CN108600182A - 区块链密钥管理方法、系统及密钥管理设备、存储介质 - Google Patents

Abstract

本发明公开了一种区块链密钥管理方法，包括：监测是否存在区块链节点发起的密钥管理接口调用请求；若存在，则与区块链节点建立通信信道，并对通信信道进行加密；当密钥管理接口为加密服务接口时，通过通信信道接收区块链节点发送的节点私钥明文，并对节点私钥明文进行加密，得到节点私钥密文；当密钥管理接口为解密服务接口时，通过通信信道接收区块链节点发送的节点私钥密文，并对节点私钥密文进行解密，得到节点私钥明文；通过通信信道将加密得到的节点私钥密文或解密得到的节点私钥明文发送至区块链节点。本发明还公开了一种密钥管理设备、区块链密钥管理系统及计算机可读存储介质。本发明提升了区块链节点私钥管理安全性，降低了维护成本。

Description

区块链密钥管理方法、系统及密钥管理设备、存储介质

技术领域

本发明涉及区块链技术领域，尤其涉及一种区块链密钥管理方法、密钥管理设备、区块链密钥管理系统及计算机可读存储介质。

背景技术

现有技术中，区块链节点会产生代表节点身份的公、私钥对，其中，通常采用以下两种方式对私钥进行存储管理：一是将区块链节点的私钥以明文形式保存在本地；二是将区块链节点的私钥进行本地对称密钥加密后保存在本地。

第一种方式不经过加密存储，不进行密钥保护，因而私钥易泄露、安全性较低。而第二种方式，虽然有进行加密，但加密私钥的密钥保存在本地，因而安全性仍然较低，同时，每个节点使用不同密码进行加密不方便管理，维护成本高。

发明内容

本发明的主要目的在于提供一种区块链密钥管理方法、密钥管理设备、区块链密钥管理系统及计算机可读存储介质，旨在解决如何提升区块链节点私钥管理安全性及降低维护成本的技术问题。

为实现上述目的，本发明提供一种区块链密钥管理方法，所述区块链密钥管理方法包括以下步骤：

监测是否存在区块链节点发起的密钥管理接口调用请求；

若存在，则与区块链节点建立通信信道，并对所述通信信道进行加密；

当所述密钥管理接口为加密服务接口时，通过所述通信信道接收区块链节点发送的节点私钥明文，并对节点私钥明文进行加密，得到节点私钥密文；

当所述密钥管理接口为解密服务接口时，通过所述通信信道接收区块链节点发送的节点私钥密文，并对节点私钥密文进行解密，得到节点私钥明文；

通过所述通信信道将加密得到的节点私钥密文或解密得到的节点私钥明文发送至区块链节点，以响应所述密钥管理接口调用请求。

可选地，所述对节点私钥明文进行加密，得到节点私钥密文包括：使用密钥管理设备本地保存的服务密钥对节点私钥明文进行加密，得到节点私钥密文；

所述对节点私钥密文进行解密，得到节点私钥明文包括：使用密钥管理设备本地保存的服务密钥对节点私钥密文进行解密，得到节点私钥明文。

可选地，在所述监测是否存在区块链节点发起的密钥管理接口调用请求之前，所述区块链密钥管理方法还包括：

在启动密钥管理设备时，判断输入的启动密码是否为管理员密钥；

若输入的启动密码为管理员密钥，则启动密钥管理设备；

判断密钥管理设备是否为首次启动；

若密钥管理设备为首次启动，则生成服务密钥明文，并使用管理员密钥对服务密钥明文进行加密，得到服务密钥密文并进行本地保存。

可选地，在密钥管理设备启动后，所述区块链密钥管理方法还包括：

在首次启动密钥管理设备上的密钥管理服务时，使用管理员密钥对服务密钥密文进行解密，得到服务密钥明文并保存在内存中；

启动密钥管理服务，以供使用服务密钥明文对节点私钥明文进行加密或对节点私钥密文进行解密。

可选地，所述区块链密钥管理方法还包括：

在密钥管理服务启动后，当监测到区块链节点发起的密钥管理接口调用请求时，执行密钥管理服务。

进一步地，为实现上述目的，本发明还提供一种密钥管理设备，应用于区块链，所述密钥管理设备包括存储器、处理器以及存储在所述存储器上并可在所述处理器上运行的密钥管理程序，所述密钥管理程序被所述处理器执行时实现如上述任一项所述的区块链密钥管理方法的步骤。

