CN108696358A - 数字证书的管理方法、装置、可读存储介质及服务终端 - Google Patents

Abstract

本发明提供一种数字证书的管理方法、装置、计算机可读存储介质及服务终端。该方法包括：获取第二节点在区块链网络上发布的数字证书状态发布请求，其中第一节点和所述第二节点为所述区块链网络上的任意两个节点；对所述数字证书状态发布请求进行验证；当验证通过时，建立与所述数字证书状态对应的区块链信息，其中所述区块链信息中记录所述数字证书状态发布请求所发布数字证书的摘要信息和所发布数字证书的状态信息；向所述区块链网络上除所述第一节点外的其他节点发布所述区块链信息。本发明能够解决现有技术通过CA中心实现的数字证书系统，容易遭受攻击从而影响整个系统运行的问题。

Description

数字证书的管理方法、装置、可读存储介质及服务终端

技术领域

本发明涉及网络安全领域，尤其是指一种数字证书的管理方法、装置、计算机可读存储介质及服务终端。

背景技术

PKI(Public Key Infrastructure，公钥基础设施)在信息安全领域扮演着非常重要的角色，广泛应用于数据加解密、数据完整性保护、数字签名、身份认证等多种场合。

数字证书是实现上述各种安全功能的重要载体，数字证书中包含证书持有者的信息、证书签发机构的信息、持有者的公钥、证书有效期、证书用途、证书签发机构对该数字证书的签名等信息。现有技术中数字证书通常由CA(认证机构)签发，CA是PKI的核心，是一个权威的、可信任的、公正的第三方机构，负责验证用户申请信息的可信性。然而，处于核心的CA极易遭受攻击，当一CA被控制时，则可以利用该CA机构随意签发证书，因此一旦某个CA被破坏，那么该CA签发的所有证书都不再安全，不能继续使用。

因此，现有技术中该种通过CA中心实现的数字证书系统，无法保证数字证书的安全性，容易遭受攻击从而影响整个系统的运行。

发明内容

本发明技术方案的目的是提供一种数字证书的管理方法、装置、计算机可读存储介质及服务终端，用于解决现有技术通过CA中心实现的数字证书系统，容易遭受攻击从而影响整个系统运行的问题。

本发明提供一种数字证书的管理方法，应用于第一节点，其中，所述方法包括：

获取第二节点在区块链网络上发布的数字证书状态发布请求，其中所述第一节点和所述第二节点为所述区块链网络上的任意两个节点；

对所述数字证书状态发布请求进行验证；

当验证通过时，建立与所述数字证书状态对应的区块链信息，其中所述区块链信息中记录所述数字证书状态发布请求所发布数字证书的摘要信息和所发布数字证书的状态信息；

向所述区块链网络上除所述第一节点外的其他节点发布所述区块链信息。

优选地，所述数字证书的管理方法，其中，所述建立与所述数字证书状态发布请求对应的区块链信息的步骤中，所建立的所述区块链信息中记录的摘要信息包括所发布数字证书的名称信息和公钥信息。

优选地，所述数字证书的管理方法，其中，所述建立与所述数字证书状态对应的区块链信息的步骤包括：

生成一区块，在所述区块中记录所述数字证书状态发布请求所发布数字证书的摘要信息和所发布数字证书的状态信息。

优选地，所述数字证书的管理方法，其中，所述获取第二节点在区块链网络上发布的数字证书状态发布请求的步骤中，所述数字证书状态发布请求为数字证书申请请求，所述数字证书申请请求包括所申请的数字证书，其中所述数字证书由所述第二节点生成；

其中所述对所述数字证书状态发布请求进行验证的步骤包括：

获取所申请数字证书的名称信息和公钥信息；

判断所述区块链网络上是否存在与所申请数字证书的名称信息或公钥信息相同的数字证书；

当存在时，则确定所述数字证书状态发布请求验证不通过；

当不存在，且所述数字证书状态发布请求中不包括用户身份验证信息时，则确定所述数字证书状态发布请求验证通过。

优选地，所述数字证书的管理方法，其中，所述数字证书状态发布请求还包括用户身份验证信息，其中当判断所述区块链网络上不存在与所申请数字证书的名称信息或公钥信息相同的数字证书的步骤之后，所述方法还包括：

根据所述用户身份验证信息对用户身份进行验证，当验证通过时，则确定所述数字证书状态发布请求验证通过。

优选地，所述数字证书的管理方法，其中，所述获取第二节点在区块链网络上发布的数字证书状态发布请求的步骤中，所述数字证书状态发布请求为数字证书吊销请求、数字证书挂起请求或者数字证书恢复请求，分别包括所请求数字证书的证书信息和用户身份验证信息；

其中所述对所述数字证书状态发布请求进行验证的步骤包括：

根据所述用户身份验证信息对用户身份进行验证，当验证通过时，则确定所述数字证书状态发布请求验证通过。

优选地，所述数字证书的管理方法，其中，所述向所述区块链网络上除所述第一节点外的其他节点发布所述区块链信息的步骤之后，所述方法还包括：

获取区块链网络上的第三节点发布的数字证书验证请求，所述数字证书验证请求中包括待验证数字证书；

对所述数字证书验证请求中的待验证数字证书进行验证，获得验证结果；

向所述第三节点反馈所述验证结果。

优选地，所述数字证书的管理方法，其中，所述对所述数字证书验证请求中的待验证数字证书进行验证，获得验证结果的步骤包括：

判断所存储的区块链信息中是否存在所述待验证数字证书的区块链信息；

当存在所述区块链信息时，确定相对应所述区块链信息中所记录的摘要信息和状态信息；

当相对应所述区块链信息中最后一次记录的状态信息为“正常”时，则获得待验证数字证书为合法证书的验证结果；

当相对应所述区块链信息中最后一次记录的状态信息为“吊销”或“挂起”时，则获得待验证数字证书并非为合法证书的验证结果；

当判断不存在所述区块链信息时，向所述区块链网络发送证书查询请求，其中所述证书查询请求中包括待验证数字证书的摘要信息，由所述区块链网络上的其他节点根据所述待验证数字证书的摘要信息对所述待验证数字证书进行验证，获得验证结果。

