1.一种低延迟的量子密钥移动服务方法,其特征在于,包括如下步骤:
(1-1)应用终端向量子密钥分发网络中的一个量子服务节点(简称节点,记为QKN)申请注册入网,并获得唯一的量子ID;
(1-2)已注册应用终端向量子密钥分发网络中的至少一个量子服务节点申请量子密钥流量,并实现该应用终端与该量子服务节点之间的量子密钥流量共享,建立该量子服务节点与该应用终端的服务关联列表;该量子服务节点把该服务关联列表发送到量子密钥分发网络的量子网络管理服务器;
(1-3)通信业务发起后,应用终端向量子密钥分发网络请求本次通信的会话密钥服务(记该次通信的主叫和被叫应用终端分别为MT_U和MT_V);
(1-4)量子密钥分发网络中的量子网络管理服务器收到所述请求后,分别根据应用终端MT_U和MT_V的量子ID查找相应的服务关联列表,并得到所关联的主叫量子服务节点(记为QKN_A)和被叫量子服务节点(记为QKN_B),以及参与该次会话密钥服务的中继节点的地址;(假定MT_U使用其与QKN_A共享的量子密钥流量中的一个子密钥QKP_AUi(i不大于量子密钥流量中子密钥的数量的自然数),MT_V使用其与QKN_B共享的量子密钥流量中的一个子密钥QKP_BVi(i不大于量子密钥流量中子密钥的数量的自然数);
(1-5) 量子网络管理服务器根据所存储的中继路由表和相关量子服务节点的当前状态指标,量子网络管理服务器进行如下操作:(1-5-1)如果MT_U和MT_V关联同一个量子服务节点QKN_A(即QKN_A与QKN_B是同一个量子服务节点),则,量子网络管理服务器直接指定QKN_A提供该次会话密钥服务;QKN_A分别选择MT_U和MT_V的子密钥QKP_AUi和QKP_BVj,并计算R=QKP_AUi⊕QKP_BVj(其中,⊕是异或运算,i与j可以相同也可以不同,下同);QKN_A把R以及QKP_AUi和QKP_BVj的密钥标识发给量子密钥中继服务器,量子密钥中继服务器再把R和QKP_AUi的密钥标识发给MT_U,把R和QKP_BVj的密钥标识发给MT_V;MT_U与MT_V协商使用QKP_AUi(或QKP_BVj)作为共享会话密钥,相应地,MT_V计算R⊕QKP_BVj =QKP_AUi(或MT_U计算R⊕QKP_AUi=QKP_BVj);
(1-5-2)如果QKN_A和QKN_B是存在点到点量子密钥分发连接的相邻节点,则,量子网络管理服务器直接指定QKN_A和QKN_B使用二者之间事先缓存的共享量子密钥或实时协商的共享量子密钥Kab;QKN_A把Kab⊕QKP_AUi及QKP_AUi的密钥标识发给量子密钥中继服务器;
QKN_B把Kab⊕QKP_BVj及QKP_BVj的密钥标识发给量子密钥中继服务器;量子密钥中继服务器计算Kab⊕QKP_AUi⊕Kab⊕QKP_BVj=QKP_AUi⊕QKP_BVj=R;量子密钥中继服务器再把R和QKP_AUi的密钥标识发给MT_U,把R和QKP_BVj的密钥标识发给MT_V;MT_U与MT_V协商使用QKP_AUi(或QKP_BVj)作为共享会话密钥,相应地,MT_V计算R⊕QKP_BVj =QKP_AUi(或MT_U计算R⊕QKP_AUi=QKP_BVj);
(1-5-3)如果QKN_A和QKN_B是不相邻的两个量子服务节点,则,量子网络管理服务器选择参与量子密钥中继的n(n是大于0的自然数)个中继节点,并令所述每一个中继节点计算其与另外两个相邻节点之间的共享量子密钥的异或值,并发送到量子密钥中继服务器;
假定参与该次中继的全部量子服务节点依次记为QKN_A、⋯、QKN_Ci、⋯、QKN_B(其中,i是自然数,且0
2,以此类推),假定所述节点的相邻节点之间依次选择K1、⋯、Ki、⋯、K(n+1)作为该次中继服务的量子密钥,其中,K1是QKN_A与QKN_C1的共享量子密钥,Ki是QKN_C(i-1)与QKN_Ci的共享量子密钥(其中,1
量子网络管理服务器令QKN_A计算R0=QKP_AUi⊕K1,并把计算结果R0及QKP_AUi的密钥标识一起发给量子密钥中继服务器;令QKN_B计算R(n+1)=K(n+1)⊕QKP_BVj,并把计算结果R(n+1)及QKP_BVj的密钥标识一起发给量子密钥中继服务器;分别令节点QKN_Ci计算其与所述两个相邻节点之间的两个共享量子密钥的异或运算(记为⊕)值,即节点QKN_Ci计算Ri=Ki⊕K(i+1),并分别把计算结果Ri及其相应节点QKN_Ci的ID一起发给量子密钥中继服务器(其中,i是自然数,且0
(1-6)MT_U与MT_V使用步骤(1-5)得到的会话密钥,通过该类通信业务原有的数据链路进行保密通信。
2.根据权利要求1所述的方法,其特征在于,所述步骤(1-2)中的服务关联列表的内容包括:应用终端的量子ID、验证密码、关联量子服务节点的地址、业务账号标识;其中,已注册应用终端的量子ID在整个量子密钥分发网络中是唯一的;所述验证密码用于应用终端连接量子密钥分发网络时的身份确认;所述业务账号标识是该应用终端及量子密钥分发网络所支持的各类通信业务的账号集合,它包含一项或多项不同业务的账号。
