CN112738239B - 基于区块链的跨网安全数据共享方法及其系统 - Google Patents

Abstract

本发明涉及信息传输技术中的一种基于区块链的跨网安全数据共享方法及系统，具体的区块链接收请求应用端代理节点发送的向机构内网的跨网域请求交易；验证所述跨网域请求交易是否符合已加载的验证规则，发送验证结果至请求应用端代理节点；若验证结果为是，则接收请求应用端代理节点跨网向机构内网接收端代理节点发送的共享数据的元信息；存储跨网域请求交易和元信息，生成新的块；其中，区块链接收来自互联网应用端代理节点的或机构内网应用端代理节点的，向机构内网发送数据的跨网域请求交易和元信息。本发明通过区块链保存跨网闸数据共享记录，通过智能合约自动执行规则验证，配合跨网通信代理，实现自动化数据跨网域安全共享，实时性强，效率高。

Description

基于区块链的跨网安全数据共享方法及其系统

技术领域

本发明涉及互联网技术，具体涉及一种跨网数据传输技术，尤其涉及一种基于区块链的跨网安全数据共享技术。

背景技术

当前大部分组织为了网络安全将网络划分为不同的区域，不同区域之间使用防火墙、网闸等设备进行逻辑或物理隔离。核心业务数据置于组织的内网，需要对外的业务访问则放置于DMZ区，每个区域都被授予不同程度的信任，通过将数据和服务隔离到不通的网域来设定访问权限，统一网域具有相同的访问权限。其中，网闸是机构内网络常用的网络安全设备，它在链路层切断内网和外网的数据通信，避免了内外系统间的网络Socket直连，有效预防网络及应用协议层面的攻击。

但是，随着网络环境越来越复杂，攻击策略越来越多样，网络边界的安全防护一旦被突破，攻击者就能在数据中心内部自由移动。另外在数字化的大背景下，组织数据共享需求不断提升，网络的隔离给数据共享带来了障碍。

发明内容

本发明针对现有技术中机构内网与另一机构内网之间共享数据安全性无法保证，容易泄漏数据隐私，数据共享的记录不可追溯的缺点，提供了一种基于区块链的跨网安全数据共享系统及方法，实现数据共享的可信性、可追溯性，使用区块链保存跨网闸数据共享记录。

具体的，基于区块链的跨网安全数据共享方法，包括以下步骤：

区块链接收请求应用端代理节点发送的向机构内网的跨网域请求交易；

验证所述跨网域请求交易是否符合已加载的验证规则，发送验证结果至请求应用端代理节点；

若验证结果为是，则接收请求应用端代理节点跨网向机构内网接收端代理节点发送的共享数据的元信息；存储跨网域请求交易和元信息，生成新的块。

可选的，接收来自互联网应用端代理节点的，向机构内网发送数据的跨网域请求交易和元信息。

可选的，接收来自机构内网应用端代理节点的，向另一机构内网发送数据的跨网域请求交易和元信息。

可选的，接收机构内网第二代理节点和另一机构内网第二代理节点之间的跨公网数据传输的元信息；

接收同一机构内网的第二代理节点和第一代理节点之间的跨网闸数据传输的元信息；

接收机构内网第一代理节点和应用端之间的数据传输的元信息；

将所述数据传输的元信息存储为新的块。

可选的，互联网应用端和机构内网应用端之间还包括第一物理隔离区、DMZ区和第二物理隔离区，DMZ区用于放置需要对外的业务访问数据，机构内网应用端连接的数据库放置核心业务数据；

机构内网应用端连接第一代理节点，DMZ区有服务器以及服务器连接的第二代理节点；互联网应用端代理节点为第三代理节点。

可选的，机构内网包括应用端、网闸、第一代理节点和第二代理节点，所述第一代理节点连接应用端，所述第二代理节点连接区块链，所述第一代理节点和所述第二代理节点通信连接实现跨网闸程序。

