CN108076057A

CN108076057A - 一种基于区块链的数据保全系统及方法

Info

Publication number: CN108076057A
Application number: CN201711339343.0A
Authority: CN
Inventors: 王晶
Original assignee: Beijing Star Tong Technology Co Ltd
Current assignee: Beijing Star Tong Technology Co Ltd
Priority date: 2017-12-14
Filing date: 2017-12-14
Publication date: 2018-05-25
Anticipated expiration: 2037-12-14
Also published as: GB201721084D0; CN108076057B

Abstract

本发明公开了一种基于区块链的数据保全系统及方法，该方法包括：对电子数据文件进行加密；利用存入时间和密文计算摘要写入区块链，将密文及存入时间存入云存储，返回区块链存储位置信息和云存储存储位置信息；利用区块链存储位置信息及云存储存储位置信息为输入分别获取摘要及密文和存入时间；利用获取的密文和存入时间，重新计算摘要，将计算结果与直接从区块链上获取的摘要比较，如果一致，将密文解密得到电子数据文件，否则，报错终止。本发明采用区块链和云存储的混合架构保存数据，并在向云存储和区块链写入电子数据和其摘要时，获取存入时间，不仅为电子数据提供了原创性的唯一时间证明，而且确保电子数据真实可溯源、不可篡改。

Description

一种基于区块链的数据保全系统及方法

技术领域

本发明涉及信息技术领域，具体涉及一种基于区块链的数据保全系统及方法。

背景技术

随着互联网技术的快速发展，网络信息更加丰富，网络交易更加频繁，网络原创作品层出不穷，电子政务、企事业单位的信息化建设也日益完善，数据量不断增大。我们在享受互联网技术为生活、工作提供便利的同时，也面临互联网和信息化带来的潜在风险和隐患。

无论是在互联网的信息交互过程中，还是电子政务、企事业单位的信息化建设过程中，都将产生大量的电子数据，这些电子数据都存在易消失、易改动、无时间标识、复制成本低、易被侵权等问题。如何确保原创电子数据的原创性不被侵权、确保电子数据的安全可靠存储，做到防篡改、可追溯等是当前数据资源时代亟需的问题。

发明内容

本发明所要解决的技术问题是如何为电子数据的原创性提供唯一性证明，并给电子数据的安全性提供保全服务的问题。

为了解决上述技术问题，本发明所采用的技术方案是提供一种基于区块链的数据保全方法，包括电子数据的写入和恢复；

对于电子数据的写入：

客户端对电子数据文件进行加密，并输出密文；授时存入时间，利用存入时间和密文计算出的摘要写入区块链模块，密文及存入时间对应存入云存储模块，返回本次存储的区块链存储位置信息和云存储存储位置信息；

对于电子数据的恢复：

客户端利用云存储存储位置信息及区块链存储位置信息为输入分别获取云存储模块上密文和存入时间及区块链模块上对应的摘要；利用获取的密文和存入时间，重新计算摘要，将计算结果与从区块链模块上直接获取的摘要比较，如果一致，将密文解密得到电子数据文件，否则，报错终止此次恢复。

在上述方法中，还能够对用户在目标系统的操作进行行为记录，记录每个指令数据和对应的指令时间，生成行为记录文件，并将记录文件及其存入时间存入云存储模块，利用记录文件及其存入时间计算得到的摘要存入区块链模块，并返回该记录文件和其摘要的区块链存储位置信息和云存储存储位置信息。

在上述方法中，在进行电子数据的写入、电子数据的恢复以及行为记录时，需要对用户的身份进行认证，用户的身份认证正确时，才会进行电子数据的写入、电子数据的恢复或行为记录，否则，报错终止。

在上述方法中，步骤S11、对用户U进行身份验证，如果验证结果为正确，执行步骤S12；否则，报错后终止；

步骤S12、记录用户身份信息ID；

步骤S13、对电子数据文件F进行加密，输出密文C；

步骤S14、进行存入时间授时，得到存入时间T；

步骤S15、以用户身份信息ID、存入时间T和密文C作为Hash函数的输入参数，计算出摘要值H＝Hash(ID,T,C)，并写入区块链模块，返回本次存储的区块链存储位置信息L_B；

