量子城域网系列（七）：移动终端量子加密赋能

之前的文章中我们讨论了量子密钥如何在网络协议中加密应用，但是在端侧，有大量的无线场景，比如手机、物联网设备等等，这些场景的保密需要也非常旺盛。此外，基于量子密钥分发的城域网络要实现信息传输安全闭环，势必也要将移动终端进行量子加密。本文我们就讨论下移动终端量子加密如何赋能。

开始正文之前，有必要“咬文嚼字”一下。“移动量子密钥分发技术”指的是将量子通信终端搭载到移动平台（飞机、卫星等）进行基于大气信道的量子密钥协商；而“量子密钥的移动应用技术”指的是通过结合量子密钥分发与经典密码的优势将量子密钥应用到移动终端上，通常是将量子密钥注入移动设备，实现移动设备的量子密钥应用。从技术成熟度和工程成熟度来说，目前我们讨论的主要还是后者。

1.包含移动端的量子密钥分配网络模型

如下图为一个量子密钥分配网络的结构图，首先通过底层的量子密钥分发线路生成量子密钥。其次，在每个量子密钥分配终端构建密钥池将密钥进行汇聚管理，对外提供密钥读取和注入服务，通过管控中心进行统一管理。理论上来说，任何需要密钥的设备在授权的情况下都可以从密钥池获取密钥。

这个网络里面每一层包含了如下要素：

传输：量子密钥无线分发
网络：量子融合光网络
服务：量子密码服务中心
业务：量子加密通话等
终端：量子加密终端，量子SIM卡

量子密钥分配与移动通信结合的应用有两种形式：密钥中转加密和数据流中转加密，两种形式都包含密钥配送和数据加密传输两个过程，密钥配送由管控中心、密钥充值站、移动终端构成；数据加密传输由移动终端、管控中心、流媒体服务器等构成。
下图为将量子密钥分发安全服务拓展到移动端的一种方案结构。该方案是是在QKD的基础上，构建面向量子安全服务（Quantum security services）的来密钥分发中心（Key Distribution Center，KDC），即QSS-KDC；其中KDC用于于管理QKD网络产生的量子密钥。同时，还需提供量子密钥更新终端设备，以将QKD 网络产生的量子密钥缓存在终端的安全存储介质中（例如 SD 卡、SIM 卡、U 盾、安全芯片等），用于其通信过程中的鉴权和会话加密。该方案在移动办公、移动作业、移动支付、物联网等场景均可以应用。该模型实现总体分为四步：

密码预置：向QKD 节点及终端中预置根 CA 证书；
身份认证：使用证书验证终端及量子网络节点身份，使用对称的量子密钥用于后续会话的鉴权；
会话密钥协商：使用 QKD 网络生成量子密钥池，存储在终端及KDC 的安全密钥存储区；使用 KDC 协商产生 A-B 对称会话密钥；
加密传输：采用对称会话密钥进行信息加解密传输。

在根密钥预置阶段，在 QKD 用户终端中预置 CA 证书。当用户首次接入量子密钥更新设备提取密钥时，通过证书完成身份认证，以实现简化的用户初始认证管理。然后，终端可以从 QKD 网络末梢的量子密钥更新设备获取足够的量子密钥，用于后续的身份认证和会话加密。在终端间进行通信时，可通过终端与 KDC 预先共享的对称量子密钥进行鉴权认证，然后利用 KDC 协商产生终端间的对称会话密钥。这里所使用的量子密钥，可以采取一次性使用、随用随弃的策略，保证鉴权和会话密钥的新鲜性，以实现信息理论安全、抗量子计算攻击等优势。

模型的整体思路就是这些，在实际的应用中，要根据具体方案的场景及需求的不同，进行相关的具体方案设计。

2.QKD移动端增强方案

当前QKD应用到移动端要解决的核心问题是如何将来拿工资密钥提供给移动终端。为了满足移动终端对量子密钥的应用需求，当前主要采用离线灌装的方式将预先生成的一定量量子密钥充注入USIM卡、TF密码卡、SoftKey等终端安全介质，并配发给移动终端用户使用。整个密钥离线灌装操作在具有安全保障的物理环境中进行，确保量子密钥分发过程的安全性。由于终端安全介质留给量子相关业务的存储空间有限，一次灌装所能充注的密钥量也是有限的，通常为几百Kbit。因此，在预装密钥消耗完之后，通常要求量子移动端用户携带终端安全介质到业务运营商的指定网点与量子密钥充注设备对接，补充充注量子密钥。

