CN108632037A - 公钥基础设施的公钥处理方法及装置 - Google Patents

Abstract

本发明实施例公开了一种公钥基础设施的公钥处理方法及装置，所述方法包括：获取公钥；确定所述公钥的状态标志；生成包括所述公钥及所述状态标志及账号标识的区块链证书；将所述区块链证书广播到区块链网络，其中，所述区块链证书，用于在通过所述区块链网络验证之后写入区块链的区块中。

Description

公钥基础设施的公钥处理方法及装置

技术领域

本发明涉及信息技术领域，尤其涉及一种公钥基础设施(Public KeyInfrastructure，PKI)的公钥处理方法及装置。

背景技术

非对称加密算法在使用过程中，通常会使用到公钥和私钥。公钥可以用于供发送端向接收端发送信息进行加密；私钥用于接收端对公钥加密的信息进行解码。一般情况下，公钥是供其他设备向本设备发送信息的加密密钥。所述公钥是数字证书的组成部分；而数字证书是由第三方认证机构颁发的。且其他设备在发送利用公钥加密的信息之前，首先需要从第三方认证机构(Certification Authority，CA)通过信息验证，获取所述公钥。

这种公钥的处理方式，通常存在以下问题：

一、若CA出现被控制等失效时，数字证书的申请、发放、撤销及更新等管理都会处于失控状态，导致非对称算法在使用过程中安全等级大大降低。例如，一旦CA自身的私钥被窃取，则攻击者就能够颁发各种数字证书，从而导致上述失控状态。

二、上述数字证书的管理，都需要经过、申请、发放、撤销及更新等流程，操作复杂。

三、一个CA能够存储的数字证书有限，且CA的服务器通常是专用的，故CA的基础设备建设费用及运维费用昂贵。

四、证书合法性验证较复杂，除了要验证数字签名的正确性外，需要检查证书的有效时间，证书是否已被撤销。有两种常用的方法检查证书是否已撤销：1).证书撤销列表(Certificate revocation list)，2).在线证书状态协议(Online Certificate StatusProtocol)这两种验证方式都涉及大量信息的查询，从而导致合法性验证算法复杂。

