一种物联网边缘网关定时推送量子密钥的方法

1.本发明属于信息安全技术领域，公开了量子密钥分发在新领域的应用，具体涉及一种物联网边缘网关定时推送量子密钥的方法。


背景技术：

2.物联网是数字转型时代最热门的技术之一，随着物联网的广泛应用，其安全可靠性问题成为关注的焦点。物联网许多物联网终端的存储、计算能力有限，在其上部署安全软件或者高复杂度的加解密算法会增加运行负担，甚至可能导致无法正常运行，而部分移动终端的移动化更导致依托于网络边界的安全产品无法正常发挥作用。为提高物联网安全，考虑将量子密钥应用于物联网安全通信。
3.量子保密通信是利用量子力学基本原理和“一次一密”加密体制来实现信息安全传递的一种全新的保密通信方法，它具有超强安全性和超高隐蔽性等特点。量子密钥分发是量子通信的一门分支，是量子力学和经典通信中的信息论相互结合的一门交叉学科，其主要目的是利用量子技术使得通信双方能够在信息不被窃取的情况下实现无条件地获得安全密钥信息。量子力学的基本原理保证其理论上无条件的安全性，其中“量子不可克隆定理”与“海森堡测不准原理”能够实现量子密钥的安全分发传输。目前，量子密钥分发技术已成为密钥研究领域的一大热门。
4.当前，物联网终端通信时，一般采取通信前向密钥管理中心申请量子密钥的方式获取会话密钥。但一方面，部分物联网终端之间距离较远，或物联网终端所处地理位置较为偏僻，密钥传输信道环境恶劣，导致密钥分发时间较长。另一方面，对通信频繁的物联网终端，若每次通信前都需要申请密钥，过程繁琐，可能导致通信延迟。降低物联网终端接收量子密钥的时间成本，确保终端之间通信的及时性，是急需解决的问题。


技术实现要素：

5.为解决上述问题，本发明公开了为实现量子密钥安全、及时地分发至物联网中距离较远或通信频率较高的物联网终端，本发明提出了一种物联网边缘网关定时推送量子密钥的方法，通过边缘网关定时发送量子密钥至提前设置的物联网终端，并在发送前完成密钥一致性校对，确保物联网终端及时、顺利地通信。
6.为实现上述目的，本发明采用的技术方案是：一种物联网边缘网关定时推送量子密钥的方法，包括如下步骤：
7.s1,设置终端组合：选择需要定时推送量子密钥的两个物联网终端作为一组终端组合；
8.s2,存储密钥信息：边缘网关接收密钥管理中心发送的本轮量子密钥，存储密钥并将信息记录在定时推送密钥信息表中；
9.s3,定时校验：终端组合的物联网终端所属的两个边缘网关接收到本轮量子密钥后，在校验阶段，进行密钥一致性校验；
10.s4,定时推送：根据设置的推送时间，边缘网关定时发送校验成功的量子密钥至对应的物联网终端；
11.s5,响应处理：物联网终端收到量子密钥后，发送密钥接收响应至边缘网关。
12.作为本发明的一种改进，所述步骤s1进一步包括：
13.s11，设置终端组合的默认推送频率，推送频率可以根据通信需求进行更改；
14.s12，设置终端组合中的第一物联网终端t1和第二物联网终端t2，其对应边缘网关分别为该终端组合的第一边缘网关g1和第二边缘网关g2，校验阶段由第一边缘网关g1向第二边缘网关g2发起该终端组合c
1_2
的密钥校验，同一物联网终端在不同终端组合中的身份(第一物联网终端或第二物联网终端)可能不同。
15.作为本发明的一种改进，所述步骤s2进一步包括：
16.s21，密钥管理中心根据设置的推送频率分发量子密钥，分发的密钥应在本轮密钥校验前到达；密钥分发报文中，相同的密钥具有相同的密钥编号；
17.s22，边缘网关确认接收的量子密钥是否属于提前设置的终端组合，若属于设置的终端组合，存储密钥并记录密钥编号；若不属于，不存储密钥；
18.s23，对存储的密钥，在边缘网关内生成密钥序号，对同一密钥，对应的两个边缘网关具有相同的密钥序号。
19.作为本发明的一种改进，所述步骤s3进一步包括：
