CN111160905A - 一种区块链节点用户请求处理保护方法及装置 - Google Patents

Abstract

本发明公开了一种区块链用户请求处理方法及装置，包括：请求者合约根据用户的请求发起交易，构造请求数据包并通过区块链网络发送给对接合约，并从对接合约接收请求处理结果；对接合约，将请求数据包发送给中继区；接收中继区返回的回应数据包并执行对应的行为；中继区，对请求数据包进行验证，若验证通过，则将用户的请求信息以及所需的数据和方法存入安全区；接收安全区返回的回应数据包并发送给对接合约；安全区，使用内部私钥对访问密钥进行验证，若验证通过，则对用户的请求进行处理，将处理结果和验证结果发送给中继区；若验证失败，则将失败说明作为处理结果发送给中继区。本发明在区块链节点引入SGX，提高区块链上各种操作处理的安全性。

Description

一种区块链节点用户请求处理保护方法及装置

技术领域

本发明涉及区块链应用领域，尤其涉及一种基于SGX软件防护扩展指令的区块链节点用户请求处理保护方法及装置。

背景技术

云计算、互联网和大数据等新兴技术的发展使得传统集中式系统的信息和数据共享日益迫切。然而，集中式系统缺乏安全性和可靠性的特点一直是现实的痛点。随着比特币的兴起及其应用，底层的区块链技术为解决现实中的痛点问题提供了有效的手段，并且近年来引起了广泛的关注。区块链是一种分布式账本技术，通过链式结构存储完整的数据。区块链系统与其他分布式系统最大的区别就在于，区块链上的每一个节点都是独立的，通过共识性机制以类似“少数服从多数”的方式来保证一致性。这就需要通过技术支持来保证节点之间的信息交流不会被恶意篡改。传统的区块链系统使用密码学签名和哈希算法来对区块内的信息进行保护，并且提出了越来越多的一致性算法在不影响甚至提高效率的同时保证区块链系统的可靠性。

综合考虑，现行的区块链系统安全性和可靠性的机制主要包括两方面：(1)区块链之间通过算法保持一致性；(2)区块链节点通过密码学方法保护内部信息。

但是，所有的这些机制都有一个前提：区块链节点本身所处的环境是安全的，在区块链操作系统之上所有的操作内容都是可信的。

因而我们需要考虑这样一件事：现在，很多节点都假设在云服务器上，在云端的服务器上，除了区块链节点的服务以外，还有很多来自同一个或者不同多个用户的服务，由于不同用户的水平和习惯等问题，我们并不能保证所有的服务都不会被攻击、控制，甚至云服务器本身就是个恶意的服务，进行本地攻击。

Intel提供的硬件保护机制——SGX软件防护扩展指令(Software GuardExtensions)技术，在地址空间中开辟一块安全区(enclave)，利用地址空间中受保护的区域，来确保操作系统环境中信息内容的机密性与完整性。这种方式并不是识别和隔离平台上的所有恶意软件，而是将合法软件的安全操作封装在一个enclave中，保护其不受恶意软件的攻击，特权或者非特权的软件都无法访问该enclave。也就是说，一旦软件和数据位于enclave中，即便操作系统或者高特权级软件(如主操作系统，虚拟机监控器等)都不被允许访问也无法影响enclave里面的代码和数据，enclave的安全边界只包含CPU和它自身。同时，SGX也提供了并发执行的机制，确保其运行时不会影响其他服务的运行，从而保证了这项技术的可推广性和可复用性。

发明内容

本发明提供了一种区块链用户请求处理装置，在区块链的各个节点(如共识节点或记账节点)引入软件防护扩展指令SGX(Software Guard Extensions)，能够提高在区块链系统上各种操作处理的可靠性和安全性。

具体技术方案如下：

一种区块链用户请求处理装置，包括：

请求者合约，根据用户的请求发起交易，构造请求数据包并通过区块链网络发送给对接合约；从对接合约接收相应的请求处理结果；

对接合约，根据请求数据包的内容及附加信息生成请求数据包ID，并将请求数据包发送给与该对接合约对应的中继区；接收中继区返回的回应数据包并执行对应的行为；

中继区，对请求数据包进行验证，若验证通过，则通过访问密钥将用户的请求信息以及所需的数据和方法存入安全区；接收安全区返回的回应数据包并发送给对接合约；

安全区，使用内部私钥对访问密钥进行验证，若验证通过，则调用所述的数据和方法对用户的请求进行处理，将处理结果和验证结果打包成回应数据包发送给中继区；若验证失败，则将失败说明作为处理结果发送给中继区。

