CN114218558A - 安全多方计算中的跨域身份验证方法及服务器 - Google Patents

Abstract

本申请公开了一种安全多方计算中的跨域身份验证方法及服务器，方法应用于第一域中的第一服务器，方法包括：接收第一域内的第一计算实体发送的验证请求，验证请求用于指示对第二域内的第二计算实体进行身份验证；根据验证请求，向第二域内的第二服务器发送公钥查询请求；接收第二服务器发送的携带签名的第一公钥，第一公钥为第一计算实体预先为第二域内的实体生成的秘钥；使用第二公钥对第一公钥携带的签名进行验证；第二公钥为第二服务器预先为第一域内的实体生成的秘钥；在第一公钥携带的签名表征第二计算实体验证通过的情况下，将第一公钥发送给第一计算实体。

Description

安全多方计算中的跨域身份验证方法及服务器

技术领域

本申请涉及安全多方计算技术领域，尤其涉及一种安全多方计算中的跨域身份验证方法及服务器。

背景技术

目前的分布式计算中，通常采用基于公钥基础设施PKI(Public KeyInfrastructure)的分布式计算方案。该方案中，协调者所组织的计算实体均为同一个域中的实体，通过同一个信任根所生成的公钥和私钥实现隐私数据的传输。

这种分布式计算方案中，同一个域内使用同一个信任根签发公钥和私钥，可能会存在使用信任根进行解密数据导致隐私数据泄露的安全问题。

发明内容

有鉴于此，本申请提供一种安全多方计算中的跨域身份验证方法及服务器，如下：

一种安全多方计算中的跨域身份验证方法，应用于第一域中的第一服务器，所述方法包括：

接收所述第一域内的第一计算实体发送的验证请求，所述验证请求用于指示对第二域内的第二计算实体进行身份验证；

根据所述验证请求，向所述第二域内的第二服务器发送公钥查询请求；

接收所述第二服务器发送的携带签名的第一公钥，所述第一公钥为所述第一计算实体预先为所述第二域内的实体生成的秘钥；

使用第二公钥对所述第一公钥携带的签名进行验证；所述第二公钥为所述第二服务器预先为所述第一域内的实体生成的秘钥；

在所述第一公钥携带的签名表征所述第二计算实体验证通过的情况下，将所述第一公钥发送给所述第一计算实体。

上述方法，优选的，所述验证请求中至少携带请求签名；

其中，在接收所述第一域内的第一计算实体发送的验证请求之后，所述方法还包括：

对所述验证请求中携带的请求签名进行验证；

在所述验证请求验证通过的情况下，执行所述步骤：根据所述验证请求，向所述第二域内的第二服务器发送公钥查询请求；

在所述验证请求验证不通过的情况下，结束当前流程。

上述方法，优选的，所述请求签名为所述第一计算实体使用第三私钥对所述验证请求进行签名得到，所述第三私钥为所述第一计算实体为所述第一域内的实体生成的秘钥；

其中，对所述验证请求中携带的请求签名进行验证，包括：

使用第三公钥对所述验证请求中携带的请求签名进行验证；

其中，所述第三公钥为所述第一计算实体为所述第一服务器生成的秘钥；或者，所述第三公钥为所述第一域的信任根，所述信任根用于生成所述第三私钥。

上述方法，优选的，所述方法还包括：

接收所述第一计算实体传输的目标数据；

将所述目标数据传输给所述第二计算实体。

上述方法，优选的，在将所述目标数据传输给所述第二计算实体之后，所述方法还包括：

向所述第一计算实体发送反馈消息，所述反馈消息至少表征所述目标数据处理完成。

上述方法，优选的，所述验证请求中至少包含所述第一计算实体的域标识和所述第二计算实体的域标识，所述第一计算实体的域标识用于表征所述第一计算实体处于所述第一域中且在所述第一域中唯一表征所述第一计算实体，所述第二计算实体的域标识用于表征所述第二计算实体处于第二域中且在所述第二域中唯一表征所述第二计算实体；

其中，所述公钥查询请求中至少包含所述第一计算实体的域标识和所述第二计算实体的域标识。

一种安全多方计算中的跨域身份验证方法，应用于第二域中的第二服务器，所述方法包括：

接收第一域中的第一服务器发送的公钥查询请求；

根据所述公钥查询请求，获得第一公钥；所述第一公钥为所述第一计算实体预先为所述第二域内的实体生成的秘钥；

使用第二私钥对所述第一公钥进行签名，以得到携带签名的第一公钥，所述第二私钥为所述第二服务器预先为所述第一域内的实体生成的秘钥；

将携带签名的第一公钥发送给所述第一服务器，所述第一公钥携带的签名用于验证所述第二域内的第二计算实体。

上述方法，优选的，所述公钥查询请求中至少包含所述第一计算实体的域标识和所述第二计算实体的域标识；

其中，根据所述公钥查询请求，获得第一公钥，包括：

在区块链上存储的秘钥信息中，检索与所述第一计算实体的域标识和所述第二计算实体的域标识均相匹配的目标信息，所述目标信息表征所述第一计算实体为所述第二计算实体生成公钥；

