CN115277022A - 一种防范网络攻击的方法及装置 - Google Patents

Abstract

本说明书提供一种防范网络攻击的方法及装置，应用于区块链网络中的接入节点，其方法包括：接收请求节点发送的连接请求，将工作量证明请求发送至所述请求节点，所述工作量证明请求包括用于生成工作量证明任务的随机数；接收所述请求节点响应于所述工作量证明请求执行所述工作量证明任务得到的执行结果以及针对所述执行结果生成的签名；基于所述请求节点的节点公钥对所述签名进行验签，并基于所述执行结果对所述工作量证明任务进行验证；在所述签名验签成功且所述工作量证明任务验证通过的情况下，与所述请求节点建立连接。

Description

一种防范网络攻击的方法及装置

技术领域

本说明书实施例属于网络安全技术领域，尤其涉及一种防范网络攻击的方法及装置。

背景技术

现阶段，针对通信网络的攻击事件层出不穷，攻击方法也不尽相同，其中，针对P2P网络的攻击案例数量较为常见。例如对于区块链网络，攻击方可以根据区块链网络对应的底层P2P网络的自身特性设计攻击算法，从而实现对区块链网络的攻击。

发明内容

本发明的目的在于提供一种防范网络攻击的方法及装置。

根据本说明书一个或多个实施例的第一方面，提出了一种防范网络攻击的方法，应用于区块链网络中的接入节点，包括：

接收请求节点发送的连接请求，将工作量证明请求发送至所述请求节点，所述工作量证明请求包括用于生成工作量证明任务的随机数；

接收所述请求节点响应于所述工作量证明请求执行所述工作量证明任务得到的执行结果以及针对所述执行结果生成的签名；

基于所述请求节点的节点公钥对所述签名进行验签，并基于所述执行结果对所述工作量证明任务进行验证；

在所述签名验签成功且所述工作量证明任务验证通过的情况下，与所述请求节点建立连接。

根据本说明书一个或多个实施例的第二方面，提出了一种防范网络攻击的装置，应用于区块链网络中的接入节点，包括：

请求接收单元，用于接收请求节点发送的连接请求，将工作量证明请求发送至所述请求节点，所述工作量证明请求包括用于生成工作量证明任务的随机数；

结果接收单元，用于接收所述请求节点响应于所述工作量证明请求执行所述工作量证明任务得到的执行结果以及针对所述执行结果生成的签名；

结果验证单元，用于基于所述请求节点的节点公钥对所述签名进行验签，并基于所述执行结果对所述工作量证明任务进行验证；

连接建立单元，用于在所述签名验签成功且所述工作量证明任务验证通过的情况下，与所述请求节点建立连接。

根据本说明书一个或多个实施例的第三方面，提出了一种电子设备，包括：

处理器；

用于存储处理器可执行指令的存储器；

其中，所述处理器通过运行所述可执行指令以实现如第一方面所述的方法。

根据本说明书一个或多个实施例的第四方面，提出了一种计算机可读存储介质，其上存储有计算机指令，该指令被处理器执行时实现如第一方面所述方法的步骤。

基于本说明书的前述实施例，提出了一种需要额外消耗算力的连接建立机制，请求节点需要向区块链网络中的接入节点提供身份证明以及执行工作量证明任务后得到的执行结果，并在通过接入节点的验证后才能与接入节点建立连接，这增加了攻击方侵入区块链网络时所需的计算成本和时间成本，从而能够限制攻击方无法在短时间内通过与区块链网络建立大量连接来发起大规模攻击，提高了区块链网络防范网络攻击的能力。

附图说明

为了更清楚地说明本说明书实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本说明书中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是一示例性实施例提供的一种区块链网络的示意图。

图2是一示例性实施例提供的一种防范网络攻击的方法的流程图。

图3是一示例性实施例提供的一种设备的结构示意图。

图4是一示例性实施例提供的一种防范网络攻击的装置的框图。

具体实施方式

为了使本技术领域的人员更好地理解本说明书中的技术方案，下面将结合本说明书实施例中的附图，对本说明书实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本说明书一部分实施例，而不是全部的实施例。基于本说明书中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都应当属于本说明书保护的范围。

P2P(Peer to Peer)网络，即点对点网络，或称为对等网络，是一种有别于C/S(客户端/服务器)模式的分布式网络。在P2P网络中所有的节点彼此之间都处于对等地位，每个节点既能充当客户端又能作为服务器向其他节点提供资源与服务。例如，区块链网络就属于一种典型的P2P网络，本说明书实施例所涉及的P2P网络可以为区块链网络，而P2P网络中包含的节点均属于该区块链网络中的区块链节点。

