CN115270141A - 基于区块链的密钥处理方法、装置、设备以及存储介质 - Google Patents

Abstract

本发明公开了一种基于区块链的密钥处理方法、装置、设备以及存储介质，属于计算机领域。基于区块链的密钥处理方法包括以下步骤：在用户端节点向服务器节点发送数据访问请求之后，接收区块链中广播的用户属性通知；其中，用户属性通知为用户端节点根据私钥获得；私钥为用户端节点注册至区块链时，区块链的密钥生成节点根据主私钥与用户端节点的属性信息生成；调用智能合约，执行智能合约声明的数据访问规范逻辑，根据用户属性通知和数据访问规范逻辑，判断属性信息是否符合数据访问规范；若属性信息不符合数据访问规范，向区块链发送废止私钥的通知，以使区块链废止私钥。本发明可监督密钥生成中心生成密钥的行为，并处理生成的错误密钥。

Description

基于区块链的密钥处理方法、装置、设备以及存储介质

技术领域

本发明涉及区块链技术领域，尤其涉及基于区块链的密钥处理方法、装置、设备以及存储介质。

背景技术

在云计算环境中，最广泛使用的访问控制方式是支持可验证外包解密的公钥私钥加密方案，它能够在加密的同时实现非交互的访问控制，并将大量复杂的解密运算外包给第三方服务器，即密钥生成中心，用户只需要进行简单的运算即可恢复出明文。密钥生成中心为每一个注册至云计算环境中的用户生成一个私钥，用户在数据访问中通过该私钥解密获得的密文数据。

但是相关技术中，系统难以监督到密钥生成中心生成错误密钥的行为。

发明内容

本发明的主要目的在于提供一种基于区块链的密钥处理方法、装置、设备以及存储介质，旨在解决系统难以监督到密钥生成中心生成错误密钥的行为的技术问题。

为实现上述目的，本发明提供一种基于区块链的密钥处理方法，用于区块链中的监督节点，方法包括以下步骤：

在用户端节点向服务器节点发送数据访问请求之后，接收区块链中广播的用户属性通知；其中，用户属性通知为用户端节点根据私钥获得；私钥为用户端节点注册至区块链时，区块链的密钥生成节点根据主私钥与用户端节点的属性信息生成；

调用智能合约，执行智能合约声明的数据访问规范逻辑，根据用户属性通知和数据访问规范逻辑，判断属性信息是否符合数据访问规范；

若属性信息不符合数据访问规范，向区块链发送废止私钥的通知，以使区块链废止私钥。

可选的，调用智能合约，执行智能合约声明的数据访问规范逻辑，根据用户属性通知和数据访问规范逻辑，判断属性信息是否符合数据访问规范的步骤包括：

在用户端节点通过待访问数据的访问验证之后，根据用户属性通知与待访问数据的可访问用户属性，确定用户端节点具有的属性信息；

调用智能合约，执行智能合约声明的数据访问规范逻辑，判断属性信息是否符合数据访问规范的步骤。

可选的，根据用户属性通知与待访问数据的可访问用户属性，确定用户端节点具有的属性信息的步骤，包括：

根据主公钥与待访问数据的访问策略加密用户属性通知，获得加密结果；其中，访问策略限定出可访问用户属性；

若加密结果与待访问数据的验证信息一致，根据访问策略，确定用户端节点具有的属性信息；其中，验证信息为服务器节点响应于访问数据请求，从待访问数据具有的至少一个原始验证信息中选择并发送至用户端节点的；原始验证信息是由待访问数据的数据上传节点根据待访问数据的访问策略、主公钥对随机数据加密后生成的密文数据。

第二方面，本发明还提供了一种基于区块链的密钥处理方法，用于用户端节点，方法包括以下步骤：

在用户端节点向服务器节点发送数据访问请求之后，根据用户端节点的私钥，生成用户属性通知；私钥为用户端节点注册至区块链时，区块链的密钥生成节点根据数据访问规范、主私钥与用户端节点的属性信息生成；

向区块链广播用户属性通知，以使区块链中的监督节点接收到用户属性通知后，调用智能合约，执行智能合约声明的数据访问规范逻辑，根据用户属性通知和数据访问规范逻辑，判断属性信息是否符合数据访问规范；且若属性信息不符合区块链访问标准时，向区块链发送废止私钥的通知；

在接收到通知后，废止私钥。

可选的，在用户端节点向服务器节点发送数据访问请求之后，根据用户端节点的私钥，生成用户属性通知的步骤之前，方法还包括：

在注册至区块链时，接收密钥生成节点根据主私钥和用户端节点的属性信息生成的私钥；其中，属性信息由密钥生成节点为用户端节点生成。

可选的，在用户端节点向服务器节点发送数据访问请求之后，根据用户端节点的私钥，生成用户属性通知的步骤之前，方法还包括：

向服务器节点发送数据访问请求；

接收服务器节点发送回的验证信息；其中，验证信息为服务器节点从待访问数据具有的至少一个原始验证信息中选择得到；原始验证信息是由待访问数据的数据上传节点根据待访问数据的访问策略、主公钥对随机数据加密后生成的密文数据；

根据用户端节点的私钥，生成用户属性通知的步骤，包括：

根据私钥对验证信息进行解密，获得用户属性通知。

第三方面，本发明还提供了一种基于区块链的密码验证装置，使用于区块链的监督节点，包括：

通知接收模块，用于在用户端节点向服务器节点发送数据访问请求之后，接收区块链中广播的用户属性通知；其中，用户属性通知为用户端节点根据私钥获得；私钥为用户端节点注册至区块链时，区块链的密钥生成节点根据主私钥与用户端节点的属性信息生成；