进一步地，为实现上述目的，本发明还提供一种区块链密钥管理系统，其特征在于，所述区块链密钥管理系统包括如上所述的密钥管理设备以及若干区块链，所述区块链包括多个区块链节点，所述密钥管理设备与所述区块链节点通过加密通信信道进行交互。

可选地，节点私钥密文保存在本地，节点私钥明文保存在内存中。

进一步地，为实现上述目的，本发明还提供一种计算机可读存储介质，所述计算机可读存储介质上存储有密钥管理程序，所述密钥管理程序被处理器执行时实现如上述任一项所述的区块链密钥管理方法的步骤。

本发明具体通过密钥管理设备提供加密解密接口的方式，实现对区块链节点私钥的加密解密操作，具体包括以下流程：密钥管理设备监测是否存在区块链节点发起的密钥管理接口调用请求；若存在，则与区块链节点建立通信信道，并对通信信道进行加密；若区块链节点调用的是加密服务接口，则对区块链节点发送的节点私钥明文进行加密，并通过加密通信信道返回节点私钥密文；若区块链节点调用的是解密服务接口，则对区块链节点发送的节点私钥密文进行解密，并通过加密通信信道返回节点私钥明文。本发明提升了区块链节点私钥管理的安全性，并降低了维护成本。

附图说明

图1为本发明密钥管理设备实施例方案涉及的设备硬件运行环境的结构示意图；

图2为本发明区块链密钥管理系统一实施例的模块架构示意图；

图3为本发明区块链密钥管理方法第一实施例的流程示意图；

图4为本发明区块链密钥管理方法第二实施例的流程示意图；

图5为本发明区块链密钥管理方法第三实施例的流程示意图。

本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。

具体实施方式

应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。

本发明提供一种密钥管理设备。

参照图1，图1为本发明密钥管理设备实施例方案涉及的设备硬件运行环境的结构示意图。

本发明实施例的密钥管理设备可以是计算机、服务器等设备。

如图1所示，该密钥管理设备可以包括：处理器1001，例如CPU，通信总线1002、用户接口1003，网络接口1004，存储器1005。其中，通信总线1002用于实现这些组件之间的连接通信。用户接口1003可以包括显示屏(Display)、输入单元比如键盘(Keyboard)，可选用户接口1003还可以包括标准的有线接口、无线接口。网络接口1004可选的可以包括标准的有线接口、无线接口(如WI-FI接口)。存储器1005可以是高速RAM存储器，也可以是稳定的存储器(non-volatile memory)，例如磁盘存储器。存储器1005可选的还可以是独立于前述处理器1001的存储设备。

本领域技术人员可以理解，图1中示出的密钥管理设备的硬件结构并不构成对密钥管理设备的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。

如图1所示，作为一种计算机可读存储介质的存储器1005中可以包括操作系统、网络通信模块、用户接口模块以及密钥管理程序。其中，操作系统是管理和控制密钥管理设备与软件资源的程序，支持网络通信模块、用户接口模块、密钥管理程序以及其他程序或软件的运行；网络通信模块用于管理和控制网络接口1004；用户接口模块用于管理和控制用户接口1003。

在图1所示的密钥管理设备硬件结构中，网络接口1004主要用于连接系统后台，与系统后台进行数据通信；用户接口1003主要用于连接客户端(用户端)，与客户端进行数据通信；密钥管理设备通过处理器1001调用存储器1005中存储的密钥管理程序，并执行以下操作：

