CN108933667B - 一种基于区块链的公钥证书的管理方法及管理系统 - Google Patents

Abstract

本发明实施例提供了一种基于区块链的公钥证书的管理方法，其特征在于，所述方法包括：接收对用户公钥证书的签发请求，其中所述签发请求中包括颁发者的数字签名以及用户信息；利用存储在区块链中的的颁发者公钥证书对所述颁发者的数字签名进行验证；当所述颁发者的数字签名通过验证时，则根据用户信息来签发所述用户对应的用户公钥证书，并将所述用户公钥证书内容添加到所述区块链中，其中所述区块链由多个区块根据产生时间依次链接而成，所述区块包括产生时间、区块哈希值以及所述颁发者公钥证书。本发明实施例还提供了一种基于区块链的公钥证书管理系统。

Description

一种基于区块链的公钥证书的管理方法及管理系统

技术领域

本发明属于公钥管理技术领域，特别涉及一种基于区块链的公钥证书的管理方法及管理系统。

背景技术

传统的公钥证书管理机制安全性完全建立于对颁发机构CA中心(证书授权中心，Certificate Authority)的充分信任基础上。具体说，就是建立在颁发机构私钥的完全保密和安全使用基础上的。一旦该私钥被非法盗取或使用，其安全机制将完全坍塌。如目前颁发机构一般为政府机构、大型企事业单位或第三方机构。这种高度中心化的管理模式已经不能适应当前网络信息安全发展形势的要求。

目前，与民生直接相关且具有CA中心的机构包括银行、医院和第三方认证机构等。如医院的公钥系统主要对患者电子病历等重要文书进行电子签名。现有管理机制下证书颁发者即CA中心具有产生、更换、废止公私钥证书的权限。该体制下可能出现以下几种情形：

1)CA中心管理者非法颁发、更换或废止某个公钥证书。公众或利益相关者无从获知该信息。

2)CA中心的私钥被网络攻击者非法盗取，盗取者可以任意伪造具有法律效力的电子文件，无法验证其真假。

发明内容

有鉴于此，本发明实施例提供了一种基于区块链的公钥证书的管理方法及管理系统。

本发明实施例提供一种基于区块链的公钥证书的管理方法，其特征在于，所述方法包括：

接收对用户公钥证书的签发请求，其中所述签发请求中包括颁发者的数字签名以及用户信息；

利用存储在区块链中的颁发者公钥证书对所述颁发者的数字签名通过共识算法进行验证；

当所述颁发者的数字签名通过验证时，则根据用户信息来签发所述用户对应的用户公钥证书，并将所述用户公钥证书内容添加到所述区块链中，其中所述区块链由多个区块根据产生时间依次链接而成，所述区块包括产生时间、区块哈希值以及所述颁发者公钥证书。

本发明实施例还提供了一种基于区块链的公钥证书管理系统，其特征在于，所述公钥证书管理系统包括：

区块链系统，其中所述区块链系统中包括有至少一个主节点机以及多个从节点机；

所述区块链系统应用执行如上述所述的任一方法

本发明实施例提供基于区块链的公钥证书的管理方法及管理系统，能够去中心化管理用户公钥证书。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例提供的区块链系统的结构框架示意图；

图2是本发明实施例提供的区块链的一种结构示意图；

图3是本发明实施例提供的共识算法验证的过程示意图；

图4是本发明实施例提供的公钥证书的管理方法的一种流程示意图；

图5是本发明实施例提供的公钥证书的管理方法的另一种流程示意图；

图6是本发明实施例提供的公钥证书的管理方法的另一种流程示意图；

图7是本发明实施例提供的公钥证书的管理方法的另一种流程示意图；

图8是本发明实施例提供的公钥证书的管理方法的另一种流程示意图。

具体实施方式

本发明实施例公开描述的于区块链的公钥证书的管理方法及管理系统，是一种去中心化的用于对用户公钥证书的管理。

在下面的说明书以及图1-8中将描述一些细节，以便于本领域的技术人员了解本发明实施例的理解。在其他实例中，通常与本发明实施例的系统，包括一台或者终端或者节点，本发明实施例的节点或者终端，可以是包括但不限于例如、消费电子设备、计算机等。本发明实施例的硬件、软件以及网络系统等相关的已知结构、材质、操作和/或系统，将不再下面的实施例中详细描述，以避免不必要的模糊本技术的各个实施例的描述。然而，本领域技术人员应当知道，本技术能够在不包含本文所述的一个或多个细节的情况下得以实施，或者在具有其他结构、方法、组件等等情况得以实施。