五、其他设备需要使用公钥向对应的设备发送信息时，需要到CA上查询公钥，CA在向其他设备返回所述公钥时，需要进行信息验证。

发明内容

有鉴于此，本发明实施例期望提供的PKI的公钥处理方法及装置，至少部分解决上述问题。

为达到上述目的，本发明的技术方案是这样实现的：

本发明实施例第一方面提供一种公钥基础设施的公钥处理方法，包括：

获取公钥；

确定所述公钥的状态标志；

生成包括所述公钥及所述状态标志及账号标识的区块链证书；

将所述区块链证书广播到区块链网络，其中，所述区块链证书，用于在通过所述区块链网络验证之后写入区块链的区块中。

基于上述方案，所述获取公钥，包括：

用户终端根据私钥生成所述公钥，或，获取用户终端运行的区块链用户账号的公钥，或，所述用户终端本地查询所述公钥。

基于上述方案，所述方法还包括：

利用所述区块链用户账号的私钥对所述区块链证书进行签名；

所述将所述区块链证书广播到区块链网络，包括：

将签名后的所述区块链证书广播给所述区块链网络。

基于上述方案，所述确定所述公钥的状态标志，包括：

当申请或更新所述区块链证书时，生成表征所述区块链证书有效的有效标识；其中，所述有效标识，用于指示所述区块链证书中的所述公钥有效；

当撤销所述区块链证书时，生成表征所述区块链证书无效的无效标识。

基于上述方案，所述区块链证书还包括：所述公钥的有效期及账号标识类型的至少其中之一。

基于上述方案，所述方法还包括：

接收所述区块链网络基于所述账号标识返回的第一验证信息；

基于所述第一验证信息向所述区块链网络发送第二验证信息；

其中，所述第二验证信息，用于供所述区块链网络确定所述区块链证书是否通过验证。

本发明实施例第三方面提供一种公钥基础设施的公钥处理方法，包括：

接收用户终端广播的区块链证书，其中，所述区块链证书，包括：公钥、状态标识及账号标识；

对所述区块链证书进行验证；

当所述区块链证书验证通过时，生成一个包括所述区块链证书的区块链的区块。

基于上述方案，所述对所述区块链证书进行验证，包括：

根据所述账号标识，向所述账号标识对应的账号发送第一验证信息；

接收基于所述第一验证信息返回的第二验证信息；

基于所述第二验证信息，确定所述区块链证书是否通过验证。

基于上述方案，所述当所述区块链证书验证通过时，生成一个包括所述区块链证书的区块链的区块，还包括：

当所述区块链证书为区块链证书更新或撤销请求时，提取所述账号标识；

查询区块链，确定所述区块链中是否存在有包括所述账号标识的区块链证书；

当确定出所述区块链中存在有包括所述账号标识的区块链证书时，在所述区块链添加更新或撤销所述区块链证书的区块。

基于上述方案，所述方法还包括：

接收携带有所述账号标识的公钥查询请求；

根据所述账号标识查询所述区块链，确定出存储有所述账号标识的区块链证书；

将所述区块链证书中的公钥发送给查询端。

本发明实施例第三方面提供一种公钥基础设施的公钥处理装置，包括：

获取单元，用于获取公钥；

第一确定单元，用于确定所述公钥的状态标志；

第一生成单元，用于生成包括所述公钥及所述状态标志及账号标识的区块链证书；

广播单元，用于将所述区块链证书广播到区块链网络，其中，所述区块链证书，用于在通过所述区块链网络验证之后写入区块链的区块中。

基于上述方案，所述获取单元，用于根据私钥生成所述公钥，或，获取用户终端运行的区块链用户账号的公钥，或，所述用户终端本地查询所述公钥。

基于上述方案，所述装置还包括：

签名单元，用于利用所述区块链用户账号的私钥对所述区块链证书进行签名；

所述广播单元，用于将签名后的所述区块链证书广播给所述区块链网络。

基于上述方案，所述第一确定单元，具体用于当申请或更新所述区块链证书时，生成表征所述区块链证书有效的有效标识；其中，所述有效标识，用于指示所述区块链证书中的所述公钥有效；

当撤销所述区块链证书时，生成表征所述区块链证书无效的无效标识。

基于上述方案，所述区块链证书还包括：所述公钥的有效期及账号标识类型的至少其中之一。

基于上述方案，所述装置还包括：

第一接收单元，用于接收所述区块链网络基于所述账号标识返回的第一验证信息；

第一发送单元，用于基于所述第一验证信息向所述区块链网络发送第二验证信息；

其中，所述第二验证信息，用于供所述区块链网络确定所述区块链证书是否通过验证。

本发明实施例第四方面提供一种公钥基础设施的公钥处理装置，包括：

第二接收单元，用于接收用户终端广播的区块链证书，其中，所述区块链证书，包括：公钥、状态标识及账号标识；

验证单元，用于对所述区块链证书进行验证；

第二生成单元，用于当所述区块链证书验证通过时，生成一个包括所述区块链证书的区块链的区块。

基于上述方案，所述验证单元，具体用于根据所述账号标识，向所述账号标识对应的账号发送第一验证信息；接收基于所述第一验证信息返回的第二验证信息；基于所述第二验证信息，确定所述区块链证书是否通过验证。

基于上述方案，所述第二生成单元，具体用于当所述区块链证书为区块链证书更新或撤销请求时，提取所述账号标识；查询区块链，确定所述区块链中是否存在有包括所述账号标识的区块链证书；当确定出所述区块链中存在有包括所述账号标识的区块链证书时，在所述区块链添加更新或撤销所述区块链证书的区块。

基于上述方案，所述第二接收单元，用于接收携带有所述账号标识的公钥查询请求；

所述装置还包括：

第二确定单元，用于根据所述账号标识查询所述区块链，确定出存储有所述账号标识的区块链证书；

所述装置还包括：

第二发送单元，用于将所述区块链证书中的公钥发送给查询端。

本发明实施例提供的PKI的公钥处理方法及装置，用户终端自行获取公钥并生成区块链证书，并通过与区块链网络的信息交互，实现区块链网络的申请、发放等处理流程，这过程中无需CA的加入。区块链网络通过区块的生成存储所述公钥，并发放所述区块链证书，而区块链网络对应的网络系统作为一种分布式系统，首先显然相对于CA这种集中式系统，在区块链证书的发放过程中，不易出现类似CA申请过多导致的过载的现象，也可以减少CA单一节点失效，导致的证书的发放的安全问题。区块链生成的区块具有高度的安全性，同时是一种公开信息，其他节点需要使用公钥时，可以简便的通过查询区块就可以获得对应的公钥，而无需如CA存储公钥时一样进行多操作的验证，简化了其他终端获取公钥的流程。

附图说明

图1为本发明实施例提供的第一种PKI的公钥处理方法的流程示意图；

图2为本发明实施例提供的一种区块链证书的格式示意图；

图3为本发明实施例提供的第二种PKI的公钥处理方法的流程示意图；

图4为本发明实施例提供的第一种PKI的公钥处理装置的结构示意图；

图5为本发明实施例提供的第二种PKI的公钥处理装置的结构示意图；

图6为本发明实施例提供的一种区块链证书的申请和发放的流程示意图；

图7为本发明实施例提供的一种区块链证书的撤销流程示意图；

图8为本发明实施例提供的一种区块链证书的查询流程示意图。

具体实施方式

以下结合说明书附图及具体实施例对本发明的技术方案做进一步的详细阐述。

如图1所示，本实施例提供一种PKI的公钥处理方法，包括：

步骤S110：获取公钥；

步骤S120：确定所述公钥的状态标志；

步骤S130：生成包括所述公钥及所述状态标志及账号标识的区块链证书；

步骤S140：将所述区块链证书广播到区块链网络，其中，所述区块链证书，用于在通过所述区块链网络验证之后写入区块链的区块中。

本实施例中所述PKI的公钥处理方法，可为应用于客户终端中的公钥处理方法。

在本实施例中首先获取所述公钥，这里的公钥可为非对称加密算法中使用的公钥，与私钥对应。

在步骤S120中确定所述公钥的状态标识。在本实施例中在生成所述状态标识，可以根据当前区块链证书的处理阶段确定。所述处理阶段包括申请、发放、撤销、更新及查询阶段。在本实施例中所述步骤S120可包括：当所述处理阶段为申请阶段或更新阶段时，确定所述公钥的状态标识为指示所述公钥有效的有效状态标识；当所述处理阶段为撤销阶段时，确定所述公钥的状态标识为指示所述公钥无效的无效状态标识。

