CN113722722A - 一种基于区块链的高安全等级访问控制方法及系统 - Google Patents

Abstract

本发明公开了一种基于区块链的高安全等级访问控制方法及系统,所述方法包括：在区块链联盟链组织中通过证书颁发机构对用户进行注册，为所述用户设定一个访问权限级别的属性信息，所述用户具有唯一的用户标识；所述用户发起资源访问请求，根据双重签名机制对所述用户进行双重签名；所述区块链联盟链根据所述双重签名进行双重验证；所述双重验证均通过后，响应所述访问请求，并允许所述用户的访问。所述系统由区块链用户层、区块链接口层、区块链核心层和区块链基础设施层组成。通过发明的方法和系统，既能提高访问控制的稳定性和安全性，又能提高访问控制的灵活性和可扩展性，另外还能够增强公开审计性和安全性。

Description

一种基于区块链的高安全等级访问控制方法及系统

技术领域

本发明涉及区块链技术领域，尤其涉及一种基于区块链的高安全等级访问控制方法及系统。

背景技术

传统的访问控制技术是将访问控制策略部署在中心化的服务器和数据库中，由第三方机构来提供集中式的访问控制服务，但中心化的访问控制存在诸多问题，比如单点访问控制会存在单点失效的隐患，一旦中心化服务器发生故障那么整个系统就难以正常运转，正在进行的请求或已经完成请求的响应信息可能会瞬间丢失；其次，盲目信任第三方机构可能会带来重大的安全问题，如果第三方机构私自修改和泄露甚至删除了重要的资源数据或用户信息,资源所属者或用户无法及时获得到预警也无法及时进行补救，这可能会对资源所有者和用户带来巨大的经济损失，严重危害其账户安全，也会让资源所有者和用户丧失对第三方机构的信任。中心化的访问控制很难且也无法将访问控制执行过程完全公开透明，接受用户的监督。

区块链技术具有去中心化、高透明度、高安全性等特点。在区块链网络中没有第三方机构存在，所有节点共同参与账本的维护，一个节点的失效不会影响整个系统的正常运行。但现有的基于区块链的访问控制方法大多是基于公链，区块链上的所有信息都是完全公开的，任何人都有访问权限，所以其数据隐私性和读取及存储性能较差，其节点也难以灵活添加或撤销。

因此，如何解决传统中心化访问控制的单点攻击、不信任性以及难以审计和追踪溯源的缺点问题，如何改善公有链性能限制以及数据隐私性较差的问题，成为目前急需解决的技术难题。

发明内容

为解决上述技术问题，本发明通过采用区块链联盟链技术，在联盟链中开启多个通道，每个通道内部的数据是相互隔离的，在每个通道中开启多个组织，每个组织中部署多个联盟链节点，每个组织有一个CA(Certificate Authority，证书颁发机构)给用户颁发数字证书。去中心化的区块链技术能够有效解决中心化访问控制方法的单点故障等问题，当区块链某个节点发生故障时，其余正常节点可以替代故障节点，且不会影响整个系统的正常运行。具体技术方案如下：

一方面，本发明提供了一种基于区块链的高安全等级访问控制方法,所述方法包括如下步骤：

在区块链联盟链组织中通过证书颁发机构对用户进行注册，为所述用户设定一个访问权限级别的属性信息，所述用户具有唯一的用户标识；

所述用户发起资源访问请求，根据双重签名机制对所述用户进行双重签名；

所述区块链联盟链根据所述双重签名进行双重验证；

所述双重验证均通过后，响应所述访问请求，并允许所述用户的访问。

进一步地，所述双重签名具体为，

所述用户首先对所述用户的用户标识和访问权限级别属性信息进行私钥签名；再对发起的访问请求交易提案进行私钥签名。

进一步地，所述双重验证具体为，

所述区块链联盟中的验证节点收到所述访问请求后，依次验证所述用户的身份有效性和访问请求交易提案的合法性，所述用户的身份包括用户标识和访问权限级别属性信息；

所述验证通过后，调用通道中预先安装的系统链码，所述系统链码再验证所述用户的用户标识和访问权限级别属性信息的一致性，再根据账本中最新的访问控制策略验证所述用户对所述资源的访问权限。

