CN111666553A - 一种基于分布式pki的区块链身份权限管理方法 - Google Patents

一种基于分布式pki的区块链身份权限管理方法 Download PDF

Info

Publication number
CN111666553A
CN111666553A CN202010693576.6A CN202010693576A CN111666553A CN 111666553 A CN111666553 A CN 111666553A CN 202010693576 A CN202010693576 A CN 202010693576A CN 111666553 A CN111666553 A CN 111666553A
Authority
CN
China
Prior art keywords
user
image information
access
living body
service platform
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202010693576.6A
Other languages
English (en)
Inventor
蔡潇
王剑
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Jiangsu Rongzer Information Technology Co Ltd
Original Assignee
Jiangsu Rongzer Information Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Jiangsu Rongzer Information Technology Co Ltd filed Critical Jiangsu Rongzer Information Technology Co Ltd
Priority to CN202010693576.6A priority Critical patent/CN111666553A/zh
Publication of CN111666553A publication Critical patent/CN111666553A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/32—User authentication using biometric data, e.g. fingerprints, iris scans or voiceprints
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/45—Structures or tools for the administration of authentication
    • G06F21/46—Structures or tools for the administration of authentication by designing passwords or checking the strength of passwords
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/602—Providing cryptographic facilities or services
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6218—Protecting access to data via a platform, e.g. using keys or access control rules to a system of files or objects, e.g. local or distributed file system or database
    • G06F21/6245—Protecting personal data, e.g. for financial or medical purposes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0407—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the identity of one or more communicating identities is hidden
    • H04L63/0414—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the identity of one or more communicating identities is hidden during transmission, i.e. party's identity is protected against eavesdropping, e.g. by using temporary identifiers, but is known to the other party or parties involved in the communication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0861—Network architectures or network communication protocols for network security for authentication of entities using biometrical features, e.g. fingerprint, retina-scan
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/1097—Protocols in which an application is distributed across nodes in the network for distributed storage of data in networks, e.g. transport arrangements for network file system [NFS], storage area networks [SAN] or network attached storage [NAS]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • General Physics & Mathematics (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Power Engineering (AREA)
  • Medical Informatics (AREA)
  • Databases & Information Systems (AREA)
  • Biomedical Technology (AREA)
  • Collating Specific Patterns (AREA)

Abstract

本发明公开了一种基于分布式PKI的区块链身份权限管理方法，包括访问业务平台前，首先进行身份认证；通过预置的摄像头采集预设区域范围内的目标用户的的一组活体动作，将目标用户的活体动作的图像信息与存储的合法用户的人脸图像信息进行比较，若检测到所述目标用户的活体动作的图像信息与所述合法用户的人脸图像信息不匹配，则向关联的移动终端发送包括目标用户的活体动作的图像信息的告警消息，以提醒所述移动终端的用户确认所述目标用户的身份是否合法；身份认证成功后，用户在业务平台的登录页面上进行登录验证；对用户输入的用户名和密码采用RSA非对称加密(公私钥)，进行数据加密，多重验证，大大提高用户身份鉴别的安全性。

