CN110598482B - 基于区块链的数字证书管理方法、装置、设备及存储介质 - Google Patents

Abstract

本申请公开了一种基于区块链的数字证书管理方法、装置、设备及存储介质，属于区块链技术领域。该方法包括：接收第一终端发送的数字证书请求，对用户信息验证通过后生成数字证书，向第一终端发送数字证书，生成第一区块，第一区块包括用户信息和数字证书的证书信息，向区块链系统中的其他节点设备广播该第一区块，由该区块链系统中的每个节点设备将该第一区块添加至区块链中。各个节点设备均存储用户信息和数字证书的证书信息，从而对为用户颁发数字证书的行为进行记录，实现了颁发记录的分布式存储，可以有效防止颁发记录被篡改，确保颁发记录的真实性和可靠性，实现了颁发记录的透明化。

Description

基于区块链的数字证书管理方法、装置、设备及存储介质

技术领域

本申请涉及区块链技术领域，特别涉及一种基于区块链的数字证书管理方法、装置、设备及存储介质。

背景技术

随着社会信息化的程度越来越高，越来越多的用户依赖于信息化系统，数字证书作为用户的数字身份证明凸显了其重要性，如何对数字证书进行安全有效地管理成为亟待解决的问题。

通常的数字证书由CA(Certificate Authority，证书授权)机构颁发，用户按照该CA机构的证书管理流程申请数字证书，该CA机构对申请数字证书的用户进行验证，验证通过之后向用户颁发数字证书，供用户使用。但是该颁发数字证书的行为仅为CA机构所知，无法实现透明化。

发明内容

本申请实施例提供了一种基于区块链的数字证书管理方法、装置、设备及存储介质，可以解决相关技术中无法实现透明化的问题。该技术方案如下：

一方面，提供了一种基于区块链的数字证书管理方法，该方法包括：

接收第一终端发送的数字证书请求，所述数字证书请求携带用户信息；

对所述用户信息验证通过后生成数字证书，向所述第一终端发送所述数字证书；

生成第一区块，所述第一区块包括所述用户信息和所述数字证书的证书信息；

向所述区块链系统中的其他节点设备广播所述第一区块，由所述区块链系统中的每个节点设备将所述第一区块添加至区块链中。

一方面，提供了一种基于区块链的数字证书管理装置，该装置包括：

请求接收模块，用于接收第一终端发送的数字证书请求，所述数字证书请求携带用户信息；

证书颁发模块，用于对所述用户信息验证通过后生成数字证书，向所述第一终端发送所述数字证书；

第一生成模块，用于生成第一区块，所述第一区块包括所述用户信息和所述数字证书的证书信息；

第一添加模块，用于向所述区块链系统中的其他节点设备广播所述第一区块，由所述区块链系统中的每个节点设备将所述第一区块添加至区块链中。

在一种可能实现方式中，状态查询模块，包括：

第一查询单元，用于在所述区块链中查询包括所述证书信息的最后一个区块，获取所述最后一个区块中所述证书信息的状态信息；或者，

第二查询单元，用于在状态数据库中查询所述证书信息对应的状态信息，所述状态数据库用于存储任一证书信息对应的最新状态信息。

一方面，提供了一种计算机设备，该计算机设备包括一个或多个处理器和一个或多个存储器，该一个或多个存储器中存储有至少一条程序代码，该至少一条程序代码由该一个或多个处理器加载并执行，以实现该基于区块链的数字证书管理方法所执行的操作。

一方面，提供了一种计算机可读存储介质，该计算机可读存储介质中存储有至少一条程序代码，该至少一条程序代码由处理器加载并执行，以实现该基于区块链的数字证书管理方法所执行的操作。

本申请实施例提供的方法、装置、设备及存储介质，接收第一终端发送的数字证书请求，对用户信息验证通过后生成数字证书，向第一终端发送数字证书，生成第一区块，第一区块包括用户信息和数字证书的证书信息，向区块链系统中的其他节点设备广播该第一区块，由该区块链系统中的每个节点设备将该第一区块添加至区块链中。各个节点设备均存储用户信息和数字证书的证书信息，从而对为用户颁发数字证书的行为进行记录，实现了颁发记录的分布式存储，可以有效防止颁发记录被篡改，确保颁发记录的真实性和可靠性，实现了颁发记录的透明化。

并且，本申请实施例中，监管机构和审计机构可以配置区块链系统上的节点设备，节点设备存储的颁发记录中可以包括用户信息和数字证书的证书信息，并且证书信息中还可以包括颁发该数字证书的机构信息。因此，监管机构和审计机构可以确定任一机构颁发的所有数字证书，或者为任一用户颁发的数字证书，便于监管，降低了监管成本，提高了监管准确率。

并且，本申请实施例提供的方法，接收验证设备发送的验证请求，查询证书信息对应的状态信息，向验证设备发送该状态信息。该方法可以直接查询到数字证书的最新状态信息，不需要等待，不存在延时性。并且，不需要用户在线访问OCSP(Online CertificateStatus Protocol，在线证书状态协议)服务器，避免了OCSP服务器负载过重的问题，提高了查询效率，节省了查询成本。

并且，本申请实施例提供的方法，当确定数字证书满足冻结条件时，生成第二区块，向区块链系统中的其他节点设备广播第二区块，由该区块链系统中的每个节点设备将该第二区块添加至区块链中。当确定数字证书满足解冻条件时，生成第三区块，向区块链系统中的其他节点设备广播第三区块，由区块链系统中的每个节点设备将该第三区块添加至区块链中。本申请实施例通过在区块链中更新状态信息的方式，实现对数字证书进行冻结的方法以及对数字证书进行解冻的方法，实现了各个节点设备上状态信息的同步更新，可以有效防止状态信息被篡改，确保状态信息的真实性和可靠性，实现了状态信息的透明化，便于后续用户在使用数字证书时能够快速准确地获取数字证书的状态信息，从而根据数字证书的状态信息进行验证。

并且，本申请实施例提供的方法，当确定数字证书满足注销条件时，生成第四区块，向区块链系统中的其他节点设备广播第四区块，由区块链系统中的每个节点设备将该第四区块添加至区块链中。本申请实施例通过在区块链中更新状态信息的方式，实现对数字证书进行注销的方法，实现了各个节点设备上状态信息的同步更新，可以有效防止状态信息被篡改，确保状态信息的真实性和可靠性，实现了状态信息的透明化，便于后续用户在使用数字证书时能够快速准确地获取数字证书的状态信息，从而根据数字证书的状态信息进行验证。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本申请实施例提供的一种数字证书管理方法的实施环境示意图；

图2是本申请实施例提供的一种区块链系统的示意图；

图3是本申请实施例提供的一种区块链的示意图；

图4是本申请实施例提供的一种数字证书申请方法的流程图；

图5是本申请实施例提供的一种数字证书查询方法的流程图；

图6是本申请实施例提供的一种数字证书验证方法的流程图；

图7是本申请实施例提供的一种数字证书冻结和解冻方法的流程图；

图8是本申请实施例提供的一种数字证书注销方法的流程图；

图9是本申请实施例提供的一种系统架构示意图；

图10是本申请实施例提供的一种操作流程的示意图；

图11是本申请实施例提供的一种数字证书管理装置的结构示意图；

图12是本申请实施例提供的另一种数字证书管理装置的结构示意图；

图13是本申请实施例提供的一种终端的结构示意图；

图14是本申请实施例提供的一种服务器的结构示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合附图对本申请实施方式作进一步地详细描述。

