CN111027035B - 一种基于区块链的多重身份认证方法及系统 - Google Patents

Abstract

本发明涉及身份认证技术领域，公开了一种基于区块链的多重身份认证方法及系统，方法包括以下步骤：创建用户区块链账户，所述用户区块链账户包括用户公钥和用户私钥；创建企业区块链账户，所述企业区块链账户包括企业公钥和企业私钥；调用区块链上的智能合约，根据用户公钥以及企业公钥生成多签地址，通过一笔交易将通证锁定在所述多签地址中；获取所述交易的交易ID，发送所述交易ID至与交易相关的用户；通过用户私钥和/或企业私钥解锁所述多签地址内与所述交易ID对应的通证，根据所述智能合约判断用户私钥和/或企业私钥是否能解锁所述多签地址内与所述交易ID对应的通证，如果能解锁，则身份认证成功。本发明具有身份认证安全性高的技术效果。

Description

一种基于区块链的多重身份认证方法及系统

技术领域

本发明涉及身份认证技术领域，具体涉及一种基于区块链的多重身份认证方法及系统。

背景技术

身份认证融合在生活中方方面面，单纯基于密码的认证方式存在诸多不安全因素，如密码暴力破解等。因此目前的身份认证通常是双因子验证，即2FA—two FactorAuthentication验证，即结合密码以及实物两种条件对用户进行认证，这里实物可以是信用卡，手机，SIM卡等等。短信验证码是一种简洁高效的2FA双重认证机制，即登录的时候同时要求输入密码和短信验证码，证明请求者同时拥有账户密码和用户的手机/SIM卡，短信验证码在密码的基础上增加了一道防线，即使密码被破解，依然可以很好的保证账户安全，大大提高了身份认证的安全性。虽然短信验证码简洁好用，但是也存在一些安全问题，比如：短信被劫持，攻击者通过伪基站等方式截获包含验证码信息的短消息；SIM Swap攻击，攻击者通过非法获得用户部分个人信息，以欺骗的方式从运营商内申请一张新的SIM卡，通过新的SIM卡对用户账户实施攻击。

针对短信验证码的安全问题，需要一个新的方案，现在的解决方案是TOTP：Time-based One-time Password，基于时间的一次性密钥，是公认的可靠解决方案，比如GoogleAuthenticator。它的步骤如下：

第一步，用户开启双因素认证后，服务器生成一个密钥。

第二步，服务器提示用户扫描二维码(或者使用其他方式)，把密钥保存到用户的手机。也就是说，服务器和用户的手机，现在都有了同一把密钥。

第三步，用户登录时，手机客户端使用这个密钥和当前时间戳，生成一个哈希，有效期默认为30秒。用户在有效期内，把这个哈希提交给服务器。

第四步，服务器也使用密钥和当前时间戳，生成一个哈希，跟用户提交的哈希比对。只要两者不一致，就拒绝登录。

TOTP很好的解决了短信验证码的安全风险，但TOTP也存在缺点，因为服务器端记录了每个用户的密钥信息，如果黑客攻破服务器，获得用户的密钥，则可以在用户不知情的情况下完成2FA。

发明内容

本发明的目的在于克服上述技术不足，提供一种基于区块链的多重身份认证方法及系统，解决现有技术中身份认证存在安全问题的技术问题。

为达到上述技术目的，本发明的技术方案提供一种基于区块链的多重身份认证方法，包括以下步骤：

创建用户区块链账户，所述用户区块链账户包括用户公钥和用户私钥；

创建企业区块链账户，所述企业区块链账户包括企业公钥和企业私钥；

调用区块链上的智能合约，根据用户公钥以及企业公钥生成多签地址，通过一笔交易将通证锁定在所述多签地址中；

获取所述交易的交易ID，发送所述交易ID至与交易相关的用户；

通过用户私钥和/或企业私钥解锁所述多签地址内与所述交易ID对应的通证，根据所述智能合约判断用户私钥和/或企业私钥是否能解锁所述多签地址内与所述交易ID对应的通证，如果能解锁，则身份认证成功。

