CN113343204A - 基于区块链的数字身份管理系统及方法 - Google Patents

Abstract

本申请提出一种基于区块链的数字身份管理系统及方法，其中，该系统包括：监管机构、登记认证机构、可信认证机构和区块链网络；其中，监管机构，用于对登记认证机构和可信认证机构进行授信，并对从区块链网络中获得的可信认证机构所签发的证书进行核验，并将授信结果及核验结果发布至区块链网络；登记认证机构，用于在通过监管机构的授信后，将数字身份信息登记到区块链网络；可信认证机构，用于在通过监管机构的授信后，对登记到区块链网络的数字身份信息进行认证，并针对认证成功的数字身份信息签发证书并存储至区块链网络。该方案保证了数字身份认证信息的可信度。

Description

基于区块链的数字身份管理系统及方法

技术领域

本申请涉及计算机技术领域，具体涉及区块链领域，尤其涉及一种基于区块链的数字身份管理系统及方法。

背景技术

区块链由于具有去中心化、防篡改等特点，已被应用到数字身份的管理领域。由于区块链上各节点的身份是匿名的，所以直接将区块链用于数字身份管理系统存在无法对区块链节点身份进行监管的问题，也就不能保证数字身份认证信息的可信度。因此，如何实现对区块链上数字身份及认证信息的监管，成为了一个亟需解决的问题。

发明内容

本申请提供了一种基于区块链的数字身份管理系统及方法，来解决数字身份及认证信息的监管问题。

根据本申请的第一方面，提供了一种基于区块链的数字身份管理系统，包括：监管机构、登记认证机构、可信认证机构和区块链网络，其中，

所述监管机构，用于对所述登记认证机构和所述可信认证机构进行授信，并对从所述区块链网络中获得的所述可信认证机构所签发的证书进行核验，并将授信结果及核验结果发布至所述区块链网络；

所述登记认证机构，用于在通过所述监管机构的授信后，将数字身份信息登记到所述区块链网络；

所述可信认证机构，用于在通过所述监管机构的授信后，对所述登记到所述区块链网络的数字身份信息进行认证，并针对认证成功的数字身份信息签发证书并存储至所述区块链网络；

所述区块链网络，部署有数字身份合约，所述区块链网络基于所述数字身份合约，对所述登记认证机构、所述可信认证机构和所述监管机构的发布信息进行上链存储、查询及传输。

在本申请的一些实施例中，所述监管机构还用于：

响应于所述核验结果为核验失败，获取核验失败的证书对应的目标可信认证机构和目标登记认证机构；

对所述目标登记认证机构和所述目标可信认证机构进行权限管理；

将所述权限管理结果发布至所述区块链网络。

在本申请的一些实施例中，所述区块链网络为公链。

在本申请的另一些实施例中，所述区块链网络为联盟链，所述登记认证机构还用于：

针对所述监管机构核验失败的第一证书，对所述第一证书对应的数字身份信息进行修改，并将修改后的数字身份信息登记到所述区块链网络；

其中，所述可信认证机构，还用于对所述第一证书对应数字身份信息进行重新认证，或者，对所述登记认证机构修改后的数字身份信息进行认证。

在本申请的一些实施例中，所述可信认证机构还用于：

根据认证成功的数字身份信息签发证书，并对签发的证书进行加密处理，得到加密证书；所述加密处理使用的密钥为所述监管机构、所述登记认证机构和所述可信认证机构中至少一个机构的公钥。

此外，所述监管机构还用于：

在所述区块链网络获取待核验的加密证书；

将所述加密签名证书进行解密得到签名证书，并对所述签名证书进行核验。

在本申请的一些实施例中，所述系统还包括验证方和待验证方，其中，

所述待验证方，用于将待验证的证书生成身份凭证，并将所述身份凭证发送给所述验证方；

所述验证方，用于基于所述待验证方发送的身份凭证向所述数字身份合约发起授权申请，并根据所述区块链网络基于所述授权申请返回的证书信息对所述身份凭证进行核验；

所述待验证方，还用于从所述数字身份合约获取所述授权申请，并根据所述授权申请向所述数字身份合约发起对所述验证方的验证授权。

根据本申请的第二方面，提供了一种基于区块链的数字身份管理方法，所述方法用于基于区块链的数字身份网络系统，所述基于区块链的数字身份网络系统包括监管机构、登记认证机构、可信认证机构和区块链网络；所述方法包括：

