CN108305072A - 部署区块链网络的方法、设备和计算机存储介质 - Google Patents

Abstract

本公开的实施例涉及一种部署区块链网络的方法、客户端设备和BaaS服务器。该方法包括：在客户端设备处接收用于部署该区块链网络的第一指令，其中该区块链网络至少包括具有至少一个区块链节点的区块链组织，并且该客户端设备通信地耦合到BaaS服务器；响应于接收到该第一指令，生成该区块链组织的根证书和对应的第一私钥,并且生成该至少一个区块链节点的节点私钥；基于该根证书、该第一私钥和该节点私钥生成该至少一个区块链节点的节点证书；以及向该BaaS服务器发送该根证书、该节点证书以及该节点私钥，并且将该第一私钥和该节点私钥存储到与该客户端设备相耦合的本地存储器中。

Description

部署区块链网络的方法、设备和计算机存储介质

技术领域

本公开的实施例总体上涉及信息技术领域，并且具体地，涉及用于区块链中跨网络通信的方法和设备。

背景技术

区块链是一种源自比特币的去中心化分布式记账技术，其通过将加密区块数据按照时间顺序叠加而生成持久的不可修改的记录，并且将记录存储在区块链网络的各个节点中，使得参与到区块链中的各个节点共同维护一个可靠数据库。由此，区块链具有去中心化、不可篡改、过程透明可追踪等技术优势，其被认为在金融、征信、物联网、经济贸易结算、资产管理等众多领域都拥有广泛的应用前景。

目前，基于云的区块链即服务(BaaS,Blockchain as a Service)成为区块链技术的一个应用热点。用户(例如各个企业)通过对BaaS服务提供商所提供的BaaS平台进行设置，使其在云上创建相应的虚拟机实例并且安装部署多节点的区块链网络，从而获得符合自己应用需求的区块链，以高效地开发区块链业务。BaaS平台不仅降低了安装、配置、管理以及使用区块链的难度和成本，还能够为用户提供个性化的服务。然而，现有的BaaS服务提供商在创建区块链网络时，常将区块链相关的私钥信息直接保存在BaaS服务器处，难以保证私钥的安全。

有鉴于此，期望的是提供能够保证区块链数字证书和私钥安全性的区块链网络部署方案。

发明内容

总体上，本公开的实施例提出了部署区块链网络的方案。

在本公开的第一方面，提供一种部署区块链网络的方法。该方法包括：在客户端设备处接收用于部署该区块链网络的第一指令，其中该区块链网络至少包括具有至少一个区块链节点的区块链组织，并且该客户端设备通信地耦合到BaaS服务器；响应于接收到该第一指令，生成该区块链组织的根证书和对应的第一私钥,并且生成该至少一个区块链节点的节点私钥；基于该根证书、该第一私钥和该节点私钥生成该至少一个区块链节点的节点证书；以及向该BaaS服务器发送该根证书、该节点证书以及该节点私钥，并且将该第一私钥和该节点私钥存储到与该客户端设备相耦合的本地存储器中。

在本公开的第二方面，提供一种部署区块链网络的方法。该方法包括：在BaaS服务器处从客户端接收待部署的区块链网络中的至少一个区块链组织的根证书、至少一个区块链组织中的至少一个区块链节点的节点证书和对应的节点私钥；部署至少一个区块链节点；以及向至少一个区块链节点发送根证书、节点证书以及节点私钥。

在本公开的第三方面，提供一种客户端设备。该设备包括：至少一个处理器；至少一个存储器，该至少一个存储器被耦合到该至少一个处理器并且存储用于由该至少一个处理器执行的指令，该指令当由该至少一个处理器执行时，使得该设备执行动作，该动作包括：在客户端设备处接收用于部署该区块链网络的第一指令，其中该区块链网络至少包括具有至少一个区块链节点的区块链组织，并且该客户端设备通信地耦合到BaaS服务器；响应于接收到该第一指令，生成该区块链组织的根证书和对应的第一私钥,并且生成该至少一个区块链节点的节点私钥；基于该根证书、该第一私钥和该节点私钥生成该至少一个区块链节点的节点证书；以及向该BaaS服务器发送该根证书、该节点证书以及该节点私钥，并且将该第一私钥和该节点私钥存储到与该客户端设备相耦合的本地存储器中。

