云計(jì)算背景下網(wǎng)絡(luò)安全技術(shù)實(shí)現(xiàn)路徑分析

◆朱湘寶 黃宇

（1.桂林信通科技有限公司 廣西 541004；2.南寧理工學(xué)院 廣西 541000）

量子保密通信是一種具有無條件安全性特征的網(wǎng)絡(luò)安全技術(shù)路徑，此項(xiàng)網(wǎng)絡(luò)安全技術(shù)路徑的實(shí)現(xiàn)需要依托于MDI-QKD 技術(shù)的應(yīng)用，即量子密鑰分發(fā)技術(shù)的應(yīng)用。實(shí)現(xiàn)MDI-QKD 這一網(wǎng)絡(luò)安全技術(shù)路徑，在理論上可規(guī)避云計(jì)算開放性特質(zhì)帶來的網(wǎng)絡(luò)安全問題?；诖?，對(duì)上述網(wǎng)絡(luò)安全技術(shù)實(shí)現(xiàn)路徑展開驗(yàn)證分析，探討MDI-QKD 的可行性、有效性，為云計(jì)算網(wǎng)絡(luò)安全建設(shè)提供依據(jù)。

1 云計(jì)算背景下網(wǎng)絡(luò)安全技術(shù)實(shí)現(xiàn)路徑分析背景

在互聯(lián)網(wǎng)環(huán)境下，云計(jì)算的應(yīng)用讓普通的用戶，得以在無須付出大量計(jì)算成本的情況下，獲取質(zhì)量更高的計(jì)算資源，因此，一直以來，云計(jì)算技術(shù)都是信息技術(shù)領(lǐng)域的熱點(diǎn)技術(shù)。但事實(shí)上，云計(jì)算強(qiáng)大的開放性，使得網(wǎng)絡(luò)環(huán)境中存在嚴(yán)重的安全缺陷，影響了該技術(shù)的應(yīng)用效果。在此背景下，人們提出了QKD，即量子密鑰分發(fā)的典型協(xié)議，其可以被定義為，一種通過通信雙方一起協(xié)商，來實(shí)現(xiàn)共享密鑰構(gòu)建的過程，而該過程已經(jīng)被證實(shí)為是一種無條件安全的過程，從而能夠被有效運(yùn)用到云計(jì)算網(wǎng)絡(luò)安全技術(shù)實(shí)現(xiàn)上。但由于實(shí)際應(yīng)用時(shí)，所用的探測(cè)設(shè)備、信號(hào)源，均存在不完善性，導(dǎo)致該協(xié)議的應(yīng)用效果難以達(dá)到雙方絕對(duì)安全的水平，而且其中的單光探測(cè)器，還容易遭受各類攻擊。此外，信號(hào)源的不完善也會(huì)成為攻擊的切入點(diǎn)，導(dǎo)致密鑰難以順利生成。為此，人們提出了MDI-QKD 協(xié)議，其能夠有效規(guī)避上述探測(cè)設(shè)備、信號(hào)源的不完善性問題，提高了網(wǎng)絡(luò)安全技術(shù)實(shí)施路徑的建設(shè)效果。由此，本文擬對(duì)基于MDI-QKD 的云計(jì)算網(wǎng)絡(luò)安全技術(shù)實(shí)施路徑展開分析，以歸納總結(jié)出更好的云計(jì)算網(wǎng)絡(luò)安全建設(shè)方案，希望能夠?yàn)樵朴?jì)算技術(shù)的普及應(yīng)用提供參考。

2 云計(jì)算背景下網(wǎng)絡(luò)安全技術(shù)實(shí)現(xiàn)路徑分析過程

2.1 網(wǎng)絡(luò)安全技術(shù)路徑系統(tǒng)架構(gòu)

MDI-QKD 系統(tǒng)的架構(gòu)，如圖1 所示，主要是由三個(gè)部分組成，即Alice 端、BOb 端、Charie 端。其中，前兩個(gè)部分是編碼端，而最后一部分為探測(cè)端，這種結(jié)構(gòu)讓該系統(tǒng)具有即插即用的特點(diǎn)，可以對(duì)系統(tǒng)應(yīng)用中存在的雙折射效應(yīng)進(jìn)行自動(dòng)補(bǔ)償，因此，該系統(tǒng)不需要工作者另外設(shè)置偏振校準(zhǔn)系統(tǒng)，進(jìn)行雙折射偏振調(diào)整，這是使得該系統(tǒng)在量子密鑰的生成中具有更大的應(yīng)用優(yōu)勢(shì)。

