CN109936570B - 一种基于以太坊区块链的去中心化标识符属性管理系统 - Google Patents

Abstract

本发明实施例公开了一种基于以太坊区块链的去中心化标识符属性管理系统，所述系统包括以太坊区块链上的智能合约模块以及区块链下的属性管理服务器，所述属性管理服务器包括数据库模块、用户认证模块、权限管理模块以及web服务模块，通过智能合约模块管理用户的去中心化标识符以及其密钥，由于区块链的数据存储成本较高，本发明实施例采用区块链下的属性管理服务器对与用户的去中心化标识符绑定的实体属性数据进行存储和管理，并通过非对称加密的请求令牌的认证方式实现对相应属性数据的自主管理，在有效降低成本的同时还保证了身份信息的安全性和隐私性，维护了用户对其数字身份管理的自主权和控制权。

Description

一种基于以太坊区块链的去中心化标识符属性管理系统

技术领域

本发明实施例涉及计算机技术领域，具体涉及一种基于以太坊区块链的去中心化标识符属性管理系统。

背景技术

目前，数字身份系统通过存储用户的个人属性数据并将其与唯一数字标识符绑定建立数字身份档案，身份的控制权和自主权极度依赖于系统的安全性且身份信息的隐私问题很容易被过度放大，另外不同类型的身份信息的交互需要各个身份系统采用额外的技术方案进行，例如建立联合身份系统，但其实质上是各个身份服务方之间的联合，而非用户自主、实时的控制，没有达到成本降低的效果，也避免不了已经存在的安全性担忧。

去中心化标识符(Decentralized Identifiers，简写为DIDs)是一种新型可验证的且拥有“自我主权”的数字身份标识符，作为一种去中心化的认证数据结构，可以定义人、物和机构，DIDs完全独立于集中式管理中心、第三方服务商认证服务和证书颁发机构，基于区块链和非对称加密技术的DIDs管理体系可以让实体自由使用任何共享的信任根管理自己的去中心化标识符以及数字身份档案，无需集中的权限，用户只要保存好自己的私钥即可实现对其数字身份完全的自主权和控制权，但是潜在的问题是区块链的数据存储成本很高，因此需要一定的区块链下存储系统的配合。

发明内容

为此，本发明实施例提供一种基于以太坊区块链的去中心化标识符属性管理系统，以解决现有的基于区块链的数身份管理体系数据存储成本高的问题。

为了实现上述目的，本发明实施例提供如下技术方案：一种基于以太坊区块链的去中心化标识符属性管理系统，所述系统包括以太坊区块链上的智能合约模块以及区块链下的属性管理服务器，所述属性管理服务器包括数据库模块、用户认证模块、权限管理模块以及web服务模块；

所述智能合约模块用于用户注册和管理去中心化标识符以及与所述去中心化标识符相关联的公钥信息；

所述数据库模块用于持久化存储JWT形式的属性凭据，所述属性凭据是经过第三方服务商或其他用户签名认证的与所述去中心化标识符相关联的属性数据；

所述用户认证模块用于查询用户在所述智能合约模块中的相应公钥信息并对用户通过私钥签名的请求令牌进行验证，从而验证用户的身份并辨识其所要管理的属性凭据和具体的操作行为；

所述权限管理模块用于根据用户所要管理的属性凭据查询相应属性凭据并校验用户是否具有对相应属性凭据进行操作的操作权限；

所述web服务模块用于提供必要的web服务接口API以便用户实现对所述属性凭据的操作管理。

优选的，所述系统还包括以太坊加密模块，所述以太坊加密模块用于通过以太坊区块链的加密算法对所述请求令牌和JWT形式的属性凭据进行签名。

优选的，所述系统还包括属性凭据生成模块，所述属性凭据生成模块用于生成JWT形式的属性凭据，其中，所述用户实体属性数据存放在所述属性凭据的载荷部分。

优选的，所述系统还包括请求令牌生成模块；

所述请求令牌生成模块用于根据用户的具体操作请求打包去中心化标识符相关数据生成请求令牌。

优选的，所述请求令牌采用json数据格式，所述请求令牌中包含以下数据信息：去中心化标识符、属性凭据的具体操作行为、属性管理服务器URI、令牌有效期、属性凭据的发行方、属性凭据的主题、属性凭据的接收方以及属性凭据UUID。