上面这种方式显然是非常不利于大规模和常态化应用的。因此具有实际意义的方案是通过无线通信网络实现量子密钥安全分发是解决量子密钥移动端部署问题的有效途径，因此在当前量子密钥技术发展应用的早期阶段，研究并探索高安全性的无线物理层安全技术实现量子密钥无线分发。

目前中国移动在无线终端量子密钥分发领域的工作比较突出，本文对中国移动的方案进行介绍。方便大家直观的理解量子密钥是如何在移动终端赋能的。

中国移动针对量子技术在移动通信网络安全融合应用问题，提出量子与移动通信网络融合方案，即量子“Q波”，Q是量子英文Quantum的首字母，波代表无线电波，寓意为量子技术与移动通信网络融合（这里插播一个彩蛋，博主的CSDN域名就是：quantum.blog.csdn.net，大家发现了咩）。

量子密钥无线分发技术主要是将QKD技术与无线物理层安全技术相结合，利用无线信道随机性、互易性去相关性等特点在终端和4G基站/5G基站/WiFi热点等无线通信信道中产生具有信息论安全性的密钥，基于该密钥建立无线物理层安全通道，并对量子密码安全服务中心从量子密钥源(QRNG或QKD网络)获取的量子密钥进行加密分发。利用设计的量子密钥无线分发系统与ICT技术灵活结合，形成面向不同行业需求的安全应用。

量子密钥无线分发系统方案总体包括量子密码安全服务中心、量子无线网关、量子安全终端。

量子密码安全服务中心是量子密钥服务体系的核心。与量子密钥源对接获取量子密钥，同时对量子密钥进行管理。当存在量子密钥分发需求时，量子密码安全服务中心通过与量子无线网关建立的安全通道，与终端建立安全连接，发送其获取的量子密钥信息。

量子无线网关由无线安全通信模块和量子密钥无线传输组件组成。无线安全通信模块利用无线通信信道产生密钥，与终端建立无线安全通道。量子密钥无线传输组件与量子密码安全服务中心建立安全连接,接收其发送的量子密钥等数据并通过无线安全通道将量子密钥等数据安全下发至终端。

量子安全终端由无线安全通信模块和量子密钥无线分发组件组成。无线安全通信模块利用无线通信信道产生密钥，与网关建立无线安全通道，并接收、解密通道下发的量子密钥数据，将其传输至量子密钥无线分发组件。量子密钥无线分发组件接收到量子密钥信息后,将其存储在TF密码卡/安全芯片等本地密码模块。

关于量子密钥无线分发（Q波）技术详细情况，大家可以围观由中移智库和中国移动通信研究院编制，中国移动发布的：
量子密钥无线分发（Q波）技术白皮书https://mp.weixin.qq.com/s/4nTkfNnBqDQkd77LFzEZ8A

3.实际应用场景分析

3.1移动终端加密通信

量子保密通信技术可以实现加密语音电话、视频电话以及数据通信，满足党政军等具有高安全等级机构的要求。通过将QKD系统产生的量子密钥配置于移动终端，能够使终端用户使用达到信息论安全的量子密钥，从而确保移动终端保密通信达到更高等级的安全性，防止敏感信息泄露。

量子加密通信终端将依托移动通信网络，通过4G/5G网络接入，面向政企等行业用户提供全面、广泛网络覆盖的量子加密通信服务。基于用户通信终端量子安全SIM卡，实现终端认证，语音、短信、多媒体等数据通信加解密服务。量子密钥中心为量子密话业务系统平台、终端用户提供全天候量子密钥综合保障；量子密钥来源于量子通信网络、量子随机数发生器等。

以量子VoLTE加密通话为例，其主要由量子密码服务中心与VoLTE加密通信系统两部分组成。其中量子密码服务中心以量子随机数发生器为基础构建，依托安全能力平台提供量子密码的集中服务。VoLTE加密通信系统为通话主被叫双方使用量子密钥对语音信息进行加密保护，具有直接入密、带内密钥协商、一话一密、端到端加密、量子密话显性、国密SM2/SM3/SM4/ZUC算法等技术优势。
量子VoLTE加密手机终端含贴芯密码卡、量子密管家APP等模块。贴芯密码卡支持量子密钥安全存储、密码算法安全运算等功能，确保密码本地安全；量子密管家APP软件实现密码卡在线管理，支持用户-密卡绑定、远程销毁等功能，确保密码应用安全。

