CN110287726B - 一种基于区块链的多域身份认证管理系统及方法 - Google Patents

Abstract

本发明提供了一种基于区块链的多域身份认证管理系统及方法，涉及计算机网络安全领域，所述系统包括：区块链层，虚拟链层，P2P存储层；所述实体身份包括联盟、联盟成员、个体用户；所述联盟是所述联盟成员的上级；所述联盟成员是所述个体用户的上级；所述联盟成员是所述联盟的下级；所述个体用户是所述联盟成员的下级；所述P2P存储层的所述实体身份文件与所述区块链层的所述实体身份标识相匹配。本发明保证用户身份的真实性、完整性、匿名性和可追溯性；解决单一身份认证存在的问题，形成多种身份标示在不同场景下的权限管理和信任管理机制，能够构建涵盖信任评估、信任协商等的身份动态互信任体系。

Description

一种基于区块链的多域身份认证管理系统及方法

技术领域

本发明涉及计算机网络安全领域，尤其涉及一种基于区块链的多域身份认证管理系统及方法。

背景技术

身份认证技术是在计算机网络中为确认操作者身份而产生的有效解决方法。计算机网络世界中一切信息，包括用户的身份信息，都是用一组特定的数据表示的。计算机只能识别用户的数字身份，所有对用户的授权，也是针对用户数字身份的授权。如何保证以数字身份进行操作的操作者就是这个数字身份的合法拥有者，即保证操作者的物理身份与数字身份相对应，是身份认证技术面临的主要问题。同时，作为防护网络资产的第一道关口，身份认证具有举足轻重的作用。

随着网络技术的不断发展，网络空间中不同体系结构、不同应用领域的异构网络协同并存，如何统一管理网络实体的多域多形态身份是一个挑战性问题。国内外大量身份管理基础设施在理念上以应用、信息系统为中心，身份管理差别大、实现手段各异、结构松散，形成了一个个身份管理“孤岛”，为跨域进行身份共享、业务融合、系统集成带来了诸多不便。

区块链(Blockchain)是指多个节点在对等网络中通过基于密码学技术设计的共识机制方式，共同维护一个由时间戳和有序记录数据块所构建的持续增长的链式列表账本的分布式数据库技术。使得参与系统中的任意多个节点，把一段时间系统内信息交流的全部数据，通过密码学算法计算和记录到一个数据块(block)，并且生成该数据块的指纹用于链接(chain)下个数据块和校验，系统所有参与节点共同认定记录是否为真。由于区块链具有去中心化、去信任、集体维护、可靠数据库等特性，可以有效的保障系统的健壮性和存储内容的安全性与隐私性。

因此，本领域的技术人员致力于开发一种基于区块链的多域身份认证管理系统及其方法。

发明内容

有鉴于现有技术的上述缺陷，本发明所要解决的技术问题是如何统一管理网络实体的多域多形态身份，从而解决网络空间中不同体系结构、不同应用领域的异构网络间身份管理的“孤岛”问题，为跨域进行身份共享、业务融合、系统集成提供技术支撑。

为实现上述目的，本发明提供了一种基于区块链的多域身份认证管理系统及其方法，维护泛在实体的基础身份信息，基于领域标识及实体网络身份基本编码，派生出统一的、保护隐私的网络实体身份唯一性标识，实现多种网络实体身份的全生命周期管理，所述基于区块链的多域身份认证管理系统包括：

区块链层，所述区块链层保存实体身份标识，实现所述实体身份标识的防篡改；

虚拟链层，所述虚拟链层搭建在所述区块链层上；实体身份通过所述虚拟链层进行多个操作；所述虚拟链层将所述实体身份的所述多个操作编码为数据，并将所述数据交由所述区块链层存储；