规范校验模块，用于调用智能合约，执行智能合约声明的数据访问规范逻辑，根据用户属性通知和数据访问规范逻辑，判断属性信息是否符合数据访问规范；

通知广播模块，用于若属性信息不符合区块链访问标准，向区块链发送废止私钥的通知。

第四方面，本发明还提供了一种基于区块链的密钥处理装置，使用于区块链的用户端节点，包括：

通知生成模块，用于在用户端节点向服务器节点发送数据访问请求之后，根据用户端节点的私钥，生成用户属性通知；私钥为用户端节点注册至区块链时，区块链的密钥生成节点根据用户端节点的属性信息生成；

通知广播模块，用于向区块链广播用户属性通知，以使区块链中的监督节点接收到用户属性通知，并调用智能合约，执行智能合约声明的数据访问规范逻辑，根据用户属性通知和数据访问规范逻辑，判断属性信息是否符合数据访问规范；且若属性信息不符合区块链访问标准时，向区块链发送废止私钥的通知；

私钥废止模块，用于在接收到通知后，废止私钥。

第五方面，本发明还提供了一种基于区块链的密码处理设备，包括：存储器、处理器及存储在存储器上并可在处理器上运行的基于区块链的密钥处理程序，其中，处理器执行基于区块链的密钥处理程序时实现上述的方法。

第六方面，本发明还提供了一种计算机可读存储介质，计算机可读存储介质存储有基于区块链的密钥处理程序，其中，处理器执行基于区块链的密钥处理程序时实现上述的方法。

本发明实施例提出的一种基于区块链的密钥处理方法，通过获得用户端节点生成的用户属性通知，并调用智能合约执行智能合约声明的数据访问规范逻辑，根据用户属性通知中关联的属性信息，判断属性信息是否符合数据访问规范；并在属性信息不符合区块链访问标准时，向区块链发送废止私钥的通知，从而监督密钥生成中心生成密钥的行为，及时处理密钥生成中心生成的错误密钥。

附图说明

图1为本发明基于区块链的密钥处理方法涉及到的区块链的各个节点的示意图；

图2为本发明基于区块链的密钥处理设备的结构示意图；

图3为本发明基于区块链的密钥处理方法第一实施例的流程示意图；

图4为本发明基于区块链的密钥处理方法第一实施例的步骤S102的细化流程示意图；

图5为本发明基于区块链的密钥处理方法第一实施例的智能合约的示意图；

图6为本发明基于区块链的密钥处理方法第二实施例的流程示意图；

图7为本发明基于区块链的密钥处理装置第一实施例的功能模块示意图；

图8为本发明基于区块链的密钥处理装置第二实施例的功能模块示意图。

本发明目的的实现、功能特点及优点将结合实施例，参照附图做进一步说明。

具体实施方式

应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

在云计算环境中，最广泛使用的访问控制方式是支持可验证外包解密的属性加密方案。具体而言，密钥生成中心调用系统初始化算法生成主公钥和主私钥，之后它公开主公钥并将主私钥保密。在用户端注册进入到云环境中时，密钥生成中心根据数据访问规范为该用户端生成相应的用户属性，然后调用密钥生成算法，将主私钥和用户属性作为输入，生成对应的私钥和转换密钥。从而私钥中包含了用户属性。转换密钥可以与服务器共享。

数据上传节点调用加密算法，通过主公钥以及访问策略将明文数据加密为密文数据，并且为数据使用者，也即是用户端生成验证密钥。其中，访问策略确定了具有哪种用户属性的用户端可以正确解密该密文数据。数据上传节点将密文数据保存在服务器中。当用户端发送访问请求想要下载该密文数据时，用户端还需要通过验证，以证明其可以打开该密文数据。如通过零知识证明的方式来证明其具有该资质。具体而言，服务器在接收到该访问请求时，发送一验证密文给用户端，该验证密文为数据上传节点对一随机消息使用相同的加密方式得到。用户端使用私钥解密该验证密文，并将该解密密文发送至服务器或者广播至区块链中，服务器接收到该解密密文后，重新使用主公钥和访问策略对其加密，若加密结果与验证密文一致，表示用户端通过了零知识证明，其具有相应的私钥。因此，服务器可调用转换算法，通过转换密钥将密文数据解密为部分解密密文数据，并将部分解密密文数据发送给用户端。而当用户端收到服务器发来的部分解密密文数据后，用户端调用解密算法，使用私钥和验证密钥对部分解密密文数据进行解密，从而得到数据上传节点的明文数据。

但是，密钥生成中心在受到网络攻击或者内部数据运行错误时，难免出现为用户端生成不符合数据访问规范的错误私钥的行为。为了避免错误私钥的存在影响云环境内的数据交互，有必要查找出错误密钥，并对错误密钥进行处理。

为此，本发明实施例提供了一种基于区块链的密钥处理方法，该密钥处理方法通过获得用户端节点生成的用户属性通知，并调用智能合约执行智能合约声明的数据访问规范逻辑，判断属性信息是否符合数据访问规范；并在属性信息不符合区块链访问标准时，向区块链发送废止私钥的通知，从而监督密钥生成中心生成密钥的行为，及时处理错误密钥。