可选的，所述元信息包括源地址、目的地址、共享时间、数据摘要和数据描述。

进一步的，本发明还提供一种跨网安全数据共享系统，包括区块链组件、通信代理组件、监管组件、身份认证组件、通信加密组件，以及应用端；

其中，所述应用端用于发出数据跨网域请求、接受共享数据或接受反馈消息；所述应用端包括请求端的应用端和目的端的应用端，所述请求端的应用端包括互联网应用端或机构内网应用端；所述目的端的应用端包括机构内网应用端；

身份认证组件，用于认证每一参与方的唯一身份；所述参与方包括所有在数据共享中参与通信的节点；

通信代理组件，用于调用部署在区块链上的智能合约将数据的元信息写入区块链；

监管组件，用于制定跨网数据共享规则并审计跨网操作；

区块链组件，用于区块链、智能合约存储并执行数据共享的权限规则。

可选的，通信代理组件包括第一代理组件、第二代理组件和第三代理组件，互联网应用端连接第三代理组件，DMZ区内的服务器连接第二代理组件，内网放置的应用端数据库连接第一代理组件；

第一代理组件、第二代理组件和第三代理组件连接所述区块链组件，调用部署在区块链上的智能合约将数据的元信息写入区块链；或，

通信代理组件包括第一代理组件和第二代理组件，所述第一代理组件连接应用端和网闸，所述第二代理组件连接网闸，与第一代理组件配合实现跨网闸程序，所述第二代理组件连接区块链组件，实现数据上链程序；

第二代理组件在进行数据共享时，调用部署在区块链上的智能合约将数据的元信息写入区块链。

进一步的，本发明还提供一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机指令，所述计算机指令被处理器执行时实现如上文所述的基于区块链的跨网安全数据共享方法的步骤。

进一步的，本发明还提供一种电子设备，所述电子设备包括：

处理器，以及

存储器，所述存储器上存储有可由所述处理器运行的计算机程序；

所述处理器运行所述计算机程序以实现如上文所述的基于区块链的跨网安全数据共享方法的步骤。

本发明的有益效果：

1、本发明使用区块链保存跨网闸数据共享记录，保证数据共享的可信性、可追溯性；智能合约自动执行规则验证，配合跨网通信代理，实现自动化数据跨网域安全共享，实时性强，效率高。

2、本发明披露的技术方案可以完成跨网闸多机构数据安全共享，在不同机构内网之间建立高效可靠的数据共享机制，实现多个被网闸隔离机构之间点对点的数据共享，并且保证数据共享记录的可信性、可追溯性，让政务数据高效流通，最大化数据的价值。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是实施例2中数据共享系统示意图；

图2是实施例2中数据共享方法流程图；

图3是实施例3中数据共享系统示意图；

图4是实施例3中机构之间的消息传输流程图；

图5是实施例3中以应用端A和应用端B为例的消息传输流程图。

具体实施方式

下面结合实施例对本发明做进一步的详细说明，以下实施例是对本发明的解释而本发明并不局限于以下实施例。

实施例1：

基于区块链的跨网安全数据共享方法，基于区块链的用于实现与机构内网数据共享，具体区块链端需要完成以下动作：

接收请求应用端代理节点发送的向机构内网的跨网域请求交易；

验证所述跨网域请求交易是否符合已加载的验证规则，发送验证结果至请求应用端代理节点；

若验证结果为是，则接收请求应用端代理节点跨网向机构内网接收端代理节点发送的共享数据的元信息；存储跨网域请求交易和元信息，生成新的块。

在同一个实施例中，区块链可以是接收来自互联网应用端代理节点的，向机构内网发送数据的跨网域请求交易和元信息；

或是，接收来自机构内网应用端代理节点的，向另一机构内网发送数据的跨网域请求交易和元信息。

具体的，互联网应用端和机构内网应用端之间还包括第一物理隔离区、DMZ区和第二物理隔离区，DMZ区用于放置需要对外的业务访问数据，机构内网应用端连接的数据库放置核心业务数据；