在一些实施例中，所述步骤S120还可以根据用户指示，确定所述状态标识；例如，检测到指示所述公钥无效的用户指示时，确定所述公钥的状态标识为指示所述公钥无效的无效状态标识；当检测到指示所述公钥有效的用户指示时，确定所述公钥的状态标识为指示所述公钥有效的有效状态标识。

在另一些实施例中，所述步骤S120还可包括：根据所述公钥的获取方式，确定所述状态标识。例如，若所述公钥为所述用户终端当前生成的，则确定所述公钥的状态标识为指示所述公钥有效的有效状态标识。

在步骤S130中会生成区块链证书，该区块链证书至少包括：所述公钥、所述状态标识，还包括请求授权使用该区块链证书的用户账号的账号标识。这里的账号标识可为各种可以唯一标识该用户账号的标识。所述用户账号标识可为非即时通信用户标识及即时通信标识。在本实施例中所述用户终端可以在步骤S110及步骤S120中获取生成所述区块链证书的必要信息，然后在获得对应的必要信息之后，采用预定封装格式封装成所述区块链证书。该预定封装格式可为用户终端和区块链网络所公知的，例如，是预先协商的，或基于双方都认可的通信协议或网络协议确定的。

所述非即时通信用户标识可包括手机号、座机号等通信号码；所述非即时通信用户标识还可包括：邮件地址、区块链在用户账号地址或区块链用户账号等各种标识信息。所述即时通信标识可包括各种即时通信应用的用户账号，例如，QQ号、微信号等。

在一些实施例中所述区块链证书除了所述公钥、状态标识及账号标识以外，还可包括有效期及用户名类型等信息。这里的有效期可用于指示所述公钥的有效期限或区块链证书的有效期限。所述用户类名称，可为指示所述账号标识的类型，方便后续所述区块链网络采用对应的通信方式，与用户终端进行信息交互，对所述区块链证书进行验证。

在本实施例中所述区块链证书中还包括拓展项，这里的拓展项可为保留比特；这些保留比特保留用于后续添加其他信息。

在步骤S140中所述用户终端会将所述区块链证书，以广播方式发送给区块网络，这样的话，因为以广播方式发送到区块链网络中，区块链网络中的不特定的网络节点，都可能接收到所述区块链证书。在本实施例中所述区块链证书是承载在用户终端发送的各种请求中的，即所述区块链证书是用户终端发送的请求的一部分。这里的请求可包括：区块链证书的申请请求；所述申请请求为用户终端向区块链网络首次申请区块，用于记录该区块链证书。所述请求还包括撤销以前申请的区块链证书的请求，更新以前申请的区块链证书的请求等。

图2所示为本发明实施例提供一种区块链证书的证书格式。

在一些实施例中，获取所述公钥的方式有多种，以下提供几种可选方式。

可选方式一：

用户终端根据私钥生成所述公钥；例如，用户终端采用公钥生成算法，基于对应的私钥生成所述公钥，这样生成的公钥与生成其的私钥是非对称加密算法的一对密钥。所述公钥生成算法可为椭圆曲线密钥算法(Elliptical Curve Cryptograph，ECC).

可选方式二：

获取用户终端运行的区块链用户账号的公钥。在本实施例中直接将区块链用户账号的公钥，用作后续进行信息交互的公钥。

可选方式三：

所述用户终端本地查询所述公钥。例如，当前公钥已经生成或确定，且在本地存储，则后续在区块链证书中公钥的无效或有效期更新的状况时，则所述公钥可以直接在本地查询。

以上仅是提供了获取公钥的可选方式，具体实现时，可以采用任意一种方式。

在一些实施例中，所述方法还包括：

利用所述区块链用户账号的私钥对所述区块链证书进行签名。

在本实施例中为了广播到区块链网络中的区块链证书的完整信息，用户终端会利用区块链用户账号的私钥进行签名，方便后续区块链网络对所述签名进行完整性验证，防止所述区块链证书在广播到区块链网络中之后的信息丢失等不完整被破坏，用户依然生成对应的区块，进行区块链证书颁发、撤销及更新等操作。对应地，所述步骤S140可包括：将签名后的所述区块链证书广播给所述区块链网络。

在一些实施例中，所述步骤S120可包括：

当申请或更新所述区块链证书时，生成表征所述区块链证书有效的有效标识；其中，所述有效标识，用于指示所述区块链证书中的所述公钥有效；

当撤销所述区块链证书时，生成表征所述区块链证书无效的无效标识。

在本实施例中所述状态标识可为1个或多个比特，这些比特为不同的值时，对应的有效标识或无效标识。

在本实施例中所述状态标识可作为证书状态的全部或部分字段，被携带在所述区块链证书中。

在一些实施例中，所述区块链证书还包括：所述公钥的有效期及账号标识类型的至少其中之一。这里的有效期又可称之为有效使用期，可为所述公钥的有效使用期。所述用户账户类型可以参见前述实施例，在此就不重复了。