为了便于理解本申请实施例的技术过程，下面对本申请实施例所涉及的一些名词进行解释：

区块链(Blockchain)：是分布式数据存储、点对点传输、共识机制、加密算法等计算机技术的新型应用模式。区块链本质上是一个去中心化的数据库，是一串使用密码学方法相关联产生的数据块，每一个数据块中包含了一次网络交易的信息，用于验证其信息的有效性(防伪)和生成下一个区块，每个区块都包含一个时间戳和一个与前一区块的链接。狭义来讲，区块链是一种按照时间顺序将数据区块以顺序相连的方式组合成的一种链式数据结构，并以密码学方式保证的不可篡改和不可伪造的分布式账本，即区块链中的数据一旦记录下来将不可逆。

联盟链：也称共同体区块链(Consortium Block chains)，是指其共识过程受到预选节点设备控制的区块链。在联盟链中，只针对链内的节点成员开放全部或部分功能，联盟链中的各个节点设备可以基于需要定制读写权限、查询权限等。本申请实施例中，一个或多个特定的CA机构、监管机构等机构参与到区块链中，构成联盟链，通过联盟链管理数字证书。

共识机制(Consensus mechanism)：是区块链系统中实现不同节点之间建立信任、获取权益的数学算法。在区块链系统中，通过特殊节点设备的投票，可以在很短的时间内完成对交易的验证和确认，对一笔交易，如果利益不相干的若干个节点能够达成共识，就可以认为系统中的全部节点设备对此也能够达成共识。

智能合约(Smart contract)：是一种旨在以信息化方式传播、验证或执行合同的计算机协议。区块链系统中的各个节点根据特定条件自动执行的合约程序，可以对链上存储的数据进行操作，是用户与区块链进行交互、利用区块链实现业务逻辑的重要途径。智能合约的目的是提供优于传统合约的安全方法，并减少与合约相关的其他交易成本，它允许在没有第三方的情况下进行可信交易，这些交易可追踪且不可逆转。

公钥(Public Key)与私钥(Private Key)：是通过一种算法得到的一个密钥对(即一个公钥和一个私钥)，公钥是密钥对中公开的部分，私钥则是非公开的部分。公钥通常用于加密数据、验证数字签名等。通过这种算法能够确保得到的密钥对是唯一的，使用这种密钥对的时候，如果用其中一个密钥加密一段数据，必须用另一个密钥解密，例如，用公钥加密数据就必须用私钥解密，如果用私钥加密也必须用公钥解密，否则解密将不会成功。

图1是本申请实施例提供的一种数字证书管理方法的实施环境示意图，参见图1，该实施环境可以包括多个计算机设备，该多个计算机设备可以为区块链系统中的多个节点设备，区块链系统中的任意一个节点设备均可以执行本申请实施例提供的数字证书管理方法中的一个或多个步骤。

该多个计算机设备可以为属于同一个机构的多个节点设备，也可以属于不同的机构的多个节点设备。例如，该多个计算机设备可以均属于同一个CA机构，该CA机构中的每个部门对应于其中的至少一个计算机设备，或者，该多个计算机设备可以属于不同的CA机构，或者该多个计算机设备中的至少一个计算机设备为用户设备，至少一个计算机设备属于CA机构，至少一个计算机设备属于审计机构、监管机构等与CA机构相关的机构，当然，还可以有至少一个计算机设备属于其他机构，例如，金融机构等。

上述多个计算机设备可以为服务器，也可以为终端，本申请实施例对此不做具体限定。

图2是本申请实施例提供的区块链系统的可选结构示意图，参见图2，该区块链系统可以由多个节点设备(接入网络中的任意形式的计算设备，如服务器、用户终端)形成。参见图2示出的区块链系统中各节点设备的功能，涉及的功能包括：

1)路由，节点设备具有的基本功能，用于支持节点设备之间的通信。

节点设备除具有路由功能外，还可以具有以下功能：

2)应用，用于部署在区块链中，根据实际业务需求而实现特定业务，记录实现功能相关的数据形成记录数据，在记录数据中携带数字签名以表示任务数据的来源，将记录数据发送到区块链系统中的其他节点设备，供其他节点设备在验证记录数据来源以及完整性成功时，将记录数据添加到临时区块中。

例如，应用实现的业务包括：

2.1)钱包，用于提供进行电子货币的交易的功能，包括发起交易(即，将当前交易的交易记录发送给区块链系统中的其他节点设备，其他节点设备验证成功后，作为承认交易有效的响应，将交易的记录数据存入区块链的临时区块中；当然，钱包还支持查询电子货币地址中剩余的电子货币；

2.2)共享账本，用于提供账目数据的存储、查询和修改等操作的功能，将对账目数据的操作的记录数据发送到区块链系统中的其他节点设备，其他节点设备验证有效后，作为承认账目数据有效的响应，将记录数据存入临时区块中，还可以向发起操作的节点设备发送确认。

图3是本申请实施例提供的区块结构(Block Structure)一个可选的示意图，参见图3，每个区块中包括本区块存储交易记录的哈希值(本区块的哈希值)、以及前一区块的哈希值，各区块通过哈希值连接形成区块链。另外，区块中还可以包括有区块生成时的时间戳等信息。区块链(Blockchain)，本质上是一个去中心化的数据库，是一串使用密码学方法相关联产生的数据块，每一个数据块中包含了相关的信息，用于验证其信息的有效性(防伪)和生成下一个区块。

本申请实施例提供的数字证书管理方法，包括证书申请、证书查询、证书验证、证书冻结、证书解冻以及证书注销。因此，以下实施例分别对上述几种证书管理方法进行说明。

图4是本申请实施例提供的一种数字证书申请方法的流程图，该数字证书申请方法可以应用于该区块链系统中的任一节点设备，参见图4，该方法包括：

401、节点设备接收第一终端发送的数字证书请求。

其中，第一终端为用户申请数字证书时使用的设备，该第一终端可以为便携式、袖珍式、手持式等多种类型的终端，如手机、计算机、平板电脑等。该节点设备可以为该区块链系统中用于生成数字证书的设备，可以为终端或者服务器或者其他类型的设备，且该节点设备可以属于CA机构或者其他机构。

第一终端向节点设备发送数字证书请求，来申请数字证书，节点设备接收该数字证书请求，对该数字证书请求进行处理，从而为第一终端生成数字证书。

其中，该数字证书请求携带用户信息，该用户信息用于表示用户的身份。该用户可以为个人、企业或者其他组织。在一种可能实现方式中，用户信息包括用户标识。当用户为个人时，该用户标识可以为用户姓名、证件号码等用来表示该用户身份的信息；当用户为企业时，该用户标识可以为企业名称、机构代码或者其他用来表示该用户身份的信息。另外，该用户信息还可以包括用户的性别、年龄、联系方式等信息。

在一种可能实现方式中，第一终端安装有用于管理数字证书的目标应用，该节点设备可以为与目标应用关联的目标应用服务器，该目标应用服务器为目标应用提供服务。则在该目标应用中用户可以触发生成数字证书的操作，第一终端通过该目标应用检测到该操作时，向节点设备发送数字证书请求，且该数字证书请求携带该目标应用登录的用户信息。