所述监管机构对所述登记认证机构和所述可信认证机构进行授信，并将授信结果发布至所述区块链网络；

所述登记认证机构在通过所述监管机构的授信后，将数字身份信息登记到所述区块链网络；

所述可信认证机构在通过所述监管机构的授信后，对所述登记到所述区块链网络的数字身份信息进行认证，并针对认证成功的数字身份信息签发证书并存储至所述区块链网络；

所述监管机构对从所述区块链网络中获得的所述可信认证机构所签发的证书进行核验，并将核验结果发布至所述区块链网络；

区块链网络基于数字身份合约，对所述登记认证机构、所述可信认证机构和所述监管机构的发布信息进行上链存储、查询及传输；所述数字身份合约部署在所述区块链网络。

在本申请的一些实施例中，所述将核验结果发布至所述区块链网络，包括：

响应于所述核验结果为核验成功，将核验结果发布至所述区块链网络；

响应于所述核验结果为核验失败，获取核验失败的证书对应的目标可信认证机构和目标登记认证机构；

对所述目标登记认证机构和所述目标可信认证机构进行权限管理；

将所述权限管理结果发布至所述区块链网络。

在本申请的一些实施例中，所述区块链网络为公链。

在本申请的另一些实施例中，所述区块链网络为联盟链，所述方法还包括：

针对所述监管机构核验失败的第一证书，所述登记认证机构对所述第一证书对应的数字身份信息进行修改，并将修改后的数字身份信息登记到所述区块链网络；

所述可信认证机构对所述第一证书对应数字身份信息进行重新认证，或者，对所述登记认证机构修改后的数字身份信息进行认证。

在本申请实施例中，所述针对认证成功的数字身份信息签发证书并存储至所述区块链网络，包括：

根据认证成功的数字身份信息签发证书，并对签发的证书进行加密处理，得到加密证书；其中，所述加密处理使用的密钥为所述监管机构、所述登记认证机构和所述可信认证机构中至少一个机构的公钥；

将所述加密证书存储至所述区块链网络。

在本申请实施例中，所述监管机构对从所述区块链网络中获得的所述可信认证机构所签发的证书进行核验，包括：

在所述监管机构所述区块链网络获取待核验的加密证书；

将所述加密签名证书进行解密得到签名证书，并对所述签名证书进行核验。

此外，在本申请的一些实施例中，所述基于区块链的数字身份网络系统还包括验证方和待验证方；所述方法还包括：

所述验证方将待验证的证书生成身份凭证，并将所述身份凭证发送给所述验证方；

所述验证方基于所述待验证方发送的身份凭证向所述数字身份合约发起授权申请；

所述数字身份合约收到所述授权申请后，将所述授权申请发送至所述待验证方；

所述待验证方从所述数字身份合约获取所述授权申请，并根据所述授权申请向所述数字身份合约发起对所述验证方的验证授权；

响应于所述授权验证成功，所述区块链网络基于所述授权申请，向所述验证方发送对应的证书信息。

根据本申请的技术方案，通过监管机构对登记认证机构和可信认证机构进行授信，实现了对登记认证机构和可信认证机构的管理。此外，登记认证机构向区块链网络登记的数字身份信息，先由可信认证机构进行认证并签发证书，再由监管机构对签发的证书进行核验，相当于通过可信认证机构和监管机构构成了一个双层信任结构，解决了区块链中各节点之间的监管问题，也保证了数字身份认证信息的可信度。

本申请附加的方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本申请的实践了解到。

附图说明

本申请上述的和/或附加的方面和优点从下面结合附图对实施例的描述中将变得明显和容易理解，其中：

图1为本申请实施例所提供的一种基于区块链的数字身份管理系统的结构框图；

图2为本申请实施例所提供的另一种基于区块链的数字身份管理系统的结构框图；

图3为本申请实施例所提供的一种基于区块链的数字身份管理方法的流程图；

图4为本申请实施例所提供的另一种基于区块链的数字身份管理方法的流程图；

图5为本申请实施例中的一种数字身份认证信息验证的流程图。

具体实施方式

下面详细描述本申请的实施例，所述实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，旨在用于解释本申请，而不能理解为对本申请的限制。

下面参考附图描述本申请实施例的一种基于区块链的数字身份管理系统及方法。

图1为本申请实施例所提供的一种基于区块链的数字身份管理系统的结构框图。如图1所示，该系统包括监管机构101、登记认证机构102、可信认证机构103和区块链网络104，其中监管机构101、登记认证机构102和可信认证机构103均为区块链网络104的节点。区块链网络104可以采用联盟链或者公链的形式进行节点部署，并在部署的区块链网络104中发布对应的数字身份合约。区块链网络104基于数字身份合约，对监管机构101、登记认证机构102、可信认证机构103发布的信息进行上联存储、查询及传输。在本申请实施例中，监管机构101、登记认证机构102、可信认证机构103与区块链网络104进行交互时，可先调用区块链网络104部署的数字身份合约。

在本申请实施例中，监管机构101一方面可以用于对登记认证机构102和可信认证机构103进行授信，并将授信结果发布至区块链网络104，另一方面还用于对从区块链网络104中获得的可信认证机构103所签发的证书进行核验，及核验结果发布至区块链网络104。通常来说，监管机构101可以由政府或司法机关等具有监管权限的部门来担任。

作为一种示例，监管机构101对登记认证机构102和可信认证机构103进行授信的过程可以为：监管机构101在区块链网络104中获取未进行授信的可信认证机构和登记认证机构的名单；分别对名单中的登记认证机构和可信认证机构进行资质审查；确定审查的登记认证机构是否有资格进行数字身份信息的认证登记，针对有资格进行数字身份信息登记的机构确定其可登记信息的类型及权限范围；确定审查的可信认证机构是否有资格进行身份信息的认证及证书的签发，针对有资格进行身份信息认证及证书签发的机构，再确定其可签发的证书类型及受理业务的权限范围；将名单中机构的授信结果，及每个机构对应的权限范围信息发布至区块链网络，以通知到区块链网络各成员。

在本申请实施例中，登记认证机构102在通过监管机构101的授信后，将数字身份信息登记到区块链网络104。其中，数字身份信息可以包括人的信息、物品的信息、行为轨迹信息，或者其他相关的信息。通常来说，登记认证机构102可以由通过了正规合法注册登记的组织来担任，比如某大学、某政务部门、某企业、某学术组织等。