圖1 MDI-QKD 系統(tǒng)架構(gòu)

2.2 技術(shù)路徑實(shí)現(xiàn)流程

在云計(jì)算背景下，進(jìn)行網(wǎng)絡(luò)安全技術(shù)實(shí)現(xiàn)時(shí)，MDI-QKD 系統(tǒng)的工作過程如下：

第一，生成光脈沖，在此過程中，IM1 會(huì)將Charlie 端發(fā)出的連續(xù)信號(hào)光予以強(qiáng)度調(diào)制處理，讓其轉(zhuǎn)化為脈沖信號(hào)光，然后BS1 會(huì)將該信號(hào)光分為兩路，并分別通過CIR2、CIR1 同時(shí)輸送對(duì)稱的Alice、Bob 端；第二，調(diào)制、監(jiān)測(cè)，上述程序完成后，Alice 端的F，即濾波器，會(huì)將信號(hào)光中無用的光學(xué)成分去除，再運(yùn)用BS3，使其被分為兩路，一路輸送到編碼模塊，再經(jīng)過CIR3、PM1、IM2 的處理，完成誘騙態(tài)的調(diào)制，而另一路輸送到ID1 估計(jì)信號(hào)脈沖的PND，以用于監(jiān)測(cè)、應(yīng)對(duì)特洛伊木馬攻擊；第三，脈沖編碼，待脈沖調(diào)制完畢后，脈沖會(huì)經(jīng)過CIR4、FM1 的預(yù)處理，到達(dá)編碼模塊。在編碼模塊中，不等臂干涉儀會(huì)將一個(gè)光脈沖，轉(zhuǎn)化為兩個(gè)既定時(shí)間間隔的脈沖，然后相位調(diào)制器，則會(huì)設(shè)定這兩個(gè)脈沖的相對(duì)相位參數(shù)，完成相位編碼。此后，脈沖還會(huì)被強(qiáng)度調(diào)制器予以通光、消光處理，由此完成時(shí)間編碼操作；第四，探測(cè)，待上述編碼操作完畢后，Att 則會(huì)對(duì)脈沖予以衰減處理，使其保持單光子水平，再將其輸送到Charie 端，然后該探測(cè)端的BS2，會(huì)干涉脈沖，使分別來自Bob 端、Alice 端的脈沖，保持相互對(duì)齊的狀態(tài)。此后，探測(cè)器再對(duì)被輸送來的脈沖予以探測(cè)處理，得到脈沖的貝爾態(tài)測(cè)量結(jié)果。然后，再用采集卡將測(cè)量輸出數(shù)據(jù)予以歸集，最后，探測(cè)端會(huì)根據(jù)實(shí)際情況，將所需的數(shù)據(jù)予以記錄，并使用公共信道，公示其選擇的編碼基；第五，篩選，待編碼基被公示后，若Bob 與Alice 端所選擇的編碼基為同一個(gè)，則需對(duì)該編碼基的比特位進(jìn)行翻轉(zhuǎn)處理。在此情況下，若QBER，即平均量子誤碼率＜閾值，那么剩下的比特脈沖就是初始密鑰；第五，最終密鑰生成。運(yùn)用兩個(gè)編碼端，對(duì)密鑰予以糾錯(cuò)以及隱私放大處理，由此評(píng)估外界威脅能夠?yàn)槊荑€帶來的影響，然后基于此，進(jìn)行初始密鑰的最后處理，形成最終密鑰，用以保證云計(jì)算背景下的網(wǎng)絡(luò)安全。

2.3 技術(shù)路徑中同步單元的設(shè)計(jì)和實(shí)現(xiàn)

在技術(shù)路徑實(shí)現(xiàn)過程中，為了確保MDI-QKD 系統(tǒng)內(nèi)的單光子探測(cè)器可以保持精準(zhǔn)的運(yùn)行狀態(tài)，需要把發(fā)射端的信號(hào)，準(zhǔn)確地同步傳輸?shù)浇邮斩?，同時(shí)讓探測(cè)器檢測(cè)到的信號(hào)呈同步狀態(tài)，由此才能去除更多的暗計(jì)數(shù)，壓低誤碼率。由此可見，雙方信息的同步是MDI-QKD系統(tǒng)有效運(yùn)行的基礎(chǔ)，而且同步信號(hào)準(zhǔn)確性越高，該技術(shù)的使用性能就越好。為此，在技術(shù)實(shí)現(xiàn)過程中，需重點(diǎn)關(guān)注同步單元的設(shè)計(jì)和實(shí)現(xiàn)，以提高同步信號(hào)的準(zhǔn)確性，增強(qiáng)云計(jì)算網(wǎng)絡(luò)安全技術(shù)路徑的建設(shè)效果。