机构内网应用端连接第一代理节点，DMZ区有服务器以及服务器连接的第二代理节点；互联网应用端代理节点为第三代理节点

机构内网包括应用端、网闸、第一代理节点和第二代理节点，所述第一代理节点连接应用端，所述第二代理节点连接区块链，所述第一代理节点和所述第二代理节点通信连接实现跨网闸程序。

区块链接收机构内网第二代理节点和另一机构内网第二代理节点之间的跨公网数据传输的元信息；

接收同一机构内网的第二代理节点和第一代理节点之间的跨网闸数据传输的元信息；

接收机构内网第一代理节点和应用端之间的数据传输的元信息；

将所述数据传输的元信息存储为新的块。

具体的，为了更清晰的表述此方法，从整体系统角度描述整个方法流程可以是如下：

请求应用端向其连接的代理节点发送数据跨网请求；

请求应用端代理节点向区块链发送数据跨网域请求交易，并等待验证结果；

区块链审核数据跨网域请求交易和元信息；

请求应用端代理节点同步区块链交易并获取区块链发送的验证结果；

请求应用端代理节点根据区块链返回的交易结果进行数据处理，若审核通过，则将共享数据进行非对称加密，并跨网域发送到目的应用端；若审核不通过，则取消操作。

上述数据共享方法步骤的进一步解释包括：所述请求应用端包括互联网应用端或机构内网应用端；

即基于区块链的跨网安全数据共享方法包括两种：

1)互联网应用端和机构内网应用端之间实现数据共享；

2)两机构内网的应用端之间实现点对点数据共享。

为实现上述基于区块链的跨网安全数据共享方法，本实施例进一步披露一种跨网安全数据共享系统，所述跨网安全数据共享系统包括区块链组件、通信代理组件、监管组件、身份认证组件、通信加密组件，以及应用端，区块链、智能合约、通信加密技术保证数据授权共享、隐私共享，监管系统用来监管、追溯数据共享记录，通信代理构建数据共享链路。

其中，数据共享系统中每个参与方需要具有唯一的身份，用来代表各参与方，参与方的每次操作都要完成身份认证流程。身份认证组件基于PKI(公钥基础设施)，为每个参与方颁发代表身份的数字证书。这里所披露的参与方具体的包括所有在数据共享中参与通信的节点。

通信代理组件，用于协助各参与方建立跨网域数据传输链路，由于网络边缘通常使用逻辑、物理等隔离设备，通信代理组件负责和隔离设备交互并完成数据跨网传输。

同时，代理组件和其它组件交互，构建自动化的数据共享系统。代理组件包括若干个代理节点，代理节点收到参与方的跨网请求后向区块链发送跨网数据传输交易，当交易执行成功并上链后，代理节点将数据转发到目的参与方(目的应用端)。

通信加密组件，使用TLS加密协议，TLS加密使用的数字证书采用私有PKI系统为每个节点颁发的数字证书，每个参与方都使用对方的数字证书对通信内容进行加密，从而防止中间人攻击。监管方拥有根证书可以对通信内容进行监管。

监管组件，用于制定跨网交易规则并审计跨网操作。监管方将跨网规则注册到区块链的智能合约，从而使规则的变化过程可追溯，规则可以自动化执行，自动对符合规则的请求进行授权。监管方通过收集区块中跨网相关交易来审计所有跨网操作。

实施例2：

本实施例披露一种互联网应用端访问机构内网的数据共享系统，如图1所示，所述数据共享系统包括区块链组件、通信代理组件、监管组件、身份认证组件、通信加密组件，以及应用端。