下面结合一些具体实施例进一步阐述本发明实施例的发明构思。

本发明实施例提供了一种基于区块链的密钥处理方法第一实施例。参阅图3，图3为本发明基于区块链的密钥处理方法第一实施例的流程示意图。

参阅图1，图1为本发明实施例中涉及到区块链的节点示意图。本实施例中，区块链包括数据上传节点、服务器节点、用户端节点以及密钥生成中心节点。其中，密钥生成中心可为分布式密钥生成中心，通过多个密钥生成中心达成共识的方式生成密钥。数据上传节点生成一个数据访问规范，并将其记录在区块链的权威合约中，数据访问规范规定了区块链系统中的用户端节点应当或不应当具有什么样的用户属性。在区块链系统中数据访问规范被实例化为智能合约。该基于区块链的密钥处理方法使用于区块链中的监督节点。值得一提的是，数据上传节点、服务器节点以及用户端节点中的任一者均可作为监督节点使用。

本实施例中，基于区块链的密钥处理方法使用于区块链中的监督节点。基于区块链的密钥处理方法包括以下步骤：

步骤S101、在用户端节点向服务器节点发送数据访问请求之后，接收区块链中广播的用户属性通知。

其中，用户属性通知为用户端节点根据私钥获得。而私钥为用户端节点注册至区块链时，区块链的密钥生成节点根据主私钥与用户端节点的属性信息生成。区块链中的数据访问规范限定了用户端节点应当或不应当具有什么样的用户属性。从而在理想情况下，密钥生成中心为用户端节点分配或者生成的属性信息应当是符合该数据访问规范的。而用户端节点具有的私钥也隐含有该属性信息。相应的，用户属性通知也具有该属性信息。用户属性通知即为用户端节点向区块链广播其具有的属性信息。

作为本实施例的一种选择，用户端节点和服务器节点之间通过零知识证明其具有相应的属性信息。此时，用户端节点发送数据访问请求，服务器节点通过零知识证明验证该用户端节点是否具有相应的资质来解密待访问数据。因此，服务器节点向用户端节点发送验证密文。用户端节点通过私钥解密该验证密文，从而获得用户属性通知，并将该用户属性通知广播至区块链，以使得监督节点可以接收到该用户属性通知。此时，用户属性通知为零知识证明的过程文件。且容易理解的，用户属性通知中的属性信息经过密钥生成中心加密，并不能从用户属性通知中直接得到属性信息。

作为本实施例的另一种选择，用户属性通知可为用户端节点解密该私钥后获的属性信息，此时，用户属性通知为明文，监督节点可直接获得用户端节点的属性信息。

步骤S102、调用智能合约，执行智能合约声明的数据访问规范逻辑，根据用户属性通知和数据访问规范逻辑，判断属性信息是否符合数据访问规范。

监督节点中部署有智能合约，从而监督节点可基于智能合约声明的数据访问规范逻辑，将用户属性通知作为智能合约的输入，判断用户属性通知中包含的属性信息是否符合数据访问规范。智能合约输出相应的判断结果，“正确”或者“错误”。

在产生和维护数据访问规范时，因为一些意想不到的故障如硬件错误，网络堵塞或中断和恶意攻击，区块链中的一些数据节点可能出现错误，不发送任何消息或者发送不同的和不正确的信息给不同的节点。因此，本实施例中通过去中心化的智能合约地共同维护一个数据访问规范，以确保维护数据访问规范的可靠性。

作为本实施例的一种选择，在用户属性通知为零知识证明的过程文件时，步骤S102可包括以下步骤：

步骤A10、在用户端节点通过待访问数据的访问验证之后，根据用户属性通知与待访问数据的可访问用户属性，确定用户端节点具有的属性信息。

待访问数据与数据访问请求相对应。待访问数据的可访问用户属性表示具有该可访问用户属性的用户端节点方可下载该待访问数据。因此，在用户端节点通过待访问数据的访问验证之后，表示用户端节点具有该待访问数据的可访问用户属性。从而监督节点可基于用户端节点通过待访问数据的访问验证这一客观事实，反向推导确定用户端节点具有的属性信息。

如数据上传节点上传待访问数据B时，通过访问策略A加密该待访问数据B。且该访问策略A限定了具有属性P和Q的用户端节点方可访问该待访问数据B。因此，理论上，如果用户端节点u通过了待访问数据B的验证，即可根据验证结果反向推导得出用户端节点u具有的属性包括P和Q。

为了提高验证的准确率，避免待访问数据的验证出错后影响密钥的监督，可在用户端节点通过待访问数据的访问验证，再次验证用户端节点。如，在示出的一具体实施例中，步骤A10包括以下步骤：

步骤A11、根据主公钥与待访问数据的访问策略加密用户属性通知，获得加密结果。

步骤A12、若加密结果与待访问数据的验证信息一致，根据访问策略，确定用户端节点具有的属性信息。

其中，访问策略限定出可访问用户属性。在数据上传节点上传待访问数据时，通过主公钥以及访问策略将明文数据加密为密文数据。访问策略确定了具有哪种用户属性的用户端可以正确解密该密文数据，也即是可访问用户属性。且同时数据上传节点在上传该密文数据时，还上传有原始验证信息。原始验证信息是由待访问数据的数据上传节点根据待访问数据的访问策略、主公钥对随机数据加密后生成的密文数据。验证信息为服务器节点响应于访问数据请求，从待访问数据具有的至少一个原始验证信息中选择并发送至用户端节点的。

