国标《量子保密通信应用基本要求》简析及应用.pdf

33上海信息化在国家的持续支持下，我国量子保密通信技术跻身全球领先地位，特别是初步构建了由“墨子号”“京沪干线”“国家广域量子保密通信骨干网络”等组成的星地一体量子保密通信网络，并成功在金融、政务等领域开展应用，为规模化推广打下坚实基础。得益于设施的前瞻部署、示范应用的良好效果，量子保密通信标准化工作也取得了较好进展。2017年6月，在工信部、中国科学院等相关部门的支持和指导下，中国通信标准化协会（CCSA）专门成立了“量子通信与信息技术特设任务组”（ST7），成员单位包括国科量子通信网络有限公司、科大国国标量子保密通信应用基本要求简析及应用文 缪亚军 李明翰 王宇舟近年来，党和国家进一步要求加强量子信息领域标准化工作和量子保密通信应用，特别是2021年10月与2022年12月，中共中央、国务院分别印发 国家标准化发展纲要扩大内需战略规划纲要（2022 2035 年），明确提出“加强量子信息等关键技术领域标准研究”“以需求为导向，增强国家广域量子保密通信骨干网络服务能力”等要求。盾量子技术股份有限公司等量子通信领域的创新型企业，以及国内三大电信运营商、华为技术有限公司、中兴通讯股份有限公司等电信领域领军企业。34上海信息化数字化转型DIGITAL TRANSFORMATION特设任务组的主要任务是围绕量子通信技术、网络以及关键器件等开展标准化工作，截至2023年1月，ST7开展的标准工作包括量子保密通信应用基本要求等国家标准2项、量子保密通信网络架构等行业标准27项。国标应用要求基本情况2023年8月，我国正式发布首个量子保密通信国家标准量子保密通信应用基本要求（以下简称“国标应用要求”），为进一步推动量子保密通信标准化工作和应用推广提供了规范和指引，对加快培育量子信息未来产业具有重大里程碑意义。国标应用要求于2018年10月在ST7立项，由国科量子通信网络有限公司、中国移动通信集团有限公司、中国电信集团有限公司牵头，中国信息通信研究院、科大国盾量子技术股份有限公司等单位共同参与编制，经过五年间多轮讨论以及结合实践的不断完善，最终由全国通信标准化技术委员会（TC485）于2023年8月发布，并将于2024年3月实施。该标准是我国首个面向应用的量子保密通信标准，主要内容包括范围、规范性引用文件、术语和定义、缩略语、概述、应用基本要求、应用场景七个部分，从安全性、可扩展性、高效性、鲁棒性等方面明确了量子保密通信系统和应用的基本要求，并给出了依托量子网络开展的典型应用场景，为规模化开展量子保密通信应用提供了规范性指导。量子密钥分发网络量子密钥分发网络是量子保密通信应用不可或缺的组成部分，是其发展的前提和基础。根据国标应用要求，量子保密通信应用主要有两种形式基于点对点的应用、基于量子密钥分发网络的应用。从本质上讲前者是后者的一种特殊形态，当需要为多个用户提供量子密钥生成和分发功能时，可将点对点系统扩展为基于量子密钥分发网络的多点对多点系统，以更好地满足多用户、长距离等不同应用需求。基于量子密钥分发网络的量子保密通信典型方案示意图如下。目前，我国已建成全球规模最大、技术先进、星地一体的量子密钥分发网络。根据公开信图1 基于量子密钥分发网络的量子保密通信应用方案35上海信息化对比项（率先性）里程覆盖城市实施周期国家广域量子保密通信骨干网络10000 公里71 个2018-2022 年欧盟泛欧量子通信基础设施（在建）整体工程数千公里欧盟成员国2018-2027 年先导工程1000 公里12 个2019-2023 年对比项（先进性）成码率环网保护星地组网运营保障国家广域量子保密通信骨干网络（以京汉广段为例）16Kbps具备具备自研 724 小时运维系统其他国家英国（剑桥-布里斯托尔）2.7Kbps不具备不具备未见相关公开报道意大利（佛罗伦萨段）4.5Kbps不具备不具备表1 国家广域量子保密通信骨干网络与相关广域量子基础设施对比息，我国“国家广域量子保密通信骨干网络”总里程超过10000公里，覆盖京津冀、长三角、粤港澳大湾区、成渝、东北等区域的17个省市约80个城市，并与位于上海、重庆、广州等地的量子卫星地面站实现互联，具备将服务拓展至海岛、境外等光纤无法达到区域的能力。对比欧盟、英国等主要国家和地区的广域量子保密通信基础设施，“国家广域量子保密通信骨干网络”在成码率、环网保护、星地组网等方面处于全面领先地位。图2 量子保密通信在ICT系统中的分层结合应用量子保密通信与I C T 系统融合量子保密通信在通用TCP/IP（Transmission Control Protocol/Internet Protocol，传输控制协议/网际协议）模型的有关协议层大有可 为。国 标 应 用 要 求 给 出 了 量 子 保 密 通信与ICT（Information and Communications Technology，信息与通信技术）系统数据链路层、网络层、传输层和应用层融合的应用方案示意图，如下所示。