[论文解读] Overview of Quantum Key Distribution Technique within IPsec Architecture

Emir Dervisevic, Miralem Mehić|arXiv (Cornell University)|Dec 24, 2021

Quantum Information and Cryptography被引用 4

一句话总结

本文全面概述了将量子密钥分发（QKD）集成到IPsec架构中的方法，以实现抗量子安全的密钥交换。通过在IPsec的互联网密钥交换（IKE）协议中利用QKD生成的对称密钥，该方法确保了信息论安全性，其中快速重密钥机制和QIKE等方案实现了高速密钥同步与快速重密钥，从而克服了传统密钥交换的性能限制。

ABSTRACT

Quantum Key Distribution (QKD) is an approach for establishing symmetrical binary keys between distant users in an information-theoretically secure way. In this paper we provide an overview of existing solutions that integrate QKD within the most popular architecture for establishing secure communications in modern IP (Internet Protocol) networks - IPsec (Internet Protocol security). The provided overview can be used to further design the integration of QKD within the IPsec architecture striving for a standardized solution.

研究动机与目标

• 分析现有将量子密钥分发（QKD）与IPsec架构集成以实现抗量子安全的解决方案。
• 识别当前QKD-IPsec集成中的局限性，特别是重密钥速率缓慢以及对控制通道中经典密码学的依赖。
• 评估可实现IPsec端点之间使用QKD生成密钥进行快速、可扩展密钥同步的协议。
• 评估在IKE中用基于QKD的密钥分发替代经典密钥交换（如DH）的可行性，以增强安全性。
• 为未来在关键基础设施中部署QKD与IPsec集成提供标准化基础。

提出的方法

• 调查并分类现有的QKD-IPsec集成解决方案，包括DARPA量子网络、安全量子密钥交换（SQKE）、MagiQ技术、QIKE、AQUA和快速重密钥机制。
• 分析互联网密钥交换（IKE）协议在IPsec中的作用，以及如何使用QKD密钥建立和重密钥安全关联（SAs）。
• 评估密钥同步机制，如预分配的SPI和QKD密钥队列，以实现在无协商延迟情况下的快速重密钥。
• 评估在QIKE中使用ISAKMP信息消息来通过仅交换已过期SA的SPI值来同步SA数据库。
• 研究并行使用多个SA以实现旧密钥和新密钥的并行使用，从而提高系统弹性和吞吐量。
• 研究QKD中后处理的作用，包括纠错和隐私放大，以确保最终密钥的机密性和完整性。

实验结果

研究问题

• RQ1 如何有效将QKD集成到IPsec架构中，以替代经典密钥交换机制？
• RQ2 现有QKD-IPsec解决方案中的性能瓶颈是什么，特别是重密钥速度和控制通道安全性方面？
• RQ3 不同协议（如QIKE、快速重密钥）如何在保持与IPsec向后兼容的前提下实现快速密钥同步？
• RQ4 在多大程度上可以使用QKD生成的密钥来保护IKE中的控制通道，其对认证的影响是什么？
• RQ5 IPsec需要进行哪些架构变更，以支持使用QKD密钥实现高速、可扩展的重密钥？

主要发现

• DARPA量子网络解决方案引入了IKE/QKD接口，但由于依赖顺序密钥交换，导致重密钥速度缓慢。
• 安全量子密钥交换（SQKE）协议支持使用QKD密钥进行预共享认证，增强了控制通道的安全性，但需要按需进行QKD密钥交换，若使用一次性密码本加密则会限制数据速率。
• MagiQ技术与QIKE协议通过并行维护多个SA并预分配QKD密钥，实现了快速重密钥，显著提升了吞吐量。
• 快速重密钥协议通过仅交换SPI值的轻量级协议同步QKD密钥，消除了协商延迟，实现了高重密钥速率。
• AQUA解决方案扩展了IKEv2以支持QKD密钥协商和回退机制，但并未解决早期设计中存在的重密钥速度缓慢问题。
• 研究结论认为，若通过支持多SA和预同步密钥的机制增强IPsec，IPsec可在后量子时代保持相关性。