所述的请求者合约和对接合约位于区块链网络上；所述的中继区和安全区位于区块链节点的服务器上。每一个用户在区块链上可以有一个或多个请求者合约。

优选的，所述的区块链用户请求处理装置还包括数据源，为安全区提供处理请求所需的数据。

所述的请求者合约可以由用户客户端节点进行多次生成，请求者合约在对接合约上由唯一的ID进行标识，确保请求数据包和回应数据包一一对应，不会出现一对多的情况。

所述的对接合约在整个区块链上是可见的，并且对所有用户公开源码，始终表现为可信。

安全区作为一个SGX的位址空间程序，其缺少直接的网络访问，中继区作为其处理双向网络流量的工具。中继区为安全区提供三个部分的网络通路：

(A)中继区与区块链网络通信。中继区通过区块链来监控对接合约的状态，通过这种方式将隐式信息从对接合约传递到安全区中，因为两者都没有与网络进行连接。与此同时，中继区负责将安全区发送出来的数据包放置到区块链上。

(B)中继区与客户端(client)通信。中继区提供网络来处理对于任何一条链下的用户请求——特别是对安全区认证的请求。认证的作用是为每一个安全区实例提供了对客户端的一个唯一的公钥，并且保证安全区在SGX的可信空间(enclave)中正确运行，其时钟依据实际时间而正确。成功证实认证的客户端能够安全地创建并使用请求者合约来与该系统进行交易。总结的来说，客户端就是将内部完整的系统能够与外接进行合理对接的一个交互处。

(C)中继区与外部数据源通信。通过数据源，中继区作为数据源和安全区的流量通路，为安全区提供可靠的网络数据来源。数据源通过协议中所规定的要求严格保护的通信渠道为安全区提供数据信息，用于在安全区打包发出的数据包时提供一定的数据来源，这个数据来源应该当且必须是可信的，从而保证数据来源的安全性。

所述的安全区包含标准时间模块和安全加密模块；所述的标准时间模块通过受信任的方式获取绝对时间，用于检验连接的时效性；所述的安全加密模块基于软件防护扩展指令SGX生成可信空间并对可信空间进行加密；可信空间用于存储需要被加密保护的数据和方法。

优选的，安全加密模块对可信空间进行非对称加密，生成由访问密钥和内部私钥组成的密钥对；访问密钥在生成后通过对接合约进行全网广播。

进一步优选的，所述的访问密钥通过用户密钥、安全区内的存储信息以及SGX硬件处理器的物理验证信息共同决定产生。

本发明的区块链用户请求处理装置可以作为第三方可信服务运行在区块链节点上，为整个系统中的其他程序提供安全服务。其的实现是采用Intel提供的SGXSDK进行编程，可以根据实际生产环境对实现细节进行更改，具有很强的灵活性。

本发明的区块链用户请求处理装置还支持多个enclave同时并发工作，针对不同的多个的请求内容，中继区可以进行初步的识别并且装载不同的数据和方法进入安全区，之后对于每个安全区进行隔离，保证安全区内执行行为的高效性，并且在完成装载之后就可以进行下一个请求的处理，在装载的过程中串行，在各个要求的处理中并行，这样通过在单个CPU上划分多个enclave模块，通过SGX技术保证每个模块的独立性，从而提高了整个系统的效率。

本发明还提供了一种区块链用户请求处理方法，包括以下步骤：

(1)请求者合约根据用户的请求发起交易并构造相应的请求数据包，通过区块链网络发送给对接合约；对接合约生成请求数据包ID，并将请求数据包发送给与该对接合约对应的中继区；

(2)中继区对请求数据包进行验证；若验证通过，则中继区启动软件防护扩展指令SGX创建安全区，并通过访问密钥将用户的请求信息以及所需的数据和方法存入安全区；

(3)安全区使用内部私钥对访问密钥进行验证；若验证通过，则调用所述的数据和方法对用户的请求进行处理，将处理结果和验证结果打包发送给中继区；若验证失败，则将失败说明作为处理结果发送给中继区；