作为一种示例，假如用户需要办理某证件，该用户向对应的登记认证机构102发起申请，并向登记认证机构102提供办理某证件需要的数字身份信息；登记认证机构102在收到该用户的申请后，核查该用户所提供的信息是否符合要求，将符合要求的数字身份信息登记到区块链网络104，等待对应的可信认证机构103来对其进行认证及证书签发。可以理解，为了便于数字身份信息的管理，登记认证机构102可以将每次证书申请对应的数字身份信息作为集合的形式登记在区块链网络104。此外，也可以由区块链网络104中其他节点向登记认证机构102发起证书办理申请。

在本申请实施例中，可信认证机构103在通过监管机构101的授信后，对登记到区块链网络104的数字身份信息进行认证，并针对认证成功的数字身份信息签发证书并存储在区块链网络104。也就是说，可信认证机构103一方面对登记认证机构102登记到区块链网络104的数字身份信息进行认证，以确定是否能为其签发证书，另一方面针对认证成功的身份信息签发证书，并将签发的证书存储到区块链网络104，同时也可以将认证成功的通知到区块链网络104中各节点。通常来说，可信认证机构103也可以由通过正规合法注册登记的组织来担任。需要说明的是，可信认证机构103只能在自身权限范围内，对登记到区块链网络104的数字身份信息进行认证及签发证书。

作为一种示例，可信认证机构103在对登记到区块链网络104的数字身份信息进行认证时，可以对数字身份信息的真实性进行核实，同时也可以判断该数字身份信息是否是对应证书签发的所需的信息，以及该数字身份信息是否完整，或者该数字身份信息认证是否与其他证书相关联及相冲突等。

此外，作为一种可实施的方式，登记到区块链网络104的数字身份信息有对应的状态值，用于标识该数字身份信息是否已被认证，以及认证成功或者失败。可信认证机构103可以将数字身份信息认证成功与认证失败的信息均发布至区块链网络104，以使相关节点及时知道对应证书的认证结果。比如，若区块链网络为联盟链，登记认证机构102可以基于认证失败的数字身份信息进行修改，再重新登记到区块链网络104。可以理解，针对区块链网络104为公链的情况，由于公链具有公开、公平和公正的特点，所以可信认证机构103认证失败数字身份信息不允许修改，同时认证成功签发的证书均采用明文的方式存储在区块链网络104。

在本申请实施例中，为了保证数字身份信息认证的真实性，监管机构101还用于对从区块链网络104中获得的可信认证机构103所签发的证书进行核验，及核验结果发布至区块链网络104。作为一种示例，存储在区块链网络104的认证证书可以有对应的状态值，用于标识该证书是否已被核验、及核验成功或者核验失败。监管机构101可以从区块链网络104获取状态为未被核验的证书信息来进行核验，也可以在未被核验的证书信息中随机抽取证书进行核验，也可以在收到某节点的举报信息后对其对应的证书信息进行核验，或者是基于其他的条件对可信认证机构所签发的证书进行核验。监管机构101对证书核验后，将其核验结果发布至区块链网络104，该证书对应的状态值根据核验结果置为核验成功或者核验失败。

可以理解，监管机构101对可信认证机构所签发证书进行核验的目的，一方面是保证数字身份认证信息的可信度，另一方面是对登记认证机构102和可信认证机构103进行管理。在本申请的一些实施例中，监管机构101还用于：响应于核验结果为核验失败，获取核验失败的证书对应的目标可信认证机构和目标登记认证机构；对目标登记认证机构和目标可信认证机构进行权限管理；将权限管理结果发布至区块链网络104。其中，目标可信认证机构是指核验失败的证书的签发机构，目标登记认证机构是指该核验失败的证书对应的数字身份信息的登记机构。

作为一种示例，监管机构101对目标登记认证机构和目标可信认证机构进行权限管理可以为：对登记认证机构102和可信认证机构103设定容错次数，若登记认证机构102和可信认证机构103的出错次数超过其容错次数，可以取消其登记或认证的权限。作为另一种示例，监管机构可以对登记认证机构和可信认证机构进行信誉度评分，登记认证机构和可信认证机构每次出错可以降低其信誉度分值，直至信誉度分值低于预设阈值时，取消其登记或认证的权限。

根据本申请实施例的基于区块链的数字身份管理系统，通过监管机构对登记认证机构和可信认证机构进行授信，实现了对登记认证机构和可信认证机构的管理。此外，登记认证机构向区块链网络登记的数字身份信息，先由可信认证机构的进行认证并签发证书，再由监管机构对签发的证书进行核验，相当于通过可信认证机构和监管机构构成了一个双层信任结构，解决了区块链中各节点之间的监管问题，也保证了数字身份认证信息的可信度。

由于该系统中的区块链网络可以部署在公链，也可以部署在联盟链，接下来将针对部署在联盟链的情况进行介绍。

如图1所示的基于区块链的数字身份管理系统，其中区块链网络104为联盟链，监管机构101、登记认证机构102和可信认证机构103均为该联盟链的节点。在本申请实施例中，该系统中各组成部分除了具备上述实施例的功能结构外，还具有与联盟链对应的功能。

由于联盟链只要大部分机构在达成共识，就可以对区块数据进行更改，在本申请实施例中，登记认证机构102还用于：针对监管机构101核验失败的第一证书，对第一证书对应的数字身份信息进行修改，并将修改后的数字身份信息登记到区块链网络104。其中，第一证书是指由监管机构核验失败，且联盟链各机构达成共识可以修改的证书。也就是说，在联盟链里，允许对核验失败的证书对应的数字身份信息进行修改及重新登记。此外，可信认证机构103，还用于对第一证书对应数字身份信息进行重新认证，或者，对登记认证机构修改后的数字身份信息进行认证。也就是说，在联盟链里，允许对核验失败的证书对应的数字身份信息进行重新核验，或者对修改后的数字身份进行重新认证。

