一种基于后量子签名的证书认证系统及认证方法

摘要

本发明属于保密通信技术领域，公开了一种基于后量子签名的证书认证系统，包括核心层、管理层、服务层以及用户层，核心层包括量子安全证书/CRL存储发布服务模块、量子安全证书/CRL生成与签发服务模块、密钥安全管理服务模块；管理层包括量子安全证书管理服务模块和系统安全管理服务模块；服务层包括远程RA模块、本地RA模块和证书CRL/OCSP查询服务模块。与现有技术相比，本发明采用国密认证和后量子认证的混合身份认证方式，构建用户域内的量子安全PKI体系；同时终端采用集成安全加固SDK的方式，构建端到证书认证系统、端到端的量子安全双向认证加密信道，用于证书的申请签发、加密公私钥对的安全托管和业务系统的量子安全身份认证以及数据的可信传输。

权利要求

1.一种基于后量子签名的证书认证系统，其特征在于，包括部署在核心安全区域的核心层、部署在安全接入区域的管理层、部署在互联网区域的服务层以及用户层，所述核心层包括量子安全证书/CRL存储发布服务模块、量子安全证书/CRL生成与签发服务模块、密钥安全管理服务模块；

所述管理层包括量子安全证书管理服务模块和系统安全管理服务模块；

所述服务层包括远程RA模块、本地RA模块和证书CRL/OCSP查询服务模块；

所述用户层包括应用系统以及系统用户，

所述密钥安全管理服务模块用于对生命周期内的加密证书密钥对进行全过程管理；

所述量子安全证书/CRL生成与签发服务模块用于生成、签发数字证书和证书撤销列表；

量子安全证书/CRL存储发布服务模块用于量子安全证书、证书撤销列表的存储和发布，采用数据库或目录服务方式，实现量子安全证书/证书撤销列表的存储、备份和恢复功能，并提供查询服务；

所述量子安全证书管理服务模块用于对量子安全证书／证书撤销列表进行管理控制；

所述系统安全管理服务模块用于认证系统的安全审计和安全防护；

所述远程RA模块、本地RA模块用于用户的证书申请、身份审核和证书下载；

所述证书CRL/OCSP查询服务模块为系统用户和应用系统提供证书状态查询服务。

2.如权利要求1所述的基于后量子签名的证书认证系统，其特征在于，所述密钥安全管理服务模块的全过程管理包括密钥生成、密钥存储、密钥分发、密钥备份、密钥更新、密钥撤销、密钥归档、密钥恢复以及安全管理，所述密钥安全管理服务模块根据量子安全证书/CRL生成与签发服务模块的请求，为用户生成非对称密钥对和后量子密钥对。

3.如权利要求2所述的基于后量子签名的证书认证系统，其特征在于，所述密钥安全管理服务模块支持采用热备份、冷备份和异地备份措施实现密钥备份。

4.如权利要求1所述的基于后量子签名的证书认证系统，其特征在于，所述证书认证系统采用签名证书和加密证书双证书机制，以及非对称签名和后量子签名的混合认证签名方式。

5.如权利要求4所述的基于后量子签名的证书认证系统，其特征在于，所述签名证书的密钥对由用户利用具有密码运算功能的证书载体产生，所述加密证书的密钥对和后量子签名的密钥对由密钥安全管理服务模块产生并负责安全管理，签名证书和加密证书一起保存在用户的证书载体中。

6.如权利要求1所述的基于后量子签名的证书认证系统，其特征在于，所述量子安全证书管理服务模块实现对量子安全证书／证书撤销列表的申请、审核、生成、签发、存储、发布、注销、归档。