在一些实施例中，所述方法还包括：

接收所述区块链网络基于所述账号标识返回的第一验证信息；

基于所述第一验证信息向所述区块链网络发送第二验证信息；

其中，所述第二验证信息，用于供所述区块链网络确定所述区块链证书是否通过验证。

在本实施例中运行所述账号标识的用户终端，还会接收到所述第一验证信息，这里的第一验证信息可为验证码；所述第二验证信息可为接收到的所述验证码。用户终端将验证码返回给所述区块链网络之后，区块链网络会认为通过验证。

当然，所述第一验证信息还可以为验证问题；所述第二验证信息为对应于所述验证问题的验证答案，若所述区块链网络接收到第二验证信息之后，认为该验证答案确实是发送的验证问题的正确答案，则可认为通过验证，则后续所述区块链网络会根据所述区块链证书，生成对应的区块。

在本实施例中通过第一验证信息和第二验证信息的交互，可以对区块链证书的申请、更新、撤销等操作进行验证处理，确保处理的真实性和合法性。

如图3所示，本实施例提供一种PKI的公钥处理方法，包括：

步骤S210：接收用户终端广播的区块链证书，其中，所述区块链证书，包括：公钥、状态标识及账号标识；

步骤S220：对所述区块链证书进行验证；

步骤S230：当所述区块链证书验证通过时，生成一个包括所述区块链证书的区块链的区块。

本实施例中所述PKI的公钥处理方法，可为应用于区块链网络中的方法。

这里的区块链网络至少包括记账节点，这里的记账节点用于根据所述区块链证书，生成区块。

在本实施例中区块链网络会接收到用户终端发送的区块链证书，在本实施例中在进行区块的生成时，用户终端发送的不再是区块链中交易的交易信息，而是至少携带有公钥、状态标识及账号标识的区块链证书。

在步骤S220中对区块链证书进行验证，验证的方式包括：向用户终端进行验证信息的交互进行验证，若区块链证书是按照特定编码方式编码的，可以通过区块链证书的编码方式的解码，实现上述验证。总之，区块链网络的网络节点对所述区块链证书进行验证的方式有多种，不局限于上述任意一种。

当区块链网络的网络节点，认为对应的区块链证书通过验证时，就生成一个区块，该区块续借到区块链的末尾作为新生成的子节点对应的区块。

采用区块链来记录公钥，由于区块链网络为分布式系统，故可以减少单一CA的失效问题。同时由于这里的公钥都是由用户终端自行获得，并非CA分配的，故减少了公钥分配过程中的繁琐操作。此外，由于区块链中的区块是一种公开信息，其他设备需要与该用户终端进行信息交互时，可以直接查询到该公开的区块就能够获得公钥，并不要如现有技术中一样，其他设备需要向单一的CA查询公钥，且需要通过CA的验证，简化了公钥的查询流程，且避免了单一节点的超载现象导致的公钥查询速度慢的问题。

在一些实施例中，所述步骤S220可包括：

根据所述账号标识，向所述账号标识对应的账号发送第一验证信息；

接收基于所述第一验证信息返回的第二验证信息；

基于所述第二验证信息，确定所述区块链证书是否通过验证。

在本实施例中所述区块链网络会向用户终端发送第一验证信息，这里的验证信息可为前述的验证码或验证问题等，所述第二验证信息可为对应于第一验证信息的验证码或问题答案等。

在本实施例中区块链网络，通过与用户终端的信息交互，便捷对区块链证书的申请的真实性进行验证。

在一些实施例中，所述步骤S230可包括：

当所述区块链证书为区块链证书更新或撤销请求时，提取所述账号标识；

查询区块链，确定所述区块链中是否存在有包括所述账号标识的区块链证书；

当确定出所述区块链中存在有包括所述账号标识的区块链证书时，在所述区块链添加更新或撤销所述区块链证书的区块。

在本实施例中在确定所述区块链中是否存在有包括对应账号标识的区块链证书时，可以以所述账号标识为查询依据，从区块链的末尾开始查询区块中的数据，若在某一个区块中查询到对应的账号标识，再核对对应区块中的区块链证书的状态标识，若状态标识为有效标识，则响应撤销请求，生成一个撤销该区块链证书的区块，同时将原来区块中的有效标识更改为无效标识。

这里的更新请求，可包括请求更新公钥自身或修改有效期等。在本实施例中若接收到更新请求时，所述区块链网络会响应更新请求，将原来区块中的状态标识更改为无效标识，然后生成一个新的区块，记录本次区块链证书的更新。

在本实施例中若区块链网络的网络节点，在接收到撤销请求或更新请求之后，并未查询到所述账号标识对应的且当前有效的公钥或区块链证书，则向对应的用户终端发送错误提示等提示信息。这里的提示信息可仅用于撤销或更新失败，还可以携带有错误原因；通过错误原因告知用户当前未响应撤销或更新请求的原因。

在一些实施例中，所述方法还包括：

接收携带有所述账号标识的公钥查询请求；

根据所述账号标识查询所述区块链，确定出存储有所述账号标识的区块链证书；

将所述区块链证书中的公钥发送给查询端。

在本实施例中所述区块链网络的一个或多个网络节点，会接收到公钥查询请求，该公钥查询请求中携带有账号标识。区块链网络的网络节点，会利用账号标识来查询区块链，并将查询结果返回给对应的查询终端。若未查询到当前有效的公钥，则会向查询端发送查询失败的提示信息。同样的，这里的提示信息可仅包括：提示查询失败的信息，也可还可以包括查询失败的原因。

