CN112637189B - 物联网应用场景下的多层区块链跨域认证方法 - Google Patents

Abstract

本发明涉及一种物联网应用场景下的多层区块链跨域认证方法，属于物联网和区块链技术领域。该方法使用区块链身份注册协议、跨域身份认证协议和基于委托权益证明的节点信任度评估方法，对区块链进行物联网应用场景下分布式的节点管理和安全保护，当不同区块链的节点需要进行跨链的身份认证和数据交换的时候，使用公共区块链来进行跨链的可信身份认证，保证用户隐私和数据安全。方案包括等。相比于原有的中心化身份认证方式，本发明提高了物联网的分布式应用场景下身份认证的效率，解决了异构网络下证书的管理问题，具有较好的安全性和可用性。

Description

物联网应用场景下的多层区块链跨域认证方法

技术领域

本发明属于物联网和区块链技术领域，涉及网络安全技术中的跨域身份认证方案，具体涉及多个物联网管理域下的域内节点管理和物联网异构网络的跨域身份认证，评估多个管理域之间的可信度。

背景技术

物联网应用场景下，物联网设备会采集人们日常生产生活中所产生的各种数据，且处于不同管理域下的物联网设备需要进行频繁的数据交换，完成协同任务提高效率。这些都加剧了数据和隐私泄露的风险。

传统的物联网平台采用云中心的方式来进行身份认证以及管理物联网终端产生的各种数据流，物联网应用场景相比于云计算场景更具有动态性、异构型、海量性。传统的云中心身份认证方式如对称密钥管理和公钥基础设施(PKI)等框架在海量物联网设备动态接入的运行场景下不仅运行成本过高，且在跨域认证的场景中存在问题如：

1)CA互信困难，在跨域认证的场景下难以找到一个全局可信的CA来提供身份认证，且多个CA之间经常存在互不信任的问题。

2)证书管理效率低，中心化的管理方式中面对物联网应用场景的海量设备并发问题，以及动态接入和异构网络问题都极大的增加了中心化身份认证方式的证书管理成本。

3)单点故障问题，中心化的身份认证方式依靠可信的第三方来提供身份认证，一旦第三方发生故障或者遭到攻击将导致服务不可用。

相比于云计算场景中的设备，物联网设备节点的计算和存储能力有限，不足以进行复杂的身份认证加密计算，且存在大量的移动节点需要进行动态的注册和认证。

发明内容

有鉴于此，本发明的目的在于提供一种物联网应用场景下的多层区块链跨域认证方法，该方法既能够提供物联网应用场景下分布式的节点管理功能，在互相隔离、安全等级不同的物联网平台之间提供可信的身份认证，又能满足处于不同信任域内的物联网设备、用户终端、网络节点之间频繁的数据访问和身份认证需求，对物联网网络中的角色进行可信的身份认证管理，保障用户隐私和数据安全

为达到上述目的，本发明提供如下技术方案：

一种物联网应用场景下的多层区块链跨域认证方法，包括：节点身份注册协议和跨域身份认证协议；

所述身份注册协议是区块链管理域X内的节点在需要进行跨域访问的时候，首先在公共区块链进行身份信息注册，具体包括：

S11：节点向所在区块链管理域X的证书管理服务器CA申请节点注册，用户U_A构造注册消息M₁；

S12：证书管理服务器CA验证消息M₁之后，根据消息M₁和CA的证书序列号、U_A的公钥Pk_A、域信息Domain-X、CA的签名和签名者序列号等信息生成RCard，作为身份申请信息；

S13：身份验证服务器AS验证RCard和CA签名，将证书提交至公共区块链，触发链上智能合约对内容进行审核；

S14：收到加密消息M₂，AS将身份凭证IdCard_A和身份凭证的哈希IdCardHash_A加密存储在本地；

S15：AS发送用户U_A的链上身份凭证序列号Id_A和链上身份注册成功的消息给节点和证书管理服务器CA；

所述跨域身份认证协议具体包括：

S21：区块链管理域X的用户U_A向区块链管理域Y的用户U_B进行跨域访问请求，U_B产生随机数N₂发送给U_A；

S22：U_A收到U_B的验证消息，使用自己的私钥Sk对N₂进行签名生成Sig_A,Sk(N₂)，根据Sig_A,Sk(N₂)和链上身份凭证序列号Id_A生成消息M₃，M₃＝(Sig_A,Sk(N₂),Id_A)，发送M₃给U_B；

