《量子保密通信VPN設(shè)備測(cè)試規(guī)范》

ICS點(diǎn)擊此處添加ICS號(hào)

點(diǎn)擊此處添加中國(guó)標(biāo)準(zhǔn)文獻(xiàn)分類(lèi)號(hào)Q/CEC

中國(guó)電力企業(yè)聯(lián)合會(huì)團(tuán)體標(biāo)準(zhǔn)

Q/CECXXXXX—XXXX

量子保密通信VPN設(shè)備檢測(cè)技術(shù)規(guī)范

SpecificationfordetectionofVPNequipmentinquantumsecurecommunications

點(diǎn)擊此處添加與國(guó)際標(biāo)準(zhǔn)一致性程度的標(biāo)識(shí)

文稿版次選擇

XXXX-XX-XX發(fā)布XXXX-XX-XX實(shí)施

中國(guó)電力企業(yè)聯(lián)合會(huì)發(fā)布

Q/XXXXXXXX—XXXX

前??言

為明確VPN設(shè)備在使用量子密碼時(shí)的功能、性能要求；規(guī)范在電力行業(yè)內(nèi)對(duì)量子VPN設(shè)備進(jìn)行入圍檢

測(cè)的方法、流程和指標(biāo)，制定本標(biāo)準(zhǔn)。

本標(biāo)準(zhǔn)由中國(guó)電力企業(yè)聯(lián)合會(huì)提出并解釋。

本標(biāo)準(zhǔn)由電力行業(yè)信息標(biāo)準(zhǔn)化技術(shù)委員會(huì)歸口。

本標(biāo)準(zhǔn)起草單位：中國(guó)電力科學(xué)研究院有限公司、科大國(guó)盾量子技術(shù)股份有限公司。

本標(biāo)準(zhǔn)主要起草人：xxx、xxx。

本標(biāo)準(zhǔn)首次發(fā)布。

本標(biāo)準(zhǔn)在執(zhí)行過(guò)程中的意見(jiàn)或建議反饋至中國(guó)電力企業(yè)聯(lián)合會(huì)標(biāo)準(zhǔn)化管理中心（北京市白廣路二條

一號(hào)，100761）。

I

Q/XXXXXXXX—XXXX

量子保密通信VPN設(shè)備檢測(cè)技術(shù)規(guī)范

1范圍

本標(biāo)準(zhǔn)規(guī)定了電力行業(yè)內(nèi)應(yīng)用量子VPN設(shè)備通信時(shí)，相關(guān)設(shè)備的檢測(cè)規(guī)范，以指導(dǎo)相關(guān)產(chǎn)品研發(fā)并

對(duì)設(shè)備進(jìn)行入圍檢測(cè)。

2規(guī)范性引用文件

下列文件對(duì)于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅所注日期的版本適用于本文

件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。

GM/Z0001密碼術(shù)語(yǔ)

GB/T17626.2-2006電磁兼容試驗(yàn)和測(cè)量技術(shù)靜電放電抗擾度試驗(yàn)

GB/T17626.3-2006電磁兼容試驗(yàn)和測(cè)量技術(shù)射頻電磁場(chǎng)輻射抗擾度試驗(yàn)

GB/T17626.4-2008電磁兼容試驗(yàn)和測(cè)量技術(shù)電快速瞬變脈沖群抗擾度試驗(yàn)

GB/T17626.5-2008電磁兼容試驗(yàn)和測(cè)量技術(shù)浪涌(沖擊)抗擾度試驗(yàn)

GB/T17626.6-2008電磁兼容試驗(yàn)和測(cè)量技術(shù)射頻場(chǎng)感應(yīng)的傳導(dǎo)騷擾抗擾度

GB/T17626.11-2008電磁兼容試驗(yàn)和測(cè)量技術(shù)電壓暫降、短時(shí)中斷和電壓變化的抗擾度試驗(yàn)

GB/T17626.18-2016電磁兼容試驗(yàn)和測(cè)量技術(shù)阻尼振蕩波抗擾度試驗(yàn)

GM/T0005隨機(jī)性監(jiān)測(cè)規(guī)范

GM/T0009SM2密碼算法使用規(guī)范

GM/T0014數(shù)字證書(shū)認(rèn)證系統(tǒng)密碼協(xié)議規(guī)范

GM/T0015基于SM2密碼算法的數(shù)字證書(shū)格式規(guī)范

GM/T0018密碼設(shè)備應(yīng)用接口規(guī)范

GM/T0022IPSecVPN技術(shù)規(guī)范

GM/T0023IPSecVPN網(wǎng)關(guān)產(chǎn)品規(guī)范

GBT32922-2016IPSecVPN安全接入基本要求

GB/T28456-2012IPSec協(xié)議應(yīng)用檢測(cè)規(guī)范

3術(shù)語(yǔ)、定義和縮略語(yǔ)

