CN112333158B - 一种基于区块链一体机的隐私保护方法及系统 - Google Patents

一种基于区块链一体机的隐私保护方法及系统 Download PDF

Info

Publication number
CN112333158B
CN112333158B CN202011127580.2A CN202011127580A CN112333158B CN 112333158 B CN112333158 B CN 112333158B CN 202011127580 A CN202011127580 A CN 202011127580A CN 112333158 B CN112333158 B CN 112333158B
Authority
CN
China
Prior art keywords
information
authority
execution environment
node
privacy protection
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202011127580.2A
Other languages
English (en)
Other versions
CN112333158A (zh
Inventor
黄步添
刘振广
沈玮
梁逸敏
万志国
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hangzhou Yunxiang Network Technology Co Ltd
Original Assignee
Hangzhou Yunxiang Network Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hangzhou Yunxiang Network Technology Co Ltd filed Critical Hangzhou Yunxiang Network Technology Co Ltd
Priority to CN202011127580.2A priority Critical patent/CN112333158B/zh
Publication of CN112333158A publication Critical patent/CN112333158A/zh
Application granted granted Critical
Publication of CN112333158B publication Critical patent/CN112333158B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/105—Multiple levels of security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3218—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using proof of knowledge, e.g. Fiat-Shamir, GQ, Schnorr, ornon-interactive zero-knowledge proofs
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/50—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using hash chains, e.g. blockchains or hash trees

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Storage Device Security (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)

Abstract

本发明提出了一种基于区块链一体机的隐私保护方法及系统，包括：用户节点向区块链一体机发起节点加入申请，申请信息包括加密后的节点地址、身份信息、身份证书、账户权限和隐私保护等级；通过集成于区块链一体机中的智能合约芯片建立的可信通道将所述申请信息传输至区块链一体机中的可信执行环境；在可信执行环境内对申请信息进行解密并验证，所述验证包括对身份信息、身份证书、账户权限及隐私保护等级的验证；验证通过后，在可信执行环境内对申请信息进行分割，将隐私信息打包为零知识信息，所述隐私信息包括所述隐私保护等级对应的信息；根据账户权限为用户节点分配权限；将用户节点加入到区块链网络中，并向全网进行广播。