优选地，所述数字证书的管理方法，其中，所述方法还包括：

生成待申请数字证书，其中所述待申请数字证书中包括一扩展项，用于记录所述待申请数字证书所属区块链网络的标识；

向所述区块链网络发送包括所述待申请数字证书的数字证书申请请求。

优选地，所述数字证书的管理方法，其中，所述方法还包括：

接收所述区块链网络上第四节点发送的区块链信息；

当验证第四节点发送的区块链信息为正确信息时，保存所述第四节点发送的区块链信息。

本发明还提供一种数字证书的管理装置，应用于第一节点，其中，所述装置包括：

第一请求获取模块，用于获取第二节点在区块链网络上发布的数字证书状态发布请求，其中所述第一节点和所述第二节点为所述区块链网络上的任意两个节点；

第一验证模块，用于对所述数字证书状态发布请求进行验证；

信息建立模块，用于当验证通过时，建立与所述数字证书状态对应的区块链信息，其中所述区块链信息中记录所述数字证书状态发布请求所发布数字证书的摘要信息和所发布数字证书的状态信息；

信息发布模块，用于向所述区块链网络上除所述第一节点外的其他节点发布所述区块链信息。

优选地，所述数字证书的管理装置，其中，所述信息建立模块所建立的所述区块链信息中记录的摘要信息包括所发布数字证书的名称信息和公钥信息。

优选地，所述数字证书的管理装置，其中，所述信息建立模块包括：

区块生成单元，用于生成一区块，在所述区块中记录所述数字证书状态发布请求所发布数字证书的摘要信息和所发布数字证书的状态信息。

优选地，所述数字证书的管理装置，其中，所述第一请求获取模块所获取的数字证书状态发布请求为数字证书申请请求，所述数字证书申请请求包括所申请的数字证书，其中所述数字证书由所述第二节点生成；

其中所述第一验证模块包括：

第一获取单元，用于获取所申请数字证书的名称信息和公钥信息；

第一判断单元，用于判断所述区块链网络上是否存在与所申请数字证书的名称信息或公钥信息相同的数字证书；

第一确定单元，用于当所述第一判断单元判断所述区块链网络上存在与所申请数字证书的名称信息或公钥信息相同的数字证书时，则确定所述数字证书状态发布请求验证不通过；

第二确定单元，用于当所述第一判断单元判断所述区块链网络上不存在与所申请数字证书的名称信息或公钥信息相同的数字证书时，且所述数字证书状态发布请求中不包括用户身份验证信息时，则确定所述数字证书状态发布请求验证通过。

优选地，所述数字证书的管理装置，其中，所述数字证书状态发布请求还包括用户身份验证信息，其中所述第一验证模块还包括：

第三确定单元，用于当所述第一判断单元判断所述区块链网络上不存在与所申请数字证书的名称信息或公钥信息相同的数字证书，且根据所述用户身份验证信息对用户身份进行验证，当验证通过时，则确定所述数字证书状态发布请求验证通过。

优选地，所述数字证书的管理装置，其中，所述第一请求获取模块所获取的数字证书状态发布请求为数字证书吊销请求、数字证书挂起请求或者数字证书恢复请求，分别包括所请求数字证书的证书信息和用户身份验证信息；

其中所述第一验证模块包括：

身份验证单元，用于根据所述用户身份验证信息对用户身份进行验证，当验证通过时，则确定所述数字证书状态发布请求验证通过。

优选地，所述数字证书的管理装置，其中，所述管理装置还包括：

第二请求获取模块，用于获取区块链网络上的第三节点发布的数字证书验证请求，所述数字证书验证请求中包括待验证数字证书；

第二验证模块，用于对所述数字证书验证请求中的待验证数字证书进行验证，获得验证结果；

结果反馈模块，用于向所述第三节点反馈所述验证结果。

优选地，所述数字证书的管理装置，其中，所述第二验证模块包括：

第二判断单元，用于判断所存储的区块链信息中是否存在所述待验证数字证书的区块链信息；

第四确定单元，用于当所述第二判断单元判断所存储的区块链信息中存在所述待验证数字证书的区块链信息时，确定相对应所述区块链信息中所记录的摘要信息和状态信息；

第一结果判定单元，用于当相对应所述区块链信息中最后一次记录的状态信息为“正常”时，则获得待验证数字证书为合法证书的验证结果；

第二结果判定单元，用于当相对应所述区块链信息中最后一次记录的状态信息为“吊销”或“挂起”时，则获得待验证数字证书并非为合法证书的验证结果；

查询请求发送单元，用于当判断不存在所述区块链信息时，向所述区块链网络发送证书查询请求，其中所述证书查询请求中包括待验证数字证书的摘要信息，由所述区块链网络上的其他节点根据所述待验证数字证书的摘要信息对所述待验证数字证书进行验证，获得验证结果。