监测是否存在区块链节点发起的密钥管理接口调用请求；

若存在，则与区块链节点建立通信信道，并对所述通信信道进行加密；

当所述密钥管理接口为加密服务接口时，通过所述通信信道接收区块链节点发送的节点私钥明文，并对节点私钥明文进行加密，得到节点私钥密文；

当所述密钥管理接口为解密服务接口时，通过所述通信信道接收区块链节点发送的节点私钥密文，并对节点私钥密文进行解密，得到节点私钥明文；

通过所述通信信道将加密得到的节点私钥密文或解密得到的节点私钥明文发送至区块链节点，以响应所述密钥管理接口调用请求。

进一步地，密钥管理设备通过处理器1001调用存储器1005中存储的密钥管理程序还执行以下操作：

当所述密钥管理接口为加密服务接口时，使用密钥管理设备本地保存的服务密钥对节点私钥明文进行加密，得到节点私钥密文；

当所述密钥管理接口为解密服务接口时，使用密钥管理设备本地保存的服务密钥对节点私钥密文进行解密，得到节点私钥明文。

进一步地，密钥管理设备通过处理器1001调用存储器1005中存储的密钥管理程序还执行以下操作：

在启动密钥管理设备时，判断输入的启动密码是否为管理员密钥；

若输入的启动密码为管理员密钥，则启动密钥管理设备；

判断密钥管理设备是否为首次启动；

若密钥管理设备为首次启动，则生成服务密钥明文，并使用管理员密钥对服务密钥明文进行加密，得到服务密钥密文并进行本地保存。

进一步地，密钥管理设备通过处理器1001调用存储器1005中存储的密钥管理程序还执行以下操作：

在首次启动密钥管理设备上的密钥管理服务时，使用管理员密钥对服务密钥密文进行解密，得到服务密钥明文并保存在内存中；

启动密钥管理服务，以供使用服务密钥明文对节点私钥明文进行加密或对节点私钥密文进行解密。

进一步地，密钥管理设备通过处理器1001调用存储器1005中存储的密钥管理程序还执行以下操作：

在密钥管理服务启动后，当监测到区块链节点发起的密钥管理接口调用请求时，执行密钥管理服务。

本发明还提供一种区块链密钥管理系统。

参照图2，图2为本发明区块链密钥管理系统一实施例的模块架构示意图。

本实施例中，区块链密钥管理系统包括：密钥管理设备以及若干区块链，每一条区块链包括多个区块链节点，其中，密钥管理设备与任一区块链节点之间通过加密通信信道进行交互，从而实现区块链节点私钥的加密与解密管理。其中，区块链可以是私有链、公有链或联盟链。

可选的，密钥管理设备可采用分布式技术架构，也即通过密钥管理设备集群，对多条区块链的所有区块链节点提供密钥管理服务，从而实现更高效、快捷的加密解密管理服务。

本实施例中，密钥管理设备提供加密、解密接口，本系统下的任意区块链节点都可调用加密、解密接口对区块链节点进行节点私钥加密、解密操作。

如图2所示，区块链节点调用密钥管理设备提供的加密接口，以通过密钥管理设备对节点私钥明文进行加密，并接收密钥管理设备进行加密处理后返回的节点私钥密文。比如，在区块链节点部署成功后生成代表节点身份的公、私钥对时，区块链节点调用密钥管理设备的加密服务接口进行私钥加密。

区块链节点调用密钥管理设备提供的解密接口，以通过密钥管理设备对节点私钥密文进行解密，并接收密钥管理设备进行解密处理后返回的节点私钥明文。比如，在区块链节点上进行记账处理时，区块链节点调用密钥管理设备的解密服务接口对已加密的私钥进行解密。

可选的，在一实施例中，节点私钥密文保存在本地，节点私钥明文保存在内存中。其中，节点私钥明文优选采用分段存储方式存储在本地区块链节点的内存中。

本实施例中，将区块链上所有区块链节点的私钥交由同一密钥管理设备进行加密与解密管理，从而提升了区块链节点私钥管理的安全性。此外，密钥管理设备还支持采用相同的密钥对区块链上所有节点的私钥进行加密与解密，从而可在一定程度上降低私钥密码的管理难度与管理成本。