(4)中继区将处理结果和验证验证结果打包成回应数据包并返回给对接合约，对接合约根据验证结果执行对应的行为。

步骤(1)中，所述的请求数据包包含用户请求信息、回调信息、处理请求所需的数据和方法。

步骤(1)中，对接合约根据请求数据包的内容以及附加信息生成请求数据包ID。所述的附加信息为时间等。

步骤(2)包括：

(2-1)中继区对请求数据包ID以及区块链交易信息进行验证；

(2-2)若验证通过，则中继区调用预定的代码，在本地启动软件防护扩展指令SGX，准备安全区的运行；在SGX可信模式下，中继区根据请求信息为安全区分配地址空间和内存页；

(2-3)使用访问密钥将用户的请求信息以及所需的数据和方法存入安全区中；

(2-4)删除中继区上的信息，只保留在安全区内的信息副本。

步骤(4)中，对接合约根据验证结果执行以下行为：

(a)若验证结果为成功，则在区块链上广播该交易信息，对接合约将请求处理结果返回给请求者合约；

(b)若验证结果为失败，则停止该交易的广播并宣布给交易非法。

与现有技术相比，本发明的有益效果为：

(1)提出了一种新的区块链隐私保护的方法，与传统的密钥加密相比，攻击者无法直接访问处理信息的内容，无法根据内容设计针对性攻击，在没有明显效率问题的情况下，可靠性和安全性更高；

(2)提出了注重本地环境安全的思想，对于区块链隐私保护的研究方向扩展以及传统隐私加密方式的链上应用扩展有重要意义，可作为各种区块链应用的安全管理服务使用；

(3)使用了SGX保护技术，这种技术的使用对于防止来自本地的攻击有重要作用，将重要的数据放在SGX提供的安全区内，保证了内容的安全；

(4)整个装置具有高复用低耦合的特点，可以覆盖大部分需要本地数据保存和处理的运用场景，具有很好的应用前景。

附图说明

图1为区块链用户请求处理装置的结构示意图；

图2为区块链用户请求处理方法的流程示意图；

图3为对接合约进行信息接收的流程示意图；

图4为中继区进行信息中继的流程示意图；

图5为安全区进行信息处理的流程示意图。

具体实施方式

下面结合附图和实施例对本发明作进一步详细描述，需要指出的是，以下所述实施例旨在便于对本发明的理解，而对其不起任何限定作用。

如图1所示，区块链节点用户请求处理保护装置包括智能合约、中继区和安全区。智能合约包括请求者合约和对接合约，位于区块链上。中继区和安全区位于部署的区块链节点服务器上。每个用户在区块链上可以有一个或多个请求者合约。

请求者合约根据用户的请求发起交易，并通过协议里的数据构造对应的请求数据包，并通过区块链网络发送给对接合约进行处理，并从对接合约返回用户的请求结果。请求者合约可以由客户端节点进行多次生成，在对接合约上有一个唯一的ID进行标识，确保请求数据包和回应数据包的对应性，不会出现一对多的情况。

对接合约是区块链前端的智能合约，用于为请求者合约向SGX软件防护扩展指令系统发送请求提供一种简单的API接口。对接合约从请求者合约中接收到请求数据包，并从SGX软件防护扩展指令系统返回相应的回应数据包，同时，对接合约也用于管理整个系统的货币资源，防止用户发起交易时受到攻击或其他问题时造成的费用的丢失。这个合约在整个区块链上是可见的，并且对所有与用户公开源码，始终表现为可信。

安全区为SGX软件防护扩展指令的可信空间(enclave)，位于部署的区块链节点服务器上。在该系统中，我们把之前泛化的数据具体为安全区接收并填充来自区块链的请求数据包。为了获得填充用的数据，它需要额外的数据来源，可以是支持HTTPS的因特网服务。它向请求者合约返回一个经过区块链数字签名的数据包。在我们的SGX安全模型下，除了网络功能，主机上的enclave的运行与敌对的操作系统和其他程序完全隔离。

安全区包含标准时间模块和安全加密模块。

标准时间模块通过受信任的方式获取绝对时间，用于检验连接的时效性问题，以保证时钟的正确性和提高处理的安全性。这个时间是可以通过中继区由外部访问获得的，这也是目前最为实际的一种实现方式，它能够使得客户端对安全区产生的时间戳进行验证，不会由安全区一个部件进行验证。另一方面，这样设计可以根据SGX的设计拥有在断电和重启之后的可恢复性。