进一步地，所述依次验证所述用户的身份有效性和访问请求交易提案的合法性具体为：

所述联盟链中的验证节点根据所述用户的证书信息验证所述用户身份是否有效，根据所述访问请求交易提案的私钥签名验证所述私钥签名是否为所述用户所签发。

进一步地，所述再根据账本中最新的访问控制策略验证所述用户对所述资源的访问权限，具体为，

所述系统链码是结合所述用户的访问权限级别属性信息与账本中最新的访问控制策略，验证所述用户的权限级别是否在所述访问控制策略的范围之内。

进一步地，所述双重验证中，若其中有一项未验证通过，则将验证失败的结果信息返回给所述用户的客户端，并拒绝所述用户的访问请求。

进一步地，当所述用户为管理员或具有修改权限的用户时，可根据不同的应用场景和业务需求调整修改所述访问控制策略，修改后的访问控制策略会自动上链，更新账本状态。

进一步地，在所述区块链联盟系统中开启多个通道，每个所述通道内部的数据相互隔离，每个所述通道中开启多个组织，每个所述组织中部署多个联盟链节点，每个所述组织由一个证书颁发机构给所述用户颁发数字证书。

进一步地，所述方法还包括访问控制审计，记录所述用户的具体操作，当所述用户进行了涉及系统安全的操作时，所述节点会调用系统链码发出预警信息，提示管理员或工作人员。

另一方面，本发明还提供了一种基于区块链的高安全等级访问控制系统，所述系统由区块链用户层、区块链接口层、区块链核心层和区块链基础设施层组成，其中，

所述区块链用户层，主要由各组织管理员和注册用户组成，可以进行客户端的操作；

所述区块链接口层，包括用户密钥以及证书的获取，通道的创建，数据上链，区块查询等接口；

所述区块链核心层，包含区块数据管理功能、成员管理管理、通道管理功能、智能合约管理等区块链核心功能；

所述区块链基础设施层，由组建基于区块链的访问控制底层所需的物理层和虚拟层的资源载控两大功能组成。

通过本发明的基于区块链的高安全等级访问控制方法及系统，具有以下有益效果：

(1)本发明采用分布式账本技术，当系统中某个节点发生故障也不影响整个系统的正常运行，有效避免了单点攻击等故障的发生，提高了访问控制的稳定性和安全性；

(2)本发明让用户掌握了资源的管理使用权，将访问控制策略存储在联盟链中，多通道数据隔离，既保证了数据的公开透明性也保证了用户资源的隐私性；本发明基于智能合约，可以实现对访问控制自动化、可信地执行，无需第三方管理员参与监督，所有访问控制执行过程公开透明，不能进行修改删除等操作，便于审计和追溯；

(3)本发明让有修改访问控制权限的用户可以根据不同的应用场景和业务需求及时调整访问控制策略，提高了访问控制的灵活性和可扩展性；

(4)本发明采用了双重签名机制，当用户发起访问请求时首先对其身份标识以及访问权限属性信息进行签名，其后又对访问请求交易提案进行私钥签名，对签名进行验证也是双重验证，首先是验证节点对用户身份和交易提案签名进行验证，之后是链码对用户的身份标识和属性信息进行验证。双重签名机制进一步加强了系统的安全可靠性。

(5)本发明同时采用了访问控制审计技术，在链码中增加了审计模块，在进行设计安全的操作时链码会自动发出预警，增强了公开审计性和安全性。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例一提供的一种基于区块链的高安全等级访问控制方法流程图；

图2为本发明实施例二提供的一种基于区块链的高安全等级访问控制方法的另一流程图；

图3为本发明实施例三提供的一种基于区块链的高安全等级访问控制系统结构示意图；

图4为本发明实施例四提供的一种基于区块链的高安全等级访问控制系统具体结构示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明白，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，需要指出的是，所描述的实施例仅仅是本发明的一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

