基于量子密码网络的手机令牌身份认证系统及方法技术方案

一种基于量子密码网络的手机令牌身份认证系统，移动终端和应用服务器通过量子密码网络终端向量子认证中心注册，注册时提供ID、IMEI码或域名，并均设置PIN码；移动终端和应用服务器在量子密码网络终端下载量子密钥，量子认证中心的数据库保存下载的量子密钥数据；移动终端用户在应用服务器注册时提供其ID；应用服务器需要移动终端用户做身份认证时，移动终端利用下载的量子密钥计算动态口令，应用服务器将动态口令转给量子认证中心，量子认证中心将验证结果通过应用服务器通知移动终端用户。本发明专利技术还提供了一种认证方法。本发明专利技术的优点在于：具有无条件安全性，且保证移动终端和量子认证中心密钥使用的高度同步性，提高了用户使用的便捷性。

Mobile phone token identity authentication system and method based on quantum cipher network

A mobile phone token identity authentication system based on quantum cryptography network, mobile terminal and application server to register through the quantum cryptography quantum authentication center network terminal, ID, IMEI code or domain name registration, and set the PIN code; the mobile terminal and the application server to download the quantum key in quantum cryptography network terminal, quantum key data quantum authentication center database download; provide the ID in the application server to register a user of the mobile terminal; the application server needs authentication when the user of the mobile terminal, the mobile terminal is calculated using dynamic password to download the quantum key, the application server will be transferred to the quantum dynamic password authentication center, quantum authentication center will verify the results through the application server to notify the mobile terminal user. The invention also provides an authentication method. The invention has the advantages of unconditional safety, high synchronization between the mobile terminal and the quantum authentication center key, and the convenience of the user.