Description

一种基于分布式PKI的区块链身份权限管理方法
技术领域
本发明涉及计算机信息处理以及区块链技术，特别是基于区块链内部通过系统合约的方式提供一种基于分布式PKI的区块链身份权限管理方法。
背景技术
区块链技术，区块链是指通过去中心化和去信任的方式集体维护一个可靠数据库的技术方案，是比特币、以太币等数字货币的底层技术。通俗一点说，区块链技术就指一种全民参与记账的方式。区块链上的交易确认由区块链上的所有节点共识完成，共识成功后打包写入区块。区块链维护一个公共的账本，用于存储区块链网络上所有交易，所有的系统背后都有一个数据库，你可以把数据库看成是就是一个大账本。那么谁来记这个账本就变得很重要。目前就是谁的系统谁来记账，微信的账本就是腾讯在记，淘宝的账本就是阿里在记。这种方式，我们就称它为区块链技术。
现有区块链中对于一般不存储的用户身份，由中心化的可信第三方CA提供身份证书。现有区块链中也少有权限管理，一般通过设立用户组等方式，控制粗粒度的权限，而且使用中心化的PKI身份要保证安全，必须要依靠可信第三方CA提供可靠的服务，但是近几年一直都有核心CA滥发证书，中继根证书泄露等问题爆出。
为此我们急需一种基于分布式PKI的区块链身份权限管理方法，由分布式的区块链承载整个身份体系使得用户身份自主可控，不依赖其他服务机构。同时通过权限、策略和审批的三把锁，让区块链中不同用户在平等平权的基础上，根据需要去申请权限，并通过策略所需的其他用户审批同意，才能通过。
发明内容
针对现有技术存在的不足，本发明目的是提供一种基于分布式PKI的区块链身份权限管理方法。本发明由分布式的区块链承载整个身份体系使得用户身份自主可控，不依赖其他服务机构，每个用户的身份不是由可信第三方控制，而是由其所有者控制，个人能自主管理自己的身份，而不是依赖于应用方；个人可以携带自己的身份，从一处漫游到另一处，而非仅仅局限于某一个平台或某一个系统之中，通过分布式认证使认证的过程不需要依赖于提供身份的应用方，任何人都可以创建身份标识，同时通过权限、策略和审批的三把锁，让区块链中不同用户在平等平权的基础上，根据需要去申请权限，并通过策略所需的其他用户审批同意，才能通过。
本发明需要解决的技术问题是：
(1)身份自主控制：每个用户的身份不是由可信第三方控制，而是由其所有者控制，个人能自主管理自己的身份，而不是依赖于应用方；
(2)身份可移植：个人可以携带自己的身份，从一处漫游到另一处，而非仅仅局限于某一个平台或某一个系统之中；
(3)分布式认证：认证的过程不需要依赖于提供身份的应用方，任何人都可以创建身份标识；
(4)权限可控：所有用户的身份都是平级的，通过权限、策略与审批管控权限。
本发明的目的可以通过以下技术方案实现：一种基于分布式PKI的区块链身份权限管理方法，包括如下步骤：
步骤一：访问业务平台前，必须进行身份认证；具体认证方法包括：
S14：通过预置的摄像头采集预设区域范围内的目标用户的的一组活体动作；具体步骤包括：
S141：要求用户做一组活体动作；
S142：获取用户的该组活体动作的图像信息；进行活体信息获取的目的是为了确保当前正在进行操作的是用户本人；由于后台服务器的图像比对是基于静态的照片进行，为了防止冒用他人照片进行身份验证的欺诈行为，会进行活体验证；通过要求用户在镜头前做一组活体动作并获取该一组活体动作的图像，通过一组记录不同活体动作的照片图像的综合比对，能有效甄别并防止冒用他人照片进行诈骗的行为；通常，活体动作是诸如眨眼之类的面部表情动作，拍摄的角度依旧是正面照片，以便于后续的比对和核实的动作；
S15：将目标用户的活体动作的图像信息与存储的合法用户的人脸图像信息进行比较，检测所述目标用户的活体动作的图像信息是否与所述合法用户的人脸图像信息相匹配；具体检测步骤如下：
S151：将目标用户的活体动作的图像信息与存储的多个合法用户的人脸图像信息进行比较，检测目标用户的活体动作的图像信息是否与多个所述合法用户的人脸图像信息中的任一个人脸图像信息相匹配；
S152：若目标用户的活体动作的图像信息与多个所述合法用户的人脸图像信息中的任一个人脸图像信息均不匹配，则确定目标用户的活体动作的图像信息与所述合法用户的人脸图像信息不匹配；
S153：若检测到所述目标用户的活体动作的图像信息与所述合法用户的人脸图像信息不匹配，则向关联的移动终端发送包括目标用户的活体动作的图像信息的告警消息，以提醒所述移动终端的用户确认所述目标用户的身份是否合法；具体过程如下：
S1531：检测是否接收到移动终端确认目标用户的身份合法后发送的信息存储消息；若接收到信息存储消息，则将所述目标用户的活体动作的图像信息作为合法用户的人脸图像信息存储至图像数据库中；
S1532：当接收到用户针对告警消息输入的确认目标用户的身份不合法的确认指令时，控制预置的警报器发出报警；
步骤二：身份认证成功后，用户在业务平台的登录页面上进行登录验证；用户的登录采用单点登录方式，用户输入用户名和密码后，传输过程中采用RSA公钥对用户名、密码进行加密，向服务器端发送请求；
