基于量子密钥加密的ERP联网监控系统及其应用方法
技术领域
本发明涉及大数据安全领域，具体涉及一种基于量子密钥加密的ERP联网监控系统及其应用方法。
背景技术
监管部门通过ERP联网监控系统自动提取企业ERP数据，运用大数据分析技术，将企业订单、生产过程、财务核算等ERP数据自动报送监管部门，目前企业ERP联网监控系统跨公共互联网接入安全传输方式主要有两种：基于SSL VPN方式进行安全通道传输和基于IPsec VPN方式进行安全通道传输。
SSL VPN方式进行安全通道传输，当前的SSL VPN产品，主要依赖非对称密码体制进行身份鉴别和密钥交换，身份鉴别通过后协商PreMaster Secret，再跟服务端和客户端在Hello阶段产生的随机数结合在一起生成Master Secret，进而推导出会话密钥，并使用会话密钥进行加解密和完整性校验。也就是说SSL VPN主要通过公钥密码技术来保障数据在传输的过程中的安全性。SSL VPN依赖非对称密码技术保障系统安全性。传统的计算机在破解非对称密码时，需要消耗难以承受的运算量，这一特点确保了非对称密码体制的抗攻击特性。但是，随着量子计算机技术的发展，计算机的运算能力有望在未来取得突破。届时，SSL VPN将面临新的安全隐患。一旦SSL VPN的非对称密码体制被攻破，用户的私钥就可能被窃取，进而带来身份造假，传输数据被破解的风险。
基于IPsec VPN方式进行安全通道传输，当前的IPSecVPN产品，主要依赖非对称密码体制进行身份鉴别和密钥交换，通过IKE协议，对通网关双方协商产生通信的工作密钥、会话密钥，并通过加解密和完整性校验等技术保障数据在传输过程中的安全性。IPsec VPN方式同样依赖非对称密码技术保障系统安全性。随着量子计算机技术的发展，计算机的运算能力有望在未来取得突破，依托于非对称加密体系的传统IPsec VPN技术将同样面临安全隐患。
发明内容
为了解决上述问题，本发明提供一种基于量子密钥加密的ERP联网监控系统，所述ERP联网监控系统包括企业用户端和监控中心端，两者之间通过公共互联网连接；所述企业用户端部署ERP数据采集客户端，所述监控中心端部署VPN设备和ERP数据采集服务端；所述企业用户端前置机VPN客户端和监控中心端的VPN设备建立SSL或者IPsec VNP安全通道；和所述企业用户端和所述监控中心端之间还设置实现量子数据传输的量子保密通信网络装置，所述ERP数据采集客户端提取企业ERP数据后，通过所述量子保密通信网络装置对采集到的ERP数据进行量子应用加密，并通过所述SSL或者IPsec VNP安全通道将加密数据报送监控中心端的ERP数据采集服务端，并对量子密钥加密后的数据进行解密；从而在SSL或者IPsec VNP安全通道的基础上增加多一重量子加密手段，使数据具备双重安全传输保障。
在一种实施方式中，所述量子保密通信网络装置包括：量子保密通信网络；设置在所述监控中心端的量子密钥管理平台、服务端量子密钥分发设备和服务端SDK；设置在ERP数据采集客户端SDK和量子密钥存储介质；和在密钥充注站点设置的充注站点量子密钥分发设备和量子密钥充注机。
在一种实施方式中，所述量子密钥管理平台完成所述量子密钥存储介质发行、激活工作，并将其转交到所述量子密钥充注站点；所述量子密钥充注机依托所述量子保密通信网络，与所述量子密钥管理平台进行安全交互，完成所述量子密钥存储介质的密钥充注；和完成密钥充注后的所述量子密钥存储介质接入所企业用户端前置机的通信接口。
在一种实施方式中，所述量子保密通信网络装置的数据传输包括ERP联网监控系统通过加密策略协商、量子密钥协商和量子密钥加密数据传输过程。
在一种实施方式中，所述加密策略协商过程包括企业用户端前置机ERP数据采集客户端采集完ERP数据后，向客户端量子安全SDK接口申请加密策略协商，客户端量子安全SDK通过SSL或者IPsec VPN安全通道连接量子密钥管理平台申请加密策略协商，获取加密策略协商结果，并将加密策略协商结果转发给服务端量子安全SDK，客户端量子安全SDK获取的加密策略协商结果采用客户端的量子密钥存储介质中充注的量子密钥加密保护，确保只有客户端才能解密协商的加密策略，转发给服务端量子安全SDK的加密策略协商结果采用服务端的量子密钥进行加密保护，确保只有服务端才能解密协商的加密策略。