在本公开的第四方面，提供了一种BaaS服务器。该服务器包括：至少一个处理器；至少一个存储器，该至少一个存储器被耦合到该至少一个处理器并且存储用于由该至少一个处理器执行的指令，该指令当由该至少一个处理器执行时，使得该设备执行动作，该动作包括：在BaaS服务器处从客户端接收待部署的区块链网络中的至少一个区块链组织的根证书、至少一个区块链组织中的至少一个区块链节点的节点证书和对应的节点私钥；部署至少一个区块链节点；以及向至少一个区块链节点发送根证书、节点证书以及节点私钥。

在本公开的第五方面，提供一种计算机可读存储介质，具有存储在其上的计算机可读程序指令，计算机可读程序指令用于执行根据本公开的第一方面或第二方面所描述的方法。

附图说明

结合附图并参考以下详细说明，本公开各实施例的上述和其他特征、优点及方面将变得更加明显。在附图中，相同或相似的附图标记表示相同或相似的元素，其中：

图1示出了BaaS平台系统架构的示意图；

图2示出了根据本公开实施例的部署区块链网络的示意图；

图3示出了根据本公开实施例的在部署区块链网络的方法的流程图；

图4示出了根据本公开实施例的向区块链网络添加新增节点的方法的流程图；

图5示出了根据本公开实施例的部署区块链网络的又一方法的示意图；以及

图6示出了根据本公开实施例的设备的框图。

具体实施方式

现将结合附图对本公开的实施例进行具体的描述。应当注意的是，附图中对相似的部件或者功能组件可能使用同样的数字标示。所附附图仅仅旨在说明本公开的实施例。本领字段的技术人员可以在不偏离本公开精神和保护范围的基础上从下述描述得到替代的实施方式。

如本文中所述，术语“包括”及其各种变体可以被理解为开放式术语，其意味着“包括但不限于”。术语“基于”可以被理解为“至少部分地基于”。术语“一个实施例”可以被理解为“至少一个实施例”。术语“另一实施例”可以被理解为“至少一个其它实施例”。

如前所述，因为区块链的技术门槛比较高，其安装配置和管理维护比较复杂，所以现在有不少公司推出了基于云的区块链即服务(BaaS)平台，以帮助企业降低使用区块链的难度和成本。使用区块链的企业只需要根据自己的需求，在BaaS平台上设置好相关参数，BaaS平台几分钟时间可以在云上创建相应的虚拟机实例，并且安装部署出一个多节点的区块链。这样企业就无需关注区块链的各种技术细节，只需要关注自己在区块链所开展的业务。

图1示出了BaaS平台系统100的示意架构图。如图所示，BaaS平台系统100基于云110而架设，其包括BaaS平台120、多个区块链网络130、140、150以及示意示出的存储装置170和区块链用户160。BaaS平台120可以为用户160提供公有链、联盟链或私有链服务，也充当面向用户160的门户。BaaS平台120还例如提供数据管理和数据分析等多种功能，从而满足用户特定的角色和行业需求。存储装置170用于存储BaaS平台系统100的各种配置数据、用户信息、日志数据等等。

区块链网络130、140和150可以是用户特定的，各自包括若干个区块链节点。在云应用环境中，各区块链节点可以对应于虚拟机实例，虚拟机实例中运行相应的节点应用程序。各个区块链网络具有相应的区块链应用，诸如金融、征信、物联网、经济贸易结算、资产管理等领域的各种应用。

需要注意的是，尽管区块链网络130、140、150被示意为各自独立，但各区块链网络也可以包括共同的区块链节点。例如，某个区块链节点可以既属于区块链网络130又属于区块链网络140。另外，图中区块链网络、用户以及存储装置的数量仅是示意，其可以是任意数量。

在一些实施例中，在BaaS平台为用户创建区块链时，需要创建相应的数字证书以及对应的私钥。如表1所示，表1示出了在BaaS平台为用户创建区块链网络时所需要利用的示例性相关证书及其描述。

表1 BaaS平台创建区块链网络相关证书

基于如表1所示出的示例性数字证书及私钥体系，区块链网络例如可以保证：只有经过认证的节点才有权接入区块链网络；以及只有经过认证的区块链用户才有权限在区块链上执行安装、运行和升级智能合约等操作。

然而，在使用过程中，传统的BaaS平台通常直接为用户生成如表1所示的证书及其对应的私钥，并将其在线保存在平台上。这将带来极大的数据风险，一旦私钥被泄露，区块链上的数据将无法保证安全性。

有鉴于此，本公开提出了一种部署区块链网络的方案。其利用客户端来实现区块链相关证书和私钥的创建，并且将区块链根证书对应的私钥保存到本地存储器中，由于该私钥仅在特定操作时才需要使用，因此可以根据需要从本地存储器读取该私钥以完成对区块链网络的特定操作。基于这样的方式，根据证书所对应的私钥不需要被上传到BaaS平台，并且可以被物理加密地保存，从而提高了区块链网络的安全性。