步骤三：服务端接收到登录请求，采用RSA私钥对用户名、密码进行解密，再采用SHA256算法，同时采用随机数加“盐”策略存放于数据库中；
步骤四：验证用户名、密码；如果用户名和密码正确，则记录登录成功日志；
如果用户名和密码不正确，则记录登录失败日志，如果当前用户连续错误超过一定次数，则锁定当前用户，并提示当前用户已锁定，需要管理员解锁，如果当前用户连续错误没有超过一定次数，则判断当前IP连续错误是否超过一定次数，如果当前IP连续错误超过一定次数，则锁定当前IP，提示当前用户已锁定，需要管理员解锁，如果当前IP连续错误没有超过一定次数，则提示用户名、密码错误，返回步骤二中重新输入用户名和密码；
步骤五：登录验证结束，用户进入业务平台；其中，业务平台基于角色的访问控制，通过给角色授权、用户绑定角色的机制确定用户是否具有访问权，平台管理员对用户设定功能权限与数据权限，所述功能权限管控用户请求本平台的所有请求，所述数据权限限制用户能访问到的数据。
在步骤四中，对当前IP连续错误是否超过一定次数进行判断时，首先对访问业务平台的IP进行拦截和白名单验证；具体步骤如下：
S21：生成业务平台网络访问白名单；根据业务平台登录的具体环境，设定允许访问该业务平台的网络IP及其拥有的访问权限，生成该业务平台特有的网络访问白名单；
S22：获取业务平台网络访问恶意IP组库；对已有的业务平台网络访问IP进行时间、空间特性和恶意性分析，并最终生成恶意IP组库；
S23：当外部IP试图访问业务平台时，首先对该访问IP进行白名单验证，若该访问IP在白名单范围内，且权限允许，则允许其访问业务平台，对当前IP连续错误是否超过一定次数进行判断；
S24：对不在白名单中的访问IP进行恶意性分析；具体分析方法如下：
S241：将该IP节点标记为Aj，其连通度为标记为m，将该IP节点相应连接的域名标记为Dji，将域名对应的长度标记为dji，则节点IP的恶意性M(Aj)为：
Figure BDA0002590142380000051
当Dji为非恶意域名，S(Dji)＝0；当Dji为恶意域名，S(Dji)＝1；i＝1……m；
S242：将IP组标记为B，所述IP组共包含n个IP节点，则IP组的恶意性为：
Figure BDA0002590142380000052
j＝1……n；
S243：根据该访问IP在恶意IP组库中找到对应的IP组，计算出该恶意IP组中恶意IP的恶意性期望值
Figure BDA0002590142380000053
若M(Aj)>E(M(B))，则将该访问IP判定为恶意IP，并对其进行安全预警和访问控制；否则将其判定为可疑IP，对其进行访问控制；
S324：对无法确定的访问IP将其保存到可疑IP库中；对于既不在已有白名单列表中，也未被判定为恶意的访问IP，将其保存到可疑IP库中；当白名单和恶意IP组库更新时还要进行重复验证。
所述合法用户的人脸图像信息的获取方法为：
S11：接收基于用户操作触发的信息预置指令；
S12：输出提示信息，所述提示信息用于提示输入待验证信息；
S13：用户输入待验证信息，业务平台验证待验证信息是否与预设的验证信息相匹配；若匹配，则通过预置的摄像头采集当前用户的人脸图像信息，将所述当前用户的人脸图像信息作为合法用户的人脸图像信息存储至图像数据库中。
所述方法还包括如下步骤：
S31：设置登录界面锁定的时间值；
S32：当登录界面锁定的时间超过设置的时间值，则登录界面解锁，接收用户的登录验证请求。
本发明的有益效果是：
(1)由分布式的区块链承载整个身份体系使得用户身份自主可控，不依赖其他服务机构；个人可以携带自己的身份，从一处漫游到另一处，而非仅仅局限于某一个平台或某一个系统之中；认证的过程不需要依赖于提供身份的应用方，任何人都可以创建身份标识；同时通过权限、策略和审批的三把锁，让区块链中不同用户在平等平权的基础上，根据需要去申请权限，并通过策略所需的其他用户审批同意，才能通过。
(2)本发明对HTTP服务的其他需要鉴权的接口增加身份认证和登录验证来验证身份；通过预置的摄像头采集预设区域范围内的目标用户的的一组活体动作，将目标用户的活体动作的图像信息与存储的多个合法用户的人脸图像信息进行比较，来确认该目标用户的身份的合法性，当检测到两者不匹配时向关联的终端发送告警消息，使得用户外出时，能够及时地掌握到该预设区域的动态，了解到是否有非法分子闯入，从而避免了用户隐私泄露及财物损失；
(3)本发明采用对用户输入的用户名和密码采用RSA非对称加密(公私钥)，进行数据加密，保证每次请求的密文不会重复，避免了明文传输密码与暴力破解，然后采用SHA256算法，同时采用随机数加“盐”策略存放于数据库中，保证了即使相同数据，加密后也不重复，也不可逆向运算，大大提高用户身份鉴别的安全性，本发明对用户的每次请求，都会对该用户进行访问频次统计，对恶意的超高频访问进行拦截，防止负载攻击，对当前IP连续错误是否超过一定次数进行判断时，首先对访问业务平台的IP进行拦截和白名单验证，多重验证，大大提高用户身份鉴别的安全性。