图1是一示例性实施例提供的一种区块链网络的示意图。如图1所示，区块链网络中的包含有5个节点已入网，分别为nodeA、nodeB、nodeC、nodeD和nodeE，其中，这5个节点之间并非是全连接的关系，例如nodeA就只与nodeB、nodeC和nodeD建立有连接而未与nodeE建立有连接。每个节点本地维护有独立的节点列表，该节点列表中记录有与该节点建立有连接的同一区块链网络中其他节点的节点信息，因此该节点列表也被称为邻居表，例如nodeA维护的节点列表中就记录有nodeB、nodeC和nodeD的节点信息。另外，从功能性的角度上来说，该节点列表还可以作为路由表指导消息传输。在本说明书实施例中，任一节点的节点信息可以包括所述任一节点的节点标识、网络地址(如IP地址、端口号等)和/或该节点的身份信息(如节点公钥)等，本说明书并不对此进行限定。本说明书实施例所涉及的连接是指网络连接，例如会话层的TCP或TLS连接等，本说明书实施例对此并不作任何限制。需要注意的是，任一节点维护的节点列表中维护的节点信息对应的节点并不一定与该任一节点存在物理上直连关系，即与该任一节点建立有网络连接的其他节点可能与该任一节点之间存在多跳关系。

区块链网络中负责接入新节点或建立新连接的节点称为接入节点，如果有区块链网络外部的新节点希望加入区块链网络，则需要与该区块链网络中的接入节点进行申请，并在申请通过后与接入节点建立连接从而加入接入节点所在的区块链网络。在本说明书实施例中，接入节点可以是已加入区块链网络当中的任何一个节点，接入节点通常需要确保自身是可信的、开源的，例如可以将最初建立区块链网络时的初始节点作为接入节点，或者将区块链网络中的通信支柱节点(通常与区块链网络中的其他节点建立有较多的连接)作为接入节点。以图1为例，不属于区块链网络中的nodeF可以向区块链网络中的nodeE发送入网请求从而申请加入区块链网络，此时nodeE就作为区块链网络的接入节点，而nodeF则作为请求节点；又或者，未与nodeE建立有连接的nodeA可以向nodeE发送连接请求从而申请与nodeE建立连接，此时nodeE同样作为区块链网络的接入节点，而nodeA则作为请求节点。

请参见图2，图2是一示例性实施例提供的一种防范网络攻击的方法的流程图。如图2所示，所述方法应用于区块链网络中的接入节点，可以包括下述步骤202-208。

步骤202：接收请求节点发送的连接请求，将工作量证明请求发送至所述请求节点，所述工作量证明请求包括用于生成工作量证明任务的随机数。

本说明书实施例所涉及的请求节点可以包括区块链网络中的未与接入节点建立连接的节点，或暂不属于区块链网络中的节点。在请求节点不属于区块链网络即不为区块链网络中的节点的情况下，此处的连接请求也称为入网请求。

接入节点响应于请求节点发送的连接请求，将工作量证明请求发送至请求节点，该工作量证明请求用于使请求节点触发生成并执行对应的工作量证明任务，并最终向接入节点返回执行工作量证明任务得到的执行结果。为了确保工作量证明任务的随机性，防止请求节点预先获得执行结果而非临时执行工作量证明任务，因此需要向请求节点提供随机数以生成随机的工作量证明任务。另外，工作量证明请求中还可以包括用于生成工作量证明任务的证明难度值，从而指导请求节点按照对应的证明难度值执行工作量证明任务。

步骤204：接收所述请求节点响应于所述工作量证明请求执行所述工作量证明任务得到的执行结果以及针对所述执行结果生成的签名。

请求节点在接收到工作量证明请求后，首先基于其包含的随机数生成对应的工作量证明任务，该工作量证明任务具体是指：通过不断变更待定值，不断构造由随机数和待定值按照预设顺序组合而成的字符串(或者由请求节点的节点公钥、随机数和待定值按照预设顺序组合而成的字符串)，同时计算该字符串对应的哈希值，在该哈希值满足特定的形式规则的情况下，则将那次字符串中确定的待定值确定为工作量证明任务的执行结果。上述特定的形式规则例如可以包括哈希值的开头或结尾出现若干个连续的相同的字符(如“0”)，而具体需要出现多少个连续的相同字符则取决于工作量证明任务对应的证明难度值，证明难度值越高，需要出现的连续相同字符的数量就越多。容易理解的是，证明难度值越高，则执行工作量证明任务并获得最终的执行结果所需的算力成本和时间成本就越高。