下列術(shù)語(yǔ)和定義適用于本文件。

量子密鑰分發(fā)quantumkeydistribution;QKD

通信雙方通過(guò)傳送量子態(tài)的方法實(shí)現(xiàn)信息理論安全的密鑰分發(fā)過(guò)程。

量子密鑰quantumkey

通過(guò)量子密鑰分發(fā)產(chǎn)生的由量子力學(xué)基本定律保證安全性的密鑰。

1

Q/XXXXXXXX—XXXX

虛擬專(zhuān)用網(wǎng)絡(luò)virtualprivatenetwork;VPN

使用密碼技術(shù)在通信網(wǎng)絡(luò)中構(gòu)建安全通道的技術(shù)。

量子VPN設(shè)備quantumVPNequipment

使用量子密鑰進(jìn)行加密通信的VPN設(shè)備。

量子保密通信quantumsecurecommunication

結(jié)合量子密鑰分發(fā)和對(duì)稱(chēng)密碼技術(shù)的安全通信。

量子信道quantumchannel

在量子保密通信網(wǎng)絡(luò)中，QKD終端設(shè)備間傳遞量子態(tài)信息的通道。

經(jīng)典信道classicalchannel

在量子保密通信網(wǎng)絡(luò)中，QKD終端設(shè)備間傳遞密鑰協(xié)商信息的通道。

量子密鑰服務(wù)quantumkeyservice

向量子加密通信設(shè)備提供量子密鑰的服務(wù)。

量子密鑰分發(fā)設(shè)備quantumkeydistributiondevice

實(shí)現(xiàn)量子密鑰分發(fā)功能的設(shè)備，包括接收端和發(fā)送端。

量子密鑰管理終端quantumkeymanagementterminal

集成了密鑰存儲(chǔ)、密鑰輸出等功能的軟件或硬件設(shè)備。

集控站centralcontrolnode

量子城域網(wǎng)的核心節(jié)點(diǎn)。主要實(shí)現(xiàn)區(qū)域密鑰生成與密鑰中繼等功能的控制，并提供骨干網(wǎng)接入功能。

用戶(hù)站usernode

量子保密通信網(wǎng)絡(luò)中向用戶(hù)提供量子密鑰的節(jié)點(diǎn)。

縮略語(yǔ)

下列縮略語(yǔ)適用于本文件

AH：鑒別頭(AuthenticationHeader)

CBC：密碼分組鏈接(CipherBlockChaining)

ESP：封裝安全載荷(EncapsulatingSecurityPayload)

IPSec：IP安全協(xié)議(InternetProtocolSecurity)

NAT：網(wǎng)絡(luò)地址轉(zhuǎn)換(NetworkAddressTranslation)

VPN：虛擬專(zhuān)用網(wǎng)絡(luò)(VirtualPrivateNetwork)

QKD：量子密鑰分發(fā)(QuantumKeyDistribution)

QKM：量子密鑰管理終端(quantumkeymanagementterminal)

QKS：量子密鑰服務(wù)(QuantumKeyService)

IKE：因特網(wǎng)密鑰交換協(xié)議（InternetKeyExchange）

2

Q/XXXXXXXX—XXXX

4總則

最基本的量子保密通信系統(tǒng)由QKD設(shè)備、QKM設(shè)備和量子VPN設(shè)備三部分組成。QKD設(shè)備通過(guò)量子信道

和經(jīng)典信道協(xié)商產(chǎn)生量子密鑰，并通過(guò)QKM設(shè)備對(duì)密鑰進(jìn)行存儲(chǔ)管理；量子VPN設(shè)備從QKM設(shè)備中獲取量

子密鑰，建立加密傳輸通道，為業(yè)務(wù)數(shù)據(jù)的傳輸提供服務(wù)。

組建一個(gè)標(biāo)準(zhǔn)的量子保密通信網(wǎng)絡(luò)，應(yīng)在基本的量子保密通信系統(tǒng)的基礎(chǔ)上，搭建以集控站為中心

的骨干網(wǎng)絡(luò)，各個(gè)終端用戶(hù)站點(diǎn)部署的量子設(shè)備通過(guò)骨干網(wǎng)絡(luò)實(shí)現(xiàn)接入，并由量子網(wǎng)絡(luò)管理系統(tǒng)對(duì)整個(gè)

量子網(wǎng)絡(luò)進(jìn)行管理監(jiān)控，見(jiàn)下圖所示：

圖1量子保密通信網(wǎng)絡(luò)架構(gòu)

5技術(shù)要求

5.1功能要求

5.1.1隨機(jī)數(shù)生成

應(yīng)具有隨機(jī)數(shù)生成功能，在使用隨機(jī)數(shù)前能對(duì)生成的隨機(jī)數(shù)進(jìn)行偏“0”、偏“1”、“0、1”平衡

等常規(guī)檢測(cè)，并提供檢測(cè)接口，能通過(guò)檢測(cè)接口對(duì)量子VPN設(shè)備所生成的隨機(jī)數(shù)進(jìn)行樣本采集，隨機(jī)數(shù)

檢驗(yàn)應(yīng)符合GM/T0005的要求。

5.1.2工作模式

應(yīng)支持隧道模式和傳輸模式，其中隧道模式是必備功能，用于網(wǎng)關(guān)之間實(shí)現(xiàn)；傳輸模式是可選功能，

僅用于主機(jī)之間實(shí)現(xiàn)。

5.1.3密鑰交換

設(shè)備主要使用量子密鑰，在量子密鑰不可使用的時(shí)候，切換到使用IPSec的會(huì)話(huà)密鑰協(xié)商功能。

5.1.4安全報(bào)文封裝

3

Q/XXXXXXXX—XXXX

安全報(bào)文封裝協(xié)議分為AH協(xié)議和ESP協(xié)議。AH協(xié)議應(yīng)與ESP協(xié)議嵌套使用，這種情況下不啟用ESP協(xié)

議中的驗(yàn)證操作。ESP協(xié)議可單獨(dú)使用，這種情況下應(yīng)啟用ESP協(xié)議中的驗(yàn)證操作。

5.1.5NAT穿越

應(yīng)支持ESP單獨(dú)使用時(shí)NAT穿越。

5.1.6鑒別方式

應(yīng)具有實(shí)體鑒別的功能，身份鑒別數(shù)據(jù)應(yīng)支持?jǐn)?shù)字證書(shū)方式。

5.1.7IP協(xié)議版本支持

應(yīng)支持IPv4協(xié)議或IPv6協(xié)議。

5.1.8抗重放攻擊

在安全報(bào)文傳輸階段應(yīng)具有對(duì)抗重放攻擊的功能。

5.1.9密鑰更新

應(yīng)具有根據(jù)時(shí)間周期和報(bào)文流量?jī)煞N條件進(jìn)行工作密鑰和會(huì)話(huà)密鑰的更新功能，其中根據(jù)時(shí)間周期

