子密钥被窃取，优选的，在接收到所述解密方节点发送的删除指令时，将所述更新后的共享量子密钥进行删除，其中，所述删除指令的发送与所述解密方节点设置的删除规则有关。
73.本发明公开了一种量子密钥管理方法，包括：在接收到加密通信请求时，基于第一主密钥对第一通信密钥加密密钥密文进行解密，得到第一通信密钥加密密钥；在各个第一通信密钥密文中选取目标第一通信密钥密文，基于第一通信密钥加密密钥对目标第一通信密钥密文进行解密，基于得到的目标第一通信密钥生成验证信息；将验证信息发送给解密方节点，以令解密方节点进行验证，在验证通过的情况下，获取解密方节点生成的随机数；基于目标第一通信密钥对应分组中的共享量子密钥和随机数生成更新后的共享量子密钥。上述过程，在共享量子密钥使用之前基于随机数对其进行更新，并没有直接基于共享量子密钥进行加解密，避免了密钥被窃取可以破解节点间的加密通信信息的问题。
74.本发明实施例中，基于上述的应用于加密方节点的量子密钥管理方法，本发明实施例中，还提供了一种量子密钥管理方法，应用于解密方节点，所述解密方节点可以为终端或者处理器等，其中，预先为所述解密方节点分配第二主密钥和第二通信密钥加密密钥，对所述解密方节点的共享量子密钥进行分组，得到各个第二通信密钥，其中，分组过程与所述加密方节点的处理过程相同，在此不再赘述，基于所述第二通信密钥加密密钥对所述各个第二通信密钥进行加密，得到各个第二通信密钥密文，对所述各个第二通信密钥密文的处理与所述各个第一通信密钥密文的处理过程相同，在此不再赘述。基于所述第二主密钥对所述第二通信密钥加密密钥进行加密，得到第二通信密钥加密密钥密文，加密完成后，删除对应分组中各个第二通信密钥和所述第二通信密钥加密密钥，
75.所述方法的执行流程如图2所示，包括步骤：
76.s201、接收验证信息，其中，所述验证信息包括：第一标识、第二标识和第一认证码；
77.本发明实施例中，接收所述加密方节点发送的验证消息，其中，所述验证消息包括：第一标识n、第二标识m
id
和第一认证码hmac(m
id
||n；ca)。
78.s202、基于所述第二主密钥对所述第二通信密钥加密密钥密文进行解密，得到第二通信密钥加密密钥；
79.s203、基于所述第二通信密钥加密密钥和所述第一标识确定目标第二通信密钥；
80.本发明实施例中，基于所述第一标识n选取目标第二通信密钥密文；基于所述第二通信密钥加密密钥对所述目标第二通信密钥密文进行解密，得到目标第二通信密钥cb。
81.s204、基于所述第一标识，所述第二标识和所述目标第二通信密钥生成第二认证码；
82.本发明实施例中，基于所述第一标识n、所述第二标识m
id
和所述目标第二通信密钥生成第二认证码hmac(m
id
||n；cb)。
83.s205、在所述第二认证码与所述第一认证码相同的情况下，生成随机数密文发送
给加密方节点，以令所述加密方节点获取随机数；
84.本发明实施例中，验证hmac(m
id
||n；cb)是否与hmac(m
id
||n；ca)相等，如果相等，则所述解密方节点生成真随机数r，使用所述目标第二通信密钥cb加密r，得到随时数密文，将所述随机数密文发送给所述加密方节点，所述加密方节点采用所述目标第一通信密钥ca(ca＝cb)解密所述随机数密文，获得随机数r。
85.s206、基于所述随机数和所述目标第二通信密钥对应分组中的共享量子密钥生成更新后的共享量子密钥。
86.本发明实施例中，基于所述随机数和所述目标第二通信密钥对应分组中的共享量子密钥生成更新后的共享量子密钥，若间隔预设时长，所述解密方节点未接收到解密请求，则删除所述更新后的共享量子密钥，发送删除指令到所述加密方节点，以令所述加密方节点删除相应的所述更新后的共享量子密钥。所述预设时长可以基于经验或者具体情况进行设定，本发明实施例中不进行具体限定，优选的，为了避免更新后的共享量子密钥被窃取，可以将所述预设时长设置为10ms。
87.本发明公开了一种量子密钥管理方法，应用于解密方节点，包括：接收验证信息，其中，所述验证信息包括：第一标识、第二标识和第一认证码；基于所述第二主密钥对所述第二通信密钥加密密钥密文进行解密，得到第二通信密钥加密密钥；基于所述第二通信密钥加密密钥和所述第一标识确定目标第二通信密钥；基于所述第一标识，所述第二标识和所述目标第二通信密钥生成第二认证码；在所述第二认证码与所述第一认证码相同的情况下，生成随机数密文发送给加密方节点，以令所述加密方节点获取随机数；基于所述随机数和所述目标第二通信密钥对应分组中的共享量子密钥生成更新后的共享量子密钥。在共享量子密钥使用之前基于随机数对其进行更新，并没有直接基于共享量子密钥进行加解密，避免了密钥被窃取可以破解节点间的加密通信信息的问题。
88.基于上述一种量子密钥管理方法，本发明实施例中还提供了一种量子密钥管理系统，所述管理系统包括：加密方节点和解密方节点，其中，所述加密方节点和所述解密方节点共享量子密钥，所述共享量子密钥进行预处理，预处理过程如下：
89.能够通过量子密钥分发获得共享量子密钥的加密方节点a和解密方节点b，分别创建第一主密钥ma和第二主密钥mb；