在另一种可能实现方式中，第一终端检测到本端未生成数字证书时，即可自动向节点设备发送数字证书请求，且该数字证书请求携带该第一终端本地存储的用户信息。

402、节点设备对用户信息验证通过后生成数字证书。

节点设备接收到第一终端发送的数字证书请求后，需要对该请求携带的用户信息进行验证，只有当用户信息验证通过之后才会生成与用户信息对应的唯一数字证书。

其中，可以通过多种方式对用户信息进行验证，例如，用户信息中包括电话号码，则可以通过向该电话号码发送验证码来验证电话号码是否准确，或者，节点设备要求第一终端的用户提供身份证明文件等资料，通过核对身份证明文件与用户信息是否一致来进一步验证用户的身份。或者还可以采用其他方式验证用户信息。

对用户信息进行验证之后，如果验证通过，则生成与该用户信息对应的数字证书。如果验证不通过，则不生成数字证书，向第一终端发送验证失败消息，通知第一终端用户信息验证失败。

在一种可能实现方式中，可以为第一终端分配公钥和私钥，公钥和私钥构成一对密钥对，公钥是密钥对中公开的部分，区块链系统中的任意节点设备均可获取该公钥，私钥是密钥对中私有的部分，仅第一终端可拥有该私钥。该数字证书请求可以携带第一终端的公钥，该节点设备对用户信息验证通过后，根据该节点设备所属的颁发机构的机构信息，对该用户信息和该公钥进行签名，得到数字证书。其中，颁发结构可以为CA机构或者其他机构，机构信息用于表示该颁发结构的身份。数字证书经过颁发结构签名确认，代表颁发结构已确认该数字证书的真实性。

403、节点设备向第一终端发送数字证书。

节点设备将生成的数字证书发送给第一终端，第一终端接收到该数字证书，将该数字证书进行存储，在后续进行操作时使用该数字证书来表示用户信息的身份已经验证通过。例如，该操作可以包括对网页进行访问的操作、发送电子邮件的操作、网络购物操作或者其他操作。

404、节点设备生成第一区块。

节点设备生成数字证书时，生成第一区块。第一区块包括用户信息和数字证书的证书信息。其中，证书信息用于对数字证书进行描述，与数字证书一一对应，该证书信息中可以包括数字证书编号、数字证书的有效期、第一终端的公钥、节点设备所属的颁发机构的机构信息，还可以包括其他信息。

在一种可能实现方式中，节点设备生成该第一区块的过程可以包括：将区块链中最后一个区块称为上一区块，节点设备可以从区块链中获取该上一区块的信息，从而可以基于该上一区块的信息，生成上一区块的区块头特征值，对需要存入该第一区块中的用户信息和数字证书的证书信息等信息进行特征值计算，得到该第一区块的区块主体特征值，进而，该节点设备可以将上一区块的区块头特征值、第一区块的区块主体特征值存储至第一区块的区块头，并将用户信息和数字证书的证书信息等信息存储至第一区块的区块主体，从而生成第一区块。这样该上一区块和第一区块通过上一区块的区块头特征值相关，可以实现在区块链中区块串联起来的目的，使得后一个区块能够用于验证前一个区块是否正确。需要说明的是，上述对区块生成过程的说明仅是一种区块生成方式的示例性描述，本发明实施例对具体采用哪种区块生成方式不做限定。

另外，数字证书具有多种状态，如正常状态、冻结状态以及注销状态等，相应的，数字证书具有用于表示当前所处状态的状态信息。该状态信息用来表示该数字证书是否能够正常使用。则在使用该数字证书的过程中，通过获取状态信息，可以判断该数字证书是否能够正常使用，当状态信息为正常状态信息时，表示该数字证书可以正常使用，当状态信息为冻结状态信息或者注销状态信息时，表示该数字证书不可以正常使用。

因此，当节点设备生成数字证书时，将数字证书的状态信息设置为正常状态信息，在生成第一区块时，第一区块中也可以包括正常状态信息，以表示该数字证书处于正常状态，可以正常使用。

405、节点设备向区块链系统中的其他节点设备广播该第一区块，由该区块链系统中的每个节点设备将该第一区块添加至区块链中。

区块链系统中包括多个节点设备，每个节点设备配置有相同的区块链，则步骤404中的节点设备生成第一区块后，向区块链系统中的其他节点设备广播该第一区块，则其他节点设备也会接收到该第一区块，此时由该区块链系统中的每个节点设备将该第一区块添加至区块链中。

在一种可能实现方式中，将第一区块添加至区块链中的过程可以包括：由区块链系统中的多个节点设备对该第一区块进行共识，该第一区块通过共识后，将第一区块添加至区块链中。

其中，每个节点设备对第一区块进行共识，来确定该第一区块中的信息是否准确，也即是对该第一区块中的信息进行验证。并各自在该区块链系统中广播验证结果，当该区块链系统中验证结果为通过的节点设备的数目大于目标比例时，该区块链系统可以确定该第一区块共识通过，则由区块链系统中的每个节点设备将该第一区块添加至区块链中。其中，该目标比例可以由开发人员进行设置，本申请实施例对此不做限定。上述共识过程可以基于共识机制实现，例如，该共识机制可以为用户身份证明机制或者其他机制。需要说明的是，上述共识过程仅为一种示例性描述，本发明实施例对此不做限定。

该第一区块通过共识后，该区块链系统中的任一节点设备可以存储该数字证书，各个节点设备存储的数字证书一致，可以实现数字证书的分布式存储，确保数字证书的真实性和透明性。

需要说明的一点是，本申请实施例是以步骤403在步骤404-405之前执行为例，在另一实施例中，可以先执行步骤404-405，再执行步骤403，或者，还可以同时执行步骤403和步骤404-405，本申请实施例对步骤执行的先后顺序不做限定。

需要说明的另一点是，本申请实施例仅是以任一节点设备为例进行说明，在另一实施例中，区块链系统可以包括多个节点设备，多个节点设备均可执行本申请实施例中提供的数字证书申请方法。或者，本申请实施例中提供的数字证书申请发放可以由区块链中的多个节点设备配合执行。

例如，第一节点设备接收到第一终端发送的数字证书请求后，对用户信息验证通过后，向第二节点设备发送验证通过消息，该验证通过消息中携带用户信息。第二节点设备接收到该验证通过消息后，生成第一区块，向区块链系统中的其他节点设备广播第一区块，由区块链系统中的每个节点设备将第一区块添加至区块链中。其中，第一节点设备可以为具有验证功能的节点设备，而第二节点设备可以为具有颁发数字证书功能的节点设备。例如，第二节点设备属于CA机构，负责颁发和管理数字证书，而第一节点设备属于CA机构下属的RA(Registration Authority，证书注册审批系统)机构，负责验证用户身份。

本申请实施例提供的方法，接收第一终端发送的数字证书请求，对用户信息验证通过后生成数字证书，向第一终端发送数字证书，生成第一区块，第一区块包括用户信息和数字证书的证书信息，向区块链系统中的其他节点设备广播该第一区块，由该区块链系统中的每个节点设备将该第一区块添加至区块链中。各个节点设备均存储用户信息和数字证书的证书信息，从而对为用户颁发数字证书的行为进行记录，实现了颁发记录的分布式存储，可以有效防止颁发记录被篡改，确保颁发记录的真实性和可靠性，实现了颁发记录的透明化。

另外，相关技术中，监管机构和审计机构对CA机构进行监管时，由于证书颁发的不透明性，监管机构只能根据已知的数字证书，确定该数字证书的颁发机构，但是不能够了解某一CA机构颁发了哪些数字证书，导致监管成本高，并且监管不准确。