上述工作量证明任务利用了哈希运算不可逆、输出值与输入值之间缺乏规律的特性，要求证明方只能通过穷举待定值的方式才能获得最终的执行结果，因此作为证明方的请求节点需要消耗额外的算力才能与接入节点建立连接，这增加了请求节点建立连接的成本。

与此同时，为了证明得到的执行结果是请求节点自身执行工作量证明任务所得到的，因此还需要向接入节点提供对应的身份证明。具体而言，请求节点在得到执行结果后，还会针对所述执行结果生成对应的签名，该签名是请求节点使用自身持有的请求节点的节点私钥对所述执行结果进行加密得到的。

最后，请求节点会将自身得到的执行结果和针对该执行结果生成的签名发送至接入节点，以供接入节点进行验证，当然，请求节点还可以同时将请求节点的节点公钥也一并发送至接入节点。

步骤206：基于所述请求节点的节点公钥对所述签名进行验签，并基于所述执行结果对所述工作量证明任务进行验证。

接入节点在对所述签名进行验签时，需要使用自身预先维护的或请求节点临时提供的请求节点的节点公钥对所述签名进行解密，将得到的解密结果与执行结果进行比对，如果比对一致则说明该执行结果的来源方的确为所述请求节点，从而确定所述签名验签成功，如果比对不一致则说明该执行结果的来源方不为所述请求节点，从而确定所述签名验签失败。

接入节点在对所述工作量证明任务进行验证时，其实际过程与请求节点执行工作量证明任务的过程类似，首先基于所述执行结果与所述随机数生成待检验字符串，然后将所述待检验字符串通过哈希运算以得到对应的哈希结果；最后在所述哈希结果满足所述证明难度值对应的工作量证明要求的情况下，确定所述工作量证明任务验证通过，否则确定所述工作量证明任务验证不通过。例如，接入节点维护的证明难度值要求所述哈希结果满足的工作量证明要求为：所述哈希结果的开头包含8个连续的字符“0”，那么只有在所述哈希结果的开头确实包含8个连续的字符“0”的情况下才会认为工作量证明任务验证通过，即认为请求节点确实正确合规地执行了工作量证明任务。如前所述，为了使请求节点能够提供满足证明难度值对应工作量证明要求的执行结果，所述工作量证明请求还可以包括用于生成所述工作量证明任务的证明难度值，以使请求节点在生成工作量证明任务时就充分考虑到该证明难度值并在此基础上生成满足证明难度值对应工作量证明要求的执行结果。

可选的，所述基于所述执行结果与所述随机数生成待检验字符串，包括：将所述执行结果、所述随机数与所述请求节点的节点公钥按照预设顺序进行组合以生成所述待检验字符串。在本说明书实施例中，上述的工作量证明任务所涉及构造的字符串还可以包括所述请求节点的节点公钥，这样一来就能够进一步实现请求节点与执行结果之间的强绑定，从而能够更加有效地证明该执行结果来源于字符串中节点公钥对应的请求节点。由于验证工作量证明任务与执行工作量证明任务的实质过程相当，因此，在验证工作量证明任务的过程中也应按照上述相同的构造规则组合生成待检验字符串并进行进一步的验证。

在本说明书实施例中，上述基于所述请求节点的节点公钥对所述签名进行验签的过程，以及基于所述执行结果对所述工作量证明任务进行验证的过程可以是独立的过程，即两个过程之间没有必然的执行顺序，二者可以一先一后按顺序执行或者同时执行，本说明书实施例对此并不做任何限制。可选的，所述基于所述执行结果对所述工作量证明任务进行验证，包括：在所述签名验签成功的情况下基于所述执行结果对所述工作量证明任务进行验证。值得一提的是，在本说明书实施例中，接入节点对工作量证明任务进行验证的过程可以放在对所述签名验签成功的情况下执行，这样一来，就可以在所述签名验签不成功的情况下无需进一步执行相对更加耗时的工作量证明任务的验证过程，从而一定程度上节省接入节点的计算资源，还能够防止攻击方通过发送超量的执行结果及其签名来迫使接入节点在短时间内执行大量消耗计算资源的验签/验证任务从而导致接入节点宕机的现象，一定程度上起到了防网络攻击的效果。

可选的，还包括：根据距当前时刻之前的第一预设时长内工作量证明验证失败的次数调整所述证明难度值，所述证明难度值正相关于所述次数，所述次数为距所述当前时刻之前的第一预设时长内任一签名验签失败的次数与任一工作量证明任务验证不通过的次数之和。