在一种实施方式中，所述量子密钥协商包括：数据采集客户端向客户端量子安全SDK接口申请量子密钥，客户端量子安全SDK通过SSL或者IPsec VPN安全通道连接量子密钥管理平台申请量子密钥协商；客户端量子安全SDK获取量子密钥协商结果，并将量子密钥协商结果转发给数据采集服务端量子安全SDK，客户端量子安全SDK获取的量子密钥协商结果采用了客户端的量子密钥存储介质中充注的量子密钥加密保护，确保只有客户端才能解密协商的量子密钥，转发给服务端量子安全SDK的量子密钥协商结果采用了服务端的量子密钥进行加密保护，确保只有服务端才能解密协商的量子密钥。
在一种实施方式中，所述量子密钥加密数据传输包括：数据采集客户端根据加密密钥协商结果反馈的量子密钥和加密策略协商结果，将采集到的ERP数据进行“一次一密”加密或者“一业一密”加密，并根据ERP联网监控系统通信协议传输密文报文，数据采集服务端以对应的量子密钥句柄和加密策略对密文报文进行解密，在通信双方完成加密报文传输后结束保密数据传输。
在一种实施方式中，本发明提供ERP联网监控系统的应用方法，所述方法包括以下步骤：步骤1，完成量子密钥存储介质发行和转交，完成量子密钥存储介质密钥充注和领用，和将量子密钥存储介质接入前置机通信接口；步骤2，ERP数据采集客户端获取企业的ERP数据；步骤3，企业用户前置机数据采集客户端和监控中心端的VPN设备完成SSL或者IPsecVPN安全通道建立，ERP联网监控系统企业数据采集客户端和数据采集服务端实现通信连接；步骤4，ERP联网监控系统通过加密策略协商、量子密钥协商、量子密钥加密数据传输过程，完成ERP数据的量子密钥加密数据传输；和步骤5，ERP联网监控系统完成数据采集传输。
在本发明中ERP指企业资源计划即ERP(Enterprise Resource Planning)，是一种主要面向制造行业进行物质资源、资金资源和信息资源集成一体化管理的企业信息管理系统。
VPN设备：利用VPN技术实现网络中安全通信服务的设备。
IPsec VPN:指采用IPSec协议来实现远程接入的一种VPN技术，在公网上为两个私有网络提供安全通信通道,通过加密通道保证连接的安全。
SSL VPN：指采用SSL协议来实现远程接入的一种新型VPN技术，用于构建客户端和服务端之间的安全通道。
在本发明中各种术语含义如下。
密钥：控制密码算法运算的关键信息或参数。
对称加密：采用单钥密码系统的加密方法，同一个密钥可以同时用作信息的加密和解密。
非对称密码体制：非对称密码体制又称为双密钥密码体制或公开密钥密码体制，是指加密和解密操作分别使用两个不同的密钥，并且不可能由加密密钥推导出解密密钥。
量子保密通信网络：基于量子密钥分发技术构建的网络，可为网络内的终端节点间实现安全的对称的密钥分发生成，其安全性由量子力学特性保证。
在本发明中，依托量子保密通信网络提供的安全的端到端对称密钥分发能力，设计一种基于量子密钥加密保护的企业ERP联网监控跨公共互联网接入安全传输系统，该系统在原有VPN安全通道的基础上增加多一重量子加密手段，对数据增加一把量子密钥加密保护锁，使数据具备双重安全传输保障。同时由于采用量子保密通信技术实现量子密钥分发，可具备抗量子计算机破解攻击的能力，有效提升ERP联网监数据传输的安全性。
附图说明
为了更清楚地说明本申请实施例中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请中记载的一些实施例，对于本领域普通技术人员来说，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。
图1现有ERP联网监控系统的结构示意图；
图2本发明基于量子密钥加密的ERP联网监控系统的结构示意图；
图3本发明基于量子密钥加密的ERP联网监控系统中量子密钥加密数据加密工作流程示意图。
具体实施方式
为了使本领域技术领域人员更好地理解本申请中的技术方案，下面将结合实施例对本发明作进一步说明，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都应当属于本申请保护的范围。下面结合附图及实施例对本发明作进一步描述。
实施例一 现有ERP联网监控系统