此外，联盟链中的数据可以只限于联盟链里有权限的机构或用户才可以访问。所以在本申请实施例中，区块链网络104可以对签发的证书加密存储，有权限的机构或用户可以对证书进行解密查看。作为一种可实施的方式，可信认证机构103还用于：根据认证成功的数字身份信息签发证书，并对签发的证书进行加密处理，得到加密证书；其中，加密处理使用的密钥为监管机构101、登记认证机构102和可信认证机构103中至少一个机构的公钥。此外，监管机构101还用于：在区块链网络104获取待核验的加密证书；将加密签名证书进行解密得到签名证书，并对签名证书进行核验。比如，可信认证机构签发的证书允许监管机构查看，则其加密时使用监管机构的公钥，这样，监管机构可以从区块链网络获取该证书密文，再使用自身私钥对其解密查看该证书的明文信息。

根据本申请实施例的基于区块链的数字身份管理系统，针对区块链网络为联盟链的情况，登记认证机构和可信认证机构可以对数字身份信息进行修改及重新认证。同时，可信认证机构可以对签名的证书进行加密处理，在保证数字身份认证信息的可信度的同时，也可以保证数字身份认证信息的安全性。此外，该系统在以联盟链来运行时，也可以基于联盟链的特点提供对应的功能，说明该系统可以根据业务场景的需要来满足场景化的需求，在应用层面具有较强的适用性。

此外，本申请提供的基于区块链的数字身份管理系统也可以提供相关证书的验证需求，为此本申请提供了又一个实施例。

图2为是根据本申请实施例提供的另一种基于区块链的数字身份管理系统的结构框图。如图2所示，在上述实施例的基础上，该系统还包括验证方201和待验证方202，其中，验证方201和待验证方202均作为区块链网络104中的节点。

在本申请实施例中，待验证方202，用于将待验证的证书生成身份凭证，并将身份凭证发送给验证方201。举例而言，待验证方202可以使用自身对证书的签名将待验证的证书生成身份凭证，这样，验证方201收到身份凭证后可以根据签名信息来确定对应的待验证方202。此外，验证方201，用于基于待验证方202发送的身份凭证向数字身份合约发起授权申请。其中，授权申请可以包括需要查看证书的标识、待验证方等信息，以使区块链网络104在授权验证成功后，可以根据授权申请对验证方201所需要查看的证书进行查询，并发送给验证方201。

也就是说，验证方102收到待验证方202发送的身份凭证后，可以根据身份凭证确认待验证的证书。为了确定待验证证书的真伪，验证方201可向数字身份合约发起请求查看这些证书的申请，以使区块链网络104可以将存储的对应的证书发送给验证方供其验证。此外，数字身份合约将收到的授权申请转发给待验证方202来授权，其中，待验证方202还用于从数字身份合约获取授权申请，并根据授权申请向数字身份合约发起对验证方201的验证授权。若授权验证成功，则区块链网络104基于授权申请中的证书标识向验证方201发送对应的证书信息，从而验证方201基于授权申请返回的证书信息对身份凭证进行核验。

在本申请实施例中，为了保证证书信息的查看有迹可循，验证方201还用于将收到的由区块链网络104发送证书信息进行记录，也就是将证书查看的内容记录在区块链网路104，举例而言，其记录的内容可以包括：验证方标识、时间、查看的证书标识等。

作为一种示例，为了保证验证方201与待验证方202之间数据传输的安全性，待验证方202可以将生成的身份凭证使用验证方的公钥来进行加密，并将加密后的身份凭证发送给验证方201。这样，验证方201将收到的身份凭证密文使用自身私钥进行解密，来查看身份凭证信息中的待验证的证书。

在本申请实施例中，上述系统不仅可以部署在公链，也可以部署在联盟链。此外，区块链网络104为联盟链的情况，可信认证机构103生成的签名证书是加密的，也就是说，区块链网络104发送给验证方201的证书信息是加密的，验证方201需要先将收到的证书信息进行解密才能进行身份凭证的核验。作为一种示例，可信认证机构103在为签名的证书加密时，也使用验证方201的公钥对证书进行加密，这样，验证方201将区块链网络104发送的证书信息密文使用自身私钥进行解密，得到证书对应的明文信息。

根据本申请实施例的基于区块链的数字身份管理系统，通过增加验证方和待验证方，并通过待验证方、验证方和区块链网络的三方交互，使验证方可以基于区块链网络中的签名证书来对待验证的证书进行核验，不仅保证了信息传输过程中的安全性，也为数字身份验证提供了一种有效的途径，提供了验证的准确性。

为了实现上述实施例，本申请还提供了一种基于区块链的数字身份管理方法。

图3是根据本申请实施例所提供的一种基于区块链的数字身份管理方法的流程图。该方法应用于如图1所示的基于区块链的数字身份管理系统，该系统包括监管机构101、登记认证机构102、可信认证机构103和区块链网络104。其中，区块链网络104可以为公链也可以为联盟链。如图3所示，该方法包括：