安全加密模块基于SGX软件防护扩展指令生成可信空间，存储需要被加密保护的数据和方法，并能产生验证访问权限的访问密钥，通过该访问密钥对可信空间进行加密。访问密钥通过用户密钥、安全区内的代码和SGX硬件处理器的物理验证信息等共同决定产生，因而保证了其加密的可靠性。

安全区拥有以下特点：

(a)安全区的行为是诚信的，即在这里我们默认是最为安全的，在安全区里运行的源代码将会完完全全对用户公开，符合协议的规则来执行；

(b)安全区通过非对称加密，生成一个安全区生成的密钥对(公钥和私钥)，私钥只被安全区所知道，不会被其他任何元件来传播，而公钥在生成之后就通过对接合约进行全网广播，以便其他用户用此公钥发起交易；

(c)安全区拥有精确的内部时钟，并会对此定期进行一个实时的检测，会有相应的模块来进行处理。

安全区缺少直接的网络访问，因此中继区作为其处理双向网络流量的工具。中继区为安全区提供了三个部分的网络通路：

(A)中继区与区块链通信。中继区通过区块链来监控对接合约的状态，通过这种方式将隐式信息从对接合约传递到安全区中，因为两者都没有与网络进行连接。与此同时，中继区负责将安全区发送出来的数据包放置到区块链上。

(B)中继区与客户端(client)通信。中继区提供网络来处理对于任何一条链下的用户请求——特别是对安全区认证的请求。认证的作用是为每一个安全区实例提供了对客户端的一个唯一的公钥，并且保证安全区在SGX的enclave中正确运行，其时钟依据实际时间而正确。成功证实认证的客户端能够安全地创建并使用请求者合约来与该系统进行交易。总结的来说，客户端就是将内部完整的系统能够与外接进行合理对接的一个交互处。

(C)中继区与外部数据源通信。通过数据源，中继区作为数据源和安全区的流量通路，为安全区提供可靠的网络数据来源。数据源通过协议中所规定的要求严格保护的通信渠道为安全区提供数据信息，用于在安全区打包发出的数据包时提供一定的数据来源，这个数据来源应该当且必须是可信的，从而保证数据来源的安全性。

如图2所示，一个请求的执行过程包括以下步骤：

(1)智能合约处理用户请求，如图3所示：

(1-1)用户的请求通过请求者合约产生一个包含用户请求信息以及回调信息的请求数据包，通过约定的打包方式进行数据的封装，之后通过区块链发送给对接合约；

(1-2)区块链上的对接合约接收到对应的请求数据包后，根据数据包的内容和其他信息(比如时间)产生一个唯一的ID并将请求信息打包发送给与该对接合约对应的中继区。

(2)中继区进行信息验证和安全区启动，如图4所示：

(2-1)中继区对上述ID以及区块链交易的部分信息进行验证，包括区块链版本以及其他数据的合法性，这是第一步的外围数据检查；

(2-2)如果上述验证通过，中继区会调用预定的代码，在本地启动预先分配好的软件防护扩展指令SGX(Software Guard Extensions)，准备安全区的运行；

(2-3)在SGX可信模式下，中继区根据请求信息为可信空间分配地址空间和内存页，使用访问密钥将用户的请求信息以及所需的数据和方法一并存入安全区中。为了数据的安全，在这之后中继区上对应的信息应当被删除，只保留在安全区内的副本。

(3)安全区的数据处理，如图5所示：

(3-1)安全区使用内部私钥对访问密钥进行验证，如果验证通过，则调用已经通过中继区安放到安全区内部的方法和数据对用户的请求进行处理；如果失败，则将失败的说明作为处理结果；

(3-2)在处理完成后，把处理结果和验证信息打包返回给中继区，这样一来整个安全区的操作就完成了，可以根据设计的不同回收或者暂时关闭该安全区。

(4)中继区将获得的数据返回给对接合约。在这一层面上不进行更多的处理，中继区完全充当过渡的角色。

(5)对接合约验证请求信息是否一致，若符合则根据回调的信息执行对应的返回方法，同时对接合约通过验证信息执行以下行为：

(5-1)若验证结果为成功，则在区块链上广播该交易信息，请求者合约可以接收到请求的返回结果；

(5-2)若验证结果为失败，则停止该交易的广播并且宣布非法。

以上所述的实施例对本发明的技术方案和有益效果进行了详细说明，应理解的是以上所述仅为本发明的具体实施例，并不用于限制本发明，凡在本发明的原则范围内所做的任何修改、补充和等同替换等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种区块链用户请求处理装置，其特征在于，包括：