优选的，所述属性管理服务器还包括缓存模块；

所述缓存模块用于分别通过消息队列和NoSQL数据库对用户的操作请求以及属性凭据数据进行缓存。

优选的，所述系统对去中心化标识符属性的管理包括包括属性的创建、属性的查询、属性的更新以及删除。

优选的，所述属性的创建包括：

与所述去中心化标识符相关联的待创建的属性数据经第三方服务商或其他用户签名认证生成JWT形式的属性凭据；

根据用户的属性创建请求生成经过用户签名的属性创建请求令牌；

属性管理服务器接收到所述属性凭据和属性创建请求令牌后，通过用户认证模块认证后将所述属性凭据持久化存储至数据库模块。

优选的，所述属性的查询包括：

根据用户的属性查询请求生成经过用户签名的属性查询请求令牌；

属性管理服务器接收到所述属性查询请求令牌后，通过用户认证模块认证通过以及权限管理模块确认操作权限后在数据库模块查询并读取相应属性凭据。

优选的，所述属性的更新以及删除包括：

根据用户的属性查询请求生成经过用户签名的属性查询请求令牌；

属性管理服务器接收到所述属性查询请求令牌后，通过用户认证模块认证通过以及权限管理模块确认操作权限后在数据库模块更新或删除相应属性凭据。

本发明实施例具有如下优点：

本发明实施例提出的一种基于以太坊区块链的去中心化标识符属性管理系统，系统包括以太坊区块链上的智能合约模块以及区块链下的属性管理服务器，属性管理服务器包括数据库模块、用户认证模块、权限管理模块以及web服务模块，通过智能合约模块管理用户的去中心化标识符以及其密钥，由于区块链的数据存储成本较高，本发明实施例采用区块链下的属性管理服务器对与用户的去中心化标识符绑定的用户实体属性数据进行存储和管理，并通过非对称加密的请求令牌的认证方式实现对相应属性数据的自主管理，在有效降低成本的同时还保证了身份信息的安全性和隐私性，维护了用户其数字身份管理的自主权和控制权。

附图说明

为了更清楚地说明本发明的实施方式或现有技术中的技术方案，下面将对实施方式或现有技术描述中所需要使用的附图作简单地介绍。显而易见地，下面描述中的附图仅仅是示例性的，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图引伸获得其它的实施附图。

图1为本发明实施例1提供的一种基于以太坊区块链的去中心化标识符属性管理系统的逻辑架构示意图。

具体实施方式

以下由特定的具体实施例说明本发明的实施方式，熟悉此技术的人士可由本说明书所揭露的内容轻易地了解本发明的其他优点及功效，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

实施例1

本发明实施例提出了一种基于以太坊区块链的去中心化标识符属性管理系统，系统包括以太坊区块链上的智能合约模块以及区块链下的属性管理服务器。

智能合约模块用于用户注册和管理去中心化标识符以及与去中心化标识符相关联的公钥信息。以太坊(Ethereum)是一个开源的有智能合约功能的公共区块链平台，智能合约(Smart contract)是一种旨在以信息化方式传播、验证或执行合同的计算机协议，智能合约允许在没有第三方的情况下进行可信交易，这些交易可追踪且不可逆转。以太坊的私钥通过specp256k1椭圆曲线算法随机生成，通过私钥可以得到公钥，而以太坊地址则是公钥的衍生。非对称加密技术中，信息的加密是用公钥进行加密，用私钥进行解密，确保信息的安全性；数字签名是用私钥加密生成签名而用公钥进行解密验证签名，确保数字签名的归属性，具有其不可否认性，假设A用B的公钥加密消息，用A的私钥签名，B接到消息后，首先用A的公钥验证签名，确认后用自己的私钥解密消息。

具体的，智能合约包括三个部分，即去中心化标识符所有权(owner)、密钥轮换与管理(public keys)以及去中心化标识符相关属性(attribute)。

本发明实施例中，每个实体可以根据需要拥有尽可能多的DIDs，以尊重实体所希望的身份，实现人物角色和背景的分离，去中心化标识符所有权通过在去中心化标识符中绑定以太坊地址进行约定，去中心化标识符采用固定前缀“DIDs:idhub”加以太坊地址的数据格式，每个去中心化标识符都可以指定一个以太坊地址作为去中心化标识符的所有方，此所有方拥有修改智能合约三个部分中此中心化标识符相应数据的唯一权限。

密钥轮换与管理用于实现对用户自主记录在智能合约内的公钥的轮换与管理，通过由用户使用去中心化标识符的所有方的以太坊地址发送以太坊交易至以太坊调用智能合约接口实现。公钥支持十六进制字符串、base64字符串或pem等数据格式。