20.s31，物联网第一边缘网关g1向第二边缘网关g2发送关于终端组合c
1_2
的密钥校验请求，所述密钥校验请求的信息包括第一物联网终端t1身份标识、第二物联网终端t2身份标识、边缘网关内生成的密钥序号以及密钥编号校验值；其中，对密钥编号与随机冗余码作哈希处理得到密钥编号校验值，随机冗余码为终端组合c
1_2
上一轮的量子密钥的最后六位；
21.s32，第二边缘网关g2接收到第一边缘网关g1发送的密钥校验请求后，根据校验请求中的第一、二物联网终端t1、t2的身份标识以及密钥序号查找对应的量子密钥，若有一方未收到密钥，弃用密钥，校验失败；若双方均接收到密钥，将校验请求中的密钥编号校验值与本端的对应信息进行一致性比对，若比对一致，则表明双方本轮接收的终端组合c
1_2
的量子密钥一致，校验成功；若比对不一致，弃用本轮密钥，校验失败；
22.s33，第二边缘网关g2完成密钥一致性校验后，在定时推送密钥信息表中记录校验结果，并发送带有校验结果的密钥校验响应至第一边缘网关g1；第一边缘网关g1接收密钥校验响应并记录校验结果，若检验结果为失败，弃用本轮终端组合c
1_2
的密钥。
23.作为本发明的一种改进，所述步骤s4中边缘网关根据密钥推送频率自动计算本轮的密钥推送时间，边缘网关仅发送校验结果为正确的量子密钥至物联网终端；发送信息包括量子密钥与网关内生成的密钥序号。
24.作为本发明的一种改进，所述步骤s5进一步包括：
25.s51，物联网终端t1、t2接收边缘网关发送的量子密钥k，发送密钥接收响应至对应的第一、二边缘网关g1、g2；
26.s52，第一、二边缘网关g1、g2确定是否收到本轮的密钥接收响应，若有一端未收到密钥k的接收响应，发送密钥抛弃请求至对应的另一边缘网关，密钥抛弃请求包括第一、二物联网终端t1、t2的身份标识以及密钥k在网关内生成的密钥序号；
27.s53，另一边缘网关收到密钥抛弃请求后，根据请求的内容，转发密钥抛弃请求至
密钥k对应的本网关下的物联网终端；
28.s54，物联网终端收到密钥抛弃请求，弃用请求中密钥序号对应的密钥k。
29.与现有技术相比，本发明提出了一种物联网边缘网关定时推送量子密钥的方法，通过定时推送量子密钥至物联网终端，使物联网终端在通信前就持有密钥，需要通信时能及时利用存储的密钥加密信息进行会话，既能确保距离较远终端无需等待过长的密钥分发时间，又简化了密钥申请过程，提高了物联网终端频繁通信的效率。同时，根据终端通信需求设置不同的推送频率，也能在减少密钥多余损耗的同时，满足终端之间通信需求。
附图说明
30.图1为本发明的方法步骤流程图；
31.图2为本发明的工作框架图；
32.图3为边缘网关存储的定时推送密钥信息表；
33.图4为边缘网关密钥校验流程图；
34.图5为边缘网关发送密钥至物联网终端流程图。
具体实施方式
35.下面结合附图和具体实施方式，进一步阐明本发明，应理解下述具体实施方式仅用于说明本发明而不用于限制本发明的范围。需要说明的是，下面描述中使用的词语“前”、“后”、“左”、“右”、“上”和“下”指的是附图中的方向，词语“内”和“外”分别指的是朝向或远离特定部件几何中心的方向。
36.以下将结合附图和实施例，对本发明进行较为详细的说明。
37.如图1所示，一种物联网边缘网关定时推送量子密钥的方法，包括如下的步骤：
38.(1)设置需要定时推送的物联网终端组合，确定终端组合中的第一物联网终端与第二物联网终端，以及默认推送频率。
39.物联网中存在多个边缘网关，每个边缘网关下存在多个物联网终端，为避免密钥资源浪费，密钥定时推送的方式仅针对部分终端：根据通信需求，一般选择距离相隔较远或通信频繁的两个物联网终端作为终端组合，进行定时密钥推送；每个终端组合需要确定第一、二物联网终端，一般要求物联网终端所属的边缘网关下需要定时推送密钥的终端数量较少的，该终端作为第一物联网终端，终端组合中的另一物联网终端则作为第二物联网终端；默认推送频率设有3