如，数据上传节点上传待访问数据B前，需要对明文格式的待访问数据B加密。此时，数据上传节点采用相同的加密算法，通过主公钥以及访问策略A对随机数据m1和m2加密，得到原始验证信息c1和c2。容易理解的，由于原始验证信息c1、c2与待访问数据B采用相同的方式加密，如果用户端节点u可以正确解密原始验证信息c1、c2，则用户端节点u也可以正确解密待访问数据B。在单次数据访问过程中，服务器节点选择原始验证信息c1、c2中的任一者作为验证信息发送至用户端节点u。

因此，在用户端节点采用私钥对验证信息解密得到用户属性通知后，若监督节点根据主公钥与待访问数据的访问策略再次加密用户属性通知，获得的加密结果与服务器节点中存储的验证信息一致，则可表示用户端节点确实通过了待访问数据的访问验证。

如，在一次数据交互过程中，服务器节点接收到用户端节点u发送的数据访问请求后，从数据访问请求对应的待访问数据的原始验证信息c1和c2中选择c1作为验证信息发送至用户端节点u。用户端节点u采用私钥解密c1，得到用户属性通知D。监督节点获得区块链中广播的用户属性通知D后，采用主公钥和访问策略A再次加密用户属性通知D，获得加密结果E。若加密结果E与原始验证信息c1一致，则表示用户端节点u确实通过了待访问数据B的访问验证，从而根据访问策略A中的可访问属性P和Q，确定用户端节点确实具有属性P和Q。容易理解的，若用户端节点不具有可访问属性P和Q，那用户端节点u解密获得的用户属性通知D`不能通过验证，即监督节点采用主公钥和访问策略A再次加密用户属性通知D`的加密结果E`与原始验证信息c1不同。

步骤A20、调用智能合约，执行智能合约声明的数据访问规范逻辑，判断属性信息是否符合数据访问规范的步骤。

该步骤中，用户端节点将用户属性通知作为证据输入智能合约。智能合约根据用户端具有的属性信息判断该用户端节点是否符合数据访问规范。

如，参阅图5，数据访问规范中限定了该区块链中具有属性P和Q的用户端节点不能访问服务器节点中的数据。但是由于用户端节点u通过了待访问数据的访问验证，表示用户端节点u具有属性P和Q。此时，智能合约可判断，用户端节点u具有一个可正确解密使用访问策略A加密密文的私钥，且访问策略A限定有可访问属性属性P和Q，因此用户端节点具有属性P和Q，而数据访问规范声明了用户端节点不能具有属性P和Q。因此，智能合约可输出判断结果“错误”。

步骤S103、若属性信息不符合数据访问规范，向区块链发送废止私钥的通知，以使区块链废止私钥。

智能合约输出的判断结果为“正确”，则监督节点不动作。用户端节点和服务器节点进行正常的数据交互。即服务器节点将部分解密密文数据发送至用户端节点，然后用户端节点使用密钥解密部分解密密文数据，得到明文数据。若智能合约输出的判断结果为“错误”，则表示该密钥不符合数据上传节点的数据访问规范，因此，需要将该密钥废止。从而监督节点向区块链发送废止私钥的通知，以使区块链的各个节点接收到该通知以后废止私钥。

值得一提的，向区块链发送废止私钥的通知的行为也可实例化为智能合约，以使监督节点在满足属性信息不符合数据访问规范的条件时，自动执行废止私钥的行为。此时，监督节点调用第二智能合约，执行第二智能合约声明的私钥废止逻辑，将私钥废止。

为了便于理解，下面示出一具体实施方式：

数据上传节点C生成了数据访问规范，限定了用户端节点不能同时拥有属性P和Q。该数据访问规范实例化成智能合约部署至区块链的各个节点中。同时数据上传节点C上传待访问数据B时，采用主公钥和访问策略A加密明文数据得到密文数据。且数据上传节点C采用相同的加密算法，通过主公钥以及访问策略A对随机数据m1和m2加密，得到原始验证信息c1和c2。访问策略A限定了可访问待访问数据的用户端节点应当具有属性P和Q。理论上，待访问数据B是不能被任一用户端节点访问。而用户端节点u注册至该区块链中时，密钥生成中心遭受到外部网络攻击，生成密钥的行为发生错误，从而为用户端节点u生成了属性P和Q，并在此基础上生成了私钥。服务器节点接收到用户端节点u发送的数据访问请求后，从原始验证信息c1、c2中选择c1作为验证信息发送至用户端节点。用户端节点采用私钥解密c1，得到用户属性通知D。监督节点获得区块链中广播的用户属性通知D后，采用主公钥和访问策略再次加密用户属性通知D，获得加密结果E。加密结果E与原始验证信息c1一致，表示用户端节点u确实通过了待访问数据B的访问验证，从而根据访问策略中的可访问属性P和Q，确定用户端节点u确实具有属性P和Q。监督节点将用户属性通知D作为证据输入智能合约中，并输出判断结果“错误”。从而，监督节点向区块链发送废止私钥的通知，以使区块链的各个节点接收到该通知以后废止私钥。

本实施例中，通过用户端节点发送的用户属性通知，判断用户端节点的属性信息是否符合数据访问规范，从而监督密钥生成中心的行为，并及时处理掉密钥生成中心生成的错误密钥。

且在零知识证明过程中，本实施例利用用户端节点在数据交互过程中生成的用户属性通知，利用零知识证明从用户属性通知中推导得到用户端节点的属性信息，然后通过智能合约判断用户端节点的属性信息是否符合数据访问规范，从而及时判断并处理掉不合法的私钥，以监督密钥生成中心的行为，并及时处理掉密钥生成中心在收到网络攻击、运行错误等意外情况下生成的错误密钥。