S23：U_B向区块链管理域Y的身份验证服务器AS_Y发送验证请求，请求U_A的身份凭证；

S24：身份验证服务器AS_Y触发智能合约对用户U_A的身份凭证进行审核；

S25：身份验证服务器AS_Y发送用户U_A的链上身份凭证IdCard_A到证书管理服务器CA_Y，CA_Y在链上身份凭证IdCard_A的基础上签名生成跨域证书C-Cert_{A,Domain(X,Y)}；最后，CA_Y根据C-Cert_{A,Domain(X,Y)}和U_A的序列号形成消息M₄；

S26：U_B收到U_A的跨域证书C-Cert_{A,Domain(X,Y)}，验证随机数N₂，完成对U_A的身份验证；

S27：检查用户U_B的跨域证书，若U_B没有跨域证书则重复步骤S24～S26完成对U_B的验证。

进一步，步骤S11中，用户U_A构造的注册消息M₁为：

M₁＝register(Id,N₁,Pk_A,Sig_A,Sk(Id||N₁||Pk_A))

其中，DomainId表示用户U_A在管理域X的身份识别码，N₁表示随机数，Pk_A表示用户A的公钥信息，用于在公共区块链上进行注册，Sig_A,Sk(Id||N₁||Pk_A)表示用户U_A对使用自己的私钥Sk对Id、N₁、Pk_A进行签名后发送给区块链管理域X的证书管理服务器CA。

进一步，步骤S13中，RCard验证合约，处理流程包括智能合约验证事务提交者证书Cert_AS、域信息Domain-X、注册信息RCard、签名信息Sig_CA,Sk(RCard)、签名者证书Cert_CA之后，为用户U_A生成链上身份凭证IdCard_A。IdCard_A中所包含的信息除了RCard所包含的内容之外还需要加入证书Id、证书生效时间戳、证书有效期等等信息。

进一步，步骤S13中，触发链上智能合约对内容进行审核，审核的具体步骤为：

S131：验证事务提交者证书Cert_AS和域信息Domain；

S132：验证RCard所属域的证书管理服务器CA证书；

S133：验证RCard合法性以及CA签名；

S134：计算得到链上身份凭证Id，Id＝Hash(U_A||Domain-A)；

S135：根据RCard和Id产生链上身份凭证，IdCard_A＝GenerateIdCard(Id,RCard_A)；

S136：计算身份凭证的哈希IdCardHash_A＝Hash(IdCard_A)，将IdCardHash、Id、Domain写入公共区块链；

S137：使用AS的公钥对身份凭证进行加密Enc_Pk-AS(IdCard_A)，构造消息M₂，发送消息给提交申请的身份验证服务器AS，M₂＝(Enc_Pk-AS(IdCard_A),IdCardHash_A,Id_A)。

进一步，步骤S24中，对用户U_A的身份凭证进行审核，具体包括以下步骤：

S241：根据Id_A在公共区块链上查询证书哈希IdCardHash_A、Id、Domain-X；

S242：验证域信息Domain-X和所在域的身份验证服务器AS_X的证书Cert_AS-X；

S243：向AS_X申请IdCard_A；

S244：AS_X发送使用自身私钥加密的证书Enc_Sk(IdCard_A)；

S245：根据AS_X的公钥Pk解密得到身份凭证IdCard_A；

S246：验证书签名者当前证书有效性Cert_CA-X；

S247：验证双方的可信度是否达到事务的最低标准；

S248：根据IdCard_A和IdCardHash_A验证身份凭证；

S249：返回验证成功的消息以及IdCard_A给AS_Y。

进一步，步骤S25中，CA_Y根据C-Cert_{A,Domain(X,Y)}和U_A的序列号形成的消息M₄为：

M₄＝(Id,Enc_Pk(C-Cert_{A,Domain(X,Y)}))