而本申请实施例中，监管机构和审计机构可以配置区块链系统上的节点设备，节点设备存储的颁发记录中可以包括用户信息和数字证书的证书信息，并且证书信息中还可以包括颁发该数字证书的机构信息。因此，监管机构和审计机构可以确定任一机构颁发的所有数字证书，或者为任一用户颁发的数字证书，便于监管，降低了监管成本，提高了监管准确率。

任一用户可以采用上述实施例提供的方法申请一个或多个数字证书。并且，还可以对已申请过的数字证书进行查询。

图5是本申请实施例提供的一种数字证书查询方法的流程图，该数字证书查询方法可以应用于该区块链系统中的任一节点设备，参见图5，该方法包括：

501、节点设备接收第二终端发送的查询请求。

其中，第二终端为用户查询数字证书时使用的设备，该第二终端可以为便携式、袖珍式、手持式等多种类型的终端，如手机、计算机、平板电脑等。该第二终端与上述实施例中的第一终端可以相同，也可以不同。

第二终端向节点设备发送查询请求，该查询请求携带用户信息，用于请求查询该用户信息对应的证书信息。节点设备接收该查询请求，对该查询请求进行处理。

在一种可能实现方式中，第二终端安装有用于管理数字证书的目标应用，该节点设备可以为与目标应用关联的目标应用服务器，该目标应用服务器为目标应用提供服务。则在该目标应用中用户可以触发查询数字证书的操作，第二终端通过该目标应用检测到该操作时，向节点设备发送查询请求，且该查询请求携带该目标应用登录的用户信息。

502、节点设备在区块链中查询用户信息对应的至少一个证书信息。

在区块链中存储证书信息时，证书信息与用户信息存在对应关系。因此，节点设备接收到第二终端发送的查询请求后，获取该查询请求携带的用户信息，在区块链中查询该用户信息对应的至少一个证书信息。其中，查询的证书信息包括该用户信息对应的数字证书的名称、颁发机构信息等。

其中，在区块链中查询该用户信息对应的证书信息可以包括：在区块链中查询包括该用户信息的至少一个区块，获取该至少一个区块中存储的证书信息，从而得到至少一个证书信息。

在另一实施例中，当在该区块链中未查询到该用户信息对应的证书信息时，节点设备向第二终端发送查询失败消息，以通知第二终端未查询到申请过的数字证书。

503、节点设备向第二终端发送该至少一个证书信息。

第二终端接收到至少一个证书信息之后，可以显示该至少一个证书信息，供用户查看，用户可以了解利用自己的身份申请过的数字证书的证书信息，查看其中自己实际申请过的数字证书，以及由其他人冒用自己身份而申请的数字证书，以便及时地对其他人冒用自己身份而申请的数字证书进行处理，

本申请实施例提供的方法，接收第二终端发送的查询请求，在区块链中查询用户信息对应的至少一个证书信息，向第二终端发送该至少一个证书信息。本申请实施例提供了一种查询证书信息的方式，任一用户均可查询到采用用户信息申请过的数字证书的证书信息，从而了解利用用户身份申请过的全部数字证书的证书信息，查看其中自己实际申请过的数字证书，以及由其他人冒用自己身份而申请的数字证书，以便及时地对其他人冒用自己身份而申请的数字证书进行处理，可以及时避免用户的身份被冒用，提高安全性。

第一终端申请数字证书之后，在后续进行操作时会使用该数字证书，将该数字证书提供给该操作相关的验证设备，由验证设备对该数字证书的有效性进行验证，验证通过后才允许第一终端进行该操作。

图6是本申请实施例提供的一种数字证书验证方法的流程图，该数字证书验证方法可以应用于该区块链系统中的任一节点设备，参见图6，该方法包括：

601、节点设备接收验证设备发送的验证请求。

其中，验证设备用于对数字证书进行验证，验证设备可以为任一机构的设备，例如，可以为金融机构的验证设备、门户网站的验证设备或者为其他机构的验证设备。该验证设备可以为终端或者服务器，例如，可以为便携式、袖珍式、手持式等多种类型的终端，如手机、计算机、平板电脑等，或者为一台服务器，或者由若干台服务器组成的服务器集群，或者是一个云计算服务中心。

例如，第一终端在进行网上转账时，向银行配置的服务器发送转账请求，并向服务器提供数字证书的证书信息，此时服务器作为验证设备，需要数字证书的证书信息进行验证，才能确认第一终端设备的身份。因此向节点设备发送验证请求。其中，该验证请求携带数字证书的证书信息。

602、节点设备查询该证书信息对应的状态信息。

节点设备接收到验证设备发送的验证请求后，查询该证书信息对应的状态信息。

在一种可能实现方式中，节点设备将证书信息和状态信息存储于区块链中，每次更新某一数字证书的状态信息时，还会将证书信息和更新后的状态信息存储于区块链中。因此节点设备在进行证书验证时，在区块链中查询包括证书信息的最后一个区块，获取最后一个区块中证书信息的状态信息。最后一个区块中存储的即为证书信息对应的最新状态信息。

在另一种可能实现方式中，节点设备设置状态数据库，状态数据库用于存储任一证书信息对应的最新状态信息。则在节点设备生成数字证书时，将证书信息和状态信息存储于状态数据库中，或者，在每次更新某一数字证书的状态信息时，还会将证书信息和更新后的状态信息存储于状态数据库中。

因此，节点设备在进行证书验证时，在状态数据库中查询证书信息对应的状态信息。

603、节点设备向验证设备发送状态信息。

604、验证设备接收该状态信息，根据该状态信息确定该数字证书的验证结果。

节点设备将查询到的状态信息发送给验证设备，之后验证设备根据接收到的状态信息确定数字证书是否有效，从而确定数字证书的验证结果。

例如，验证设备接收到的状态信息为正常状态信息，则确定该数字证书当前处于正常状态，确定验证结果为验证通过，则允许第一终端进行操作。

需要说明的是，本申请实施例仅是以验证数字证书的状态信息为例进行说明，而在实际应用中，不仅可以验证数字证书的状态信息，还可以验证其他信息。

在一种可能实现方式中，该证书信息中包括数字证书的有效期，该有效期用于表示该数字证书的使用期限，验证设备通过解析证书信息获得该数字证书的有效期，如果当前时间在数字证书的有效期内，则该数字证书验证通过，可以正常使用；如果当前时间不在数字证书的有效期内，则该数字证书不在有效期内，验证失败，不可以正常使用。

在一种可能实现方式中，该数字证书的证书信息中包括节点设备所属的颁发机构的机构信息，该机构信息中可以包括该机构的数字证书，表示用户申请的数字证书是由该机构的数字证书进行签名确认的。而该机构的数字证书又是由另一个数字证书进行签名确认的。

因此，验证设备在进行验证时，可以从数字证书的证书信息开始，依次回溯，就得到一条证书链，直至到达根证书为止，对该证书链上的每个数字证书进行验证，当验证到根证书时结束验证。其中，根证书是机构自己给自己签名的证书，根证书认为是可信的。

本申请实施例提供的方法，接收验证设备发送的验证请求，查询证书信息对应的状态信息，向验证设备发送该状态信息。该方法可以快速准确地查询数字证书的状态信息，提高了验证效率，降低了验证成本。

相关技术中，对数字证书进行验证时，采用CRL(Certification RevocationList，证书吊销列表)文件方式进行验证，将数字证书的状态信息存储在该CRL文件中，验证设备通过下载该CRL文件，获取该CRL文件中数字证书的状态信息，对数字证书进行验证。但是，CRL文件存在有效期，并且在到达有效期之前，该CRL文件不会进行更新，如果验证设备下载CRL文件之后，需要验证的数字证书的状态信息改变了，那么验证设备下载的CRL文件中的状态信息不会立即更新，需要等到到达有效期之后才会进行更新，因此采用CRL文件验证数字证书的状态信息存在延时性。