Description

一种基于区块链一体机的隐私保护方法及系统
技术领域
本发明涉及区块链技术领域，具体涉及一种基于区块链一体机的隐私保护方法及系统。
背景技术
在区块链技术的发展早期，用户基本上都是将自身持有的PC、笔记本电脑等加入区块链网络，成为区块链网络中的区块链节点。此时可以称之为区块链网络的1.0架构时代，不仅加入区块链网络的行为是用户的自主行为，而且用户还需要自主运维，譬如对自身加入区块链网络的PC等设备进行维护和配置等。随着区块链技术的不断发展，尤其是用户对于高性能、高可用基础设施的需求不断增强，区块网络发展为基于云服务的2.0架构时代。在2.0架构时代，Blockchain as a Service(BaaS)服务为区块链快速部署、技术落地提供了快速便捷的解决方案，并支持了大量区块链服务项目。BaaS服务通常建立在公有云或者私有云这类基础设施之上，提供强大部署能力的同时，引入了较重的基础设施依赖。而区块链作为一个典型的分布式计算技术，并不是所有节点都可以迁移到云上，而需要进行私有化部署。私有化部署带来的额外技术迁移和运维成本导致实际落地过程中会有技术接口不统一，部署维护成本高的问题。因此，为了满足用户在区块链网络的私有化、安全性等方面的需求，需要对区块链网络实现进一步的架构升级，从而实现基于区块链一体机的3.0架构时代。
区块链一体机可以实现软硬件一体化。发布方在发布区块链一体机的同时，不仅向用户提供该区块链一体机的硬件设备，并且该区块链一体机还集成了针对该硬件设备实现深度优化的软件配置，从而实现了上述的软硬件一体化。
针对区块链一体机可以实现软件优化。例如，区块链一体机可以内置证书授权服务，可以实现自动化的证书签发与节点身份认证，可以自动建链和区块链节点的自动加入，从而实现区块链一体机的即插即用。那么，用户可以快速实现区块链一体机的部署。除了能够在多台区块链一体机之间快捷地建立私有型的区块链网络，区块链一体机可以集成标准化的云上服务接口，使得区块链一体机可以自动对接云上服务，从而实现区块链一体机与云端部署的区块链节点之间混合部署，构建混合型的区块链网络。区块链一体机还可以集成标准化的跨链服务接口，使得区块链一体机可以基于标准化的跨链协议或标准化的跨链服务实现跨链服务，极大地扩展了区块链一体机的应用场景，满足用户的跨链需求，比如实现不同区块链网络之间的跨链数据交互，再比如实现区块链网络与链下计算节点之间的跨链数据交互(譬如由链下计算节点为区块链节点分担计算任务等)等。
针对区块链一体机可以实现硬件优化。例如，区块链一体机上可以部署专用的智能合约处理芯片，譬如该智能合约处理芯片可以为FPGA(Field Programmable GateArray，现场可编程门阵列)芯片或其他类型的芯片，以提升针对智能合约的处理效率。智能合约处理芯片可以部署有硬件信任根密钥，譬如该硬件信任根密钥可以由发布方预先烧录至该智能合约处理芯片中，且发布方能够获知该硬件信任根密钥对应的身份公钥(比如该身份公钥被公开)。因此，智能合约处理芯片可以向发布方发送协商信息，并通过硬件信任根密钥对该协商信息进行签名，使得发布方可以基于相应的身份公钥进行验签；以及，在验签成功后，可以确保智能合约处理芯片和发布方分别基于上述协商信息协商得到相同的密钥。协商的密钥可以包括文件部署密钥，发布方可以基于该文件部署密钥将区块链节点所需的二进制镜像文件加密传输至智能合约处理芯片，而智能合约处理芯片可以基于该文件部署密钥实现解密并部署二进制镜像文件。协商的密钥可以包括业务秘密部署密钥，发布方可以基于该业务秘密部署密钥将区块链节点的节点私钥、业务根密钥等加密传输至智能合约处理芯片，而智能合约处理芯片可以基于该业务秘密部署密钥获取并部署节点私钥、业务根密钥等，以用于满足区块链场景下的隐私交易需求。例如，节点私钥对应于节点身份公钥，客户端可以通过节点身份公钥对区块链交易进行加密传输，而区块链节点可以通过节点私钥进行解密。