P2P存储层，所述P2P存储层搭建在所述虚拟链层上，通过P2P网络的存储结构封装实体身份文件的实际存储、路由查询和文件备份；

所述实体身份包括联盟、联盟成员、个体用户；

所述联盟是所述联盟成员的上级；所述联盟成员是所述个体用户的上级；

所述联盟成员是所述联盟的下级；所述个体用户是所述联盟成员的下级；

所述P2P存储层的所述实体身份文件与所述区块链层的所述实体身份标识相匹配。

进一步地，所述联盟有一个或多个。

进一步地，每个所述联盟包括一个或多个所述联盟成员。

进一步地，每个所述联盟成员只属于唯一的一个所述联盟。

进一步地，所述联盟成员为网络身份服务商，所述网络身份服务商为网络平台或多媒体，为所述实体身份提供所述多个操作。

进一步地，每个所述联盟成员包括一个或多个所述个体用户。

进一步地，每个所述个体用户可属于一个或多个所述联盟成员。

进一步地，所述多个操作包括信息注册、文件更新、密钥更新以及所述实体身份文件的查询。

本发明还公开了一种基于区块链的多域身份认证管理方法，所述方法应用于所述权利要求1至权利要求8中任意一种基于区块链的多域身份认证管理系统，所述方法包括如下步骤：

(S1)所述实体身份注册到所述区块链层，并获取唯一的所述实体身份标识；如果所述实体身份是所述联盟或所述联盟成员，需为所述联盟或所述联盟成员的下级提供注册模板；

(S2)所述联盟成员或所述个体用户登陆到已注册的上级所述实体身份，获取所述注册模板，完善注册信息到所述P2P存储层，更新所述区块链层，并与上级所述实体身份的所述实体身份标识关联；

(S3)所述个体用户登陆已注册联盟成员；

(S4)所述个体用户跨域到其他所述联盟成员；如果跨域对象不是所述个体用户所在联盟的联盟成员，则需要所述个体用户重新注册到所述跨越对象；如果所述跨越对象是所述个体用户所在联盟的联盟成员，且所述个体用户在所述跨越对象中有过注册，则通过所述实体身份标识互认，直接进行跨域登陆；如果所述跨越对象是所述个体用户所在联盟的联盟成员，且所述个体用户在所述跨越对象中没有注册，则读取所述跨域对象的所述注册模板，通过所述实体身份标识读取所述P2P存储层的所述实体身份文件自动填充注册信息，所述个体用户完善所述注册信息，并提交数据；

(S5)更新所述区块链层，与所述跨域对象建立关联。

本发明还公开了一种实现实体身份信息更改和删除管理方法，所述方法应用于所述权利要求1至权利要求8中任意一种基于区块链的多域身份认证管理系统，所述方法包括如下步骤：

(T1)所述实体身份登陆系统，选择是否更新所述实体身份的所述实体身份标识的属性信息；

(T2)如果所述步骤(T1)中所述实体身份选择不更新所述实体身份标识的属性信息，则将更新操作写入所述区块链层，并将更改后的用户信息存入所述P2P存储层；

(T3)如果所述步骤(T1)中所述实体身份选择更新所述实体身份标识的属性信息，则将新的所述实体身份标识的属性信息写入所述区块链层，所述区块链层读取顺序最后的区块作为有效区块；

(T4)如果所述步骤(T1)中所述实体身份选择删除所述实体身份标识的属性信息，则将所述实体身份标识的属性信息中的状态属性置为0，写入新的区块；所述区块链层读取顺序最后的区块作为有效区块，同时删除所述P2P存储层中所述实体身份标识的属性信息。

本发明提供的一种基于区块链的多域身份认证管理系统，针对网络空间中多样性网络实体难以进行统一管理的问题，设计能够适应多种环境的异构实体身份标识技术，防止身份信息的泄漏；保证用户身份的真实性、完整性、匿名性和可追溯性；解决单一身份认证存在的问题，形成多种身份标示在不同场景下的权限管理和信任管理机制，能够构建涵盖信任评估、信任协商等的身份动态互信任体系。

以下将结合附图对本发明的构思、具体结构及产生的技术效果作进一步说明，以充分地了解本发明的目的、特征和效果。

附图说明

图1是本发明的一种基于区块链的多域身份认证管理系统示意图；

图2是本发明的一种基于区块链的多域身份认证管理方法流程图；

图3是本发明的一种实现实体身份信息更改和删除管理方法流程图。

具体实施方式

以下参考说明书附图介绍本发明的多个优选实施例，使其技术内容更加清楚和便于理解。本发明可以通过许多不同形式的实施例来得以体现，本发明的保护范围并非仅限于文中提到的实施例。

如图1所示，为本发明的一种基于区块链的多域身份认证管理系统的示意图，该系统由以下层次组成，包括：

1)区块链层：区块链层负责最底层的数据结构，存储多样性网络实体身份标识，将交易广播、挖矿机制、共识算法都封装于底层。区块链层保存实体身份标识，实现实体身份标识的防篡改。其中实体身份分为三种类型：多种网络实体身份服务商组成的联盟、联盟中各网络实体身份服务商成员(联盟成员)、个体用户。