在本说明书实施例中，接入节点维护有证明难度值，并且可以根据近期遭遇无成本接入行为(即前述验签失败或工作量证明任务验证失败)的次数来调整所述证明难度值。无成本接入行为的次数即工作量证明验证失败的次数，该次数是指任一签名验签失败的次数与任一工作量证明任务验证不通过的次数之和(即针对每一个连接请求，如果请求节点提供的签名验签失败或工作量证明任务验证失败，则该次数加一)，该次数在进行统计时，针对每一次连接请求对应的请求节点提供的执行结果和签名，可能出现签名验签不成功同时工作量证明任务验证不成功的情况，此时仅将工作量证明验证失败的次数算作一次(而非两次)，从而避免重复统计导致该次数较实际值偏高。由于无成本接入行为的次数客观上反映了区块链网络遭遇网络攻击的强度，因此本说明书实施例可以使得区块链网络在遭遇网络攻击的情况下增加新的请求节点建立连接的成本，来进一步提高攻击方通过与区块链网络建立大量连接来进行网络攻击的成本，进一步提高区块链网络防范网络攻击的能力。另外，由于对于证明难度值的调节是动态进行的，例如当近期遭遇无成本接入行为的次数减少时，又可以适当减少当前的证明难度值，从而在未遭遇网络攻击的情况下降低正常接入行为所需要的成本，尽可能避免“误杀”的现象。

可选的，所述区块链网络部署的网络管理合约维护有所述证明难度值；所述根据距当前时刻之前的第一预设时长内工作量证明验证失败的次数调整所述证明难度值，包括：向所述区块链网络部署的网络管理合约发起包含所述次数的证明难度值调整交易，以使所述网络管理合约基于所述次数调整维护于所述网络管理合约中的所述证明难度值。

在本说明书实施例中，接入节点维护的证明难度值具体存放在其部署的网络管理合约中。因此，在这种情况下，区块链网络中的每个区块链节点实际上通过维护相同的网络管理合约来共享同一个证明难度值，这使得其中任一区块链节点都可以在检测到网络攻击时，通过向网络管理合约发起证明难度值调整交易的方式来调整维护在网络管理合约中的证明难度值，来向区块链网络中的其他区块链节点告知证明难度值的变化，使得区块链网络具备根据当前网络环境的变化来整体调整所有节点的接入策略的功能，提高区块链网络整体上防范网络攻击的能力。

步骤208：在所述签名验签成功且所述工作量证明任务验证通过的情况下，与所述请求节点建立连接。

基于本说明书的前述实施例，提出了一种需要额外消耗算力的连接建立机制，请求节点需要向区块链网络中的接入节点提供身份证明以及执行工作量证明任务后得到的执行结果，并在通过接入节点的验证后才能与接入节点建立连接，这增加了攻击方侵入区块链网络时所需的计算成本和时间成本，从而能够限制攻击方无法在短时间内通过与区块链网络建立大量连接来发起大规模攻击，提高了区块链网络防范网络攻击的能力。

在请求节点属于所述区块链网络的情况下，则接入节点在确认所述签名验签成功且所述工作量证明任务验证通过的情况下仅会与其建立连接。而在所述请求节点不属于所述区块链网络的情况下，所述方法还包括：在所述签名验签成功且所述工作量证明任务验证通过的情况下，将所述请求节点加入所述区块链网络。在本说明书实施例中，如果请求节点本身不属于区块链网络，那么接入节点在确认所述签名验签成功且所述工作量证明任务验证通过的情况下，默认会将请求节点加入到区块链网络中。由于本说明书实施例使得新节点加入区块链网络的过程需要付出额外的算力成本，从而增加了女巫攻击(攻击方在如区块链网络这样的P2P网络中部署多个具有合法身份的节点)的攻击成本，间接限制攻击方进行女巫攻击的强度，提高了区块链网络防范网络攻击的能力。