根据所述目标信息，获得所述第一公钥。

一种安全多方计算中的跨域身份验证装置，应用于第一域中的第一服务器，所述装置包括：

请求接收单元，用于接收所述第一域内的第一计算实体发送的验证请求，所述验证请求用于指示对第二域内的第二计算实体进行身份验证；

请求发送单元，用于根据所述验证请求，向所述第二域内的第二服务器发送公钥查询请求；

公钥接收单元，用于接收所述第二服务器发送的携带签名的第一公钥，所述第一公钥为所述第一计算实体预先为所述第二域内的实体生成的秘钥；

签名验证单元，用于使用第二公钥对所述第一公钥携带的签名进行验证；所述第二公钥为所述第二服务器预先为所述第一域内的实体生成的秘钥；

公钥发送单元，用于在所述第一公钥携带的签名表征所述第二计算实体验证通过的情况下，将所述第一公钥发送给所述第一计算实体。

一种安全多方计算中的跨域身份验证装置，应用于第二域中的第二服务器，所述装置包括：

请求接收单元，用于接收第一域中的第一服务器发送的公钥查询请求；

公钥获得单元，用于根据所述公钥查询请求，获得第一公钥；所述第一公钥为所述第一计算实体预先为所述第二域内的实体生成的秘钥；

公钥签名单元，用于使用第二私钥对所述第一公钥进行签名，以得到携带签名的第一公钥，所述第二私钥为所述第二服务器预先为所述第一域内的实体生成的秘钥；

公钥发送单元，用于将携带签名的第一公钥发送给所述第一服务器，所述第一公钥携带的签名用于验证所述第二域内的第二计算实体。

一种服务器，作为第一域中的第一服务器，所述服务器包括：

存储器，用于存储计算机程序和所述计算机程序运行所产生的数据；

处理器，用于执行所述计算机程序，以实现：接收所述第一域内的第一计算实体发送的验证请求，所述验证请求用于指示对第二域内的第二计算实体进行身份验证；根据所述验证请求，向所述第二域内的第二服务器发送公钥查询请求；接收所述第二服务器发送的携带签名的第一公钥，所述第一公钥为所述第一计算实体预先为所述第二域内的实体生成的秘钥；使用第二公钥对所述第一公钥携带的签名进行验证；所述第二公钥为所述第二服务器预先为所述第一域内的实体生成的秘钥；在所述第一公钥携带的签名表征所述第二计算实体验证通过的情况下，将所述第一公钥发送给所述第一计算实体。

一种服务器，作为第二域中的第二服务器，所述服务器包括：

存储器，用于存储计算机程序和所述计算机程序运行所产生的数据；

处理器，用于执行所述计算机程序，以实现：接收第一域中的第一服务器发送的公钥查询请求；根据所述公钥查询请求，获得第一公钥；所述第一公钥为所述第一计算实体预先为所述第二域内的实体生成的秘钥；使用第二私钥对所述第一公钥进行签名，以得到携带签名的第一公钥，所述第二私钥为所述第二服务器预先为所述第一域内的实体生成的秘钥；将携带签名的第一公钥发送给所述第一服务器，所述第一公钥携带的签名用于验证所述第二域内的第二计算实体。

从上述技术方案可以看出，本申请公开的一种安全多方计算中的跨域身份验证方法及服务器中，通过由各个域中的计算实体为其他域内的实体生成公钥和私钥，由此，在多个域之间实现安全多方计算而不同域之间的实体进行跨域交互时，由当前域中的服务器使用对方域的实体所发来的公钥对对方域中的实体使用私钥发来的签名进行验证，由此实现跨域身份验证，避免在同一域中进行安全多方计算时所导致的隐私数据泄露的问题。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例一提供的一种安全多方计算中的跨域身份验证方法的流程图；

图2为实现安全多方计算的不同域之间进行交互的示例图；

图3和图4分别为本申请实施例一提供的一种安全多方计算中的跨域身份验证方法的另一流程图；

图5为本申请实施例二提供的一种安全多方计算中的跨域身份验证方法的流程图；

图6为本申请实施例三提供的一种服务器的结构示意图；

图7为本申请实施例四提供的一种服务器的结构示意图；

图8为本申请实现跨域身份验证以及数据传输的交互示意图；

图9为域内SMPC的组成示意图；

图10为SMPC的部署架构图；

图11为本申请适用于不同域的实体之间进行跨域身份验证以及数据传输的数据流向图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

参考图1所示，为本申请实施例一提供的一种安全多方计算中的跨域身份验证方法的实现流程图，该方法可以适用于第一域的第一服务器，如当前域中的网关服务器。例如，如图2中所示，实现安全多方计算的多个计算实体来源于多个域，这里的计算实体可以为peer、client等实体。本实施例中的方法适用于域1中的网关服务器。本实施例中的技术方案主要用于实现当前域与对方域之间的身份验证，以便于实现不同域之间的数据交互。