7.一种基于后量子签名的证书认证方法，其特征在于，包括以下步骤：S1、用户构建PCA，量子签名的证书认证系统在使用前进行用户构建PCA；

S2、量子安全证书申请，量子签名的证书认证系统进行量子安全证书的申请和签发；

S3、量子安全证书更新，所述量子签名的证书认证系统进行量子安全证书的更新；

S4、量子安全证书吊销，所述量子签名的证书认证系统进行量子安全证书的吊销；

S5、量子安全加密证书私钥恢复，所述量子签名的证书认证系统进行量子安全加密证书私钥恢复；

S6、用户集成量子安全SDK，所述量子签名的证书认证系统提供量子安全SDK。

8.如权利要求7所述的基于后量子签名的证书认证方法，其特征在于，所述步骤S1中包括：S11、登录量子签名的证书认证系统申请P10证书请求文件；

S12、密钥安全管理服务模块生成PCA根证书的公私钥对和PQC公私钥对；

S13、量子安全证书/CRL存储发布服务模块进行后量子自签名，作为属性值加入P10证书请求文件返回；

S14、将P10证书请求文件提交给第三方可信机构进行国密证书的签发，所述国密证书为PCA双证书；

S15、将PCA双证书导入量子签名的证书认证系统；

S16、提供用户PCA域内证书申请、证书更新、证书吊销、挂起解挂、密钥恢复认证服务。

9.如权利要求7所述的基于后量子签名的证书认证方法，其特征在于，所述步骤S2中包括：S21、业务系统通过远程RA模块或本地RA模块或量子安全SDK提交P10证书请求文件和身份证明文件；

S22、身份验证通过后，密钥安全管理服务模块分配PQC公私钥对；

S23、量子安全证书/CRL存储发布服务模块进行后量子签名和国密签名；

S24、生成并发布量子安全签名证书；

S25、密钥安全管理服务模块分配加密证书密钥对，进行后量子签名和国密签名；

S26、生成并发布量子安全签名证书；

S27、返回量子安全签名证书、量子安全加密证书以及加密保护的加密证书私钥和PQC私钥。

10.如权利要求7所述的基于后量子签名的证书认证方法，其特征在于，所述量子签名的证书认证系统与所述远程RA模块以及与所述本地RA模块为一对多关系。

11.如权利要求7所述的基于后量子签名的证书认证方法，其特征在于，所述量子签名的证书认证系统与所述量子安全SDK为一对多关系。

12.如权利要求7所述的基于后量子签名的证书认证方法，其特征在于，所述量子安全SDK与所述量子签名的证书认证系统之间构建量子安全双向认证加密信道；所述远程RA模块以及所述本地RA模块分别与所述量子签名的证书认证系统之间构建量子安全双向认证加密信道。

说明书

一种基于后量子签名的证书认证系统及认证方法

技术领域

[0001] 本发明涉及量子保密通信应用技术领域，特别涉及一种基于后量子签名的证书认证系统及认证方法。

背景技术

[0002] 随着企业数字化进程加快，内部系统广泛存在无身份校验的认证或者基于简单机制的认证，存在身份认证安全问题，容易导致数据非法越权访问，造成数据泄露的风险；企业业务系统内部存在采用数据明文方式的传输，存在数据安全问题，需要在内部建立双向认证加密传输机制；企业业务在从http向https迁移过程中，需要有证书认证机制的支持；随着企业搭建内部私有云，业务上云后，云端业务系统之间进行身份认证，需要搭建一个内部的证书认证体系；一般证书认证系统使用的加密证书密钥对存在管理难的问题和存储安全性问题；一般证书认证系统基于非对称密码机制，使用RSA或椭圆曲线算法，无法应对潜在的量子计算的威胁，存在一定的技术性风险；一般证书认证系统无法做到业务终端级的国密认证和后量子认证的混合身份认证。

发明内容

[0003] 针对现有技术存在以上缺陷，本发明提供一种基于后量子签名的证书认证系统及认证方法，具体如下：

[0004] 本发明的技术方案是这样实现的：

[0005] 一种基于后量子签名的证书认证系统，包括部署在核心安全区域的核心层、部署在安全接入区域的管理层、部署在互联网区域的服务层以及用户层，

[0006] 所述核心层包括量子安全证书/CRL存储发布服务模块、量子安全证书/CRL生成与签发服务模块、密钥安全管理服务模块；

[0007] 所述管理层包括量子安全证书管理服务模块和系统安全管理服务模块；

[0008] 所述服务层包括远程RA模块、本地RA模块和证书CRL/OCSP查询服务模块；

[0009] 所述用户层包括应用系统以及系统用户，

[0010] 所述密钥安全管理服务模块用于对生命周期内的加密证书密钥对进行全过程管理；

[0011] 所述量子安全证书/CRL生成与签发服务模块用于生成、签发数字证书和证书撤销列表；

[0012] 量子安全证书/CRL存储发布服务模块用于量子安全证书、证书撤销列表的存储和发布，采用数据库或目录服务方式，实现量子安全证书/证书撤销列表的存储、备份和恢复等功能，并提供查询服务；