步骤S16、将用户身份信息ID、存入时间T、密文C写入云存储模块，并返回本次存储的云存储位置信息L_C。

在上述方法中，电子数据的恢复包括以下步骤：

步骤S21、对用户U的身份进行验证，如果正确，执行步骤S22；否则，报错后终止；

步骤S22、获取用户身份信息ID；

步骤S23、利用用户想要获取的电子数据的云存储位置信息L_C及区块链存储位置信息L_B作为输入，获取对应的用户身份信息ID、存入时间T和密文C及对应的摘要值H；

步骤S24、以获取的用户身份信息ID、存入时间T和密文C作为Hash函数的输入参数，重新计算出摘要值H_r＝Hash(ID,T,C)；

步骤S25、判断直接获取的摘要值H和重新计算的摘要值H_r是否相等，如果相等，执行步骤S26；否则，报错后终止；

步骤S26、将获得的密文C解密，得到电子数据文件F。

在上述方法中，行为记录包括以下步骤：

步骤S31、对用户U进行身份验证，如果验证结果为正确，执行步骤S32；否则，报错后终止；

步骤S32、记录用户身份信息ID；

步骤S33、从用户U登录目标系统开始，其发出的每次操作的指令记为B_i，B_i对应的对象文件为O_i，授时发出指令B_i的时间T_i，将指令B_i、对象文件O_i及发出指令B_i的时间T_i写入此次登录的记录文件R，其中，i为从登录开始的第i次操作；

步骤S34、若用户从系统正常退出或经历一个系统预设时间t没有任何操作而被系统自动退出，则将终止符EOF写入记录文件R，并关闭该文件；

步骤S35、将用户身份信息ID、记录文件R及该记录文件R的存入时间写入云存储模块，并返回本次存储的记录文件R的云存储存储位置信息；

步骤S36、以获取的用户身份信息ID、记录文件R及该记录文件R的存入时间作为Hash函数输入参数，计算出摘要值，写入区块链模块，并返回本次存储的记录文件R的区块链存储位置信息。

在上述方法中，当对象文件O_i无对象时，则对象文件O_i＝空字符串。

本发明还提供了一种基于区块链的数据保全系统，包括密码模块、区块链模块、云存储模块以及授时模块；其中，所述区块链模块包括摘要写入单元和摘要查询单元；所述云存储模块包括数据写入单元和数据读取单元；

客户端调用所述密码模块对电子数据文件进行加密，得到密文；调用所述授时模块授时密文的存入时间；调用所述密码模块利用密文和其存入时间计算出摘要值；并由所述数据写入单元及摘要写入单元分别将密文和其存入时间及对应的摘要值写入所述云存储模块及区块链模块，并返回本次存储的云存储存储位置信息及区块链存储位置信息；

客户端调用所述数据读取单元及摘要查询单元分别以云存储存储位置信息及区块链存储位置信息为输入获取密文和其存入时间及对应的摘要；调用所述密码模块利用获取的密文和其存入时间重新计算摘要值；比较计算结果与直接获取的摘要，如果一致，调用所述密码模块对密文进行解密得到电子数据文件；否则，报错终止此次恢复。

在上述系统中，还包括身份管理模块，用于节点上用户的身份注册、撤销和更新，验证用户身份，只有用户身份验证正确，才能调用所述密码模块、区块链模块、云存储模块以及授时模块，进行电子数据的写入和电子数据的恢复。

本发明采用区块链和云存储的混合架构保存电子数据，并在保存在向云存储和区块链写入电子数据和其摘要时，获取写入时间，与电子数据一同保存在云存储和区块链上，不仅为电子数据提供了原创性的唯一时间证明，而且确保电子数据真实可溯源、不可篡改；同时，在客户端即对电子数据进行加密，再将加密后的数据输出到云端，不仅保证了电子数据在传输过程中的安全，有效规避了数据隐私泄露风险，而且这种全程密文传输、存储的方式不需要访问控制网关，可用性高，减少在控制网关的被攻击风险，实现客户端高速数据处理。