步骤301，监管机构对登记认证机构和可信认证机构进行授信，并将授信结果发布至区块链网络。

可以理解，监管机构对登记认证机构和可信认证机构进行授信，相当于对 登记认证机构和可信认证机构的权限进行管理，为保证数字身份认证信息的可信度提供了基础。

作为一种示例，监管机构对登记认证机构和可信认证机构进行授信的过程可以为：监管机构在区块链网络中获取未进行授信的可信认证机构和登记认证机构的名单；分别对名单中的登记认证机构和可信认证机构进行资质审查；确定审查的登记认证机构是否有资格进行数字身份信息的认证登记，针对有资格进行数字身份信息登记的机构确定其可登记信息的类型及权限范围；确定审查的可信认证机构是否有资格进行身份信息的认证及证书的签发，针对有资格进行身份信息认证及证书签发的机构再确定其可签发的证书类型及受理业务的权限范围；将名单中机构的授信结果，及每个机构对应的权限范围信息发布至区块链网络，以通知到区块链网络各成员。

步骤302，登记认证机构在通过监管机构的授信后，将数字身份信息登记到区块链网络。

在本申请实施例中，数字身份信息可以包括人的信息、物品的信息、行为轨迹信息，或者其他相关的信息。作为一种示例，登记认证机构将数字身份信息登记到区块链网络实现方式可以为：假如用户需要办理某证件，该用户可以向对应的登记认证机构发起申请，并向登记认证机构提供办理某证件需要的数字身份信息；登记认证机构在收到该用户的申请后，核查该用户所提供的信息是否符合要求，将符合要求的数字身份信息登记到区块链网络，等待对应的可信认证机构来对其进行认证及证书签发。可以理解，为了便于数字身份信息的管理，登记认证机构可以将每次证书申请对应的数字身份信息作为集合的形式登记在区块链网络。此外，也可以由区块链网络中其他节点向登记认证机构发起证书办理申请。

步骤303，可信认证机构在通过监管机构的授信后，对登记到区块链网络的数字身份信息进行认证，并针对认证成功的数字身份信息签发证书并存储至区块链网络。

也就是说，可信认证机构一方面对登记认证机构登记到区块链网络的数字身份信息进行认证，以确定是否能为其签发证书，另一方面针对认证成功的身份信息签发证书，并将签发的证书存储到区块链网络，同时也可以将认证结果的通知到区块链网络中各节点。

作为一种示例，可信认证机构在对登记到区块链网络的数字身份信息进行认证时，可以对数字身份信息的真实性进行核实，同时也可以判断该数字身份信息是否是对应证书签发的所需的信息，以及该数字身份信息是否完整，或者是该数字身份信息认证是否与其他证书相关联及相冲突等。

此外，作为一种可实施的方式，登记到区块链网络的数字身份信息有对应的状态值，用于标识该数字身份信息是否已被认证，以及认证成功或者失败。可信认证机构可以将数字身份信息认证成功与认证失败的信息均发布至区块链网络，以使相关节点及时知道认证信息。比如，若区块链网络为联盟链，登记认证机构可以基于认证失败的数字身份信息进行修改，再重新登记到区块链网络。可以理解，针对区块链网络为公链的情况，由于公链具有公开、公平和公正的特点，所以可信认证机构认证失败数字身份信息不允许修改，同时认证成功签发的证书均采用明文的方式存储在区块链网络。

步骤304，监管机构对从区块链网络中获得的可信认证机构所签发的证书进行核验，并将核验结果发布至区块链网络。

也就是说，为了进一步保证数字身份信息认证的真实性，监管机构对从区块链网络中获得的可信认证机构所签发的证书进行核验。

作为一种示例，存储在区块链网络的认证证书可以有对应的状态值，用于标识该证书是否已被核验、及核验成功或者核验失败。监管机构可以从区块链网络获取状态为未被核验的证书信息来进行核验，也可以在未被核验的证书信息中随机抽取证书进行核验，也可以在收到某节点的举报信息后对其对应的证书信息进行核验，或者是基于其他的条件对可信认证机构所签发的证书进行核验。监管机构对证书核验后，将其核验结果发布至区块链网络，该证书对应的状态值根据核验结果置为核验成功或者核验失败。

可以理解，监管机构对可信认证机构所签发证书进行核验的目的，一方面是保证数字身份认证信息的可信度，另一方面是对登记认证机构和可信认证机构进行管理。在本申请的一些实施例中，核验结果发布至区块链的实现方式可以为：响应于核验结果为核验成功，将核验结果发布至区块链网络；响应于核验结果为核验失败，获取核验失败的证书对应的目标可信认证机构和目标登记认证机构；对目标登记认证机构和所述目标可信认证机构进行权限管理；将权限管理结果发布至所述区块链网络。其中，目标可信认证机构是指核验失败的证书的签发机构，目标登记认证机构是指该核验失败的证书对应的数字身份信息的登记机构。

作为一种示例，监管机构对目标登记认证机构和目标可信认证机构进行权限管理可以为：对登记认证机构和可信认证机构设定容错次数，若登记机构和可信认证机构的出错次数超过其容错次数，可以取消其登记或认证的权限。作为另一种示例，监管机构可以对登记认证机构和可信认证机构进行信誉度评分，登记认证机构和可信认证机构每次出错可以降低其信誉度分值，直至信誉度分值低于预设阈值时，取消其登记或认证的权限。