附图说明
为了便于本领域技术人员理解，下面结合附图对本发明作进一步的说明。
图1为本发明一种基于分布式PKI的区块链身份权限管理方法的流程示意图。
具体实施方式
为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
如图1所示，一种基于分布式PKI的区块链身份权限管理方法，包括如下步骤：
X1：在区块链节点上提供HTTP服务，增加/did/create接口；
X2：定义用户的数字身份格式为did:rongzer:<id>；
X3：<Document>定义两个公钥，main为主私钥对应的公钥，recovery为备私钥对应的公钥；
X4：私钥由用户生成时，需传入加密算法名，支持RSA与SM2；
X5：可由区块链创建公私钥，同样需传入加密算法名，支持RSA与SM2，根据所选算法创建两对公私钥；
X6：由以上字段拼接为完整<Document>
Figure BDA0002590142380000081
X7：<id>采用双hash算出<id>＝base58(ripemd160(sha256(<Document>)))；
X8：在<Document>中加入字段"id":<id>；
X9：将<Document>交由区块链以<id>＝<Document>的形式作为数据上链；
X10：对HTTP服务的其他需要鉴权的接口增加身份认证和登录验证来验证身份；
X11：其他接口先使用did参数在区块链的世界状态中查询到<Document>，使用其中记录的主公钥对接口参数首字母排序后的所有参数字符串签名，比对两个签名是否一致；
X12：增加/permission/create权限接口，用同did创建的方式记录一个did与一种权限的映射关系<Permission>，其中增加status字段值为false，以及审批需要人数approval为所有did的总数
Figure BDA0002590142380000091
X13：增加/permission/approval审批接口，同did创建的方式记录一个did与一个权限审批的映射关系did_<id>_xxx＝true/false,如审批同意，则从世界状态中读取所有审批同意记录数量是否满足<Permission>中approval数量，如满足则修改其中status为true；
X14：其他需要权限控制的接口中，根据传入的did参数从世界状态中查询是否拥有权限进行调用；
所述步骤X10中对HTTP服务的其他需要鉴权的接口增加身份认证和登录验证来验证身份；具体验证方法包括：
步骤一：访问业务平台前，必须进行身份认证；具体认证方法包括：
S14：通过预置的摄像头采集预设区域范围内的目标用户的的一组活体动作；具体步骤包括：
S141：要求用户做一组活体动作；
S142：获取用户的该组活体动作的图像信息；
S15：将目标用户的活体动作的图像信息与存储的合法用户的人脸图像信息进行比较，检测所述目标用户的活体动作的图像信息是否与所述合法用户的人脸图像信息相匹配；具体检测步骤如下：
S151：将目标用户的活体动作的图像信息与存储的多个合法用户的人脸图像信息进行比较，检测目标用户的活体动作的图像信息是否与多个所述合法用户的人脸图像信息中的任一个人脸图像信息相匹配；
S152：若目标用户的活体动作的图像信息与多个所述合法用户的人脸图像信息中的任一个人脸图像信息均不匹配，则确定目标用户的活体动作的图像信息与所述合法用户的人脸图像信息不匹配；
S153：若检测到所述目标用户的活体动作的图像信息与所述合法用户的人脸图像信息不匹配，则向关联的移动终端发送包括目标用户的活体动作的图像信息的告警消息，以提醒所述移动终端的用户确认所述目标用户的身份是否合法；具体过程如下：
S1531：检测是否接收到移动终端确认目标用户的身份合法后发送的信息存储消息；若接收到信息存储消息，则将所述目标用户的活体动作的图像信息作为合法用户的人脸图像信息存储至图像数据库中；
S1532：当接收到用户针对告警消息输入的确认目标用户的身份不合法的确认指令时，控制预置的警报器发出报警；
步骤二：身份认证成功后，用户在业务平台的登录页面上进行登录验证；用户的登录采用单点登录方式，用户输入用户名和密码后，传输过程中采用RSA公钥对用户名、密码进行加密，向服务器端发送请求；
步骤三：服务端接收到登录请求，采用RSA私钥对用户名、密码进行解密，再采用SHA256算法，同时采用随机数加“盐”策略存放于数据库中；
步骤四：验证用户名、密码；如果用户名和密码正确，则记录登录成功日志；
如果用户名和密码不正确，则记录登录失败日志，如果当前用户连续错误超过一定次数，则锁定当前用户，并提示当前用户已锁定，需要管理员解锁，如果当前用户连续错误没有超过一定次数，则判断当前IP连续错误是否超过一定次数，如果当前IP连续错误超过一定次数，则锁定当前IP，提示当前用户已锁定，需要管理员解锁，如果当前IP连续错误没有超过一定次数，则提示用户名、密码错误，返回步骤二中重新输入用户名和密码；