或者，采用OCSP对数字证书进行验证，使用OCSP验证必须保持用户在线状态，且用户访问的对象集中在CA机构的OCSP服务器上，每当用户使用数字证书时，都会对OCSP服务器进行访问，造成OCSP服务器负载过重，此时效率低，成本高的问题。

本申请实施例提供的方法，可以直接查询到数字证书的最新状态信息，不需要等待，不存在延时性。并且，不需要用户在线访问OCSP服务器，避免了OCSP服务器负载过重的问题，提高了查询效率，节省了查询成本。

数字证书的状态信息可以包括多种，且数字证书的状态信息还可以进行更新。图7是本申请实施例提供的一种数字证书冻结和解冻方法的流程图，该方法可以应用于该区块链系统中的任一节点设备，参见图7，该方法包括：

701、当节点设备确定数字证书满足冻结条件时，生成第二区块。

节点设备可以设置数字证书的冻结条件，对于每个数字证书来说，节点设备可以判断该数字证书是否满足冻结条件，当确定数字证书满足冻结条件时，对该数字证书进行冻结。

在一种可能实现方式中，冻结条件包括数字证书到期。则节点设备获取数字证书的证书信息中包括的有效期，如果确定当前时间已经不属于该有效期内，表示数字证书已到期，则确定数字证书满足冻结条件。

在另一种可能实现方式中，冻结条件包括用户申请冻结。数字证书对应的终端丢失或者损坏，则用户在终端上触发对数字证书的冻结请求，该冻结请求携带数字证书的证书信息。终端向节点设备发送该冻结请求，节点设备接收到该冻结请求时，确定数字证书满足冻结条件。

另外，冻结条件中还可以包括数字证书的使用规则，如不允许执行的操作、允许执行操作的操作频率等，当该数字证书在使用过程中违反了数字证书的使用规则，则确定数字证书满足冻结条件。

702、节点设备向区块链系统中的其他节点设备广播第二区块，由该区块链系统中的每个节点设备将该第二区块添加至区块链中。

当节点设备确定数字证书满足冻结条件时，为了冻结该数字证书，可以生成第二区块，该第二区块包括用户信息、数字证书的证书信息和冻结状态信息。之后即可将第二区块添加到区块链系统中。通过在区块链中添加该数字证书的冻结状态信息，可以表示该数字证书已经由正常状态切换为冻结状态，也即是该数字证书已经冻结，无法正常使用。

该第二区块的生成过程和添加过程与上述实施例中第一区块的生成过程和添加过程类似，不再一一赘述。

703、当节点设备确定数字证书满足解冻条件时，生成第三区块。

节点设备可以设置数字证书的解冻条件，对于每个处于冻结状态的数字证书来说，节点设备可以判断该数字证书是否满足解冻条件，当确定数字证书满足解冻条件时，对该数字证书进行解冻。

在一种可能实现方式中，解冻条件包括申请冻结的用户申请解冻。当用户找回数字证书对应的终端或者终端修复时，用户在终端上触发对数字证书的解冻请求，该解冻请求携带数字证书的证书信息。终端向节点设备发送解冻请求，节点设备接收该解冻请求时，确定数字证书满足解冻条件。

需要说明的是，只有用户申请冻结的数字证书，在满足解冻条件后才能够进行解冻；而对于由于数字证书到期或者违反了数字证书的使用规则等情况而冻结的数字证书，则不能进行解冻，用户需要重新申请数字证书。

704、节点设备向区块链系统中的其他节点设备广播第三区块，由区块链系统中的每个节点设备将该第三区块添加至区块链中。

当节点设备确定数字证书满足解冻条件时，为了解冻该数字证书，可以生成第三区块，该第三区块包括用户信息、数字证书的证书信息和正常状态信息。之后即可将第三区块添加到区块链中。通过在区块链中添加该数字证书的正常状态信息，可以表示该数字证书已经由冻结状态切换为正常状态，也即是该数字证书已经解冻，可以正常使用。

该第三区块的生成过程和添加过程与上述实施例中第一区块的生成过程和添加过程类似，不再一一赘述。

本申请实施例提供的方法，当确定数字证书满足冻结条件时，生成第二区块，向区块链系统中的其他节点设备广播第二区块，由该区块链系统中的每个节点设备将该第二区块添加至区块链中。当确定数字证书满足解冻条件时，生成第三区块，向区块链系统中的其他节点设备广播第三区块，由区块链系统中的每个节点设备将该第三区块添加至区块链中。本申请实施例通过在区块链中更新状态信息的方式，实现对数字证书进行冻结的方法以及对数字证书进行解冻的方法，实现了各个节点设备上状态信息的同步更新，可以有效防止状态信息被篡改，确保状态信息的真实性和可靠性，实现了状态信息的透明化，便于后续用户在使用数字证书时能够快速准确地获取数字证书的状态信息，从而根据数字证书的状态信息进行验证。

图8是本申请实施例提供的一种数字证书注销方法的流程图，该数字证书注销方法可以应用于该区块链系统中的任一节点设备，参见图8，该方法包括：

801、当节点设备确定数字证书满足注销条件时，生成第四区块。

节点设备可以设置数字证书的注销条件，对于每个数字证书来说，节点设备可以判断该数字证书是否满足注销条件，当确定数字证书满足注销条件时，对该数字证书进行注销。

在一种可能实现方式中，注销条件包括数字证书到期。则节点设备获取数字证书的证书信息中包括的有效期，如果确定当前时间已经不属于该有效期内，表示数字证书已到期，则确定数字证书满足注销条件。

在另一种可能实现方式中，注销条件包括用户申请注销。当用户不需要该数字证书时，用户可以在终端上触发对数字证书的注销请求，该注销请求携带数字证书的证书信息。终端向节点设备发送该注销请求，节点设备接收到该注销请求时，确定数字证书满足注销条件。

或者，该注销条件还可以包括监管机构或审计机构配置的节点设备申请注销，当监管机构或审计机构确定数字证书不满足使用规则时，可以通过配置的节点设备触发对数字证书的注销请求，该注销请求携带数字证书的证书信息。节点设备接收到该注销请求时，确定数字证书满足注销条件。

802、节点设备向区块链系统中的其他节点设备广播第四区块，由区块链系统中的每个节点设备将该第四区块添加至区块链中。

当节点设备确定数字证书满足注销条件时，为了注销该数字证书，可以生成第四区块，该第四区块包括用户信息、数字证书的证书信息和注销状态信息。之后即可将第四区块添加到区块链系统中。通过在区块链中添加该数字证书的注销状态信息，可以表示该数字证书已经由正常状态切换为注销状态，也即是该数字证书已经注销，无法正常使用。

该第四区块的生成过程和添加过程与上述实施例中第一区块的生成过程和添加过程类似，不再一一赘述。

需要说明的是，本申请实施例中的数字证书注销与上述实施例中的数字证书冻结所不同的是，数字证书冻结之后还可以进行解冻，解冻的数字证书可以继续使用，而数字证书注销之后不能够恢复。

本申请实施例提供的方法，当确定数字证书满足注销条件时，生成第四区块，向区块链系统中的其他节点设备广播第四区块，由区块链系统中的每个节点设备将该第四区块添加至区块链中。本申请实施例通过在区块链中更新状态信息的方式，实现对数字证书进行注销的方法，实现了各个节点设备上状态信息的同步更新，可以有效防止状态信息被篡改，确保状态信息的真实性和可靠性，实现了状态信息的透明化，便于后续用户在使用数字证书时能够快速准确地获取数字证书的状态信息，从而根据数字证书的状态信息进行验证。