附图说明

图1为本发明中电子数据写入的流程图；

图2为本发明中电子数据恢复的流程图；

图3为本发明中行为记录的流程图；

图4为本发明提供的一种基于区块链的数据保全系统的结构示意图。

具体实施方式

区块链是通过分布式的方式，集体维护一个可靠分布式数据库和可信运行环境的技术，属于信息安全范畴，它具有防篡改、可追溯、去信任等技术特性；

云存储是在云计算概念上延伸和发展出来的一个新的概念，是一种新兴的网络存储技术，指通过集群应用、网络技术或分布式文件系统等功能，将网络中大量各种不同类型的存储设备通过应用软件集合起来协同工作，共同对外提供数据存储和业务访问功能的系统；

时间戳是一个能表示一份数据在某个特定时间之前已经存在、完整、可验证的数据,通常是一个字符序列，唯一地标识某一刻的时间，例如，使用数字签名技术产生的数据，签名的对象包括了原始文件信息、签名参数和签名时间；时间戳被广泛的运用在知识产权保护、合同签字、金融帐务、电子报价投标、股票交易等方面。

本发明采用区块链和云存储的混合架构保存电子数据，并在向云存储和区块链写入电子数据和其摘要时，获取存入时间，与电子数据一同保存在云存储和区块链上，不仅为电子数据提供了原创性的唯一时间证明(即时间戳)，而且确保电子数据真实可溯源、不可篡改；同时，在客户端即对电子数据进行加密，再将加密后的数据输出到云端，不仅保证了电子数据在传输过程中的安全，有效规避了数据隐私泄露风险，而且这种全程密文传输、存储的方式不需要存储端设置访问控制网关，可用性高，减少在控制网关的被攻击风险，实现客户端高速数据处理。

下面结合说明书附图和具体实施例对本发明做出详细的说明。

本发明提供的一种基于区块链的数据保全方法，可用于互联网、政府、企事业单位等行业，能够对电子数据进行加密固定，提供载明保全生成标准时间、运算值、档案编号等保全服务，同时还可以对于用户在目标系统的操作进行行为记录，防止被人篡改，确保电子数据的原始性和客观性，包括电子数据的写入和恢复，具体为：

对于电子数据的写入：

客户端对电子数据文件F进行加密，并输出密文C；经授时模块授时存入时间后，利用存入时间和密文C计算出摘要，写入区块链模块，并将密文C及存入时间对应存入云存储模块，返回本次存储的区块链存储位置信息L_B和云存储存储位置信息L_C；

对于电子数据的恢复：

客户端利用云存储存储位置信息L_C及区块链存储位置信息L_B为输入分别获取云存储模块上的密文C和存入时间及区块链模块上的对应的摘要；利用获取的密文C和存入时间，重新计算摘要，比较该计算结果与从区块链模块上直接获取的对应摘要是否一致，如果一致，将密文C解密，得到电子数据文件F，否则，报错后终止此次电子数据的恢复。

本发明还具有行为记录功能，即记录用户在目标系统的每个操作指令数据和对应的指令时间，生成行为记录文件，并将记录文件及其存入时间存入云存储模块，利用记录文件及其存入时间计算得到的摘要存入区块链模块，并返回该记录文件和其摘要的区块链存储位置信息和云存储存储位置信息。

本发明在进行电子数据的写入、电子数据的恢复以及行为记录时，需要对用户的身份进行认证，用户的身份认证正确时，才会进行电子数据的写入、电子数据的恢复或行为记录，否则，报错终止。下面对在需要进行密码登录，对用户的身份进行认证时，电子数据的写入、电子数据的恢复以及行为记录进行详细说明。