其中，所述应用端用于发出数据跨网域请求、接受共享数据或接受反馈消息；

身份认证组件，用于认证每一参与方的唯一身份；所述参与方包括所有在数据共享中参与通信的节点。

通信代理组件，用于调用部署在区块链上的智能合约将数据的元信息写入区块链；

监管组件，用于制定跨网数据共享规则并审计跨网操作；

区块链组件，用于区块链、智能合约存储并执行数据共享的权限规则。

进一步的，应用端包括应用端A和应用端B，应用端A为互联网应用端，应用端B为机构内网应用端。其中，互联网和机构内网之间被划分为不同区域，从互联网到内网依次为：互联网、第一物理隔离区、DMZ区、第二物理隔离区以及内网。DMZ区用于放置需要对外的业务访问数据，内网放置核心业务数据。

其中，通信代理组件包括第一代理组件、第二代理组件和第三代理组件，互联网应用端连接第三代理组件，DMZ区内的服务器连接第二代理组件，内网放置的应用端数据库连接第一代理组件。

第一代理组件、第二代理组件和第三代理组件连接所述区块链组件，调用部署在区块链上的智能合约将数据的元信息写入区块链，所述元信息包括源地址、目的地址、共享时间、数据摘要和数据描述。需要说明的是，代理节点即代理组件所对应的节点含义，在描述流程中可称第一代理节点、第二代理节点和第三代理节点。

如图1和图2所示，互联网应用端访问机构内网的数据共享系统实现的一种数据共享方法。

首先，所有参与方在区块链注册，获取唯一身份认证；监管组件所对应的监管方向区块链写入跨网数据共享规则。

如图2：应用端A向其对应的代理节点提出跨网域请求，所述代理节点向区块链发送权限请求交易，所述区块链执行权限验证合约，并反馈权限请求交易结果给代理节点；若审核通过，则应用端A其对应的代理节点将共享数据发送到目标应用端，即应用端B。

区块链执行权限验证合约，根据所述元信息验证请求应用端(应用端A)和目的应用端(应用端B)的身份，以及验证共享请求是否符合已写入的跨网数据共享规则。若验证不通过，则取消操作并反馈消息给所述应用端A，如果审核通过则代理节点将共享数据进行非对称加密，并跨网域发送到目的应用端(应用端B)。

进一步的，代理节点包括第一代理节点、第二代理节点和第三代理节点，应用端A向第三代理节点提出跨网域请求，所述第三代理节点向区块链发送权限请求交易，并等待交易结果；所述区块链执行权限验证合约，即智能合约自动对数据跨网请求进行审核，并将审核结果打包到区块链，同时反馈权限请求交易结果给第三代理节点，第三代理节点同步区块链交易并获取跨链请求结果。

第三代理节点根据区块链返回的结果进行数据处理，若验证不通过，则取消操作并反馈消息给所述第三代理节点，所述第三代理节点向所述应用端A反馈消息；

如果审核通过则第三代理节点将共享数据进行非对称加密，并跨网域发送到第二代理节点，所述第二代理节点将共享数据发送至第一代理节点，第一代理节点将共享数据反馈至应用端B。

进一步的，第二代理节点和第一代理节点连接区块链，在共享数据传输过程中，第二代理节点和第一代理节点将共享数据和元信息打包存入区块链。

同时，在其他实施方式中，第二代理节点和第一代理节点同样可以执行向区块链发送权限请求交易；所述区块链执行权限验证合约，并将审核结果打包到区块链，同时反馈权限请求交易结果给第二代理节点或第一代理节点，第二代理节点或第一代理节点同步区块链交易并获取跨链请求结果。

实施例3：

本实施例主要举例应用于政务网数据交互，若干政务机构内网之间的两两数据共享方法及系统，如图3所示，一种机构内网点对点的数据共享系统，包括机构A、机构B、机构C……机构N，每一政务机构网络设有网闸和代理节点，所述网闸在链路层切断政务内网和外网的数据通信，避免了内外系统间的网络Socket直连，有效预防网络及应用协议层面的攻击。

所述代理节点负责连接应用端和网闸，将应用端请求转化为文件写入网闸同步文件夹同时将网闸接收到的文件转换成消息发送给应用程序。政务公网侧的代理组件还负责与区块链交互，将交互记录写入区块链。