條件進(jìn)行密鑰更新為必備功能，根據(jù)報(bào)文流量條件進(jìn)行密鑰更新為可選功能，更新周期要求如下：

a)如采用量子密鑰進(jìn)行數(shù)據(jù)的封裝和加密傳輸，其量子密鑰更新周期參考范圍（1-3600）秒，可

配置。

b)如采用量子VPN設(shè)備的IKE密鑰協(xié)商，應(yīng)遵循GM/T0022-20146.1.9節(jié)內(nèi)容要求。

5.2性能要求

5.2.1加解密吞吐率

加解密吞吐率真是指分別在以太幀長(zhǎng)64字節(jié)和1428字節(jié)（IPv6是1408字節(jié)）時(shí)，量子VPN設(shè)備在丟

包率為0的條件下內(nèi)網(wǎng)口上達(dá)到的雙向數(shù)據(jù)最大流量。應(yīng)滿(mǎn)足用戶(hù)網(wǎng)絡(luò)環(huán)境對(duì)網(wǎng)絡(luò)數(shù)據(jù)加解密吞吐性能

的要求。

5.2.2加解密時(shí)延

加解密時(shí)延是指分別在以太幀長(zhǎng)64字節(jié)和1428字節(jié)（IPv6是1408字節(jié)）時(shí)，量子VPN設(shè)備在丟包率

為0的條件下，一個(gè)明文數(shù)據(jù)流經(jīng)加密變?yōu)槊芪?，再由密文解密還原為明文所消耗的平均時(shí)間。應(yīng)滿(mǎn)足

用戶(hù)網(wǎng)絡(luò)環(huán)境對(duì)網(wǎng)絡(luò)數(shù)據(jù)加解密時(shí)延性能的要求。

5.2.3加解密丟包率

加解密丟包率是指分別以太幀在64字節(jié)和1428字節(jié)（IPv6是1408字節(jié)）時(shí)，在量子VPN設(shè)備內(nèi)網(wǎng)口

處于線(xiàn)速情況下，單位時(shí)間內(nèi)錯(cuò)誤或丟失的數(shù)據(jù)包占總發(fā)數(shù)據(jù)包數(shù)量的百分比。應(yīng)滿(mǎn)足用戶(hù)網(wǎng)絡(luò)環(huán)境對(duì)

網(wǎng)絡(luò)數(shù)據(jù)加解密丟包率性能的要求。

5.2.4每秒新建隧道數(shù)

每秒新建隧道數(shù)是指量子VPN設(shè)備在一秒鐘的時(shí)間單位內(nèi)能夠建立隧道數(shù)目的最大值。應(yīng)滿(mǎn)足用戶(hù)

網(wǎng)絡(luò)環(huán)境對(duì)每秒新建隧道數(shù)性能的要求。

5.2.5最大并發(fā)隧道數(shù)

最大并發(fā)隧道數(shù)是指量子VPN設(shè)備同時(shí)并存的隧道數(shù)目的最大值。應(yīng)滿(mǎn)足用戶(hù)網(wǎng)絡(luò)環(huán)境對(duì)最大并發(fā)

隧道數(shù)性能的要求。

5.2.6單隧道最大并發(fā)連接數(shù)

單隧道最大并發(fā)連接數(shù)是指量子VPN設(shè)備單條隧道最大能夠并發(fā)建立的TCP連接數(shù)目。應(yīng)滿(mǎn)足用戶(hù)網(wǎng)

絡(luò)環(huán)境對(duì)單隧道最大并發(fā)連接數(shù)的性能要求。

4

Q/XXXXXXXX—XXXX

5.2.7電磁兼容

量子VPN設(shè)備的抗電磁干擾能力要求見(jiàn)表1，檢測(cè)期間工作性能允許暫時(shí)降低或停止，試驗(yàn)結(jié)束后設(shè)

備應(yīng)無(wú)損傷、能自動(dòng)恢復(fù)正常工作并滿(mǎn)足技術(shù)性能要求。

表1抗電磁干擾性能要求

序號(hào)項(xiàng)目參考標(biāo)準(zhǔn)嚴(yán)酷等級(jí)

1靜電放電抗擾度GB/T17626.2-20063級(jí)

2射頻電磁場(chǎng)輻射抗擾度GB/T17626.3-20063級(jí)

3電快速瞬變脈沖群抗擾度GB/T17626.4-20083級(jí)

4浪涌（沖擊）抗擾度GB/T17626.5-20083級(jí)

5射頻場(chǎng)感應(yīng)的傳導(dǎo)騷擾的抗擾度GB/T17626.6-20083級(jí)

6電壓突降和短時(shí)中斷抗擾度GB/T17626.11-200820ms/0%

7阻尼振蕩波抗擾度GB/T17626.18-20163級(jí)

5.3安全管理要求

5.3.1密鑰管理

5.3.1.1設(shè)備密鑰

設(shè)備密鑰安全要求如下：

a)簽名密鑰對(duì)由量子VPN設(shè)備自身產(chǎn)生，其公鑰應(yīng)能被導(dǎo)出，由外部認(rèn)證機(jī)構(gòu)簽發(fā)簽名證書(shū)。

b)加密密鑰對(duì)由外部密鑰管理機(jī)構(gòu)產(chǎn)生并由外部認(rèn)證機(jī)構(gòu)簽發(fā)加密證書(shū)。加密密鑰對(duì)的私鑰保護(hù)

方法見(jiàn)GM/T0014。

c)簽名證書(shū)、加密證書(shū)和加密密鑰對(duì)的私鑰應(yīng)能被導(dǎo)入量子VPN設(shè)備中。

d)在量子VPN設(shè)備中，設(shè)備密鑰的私鑰應(yīng)有安全保護(hù)措施。

e)設(shè)備密鑰應(yīng)按設(shè)定的安全策略進(jìn)行更新。

f)設(shè)備密鑰可以以安全形式進(jìn)行備份，并在需要時(shí)能夠恢復(fù)。

5.3.1.2工作密鑰

工作密鑰產(chǎn)生后應(yīng)保存在易失性存儲(chǔ)器中，達(dá)到其更新條件后應(yīng)立即更換，在連接斷開(kāi)、設(shè)備斷電

時(shí)應(yīng)銷(xiāo)毀。

5.3.1.3會(huì)話(huà)密鑰

會(huì)話(huà)密鑰產(chǎn)生后應(yīng)保存在易失性存儲(chǔ)器中，達(dá)到其更新條件后應(yīng)立即更換，在連接斷開(kāi)、設(shè)備斷電