基于上述密钥管理设备与区块链密钥管理系统的硬件结构，提出本发明区块链密钥管理方法的以下各实施例。

参照图3，图3为本发明区块链密钥管理方法第一实施例的流程示意图。

本实施例中，密钥管理设备可对区块链节点的私钥进行加密解密处理，具体包括以下步骤：

步骤S110，监测是否存在区块链节点发起的密钥管理接口调用请求；

本实施例中，密钥管理设备提供加密、解密服务接口，区块链密钥管理系统下的任意区块链节点都可调用密钥管理设备的加密、解密服务接口，从而实现对区块链节点进行节点私钥加密、解密操作。

当任一区块链节点需要对私钥进行加密或解密时，只需向密钥管理设备发起相应密钥管理接口调用请求即可，比如，区块链节点向密钥管理设备发起加密服务接口调用请求，则可实现节点私钥加密；区块链节点向密钥管理设备发起解密服务接口调用请求，则可实现节点私钥解密。

本实施例中，对于区块链节点发起的密钥管理接口调用请求的实现方式不限，比如基于Http协议向密钥管理设备发起密钥管理接口调用请求。

步骤S120，若存在，则与区块链节点建立通信信道，并对所述通信信道进行加密；若不存在，则不做任何处理；

本实施例中，密钥管理设备若监测到区块链节点发起的密钥管理接口调用请求，则与区块链节点建立通信信道，并对该通信信道进行加密，比如采用SSL(Secure SocketsLayer，安全套接层)证书加密通信信道，生成SSL通信信道。

本实施例中，使用加密的通信信道可以保证传输数据的安全性，也即可保证密钥管理设备与发起调用请求的区块链节点之间数据传输的安全性，特别是传输节点私钥明文时，避免被第三方非法获取。

本实施例中，密钥管理设备若没有监测到区块链节点发起的密钥管理接口调用请求，则不做任何处理并继续进行监测。

步骤S130，当所述密钥管理接口为加密服务接口时，通过所述通信信道接收区块链节点发送的节点私钥明文，并对节点私钥明文进行加密，得到节点私钥密文；

步骤S140，当所述密钥管理接口为解密服务接口时，通过所述通信信道接收区块链节点发送的节点私钥密文，并对节点私钥密文进行解密，得到节点私钥明文；

本实施例中，当区块链节点调用密钥管理设备的加密服务接口时，通过已建立的加密通信信道，将待加密的节点私钥明文传送至密钥管理设备，密钥管理设备接收到节点私钥明文后，对该节点私钥明文进行加密操作，以得到节点私钥密文。

当区块链节点调用密钥管理设备的解密服务接口时，通过已建立的加密通信信道，将待解密的节点私钥密文传送至密钥管理设备，密钥管理设备接收到节点私钥密文后，对该节点私钥密文进行解密操作，以得到节点私钥明文。

可选的，密钥管理设备使用本地保存的服务密钥对节点私钥明文进行加密，得到节点私钥密文；使用本地保存的服务密钥对节点私钥密文进行解密，得到节点私钥明文。本可选实施例中，服务密钥用于对节点私钥进行加密解密，也即密钥管理设备使用相同的密码对所有区块链节点的节点私钥进行加密与解密，这在一定程度上可以降低私钥密码的管理难度与管理成本。

步骤S150，通过所述通信信道将加密得到的节点私钥密文或解密得到的节点私钥明文发送至区块链节点，以响应所述密钥管理接口调用请求。

本实施例中，密钥管理设备在完成私钥加密或解密操作后，将加密得到的节点私钥密文或解密得到的节点私钥明文，通过加密通信通道发送至区块链节点，从而响应区块链节点发起的密钥管理接口调用请求。

本实施例具体通过密钥管理设备采用提供加密解密接口的方式，实现对区块链节点私钥的加密解密操作，密钥管理设备监测是否存在区块链节点发起的密钥管理接口调用请求；若存在，则与区块链节点建立通信信道，并对通信信道进行加密；若区块链节点调用的是加密服务接口，则对区块链节点发送的节点私钥明文进行加密，并通过加密通信信道返回节点私钥密文；若区块链节点调用的是解密服务接口，则对区块链节点发送的节点私钥密文进行解密，并通过加密通信信道返回节点私钥明文。本实施例中，区块链节点的私钥采用加密方式本地存储，同时用于加密私钥的密码保存在外部设备上，进而提升了区块链节点私钥管理的安全性，降低了维护成本。

