CN114092092A - 基于门限签名的去中心化的数字证书管理系统及使用方法 - Google Patents

Abstract

本发明涉及区块链交易性能技术领域，公开了一种基于门限签名的去中心化的数字证书管理系统，包括有数字证书申请模块、数字证书生成模块、数据传输验证模块和数字证书吊销模块；数字证书申请模块用于通过申请数字证书的节点，提出数字证书申请请求；数字证书生成模块用于对数字证书申请请求进行门限签名，生成去中心化数字证书；数据传输验证模块用于对去中心化数字证书的有效性进行验证，并使用有效的数字证书和发送节点公钥对所传送的签名消息进行验证；数字证书吊销模块用于对已颁发的数字证书进行吊销。本发明避免了由于第三方机构不可信或受到恶意攻击等事件，而导致整个系统崩溃的情况，进而实现了风险分担和权力分配，有效提高了安全性。

Description

基于门限签名的去中心化的数字证书管理系统及使用方法

技术领域

本发明涉及区块链交易性能技术领域，尤其涉及基于门限签名的去中心化的数字证书管理系统及使用方法。

背景技术

CA证书是由CA（Certificate Authority）机构发布的数字证书，数字证书的作用是证明证书中列出的用户合法拥有证书中列出的公开密钥，提供了一种在网上验证身份的方式，保证交易的公正性和安全性。CA机构的数字签名使得攻击者不能伪造和篡改证书。

在现有的数字证书颁发和验证流程中，服务器向CA机构提交信息申请认证，CA机构验证信息的真实性后，向审核通过的申请者签发证书。客户端向服务器发出请求时，服务器返回证书文件，客户端读取证书中的相关明文信息并计算信息摘要，然后利用对应CA机构的公钥验证签名，对比证书的信息摘要，若一致则可以确认证书的合法性，即公钥合法；然后再验证证书相关的域名信息、有效时间以及证书是否吊销。

现有数字证书的颁发完全依赖第三方CA机构，它负责产生、分配并管理所有参与网上交易的个体所需的数字证书，是安全电子交易的核心环节，CA机构的可靠性直接决定整个PKI（Public Key Infrastructure）系统的可靠性，权力过于集中，若第三方证书发布机构出现问题将会影响所有交易过程。

发明内容

本发明的主要目的在于提供基于门限签名的去中心化的数字证书管理系统及使用方法，旨在解决现有技术数字证书的颁发完全依赖第三方CA机构的技术问题。

为实现上述目的，本发明提供了一种基于门限签名的去中心化的数字证书管理系统，所述管理系统包括有数字证书申请模块、数字证书生成模块、数据传输验证模块和数字证书吊销模块；