其中，Enc_Pk(C-Cert_{A,Domain(X,Y)})代表使用U_B的公钥进行加密的U_A跨域证书。

进一步，该方法还包括：基于委托权益证明的节点信任度评估方法，具体包括以下步骤：

S31：将区块链中的角色分为普通节点、验证节点(Validating Node，VN)、和主节点(Master Node，MN)；VN从普通节点中选举产生，负责对区块链中的事务进行验证，评估全网节点的信任度；MN节点负责记账和对事务进行排序；为了激励VN和MN节点的产生，VN可以从事务中收取代币作为手续费，MN节点可以取得出块奖励；

S32：公共区块链中每个节点都要在本地维护一个列表List(Te_i,k,Pk)，来记录公共区块链中节点的信任度和公钥；VN在本地List中会额外维护一个Ttem值，代表当前周期内节点信任度的动态变化情况。η代表VN对节点投票的事务评价系数，η的值域为[0,1]，η越高代表VN对事务的认可度越高，当η大于0.7则代表VN对该事务投票通过，VN在对节点事务投票之后会根据η的值来更新信任度Ttem_i。在周期结束的时候，VN根据自己维护的Ttem列表，以及节点的交易数量t、代币数量C_i、非法交易事务次数ITn_i、节点上一周期的信任度T_i,k-1综合评估产生的信任度值等等信息综合评价产生新的信任度E_i；

S33：在周期开始的时候，MN根据上一周期内VN对节点i的信任度评价做出综合，得出节点当前周期的信任度值T_i,k。

进一步，步骤S32中，VN负责交易事务的验证，VN根据交易节点的信任度对事务进行投票，投票结果为η，η值域为[0,1]，当η大于0.7则认为VN对该事务投票通过，η越高则代表VN对事物认可度越高；η的计算方法为：

η＝ω₁·V+ω₂·Rand·(Ttem₁+Ttem₂)

其中，ω₁和ω₂分别为0.6和0.4，表示所在部分占据的权重，Ttem表示交易双方的信任度评价，V表示对事务合法性的验证结果，Rand是一个值域为[0.6,0.8]随机数；即代表当Rand取0.75时双方的信任度之和至少要为0.8，才能代表事务通过。

进一步，步骤S32中，更新节点i的信任度E_i的计算公式为：

E_i＝T_i,k-1·p_i+λ·ITn

进一步，步骤S33中，节点当前周期的信任度值T_i,k的计算公式为：

其中，T_init表示新加入节点的初始信任度，大小设置为0.3；t表示节点共识通过的交易数量，随着节点被认可的交易数量不断增多，代表当前节点在公共区块链上的活动不断增多，节点由信任度评估得到的信任度E_i占比将会不断上升，初始信任度T_init的占比将会不断下降。

本发明的有益效果在于：

(1)本发明采用的链上身份信息注册协议，可以在节点实际进行跨域访问之前完成信息认证环节，提高身份认证的效率。将链上身份凭证加密存储在各自的身份验证服务器中，在区块链上只存储哈希可以提高区块链的空间利用率，减少区块臃肿，避免将身份信息存储在公共区块链上发生隐私泄露问题。

(2)本发明采用的跨域身份认证协议基于节点身份注册和信任度度评估的基础上，提供跨链节点的之间的可信身份认证，该协议具有较好的安全性和可用性。同时相比于中心化的身份认证方案，提高了身份认证的效率，可以用于异构物联网网络的身份认账。

(3)本发明采用的节点信任度评估机制可以有效解决在跨域访问的时候多个管理域之间相互信任的问题，同时基于委托权益证明的选举机制可以减少链上共识所需要的时间和通信资源，提高区块链吞吐率。

并且，引入的VN在周期内会根据自己的η来动态调整本地维护的Ttem值，设置周期内动态信任度可以避免新加入的节点因为信任度较低而在周期内事务通过率较低，以及在周期内节点出现恶意操作而来不及在本周期内对节点信任度进行动态调整的情况。

本发明的其他优点、目标和特征在某种程度上将在随后的说明书中进行阐述，并且在某种程度上，基于对下文的考察研究对本领域技术人员而言将是显而易见的，或者可以从本发明的实践中得到教导。本发明的目标和其他优点可以通过下面的说明书来实现和获得。