优选地，所述数字证书的管理装置，其中，所述管理装置还包括：

数字证书生成模块，用于生成待申请数字证书，其中所述待申请数字证书中包括一扩展项，用于记录所述待申请数字证书所属区块链网络的标识；

申请请求发送模块，用于向所述区块链网络发送包括所述待申请数字证书的数字证书申请请求。

优选地，所述数字证书的管理装置，其中，所述管理装置还包括：

区块链接收模块，用于接收所述区块链网络上第四节点发送的区块链信息；

保存模块，用于当验证第四节点发送的区块链信息为正确信息时，保存所述第四节点发送的区块链信息。

本发明还提供一种计算机可读存储介质，包括与一服务终端结合使用的计算机程序，所述计算机程序可被处理器执行如上任一项所述数字证书的管理方法。

本发明还提供一种服务终端，包括处理器和存储器，所述处理器用于读取存储器中的程序，执行如上任一项所述数字证书的管理方法中的步骤。

本发明的一个或多个实施例至少具有以下有益效果：

所述管理方法和装置中，由多个节点构成区块链网络，由所有参与验证的节点共同确保数字证书的正确性，即便某验证节点出现故障或者遭受攻击，也不会破坏数字证书的正确性，因此能够解决现有技术通过CA中心实现数字证书系统，存在无法保证数字证书的安全性，容易遭受攻击从而影响整个系统的运行的问题。另外，在所建立的区块链信息中记录数字证书的摘要信息，并非为记录完整的数字证书，这样可以有效减少区块链的存储空间，并避免记录完整的数字证书时，造成用户的隐私信息容易曝露的问题。

附图说明

图1为采用本发明实施例所述数字证书的管理方法的系统构成架构图；

图2为本发明实施例一所述数字证书的管理方法的流程示意图；

图3为本发明实施例二所述数字证书的管理方法的流程示意图；

图4为图3中步骤S320的其中一实施例的流程示意图；

图5为图3中步骤S320的另一实施例的流程示意图；

图6为本发明实施例所述管理方法中，所生成区块的结构示意图；

图7为本发明实施例三所述数字证书的管理方法的流程示意图；

图8为本发明实施例四所述数字证书的管理方法的流程示意图；

图9为本发明实施例五所述数字证书的管理装置的整体结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明实施例所述数字证书的管理方法，无需第三方CA机构，也即无中心CA节点，利用多个节点构成区块链网络即能够实现数字证书的管理，因此能够解决现有技术通过CA中心实现数字证书系统，存在无法保证数字证书的安全性，容易遭受攻击从而影响整个系统的运行的问题。

为清楚说明本发明实施例所述数字证书的管理方法的过程和原理，先对采用本发明实施例所述管理方法的系统架构进行说明。参阅图1所示，多个节点构成区块链网络，其中在整个架构中，从实现所述管理方法的逻辑功能上划分，其中的部分节点形成为验证节点：用于验证数字证书的合法性，产生新区块；部分节点形成为证书实体用户，也即为数字证书的拥有者；部分节点形成为证书依赖方，也即为数字证书的使用者。

当然，在具体实施中，验证节点也可以形成为证书实体用户或者证书依赖方，证书实体用户也可以形成为验证节点或者证书依赖方，以及证书依赖方也可以形成为验证节点或者证书实体用户。

实施例一

在上述架构基础上，本发明实施例一所述数字证书的管理方法，应用于图1所示区块链网络的第一节点(其中第一节点为任一节点)，如图2所示，所述管理方法包括步骤：

S210，获取第二节点在区块链网络上发布的数字证书状态发布请求，其中所述第一节点和所述第二节点为所述区块链网络上的任意两个节点；

S220，对所述数字证书状态发布请求进行验证；

S230，当验证通过时，建立与所述数字证书状态对应的区块链信息，其中所述区块链信息中记录所述数字证书状态发布请求所发布数字证书的摘要信息和所发布数字证书的状态信息；

S240，向所述区块链网络上除所述第一节点外的其他节点发布所述区块链信息。

本发明实施例所述数字证书的管理方法，由多个节点构成区块链网络，执行本发明实施例所述管理方法的节点可以为区块链网络的任一节点，每一节点均可以形成为验证节点、证书实体用户和证书依赖方，因此当其中一节点在区块链网络上申请数字证书或申请数字证书状态变更时，其他任一节点可以作为验证节点，对数字证书的合法性进行验证，将合法的数字证书加入区块链网络中。

因此该管理方法不依赖第三方CA机构，无中心节点，由所有参与验证的节点共同确保数字证书的正确性，即便某验证节点出现故障或者遭受攻击，也不会破坏数字证书的正确性，不会影响系统的正常运行，因此能够解决现有技术通过CA中心实现数字证书系统，存在无法保证数字证书的安全性，容易遭受攻击从而影响整个系统的运行的问题。

本发明实施例的另一方面，当第一节点作为验证节点，对数字证书状态发布请求验证通过时，在所建立的区块链信息中记录数字证书的摘要信息，并非为记录完整的数字证书，这样可以有效减少区块链的存储空间，并避免记录完整的数字证书时，造成用户的隐私信息容易曝露的问题。

较佳地，在步骤S230中，所述区块链信息中记录的摘要信息包括所发布数字证书的名称信息和公钥信息，通过记录数字证书的名称信息和公钥信息，使所记录的不同数字证书的名称和公钥分别不同，以进行区分。

另外，在步骤S230中，建立与所述数字证书状态对应的区块链信息的步骤包括：

生成一区块，在所述区块中记录所述数字证书状态发布请求所发布数字证书的摘要信息和所发布数字证书的状态信息。

本发明实施例中，所述数字证书状态发布请求为数字证书申请请求、数字证书吊销请求、数字证书挂起请求或者数字证书恢复请求，以下将对上述每一请求中的具体过程详细说明。

实施例二

本发明实施例二所述数字证书的管理方法，应用于图1所示区块链网络的第一节点(其中第一节点为任一节点)，如图3所示，所述管理方法包括步骤：

S310，获取第二节点在区块链网络上发布的数字证书申请请求；

具体地，数字证书申请请求中包括所申请的数字证书，由第二节点生成，参阅图1，该第二节点用户构成为证书实体用户。其中第二节点生成数字证书时可以采用现有通用国际标准格式，如为标准的X.509数字证书，且在所生成数字证书中加入数字证书所属区块链网络的标识，用于标记该证书基于区块链产生和使用，另外第二节点还存储与所述数字证书相对应的私钥。