以下将结合图2至图5描述根据本公开实施例的部署区块链网络的方案。如图2所示，图2示出了根据本公开实施例的部署区块链网络的示意图200。

在202，在客户端设备240处，接收用户批准部署区块链网络的指令(为了方便描述，下文称为“第一指令”)，其中该区块链网络至少包括具有至少一个区块链节点的区块链组织。在一些实施例中，客户端设备240可以是运行客户端软件的计算设备，其被通信地耦合到BaaS服务器260，该计算设备包括但不限于：平板电脑、膝上型电脑、台式机，以及诸如媒体播放器、PDA和手机之类的手持式计算设备等。在一些实施例中，例如，客户端设备240可以从用户端接收部署区块链网络的指令，用户可以直接在客户端设备240设置需要部署的区块链网络的区块链平台类型、区块链数目等。

在一些实施例中，用户可以在另一个入口(例如，网页、另一客户端)向BaaS服务器260提交创建区块链网络的请求，BaaS服务器260在接收到该创建请求后，将该创建请求转发至客户端设备240。用户可以在客户端设备240处例如通过点击特定按钮来批准该创建请求。应当理解，所提交创建请求的设备可以是与批准该创建请求的设备相同的设备或者不同的设备，并且提交创建请求的用户可以与批准该创建请求的用户是相同的用户或者不同的用户。

在204，客户端设备240生成区块链组织的根证书和对应的私钥(为了方便描述，下文称为第一私钥)，并且生成区块链组织中所包含的区块链节点的节点私钥。在一些实施例中，当节点间通信采用TLS协议时，客户端设备240还可以创建区块链组织的TLS根证书以及对应的私钥(为了方便描述，下文称为第二私钥)。在一些实施例中，客户端设备240还生成区块链组织中所包含的区块链节点的节点TLS私钥。在一些实施例中，客户端设备240还生成区块链组织中用户的用户私钥，其中用户私钥可以为管理员私钥或者普通用户私钥。

在206，客户端设备240将基于区块链组织的根证书、第一私钥来和节点私钥来生成区块链节点证书。具体地，在一些实施例中，客户端设备240可以基于节点私钥生成签名请求，然后由客户端设备240使用根证书和第一私钥来对该签名请求进行签名，从而生成区块链节点的节点证书。类似地，客户端设备240还可以基于节点TLS私钥来生成节点TLS签名请求，并且使用TLS根证书和第二私钥来对TLS签名请求进行签名，从而生成区块链节点的TLS节点证书。在一些实施例中，客户端设备240还可以基于用户证书来生成用户的用户签名请求，并且使用根证书和第一私钥来对该用户签名请求进行签名，从而生成区块链节点的用户证书，其中用户证书可以为管理员证书或普通用户证书。

在208，客户端设备240将向BaaS服务器发送批准指令，并且上传BaaS服务器260部署区块链所需要的区块链组织根证书、区块链节点证书及对应的区块链节点私钥。在一些实施例中，当节点间通信采用TLS协议时，客户端设备240还将上传区块链组织TLS根证书、区块链节点TLS证书及对应的区块链节点TLS私钥、管理员证书以及普通用户证书。在一些实施例中，客户端设备240并不向BaaS服务器240发送第一私钥、第二私钥、管理员私钥及普通用户私钥，以防止在由于BaaS服务器240处的数据泄露风险而造成私钥的泄露。

在210，客户端设备240将第一私钥存储到本地存储器220中。在一些实施例中，客户端设备240还将第二私钥、管理员私钥以及普通用户私钥存储到本地存储器220中，以保证这些私钥被安全地存储，并且能够在之后的区块链操作需要时从本地存储区220中读取。在一些实施例中，本地存储器例如可以为磁盘，磁带，光盘和闪速存储器等。在一些实施例中，本地存储器220可以是被集成到客户端设备中的非易失性存储设备。在一些实施例中，本地存储器还可以是通信地耦合到客户端220的独立存储设备。在一些实施例中，本地存储器240可以在从客户端设备处移除，以进行安全地保管。在一些实施例中，本地存储器240还可以通过算法手段、物理手段或其组合而被加密，以进一步保证被存储在本地存储器240中的私钥的安全。