[0013] 所述量子安全证书管理服务模块用于对量子安全证书／证书撤销列表进行管理控制；

[0014] 所述系统安全管理服务模块用于认证系统的安全审计和安全防护；

[0015] 所述远程RA模块、本地RA模块用于用户的证书申请、身份审核和证书下载；

[0016] 所述证书CRL/OCSP查询服务模块为系统用户和应用系统提供证书状态查询服务。

[0017] 优选地，所述密钥安全管理服务模块的全过程管理包括密钥生成、密钥存储、密钥分发、密钥备份、密钥更新、密钥撤销、密钥归档、密钥恢复以及安全管理，所述密钥安全管理服务模块根据量子安全证书/CRL生成与签发服务模块的请求，为用户生成非对称密钥对和后量子密钥对。

[0018] 优选地，所述密钥安全管理服务模块支持采用热备份、冷备份和异地备份措施实现密钥备份。

[0019] 优选地，所述证书认证系统采用签名证书和加密证书双证书机制，以及非对称签名和后量子签名的混合认证签名方式。

[0020] 优选地，所述签名证书的密钥对由用户利用具有密码运算功能的证书载体产生，所述加密证书的密钥对和后量子签名的密钥对由密钥安全管理服务模块产生并负责安全管理，签名证书和加密证书一起保存在用户的证书载体中。

[0021] 优选地，所述量子安全证书管理服务模块实现对量子安全证书／证书撤销列表的申请、审核、生成、签发、存储、发布、注销、归档。

[0022] 本发明还公开了一种基于后量子签名的证书认证方法，包括以下步骤：

[0023] S1、用户构建PCA，量子签名的证书认证系统在使用前进行用户构建PCA；

[0024] S2、量子安全证书申请，量子签名的证书认证系统进行量子安全证书的申请和签发；

[0025] S3、量子安全证书更新，所述量子签名的证书认证系统进行量子安全证书的更新；

[0026] S4、量子安全证书吊销，所述量子签名的证书认证系统进行量子安全证书的吊销；

[0027] S5、量子安全加密证书私钥恢复，所述量子签名的证书认证系统进行量子安全加密证书私钥恢复；

[0028] S6、用户集成量子安全SDK，所述量子签名的证书认证系统提供量子安全SDK，所述量子安全SDK支持门限密钥共享算法，支持私钥安全分发备份和多密码设备冗余同步。

[0029] 优选地，所述步骤S1中包括：

[0030] S11、登录量子签名的证书认证系统申请P10证书请求文件；

[0031] S12、密钥安全管理服务模块生成PCA根证书的公私钥对和PQC公私钥对；

[0032] S13、量子安全证书/CRL存储发布服务模块进行后量子自签名，作为属性值加入P10证书请求文件返回；

[0033] S14、将P10证书请求文件提交给第三方可信机构进行国密证书的签发，所述国密证书为PCA双证书；

[0034] S15、将PCA双证书导入量子签名的证书认证系统；

[0035] S16、提供用户PCA域内证书申请、证书更新、证书吊销、挂起解挂、密钥恢复认证服务。

[0036] 优选地，所述步骤S2中包括：

[0037] S21、业务系统通过RA或量子安全SDK提交P10证书请求文件和身份证明文件；

[0038] S22、身份验证通过后，密钥安全管理服务模块分配PQC公私钥对；

[0039] S23、量子安全证书/CRL存储发布服务模块进行后量子签名和国密签名；

[0040] S24、生成并发布量子安全签名证书；

[0041] S25、密钥安全管理服务模块分配加密证书密钥对，进行后量子签名和国密签名；

[0042] S26、生成并发布量子安全签名证书；

[0043] S27、返回量子安全签名证书、量子安全加密证书以及加密保护的加密证书私钥和PQC私钥。

[0044] 优选地，所述量子签名的证书认证系统与所述RA为一对多关系。

[0045] 优选地，所述量子签名的证书认证系统与所述量子安全SDK为一对多关系。

[0046] 优选地，所述量子安全SDK与所述量子签名的证书认证系统之间构建量子安全双向认证加密信道；所述RA与所述量子签名的证书认证系统之间构建量子安全双向认证加密信道。

[0047] 与现有技术相比，本发明有以下有益效果：

[0048] 本发明的一种基于后量子签名的证书认证系统及方法，可以为企业数字化进程提供安全的身份认证机制，有效的进行数据身份权限管理；可以实现在集成量子SDK的业务系统间构建量子安全的双向认证加密信道，解决数据传输安全问题；可以很好的兼容现有的国密非对称服务，帮助企业业务从http向https迁移；可以快速在企业私有云环境搭建一个内部的量子安全PKI体系，提供SDK方便业务系统接入调用，为企业业务上云提供完整的证书认证服务；提供密钥安全管理服务，通过(3, 5)门限算法将根私钥进行安全分发备份，并用根私钥保护从量子真随机数发生器获取的对称密钥，用对称密钥保护数据库里的公私钥对数据，解决了加密证书密钥对存在的管理难和安全性问题；本发明基于国密签名和后量子签名混合认证机制，并利用量子真随机数作为对称密钥构建量子安全信道，能够有效应对量子计算的潜在威胁；本发明提供量子安全SDK，便于业务系统快速构建国密认证和后量子认证的混合身份认证能力。