步骤305，区块链网络基于数字身份合约，对登记认证机构、可信认证机构和监管机构的发布信息进行上链存储、查询及传输；数字身份合约部署在区块链网络。

在本申请实施例中，数字身份合约控制控制区块链网络执行对应操作，其中，登记认证机构、可信认证机构和监管机构在与区块链网络进行交互时，均需要先调用数字身份合约。

根据本申请实施例的基于区块链的数字身份管理方法，通过监管机构对登记认证机构和可信认证机构进行授信，实现了对登记认证机构和可信认证机构的管理。此外，登记认证机构向区块链网络登记的数字身份信息，先由可信认证机构的进行认证并签发证书，再由监管机构对签发的证书进行核验，相当于通过可信认证机构和监管机构构成了一个双层信任结构，解决了区块链中各节点之间的监管问题，也保证了数字身份认证信息的可信度。

由于基于区块链的数字身份管理系统中的区块链网络可以部署在公链，也可以部署在联盟链，接下来将针对部署在联盟链的情况进行介绍。

图4是根据本申请实施例所提出的另一种基于区块链的数字身份管理方法的流程图。该方法用于如图1所示的系统中，且该系统中的区块链网络为联盟链。如图4所示，在上述实施例的基础上，该方法还包括：

步骤406，针对监管机构核验失败的第一证书，登记认证机构对第一证书对应的数字身份信息进行修改，并将修改后的数字身份信息登记到区块链网络。

可以理解，联盟链只要大部分机构在达成共识，就可以对区块数据进行更改。在本申请实施例中，第一证书是指由监管机构核验失败，且联盟链各机构达成共识可以修改的证书。也就是说，在联盟链里，允许对核验失败的证书对应的数字身份信息进行修改及重新登记。

步骤407，可信认证机构对第一证书对应数字身份信息进行重新认证，或者，对登记认证机构修改后的数字身份信息进行认证。

也就是说，在联盟链里，允许对核验失败的证书对应的数字身份信息进行重新核验，或者对修改后的数字身份进行重新认证。

需要说明的是，联盟链中的数据可以只限于联盟链里有权限的机构或用户才可以访问。所以在本申请实施例中，在可信认证机构针对认证成功的数字身份信息进行签发证书时，还可以对签发的证书进行加密。其中：

步骤404，可信认证机构在通过监管机构的授信后，对登记到所述区块链网络的数字身份信息进行认证，并针对认证成功的数字身份信息签发证书并存储至区块链网络。

在本申请实施例中，针对认证成功的数字身份信息签发证书并存储至区块链网络的实现方式可以为：根据认证成功的数字身份信息签发证书，并对签发的证书进行加密处理，得到加密证书；将加密证书存储至区块链网络。其中，所述加密处理使用的密钥为所述监管机构、所述登记认证机构和所述可信认证机构中至少一个机构的公钥。

步骤405，监管机构对从区块链网络中获得的可信认证机构所签发的证书进行核验，并将核验结果发布至区块链网络。

在本申请实施例中，监管机构对从区块链网络中获得的可信认证机构所签发的证书进行核验的具体实现方式可以为：在监管机构区块链网络获取待核验的加密证书；将加密签名证书进行解密得到签名证书，并对签名证书进行核验。比如，可信认证机构签发的证书允许监管机构查看，则其加密时使用监管机构的公钥，这样，监管机构可以从区块链网络获取该证书密文，再使用自身私钥对其解密查看该证书的明文信息。

需要说明的是，在本申请实施例中，除对步骤404和步骤405的补充描述外，图4中的步骤401-405与图3中的步骤301-305的实现方式一致，此处不再赘述。

根据本申请实施例的基于区块链的数字身份管理方法，针对区块链网络为联盟链的情况，登记认证机构和可信认证机构可以对数字身份信息进行修改及重新认证。同时，可信认证机构可以对签名的证书进行加密处理，在保证数字身份认证信息的可信度的同时，也可以保证数字身份认证信息的安全性。此外，该方法在以联盟链来运行时，也可以基于联盟链的特点提供对应的实现方式，说明该方法可以根据业务场景的需要来满足场景化的需求，在应用层面具有较强的适用性。

此外，本申请提供的基于区块链的数字身份管理方法也可以满足相关证书的验证需求，为此本申请提供了又一个实施例。

图5是根据本申请实施例中的一种数字身份认证信息验证的流程图。该方法适用于如图2所示的基于区块链的数字身份管理系统，该系统中还包括验证方法201和待验证方202，且验证方201和待验证方202均作为区块链网络104的节点。如图5所示，基于上述实施例，数字身份认证信息验证过程的实现方式可以为：

步骤501，待验证方将待验证的证书生成身份凭证，并将身份凭证发送给验证方。

可以理解，待验证方为提供待验证证书的组织或个人，通常为了进一步保证验证的准确性，将至少一个数字认证信息进行验证，即将至少一个证书一并进行验证。

在本申请实施例中，待验证方可以将待验证的至少一个证书生成身份凭证。举例而言，待验证方可以使用自身对证书的签名将待验证的证书生成身份凭证，这样，验证方收到身份凭证后可以根据签名信息来确定对应的待验证方。进一步地，为了保证信息传输的安全性，待验证方可以将生成的身份凭证进行加密，将加密后的身份凭证密文发送给验证方，验证方对收到的身份凭证密文进行解密来查看对应的待验证证书信息。作为一种示例，待验证方202可以将生成的身份凭证使用验证方的公钥来进行加密，并将加密后的身份凭证发送给验证方。这样，验证方将收到的身份凭证密文使用自身私钥进行解密，来查看身份凭证信息中的待验证的证书。