【技术实现步骤摘要】
基于量子密码网络的手机令牌身份认证系统及方法
本专利技术属于网络安全通信领域，尤其涉及一种基于量子密码网络的手机令牌身份认证系统及方法。
技术介绍
量子通信是近二十年发展起来的新型交叉学科，是量子论和信息论相结合的新的研究领域。近来这门学科已逐步从理论走向实验，并向实用化发展。高效安全的信息传输日益受到人们的关注。物理上，量子通信可以被理解为在物理极限下，利用量子效应实现的高性能通信。信息学上，我们则认为量子通信是利用量子力学的基本原理(如量子态不可克隆原理和量子态的测量塌缩性质等)或者利用量子态隐形传输等量子系统特有属性，以及量子测量的方法来完成两地之间的信息传递。以量子密钥分配(QKD)协议为基础的量子密码技术是现阶段量子通信最重要的实际应用之一。传统的密码学是以数学为基础的密码体制，而量子密码以量子力学为基础，它的安全性是建立在测不准原理、量子的不可克隆及量子相干性等物理特性之上的，被证明是无条件安全的。量子密码网络(或称量子保密通信网络)便是采用量子密码技术的一种安全通信网络。量子密码网络是由经典通信网络(或称经典网络)和量子密钥分配网络共同构建而成的。量子密钥分配网络主要由QKD终端设备和量子信道组成，用于密钥分发，生成用于加密通信的量子密钥。经典通信网络使用量子密钥实现数据的加解密和加密数据的传输。一个量子密码网络终端一般是由一个连接于经典通信网络的经典通信终端和一个连接于量子密钥分配网络的QKD终端设备组成。动态口令(动态令牌)又称一次性密码(OTP，One-TimePassword)，是使用密码技术实现的在客户端和服务器之间通过共享秘密的一种认证技术，是一种强认证技术，是增强目前静态口令认证的一种非常方便的技术手段。目前在强认证领域使用的OTP技术，源于最早由RSA公司于1986年开发的RSASecureID产品。目前，国际上OTP技术有两大主流算法，一个是RSASecurID所使用的OTP算法，一个是OATH组织的OTP算法。另外，国内还有一种非常重要的OTP算法，是我国自主研发的OTP国密算法。RSASecurID使用AES对称算法，OATH使用HMAC算法，国密算法使用的是国密SM1(对称)和SM3(HASH)算法。OTP技术的基本认证原理是，认证双方事先共享密钥，也称种子密钥；双方分别基于所共享的种子密钥，使用同样的密码算法，对某一个事件计数、或时间值、或者是异步挑战数进行计算，使用的算法有对称密钥算法、HASH算法、HMAC算法；之后通过比较双方的计算值是否一致来进行认证。OTP技术可以做到一次一个动态口令，口令使用后作废，口令长度通常为6-8个数字，使用方法与通常的静态口令认证方式类似，便于与系统集成，因此OTP动态口令技术的应用非常普遍，包括Web应用、手机应用、电话应用、ATM自助终端等。动态口令的同步机制有3种，即时间型、事件型和挑战与应答型，目前应用最多的是时间型动态口令，挑战与应答型动态口令的应用也逐渐增多，并且动态口令逐渐向多种同步类型复合的机制发展，如时间+挑战与应答型。各种同步机制的动态口令特点如下：(1)基于时间同步的动态令牌，一般每60秒产生一个新口令，但由于其同步的基础是国际标准时间，则要求其服务器能够十分精确的保持正确的时钟，同时对其令牌的晶振频率有严格的要求，从而降低系统失去同步的几率。(2)基于事件同步的动态令牌，其原理是通过某一特定的事件次序及相同的种子值作为输入，在算法中运算出一致的密码。由于其算法的一致性，其口令是预先可知的，通过令牌，可以预先知道今后的多个密码。同样，基于事件同步的令牌也存在失去同步的风险。(3)基于挑战/应答模式的动态令牌属于异步令牌，由于在令牌和服务器之间除相同的算法外没有需要进行同步的条件，故能够有效的解决令牌失去同步的问题，降低对应用的影响，同时极大的增加了系统的可靠性。异步令牌使用的缺点主要是在使用时，用户需多一个输入挑战值的步骤，对于操作人员，增加了复杂度。动态口令的实现方式可以有多种，常见的是令牌(Token)方式。一个常用的令牌需要解决：输入设备、输出设备、CPU、存储设备、电源、通信端口、晶振以及二进制和十进制的互相转换等问题。如果应用于手机，那么输入设备(键盘)、输出设备(显示屏)、通信端口(串口)、晶振、存储设备、二进制和十进制的互相转换就可以借助手机的已有部件来实现。手机令牌是一种客户端软件，用于手机或其他移动设备，利用手机或其他移动设备的硬件设备，使用与服务器相同的算法生成动态口令，具有使用简单、安全性高、低成本、无需携带额外设备、容易获取、无物流等优势，手机令牌是动态口令身份认证发展趋势。到目前为止还没有发现有关手机令牌和量子密码网络相结合的研究文献，只发现为数不多的利用量子密钥实现用户身份认证的研究文献，当前基于经典网络的手机令牌动态口令是基于单种子密钥生成的动态口令，并非真正的一次一密，随着计算机计算速度的不断发展及生成算法缺陷的被发现，其被破解的概率将会越来越大，安全性会不断降低。经典网络中每一个应用服务器的动态口令系统都是独立的，用户每使用一个应用服务器的动态口令身份认证服务，便需要管理一个动态口令客户端(持有一种动态口令硬件令牌或安装一种动态口令软件客户端)，这造成了用户动态口令客户端管理的复杂性。从用户角度出发，需要尝试建立一种各应用服务器通用的动态口令终端，以降低用户对动态口令客户端管理的复杂性。
技术实现思路
本专利技术的目的在于克服现有技术的不足，提供了一种基于量子密码网络的手机令牌身份认证系统和方法，旨在克服现有手机令牌实现动态口令的缺陷，建立一种各应用服务器通用的动态口令终端，以降低用户对动态口令客户端管理的复杂性，创建一种基于一次一密签名的同时具有便捷可靠同步机制的手机令牌身份认证系统。以下
技术实现思路
中我们用移动终端替代手机，以泛指包括手机在内的所有可满足手机令牌计算的硬件要求的移动终端。此外，本专利技术中将涉及密钥相关的哈希运算消息认证码(keyed-HashMessageAuthenticationCode，HMAC)，HMAC运算利用哈希算法，以一个密钥和一个消息(或称认证数据)为输入，生成一个消息摘要作为输出；本专利技术中我们将使用密钥K、认证数据为D的密钥相关的哈希运算消息认证码表示为HMAC(K，D)。本专利技术是通过以下技术方案实现的，一种基于量子密码网络的手机令牌身份认证系统，包括量子认证中心、量子密码网络终端、应用终端、应用服务器和移动终端，所述量子认证中心和量子密码网络终端之间采用量子密钥加密通信，量子认证中心、应用服务器、应用终端之间采用经典网络通信方法通信。量子认证中心提供移动终端和应用服务器的身份认证服务，量子密码网络终端为移动终端和应用服务器提供注册及量子密钥下载服务，移动终端通过本地连接到量子密码网络终端下载量子密钥，利用下载的量子密钥生成动态口令，用于移动终端用户通过应用终端登陆应用服务器的身份认证。应用服务器到量子密码网络终端下载量子密钥，利用下载的量子密钥保证用户动态口令等数据转发的完整性，并利用下载的量子密钥用于量子认证中心验证应用服务器身份的合法性。所述移动终端和所述应用服务器首先通过量子密码网络终端向所述量子认证中心注本文档来自技高网...