在同步方案設(shè)計(jì)中，本文將信號(hào)激光器、同步激光器，均設(shè)置在了Charlie 處。在此背景下，BS 會(huì)將同步脈沖光轉(zhuǎn)化為兩路脈沖光，然后將脈沖光分別送入Bob、Alice 端，期間為了確保同步光和信號(hào)光所走過的路徑長(zhǎng)度相同，還要運(yùn)用波分復(fù)用器，將這兩種光導(dǎo)入同一根光纖中，同時(shí)，還要考慮兩種光的相互干擾問題，選用不同的波段進(jìn)行光導(dǎo)入，并在兩個(gè)信號(hào)光脈沖之間，用同步光脈沖隔開。此外，考慮到兩個(gè)編碼端，都在FPGA 的控制下，所以，在同步光到達(dá)兩個(gè)編碼端處時(shí)，需要使用光電轉(zhuǎn)化器，將光轉(zhuǎn)化為電脈沖，再送到FPGA 處，使其能夠順利落實(shí)脈沖編碼操作。待編碼完畢后，還要對(duì)脈沖予以延時(shí)處理，讓兩個(gè)編碼端的信號(hào)光能夠在探測(cè)端實(shí)現(xiàn)完美干涉。此后，再將電脈沖重新轉(zhuǎn)化為光脈沖，并進(jìn)行二次編碼，然后借助CWDM 將其與信號(hào)光傳輸?shù)教綔y(cè)端。但由于探測(cè)端的探測(cè)器僅支持電信號(hào)，所以，應(yīng)使用轉(zhuǎn)換器將光信號(hào)轉(zhuǎn)換為電信號(hào)，再用探測(cè)器探測(cè)。此后再使用采集卡，歸集探測(cè)器輸出的信號(hào)，由此完成同步[1]。

在同步設(shè)計(jì)的實(shí)現(xiàn)上，根據(jù)上述設(shè)計(jì)，首先，應(yīng)當(dāng)先生成同步脈沖信號(hào)。通常來說，使用電信號(hào)，進(jìn)行窄脈沖驅(qū)動(dòng)激光二極管，即可形成同步脈沖信號(hào)。人們通過將正向電流輸送到激光二極管中，并讓電流超出二極管的電流閾值，就能夠使活性層中出現(xiàn)粒子反轉(zhuǎn)的情況，由此賦予活性層物質(zhì)一定的輻射能力，再借助該物質(zhì)生成激光[2]。在此過程中，為了順利、完整地在激光上加載窄脈沖，需要先讓小于二極管閾值的電流流過二極管，待窄脈沖加載后，即可形成相應(yīng)的光功率。在同步脈沖信號(hào)的生成上，考慮到根據(jù)上述設(shè)計(jì)，需要用波分復(fù)用器，將信號(hào)光、同步光傳輸?shù)酵桓饫w中，因此，為了降低相互干擾，可以使用1570nm 的波段傳輸同步光，并使用1550nm 的波段傳輸信號(hào)光[3]。從脈沖的寬度上來看，探測(cè)端的探測(cè)器門寬，不會(huì)限制同步激光器。但為了避免信號(hào)光對(duì)同步光產(chǎn)生干擾，需確保同步光在無泄漏的情況下，寬度盡量減小。為此，可以將信號(hào)光寬度設(shè)置為2.5ns、同步光設(shè)置為20ns。