实施例一

本发明实施例一提供了一种基于区块链的高安全等级访问控制方法流程图，如图1所示，所述方法包括如下步骤：

步骤S101，在区块链联盟链组织中通过证书颁发机构对用户进行注册，为所述用户设定一个访问权限级别的属性信息，所述用户具有唯一的用户标识；

首先需要添加用户，也就是首先需要使用CA(Certificate Authority，证书颁发机构)对用户进行注册，在注册时需要给用户设定一个访问权限级别属性值，然后将其加入到联盟链的组织当中成为组织的合法成员，拥有组织CA颁发的用户证书，证书内容包括主要证书类型、用户公钥和用户公钥的证书有效期等，通过CA生成用户证书的方法为：

CertU＝Req(UID|attr_access)

其中UID是用户身份唯一标识(一般为用户名)，attr_access是用户的访问权限级别属性，Req()是注册请求。

步骤S102，所述用户发起资源访问请求，根据双重签名机制对所述用户进行双重签名；

当用户想要访问某一资源向服务端发起访问请求时，首先会对用户标识和访问权限级别属性信息进行私钥签名，签名方法为：

Sig＝UID|h(attr_access)|Sig_prku(UID|h(attr_access)

这里UID是用户的唯一标识，h()为哈希计算函数，在本发明中为SHA256函数，attr_access为用户的访问权限级别属性信息，是用户私钥签名的过程；

之后用户会使用私钥对访问请求交易提案进行签名，然后客户端会将交易提案转发给认证节点。

步骤S103，所述区块链联盟链根据所述双重签名进行双重验证；

认证节点首先检查用户证书，确认该证书是由组织CA所颁发的，当验证节点从客户端节点接收到验证请求时，验证节点对客户端请求进行如下认证：

验证通过之后节点会对访问请求交易提案签名进行验证，验证该访问请求交易提案是由该用户所发起的。当以上验证通过后节点会调用系统链码，链码会根据用户证书查询用户访问权限级别，然后与用户私钥签名的信息进行一致性检验。

当以上验证全都通过之后系统链码会查询区块链账本中存储的最新的访问控制策略来决策用户所具备的访问权限级别是否满足其访问控制策略，访问控制策略中的属性可以由用户根据业务场景自行设定，比如访问级别限制和访问时间限制等，如果增加了访问时间限制链码会同时根据交易提案发起的时间戳来判定该请求是否在规定的访问时间之内。

步骤S104，所述双重验证均通过后，响应所述访问请求，并允许所述用户的访问。

若其中有一项未验证通过，则将验证失败的结果信息返回给所述用户的客户端，并拒绝所述用户的访问请求。

有修改访问控制策略权限的用户或管理员可以对访问控制策略进行修改，修改后的访问控制策略会自动上链，更新账本状态；当节点在进行访问控制决策时会根据最新的访问控制策略执行决策。

为了便于公开透明，本发明在系统链码中同时记录了访问控制策略修改记录，相当于进行了访问控制策略修改日志，可以由管理员或有查看权限的用户进行查看监督，但该日志不可被篡改和删除，只能查阅，增强了系统的透明性和安全性。

为了便于审计和追责，本发明对所有访问控制相关的操作进行了记录，形成一个基于区块链的高安全等级访问控制审计日志，其记录内容主要是哪位用户在什么时间进行了何种操作，管理员可以实时获取到最新的审计日志，并且当某些用户进行了设计系统安全的操作时，节点会自动调用链码发出预警信息，以提示管理员或工作人员目前有用户正在进行涉及系统安全的操作，请及时关注和处理。

实施例二

本发明实施例二提供了一种基于区块链的高安全等级访问控制方法的另一流程图，具体为实施例一的一个具体方法流程图，如图2所示，所述方法包括如下步骤：

步骤S201，在区块链联盟链组织中通过证书颁发机构对用户进行注册，为所述用户设定一个访问权限级别的属性信息，所述用户具有唯一的用户标识；

步骤S202，所述用户发起资源访问请求，所述用户首先对所述用户的用户标识和访问权限级别属性信息进行私钥签名；再对发起的访问请求交易提案进行私钥签名；

步骤S203，所述区块链联盟中的验证节点收到所述访问请求后，依次验证所述用户的身份有效性和访问请求交易提案的合法性，所述用户的身份包括用户标识和访问权限级别属性信息；验证是否通过，若通过则进入步骤S204，反之未通过验证，则将验证失败的结果信息返回给所述用户的客户端，并拒绝所述用户的访问请求。