時(shí)應(yīng)銷(xiāo)毀。

5.3.1.4量子密鑰

量子密鑰是由量子密鑰分配終端協(xié)商產(chǎn)生，通過(guò)量子密鑰服務(wù)對(duì)外提供應(yīng)用。當(dāng)量子VPN設(shè)備需要

對(duì)傳輸?shù)臄?shù)據(jù)進(jìn)行加密處理時(shí)，可通過(guò)向量子密鑰服務(wù)請(qǐng)求量子密鑰來(lái)完成數(shù)據(jù)的加密傳輸。量子密鑰

被請(qǐng)求后即從量子密鑰服務(wù)中刪除，并保存在量子VPN設(shè)備的安全存儲(chǔ)區(qū)域中，達(dá)到其更新條件后應(yīng)立

即更換，在連接斷開(kāi)、設(shè)備斷電時(shí)應(yīng)銷(xiāo)毀。

5.3.2數(shù)據(jù)管理

5.3.2.1配置數(shù)據(jù)管理

5

Q/XXXXXXXX—XXXX

配置數(shù)據(jù)應(yīng)保證其在設(shè)備中的完整性、可靠性。應(yīng)有管理界面對(duì)配置數(shù)據(jù)進(jìn)行配置和管理，管理員

進(jìn)入管理界面應(yīng)通過(guò)身份鑒別。

5.3.2.2日志管理

量子VPN設(shè)備應(yīng)提供日志功能，日志可被查看、導(dǎo)出，日志內(nèi)容如下：

a)操作行為：包括登錄認(rèn)證、參數(shù)配置、策略配置、密鑰管理等操作。

b)安全事件：安全聯(lián)盟的協(xié)商成功、協(xié)商失敗、過(guò)期等事件，以及量子密鑰的獲取成功、失敗等

事件。

c)異常事件：解密失敗、完整性核驗(yàn)失敗等異常事件的統(tǒng)計(jì)。

5.3.3人員管理

量子VPN設(shè)備應(yīng)設(shè)置管理員，進(jìn)行設(shè)備參數(shù)配置、策略配置、設(shè)備密鑰的生成、導(dǎo)入、備份和恢復(fù)

等操作。管理員應(yīng)持有表征用戶(hù)身份（如證書(shū)、公私鑰對(duì)等）信息的硬件裝置，與登錄口令相結(jié)合登錄

系統(tǒng)，進(jìn)行管理操作前應(yīng)通過(guò)身份鑒別。登錄口令長(zhǎng)度應(yīng)不小于8個(gè)字符，且至少包含大寫(xiě)字母、小寫(xiě)

字母、數(shù)字、特殊字符中的三類(lèi)。連續(xù)5次登錄失敗后，管理員賬號(hào)應(yīng)暫時(shí)鎖定。

5.3.4設(shè)備管理

5.3.4.1硬件安全

硬件安全要求如下：

a)量子VPN設(shè)備應(yīng)提供安全措施，保證密碼算法、密鑰、關(guān)鍵數(shù)據(jù)的存儲(chǔ)安全。

b)所有密碼運(yùn)算應(yīng)在獨(dú)立的密碼部件中進(jìn)行。

c)除必需的通信接口和管理接口以外，不提供任何可供調(diào)試、跟蹤的外部接口。內(nèi)部的調(diào)試、檢

測(cè)接口應(yīng)在產(chǎn)品定型后封閉。

5.3.4.2軟件安全

軟件安全要求如下：

a)操作系統(tǒng)進(jìn)行安全加固，裁減一切不需要的模塊，關(guān)閉所有不需要的端口和服務(wù)。

b)任何操作指令及其任意組合，不能泄露密鑰和敏感信息。

5.3.4.3設(shè)備初始化

量子VPN設(shè)備的初始化，除必須由廠商進(jìn)行操作外，參數(shù)的配置、安全策略的配置、密鑰的生成、

使用和管理、管理員的產(chǎn)生等均應(yīng)由用戶(hù)完成。

5.3.4.4注冊(cè)和監(jiān)控

注冊(cè)和監(jiān)控要求如下：

a)量子VPN設(shè)備可具有向管理中心進(jìn)行注冊(cè)的功能，同時(shí)接受管理中心對(duì)其運(yùn)行狀態(tài)的實(shí)時(shí)監(jiān)控

管理。

b)與管理中心的通信應(yīng)采用加密通道和身份鑒別等安全措施。

5.3.4.5設(shè)備自檢

設(shè)備自檢要求如下：

a)應(yīng)對(duì)密碼運(yùn)算部件等關(guān)鍵部件進(jìn)行正確性檢查。

b)應(yīng)對(duì)存儲(chǔ)的密鑰等敏感信息進(jìn)行完整性檢查。

6

Q/XXXXXXXX—XXXX

c)在檢查不通過(guò)時(shí)應(yīng)報(bào)警并停止工作。

5.3.4.6設(shè)備物理安全防護(hù)

在工藝設(shè)計(jì)、硬件配置等方面要采取相應(yīng)的保護(hù)措施，保證設(shè)備基本的物理安全防護(hù)功能。

5.3.5量子VPN網(wǎng)管

5.3.5.1綜合網(wǎng)管

量子VPN設(shè)備可通過(guò)SNMP、Syslog等協(xié)議即時(shí)報(bào)告自己的運(yùn)行狀態(tài)和日志管理等信息，并可