请求者合约，根据用户的请求发起交易，构造请求数据包并通过区块链网络发送给对接合约；从对接合约接收相应的请求处理结果；

对接合约，根据请求数据包的内容及附加信息生成请求数据包ID，并将请求数据包发送给与该对接合约对应的中继区；接收中继区返回的回应数据包并执行对应的行为；

中继区，对请求数据包进行验证，若验证通过，则通过访问密钥将用户的请求信息以及所需的数据和方法存入安全区；接收安全区返回的回应数据包并发送给对接合约；

安全区，使用内部私钥对访问密钥进行验证，若验证通过，则调用所述的数据和方法对用户的请求进行处理，将处理结果和验证结果打包成回应数据包发送给中继区；若验证失败，则将失败说明作为处理结果发送给中继区。

2.根据权利要求1所述的区块链用户请求处理装置，其特征在于，所述的请求者合约和对接合约位于区块链网络上；所述的中继区和安全区位于区块链节点的服务器上。

3.根据权利要求1所述的区块链用户请求处理装置，其特征在于，所述的区块链用户请求处理装置还包括数据源，为安全区提供处理请求所需的数据。

4.根据权利要求1所述的区块链用户请求处理装置，其特征在于，所述的安全区包含标准时间模块和安全加密模块；所述的标准时间模块通过受信任的方式获取绝对时间，用于检验连接的时效性；所述的安全加密模块基于软件防护扩展指令SGX生成可信空间并对可信空间进行加密；可信空间用于存储需要被加密保护的数据和方法。

5.根据权利要求1所述的区块链用户请求处理装置，其特征在于，安全加密模块对可信空间进行非对称加密，生成由访问密钥和内部私钥组成的密钥对；访问密钥在生成后通过对接合约进行全网广播。

6.根据权利要求5所述的区块链用户请求处理装置，其特征在于，所述的访问密钥通过用户密钥、安全区内的存储信息以及SGX硬件处理器的物理验证信息共同决定产生。

7.一种区块链用户请求处理方法，其特征在于，包括以下步骤：

(1)请求者合约根据用户的请求发起交易并构造相应的请求数据包，通过区块链网络发送给对接合约；对接合约生成请求数据包ID，并将请求数据包发送给与该对接合约对应的中继区；

(2)中继区对请求数据包进行验证；若验证通过，则中继区启动软件防护扩展指令SGX创建安全区，并通过访问密钥将用户的请求信息以及所需的数据和方法存入安全区；

(3)安全区使用内部私钥对访问密钥进行验证；若验证通过，则调用所述的数据和方法对用户的请求进行处理，将处理结果和验证结果打包发送给中继区；若验证失败，则将失败说明作为处理结果发送给中继区；

(4)中继区将处理结果和验证验证结果打包成回应数据包并返回给对接合约，对接合约根据验证结果执行对应的行为。

8.根据权利要求7所述的区块链用户请求处理方法，其特征在于，步骤(1)中，所述的请求数据包包含用户请求信息、回调信息、处理请求所需的数据和方法。

9.根据权利要求7所述的区块链用户请求处理方法，其特征在于，步骤(2)包括：

(2-1)中继区对请求数据包ID以及区块链交易信息进行验证；

(2-2)若验证通过，则中继区调用预定的代码，在本地启动软件防护扩展指令SGX，准备安全区的运行；在SGX可信模式下，中继区根据请求信息为安全区分配地址空间和内存页；

(2-3)使用访问密钥将用户的请求信息以及所需的数据和方法存入安全区中；

(2-4)删除中继区上的信息，只保留在安全区内的信息副本。

10.根据权利要求7所述的区块链用户请求处理方法，其特征在于，步骤(4)中，对接合约根据验证结果执行以下行为：

(a)若验证结果为成功，则在区块链上广播该交易信息，对接合约将请求处理结果返回给请求者合约；

(b)若验证结果为失败，则停止该交易的广播并宣布给交易非法。

Images