附图说明

为了使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作优选的详细描述，其中：

图1为本发明的多层区块链跨域认证方案结构图；

图2为本发明的节点注册流程图；

图3为本发明的跨域认证流程图；

图4为本发明中基于委托权益证明的节点可信度评估方法流程图。

具体实施方式

以下通过特定的具体实例说明本发明的实施方式，本领域技术人员可由本说明书所揭露的内容轻易地了解本发明的其他优点与功效。本发明还可以通过另外不同的具体实施方式加以实施或应用，本说明书中的各项细节也可以基于不同观点与应用，在没有背离本发明的精神下进行各种修饰或改变。需要说明的是，以下实施例中所提供的图示仅以示意方式说明本发明的基本构想，在不冲突的情况下，以下实施例及实施例中的特征可以相互组合。

请参阅图1～图4，根据本发明的实施例，提供一种物联网应用场景下的多层区块链的跨域认证方案，如图1所示。

使用区块链来进行分布式的物联网节点的管理和身份认证，使用公共区块链来进行跨链的身份认证，保证跨链数据交换的安全和隐私。

如图2所示，节点在进行跨域访问之前，首先需要在公共区块链上进行身份信息注册。

身份信息注册流程需要节点向所在区块链的身证书管理服务器申请，将U_A的身份识别码，随机数N₁，U_A的公钥构造成消息M₁发送给CA。

身份信息注册流程在节点进行身份信息申请之后，证书管理服务器CA根据消息M₁和CA的证书序号、域信息、CA的签名等生成RCard，作为身份申请信息。

身份信息注册流程由身份验证服务器AS将节点RCard提交到公共区块链进行审核。

区块链身份信息审核智能合约在验证事务提交者证书Cert_AS、域信息Domain-X、注册信息RCard、签名信息Sig_CA,Sk(RCard)、签名者证书Cert_CA等信息之后为节点生成链上身份凭证IdCard，计算身份凭证的哈希IdCardHash＝Hash(IdCard)，将哈希值、身份凭证Id、域信息等存入公共区块链。返回身份凭证ID、哈希值、加密的身份凭证到身份验证服务器AS。

身份凭证到身份验证服务器AS将身份凭证进行加密存储，返回身份申请成功的信息和ID到CA和节点。

跨链身份认证流程如图3所示。

跨域身份认证流程中区块链X的用户U_A向区块链Y的用户U_B进行跨域访问请求，U_B产生随机数N₂发送给U_A。

U_A收到随机数N₂，使用自己的私钥Sk对N₂进行签名，根据Sig_A,Sk(N₂)和Id_A生成消息M₃，发送M₃给U_B。

U_B向本域的身份验证服务器AS_Y发送验证请求，请求U_A的身份凭证。

跨域身份认证流程中区块链身份验证智能合约，根据U_A身份凭证的序列号Id_A在公共区块链上查询证书哈希IdCardHash_A，在验证X域信息Domain-X、X域身份验证服务器证书Cert_AS之后向AS_X申请IdCard_A。智能合约验证事务双方的可信度是否达到最低要求，验证身份凭证与链上哈希是否一致，发送身份凭证到身份验证服务器AS_Y。

跨域证书发放流程中区块链Y的证书管理服务器CA_Y，CA_Y在链上身份凭证IdCard_A的基础上签名生成跨域证书C-Cert_{A,Domain(X,Y)}。将跨域证书和U_A的身份凭证ID发送给U_B。

U_B验证跨域正式中两个管理域的CA签名，验证随机数N₂，完成对U_A的身份验证。

跨域身份认证的双向认证流程中，U_A检查用户U_B的跨域证书，若U_B没有跨域证书则重复此前的验证步骤。

基于委托权益证明的信任度评估方法如图4所示。

信任度评估方法中公共区块链上角色划分为普通节点、验证节点VN、和主节点MN。VN从普通节点中选举产生，负责对区块链中的事务进行验证，评估全网节点的信任度。MN节点负责记账和对事务进行排序。为了激励VN和MN节点的产生，VN可以从事务中收取代币作为手续费，MN节点可以取得出块奖励。MN节点在每个周期开始的审核从VN中进行选举，每个一段固定的时间会重新从全体节点中选举VN节点。

信任度评估方法中节点信任度评估方法为，在周期开始的时候，MN根据上一周期内

VN对节点i的信任度评价做出综合，得出节点i在周期k的信任度值T_i,k。

E_i由每个VN投票的节点i的信任度，E_i＝T_i,k-1·p_i+λ·ITn，当发生非法交易ITn的时候，VN对该节点的信任度评价将会大幅降低。p_i代表上一周期的信任度所占权重。