在本发明基于区块链的密钥处理方法第一实施例的基础上，提出本发明基于区块链的密钥处理方法第二实施例。参阅图6，图6为本发明基于区块链的密钥处理方法第二实施例的流程示意图。

本实施例中，该方法使用于用户端节点，其中，基于区块链的密钥处理方法包括以下步骤：

步骤S201、在注册至区块链时，接收密钥生成节点根据主私钥和用户端节点的属性信息生成的私钥。

其中，属性信息由密钥生成节点为用户端节点生成。具体而言，密钥生成中心调用系统初始化算法生成主公钥和主私钥，之后它公开主公钥并将主私钥保密。在用户端节点注册进入到区块链中时，密钥生成中心为该用户端节点生成相应的用户属性，然后调用密钥生成算法，将主私钥和属性信息作为输入，生成对应的私钥和转换密钥。用户端节点接收到私钥，即可使用该私钥解密通过从服务器节点获得的主公钥加密的密文数据。

步骤S202、向服务器节点发送数据访问请求。

用户端节点需要下载某一具体数据，如待访问数据B时，向服务器节点发送数据访问请求，该数据访问请求中指明用户端节点将下载待访问数据B。

步骤S203、接收服务器节点发送回的验证信息。

具体而言，在数据上传节点上传待访问数据时，通过主公钥以及访问策略将明文数据加密为密文数据。访问策略确定了具有哪种用户属性的用户端可以正确解密该密文数据，也即是可访问用户属性。且同时数据上传节点在上传该密文数据时，还上传有原始验证信息。原始验证信息是由待访问数据的数据上传节点根据待访问数据的访问策略、主公钥对随机数据加密后生成的密文数据。验证信息为服务器节点响应于访问数据请求，从待访问数据具有的至少一个原始验证信息中选择并发送至用户端节点的。

如，数据上传节点上传待访问数据B前，需要对明文格式的待访问数据B加密。此时，数据上传节点采用相同的加密算法，通过主公钥以及访问策略A对随机数据m1和m2加密，得到原始验证信息c1和c2。容易理解的，由于原始验证信息c1、c2与待访问数据B采用相同的方式加密，如果用户端节点u可以正确解密原始验证信息c1、c2，则用户端节点u也可以正确解密待访问数据B。在单次数据访问过程中，服务器节点选择原始验证信息c1、c2中的任一者作为验证信息发送至用户端节点。

步骤S204、根据用户端节点的私钥，生成用户属性通知。

具体而言，用户端节点在接收到该验证信息之后，根据私钥对验证信息解密，从而获得用户属性通知。

步骤S205、向区块链广播用户属性通知，以使区块链中的监督节点接收到用户属性通知后，调用智能合约，执行智能合约声明的数据访问规范逻辑，根据用户属性通知和数据访问规范逻辑，判断属性信息是否符合数据访问规范；且若属性信息不符合区块链访问标准时，向区块链发送废止私钥的通知。

具体而言，监督节点获得区块链中广播的用户属性通知D后，采用主公钥和访问策略A再次加密用户属性通知D，获得加密结果E。加密结果E与原始验证信息c1一致，表示用户端节点确实通过了待访问数据B的访问验证，从而根据访问策略A中的可访问属性P和Q，确定用户端节点确实具有属性P和Q。监督节点将用户属性通知D作为证据输入智能合约中，并输出判断结果“错误”。从而，监督节点向区块链发送废止私钥的通知。

步骤S206、在接收到通知后，废止私钥。

用户端节点接收到废止私钥的通知后私钥。

本实施例中，通过用户端节点和服务器节点在零知识证明数据交互过程中生成并广播的用户属性通知，并通过区块链中的监督节点判断用户端节点的属性信息是否符合数据访问规范，从而监督密钥生成中心的行为，并及时处理掉密钥生成中心生成的错误密钥。

在本发明基于区块链的密钥处理方法第一实施例和第二实施例的基础上，提出本发明基于区块链的密钥处理方法第三实施例。

本实施例包括以下步骤：

步骤S301、用户端节点在注册至区块链时，密钥生成节点根据主私钥和用户端节点的属性信息生成私钥，并将私钥发送至用户端节点。

其中，属性信息由密钥生成节点为用户端节点生成。具体而言，密钥生成中心调用系统初始化算法生成主公钥和主私钥，之后它公开主公钥并将主私钥保密。在用户端节点注册进入到区块链中时，密钥生成中心为该用户端节点生成相应的用户属性，然后调用密钥生成算法，将主私钥和属性信息作为输入，生成对应的私钥和转换密钥。用户端节点接收到私钥，即可使用该私钥解密通过从服务器节点获得的主公钥加密的密文数据。理想情况下，密钥生成中心为该用户端节点生成相应的用户属性应当符合数据访问规范。但是在意想不到的故障如硬件错误，网络堵塞或中断和恶意攻击等情况下时，密钥生成中心为该用户端节点生成相应的用户属性可能不符合数据访问规范，也即是错误的密钥。