其中，联盟是联盟成员的上级；联盟成员是个体用户的上级；联盟成员是联盟的下级；个体用户是联盟成员的下级。

其中，联盟有一个或多个。每个联盟包括一个或多个联盟成员。每个联盟成员只属于唯一的一个联盟。每个联盟成员包括一个或多个个体用户。每个个体用户可属于一个或多个联盟成员。

联盟成员为网络身份服务商，网络身份服务商为网络平台或多媒体，为实体身份提供多个操作。

2)虚拟链层：虚拟链层搭建在区块链层上，通过区块链节点之间的共识机制来达成数据一致和区块的稳定，实现系统主要的逻辑操作。实体身份通过虚拟链层进行信息注册、文件更新、密钥更新，以及网络实体身份文件查询等操作，虚拟链层将实体身份的操作编码为合法的在区块链交易之中的数据，并交由P2P区块链层存储。

3)P2P存储层：存储层搭建在虚拟链层上，结合Kademlia算法以及本地路由表建立的P2P网络存储结构，封装了网络实体身份文件的实际存储、路由查询、文件备份等功能，以提供高效、完备的查询、修改服务。

P2P存储层的实体身份文件与区块链层的实体身份标识相匹配。

如图2所示，为本发明的一种基于区块链的多域身份认证管理方法流程图，包括如下步骤：

(S1)各类实体身份注册到区块链层，并获取唯一的实体身份标识，联盟的身份标识为GID，各联盟成员的身份标识为AID，个体用户的身份标识为UID，一个GID可关联多个AID，但每个AID只属于唯一的一个GID，一个UID可关联多个AID值，其中联盟和联盟成员还需要提供下级网络实体身份注册时的注册模板；

(S2)联盟成员及个体用户登陆到已注册的上级实体身份，获取注册信息模板，完善注册信息到P2P存储层，并更新区块链层，与上级实体身份的实体身份标识关联；

(S3)个体用户登陆已注册联盟成员；

(S4)个体用户跨域到其他联盟成员；如果跨域对象不是个体用户所在联盟的联盟成员，则需要个体用户重新注册到跨越对象；如果跨越对象是个体用户所在联盟的联盟成员，且个体用户在跨越对象中有过注册，则通过实体身份标识互认，直接进行跨域登陆；如果跨越对象是个体用户所在联盟的联盟成员，且个体用户在跨越对象中没有注册，则读取跨域对象的注册模板，通过实体身份标识读取P2P存储层的实体身份文件自动填充注册信息，个体用户完善注册信息，并提交数据；

(S5)更新区块链层，与跨域对象建立关联。

该处理流程实现了多种网络实体身份跨域认证管理，保证用户身份的真实性、完整性、匿名性和可追溯性。

如图3所示，为本发明的一种实现实体身份信息更改和删除管理方法流程图，具体方法包括如下步骤：

(T1)所述实体身份登陆系统，选择是否更新所述实体身份的所述实体身份标识的属性信息；

(T2)如果所述步骤(T1)中所述实体身份选择不更新所述实体身份标识的属性信息，则将更新操作写入所述区块链层，并将更改后的用户信息存入所述P2P存储层；

(T3)如果所述步骤(T1)中所述实体身份选择更新所述实体身份标识的属性信息，则将新的所述实体身份标识的属性信息写入所述区块链层，所述区块链层读取顺序最后的区块作为有效区块；

(T4)如果所述步骤(T1)中所述实体身份选择删除所述实体身份标识的属性信息，则将所述实体身份标识的属性信息中的状态属性置为0，写入新的区块；所述区块链层读取顺序最后的区块作为有效区块，同时删除所述P2P存储层中所述实体身份标识的属性信息。

为了使本发明的一种基于区块链的多域身份认证管理系统及其方法更好的工作，在部署中，考虑到存储敏感身份信息的安全性问题，还需要对注册信息进行加密，使用零知识证明等方法对网络实体身份进行核实与保密。同时，完善联盟组成及联盟成员注册审查制度，保证网络实体身份信息安全性。另外，添加对容错算法的支持，防止意外事件导致通信中断，提升系统稳定性。

以上详细描述了本发明的较佳具体实施例。应当理解，本领域的普通技术无需创造性劳动就可以根据本发明的构思作出诸多修改和变化。因此，凡本技术领域中技术人员依本发明的构思在现有技术的基础上通过逻辑分析、推理或者有限的实验可以得到的技术方案，皆应在由权利要求书所确定的保护范围内。