进一步地，若第二节点申请的为个人匿名证书，则数字证书申请请求中无需提交用户身份验证信息；若第二节点申请的为个人实名证书、服务器证书或者其他有归属身份证书时，则需要在数字证书申请请求中同时提供用户身份验证信息。具体地，当第二节点申请的为个人实名证书时，所需要提交的用户身份验证信息包括身份证、社保卡和/或银行帐号等；当第二节点申请的为服务器证书时，则需要提交用于证实服务器归属的信息，如域名归属和/或IP归属等信息。

因此，基于上述，采用本发明实施例所述管理方法，可以由区块链网络中的任一节点生成数字证书，并非由CA中心产生。

S320，对数字证书状态发布请求进行验证；

参阅图4，当数字证书状态发布请求中包括数字证书，不包括用户身份验证信息时，本发明实施例对数字证书状态发布请求进行验证的其中一实施例，具体地步骤S320包括：S3211，获取数字证书状态发布请求中所申请数字证书的名称信息和公钥信息；

S3212，判断区块链网络上是否存在与所申请数字证书的名称信息或公钥信息相同的数字证书；当存在时，执行步骤S3213，当不存在时，执行步骤S3214；

S3213，确定数字证书状态发布请求验证不通过；

S3214，确定数字证书状态发布请求验证通过。

通过上述的步骤S3212，当判断区块链网络上存在与所申请数字证书的名称信息或者公钥信息相同的数字证书时，则确定验证不通过，拒绝数字证书申请请求，以保证第二节点所申请数字证书的名称摘要不能与区块链网络中其他节点数字证书的名称摘要相同，同时公钥摘要也不能与区块链网络中其他节点数字证书的公钥摘要相同。

进一步，本发明实施例对数字证书状态发布请求进行验证的另一实施例，参阅图5，当数字证书状态发布请求中既包括数字证书，也包括用户身份验证信息时，具体地步骤S320包括：

S3221，获取数字证书状态发布请求中所申请数字证书的名称信息和公钥信息；

S3222，判断区块链网络上是否存在与所申请数字证书的名称信息或公钥信息相同的数字证书；当存在时，执行步骤S3223，当不存在时，执行步骤S3224；

S3223，确定数字证书状态发布请求验证不通过；

S3224，根据数字证书状态发布请求中的用户身份验证信息对用户身份进行验证，当验证不通过时，执行步骤S3225，当验证通过时，执行步骤S3226；

S3225，确定数字证书状态发布请求验证不通过；

S3226，确定数字证书状态发布请求验证通过。

通过上述的步骤，不但实现对数字证书申请请求中数字证书的验证，还实现对第二节点用户身份的验证。

基于上述，在步骤S320之后，当获得验证通过的验证结果时，进一步执行步骤S330，建立与所述数字证书状态对应的区块链信息，通过该区块链信息记录所申请数字证书的名称摘要和公钥摘要，以及数字证书的状态信息，具体地，对于验证通过的申请数字证书，状态信息标记为“正常”。

另外，建立与数字证书状态对应的区块链信息具体为，使用区块链网络中的共识机制生成一区块，通过所生成的区块记录所申请数字证书的名称摘要和公钥摘要(双摘要)，以及数字证书的状态信息。

如图6为本发明实施例所生成区块格式的结构示意图，所生成的区块包括区块头和区块体，其中区块头用于记录区块体的摘要信息以及上一区块头的散列值，区块体用于记录数字证书的名称摘要和公钥摘要，以及数字证书的状态信息。

另外，数字证书的名称摘要和公钥摘要可以采用Hash函数计算，举例如下：

名称摘要：摘要1＝Hash(证书名称，例如证书Subject字段)；

公钥摘要：摘要2＝Hash(证书公钥)。

此外，生成区块的共识机制可以采用现有的PoW(Proof of Work，工作量证明)、PoS(Proof of Stake，权益证明)、RPCA(Ripple Consensus Algorithm，一致性算法)等。

本领域技术人员应该能够了解上述名称摘要和公钥摘要的计算获得方式，以及利用公识机制生成区块的方式，在此不详细说明。

参阅图3，在步骤S330之后，所述方法还包括：

S340，向区块链网络上发布所生成的区块链信息，也即发布所生成的区块。

在步骤S340之后，当区块链网络上的其他验证节点接收到第一节点发布的区块后，验证区块以及区块中每条记录的正确性，如果正确，则将区块加入到本地保存的区块链信息中，否则丢弃该区块。

基于上述的步骤S310至S340，验证节点能够实现对证书申请请求的签发流程。

实施例三

本发明实施例三所述数字证书的管理方法，应用于图1所示区块链网络的第一节点，具体地，如图7所示，所述管理方法包括步骤：

S710，获取第二节点在区块链网络上发布的数字证书吊销请求、数字证书挂起请求或者数字证书恢复请求；

具体地，所接收的数字证书吊销请求、数字证书挂起请求或者数字证书恢复请求分别包括所请求数字证书的证书信息和用于证实所请求用户身份的用户身份验证信息。

S720，根据所接收的数字证书吊销请求、数字证书挂起请求或者数字证书恢复请求中的用户身份验证信息，对用户身份进行验证，当验证不通过时，执行步骤S730，当验证通过时，执行步骤S740；