通過(guò)綜合網(wǎng)管軟件進(jìn)行集中收集、分析和展示，能夠管理的量子VPN設(shè)備具體指標(biāo)參數(shù)主要有：

a)隧道名稱(chēng)和隧道激活狀態(tài)，即量子VPN設(shè)備當(dāng)前所有隧道的名稱(chēng)和隧道的激活狀態(tài)，可用來(lái)反

映量子VPN設(shè)備當(dāng)前激活隧道數(shù)和總的隧道數(shù)；

b)隧道吞吐率和隧道加密狀態(tài)，即量子VPN設(shè)備當(dāng)前所有激活隧道的吞吐率和加密狀態(tài)，可用來(lái)

反映密文吞吐率和明文吞吐率；

c)密鑰來(lái)源，即量子VPN設(shè)備所使用的密鑰來(lái)源，可用于監(jiān)測(cè)量子VPN設(shè)備當(dāng)前是使用量子密鑰

分配獲取密鑰，還是使用基于IKE協(xié)議的密鑰進(jìn)行數(shù)據(jù)加解密；

d)密鑰更新頻率，即量子VPN設(shè)備使用量子密鑰的更新頻率，可用于監(jiān)測(cè)量子密鑰的更新速率；

e)內(nèi)存和CPU的占用率，即量子VPN設(shè)備正常運(yùn)行時(shí)的內(nèi)存和CPU資源的消耗百分比，可用來(lái)評(píng)

估設(shè)備是否能夠處在穩(wěn)定運(yùn)行狀態(tài)；

f)告警功能，即量子VPN設(shè)備提供實(shí)時(shí)告警消息上報(bào)，可用于監(jiān)測(cè)設(shè)備的異常情況。

5.3.5.2配置網(wǎng)管

量子VPN設(shè)備應(yīng)支持命令行或圖形化方式進(jìn)行配置管理，支持網(wǎng)絡(luò)接口、路由、加密通道、策

略、系統(tǒng)服務(wù)等配置管理。

6檢測(cè)方法

6.1功能檢測(cè)

6.1.1量子密鑰同步校驗(yàn)

量子VPN設(shè)備之間進(jìn)行密鑰的同步，確定兩端獲取密鑰成功、匹配正確、內(nèi)容一致后，再啟用該密

鑰進(jìn)行后續(xù)加密或認(rèn)證操作，如果密鑰不一致導(dǎo)致失敗，則丟棄此次密鑰重新獲取。同步校驗(yàn)方式建議

CRC算法或累加和算法。通過(guò)網(wǎng)絡(luò)截取工具獲取數(shù)據(jù)包，分析數(shù)據(jù)。

6.1.2工作模式

檢測(cè)步驟如下：

a)將檢測(cè)設(shè)備與被測(cè)設(shè)備均設(shè)置為隧道模式，應(yīng)能成功完成密鑰交換，建立量子VPN隧道進(jìn)行通

信。

b)被測(cè)設(shè)備支持傳輸模式時(shí)，將檢測(cè)設(shè)備與被測(cè)設(shè)備均設(shè)置為傳輸模式，應(yīng)能成功完成密鑰交換，

進(jìn)行通信。

c)將檢測(cè)設(shè)備與被測(cè)設(shè)備一方設(shè)置為隧道模式，另一方設(shè)置為傳輸模式，密鑰交換應(yīng)失敗，無(wú)法

建立量子VPN隧道進(jìn)行通信。

6.1.3密鑰交換

7

Q/XXXXXXXX—XXXX

設(shè)備主要使用量子密鑰，在不使用量子密鑰的時(shí)候，切換到使用IPSec會(huì)話(huà)密鑰。兩種密鑰來(lái)源方

式：基于量子密鑰分配的獲取和基于IKE協(xié)議的密鑰交換生成，在具體應(yīng)用中遵循以下要求：

a)方式1：通過(guò)量子保密通信系統(tǒng)，在收發(fā)雙方形成對(duì)稱(chēng)密鑰，VPN設(shè)備從量子密鑰生成設(shè)備中

獲取量子密鑰，密鑰獲取協(xié)議見(jiàn)附件A量子密鑰獲取協(xié)議；

b)方式2：在量子保密通信系統(tǒng)無(wú)法正常產(chǎn)生密鑰，或通過(guò)配置不使用量子密鑰的情況下，VPN

設(shè)備密鑰生成方法符合GM/T0022-20145.1節(jié)的要求。

6.1.4安全報(bào)文封裝協(xié)議

安全報(bào)文封裝協(xié)議檢測(cè)步驟如下：

a)將檢測(cè)設(shè)備與被測(cè)設(shè)備的安全報(bào)文封裝協(xié)議均配置為ESP協(xié)議，對(duì)通信的報(bào)文進(jìn)行網(wǎng)絡(luò)數(shù)據(jù)截

獲，查看其封裝格式應(yīng)符合5.1.4的要求，應(yīng)能正確進(jìn)行加解密通信。

b)將檢測(cè)設(shè)備與被測(cè)設(shè)備的安全報(bào)文封裝協(xié)議均配置為AH協(xié)議嵌套ESP協(xié)議，對(duì)通信的報(bào)文進(jìn)

行網(wǎng)絡(luò)數(shù)據(jù)截獲，查看其封裝格式應(yīng)符合附件A安全報(bào)文協(xié)議的要求，應(yīng)能正確進(jìn)行加解密通

信。

6.1.5NAT穿越

NAT穿越檢測(cè)步驟如下：

a)將待檢測(cè)設(shè)備放在NAT下，與檢測(cè)中心設(shè)備進(jìn)行隧道檢測(cè)，建立ESP協(xié)議的隧道模式的量子

VPN設(shè)備，測(cè)其功能是否完成；

b)按6.1.3的方法進(jìn)行密鑰交換。對(duì)密鑰交換過(guò)程進(jìn)行網(wǎng)絡(luò)數(shù)據(jù)截獲，查看其過(guò)程應(yīng)符合5.1.3