在一些实施例中，当客户端设备240完成将上文所述的私钥存储到本地存储器220中之后，还可以断开客户端设备240与网络的连接，或者断开客户端设备240与BaaS服务器260的连接，以使得本地存储器220不会遭受到网络攻击的风险。在一些实施例中，当客户端设备240完成将上文所述的私钥存储到本地存储器220中之后，还可以断开客户端设备240与本地存储器220的连接，并且将本地存储器220保管到安全场所中，以保证本地存储器220中所存储的私钥不会遭受到任何网络攻击，并且基于保管措施来进一步加强私钥的安全性。

在框212，BaaS服务器260响应于从客户端设备240接收到批准部署区块链网络的请求以及相关的数字证书和私钥，而创建区块链节点280。在一些实施例中，BaaS服务器260可以为用户在批准请求中所配置的每个节点创建一个对应的虚拟机。在一些实施例中，BaaS服务器260也可以为用户在批准请求中所配置的每个节点部署一个对应的物理节点。

在一些实施例中，在用户通过其他入口(例如，网页、另一客户端)提交部署区块链网络请求的示例中，BaaS服务器260还可以向该入口发送通知，以指示用户部署区块链网络的请求已经被批准。

在框214，区块链节点280自动地从BaaS服务器260下载区块链软件正常运行所需要的组织根证书、区块链节点证书和对应的节点私钥。在一些实施例中，区块链节点280还从BaaS服务器260下载区块链组织TLS根证书、区块链节点TLS证书和对应的节点TLS私钥、和与区块链组织的用户相关联的用户证书。该用户证书例如可以包括管理员证书以及普通用户证书。

在一些实施例中，为了保证私钥不会在BaaS服务器260处被泄露，可以在区块链节点280从BaaS服务器260处下载完成相应的数字证书和私钥之后，从BaaS服务器260处删除所临时缓存的节点私钥以及节点TLS私钥，从而保证不会由于BaaS服务器260处的泄露风险而造成私钥的泄露。

应当理解，以上过程中涉及的特定证书及私钥仅仅是示例性的，还可以对其他在部署区块链网络中所涉及的数字证书及对应的私钥进行类似的处理，以使得私钥能够被安全地保存，并避免由BaaS服务器所泄露。

图3示出了根据本公开实施例的用于部署区块链网络的方法300的流程图。应当理解，方法300例如可以在以上参考图2所描述的客户端设备240处执行。

在302，客户端设备(例如运行客户端设备240的电子设备)接收用于部署该区块链网络的第一指令，其中该区块链网络至少包括具有至少一个区块链节点的区块链组织，并且该客户端设备通信地耦合到BaaS服务器。

在304，响应于接收到该第一指令，客户端设备生成该区块链组织的根证书和对应的第一私钥，并且生成至少一个区块链节点的节点私钥。

在306，基于该根证书、该第一私钥和该节点私钥生成该至少一个区块链节点的节点证书。

在308，客户端设备向该BaaS服务器发送该根证书、该节点证书以及该节点私钥，并且将该第一私钥和该节点私钥存储到与该客户端设备相耦合的本地存储器中。

当完成区块链网络的创建时，用户还可以向该区块链网络添加新的节点，以下将结合图4描述根据本公开实施例的添加区块链节点的方法400的流程图。方法400利如可以在以上参考图2所描述的客户端设备240处执行。

在402，客户端设备(例如运行客户端设备240的电子设备)接收用于向该区块链组织添加新增节点的指令(为了方便描述，下文称为第二指令)。在一些实施例中，如上文所讨论的，用户例如可以直接通过客户端设备240提交添加新增节点的第二指令。在一些实施例中，也可以例如通过另一入口(例如网页，或另一客户端)来提交新增区块链节点的请求，并由用户在客户端设备240处进行批准。

在404，客户端设备响应于接受到该第二指令，生成所述新增节点的新增节点私钥。在一些实施例中，客户端设备还可以基于第二指令来生成新增节点的新增节点TLS私钥。

在406，客户端设备基于新增节点私钥来生成新增节点签名请求。在一些实施例中，客户端设备还可以基于新增节点TLS私钥来生成新增节点TLS签名请求。在408，客户端设备从该本地存储器(例如，本地存储器220)获取第一私钥。在一些实施例中，客户端设备还可以从本地存储器220处获取第二私钥。

在410，客户端设备基于区块链网络的根证书以及第一私钥来对该新增节点签名请求进行签名，以生成该新增节点的新增节点证书。在一些实施例中，客户端设备240还可以基于区块链网络的TLS根证书和第二私钥来对新增节点TLS签名请求进行签名，以生成该新增节点的新增节点TLS证书。应当理解，区块链网络根证书以及TLS根证书是网络公开的，其可以从BaaS服务器260处下载，也可以被预先存储在本地存储器220中。