所述数字证书申请模块用于通过申请数字证书的节点，提出数字证书申请请求；

所述数字证书生成模块用于对数字证书申请请求进行门限签名，生成去中心化数字证书；

所述数据传输验证模块用于对去中心化数字证书的有效性进行验证，并使用有效的数字证书和发送节点公钥对所传送的签名消息进行验证；

所述数字证书吊销模块用于对已颁发的数字证书进行吊销。

优选地，所述数字证书申请模块包括有密钥生成单元和提交申请单元；

所述密钥生成单元用于通过申请数字证书的节点，随机生成一对公钥和私钥，并将所述公钥发送至提交申请单元中；

所述提交申请单元用于通过公钥生成数字证书申请请求。

优选地，所述数字证书申请请求包含有公钥和申请数字证书节点的基本信息。

优选地，所述数字证书生成模块包括有证书请求验证单元、生成数字证书单元和验证数字证书功能单元；

所述证书请求验证单元用于对数字证书申请请求进行验证，并将验证通过的所述数字证书申请请求发送生成数字证书单元，将验证未通过的所述数字证书申请请求直接删除；

所述生成数字证书单元用于通过分布式密钥协议和分布式通信网络对数字证书申请请求进行门限签名，生成所述去中心化数字证书。

所述验证数字证书功能单元用于获取去中心化数字证书的信息摘要，并通过共享公钥验证签名数据，确认数字证书的合法性。

优选地，所述证书请求验证单元用于对数字证书申请请求进行验证，具体如下：

申请数字证书的节点对所述数字证书申请请求进行签名，并广播至区块链网络中；

通过P2P网络通信进行节点同步，确定区块链上设置有签名权限的节点；

具有签名权限的节点通过申请数字证书节点的公钥验证签名，并将验证通过的签名利用线上、线下手段验证签名请求中的信息真实性。

优选地，生成数字证书单元用于通过分布式密钥协议和分布式通信网络对数字证书申请请求进行门限签名，生成所述去中心化数字证书，具体如下：

通过分布式密钥协议生成门限密钥；

所述区块链上具有签名权限的节点基于分布式通信网络，通过自身私钥份额对数字证书申请请求进行分布式协作签署；

进行签名的节点数达到阈值，生成所述去中心化数字证书，并将所述去中心化数字证书上传至区块链。

优选地，所述数据传输验证模块包括有消息签名单元和消息验证单元；

所述消息签名单元用于根据消息内容，通过散列函数计算消息摘要，并通过发送节点私钥对消息摘要或消息明文进行签名；

所述消息验证单元用于对消息内容进行验证。

优选地，所述数字证书吊销模块包括有吊销申请单元和吊销证书单元；

所述吊销申请单元用于可信节点提出吊销已颁发的数字证书申请；

所述吊销证书单元用于对证书吊销申请进行门限签名，并执行吊销证书操作。

一种基于门限签名的去中心化的数字证书管理系统的使用方法，所述使用方法具体如下：

所述数字证书申请模块通过申请数字证书的节点，提出数字证书申请请求，并将所述数字证书申请请求发送至数字证书生成模块中进行证书请求验证；

所述证书请求验证通过的数字证书申请请求，通过所述数字证书生成模块进行门限签名，并生成所述去中心化数字证书，同时将所述去中心化数字证书发送至数据传输验证模块中进行验证；

所述数据传输验证模块对去中心化数字证书的有效性进行验证，并使用有效的数字证书和发送节点公钥对所传送的签名消息进行验证。

本发明提出的基的于门限签名的去中心化数字证书管理系统及使用方法，通过数字证书申请模块、数字证书生成模块、数据传输验证模块和数字证书吊销模块四大模块之间的相互协作，可以利用门限签名实现去中心化的数字证书颁发与验证，且证书的颁发由区块链上的所有具有签名权限的节点签名决定，并不需要一个明确的可信中心，避免了由于第三方机构不可信或受到恶意攻击等事件，而导致整个系统崩溃的情况，进而实现了风险分担和权力分配，有效提高了安全性。

附图说明

图1是本发明实施例方案涉及的数字证书管理系统的结构框图；

图2为本发明实施例方案涉及的数字证书生成模块的处理流程图；

图3为本发明实施例方案涉及的数据传输验证模块的处理流程图；

图4为本发明实施例方案涉及的数字证书吊销模块的处理流程图。

本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。

具体实施方式

应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。

参考图1，本实施例提供了一种基于门限签名的去中心化的数字证书管理系统，图1为数字证书管理系统的结构框图。在本实施例中，本基于门限签名的去中心化的数字证书管理系统包括有数字证书申请模块、数字证书生成模块、数据传输验证模块和数字证书吊销模块。

其中数字证书申请模块用于根据申请数字证书的节点，提出数字证书申请请求。具体地讲，数字证书申请模块包括有密钥生成单元和提交申请单元。在本实施例中，密钥生成单元用于通过申请数字证书的节点，随机生成一对公钥和私钥，并将公钥发送至提交申请单元中。在此处值得注意的是，申请数字证书的节点会随机生成一对公钥和私钥用于生成证书申请请求，同时生成的私钥由申请数字证书的节点自行进行保管，生成的公钥则公开至区块链网络中。

提交申请单元用于通过密钥生成单元中生成的公钥生成数字证书申请请求。具体地讲，申请数字证书的节点通过发起“证书签名请求（CSR）”得到一份被签名的证书，即利用公钥生成一个证书申请请求。此处值得注意的是，数字证书申请请求包含有公钥和申请数字证书节点的基本信息，其中申请数字证书的节点对证书相关信息，使用自身私钥进行签名后，将申请信息广播至区块链网络中请求签名。