在节点刚加入公共区块链的时候t和C_i较，p_i受较大影响，信任度E_i会获得较大的变化，在t和C_i经过一段时间的积累之后，p_i逐渐趋近于1，节点信任度保持平稳。

节点代币数量C_i对信任度增长系数p_i的影响为θ(C_i)；

最后说明的是，以上实施例仅用以说明本发明的技术方案而非限制，尽管参照较佳实施例对本发明进行了详细说明，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本技术方案的宗旨和范围，其均应涵盖在本发明的权利要求范围当中。

Claims (8)

1.一种物联网应用场景下的多层区块链跨域认证方法，其特征在于，该方法包括：节点身份注册协议和跨域身份认证协议；所述跨域身份认证协议是基于节点身份注册和信任度评估的基础上，进行跨链节点之间的可信身份认证；

所述身份注册协议是区块链管理域X内的节点在需要进行跨域访问的时候，首先在公共区块链进行身份信息注册，具体包括：

S11：节点向所在区块链管理域X的证书管理服务器CA申请节点注册，用户U_A构造注册消息M₁；

S12：证书管理服务器CA验证消息M₁之后，根据消息M₁和CA的证书序列号、U_A的公钥Pk_A、域信息Domain-X、CA的签名和签名者序列号生成RCard，作为身份申请信息；

S13：身份验证服务器AS验证RCard和CA签名，将证书提交至公共区块链，触发链上智能合约对内容进行审核；审核的具体步骤为：

S131：验证事务提交者证书Cert_AS和域信息Domain；

S132：验证RCard所属域的证书管理服务器CA证书；

S133：验证RCard合法性以及CA签名；

S134：计算得到链上身份凭证Id，Id＝Hash(U_A||Domain-A)；

S135：根据RCard和Id产生链上身份凭证，IdCard_A＝GenerateIdCard(Id,RCard_A)；

S136：计算身份凭证的哈希IdCardHash_A＝Hash(IdCard_A)，将IdCardHash、Id、Domain写入公共区块链；

S137：使用AS的公钥对身份凭证进行加密Enc_Pk-AS(IdCard_A)，构造消息M₂，发送消息给提交申请的身份验证服务器AS，M₂＝(Enc_Pk-AS(IdCard_A),IdCardHash_A,Id_A)；

S14：收到加密消息M₂，AS将身份凭证IdCard_A和身份凭证的哈希IdCardHash_A加密存储在本地；

S15：AS发送用户U_A的链上身份凭证序列号Id_A和链上身份注册成功的消息给节点和证书管理服务器CA；

所述跨域身份认证协议具体包括：

S21：区块链管理域X的用户U_A向区块链管理域Y的用户U_B进行跨域访问请求，U_B产生随机数N₂发送给U_A；

S22：U_A收到U_B的验证消息，使用自己的私钥Sk对N₂进行签名生成Sig_A,Sk(N₂)，根据Sig_A,Sk(N₂)和链上身份凭证序列号Id_A生成消息M₃，M₃＝(Sig_A,Sk(N₂),Id_A)，发送M₃给U_B；

S23：U_B向区块链管理域Y的身份验证服务器AS_Y发送验证请求，请求U_A的身份凭证；

S24：身份验证服务器AS_Y触发智能合约对用户U_A的身份凭证进行审核；

S25：身份验证服务器AS_Y发送用户U_A的链上身份凭证IdCard_A到证书管理服务器CA_Y，CA_Y在链上身份凭证IdCard_A的基础上签名生成跨域证书C-Cert_{A,Domain(X,Y)}；最后，CA_Y根据C-Cert_{A,Domain(X,Y)}和U_A的序列号形成消息M₄；

S26：U_B收到U_A的跨域证书C-Cert_{A,Domain(X,Y)}，验证随机数N₂，完成对U_A的身份验证；

S27：检查用户U_B的跨域证书，若U_B没有跨域证书则重复步骤S24～S26完成对U_B的验证。

2.根据权利要求1所述的多层区块链跨域认证方法，其特征在于，步骤S11中，用户U_A构造的注册消息M₁为：

M₁＝register(Id,N₁,Pk_A,Sig_A,Sk(Id||N₁||Pk_A))