而业务根密钥为对称密钥，可以用于对合约代码、合约状态的取值等业务数据进行加密存储。业务根密钥也可能并不直接被使用，智能合约处理芯片可以通过该业务根密钥的衍生密钥进行加解密，以降低业务根密钥的安全风险。通过对节点私钥、业务根密钥(或其衍生密钥)的可靠管理，并且确保数据除了被智能合约处理芯片进行处理的过程之外均处于加密状态，智能合约处理芯片实际上在区块链一体机上形成了硬件的可信执行环境(Trusted Execution Environment，简称TEE)，确保交易、合约代码、合约状态等需要隐私保护的数据不会发生隐私泄露。
发明内容
基于背景技术中的内容，本发明提出了一种基于区块链一体机的隐私保护方法及系统，有效的提高了账户及节点的安全性。
第一方面，本发明提出了一种基于区块链一体机的隐私保护方法，具体包括：
用户节点向区块链一体机发起节点加入申请，申请信息包括加密后的节点地址、身份信息、身份证书、账户权限和隐私保护等级；
通过集成于区块链一体机中的智能合约芯片建立用户节点可信通道，将所述申请信息通过可信通道传输至区块链一体机中的可信执行环境，所述SGX可信执行环境内包括Enclave安全区域和非Enclave安全区域；
在可信执行环境内对申请信息进行解密并验证，所述验证包括对节点地址、身份信息、身份证书、账户权限及隐私保护等级的验证；
验证通过后，在可信执行环境内对申请信息进行分割，分割为隐私信息与非隐私信息，将隐私信息打包为零知识信息，所述隐私信息包括所述隐私保护等级对应的信息；
根据账户权限与隐私保护等级为用户节点分配权限；
将用户节点加入到区块链网络中，并向全网进行广播。
进一步的，建立用户节点可信通道的过程包括：用户节点通过智能合约向SGX可信执行环境发起质询，SGX可信执行环境将质询发送给内部的Enclave安全区域，Enclave安全区域生成一个清单，所述清单包含对质询的回应及Enclave安全区域的临时公钥，将清单经过摘要运算生成哈希摘要，将所述哈希摘要通过智能合约发送给用户节点，用户节点验证所述哈希摘要，验证通过后建立与SGX可信执行环境中的Enclave安全区域的可信通道，并将节点公钥通过可信通道传输给SGX可信执行环境。
进一步的，区块链一体机在可信执行环境内对申请信息进行解密并验证，所述解密过程包括在SGX可信执行环境中的非Enclave安全区域内用节点公钥对申请信息进行解密；所述验证过程包括在SGX可信执行环境的Enclave安全区域内，对解密后的节点地址、身份信息、身份证书、账户权限及隐私保护等级进行验证，验证节点地址、身份信息是否正确，身份证书是否合规合法，调用证书授权列表，查看身份证书是否在证书授权列表内，并验证账户权限与隐私保护等级是否与身份信息相匹配，验证通过后将身份信息进行摘要运算后加入身份信息列表中。
进一步的，SGX可信执行环境的Enclave安全区域与非Enclave安全区域通过SGX指令设置的安全参数传递机制进行交互；所述参数传递机制包括从Enclave安全区域外部将解密后的申请信息通过Ecall指令传递到Enclave安全区域内部，以及从Enclave安全区域内部将验证结果信息通过Ocall指令传递到Enclave安全区域外部。
进一步的，验证通过后，所述在可信执行环境内对申请信息进行分割，具体包括在SGX可信执行环境的Enclave安全区域内按照隐私保护等级对申请信息进行分割，分割为隐私信息与非隐私信息；将隐私信息打包为零知识信息，具体包括将所述隐私信息进行哈希运算Hash(pi,id,addr,sk,rn,sn)形成零知识信息，其中pi为隐私信息，id为账户信息，addr为节点地址，sk为节点私钥，rn为随机数，sn为序列号，rn和sn由在SGX可信执行环境中的随机模块和序列模块分别产生，哈希运算过程在SGX可信执行环境的Enclave安全区域中进行。