在412，客户端设备将该新增节点私钥存储到该本地存储器中。在一些实施例中，客户端设备还可以将新增节点TLS私钥存储到该本地存储器中。以及在414，客户端设备向该BaaS服务器发送该新增节点证书以及该新增节点私钥。在一些实施例中，客户端设备还可以向该BaaS服务器发送该新增节点的新增节点TLS证书以及新增节点TLS私钥，以使得该新增节点能够满足TLS协议。如上文所描述的，客户端设备240可以在完成将新增节点私钥存储到本地存储器220中之后，断开客户端设备240与网络和/或BaaS服务器260的连接，或者断开本地存储器220与客户端设备240的连接。

图5示出了根据本公开实施例的用于部署区块链网络的又一方法500的流程图。应当理解，方法500例如可以在以上参考图2所描述的BaaS服务器260处执行。

在502，BaaS服务器(例如，BaaS服务器260)从客户端接收待部署的区块链网络中的至少一个区块链组织的根证书、该至少一个区块链组织中的至少一个区块链节点的节点证书和对应的节点私钥。在一些实施例中，如上文该，BaaS服务器260还可以从客户端设备240处接收区块链组织TLS证书、区块链节点的节点TLS证书及对应的节点TLS私钥、管理员证书和普通用户证书等。

在504，BaaS服务器部署该至少一个区块链节点。如上文该，BaaS服务器260可以根据用户配置信息部署区块链网络中所包含的区块链节点。

在506，BaaS服务器向该至少一个区块链节点发送该根证书、该节点证书以及该节点私钥。如上文所描述的，例如，BaaS服务器260可以响应于区块链节点280的下载请求而向区块链节点280发送区块链组织根证书、区块链组织TLS根证书、节点证书及对应的节点私钥、节点TLS证书及对应的节点TLS私钥、管理员证书和普通用户证书。

在一些实施例中，在BaaS服务器完成向区块链节点发送相应的数字证书和私钥后，BaaS服务器可以删除所临时缓存的节点私钥以及节点TLS私钥，从而保证不会由于BaaS服务器处的泄露风险而造成私钥的泄露。

在一些实施例中，当BaaS服务器从客户端接收到新增节点的请求时，基于与方法500类似的过程，BaaS服务器可以创建新的区块链节点，并且向该区块链节点发送：例如，区块链组织根证书、区块链组织TLS根证书、新增节点证书及对应的新增节点私钥、新增节点TLS证书及对应的新增节点TLS私钥、管理员证书和普通用户证书，从而完成向区块链网络添加该新增节点。

以上描述了根据本公开实施例的部署区块链网络的方案，能够看出，在部署区块链网络的过程中，相应的私钥将被存储在安全的本地存储器中，并且不会被保留在BaaS服务器中，从而避免了由于BaaS服务器的数据风险而造成的私钥泄露，提高了区块链网络数据的安全性。

图6图示了可以用来实施本公开的实施例的电子设备600的示意性框图。应当理解，电子设备600可以用以实现图5所描述客户端设备240或BaaS服务器260，或者电子设备600也可以用以实现图2所描述的客户端设备240或BaaS服务器260的任一个模块。如图6所示，设备600包括中央处理器(CPU)601(例如处理器)，其可以根据存储在只读存储器(ROM)602中的计算机程序指令或者从存储单元608加载到随机访问存储器(RAM)603中的计算机程序指令，来执行各种适当的动作和处理。在RAM 603中，还可存储设备600操作所需的各种程序和数据。CPU 601、ROM 602以及RAM 603通过总线604彼此相连。输入/输出(I/O)接口605也连接至总线604。

设备600中的多个部件连接至I/O接口605，包括：输入单元606，例如键盘、鼠标等；输出单元607，例如各种类型的显示器、扬声器等；存储单元608，例如磁盘、光盘等；以及通信单元609，例如网卡、调制解调器、无线通信收发机等。通信单元609允许设备600通过诸如因特网的计算机网络和/或各种电信网络与其他设备交换信息/数据。

上文所描述的各种方法或过程，例如方法300、400或方法500，可由处理器601执行。例如，在一些实施例中，方法300、400或方法500可被实现为计算机软件程序，其被有形地包含于机器可读介质，例如存储单元606。在一些实施例中，计算机程序的部分或者全部可以经由ROM 602和/或通信单元609而被载入和/或安装到设备600上。当计算机程序被加载到RAM 603并由CPU 601执行时，可以执行上文描述的方法300、400或方法500中的一个或多个动作或步骤。