步骤S302、用户端节点向服务器节点发送数据访问请求。

用户端节点需要下载某一具体数据，如待访问数据B时，向服务器节点发送数据访问请求，该数据访问请求中指明用户端节点将下载待访问数据B。

步骤S303、服务器节点在接收到数据访问请求之后，从数据访问请求对应的待访问数据具有的至少一个原始验证信息中选择任一者作为验证信息发送至用户端节点。

具体而言，在数据上传节点上传待访问数据时，通过主公钥以及访问策略将明文数据加密为密文数据。访问策略确定了具有哪种用户属性的用户端可以正确解密该密文数据，也即是可访问用户属性。且同时数据上传节点在上传该密文数据时，还上传有原始验证信息。原始验证信息是由待访问数据的数据上传节点根据待访问数据的访问策略、主公钥对随机数据加密后生成的密文数据。验证信息为服务器节点响应于访问数据请求，从待访问数据具有的至少一个原始验证信息中选择并发送至用户端节点的。

如，数据上传节点上传待访问数据B前，需要对明文格式的待访问数据B加密。此时，数据上传节点采用相同的加密算法，通过主公钥以及访问策略A对随机数据m1和m2加密，得到原始验证信息c1和c2。容易理解的，由于原始验证信息c1、c2与待访问数据B采用相同的方式加密，如果用户端节点可以正确解密原始验证信息c1、c2，则用户端节点也可以正确解密待访问数据B。在单次数据访问过程中，服务器节点选择原始验证信息c1、c2中的任一者作为验证信息发送至用户端节点。

步骤S304、用户端节点接收服务器节点发送回的验证信息，并根据私钥解密验证信息，以获得用户属性通知。

步骤S305、用户端节点向区块链广播用户属性通知。

步骤S306、监督节点接收到用户属性通知后，调用智能合约，执行智能合约声明的数据访问规范逻辑，根据用户属性通知和数据访问规范逻辑，判断属性信息是否符合数据访问规范。

具体而言，监督节点获得区块链中广播的用户属性通知D后，采用主公钥和访问策略A再次加密用户属性通知D，获得加密结果E。加密结果E与原始验证信息c1一致，表示用户端节点确实通过了待访问数据B的访问验证，从而根据访问策略A中的可访问属性P和Q，确定用户端节点确实具有属性P和Q。监督节点将用户属性通知D作为证据输入智能合约中，并输出判断结果“错误”。

步骤S307、若智能合约判断属性信息不符合区块链访问标准，监督节点向区块链发送废止私钥的通知。

值得一提的，向区块链发送废止私钥的通知的行为也可实例化为智能合约，以使监督节点在满足属性信息不符合数据访问规范的条件时，自动执行废止私钥的行为。此时，监督节点调用第二智能合约，执行第二智能合约声明的私钥废止逻辑，将私钥废止。

步骤S308、用户端节点在接收到通知后，废止私钥。密钥生成中心接收到通知后，为用户端节点重新生成私钥。

容易理解的，若智能合约的判断结果为“正确”，则监督节点不动作。用户端节点和服务器节点进行正常的数据交互。即服务器节点将部分解密密文数据发送至用户端节点，然后用户端节点使用密钥解密部分解密密文数据，得到明文数据。

参照图7，本发明提供基于区块链的密钥处理装置第一实施例。该基于区块链的密钥处理装置部署在区块链的监督节点上。且容易理解的，监督节点可以是区块链中的数据上传节点、服务器节点以及用户端节点中的任一者。

本实施例中，基于区块链的密钥处理装置包括：

通知接收模块11，用于在用户端节点向服务器节点发送数据访问请求之后，接收区块链中广播的用户属性通知；其中，用户属性通知为用户端节点根据私钥获得；私钥为用户端节点注册至区块链时，区块链的密钥生成节点根据主私钥与用户端节点的属性信息生成；

规范校验模块12，用于调用智能合约，执行智能合约声明的数据访问规范逻辑，根据用户属性通知和数据访问规范逻辑，判断属性信息是否符合数据访问规范；

通知广播模块13，用于若属性信息不符合数据访问规范，向区块链发送废止私钥的通知，以使区块链废止私钥。

作为本实施例的一种选择，规范校验模块12包括：

属性验证单元121，用于在用户端节点通过待访问数据的访问验证之后，根据用户属性通知与待访问数据的可访问用户属性，确定用户端节点具有的属性信息；

合约调用单元122，用于调用智能合约，执行智能合约声明的数据访问规范逻辑，判断属性信息是否符合数据访问规范。

作为本实施例的一种选择，属性验证单元121还用于根据主公钥与待访问数据的访问策略加密用户属性通知，获得加密结果；其中，访问策略限定出可访问用户属性；若加密结果与待访问数据的验证信息一致，根据访问策略，确定用户端节点具有的属性信息；其中，验证信息为服务器节点响应于访问数据请求，从待访问数据具有的至少一个原始验证信息中选择并发送至用户端节点的；原始验证信息是由待访问数据的数据上传节点根据待访问数据的访问策略、主公钥对随机数据加密后生成的密文数据。

参照图8，本发明提供基于区块链的密钥处理装置第二实施例。该基于区块链的密钥处理装置部署在区块链中的用户端节点上。

本实施例中，基于区块链的密钥处理装置包括：

通知生成模块21，用于在用户端节点向服务器节点发送数据访问请求之后，根据用户端节点的私钥，生成用户属性通知；私钥为用户端节点注册至区块链时，区块链的密钥生成节点根据数据访问规范、主私钥与用户端节点的属性信息生成；

通知广播模块22，用于向区块链广播用户属性通知，以使区块链中的监督节点接收到用户属性通知后，调用智能合约，执行智能合约声明的数据访问规范逻辑，根据用户属性通知和数据访问规范逻辑，判断属性信息是否符合数据访问规范，且若属性信息不符合区块链访问标准时，向区块链发送废止私钥的通知；