S730，忽略所接收的数字证书吊销请求、数字证书挂起请求或者数字证书恢复请求；

S740，建立区块链信息，其中区块链信息中记录所请求数字证书的摘要信息和状态信息；

具体地，建立区块链信息具体为，使用区块链网络中的共识机制生成一区块，通过所生成的区块记录所请求数字证书的名称摘要和公钥摘要(双摘要)，以及数字证书的状态信息。其中，所生成区块的结构可以参阅图4所示，且对于数字证书吊销请求，状态信息标记为“吊销”；对于数字证书挂起请求，状态信息标记为“挂起”；对于数字证书恢复请求，状态信息标记为“正常”。

S750，向区块链网络上发生所生成的区块链信息，也即发布所生成的区块。

此外，在步骤S750之后，当区块链网络上的其他验证节点接收到第一节点发布的区块后，验证区块以及区块中每条记录的正确性，如果正确，则将区块加入到本地保存的区块链信息中，否则丢弃该区块。

基于上述的步骤S710至S750，验证节点能够实现对数字证书吊销请求、数字证书挂起请求或者数字证书恢复请求的处理流程。

实施例四

本发明实施例四所述数字证书的管理方法，应用于图1所示区块链网络的第一节点时，该第一节点还用于在数字证书使用过程中，作为证书依赖方，用于接收证书实体用户所提交的待验证数字证书，验证数字证书的合法性和有效性。

具体地，如图8所示，实施例四所述管理方法包括步骤：

S810，获取区块链网络上的第三节点(证书实体用户)发布的数字证书验证请求，其中数字证书验证请求中包括待验证数字证书；

具体地，采用本发明实施例所述管理方法，根据实施例一，由于在生成数字证书时加入了数字证书所属区块链网络的标识，因此当所接收的待验证数字证书中包括区块链网络的标识时，可以确定需要基于区块链网络对待验证数字证书进行验证；当所接收的待验证数字证书中不包括区块链网络的标识时，则按照传统方式进行验证。本领域技术人员应该能够了解传统方式的验证过程，该技术并非为本发明的改进重点，在此不详细描述。

因此，在步骤S810中，获取数字证书验证请求之后，需要解析数字证书验证请求中的待验证数字证书，判断是否存在数字证书所属区块链网络的标识，当存在该标识时，执行步骤S820。

S820，对数字证书验证请求中的待验证数字证书进行验证，获得验证结果；

具体地，对待验证数字证书进行验证的过程包括：

判断所存储的区块链信息中是否存在待验证数字证书的区块链信息；

当存在区块链信息时，确定相对应区块链信息中所记录的摘要信息和状态信息；

当相对应区块链信息中最后一次记录的状态信息为“正常”时，则获得待验证数字证书为合法证书的验证结果；

当相对应区块链信息中最后一次记录的状态信息为“吊销”或“挂起”时，则获得待验证数字证书并非为合法证书的验证结果；

当判断不存在区块链信息时，向区块链网络发送证书查询请求，其中证书查询请求中包括待验证数字证书的摘要信息，由区块链网络上的其他节点根据待验证数字证书的摘要信息对所述待验证数字证书进行验证，获得验证结果。

本发明实施四所述所述数字证书的管理方法，通过上述的步骤，可以使第一节点作为证书依赖方，用于实现对证书实体用户所提交数字证书的验证，以上仅以数字证书的状态验证过程进行了说明，当然可以理解的是，数字证书的验证过程还需要根据证书的有效期对证书有效性进行验证，本领域技术人员基于上述的原理，应该能够了解对证书有效性的验证过程，在此不作详细说明。

本发明实施例所述管理方法，应用于第一节点时，第一节点除可以作为验证节点和证书依赖方之外，还可以作为证书实体用户，向验证节点发送数字证书申请请求，因此所述管理方法还可以包括：

生成待申请数字证书，其中所述待申请数字证书中包括一扩展项，用于记录所述待申请数字证书所属区块链网络的标识；

向所述区块链网络发送包括所述待申请数字证书的数字证书申请请求。

利用上述的过程，生成待申请数字证书，其中包括用于记录所述待申请数字证书所属区块链网络的标识的扩展项，以标记该数字证书为基于区块链产生和使用。

另一方面，第一节点也可以接收区块链网络上其他验证节点发送的区块链信息，以用于区块链网络上区块链信息的更新，因此所述管理方法还包括：

接收所述区块链网络上第四节点发送的区块链信息；

当验证第四节点发送的区块链信息为正确信息时，保存所述第四节点发送的区块链信息。

采用上述步骤，实现整个区块链网络上每一节点位置的区块链信息的更新。

采用本发明实施例所述数字证书的管理方法，区块链网络上的每一节点可以分别执行作为验证节点、证书实体用户和证书依赖方的流程，实现对应的功能，基于上述对第一节点应用本发明实施例所述管理方法的描述，本领域技术人员应该能够了解每一节点分别执行其中任一流程时的具体方式。

采用本发明实施例所述管理方法，用户在使用PKI技术时，无需向第三方CA申请证书，也无需部署CA设备，只需要加入区块链网络即能够实现证书服务；由所有参与验证的节点共同确保数字证书的正确性，即便某验证节点出现故障或者遭受攻击，也不会破坏数字证书的正确性，不会影响系统的正常运行，因此能够解决现有技术通过CA中心实现数字证书系统，存在无法保证数字证书的安全性，容易遭受攻击从而影响整个系统的运行的问题。

另外，由于区块链信息中仅需要记录摘要信息，因此所占用空间小，每一数字证书仅需要数百字节存储空间，而且能够保证用户隐私性，避免出现证书重名或者公钥相同的情况。

实施例五

本发明实施五提供一种数字证书的管理装置，应用于第一节点，参阅图9所示，所述装置100包括：

第一请求获取模块，用于获取第二节点在区块链网络上发布的数字证书状态发布请求，其中所述第一节点和所述第二节点为所述区块链网络上的任意两个节点；

第一验证模块，用于对所述数字证书状态发布请求进行验证；

信息建立模块，用于当验证通过时，建立与所述数字证书状态对应的区块链信息，其中所述区块链信息中记录所述数字证书状态发布请求所发布数字证书的摘要信息和所发布数字证书的状态信息；