以下使用的术语应当以它最宽泛合理的方式来解释，即便该术语与本技术实施例的某些示例的细节描述一起使用。事实上，某些术语可能甚至会在下文中被强调；然而，旨在以任何限制性方式解释的任何术语将在具体实施例部分被明确限定如此。

附图描述了本技术的实施例，但并不在于限制其保护范围。所描述的各种原件的尺寸不一定按照比例绘制，这些各种元件可能是任一放大的以提高其可识别性。当组件的细节对完整理解如何制作，并使用本发明是不必要的时候，附图中的这些细节可能是抽象的以排除这些细节，例如组件的位置以及这些组件之间的某些精确连接。

在附图中，相同的附图标记识别为相同的元件，或至少大体相似的元件。为了利于一些特殊元件的讨论，一些附图标记的最重要的一个或多个数字指的是该元件首次被引入附图的标号。

本发明实施例的“第一”、“第二”等术语，仅为区别相关技术特征，不表示先后顺序。

为了说明本发明实施例所述的技术方案，下面通过具体实施例来进行说明。

如图1所示的，是本发明实施例提供的一种区块链系统的结构示意图。

本发明实施例的区块链系统包括有至少一台主节点机以及多台从节点机。其中所述多台从节点机为数量不少于3台的计算机、服务器等具有运算能力的电子设备组成。主节点机之间形成联盟链(或者联盟区块链)，从节点机形成所述区块链系统的公有链(或者公有区块链)，其中所述联盟链为对联盟内节点机进行开放，公有链为对所有节点机开放。本发明实施例的联盟链与公有链之间通过网络进行连接，所述联盟链中的主节点机可以向从节点机发送广播消息。

本发明实施例的区块链系统来运行本发明实施例所述的区块链，其中所述区块链由多个区块根据产生时间依次链接而成。如下图2所示的，在所述区块中包括产生时间、区块哈希值以及用户公钥证书内容。在所述区块中，记第i 个用户公钥证书的内容为Zi，对应的时间戳为ti,哈希值为hi。则第i区块记录的内容为Zi+ti+hi。

如图3所示的是本发明实施例基于所述区块链系统还提供的一种示例性的共识算法，来对记录在所述公钥证书中的信息进行验证。图3所示的，仅仅是为了说明本发明实施例基本方案与原理的示例性的实施方案，本发明实施例的保护范围以权力要求为准。