Claims (9)

1.一种基于区块链的多域身份认证管理方法，其特征在于，所述方法应用于基于区块链的多域身份认证管理系统，所述系统包括：

区块链层，所述区块链层保存实体身份标识，实现所述实体身份标识的防篡改；

虚拟链层，所述虚拟链层搭建在所述区块链层上；实体身份通过所述虚拟链层进行多个操作；所述虚拟链层将所述实体身份的所述多个操作编码为数据，并将所述数据交由所述区块链层存储；

P2P存储层，所述P2P存储层搭建在所述虚拟链层上，通过P2P网络的存储结构封装实体身份文件的实际存储、路由查询和文件备份；

所述实体身份包括联盟、联盟成员、个体用户；

所述联盟是所述联盟成员的上级；所述联盟成员是所述个体用户的上级；

所述联盟成员是所述联盟的下级；所述个体用户是所述联盟成员的下级；

所述P2P存储层的所述实体身份文件与所述区块链层的所述实体身份标识相匹配；

所述方法包括如下步骤：

(S1)所述实体身份注册到所述区块链层，并获取唯一的所述实体身份标识；如果所述实体身份是所述联盟或所述联盟成员，需为所述联盟或所述联盟成员的下级提供注册模板；

(S2)所述联盟成员或所述个体用户登陆到已注册的上级所述实体身份，获取所述注册模板，完善注册信息到所述P2P存储层，更新所述区块链层，并与上级所述实体身份的所述实体身份标识关联；

(S3)所述个体用户登陆已注册联盟成员；

(S4)所述个体用户跨域到其他所述联盟成员；如果跨域对象不是所述个体用户所在联盟的联盟成员，则需要所述个体用户重新注册到所述跨域对象；如果所述跨域对象是所述个体用户所在联盟的联盟成员，且所述个体用户在所述跨域对象中有过注册，则通过所述实体身份标识互认，直接进行跨域登陆；如果所述跨域对象是所述个体用户所在联盟的联盟成员，且所述个体用户在所述跨域对象中没有注册，则读取所述跨域对象的所述注册模板，通过所述实体身份标识读取所述P2P存储层的所述实体身份文件自动填充注册信息，所述个体用户完善所述注册信息，并提交数据；

(S5)更新所述区块链层，与所述跨域对象建立关联。

2.如权利要求1所述的基于区块链的多域身份认证管理方法，其特征在于，所述联盟有一个或多个。

3.如权利要求2所述的基于区块链的多域身份认证管理方法，其特征在于，每个所述联盟包括一个或多个所述联盟成员。

4.如权利要求3所述的基于区块链的多域身份认证管理方法，其特征在于，每个所述联盟成员只属于唯一的一个所述联盟。

5.如权利要求3所述的基于区块链的多域身份认证管理方法，其特征在于，所述联盟成员为网络身份服务商，所述网络身份服务商为网络平台或多媒体，为所述实体身份提供所述多个操作。

6.如权利要求3所述的基于区块链的多域身份认证管理方法，其特征在于，每个所述联盟成员包括一个或多个所述个体用户。

7.如权利要求6所述的基于区块链的多域身份认证管理方法，其特征在于，每个所述个体用户可属于一个或多个所述联盟成员。

8.如权利要求1所述的基于区块链的多域身份认证管理方法，其特征在于，所述多个操作包括信息注册、文件更新、密钥更新以及所述实体身份文件的查询。

9.一种实现实体身份信息更改和删除管理方法，其特征在于，所述方法应用于所述权利要求1中基于区块链的多域身份认证管理系统，所述方法包括如下步骤：

(T1)所述实体身份登陆系统，选择是否更新所述实体身份的所述实体身份标识的属性信息；

(T2)如果所述步骤(T1)中所述实体身份选择不更新所述实体身份标识的属性信息，则将更新操作写入所述区块链层，并将更改后的用户信息存入所述P2P存储层；

(T3)如果所述步骤(T1)中所述实体身份选择更新所述实体身份标识的属性信息，则将新的所述实体身份标识的属性信息写入所述区块链层，所述区块链层读取顺序最后的区块作为有效区块；

(T4)如果所述步骤(T1)中所述实体身份选择删除所述实体身份标识的属性信息，则将所述实体身份标识的属性信息中的状态属性置为0，写入新的区块；所述区块链层读取顺序最后的区块作为有效区块，同时删除所述P2P存储层中所述实体身份标识的属性信息。

Images