的要求，應(yīng)能正確進(jìn)行加解密通信；對(duì)加密通信的報(bào)文進(jìn)行網(wǎng)絡(luò)數(shù)據(jù)截獲，查看其封裝格式應(yīng)

符合5.1.4的要求。

6.1.6鑒別方式

應(yīng)遵循GM/T0022-20147.1.6節(jié)內(nèi)容。

6.1.7IP協(xié)議版本支持

量子VPN設(shè)備應(yīng)支持IPv4協(xié)議或者IPv6協(xié)議。

6.1.8抗重放攻擊

利用檢測(cè)設(shè)備或網(wǎng)絡(luò)報(bào)文截獲工具重放報(bào)文傳輸階段的安全報(bào)文，在被測(cè)設(shè)備的內(nèi)網(wǎng)口應(yīng)不能檢測(cè)

到重放的數(shù)據(jù)報(bào)文。

6.1.9密鑰更新

針對(duì)5.1.9節(jié)內(nèi)容，密鑰更新周期到達(dá)后，通過(guò)網(wǎng)絡(luò)截取工具獲取數(shù)據(jù)包，進(jìn)行分析。

6.2設(shè)備性能檢測(cè)

6.2.1加解密吞吐率

按5.2.1的要求進(jìn)行檢測(cè)，記錄檢測(cè)結(jié)果。

6.2.2加解密時(shí)延

按5.2.2的要求進(jìn)行檢測(cè)，記錄檢測(cè)結(jié)果。

6.2.3加解密丟包率

按5.2.3的要求進(jìn)行檢測(cè)，記錄檢測(cè)結(jié)果。

6.2.4每秒新建連接數(shù)

按5.2.4的要求進(jìn)行檢測(cè)，統(tǒng)計(jì)1分鐘時(shí)間內(nèi)建立的量子VPN隧道數(shù)，得到每秒新建連接數(shù)，并記錄

結(jié)果。

8

Q/XXXXXXXX—XXXX

6.3設(shè)備安全檢測(cè)

6.3.1密鑰管理

在被測(cè)設(shè)備的管理界而上進(jìn)行設(shè)備密鑰的產(chǎn)生或?qū)?、備份和恢?fù)以及更新操作。結(jié)果符合5.3.1.1

的要求。

6.3.2數(shù)據(jù)管理

6.3.2.1配置數(shù)據(jù)管理

通過(guò)管理界面對(duì)配置數(shù)據(jù)進(jìn)行配置和管理。所有的配置數(shù)據(jù)應(yīng)保證其在設(shè)備中的完整性、可靠性。

應(yīng)有管理界面對(duì)配置數(shù)據(jù)進(jìn)行配置和管理，管理員進(jìn)入管理界面應(yīng)通過(guò)身份鑒別。

6.3.2.2日志管理

查看并導(dǎo)出日志記錄，日志內(nèi)容符合5.3.2.2節(jié)的要求。

6.3.3人員管理

人員管理檢測(cè)步驟如下：

a)用非授權(quán)的身份或錯(cuò)誤的口令登錄，系統(tǒng)應(yīng)拒絕；當(dāng)連續(xù)重試次數(shù)到達(dá)系統(tǒng)設(shè)定的限制值時(shí)系

統(tǒng)應(yīng)鎖定。

b)用合法的身份和正確口令登錄，應(yīng)能進(jìn)入管理界面，進(jìn)行相應(yīng)的管理操作。

6.3.4設(shè)備管理

6.3.4.1硬件安全

審查廠商提供的設(shè)計(jì)文檔和廠商提交的產(chǎn)品安全性承諾,檢測(cè)結(jié)果符合5.3.4.1的要求。

6.3.4.2軟件安全

使用掃描工具探測(cè)系統(tǒng)的端口和服務(wù)，并審查廠商提供的設(shè)計(jì)文檔和廠商提交的產(chǎn)品安全性承諾。

檢測(cè)結(jié)果滿(mǎn)足5.3.4.2的要求。

6.3.4.3設(shè)備初始化

對(duì)設(shè)備進(jìn)行初始化操作。檢測(cè)結(jié)果滿(mǎn)足5.3.4.3的要求。

6.3.4.4注冊(cè)和監(jiān)控

系統(tǒng)有管理中心時(shí)，進(jìn)行設(shè)備的注冊(cè)、狀態(tài)監(jiān)控等管理操作。檢測(cè)結(jié)果符合5.3.4.4的要求。

6.3.4.5設(shè)備自檢

對(duì)設(shè)備進(jìn)行自檢操作。檢測(cè)結(jié)果符合5.3.4.5的要求。

9

Q/XXXXXXXX—XXXX

7檢測(cè)流程

7.1網(wǎng)絡(luò)接口連通性檢測(cè)

目的驗(yàn)證量子安全加密路由器網(wǎng)絡(luò)接口連通性

組網(wǎng)

步驟1、按組網(wǎng)配置并運(yùn)行被測(cè)設(shè)備；

2、使用PC連接到各板卡的網(wǎng)口；

3、分別設(shè)置電腦IP和各板卡網(wǎng)口在同一網(wǎng)段；

4、Ping各板卡網(wǎng)口；

5、檢測(cè)結(jié)果要求：各板卡網(wǎng)口均可Ping通；

預(yù)期結(jié)果量子VPN設(shè)備網(wǎng)絡(luò)連通能力正常

備注

7.2設(shè)備注冊(cè)功能檢測(cè)

目的驗(yàn)證量子安全加密路由器能否向量子網(wǎng)關(guān)注冊(cè)成功。

組網(wǎng)