进一步的，所述根据账户权限与隐私保护等级为用户节点分配权限，所述权限包括交易权限、数据读写权限、存储权限、模型/函数/指令调用权限、通信权限、密钥权限与加解密算法调用权限。
进一步的，将用户节点加入到区块链网络中，并向全网进行广播之前，包括在SGX可信执行环境的Enclave安全区域中通过EGETKEY指令使用密钥分发算法生成加密密钥，对所述零知识信息进行加密，加密后与非隐私信息、验证结果信息一同打包成节点加入信息发布于区块链网络；网络中的其他用户节点确认所述验证结果信息，验证结果为通过时将所述节点加入信息添加至各自维护的节点信息列表中。
第二方面，本发明提出了一种基于区块链一体机的隐私保护系统，具体包括区块链一体机和用户节点，所述区块链一体机包括传输模块、可信执行环境、验证模块、加解密模块、权限分配模块；
所述传输模块包括可信通道，通过集成于区块链一体机中的智能合约芯片建立用户节点可信通道，将所述申请信息通过可信通道传输至区块链一体机中的可信执行环境；
所述SGX可信执行环境内包括Enclave安全区域和非Enclave安全区域，SGX的Enclave安全区域与非Enclave安全区域通过SGX指令设置的安全参数传递机制进行交互；所述参数传递机制包括从Enclave安全区域外部将解密后的申请信息通过Ecall指令传递到Enclave安全区域内部，以及从Enclave安全区域内部将验证结果信息通过Ocall指令传递到Enclave安全区域外部；
所述验证模块包括：在SGX可信执行环境的Enclave安全区域内，对解密后的节点地址、身份信息、身份证书、账户权限及隐私保护等级进行验证，验证节点地址、身份信息是否正确，身份证书是否合规合法，调用证书授权列表，查看身份证书是否在证书授权列表内，并验证账户权限与隐私保护等级是否与身份信息相匹配，验证通过后将身份信息进行摘要运算后加入身份信息列表中；
所述加解密模块包括：在SGX可信执行环境的Enclave安全区域内按照隐私保护等级对申请信息进行分割，分割为隐私信息与非隐私信息；将隐私信息打包为零知识信息，具体包括将所述隐私信息进行哈希运算Hash(pi,id,addr,sk,rn,sn)形成零知识信息，其中pi为隐私信息，id为账户信息，addr为节点地址，sk为节点私钥，rn为随机数；
所述权限分配模块包括：根据账户权限与隐私保护等级为用户节点分配权限，所述权限包括交易权限、数据读写权限、存储权限、模型/函数/指令调用权限、通信权限、密钥权限与加解密算法调用权限。
进一步的，所述加解密模块还包括：随机模块和序列模块，随机模块用于产生随机数rn，序列模块用于产生序列号sn。
本发明提出的一种基于区块链一体机的隐私保护方法及系统，利用区块链一体机软硬件结合技术，支持节点一键式加入服务；集成了智能合约芯片、SGX软硬件可信执行空间，建立了可信通道与安全可信空间；将用户注册信息通过可信通道传输至一个安全可信的环境内执行，保证了用户信息的安全可信；又通过零知识技术加密隐私信息，使得隐私信息很难被破解；并通过对用户权限与隐私保护的分级加强用户管理，提供多样化的隐私保护服务。
附图说明
为了更清楚地说明本申请实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明一具体实施例的用户节点加入时隐私保护流程示意图；
图2为本发明一具体实施例的区块链一体机系统示意图。
具体实施方式
为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合附图对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