需要说明的是，上述实施例中的处理过程可以进行任意形式的组合，构成本申请实施例的数字证书管理方法。并且上述处理过程之间独立进行，可以同时进行，也可以一前一后进行，本申请实施例对各个处理过程之间的时序关系不做限定。例如，用户可以采用上述实施例中的证书申请方法来申请数字证书，获得数字证书之后，用户可以采用上述实施例中的证书查询方法来查询该数字证书，当用户使用该数字证书时，验证设备可以采用上述实施例中的证书验证方法对该数字证书进行验证。当满足上述实施例中的数字证书的冻结条件、解冻条件或者注销条件时，可以相应地更新该数字证书的状态信息。

并且，本发明实施例中的节点设备可以为区块链系统中的任一节点设备，生成数字证书、查询数字证书状态、对数字证书进行验证或者对数字证书进行冻结、解冻或注销的节点设备可以为同一节点设备，也可以为不同的节点设备。

需要说明的另一点是，图9是本申请实施例提供的一种系统架构示意图，参见图9，管理数字证书的相关部门包括密钥管理中心、CA机构设备、RA机构设备、LDAP(LightweightDirectory Access，轻量目录访问协议)设备和OCSP设备、监管服务设备和审计服务设备。其中，KMC(Key Management Center，密钥管理中心)用于为CA机构提供密钥服务，例如密钥的生成、保存以及更新等；CA机构设备用于对数字证书进行管理；RA机构设备用于对数字证书进行验证审批；LDAP设备用于对用户信息、数字证书的证书信息进行存储；OCSP设备用于在线验证数字证书；监管服务设备和审计服务设备用于对该CA机构颁发的数字证书进行监管。另外，终端上可以安装远程RA，通过远程RA进行数字证书申请、数字证书查询等操作。

其中，CA机构设备、监管服务设备和审计服务设备作为区块链系统的节点设备，CA机构设备生成数字证书后，将数字证书的证书信息存储于区块链中，由监管服务设备和审计服务设备对区块链系统中数字证书的证书信息进行监管。

在图9所示的系统架构的基础上，在一种可能实现方式中，图10是本申请实施例提供的一种操作流程的示意图，参见图10，首先，由密钥管理中心对CA机构设备、RA机构设备或其他设备本身的数字证书进行初始化，以签名确认这些设备的身份。之后，终端选择任一CA机构设备进行访问，请求CA机构颁发数字证书，或者查询数字证书等。

图11是本申请实施例提供的一种数字证书管理装置的结构示意图，参见图11，该装置包括：

请求接收模块1101，用于接收第一终端发送的数字证书请求，数字证书请求携带用户信息；

证书颁发模块1102，用于对用户信息验证通过后生成数字证书，向第一终端发送数字证书；

第一生成模块1103，用于生成第一区块，第一区块包括用户信息和数字证书的证书信息；

第一添加模块1104，用于向区块链系统中的其他节点设备广播第一区块，由区块链系统中的每个节点设备将第一区块添加至区块链中。

在一种可能实现方式中，参见图12，该装置还包括：

查询请求接收模块1105，用于接收第二终端发送的查询请求，查询请求携带用户信息；

查询模块1106，用于在区块链中查询用户信息对应的至少一个证书信息；

发送模块1107，用于向第二终端发送至少一个证书信息。

在一种可能实现方式中，参见图12，该装置还包括：

验证请求接收模块1108，用于接收验证设备发送的验证请求，验证请求携带数字证书的证书信息；

状态查询模块1109，用于查询证书信息对应的状态信息，向验证设备发送状态信息。

在一种可能实现方式中，参见图12，状态查询模块1109，包括：

第一查询单元11091，用于在区块链中查询包括证书信息的最后一个区块，获取最后一个区块中证书信息的状态信息；或者，

第二查询单元11092，用于在状态数据库中查询证书信息对应的状态信息，状态数据库用于存储任一证书信息对应的最新状态信息。

在一种可能实现方式中，参见图12，该装置还包括：

第二生成模块1110，用于当确定数字证书满足冻结条件时，生成第二区块，第二区块包括用户信息、数字证书的证书信息和冻结状态信息；

第二添加模块1111，用于向区块链系统中的其他节点设备广播第二区块，由区块链系统中的每个节点设备将第二区块添加至区块链中。

在一种可能实现方式中，参见图12，该装置还包括：

第三生成模块1112，用于当确定数字证书满足解冻条件时，生成第三区块，第三区块包括用户信息、数字证书的证书信息和正常状态信息；

第三添加模块1113，用于向区块链系统中的其他节点设备广播第三区块，由区块链系统中的每个节点设备将第三区块添加至区块链中。

在一种可能实现方式中，参见图12，该装置还包括：

第四生成模块1114，用于当确定数字证书满足注销条件时，生成第四区块，第四区块包括用户信息、数字证书的证书信息和注销状态信息；

第四添加模块1115，用于向区块链系统中的其他节点设备广播第四区块，由区块链系统中的每个节点设备将第四区块添加至区块链中。

上述所有可选技术方案，可以采用任意结合形成本申请的可选实施例，在此不再一一赘述。

需要说明的是：上述实施例提供的基于区块链的数字证书管理装置在进行数字证书管理时，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将节点设备的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。另外，上述实施例提供的基于区块链的数字证书管理装置与基于区块链的数字证书管理方法实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。

上述技术方案所提供的计算机设备可以实现为终端或服务器，例如，图13是本申请实施例提供的一种终端的结构示意图。该终端1300可以是：智能手机、平板电脑、MP3播放器(Moving Picture Experts Group Audio Layer III，动态影像专家压缩标准音频层面3)、MP4(Moving Picture Experts Group Audio Layer IV，动态影像专家压缩标准音频层面4)播放器、笔记本电脑或台式电脑。终端1300还可能被称为用户设备、便携式终端、膝上型终端、台式终端等其他名称。

通常，终端1300包括有：一个或多个处理器1301和一个或多个存储器1302。

处理器1301可以包括一个或多个处理核心，比如4核心处理器、8核心处理器等。处理器1301可以采用DSP(Digital Signal Processing，数字信号处理)、FPGA(Field－Programmable Gate Array，现场可编程门阵列)、PLA(Programmable Logic Array，可编程逻辑阵列)中的至少一种硬件形式来实现。处理器1301也可以包括主处理器和协处理器，主处理器是用于对在唤醒状态下的数据进行处理的处理器，也称CPU(Central ProcessingUnit，中央处理器)；协处理器是用于对在待机状态下的数据进行处理的低功耗处理器。在一些实施例中，处理器1301可以在集成有GPU(Graphics Processing Unit，图像处理器)，GPU用于负责显示屏所需要显示的内容的渲染和绘制。一些实施例中，处理器1301还可以包括AI(Artificial Intelligence，人工智能)处理器，该AI处理器用于处理有关机器学习的计算操作。

存储器1302可以包括一个或多个计算机可读存储介质，该计算机可读存储介质可以是非暂态的。存储器1302还可包括高速随机存取存储器，以及非易失性存储器，比如一个或多个磁盘存储设备、闪存存储设备。在一些实施例中，存储器1302中的非暂态的计算机可读存储介质用于存储至少一个指令，该至少一个指令用于被处理器1301所执行以实现本申请中方法实施例提供的基于区块链的数字证书管理方法。