本发明还提供一种基于区块链的多重身份认证系统，包括用户终端、认证终端以及区块链终端；

所述用户终端用于在区块链终端创建用户区块链账户，所述用户区块链账户包括用户公钥和用户私钥；

所述认证终端用于在区块链终端创建企业区块链账户，所述企业区块链账户包括企业公钥和企业私钥；

所述认证终端还用于调用区块链上的智能合约，根据用户公钥以及企业公钥生成多签地址，通过一笔交易将通证锁定在所述多签地址中；

所述认证终端还用于获取所述交易的交易ID，发送所述交易ID至与交易相关的用户；

所述用户终端和/或所述认证终端还用于通过用户私钥和/或企业私钥解锁所述多签地址内与所述交易ID对应的通证；

所述认证终端还用于根据所述智能合约判断用户私钥和/或企业私钥是否能解锁所述多签地址内与所述交易ID对应的通证，如果能解锁，则身份认证成功。

与现有技术相比，本发明的有益效果包括：本发明基于区块链实现身份认证。具体的，本发明首先创建用户区块链账户和企业区块链账户，用户区块链账户和企业区块链账户分别包括一组相互关联的公钥以及私钥。认证过程触发后，将一定金额的通证锁定在根据与交易相关的用户公钥以及与交易相关的企业公钥生成的多签地址内，将标注多签地址的交易ID发送给与交易相关的用户，使得只有与交易相关的用户终端才能接收到该交易ID，实现对用户终端的认证，即一重认证。而且，即使其他人获悉这笔交易的交易ID，因为其他人不具备私钥信息，其他人无法解锁此交易ID对应多签地址内的通证，其他人无法完成解锁。用户收到交易ID后，通过调用区块链上的智能合约的解锁模块，并结合自身的用户私钥解锁多签地址，如果该用户确实是认证企业要认证的用户，则该用户可以访问并使用相应的通证，除此之外的其他用户均无法访问并使用相应的通证，从而实现对用户区块链私钥的认证，即实现了对用户区块链账户的认证。企业也可以对多签地址进行解锁，其解锁原理是一样的，通过企业私钥解锁，智能合约判断企业私钥能够解锁，完成对企业的身份认证。由于本身份认证方法同时验证了用户终端、用户区块链账户、企业区块链账户，实现多重认证，因此认证安全性更高。TOTP方式下黑客可以通过攻破认证企业服务器获得密钥从而绕过2FA认证，而在本方法中，认证企业服务器只存储了用户公钥以及企业公钥，即使黑客攻破认证企业服务器，获得用户公钥以及企业公钥，但因为没有私钥，无法完成智能合约调用解锁，从而无法绕过身份认证过程，更好的保护了用户和企业的账户安全。

附图说明

图1是本发明提供的基于区块链的多重身份认证方法一实施方式的流程图；

图2是本发明提供的基于区块链的多重身份认证系统一实施方式的结构示意图。

附图标记：

1、用户终端，2、认证终端，3、网络运营商终端，4、区块链终端。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

实施例1

如图1所示，本发明的实施例1提供了基于区块链的多重身份认证方法，以下简称本方法或本身份认证方法，包括以下步骤：

S1、创建用户区块链账户，所述用户区块链账户包括用户公钥和用户私钥；

S2、创建企业区块链账户，所述企业区块链账户包括企业公钥和企业私钥；

S3、调用区块链上的智能合约，根据用户公钥以及企业公钥生成多签地址，通过一笔交易将通证锁定在所述多签地址中；

S4、获取所述交易的交易ID，发送所述交易ID至与交易相关的用户；

S5、通过用户私钥和/或企业私钥解锁所述多签地址内与所述交易ID对应的通证，根据所述智能合约判断用户私钥和/或企业私钥是否能解锁所述多签地址内与所述交易ID对应的通证，如果能解锁，则身份认证成功。