其次，需要做好同步脈沖延時(shí)調(diào)節(jié)實(shí)現(xiàn)操作。在技術(shù)路徑設(shè)計(jì)的實(shí)現(xiàn)中，此項(xiàng)操作環(huán)節(jié)的主要目的是，確保兩個(gè)編碼端的第i 個(gè)脈沖，可以同時(shí)到達(dá)探測(cè)端，完成干涉[4]。其中，i 為正整數(shù)。但實(shí)際上，云計(jì)算場(chǎng)景中，經(jīng)常會(huì)出現(xiàn)兩個(gè)編碼端到探測(cè)端的距離存在差異的情況，這使得i 個(gè)脈沖到達(dá)探測(cè)端的時(shí)間也不同，因此，為了確保兩個(gè)i 脈沖能夠一同到達(dá)探測(cè)端，則應(yīng)先測(cè)量?jī)蓚€(gè)脈沖達(dá)到探測(cè)端的時(shí)間，測(cè)量時(shí)間差，再基于此，進(jìn)行脈沖延時(shí)調(diào)節(jié)操作，即可保證兩個(gè)脈沖的同步到達(dá)。但在此過程中，所用激光器的發(fā)射功率對(duì)測(cè)量存在限制，而且在一定時(shí)間內(nèi)，能夠積累的光計(jì)數(shù)也比較少，這使得系統(tǒng)無法在短時(shí)間內(nèi)，計(jì)算出脈沖延遲所需的精度為皮秒的延遲位置。為此，可以同時(shí)使用精測(cè)量、粗測(cè)量?jī)煞N測(cè)量方式，以獲得較高的延時(shí)差測(cè)量結(jié)果，滿足技術(shù)路徑的實(shí)現(xiàn)需求[5]。

在測(cè)量過程中，相應(yīng)的示意圖如圖2。一般來說，時(shí)間差應(yīng)當(dāng)包括，BS，即光分?jǐn)?shù)器到兩個(gè)SPD，即探測(cè)器的時(shí)間差，以及兩個(gè)編碼端，即Alice、Bob 到BS 的時(shí)間差。其中，BS 到SPD 的時(shí)間差為，Δt1=(t1+t2) -(t1+t3)(t2＞t3)。而兩個(gè)編碼端到BS 的時(shí)間差為，Δt1=(t1+t2) -(t1+t4)(t1＞t4)，然后采用精測(cè)量、粗測(cè)量?jī)煞N方式，按照上述兩個(gè)公式，分別測(cè)出時(shí)間差，再按照該時(shí)間差，進(jìn)行延時(shí)調(diào)整，以保證脈沖的同步到達(dá)。此后，還要構(gòu)建出配套的延時(shí)電路，并選擇精密延時(shí)發(fā)生器，且要保證該發(fā)生器，支持?jǐn)?shù)字編程控制，以更精準(zhǔn)地實(shí)現(xiàn)對(duì)脈沖的延遲調(diào)節(jié)。

圖2 測(cè)量示意圖

最后，在同步單元實(shí)現(xiàn)中，還要構(gòu)建出同步脈沖出發(fā)單光子探測(cè)器工作體系，以及采集卡工作體系，讓密鑰得以順利生成。在此過程中，需要待脈沖到達(dá)探測(cè)端之后，用光電轉(zhuǎn)化器對(duì)其進(jìn)行處理，使其成為電脈沖，再將其放大，轉(zhuǎn)變成為TTL 標(biāo)準(zhǔn)電平。此后，將標(biāo)準(zhǔn)電平劃分為三路，分別送入SPD1、SPD2 這兩個(gè)探測(cè)器，以及采集卡處。但為了確保信號(hào)光被送達(dá)時(shí)，探測(cè)門能夠及時(shí)開啟，還要在放大器與探測(cè)器、采集卡之間，設(shè)置延遲芯片，以確保探測(cè)器能夠精準(zhǔn)地探測(cè)到脈沖?？紤]到探測(cè)器得出的探測(cè)結(jié)果是以模擬信號(hào)的形式呈現(xiàn)的，而計(jì)算機(jī)只能識(shí)別和處理數(shù)字信號(hào)，所以，當(dāng)探測(cè)器完成輸出后，還要將輸出的信號(hào)轉(zhuǎn)化為數(shù)字信號(hào)。為此，需要使用采集卡，作為信號(hào)轉(zhuǎn)化裝置。在此過程中，為了保證采集卡能夠精準(zhǔn)、完整地采集探測(cè)器的輸出數(shù)據(jù)，應(yīng)在時(shí)閾上，保持采樣信號(hào)、數(shù)據(jù)信號(hào)的一致性，而且還要讓采樣脈沖稍窄、數(shù)據(jù)脈沖稍寬，以便于能夠?qū)⒉蓸游恢枚ㄎ辉跀?shù)據(jù)信號(hào)的終點(diǎn)附近，由此得到更為完整的數(shù)據(jù)信號(hào)，促進(jìn)密鑰的順利生成，保證云計(jì)算應(yīng)用過程中的網(wǎng)絡(luò)安全，落實(shí)網(wǎng)絡(luò)安全技術(shù)路徑。