如前述实施例提到的所述区块链证书也可以如图2所示，具体的相关描述参见前述对应部分，此处就不重复了。

如图4所示，本实施例提供一种PKI的公钥处理装置，包括：

获取单元110，用于获取公钥；

第一确定单元120，用于确定所述公钥的状态标志；

第一生成单元130，用于生成包括所述公钥及所述状态标志及账号标识的区块链证书；

广播单元140，用于将所述区块链证书广播到区块链网络，其中，所述区块链证书，用于在通过所述区块链网络验证之后写入区块链的区块中。

本实施例中提供过一种PKI的公钥处理装置，该处理装置可为应用于用户终端中的信息处理结果。

所述第一确定单元120、第一生成单元130可对应于处理器或处理电路。所述处理器可包括中央处理器、微处理器、数字信号处理器、可编程阵列或应用处理器。所述处理电路可包括专用集成电路。所述处理器或处理电路通过可执行代码的执行，实现所述状态标识的确定及所述区块链证书的生成。在本实施例中所述区块链证书可包括预定信息内容的信息封装体。

所述广播单元140可对应于通信接口或通信接口的通信芯片，可以将所述区块链证书以广播的方式发送到区块链网络。

在一些实施例中，所述获取单元110，用于根据私钥生成所述公钥，或，获取用户终端运行的区块链用户账号的公钥，或，所述用户终端本地查询所述公钥。

本实施例中所述用户终端的获取单元110，可以自行根据确定的私钥生成所述公钥，也可以通过查询的方式获取之前就确定的公钥，或直接利用区块链网络的区块链用户账号的公钥，作为后续通信过程中非对称加密的公钥；以上仅是所述获取单元110获取所述公钥的举例，实际应用过程中不局限于这些举例。

在一些实施例中，所述装置还包括：

签名单元，用于利用所述区块链用户账号的私钥对所述区块链证书进行签名；

所述广播单元140，用于将签名后的所述区块链证书广播给所述区块链网络。

在本实施例中所述签名单元同样可对应于处理器或处理电路，所述处理器或处理电路的相关描述可以参见前述部分，此处就不重复了。所述处理器或处理电路，可以通过签名密钥对所述区块链证书进行签名处理，从而获得签名后的区块链证书，方便后续区块链网络接收到之后进行签名验证，确保接收到的完整性。所述广播单元140实质上广播的是签名后的区块链证书。

在一些实施例中，所述第一确定单元120，具体用于当申请或更新所述区块链证书时，生成表征所述区块链证书有效的有效标识；其中，所述有效标识，用于指示所述区块链证书中的所述公钥有效；当撤销所述区块链证书时，生成表征所述区块链证书无效的无效标识。

在一些实施例中，所述区块链证书还包括：所述公钥的有效期及账号标识类型的至少其中之一。此处的区块链证书的相关描述可以参见前述实施例或图2所示，在此就不重复了。

在一些实施例中，所述装置还包括：

第一接收单元，用于接收所述区块链网络基于所述账号标识返回的第一验证信息；

第一发送单元，用于基于所述第一验证信息向所述区块链网络发送第二验证信息；

其中，所述第二验证信息，用于供所述区块链网络确定所述区块链证书是否通过验证。

这里的第一接收单元和第一发送单元，可对应于用户终端的通信接口，这里的接口可为有线接口或无线接口，所述有线接口可为电缆接口或光缆接口，所述无线接口可为支持各种无线通信协议的接口，例如，移动数据接口、蓝牙接口或WiFi接口等。

在本实施例中通过所述第一验证信息的接收和所述第二验证信息的返回协助区块链网络对区块链证书或区块链证书对应的请求进行真实性的验证，确保区块链证书在区块链网络中处理的真实性和合法性。

如图5所示，本实施例提供一种PKI的公钥处理装置，包括：

第二接收单元210，用于接收用户终端广播的区块链证书，其中，所述区块链证书，包括：公钥、状态标识及账号标识；

验证单元220，用于对所述区块链证书进行验证；

第二生成单元230，用于当所述区块链证书验证通过时，生成一个包括所述区块链证书的区块链的区块。

本实施例提供的公钥处理装置可为应用于区块链网络的网络节点中的信息处理装置。在本发明实施例中包括在区块链证书中的公钥都可被用户终端在于其他终端进行通信时，用于对通信信息进行非对称加密或解密的密钥。

在本实施例中所述第二接收单元210可对应于区块链网络的网络节点的通信接口，可以用于接收用户终端广播的区块链证书。

所述验证单元220和所述第二生成单元230都可以对应于处理器或处理电路，这里的处理器或处理电路的类型等可以参见本申请前述对处理器或处理电路的描述。同样地，所述处理器或处理电路通过可执行代码的执行，可以实现上述验证或区块的生成。

在有些实施例中，所述验证单元220，具体用于根据所述账号标识，向所述账号标识对应的账号发送第一验证信息；接收基于所述第一验证信息返回的第二验证信息；基于所述第二验证信息，确定所述区块链证书是否通过验证。