首先接收相应的操作请求，本发明实施例的请求可以是颁发者针对用户公钥证书的请求。如图3所示，以颁发者针对用户公钥证书的签发请求为例，具体的操作如下所述：

<Request,o,t,c>δC。

*o是operation(例如：签发用户公钥证书的签发请求)。

*t是timestamp(例如：时间戳)。

*c是client(例如：颁发者)。

*δC是c对消息的签名。

节点说明：

*c是client。

*o是primary(例如：主节点机)。

*1、2是没有问题的节点。

*3是有问题的节点。

*c给primary发送request。

颁发者发送一个签发用户公钥证书的请求到主节点机。主节点机对多台从节点机发送验证所述颁发者的数字签名的广播，具体内容如下所述：

<pre-prepare,v,n,d>δP,m。

*v是view。

*n是序列号。

*d是m的消息摘要。

*m对捎带给backup的消息。

*δP是premary对消息的签名。

Request消息处理：

*判断正在处理的消息是否超出限制。

*超出限制就先缓存起来在打包发送。

*生成序列号n。

*广播Pre-prepare消息给backup节点。

从节点机之间的消息相互验证。

<prepare,v,n,d,i>δi。

*v是view。

*n是序列号。

*d是m的消息摘要。

*i是节点i的编号。

*δi是节点i对消息的签名。

Pre-prepare消息处理：

*检查Pre-prepare消息签名是否正确，消息的摘要是否正确。

*判断当前节点的view是否是v。

*检测是否收到相同v和n的消息，摘要却不一样。

*判断n是否在h和H之间。

*如果都通过的话就广播pre-prepare消息给其他节点，包括premary节点。

<commit,v,n,D(m),i>δi。

*v是view。

*n是序列号。

*D(m)是m的消息摘要。

*i是节点i的编号。

*δi是节点i对消息的签名。

Prepare消息处理：

*检查Ppare消息签名是否正确，消息的摘要是否正确。

*判断当前节点的view是否是v。

*判断n是否在h和H之间。

*如果都通过的话把收到的消息写入log：pre-prepare和prepare消息等。

*如果收到正确的prepare消息大于等于2f，就进入commit阶段，广播commit 给其他节点。

主节点机根据反馈的信息，来确定是否通过验证。

<reply,v,t,c,I,r>δi。

*v是view。

*n是序列号。

*D(m)是m的消息摘要。

*i是节点i的编号。

*r是节点i的回复。

*δi是节点i对消息的签名。

Commit消息处理：

*检查commit消息签名是否正确，消息的摘要是否正确。

*判断当前节点的view是否是v。

*判断n是否在h和H之间。

*如果都通过的话把收到的消息写入log。

*如果收到正确的commit消息大于等于2f+1(包括自己的)，就回复reply 消息给client。

如图4所示的是，是本发明实施例的一种基于区块链的公钥证书的管理方法的流程示意图，具体内容如下所述：

410接收对用户公钥证书的签发请求，其中所述签发请求中包括颁发者的数字签名以及用户信息；

用户设备向区块链系统申请用户公钥证书，区块链系统中的颁发者设备根据用户的信息，来申请对用户公钥证书的签发请求。其中用户设备可以是个人计算机、服务器、虚拟系统的进程或者其他具有相似功能的设备固件。所述区块链系统区块链系统包括至少一个主节点机以及多个从节点机。一种具体的结构示意图如图1所示。

本发明实施例的数字签名就是作为颁发者的证明信息。一种示例性的实施方案是，用哈希算法处理得出一个哈希值，然后用私钥对该哈希值进行加密，得出一个数字签名。然后颁发者再将所述数字签名一起发送给接收者(本发明实施例的节点机)。接收者使用发送者的公钥对数字签名进行解密，还原出哈希值，再通过哈希算法来验证信息的哈希值和解密签名还原出来的哈希值是否一致，从而可以鉴定信息是否来自发送者或验证信息是否被篡改。

420利用存储在区块链中的颁发者公钥证书，通过共识算法对所述颁发者的数字签名进行验证；

一种示例性的实施方案是，所述主节点机向从节点机发送对所述颁发者数字签名验证的广播请求，使所述从节点机根据存储在区块链中的颁发者公钥证书对所述颁发者数字签名进行验证，并且将验证结果反馈给主节点机，由主节点机通过共识算法来确定所述数字签名是否通过验证。主节点机以及从节点机的验证过程如图3所示，在此不再赘述。

本发明实施例的一种具体的实施方案是，通过对颁发者的根签名进行验证，具体实施方案如下所述：

所述主节点机向所述从节点机发送所述颁发者根签名验证的广播请求，使所述从节点机根据存储在区块链中颁发者根证书对所述颁发者根签名进行验证，并且将验证结果反馈给主节点机，由主节点机通过共识算法来确定所述根签名是否通过验证。主节点机以及从节点机的验证过程如图3所示，在此不再赘述。

430当所述颁发者的数字签名通过验证时，则根据用户信息签发所述用户对应的用户公钥证书，并将所述用户公钥证书内容添加到所述区块链中，其中所述区块链由多个区块根据产生时间依次链接而成，所述区块包括产生时间、区块哈希值以及用户公钥证书内容。