步骤五：登录验证结束，用户进入业务平台；其中，业务平台基于角色的访问控制，通过给角色授权、用户绑定角色的机制确定用户是否具有访问权，平台管理员对用户设定功能权限与数据权限，所述功能权限管控用户请求本平台的所有请求，所述数据权限限制用户能访问到的数据。
在步骤四中，对当前IP连续错误是否超过一定次数进行判断时，首先对访问业务平台的IP进行拦截和白名单验证；具体步骤如下：
S21：生成业务平台网络访问白名单；根据业务平台登录的具体环境，设定允许访问该业务平台的网络IP及其拥有的访问权限，生成该业务平台特有的网络访问白名单；
S22：获取业务平台网络访问恶意IP组库；对已有的业务平台网络访问IP进行时间、空间特性和恶意性分析，并最终生成恶意IP组库；
S23：当外部IP试图访问业务平台时，首先对该访问IP进行白名单验证，若该访问IP在白名单范围内，且权限允许，则允许其访问业务平台，对当前IP连续错误是否超过一定次数进行判断；
S24：对不在白名单中的访问IP进行恶意性分析；具体分析方法如下：
S241：将该IP节点标记为Aj，其连通度为标记为m，将该IP节点相应连接的域名标记为Dji，将域名对应的长度标记为dji，则节点IP的恶意性M(Aj)为：
Figure BDA0002590142380000111
当Dji为非恶意域名，S(Dji)＝0；当Dji为恶意域名，S(Dji)＝1；i＝1……m；
S242：将IP组标记为B，所述IP组共包含n个IP节点，则IP组的恶意性为：
Figure BDA0002590142380000121
j＝1……n；
S243：根据该访问IP在恶意IP组库中找到对应的IP组，计算出该恶意IP组中恶意IP的恶意性期望值
Figure BDA0002590142380000122
若M(Aj)>E(M(B))，则将该访问IP判定为恶意IP，并对其进行安全预警和访问控制；否则将其判定为可疑IP，对其进行访问控制；
S324：对无法确定的访问IP将其保存到可疑IP库中；对于既不在已有白名单列表中，也未被判定为恶意的访问IP，将其保存到可疑IP库中；当白名单和恶意IP组库更新时还要进行重复验证。
进一步地，所述合法用户的人脸图像信息的获取方法为：
S11：接收基于用户操作触发的信息预置指令；
S12：输出提示信息，所述提示信息用于提示输入待验证信息；
S13：用户输入待验证信息，业务平台验证待验证信息是否与预设的验证信息相匹配；若匹配，则通过预置的摄像头采集当前用户的人脸图像信息，将所述当前用户的人脸图像信息作为合法用户的人脸图像信息存储至图像数据库中。
还包括如下步骤：
S31：设置登录界面锁定的时间值；
S32：当登录界面锁定的时间超过设置的时间值，则登录界面解锁，接收用户的登录验证请求。
一种基于分布式PKI的区块链身份权限管理方法，在工作时，身份自主控制：每个用户的身份不是由可信第三方控制，而是由其所有者控制，个人能自主管理自己的身份，而不是依赖于应用方；身份可移植：个人可以携带自己的身份，从一处漫游到另一处，而非仅仅局限于某一个平台或某一个系统之中；分布式认证：认证的过程不需要依赖于提供身份的应用方，任何人都可以创建身份标识，权限可控：所有用户的身份都是平级的，通过权限、策略与审批管控权限；由分布式的区块链承载整个身份体系使得用户身份自主可控，不依赖其他服务机构。同时通过权限、策略和审批的三把锁，让区块链中不同用户在平等平权的基础上，根据需要去申请权限，并通过策略所需的其他用户审批同意，才能通过；
本发明对HTTP服务的其他需要鉴权的接口增加身份认证和登录验证来验证身份；通过预置的摄像头采集预设区域范围内的目标用户的的一组活体动作，将目标用户的活体动作的图像信息与存储的多个合法用户的人脸图像信息进行比较，来确认该目标用户的身份的合法性，当检测到两者不匹配时向关联的终端发送告警消息，使得用户外出时，能够及时地掌握到该预设区域的动态，了解到是否有非法分子闯入，从而避免了用户隐私泄露及财物损失；
对用户输入的用户名和密码采用RSA非对称加密(公私钥)，进行数据加密，保证每次请求的密文不会重复，避免了明文传输密码与暴力破解，然后采用SHA256算法，同时采用随机数加“盐”策略存放于数据库中，保证了即使相同数据，加密后也不重复，也不可逆向运算，大大提高用户身份鉴别的安全性，本发明对用户的每次请求，都会对该用户进行访问频次统计，对恶意的超高频访问进行拦截，防止负载攻击，对当前IP连续错误是否超过一定次数进行判断时，首先对访问业务平台的IP进行拦截和白名单验证，多重验证，大大提高用户身份鉴别的安全性。
上述公式均是由采集大量数据进行软件模拟及相应专家进行参数设置处理，得到与真实结果符合的公式。
以上内容仅仅是对本发明结构所作的举例和说明，所属本技术领域的技术人员对所描述的具体实施例做各种各样的修改或补充或采用类似的方式替代，只要不偏离发明的结构或者超越本权利要求书所定义的范围，均应属于本发明的保护范围。