在本实施例中所述验证单元220可对应于通信芯片，可以用于与用户终端进行通信，进行区块链证书或区块链证书对应的申请的真实性验证，确保区块生成的有效性。

在一些实施例中，所述第二生成单元230，具体用于当所述区块链证书为区块链证书更新或撤销请求时，提取所述账号标识；查询区块链，确定所述区块链中是否存在有包括所述账号标识的区块链证书；当确定出所述区块链中存在有包括所述账号标识的区块链证书时，在所述区块链添加更新或撤销所述区块链证书的区块。

在本实施例中第二生成单元230首先会确定承载所述区块链证书的请求是哪一种请求。在本实施例中所述请求的类型不同，则请求中对应字段的内容不同或请求的格式不同，这样的话，区块链网络的网络节点接收到对应的请求之后，通过信息处理简便可以确定出请求的类型，然后根据请求的类型执行相关的操作。例如，当前请求为撤销请求或更新请求，则需要查询区块链中的区块，再执行新的区块的生成。若当前请求为申请请求，可以不查询对应的区块链直接生成对应的区块即可。在有一些实施例中为了重复生成，所述网络节点在接收到申请请求时，也会查询已生成的区块，确定是否是重复申请。当出现重复申请时，拒绝对应的申请。为了减少查询操作，在接收到申请请求时，所述第二生成单元230会生成一个随机数，将该随机数与判定阈值进行比较，若大于判定阈值则进行查询，若小于判定阈值则不进行查询直接进行新的区块的生成，这样的话，采用类似抽查的方式进行重复申请的查询，减少网络节点的工作量。

在一些实施例中，所述第二接收单元210，用于接收携带有所述账号标识的公钥查询请求；

所述装置还包括：

第二确定单元，用于根据所述账号标识查询所述区块链，确定出存储有所述账号标识的区块链证书；

所述装置还包括：

第二发送单元，用于将所述区块链证书中的公钥发送给查询端。

在本实施例中所述装置还包括：第二接收单元和第二发送单元，这两个单元均能够对应区块链网络的网络节点的通信接口，与用户终端进行信息你交互。

所述第二确定单元，可对应于处理器或处理电路，通过预定代码或程序的执行，执行上述操作。

以下结合上述实施例的技术方案，提供几个具体示例：

示例一：

如图6所示，本示例提供一种区块链证书的申请和发放方法，包括：

用户终端，向区块链网络发送携带有区块链证书的申请请求；

区块链网络的网络节点进行身份验证，验证通过后基于区块链的共识机制，生成一个新的区块，将该新生成的区块续接到已生成的区块链中，增加区块链的长度。这里的身份验证，为前述实施例中对区块链证书或对应请求验证的一种。

以下详细上述用户终端及区块链网络的各个操作：

1：用户终端生成区块链证书，把区块链证书的状态标为有效。用户终端把区块链证书的信息像区块链上的交易信息一样处理，利用用户终端在区块链上账号的私钥进行签名，并把区块链证书及其签名在区块链网络上广播。注：区块链证书中的公钥可以是新生成公私钥对中的公钥，也可以是区块链上用户账户的公钥。

2：区块链网络节点对签名的验证，确保区块链证书信息的完整性，并搜索区块链上的已有区块链证书的用户名是否与申请证书的用户名重名。为了高效，搜索从最新的(即最后生成的)区块进行。如果有重名，且在区块链上重名的最新证书的状态为有效状态，网络节点拒绝区块链证书的申请。这里的重名主要是用户标识的重合。如果有重名，但在区块链上重名的最新区块链证书的状态为无效状态，或者没有重名，网络节点通过在区块链软件系统嵌入相应的身份验证模块对区块链证书的身份进行验证。

基于移动电话号码的身份验证：嵌入短信(Short Messaging Service，SMS)模块。网络节点向申请区块链证书的用户终端发送SMS验证码，并对用户终端回送的SMS验证码进行比对。如果两者相同，可以确定区块链证书上用户名的真实性。

基于QQ号或微信号等即时通信的身份验证：嵌入QQ、或微信通信模块。它向申请区块链证书的用户通过QQ、或微信模块发生随机的验证码，并对用户回送的验证码进行比对。如果两者相同，可以确定区块链证书上用户名的真实性。

基于邮箱地址的身份验证：嵌入邮箱通信模块。网络节点向申请区块链证书的用户终端通过邮箱通信模块发生随机的验证码，并对用户终端回送的验证码进行比对。如果两者相同，可以确定区块链证书上用户名的真实性。

基于区块链用户账户地址的身份验证：嵌入区块链用户账户搜索模块。它在区块链上搜索已完成过交易的用户账户地址，如果存在，可以确定区块链证书上用户名的真实性。

如果区块链证书的身份验证失败，网络节点拒绝用户对区块链证书的申请。

为了提升区块链证书申请和发放的智能性，对移动电话号码，QQ号，微信号，邮箱地址的验证，可以有两种方法选用：(1)用户终端能自动回复区块链节点发送的用户验证码信息；(2)用户终端信任一个代理服务器，服务器与用户客户完成相互验证，由服务器自动回复区块链节点发送的用户验证码信息。

网络节点对区块链证书的身份进行验证成功后，使用区块链的共识机制(如工作量证明)，记账节点把区块链证书写入区块，等系统要求等待的时间结束后，把此区块写入区块链中。从而完成区块链证书的申请和发放。