一般而言，本公开的各种示例实施例可以在硬件或专用电路、软件、固件、逻辑，或其任何组合中实施。某些方面可以在硬件中实施，而其他方面可以在可以由控制器、微处理器或其他计算设备执行的固件或软件中实施。当本公开的实施例的各方面被图示或描述为框图、流程图或使用某些其他图形表示时，将理解此处描述的方框、装置、系统、技术或方法可以作为非限制性的示例在硬件、软件、固件、专用电路或逻辑、通用硬件或控制器或其他计算设备，或其某些组合中实施。

作为示例，可以用通用处理器、数字信号处理器(DSP)、专用集成电路(ASIC)、现场可编程门阵列(FPGA)或其它可编程逻辑器件、分立门或者晶体管逻辑、分立硬件组件或用于执行本文所述的功能的任意组合来实现或执行结合本公开所描述的各种示例性的逻辑块、模块和电路。通用处理器可以是微处理器，或者，处理器也可以是任何普通的处理器、控制器、微控制器或者状态机。处理器也可以实现为计算设备的组合，例如，DSP和微处理器的组合、多个微处理器、一个或多个微处理器与DSP内核的结合，或者任何其它此种结构。

作为示例，本公开的实施例可以在机器可执行指令的上下文中被描述，机器可执行指令诸如包括在目标的真实或者虚拟处理器上的器件中执行的程序模块中。一般而言，程序模块包括例程、程序、库、对象、类、组件、数据结构等，其执行特定的任务或者实现特定的抽象数据结构。在各实施例中，程序模块的功能可以在所描述的程序模块之间合并或者分割。用于程序模块的机器可执行指令可以在本地或者分布式设备内执行。在分布式设备中，程序模块可以位于本地和远程存储介质二者中。

用于实现本公开的方法的计算机程序代码可以用一种或多种编程语言编写。这些计算机程序代码可以提供给通用计算机、专用计算机或其他可编程的数据处理装置的处理器，使得程序代码在被计算机或其他可编程的数据处理装置执行的时候，引起在流程图和/或框图中规定的功能/操作被实施。程序代码可以完全在计算机上、部分在计算机上、作为独立的软件包、部分在计算机上且部分在远程计算机上或完全在远程计算机或服务器上执行。

在本公开的上下文中，机器可读介质可以是包含或存储用于或有关于指令执行系统、装置或设备的程序的任何有形介质。机器可读介质可以是机器可读信号介质或机器可读存储介质。机器可读介质可以包括但不限于电子的、磁的、光学的、电磁的、红外的或半导体系统、装置或设备，或其任意合适的组合。机器可读存储介质的更详细示例包括带有一根或多根导线的电气连接、便携式计算机磁盘、硬盘、随机存储存取器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或闪存)、光存储设备、磁存储设备，或其任意合适的组合。

另外，尽管操作以特定顺序被描绘，但这并不应该理解为要求此类操作以示出的特定顺序或以相继顺序完成，或者执行所有图示的操作以获取期望结果。在某些情况下，多任务或并行处理会是有益的。同样地，尽管上述讨论包含了某些特定的实施细节，但这并不应解释为限制任何发明或权利要求的范围，而应解释为对可以针对特定发明的特定实施例的描述。本说明书中在分开的实施例的上下文中描述的某些特征也可以整合实施在单个实施例中。反之，在单个实施例的上下文中描述的各种特征也可以分离地在多个实施例或在任意合适的子组合中实施。

尽管已经以特定于结构特征和/或方法动作的语言描述了主题，但是应当理解，所附权利要求中限定的主题并不限于上文描述的特定特征或动作。相反，上文描述的特定特征和动作是作为实现权利要求的示例形式而被公开的。

Claims (26)

