CN111355570B - 一种面向软件复杂网络的可信应用网络数据溯源方法及审计方法 - Google Patents

Abstract

本发明提出一种面向软件复杂网络的可信应用网络数据溯源方法及审计方法，包括步骤：对存证数据进行哈希运算，生成存证数据的哈希值；将存证数据所依赖的源数据的存证值与所述存证数据的哈希值进行拼串，对所述拼串进行哈希运算得到二次哈希串；对所述二次哈希串采用非对称加密算法进行签名运算生成签名，将所述二次哈希串与所述签名合并，对合并的所述哈希串与所述签名进行哈希运算得到三次哈希串；在区块链上实现数据的哈希存证、多个节点之间存在依赖关系的数据，其依赖关系在区块链上存证哈希之间可作验证，实现哈希存证值之间的溯源关系、数据的哈希存证值体现了数字签名，可验证数据来源的正确性、在区块链上对哈希存证数据可进行溯源审计。

Description

一种面向软件复杂网络的可信应用网络数据溯源方法及审计方法

技术领域

本发明涉及区块链技术领域，具体涉及一种面向软件复杂网络的可信应用网络数据溯源方法及审计方法。

背景技术

在区块链出现之前，可以通过时间戳服务对数据进行存证，1991年Haber的论文论述了如何用中心化的服务器做时间戳服务，以及如何在P2P环境中实现一致的时间戳服务。此论文成为中本聪比特币参考的文献之一。今天世界各国都有中心化的时间戳服务，在中国通过授时服务器给电子文档加盖时间戳，即为有效的司法存证证据。时间戳的基本原理是，将数据文件生成哈希，授时服务器为此哈希值附上确切的时间，然后对哈希值以及时间戳进行签名，并返回时间戳和签名。

区块链出现之后，人们可以更加方便的将数据文件、文档等电子文件的哈希提交到可信的区块链，例如比特币、以太坊上，以供存证。区块链上时间戳体现为区块高度。

数据存证的一个经典场景是为审计工作提供证据。即数据存证之后，业务处理机构不能轻易地篡改数据。另外，也是发生业务纠纷时，业务处理机构用于自证的证明材料。

当前的业务存证，不论是时间戳服务还是区块链存证，都是单点业务的存证。

每一个存证业务点的一条数据，都存证为一条哈希值。对于系统内流程N的几个业务点之间，在该系统内通过数据库的关系建立了业务之间的依赖，但体现在哈希存证上，却是没有关联的。多个系统间流程M，通过API调用，彼此前后依赖，但存证到区块链上后，哈希值之间并无关联。

总结来说，区块链存证丢失了业务数据之间的关联关系。在业务环境中本是前后调用的流程，在存证数据上，成为无关的单点。

不论是在过去的C/S结构下，还是在今天云计算的REST API风格下，数据的调用都是在系统之间两两发生，因此具有一个非常鲜明的特点：数据调用者B只能相信数据提供者A，没有任何手段可以对数据进行验证。

数据的调用，结束了单个系统间的数据孤岛问题。然后，由于系统间调用是两两发生的，意味着两个系统在“两两调用”关系上，再次形成一个孤岛。

B系统调用了A，所以它只能相信A的数据，没有任何手段可以去验证A的数据与源头数据是否一致，也无从验证A的数据在其它位置是否一致。

在这样的应用生态中，通过API调用实现跨系统流程，就存在着种种弊端和痛点：

业务数据无法溯源。在某个环节中，难以查证该业务数据的源头。例如在医保业务中，一张保险公司的医保支付单，依赖于医疗机构的付款单，而医疗的付款单则依赖政府医保系统发布的医保卡，但医保支付单无法溯源到医保卡的申请；

难以防范业务数据伪造，以及对业务数据的篡改；

业务操作者权限过大，滥用数据权限；

监管部门的审计和监管成本高昂，只能偶尔抽检，难以发现问题，无法做到实时的数据和业务监察。

发明内容

针对现有技术中的缺陷，本发明提供一种面向软件复杂网络的可信应用网络数据溯源方法，其能够解决在区块链的存证溯源过程中数据的孤岛问题，也能够实现对每个节点数据的溯源审计。