在本发明实施例的用户公钥证书管理的区块链中，所述区块链由多个区块根据产生时间依次链接而成，一种示例性的结构如图2所示，在所述区块中包括有所述用户公钥证书产生的时间、区块哈希值以及用户公钥证书内容。

本发明实施例不仅仅需要对所述数字签名进行验证，还需要针对数字签名的签署时间进行验证。如图5所示，具体实施方案如下所述：

510获取所述颁发者数字签名的签署时间以及所述颁发者公钥证书的有效期。

520判断所述颁发者数字签名的签署时间是否在所述颁发者公钥证书的有效期内。

530当所述颁发者数字签名的签署时间在所述颁发者公钥证书的有效期内时，则反馈通过验证。

颁发者在请求签发对用户公钥证书的请求时，提交的数字签名的时间与所述公钥证书的有效期的时间进行对比，如果确定所述数字签名的时间还在所述颁发者公钥证书的有效期内，则确定所述数字签名的验证通过，否则不通过。

610获取颁发者对用户公钥证书的更改请求。

620根据所述更改请求，生成对所述用户公钥证书的更改记录。

630将所述用户公钥证书的更改记录添加到所述区块链中。

一种具体的实施方案是，在对所述用户公钥证书进行更改时，所述更改包括有签发、撤销、修改等操作时，会将所述更改记录添加到所述区块链中，具体内容如下所述：

主节点机向多个从节点发送包含所述用户公钥证书更改记录的消息；所述多个从节点用于在接收到所述消息时，判断所述消息是否合法以及是否向其他节点发送过所述消息，若判断所述消息合法且未向其他节点发送过所述消息，向其他节点发送所述消息。

710接收对用户公钥证书查询请求，根据保存的用户公钥证书记录获取有效证书列表以及已撤销证书列表。

720根据所述用户公钥证书查询请求携带的证书编号查询有效证书列表以及已撤销证书列表是否存在所述证书编号。

730若所述证书编号在有效证书列表中存在，发送与所述证书编号对应的用户公钥证书；若所述证书编号在已撤销证书列表中存在发送所述证书已撤销的消息；若所述证书编号在有效证书列表以及已撤销证书列表中均不存在，发送所述证书编号不存在的消息。

810接收外部终端申请成为区块链系统节点机的节点机请求，其中所述节点机请求中包括有所述外部终端的运行参数。

820判断所述外部终端的运行参数是否满足成为所述区块链系统节点机的条件。

830当所述外部终端的运行参数满足成为所述区块链系统节点机的条件时，批准所述外部终端成为所述区块链系统节点机。

本发明实施例还提供了一种基于区块链的公钥证书管理系统，其中所述公钥证书管理系统包括：

区块链系统，其中所述区块链系统中包括有至少一个主节点机以及多个从节点机；

所述区块链系统应用执行上述所述的任一方法。

在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述或记载的部分，可以参见其它实施例的相关描述。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

在本发明所提供的实施例中，应该理解到，所揭露的装置/终端设备和方法，可以通过其它的方式实现。例如，以上所描述的装置/终端设备实施例是示意性的，例如，所述模块或单元的划分，为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通讯连接可以是通过一些接口，装置或单元的间接耦合或通讯连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的模块/单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明实现上述实施例方法中的全部或部分流程，也可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一计算机可读存储介质中，该计算机程序在被处理器执行时，可实现上述各个方法实施例的步骤。其中，所述计算机程序包括计算机程序代码，所述计算机程序代码可以为源代码形式、对象代码形式、可执行文件或某些中间形式等。所述计算机可读介质可以包括：能够携带所述计算机程序代码的任何实体或装置、记录介质、U盘、移动硬盘、磁碟、光盘、计算机存储器、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、电载波信号、电信信号以及软件分发介质等。需要说明的是，所述计算机可读介质包含的内容可以根据司法管辖区内立法和专利实践的要求进行适当的增减，例如在某些司法管辖区，根据立法和专利实践，计算机可读介质不包括是电载波信号和电信信号。

以上所述实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围，均应包含在本发明的保护范围之内。

Claims (6)