附图说明

[0049] 图1为本发明基于后量子签名的证书认证系统的原理框图。

具体实施方式

[0050] 下面将结合本发明实施例中的附图，对本发明进行清楚、完整地描述。

[0051] 如图1所示，一种基于后量子签名的证书认证方法及系统，包括核心层、管理层、服务层以及用户层，部署在不同的安全区域。核心层包含量子安全证书/CRL存储发布服务模块、量子安全证书/CRL生成与签发服务模块、密钥安全管理服务模块，要求部署在核心安全区域；管理层包含量子安全证书管理服务模块和系统安全管理服务模块，要求部署到安全接入区；服务层包含远程RA模块、本地RA模块和证书CRL/OCSP查询服务模块，可以部署在互联网区，所述用户层包括应用系统以及系统用户。

[0052] 其中，所述密钥安全管理服务模块提供对生命周期内的加密证书密钥对进行全过程管理的功能，包括密钥生成、密钥存储、密钥分发、密钥备份、密钥更新、密钥撤销、密钥归档、密钥恢复以及安全管理等。

[0053] 根据量子安全证书/CRL生成与签发服务模块请求，为用户生成非对称密钥对和后量子密钥对，非对称密钥对由硬件密码设备生成；密钥安全管理服务模块生成的非对称密钥对和后量子密钥对，经硬件密码设备加密后存储在数据库中；密钥安全管理服务模块生成的非对称密钥对和后量子密钥对，通过量子安全证书认证系统分发到用户证书载体中；密钥安全管理服务模块支持采用热备份、冷备份和异地备份等措施实现密钥备份；当证书到期或用户需要时，为用户生成新的非对称密钥对和后量子密钥对，后量子密钥对可指定不更新；当证书到期、用户需要或管理机构依据合同规定认为必要时，密钥安全管理服务模块根据量子安全证书/CRL生成与签发服务请求撤销用户当前使用的密钥；密钥安全管理服务模块为到期或撤销的密钥提供安全长期的存储；密钥安全管理服务模块可为用户提供密钥恢复服务和为司法取证提供特定密钥恢复。密钥恢复需依据相关法规并按管理策略进行审批，一般用户只限于恢复自身密钥。

[0054] 所述量子安全证书/CRL生成与签发服务模块负责生成、签发数字证书和证书撤销列表。所述证书认证系统采用签名证书和加密证书双证书机制，以及非对称签名算法认证和后量子算法认证的混合签名方式。签名证书的密钥对由用户利用具有密码运算功能的证书载体产生，加密证书的密钥对和后量子签名的密钥对由密钥安全管理服务模块产生并负责安全管理。签名证书和加密证书一起保存在用户的证书载体中。用户的数字证书由该系统的 CA 签发，PCA的根 CA 数字证书由可信第三方机构签发，下级 CA 的数字证书由上级CA签发；证书撤销列表是在证书有效期之内，CA 签发的终止使用证书的信息，分为用户证书撤销列表 (CRL)和CA证书撤销列表(ARL)两类 。在证书的使用过程中，应用系统通过检查CRL/ARL，获取有关证书的状态。

[0055] 所述量子安全证书/CRL存储发布服务模块负责量子安全证书、证书撤销列表的存储和发布，采用数据库或目录服务方式，实现量子安全证书/证书撤销列表的存储、备份和恢复等功能，并提供查询服务。使用目录服务方式，应采用主从目录服务器结构以保证主目录服务器的安全，同时从目录服务器可以采用分布式的方式进行设置，以提高系统的效率。用户只能访问从目录服务器。

[0056] 所述量子安全证书管理服务是量子安全证书认证系统中实现对量子安全证书／证书撤销列表的申请、审核、生成、签发、存储、发布、注销、归档等功能的管理控制节点。

[0057] 所述系统安全管理服务模块主要包括安全审计和安全防护。安全审计提供事件级审计功能，对涉及系统安全的行为、人员、时间等记录进行跟踪、统计和分析。安全防护系统提供访问控制、入侵检测（入侵防御）、漏洞扫描、病毒防治等网络安全功能。