Claims (4)

1.一种基于分布式PKI的区块链身份权限管理方法，其特征在于，包括如下步骤：
步骤一：访问业务平台前，首先进行身份认证；具体认证方法包括：
S14：通过预置的摄像头采集预设区域范围内的目标用户的的一组活体动作；具体步骤包括：
S141：要求用户做一组活体动作；
S142：获取用户的该组活体动作的图像信息；
S15：将目标用户的活体动作的图像信息与存储的合法用户的人脸图像信息进行比较，检测所述目标用户的活体动作的图像信息是否与所述合法用户的人脸图像信息相匹配；具体检测步骤如下：
S151：将目标用户的活体动作的图像信息与存储的多个合法用户的人脸图像信息进行比较，检测目标用户的活体动作的图像信息是否与多个所述合法用户的人脸图像信息中的任一个人脸图像信息相匹配；
S152：若目标用户的活体动作的图像信息与多个所述合法用户的人脸图像信息中的任一个人脸图像信息均不匹配，则确定目标用户的活体动作的图像信息与所述合法用户的人脸图像信息不匹配；
S153：若检测到所述目标用户的活体动作的图像信息与所述合法用户的人脸图像信息不匹配，则向关联的移动终端发送包括目标用户的活体动作的图像信息的告警消息，以提醒所述移动终端的用户确认所述目标用户的身份是否合法；具体过程如下：
S1531：检测是否接收到移动终端确认目标用户的身份合法后发送的信息存储消息；若接收到信息存储消息，则将所述目标用户的活体动作的图像信息作为合法用户的人脸图像信息存储至图像数据库中；
S1532：当接收到用户针对告警消息输入的确认目标用户的身份不合法的确认指令时，控制预置的警报器发出报警；
步骤二：身份认证成功后，用户在业务平台的登录页面上进行登录验证；用户的登录采用单点登录方式，用户输入用户名和密码后，传输过程中采用RSA公钥对用户名、密码进行加密，向服务器端发送请求；
步骤三：服务端接收到登录请求，采用RSA私钥对用户名、密码进行解密，再采用SHA256算法，同时采用随机数加“盐”策略存放于数据库中；
步骤四：验证用户名、密码；如果用户名和密码正确，则记录登录成功日志；
如果用户名和密码不正确，则记录登录失败日志，如果当前用户连续错误超过一定次数，则锁定当前用户，并提示当前用户已锁定，需要管理员解锁，如果当前用户连续错误没有超过一定次数，则判断当前IP连续错误是否超过一定次数，如果当前IP连续错误超过一定次数，则锁定当前IP，提示当前用户已锁定，需要管理员解锁，如果当前IP连续错误没有超过一定次数，则提示用户名、密码错误，返回步骤二中重新输入用户名和密码；
步骤五：登录验证结束，用户进入业务平台；其中，业务平台基于角色的访问控制，通过给角色授权、用户绑定角色的机制确定用户是否具有访问权，平台管理员对用户设定功能权限与数据权限，所述功能权限管控用户请求本平台的所有请求，所述数据权限限制用户能访问到的数据。
2.一种基于分布式PKI的区块链身份权限管理方法，其特征在于，在步骤四中，对当前IP连续错误是否超过一定次数进行判断时，首先对访问业务平台的IP进行拦截和白名单验证；具体步骤如下：
S21：生成业务平台网络访问白名单；根据业务平台登录的具体环境，设定允许访问该业务平台的网络IP及其拥有的访问权限，生成该业务平台特有的网络访问白名单；
S22：获取业务平台网络访问恶意IP组库；对已有的业务平台网络访问IP进行时间、空间特性和恶意性分析，并最终生成恶意IP组库；
S23：当外部IP试图访问业务平台时，首先对该访问IP进行白名单验证，若该访问IP在白名单范围内，且权限允许，则允许其访问业务平台，对当前IP连续错误是否超过一定次数进行判断；
S24：对不在白名单中的访问IP进行恶意性分析；具体分析方法如下：
S241：将该IP节点标记为Aj，其连通度为标记为m，将该IP节点相应连接的域名标记为Dji，将域名对应的长度标记为dji，则节点IP的恶意性M(Aj)为：
Figure FDA0002590142370000031
当Dji为非恶意域名，S(Dji)＝0；当Dji为恶意域名，S(Dji)＝1；i＝1……m；
S242：将IP组标记为B，所述IP组共包含n个IP节点，则IP组的恶意性为：
Figure FDA0002590142370000032
j＝1……n；
S243：根据该访问IP在恶意IP组库中找到对应的IP组，计算出该恶意IP组中恶意IP的恶意性期望值
Figure FDA0002590142370000033
若M(Aj)>E(M(B))，则将该访问IP判定为恶意IP，并对其进行安全预警和访问控制；否则将其判定为可疑IP，对其进行访问控制；
S324：对无法确定的访问IP将其保存到可疑IP库中；对于既不在已有白名单列表中，也未被判定为恶意的访问IP，将其保存到可疑IP库中；当白名单和恶意IP组库更新时还要进行重复验证。
3.一种基于分布式PKI的区块链身份权限管理方法，其特征在于，所述合法用户的人脸图像信息的获取方法为：
S11：接收基于用户操作触发的信息预置指令；
S12：输出提示信息，所述提示信息用于提示输入待验证信息；
S13：用户输入待验证信息，业务平台验证待验证信息是否与预设的验证信息相匹配；若匹配，则通过预置的摄像头采集当前用户的人脸图像信息，将所述当前用户的人脸图像信息作为合法用户的人脸图像信息存储至图像数据库中。
4.一种基于分布式PKI的区块链身份权限管理方法，其特征在于，所述方法还包括如下步骤：
S31：设置登录界面锁定的时间值；
S32：当登录界面锁定的时间超过设置的时间值，则登录界面解锁，接收用户的登录验证请求。
CN202010693576.6A 2020-07-17 2020-07-17 一种基于分布式pki的区块链身份权限管理方法 Pending CN111666553A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010693576.6A CN111666553A (zh) 2020-07-17 2020-07-17 一种基于分布式pki的区块链身份权限管理方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010693576.6A CN111666553A (zh) 2020-07-17 2020-07-17 一种基于分布式pki的区块链身份权限管理方法