具体而言，所述将所述请求节点加入所述区块链网络，包括：将所述请求节点的节点信息存储于所述接入节点维护的节点列表中，并将所述接入节点的节点信息发送至所述请求节点。如前所述，区块链网络中的每个节点都会维护一个节点列表用于存放与该节点建立有连接的其他节点的节点信息。在本说明书实施例中，接入节点会首先将请求节点的节点信息存储于所述接入节点维护的节点列表中，同时，接入节点会向请求节点发送接入节点的节点信息同时告知请求节点已经成功加入了区块链网络，那么请求节点就会建立一个自身维护的节点列表，并将接入节点的节点信息存放在请求节点维护的节点列表中。在请求节点通过接入节点加入区块链网络后，其最初只知晓区块链网络中的该接入节点，如果需要进一步发现区块链网络中的其他节点并与它们建立连接，则需要向接入节点发送节点发现请求，以使接入节点响应于节点发现请求向请求节点返回接入节点维护的节点列表，接入节点通过接收到的节点列表从而知晓到区块链网络中的其他节点，并通过接收到的节点列表中的节点信息与其他节点建立连接并向它们发送新的节点发现请求，迭代上述过程理论上就能够使得新加入区块链网络的请求节点知晓区块链网络中的所有节点并与所有节点建立连接。以图1中nodeF通过nodeE加入区块链网络为例，nodeF首先向nodeE发送节点发现请求，以获取nodeE维护的节点列表，并从该节点列表中得到与nodeE具有连接关系的nodeB和nodeD的节点信息，nodeF据此再分别与nodeB和nodeD建立连接并分别发送节点发现请求，从而进一步获得nodeB维护的节点列表和nodeD维护的节点列表，重复上述过程，nodeF最终就能够获知区块链网络中所有节点的节点信息，并且理论上也能够与所有节点建立连接。

可选的，所述将所述请求节点加入所述区块链网络，包括：向所述区块链网络中的网络管理合约发起包含所述请求节点的节点信息的节点加入交易，以使所述网络管理合约维护所述请求节点的节点信息。在本说明书实施例中，区块链网络部署的网络管理合约中维护有作为区块链网络中所有成员的各区块链节点的节点信息，因此，在有新节点(请求节点)加入后，接入节点还可以通过向网络管理合约发起节点加入交易以使请求节点的节点信息被更新维护在网络管理合约中。

可选的，所述请求节点的节点标识由所述接入节点生成，或者，所述请求节点的节点标识由所述请求节点生成。具体而言，在所述请求节点的节点标识由所述接入节点生成的情况下，所述接入节点在所述签名验签成功且所述工作量证明任务验证通过的情况下生成，从而避免每次接收到连接请求都生成一次节点标识，减轻接入节点的计算负担，还能够防止攻击方通过发送超量的连接请求来迫使接入节点在短时间内执行大量消耗计算资源的节点标识生成任务从而导致接入节点宕机的现象，一定程度上起到了防网络攻击的效果。可选的，所述请求节点的节点标识是通过所述请求节点的节点公钥进行哈希运算生成的，因此可以通过节点公钥的全局唯一性来确保在不发生哈希碰撞的情况下的各节点的节点标识的全局唯一性。

可选的，还包括：在检测出所述请求节点的节点标识于所述区块链网络中全局不唯一的情况下，向所述请求节点发送节点标识提供请求或生成所述区块链网络中全局唯一的第一节点标识以重新确定为所述请求节点的节点标识，所述节点标识提供请求用于使所述请求节点重新向所述接入节点提供第二节点标识以重新确定为所述请求节点的节点标识。在本说明书实施例中，如果接入节点发现请求节点的节点标识与区块链网络中某个现有节点的节点标识重复，则会重新生成新的节点标识以重新作为请求节点的节点标识，或者要求请求节点重新提供新的节点标识以重新作为请求节点的节点标识，从而确保区块链网络中各节点的节点标识均具有全局唯一性。

可选的，还包括：在距当前时刻之前的第二预设时长内接收到同一发起方发起的基于任一协议的历史消息的数量超出预设阈值的情况下，拒绝响应所述同一发起方发起的基于所述任一协议的消息，所述任一协议的消息至少包括连接协议中的连接请求、节点发现协议中的节点发现请求等，本说明书实施例并不对协议的类型进行限制，但该协议一定被预先建立并维护在区块链网络中，以使得区块链网络中的节点能够识别并处理该协议对应的消息。通过本说明书实施例，可以通过统计接收到的各类协议的消息(包括各类请求或应答)，并在其中来源于同一发起方的某一类协议的历史消息在短时间内过量的情况下，拒绝再次响应该同一发起方的该类协议的消息，从而有效地识别出攻击方并将其移入黑名单，有效防范例如泛洪攻击或DOS(Denial of Service，拒绝服务)攻击等相同攻击方通过超量发送消息的网络攻击方式。