在一些实施例中，终端1300还可选包括有：外围设备接口1303和至少一个外围设备。处理器1301、存储器1302和外围设备接口1303之间可以通过总线或信号线相连。各个外围设备可以通过总线、信号线或电路板与外围设备接口1303相连。具体地，外围设备包括：射频电路1304、显示屏1305、摄像头组件1306、音频电路1307和电源1309中的至少一种。

外围设备接口1303可被用于将I/O(Input/Output，输入/输出)相关的至少一个外围设备连接到处理器1301和存储器1302。在一些实施例中，处理器1301、存储器1302和外围设备接口1303被集成在同一芯片或电路板上；在一些其他实施例中，处理器1301、存储器1302和外围设备接口1303中的任意一个或两个可以在单独的芯片或电路板上实现，本实施例对此不加以限定。

射频电路1304用于接收和发射RF(Radio Frequency，射频)信号，也称电磁信号。射频电路1304通过电磁信号与通信网络以及其他通信设备进行通信。射频电路1304将电信号转换为电磁信号进行发送，或者，将接收到的电磁信号转换为电信号。可选地，射频电路1304包括：天线系统、RF收发器、一个或多个放大器、调谐器、振荡器、数字信号处理器、编解码芯片组、用户身份模块卡等等。射频电路1304可以通过至少一种无线通信协议来与其它终端进行通信。该无线通信协议包括但不限于：城域网、各代移动通信网络(2G、3G、4G及5G)、无线局域网和/或WiFi(Wireless Fidelity，无线保真)网络。在一些实施例中，射频电路1304还可以包括NFC(Near Field Communication，近距离无线通信)有关的电路，本申请对此不加以限定。

显示屏1305用于显示UI(User Interface，用户界面)。该UI可以包括图形、文本、图标、视频及其它们的任意组合。当显示屏1305是触摸显示屏时，显示屏1305还具有采集在显示屏1305的表面或表面上方的触摸信号的能力。该触摸信号可以作为控制信号输入至处理器1301进行处理。此时，显示屏1305还可以用于提供虚拟按钮和/或虚拟键盘，也称软按钮和/或软键盘。在一些实施例中，显示屏1305可以为一个，设置终端1300的前面板；在另一些实施例中，显示屏1305可以为至少两个，分别设置在终端1300的不同表面或呈折叠设计；在再一些实施例中，显示屏1305可以是柔性显示屏，设置在终端1300的弯曲表面上或折叠面上。甚至，显示屏1305还可以设置成非矩形的不规则图形，也即异形屏。显示屏1305可以采用LCD(Liquid Crystal Display，液晶显示屏)、OLED(Organic Light-Emitting Diode,有机发光二极管)等材质制备。

摄像头组件1306用于采集图像或视频。可选地，摄像头组件1306包括前置摄像头和后置摄像头。通常，前置摄像头设置在终端的前面板，后置摄像头设置在终端的背面。在一些实施例中，后置摄像头为至少两个，分别为主摄像头、景深摄像头、广角摄像头、长焦摄像头中的任意一种，以实现主摄像头和景深摄像头融合实现背景虚化功能、主摄像头和广角摄像头融合实现全景拍摄以及VR(Virtual Reality，虚拟现实)拍摄功能或者其它融合拍摄功能。在一些实施例中，摄像头组件1306还可以包括闪光灯。闪光灯可以是单色温闪光灯，也可以是双色温闪光灯。双色温闪光灯是指暖光闪光灯和冷光闪光灯的组合，可以用于不同色温下的光线补偿。

音频电路1307可以包括麦克风和扬声器。麦克风用于采集用户及环境的声波，并将声波转换为电信号输入至处理器1301进行处理，或者输入至射频电路1304以实现语音通信。出于立体声采集或降噪的目的，麦克风可以为多个，分别设置在终端1300的不同部位。麦克风还可以是阵列麦克风或全向采集型麦克风。扬声器则用于将来自处理器1301或射频电路1304的电信号转换为声波。扬声器可以是传统的薄膜扬声器，也可以是压电陶瓷扬声器。当扬声器是压电陶瓷扬声器时，不仅可以将电信号转换为人类可听见的声波，也可以将电信号转换为人类听不见的声波以进行测距等用途。在一些实施例中，音频电路1307还可以包括耳机插孔。

电源1309用于为终端1300中的各个组件进行供电。电源1309可以是交流电、直流电、一次性电池或可充电电池。当电源1309包括可充电电池时，该可充电电池可以支持有线充电或无线充电。该可充电电池还可以用于支持快充技术。

在一些实施例中，终端1300还包括有一个或多个传感器1310。该一个或多个传感器1310包括但不限于：加速度传感器1311、陀螺仪传感器1312、压力传感器1313、光学传感器1315以及接近传感器1316。

加速度传感器1311可以检测以终端1300建立的坐标系的三个坐标轴上的加速度大小。比如，加速度传感器1311可以用于检测重力加速度在三个坐标轴上的分量。处理器1301可以根据加速度传感器1311采集的重力加速度信号，控制显示屏1305以横向视图或纵向视图进行用户界面的显示。加速度传感器1311还可以用于游戏或者用户的运动数据的采集。

陀螺仪传感器1312可以检测终端1300的机体方向及转动角度，陀螺仪传感器1312可以与加速度传感器1311协同采集用户对终端1300的3D动作。处理器1301根据陀螺仪传感器1312采集的数据，可以实现如下功能：动作感应(比如根据用户的倾斜操作来改变UI)、拍摄时的图像稳定、游戏控制以及惯性导航。

压力传感器1313可以设置在终端1300的侧边框和/或显示屏1305的下层。当压力传感器1313设置在终端1300的侧边框时，可以检测用户对终端1300的握持信号，由处理器1301根据压力传感器1313采集的握持信号进行左右手识别或快捷操作。当压力传感器1313设置在显示屏1305的下层时，由处理器1301根据用户对显示屏1305的压力操作，实现对UI界面上的可操作性控件进行控制。可操作性控件包括按钮控件、滚动条控件、图标控件、菜单控件中的至少一种。

光学传感器1315用于采集环境光强度。在一个实施例中，处理器1301可以根据光学传感器1315采集的环境光强度，控制显示屏1305的显示亮度。具体地，当环境光强度较高时，调高显示屏1305的显示亮度；当环境光强度较低时，调低显示屏1305的显示亮度。在另一个实施例中，处理器1301还可以根据光学传感器1315采集的环境光强度，动态调整摄像头组件1306的拍摄参数。

接近传感器1316，也称距离传感器，通常设置在终端1300的前面板。接近传感器1316用于采集用户与终端1300的正面之间的距离。在一个实施例中，当接近传感器1316检测到用户与终端1300的正面之间的距离逐渐变小时，由处理器1301控制显示屏1305从亮屏状态切换为息屏状态；当接近传感器1316检测到用户与终端1300的正面之间的距离逐渐变大时，由处理器1301控制显示屏1305从息屏状态切换为亮屏状态。

本领域技术人员可以理解，图13中示出的结构并不构成对终端1300的限定，可以包括比图示更多或更少的组件，或者组合某些组件，或者采用不同的组件布置。

图14是本申请实施例提供的一种服务器的结构示意图，该服务器1400可因配置或性能不同而产生比较大的差异，可以包括一个或多个处理器(central processing units，CPU)1401和一个或多个的存储器1402，其中，该一个或多个存储器1402中存储有至少一条程序代码，该至少一条程序代码由该一个或多个处理器1401加载并执行以实现上述各个方法实施例提供的方法。当然，该服务器1400还可以具有有线或无线网络接口、键盘以及输入输出接口等部件，以便进行输入输出，该服务器1400还可以包括其他用于实现设备功能的部件，在此不做赘述。