步骤S204，调用通道中预先安装的系统链码，所述系统链码再验证所述用户的用户标识和访问权限级别属性信息的一致性，再根据账本中最新的访问控制策略验证所述用户对所述资源的访问权限；验证是否通过，若通过则进入步骤S205，反之未通过，则则将验证失败的结果信息返回给所述用户的客户端，并拒绝所述用户的访问请求。

步骤S205，响应所述访问请求，并允许所述用户的访问。

实施例三

本发明实施例三提供了一种基于区块链的高安全等级访问控制系统结构示意图，如图3所示，所述控制系统包括所述系统由区块链用户层11、区块链接口层12、区块链核心层13和区块链基础设施层14组成，其中，

所述区块链用户层11，主要由各组织管理员和注册用户组成，可以进行客户端的操作；

所述区块链接口层12，包括用户密钥以及证书的获取，通道的创建，数据上链，区块查询等接口；

所述区块链核心层13，包含区块数据管理功能、成员管理管理、通道管理功能、智能合约管理等区块链核心功能；

所述区块链基础设施层14，由组建基于区块链的访问控制底层所需的物理层和虚拟层的资源载控两大功能组成。

实施例四

本发明实施例四提供了一种基于区块链的高安全等级访问控制系统具体结构示意图，具体为实施例三中控制系统的具体结构，如图4所示，

(1)基于区块链的高安全级别访问控制方法用户层11

区块链用户层主要包括用户认证、访问控制配置，以及查看访问控制日志和安全审计日志等。

(2)基于区块链的高安全级别访问控制方法接口层12

区块链接口层则除了为区块链应用层的接口外，还为数据共享平台提供数据上链、密钥管理、用户认证、创建通道、数据加密、数据解密、连通性测试等功能。

(3)基于区块链的高安全级别访问控制方法核心层13

区块链核心层则为基于区块链的高安全级别访问控制方法提供区块链层面上的核心功能，主要包括成员管理，如成员的认证、注册、授权、监控、账户管理、密钥验证、日志和审计等功能；区块管理，如区块打包、区块校验、区块同步、区块存储等功能；交易管理，如交易请求、交易验证、交易上链等功能；共识管理，如排序服务、背书服务、可拔插共识等；智能合约的管理，如容器支持、合约容器、队列管理、链码管理、键码创建等功能。

(4)基于区块链的高安全级别访问控制方法基础设施层14

区块链基础层则为基于区块链的高安全级别的访问控制方法提供区块链核心系统运行所需的资源支撑和管理，包括计算资源、存储资源、网络资源等，以及虚拟管理、负载均衡、资源监控、公有云、私有云和容器云等。

综上所述，本发明通过增加了用户概念，用户证书由数字证书颁发机构所颁发注册，增强了用户交互配置性以及可扩展性；为增强安全级别，本发明采用用户双重私钥签名机制；本发明使用智能合约来记录访问控制策略的所有修改记录，相当于其修改日志，但该日志不可修改和删除。本发明所公开的基于区块链的高安全等级访问控制方法及系统，具有以下有益效果：

(1)本发明采用分布式账本技术，当系统中某个节点发生故障也不影响整个系统的正常运行，有效避免了单点攻击等故障的发生，提高了访问控制的稳定性和安全性；

(2)本发明让用户掌握了资源的管理使用权，将访问控制策略存储在联盟链中，多通道数据隔离，既保证了数据的公开透明性也保证了用户资源的隐私性；本发明基于智能合约，可以实现对访问控制自动化、可信地执行，无需第三方管理员参与监督，所有访问控制执行过程公开透明，不能进行修改删除等操作，便于审计和追溯；