示例二：

如图7所示，本示例提供一种区块链证书的撤销方法，包括：

1：用户终端向区块链网络发送撤销请求，该撤销请求中携带着需要撤销的区块链证书。

2：区块链网络的网络节点接收到撤销请求之后，对用户地址进行验证，确定是否满足区块链生成的共识机制，若满足生成撤销区块链证书的区块，并续接到对应的区块链中。这里的用户地址验证，为前述实施例中对区块链证书或对应请求验证的一种。

以下详细介绍区块链证书撤销的各个操作，具体步骤如下：

用户终端复制需要撤销的区块链证书，并把证书状态标改为无效。用户终端把要撤销的证书信息像在区块链上的交易信息一样处理，用自己在区块链上区块链账号的私钥进行签名，并把要撤销的区块链证书及其签名在区块链网络上广播。

网络节点通过对签名的验证，确保要撤销的区块链证书信息的完整性。

网络节点搜索区块链上的区块链证书的用户名是否与要撤销证书的用户名重名。为了高效，搜索从最新的区块开始进行。如果有重名，且在区块链上重名的最新证书的状态为无效状态，或者没有重名，则记账权的节点拒绝用户对证书的撤销；如果有重名，但在区块链上重名的最新证书的状态为有效状态，且完成最新证书交易的用户地址与本次撤销证书的用户地址一致，则记账节点把要撤销的区块链证书写入区块中，等系统要求等待的时间结束后，把此区块写入区块链中。从而完成区块链证书的撤销。

示例三：

如图8所示，本示例提供一种区块链证书的查询方法，包括：

1：用户终端向区块链网络发送查询请求，该查询请求中携带着需要查询的用户标识，例如，用户名或用户序列号。

2：区块链网络的网络节点接收到查询请求之后，以用户标识为查询索引查询区块链，将查询到的有效区块链证书中的公钥返回给用户终端。

具体步骤如下：

用户终端要获取别人的区块链证书，需使用区块链证书上的用户名在本地的区块链或存储在远端的区块链发起查询，为了高效，搜索查询从最新的区块开始进行；

如果要查询的用户名在区块链上没有检索到，则终止查询并返回给用户错误信息(证书不存在)。如果存在，则对用户名对应的最新的区块链证书进行检查。如果证书的状态为无效状态，则返回给用户错误信息(证书存在但状态失效)；如果证书的状态为有效状态但已过了有效期，则返回给用户错误信息(证书存在但已过有效期)；如果证书的状态为有效状态且在有效期内，则返回给用户想要获取的区块链证书。

在一些实施例中，若用户终端A需要查询用户终端B的公钥，用户终端A可以先向用户终端B请求其对应的用户名(对应于用户标识)，在要到用户标识之后，就可以发送对应的查询请求，简便快捷不需要验证的查询到用户终端B的公钥。

示例四：

本示例提供一种区块链证书的更新方法，包括：

用户终端向区块链网络发送携带有需要更新后的区块链证书的更新请求；

区块链网络的网络节点在接收更新请求之后，首先查询区块链确定出需要撤销区块链证书对应的区块，然后在撤销旧的区块链证书之后，生成一个基于更新请求携带的区块链证书生成一个新的区块。

这里区块链网络对更新请求的响应，可为对撤销请求及申请请求的组合操作。

在本申请所提供的几个实施例中，应该理解到，所揭露的设备和方法，可以通过其它的方式实现。以上所描述的设备实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，如：多个单元或组件可以结合，或可以集成到另一个系统，或一些特征可以忽略，或不执行。另外，所显示或讨论的各组成部分相互之间的耦合、或直接耦合、或通信连接可以是通过一些接口，设备或单元的间接耦合或通信连接，可以是电性的、机械的或其它形式的。

上述作为分离部件说明的单元可以是、或也可以不是物理上分开的，作为单元显示的部件可以是、或也可以不是物理单元，即可以位于一个地方，也可以分布到多个网络单元上；可以根据实际的需要选择其中的部分或全部单元来实现本实施例方案的目的。

另外，在本发明各实施例中的各功能单元可以全部集成在一个处理模块中，也可以是各单元分别单独作为一个单元，也可以两个或两个以上单元集成在一个单元中；上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能单元的形式实现。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：移动存储设备、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。

Claims (20)