在本说明书的描述中，参考术语“一实施例”、“一具体实施例”、“一实施例方式”、“例如”的描述意指结合该实施例或示例描述的具体特征、结构或者特点包含于本申请的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。各实施例中涉及的步骤顺序用于示意性说明本申请的实施，其中的步骤顺序不作限定，可根据需要作适当调整。
需要说明的是：在其他实施例中并不一定按照本说明书示出和描述的顺序来执行相应方法的步骤。在一些其他实施例中，其方法所包括的步骤可以比本说明书所描述的更多或更少。此外，本说明书中所描述的单个步骤，在其他实施例中可能被分解为多个步骤进行描述；而本说明书中所描述的多个步骤，在其他实施例中也可能被合并为单个步骤进行描述。
SGX通过在硬件级别上为特定代码开辟一块被隔离的内存EPC(EnclavePageCache),来保证运行的代码的机密性和完整性,被隔离的区域被称为Enclave。它只将合法软件的重要操作封装在Enclave里，SGX对Enclave这块隔离的内存有特殊的访问控制,将TCB减小到CPU,虚拟机、内核和操作系统都不能对这个被隔离的受保护的区域进行访问,从而在某种程度上增强了软件的安全性，使得Enclave内需要保护的内容不会受到恶意软件的攻击。
本发明提出了一种基于区块链一体机的隐私保护方法及系统，利用区块链一体机软硬件结合技术，支持节点一键式加入服务；集成了智能合约芯片、SGX软硬件可信执行空间，建立了可信通道与安全可信空间；将用户注册信息通过可信通道传输至一个安全可信的环境内执行，保证了用户信息的安全可信；又通过零知识技术加密隐私信息，使得隐私信息很难被破解；并通过对用户权限与隐私保护的分级加强用户管理，提供多样化的隐私保护服务。现结合附图通过一具体实施例说明隐私保护过程，如附图1所示是本发明一具体实施例的用户节点加入时隐私保护流程示意图：
S01：用户节点向区块链一体机发起节点加入申请，申请信息包括加密后的节点地址、身份信息、身份证书、账户权限和隐私保护等级；
S02：通过集成于区块链一体机中的智能合约芯片建立用户节点可信通道，将所述申请信息通过可信通道传输至区块链一体机中的可信执行环境；
优选的，所述建立可信通道的过程包括：用户节点通过智能合约向SGX可信执行环境发起质询，SGX可信执行环境将质询发送给内部的Enclave安全区域，Enclave安全区域生成一个清单，所述清单包含对质询的回应及Enclave安全区域的临时公钥，将清单经过摘要运算生成哈希摘要，将所述哈希摘要通过智能合约发送给用户节点，用户节点验证所述哈希摘要，验证通过后建立与SGX可信执行环境中的Enclave安全区域的可信通道，并将节点公钥通过可信通道传输给SGX可信执行环境；
S03：在可信执行环境内对申请信息进行解密并验证，所述解密过程包括在SGX可信执行环境中的非Enclave安全区域内用节点公钥对申请信息进行解密；所述验证过程包括在SGX的Enclave安全区域内，对解密后的节点地址、身份信息、身份证书、账户权限及隐私保护等级进行验证，验证节点地址、身份信息是否正确，身份证书是否合规合法，调用证书授权列表，查看身份证书是否在证书授权列表内，并验证账户权限与隐私保护等级是否与身份信息相匹配，验证通过后将身份信息进行摘要运算后加入身份信息列表中；SGX可信执行环境的Enclave安全区域与非Enclave安全区域通过SGX指令设置的安全参数传递机制进行交互；所述参数传递机制包括从Enclave安全区域外部将解密后的申请信息通过Ecall指令传递到Enclave安全区域内部，以及从Enclave安全区域内部将验证结果信息通过Ocall指令传递到Enclave安全区域外部；
S04：验证通过后，在可信执行环境内对申请信息进行分割，具体为在SGX可信执行环境的Enclave安全区域内按照隐私保护等级对申请信息进行分割，分割为隐私信息与非隐私信息；