1.一种基于区块链的公钥证书的管理方法，其特征在于，所述方法包括：

接收对用户公钥证书的签发请求，其中所述签发请求中包括颁发者的数字签名以及用户信息；

利用存储在区块链中的颁发者公钥证书，通过共识算法对所述颁发者的数字签名进行验证；

当所述颁发者的数字签名通过验证时，则根据用户信息签发所述用户对应的用户公钥证书，并将所述用户公钥证书内容添加到所述区块链中，其中所述区块链由多个区块根据产生时间依次链接而成，所述区块包括产生时间、区块哈希值以及用户公钥证书内容；

所述区块链在区块链系统中运行，其中所述区块链系统包括至少两个主节点机以及多个从节点机；所述主节点机组成的联盟链以及从节点机组成公有链；

所述利用存储在区块链中的颁发者公钥证书，通过共识算法对所述颁发者的数字签名进行验证包括：

所述主节点机向从节点机发送对所述颁发者数字签名验证的广播请求，使所述从节点机根据存储在区块链中的颁发者公钥证书对所述颁发者数字签名进行验证，并且将验证结果反馈给主节点机，由主节点机通过共识算法来确定所述数字签名是否通过验证；

所述签发请求中包括颁发者的根签名；

所述主节点机向从节点机发送对所述颁发者数字签名验证的广播请求，使所述从节点机根据存储在区块链中的颁发者公钥证书对所述颁发者数字签名进行验证，并且将验证结果反馈给主节点机，由主节点机通过共识算法来确定所述数字签名是否通过验证具体为：

所述主节点机向所述从节点机发送所述颁发者根签名验证的广播请求，使所述从节点机根据存储在区块链中颁发者根证书对所述颁发者根签名进行验证，并且将验证结果反馈给主节点机，由主节点机通过共识算法来确定所述根签名是否通过验证；

接收外部终端申请成为区块链系统节点机的节点机请求，其中所述节点机请求中包括有所述外部终端的运行参数；

判断所述外部终端的运行参数是否满足成为所述区块链系统节点机的条件；

当所述外部终端的运行参数满足成为所述区块链系统节点机的条件时，批准所述外部终端成为所述区块链系统节点机。

2.如权利要求1所述的方法，其特征在于，当所述主节点机通过共识算法确定所述颁发者数字签名通过认证时，所述方法还包括：

获取所述颁发者数字签名的签署时间以及所述颁发者公钥证书的有效期；

判断所述颁发者数字签名的签署时间是否在所述颁发者公钥证书的有效期内；

当所述颁发者数字签名的签署时间在所述颁发者公钥证书的有效期内时，则反馈通过验证。

3.如权利要求1所述的方法，其特征在于，所述方法还包括：

获取颁发者对用户公钥证书的更改请求；

根据所述更改请求，生成对所述用户公钥证书的更改记录；

将所述用户公钥证书的更改记录添加到所述区块链中。

4.如权利要求3所述的方法，其特征在于，所述将所述用户公钥证书更改记录添加到所述区块链包括：

主节点机向多个从节点发送包含所述用户公钥证书更改记录的消息；所述多个从节点用于在接收到所述消息时，判断所述消息是否合法以及是否向其他节点发送过所述消息，若判断所述消息合法且未向其他节点发送过所述消息，向其他节点发送所述消息。

5.如权利要求1所述的方法，其特征在于，所述方法还包括：

接收对用户公钥证书查询请求，根据保存的用户公钥证书记录获取有效证书列表以及已撤销证书列表；

根据所述用户公钥证书查询请求携带的证书编号查询有效证书列表以及已撤销证书列表是否存在所述证书编号；

若所述证书编号在有效证书列表中存在，发送与所述证书编号对应的用户公钥证书；

若所述证书编号在已撤销证书列表中存在发送所述证书已撤销的消息；

若所述证书编号在有效证书列表以及已撤销证书列表中均不存在，发送所述证书编号不存在的消息。

6.一种基于区块链的公钥证书管理系统，其特征在于，所述公钥证书管理系统包括：

区块链系统，其中所述区块链系统中包括有至少一个主节点机以及多个从节点机；

所述区块链系统应用执行如权利要求1-5所述的任一方法。

Images