Publications (1)

Publication Number Publication Date
CN111666553A true CN111666553A (zh) 2020-09-15

Family

ID=72392686

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010693576.6A Pending CN111666553A (zh) 2020-07-17 2020-07-17 一种基于分布式pki的区块链身份权限管理方法

Country Status (1)

Country Link
CN (1) CN111666553A (zh)

Cited By (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112149095A (zh) * 2020-10-26 2020-12-29 上海松鼠课堂人工智能科技有限公司 学生数据安全治理方法和系统
CN112235306A (zh) * 2020-10-15 2021-01-15 深圳市行一科技服务有限公司 一种基于云安全的电子商务账户验证方法
CN112672010A (zh) * 2020-12-17 2021-04-16 珍岛信息技术（上海）股份有限公司 一种基于人脸识别的视频生成系统
CN112822013A (zh) * 2021-04-16 2021-05-18 卓尔智联(武汉)研究院有限公司 一种区块链共识方法、装置及存储介质
CN112995211A (zh) * 2021-04-21 2021-06-18 腾讯科技（深圳）有限公司 基于区块链网络的数据处理方法、装置、设备及存储介质
CN113051993A (zh) * 2020-11-17 2021-06-29 泰州锐比特智能科技有限公司 应用相似度分析的权限管理系统
CN113326489A (zh) * 2021-06-25 2021-08-31 南京金盾公共安全技术研究院有限公司 一种用户信息认证系统及方法
CN113761497A (zh) * 2021-08-17 2021-12-07 国网山东省电力公司信息通信公司 一种分布式电力交易可信身份管理方法、系统、计算机设备
CN113835931A (zh) * 2021-10-11 2021-12-24 长春嘉诚信息技术股份有限公司 一种应用于区块链的数据修改发现方法
CN115114557A (zh) * 2022-08-30 2022-09-27 平安银行股份有限公司 基于区块链的页面数据获取方法及装置
CN116720824A (zh) * 2023-05-30 2023-09-08 南京邮电大学 一种基于区块链的电子证照库管理系统及方法

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104850771A (zh) * 2015-04-30 2015-08-19 广东欧珀移动通信有限公司 一种身份确认方法及相关设备
CN107231346A (zh) * 2017-05-03 2017-10-03 北京海顿中科技术有限公司 一种云平台身份识别的方法
CN107682323A (zh) * 2017-09-20 2018-02-09 东北大学 一种工业控制系统网络访问安全性预警系统及方法
CN108629305A (zh) * 2018-04-27 2018-10-09 朱旭辉 一种面部识别方法
CN109389719A (zh) * 2018-09-29 2019-02-26 厦门狄耐克智能科技股份有限公司 一种小区单元门门禁系统及开门方法
CN208954159U (zh) * 2018-07-25 2019-06-07 深圳市飞瑞斯科技有限公司 智能锁
CN110910554A (zh) * 2019-12-04 2020-03-24 郑州玺瑞电子产品有限公司 一种智慧秘书助手管理系统