一种面向软件复杂网络的可信应用网络数据溯源方法，包括步骤：

对存证数据进行哈希运算，生成存证数据的哈希值；

将存证数据所依赖的源数据的存证值与所述存证数据的哈希值进行拼串，对所述拼串进行哈希运算得到二次哈希串；

对所述二次哈希串采用非对称加密算法进行签名运算生成签名，将所述二次哈希串与所述签名合并，对合并的所述哈希串与所述签名进行哈希运算得到三次哈希串。

进一步的，所述哈希运算采用MD5信息摘要算法。

进一步的，所述签名算法采用RSA算法的PKCS1_v1_5算法。

进一步的，所述三次哈希串、二次哈希串、存证数据的哈希值、源数据的存证值和签名均存储在区块链的智能合约中。

进一步的，还包括一种面向软件复杂网络的可信应用网络数据溯源审计方法，包括步骤：

验证三次哈希串是由二次哈希串与签名合并后经哈希运算所得；

采用存证数据的节点的公钥对签名进行验签，判断验签结果是否与所述二次哈希串一致，若一致则验证了所述二次哈希串来自所述存证数据的节点；

验证所述二次哈希串是由所述存证数据的哈希值与源数据的存证值合并得到的拼串的哈希运算的结果。

进一步的，在一种面向软件复杂网络的可信应用网络数据溯源审计方法中，还包括步骤：

验证所述存证数据的哈希值是由所述存证数据做哈希运算所得。

本发明的有益效果体现在：本发明提出一种面向软件复杂网络的可信应用网络数据溯源方法及审计方法，包括步骤：对存证数据进行哈希运算，生成存证数据的哈希值；将存证数据所依赖的源数据的存证值与所述存证数据的哈希值进行拼串，对所述拼串进行哈希运算得到二次哈希串；对所述二次哈希串采用非对称加密算法进行签名运算生成签名，将所述二次哈希串与所述签名合并，对合并的所述哈希串与所述签名进行哈希运算得到三次哈希串；在区块链上实现数据的哈希存证、多个节点之间存在依赖关系的数据，其依赖关系在区块链上存证哈希之间可作验证，实现哈希存证值之间的溯源关系、数据的哈希存证值体现了数字签名，可验证数据来源的正确性、在区块链上对哈希存证数据可进行溯源审计。

附图说明

为了更清楚地说明本发明具体实施方式或现有技术中的技术方案，下面将对具体实施方式或现有技术描述中所需要使用的附图作简单地介绍。在所有附图中，类似的元件或部分一般由类似的附图标记标识。附图中，各元件或部分并不一定按照实际的比例绘制。

图1为本发明的一种实施例步骤示意图；

图2为本发明的一种实施例步骤示意图。

具体实施方式

下面将结合附图对本发明技术方案的实施例进行详细的描述。以下实施例仅用于更加清楚地说明本发明的技术方案，因此只作为示例，而不能以此来限制本发明的保护范围。

需要注意的是，除非另有说明，本申请使用的技术术语或者科学术语应当为本发明所属领域技术人员所理解的通常意义。

本发明提出一种面向软件复杂网络的可信应用网络数据溯源方法及审计方法。

首先，在一种面向软件复杂网络的可信应用网络数据溯源方法中，主要包括的步骤有：

可以是如图1和2所示的实施例，对存证数据进行哈希运算，生成存证数据的哈希值；

将存证数据所依赖的源数据的存证值与所述存证数据的哈希值进行拼串，对所述拼串进行哈希运算得到二次哈希串；

对所述二次哈希串采用非对称加密算法进行签名运算生成签名，将所述二次哈希串与所述签名合并，对合并的所述哈希串与所述签名进行哈希运算得到三次哈希串。

以上步骤的顺序、次序不做限定。

在一个实施例中：

将存证数据记为“b”，则在对存证数据进行哈希运算的步骤中，即对存证数据b进行哈希运算，生成哈希值b'，则存证数据b的哈希值b'＝hash(b)；

将源数据记为“a”，源数据的存证值为a”'，将存证数据b的哈希值b'和a”'拼串，构成b'+a”'，然后对b'+a”'进行哈希运算，生成二次哈希串，二次哈希串为b”＝hash(b'+a”')；

对二次哈希串b”采用非对称加密算法进行签名运算，签名运算可以是非对称加密签名，生成的签名可记为“s”，然后将二次哈希串b”与签名s合并，对合并的结果进行哈希运算，得到三次哈希串，三次哈希串可记为b”'＝hash(b”+s)。

此外，还可包括后续步骤：节点B提交b”',b”,b',a”',s到区块链中。

在该实施例中，优选的，所有哈希运算采用MD5信息摘要算法。

更优选的，签名算法采用RSA算法的PKCS1_v1_5算法。

MD5生成哈希值为32位。PKCS1_v1_5签名生成数字签名为512位。

优选的，三次哈希串、二次哈希串、存证数据的哈希值、源数据的存证值和签名均存储在区块链的智能合约中。

则基于上述实施例中，三次哈希串则为b”'，二次哈希串则为b”，存证数据的哈希值为b'，源数据的存证值为a”'，签名为s，则b”'、b”、b'、a”'、s这五个值都存储在区块链的智能合约中。