信息发布模块，用于向所述区块链网络上除所述第一节点外的其他节点发布所述区块链信息。

采用本发明实施例所述管理装置，不依赖第三方CA机构，无中心节点，由所有参与验证的节点共同确保数字证书的正确性，即便某验证节点出现故障或者遭受攻击，也不会破坏数字证书的正确性，因此能够解决现有技术通过CA中心实现数字证书系统，存在无法保证数字证书的安全性，容易遭受攻击从而影响整个系统的运行的问题。

另外，对数字证书状态发布请求验证通过时，在所建立的区块链信息中记录数字证书的摘要信息，并非为记录完整的数字证书，这样可以有效减少区块链的存储空间，并避免记录完整的数字证书时，造成用户的隐私信息容易曝露的问题。

本发明实施例中，具体地，所述信息建立模块所建立的所述区块链信息中记录的摘要信息包括所发布数字证书的名称信息和公钥信息。

参阅图9所示，所述信息建立模块包括：

区块生成单元，用于生成一区块，在所述区块中记录所述数字证书状态发布请求所发布数字证书的摘要信息和所发布数字证书的状态信息。

另外，所述第一请求获取模块所获取的数字证书状态发布请求为数字证书申请请求，所述数字证书申请请求包括所申请的数字证书，其中所述数字证书由所述第二节点生成；

其中所述第一验证模块包括：

第一获取单元，用于获取所申请数字证书的名称信息和公钥信息；

第一判断单元，用于判断所述区块链网络上是否存在与所申请数字证书的名称信息或公钥信息相同的数字证书；

第一确定单元，用于当所述第一判断单元判断所述区块链网络上存在与所申请数字证书的名称信息或公钥信息相同的数字证书时，则确定所述数字证书状态发布请求验证不通过；

第二确定单元，用于当所述第一判断单元判断所述区块链网络上不存在与所申请数字证书的名称信息或公钥信息相同的数字证书时，且所述数字证书状态发布请求中不包括用户身份验证信息时，则确定所述数字证书状态发布请求验证通过。

结合图9，所述数字证书状态发布请求还包括用户身份验证信息时，其中所述第一验证模块还包括：

第三确定单元，用于当所述第一判断单元判断所述区块链网络上不存在与所申请数字证书的名称信息或公钥信息相同的数字证书，且根据所述用户身份验证信息对用户身份进行验证，当验证通过时，则确定所述数字证书状态发布请求验证通过。

第一节点作为验证节点接收数字证书申请请求时的具体过程可以结合图3至图6，并参阅以上的实施例二的描述，在此不再详细说明。

本发明实施例另一方面，所述第一请求获取模块所获取的数字证书状态发布请求为数字证书吊销请求、数字证书挂起请求或者数字证书恢复请求，分别包括所请求数字证书的证书信息和用户身份验证信息；

如图9所示，所述第一验证模块包括：

身份验证单元，用于根据所述用户身份验证信息对用户身份进行验证，当验证通过时，则确定所述数字证书状态发布请求验证通过。

通过身份验证单元，第一节点作为验证节点接收数字证书吊销请求、数字证书挂起请求或者数字证书恢复请求时对用户身份进行验证，其中具体过程可以结合图7参阅实施例三的描述，在此不再赘述。

进一步如图9所示，所述管理装置还包括：

第二请求获取模块，用于获取区块链网络上的第三节点发布的数字证书验证请求，所述数字证书验证请求中包括待验证数字证书；

第二验证模块，用于对所述数字证书验证请求中的待验证数字证书进行验证，获得验证结果；

结果反馈模块，用于向所述第三节点反馈所述验证结果。

较佳地，所述第二验证模块包括：

第二判断单元，用于判断所存储的区块链信息中是否存在所述待验证数字证书的区块链信息；

第四确定单元，用于当所述第二判断单元判断所存储的区块链信息中存在所述待验证数字证书的区块链信息时，确定相对应所述区块链信息中所记录的摘要信息和状态信息；

第一结果判定单元，用于当相对应所述区块链信息中最后一次记录的状态信息为“正常”时，则获得待验证数字证书为合法证书的验证结果；

第二结果判定单元，用于当相对应所述区块链信息中最后一次记录的状态信息为“吊销”或“挂起”时，则获得待验证数字证书并非为合法证书的验证结果；

查询请求发送单元，用于当判断不存在所述区块链信息时，向所述区块链网络发送证书查询请求，其中所述证书查询请求中包括待验证数字证书的摘要信息，由所述区块链网络上的其他节点根据所述待验证数字证书的摘要信息对所述待验证数字证书进行验证，获得验证结果。

通过上述的结构，第一节点作为证书依赖方，用于接收证书实体用户所提交的待验证数字证书，验证数字证书的合法性和有效性，具体过程可以参阅实施四该部分的描述，在此不再赘述。

较佳地，如图9所示，所述管理装置还包括：

数字证书生成模块，用于生成待申请数字证书，其中所述待申请数字证书中包括一扩展项，用于记录所述待申请数字证书所属区块链网络的标识；

申请请求发送模块，用于向所述区块链网络发送包括所述待申请数字证书的数字证书申请请求。

通过上述的模块，第一节点作为证书实体用户，向验证节点发送数字证书申请请求。

较佳地，所述管理装置还包括：

区块链接收模块，用于接收所述区块链网络上第四节点发送的区块链信息；

保存模块，用于当验证第四节点发送的区块链信息为正确信息时，保存所述第四节点发送的区块链信息。

通过上述的模块，第一节点也可以接收区块链网络上其他验证节点发送的区块链信息，以用于区块链网络上区块链信息的更新。

本发明实施例所述数字证书的管理装置，能够解决现有技术通过CA中心实现数字证书系统，存在无法保证数字证书的安全性，容易遭受攻击从而影响整个系统的运行的问题；并且通过采用在所建立的区块链信息中记录数字证书的摘要信息，并非为记录完整的数字证书的方式，有效减少区块链的存储空间，并避免记录完整的数字证书时，造成用户的隐私信息容易曝露的问题。