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104850771A (zh) * 2015-04-30 2015-08-19 广东欧珀移动通信有限公司 一种身份确认方法及相关设备
CN107231346A (zh) * 2017-05-03 2017-10-03 北京海顿中科技术有限公司 一种云平台身份识别的方法
CN107682323A (zh) * 2017-09-20 2018-02-09 东北大学 一种工业控制系统网络访问安全性预警系统及方法
CN108629305A (zh) * 2018-04-27 2018-10-09 朱旭辉 一种面部识别方法
CN208954159U (zh) * 2018-07-25 2019-06-07 深圳市飞瑞斯科技有限公司 智能锁
CN109389719A (zh) * 2018-09-29 2019-02-26 厦门狄耐克智能科技股份有限公司 一种小区单元门门禁系统及开门方法
CN110910554A (zh) * 2019-12-04 2020-03-24 郑州玺瑞电子产品有限公司 一种智慧秘书助手管理系统

Cited By (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112235306B (zh) * 2020-10-15 2021-10-26 上海行蕴信息科技有限公司 一种基于云安全的电子商务账户验证方法
CN112235306A (zh) * 2020-10-15 2021-01-15 深圳市行一科技服务有限公司 一种基于云安全的电子商务账户验证方法
CN112149095A (zh) * 2020-10-26 2020-12-29 上海松鼠课堂人工智能科技有限公司 学生数据安全治理方法和系统
CN113051993A (zh) * 2020-11-17 2021-06-29 泰州锐比特智能科技有限公司 应用相似度分析的权限管理系统
CN112672010A (zh) * 2020-12-17 2021-04-16 珍岛信息技术（上海）股份有限公司 一种基于人脸识别的视频生成系统
CN112822013A (zh) * 2021-04-16 2021-05-18 卓尔智联(武汉)研究院有限公司 一种区块链共识方法、装置及存储介质
CN112995211A (zh) * 2021-04-21 2021-06-18 腾讯科技（深圳）有限公司 基于区块链网络的数据处理方法、装置、设备及存储介质
CN113326489A (zh) * 2021-06-25 2021-08-31 南京金盾公共安全技术研究院有限公司 一种用户信息认证系统及方法
CN113761497A (zh) * 2021-08-17 2021-12-07 国网山东省电力公司信息通信公司 一种分布式电力交易可信身份管理方法、系统、计算机设备
CN113835931A (zh) * 2021-10-11 2021-12-24 长春嘉诚信息技术股份有限公司 一种应用于区块链的数据修改发现方法
CN115114557A (zh) * 2022-08-30 2022-09-27 平安银行股份有限公司 基于区块链的页面数据获取方法及装置
CN115114557B (zh) * 2022-08-30 2023-03-31 平安银行股份有限公司 基于区块链的页面数据获取方法及装置
CN116720824A (zh) * 2023-05-30 2023-09-08 南京邮电大学 一种基于区块链的电子证照库管理系统及方法
CN116720824B (zh) * 2023-05-30 2024-02-13 南京邮电大学 一种基于区块链的电子证照库管理系统及方法

Similar Documents

Publication Publication Date Title
CN111666553A (zh) 一种基于分布式pki的区块链身份权限管理方法
CN114600419B (zh) 具有权益证明区块链支持的加密资产托管系统
CN111429254B (zh) 一种业务数据处理方法、设备以及可读存储介质
US11172361B2 (en) System and method of notifying mobile devices to complete transactions
US20180288031A1 (en) Collection point anchored multi-property identity based application specific token origination
CN108880822B (zh) 一种身份认证方法、装置、系统及一种智能无线设备
US8196186B2 (en) Security architecture for peer-to-peer storage system
CN106559408B (zh) 一种基于信任管理的sdn认证方法
CN102099810B (zh) 移动设备辅助的安全计算机网络通信
US12047501B2 (en) System and method for providing an authorised third party with overt ledger secured key escrow access to a secret
KR102202547B1 (ko) 액세스 요청을 검증하기 위한 방법 및 시스템
CN114631286B (zh) 具有自定义逻辑的加密资产托管系统
CN108432180A (zh) 用于基于pki的认证的方法和系统
CN110169011A (zh) 用于装置鉴认的系统和方法
KR101611872B1 (ko) Ｆｉｄｏ와 인증서를 이용한 인증 방법
CN105357186B (zh) 一种基于带外验证和增强otp机制的二次认证方法
US11363033B2 (en) Time-dependent blockchain-based self-verification user authentication method
CN101741860A (zh) 一种计算机远程安全控制方法
CA2795745A1 (en) Cryptographic document processing in a network
CN117216740A (zh) 一种基于区块链技术的数字身份认证方法
CN114567491A (zh) 一种基于零信任原则与区块链技术的医学病历共享方法与系统
CN116112242B (zh) 面向电力调控系统的统一安全认证方法及系统
KR101651563B1 (ko) 사용 이력 기반의 인증코드 관리 시스템 및 그 방법
Megala et al. A Review on Blockchain-Based Device Authentication Schemes for IoT
CN116956255B (zh) 一种基于区块链的数字身份识别方法及系统

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication

Application publication date: 20200915

RJ01 Rejection of invention patent application after publication