标识符相关属性合约用于存储用户自主记录在智能合约中的与去中心化标识符相关的属性信息。属性信息包括用户自定义的第三方服务商网站服务端点信息以及用户实体属性信息。

本实施例中，对于智能合约中数据的读取是通过去中心化标识符文档解析模块实现的，去中心化标识符文档解析模块可以读取智能合约中记录的数据并将数据转化为可供第三方服务商或其他用户读取的去中心化标识符文档。去中心化标识符文档采用可读取的json数据格式。去中心化标识符文档中包括去中心化标识符标准规范的版本、去中心化标识符内容、公钥json数组、用户自定义的服务端点以及定制化特殊字段信息。

具体的，去中心化标识符文档主要包括以下字段：

1、Context:“@context”表示去中心化标识符标准规范的版本；

2、Subject:“id”表示去中心化标识符内容，默认为“DIDs:idhub:EthereumAddressExample”；

3、PublicKeys:”publicKey”表示一个包含所有用户自主记录在去中心化标识符智能合约内的公钥json数组，用于密钥轮换与管理，第三方服务商或其他用户可以通过此字段的内容验证用户签名数据。公钥json数组单个元素的格式举例如下，公钥格式默认为“publicKeyHex”：

4、ServiceEndpoints:“service”表示由用户记录在智能合约“Attribute”字段的数据，特指用户在区块链下进行数据处理时所需要的服务端点。举例，一般格式如下：

5、定制化特殊字段信息：用户可以定制化特殊字段以处理记录在去中心化标识符合约内的定制化数据。

另外，去中心化标识符文档解析模块通过分别与去中心化标识符所有权合约、密钥轮换与管理合约和去中心化标识符相关属性合约对应的智能合约事件读取各部分的数据。智能合约事件是使用EVM日志内置功能的方便工具，在DAPP的接口中，它可以反过来调用监听事件的回调。事件在智能合约中可被继承，当被调用时，会触发(emit)参数存储到交易的日志中(一种区块链上的特殊数据结构)，这些日志与合约的地址关联，并合并到区块链中，只要区块可以访问就一直存在。

由于区块链的开放性，任何人都可以查询到与去中心化标识符相关联的公钥数据并可证明私钥由去中心化标识符的所有方对应的实体保管。由于区块链和非对称加密的特性，用户只要保证私钥的安全即可。其他用户或第三方服务商可以通过去中心化标识符文档获得用户希望公开使用的公钥来校验用户的数字签名信息，亦或者可以通过调用以太坊智能合约“validPublicKey(address identity，bytes32 publicKeyType,bytes32publicKey)”接口校验用户公钥是否正确使用。

优选的，系统还包括以太坊交互模块，以太坊交互模块用于提供必要的智能合约交互接口以实现用户与智能合约模块的交互。

由于区块链的数据存储成本很高，本实施例中通过属性管理服务器对与用户的去中心化标识符关联绑定的实体属性数据进行存储和管理。

属性管理服务器包括数据库模块、用户认证模块、权限管理模块以及web服务模块。

数据库模块用于持久化存储JWT形式的属性凭据，属性凭据是经过第三方服务商或其他用户签名认证的与去中心化标识符相关联的属性数据，保证属性数据的正确、隐私和安全。

用户认证模块用于查询用户在智能合约模块中的相应公钥信息并对用户通过私钥签名的请求令牌进行验证，从而验证用户的身份并辨识其所要管理的属性凭据和具体的操作行为。

权限管理模块用于根据用户所要管理的属性凭据查询相应属性凭据并校验用户是否具有对相应属性凭据进行操作的操作权限。

web服务模块用于提供必要的web服务接口API以便用户实现对属性凭据的操作管理。

该系统还包括以太坊加密模块，以太坊加密模块用于通过以太坊区块链的加密算法对请求令牌和JWT形式的属性凭据进行签名。

该系统还包括属性凭据生成模块，属性凭据生成模块用于生成JWT形式的属性凭据，其中，用户实体属性数据存放在属性凭据的载荷部分。

Json web token(JWT)的数据结构包括JWT头(header)、载荷(playload)和签名(signature)三个部分。举例说明：

(1)JWT头(header)，用于描述该JWT的基本信息，如JWT的类型以及签名所用的基本算法，完整的头部就像下面这样的JSON：

然后将头部进行base64加密(该加密是可以对称解密的)，构成了第一部分：eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9。

(2)载荷(playload)，就是存放有效信息的地方，这些有效信息包含三个部分：标准中注册的声明、公共的声明、私有的声明。

标准中注册的声明：iss:jwt签发者；sub:jwt所面向的用户；aud:接收jwt的一方；exp:jwt的过期时间，这个过期时间必须要大于签发时间；nbf:定义在什么时间之前，该jwt都是不可用的；iat:jwt的签发时间；jti:jwt的唯一身份标识，主要用来作为一次性token，从而回避重放攻击。

