大家现在说的, 就是什么叫做量子通信里的安全域名传输这个事儿。它的主要办法是利用那种叫量子密钥分发的技术手段（也就是英文缩写为QKD的技术）。具体来说, 是对域名系统（就是大家俗称的DNS）在查询还有解析的整个过程, 全都给加密保护起来。
这样做的目的, 是要确保那些域名数据在网络上传输的时候, 别人没办法偷偷去听, 也没法动手脚去改。
现在国内在做这件事儿的时候, 主要是依据《量子保密通信"十四五"发展规划》还有GB/T 42744-2023《信息安全技术 量子密钥分发系统安全要求》这两个文件或标准, 来执行相关要求并达到相应的安全水平。
技术原理与分层架构
量子通信在针对安全域名进行传输这一事项时, 所采用的方式是存在三层架构的。
量子密钥分发层: 这一层通过采用BB84协议, 或者采用E91协议的方式, 让通信的两端之间去建立一次性的对称密钥。生成的这个密钥, 仅仅被用来加密发生在当前这次DNS交互期间的数据内容。一旦完成加密任务之后, 就会被销毁掉, 从而避免了因为重复使用密钥而带来的风险隐患。
域名传输加密层: 当DNS查询报文, 还有应答报文通过量子安全信道进行传输的时候, 依据量子态的不可克隆定理, 任何中间节点所做出的测量行为, 都能够导致量子态发生坍缩, 从而触发实时的入侵检测告警。
域名解析执行层: 权威DNS服务器端把报文解密, 并且把域名解析这个事情给做完, 返回结果也用那个量子加密通道回传给客户端, 这样就能形成一个从端到端的闭环。
核心安全参数与阈值
域名注册与运维配置要求
在量子通信网络进行实际部署的时候, 需要对域名解析这一环节去做安全管理才行, 因为这样做才是为了确保整条链路都能实现加密的目的, 这是非常重要的关键一部分。运营单位应该去找到那些具备量子安全接入能力的域名注册服务机构, 然后在那里去完成专用的域名的注册以及相关的解析配置工作。
拿
运维这边有要求, 每个月都必须去做一次量子信道质量的检查巡检工作, 还要把《QBER》这个数字变化趋势的曲线给它记录下来, 并且存档备份留下来供以后查考用。而且, 每一个季度还得完成一次关于密钥管理的审计工作, 去确认一下有没有密钥泄露的情况发生, 还有没有密钥复用出现异常的状况出来。
高频疑难与处置方案
在量子信道中断后域名解析如何保障这个问题上面, 系统是会自动降到经典AES-256和SM4这种加密通道的, 所以DNS服务不会断掉, 等到信道恢复以后, 系统就会无缝切换回量子加密模式, 在降级的那个期间, 报文会被单独打标, 然后被塞到安全事件日志里去。
多节点组网时端到端密钥如何同步? 采用了量子中继站级联这个架构, 每个中继节点要和相邻的节点独立地建立起密钥, 端到端会话密钥是由第一个节点和最后一个节点通过联合协商的方式生成的, 中继节点没有办法获取完整的密钥内容。
如何验证域名传输确实经过量子加密? 当DNS解析响应头中携带有量子会话标识, 也就是QSID这个字段的时刻, 客户端会去本地密钥库里面把QSID的一致性进行比对。如果比对的结果是不匹配的话, 那么就判定传输路径是异常的, 接着拒绝该解析结果, 并且同时触发告警动作。
合规要点
在建设涉及量子通信安全域名传输的系统的时候, 必须通过国家量子信息产品质量检测中心进行的QKD安全认证。同时, 提供域名解析服务的机构应该是已经获得了相应信息安全等级保护备案的单位, 这个保护的级别是不能低于三级的。
另外, 如果有关于量子信道的相关数据需要跨境传输的话, 那么就要严格按照《数据安全法》以及量子通信领域里的专项规定来执行。