私钥废止模块23，用于在接收到通知后，废止私钥。

作为本实施例的一种选择，基于区块链的密钥处理装置还包括：

密钥接收模块24，用于在注册至区块链时，接收密钥生成节点根据主私钥和用户端节点的属性信息生成的私钥；其中，属性信息由密钥生成节点为用户端节点生成。

作为本实施例的一种选择，基于区块链的密钥处理装置还包括：

请求发送模块25，用于向服务器节点发送数据访问请求；

信息接收模块26，用于接收服务器节点发送回的验证信息；其中，验证信息为服务器节点从待访问数据具有的至少一个原始验证信息中选择得到；原始验证信息是由待访问数据的数据上传节点根据待访问数据的访问策略、主公钥对随机数据加密后生成的密文数据。

参照图2，图2为本发明实施例方案涉及的基于区块链的密钥处理方法的推荐设备结构示意图。

该基于区块链的密钥处理设备：至少一个处理器301、存储器302以及存储在存储器上并可在处理器上运行的基于区块链的密钥处理程序，基于区块链的密钥处理程序配置为实现如前的基于区块链的密钥处理方法的步骤。

处理器301可以包括一个或多个处理核心，比如4核心处理器、8核心处理器等。处理器301可以采用DSP(Digital Signal Processing，数字信号处理)、FPGA(Field－Programmable Gate Array，现场可编程门阵列)、PLA(Programmable Logic Array，可编程逻辑阵列)中的至少一种硬件形式来实现。处理器301也可以包括主处理器和协处理器，主处理器是用于对在唤醒状态下的数据进行处理的处理器，也称CPU(CentralProcessingUnit，中央处理器)；协处理器是用于对在待机状态下的数据进行处理的低功耗处理器。在一些实施例中，处理器301可以在集成有GPU(Graphics Processing Unit，图像处理器)，GPU用于负责显示屏所需要显示的内容的渲染和绘制。

存储器302可以包括一个或多个计算机可读存储介质，该计算机可读存储介质可以是非暂态的。存储器302还可包括高速随机存取存储器，以及非易失性存储器，比如一个或多个磁盘存储设备、闪存存储设备。在一些实施例中，存储器302中的非暂态的计算机可读存储介质用于存储至少一个指令，该至少一个指令用于被处理器301所执行以实现本申请中方法实施例提供的信息点有效性识别方法。

基于区块链的密钥处理设备还包括有通信接口303。处理器301、存储器302和通信接口303之间可以通过总线或信号线相连。各个外围设备可以通过总线、信号线或电路板与通信接口303相连。

通信接口303可被用于将I/O(Input/Output，输入/输出)相关的至少一个外围设备连接到处理器301和存储器302。在一些实施例中，处理器301、存储器302和通信接口303被集成在同一芯片或电路板上；在一些其他实施例中，处理器301、存储器302和通信接口303中的任意一个或两个可以在单独的芯片或电路板上实现，本实施例对此不加以限定。

本领域技术人员可以理解，图2中示出的结构并不构成对信息点有效性识别设备的限定，可以包括比图示更多或更少的部件，或者组合某些部件，或者不同的部件布置。

此外，本发明实施例还提出一种计算机可读存储介质，所述计算机可读存储介质上存储有基于区块链的密钥处理程序，所述基于区块链的密钥处理程序被处理器执行时实现如上文所述的基于区块链的密钥处理方法的步骤。因此，这里将不再进行赘述。另外，对采用相同方法的有益效果描述，也不再进行赘述。对于本申请所涉及的计算机可读存储介质实施例中未披露的技术细节，请参照本申请方法实施例的描述。确定为示例，程序指令可被部署为在一个计算设备上执行，或者在位于一个地点的多个计算设备上执行，又或者，在分布在多个地点且通过通信网络互连的多个计算设备上执行。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，上述的程序可存储于一计算机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。其中，上述的存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(RandomAccessMemory，RAM)等。

另外需说明的是，以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。另外，本发明提供的装置实施例附图中，模块之间的连接关系表示它们之间具有通信连接，具体可以实现为一条或多条通信总线或信号线。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件的方式来实现，当然也可以通过专用硬件包括专用集成电路、专用CPU、专用存储器、专用元器件等来实现。一般情况下，凡由计算机程序完成的功能都可以很容易地用相应的硬件来实现，而且，用来实现同一功能的具体硬件结构也可以是多种多样的，例如模拟电路、数字电路或专用电路等。但是，对本发明而言更多情况下软件程序实现是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在可读取的存储介质中，如计算机的软盘、U盘、移动硬盘、只读存储器(ROM，Read-OnlyMemory)、随机存取存储器(RAM，RandomAccessMemory)、磁碟或者光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

Claims (10)

1.一种基于区块链的密钥处理方法，其特征在于，用于所述区块链中的监督节点，所述方法包括以下步骤：

在所述用户端节点向所述服务器节点发送数据访问请求之后，接收所述区块链中广播的用户属性通知；其中，所述用户属性通知为所述用户端节点根据私钥获得；所述私钥为所述用户端节点注册至所述区块链时，所述区块链的密钥生成节点根据主私钥与所述用户端节点的属性信息生成；

调用智能合约，执行所述智能合约声明的数据访问规范逻辑，根据所述用户属性通知和所述数据访问规范逻辑，判断所述属性信息是否符合数据访问规范；

若所述属性信息不符合所述数据访问规范，向所述区块链发送废止所述私钥的通知，以使所述区块链废止所述私钥。

2.根据权利要求1所述的基于区块链的密钥处理方法，其特征在于，所述调用智能合约，执行所述智能合约声明的数据访问规范逻辑，根据所述用户属性通知和所述数据访问规范逻辑，判断所述属性信息是否符合数据访问规范的步骤包括：