本发明实施例提供的基于区块链的多重身份认证方法，基于区块链实现身份认证，区块链(例如QCL chain)提供了一个分布式账本平台，在每个区块链节点(例如QLCchain Node)都可以获得同样的账本数据，通过区块链共识机制，保证了账本的不可篡改性。智能合约是部署在区块链上的运行程序，通过区块链上的交易触发只能合约的执行，智能合约(Smart Contract)会在区块链上所有节点上执行，所有节点的执行结果一致且可信。区块链的账户建立在基于椭圆曲线函数的非对称加密算法上，一个区块链的账户由公钥和私钥两部分组成，其中公钥公开，私钥保存，通过私钥签名的数据可以通过公钥来验证。得益于区块链的分布式账本技术和账本的不可篡改性，本方法中用户和认证企业无须信任第三方即可以完成身份认证过程。具体的，本方法首先创建用户区块链账户，用户区块链账户包括一组相互关联的用户公钥以及用户私钥，创建企业区块链账户，企业区块链账户包括一组相互关联的企业公钥以及企业私钥。认证过程触发后，调用部署在区块链上的智能合约的锁定模块，将一定金额的通证，即Token，锁定在根据与交易相关的用户公钥以及与交易相关的企业公钥生成的多签地址内，这个过程可以理解为在区块链上设置了一个“难题”，根据多签算法的原理，只有认证企业或指定用户的私钥可以解开这个难题。将标注多签地址的交易ID(Transaction ID，简称txid)发送给与交易相关的用户，使得只有与交易相关的用户终端1才能接收到该交易ID，实现对用户终端的认证。用户终端可以是手机，即实现对SIM卡和手机的设备识别码的认证。而且，即使其他人获悉这笔交易的交易ID，因为其他人不具备私钥信息，其他人无法解锁此交易ID对应多签地址内的通证，其他人无法完成解锁。用户收到交易ID后，通过条用区块链上的智能合约的解锁模块，并结合自身的用户私钥解锁多签地址，即解锁对应的那笔“难题”，如果该用户确实是“认证企业”要认证的用户，则该用户的私钥可以解开那笔“难题”，可以访问并使用相应的通证，除此之外的其他用户均无法解开这个“难题”，无法访问并使用相应的通证，从而实现对用户区块链私钥的认证，即实现了对用户区块链账户的认证。这个过程就犹如在银行开户时获取U盾，区块链账户身份认证程序就类似电子版的U盾。企业也可以对多签地址进行解锁，其解锁原理是一样的，通过企业私钥解锁，智能合约判断企业私钥能够解锁，完成对企业的身份认证。

由于本身份认证方法同时验证了用户终端1以及用户区块链账户，因此认证安全性更高。TOTP方式下黑客可以通过攻破认证企业服务器获得密钥从而绕过2FA认证，而在本方法中，认证企业服务器只存储了用户的公钥，即使黑客攻破认证企业服务器，获得用户的公钥，但因为没有私钥，无法完成智能合约调用解锁，从而无法绕过身份认证过程，更好的保护了用户和企业的账户安全。