步骤502，验证方基于待验证方发送的身份凭证向数字身份合约发起授权申请。

也就是说，验证方收到待验证方发送的身份凭证后，可以根据身份凭证确认待验证的证书。为了确定待验证证书的真伪，验证方可以向数字身份合约发起请求查看这些证书的申请，以使区块链网络可以将存储的对应的证书发送给验证方供其验证。其中，授权申请可以包括需要查看证书的标识、待验证方等信息，以使区块链网络在授权验证成功后，可以根据授权申请对验证方所需要查看的证书进行查询，并发送给验证方。

步骤503，数字身份合约收到所述授权申请后，将授权申请发送至待验证方。

可以理解，由于待验证的证书是待验证方提供的，数字身份合约需要确认待验证方是否同意将对应的证书信息发送给验证方，所以数字身份合约将授权申请发送至待验证方。可以发现，授权申请先发送给数字身份合约，而不直接发送给待验证方，其目的是通过数字身份合约的参与，一方面能确认验证方申请查看哪些证书，另一方面数字身份合约直接与待验证方交互来获取授权验证信息，也能保证授权验证信息的真实性，可以进一步地保证信息的安全性。

步骤504，待验证方从数字身份合约获取授权申请，并根据授权申请向数字身份合约发起对验证方的验证授权。

步骤505，响应于授权验证成功，区块链网络基于授权申请，向验证方发送对应的证书信息。

也就是说，区块链网络基于授权申请中的证书标识向验证方发送对应的证书信息，从而验证方基于授权申请返回的证书信息对身份凭证进行核验。

在本申请实施例中，为了保证证书信息的查看有迹可循，验证方可以将收到的由区块链网络发送证书信息进行记录，也就是将证书查看的内容记录在区块链网路，作为一种示例，其记录的内容可以包括：验证方标识、时间、查看的证书标识等。

在本申请实施例中，上述系统不仅可以部署在公链，也可以部署在联盟链。针对区块链网络为联盟链的情况，可信认证机构生成的签名证书是加密的，也就是说，区块链网络发送给验证方的证书信息是加密的，验证方需要先将收到的证书信息进行解密才能进行身份凭证的核验。作为一种示例，可信认证机构在为签名的证书加密时，也使用验证方的公钥对证书进行加密，这样，验证方将区块链网络发送的证书信息密文使用自身私钥进行解密，得到证书对应的明文信息。

根据本申请实施例的基于区块链的数字身份管理方法，通过增加待验证方、验证方和区块链网络的三方交互，使验证方可以基于区块链网络中的签名证书来对待验证的证书进行核验，不仅保证了信息传输过程中的安全性，也为数字身份验证提供了一种有效的途径，提供了验证的准确性。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、 “示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本申请的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不必须针对的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任一个或多个实施例或示例中以合适的方式结合。此外，在不相互矛盾的情况下，本领域的技术人员可以将本说明书中描述的不同实施例或示例以及不同实施例或示例的特征进行结合和组合。

此外，术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括至少一个该特征。在本申请的描述中，“多个”的含义是至少两个，例如两个，三个等，除非另有明确具体的限定。

流程图中或在此以其他方式描述的任何过程或方法描述可以被理解为，表示包括一个或更多个用于实现定制逻辑功能或过程的步骤的可执行指令的代码的模块、片段或部分，并且本申请的优选实施方式的范围包括另外的实现，其中可以不按所示出或讨论的顺序，包括根据所涉及的功能按基本同时的方式或按相反的顺序，来执行功能，这应被本申请的实施例所属技术领域的技术人员所理解。

在流程图中表示或在此以其他方式描述的逻辑和/或步骤，例如，可以被认为是用于实现逻辑功能的可执行指令的定序列表，可以具体实现在任何计算机可读介质中，以供指令执行系统、装置或设备（如基于计算机的系统、包括处理器的系统或其他可以从指令执行系统、装置或设备取指令并执行指令的系统）使用，或结合这些指令执行系统、装置或设备而使用。就本说明书而言，"计算机可读介质"可以是任何可以包含、存储、通信、传播或传输程序以供指令执行系统、装置或设备或结合这些指令执行系统、装置或设备而使用的装置。计算机可读介质的更具体的示例（非穷尽性列表）包括以下：具有一个或多个布线的电连接部（电子装置），便携式计算机盘盒（磁装置），随机存取存储器（RAM），只读存储器（ROM），可擦除可编辑只读存储器（EPROM或闪速存储器），光纤装置，以及便携式光盘只读存储器（CDROM）。另外，计算机可读介质甚至可以是可在其上打印所述程序的纸或其他合适的介质，因为可以例如通过对纸或其他介质进行光学扫描，接着进行编辑、解译或必要时以其他合适方式进行处理来以电子方式获得所述程序，然后将其存储在计算机存储器中。

应当理解，本申请的各部分可以用硬件、软件、固件或它们的组合来实现。在上述实施方式中，多个步骤或方法可以用存储在存储器中且由合适的指令执行系统执行的软件或固件来实现。如，如果用硬件来实现和在另一实施方式中一样，可用本领域公知的下列技术中的任一项或他们的组合来实现：具有用于对数据信号实现逻辑功能的逻辑门电路的离散逻辑电路，具有合适的组合逻辑门电路的专用集成电路，可编程门阵列（PGA），现场可编程门阵列（FPGA）等。

本技术领域的普通技术人员可以理解实现上述实施例方法携带的全部或部分步骤是可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，该程序在执行时，包括方法实施例的步骤之一或其组合。