(3)本发明让有修改访问控制权限的用户可以根据不同的应用场景和业务需求及时调整访问控制策略，提高了访问控制的灵活性和可扩展性；

(4)本发明采用了双重签名机制，当用户发起访问请求时首先对其身份标识以及访问权限属性信息进行签名，其后又对访问请求交易提案进行私钥签名，对签名进行验证也是双重验证，首先是验证节点对用户身份和交易提案签名进行验证，之后是链码对用户的身份标识和属性信息进行验证。双重签名机制进一步加强了系统的安全可靠性。

(5)本发明同时采用了访问控制审计技术，在链码中增加了审计模块，在进行设计安全的操作时链码会自动发出预警，增强了公开审计性和安全性。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (10)

1.一种基于区块链的高安全等级访问控制方法,其特征在于，所述方法包括如下步骤：

在区块链联盟链组织中通过证书颁发机构对用户进行注册，为所述用户设定一个访问权限级别的属性信息，所述用户具有唯一的用户标识；

所述用户发起资源访问请求，根据双重签名机制对所述用户进行双重签名；

所述区块链联盟链根据所述双重签名进行双重验证；

所述双重验证均通过后，响应所述访问请求，并允许所述用户的访问。

2.根据权利要求1所述的方法，其特征在于，所述双重签名具体为，

所述用户首先对所述用户的用户标识和访问权限级别属性信息进行私钥签名；再对发起的访问请求交易提案进行私钥签名。

3.根据权利要求1所述的方法，其特征在于，所述双重验证具体为，

所述区块链联盟中的验证节点收到所述访问请求后，依次验证所述用户的身份有效性和访问请求交易提案的合法性，所述用户的身份包括用户标识和访问权限级别属性信息；

所述验证通过后，调用通道中预先安装的系统链码，所述系统链码再验证所述用户的用户标识和访问权限级别属性信息的一致性，再根据账本中最新的访问控制策略验证所述用户对所述资源的访问权限。

4.根据权利要求3所述的方法，其特征在于，所述依次验证所述用户的身份有效性和访问请求交易提案的合法性具体为：

所述联盟链中的验证节点根据所述用户的证书信息验证所述用户身份是否有效，根据所述访问请求交易提案的私钥签名验证所述私钥签名是否为所述用户所签发。

5.根据权利要求3所述的方法，其特征在于，所述再根据账本中最新的访问控制策略验证所述用户对所述资源的访问权限，具体为，

所述系统链码是结合所述用户的访问权限级别属性信息与账本中最新的访问控制策略，验证所述用户的权限级别是否在所述访问控制策略的范围之内。

6.根据权利要求1或3所述的方法，其特征在于，所述双重验证中，若其中有一项未验证通过，则将验证失败的结果信息返回给所述用户的客户端，并拒绝所述用户的访问请求。

7.根据权利要求3所述的方法，其特征在于，当所述用户为管理员或具有修改权限的用户时，可根据不同的应用场景和业务需求调整修改所述访问控制策略，修改后的访问控制策略会自动上链，更新账本状态。

8.根据权利要求1所述的方法，其特征在于，在所述区块链联盟系统中开启多个通道，每个所述通道内部的数据相互隔离，每个所述通道中开启多个组织，每个所述组织中部署多个联盟链节点，每个所述组织由一个证书颁发机构给所述用户颁发数字证书。

9.根据权利要求8所述的方法，其特征在于，所述方法还包括访问控制审计，记录所述用户的具体操作，当所述用户进行了涉及系统安全的操作时，所述节点会调用系统链码发出预警信息，提示管理员或工作人员。

10.一种基于区块链的高安全等级访问控制系统，所述系统由区块链用户层、区块链接口层、区块链核心层和区块链基础设施层组成，其中，

所述区块链用户层，主要由各组织管理员和注册用户组成，可以进行客户端的操作；

所述区块链接口层，包括用户密钥以及证书的获取，通道的创建，数据上链，区块查询等接口；

所述区块链核心层，包含区块数据管理功能、成员管理管理、通道管理功能、智能合约管理等区块链核心功能；

所述区块链基础设施层，由组建基于区块链的访问控制底层所需的物理层和虚拟层的资源载控两大功能组成。

Images