监管部门通过ERP联网监控系统自动提取企业ERP数据，运用大数据分析技术，将企业订单、生产过程、财务核算等ERP数据自动报送监管部门。
如图1所示，现有ERP联网监控系统包括企业用户端和监控中心端，两者之间通过公共互联网连接。在企业用户端前置机中设置ERP数据采集客户端，ERP数据采集客户端通过企业内部网络自动提取企业的ERP数据。在监控中心端设置VPN设备和ERP数据采集服务端；目前企业ERP联网监控系统跨公共互联网接入安全传输方式主要有两种：基于SSL VPN方式进行安全通道传输和基于IPsec VPN方式进行安全通道传输。
但这两种方式均依赖非对称密码技术保障系统安全性。传统的计算机在破解非对称密码时，需要消耗难以承受的运算量，这一特点确保了非对称密码体制的抗攻击特性。但是，随着量子计算机技术的发展，计算机的运算能力有望在未来取得突破。届时，非对称密码体制将面临新的安全隐患。一旦VPN的非对称密码体制被攻破，用户的私钥就可能被窃取，进而带来身份造假，传输数据被破解的风险。
现有ERP联网监控系统中，在企业用户和监控中心部署ERP数据采集系统，其中企业用户侧部署ERP数据采集客户端，监控中心部署VPN设备和ERP数据采集服务端，监管部门通过ERP数据采集客户端自动提取企业ERP数据，并通过公共互联网自动向监管部门的ERP数据采集服务端报送。
现有ERP联网监控系统，在安装ERP联网监控系统企业数据采集客户端、数据采集服务端和VPN设备部署后，完成数据采集客户端、数据采集服务端用户注册；完成公共互联网开通，网络可达。
现有ERP联网监控系统中基本工作流程如下：ERP数据采集客户端运用大数据分析技术，将企业订单、生产过程、财务核算等ERP数据自动提取；企业用户前置机数据采集客户端和监管单位的VPN设备完成SSL或者IPsec安全通道建立，ERP联网监控系统企业数据采集客户端和数据采集服务端实现通信连接；ERP数据采集客户端通过企业内部网络自动提取的ERP数据发送给ERP数据采集服务端；和ERP联网监控系统完成数据采集传输。
实施例二 本发明基于量子密钥加密的ERP联网监控系统
本发明依托量子保密通信网络提供的安全的端到端对称密钥分发能力，设计一种基于量子密钥加密保护的企业ERP联网监控跨公共互联网接入安全传输方式，该方法在原有VPN安全通道的基础上增加多一重量子加密手段，对数据增加一把量子密钥加密保护锁，使数据具备双重安全传输保障。同时由于采用量子保密通信技术实现量子密钥分发，可具备抗量子计算机破解攻击的能力，有效提升ERP联网监数据传输的安全性。
如图2所示，本发明的基于量子密钥加密的ERP联网监控系统及其应用方法在现有ERP联网监控系统中增加了量子保密通信网络装置。具体地说，监控中心端增加了量子密钥管理平台、服务端量子密钥分发设备，在ERP数据采集服务端和ERP数据采集客户端分别部署量子安全服务端SDK和客户端SDK，以及量子密钥存储介质；在密钥充注站点设置充注站点量子密钥分发设备和量子密钥充注机。监管部门通过ERP数据采集客户端自动提取企业ERP数据后，通过量子应用加密对采集到的ERP数据进行加密，并通过原有VPN安全通道将加密数据报送监管部门的ERP数据采集服务端，并对数据进行解密，其中：
量子密钥管理平台主要实现量子密钥介质的发行、充注、展期、注销、挂失等管理，并对所有充注的量子密钥实现全生命周期管理。
量子密钥充注机通过连接量子密钥分发设备接入量子通信网络，并进而安全接入量子密钥管理平台，可在量子密钥管理平台的控制调度下，为本地密钥充注站点的量子密钥存储介质充注密钥。
量子密钥存储介质是符合《GM/T0016-2012智能密码钥匙密码应用接口规范》的通用智能密码钥匙，可以为USB key、TF卡等形式，经量子密钥管理平台二次发行充注后，可在介质内部加密安全保存量子密钥。
量子密钥分发设备是符合量子通信网络相关体制要求的终端设备，通过量子信道和经典通信信道与量子通信网络连接，在量子通信网络管理系统的统一配置调度下，完成端到端对称密钥分发，并提供密钥输出服务接口，可将量子密钥导出至相应的管理与应用设备。
量子安全SDK作为量子密钥管理平台、量子密钥存储介质对外提供的应用API接口，ERP联网监控系统的数据采集客户端和数据采集服务端可通过该接口，进行密钥更新策略设置、量子密钥/密钥句柄申请。