优选的，发送所述交易ID至与交易相关的用户，具体为：

创建用户认证账户，所述用户认证账户的账户信息包括用户的手机号码；

通过验证用户公钥将所述用户认证账户与相应的用户区块链账户绑定；

查找与所述交易相关的区块链账户所绑定的用户认证账户，进而获取与所述交易相关的用户的手机号码；

根据所述手机号码将所述交易ID发送至与交易相关的用户。

在进行基于区块链的区块链账户认证之前，用户需要在认证企业注册用户认证账户，比如说银行企业，用户已经在银行开了户，银行的后台已经保存了用户的账户信息，如姓名，手机号码等。用户认证账户注册后，需要在认证企业后台将其与用户对应的用户区块链账户进行绑定，用户登陆到认证企业的管理后台服务器，上传用户注册用户区块链账户生成的用户公钥信息，企业调用区块链SDK对用户公钥有效性进行校验，校验通过则在认证企业的后台形成了用户认证账户与用户区块链身份的绑定关系；用户私钥信息则保持保存在用户终端。完成用户认证账户与用户区块链账户的绑定后，即根据用户区块链账户找到其所绑定的用户认证账户，根据用户认证账户在企业后台保存的账户信息，即可获取相应用户的手机号码，进而将交易ID发送至相应用户，具体的，本实施例中以短信方式发送所述交易ID，也可通过电话发送语音的交易ID至相应用户。在这个认证过程中，由于认证企业完成了对用户认证账户的认证，用户认证账户一般通过密码验证，或密码加短信验证码，因此实现了用户终端、用户认证账户以及用户区块链账户的三步认证，进一步提高了身份认证的安全性。

优选的，通过用户私钥解锁所述多签地址内与所述交易ID对应的通证，具体为：根据所述交易ID对所述交易进行寻址，并通过用户私钥对所述多签地址内与所述交易ID对应的通证进行解锁；

通过企业私钥解锁所述多签地址内与所述交易ID对应的通证，具体为：直接对所述交易进行寻址，并通过企业私钥对所述多签地址内与所述交易ID对应的通证进行解锁。

用于解锁多签地址内与所述交易ID对应的通证的私钥可能仅包括用户私钥，也可能仅包括企业私钥，还可能同时包括用户私钥以及企业私钥。

由于多签地址时在企业终端生成的，因此企业可直接访问多签地址上的交易，并通过企业私钥对多签地址进行解锁操作。用户则需要从企业处获取交易的交易ID，根据交易ID对交易进行寻址，进而通过用户私钥对多签地址内与所述交易ID对应的通证进行解锁操作。

优选的，根据所述智能合约判断用户私钥和/或企业私钥是否能解锁所述多签地址内与所述交易ID对应的通证，具体为：

所述多签地址为m-n的多签地址，即用于生成所述多签地址的公钥共n个，解锁所述多签地址需要至少m个私钥的签名，m≤n；

根据所述智能合约判断能够解锁所述多签地址内与所述交易ID对应的通证的私钥的签名的数量是否不少于m个，如果是，则身份认证成功，否则身份认证失败。

多签地址采用多签算法生成，多签算法是在区块链账户上演进的多账户配合算法，m-n的多签算法意味着多签地址由n个用户区块链账户共同产生，并可以由这n个用户区块链账户里的m个用户区块链账户的私钥签名完成验证。比如用户A的用户区块链账户和用户的用户区块链账户可以通过多签算法建立一个2-2的多签地址，这个多签地址可以跟普通地址一样接受区块链上Token(通证)的转账，而要花费这个多签地址上的Token需要同时拥有用户A的私钥签名和用户B的私钥签名才行；如果用户A的用户区块链账户和用户B的用户区块链账户创建的是一个1-2的多签地址，则花费这个多签地址的Token只需要用户A和用户B两个用户中任一个用户的私钥签名即可。

优选的，根据所述智能合约判断用户私钥和/或企业私钥是否能解锁所述多签地址内与所述交易ID对应的通证，还包括：

判断所述多签地址内与所述交易ID对应的通证是否在设定时间段内被解锁，如果是，则身份认证成功，否则身份认证失败。

除了判断用户私钥和/或企业私钥是否能解锁相应通证外，还增加解锁时间限制，进一步保证认证安全。认证企业在通过区块链SDK查询交易ID对应的那笔“难题”，即交易ID相应通证是否在有效的设定时间段(如1分钟)内被解开，如果是，则身份验证成功，如果否，则身份验证失败。在判断用户私钥和/或企业私钥是否能解锁多签地址内交易ID对应的通证的基础上，对解锁时间进行限定，通过这个改进，使得本方法具备和TOTP一样的时间动态特性，进一步提高身份认证安全性、可靠性。