具体的，本实施例中的方法可以包含如下步骤：

步骤101：接收第一域内的第一计算实体发送的验证请求。

其中，验证请求用于指示对第二域内的第二计算实体进行身份验证，以便于向第二计算实体发送目标数据。

具体的，验证请求中至少包含有第一计算实体的域标识和第二计算实体的域标识，以表征第一计算实体需要验证第二计算实体，以便于第一计算实体向第二计算实体传输目标数据，如图2中所示，域1中的第一计算实体向域1中的网关服务器发送验证请求，以表征第一计算实体需要验证域2中的第二计算实体。

其中，第一计算实体的域标识用于表征第一计算实体处于第一域中且在第一域中唯一表征第一计算实体，第二计算实体的域标识用于表征第二计算实体处于第二域中且在第二域中唯一表征第二计算实体。基于此，第一计算实体的域标识为第一计算实体在所有域中的全局标识，第二计算实体的域标识为第二计算实体在所有域中的全局标识。

需要说明的是，所有域中的计算实体的域标识均注册并记录在区块链上存储的域标识列表中，各个计算实体的域标识同时分别存储在本地存储区域中。第一计算实体在被协调服务器划分到实现安全多方计算的计算组后，接收协调服务器发送的计算组中的其他计算实体的实体标识，计算实体的实体标识在该计算实体所在域中唯一表征该计算实体，也可以理解为本地标识。基于此，验证请求中的第一计算实体的域标识由第一计算实体从其本地存储区域中读取，而验证请求中的第二计算实体的域标识由第一计算实体基于第二计算实体的实体标识在区块链上存储的域标识列表中查询得到。

具体的，第一计算实体可以通过第一计算实体中配置的智能链代码向第一域内的域信任服务器发送标识查询请求，其中包含第二计算实体的实体标识，由此，第一域内的域信任服务器在区块链上存储的域标识列表中查询与第二计算实体的实体标识相对应的域标识，再通过第一计算实体中的智能链代码发送给第一计算实体，由此，第一计算实体可以获得到第二计算实体的域标识，进一步的，第一计算实体通过其智能链代码基于第一计算实体的域标识和第二计算实体的域标识生成验证请求，并将该验证请求发送给第一域中的第一服务器，即网关服务器。

步骤102：根据验证请求，向第二域内的第二服务器发送公钥查询请求。

其中，公钥查询请求中至少包含有第一计算实体的域标识和第二计算实体的域标识，以表征第一服务器需要第二域内的第二服务器返回第一计算实体为第二域内的实体所生成的公钥。

具体的，第二域内的第二服务器可以为域内的域信任服务器。基于此，第二域内的第二服务器可以根据公钥查询请求在区块链上存储的私钥信息中，检索与第一计算实体的域标识和第二计算实体的域标识均相匹配的目标信息，该目标信息表征第一计算实体为第二计算实体生成的公钥，基于此，根据该目标信息，获得第一公钥，例如，在目标信息中提取公钥信息，从而得到第一计算实体为第二域内的实体所生成的第一公钥，之后，第二服务器使用第二私钥对第一公钥进行签名，以得到携带签名的第一公钥并将携带签名的第一公钥发送给第一域的第一服务器。

步骤103：接收第二服务器发送的携带签名的第一公钥。

步骤104：使用第二公钥对第一公钥携带的签名进行验证。

其中，第二公钥为第二服务器预先为第一域内的实体生成的秘钥。第二公钥可以预先存储在第一服务器的本地存储区域中，由第二服务器直接发送给第一服务器，以建立与第一服务器之间的信任关系。

具体的，第一服务器使用第二公钥对第一公钥所携带的签名进行解密，并将解密得到的信息与第一公钥进行比对，如果比对一致，则表征第一公钥验证通过，即第二计算实体验证通过，如果比对不一致，则表征第一公钥可能存在被篡改或损坏的情况，此时第一公钥验证不通过，即第二计算实体验证不通过。

步骤105：在第一公钥携带的签名表征第二计算实体验证通过的情况下，将第一公钥发送给第一计算实体。

基于此，在第一公钥携带的签名表征第二计算实体验证通过的情况下，完成第一域和第二域之间的计算实体之间的跨域身份验证，由此，第一计算实体可以根据第一服务器发送的第一公钥向第二计算实体传输目标数据。

而在第一公钥携带的签名保证第二计算实体验证不通过的情况下，发送第二计算实体验证不通过的消息给第一计算实体，由此，第一计算实体不会向第二计算实体传输目标数据。

具体的，第一服务器可以通过连接到第一计算实体的连接器将包含第一公钥的通知消息发送给第一计算实体，第一计算实体可以在通知消息中获得第一公钥，进而基于该第一公钥在本地存储区域中查找对应的第一私钥，再使用第一私钥对需要传输的目标数据进行加密，在第一计算实体将被第一私钥加密的目标数据通过第一服务器传输给第二计算实体之后，第二计算实体可以使用第一公钥对目标数据进行解密。