其中，DomainId表示用户U_A在管理域X的身份识别码，N₁表示随机数，Pk_A表示用户A的公钥信息，用于在公共区块链上进行注册，Sig_A,Sk(Id||N₁||Pk_A)表示用户U_A对使用自己的私钥Sk对Id、N₁、Pk_A进行签名后发送给区块链管理域X的证书管理服务器CA。

3.根据权利要求1所述的多层区块链跨域认证方法，其特征在于，步骤S24中，对用户U_A的身份凭证进行审核，具体包括以下步骤：

S241：根据Id_A在公共区块链上查询证书哈希IdCardHash_A、Id、Domain-X；

S242：验证域信息Domain-X和所在域的身份验证服务器AS_X的证书Cert_AS-X；

S243：向AS_X申请IdCard_A；

S244：AS_X发送使用自身私钥加密的证书Enc_Sk(IdCard_A)；

S245：根据AS_X的公钥解密得到身份凭证IdCard_A；

S246：验证书签名者当前证书有效性Cert_CA-X；

S247：验证双方的可信度是否达到事务的最低标准；

S248：根据IdCard_A和IdCardHash_A验证身份凭证；

S249：返回验证成功的消息以及IdCard_A给AS_Y。

4.根据权利要求1所述的多层区块链跨域认证方法，其特征在于，步骤S25中，CA_Y根据C-Cert_{A,Domain(X,Y)}和U_A的序列号形成的消息M₄为：

M₄＝(Id,Enc_Pk(C-Cert_{A,Domain(X,Y)}))

其中，Enc_Pk(C-Cert_{A,Domain(X,Y)})代表使用U_B的公钥进行加密的U_A跨域证书。

5.根据权利要求1所述的多层区块链跨域认证方法，其特征在于，该方法还包括：基于委托权益证明的节点信任度评估方法，具体包括以下步骤：

S31：将区块链中的角色分为普通节点、验证节点(Validating Node，VN)、和主节点(Master Node，MN)；VN从普通节点中选举产生，负责对区块链中的事务进行验证，评估全网节点的信任度；MN节点负责记账和对事务进行排序；

S32：公共区块链中每个节点都要在本地维护一个列表List(Te_i,k,Pk)，来记录公共区块链中节点的信任度和公钥；VN在本地List中会额外维护一个Ttem值，代表当前周期内节点信任度的动态变化情况；η代表VN对节点投票产生的事务评价系数，η的值域为[0,1]，η越高代表VN对事务的认可度越高，当η大于0.7则代表VN对该事务投票通过，VN在对节点事务投票之后会根据η的值来更新信任度Ttem_i；在周期结束的时候，VN根据自己维护的Ttem列表，以及节点的交易数量t、代币数量C_i、非法交易事务次数ITn_i、节点上一周期的信任度T_i,k-1综合评估产生的信任度值综合评价产生新的信任度E_i；

S33：在周期开始的时候，MN根据上一周期内VN对节点i的信任度评价做出综合，得出节点当前周期的信任度值T_i,k。

6.根据权利要求5所述的多层区块链跨域认证方法，其特征在于，步骤S32中，VN负责交易事务的验证，VN根据交易节点的信任度对事务进行投票，投票结果为η，η值域为[0,1]；η的计算方法为：

η＝ω₁·V+ω₂·Rand·(Ttem₁+Ttem₂)

其中，ω₁和ω₂表示所在部分占据的权重，Ttem表示交易双方的信任度评价，V表示对事务合法性的验证结果，Rand是一个随机数。

7.根据权利要求5所述的多层区块链跨域认证方法，其特征在于，步骤S32中，更新节点i的信任度E_i的计算公式为：

E_i＝T_i,k-1·p_i+λ·ITn

8.根据权利要求5所述的多层区块链跨域认证方法，其特征在于，步骤S33中，节点当前周期的信任度值T_i,k的计算公式为：

其中，T_init表示新加入节点的初始信任度；t表示节点共识通过的交易数量，随着节点被认可的交易数量不断增多，代表当前节点在公共区块链上的活动不断增多，节点由信任度评估得到的信任度E_i占比将会不断上升，初始信任度T_init的占比将会不断下降。

Images