本实施例增加区块链作为共享数据库，完成跨网闸多机构数据安全共享，在政务部门建立高效可靠的数据共享机制。

具体的，如图3所示，每一政务机构内包括应用端、第一代理组件、第二代理组件和网闸，所述第一代理组件连接应用端和网闸，所述第二代理组件连接网闸，与第一代理组件配合实现跨网闸程序，所述第二代理组件连接区块链组件，实现数据上链程序。

第二代理组件在进行数据共享时，调用部署在区块链上的智能合约将数据的元信息写入区块链，写入区块链的数据共享元信息包括源地址、目的地址、共享时间、数据摘要和数据描述。

应用程序、第一代理组件、第二代理组件和网闸采用自描述网络地址，所述自描述网络地址包括组件类型、通信协议、组件ID，数据共享时采用数据传输路由用来描述数据在各个组件间传输的路径。即如果在要在应用端A和应用端B之间共享数据，则可以把中间各组件的地址拼接起来作为数据传输的静态路由，应用端A和应用端B的传输路由为，应用端A/第一代理节点A1/网闸A/第二代理节点A2/第二代理节点B2/网闸B/第一代理节点B1/应用端B。

组件间信息交互使用的消息分为消息头、消息类型、消息体三部分，机构之间的消息传输流程如图4所示：应用端组件根据自描述地址构成的静态路由找到下一跳Agent组件(代理组件)，并得到使用的传输协议，Peer组件首先使用传输协议和Agent组件建立连接，然后将消息发送给Agent组件。各个组件依次执行以上流程，直到数据发送到目的组件。目标组件收到消息后进行处理并将应答消息按照相反的路径依次返回给源组件，此即为完整的点对点消息传输流程。

进一步的，以应用端A和应用端B为例的消息传输流程如图5所示：在区块链验证通过后，应用端A发送数据消息至第一代理节点A1，第一代理节点A1写入文件至网闸A，所述第二代理节点A2读取文件，并将数据消息发送至第二代理节点B2，第二代理节点B2写入文件至网闸B，第一代理节点B1读取文件，并发送数据消息给应用端B；相对应的，应用端B根据上述数据消息传输路径发送数据接收应答消息给应用端A。

进一步的，所述第一代理节点A1、第二代理节点A2、第一代理节点B1和第二代理节点B2均连接至区块链，可以调用部署在区块链上的智能合约，区块链通过已写入的跨网数据共享规则对所述第一代理节点A1、第二代理节点A2、第一代理节点B1和第二代理节点B2上传的信息进行审核。

进一步的，本发明实施例还提供一种计算机存储介质，包括指令，执行上述方法步骤。具体的各个步骤之间的执行顺序详见上述实施例，本申请在此不再赘述。

进一步的，本发明还提供一种电子设备，所述电子设备包括：处理器，以及存储器，所述存储器上存储有可由所述处理器运行的计算机程序；所述处理器运行所述计算机程序以实现所述的基于区块链的跨网安全数据共享方法的步骤。需要说明的是，上述步骤的具体执行顺序可以参见上述实施例中的描述，本申请在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述模块或单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个装置，或一些特征可以忽略，或不执行。

所述单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是一个物理单元或多个物理单元，即可以位于一个地方，或者也可以分布到多个不同地方。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个可读取存储介质中。基于这样的理解，本发明实施例的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该软件产品存储在一个存储介质中，包括若干指令用以使得一个设备(可以是单片机，芯片等)或处理器(processor)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何在本发明揭露的技术范围内的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。

Claims (10)