公共的声明：公共的声明可以添加任何的信息，一般添加用户的相关信息或其他业务需要的必要信息。

私有的声明：私有声明是提供者和消费者所共同定义的声明，一般不建议存放敏感信息，因为base64是对称解密的，意味着该部分信息可以归类为明文信息。

定义一个payload:

然后将其进行base64加密，得到JWT的第二部分：

eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9。

(3)签名(signature)，是JWT的第三部分，是一个签名信息。

这个部分需要使用base64加密后的header和base64加密后的payload，连接组成的字符串，然后通过header中声明的加密方式进行加密，本实施例采用的加密方式是椭圆曲线加密ES256k算法。

//javascriptvar encodedString＝base64UrlEncode(header)+'.'+base64UrlEncode(payload)；

ES256k(base64UrlEncode(header)+"."+base64UrlEncode(payload),privateKey)。

系统还包括请求令牌生成模块，请求令牌生成模块用于根据用户的具体操作请求打包去中心化标识符相关数据生成请求令牌。

其中，请求令牌采用json数据格式，请求令牌中包含以下数据信息：去中心化标识符、属性凭据的具体操作行为(增删改查，CRUD)、属性管理服务器URI、令牌有效期、属性凭据的发行方、属性凭据的主题、属性凭据的接收方以及属性凭据UUID。字段信息如下所示，

{

“did”:去中心化标识符，用于确定操作发起人，绑定以太坊地址；

“action":CRUD标示(CRUD是指在做计算处理时的创建(Create)、查询(Retrieve)、更新(Update)和删除(Delete))，用于确定对属性凭据的具体操作行为；

"destination":接受令牌的属性管理服务器URI，可防止令牌滥用；

"expiration":令牌有效期，可防止令牌滥用；

"jwt_iss":用于确定属性凭据的发行方；

"jwt_sub":用于确定属性凭据的主题；

"jwt_aud":用于确定属性凭据的接收方；

“jwt_jti”:UUID，用于唯一确定属性凭据(可选)

}

属性管理服务器还包括缓存模块，缓存模块用于分别通过消息队列和NoSQL数据库对用户的操作请求以及属性凭据数据进行缓存，减少响应时间，提高用户体验，缓解数据库压力。

具体的，该系统对去中心化标识符属性的管理包括包括属性的创建、属性的查询、属性的更新以及删除。

其中，属性的创建包括：

与去中心化标识符相关联的待创建的属性数据经第三方服务商或其他用户签名认证生成JWT形式的属性凭据，属性凭据的生成可由属性凭据生成模块获得，签名认证可由第三方服务商或其他用户通过以太坊加密模块获得；

根据用户的属性创建请求生成经过用户签名的属性创建请求令牌，令牌的生成可通过请求令牌生成模块获得；

属性管理服务器接收到属性凭据和属性创建请求令牌后，通过用户认证模块认证后将属性凭据持久化存储至数据库模块。

属性的查询包括：

根据用户的属性查询请求生成经过用户签名的属性查询请求令牌，令牌的生成可通过请求令牌生成模块获得；

属性管理服务器接收到属性查询请求令牌后，通过用户认证模块认证通过以及权限管理模块确认操作权限后在数据库模块查询并读取相应属性凭据。第三方服务商或其余用户都可通过此令牌去服务器读取相应的属性凭据。

属性的更新以及删除包括：

根据用户的属性查询请求生成经过用户签名的属性查询请求令牌，令牌的生成可通过请求令牌生成模块获得；

属性管理服务器接收到属性查询请求令牌后，通过用户认证模块认证通过以及权限管理模块确认操作权限后在数据库模块更新或删除相应属性凭据。具体的，如果属性查询请求令牌的权限高于提前约定好并记录在JWT属性凭据内的属性操作限制，第三方服务商或其余用户都可通过此令牌去服务器更新和删除相应的属性凭据。

本发明实施例提出的一种基于以太坊区块链的去中心化标识符属性管理系统，通过智能合约模块管理用户的去中心化标识符以及其密钥，由于区块链的数据存储成本较高，本发明实施例采用区块链下的属性管理服务器对与用户的去中心化标识符绑定的实体属性数据进行存储和管理，并通过非对称加密的请求令牌的认证方式实现对相应属性数据的自主管理，在有效降低成本的同时还保证了身份信息的安全性和隐私性，维护了用户对其数字身份管理的自主权和控制权。