S05：将隐私信息打包为零知识信息，所述隐私信息包括所述隐私保护等级对应的信息，将所述隐私信息进行哈希运算Hash(pi,id,addr,sk,rn,sn)形成零知识信息，其中pi为隐私信息，id为账户信息，addr为节点地址，sk为节点私钥，rn为随机数，sn为序列号，rn和sn由在SGX可信执行环境中的随机模块和序列模块分别产生，哈希运算过程在SGX可信执行环境的Enclave安全区域中进行；
S06：所述根据账户权限与隐私保护等级为用户节点分配权限，所述权限包括交易权限、数据读写权限、存储权限、模型/函数/指令调用权限、通信权限、密钥权限与加解密算法调用权限；
S07：将用户节点加入到区块链网络中，并向全网进行广播，包括：在SGX可信执行环境的Enclave安全区域中通过EGETKEY指令使用密钥分发算法生成加密密钥，对所述零知识信息进行加密，加密后与非隐私信息、验证结果信息一同打包成节点加入信息发布于区块链网络；网络中的其他用户节点确认所述验证结果信息，验证结果为通过时将所述节点加入信息添加至各自维护的节点信息列表中。
本发明提出的基于区块链一体机的隐私保护系统包括区块链一体机和用户节点，区块链一体机包括传输模块、可信执行环境、验证模块、加解密模块、权限分配模块；如附图2所示是一具体实施例中的区块链一体机系统示意图：
传输模块包括可信通道，通过集成于区块链一体机中的智能合约芯片建立用户节点可信通道，将所述申请信息通过可信通道传输至区块链一体机中的可信执行环境；
可信执行环境包括：SGX软件及集成了SGX软件的硬件可信执行环境，SGX可信执行环境内包括Enclave安全区域和非Enclave安全区域，SGX可信执行环境的Enclave安全区域与非Enclave安全区域通过SGX指令设置的安全参数传递机制进行交互；所述参数传递机制包括从Enclave安全区域外部将解密后的申请信息通过Ecall指令传递到Enclave安全区域内部，以及从Enclave安全区域内部将验证结果信息通过Ocall指令传递到Enclave安全区域外部；
验证模块包括：在SGX可信执行环境的Enclave安全区域内，对解密后的节点地址、身份信息、身份证书、账户权限及隐私保护等级进行验证，验证节点地址、身份信息是否正确，身份证书是否合规合法，调用证书授权列表，查看身份证书是否在证书授权列表内，并验证账户权限与隐私保护等级是否与身份信息相匹配，验证通过后将身份信息进行摘要运算后加入身份信息列表中；
加解密模块包括：在SGX可信执行环境的Enclave安全区域内按照隐私保护等级对申请信息进行分割，分割为隐私信息与非隐私信息；将隐私信息打包为零知识信息，具体包括将所述隐私信息进行哈希运算Hash(pi,id,addr,sk,rn,sn)形成零知识信息，其中pi为隐私信息，id为账户信息，addr为节点地址，sk为节点私钥，rn为随机数；
权限分配模块包括：根据账户权限与隐私保护等级为用户节点分配权限，所述权限包括交易权限、数据读写权限、存储权限、模型/函数/指令调用权限、通信权限、密钥权限与加解密算法调用权限。
优选的，所述加解密模块还包括：随机模块和序列模块，随机模块用于产生随机数rn，序列模块用于产生序列号sn。
本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本说明书的其它实施方案。本说明书旨在涵盖本说明书的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本说明书的一般性原理并包括本说明书未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本说明书的真正范围和精神由权利要求指出。
应当理解的是，本说明书并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本说明书的范围仅由所附的权利要求来限制。