‑
5个等级，每个等级对应不同的频率，根据通信的频繁程度，可选择不同等级的推送频率。
40.需要注意的是，同一物联网终端在在不同的终端组合中，身份(第一物联网终端和第二物联网终端)可能不同，其对应的边缘网关在不同终端组合中的身份也会根据设定的物联网终端身份变化，即在同一轮密钥一致性校验中，同一边缘网关可能既是某些终端组合的密钥一致性校验的申请方，又是另一些终端组合的密钥校验的响应方。
41.每个终端组合都需要在初始阶段设置默认推送频率，但推送频率可根据通信需求进行更改，频率更改申请均由第一物联网终端发起。
42.假设方案中物联网终端t1与物联网终端t2需要定时推送量子密钥，它们的终端组合为c
1_2
，其中t1为第一物联网终端，t2为第二物联网终端，边缘网关g1、g2分别是它们所属
的边缘网关，即分别是终端组合为c
1_2
的第一边缘网关和第二边缘网关，同时终端组合c
1_2
的默认推送频率为r。
43.步骤(1)中更改密钥推送频率包括如下的子步骤：
44.(1.1)第一物联网终端t1发送终端组合c
1_2
的频率更改申请至密钥管理中心，申请包括第一、二终端组合t1、t2的身份标识需要的推送频率r
new
以及更改的起止时间t1、t2。
45.(1.2)密钥管理中心收到步骤(1.1)中的频率更改申请后，预估频率更改的时间段t1到t2之间，密钥资源与网关资源是否充足，若预估资源不足，拒绝请求，物联网终端可延后再次申请；若预估资源充足，接受请求，发送频率更改请求至终端组合c
1_2
的第一、二边缘网关g1、g2。
46.(1.3)边缘网关g1、g2收到管理中心发送的频率更改请求后，更改终端组合c
1_2
的推送频率，并发送频率更改响应至密钥管理中心。
47.(1.4)密钥管理中心收到第一、二边缘网关g1、g2的频率更改响应后，在t1到t2时间段内，按照新的推送频率r
new
推送量子密钥；在结束时间t2后，终端组合c
1_2
将恢复原有默认推送频率r。
48.需要注意的是，更改频率后的密钥推送过程中，边缘网关可能由于推送频率过快出现自身资源难以维持当前密钥推送的情况，边缘网关可发送资源不足警告至密钥管理中心；密钥管理中心收到资源不足警告后，可停止对推送频率过快的终端组合的密钥分发，重新计算资源，并通知边缘网关恢复某些终端组合的推送频率为默认频率，同时发送频率更改停止报文至这些终端组合的第一物联网终端，第一物联网终端可延后重新提出申请。
49.(2)密钥管理中心根据推送频率定时分发量子密钥至边缘网关，边缘网关收到密钥后，存储密钥并记录密钥信息。
50.密钥管理中心存有所有终端组合的信息，边缘网关存有该网关下的终端组合信息，要求密钥管理中心发送本轮密钥到达边缘网关的时间在本轮密钥校验之前；边缘网关下终端组合的信息与密钥到达信息共同形成定时推送密钥信息表，具体可见图3。
51.其中，本轮的密钥推送时间根据终端组合的推送频率由边缘网关自行计算得到，对同一推送时间的密钥，边缘网关之间将在同一时间段内完成一致性校验，因此它们具有相同的校验时间，需确保边缘网关下同一推送时间的密钥均可在校验阶段完成一致性校验；信息表中同时可记录两轮密钥编号，除本轮密钥编号外，若下一轮密钥存储在密钥池中，可在本轮密钥校验和推送阶段提前从密钥池中提取，并记录密钥信息(即缓冲密钥编号)，避免密钥池存取可能带来的时间损耗，影响后续步骤；密钥校验仅对密钥到达边缘网关的时间在本轮校验之前的密钥进行。
52.为确保同一密钥在各边缘网关下校验、推送的时间相同，每一小时边缘网关之间需要同步时间。
53.步骤(2)包括如下的子步骤：
54.(2.1)密钥管理中心根据设定的推送频率发送量子密钥至各边缘网关，发送的密钥分发报文包括两个物联网终端的身份标识钥分发报文包括两个物联网终端的身份标识与地址，密钥编号id