参照图4，图4为本发明区块链密钥管理方法第二实施例的流程示意图。

本实施例中，密钥管理设备可对用于加密解密节点私钥的密码进行加密解密处理，从而提升私钥的安全性，具体包括以下步骤：

步骤S210，在启动密钥管理设备时，判断输入的启动密码是否为管理员密钥；

步骤S220，若输入的启动密码为管理员密钥，则启动密钥管理设备；否则不做任何处理；

本实施例中，密钥管理设备的启动需要管理员输入启动密码，若输入的启动密码为管理员密钥，则可成功启动密钥管理设备，否则启动失败。

步骤S230，判断密钥管理设备是否为首次启动；

步骤S240，若密钥管理设备为首次启动，则生成服务密钥明文，并使用管理员密钥对服务密钥明文进行加密，得到服务密钥密文并进行本地保存；若密钥管理设备为重启，则继续沿用首次启动时生成的服务密钥明文，无需再次生成。

本实施例中，在密钥管理设备首次成功启动时，自动生成用于加密和解密节点私钥的服务密钥明文，后续重启或再次启动时，继续沿用首次启动时生成的服务密钥明文，无需再次生成。

为提升服务密钥存储安全性，密钥管理设备进一步使用管理员密钥对服务密钥明文进行加密，得到服务密钥密文，然后在本地保存加密的服务密钥密文。

参照图5，图5为本发明区块链密钥管理方法第三实施例的流程示意图。

进一步地，由于对节点私钥进行加密解密处理的密码需要使用明文，也即需要将加密保存的服务密钥密文解密为服务密钥明文。

因此，本实施例中，在密钥管理设备启动后，所述区块链密钥管理方法还包括：

步骤S310，在首次启动密钥管理设备上的密钥管理服务时，使用管理员密钥对服务密钥密文进行解密，得到服务密钥明文并保存在内存中；

步骤S320，启动密钥管理服务，以供使用服务密钥明文对节点私钥明文进行加密或对节点私钥密文进行解密。

本实施例中，密钥管理设备需要通过启动密钥管理服务来响应区块链节点的密钥管理接口调用请求，从而使用服务密钥明文对节点私钥明文进行加密或对节点私钥密文进行解密。

本实施例中，密钥管理设备在启动密钥管理服务之前，需要先获得用于对节点私钥明文进行加密解密的服务密钥明文，为避免重复解密，优选在首次启动密钥管理服务时，使用管理员密钥对加密保存的服务密钥密文进行解密，得到服务密钥明文，然后将服务密钥明文保存在内存中，比如保存在密钥管理设备的内存中。

需要说明的是，密钥管理设备将服务密钥明文保存在内存中，而将服务密钥密文保存在本地磁盘，由于内存中很难盗取到服务密钥明文，而本地磁盘中的服务密钥密文即使盗取了也不易解密，因此保证了服务密钥的存储安全性。此外，为保证服务密钥的安全性，还可进一步设置：在密钥管理设备重启后，服务密钥明文自动删除或失效，并在密钥管理设备重启后、首次启动密钥管理服务时，再次使用管理员密钥对服务密钥密文进行解密，而得到服务密钥明文。

本实施例对于执行密钥管理设备上的密钥管理服务的条件不限。

可选的，在一实施例中，在密钥管理服务启动后，当密钥管理设备监测到区块链节点发起的密钥管理接口调用请求时，执行密钥管理服务。

本实施例中，为保证节点私钥与服务密钥的安全性，区块链密钥管理系统采用了另外两套密钥：证书私钥与管理员密钥。其中，通过证书私钥，密钥管理设备建立与区块链节点之间的加密通信信道，以保证节点私钥传输的安全性，而通过管理员密钥，密钥管理设备对服务密钥进行加密，以保证服务密钥的安全性。