【技术保护点】
一种基于量子密码网络的手机令牌身份认证系统，包括量子认证中心、量子密码网络终端，所述量子认证中心和量子密码网络终端之间采用量子密钥加密通信，其特征在于，还包括应用终端、应用服务器、移动终端，量子认证中心、应用服务器、应用终端之间采用经典网络通信方法通信；所述移动终端和所述应用服务器通过量子密码网络终端向所述量子认证中心注册，注册时，所述移动终端向所述量子认证中心提供ID和移动终端IMEI码，所述应用服务器向所述量子认证中心提供ID和应用服务器域名，并均设置密码或用户的生物特征作为PIN码；然后移动终端和应用服务器通过注册ID和设置的PIN码在所述量子密码网络终端下载量子密钥，所述量子认证中心的数据库保存所述移动终端和所述应用服务器下载的量子密钥数据；所述移动终端的用户在所述应用服务器注册时，向所述应用服务器提供身份认证所使用的所述移动终端在所述量子认证中心的注册ID；所述应用服务器需要所述移动终端用户做身份认证时，所述移动终端利用在所述量子密码网络终端下载的量子密钥计算动态口令，将所计算的动态口令通过应用终端提供给所述应用服务器，所述应用服务器将动态口令转发给所述量子认证中心以验证其正确性，在动态口令验证过程中，所述应用服务器和所述量子认证中心通过共同拥有的量子密钥数据保障通信数据的完整性，同时实现对应用服务器的身份认证，所述量子认证中心将验证结果通知应用服务器，应用服务器通知移动终端用户身份认证是否成功。...