Claims (6)

1.一种基于区块链一体机的隐私保护方法，其特征在于，具体包括：
用户节点向区块链一体机发起节点加入申请，申请信息包括加密后的节点地址、身份信息、身份证书、账户权限和隐私保护等级；
通过集成于区块链一体机中的智能合约芯片建立用户节点可信通道，将所述申请信息通过可信通道传输至区块链一体机中的SGX可信执行环境，SGX可信执行环境内包括Enclave安全区域和非Enclave安全区域；
所述建立用户节点可信通道的过程包括：用户节点通过智能合约向SGX可信执行环境发起质询，SGX可信执行环境将所述质询发送给内部的Enclave安全区域，Enclave安全区域生成一个包含对质询的回应及Enclave临时公钥的清单，将清单经过摘要运算生成哈希摘要，将所述哈希摘要通过智能合约发送给用户节点，用户节点验证所述哈希摘要，验证通过后建立与SGX可信执行环境中的Enclave安全区域的可信通道，并将节点公钥通过可信通道传输给SGX可信执行环境；
在可信执行环境内对申请信息进行解密并验证，所述验证包括对节点地址、身份信息、身份证书、账户权限及隐私保护等级的验证；
所述解密过程包括在SGX可信执行环境中的非Enclave安全区域内进行，用节点公钥对申请信息进行解密；所述验证过程包括在SGX可信执行环境的Enclave安全区域内，对解密后的节点地址、身份信息、身份证书、账户权限及隐私保护等级进行验证，验证节点地址、身份信息是否正确，身份证书是否合规合法，调用证书授权列表，查看身份证书是否在证书授权列表内，并验证账户权限与隐私保护等级是否与身份信息相匹配，验证通过后将身份信息进行摘要运算后加入身份信息列表中；
SGX可信执行环境的Enclave安全区域与非Enclave安全区域通过SGX指令设置的安全参数传递机制进行交互；所述参数传递机制包括从Enclave安全区域外部将解密后的申请信息通过Ecall指令传递到Enclave安全区域内部，以及从Enclave安全区域内部将验证结果信息通过Ocall指令传递到Enclave安全区域外部；
验证通过后，在可信执行环境内对申请信息进行分割，分割为隐私信息与非隐私信息，将隐私信息打包为零知识信息，所述隐私信息包括所述隐私保护等级对应的信息；
根据账户权限与隐私保护等级为用户节点分配权限；
将用户节点加入到区块链网络中，并向全网进行广播。
2.根据权利要求1所述的基于区块链一体机的隐私保护方法，其特征在于，验证通过后，所述在可信执行环境内对申请信息进行分割，具体包括在SGX可信执行环境的Enclave安全区域内按照隐私保护等级对申请信息进行分割，分割为隐私信息与非隐私信息；将隐私信息打包为零知识信息，具体包括将所述隐私信息进行哈希运算Hash(pi,id,addr,sk,rn,sn)形成零知识信息，其中pi为隐私信息，id为账户信息，addr为节点地址，sk为节点私钥，rn为随机数，sn为序列号，rn和sn由在SGX可信执行环境中的随机模块和序列模块分别产生，哈希运算过程在SGX可信执行环境的Enclave安全区域中进行。
3.根据权利要求1所述的基于区块链一体机的隐私保护方法，其特征在于，所述根据账户权限与隐私保护等级为用户节点分配权限，所述权限包括交易权限、数据读写权限、存储权限、模型/函数/指令调用权限、通信权限、密钥权限与加解密算法调用权限。
4.根据权利要求1所述的基于区块链一体机的隐私保护方法，其特征在于，将用户节点加入到区块链网络中，并向全网进行广播之前，包括在SGX可信执行环境的Enclave安全区域中通过EGETKEY指令使用密钥分发算法生成加密密钥，对所述零知识信息进行加密，加密后与非隐私信息、验证结果信息一同打包成节点加入信息发布于区块链网络；网络中的其他用户节点确认所述验证结果信息，验证结果为通过时将所述节点加入信息添加至各自维护的节点信息列表中。
5.一种基于区块链一体机的隐私保护系统，其特征在于，具体包括区块链一体机和用户节点，所述区块链一体机包括传输模块、可信执行环境、验证模块、加解密模块、权限分配模块；
所述传输模块包括可信通道，通过集成于区块链一体机中的智能合约芯片建立用户节点可信通道，将申请信息通过可信通道传输至区块链一体机中的SGX可信执行环境；
所述SGX可信执行环境内包括Enclave安全区域和非Enclave安全区域，SGX可信执行环境的Enclave安全区域与非Enclave安全区域通过SGX指令设置的安全参数传递机制进行交互；所述参数传递机制包括从Enclave安全区域外部将解密后的申请信息通过Ecall指令传递到Enclave安全区域内部，以及从Enclave安全区域内部将验证结果信息通过Ocall指令传递到Enclave安全区域外部；
所述验证模块包括：在SGX可信执行环境的Enclave安全区域内，对解密后的节点地址、身份信息、身份证书、账户权限及隐私保护等级进行验证，验证节点地址、身份信息是否正确，身份证书是否合规合法，调用证书授权列表，查看身份证书是否在证书授权列表内，并验证账户权限与隐私保护等级是否与身份信息相匹配，验证通过后将身份信息进行摘要运算后加入身份信息列表中；
所述加解密模块包括：在SGX可信执行环境的Enclave安全区域内按照隐私保护等级对申请信息进行分割，分割为隐私信息与非隐私信息；将隐私信息打包为零知识信息，具体包括将所述隐私信息进行哈希运算Hash(pi,id,addr,sk,rn,sn)形成零知识信息，其中pi为隐私信息，id为账户信息，addr为节点地址，sk为节点私钥，rn为随机数；
所述权限分配模块包括：根据账户权限与隐私保护等级为用户节点分配权限，所述权限包括交易权限、数据读写权限、存储权限、模型/函数/指令调用权限、通信权限、密钥权限与加解密算法调用权限。
6.根据权利要求5所述的基于区块链一体机的隐私保护系统，其特征在于，所述加解密模块还包括：随机模块和序列模块，随机模块用于产生随机数rn，序列模块用于产生序列号sn。
CN202011127580.2A 2020-10-20 2020-10-20 一种基于区块链一体机的隐私保护方法及系统 Active CN112333158B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202011127580.2A CN112333158B (zh) 2020-10-20 2020-10-20 一种基于区块链一体机的隐私保护方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202011127580.2A CN112333158B (zh) 2020-10-20 2020-10-20 一种基于区块链一体机的隐私保护方法及系统