3.根据权利要求1所述的方法,所述量子网络管理服务器,其特征在于:
(3-1)存储、维护和查询量子服务节点与应用终端之间的服务关联列表和中继路由表;
(3-2) 维护与各量子服务节点间的经典网络连接;
(3-3) 根据收到的中继请求信息,向量子密钥中继服务器发送中继服务指令;
(3-4) 对参与可信中继的各节点的当前状态指标进行汇总,判断得到参与中继的节点;
(3-5) 与量子服务节点通信,向量子服务节点发送指令。
4.根据权利要求1所述的方法,所述量子密钥中继服务器,其特征在于:实时响应量子网络管理服务器的指令,接收中继节点的中继相关数据,向源节点和目标节点发送中继密钥相关数据。
5.根据权利要求1所述的方法,所述量子服务节点包括量子密钥分发(简称QKD)系统、量子密钥服务器和安全存储服务器,其特征在于:(5-1)所述QKD系统包括一台或多台QKD收发一体机或QKD的发送端和/或接收端,一个量子服务节点的QKD与其它存在点到点量子信道连接的相邻量子服务节点的QKD都可以组成至少一套量子密钥分发系统;
(5-2)所述量子密钥服务器用于为应用终端提供注册服务和量子密钥流量服务并创建相应的服务关联列表,还用于响应量子网络管理服务器的指令并上报节点状态信息和提供可信中继服务;还用于把用户注册信息和服务关联列表发送给量子网络管理服务器;还用于协商确认与相邻节点所使用的量子密钥;
(5-3)所述安全存储服务器用于缓存所述QKD系统与其它存在直接连接关系的相邻量子服务节点的QKD系统之间协商的量子密钥,还用于存储与所服务应用终端之间的共享量子密钥流量。
6.根据权利要求1所述的方法,所述步骤(1-4)中量子网络管理服务器得到参与该次会话密钥服务的中继节点的地址的方法,其特征在于:量子网络管理服务器根据所接收到的主叫应用终端与被叫应用终端的量子ID,查找相应的服务关联列表,得到本次通信中的主叫量子服务节点地址和被叫量子服务节点地址;
然后再查询所存储的中继路由表,得到本次通信中主叫量子服务节点与被叫量子服务节点间各个中继量子服务节点的地址。
7.根据权利要求1所述的方法,其特征在于,如果某个已注册应用终端从多个量子服务节点获取了量子密钥流量,并且都存在着服务关联关系且保存有相应的多个服务关联列表,则,所述应用终端对所述多个服务关联列表按优先级进行排序,并优先按照所述排序选择所关联的量子服务节点并使用相应的量子密钥流量。
8.根据权利要求1所述的方法,所述步骤 (1-5)中的“中继路由表”,其特征在于:
(8-1)中继路由表由若干条记录组成,每一条记录的内容包括:本机地址、目标地址和下一跳地址;
(8-2)量子密钥分发网络的各个量子服务节点中都保存有自己的中继路由表;
(8-3)量子网络管理服务器中存储有每个量子服务节点的当前中继路由表;
(8-4)量子密钥分发网络的拓扑结构变化后,会话密钥中继路由表也随之更新。
9.根据权利要求1或权利要求7所述的方法,所述量子服务节点的当前状态指标,其特征在于:
(9-1)反映该量子服务节点当前负担的中继任务的繁重状态的指标,该指标是一个量化的指标,包括:
(9-1-1)该量子服务节点的额定量子密钥分发速率;
(9-1-2)该量子服务节点当前正在参与多少个中继任务,各个中继任务的量子密钥消耗速率;
(9-2)反映该量子服务节点在量子密钥分发网络中当前所处的位置状态的指标,该指标是一个量化的指标,包括:(9-2-1)该量子服务节点与其他多少个量子服务节点之间存在有效的量子信道并能够进行量子密钥协商;
(9-2-2)该量子服务节点与其他量子服务节点间的跳数。
10.根据权利要求1所述的方法,所述应用终端包括具有无线通信功能的智能便携通信设备、具有无线通信功能的密钥数据转发设备以及采用量子密钥流量和权利要求1所述的方法获取与其它设备之间的共享密钥的设备,其特征在于:(10-1)所述具有无线通信功能的智能便携通信设备用于采用所述方法获得的会话密钥进行业务数据加解密通信;
(10-2)所述具有无线通信功能的密钥数据转发设备用于把采用所述方法获得的会话密钥再转发给其它加密通信设备,并用于所述其它加密通信设备之间的业务数据加解密通信;
(10-3)所述采用量子密钥流量和权利要求1所述的方法获取与其它设备之间的共享密钥的设备的特征在于,所述设备利用离线途径获得量子密钥流量,并采用所述方法与其它设备协商共享密钥,并基于所述共享密钥进行加密通信。
11.根据权利要求1所述的方法,所述量子密钥流量包括一定长度的具有特定数据格式的随机数序列和经过编排的随机密钥序列,其特征在于:所述特定数据格式的随机数序列是通过随机性测试的并可以按一定长度分割为多个子密钥的随机数序列;所述经过编排的随机密钥序列由多个通过随机性测试的具有密钥标识的子密钥组成。