90.每次量子密钥分发后，所述加密方节点a和所述解密方节点b分别创建一个第一通信密钥加密密钥ea和第二通信密钥加密密钥eb；
91.对所分发的共享量子密钥进行密钥划分并分组，其中，所述加密方节点a和所述解密方节点b中对应的每组共享量子密钥具有相同的组号，对每组密钥进行编号，从每组密钥中提取一个通信密钥，对剩余密钥进行顺序编号，其中，所述加密方节点a和所述解密方节点b中对应的每组密钥中的剩余密钥具有相同序号；
92.使用对应的通信密钥加密密钥加密通信密钥，保留密文，并对密文顺序编号；使用对应主密钥加密通信密钥加密密钥，保留密文；删除相应的通信密钥和通信密钥加密密钥。
93.上述主密钥的存储器必须是高度安全的，物理上是安全的，而且逻辑上也是安全的，通常是将其存储在节点的专用密码装置中。
94.当所述加密方节点a和所述解密方节点b要使用量子密钥进行加密通信时，所述加密方节点a使用所述第一主密钥ma解密第一通信密钥加密密钥密文，获得第一通信密钥加
密密钥ea，任选编号为n的没有使用过的目标第一通信密钥密文，使用第一通信密钥加密密钥ea解密获得目标第一通信密钥ca。假设要使用组号为m
id
的量子密钥进行加密通信，则所述加密方节点a向所述解密方节点b发送加密通信请求，并将m
id
、n和hmac(m
id
||n；ca)发送到所述解密方节点b，其中hmac(m
id
||n；ca)为数据m
id
||n的关于目标第一通信密钥ca的密钥相关的哈希运算消息认证码，||为数据的连接运算符。
95.所述解密方节点b验证所述加密方节点a的身份，生成随机数r，将其加密发送给所述加密方节点a。
96.所述解密方节点b收到加密通信请求和验证数据m
id
、n和hmac(m
id
||n；ca)后，使用所述第二主密钥mb解密第二通信密钥加密密钥密文，获得第二通信密钥加密密钥eb，选择编号为n的目标第二通信密钥密文，使用第二通信密钥加密密钥eb解密获得目标第二通信密钥cb，验证hmac(m
id
||n；cb)是否与hmac(m
id
||n；ca)相等，如果相等，则所述解密方节点b生成真随机数r，使用目标第二通信密钥cb加密r，将密文发送给加密方节点a，令所述加密方节点a使用目标第一通信密钥ca(ca＝cb)解密密文，获得随机数r。
97.加密通信双方同时进行密钥变换，使用变换后的密钥进行加密通信。
98.所述加密方节点a和所述解密方节点b使用随机数r和序号为id的量子密钥k
id
进行数值变换生成更新后的量子密钥k
newid
＝f(k
id
，r)，f(k
id
，r)为以k
id
和r为参数的数值变换函数，生成与k
id
等长的更新后的量子密钥k
newid
，k
newid
生成后则删除本组密钥的对应量子密钥k
id
，将其替换为k
newid
，密钥序号id保持不变。
99.例如，假设每个密钥的长度为mbit，哈希运算h的结果数值为kbit，将密钥k
id
划分为n＝[m/k]([m/k]表示不小于m/k的最小整数)组数据，每组包含[m/n]bit二进制数据，数据不够则补0，n组数据表示为k
iid
(i＝1,2，
…
，n)，分别计算ki＝h(k
iid
，r)(i＝1,2，
…
，n)，令k＝k1||k2||
…
||kn，即k为从k1到kn的连接运算结果。取k的前mbit作为新的量子密钥k
newid
。
[0100]
如果没有立即进行加密通信，则删除生成的新密钥。
[0101]
解密方节点b生成的更新后的共享量子密钥需要立即使用，如果没有收到需要生成的新密钥解密的密文，则所述解密方节点b删除本组生成的更新后的共享量子密钥，同时将删除信息通知加密方节点a，加密方节点a也删除相应的更新后的共享量子密钥。
[0102]
基于上述的一种量子密钥管理方法，本发明实施例中，提供了一种量子密钥管理装置，应用于加密方节点，所述管理装置预先为所述加密方节点分配第一主密钥和第一通信密钥加密密钥，对所述加密方节点的共享量子密钥进行分组，在每个分组中选取第一通信密钥，得到各个第一通信密钥，基于所述第一通信密钥加密密钥对所述各个第一通信密钥进行加密，得到各个第一通信密钥密文，基于所述第一主密钥对所述第一通信密钥加密密钥进行加密，得到第一通信密钥加密密钥密文，加密完成后，删除对应分组中各个第一通信密钥和所述第一通信密钥加密密钥，所述装置的结构框图如图3所示，包括：
[0103]
第一解密模块301、选取和解密模块302、验证信息生成模块303、发送模块304和第一密钥生成模块305。
[0104]
其中，
[0105]
所述第一解密模块301，用于在接收到加密通信请求时，基于所述第一主密钥对所述第一通信密钥加密密钥密文进行解密，得到第一通信密钥加密密钥；
[0106]
所述选取和解密模块302，用于在所述各个第一通信密钥密文中选取目标第一通信密钥密文，基于所述第一通信密钥加密密钥对所述目标第一通信密钥密文进行解密，得到目标第一通信密钥；
[0107]