本发明的ERP联网监控系统具体工作流程如下：
1.准备工作：
完成量子密钥存储介质发行和转交：量子密钥管理平台完成ERP联网监控系统企业数据采集客户端和数据采集服务端用户注册，完成量子密钥存储介质发行、激活工作，并转交到企业就近的量子密钥充注站点。
完成量子密钥存储介质密钥充注和领用：量子密钥充注机依托量子保密通信网络，与量子密钥管理平台进行安全交互，完成量子密钥存储介质的密钥充注。
完成密钥介质领用，并将量子密钥存储介质插入前置机USB通信接口：管理员完成密钥充注后，企业用户领用已充注量子密钥的量子密钥存储介质，并将量子密钥存储介质插入前置机USB通信接口。
2.企业ERP数据提取：ERP数据采集客户端运用大数据分析技术，将企业订单、生产过程、财务核算等ERP数据自动提取；
3.安全通道建立：企业用户前置机数据采集客户端和监管单位的VPN设备完成SSL或者IPsec安全通道建立，ERP联网监控系统企业数据采集客户端和数据采集服务端实现通信连接；
4.量子密钥加密数据传输：ERP联网监控系统通过加密策略协商、量子密钥协商、量子密钥加密数据传输等过程，完成ERP数据的量子密钥加密数据传输，具体如图3所示。
加密策略协商：企业用户前置机数据采集客户端采集完ERP数据后，根据数据采集和数据发送方式向客户端量子安全SDK接口申请加密策略协商，客户端量子安全SDK通过SSL或者IPsec安全通道连接量子密钥管理平台申请加密策略协商，获取加密策略协商结果，并将加密策略协商结果转发给数据采集服务端量子安全SDK，客户端量子安全SDK获取的加密策略协商结果采用了客户端的量子密钥存储介质中充注的量子密钥加密保护，确保只有客户端才能解密协商的加密策略，转发给服务端量子安全SDK的加密策略协商结果采用了服务端的量子密钥进行加密保护，确保只有服务端才能解密协商的加密策略。该阶段加密策略有“一次一密”和“一业一密”两种方式选择，通常ERP数据是统一采集统一打包发送的方式，选择“一次一密”加密策略；如果ERP数据包是分时段采集分时段发送的方式，选择“一业一密”加密策略。
量子密钥协商：数据采集客户端向客户端量子安全SDK接口申请量子密钥，客户端量子安全SDK通过SSL或者IPsec安全通道连接量子密钥管理平台申请量子密钥协商，协商信息包括加密算法、密钥长度等信息。客户端量子安全SDK获取量子密钥协商结果，并将量子密钥协商结果转发给数据采集服务端量子安全SDK，客户端量子安全SDK获取的量子密钥协商结果采用了客户端的量子密钥存储介质中充注的量子密钥加密保护，确保只有客户端才能解密协商的量子密钥，转发给服务端量子安全SDK的量子密钥协商结果采用了服务端的量子密钥进行加密保护，确保只有服务端才能解密协商的量子密钥。数据采集客户端和数据采集服务端如果一方在默认时间内没有获得密钥协商结果，则数据采集客户端间隔一定时间重新发起密钥协商流程，直到预定次数内仍然无法完成密钥协商，则通过量子安全SDK接口向ERP联网监控系统反馈密钥协商失败，量子应用加密结束。
量子密钥加密数据传输：数据采集客户端根据加密密钥协商结果反馈的量子密钥和加密策略协商结果，将采集到的ERP数据进行“一次一密”加密或者“一业一密”加密，并根据ERP联网监控系统通信协议传输密文报文，数据采集服务端以对应的量子密钥句柄和加密策略对密文报文进行解密，在通信双方完成加密报文传输后结束保密数据传输，如通信过程发生异常，则根据ERP联网监控系统通信协议重新传输密文报文，超过预定的重传次数仍失败，则本次加密数据传输失败。
密钥更新充注：在企业用户量子密钥存储介质密钥使用完，或者根据安全管理要求需要进行密钥更新时，可以将量子密钥存储介质返回量子密钥充注站点进行密钥充注更新后，重新交给相应的用户企业用户继续使用。
5.ERP联网监控系统完成数据采集传输。
本领域的技术人员容易理解的是，在不冲突的前提下，上述各有利方式可以自由地组合、叠加。
以上仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。以上仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明技术原理的前提下，还可以做出若干改进和变型，这些改进和变型也应视为本发明的保护范围。