电子数据的写入实现对数据(包括结构化和非结构化)的加解密、时间证明及安全存储，如图1所示，电子数据的写入具体包括以下步骤：

步骤S11、调用身份管理模块(IDM)对用户U进行身份验证，如果验证结果为正确，执行步骤S12；否则，报错后终止；

步骤S12、记录用户身份信息ID；

步骤S13、调用密码模块Crypt对电子数据文件F进行加密，加密操作完成后输出密文C；

步骤S14、调用授时模块Time进行存入时间授时，得到存入时间T；

步骤S15、调用密码模块的Hash函数，以用户身份信息ID、存入时间T和密文C作为输入参数计算出摘要值H＝Hash(ID,T,C)，并调用区块链模块的摘要写入单元BCw写入区块链模块，返回本次存储的区块链存储位置信息L_B；

步骤S16、调用云存储模块的数据写入单元Cloudw，将用户身份信息ID、存入时间T、密文C写入云存储模块，并返回本次存储的云存储位置信息L_C。

电子数据的恢复(对于写入电子数据的恢复)，如图2所示，包括以下步骤：

步骤S21、调用身份管理模块对用户U的身份进行验证，如果正确，执行步骤S22；否则，报错后终止；

步骤S22、获取用户身份信息ID；

步骤S23、调用云存储模块的数据读取单元Cloudr及区块链模块的摘要查询单元BCr，分别以用户想要获取的电子数据的云存储位置信息L_C及区块链存储位置信息L_B作为输入，获取对应的用户身份信息ID、存入时间T和密文C及对应的摘要值H；

步骤S24、调用密码模块的Hash函数，以获取的用户身份信息ID、存入时间T和密文C作为输入参数，重新计算获出摘要值H_r＝Hash(ID,T,C)；

步骤S26、将获得的密文C解密，得到电子数据文件F。

行为记录是不间断记录从用户登录系统后的所有操作行为，如图3所示，行为记录(对于用户在目标系统中操作的记录)包括以下步骤：

步骤S31、调用身份管理模块对用户U进行身份验证，如果验证结果为正确，执行步骤S32；否则，报错后终止；

步骤S32、记录用户身份信息ID；

步骤S33、从用户U登录目标系统开始，其发出的每次操作的指令记为B_i，B_i对应的对象文件为O_i(如对象文件O_i无对象，则O_i＝空字符串)，通过授时模块取得发出指令B_i的时间T_i，将指令B_i、对象文件O_i及发出指令B_i的时间T_i写入此次登录的记录文件R，其中，i为从登录开始的第i次操作；

步骤S35、调用云存储模块的数据写入单元Cloudw，将用户身份信息ID、记录文件R及该记录文件R的存入时间写入云存储模块，并返回本次存储的记录文件R的云存储存储位置信息；

步骤S36、调用密码模块的Hash函数，以获取的用户身份信息ID、记录文件R及该记录文件R的存入时间作为输入参数，计算该记录文件R的摘要值，写入区块链模块，并返回本次存储的记录文件R的区块链存储位置信息。

不论电子数据文件F、记录文件R，还是任何其他文件，在生成时只要通过本发明在云存储模块上备份，在备份时都会调用授时模块授时，带有存入的时间，从而为电子数据文件F、记录文件R或其他文件提供原创性的唯一时间证明。

本发明提供的一种基于区块链的数据保全系统，如图4所示，包括密码模块Crypt、区块链模块BC、云存储模块Cloud以及授时模块Time；其中，区块链模块BC包括摘要写入单元BCw和摘要查询单元BCr；云存储模块Cloud包括数据写入单元Cloudw和数据读取单元Cloudr；

客户端调用密码模块Crypt对电子数据文件F进行加密，得到密文C；调用授时模块Time授时密文C的存入时间T；调用密码模块Crypt利用密文C和其存入时间T计算出摘要值；并由数据写入单元Cloudw及摘要写入单元BCw分别将密文C和其存入时间T及对应的摘要值写入云存储模块Cloud及区块链模块BC，并返回本次存储的云存储存储位置信息LC及区块链存储位置信息LB；

客户端调用数据读取单元Cloudr及摘要查询单元BCr分别以云存储存储位置信息LC及区块链存储位置信息LB为输入获取密文C和其存入时间T及对应的摘要；调用密码模块Crypt利用获取的密文C和其存入时间T重新计算摘要值，比较计算结果与从区块链模块BC上直接获取的摘要是否一致，如果一致，调用密码模块Crypt对密文C进行解密，得到电子数据文件F，否则，向用户报错后终止此次电子数据的恢复。