本申请实施例还提供了一种节点设备，该节点设备包括处理器和存储器，存储器中存储有至少一条程序代码，该至少一条程序代码由处理器加载并执行，以实现上述实施例的基于区块链的数字证书管理方法中所具有的操作。

本申请实施例还提供了一种计算机可读存储介质，该计算机可读存储介质中存储有至少一条程序代码，该至少一条程序代码由处理器加载并执行，以实现上述实施例的基于区块链的数字证书管理方法中所具有的操作。

在示例性实施例中，还提供了一种计算机可读存储介质，例如包括指令的存储器，上述指令可由处理器执行以完成上述实施例中的基于区块链的数字证书管理方法。例如，该计算机可读存储介质可以是只读存储器(Read-Only Memory,ROM)、随机存取存储器(Random Access Memory，RAM)、只读光盘(Compact Disc Read-Only Memory，CD-ROM)、磁带、软盘和光数据存储设备等。

本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，该程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。

上述仅为本申请的较佳实施例，并不用以限制本申请，凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

Claims (10)

1.一种基于区块链的数字证书管理方法，其特征在于，应用于区块链系统中的任一节点设备，所述方法包括：

接收第一终端发送的数字证书请求，所述数字证书请求携带用户信息和所述第一终端的公钥；

对所述用户信息验证通过后，根据所述节点设备所属的颁发机构的机构信息，对所述用户信息和所述公钥进行签名，得到数字证书，向所述第一终端发送所述数字证书，所述机构信息用于表示所述颁发机构的身份，所述机构信息包括所述颁发机构的数字证书，所述颁发机构的数字证书由另一个数字证书进行签名确认；

生成第一区块，所述第一区块包括所述用户信息和所述数字证书的证书信息；

向所述区块链系统中的其他节点设备广播所述第一区块，由所述区块链系统中的每个节点设备将所述第一区块添加至区块链中；

接收验证设备发送的验证请求，所述验证请求携带所述数字证书的证书信息；

在状态数据库中查询所述验证请求所携带的证书信息对应的状态信息，所述状态数据库用于存储任一证书信息对应的最新状态信息；

从所述验证请求中携带的证书信息开始，依次回溯用于进行签名确认的数字证书，直至到达根证书为止，得到证书链；

向所述验证设备发送所述状态信息和所述证书链；

当确定所述数字证书在使用过程中违反了数字证书的使用规则，则生成第二区块，所述数字证书的使用规则包括不允许执行的操作、允许执行操作的操作频率，所述第二区块包括所述用户信息、所述数字证书的证书信息和冻结状态信息；

向所述区块链系统中的其他节点设备广播所述第二区块，由所述区块链系统中的每个节点设备将所述第二区块添加至区块链中。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

接收第二终端发送的查询请求，所述查询请求携带所述用户信息；

在所述区块链中查询所述用户信息对应的至少一个证书信息；

向所述第二终端发送所述至少一个证书信息。

3.根据权利要求1所述的方法，其特征在于，所述将所述第二区块添加至区块链中之后，所述方法还包括：

当确定所述数字证书满足解冻条件时，生成第三区块，所述第三区块包括所述用户信息、所述数字证书的证书信息和正常状态信息；

向所述区块链系统中的其他节点设备广播所述第三区块，由所述区块链系统中的每个节点设备将所述第三区块添加至区块链中。

4.根据权利要求1所述的方法，其特征在于，所述将所述第一区块添加至区块链中之后，所述方法还包括：

当确定所述数字证书满足注销条件时，生成第四区块，所述第四区块包括所述用户信息、所述数字证书的证书信息和注销状态信息；

向所述区块链系统中的其他节点设备广播所述第四区块，由所述区块链系统中的每个节点设备将所述第四区块添加至区块链中。

5.一种基于区块链的数字证书管理装置，其特征在于，应用于区块链系统中的任一节点设备，所述装置包括：

请求接收模块，用于接收第一终端发送的数字证书请求，所述数字证书请求携带用户信息和所述第一终端的公钥；

证书颁发模块，用于对所述用户信息验证通过后，根据所述节点设备所属的颁发机构的机构信息，对所述用户信息和所述公钥进行签名，得到数字证书，向所述第一终端发送所述数字证书，所述机构信息用于表示所述颁发机构的身份，所述机构信息包括所述颁发机构的数字证书，所述颁发机构的数字证书由另一个数字证书进行签名确认；

第一生成模块，用于生成第一区块，所述第一区块包括所述用户信息和所述数字证书的证书信息；

第一添加模块，用于向所述区块链系统中的其他节点设备广播所述第一区块，由所述区块链系统中的每个节点设备将所述第一区块添加至区块链中；

验证请求接收模块，用于接收验证设备发送的验证请求，所述验证请求携带所述数字证书的证书信息；

状态查询模块，用于在状态数据库中查询所述验证请求所携带的证书信息对应的状态信息，从所述验证请求中携带的证书信息开始，依次回溯用于进行签名确认的数字证书，直至到达根证书为止，得到证书链，向所述验证设备发送所述状态信息和所述证书链，所述状态数据库用于存储任一证书信息对应的最新状态信息；

第二生成模块，用于当确定所述数字证书在使用过程中违反了数字证书的使用规则，则生成第二区块，所述数字证书的使用规则包括不允许执行的操作、允许执行操作的操作频率，所述第二区块包括所述用户信息、所述数字证书的证书信息和冻结状态信息；

第二添加模块，用于向所述区块链系统中的其他节点设备广播所述第二区块，由所述区块链系统中的每个节点设备将所述第二区块添加至区块链中。

6.根据权利要求5所述的装置，其特征在于，所述装置还包括：

查询请求接收模块，用于接收第二终端发送的查询请求，所述查询请求携带所述用户信息；

查询模块，用于在所述区块链中查询所述用户信息对应的至少一个证书信息；

发送模块，用于向所述第二终端发送所述至少一个证书信息。

7.根据权利要求5所述的装置，其特征在于，所述装置还包括：

第三生成模块，用于当确定所述数字证书满足解冻条件时，生成第三区块，所述第三区块包括所述用户信息、所述数字证书的证书信息和正常状态信息；

第三添加模块，用于向所述区块链系统中的其他节点设备广播所述第三区块，由所述区块链系统中的每个节点设备将所述第三区块添加至区块链中。

8.根据权利要求5所述的装置，其特征在于，所述装置还包括：

第四生成模块，用于当确定所述数字证书满足注销条件时，生成第四区块，所述第四区块包括所述用户信息、所述数字证书的证书信息和注销状态信息；

第四添加模块，用于向所述区块链系统中的其他节点设备广播所述第四区块，由所述区块链系统中的每个节点设备将所述第四区块添加至区块链中。

9.一种计算机设备，其特征在于，所述计算机设备包括处理器和存储器，所述存储器中存储有至少一条程序代码，所述至少一条程序代码由所述处理器加载并执行，以实现如权利要求1至权利要求4任一项所述的基于区块链的数字证书管理方法所执行的操作。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有至少一条程序代码，所述至少一条程序代码由处理器加载并执行，以实现如权利要求1至权利要求4任一项所述的基于区块链的数字证书管理方法所执行的操作。