虽然，上文中已经用一般性说明及具体实施例对本发明作了详尽的描述，但在本发明基础上，可以对之作一些修改或改进，这对本领域技术人员而言是显而易见的。因此，在不偏离本发明精神的基础上所做的这些修改或改进，均属于本发明要求保护的范围。

Claims (10)

1.一种基于以太坊区块链的去中心化标识符属性管理系统，其特征在于，所述系统包括以太坊区块链上的智能合约模块以及区块链下的属性管理服务器，所述属性管理服务器包括数据库模块、用户认证模块、权限管理模块以及web服务模块；

所述智能合约模块用于用户注册和管理去中心化标识符以及与所述去中心化标识符相关联的公钥信息；

所述数据库模块用于持久化存储JWT形式的属性凭据，所述属性凭据是经过第三方服务商或其他用户签名认证的与所述去中心化标识符相关联的属性数据；JWT的数据结构包括JWT头、载荷和签名；

所述用户认证模块用于查询用户在所述智能合约模块中的相应公钥信息并对用户通过私钥签名的请求令牌进行验证，从而验证用户的身份并辨识其所要管理的属性凭据和具体的操作行为；

所述权限管理模块用于根据用户所要管理的属性凭据查询相应属性凭据并校验用户是否具有对相应属性凭据进行操作的操作权限；

所述web服务模块用于提供必要的web服务接口API以便用户实现对所述属性凭据的操作管理。

2.根据权利要求1所述的一种基于以太坊区块链的去中心化标识符属性管理系统，其特征在于，所述系统还包括以太坊加密模块，所述以太坊加密模块用于通过以太坊区块链的加密算法对所述请求令牌和JWT形式的属性凭据进行签名。

3.根据权利要求1所述的一种基于以太坊区块链的去中心化标识符属性管理系统，其特征在于，所述系统还包括属性凭据生成模块，所述属性凭据生成模块用于生成JWT形式的属性凭据，其中，所述用户实体属性数据存放在所述属性凭据的载荷部分。

4.根据权利要求1所述的一种基于以太坊区块链的去中心化标识符属性管理系统，其特征在于，所述系统还包括请求令牌生成模块；

所述请求令牌生成模块用于根据用户的具体操作请求打包去中心化标识符相关数据生成请求令牌。

5.根据权利要求4所述的一种基于以太坊区块链的去中心化标识符属性管理系统，其特征在于，所述请求令牌采用json数据格式，所述请求令牌中包含以下数据信息：去中心化标识符、属性凭据的具体操作行为、属性管理服务器URI、令牌有效期、属性凭据的发行方、属性凭据的主题、属性凭据的接收方以及属性凭据UUID。

6.根据权利要求1所述的一种基于以太坊区块链的去中心化标识符属性管理系统，其特征在于，所述属性管理服务器还包括缓存模块；

所述缓存模块用于分别通过消息队列和NoSQL数据库对用户的操作请求以及属性凭据数据进行缓存。

7.根据权利要求1所述的一种基于以太坊区块链的去中心化标识符属性管理系统，其特征在于，所述系统对去中心化标识符属性的管理包括属性的创建、属性的查询、属性的更新以及删除。

8.根据权利要求7所述的一种基于以太坊区块链的去中心化标识符属性管理系统，其特征在于，所述属性的创建包括：

与所述去中心化标识符相关联的待创建的属性数据经第三方服务商或其他用户签名认证生成JWT形式的属性凭据；

根据用户的属性创建请求生成经过用户签名的属性创建请求令牌；

属性管理服务器接收到所述属性凭据和属性创建请求令牌后，通过用户认证模块认证后将所述属性凭据持久化存储至数据库模块。

9.根据权利要求7所述的一种基于以太坊区块链的去中心化标识符属性管理系统，其特征在于，所述属性的查询包括：

根据用户的属性查询请求生成经过用户签名的属性查询请求令牌；

属性管理服务器接收到所述属性查询请求令牌后，再通过用户认证模块认证以及权限管理模块确认操作权限后在数据库模块查询并读取相应属性凭据。

10.根据权利要求7所述的一种基于以太坊区块链的去中心化标识符属性管理系统，其特征在于，所述属性的更新以及删除包括：

根据用户的属性查询请求生成经过用户签名的属性查询请求令牌；

属性管理服务器接收到所述属性查询请求令牌后，再通过用户认证模块认证以及权限管理模块确认操作权限后在数据库模块更新或删除相应属性凭据。

Images