其中数字证书生成模块用于实现申请具有门限签名权限的节点对证书申请信息以及申请数字证书的节点公钥信息的门限签名，生成可信的去中心化数字证书。参考图2，图2为数字证书生成模块的处理流程图。在本实施例中，数字证书生成模块中包含有证书请求验证单元、生成数字证书单元和验证数字证书功能单元。

具体地讲，证书请求验证单元用于对数字证书申请请求进行验证，并将验证通过的数字证书申请请求发送生成数字证书单元中进行门限签名，将验证未通过的数字证书申请请求直接删除。此处值得注意的是，申请数字证书的节点在发起证书签名请求时，需使用自身私钥对其进行签名，由于在本实施例中采用P2P网络进行通信，同时P2P网络通信可以实现链上多个节点的同步，因此可将申请数字证书节点的申请信息通过P2P网络广播至区块链网络中。在节点的申请信息广播至区块链网络中后，需确定区块链上现具有签名权限的节点，该具有签名权限的节点在接收到申请信息后，需向链上其他具有签名权限的节点进行广播。

同时链上具有签名权限的节点接收到签名请求时，需使用申请数字证书节点的公钥对该签名进行验证，验证通过即可确认发起该请求的节点身份，验证未通过则可直接进行删除。同时值得注意的是，签名验证通过后，各具有签名权限的节点均需通过线上、线下多种手段验证签名请求的信息真实性，验证通过则进行门限签名。

其中生成数字证书单元用于通过分布式密钥协议和分布式通信网络对数字证书申请请求进行门限签名，生成去中心化数字证书。具体地讲，通过分布式密钥协议生成门限密钥，即基于安全参数构造一种分布式密钥协议DKG，协议运行生成一个共享公钥和各节点各自所有的私钥份额，通过聚集起满足阈值数量的私钥份额即可构建出真正的私钥。值得注意的是，此处指代的满足阈值数量的私钥份额，并不具有严格的阈值数量要求，其可以根据实际需求进行具体选择，故而此处的阈值数量并不固定。在本实施例中，举例说明如下：

设定当现有签名权限节点的2/3进行了签名时，即可生成数字证书，此时得到的去中心化数字证书即可存储到区块链上。

同时还需基于分布式通信网络，各节点将通过自己的私钥份额完成对申请信息的分布式协作签署，对证书元数据通过使用通用的哈希算法生成数字摘要后，使用各自的私钥对该数字摘要进行签名，并输出最终的可验证签名。

其中验证数字证书功能单元用于获取去中心化数字证书的信息摘要，并通过共享公钥验证签名数据，确认数字证书的合法性。在本实施例中，得到的去中心化数字证书包含以下信息：证书的版本信息、序列号、使用的签名算法、颁发者、有效期、证书所有者的名称和公钥、证书发行者对证书的签名。

具体地讲，申请者以及其他节点可以从区块链中获取到去中心化数字证书，通过采用与生成签名时所使用的相同的散列函数即可计算得到上述信息摘要，然后利用共享公钥即可验证签名数据，通过对比证书的信息摘要，则可对证书的合法性进行确认。若确认一致，则表明证书的合法性可以确定，若是确认不一致，则表明证书的合法性暂不可确定，即将结束验证。

其中数据传输验证模块用于对去中心化数字证书的有效性进行验证，并使用有效的数字证书和发送节点公钥对所传送的签名消息进行验证。参考图3，图3为数据传输验证模块的处理流程图，该数据传输验证模块包括有消息签名单元和消息验证单元。在本实施例中，消息签名单元用于根据消息内容，通过散列函数计算消息摘要，并通过节点私钥对消息摘要或消息明文进行签名。具体地讲，当消息内容简单时，发送消息节点可使用自身私钥直接对消息明文进行签名。当消息内容复杂时，发送消息节点需先使用散列函数计算公开的消息明文的摘要，再使用自身私钥对消息摘要进行签名。此处值得注意的是，消息内容的复杂程度，并未有具体的限制，其可以在具体使用的过程中，由使用者或设置者根据具体使用消息的内容明文，进行具体设置，此处将不具体进行展开。