在数据链路层，利用量子密钥分发网络生成的对称随机数作为会话密钥，实现分组密码算法或序列密码算法；在网络层，将量子密钥分发作为新型密钥交换技术与IKE（Internet Key Exchange，因特网密钥交换）协议融合；在传输层，利用量子网络生成的对称密钥，对基于TLS（Transport Layer Security，传输层安全性协议）的VPN（Virtual Private Network，虚拟专用网络）业务数据进行加解密；在应用层，将量子网络生成的对称密钥应用在移动终端中，用于加密语音/视频通话或会议、即时通信等业务。量子保密通信在各协议层的应用价值如表2所示。36上海信息化数字化转型DIGITAL TRANSFORMATION量子保密通信典型应用场景与实践国标应用要求给出了七大量子保密通信应用场景，包括数据中心备份及业务连续性、政企专网、移动终端安全服务等。本文结合国内应用实践相关情况，对部分场景进行简要介绍。第一，数据中心备份及业务连续性应用场景。在数据成为生产要素和数据上云成为趋势的背景下，量子保密通信能够实现数据中心间密钥的同步和更新，为保障数据中心相关业务的连续性提供了新型安全保障手段，目前已在金融等领域开展应用。2021年8月，中国人民银行清算中心在金融电子化发表专题文章量子密钥分发技术在支付系统中的应用实践，指出：依托量子保密通信“京沪干线”和北京、上海、无锡量子城域网，支付系统实现了三地数据中心的密钥同步与更新。该应用解决了传统对称加解密体系密钥分发过程中的安全问题，显著提高了支付系统数据中心间报文传输的安全性；同时实现了各业务系统通过调用API（Application Programming 图3 人民银行清算中心支付应用方案Interface，应用程序编程接口）的方式从量子网络获得量子密钥，有效降低了业务系统开发成本，并计划在清算中心其他业务系统中推广使用。第二，政企专网应用场景。当前，随着政企数字化转型逐步进入纵深阶段，如何提升数字安全、保护数字资产，成为数字化转型的关注重点。量子保密通信利用高安全的对称密钥加密保护政企业务数据，为提升和保障政企专网及其服务的安全性提供了自主可控的技术支撑，目前已在政务等领域开展应用。“基于量子技术服务政府5G特别呈报系统”已在某些省份成功应用，该应用提升了政务信息传输的安全性、扩展了政务内网的服务边界，并入选了2022年工业和信息化部、国家密码管理局开展的工业和信息化领域商用密码典型应用方案名单。第三，移动终端安全服务应用场景。随着万物互联时代到来，移动终端成为生活工作的重要组成部分。工业和信息化部统计数据表2 量子保密通信在各协议层的应用价值协议层应用价值列举数据链路层利 用 量 子 密 钥 分 发 技 术 实 现 PPP（Point to Point Protocol，点对点协议）中的密钥协商过程网络层利用量子密钥分发技术生成的共享密钥实现 IPSec（Internet Protocol Security，互联网安全协议）载荷加解密功能传输层用量子密钥替换 TLS 协议中的会话密钥或消息鉴别码算法所需密钥、并可用于基于 OTP（One Time Pad，一次一密）方式的加密传输应用层与应用层协议结合应用，实现用户身份鉴别、鉴权、会话加密或消息鉴别37上海信息化图4 基于量子技术服务数字政府5G特别呈报系统方案图5 量子保密通信在移动终端安全服务的应用场景图6 量子保密通信在核电领域的应用场景第四，关键基础设施监控和数据采集应用场景。关键基础设施包括通信、供水、电力生产分配、运输系统等，对社会经济的正常运行作用显著。关键基础设施网络化、信息化程度不断提高，在提升运行效率的同时，也给攻击者提供了新的攻击渠道。量子保密通信能够为通信双方分发密钥并执行数据加、解密等操作，为关键基础设施工控系统的通信安全提供技术保障。目前，国科量子通信网络有限公司已在某核电站实现了量子技术与核电实物保护系统应用的融合，并积极推动为重要生产数据传输提供融合量子技术的安全保障。国标应用要求的发布和实施恰逢其时，为在金融、政务、关键基础设施等领域开展量子保密通信的规模化应用提供了指引，为我国加速培育量子通信未来产业，率先将基础设施领先优势转化为产业竞争优势提供了重要保障。显示，截至2023年8月，我国移动网络终端连接总数达38.91亿户。同时，移动终端安全关系着个人最直接的信息和隐私安全，是不可忽视的安全要素。量子保密通信能够实现身份鉴别，并产生一次性会话密钥，为移动终端的安全服务保驾护航，目前已在加密通话、加密对讲等领域开展应用。中国移动、中国电信、中国联通纷纷推出了量子加密通话、量子加密对讲等产品，并已应用于视频通话等个人通信业务，以及北京冬奥会、杭州亚运会等大型赛事保障服务中。