1.一种部署区块链网络的方法，包括：

在客户端设备处接收用于部署所述区块链网络的第一指令，其中所述区块链网络至少包括具有至少一个区块链节点的区块链组织，并且所述客户端设备通信地耦合到BaaS服务器；

响应于接收到所述第一指令，生成所述区块链组织的根证书和对应的第一私钥,并且生成所述至少一个区块链节点的节点私钥；

基于所述根证书、所述第一私钥和所述节点私钥生成所述至少一个区块链节点的节点证书；以及

向所述BaaS服务器发送所述根证书、所述节点证书以及所述节点私钥，并且将所述第一私钥和所述节点私钥存储到与所述客户端设备相耦合的本地存储器中。

2.根据权利要求1所述的方法，其中基于所述根证书、所述第一私钥和所述节点私钥生成所述至少一个区块链节点的所述节点证书包括：

基于所述节点私钥生成签名请求；

基于所述根证书和所述第一私钥对所述签名请求进行签名，以生成所述节点证书。

3.根据权利要求1所述的方法，还包括：

在所述客户端设备处接收用于向所述区块链组织添加新增节点的第二指令；

响应于接收到所述第二指令，生成所述新增节点的新增节点私钥；

基于所述新增节点私钥生成新增节点签名请求；

从所述本地存储器获取所述第一私钥；

基于所述第一私钥和所述根证书来对所述新增节点签名请求进行签名，以生成所述新增节点的新增节点证书；

将所述新增节点私钥存储到所述本地存储器中；以及

向所述BaaS服务器发送所述新增节点证书以及所述新增节点私钥。

4.根据权利要求1所述的方法，还包括：

响应于接收到所述第一指令，生成所述区块链组织的TLS根证书和对应的第二私钥，并且生成与所述至少一个区块链节点相关联的节点TLS私钥；

基于所述节点TLS私钥生成所述至少一个区块链节点的节点TLS签名请求；

基于所述TLS根证书和所述第二私钥对所述节点TLS签名请求进行签名，以生成所述至少一个区块链节点相关联的节点TLS证书；

将所述第二私钥和所述节点TLS私钥存储到所述本地存储器中；以及

向所述BaaS服务器发送所述TLS根证书、所述节点TLS证书以及所述节点TLS私钥。

5.根据权利要求1所述的方法，还包括：

响应于接收到所述第一指令，生成所述区块链组织中至少一个用户的至少一个用户私钥；

基于所述用户私钥生成所述至少一个用户的用户签名请求

基于所述根证书和所述第一私钥来对所述用户签名请求进行签名，以生成至少一个用户证书；以及

向所述BaaS服务器发送所述至少一个用户证书，并且将所述至少一个用户私钥存储到所述本地存储器中。

6.根据权利要求5所述的方法，其中所述用户证书为管理员证书或普通用户证书，所述用户私钥为对应的管理员私钥或普通用户私钥。

7.根据权利要求1所述的方法，还包括以下至少一项：

在向所述BaaS服务器发送所述根证书、所述节点证书以及所述节点私钥之后，断开所述客户端与所述BaaS服务器的连接；

在将所述第一私钥和所述节点私钥存储到与所述客户端设备相耦合的本地存储器中之后，断开所述客户端设备与所述本地存储器的连接。

8.根据权利要求1所述的方法，其中所述本地存储器被物理加密。

9.一种部署区块链网络的方法，包括：

在BaaS服务器处从客户端接收待部署的区块链网络中的至少一个区块链组织的根证书、所述至少一个区块链组织中的至少一个区块链节点的节点证书和对应的节点私钥；

部署所述至少一个区块链节点；以及

向所述至少一个区块链节点发送所述根证书、所述节点证书以及所述节点私钥。

10.根据权利要求9所述的方法，还包括：

响应于完成向所述至少一个区块链节点发送所述节点私钥，从所述BaaS服务器删除所述节点私钥。

11.根据权利要求9所述的方法，还包括：

在所述BaaS服务器处从所述客户端接收所述待部署的区块链网络中的所述至少一个区块链组织的TLS根证书、所述至少一个区块链节点的节点TLS证书及对应的节点TLS私钥；以及

向所述至少一个区块链节点发送所述TLS根证书、所述节点TLS证书和所述节点TLS私钥。

12.根据权利要求11所述的方法，还包括：

响应于完成向所述至少一个区块链节点发送所述节点TLS私钥，从所述BaaS服务器删除所述节点TLS私钥。

13.一种客户端设备，包括：

至少一个处理器；

至少一个存储器，所述至少一个存储器被耦合到所述至少一个处理器并且存储用于由所述至少一个处理器执行的指令，所述指令当由所述至少一个处理器执行时，使得所述客户端设备执行动作，所述动作包括：