k
以及量子密钥k。
55.(2.2)边缘网关接收量子密钥后，与定时推送密钥信息表进行比对，确定是否属于已设置的终端组合，若属于设置的终端组合，存储密钥并记录密钥编号；若不属于，不存储密钥；
56.(2.3)对存储的密钥，在边缘网关内生成密钥序号s
k
，密钥序号s
k
由密钥对应的终端组合标识、当日日期、以及本轮密钥在当日的接收轮次组成，其中校验失败的密钥也占有一个轮次，应确保两个边缘网关对同一终端组合的密钥轮次相同，即同一密钥在两个边缘网关内的密钥序号s
k
相同。
57.(3)校验阶段，各边缘网关选择校验时间为当前时间的终端组合，进行本轮密钥一致性校验，确保终端组合中的两个物联网终端接收相同的密钥。
58.密钥一致性校验主要用于确保两端接收的密钥为同一密钥，因此需要对密钥编号进行比对，首先，各边缘网关下若有第一物联网终端，对每个第一物联网终端所属的终端组合，在本轮接收的密钥编号后添加随机冗余码，并进行哈希处理，将得到的哈希值与第一物联网终端身份标识、第二物联网终端身份标识、边缘网关内生成的密钥序号发送至各终端组合对应的第二边缘网关；随后，各边缘网关作为第二边缘网关接收上述由第一边缘网关发送的密钥校验请求，对这些请求进行密钥一致性比对，最终得出密钥校验结果，并将校验结果发送至对应的第一边缘网关。
59.本方案中，密钥编号并未直接明文传输，而是经过处理后发送，主要是因为密钥编号与量子密钥的对照信息存储在密钥管理中心内，若管理中心被攻破，对照信息将被攻击者获取，攻击者只需再获取密钥编号即可得到作为会话密钥的量子密钥，系统安全将受到巨大威胁，因此，需要对传输的密钥编号进行处理，确保攻击者无法得到；由于物联网边缘网关资源受限，一般的加密算法并不适用，本方案中，使用随机数与哈希运算来实现密钥编号传输的安全性。
60.下面将以终端组合c
1_2
为例，详细描述各子步骤。需要注意的是，在步骤(3)中为对两端传输的信息加以区分，密钥、密钥编号的符号表示不一致，在正常通信中，属于同一终端组合的物联网终端在每一轮收到的密钥与密钥编号应该是一致的，在后续步骤(4)、(5)中，将用相同的符号表示；边缘网关内生成的密钥序号不受量子密钥是否一致的影响，因此在专利中全部使用符号s
k
表示。
61.步骤(3)中第一边缘网关g1向第二边缘网关g2发送密钥校验请求包括如下的子步骤：
62.(3.1)第一边缘网关g1确认终端组合c
1_2
是否在校验时间前，收到本轮量子密钥，若未收到，密钥编号校验值为0；若收到本轮密钥，则提取终端组合c
1_2
上一轮的量子密钥的最后六位作为本轮校验的随机冗余码n
r
，将随机冗余码n
r
添加至本轮量子密钥k1的密钥编号后面，并进行哈希运算生成密钥编号校验值
63.需要注意的是，若上一轮密钥未能被两端的物联网终端成功接收，则取上上轮的量子密钥的最后六位作为本轮校验的随机冗余码n
r
；初始随机冗余码为第一轮量子密钥的最后六位。
64.(3.2)第一边缘网关g1将第一物联网终端t1的身份标识第二物联网终端t2的身份标识边缘网关内生成的密钥序号s
k
以及密钥编号校验值打包成密
钥校验请求钥校验请求发送至第二边缘网关g2。
65.步骤(3)中第二边缘网关g2接收并处理第一边缘网关g1发送的密钥校验请求包括如下的子步骤：
66.(3.3)第二边缘网关g2收到密钥校验请求，根据请求中的第一、二物联网终端t1、t2的身份标识以及密钥序号s
k
，在定时推送密钥信息表中查询对应的量子密钥。
67.(3.4)若第二边缘网关g2未收到本轮终端组合c
1_2
的量子密钥，校验结果kc
result
＝false；若边缘网关g2收到本轮终端组合c
1_2
的密钥，但密钥校验请求中的密钥编号校验值为0，校验结果kc
result