其中消息验证单元用于对消息内容进行验证。具体地讲，发送节点将消息和签名一起发送给其他节点，其他节点接收到消息明文和签名之后，先通过使用共享公钥验证发送节点的数字证书是否有效，验证证书有效后再利用证书公钥验证签名，验证成功则将通过验证签名得到的消息与直接发送的消息进行对比，若一致则消息验证成功；反之，则表明消息有误。此处值得注意的是，当其他节点接收到的是对消息的摘要进行的签名，需要先采用相同的散列函数计算得到消息摘要，然后利用证书的公钥验证签名，之后才可对比得到的消息摘要。

其中数字证书吊销模块用于对已颁发的数字证书进行吊销。参考图4，图4为数字证书吊销模块的处理流程图，该数字证书吊销模块包括有吊销申请单元和吊销证书单元。在本实施例中，吊销申请单元用于可信节点提出吊销已颁发的数字证书申请。具体地讲，当出现拥有数字证书的节点私钥发生丢失或泄露，或节点违规使用数字证书等存在安全漏洞的情况时，则可由其他可信节点提出证书吊销申请，请求吊销该节点的证书，并由区块链上所有具有签名权限的节点对证书吊销申请进行门限签名决定是否吊销证书。

在本实施例中，吊销证书单元用于对证书吊销申请进行门限签名，并执行吊销证书操作。具体地讲，由区块链上所有具有签名权限的可信节点进行门限签名，确定是否吊销证书，同时门限密钥生成后，各节点通过自己的私钥份额完成对证书吊销申请的分布式协作签署，输出最终的可验证签名。此处值得注意的是，私钥份额的大小并不具有唯一性，其具有较大的可变性，可以根据实际需求进行具体选择。此处可以设定当现有签名权限节点的2/3进行了签名时，即可通过吊销证书单元执行吊销操作。

本实施例还提供了一种基于门限签名的去中心化的数字证书管理系统的使用方法，该使用方法具体如下：

步骤S1：数字证书申请模块根据申请数字证书的节点，提出数字证书申请请求，并将该数字证书申请请求发送至数字证书生成模块中进行证书请求验证。

步骤S2：将步骤S1中验证通过的数字证书申请请求，通过数字证书生成模块进行门限签名，并生成去中心化数字证书，同时将得到的去中心化数字证书发送至数据传输验证模块中进行下一步验证。对于步骤S1中验证未通过的数字证书申请请求，可直接进行删除。

步骤S3：数据传输验证模块对去中心化数字证书的有效性进行验证，并使用有效的数字证书和发送节点公钥对所传送的签名消息进行验证，验证通过则表明消息验证成功，反之则表明消息有误，可将消息有误对应的数字证书发送至数字证书吊销模块中进行吊销。

在本实施例中，具体吊销过程如下：

步骤S3.1：获取待吊销数字证书的编号，并将编号并入证书吊销列表中。在本实施例中，需指定第一个证书吊销列表的编号，此后再继续吊销其他数字证书时，只要更新证书吊销列表即可。

步骤S3.2：将证书吊销列表上传区块链中，通过查询证书吊销列表，确认待吊销数字证书的有效期，若证书已被吊销，则认为持有该证书的节点为非法的，不会进行后续验证操作。

此外，需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者系统不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者系统所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者系统中还存在另外的相同要素。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质（如只读存储器（Read Only Memory，ROM）/RAM、磁碟、光盘）中，包括若干指令用以使得一台终端设备（可以是手机，计算机，节点打包设备，或者网络设备等）执行本发明各个实施例所述的方法。

以上仅为本发明的优选实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (9)