实施例2

如图2所示，本发明的实施例2提供了基于区块链的多重身份认证系统，包括用户终端1、认证终端2以及区块链终端4；

所述用户终端1用于在区块链终端4创建用户区块链账户，所述用户区块链账户包括用户公钥和用户私钥；

所述认证终端2用于在区块链终端4创建企业区块链账户，所述企业区块链账户包括企业公钥和企业私钥；

所述认证终端2还用于调用区块链上的智能合约，根据用户公钥以及企业公钥生成多签地址，通过一笔交易将通证锁定在所述多签地址中；

所述认证终端2还用于获取所述交易的交易ID，发送所述交易ID至与交易相关的用户终端1；

所述用户终端1和/或所述认证终端2还用于通过用户私钥和/或企业私钥解锁所述多签地址内与所述交易ID对应的通证；

所述认证终端2还用于根据所述智能合约判断用户私钥和/或企业私钥是否能解锁所述多签地址内与所述交易ID对应的通证，如果能解锁，则身份认证成功。

具体的，用户终端1与认证终端2之间的通信通过网络运营商终端3实现。交易ID即认证终端2通过调用网络运营商终端3的网络接口发送至用户终端的。

本发明提供的基于区块链的多重身份认证系统，用于实现基于区块链的多重身份认证方法，因此，基于区块链的多重身份认证方法所具备的技术效果，基于区块链的多重身份认证系统同样具备，在此也就不再赘述。

优选的，所述用户终端1具体用于发送注册用的账户信息至所述认证终端2，所述账户信息包括用户的手机号码；

所述认证终端2具体用于根据所述账户信息创建用户认证账户；

所述用户终端1具体用于发送用户公钥至所述认证终端2；

所述认证终端2具体用于通过验证用户公钥将所述用户认证账户与相应的用户区块链账户绑定；

所述认证终端2具体用于查找与所述交易相关的区块链账户所绑定的用户认证账户，进而获取与所述交易相关的用户的手机号码；根据所述手机号码将所述交易ID发送至与交易相关的用户终端1。

优选的，所述用户终端1具体用于根据所述交易ID对所述交易进行寻址，并通过用户私钥对所述多签地址内与所述交易ID对应的通证进行解锁；

所述认证终端2具体用于直接对所述交易进行寻址，并通过企业私钥对所述多签地址内与所述交易ID对应的通证进行解锁。

优选的，所述多签地址为m-n的多签地址，即用于生成所述多签地址的公钥共n个，解锁所述多签地址需要至少m个私钥的签名，m≤n；

所述认证终端2具体用于根据所述智能合约判断能够解锁所述多签地址内与所述交易ID对应的通证的私钥的签名的数量是否不少于m个，如果是，则身份认证成功，否则身份认证失败。

优选的，所述认证终端2还用于判断所述多签地址内与所述交易ID对应的通证是否在设定时间段内被解锁，如果是，则身份认证成功，否则身份认证失败。

以上所述本发明的具体实施方式，并不构成对本发明保护范围的限定。任何根据本发明的技术构思所做出的各种其他相应的改变与变形，均应包含在本发明权利要求的保护范围内。

Claims (6)

1.一种基于区块链的多重身份认证方法，其特征在于，包括以下步骤：

创建用户区块链账户，所述用户区块链账户包括用户公钥和用户私钥；

创建企业区块链账户，所述企业区块链账户包括企业公钥和企业私钥；

调用区块链上的智能合约，根据用户公钥以及企业公钥生成多签地址，通过一笔交易将通证锁定在所述多签地址中；

获取所述交易的交易ID，发送所述交易ID至与交易相关的用户；

通过用户私钥和/或企业私钥解锁所述多签地址内与所述交易ID对应的通证，根据所述智能合约判断用户私钥和/或企业私钥是否能解锁所述多签地址内与所述交易ID对应的通证，如果能解锁，则身份认证成功；

通过用户私钥解锁所述多签地址内与所述交易ID对应的通证，具体为：根据所述交易ID对所述交易进行寻址，并通过用户私钥对所述多签地址内与所述交易ID对应的通证进行解锁；