本发明还提供一种计算机可读存储介质。

本实施例中，计算机可读存储介质上存储有密钥管理程序，所述密钥管理程序被处理器执行时实现如上述任一项实施例中所述的区块链密钥管理方法的步骤。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM)中，包括若干指令用以使得一台终端(可以是手机，计算机，服务器或者网络设备等)执行本发明各个实施例所述的方法。

上面结合附图对本发明的实施例进行了描述，但是本发明并不局限于上述的具体实施方式，上述的具体实施方式仅仅是示意性的，而不是限制性的，本领域的普通技术人员在本发明的启示下，在不脱离本发明宗旨和权利要求所保护的范围情况下，还可做出很多形式，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，这些均属于本发明的保护之内。

Claims (9)

1.一种区块链密钥管理方法，其特征在于，所述区块链密钥管理方法包括以下步骤：

监测是否存在区块链节点发起的密钥管理接口调用请求；

若存在，则与区块链节点建立通信信道，并对所述通信信道进行加密；

当所述密钥管理接口为加密服务接口时，通过所述通信信道接收区块链节点发送的节点私钥明文，并对节点私钥明文进行加密，得到节点私钥密文；

当所述密钥管理接口为解密服务接口时，通过所述通信信道接收区块链节点发送的节点私钥密文，并对节点私钥密文进行解密，得到节点私钥明文；

通过所述通信信道将加密得到的节点私钥密文或解密得到的节点私钥明文发送至区块链节点，以响应所述密钥管理接口调用请求。

2.如权利要求1所述的区块链密钥管理方法，其特征在于，所述对节点私钥明文进行加密，得到节点私钥密文包括：使用密钥管理设备本地保存的服务密钥对节点私钥明文进行加密，得到节点私钥密文；

所述对节点私钥密文进行解密，得到节点私钥明文包括：使用密钥管理设备本地保存的服务密钥对节点私钥密文进行解密，得到节点私钥明文。

3.如权利要求1或2所述的区块链密钥管理方法，其特征在于，在所述监测是否存在区块链节点发起的密钥管理接口调用请求之前，所述区块链密钥管理方法还包括：

在启动密钥管理设备时，判断输入的启动密码是否为管理员密钥；

若输入的启动密码为管理员密钥，则启动密钥管理设备；

判断密钥管理设备是否为首次启动；

若密钥管理设备为首次启动，则生成服务密钥明文，并使用管理员密钥对服务密钥明文进行加密，得到服务密钥密文并进行本地保存。

4.如权利要求3所述的区块链密钥管理方法，其特征在于，在密钥管理设备启动后，所述区块链密钥管理方法还包括：

在首次启动密钥管理设备上的密钥管理服务时，使用管理员密钥对服务密钥密文进行解密，得到服务密钥明文并保存在内存中；

启动密钥管理服务，以供使用服务密钥明文对节点私钥明文进行加密或对节点私钥密文进行解密。

5.如权利要求4所述的区块链密钥管理方法，其特征在于，所述区块链密钥管理方法还包括：

在密钥管理服务启动后，当监测到区块链节点发起的密钥管理接口调用请求时，执行密钥管理服务。

6.一种密钥管理设备，应用于区块链，其特征在于，所述密钥管理设备包括存储器、处理器以及存储在所述存储器上并可在所述处理器上运行的密钥管理程序，所述密钥管理程序被所述处理器执行时实现如权利要求1-5中任一项所述的区块链密钥管理方法的步骤。

7.一种区块链密钥管理系统，其特征在于，所述区块链密钥管理系统包括权利要求6所述的密钥管理设备以及若干区块链，所述区块链包括多个区块链节点，所述密钥管理设备与所述区块链节点通过加密通信信道进行交互。

8.如权利要求7所述的区块链密钥管理系统，其特征在于，节点私钥密文保存在本地，节点私钥明文保存在内存中。

9.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有密钥管理程序，所述密钥管理程序被处理器执行时实现如权利要求1-5中任一项所述的区块链密钥管理方法的步骤。