本发明实施例另一方面提供一种计算机可读存储介质，包括与一服务终端结合使用的计算机程序，所述计算机程序可被处理器执行如上所述数字证书的管理方法。

另外，本发明实施例还提供一种服务终端，包括处理器和存储器，所述处理器用于读取存储器中的程序，执行如上所述数字证书的管理方法中的步骤。

基于本发明具体实施例所述管理方法的具体描述，本领域技术人员应该能够了解上述计算机可读存储介质和服务终端的具体实现方式，在此不再赘述。

以上所述的是本发明的优选实施方式，应当指出对于本技术领域的普通人员来说，在不脱离本发明所述的原理前提下还可以作出若干改进和润饰，这些改进和润饰也在本发明的保护范围内。

Claims (22)

1.一种数字证书的管理方法，应用于第一节点，其特征在于，所述方法包括：

获取第二节点在区块链网络上发布的数字证书状态发布请求，其中所述第一节点和所述第二节点为所述区块链网络上的任意两个节点；

对所述数字证书状态发布请求进行验证；

当验证通过时，建立与所述数字证书状态对应的区块链信息，其中所述区块链信息中记录所述数字证书状态发布请求所发布数字证书的摘要信息和所发布数字证书的状态信息；

向所述区块链网络上除所述第一节点外的其他节点发布所述区块链信息。

2.根据权利要求1所述数字证书的管理方法，其特征在于，所述建立与所述数字证书状态发布请求对应的区块链信息的步骤中，所建立的所述区块链信息中记录的摘要信息包括所发布数字证书的名称信息和公钥信息。

3.根据权利要求1所述数字证书的管理方法，其特征在于，所述建立与所述数字证书状态对应的区块链信息的步骤包括：

生成一区块，在所述区块中记录所述数字证书状态发布请求所发布数字证书的摘要信息和所发布数字证书的状态信息。

4.根据权利要求1所述数字证书的管理方法，其特征在于，所述获取第二节点在区块链网络上发布的数字证书状态发布请求的步骤中，所述数字证书状态发布请求为数字证书申请请求，所述数字证书申请请求包括所申请的数字证书，其中所述数字证书由所述第二节点生成；

其中所述对所述数字证书状态发布请求进行验证的步骤包括：

获取所申请数字证书的名称信息和公钥信息；

判断所述区块链网络上是否存在与所申请数字证书的名称信息或公钥信息相同的数字证书；

当存在时，则确定所述数字证书状态发布请求验证不通过；

当不存在，且所述数字证书状态发布请求中不包括用户身份验证信息时，则确定所述数字证书状态发布请求验证通过。

5.根据权利要求4所述数字证书的管理方法，其特征在于，所述数字证书状态发布请求还包括用户身份验证信息，其中当判断所述区块链网络上不存在与所申请数字证书的名称信息或公钥信息相同的数字证书的步骤之后，所述方法还包括：

根据所述用户身份验证信息对用户身份进行验证，当验证通过时，则确定所述数字证书状态发布请求验证通过。

6.根据权利要求1所述数字证书的管理方法，其特征在于，所述获取第二节点在区块链网络上发布的数字证书状态发布请求的步骤中，所述数字证书状态发布请求为数字证书吊销请求、数字证书挂起请求或者数字证书恢复请求，分别包括所请求数字证书的证书信息和用户身份验证信息；

其中所述对所述数字证书状态发布请求进行验证的步骤包括：

根据所述用户身份验证信息对用户身份进行验证，当验证通过时，则确定所述数字证书状态发布请求验证通过。

7.根据权利要求1所述数字证书的管理方法，其特征在于，所述向所述区块链网络上除所述第一节点外的其他节点发布所述区块链信息的步骤之后，所述方法还包括：

获取区块链网络上的第三节点发布的数字证书验证请求，所述数字证书验证请求中包括待验证数字证书；

对所述数字证书验证请求中的待验证数字证书进行验证，获得验证结果；

向所述第三节点反馈所述验证结果。

8.根据权利要求7所述数字证书的管理方法，其特征在于，所述对所述数字证书验证请求中的待验证数字证书进行验证，获得验证结果的步骤包括：

判断所存储的区块链信息中是否存在所述待验证数字证书的区块链信息；

当存在所述区块链信息时，确定相对应所述区块链信息中所记录的摘要信息和状态信息；

当相对应所述区块链信息中最后一次记录的状态信息为“正常”时，则获得待验证数字证书为合法证书的验证结果；

当相对应所述区块链信息中最后一次记录的状态信息为“吊销”或“挂起”时，则获得待验证数字证书并非为合法证书的验证结果；

当判断不存在所述区块链信息时，向所述区块链网络发送证书查询请求，其中所述证书查询请求中包括待验证数字证书的摘要信息，由所述区块链网络上的其他节点根据所述待验证数字证书的摘要信息对所述待验证数字证书进行验证，获得验证结果。