[0058] 两类RA模块负责用户的证书申请、身份审核和证书下载，可分为本地RA和远程RA。证书申请可采用在线或离线两种方式，在线方式是指用户通过登录到RA系统申请证书或者可信系统通过API请求的方式申请证书，离线方式是指用户到指定的注册机构申请证书。身份审核包括自动和人工两种方式，可信系统通过API请求申请证书，根据参数里的身份证明文件自动进行审核；而对于人工申请证书，由审核人员进行身份审核。证书下载包括在线和离线两种方式，在线方式用户通过登录RA系统下载证书，或者通过接口下载证书；离线方式，用户到指定注册管理场所下载证书。

[0059] 所述证书CRL/OCSP查询服务模块为用户和应用系统提供证书状态查询服务，包括CRL查询和在线证书状态查询。

[0060] 所述证书认证系统采用国密认证和后量子安全认证的混合认证机制，签发证书的时候在进行国密签名的同时也进行后量子算法签名，而在验证证书的时候也同时进行国密签名和后量子签名的验证，以保证证书的可靠性。

[0061] 所述证书认证系统中密钥安全管理服务模块对非对称密钥对和后量子密钥对进行统一管理，提供非对称密钥对和后量子密钥对的生成、存储、分发、销毁和备份等操作，并向量子安全证书/CRL生成与签发服务模块提供密钥对服务，所管理的量子安全密钥对包含三个组成部分，密钥标识KID、公钥PUB、私钥PRI，可表示为K = 。

[0062] 所述证书认证系统中两RA模块与量子安全证书管理服务模块建立双向量子安全认证加密信道，RA与量子安全证书管理服务模块互相校验对方证书里的国密签名和后量子签名，再由量子安全管理服务模块从量子真随机数发生器获取量子密钥，建立加密信道，同时支持第三方业务系统通过集成量子安全认证系统SDK获取建立双向量子安全认证加密信道的能力。

[0063] 证书认证系统通过(3, 5)门限算法将根私钥进行安全分发备份，并用根私钥保护从量子真随机数发生器获取的对称密钥，用对称密钥保护数据库里的公私钥对数据。

[0064] 当RA服务或第三方业务终端和所述证书认证系统之间进行数据通信时，根据加密策略要求，先进行双方证书的国密签名和后量子签名的验证，再由证书认证系统从量子真随机数发生器获取量子安全密钥，进行双向认证加密信道建立，用于后续通过API申请证书签发的加密通信。