通过企业私钥解锁所述多签地址内与所述交易ID对应的通证，具体为：直接对所述交易进行寻址，并通过企业私钥对所述多签地址内与所述交易ID对应的通证进行解锁；

根据所述智能合约判断用户私钥和/或企业私钥是否能解锁所述多签地址内与所述交易ID对应的通证，具体为：

所述多签地址为m-n的多签地址，即用于生成所述多签地址的公钥共n个，解锁所述多签地址需要至少m个私钥的签名，m≤n；

根据所述智能合约判断能够解锁所述多签地址内与所述交易ID对应的通证的私钥的签名的数量是否不少于m个，如果是，则身份认证成功，否则身份认证失败。

2.根据权利要求1所述的基于区块链的多重身份认证方法，其特征在于，发送所述交易ID至与交易相关的用户，具体为：

创建用户认证账户，所述用户认证账户的账户信息包括用户的手机号码；

通过验证用户公钥将所述用户认证账户与相应的用户区块链账户绑定；

查找与所述交易相关的区块链账户所绑定的用户认证账户，进而获取与所述交易相关的用户的手机号码；

根据所述手机号码将所述交易ID发送至与交易相关的用户。

3.根据权利要求1所述的基于区块链的多重身份认证方法，其特征在于，根据所述智能合约判断用户私钥和/或企业私钥是否能解锁所述多签地址内与所述交易ID对应的通证，还包括：

判断所述多签地址内与所述交易ID对应的通证是否在设定时间段内被解锁，如果是，则身份认证成功，否则身份认证失败。

4.一种基于区块链的多重身份认证系统，其特征在于，包括用户终端、认证终端以及区块链终端；

所述用户终端用于在区块链终端创建用户区块链账户，所述用户区块链账户包括用户公钥和用户私钥；

所述认证终端用于在区块链终端创建企业区块链账户，所述企业区块链账户包括企业公钥和企业私钥；

所述认证终端还用于调用区块链上的智能合约，根据用户公钥以及企业公钥生成多签地址，通过一笔交易将通证锁定在所述多签地址中；

所述认证终端还用于获取所述交易的交易ID，发送所述交易ID至与交易相关的用户；

所述用户终端和/或所述认证终端还用于通过用户私钥和/或企业私钥解锁所述多签地址内与所述交易ID对应的通证；

所述认证终端还用于根据所述智能合约判断用户私钥和/或企业私钥是否能解锁所述多签地址内与所述交易ID对应的通证，如果能解锁，则身份认证成功；

所述用户终端具体用于根据所述交易ID对所述交易进行寻址，并通过用户私钥对所述多签地址内与所述交易ID对应的通证进行解锁；

所述认证终端具体用于直接对所述交易进行寻址，并通过企业私钥对所述多签地址内与所述交易ID对应的通证进行解锁；

所述多签地址为m-n的多签地址，即用于生成所述多签地址的公钥共n个，解锁所述多签地址需要至少m个私钥的签名，m≤n；

所述认证终端具体用于根据所述智能合约判断能够解锁所述多签地址内与所述交易ID对应的通证的私钥的签名的数量是否不少于m个，如果是，则身份认证成功，否则身份认证失败。

5.根据权利要求4所述的基于区块链的多重身份认证系统，其特征在于，

所述用户终端具体用于发送注册用的账户信息至所述认证终端，所述账户信息包括用户的手机号码；

所述认证终端具体用于根据所述账户信息创建用户认证账户；

所述用户终端具体用于发送用户公钥至所述认证终端；

所述认证终端具体用于通过验证用户公钥将所述用户认证账户与相应的用户区块链账户绑定；

所述认证终端具体用于查找与所述交易相关的区块链账户所绑定的用户认证账户，进而获取与所述交易相关的用户的手机号码；根据所述手机号码将所述交易ID发送至与交易相关的用户。

6.根据权利要求4所述的基于区块链的多重身份认证系统，其特征在于，所述认证终端还用于判断所述多签地址内与所述交易ID对应的通证是否在设定时间段内被解锁，如果是，则身份认证成功，否则身份认证失败。

Images