9.根据权利要求1所述数字证书的管理方法，其特征在于，所述方法还包括：

生成待申请数字证书，其中所述待申请数字证书中包括一扩展项，用于记录所述待申请数字证书所属区块链网络的标识；

向所述区块链网络发送包括所述待申请数字证书的数字证书申请请求。

10.根据权利要求1所述数字证书的管理方法，其特征在于，所述方法还包括：

接收所述区块链网络上第四节点发送的区块链信息；

当验证第四节点发送的区块链信息为正确信息时，保存所述第四节点发送的区块链信息。

11.一种数字证书的管理装置，应用于第一节点，其特征在于，所述装置包括：

第一请求获取模块，用于获取第二节点在区块链网络上发布的数字证书状态发布请求，其中所述第一节点和所述第二节点为所述区块链网络上的任意两个节点；

第一验证模块，用于对所述数字证书状态发布请求进行验证；

信息建立模块，用于当验证通过时，建立与所述数字证书状态对应的区块链信息，其中所述区块链信息中记录所述数字证书状态发布请求所发布数字证书的摘要信息和所发布数字证书的状态信息；

信息发布模块，用于向所述区块链网络上除所述第一节点外的其他节点发布所述区块链信息。

12.根据权利要求11所述数字证书的管理装置，其特征在于，所述信息建立模块所建立的所述区块链信息中记录的摘要信息包括所发布数字证书的名称信息和公钥信息。

13.根据权利要求11所述数字证书的管理装置，其特征在于，所述信息建立模块包括：

区块生成单元，用于生成一区块，在所述区块中记录所述数字证书状态发布请求所发布数字证书的摘要信息和所发布数字证书的状态信息。

14.根据权利要求11所述数字证书的管理装置，其特征在于，所述第一请求获取模块所获取的数字证书状态发布请求为数字证书申请请求，所述数字证书申请请求包括所申请的数字证书，其中所述数字证书由所述第二节点生成；

其中所述第一验证模块包括：

第一获取单元，用于获取所申请数字证书的名称信息和公钥信息；

第一判断单元，用于判断所述区块链网络上是否存在与所申请数字证书的名称信息或公钥信息相同的数字证书；

第一确定单元，用于当所述第一判断单元判断所述区块链网络上存在与所申请数字证书的名称信息或公钥信息相同的数字证书时，则确定所述数字证书状态发布请求验证不通过；

第二确定单元，用于当所述第一判断单元判断所述区块链网络上不存在与所申请数字证书的名称信息或公钥信息相同的数字证书时，且所述数字证书状态发布请求中不包括用户身份验证信息时，则确定所述数字证书状态发布请求验证通过。

15.根据权利要求14所述数字证书的管理装置，其特征在于，所述数字证书状态发布请求还包括用户身份验证信息，其中所述第一验证模块还包括：

第三确定单元，用于当所述第一判断单元判断所述区块链网络上不存在与所申请数字证书的名称信息或公钥信息相同的数字证书，且根据所述用户身份验证信息对用户身份进行验证，当验证通过时，则确定所述数字证书状态发布请求验证通过。

16.根据权利要求11所述数字证书的管理装置，其特征在于，所述第一请求获取模块所获取的数字证书状态发布请求为数字证书吊销请求、数字证书挂起请求或者数字证书恢复请求，分别包括所请求数字证书的证书信息和用户身份验证信息；

其中所述第一验证模块包括：

身份验证单元，用于根据所述用户身份验证信息对用户身份进行验证，当验证通过时，则确定所述数字证书状态发布请求验证通过。

17.根据权利要求11所述数字证书的管理装置，其特征在于，所述管理装置还包括：

第二请求获取模块，用于获取区块链网络上的第三节点发布的数字证书验证请求，所述数字证书验证请求中包括待验证数字证书；

第二验证模块，用于对所述数字证书验证请求中的待验证数字证书进行验证，获得验证结果；

结果反馈模块，用于向所述第三节点反馈所述验证结果。

18.根据权利要求17所述数字证书的管理装置，其特征在于，所述第二验证模块包括：

第二判断单元，用于判断所存储的区块链信息中是否存在所述待验证数字证书的区块链信息；

第四确定单元，用于当所述第二判断单元判断所存储的区块链信息中存在所述待验证数字证书的区块链信息时，确定相对应所述区块链信息中所记录的摘要信息和状态信息；

第一结果判定单元，用于当相对应所述区块链信息中最后一次记录的状态信息为“正常”时，则获得待验证数字证书为合法证书的验证结果；

第二结果判定单元，用于当相对应所述区块链信息中最后一次记录的状态信息为“吊销”或“挂起”时，则获得待验证数字证书并非为合法证书的验证结果；

查询请求发送单元，用于当判断不存在所述区块链信息时，向所述区块链网络发送证书查询请求，其中所述证书查询请求中包括待验证数字证书的摘要信息，由所述区块链网络上的其他节点根据所述待验证数字证书的摘要信息对所述待验证数字证书进行验证，获得验证结果。

19.根据权利要求11所述数字证书的管理装置，其特征在于，所述管理装置还包括：

数字证书生成模块，用于生成待申请数字证书，其中所述待申请数字证书中包括一扩展项，用于记录所述待申请数字证书所属区块链网络的标识；

申请请求发送模块，用于向所述区块链网络发送包括所述待申请数字证书的数字证书申请请求。

20.根据权利要求11所述数字证书的管理装置，其特征在于，所述管理装置还包括：

区块链接收模块，用于接收所述区块链网络上第四节点发送的区块链信息；

保存模块，用于当验证第四节点发送的区块链信息为正确信息时，保存所述第四节点发送的区块链信息。

21.一种计算机可读存储介质，包括与一服务终端结合使用的计算机程序，所述计算机程序可被处理器执行如权利要求1至10任一项所述数字证书的管理方法。

22.一种服务终端，包括处理器和存储器，所述处理器用于读取存储器中的程序，执行如权利要求1至10任一项所述数字证书的管理方法中的步骤。