在所述用户端节点通过待访问数据的访问验证之后，根据所述用户属性通知与所述待访问数据的可访问用户属性，确定所述用户端节点具有的属性信息；

调用所述智能合约，执行所述智能合约声明的数据访问规范逻辑，判断所述属性信息是否符合数据访问规范的步骤。

3.根据权利要求2所述的基于区块链的密钥处理方法，其特征在于，所述根据所述用户属性通知与待访问数据的可访问用户属性，确定所述用户端节点具有的属性信息的步骤，包括：

根据主公钥与所述待访问数据的访问策略加密所述用户属性通知，获得加密结果；其中，所述访问策略限定出所述可访问用户属性；

若所述加密结果与所述待访问数据的验证信息一致，根据所述访问策略，确定所述用户端节点具有的属性信息；其中，所述验证信息为所述服务器节点响应于所述访问数据请求，从待访问数据具有的至少一个原始验证信息中选择并发送至所述用户端节点的；所述原始验证信息是由所述待访问数据的数据上传节点根据所述待访问数据的访问策略、主公钥对随机数据加密后生成的密文数据。

4.一种基于区块链的密钥处理方法，其特征在于，用于用户端节点，所述方法包括以下步骤：

在所述用户端节点向所述服务器节点发送数据访问请求之后，根据所述用户端节点的私钥，生成用户属性通知；所述私钥为所述用户端节点注册至所述区块链时，所述区块链的密钥生成节点根据数据访问规范、主私钥与所述用户端节点的属性信息生成；

向所述区块链广播用户属性通知，以使所述区块链中的监督节点接收到所述用户属性通知后，调用智能合约，执行所述智能合约声明的数据访问规范逻辑，根据所述用户属性通知和所述数据访问规范逻辑，判断所述属性信息是否符合数据访问规范；且若所述属性信息不符合所述区块链访问标准时，向所述区块链发送废止所述私钥的通知；

在接收到所述通知后，废止所述私钥。

5.根据权利要求4所述的基于区块链的密钥处理方法，其特征在于，所述在所述用户端节点向所述服务器节点发送数据访问请求之后，根据所述用户端节点的私钥，生成用户属性通知的步骤之前，所述方法还包括：

在注册至所述区块链时，接收所述密钥生成节点根据主私钥和所述用户端节点的属性信息生成的私钥；其中，所述属性信息由所述密钥生成节点为所述用户端节点生成。

6.根据权利要求4所述的基于区块链的密钥处理方法，其特征在于，所述在所述用户端节点向所述服务器节点发送数据访问请求之后，根据所述用户端节点的私钥，生成用户属性通知的步骤之前，所述方法还包括：

向服务器节点发送数据访问请求；

接收所述服务器节点发送回的验证信息；其中，所述验证信息为所述服务器节点从待访问数据具有的至少一个原始验证信息中选择得到；所述原始验证信息是由所述待访问数据的数据上传节点根据所述待访问数据的访问策略、主公钥对随机数据加密后生成的密文数据；

所述根据所述用户端节点的私钥，生成用户属性通知的步骤，包括：

根据私钥对所述验证信息进行解密，获得用户属性通知。

7.一种基于区块链的密码验证装置，用于所述区块链的监督节点，其特征在于，包括：

通知接收模块，用于在所述用户端节点向所述服务器节点发送数据访问请求之后，接收所述区块链中广播的用户属性通知；其中，所述用户属性通知为所述用户端节点根据私钥获得；所述私钥为所述用户端节点注册至所述区块链时，所述区块链的密钥生成节点根据主私钥与所述用户端节点的属性信息生成；

规范校验模块，用于调用智能合约，执行所述智能合约声明的数据访问规范逻辑，根据所述用户属性通知和所述数据访问规范逻辑，判断所述属性信息是否符合数据访问规范；

通知广播模块，用于若所述属性信息不符合所述区块链访问标准，向所述区块链发送废止所述私钥的通知。

8.一种基于区块链的密钥处理装置，用于所述区块链的用户端节点，其特征在于，包括：

通知生成模块，用于在所述用户端节点向所述服务器节点发送数据访问请求之后，根据所述用户端节点的私钥，生成用户属性通知；所述私钥为所述用户端节点注册至所述区块链时，所述区块链的密钥生成节点根据所述用户端节点的属性信息生成；

通知广播模块，用于向所述区块链广播用户属性通知，以使所述区块链中的监督节点接收到所述用户属性通知，并调用智能合约，执行所述智能合约声明的数据访问规范逻辑，根据所述用户属性通知和数据访问规范逻辑，判断所述属性信息是否符合数据访问规范；且若所述属性信息不符合所述区块链访问标准时，向所述区块链发送废止所述私钥的通知；

私钥废止模块，用于在接收到所述通知后，废止所述私钥。

9.一种基于区块链的密码处理设备，其特征在于，包括：存储器、处理器及存储在存储器上并可在处理器上运行的基于区块链的密钥处理程序，其中，处理器执行所述基于区块链的密钥处理程序时实现如权利要求1～6任一项所述的方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有基于区块链的密钥处理程序，其中，处理器执行所述基于区块链的密钥处理程序时实现权利要求1～6任一项所述的方法。

Images