1.一种公钥基础设施的公钥处理方法，其特征在于，包括：

获取公钥；

确定所述公钥的状态标志；

生成包括所述公钥及所述状态标志及账号标识的区块链证书；

将所述区块链证书广播到区块链网络，其中，所述区块链证书，用于在通过所述区块链网络验证之后写入区块链的区块中。

2.根据权利要求1所述的方法，其特征在于，

所述获取公钥，包括：

用户终端根据私钥生成所述公钥，或，获取用户终端运行的区块链用户账号的公钥，或，所述用户终端本地查询所述公钥。

3.根据权利要求1或2所述的方法，其特征在于，

所述方法还包括：

利用所述区块链用户账号的私钥对所述区块链证书进行签名；

所述将所述区块链证书广播到区块链网络，包括：

将签名后的所述区块链证书广播给所述区块链网络。

4.根据权利要求1或2所述的方法，其特征在于，

所述确定所述公钥的状态标志，包括：

当申请或更新所述区块链证书时，生成表征所述区块链证书有效的有效标识；其中，所述有效标识，用于指示所述区块链证书中的所述公钥有效；

当撤销所述区块链证书时，生成表征所述区块链证书无效的无效标识。

5.根据权利要求1或2所述的方法，其特征在于，

所述区块链证书还包括：所述公钥的有效期及账号标识类型的至少其中之一。

6.根据权利要求1或2所述的方法，其特征在于，

所述方法还包括：

接收所述区块链网络基于所述账号标识返回的第一验证信息；

基于所述第一验证信息向所述区块链网络发送第二验证信息；

其中，所述第二验证信息，用于供所述区块链网络确定所述区块链证书是否通过验证。

7.一种公钥基础设施的公钥处理方法，包括：

接收用户终端广播的区块链证书，其中，所述区块链证书，包括：公钥、状态标识及账号标识；

对所述区块链证书进行验证；

当所述区块链证书验证通过时，生成一个包括所述区块链证书的区块链的区块。

8.根据权利要求7所述的方法，其特征在于，

所述对所述区块链证书进行验证，包括：

根据所述账号标识，向所述账号标识对应的账号发送第一验证信息；

接收基于所述第一验证信息返回的第二验证信息；

基于所述第二验证信息，确定所述区块链证书是否通过验证。

9.根据权利要求7或8所述的方法，其特征在于，

所述当所述区块链证书验证通过时，生成一个包括所述区块链证书的区块链的区块，还包括：

当所述区块链证书为区块链证书更新或撤销请求时，提取所述账号标识；

查询区块链，确定所述区块链中是否存在有包括所述账号标识的区块链证书；

当确定出所述区块链中存在有包括所述账号标识的区块链证书时，在所述区块链添加更新或撤销所述区块链证书的区块。

10.根据权利要求7或8所述的方法，其特征在于，

所述方法还包括：

接收携带有所述账号标识的公钥查询请求；

根据所述账号标识查询所述区块链，确定出存储有所述账号标识的区块链证书；

将所述区块链证书中的公钥发送给查询端。

11.一种公钥基础设施的公钥处理装置，其特征在于，包括：

获取单元，用于获取公钥；

第一确定单元，用于确定所述公钥的状态标志；

第一生成单元，用于生成包括所述公钥及所述状态标志及账号标识的区块链证书；

广播单元，用于将所述区块链证书广播到区块链网络，其中，所述区块链证书，用于在通过所述区块链网络验证之后写入区块链的区块中。

12.根据权利要求11所述的装置，其特征在于，

所述获取单元，用于根据私钥生成所述公钥，或，获取用户终端运行的区块链用户账号的公钥，或，所述用户终端本地查询所述公钥。

13.根据权利要求11或12所述的装置，其特征在于，

所述装置还包括：

签名单元，用于利用所述区块链用户账号的私钥对所述区块链证书进行签名；

所述广播单元，还用于将签名后的所述区块链证书广播给所述区块链网络。

14.根据权利要求11或12所述的装置，其特征在于，

所述第一确定单元，具体用于当申请或更新所述区块链证书时，生成表征所述区块链证书有效的有效标识；其中，所述有效标识，用于指示所述区块链证书中的所述公钥有效；

当撤销所述区块链证书时，生成表征所述区块链证书无效的无效标识。

15.根据权利要求11或12所述的装置，其特征在于，

所述区块链证书还包括：所述公钥的有效期及账号标识类型的至少其中之一。

16.根据权利要求11或12所述的装置，其特征在于，

所述装置还包括：

第一接收单元，用于接收所述区块链网络基于所述账号标识返回的第一验证信息；

第一发送单元，用于基于所述第一验证信息向所述区块链网络发送第二验证信息；

其中，所述第二验证信息，用于供所述区块链网络确定所述区块链证书是否通过验证。

17.一种公钥基础设施的公钥处理装置，包括：

第二接收单元，用于接收用户终端广播的区块链证书，其中，所述区块链证书，包括：公钥、状态标识及账号标识；

验证单元，用于对所述区块链证书进行验证；

第二生成单元，用于当所述区块链证书验证通过时，生成一个包括所述区块链证书的区块链的区块。

18.根据权利要求17所述的装置，其特征在于，

所述验证单元，具体用于根据所述账号标识，向所述账号标识对应的账号发送第一验证信息；接收基于所述第一验证信息返回的第二验证信息；基于所述第二验证信息，确定所述区块链证书是否通过验证。

19.根据权利要求17或18所述的装置，其特征在于，

所述第二生成单元，具体用于当所述区块链证书为区块链证书更新或撤销请求时，提取所述账号标识；查询区块链，确定所述区块链中是否存在有包括所述账号标识的区块链证书；当确定出所述区块链中存在有包括所述账号标识的区块链证书时，在所述区块链添加更新或撤销所述区块链证书的区块。

20.根据权利要求17或18所述的装置，其特征在于，

所述第二接收单元，用于接收携带有所述账号标识的公钥查询请求；

所述装置还包括：

第二确定单元，用于根据所述账号标识查询所述区块链，确定出存储有所述账号标识的区块链证书；

所述装置还包括：

第二发送单元，用于将所述区块链证书中的公钥发送给查询端。