所述验证信息生成模块303，用于基于所述目标第一通信密钥生成验证信息；
[0108]
所述发送模块304，用于将所述验证信息发送给解密方节点，以令所述解密方节点进行验证，在验证通过的情况下，获取所述解密方节点生成的随机数；
[0109]
所述第一密钥生成模块305，用于基于所述目标第一通信密钥对应分组中的共享量子密钥和所述随机数生成更新后的共享量子密钥。
[0110]
本发明公开了一种量子密钥管理装置，包括：在接收到加密通信请求时，基于第一主密钥对第一通信密钥加密密钥密文进行解密，得到第一通信密钥加密密钥；在各个第一通信密钥密文中选取目标第一通信密钥密文，基于第一通信密钥加密密钥对目标第一通信密钥密文进行解密，基于得到的目标第一通信密钥生成验证信息；将验证信息发送给解密方节点，以令解密方节点进行验证，在验证通过的情况下，获取解密方节点生成的随机数；基于目标第一通信密钥对应分组中的共享量子密钥和随机数生成更新后的共享量子密钥。上述过程，在共享量子密钥使用之前基于随机数对其进行更新，并没有直接基于共享量子密钥进行加解密，避免了密钥被窃取可以破解节点间的加密通信信息的问题。
[0111]
基于上述的一种量子密钥管理方法，本发明实施例中，提供了一种量子密钥管理装置，应用于解密方节点，所述管理装置预先为所述解密方节点分配第二主密钥和第二通信密钥加密密钥，对所述解密方节点的共享量子密钥进行分组，在每个分组中选取第二通信密钥，得到各个第二通信密钥，基于所述第二通信密钥加密密钥对所述各个第二通信密钥进行加密，得到各个第二通信密钥密文，基于所述第二主密钥对所述第二通信密钥加密密钥进行加密，得到第二通信密钥加密密钥密文，加密完成后，删除对应分组中各个第二通信密钥和所述第二通信密钥加密密钥，所述装置的结构框图如图4所示，包括：
[0112]
接收模块401、第二解密模块402、确定模块403、认证码生成模块404、随机数生成模块405和第二密钥生成模块406。
[0113]
其中，
[0114]
所述接收模块401，用于接收验证信息，其中，所述验证信息包括：第一标识、第二标识和第一认证码；
[0115]
所述第二解密模块402，用于基于所述第二主密钥对所述第二通信密钥加密密钥密文进行解密，得到第二通信密钥加密密钥；
[0116]
所述确定模块403，用于基于所述第二通信密钥加密密钥和所述第一标识确定目标第二通信密钥；
[0117]
所述认证码生成模块404，用于基于所述第一标识，所述第二标识和所述目标第二通信密钥生成第二认证码；
[0118]
所述随机数生成模块405，用于在所述第二认证码与所述第一认证码相同的情况下，生成随机数密文发送给加密方节点，以令所述加密方节点获取随机数；
[0119]
所述第二密钥生成模块406，用于基于所述随机数和所述目标第二通信密钥对应分组中的共享量子密钥生成更新后的共享量子密钥。
[0120]
本发明公开了一种量子密钥管理装置，应用于解密方节点，包括：接收验证信息，
其中，所述验证信息包括：第一标识、第二标识和第一认证码；基于所述第二主密钥对所述第二通信密钥加密密钥密文进行解密，得到第二通信密钥加密密钥；基于所述第二通信密钥加密密钥和所述第一标识确定目标第二通信密钥；基于所述第一标识，所述第二标识和所述目标第二通信密钥生成第二认证码；在所述第二认证码与所述第一认证码相同的情况下，生成随机数密文发送给加密方节点，以令所述加密方节点获取随机数；基于所述随机数和所述目标第二通信密钥对应分组中的共享量子密钥生成更新后的共享量子密钥。在共享量子密钥使用之前基于随机数对其进行更新，并没有直接基于共享量子密钥进行加解密，避免了密钥被窃取可以破解节点间的加密通信信息的问题。
[0121]
需要说明的是，本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。对于装置类实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。
[0122]
最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个
……”
限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
[0123]
为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本发明时可以把各单元的功能在同一个或多个软件和/或硬件中实现。
[0124]
通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如rom/ram、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例或者实施例的某些部分所述的方法。
[0125]
以上对本发明所提供的一种量子密钥的管理方法、装置及系统进行了详细介绍，本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本发明的限制。