[0065] 本发明的基于后量子签名的证书认证方法，包括以下步骤：

[0066] S1：用户构建PCA

[0067] 所述量子安全证书认证系统在使用前需要用户构建PCA，主要步骤包括：

[0068] S11：登录量子安全证书认证系统申请P10证书请求文件；

[0069] S12：密钥安全管理服务生成PCA根证书的公私钥对和PQC公私钥对；

[0070] S13：量子安全证书/CRL存储发布服务进行后量子自签名，作为属性值加入P10证书请求文件返回；

[0071] S14：将P10证书请求文件提交给第三方可信机构进行国密证书的签发，所述国密证书为PCA双证书；

[0072] S15：将PCA双证书导入量子安全证书认证系统；

[0073] S16：提供用户PCA域内证书申请、证书更新、证书吊销、挂起解挂、密钥恢复认证服务。

[0074] S2：量子安全证书申请

[0075] 所述量子安全证书认证系统支持量子安全证书的申请和签发。证书申请的步骤主要包括：

[0076] S21：业务系统通过RA或量子安全SDK提交P10证书请求文件和身份证明文件；

[0077] S22：身份验证通过后，密钥安全管理服务分配PQC公私钥对；

[0078] S23：量子安全证书/CRL存储发布服务进行后量子签名和国密签名；

[0079] S24：生成并发布量子安全签名证书；

[0080] S25：密钥安全管理服务分配加密证书密钥对，进行后量子签名和国密签名；

[0081] S26：生成并发布量子安全签名证书；

[0082] S27：返回量子安全签名证书、量子安全加密证书以及加密保护的加密证书私钥和PQC私钥。

[0083] S3：量子安全证书更新

[0084] 所述量子安全证书认证系统支持量子安全证书的更新。证书更新与证书申请流程类似，具体的步骤主要包括：

[0085] S21：业务系统通过RA或量子安全SDK提交P10证书请求文件和身份证明文件用于证书更新；

[0086] S22：身份验证通过后，密钥安全管理服务分配PQC公私钥对；

[0087] S23：量子安全证书/CRL存储发布服务进行后量子签名和国密签名；

[0088] S24：生成并发布量子安全签名证书；

[0089] S25：密钥安全管理服务分配加密证书密钥对，进行后量子签名和国密签名；

[0090] S26：生成并发布量子安全签名证书；

[0091] S27：返回量子安全签名证书、量子安全加密证书以及加密保护的加密证书私钥和PQC私钥。

[0092] S4：量子安全证书吊销

[0093] 所述量子安全证书认证系统支持量子安全证书的吊销。证书吊销的步骤主要包括：

[0094] S21：业务系统通过RA或量子安全SDK提交量子安全证书吊销请求和身份证明文件；

[0095] S22：身份验证通过后，量子安全证书认证系统吊销指定的签名证书；

[0096] S23：量子安全证书认证系统吊销指定的加密证书及对应的密钥对；

[0097] S24：量子安全证书认证系统吊销对应的PQC公私钥对；

[0098] S25：更新证书吊销列表及证书状态查询结果。

[0099] S5：量子安全加密证书私钥恢复

[0100] 所述量子安全证书认证系统支持量子安全加密证书私钥恢复。私钥恢复的步骤主要包括：

[0101] S21：业务系统通过RA或量子安全SDK提交密钥恢复请求和身份证明文件；

[0102] S22：身份验证通过后，从密钥安全管理服务获取加密密钥对和PQC公私钥对；

[0103] S23：使用SM2加密密钥对保护结构返回加密公私钥对，使用PQC公私钥对保护结构返回加密PQC公私钥对，返回加密证书。

[0104] S6：用户集成量子安全SDK

[0105] 所述量子安全证书认证系统提供量子安全SDK，便于业务系统接入量子安全PKI体系。主要功能包括：

[0106] S61：量子安全SDK支持国密签名和后量子签名双重验证，验证量子安全证书的有效性；

[0107] S62：量子安全SDK支持建立量子安全双向认证加密通道，再验证双方量子安全证书有效后，使用量子密钥建立量子安全加密信道；

[0108] S63：量子安全SDK支持门限密钥共享算法，支持私钥安全分发备份和多密码设备冗余同步。

[0109] 在本发明的一个实施例中，所述量子安全证书认证系统与所述RA为一对多关系。

[0110] 在本发明的一个实施例中，所述量子安全证书认证系统与所述量子安全SDK为一对多关系。

[0111] 在本发明的一个实施例中，所述量子安全SDK与所述量子安全SDK之间构建的是量子安全双向认证加密信道。

[0112] 在本发明的一个实施例中，所述量子安全SDK与所述量子安全证书认证系统之间构建的是量子安全双向认证加密信道。

[0113] 在本发明的一个实施例中，所述RA与所述量子安全证书认证系统之间构建的是量子安全双向认证加密信道。

[0114] 在本发明的一个实施例中，所述量子安全证书认证系统包含量子随机数模块。

[0115] 在本发明的一个实施例中，所述量子安全证书认证系统签发量子安全证书使用具有抗量子计算攻击的PQC签名算法。

[0116] 在本发明的一个实施例中，所述量子安全双向认证加密信道基于量子安全证书做双向身份认证，并基于具有抗量子计算攻击的对称加密方式，使用量子真随机数作为密钥构建量子安全加密信道，使用带密钥的消息认证码进行消息完整性校验。

[0117] 综合本发明的系统与方法可知，本发明可以为企业数字化进程提供安全的身份认证机制，有效的进行数据身份权限管理；可以实现在集成量子SDK的业务系统间构建量子安全的双向认证加密信道，解决数据传输安全问题；可以很好的兼容现有的国密非对称服务，帮助企业业务从http向https迁移；可以快速在企业私有云环境搭建一个内部的量子安全PKI体系，提供SDK方便业务系统接入调用，为企业业务上云提供完整的证书认证服务；提供密钥安全管理服务，通过(3, 5)门限算法将根私钥进行安全分发备份，并用根私钥保护从量子真随机数发生器获取的对称密钥，用对称密钥保护数据库里的公私钥对数据，解决了加密证书密钥对存在的管理难和安全性问题；本发明基于国密签名和后量子签名混合认证机制，并利用量子真随机数作为对称密钥构建量子安全信道，能够有效应对量子计算的潜在威胁；本发明提供量子安全SDK，便于业务系统快速构建国密认证和后量子认证的混合身份认证能力。