在客户端设备处接收用于部署所述区块链网络的第一指令，其中所述区块链网络至少包括具有至少一个区块链节点的区块链组织，并且所述客户端设备通信地耦合到BaaS服务器；

响应于接收到所述第一指令，生成所述区块链组织的根证书和对应的第一私钥,并且生成所述至少一个区块链节点的节点私钥；

基于所述根证书、所述第一私钥和所述节点私钥生成所述至少一个区块链节点的节点证书；以及

向所述BaaS服务器发送所述根证书、所述节点证书以及所述节点私钥，并且将所述第一私钥和所述节点私钥存储到与所述客户端设备相耦合的本地存储器中。

14.根据权利要求13所述的设备，其中基于所述根证书、所述第一私钥和所述节点私钥生成所述至少一个区块链节点的所述节点证书包括：

基于所述节点私钥生成签名请求；

基于所述根证书和所述第一私钥来对所述签名请求进行签名，以生成所述节点证书。

15.根据权利要求13所述的设备，所述动作还包括：

在所述客户端设备处接收用于向所述区块链组织添加新增节点的第二指令；

响应于接收到所述第二指令，生成所述新增节点的新增节点私钥；

基于所述新增节点私钥生成新增节点签名请求；

从所述本地存储器获取所述第一私钥；

基于所述第一私钥和所述根证书对所述新增节点签名请求进行签名，以生成所述新增节点的新增节点证书；

将所述新增节点私钥存储到所述本地存储器中；以及

向所述BaaS服务器发送所述新增节点证书以及所述新增节点私钥。

16.根据权利要求13所述的设备，所述动作还包括：

响应于接收到所述第一指令，生成所述区块链组织的TLS根证书和对应的第二私钥，并且生成与所述至少一个区块链节点相关联的节点TLS私钥；

基于所述节点TLS私钥生成所述至少一个区块链节点的节点TLS签名请求；

基于所述TLS根证书和所述第二私钥来对所述节点TLS签名请求进行签名，以生成所述至少一个区块链节点相关联的节点TLS证书；

将所述第二私钥和所述节点TLS私钥存储到所述本地存储器中；以及

向所述BaaS服务器发送所述TLS根证书、所述节点TLS证书以及所述节点TLS私钥。

17.根据权利要求13所述的设备，所述动作还包括：

响应于接收到所述第一指令，生成所述区块链组织中至少一个用户的至少一个用户私钥；

基于所述用户私钥生成所述至少一个用户的用户签名请求

基于所述根证书和所述第一私钥来对所述用户签名请求进行签名，以生成至少一个用户证书；以及

向所述BaaS服务器发送所述至少一个用户证书，并且将所述至少一个用户私钥存储到所述本地存储器中。

18.根据权利要求17所述的设备，其中所述用户证书为管理员证书或普通用户证书，所述用户私钥为对应的管理员私钥或普通用户私钥。

19.根据权利要求13所述的设备，还包括以下至少一项：

在向所述BaaS服务器发送所述根证书、所述节点证书以及所述节点私钥之后，断开所述客户端与所述BaaS服务器的连接；

在将所述第一私钥和所述节点私钥存储到与所述客户端设备相耦合的本地存储器中之后，断开所述客户端设备与所述本地存储器的连接。

20.根据权利要求13所述的设备，其中所述本地存储器被物理加密。

21.一种BaaS服务器，包括：

至少一个处理器；

至少一个存储器，所述至少一个存储器被耦合到所述至少一个处理器并且存储用于由所述至少一个处理器执行的指令，所述指令当由所述至少一个处理器执行时，使得所述BaaS服务器执行动作，所述动作包括：

在BaaS服务器处从客户端接收待部署的区块链网络中的至少一个区块链组织的根证书、所述至少一个区块链组织中的至少一个区块链节点的节点证书和对应的节点私钥；

部署所述至少一个区块链节点；以及

向所述至少一个区块链节点发送所述根证书、所述节点证书以及所述节点私钥。

22.根据权利要求21所述的服务器，所述动作还包括：

响应于完成向所述至少一个区块链节点发送所述节点私钥，从所述BaaS服务器删除所述节点私钥。

23.根据权利要求22所述的服务器，所述动作还包括：

在所述BaaS服务器处从所述客户端接收所述待部署的区块链网络中的所述至少一个区块链组织的TLS根证书、所述至少一个区块链节点的节点TLS证书及对应的节点TLS私钥；以及

向所述至少一个区块链节点发送所述TLS根证书、所述节点TLS证书和所述节点TLS私钥。

24.根据权利要求23所述的服务器，所述动作还包括：

响应于完成向所述至少一个区块链节点发送所述节点TLS私钥，从所述BaaS服务器删除所述节点TLS私钥。

25.一种计算机可读存储介质，具有存储在其上的计算机可读程序指令，所述计算机可读程序指令用于执行根据权利要求1-8所述的方法。

26.一种计算机可读存储介质，具有存储在其上的计算机可读程序指令，所述计算机可读程序指令用于执行根据权利要求9-12中任一项所述的方法。