由上述方案可知，本申请实施例一提供的一种安全多方计算中的跨域身份验证方法中，通过由各个域中的计算实体为其他域内的实体生成公钥和私钥，由此，在多个域之间实现安全多方计算而不同域之间的实体进行跨域交互时，由当前域中的服务器使用对方域的实体所发来的公钥对对方域中的实体使用私钥发来的签名进行验证，由此实现跨域身份验证，避免在同一域中进行安全多方计算时所导致的隐私数据泄露的问题。

在一种实现方式中，第一计算实体在生成验证请求之后，在将验证请求发送给第一服务器之前，先为验证请求添加请求签名。由此，第一服务器接收到的验证请求中携带有请求签名。

基于此，在步骤101之后，即第一服务器在接收到第一域内的第一计算实体发送的验证请求之后，还可以包含如下步骤，如图3中所示：

步骤106：对验证请求中携带的请求签名进行验证。

其中，请求签名为第一计算实体使用第三私钥对验证请求进行签名得到，第三私钥为第一计算实体为第一域内的实体生成的秘钥。也就是说，各个域中的计算实体为本域内的实体所生成的公钥和私钥与为其他域内的实体生成的公钥和私钥是不同的。基于此，第一服务器使用第三公钥对验证请求中携带的请求签名进行验证，而这里的第三公钥为第一计算实体为第一域内的实体如第一服务器生成的秘钥；或者，第三公钥为第一域的信任根，信任根为第一域内各个实体所共同信任的依据，基于该信任根，第一域内的各个实体可以使用信任根生成秘钥，也就是说，信任根也用于生成第三私钥。由此，第一服务器上得到对验证请求的请求签名进行验证的验证结果。

基于此，在验证请求验证通过的情况下，执行步骤102，即根据验证请求，向第二域内的第二服务器发送公钥查询请求，而在验证请求验证不通过的情况下，结束当前流程，不再向第二服务器发送公钥查询请求。

在一种实现方式中，在步骤105之后，本实施例中的方法还可以包含如下步骤，如图4中所示：

步骤107：接收第一计算实体传输的目标数据。

其中，目标数据为第一计算实体使用第一公钥对应的第一私钥经过加密所得到的数据。

步骤108：将目标数据传输给第二计算实体。

具体的，第一服务器可以将目标数据传输第二域中的第二服务器，由第二服务器将目标数据发送给第二域中的第二计算实体，由此，第二计算实体可以使用第一公钥对目标数据进行解密，从而实现隐私数据的安全传输。

进一步的，在步骤108之后，即第一服务器将目标数据传输给第二计算实体之后，还会向第一计算实体发送反馈消息，该反馈消息至少表征目标数据处理完成。具体的，第一服务器将反馈消息通过连接到第一计算实体的连接器发送给第一计算实体。

参考图5，为本申请实施例二提供的一种安全多方计算中的跨域身份验证方法的实现流程图，该方法可以适用于第二域中的第二服务器，如相对于当前域的对方域中的域信任服务器。例如，如图2中所示，本实施例中的方法适用于域2中的域信任服务器。本实施例中的技术方案主要用于实现当前域与对方域之间的身份验证，以便于实现不同域之间的数据。

具体的，本实施例中的方法可以包括如下步骤：

步骤501：接收第一域中的第一服务器发送的公钥查询请求。

其中，公钥查询请求中至少包含有第一计算实体的域标识和第二计算实体的域标识，以表征第一服务器需要第二域内的第二服务器返回第一计算实体为第二域内的实体所生成的公钥。

步骤502：根据公钥查询请求，获得第一公钥。

其中，第一公钥为第一计算实体预先为第二域内的实体生成的秘钥。

具体的，第二服务器可以根据公钥查询请求在区块链上存储的私钥信息中，检索与第一计算实体的域标识和第二计算实体的域标识均相匹配的目标信息，该目标信息表征第一计算实体为第二计算实体生成的公钥，基于此，根据该目标信息，获得第一公钥，例如，在目标信息中提取公钥信息，从而得到第一计算实体为第二域内的实体所生成的第一公钥。

步骤503：使用第二私钥对第一公钥进行签名，以得到携带签名的第一公钥。

其中，第二私钥为第二服务器预先为第一域内的实体生成的秘钥。

具体的，第二服务器可以使用第二私钥对第一私钥进行加密，将加密得到的信息作为签名添加到第一公钥中，进而得到携带签名的第一公钥。

步骤504：将携带签名的第一公钥发送给第一服务器。

其中，第一公钥携带的签名用于验证第二域内的第二计算实体。

具体的，第一服务器使用第二公钥对第一公钥携带的签名进行验证，如果第一公钥验证通过，则表明第二计算实体验证通过。在第二计算实体验证通过的情况下，第一服务器将第一公钥通过连接到第一计算实体的连接器发送给第一计算实体，由第一计算实体使用第一公钥对应的第一私钥对目标数据进行加密，从而将被加密的目标数据通过第一服务器传输给第二计算实体。

由上述方案可知，本申请实施例二提供的一种安全多方计算中的跨域身份验证方法中，通过由各个域中的计算实体为其他域内的实体生成公钥和私钥，由此，在多个域之间实现安全多方计算而不同域之间的实体进行跨域交互时，由当前域中的服务器使用对方域的实体所发来的公钥对对方域中的实体使用私钥发来的签名进行验证，由此实现跨域身份验证，避免在同一域中进行安全多方计算时所导致的隐私数据泄露的问题。

参考图6，为本申请实施例三提供的一种服务器的结构示意图，该服务器作为第一域中的第一服务器，如当前域中的网关服务器。例如，如图2中所示的域1中的网关服务器。本实施例中的技术方案主要用于实现当前域与对方域之间的身份验证，以便于实现不同域之间的数据交互。

具体的，本实施例中的第一服务器可以包括如下结构：

存储器601，用于存储计算机程序和计算机程序运行所产生的数据；

处理器602，用于执行计算机程序，以实现：接收第一域内的第一计算实体发送的验证请求，验证请求用于指示对第二域内的第二计算实体进行身份验证；根据验证请求，向第二域内的第二服务器发送公钥查询请求；接收第二服务器发送的携带签名的第一公钥，第一公钥为第一计算实体预先为第二域内的实体生成的秘钥；使用第二公钥对第一公钥携带的签名进行验证；第二公钥为第二服务器预先为第一域内的实体生成的秘钥；在第一公钥携带的签名表征第二计算实体验证通过的情况下，将第一公钥发送给第一计算实体。

另外，本实施例中的第一服务器中还可以包含有通信模块等结构，用以实现与第一计算实体和第二服务器之间的交互。例如，处理器602通过触发通信模块接收第一域内的第一计算实体发送的验证请求、向第二域内的第二服务器发送公钥查询请求、接收第二服务器发送的携带签名的第一公钥以及在第一公钥携带的签名表征第二计算实体验证通过的情况下，将第一公钥发送给第一计算实体，等等。

由上述方案可知，本申请实施例三提供的一种服务器中，通过由各个域中的计算实体为其他域内的实体生成公钥和私钥，由此，在多个域之间实现安全多方计算而不同域之间的实体进行跨域交互时，由当前域中的服务器使用对方域的实体所发来的公钥对对方域中的实体使用私钥发来的签名进行验证，由此实现跨域身份验证，避免在同一域中进行安全多方计算时所导致的隐私数据泄露的问题。

在一种实现方式中，验证请求中至少包含第一计算实体的域标识和第二计算实体的域标识，第一计算实体的域标识用于表征第一计算实体处于第一域中且在第一域中唯一表征第一计算实体，第二计算实体的域标识用于表征第二计算实体处于第二域中且在第二域中唯一表征第二计算实体；其中，公钥查询请求中至少包含第一计算实体的域标识和第二计算实体的域标识。

在一种实现方式中，验证请求中至少携带请求签名，处理器602在通过通信模块接收第一域内的第一计算实体发送的验证请求之后，还可以对验证请求中携带的请求签名进行验证；在验证请求验证通过的情况下，根据验证请求，通过通信模块向第二域内的第二服务器发送公钥查询请求；而如果验证请求验证不通过，那么结束当前流程。

在一种实现方式中，请求签名为第一计算实体使用第三私钥对验证请求进行签名得到，第三私钥为第一计算实体为第一域内的实体生成的秘钥；处理器602在对验证请求中携带的请求签名进行验证时，具体用于：使用第三公钥对验证请求中携带的请求签名进行验证；其中，第三公钥为第一计算实体为第一服务器生成的秘钥；或者，第三公钥为第一域的信任根，信任根用于生成第三私钥。

在一种实现方式中，处理器602还用于：通过通信模块接收第一计算实体传输的目标数据；将目标数据通过通信模块传输给第二计算实体。

在一种实现方式中，在将目标数据传输给第二计算实体之后，处理器601还用于：通过通信模块向第一计算实体发送反馈消息，反馈消息至少表征目标数据处理完成。

需要说明的是，本实施例中处理器的具体实现可以参考前文中的相应内容，此处不再详述。

相对应的，本申请实施例还提供了一种安全多方计算中的跨域身份验证装置，应用于第一域中的第一服务器，装置包括：

请求接收单元，用于接收第一域内的第一计算实体发送的验证请求，验证请求用于指示对第二域内的第二计算实体进行身份验证；

请求发送单元，用于根据验证请求，向第二域内的第二服务器发送公钥查询请求；

公钥接收单元，用于接收第二服务器发送的携带签名的第一公钥，第一公钥为第一计算实体预先为第二域内的实体生成的秘钥；

签名验证单元，用于使用第二公钥对第一公钥携带的签名进行验证；第二公钥为第二服务器预先为第一域内的实体生成的秘钥；

公钥发送单元，用于在第一公钥携带的签名表征第二计算实体验证通过的情况下，将第一公钥发送给第一计算实体。

参考图7，为本申请实施例四提供的一种服务器的结构示意图，该服务器作为第二域中的第二服务器，如相对于当前域的对方域中的域信任服务器。例如，如图2中所示的域2中的域信任服务器。本实施例中的技术方案主要用于实现当前域与对方域之间的身份验证，以便于实现不同域之间的数据交互。

具体的，本实施例中的服务器可以包括以下结构：

存储器701，用于存储计算机程序和计算机程序运行所产生的数据；

处理器702，用于执行计算机程序，以实现：接收第一域中的第一服务器发送的公钥查询请求；根据公钥查询请求，获得第一公钥；第一公钥为第一计算实体预先为第二域内的实体生成的秘钥；使用第二私钥对第一公钥进行签名，以得到携带签名的第一公钥，第二私钥为第二服务器预先为第一域内的实体生成的秘钥；将携带签名的第一公钥发送给第一服务器，第一公钥携带的签名用于验证第二域内的第二计算实体。

另外，本实施例中的第二服务器中还可以包含有通信模块等结构，用以实现与第二计算实体和第一服务器之间的交互。例如，处理器702通过触发通信模块接收第一域中的第一服务器发送的公钥查询请求以及将携带签名的第一公钥发送给第一服务器，等等。

由上述方案可知，本申请实施例四提供的一种服务器中，通过由各个域中的计算实体为其他域内的实体生成公钥和私钥，由此，在多个域之间实现安全多方计算而不同域之间的实体进行跨域交互时，由当前域中的服务器使用对方域的实体所发来的公钥对对方域中的实体使用私钥发来的签名进行验证，由此实现跨域身份验证，避免在同一域中进行安全多方计算时所导致的隐私数据泄露的问题。

相对应的，本申请实施例还提供了一种安全多方计算中的跨域身份验证装置，应用于第二域中的第二服务器，装置包括：

请求接收单元，用于接收第一域中的第一服务器发送的公钥查询请求；

公钥获得单元，用于根据公钥查询请求，获得第一公钥；第一公钥为第一计算实体预先为第二域内的实体生成的秘钥；

公钥签名单元，用于使用第二私钥对第一公钥进行签名，以得到携带签名的第一公钥，第二私钥为第二服务器预先为第一域内的实体生成的秘钥；

公钥发送单元，用于将携带签名的第一公钥发送给第一服务器，第一公钥携带的签名用于验证第二域内的第二计算实体。

以第一域和第二域如域1和域2中的计算实体参与安全多方计算为例，如图8所示，为本申请实现跨域身份验证以及数据传输的交互示意图，具体如下：

1、第一计算实体被协调服务器划分到计算组之后，第一计算实体可以得到协调服务器发送的其他计算实体如第二计算实体的实体标识，基于此，第一计算实体向第一计算实体中配置的智能链代码发送标识查询请求，标识查询请求中包含有第二计算实体的实体标识，第二计算实体的实体标识用于在第二域中唯一表征第二计算实体；

2、第一计算实体中的智能链代码向域1中的域信任服务器发送标识查询请求；

3、域1中的域信任服务器在区块链上存储的域标识列表中查询与第二计算实体的实体标识相对应的域标识，以得到第二计算实体的域标识，并将第二计算实体的域标识返回给第一计算实体中的智能链代码；

4、第一计算实体中的智能链代码按照第二计算实体的域标识和第一计算实体的域标识生成验证请求，该验证请求中至少包含第二计算实体的域标识和第一计算实体的域标识，第一计算实体中的智能链代码对验证请求使用第三私钥进行签名，将携带签名的验证请求发送给域1中的网关服务器；第三私钥为第一计算实体为域1内的实体使用域1的信任根所签发的私钥，相应有对应的第三公钥；

5、域1中的网关服务器使用第三公钥对验证请求所携带的签名进行验证；

6、域1中的网关服务器在验证请求验证通过的情况下，获得验证请求中所包含的第二计算实体的域标识和第一计算实体的域标识，并根据第二计算实体的域标识和第一计算实体的域标识向域2中的域信任服务器发送公钥查询请求，公钥查询请求中包含有第二计算实体的域标识和第一计算实体的域标识；

7、域2的域信任服务器接收到公钥查询请求之后，在区块链上存储的私钥信息中查找与第二计算实体的域标识和第一计算实体的域标识均相匹配的公钥，以得到第一计算实体为第二计算实体生成的第一公钥；域2的域信任服务器将第一公钥使用第二私钥进行签名，将携带签名的第一公钥发送给域1中的网关服务器；

8、域1中的网关服务器使用域2中的域信任服务器预先发来的第二公钥对第一公钥携带的签名进行验证；

9、域1中的网关服务器在第一公钥携带的签名验证通过的情况下，发送包含第一公钥的通知消息给连接到第一计算实体的连接器；

10、第一计算实体对应的连接器接收到通知消息之后，将第一公钥发送给第一计算实体；

11、第一计算实体使用第一公钥在本地存储区域中查找对应的第一私钥，使用查找到的第一私钥对隐私数据进行加密，并将被加密的隐私数据发送到第一计算实体对应的连接器；

12、第一计算实体对应的连接器将被加密的隐私数据通过域1的网关服务器和域2的网关服务器或域信任服务器按照第二计算实体的域标识发送给域2中的第二计算实体；

13、域1中的网关服务器在为第一计算实体传输完成隐私数据之后，给第一计算实体的智能链代码发送反馈消息，以表征当前数据处理完成。

具体的，如图9中所示，每个域domain包含运行安全多方计算SMPC(Secure Multi-Party Computation)的基本模块，可以实现完整SMPC计算任务调用。其中包括：电子认证服务CA(Certificate Authority)、协调服务器Coordinator(也可以称为协调者)、Peer计算节点、成员资格服务器(Membership service)等模块。而区块链上用于存储各个域中的实体使用各自域的信任根为其他域所生成的公钥以及各个域中的实体的域标识。

如图10所示，为SMPC的部署架构图，SMPC至少包含如下模块：

数据提供者模块，通过数据前置处理器提供处理计算任务所需要的数据；

协调模块，作为协调者，提供资源管理服务、任务调度服务和预处理评估服务等处理，例如，根据计算任务创建计算组，其中包含来自多个域中的计算节点(即计算实体)；

链码模块，作为算法提供者，用于提供计算任务所使用的算法内容，其中包含逻辑运算算子和算术运算算子；

数据处理模块，作为算力提供者，包含多个计算节点，计算节点提供计算资源和存储资源，各个计算节点中具有各自的私有存储区域即本地存储区域，用于存储私钥等信息；而数据处理模块与协调模块之间通过P2P网络协议进行通信；

区块链账本上存储各个计算节点对应的公钥证书，以便于计算节点查询得到相应的公钥；

匿名身份模块，用于为计算节点注册域标识；

如图11中所示，为不同域的实体之间进行跨域身份验证以及数据传输的数据流向图。其中，ID owner包括但不限于client、peer等需要身份的计算实体。coordinator根据工作任务job生成计算组group，即抽取不同域内的计算实体组成一个计算组，使得group可以包括不同信任域的实体，包括client和peer，ID owner针对需要通信的信任域生成公私钥对，把公钥发送到所有交互的信任域的CA或者秘钥生成中心KGC(Key GenerationCenter)，并生成公钥证书，并把ID对应的公钥证书通过区块链blockchain共识协议，加入到区块中，作为全网可公开验证的公开参数。而在实际运行计算job的时候，所有实体都需要验证身份信息，通过区块链中的智能合约查询到ID对应的公钥信息，进行身份验证。因为针对所有的域，每个ID owner会生成不同的公私钥对，这样就完全避免了跨域的认证过程，使得SMPC的计算job是可以完全去中心化。

具体如下：

1、ID owner向智能链代码Smart chain code发送标识查询请求，标识查询请求中包含有域2中实体的实体标识；

2、Smart chain code向域1中的Domain trust service发送标识查询请求；

3、域1中的Domain trust service在区块链上存储的域标识列表中查询域2中实体的域标识，并将域2中实体的域标识返回给Smart chain code；

4、Smart chain code按照ID owner的域标识和域2中的域标识生成验证请求，Smart chain code对验证请求使用第三私钥进行签名，将携带签名的验证请求发送给域1中的Domain gateway；第三私钥为ID owner为域1内的实体使用域1的信任根所签发的私钥，相应有对应的第三公钥；

5、域1中的Domain gateway使用第三公钥对验证请求所携带的签名进行验证；

6、域1中的Domain gateway在验证请求验证通过的情况下，获得验证请求中所包含的域2中实体的域标识和ID owner的域标识，并根据ID owner的域标识和域2中实体的域标识向域2中的Domain trust service发送公钥查询请求，公钥查询请求中包含有域2中实体的域标识和ID owner的域标识；

7、域2的Domain trust service接收到公钥查询请求之后，在区块链上存储的私钥信息中查找与域2中实体的域标识和ID owner的域标识均相匹配的公钥对应关系，以得到ID owner为域2中实体生成的第一公钥；域2的Domain trust service将第一公钥使用第二私钥进行签名，将携带签名的第一公钥发送给域1中的Domain gateway；

8、域1中的Domain gateway使用域2中的Domain trust service预先发来的第二公钥对第一公钥携带的签名进行验证；

9、域1中的Domain gateway在第一公钥携带的签名验证通过的情况下，发送包含第一公钥的通知消息给连接到ID owner的连接器Ledger connector；

10、Ledger connector接收到通知消息之后，将第一公钥发送给ID owner；

11、ID owner使用第一公钥在本地存储区域中查找对应的第一私钥，使用查找到的第一私钥对隐私数据进行加密，并将被加密的隐私数据发送到Ledger connector；

12、Ledger connector将被加密的隐私数据通过域1的Domain gateway和域2的Domain gateway或Domain trust service按照域2中实体的域标识发送给域2中的实体；

13、域1中的Domain gateway在为ID owner传输完成隐私数据之后，给ID owner的Smart chain code发送反馈消息，以表征当前数据处理完成。

由此，在实现安全多方计算中，在不同域之间实现跨域身份验证以及数据传输。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

专业人员还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本申请。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本申请的精神或范围的情况下，在其它实施例中实现。因此，本申请将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种安全多方计算中的跨域身份验证方法，应用于第一域中的第一服务器，所述方法包括：

接收所述第一域内的第一计算实体发送的验证请求，所述验证请求用于指示对第二域内的第二计算实体进行身份验证；

根据所述验证请求，向所述第二域内的第二服务器发送公钥查询请求；

接收所述第二服务器发送的携带签名的第一公钥，所述第一公钥为所述第一计算实体预先为所述第二域内的实体生成的秘钥；

使用第二公钥对所述第一公钥携带的签名进行验证；所述第二公钥为所述第二服务器预先为所述第一域内的实体生成的秘钥；

在所述第一公钥携带的签名表征所述第二计算实体验证通过的情况下，将所述第一公钥发送给所述第一计算实体。

2.根据权利要求1所述的方法，所述验证请求中至少携带请求签名；

其中，在接收所述第一域内的第一计算实体发送的验证请求之后，所述方法还包括：

对所述验证请求中携带的请求签名进行验证；

在所述验证请求验证通过的情况下，执行所述步骤：根据所述验证请求，向所述第二域内的第二服务器发送公钥查询请求；

在所述验证请求验证不通过的情况下，结束当前流程。

3.根据权利要求2所述的方法，所述请求签名为所述第一计算实体使用第三私钥对所述验证请求进行签名得到，所述第三私钥为所述第一计算实体为所述第一域内的实体生成的秘钥；

其中，对所述验证请求中携带的请求签名进行验证，包括：

使用第三公钥对所述验证请求中携带的请求签名进行验证；

其中，所述第三公钥为所述第一计算实体为所述第一服务器生成的秘钥；或者，所述第三公钥为所述第一域的信任根，所述信任根用于生成所述第三私钥。

4.根据权利要求1、2或3所述的方法，所述方法还包括：

接收所述第一计算实体传输的目标数据；

将所述目标数据传输给所述第二计算实体。

5.根据权利要求4所述的方法，在将所述目标数据传输给所述第二计算实体之后，所述方法还包括：

向所述第一计算实体发送反馈消息，所述反馈消息至少表征所述目标数据处理完成。

6.根据权利要求1、2或3所述的方法，所述验证请求中至少包含所述第一计算实体的域标识和所述第二计算实体的域标识，所述第一计算实体的域标识用于表征所述第一计算实体处于所述第一域中且在所述第一域中唯一表征所述第一计算实体，所述第二计算实体的域标识用于表征所述第二计算实体处于第二域中且在所述第二域中唯一表征所述第二计算实体；

其中，所述公钥查询请求中至少包含所述第一计算实体的域标识和所述第二计算实体的域标识。

7.一种安全多方计算中的跨域身份验证方法，应用于第二域中的第二服务器，所述方法包括：

接收第一域中的第一服务器发送的公钥查询请求；

根据所述公钥查询请求，获得第一公钥；所述第一公钥为所述第一计算实体预先为所述第二域内的实体生成的秘钥；

使用第二私钥对所述第一公钥进行签名，以得到携带签名的第一公钥，所述第二私钥为所述第二服务器预先为所述第一域内的实体生成的秘钥；

将携带签名的第一公钥发送给所述第一服务器，所述第一公钥携带的签名用于验证所述第二域内的第二计算实体。

8.根据权利要求7所述的方法，所述公钥查询请求中至少包含所述第一计算实体的域标识和所述第二计算实体的域标识；

其中，根据所述公钥查询请求，获得第一公钥，包括：

在区块链上存储的秘钥信息中，检索与所述第一计算实体的域标识和所述第二计算实体的域标识均相匹配的目标信息，所述目标信息表征所述第一计算实体为所述第二计算实体生成公钥；

根据所述目标信息，获得所述第一公钥。

9.一种服务器，作为第一域中的第一服务器，所述服务器包括：

存储器，用于存储计算机程序和所述计算机程序运行所产生的数据；

处理器，用于执行所述计算机程序，以实现：接收所述第一域内的第一计算实体发送的验证请求，所述验证请求用于指示对第二域内的第二计算实体进行身份验证；根据所述验证请求，向所述第二域内的第二服务器发送公钥查询请求；接收所述第二服务器发送的携带签名的第一公钥，所述第一公钥为所述第一计算实体预先为所述第二域内的实体生成的秘钥；使用第二公钥对所述第一公钥携带的签名进行验证；所述第二公钥为所述第二服务器预先为所述第一域内的实体生成的秘钥；在所述第一公钥携带的签名表征所述第二计算实体验证通过的情况下，将所述第一公钥发送给所述第一计算实体。

10.一种服务器，作为第二域中的第二服务器，所述服务器包括：

存储器，用于存储计算机程序和所述计算机程序运行所产生的数据；

处理器，用于执行所述计算机程序，以实现：接收第一域中的第一服务器发送的公钥查询请求；根据所述公钥查询请求，获得第一公钥；所述第一公钥为所述第一计算实体预先为所述第二域内的实体生成的秘钥；使用第二私钥对所述第一公钥进行签名，以得到携带签名的第一公钥，所述第二私钥为所述第二服务器预先为所述第一域内的实体生成的秘钥；将携带签名的第一公钥发送给所述第一服务器，所述第一公钥携带的签名用于验证所述第二域内的第二计算实体。

Images