1.一种基于门限签名的去中心化的数字证书管理系统，其特征在于，所述管理系统包括有数字证书申请模块、数字证书生成模块、数据传输验证模块和数字证书吊销模块；

所述数字证书申请模块用于通过申请数字证书的节点，提出数字证书申请请求；

所述数字证书生成模块用于对数字证书申请请求进行门限签名，生成去中心化数字证书；

所述数据传输验证模块用于对去中心化数字证书的有效性进行验证，并使用有效的数字证书和发送节点公钥对所传送的签名消息进行验证；

所述数字证书吊销模块用于对已颁发的数字证书进行吊销。

2.根据权利要求1所述的基于门限签名的去中心化的数字证书管理系统，其特征在于，所述数字证书申请模块包括有密钥生成单元和提交申请单元；

所述密钥生成单元用于通过申请数字证书的节点，随机生成一对公钥和私钥，并将所述公钥发送至提交申请单元中；

所述提交申请单元用于通过公钥生成数字证书申请请求。

3.根据权利要求2所述的基于门限签名的去中心化的数字证书管理系统，其特征在于，所述数字证书申请请求包含有公钥和申请数字证书节点的基本信息。

4.根据权利要求1所述的基于门限签名的去中心化的数字证书管理系统，其特征在于，所述数字证书生成模块包括有证书请求验证单元、生成数字证书单元和验证数字证书功能单元；

所述证书请求验证单元用于对数字证书申请请求进行验证，并将验证通过的所述数字证书申请请求发送生成数字证书单元，将验证未通过的所述数字证书申请请求直接删除；

所述生成数字证书单元用于通过分布式密钥协议和分布式通信网络对数字证书申请请求进行门限签名，生成所述去中心化数字证书；

所述验证数字证书功能单元用于获取去中心化数字证书的信息摘要，并通过共享公钥验证签名数据，确认数字证书的合法性。

5.根据权利要求4所述的基于门限签名的去中心化的数字证书管理系统，其特征在于，所述证书请求验证单元用于对数字证书申请请求进行验证，具体如下：

申请数字证书的节点对所述数字证书申请请求进行签名，并广播至区块链网络中；

通过P2P网络通信进行节点同步，确定区块链上设置有签名权限的节点；

具有签名权限的节点通过申请数字证书节点的公钥验证签名，并将验证通过的签名利用线上、线下手段验证签名请求中的信息真实性。

6.根据权利要求5所述的基于门限签名的去中心化的数字证书管理系统，其特征在于，所述生成数字证书单元用于通过分布式密钥协议和分布式通信网络对数字证书申请请求进行门限签名，生成所述去中心化数字证书，具体如下：

通过分布式密钥协议生成门限密钥；

所述区块链上具有签名权限的节点基于分布式通信网络，通过自身私钥份额对数字证书申请请求进行分布式协作签署；

进行签名的节点数达到阈值，生成所述去中心化数字证书，并将所述去中心化数字证书上传至区块链。

7.根据权利要求1所述的基于门限签名的去中心化的数字证书管理系统，其特征在于，所述数据传输验证模块包括有消息签名单元和消息验证单元；

所述消息签名单元用于根据消息内容，通过散列函数计算消息摘要，并通过发送节点私钥对消息摘要或消息明文进行签名；

所述消息验证单元用于对消息内容进行验证。

8.根据权利要求1所述的基于门限签名的去中心化的数字证书管理系统，其特征在于，所述数字证书吊销模块包括有吊销申请单元和吊销证书单元；

所述吊销申请单元用于可信节点提出吊销已颁发的数字证书申请；

所述吊销证书单元用于对证书吊销申请进行门限签名，并执行吊销证书操作。

9.一种权利要求1-8中任一项所述基于门限签名的去中心化的数字证书管理系统的使用方法，其特征在于，所述使用方法具体如下：

所述数字证书申请模块通过申请数字证书的节点，提出数字证书申请请求，并将所述数字证书申请请求发送至数字证书生成模块中进行证书请求验证；

所述证书请求验证通过的数字证书申请请求，通过所述数字证书生成模块进行门限签名，并生成所述去中心化数字证书，同时将所述去中心化数字证书发送至数据传输验证模块中进行验证；

所述数据传输验证模块对去中心化数字证书的有效性进行验证，并使用有效的数字证书和发送节点公钥对所传送的签名消息进行验证。

Images