图3是一示例性实施例提供的一种设备的示意结构图。请参考图3，在硬件层面，该设备包括处理器302、内部总线303、网络接口306、内存308以及非易失性存储器310，当然还可能包括其他业务所需要的硬件。本说明书一个或多个实施例可以基于软件方式来实现，比如由处理器302从非易失性存储器310中读取对应的计算机程序到内存308中然后运行。当然，除了软件实现方式之外，本说明书一个或多个实施例并不排除其他实现方式，比如逻辑器件抑或软硬件结合的方式等等，也就是说以下处理流程的执行方并不限定于各个逻辑单元，也可以是硬件或逻辑器件。

如图4所示，图4是本说明书根据一示例性实施例提供的一种防范网络攻击的装置的框图，该装置可以应用于如图3所示的设备中，以实现本说明书的技术方案。该装置应用于区块链网络中的接入节点，包括：

请求接收单元401，用于接收请求节点发送的连接请求，将工作量证明请求发送至所述请求节点，所述工作量证明请求包括用于生成工作量证明任务的随机数；

结果接收单元402，用于接收所述请求节点响应于所述工作量证明请求执行所述工作量证明任务得到的执行结果以及针对所述执行结果生成的签名；

结果验证单元403，用于基于所述请求节点的节点公钥对所述签名进行验签，并基于所述执行结果对所述工作量证明任务进行验证；

连接建立单元404，用于在所述签名验签成功且所述工作量证明任务验证通过的情况下，与所述请求节点建立连接。

可选的，所述工作量证明请求还包括用于生成所述工作量证明任务的证明难度值；所述结果验证单元403具体用于：

基于所述执行结果与所述随机数生成待检验字符串，将所述待检验字符串通过哈希运算以得到对应的哈希结果；

在所述哈希结果满足所述证明难度值对应的工作量证明要求的情况下，确定所述工作量证明任务验证通过，否则确定所述工作量证明任务验证不通过。

可选的，所述结果验证单元403进一步用于：

将所述执行结果、所述随机数与所述请求节点的节点公钥按照预设顺序进行组合以生成所述待检验字符串。

可选的，还包括：

难度值调整单元405，用于根据距当前时刻之前的第一预设时长内工作量证明验证失败的次数调整所述证明难度值，所述证明难度值正相关于所述次数，所述次数为距所述当前时刻之前的第一预设时长内任一签名验签失败的次数与任一工作量证明任务验证不通过的次数之和。

可选的，所述区块链网络部署的网络管理合约维护有所述证明难度值；所述难度值调整单元405具体用于：

向所述区块链网络部署的网络管理合约发起包含所述次数的证明难度值调整交易，以使所述网络管理合约基于所述次数调整维护于所述网络管理合约中的所述证明难度值。

可选的，所述结果验证单元403具体用于：

在所述签名验签成功的情况下基于所述执行结果对所述工作量证明任务进行验证。

可选的，在所述请求节点不属于所述区块链网络的情况下，所述装置还包括：

节点加入单元406，用于在所述签名验签成功且所述工作量证明任务验证通过的情况下，将所述请求节点加入所述区块链网络。

可选的，所述节点加入单元406具体用于：

将所述请求节点的节点信息存储于所述接入节点维护的节点列表中，并将所述接入节点的节点信息发送至所述请求节点。

可选的，所述节点加入单元406具体用于：

向所述区块链网络中的网络管理合约发起包含所述请求节点的节点信息的节点加入交易，以使所述网络管理合约维护所述请求节点的节点信息。

可选的，所述节点信息包括节点标识、节点公钥和/或网络地址。

可选的，所述请求节点的节点标识由所述接入节点在所述签名验签成功且所述工作量证明任务验证通过的情况下生成，或者，所述请求节点的节点标识由所述请求节点生成。

可选的，还包括：

节点标识重确定单元407，用于在检测出所述请求节点的节点标识于所述区块链网络中全局不唯一的情况下，向所述请求节点发送节点标识提供请求或生成所述区块链网络中全局唯一的第一节点标识以重新确定为所述请求节点的节点标识，所述节点标识提供请求用于使所述请求节点重新向所述接入节点提供第二节点标识以重新确定为所述请求节点的节点标识。

可选的，还包括：

响应拒绝单元408，用于在距当前时刻之前的第二预设时长内接收到同一发起方发起的基于任一协议的历史消息的数量超出预设阈值的情况下，不响应所述同一发起方发起的基于所述任一协议的消息，所述任一协议的消息至少包括连接协议中的连接请求。

在20世纪90年代，对于一个技术的改进可以很明显地区分是硬件上的改进(例如，对二极管、晶体管、开关等电路结构的改进)还是软件上的改进(对于方法流程的改进)。然而，随着技术的发展，当今的很多方法流程的改进已经可以视为硬件电路结构的直接改进。设计人员几乎都通过将改进的方法流程编程到硬件电路中来得到相应的硬件电路结构。因此，不能说一个方法流程的改进就不能用硬件实体模块来实现。例如，可编程逻辑器件(Programmable Logic Device,PLD)(例如现场可编程门阵列(Field Programmable GateArray，FPGA))就是这样一种集成电路，其逻辑功能由用户对器件编程来确定。由设计人员自行编程来把一个数字系统“集成”在一片PLD上，而不需要请芯片制造厂商来设计和制作专用的集成电路芯片。而且，如今，取代手工地制作集成电路芯片，这种编程也多半改用“逻辑编译器(logic compiler)”软件来实现，它与程序开发撰写时所用的软件编译器相类似，而要编译之前的原始代码也得用特定的编程语言来撰写，此称之为硬件描述语言(Hardware Description Language，HDL)，而HDL也并非仅有一种，而是有许多种，如ABEL(Advanced Boolean Expression Language)、AHDL(Altera Hardware DescriptionLanguage)、Confluence、CUPL(Cornell University Programming Language)、HDCal、JHDL(Java Hardware Description Language)、Lava、Lola、MyHDL、PALASM、RHDL(RubyHardware Description Language)等，目前最普遍使用的是VHDL(Very-High-SpeedIntegrated Circuit Hardware Description Language)与Verilog。本领域技术人员也应该清楚，只需要将方法流程用上述几种硬件描述语言稍作逻辑编程并编程到集成电路中，就可以很容易得到实现该逻辑方法流程的硬件电路。

控制器可以按任何适当的方式实现，例如，控制器可以采取例如微处理器或处理器以及存储可由该(微)处理器执行的计算机可读程序代码(例如软件或固件)的计算机可读介质、逻辑门、开关、专用集成电路(Application Specific Integrated Circuit，ASIC)、可编程逻辑控制器和嵌入微控制器的形式，控制器的例子包括但不限于以下微控制器：ARC 625D、Atmel AT91SAM、Microchip PIC18F26K20以及Silicone Labs C8051F320，存储器控制器还可以被实现为存储器的控制逻辑的一部分。本领域技术人员也知道，除了以纯计算机可读程序代码方式实现控制器以外，完全可以通过将方法步骤进行逻辑编程来使得控制器以逻辑门、开关、专用集成电路、可编程逻辑控制器和嵌入微控制器等的形式来实现相同功能。因此这种控制器可以被认为是一种硬件部件，而对其内包括的用于实现各种功能的装置也可以视为硬件部件内的结构。或者甚至，可以将用于实现各种功能的装置视为既可以是实现方法的软件模块又可以是硬件部件内的结构。

上述实施例阐明的系统、装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为服务器系统。当然，本发明不排除随着未来计算机技术的发展，实现上述实施例功能的计算机例如可以为个人计算机、膝上型计算机、车载人机交互设备、蜂窝电话、相机电话、智能电话、个人数字助理、媒体播放器、导航设备、电子邮件设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任何设备的组合。

虽然本说明书一个或多个实施例提供了如实施例或流程图所述的方法操作步骤，但基于常规或者无创造性的手段可以包括更多或者更少的操作步骤。实施例中列举的步骤顺序仅仅为众多步骤执行顺序中的一种方式，不代表唯一的执行顺序。在实际中的装置或终端产品执行时，可以按照实施例或者附图所示的方法顺序执行或者并行执行(例如并行处理器或者多线程处理的环境，甚至为分布式数据处理环境)。术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、产品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、产品或者设备所固有的要素。在没有更多限制的情况下，并不排除在包括所述要素的过程、方法、产品或者设备中还存在另外的相同或等同要素。例如若使用到第一，第二等词语用来表示名称，而并不表示任何特定的顺序。

为了描述的方便，描述以上装置时以功能分为各种模块分别描述。当然，在实施本说明书一个或多个时可以把各模块的功能在同一个或多个软件和/或硬件中实现，也可以将实现同一功能的模块由多个子模块或子单元的组合实现等。以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

本发明是参照根据本发明实施例的方法、装置(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁盘存储、石墨烯存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

本领域技术人员应明白，本说明书一个或多个实施例可提供为方法、系统或计算机程序产品。因此，本说明书一个或多个实施例可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本说明书一个或多个实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本说明书一个或多个实施例可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本本说明书一个或多个实施例，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本说明书的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不必须针对的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任一个或多个实施例或示例中以合适的方式结合。此外，在不相互矛盾的情况下，本领域的技术人员可以将本说明书中描述的不同实施例或示例以及不同实施例或示例的特征进行结合和组合。