本发明还提出一种面向软件复杂网络的可信应用网络数据溯源审计方法，包括步骤：

验证三次哈希串是由二次哈希串与签名合并后经哈希运算所得；

采用存证数据的节点的公钥对签名进行验签，判断验签结果是否与所述二次哈希串一致，若一致则验证了所述二次哈希串来自所述存证数据的节点；

验证所述二次哈希串是由所述存证数据的哈希值与源数据的存证值合并得到的拼串的哈希运算的结果。

在具体实施方式中，当对b”进行数据审计时；

第一步可以是验证b”'是由b”与s合并后做哈希运算所得，即b”'＝hash(b”+s)

第二步：用存证数据节点，可以记为B节点，用B节点的公钥(公开存储在区块链上)对s进行验签，结果与b”一致，则验证了b”来自B节点；

第三步：验证b”是由b'与a”'合并后做哈希运算所得，即b”＝hash(b'+a”')；

以上三步验证全部都在区块链的智能合约中完成。验证目的是检查和审计业务数据存证值之间的溯源关系、存证值的来源无误。验证并不检查实际数据与数据哈希值之间的一致性。如需检验存证数据哈希值b’确是由存证数据b做MD5信息摘要算法运算生成，则需要从B节点调用b数据，区块链的智能合约中并不存储b数据。

在一些实施方式中，还可以包括第四步：验证所述存证数据的哈希值是由所述存证数据做哈希运算所得。即验证b’是由存证数据b做哈希运算所得，即b'＝hash(b)。

如果要做数据溯源，则在上面的第三步获得a”'后，从区块链上查询a”'，对a”'执行同样的三步审计和溯源。

通过区块链上存储的哈希值，便可做最初步的验证，验证所有的业务数据，都是有准确溯源的，严格按照业务逻辑进行前向关联，是有据可查的。这种对多个独立系统穿透式的存证，虽然哈希数据不泄露任何业务信息，但已经保证了业务之间关联关系的正确性。业务流程中的最后一个业务处理机构，也可以通过区块链上智能合约存储的哈希值查询到流程最初发起节点数据的哈希值，得以验证自己所处理数据的前向可靠性。

在做审计时，审计人员可以通过哈希值快速定位业务的来源。对于有问题的业务，能够迅速定位问题发生的环节，及时发现问题。

本发明的有益效果包括：在区块链上实现数据的哈希存证、多个节点之间存在依赖关系的数据，其依赖关系在区块链上存证哈希之间可作验证，实现哈希存证值之间的溯源关系、数据的哈希存证值体现了数字签名，可验证数据来源的正确性、在区块链上对哈希存证数据可进行溯源审计。

最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围，其均应涵盖在本发明的权利要求和说明书的范围当中。

Claims (6)

1.一种面向软件复杂网络的可信应用网络数据溯源方法，其特征在于：包括步骤：

对存证数据进行哈希运算，生成存证数据的哈希值；

将存证数据所依赖的源数据的存证值与所述存证数据的哈希值进行拼串，对所述拼串进行哈希运算得到二次哈希串；

对所述二次哈希串采用非对称加密算法进行签名运算生成签名，将所述二次哈希串与所述签名合并，对合并的所述哈希串与所述签名进行哈希运算得到三次哈希串。

2.根据权利要求1所述的一种面向软件复杂网络的可信应用网络数据溯源方法，其特征在于：所述哈希运算采用MD5信息摘要算法。

3.根据权利要求2所述的一种面向软件复杂网络的可信应用网络数据溯源方法，其特征在于：所述签名算法采用RSA算法的PKCS1_v1_5算法。

4.根据权利要求3所述的一种面向软件复杂网络的可信应用网络数据溯源方法，其特征在于：所述三次哈希串、二次哈希串、存证数据的哈希值、源数据的存证值和签名均存储在区块链的智能合约中。

5.一种面向软件复杂网络的可信应用网络数据溯源审计方法，其特征在于：包括步骤：

验证三次哈希串是由二次哈希串与签名合并后经哈希运算所得；

采用存证数据的节点的公钥对签名进行验签，判断验签结果是否与所述二次哈希串一致，若一致则验证了所述二次哈希串来自所述存证数据的节点；

验证所述二次哈希串是由所述存证数据的哈希值与源数据的存证值合并得到的拼串的哈希运算的结果。

6.根据权利要求5所述的一种面向软件复杂网络的可信应用网络数据溯源审计方法，其特征在于：还包括步骤：

验证所述存证数据的哈希值是由所述存证数据做哈希运算所得。

Images