步驟1、正確連接檢測(cè)網(wǎng)絡(luò)，配置其連通性；

2、在量子VPN設(shè)備上配置設(shè)備注冊(cè)所需的參數(shù)（注冊(cè)ID、版本號(hào)、注冊(cè)密

鑰、量子網(wǎng)關(guān)地址），驗(yàn)證量子VPN設(shè)備能否注冊(cè)成功；

3、在量子VPN設(shè)備上改變?cè)O(shè)備注冊(cè)所需的參數(shù)，驗(yàn)證量子VPN能否注冊(cè)成

功。

預(yù)期結(jié)果量子VPN設(shè)備攜帶正確的參數(shù)注冊(cè)成功，攜帶錯(cuò)誤的參數(shù)注冊(cè)失敗。

備注

10

Q/XXXXXXXX—XXXX

7.3服務(wù)啟動(dòng)功能檢測(cè)

目的驗(yàn)證量子安全加密路由器能否啟動(dòng)服務(wù)成功，量子網(wǎng)關(guān)能否啟動(dòng)服務(wù)通知

成功。

組網(wǎng)

步驟1、正確連接檢測(cè)網(wǎng)絡(luò)，配置其連通性；

2、在量子VPN設(shè)備上配置啟動(dòng)服務(wù)及啟動(dòng)服務(wù)通知使能；

3、驗(yàn)證量子VPN能否啟動(dòng)服務(wù)成功；量子VPN設(shè)備能否啟動(dòng)服務(wù)通知成功。

預(yù)期結(jié)果量子VPN設(shè)備啟動(dòng)服務(wù)成功，量子VPN設(shè)備啟動(dòng)服務(wù)通知成功。

備注

7.4密鑰獲取功能檢測(cè)

目的驗(yàn)證量子安全加密路由器能否向量子網(wǎng)關(guān)成功獲取密鑰。

組網(wǎng)

步驟1、正確連接檢測(cè)網(wǎng)絡(luò)，配置其連通性；

2、在量子VPN設(shè)備上配置密鑰獲取功能；

預(yù)期結(jié)果量子VPN密鑰獲取成功。

備注

11

Q/XXXXXXXX—XXXX

7.5使用量子密鑰安全加密業(yè)務(wù)檢測(cè)

目的驗(yàn)證量子VPN設(shè)備使用量子密鑰安全加密業(yè)務(wù)能否正常運(yùn)行。

組網(wǎng)圖

步驟1、正確連接檢測(cè)網(wǎng)絡(luò)，配置其連通性；

2、在量子VPN設(shè)備上配置量子密鑰獲取及安全加密使能；

3、檢測(cè)儀發(fā)流驗(yàn)證加密業(yè)務(wù)能否穩(wěn)定工作，發(fā)流時(shí)間為1小時(shí)。

預(yù)期結(jié)果量子安全加密業(yè)務(wù)能夠正常運(yùn)行。

備注

7.6量子密鑰更新頻率檢測(cè)

目的分鐘級(jí)量子密鑰更新頻率檢測(cè)。

組網(wǎng)圖

步驟1、正確連接檢測(cè)網(wǎng)絡(luò)，配置其連通性；

2、在量子VPN設(shè)備上配置量子安全加密使能，并且將密鑰更新周期配置為

1分鐘，每個(gè)周期一次獲取的密鑰量為64KB；

3、檢測(cè)儀發(fā)流驗(yàn)證加密業(yè)務(wù)能否正常運(yùn)行，發(fā)流時(shí)間為1小時(shí)。

預(yù)期結(jié)果量子VPN設(shè)備可從QKD發(fā)射端和QKD接收端獲取量子密鑰。

量子安全加密業(yè)務(wù)能夠正常運(yùn)行

日志中查看密鑰更新頻率不低于1次/分鐘

12

Q/XXXXXXXX—XXXX

備注

目的秒級(jí)量子密鑰更新頻率檢測(cè)。

組網(wǎng)圖

步驟1、正確連接檢測(cè)網(wǎng)絡(luò)，配置其連通性；

2、在量子VPN設(shè)備上配置量子安全加密使能，并且將密鑰更新周期配置為

3s，每個(gè)周期一次獲取的密鑰量為32KB；

3、檢測(cè)儀發(fā)流驗(yàn)證加密業(yè)務(wù)能否正常運(yùn)行，發(fā)流時(shí)間為1小時(shí)。

預(yù)期結(jié)果量子VPN設(shè)備可從QKD發(fā)射端和QKD接收端獲取量子密鑰。

量子安全加密業(yè)務(wù)能夠正常運(yùn)行

日志中查看密鑰更新頻率不低于3s

備注

7.7量子密鑰獲取異常檢測(cè)（接口異常、密鑰不足）

目的驗(yàn)證接口異常導(dǎo)致的獲取密鑰失敗后的量子VPN設(shè)備行為。

組網(wǎng)

步驟1、正確連接檢測(cè)網(wǎng)絡(luò)，配置其連通性；

2、在量子VPN設(shè)備上配置量子安全加密使能，配置無(wú)密鑰時(shí)停止加密；

13

Q/XXXXXXXX—XXXX

3、檢測(cè)儀發(fā)流，觀察業(yè)務(wù)運(yùn)行情況；

4、在量子VPN設(shè)備上拔掉與量子網(wǎng)關(guān)通信接口的網(wǎng)線(xiàn)，觀察業(yè)務(wù)運(yùn)行情況；

5、在量子VPN設(shè)備上恢復(fù)與量子網(wǎng)關(guān)通信接口的網(wǎng)線(xiàn)，觀察業(yè)務(wù)運(yùn)行情況；

6、在量子VPN設(shè)備上配置無(wú)密鑰時(shí)使用最后一組密鑰一直加密；

7、在量子VPN設(shè)備上拔掉與量子網(wǎng)關(guān)通信接口的網(wǎng)線(xiàn)，觀察業(yè)務(wù)運(yùn)行情況；

8、在量子VPN設(shè)備上恢復(fù)與量子網(wǎng)關(guān)通信接口的網(wǎng)線(xiàn)，觀察業(yè)務(wù)運(yùn)行情況。