Publications (2)

Publication Number Publication Date
CN112333158A CN112333158A (zh) 2021-02-05
CN112333158B true CN112333158B (zh) 2022-11-04

Family

ID=74310496

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202011127580.2A Active CN112333158B (zh) 2020-10-20 2020-10-20 一种基于区块链一体机的隐私保护方法及系统

Country Status (1)

Country Link
CN (1) CN112333158B (zh)

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113435888B (zh) * 2020-04-13 2022-05-31 腾讯科技（深圳）有限公司 一种账户数据处理方法、装置、设备及存储介质
CN113836576B (zh) * 2021-08-25 2023-07-07 安徽高山科技有限公司 一种用于打车软件的用户隐私数据保护方法
CN113742764B (zh) * 2021-11-08 2022-04-19 北京中科金财科技股份有限公司 基于区块链的可信数据安全存储方法、检索方法及设备
CN113836585B (zh) * 2021-11-25 2022-04-22 南京大学 一种针对用户数据的全自动数据隐私保护系统
CN115001801B (zh) * 2022-05-30 2023-05-30 北京沸铜科技有限公司 一种基于区块链的数字内容异构链跨链授权方法
CN115001716B (zh) * 2022-08-02 2022-12-06 长沙朗源电子科技有限公司 教育一体机的网络数据处理方法、系统和教育一体机
CN115065561B (zh) * 2022-08-17 2022-11-18 深圳市乙辰科技股份有限公司 一种基于数据库数据存储的信息交互方法及系统

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10783272B2 (en) * 2017-12-08 2020-09-22 Nec Corporation Method and system of preserving privacy for usage of lightweight blockchain clients
CN109040057B (zh) * 2018-07-26 2020-12-01 百色学院 一种基于区块链的多密钥分级保护隐私系统及方法
CN109660358B (zh) * 2019-01-08 2022-04-08 余炀 一种基于区块链及安全执行环境的数据流通方法
CN111404896B (zh) * 2020-03-06 2022-03-04 杭州云象网络技术有限公司 一种基于sgx的非中心身份认证方法
CN111600844A (zh) * 2020-04-17 2020-08-28 丝链(常州)控股有限公司 一种基于零知识证明的身份分发和认证方法
CN111639923B (zh) * 2020-05-07 2023-09-29 杭州云象网络技术有限公司 一种基于零知识证明的数字货币交易记账方法及系统
CN111709745A (zh) * 2020-06-09 2020-09-25 浙江大学 一种基于sgx的区块链交易安全保护系统及其方法

Also Published As

Publication number Publication date
CN112333158A (zh) 2021-02-05

Similar Documents

Publication Publication Date Title
CN112333158B (zh) 一种基于区块链一体机的隐私保护方法及系统
EP3937424B1 (en) Blockchain data processing methods and apparatuses based on cloud computing
CN110933108B (zh) 基于区块链网络的数据处理方法、装置、电子设备及存储介质
CN112926982B (zh) 一种交易数据处理方法、装置、设备及存储介质
CN111541727B (zh) 区块链一体机及其自动建链方法、装置
CN101019369B (zh) 利用在线服务向装置传递直接证明私有密钥的方法
US10554393B2 (en) Universal secure messaging for cryptographic modules
US8761401B2 (en) System and method for secure key distribution to manufactured products
CN111541724B (zh) 区块链一体机及其节点自动加入方法、装置
CN112491812B (zh) 区块链一体机的哈希更新方法及装置
US6895501B1 (en) Method and apparatus for distributing, interpreting, and storing heterogeneous certificates in a homogenous public key infrastructure
US11303431B2 (en) Method and system for performing SSL handshake
CN111541552B (zh) 区块链一体机及其节点自动加入方法、装置
US7266705B2 (en) Secure transmission of data within a distributed computer system
WO2022142790A1 (zh) 区块链系统的链外数据访问方法和系统
CN113614720A (zh) 一种动态配置可信应用程序访问控制的装置和方法
CN112202713B (zh) 一种Kubernetes环境下用户数据安全保护方法
CN113726733B (zh) 一种基于可信执行环境的加密智能合约隐私保护方法
CN111414640A (zh) 秘钥访问控制方法和装置
CN111901335B (zh) 基于中台的区块链数据传输管理方法及系统
CN116781292A (zh) 一种数据处理方法、装置、设备以及可读存储介质
CN114338091A (zh) 数据传输方法、装置、电子设备及存储介质
Pallavi et al. Study of security algorithms to secure IOT data in middleware
US20230107962A1 (en) Mutual Key Management Service System and Method
CN114584398B (zh) 一种计费管理方法及系统

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant