CN114978783A - 零知识身份验证方法、验证客户端、用户客户端及系统 - Google Patents

Abstract

本发明涉及身份验证技术领域，公开了一种零知识身份验证方法、验证客户端、用户客户端及系统。方法包括：获取原始身份信息、区块地址及身份密文，根据用户公钥，获得身份解密信息，若身份解密信息匹配原始身份信息，则根据单向加密算法对身份密文进行单向加密处理，得到待验证身份信息，根据区块地址，获得身份存证信息，根据身份存证信息及待验证身份信息，生成验证信息。本实施例可排除第三方对用户身份信息的留存和控制，通过查询区块链上数据，便可获得身份存证信息，保证身份存证信息的不可篡改，有利于保护用户隐私和更可靠地进行身份验证。

Description

零知识身份验证方法、验证客户端、用户客户端及系统

技术领域

本发明涉及身份验证技术领域，具体涉及一种零知识身份验证方法、验证客户端、用户客户端及系统。

背景技术

人们在升学、求职或其它生活事务中，通常需要配合验证方进行验证身份信息的真实性。通常，用户需要在第三方平台上预存身份信息。后续验证身份信息时，用户需主动向验证方呈上当前身份信息，验证方到第三方平台上调取预存的身份信息，根据当前身份信息与预存的身份信息，辨别当前身份信息的真实性。但是，此种身份验证机制至少存在以下问题：通常，第三方平台为中心化平台，第三方平台有能力随意拷贝、篡改、删除、擅自使用、转让、交易用户的身份信息，容易泄漏用户的身份隐私，同时也无法保证身份验证的可靠性。

发明内容

本发明实施例的一个目的旨在提供一种零知识身份验证方法、验证客户端、用户客户端及系统，用于改善现有身份验证机制的可靠性较低问题。

在第一方面，本发明实施例提供一种零知识身份验证方法，应用于验证客户端，包括：

获取原始身份信息、区块地址及身份密文，所述身份密文由用户私钥对所述原始身份信息进行加密得到，所述用户私钥关联用户公钥；

根据所述用户公钥，解密所述身份密文，以获得身份解密信息；

若所述身份解密信息匹配所述原始身份信息，则根据单向加密算法对所述身份密文进行单向加密处理，得到待验证身份信息；

根据所述区块地址，查询区块链上数据，以获得身份存证信息；

根据所述身份存证信息及所述待验证身份信息，生成验证信息。

可选地，所述区块地址指向的区块包括身份存证信息及权威签名信息，在解密所述身份密文前，所述方法还包括：

获取权威公钥；

根据所述权威公钥，验证所述权威签名信息是否合法；

若合法，则进入根据所述用户公钥，解密所述身份密文的步骤；

若不合法，则停止身份验证操作。

可选地，得到待验证身份信息后，所述方法还包括：根据降维算法，对所述待验证身份信息进行按位降维处理，得到降维后的待验证身份信息；

对应地，则所述根据所述身份存证信息及所述待验证身份信息，生成验证信息包括：根据所述身份存证信息及所述降维后的待验证身份信息，生成验证信息。

可选地，所述根据降维算法，对所述待验证身份信息进行按位降维处理包括：

依序判断所述待验证身份信息中每个位数上的数值是否在降维数字集中；

若是，则将所述位数的数值置换为第一进制数值；

若否，则将所述位数的数值置换为第二进制数值，其中，所述第一进制数值与所述第二进制数值的进制数相同，且所述第一进制数值的进制数小于所述位数上数值的进制数。

可选地，所述位数上的数值的进制数为16进制；

所述降维数字集包括0、1及在自然数16以内的质数；

所述第一进制数值和所述第二进制数值的进制数为2进制，其中，所述第一进制数值为1，所述第二进制数值为0。

在第二方面，本发明实施例提供一种零知识身份验证方法，应用于用户客户端，包括：

创建区块链上账户，所述区块链上账户包括用户私钥和用户公钥；

根据所述用户私钥，对原始身份信息进行加密，得到身份密文；

根据单向加密算法，对所述身份密文进行单向加密处理，得到身份存证信息；

将所述身份存证信息发送至区块链网络，以使所述区块链网络将身份存证信息上链至区块中。

可选地，在将所述身份存证信息发送至区块链网络前，还包括：发送所述身份存证信息至权威服务器，以使所述权威服务器返回权威签名信息；

相应地，则所述将所述身份存证信息发送至区块链网络，以使所述区块链网络将身份存证信息上链至区块中包括：

将所述身份存证信息及所述权威签名信息发送至所述区块链网络，以使所述区块链网络将身份存证信息及所述权威签名信息上链至区块中。

可选地，将所述身份存证信息发送至所述区块链网络前，所述方法还包括：根据降维算法，对所述身份存证信息进行按位降维处理，得到降维后的身份存证信息；

对应地，则将所述身份存证信息发送至区块链网络，以使所述区块链网络将身份存证信息上链至区块中包括：

将所述降维后的身份存证信息发送至区块链网络，以使所述区块链网络将降维后的身份存证信息上链至区块中。

可选地，所述根据降维算法，对所述身份存证信息进行按位降维处理包括：

依序判断所述身份存证信息中每个位数上的数值是否在降维数字集中；

若是，则将所述位数的数值置换为第一进制数值；

若否，则将所述位数的数值置换为第二进制数值，其中，所述第一进制数值与所述第二进制数值的进制数相同，且所述第一进制数值的进制数小于所述位数上数值的进制数。

在第三方面，本发明实施例提供一种验证客户端，包括：

至少一个处理器；以及，

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行上述的零知识身份验证方法。

在第四方面，本发明实施例提供一种用户客户端，包括：

至少一个处理器；以及，

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行上述的零知识身份验证方法。

在第五方面，本发明实施例提供一种身份区块链系统，包括：

上述的验证客户端；

上述的用户客户端；及

上述的区块链网络，所述区块链网络分别与所述验证客户端和所述用户客户端进行通信连接。

在本发明实施例提供的零知识身份验证方法中，本实施例可排除第三方对用户身份信息的留存和控制，通过查询区块链上数据，便可获得身份存证信息，保证身份存证信息的不可篡改，有利于保护用户隐私和更可靠地进行身份验证。其次，本实施例先采用用户公钥解密身份密文，当身份解密信息匹配原始身份信息时，证明发送方为身份持有者后，方可进行下一步验证操作，从而保证身份验证的安全性和可靠性。再次，本实施例无需将原始身份信息上传到区块链上以充当身份存证信息，可将身份存证信息及待验证身份信息进行比对，既可实现零知识验证身份信息的目的，又避免将原始身份信息上传到网络后被一些网络服务商恶意收集，从而能够可靠保护用户的身份隐私。

附图说明

一个或多个实施例通过与之对应的附图中的图片进行示例性说明，这些示例性说明并不构成对实施例的限定，附图中具有相同参考数字标号的元件表示为类似的元件，除非有特别申明，附图中的图不构成比例限制。

图1为本发明实施例提供的一种身份区块链系统的结构示意图；

图2为本发明另一实施例提供的一种身份区块链系统的结构示意图；

图3为本发明实施例提供的权威服务器审核身份密文的示意图；

图4为本发明实施例提供的一种零知识身份验证方法的流程示意图，其中，执行主体为验证客户端；

图5为本发明另一实施例提供的一种零知识身份验证方法的流程示意图；

图6为本发明实施例提供的一种零知识身份验证方法的流程示意图，其中，执行主体为用户客户端；

图7为本发明实施例提供的一种电子设备的电路结构示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

需要说明的是，如果不冲突，本发明实施例中的各个特征可以相互结合，均在本发明的保护范围之内。另外，虽然在装置示意图中进行了功能模块划分，在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于装置中的模块划分，或流程图中的顺序执行所示出或描述的步骤。再者，本发明所采用的“第一”、“第二”、“第三”等字样并不对数据和执行次序进行限定，仅是对功能和作用基本相同的相同项或相似项进行区分。

本发明实施例提供一种身份区块链系统，请参阅图1，身份区块链系统100包括验证客户端200、用户客户端300及区块链网络400。

验证客户端200用于验证用户的原始身份信息。

用户客户端300用于向验证客户端200提供原始身份信息，以便验证客户端200验证用户的原始身份信息。

可以理解的是，同一个电子设备可充当验证客户端200的角色或用户客户端300的角色，亦可为在验证客户端200与用户客户端300之间进行角色切换，还可为同时集成验证客户端200的角色与用户客户端300的角色。

区块链网络400用于存储区块账本，区块账本记录区块高度连续的各个区块，区块链网络400分别与验证客户端200和用户客户端300进行通信连接。

在本实施例中，用户客户端300在区块链网络400上使用钱包进行工作，其中，用户客户端300可在区块链网络400上创建区块链上账户，区块链上账户包括用户私钥和用户公钥，用户私钥和用户公钥进行关联。用户客户端300可使用用户私钥进行加密处理。用户客户端300使用用户私钥对原始身份信息进行加密，得到身份密文。

在一些实施例中，用户客户端300直接将身份密文上发送到区块链网络400，请求身份区块链系统100的矿工节点对身份密文进行打包成身份存证信息，并将身份存证信息进行上链。由于原始身份信息经过用户私钥加密后再上传到区块链网络400，如此可避免直接上传原始身份信息而造成原始身份信息暴露在网络上，而且身份区块链系统100的每个合法注册用户都可从区块链网络400上查询身份密文，如此也可提高身份验证效率。

在一些实施例中，在将身份密文发送到区块链网络400之前，用户客户端300根据单向加密算法，对身份密文进行单向加密处理，得到散列化的身份存证信息，再将身份存证信息封装成身份上链请求，向区块链网络400发送身份上链请求。区块链网络400获取用户客户端300发送的身份上链请求，其中，身份上链请求携带有身份存证信息。区块链网络400响应身份上链请求，将身份存证信息上链至区块中。由于经过单向加密算法处理得到的身份存证信息是不可逆的，亦即人们不容易逆推出原始身份信息，因此，通过单向加密算法处理身份密文，可达到双重保护的作用，有利于提高保护用户隐私的可靠性和安全性。

在一些实施例中，在将身份存证信息发送到区块链网络400之前，用户客户端300根据降维算法对身份存证信息进行降维处理，经过降维处理后的身份存证信息的数据量大小比未经过降维处理后的身份存证信息的数据量大小还要小，如此能够降低身份存证信息的数据量大小，提高身份存储容量及身份验证效率，尤其在目前区块链系统的数据存储量呈现爆炸式增长的情形下，本实施例通过对身份存证信息进行降维的好处尤为能够得到充分体现。

在一些实施例中，当身份存证信息由身份区块链系统100的矿工节点打包上链到相应区块高度的区块时，用户客户端300从身份区块链系统100获得新区块信息，新区块信息包括区块高度和区块哈希。用户客户端300保存新区块信息，并根据区块哈希，生成身份区块链系统100的区块查询地址，其中，区块查询地址为支持任意网络协议的通信地址。用户根据区块地址，启动用户客户端300的浏览器，浏览器根据区块地址，查询与区块地址对应的区块，并从所述区块中提取出区块链上数据，以获得身份存证信息。

在一些实施例中，在将身份存证信息上传到区块链网络400之前，用户客户端300对身份存证信息进行配置目标身份标签，其中，目标身份标签配置有最高上链优先权，矿工节点根据目标身份标签，优先选择身份存证信息打包上链至区块中，其中，目标身份标签存储在区块的区块体上，如此，本实施例自动为身份存证信息配置身份标签，以便指示矿工节点优先将身份存证信息打包上链，有利于提高身份验证效率。

在一些实施例中，身份标签包括多种类别标签，每个类别标签用于表示每类身份信息的属性，在用户客户端300对身份存证信息进行配置目标身份标签之前，用户客户端300在钱包中呈现多种类别标签以供用户进行选择。用户客户端300响应用户在钱包中选中目标类别标签的操作，将目标类别标签作为目标身份标签。

举例而言，身份标签包括号码类别标签、出生年月类别标签或出生地类别标签，其中，号码类别标签用于表示身份证号码，出生年月类别标签用于表示出生时间，出生地类别标签用于表示出生地址。当用户将身份证号码作为原始身份信息，用户客户端300使用用户私钥和身份证号码进行生成身份密文，再对身份密文进行单向加密处理，得到身份存证信息，再对身份存证信息进行降维处理，得到降维后的身份存证信息。由于身份证号码作为原始身份信息，因此，用户选中号码类别标签，因此，号码类别标签作为目标身份标签。同理可得，当用户将出生时间作为原始身份信息并生成降维后的身份存证信息后，用户选中号码类别标签，因此，出生年月类别标签作为目标身份标签。

在一些实施例中，用户客户端300向区块链网络400发送标签查询请求，其中，标签查询请求携带账户信息。区块链网络400根据标签查询请求，搜索区块账本，以收集所述账户信息下的已发布身份标签，并将全部已发布身份标签发送给用户客户端300，用户客户端300将全部已发布身份标签保存在本地上，并更新钱包上的已发布身份标签，如此，用户在用户客户端300上，便可知悉全部已发布的身份标签，亦即知悉已发布且经过加密的原始身份信息，避免用户重复发布原始身份信息，有利于提高用户体验感。

在一些实施例中，请参阅图2，身份区块链系统100还包括权威服务器500，权威服务器500与区块链网络400通信连接。

权威服务器500可在区块链网络400上创建权威私钥和权威公钥，权威私钥和权威公钥进行关联。权威服务器500用于对用户客户端300的原始身份信息进行审核，若审核通过，则进行权威签名操作。若审核不通过，则向用户客户端300发送审核失败信息，审核失败信息用于提示用户客户端300的原始身份信息审核不通过。

权威服务器500在审核用户客户端300的原始身份信息之前，亦即用户客户端300在将身份密文上传到区块链网络400之前，用户客户端300需要将身份密文、原始身份信息及用户公钥都发送给权威服务器500。

在一些实施例中，用户客户端300以短信形式，将身份密文、原始身份信息及用户公钥都发送给权威服务器500。

在一些实施例中，用户客户端300将身份密文、原始身份信息及用户公钥都写入邮件中，并将邮件发送给权威服务器500。

在一些实施例中，用户客户端300为身份密文、原始身份信息及用户公钥匹配一条链接，并将所述链接发送给权威服务器500，权威服务器500根据所述链接，可将身份密文下载到本地上，从而获得身份密文。

在一些实施例中，用户客户端300将身份密文、原始身份信息及用户公钥封装成身份审核请求。权威服务器500根据身份审核请求，提取出身份密文、原始身份信息及用户公钥。

请参阅图3，权威服务器500收到审核信息包31，其中，审核信息包31包括身份密文、原始身份信息及用户公钥，根据用户公钥解密身份密文，以获得身份解密信息，并判断身份解密信息是否匹配原始身份信息，若身份解密信息匹配原始身份信息，则说明身份密文、原始身份信息及用户公钥的发送主体是用户客户端300，亦即合法，因此，权威服务器500的审核机构32开始审核原始身份信息是否正确，若正确，则审核机构32操作权威服务器500，使得权威服务器500生成与所述原始身份信息对应的审核通过信息。同时，权威服务器500使用权威私钥对身份密文进行权威签名，得到权威签名信息33，并将权威签名信息发送给用户客户端300，用户客户端300再将身份密文34及权威签名信息33都上传到区块链网络400，矿工节点将身份密文34及权威签名信息33都打包上链至相应区块中，如此，本实施例通过权威机构对身份密文34进行背书，可提高身份密文34的真实性、可靠性和准确性，并且还可防止用户客户端300的用户随意上传身份密文，避免恶意扰乱身份区块链系统100的行为出现，有利于提高身份区块链系统100的运行可靠性。

可以理解的是，发明人还发现：一些身份密文由第三方中心化平台上传到区块链系统中，此种方式存在的问题是：第三方中心化平台可能出现篡改、删除等行为，导致身份密文也许没有上传到区块链系统，也许上传的身份密文是假的。然而，权威机构确认原始身份信息无误后，是通过权威服务器500将权威签名信息传回给用户客户端300，由用户客户端300将身份密文和权威签名信息上传到身份区块链系统100中，亦即，用户的身份密文由自己创建，且用户的身份密文的释放完全由自己掌控，由自己决定是否需要上传到身份区块链系统100，如此可防止由传统第三方中心化平台创建的身份密文因第三方终止服务等等各种原因而丢失身份信息，其次，还可防止因非经用户可控的原因被非法盗用其身份，建立本不属于自己的信用历史。

验证客户端200也可在区块链网络400上创建验证私钥和验证公钥，验证私钥和验证公钥进行关联。验证客户端200向用户客户端300发送验证索取请求，用户客户端300响应验证索取请求，向验证客户端200发送原始身份信息、区块地址及身份密文。验证客户端200根据用户公钥，解密身份密文，以获得身份解密信息。接着，验证客户端200判断身份解密信息是否匹配原始身份信息，若身份解密信息匹配原始身份信息，则根据单向加密算法对身份密文进行单向加密处理，得到待验证身份信息，根据区块地址，查询区块链上数据，以获得身份存证信息，根据身份存证信息及待验证身份信息，生成验证信息。

在一些实施例中，当区块包括身份存在信息和权威签名信息时，验证客户端200根据权威公钥，验证所述权威签名信息是否合法，若合法，则根据身份存证信息及待验证身份信息，生成验证信息。若不合法，则停止身份存证信息及待验证身份信息之间的比对操作。

区块链网络400获取用户客户端300发送的身份上链请求，其中，身份上链请求携带有身份存证信息，根据身份上链请求，将身份存证信息上链至区块中，获取验证客户端200发送的区块查询请求，其中，区块查询请求携带有区块地址，发送区块地址指向的区块的身份存证信息至验证客户端200。

作为本发明实施例另一方面，本发明实施例提供一种零知识身份验证方法，应用验证客户端。请参阅图4，零知识身份验证方法包括：

S41：获取原始身份信息、区块地址及身份密文，身份密文由用户私钥对原始身份信息进行加密得到，用户私钥关联用户公钥。

本步骤中，原始身份信息用于表征用户的原始身份，原始身份信息包括可变原始身份信息或不可变原始身份信息，可变原始身份信息为原始身份信息的内容是可变的，不可变原始身份信息为原始身份信息的内容是固定的。在一些实施例中，不可变原始身份信息包括身份证号码、出生年月日、出生性别、出生国、出生地、DNA指纹、人种、族裔、肤色、发色、瞳孔颜色等信息。可变原始身份信息包括出国籍、护照号、居住地、居住地址、户籍、工作单位、社保号、婚姻状态、犯罪记录、破产记录等信息。

区块地址为用于记录身份存证信息的区块的地址，身份存证信息由对身份密文进行降维处理得到，身份密文由采用用户私钥对原始身份信息进行加密得到。

S42：根据用户公钥，解密身份密文，以获得身份解密信息。

本步骤中，身份解密信息为对身份密文进行解密后的信息。由于身份密文由用户私钥对原始身份信息进行加密得到，因此，本实施例使用用户公钥对身份密文进行解密，可得到原始身份信息。

S43：若身份解密信息匹配原始身份信息，则根据单向加密算法对身份密文进行单向加密处理，得到待验证身份信息。

本步骤中，单向加密算法为用于对身份密文进行单向加密的算法，其中，经过单向加密算法处理得到的数据不可逆的，单向加密算法可为哈希算法等算法。待验证身份信息为对身份密文进行单向加密处理后的信息。

当经过解密得到的身份解密信息匹配用户客户端发送的原始身份信息，则说明发送主体确是合法的用户客户端。当经过解密得到的身份解密信息不匹配用户客户端发送的原始身份信息，则说明发送主体并不是合法的用户客户端，亦即发送原始身份信息、区块地址及身份密文的主体是非法的。本实施例先采用用户公钥解密身份密文，当身份解密信息匹配原始身份信息时，证明发送方为身份持有者后，方可进行下一步验证操作，从而保证身份验证的安全性和可靠性。

S44：根据区块地址，查询区块链上数据，以获得身份存证信息。

本步骤中，区块链上数据为已打包上链至区块的区块数据，身份存证信息为共识通过且经过单向加密处理后的身份密文，其中，经过单向加密处理后的身份密文为数据不可逆的密文。

在一些实施例中，区块地址可为区块高度或交易哈希。验证客户端根据区块地址，搜索区块账本，以搜索出与区块地址对应的区块，并从区块的区块链上数据提取出身份存证信息。

S45：根据身份存证信息及待验证身份信息，生成验证信息。

本步骤中，验证信息包括验证成功信息和验证失败信息，验证客户端判断身份存证信息是否匹配待验证身份信息，若匹配，则生成验证成功信息，若不匹配，则生成验证失败信息。

本实施例无需将原始身份信息上传到区块链上以充当身份存证信息，可将身份存证信息及待验证身份信息进行比对，既可实现零知识验证身份信息的目的，又避免将原始身份信息上传到网络后被一些网络服务商恶意收集，从而能够可靠保护用户的身份隐私。

另外，本实施例无需第三方平台推送身份存证信息，可通过查询区块链上数据，便可获得身份存证信息，由于区块链上数据属于去中心化数据，能够保证身份存证信息的不可篡改性，以便后续能够可靠地根据身份存证信息及待验证身份信息进行验证。

在一些实施例中，区块地址指向的区块包括身份存证信息及权威签名信息，在解密身份密文前，请参阅图5，零知识身份验证方法还包括：

S46：获取权威公钥。

S47：根据权威公钥，验证权威签名信息是否合法。

S48：若合法，则进入根据用户公钥，解密身份密文的步骤。

S49：若不合法，则停止身份验证操作。

在S46中，权威服务器可在区块链网络上创建权威私钥和权威公钥，权威私钥和权威公钥进行关联，验证客户端访问身份区块链系统，以获得权威公钥。

在S47中，验证客户端使用权威公钥验证权威签名信息是否合法。

在S48中，若权威签名信息为合法的，则说明身份密文是经由权威机构背书的，身份密文的可信度更高，因此，验证客户端可以根据用户公钥，解密身份密文。

在S49中，若权威签名信息为非法的，则说明权威签名信息是非法捏造的，亦即也说明用户客户端发送的原始身份信息、区块地址及身份密文的可信度很低，因此，验证客户端停止身份验证操作，其中，身份验证操作为验证身份存证信息及待验证身份信息是否匹配的操作。

本实施例通过权威机构对身份信息进行背书，对于上链时刻的原始数据来源的可靠性得到了进一步的提升。

在一些实施例中，得到待验证身份信息后，方法还包括：根据降维算法，对待验证身份信息进行按位降维处理，得到降维后的待验证身份信息。对应地，则S45包括：根据身份存证信息及降维后的待验证身份信息，生成验证信息。其中，降维算法为用于降低身份存证信息和待验证信息的数据量的算法，本实施例通过对待验证身份信息进行降维处理，有利于降低待验证身份信息的数据量大小，提高身份存储容量及身份验证效率，以便能够快速地进行比对和验证。

在一些实施例中，根据降维算法对待验证身份信息进行按位降维处理包括：依序判断待验证身份信息中每个位数上的数值是否在降维数字集中，若是，则将位数的数值置换为第一进制数值，若否，则将位数的数值置换为第二进制数值，其中，第一进制数值与第二进制数值的进制数相同，且第一进制数值的进制数小于位数上数值的进制数。

在一些实施例中，降维数字集中每个数值的进制数为十进制或八进制等进制。

在一些实施例中，待验证身份信息的位数上的数值的进制数为16进制，降维数字集包括0、1及在自然数16以内的质数，亦即降维数字集={0,1,2,3,5,7,11,13}。第一进制数值和第二进制数值的进制数为2进制，其中，第一进制数值为1，第二进制数值为0。

举例而言，待验证身份信息为AC0189D67F38EB39，其中，在待验证身份信息中，每个位数上的数值的进制数都是16进制数，比如A/C/0/1都是16进制数，其中，A的十进制数值为10，B的十进制数值为11，C的十进制数值为12，D的十进制数值为13，E的十进制数值为14，F的十进制数值为15。由于A的十进制数值不在降维数字集中，因此，将数值A置换为第二进制数值0。同理由于C的十进制数值不在降维数字集中，因此，将数值C置换为第二进制数值0。由于数值0或1都在降维数字集中，因此，将数值0或数值1都置换为第一进制数值1，以此类推，对待验证身份信息进行按位降维处理后，得到降维后的待验证身份信息为：00110010 1010 0110。

由于降维后的待验证身份信息和身份存证信息中每个位数上的数值都为二进制数，待验证身份信息和身份存证信息中每个位数上的数值都为十六进制数，因此，降维后的待验证身份信息相对待验证身份信息减少了位数数量，从而缩小了数据量。

由于未经过降维处理的身份存证信息中数值的0/1/2/3/5/7/11/13都可被转换成二进制数“1”，未经过降维处理的身份存证信息中数值的4/6/8/9/10/12/14/15都可被转换成二进制数“0”，亦即，二进制数“1”或“0”可与未经过降维处理的身份存证信息中的多个数值，亦即一对多，人们不容易从经过降维处理后的身份存证信息逆推出未经过降维处理的身份存证信息，因此，即使将身份存证信息上传到区块链上，如此也不会泄漏用户的原始身份信息，有利于保护用户的隐私。

降维数字集={0,1,2,3,5,7,11,13}，降维数字集中的数字数量为8个，如前所述，落入降维数字集的数值被置换为1，不落入降维数字集的数值被置换为0。对于未经过降维处理的待验证身份信息或身份存证信息而言，其进制数为16进制数，并且16进制数的数字数量为16个，分别为0/1/2/3/4/5/6/7/8/9/10/11/12/13/14/15。按照上述所阐述的降维数字集，此16个数值中有8个数值可被转换为0，另外8个数值可被转换为1，因此，本实施例能够采用同等概率或同等机会，将未经过降维处理的待验证身份信息或身份存证信息中每个数值按照同等概率或同等机会转换为0或1，如此也会增加逆推的难度，从而提高经过降维处理的待验证身份信息或身份存证信息的安全性。

可以理解的是，第一进制数值的进制数可为四进制、七进制、八进制、十二进制。

在一些实施例中，本实施例可在第n次按位降维处理的待验证身份信息或身份存证信息上，再次进行第n+1次按位降维处理，得到第n+1次按位降维处理的待验证身份信息或身份存证信息。本实施例通过对待验证身份信息或身份存证信息进行若干次迭代式地按位降维处理，能够深度降低待验证身份信息或身份存证信息的数据量大小，有利于提高验证效率和节省存储空间。

在一些实施例中，在进行第n+1次按位降维处理前，本实施例判断第n次按位降维处理的待验证身份信息或身份存证信息的数据量大小是否小于预设数据量阈值，若小于，则选择第n次按位降维处理的待验证身份信息或身份存证信息作为最终信息，亦即，选择第n次按位降维处理的待验证身份信息及身份存证信息进行比对，以生成验证信息，或者，选择第n次按位降维处理的身份存证信息上链至区块中。若大于，则对第n次按位降维处理的待验证身份信息或身份存证信息进行第n+1次按位降维处理，得到第n+1次按位降维处理的待验证身份信息或身份存证信息，如此有利于提高数据降维的可靠性。

在一些实施例中，预设数据量阈值通常为未经过按位降维处理的待验证身份信息或身份存证信息的0.1倍至0.8倍，比如，预设数据量阈值通常为未经过按位降维处理的待验证身份信息或身份存证信息的0.5倍。

作为本发明实施例的另一方面，本发明实施例提供一种零知识身份验证方法，应用于用户客户端。请参阅图6，零知识身份验证方法包括：

S61：创建区块链上账户，区块链上账户包括用户私钥和用户公钥。

S62：根据用户私钥，对原始身份信息进行加密，得到身份密文。

S63：根据单向加密算法，对身份密文进行单向加密处理，得到身份存证信息。

S64：将身份存证信息发送至区块链网络，以使区块链网络将身份存证信息上链至区块中。

本实施例可排除第三方对用户身份信息的留存和控制，通过查询区块链上数据，便可获得身份存证信息，保证身份存证信息的不可篡改，有利于保护用户隐私和更可靠地进行身份验证。其次，本实施例先采用用户公钥解密身份密文，当身份解密信息匹配原始身份信息时，证明发送方为身份持有者后，方可进行下一步验证操作，从而保证身份验证的安全性和可靠性。再次，本实施例无需将原始身份信息上传到区块链上以充当身份存证信息，可将身份存证信息及待验证身份信息进行比对，既可实现零知识验证身份信息的目的，又避免将原始身份信息上传到网络后被一些网络服务商恶意收集，从而能够可靠保护用户的身份隐私。

在一些实施例中，在将身份存证信息发送至区块链网络前，方法还包括：发送身份存证信息至权威服务器，以使权威服务器返回权威签名信息。相应地，则将身份存证信息发送至区块链网络，以使区块链网络将身份存证信息上链至区块中包括：将身份存证信息及权威签名信息发送至区块链网络，以使区块链网络将身份存证信息及权威签名信息上链至区块中。

在一些实施例中，将身份存证信息发送至区块链网络前，方法还包括：根据降维算法，对身份存证信息进行按位降维处理，得到降维后的身份存证信息。对应地，则将身份存证信息发送至区块链网络，以使区块链网络将身份存证信息上链至区块中包括：将降维后的身份存证信息发送至区块链网络，以使区块链网络将降维后的身份存证信息上链至区块中。

在一些实施例中，根据降维算法对身份存证信息进行按位降维处理包括：依序判断身份存证信息中每个位数上的数值是否在降维数字集中，若是，则将位数的数值置换为第一进制数值，若否，则将位数的数值置换为第二进制数值，其中，第一进制数值与第二进制数值的进制数相同，且第一进制数值的进制数小于位数上数值的进制数。

需要说明的是，在上述各个实施方式中，上述各步骤之间并不必然存在一定的先后顺序，本领域普通技术人员，根据本发明实施方式的描述可以理解，不同实施方式中，上述各步骤可以有不同的执行顺序，亦即，可以并行执行，亦可以交换执行等等。

请参阅图7，图7为本发明实施例提供的一种电子设备的电路结构示意图，其中，电子设备可以上述实施例所阐述的验证客户端或用户客户端。如图7所示，电子设备700包括一个或多个处理器71以及存储器72。其中，图7中以一个处理器71为例。

处理器71和存储器72可以通过总线或者其他方式连接，图7中以通过总线连接为例。

存储器72作为一种非易失性计算机可读存储介质，可用于存储非易失性软件程序、非易失性计算机可执行程序以及模块，如本发明实施例中的零知识身份验证方法对应的程序指令/模块。处理器71通过运行存储在存储器72中的非易失性软件程序、指令以及模块，从而执行上述方法实施例提供的零知识身份验证方法的功能。

存储器72可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他非易失性固态存储器件。在一些实施例中，存储器72可选包括相对于处理器71远程设置的存储器，这些远程存储器可以通过网络连接至处理器71。上述网络的实例包括互联网、企业内部网、局域网、移动通信网及其组合。

所述程序指令/模块存储在所述存储器72中，当被所述一个或者多个处理器71执行时，执行上述任意方法实施例中的零知识身份验证方法。

本发明实施例还提供了一种存储介质，所述存储介质存储有计算机可执行指令，该计算机可执行指令被一个或多个处理器执行，例如图7中的一个处理器71，可使得上述一个或多个处理器可执行上述任意方法实施例中的零知识身份验证方法。

本发明实施例还提供了一种计算机程序产品，所述计算机程序产品包括存储在非易失性计算机可读存储介质上的计算机程序，所述计算机程序包括程序指令，当所述程序指令被电子设备执行时，使所述电子设备执行任一项所述的零知识身份验证方法。

以上所描述的装置或设备实施例仅仅是示意性的，其中所述作为分离部件说明的单元模块可以是或者也可以不是物理上分开的，作为模块单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络模块单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上述技术方案本质上或者说对相关技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备（可以是个人计算机，服务器，或者网络设备等）执行各个实施例或者实施例的某些部分所述的方法。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；在本发明的思路下，以上实施例或者不同实施例中的技术特征之间也可以进行组合，步骤可以以任意顺序实现，并存在如上所述的本发明的不同方面的许多其它变化，为了简明，它们没有在细节中提供；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims (12)

1.一种零知识身份验证方法，应用于验证客户端，其特征在于，包括：

获取原始身份信息、区块地址及身份密文，所述身份密文由用户私钥对所述原始身份信息进行加密得到，所述用户私钥关联用户公钥；

根据所述用户公钥，解密所述身份密文，以获得身份解密信息；

若所述身份解密信息匹配所述原始身份信息，则根据单向加密算法对所述身份密文进行单向加密处理，得到待验证身份信息；

根据所述区块地址，查询区块链上数据，以获得身份存证信息；

根据所述身份存证信息及所述待验证身份信息，生成验证信息。

2.根据权利要求1所述的方法，其特征在于，所述区块地址指向的区块包括身份存证信息及权威签名信息，在解密所述身份密文前，所述方法还包括：

获取权威公钥；

根据所述权威公钥，验证所述权威签名信息是否合法；

若合法，则进入根据所述用户公钥，解密所述身份密文的步骤；

若不合法，则停止身份验证操作。

3.根据权利要求1所述的方法，其特征在于，得到待验证身份信息后，还包括：根据降维算法，对所述待验证身份信息进行按位降维处理，得到降维后的待验证身份信息；

对应地，则所述根据所述身份存证信息及所述待验证身份信息，生成验证信息包括：根据所述身份存证信息及所述降维后的待验证身份信息，生成验证信息。

4.根据权利要求3所述的方法，其特征在于，所述根据降维算法，对所述待验证身份信息进行按位降维处理包括：

依序判断所述待验证身份信息中每个位数上的数值是否在降维数字集中；

若是，则将所述位数的数值置换为第一进制数值；

若否，则将所述位数的数值置换为第二进制数值，其中，所述第一进制数值与所述第二进制数值的进制数相同，且所述第一进制数值的进制数小于所述位数上数值的进制数。

5.根据权利要求4所述的方法，其特征在于，

所述位数上的数值的进制数为16进制；

所述降维数字集包括0、1及在自然数16以内的质数；

所述第一进制数值和所述第二进制数值的进制数为2进制，其中，所述第一进制数值为1，所述第二进制数值为0。

6.一种零知识身份验证方法，应用于用户客户端，其特征在于，包括：

创建区块链上账户，所述区块链上账户包括用户私钥和用户公钥；

根据所述用户私钥，对原始身份信息进行加密，得到身份密文；

根据单向加密算法，对所述身份密文进行单向加密处理，得到身份存证信息；

将所述身份存证信息发送至区块链网络，以使所述区块链网络将身份存证信息上链至区块中。

7.根据权利要求6所述的方法，其特征在于，

在将所述身份存证信息发送至区块链网络前，还包括：发送所述身份存证信息至权威服务器，以使所述权威服务器返回权威签名信息；

相应地，则所述将所述身份存证信息发送至区块链网络，以使所述区块链网络将身份存证信息上链至区块中包括：

将所述身份存证信息及所述权威签名信息发送至区块链网络，以使所述区块链网络将身份存证信息及所述权威签名信息上链至区块中。

8.根据权利要求6所述的方法，其特征在于，

将所述身份存证信息发送至所述区块链网络前，还包括：根据降维算法，对所述身份存证信息进行按位降维处理，得到降维后的身份存证信息；

对应地，则将所述身份存证信息发送至区块链网络，以使所述区块链网络将身份存证信息上链至区块中包括：

将所述降维后的身份存证信息发送至区块链网络，以使所述区块链网络将降维后的身份存证信息上链至区块中。

9.根据权利要求8所述的方法，其特征在于，所述根据降维算法，对所述身份存证信息进行按位降维处理包括：

依序判断所述身份存证信息中每个位数上的数值是否在降维数字集中；

若是，则将所述位数的数值置换为第一进制数值；

若否，则将所述位数的数值置换为第二进制数值，其中，所述第一进制数值与所述第二进制数值的进制数相同，且所述第一进制数值的进制数小于所述位数上数值的进制数。

10.一种验证客户端，其特征在于，包括：

至少一个处理器；以及，

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行如权利要求1至5任一项所述的零知识身份验证方法。

11.一种用户客户端，其特征在于，包括：

至少一个处理器；以及，

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行如权利要求6至9任一项所述的零知识身份验证方法。

12.一种身份区块链系统，其特征在于，包括：

如权利要求10所述的验证客户端；

如权利要求11所述的用户客户端；及

区块链网络，所述区块链网络分别与所述验证客户端和所述用户客户端进行通信连接。

Images