＝false，边缘网关g2弃用该密钥；若边缘网关g1、g2都收到量子密钥，第二边缘网关g2提取上轮终端组合c
1_2
的量子密钥最后六位作为本轮校验的随机冗余码n
r
，添加至本轮量子密钥k2的密钥编号后面，并进行哈希运算生成密钥编号校验值与密钥校验请求中的密钥编号校验值作比对，若比对一致，则表明本轮边缘网关g1、g2收到相同的密钥，校验结果kc
result
＝true，若比对不一致，校验结果kc
result
＝false，边缘网关g2弃用该密钥；校验结果需录入定时推送密钥信息表的校验结果一栏。
68.(3.5)第二边缘网关g2根据步骤(3.4)得到密钥校验结果对第一边缘网关g1做出密钥校验响应，密钥校验响应中包括密钥序号s
k
以及密钥校验结果，即
69.第一边缘网关g1接收并处理第二边缘网关g2发送的密钥校验响应后，将校验结果录入定时推送密钥信息表中；若kc
result
＝false，即表示双方接收的量子密钥不一致，若边缘网关g1收到量子密钥k1，弃用密钥k1。
70.需要注意的是，若第一边缘网关g1发出密钥校验请求但未能在校验阶段结束(即推送时间)前接收到密钥校验响应，认定为校验超时，应发送校验超时请求至对应的第二边缘网关，避免在推送阶段，出现仅物联网终端t2收到量子密钥的情况。第二边缘网关g2收到校验超时请求后，若密钥还未发送至物联网终端t2，则停止发送该密钥；若密钥已发送，则转发密钥抛弃请求至物联网终端t2。
71.(4)密钥推送阶段，边缘网关将推送时间为当前时间且校验成功的密钥，发送至对应的物联网终端。
72.到达推送时间后，边缘网关发送所有推送时间为当前时间且密钥校验成功的密钥，如图5所示，第一、二边缘网关g1、g2终端组合c
1_2
的本轮密钥k校验成功且到达定时推送的时间，第一、二边缘网关g1、g2发送密钥k至对应的第一、二物联网终端t1、t2，密钥分发报文包括边缘网关内生成的密钥序号s
k
与量子密钥k；随后，边缘网关等待接收到密钥的物联网终端发送的密钥接收响应。
73.需要注意的是，对未校验或校验结果失败的密钥，将不发送至终端。
74.(5)物联网终端接收量子密钥，并发送密钥接收响应至对应边缘网关，边缘网关对未接收到响应的密钥进行处理。
75.如图5所示，第一、二物联网终端t1、t2收到第一、二边缘网关g1、g2的密钥分发报文后，确认接收密钥k，并发送密钥接收响应至对应的边缘网关，密钥接收响应中应包括自身
的身份标识id
t
与密钥序号s
k
；边缘网关在每条密钥分发报文发送后3秒内，若未能收到密钥接收响应，则认为物联网终端未接收密钥k，需发送密钥抛弃请求至密钥所属的终端组合的另一物联网终端的边缘网关，要求另一物联网终端抛弃密钥k。
76.假设本轮密钥推送中，第一边缘网关g1未能按时收到第一物联网终端t1的密钥接收响应，步骤(5)中边缘网关对未按时收到密钥接收响应的处理包括如下的子步骤：
77.(5.1)第一边缘网关g1发送密钥抛弃请求至第二边缘网关g2，密钥抛弃请求应包含终端组合c
1_2
中第一物联网终端t1的身份标识第二物联网终端t2的身份标识以及边缘网关内生成的密钥序号s
k
，即
78.(5.2)第二边缘网关g2收到密钥抛弃请求kd
request
，根据请求内容，若确定密钥k已发送至第二物联网终端t2，转发密钥抛弃请求至第二物联网终端t2；若密钥k还未发送，则直接在边缘网关内弃用密钥k。
79.(5.3)第二物联网终端t2收到密钥抛弃请求kd
request
后，根据密钥序号s
k
，找到密钥k并弃用，密钥k将不在后续的会话通信中使用。
80.(5.4)第二物联网终端t2将发送密钥抛弃响应至第二边缘网关g2，第二边缘网关g2将转发响应至第一边缘网关g1。
81.本发明方案所公开的技术手段不仅限于上述实施方式所公开的技术手段，还包括由以上技术特征任意组合所组成的技术方案。