这里奉上一条昨天（4月22日）的新闻，有多巧呢，我晚上写完本文的初稿，临睡觉之前看到这条新闻，量子信息领域真的是日新月异！

中国移动量子密话系统商用版成功研发推广支持终端：华为 Mate60 Prohttps://mp.weixin.qq.com/s/cbF3kIExGhuRczgd_sEgDQ

3.2智能网联汽车应用

大家能感知到的是，当前汽车行业正在经历洗牌。汽车正在由一个交通工具转变为智能终端，现在大多汽车都需要与互联网连接，车载网络接口愈加丰富，网络架构趋于复杂化，从外部信息感知到车载内部系统之间的交互逐渐频繁，打破了汽车电子系统原有的封闭环境。当前智能网联汽车搭载上百台小型车载电脑，运行代码上升至1亿行，无人驾驶运行代码甚至在2亿行以上，代码量增多导致代码漏洞威胁持续扩大，造成更多网络安全风险。汽车又直接和大家生命安全相关，因此智能网联汽车的信息安就尤为重要了。

智能网联汽车量子密码的保障范围包括数据的真实性、新鲜性、完整性、不可抵赖性、保密性、可用性、可授权性。保障范围如下表：

威胁类型	安全属性	定义	举例
仿冒	真实性新鲜性	仿冒，冒充他人身份	冒充其他组件发送欺骗信息
篡改	完整性	篡改，非法修改数据	修改数据
否认	不可抵赖行（审计）真实性	抵赖，否认做过的事	否认其操作行为
信息泄露	保密性	信息泄露	个人信息被泄露
拒绝服务	可用性	拒绝服务	资源耗尽或服务不可用
提升权限	可授权性	提权，未经授权但是执行了操作	普通用户提升到管理员

在车云云应用场景下，通过车辆和云端之间建立通信连接，实现车辆与云平台系统之间的数据交换、控制指令传递和信息共享，提供更智能、安全和高效的交通和驾驶体验。通过量子加密通信技术，将车辆与云端之间的交互数据进行加密传输，尤其汽车安全和数据隐私相关的数据。量子密码技术可以用到如车辆识别与授权、安全通信、车来那个位置隐私等场景。

车云通信加密应用场景方案结构如下。基于国盾量子的量子密钥分发管理系统 QSS 为基础，搭建具备密钥生成方法管理能力的量子云服务器和汽车服务提供商。将量子密钥充注在各个厂家的 T-BOX（奇瑞汽车，东风汽车，斯润天朗，合肥工大自研量子安全终端等）内，使其具备量子加解密的能力。实现车辆数据加密上传到车企 TSP 平台，并在车企 TSP 平台和政府监管云台（合肥市智能网联汽车创新中心）之间部署 QKD 设备实现云平台之间的量子加密通信。同时，基于仿真测试和实车测试，获取车辆身份授权和加解密通信的通信开销和计算开销，保证通信的安全性和高效性。

关于量子保密通信在车联网领域的应用，大家可以进一步围观由全国汽车标准化委员会智能网联汽车分技术委员会出品的：智能网联汽车量子通信技术及其安全应用标准领航研究http://www.catarc.org.cn/upload/202312/20/202312200937100327.pdf

4.写在最后

量子城域网系列文章写到这里基本上就完成了基础认识层面的讨论，我们对量子城域网的关键组成部分（集控站、中继站、接入站、用户站）、组网方式、组网结构、量子城域网基本的工作原理等进行了初步的介绍。

总结一下，量子城域网是一种可覆盖整个城市的量子密钥分发网络。它利用量子密钥分发技术和密码算法为基础，并与传统通信网络相结合，实现用户业务系统数据的量子安全加密传输，提供基于量子安全技术的高等级安全通信服务。量子城域网的基础是要实现两点之间的量子密钥分发，重点是实现量子密钥与经典加密算法的融合，场景覆盖是要实现光纤网络传输和无线终端数据传输。

接下来的文章里关于城域网的讨论就要下沉到细节了，包括量子密钥分发网络的建设与管理，关键设备，实施细节等。小伙伴们敬请期待~

文中有谬误的地方，还请大家不吝指正。