2.4 技術(shù)實(shí)現(xiàn)路徑的試驗(yàn)驗(yàn)證結(jié)果與分析

為了驗(yàn)證上述網(wǎng)絡(luò)安全技術(shù)實(shí)現(xiàn)路徑的可行性，研究者在實(shí)驗(yàn)室搭設(shè)了相應(yīng)的試驗(yàn)平臺(tái)，對(duì)上述技術(shù)實(shí)現(xiàn)路徑進(jìn)行了建設(shè)和運(yùn)行。運(yùn)行結(jié)果顯示，MDI-QKD 系統(tǒng)在進(jìn)行同步單元通信期間，借助精準(zhǔn)的時(shí)延調(diào)節(jié)，在探測(cè)端，成功地讓兩個(gè)編碼端的信號(hào)脈沖，呈現(xiàn)出了貝爾泰干涉現(xiàn)象，而且經(jīng)過干涉處理后，探測(cè)器所輸出的測(cè)量結(jié)果，被采集卡精準(zhǔn)采集，然后探測(cè)端又結(jié)合采集卡內(nèi)數(shù)據(jù)的現(xiàn)狀，篩選出了成功的結(jié)果，并將該結(jié)果通過公共信道，加以公布，最后，被公布的結(jié)果經(jīng)過后處理環(huán)節(jié)，成功形成了最終密鑰，達(dá)到了MDI-QKD 這一網(wǎng)絡(luò)安全技術(shù)路徑的預(yù)期實(shí)現(xiàn)效果。由此可見，上述技術(shù)實(shí)現(xiàn)路徑可行，能夠有效保證云計(jì)算背景下的網(wǎng)絡(luò)信息安全。此外，經(jīng)過試驗(yàn)觀察，研究者發(fā)現(xiàn)，當(dāng)溫度變化時(shí)，干涉儀中的脈沖可能會(huì)引入新的相位差，提高誤碼率，影響干涉效果，同時(shí)，兩個(gè)編碼端的干涉儀不同，也會(huì)讓技術(shù)的實(shí)現(xiàn)面臨路徑不一致的問題，增加誤碼率，因此，在技術(shù)實(shí)現(xiàn)路徑建設(shè)中，應(yīng)當(dāng)關(guān)注環(huán)境溫度，并采取有效措施保持環(huán)境溫度的穩(wěn)定性，而且也要為兩個(gè)編碼端，即Alice、Bob 端，選用相同的干涉儀，由此，深入優(yōu)化技術(shù)實(shí)現(xiàn)路徑的運(yùn)行效果，保證網(wǎng)絡(luò)安全技術(shù)的使用性能水平能夠達(dá)到預(yù)期。

3 討論

在云計(jì)算背景下，MDI-QKD 技術(shù)是一種無條件安全的網(wǎng)絡(luò)安全技術(shù)，而根據(jù)上文關(guān)于該技術(shù)實(shí)現(xiàn)路徑的論述可知，該技術(shù)具有有效的技術(shù)實(shí)現(xiàn)路徑，可行性滿足推廣使用需求。因此，為了推動(dòng)云計(jì)算技術(shù)的發(fā)展，提升各領(lǐng)域的信息化建設(shè)水平，可以將此項(xiàng)技術(shù)作為一項(xiàng)重點(diǎn)推廣的網(wǎng)絡(luò)安全技術(shù)，并結(jié)合現(xiàn)有的云計(jì)算技術(shù)應(yīng)用場(chǎng)景情況，不斷完善配套的技術(shù)實(shí)現(xiàn)路徑方案，讓此項(xiàng)技術(shù)具備更強(qiáng)的可行性優(yōu)勢(shì)，由此充分發(fā)揮此項(xiàng)網(wǎng)絡(luò)安全技術(shù)的效能，推動(dòng)大數(shù)據(jù)時(shí)代的發(fā)展。

綜上所述，順利實(shí)現(xiàn)網(wǎng)絡(luò)安全技術(shù)實(shí)現(xiàn)路徑，能夠?yàn)樵朴?jì)算的推廣應(yīng)用提供良好條件。經(jīng)過上述技術(shù)實(shí)現(xiàn)路徑分析，可以看出，MDI-QKD 技術(shù)具有良好的適用性，通過對(duì)該技術(shù)進(jìn)行合理的應(yīng)用設(shè)計(jì)和實(shí)踐操作，能夠順利落實(shí)云計(jì)算網(wǎng)絡(luò)安全技術(shù)實(shí)現(xiàn)路徑建設(shè)，保證數(shù)據(jù)通信傳輸?shù)陌踩?，深入?yōu)化云計(jì)算技術(shù)的使用性能。