預(yù)期結(jié)果當(dāng)配置無(wú)密鑰時(shí)停止加密時(shí)：

拔掉通信接口的網(wǎng)線(xiàn)，過(guò)會(huì)兒通信中斷；

恢復(fù)通信接口的網(wǎng)線(xiàn)，過(guò)會(huì)兒通信恢復(fù)；

當(dāng)配置無(wú)密鑰時(shí)：

使用最后一組密鑰一直加密，拔掉和恢復(fù)通信接口的網(wǎng)線(xiàn)，通信不會(huì)中斷。

備注

目的驗(yàn)證量子密鑰不足導(dǎo)致的獲取密鑰失敗后的量子VPN設(shè)備行為。

組網(wǎng)

步驟1、正確連接檢測(cè)網(wǎng)絡(luò)，配置其連通性；

2、在量子VPN設(shè)備上配置量子安全加密使能

3、將密鑰獲取強(qiáng)度配置為每3s獲取32KB

4、配置無(wú)密鑰時(shí)停止加密；

5、檢測(cè)儀發(fā)流，觀察業(yè)務(wù)運(yùn)行情況；

6、獲取密鑰強(qiáng)度遠(yuǎn)大于量子網(wǎng)關(guān)密鑰生成速率，當(dāng)量子網(wǎng)關(guān)密鑰生成不足

時(shí)，觀察業(yè)務(wù)運(yùn)行情況；

7、降低密鑰獲取強(qiáng)度為每分鐘獲取1KB密鑰，觀察業(yè)務(wù)運(yùn)行情況；

8、在量子VPN設(shè)備上配置無(wú)密鑰時(shí)使用最后一組密鑰一直加密；

9、再次將密鑰獲取強(qiáng)度配置為每3s獲取32KB，觀察業(yè)務(wù)運(yùn)行情況。

預(yù)期結(jié)果當(dāng)配置無(wú)密鑰時(shí)停止加密時(shí)：

量子密鑰不足時(shí)，通信斷斷續(xù)續(xù)；

當(dāng)配置無(wú)密鑰時(shí)使用最后一組密鑰一直加密時(shí)：

量子密鑰不足時(shí)，通信不會(huì)中斷。

14

Q/XXXXXXXX—XXXX

備注

7.8量子VPN穩(wěn)定性檢測(cè)

目的驗(yàn)證使用量子VPN設(shè)備業(yè)務(wù)加解密穩(wěn)定性

組網(wǎng)

步驟1、正確連接檢測(cè)網(wǎng)絡(luò)，配置其連通性；

2、在量子VPN設(shè)備上配置量子密鑰安全加密使能；

3、檢測(cè)儀發(fā)流驗(yàn)證加密業(yè)務(wù)能否穩(wěn)定工作，發(fā)流時(shí)間為24小時(shí)。

預(yù)期結(jié)果業(yè)務(wù)24小時(shí)無(wú)誤碼。

備注

15

Q/XXXXXXXX—XXXX

附錄A協(xié)議說(shuō)明

1量子密鑰獲取協(xié)議

1.1幀格式

1.1.1協(xié)議數(shù)據(jù)幀的要素概述

表2對(duì)協(xié)議數(shù)據(jù)幀的要素進(jìn)行了定義。

表2量子密鑰獲取協(xié)議幀的要素

數(shù)據(jù)域長(zhǎng)度(字節(jié))說(shuō)明

區(qū)分其他消息，標(biāo)記幀數(shù)據(jù)的起始位置，幀頭的數(shù)據(jù)

幀頭Uint32中不能出現(xiàn)常見(jiàn)數(shù)據(jù)，不能出現(xiàn)重復(fù)，不能與幀尾數(shù)

據(jù)重復(fù)。

消息長(zhǎng)度限制在1400字節(jié)以下，方便整個(gè)幀可以放

消息長(zhǎng)度Uint16

到一個(gè)IP包中傳輸，減少I(mǎi)P分包對(duì)數(shù)據(jù)傳輸?shù)挠绊憽?/p>

協(xié)議版本號(hào)Uint8消息所用的協(xié)議版本號(hào)。

設(shè)備接入網(wǎng)絡(luò)后，密碼管理系統(tǒng)統(tǒng)一分配網(wǎng)絡(luò)內(nèi)的唯

消息發(fā)送設(shè)備唯一標(biāo)識(shí)Uint32

一設(shè)備標(biāo)識(shí)。

消息類(lèi)型Uint8用于標(biāo)記消息是否加密。

用于標(biāo)記服務(wù)種類(lèi)：設(shè)備認(rèn)證,啟動(dòng)密鑰服務(wù),協(xié)商保

命令字Uint8

護(hù)密鑰，密鑰請(qǐng)求，終止密鑰服務(wù)。

算法種類(lèi)Uint8描述消息加密的算法類(lèi)型。

用于標(biāo)識(shí)量子VPN設(shè)備與密鑰管理服務(wù)之間的會(huì)

會(huì)話(huà)標(biāo)識(shí)Uint64

話(huà)。

包括量子VPN設(shè)備向量子密鑰服務(wù)認(rèn)證、啟動(dòng)量子

消息內(nèi)容長(zhǎng)度不定密鑰傳輸服務(wù)、協(xié)商保護(hù)密鑰、量子密鑰獲取、終止

密鑰傳輸服務(wù)。

1.1.2數(shù)據(jù)格式

數(shù)據(jù)格式見(jiàn)表3。

表3數(shù)據(jù)格式

數(shù)據(jù)類(lèi)型長(zhǎng)度(字節(jié))簡(jiǎn)要說(shuō)明存儲(chǔ)方式

Uint8_t1字節(jié)8位無(wú)符號(hào)整型按字節(jié)填充

Uint16_t2字節(jié)16位無(wú)符號(hào)整型低位存儲(chǔ)低字節(jié)，高位存儲(chǔ)高字節(jié)，左對(duì)齊，高位補(bǔ)0。

Uint32_t4字節(jié)32位無(wú)符號(hào)整型低位存儲(chǔ)低字節(jié)，高位存儲(chǔ)高字節(jié)，左對(duì)齊，高位補(bǔ)0。