本发明还包括身份管理模块IDM，支持单点登录，提供节点用户的身份注册、撤销和更新，验证用户身份，只有用户身份验证正确，才能调用密码模块Crypt、区块链模块BC、云存储模块Cloud以及授时模块Time，进行电子数据的写入和电子数据的恢复。

与现有技术相比，本发明具有以下有益效果：

(1)数据在客户端加密，无数据隐私泄露风险。

现有数据备份通常不加密或者在云端加密，用户数据隐私无法保障；本发明在用户自身的客户端对电子数据先进行加解密，既保证了在传输过程中的数据安全，也保证了经加密的数据在云端的安全，有效规避了数据隐私泄露风险。

(2)加密与访问控制同时完成，实现客户端高速数据处理。

传统的数据备份，用户访问数据时需要额外访问控制网关，且控制网关的设计容易被攻击或绕过；本发明全部电子数据以密文存储，不需要访问控制网关，不仅可用性高，减少被攻击风险，而且加速客户端的数据处理。

(3)采用区块链和云存储混合的存储架构，对数据加固，保护数据的真实有效。

现有数据备份，在各环节容易被篡改，如超级管理员、黑客可对数据进行修改；本发明利用区块链记录用户身份、文件密文以及数据的产生时间的摘要值，可保证数据真实有效、可溯源、不可篡改。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims

1.一种基于区块链的数据保全方法，包括电子数据的写入和恢复，其特征在于，

对于电子数据的写入：

对于电子数据的恢复：

2.根据利要求1所述的方法，其特征在于，还能够对用户在目标系统的操作进行行为记录，记录每个指令数据和对应的指令时间，生成行为记录文件，并将记录文件及其存入时间存入云存储模块，利用记录文件及其存入时间计算得到的摘要存入区块链模块，并返回该记录文件和其摘要的区块链存储位置信息和云存储存储位置信息。

3.根据利要求1或2所述的方法，其特征在于，在进行电子数据的写入、电子数据的恢复以及行为记录时，需要对用户的身份进行认证，用户的身份认证正确时，才会进行电子数据的写入、电子数据的恢复或行为记录，否则，报错终止。

4.根据利要求3所述的方法，其特征在于，电子数据的写入具体包括以下步骤：

步骤S11、对用户U进行身份验证，如果验证结果为正确，执行步骤S12；否则，报错后终止；

步骤S12、记录用户身份信息ID；

步骤S13、对电子数据文件F进行加密，输出密文C；

步骤S14、进行存入时间授时，得到存入时间T；

5.根据利要求3所述的方法，其特征在于，电子数据的恢复包括以下步骤：

步骤S22、获取用户身份信息ID；

步骤S26、将获得的密文C解密，得到电子数据文件F。

6.根据利要求3所述的方法，其特征在于，行为记录包括以下步骤：

步骤S32、记录用户身份信息ID；

步骤S35、将用户身份信息ID、记录文件R及该记录文件R的存入时间T写入云存储模块，并返回本次存储的记录文件R的云存储存储位置信息；

步骤S36、以获取的用户身份信息ID、记录文件R及该记录文件R的存入时间T作为Hash函数输入参数，计算出摘要值，写入区块链模块，并返回本次存储的记录文件R的区块链存储位置信息。

7.根据利要求6所述的方法，其特征在于，当对象文件O_i无对象时，则对象文件O_i＝空字符串。

8.一种基于区块链的数据保全系统，其特征在于，

包括密码模块、区块链模块、云存储模块以及授时模块；其中，所述区块链模块包括摘要写入单元和摘要查询单元；所述云存储模块包括数据写入单元和数据读取单元；

9.根据权利要求8所述的系统，其特征在于，还包括身份管理模块，用于节点上用户的身份注册、撤销和更新，验证用户身份，只有用户身份验证正确，才能调用所述密码模块、区块链模块、云存储模块以及授时模块，进行电子数据的写入和电子数据的恢复。