1.一种基于区块链的跨网安全数据共享方法，其特征在于，包括以下步骤：

区块链接收请求应用端代理节点发送的向机构内网的跨网域请求交易；

验证所述跨网域请求交易是否符合已加载的验证规则，发送验证结果至请求应用端代理节点；

若验证结果为是，则接收请求应用端代理节点跨网向机构内网接收端代理节点发送的共享数据的元信息；若验证结果为否，则取消操作并反馈消息给所述请求应用端代理节点；

存储跨网域请求交易和元信息，生成新的块。

2.根据权利要求1所述的基于区块链的跨网安全数据共享方法，其特征在于，

接收来自互联网应用端代理节点的，向机构内网发送数据的跨网域请求交易和元信息。

3.根据权利要求1所述的基于区块链的跨网安全数据共享方法，其特征在于，接收来自机构内网应用端代理节点的，向另一机构内网发送数据的跨网域请求交易和元信息。

4.根据权利要求3所述的基于区块链的跨网安全数据共享方法，其特征在于，

接收机构内网第二代理节点和另一机构内网第二代理节点之间的跨公网数据传输的元信息；

接收同一机构内网的第二代理节点和第一代理节点之间的跨网闸数据传输的元信息；

接收机构内网第一代理节点和应用端之间的数据传输的元信息；

将所述数据传输的元信息存储为新的块。

5.根据权利要求2所述的基于区块链的跨网安全数据共享方法，其特征在于，

互联网应用端和机构内网应用端之间还包括第一物理隔离区、DMZ区和第二物理隔离区，DMZ区用于放置需要对外的业务访问数据，机构内网应用端连接的数据库放置核心业务数据；

机构内网应用端连接第一代理节点，DMZ区有服务器以及服务器连接的第二代理节点；互联网应用端代理节点为第三代理节点，区块链接收所述第三代理节点的跨网域请求交易。

6.根据权利要求3所述的基于区块链的跨网安全数据共享方法，其特征在于，机构内网包括应用端、网闸、第一代理节点和第二代理节点，所述第一代理节点连接应用端，所述第二代理节点连接区块链，所述第一代理节点和所述第二代理节点通信连接实现跨网闸程序。

7.一种跨网安全数据共享系统，其特征在于，包括区块链组件、通信代理组件、监管组件、身份认证组件、通信加密组件，以及应用端；

其中，所述应用端用于发出数据跨网域请求、接受共享数据或接受反馈消息；所述应用端包括请求端的应用端和目的端的应用端，所述请求端的应用端包括互联网应用端或机构内网应用端；所述目的端的应用端包括机构内网应用端；

身份认证组件，用于认证每一参与方的唯一身份；所述参与方包括所有在数据共享中参与通信的节点；

通信代理组件，用于调用部署在区块链上的智能合约将数据的元信息写入区块链；

监管组件，用于制定跨网数据共享规则并审计跨网操作；

区块链组件，用于区块链、智能合约存储并执行数据共享的权限规则。

8.根据权利要求7所述的一种跨网安全数据共享系统，其特征在于，通信代理组件包括第一代理组件、第二代理组件和第三代理组件，互联网应用端连接第三代理组件，DMZ区内的服务器连接第二代理组件，内网放置的应用端数据库连接第一代理组件；

第一代理组件、第二代理组件和第三代理组件连接所述区块链组件，调用部署在区块链上的智能合约将数据的元信息写入区块链；或，

通信代理组件包括第一代理组件和第二代理组件，所述第一代理组件连接应用端和网闸，所述第二代理组件连接网闸，与第一代理组件配合实现跨网闸程序，所述第二代理组件连接区块链组件，实现数据上链程序；

第二代理组件在进行数据共享时，调用部署在区块链上的智能合约将共享数据的元信息写入区块链。

9.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机指令，所述计算机指令被处理器执行时实现如权利要求1至6中任一项所述的跨网安全数据共享方法的步骤。

10.一种电子设备，其特征在于，所述电子设备包括：

处理器，以及

存储器，所述存储器上存储有可由所述处理器运行的计算机程序；

所述处理器运行所述计算机程序以实现如权利要求1至6中任一项所述的基于区块链的跨网安全数据共享方法的步骤。

Images