此外，在本申请各个实施例中的各功能单元可以集成在一个处理模块中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。所述集成的模块如果以软件功能模块的形式实现并作为独立的产品销售或使用时，也可以存储在一个计算机可读取存储介质中。

上述提到的存储介质可以是只读存储器，磁盘或光盘等。尽管上面已经示出和描述了本申请的实施例，可以理解的是，上述实施例是示例性的，不能理解为对本申请的限制，本领域的普通技术人员在本申请的范围内可以对上述实施例进行变化、修改、替换和变型。

Claims (10)

1.一种基于区块链的数字身份管理系统，其特征在于，包括：监管机构、登记认证机构、可信认证机构和区块链网络，其中，

所述监管机构，用于对所述登记认证机构和所述可信认证机构进行授信，并对从所述区块链网络中获得的所述可信认证机构所签发的证书进行核验，并将授信结果及核验结果发布至所述区块链网络；

所述登记认证机构，用于在通过所述监管机构的授信后，将数字身份信息登记到所述区块链网络；

所述可信认证机构，用于在通过所述监管机构的授信后，对所述登记到所述区块链网络的数字身份信息进行认证，并针对认证成功的数字身份信息签发证书并存储至所述区块链网络；

所述区块链网络，部署有数字身份合约，所述区块链网络基于所述数字身份合约，对所述登记认证机构、所述可信认证机构和所述监管机构的发布信息进行上链存储、查询及传输。

2.根据权利要求1所述的系统，其特征在于，所述监管机构还用于：

响应于所述核验结果为核验失败，获取核验失败的证书对应的目标可信认证机构和目标登记认证机构；

对所述目标登记认证机构和所述目标可信认证机构进行权限管理；

将所述权限管理结果发布至所述区块链网络。

3.根据权利要求1所述的系统，其特征在于，所述区块链网络为公链。

4.根据权利要求1所述的系统，其特征在于，所述区块链网络系统为联盟链，所述登记认证机构还用于：

针对所述监管机构核验失败的第一证书，对所述第一证书对应的数字身份信息进行修改，并将修改后的数字身份信息登记到所述区块链网络；

其中，所述可信认证机构，还用于对所述第一证书对应数字身份信息进行重新认证，或者，对所述登记认证机构修改后的数字身份信息进行认证。

5.根据权利要求3所述的系统，其特征在于，所述可信认证机构还用于：

根据认证成功的数字身份信息签发证书，并对签发的证书进行加密处理，得到加密证书；所述加密处理使用的密钥为所述监管机构、所述登记认证机构和所述可信认证机构中至少一个机构的公钥。

6.根据权利要求4所述的系统，其特征在于，所述监管机构还用于：

在所述区块链网络获取待核验的加密证书；

将所述加密签名证书进行解密得到签名证书，并对所述签名证书进行核验。

7.根据权利要求1所述的系统，其特征在于，所述系统还包括：验证方和待验证方，其中，

所述待验证方，用于将待验证的证书生成身份凭证，并将所述身份凭证发送给所述验证方；

所述验证方，用于基于所述待验证方发送的身份凭证向所述数字身份合约发起授权申请，并根据所述区块链网络基于所述授权申请返回的证书信息对所述身份凭证进行核验；

所述待验证方，还用于从所述数字身份合约获取所述授权申请，并根据所述授权申请向所述数字身份合约发起对所述验证方的验证授权。

8.一种基于区块链的数字身份管理方法，其特征在于，所述方法用于基于区块链的数字身份网络系统，所述基于区块链的数字身份网络系统包括监管机构、登记认证机构、可信认证机构和区块链网络；所述方法包括：

所述监管机构对所述登记认证机构和所述可信认证机构进行授信，并将授信结果发布至所述区块链网络；

所述登记认证机构在通过所述监管机构的授信后，将数字身份信息登记到所述区块链网络；

所述可信认证机构在通过所述监管机构的授信后，对所述登记到所述区块链网络的数字身份信息进行认证，并针对认证成功的数字身份信息签发证书并存储至所述区块链网络；

所述监管机构对从所述区块链网络中获得的所述可信认证机构所签发的证书进行核验，并将核验结果发布至所述区块链网络；

区块链网络基于数字身份合约，对所述登记认证机构、所述可信认证机构和所述监管机构的发布信息进行上链存储、查询及传输；所述数字身份合约部署在所述区块链网络。

9.根据权利要求8所述的方法，其特征在于，所述将核验结果发布至所述区块链网络，包括：

响应于所述核验结果为核验成功，将核验结果发布至所述区块链网络；

响应于所述核验结果为核验失败，获取核验失败的证书对应的目标可信认证机构和目标登记认证机构；

对所述目标登记认证机构和所述目标可信认证机构进行权限管理；

将所述权限管理结果发布至所述区块链网络。

10.根据权利要求8所述的方法，其特征在于，所述基于区块链的数字身份网络系统还包括验证方和待验证方；所述方法还包括：

所述验证方将待验证的证书生成身份凭证，并将所述身份凭证发送给所述验证方；

所述验证方基于所述待验证方发送的身份凭证向所述数字身份合约发起授权申请；

所述数字身份合约收到所述授权申请后，将所述授权申请发送至所述待验证方；

所述待验证方从所述数字身份合约获取所述授权申请，并根据所述授权申请向所述数字身份合约发起对所述验证方的验证授权；

响应于所述授权验证成功，所述区块链网络基于所述授权申请，向所述验证方发送对应的证书信息。

Images