【技术特征摘要】
1.一种基于量子密码网络的手机令牌身份认证系统，包括量子认证中心、量子密码网络终端，所述量子认证中心和量子密码网络终端之间采用量子密钥加密通信，其特征在于，还包括应用终端、应用服务器、移动终端，量子认证中心、应用服务器、应用终端之间采用经典网络通信方法通信；所述移动终端和所述应用服务器通过量子密码网络终端向所述量子认证中心注册，注册时，所述移动终端向所述量子认证中心提供ID和移动终端IMEI码，所述应用服务器向所述量子认证中心提供ID和应用服务器域名，并均设置密码或用户的生物特征作为PIN码；然后移动终端和应用服务器通过注册ID和设置的PIN码在所述量子密码网络终端下载量子密钥，所述量子认证中心的数据库保存所述移动终端和所述应用服务器下载的量子密钥数据；所述移动终端的用户在所述应用服务器注册时，向所述应用服务器提供身份认证所使用的所述移动终端在所述量子认证中心的注册ID；所述应用服务器需要所述移动终端用户做身份认证时，所述移动终端利用在所述量子密码网络终端下载的量子密钥计算动态口令，将所计算的动态口令通过应用终端提供给所述应用服务器，所述应用服务器将动态口令转发给所述量子认证中心以验证其正确性，在动态口令验证过程中，所述应用服务器和所述量子认证中心通过共同拥有的量子密钥数据保障通信数据的完整性，同时实现对应用服务器的身份认证，所述量子认证中心将验证结果通知应用服务器，应用服务器通知移动终端用户身份认证是否成功。2.根据权利要求1所述的一种基于量子密码网络的手机令牌身份认证系统，其特征在于，所述移动终端和应用服务器在所述量子密码网络终端下载量子密钥的具体方法相同，包括下述步骤：步骤11：移动终端或应用服务器连接量子密码网络终端；步骤12：量子密码网络终端发送密钥下载请求信息，包括注册ID及下载密钥长度；步骤13：量子认证中心发送身份认证请求，请求消息包括一个随机数R；步骤14：用户在量子密码网络终端上输入PIN码，量子密码网络终端获取移动终端的IMEI码或应用服务器的域名，将注册ID、IMEI码或域名、PIN码和随机数R连接运算后，计算其密钥相关的哈希运算消息认证码HMAC(QK，Data)，其中QK为量子密码网络终端与量子认证中心之间的共享量子密钥，认证数据Data＝ID||IMEI||PIN||R，或认证数据Data＝ID||域名||PIN||R，“||”表示连接运算；步骤15：量子密码网络终端向量子认证中心发送认证码；步骤16：量子认证中心根据数据库中移动终端的ID、IMEI码和PIN码或者根据数据库中应用服务器的ID、域名和PIN码验证认证码的正确性；步骤17：如果验证成功，通知量子密码网络终端准备发送密钥数据；步骤18：量子密码网络终端将密钥数据保存到移动终端或者应用服务器，同时量子认证中心将密钥数据保存到数据库中。3.根据权利要求2所述的一种基于量子密码网络的手机令牌身份认证系统，其特征在于，其中步骤18中，量子认证中心利用随机数生成器生成随机数作为密钥数据发送给量子密码网络终端；或者量子密码网络终端将与量子认证中心之间的共享量子密钥作为密钥数据保存到移动终端或者应用服务器，同时量子认证中心将该共享量子密钥作为密钥数据保存到数据库中。4.根据权利要求1所述的一种基于量子密码网络的手机令牌身份认证系统，其特征在于，所述移动终端利用在所述量子密码网络终端下载的量子密钥，计算动态口令的具体方法为：移动终端按照每次生成动态口令所需的数据长度，将所下载的量子密钥在逻辑上划分为多个单位量子密钥，将所划分的单位量子密钥依次编号，移动终端用户登录应用服务器时，移动终端动态口令生成程序使用一个单位量子密钥计算需要认证的关键信息的密钥相关的哈希运算消息认证码HMAC(K，Data)，所述关键信息包括：移动终端在量子认证中心的注册ID和/或移动终端IMEI码、用户通过移动终端输入的应用服务器域名SDN，其中K为其中一编号所对应的单位量子密钥，认证数据Data＝ID||IMEI||SDN，或认证数据Data＝ID||SDN，或认证数据Data＝IMEI||SDN，“||”表示连接运算，将所述计算的消息认证码进行数据处理，最后将单位量子密钥编号和消息认证码的处理数据连接合并作为动态口令，同时将本次生成动态口令所使用的单位量子密钥标记为已使用。5.根据权利要求4所述的一种基于量子密码网络的手机令牌身份认证系统，其特征在于，所述移动终端在所述应用服务器做身份认证的具体流程如下：步骤21：所述移动终端利用在所述量子密码网络终端下载的量子密钥计算动态口令，移动终端和量子认证中心所共享的量子密钥数据采用相同的划分和编号方法，即双方具有相同编号的单位量子密钥所对应的密钥数据相同；步骤22：用户在应用终端输入动态口令，应用终端将动态口令发送到应用服务器；步骤23：应用服务器从数据库中获取移动终端的注册ID，利用在量子密码网络终端下载的密钥数据，计算应用服务器域名、移动终端的注册ID、动态口令的密钥相关的哈希运算消息认证码；步骤24：应用服务器向量子认证中心发送验证请求信息，包括应用服务器域名、移动终端的注册ID、动态口令及所述密钥相关的哈希运算消息认证码；步骤25：所述量子认证中心接收到应用服务器发送的验证请求信息，根据动态口令中的单位量子密钥编号，获取在量子认证中心存储的与相应注册ID的移动终端间共享的量子密钥数据中对应的单位量子密钥，首先确定此单位量子密钥是否已经被使用过，如果被使用过，则动态口令验证失败；如果没有被使用过，则采用与所述移动终端相同的计算动态口令的算法，使用此单位量子密钥计算相应关键信息的密钥相关的哈希运算消息认证码，并按照与移动终端相同的数据处理方法对计算所得的消息认证码进行数据处理，将最后得到的处理数据与动态口令中除单位量子密钥编号信息以外的数据进行对比，若对比结果一致，则用户身份认证成功，同时标记单位量子密钥编号所对应的单位量子密钥已被使用，否则用户身份认证失败；步骤26：量子认证中心将验证结果通知应用服务器，采用与应用服务器的共享密钥数据保障通信数据的完整性；步骤27：应用服务器通知用户身份认证是否成功。6.根据权利要求1至5任一项所述的一种基于量子密码网络的手机令牌身份认证系统，其特征在于，所述应用服务器为任意多个，一个移动终端实现在任意多个应用服务器的身份认证。7.一种使...

【专利技术属性】
技术研发人员：赵波，原磊，武宏宇，赵梅生，
申请(专利权)人：上海国盾量子信息技术有限公司，
类型：发明
国别省市：上海,31