以上所述仅为本说明书一个或多个实施例的实施例而已，并不用于限制本本说明书一个或多个实施例。对于本领域技术人员来说，本说明书一个或多个实施例可以有各种更改和变化。凡在本说明书的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在权利要求范围之内。

Claims (16)

1.一种防范网络攻击的方法，应用于区块链网络中的接入节点，包括：

接收请求节点发送的连接请求，将工作量证明请求发送至所述请求节点，所述工作量证明请求包括用于生成工作量证明任务的随机数；

接收所述请求节点响应于所述工作量证明请求执行所述工作量证明任务得到的执行结果以及针对所述执行结果生成的签名；

基于所述请求节点的节点公钥对所述签名进行验签，并基于所述执行结果对所述工作量证明任务进行验证；

在所述签名验签成功且所述工作量证明任务验证通过的情况下，与所述请求节点建立连接。

2.根据权利要求1所述的方法，所述工作量证明请求还包括用于生成所述工作量证明任务的证明难度值；所述基于所述执行结果对所述工作量证明任务进行验证，包括：

基于所述执行结果与所述随机数生成待检验字符串，将所述待检验字符串通过哈希运算以得到对应的哈希结果；

在所述哈希结果满足所述证明难度值对应的工作量证明要求的情况下，确定所述工作量证明任务验证通过，否则确定所述工作量证明任务验证不通过。

3.根据权利要求2所述的方法，所述基于所述执行结果与所述随机数生成待检验字符串，包括：

将所述执行结果、所述随机数与所述请求节点的节点公钥按照预设顺序进行组合以生成所述待检验字符串。

4.根据权利要求2所述的方法，还包括：

根据距当前时刻之前的第一预设时长内工作量证明验证失败的次数调整所述证明难度值，所述证明难度值正相关于所述次数，所述次数为距所述当前时刻之前的第一预设时长内任一签名验签失败的次数与任一工作量证明任务验证不通过的次数之和。

5.根据权利要求4所述的方法，所述区块链网络部署的网络管理合约维护有所述证明难度值；所述根据距当前时刻之前的第一预设时长内工作量证明验证失败的次数调整所述证明难度值，包括：

向所述区块链网络部署的网络管理合约发起包含所述次数的证明难度值调整交易，以使所述网络管理合约基于所述次数调整维护于所述网络管理合约中的所述证明难度值。

6.根据权利要求1所述的方法，所述基于所述执行结果对所述工作量证明任务进行验证，包括：

在所述签名验签成功的情况下基于所述执行结果对所述工作量证明任务进行验证。

7.根据权利要求1所述的方法，在所述请求节点不属于所述区块链网络的情况下，所述方法还包括：

在所述签名验签成功且所述工作量证明任务验证通过的情况下，将所述请求节点加入所述区块链网络。

8.根据权利要求7所述的方法，所述将所述请求节点加入所述区块链网络，包括：

将所述请求节点的节点信息存储于所述接入节点维护的节点列表中，并将所述接入节点的节点信息发送至所述请求节点。

9.根据权利要求7所述的方法，所述将所述请求节点加入所述区块链网络，包括：

向所述区块链网络中的网络管理合约发起包含所述请求节点的节点信息的节点加入交易，以使所述网络管理合约维护所述请求节点的节点信息。

10.根据权利要求8或9所述的方法，所述节点信息包括节点标识、节点公钥和/或网络地址。

11.根据权利要求10所述的方法，所述请求节点的节点标识由所述接入节点在所述签名验签成功且所述工作量证明任务验证通过的情况下生成，或者，所述请求节点的节点标识由所述请求节点生成。

12.根据权利要求10所述的方法，还包括：

在检测出所述请求节点的节点标识于所述区块链网络中全局不唯一的情况下，向所述请求节点发送节点标识提供请求或生成所述区块链网络中全局唯一的第一节点标识以重新确定为所述请求节点的节点标识，所述节点标识提供请求用于使所述请求节点重新向所述接入节点提供第二节点标识以重新确定为所述请求节点的节点标识。

13.根据权利要求1所述的方法，还包括：

在距当前时刻之前的第二预设时长内接收到同一发起方发起的基于任一协议的历史消息的数量超出预设阈值的情况下，拒绝响应所述同一发起方发起的基于所述任一协议的消息，所述任一协议的消息至少包括连接协议中的连接请求。

14.一种防范网络攻击的装置，应用于区块链网络中的接入节点，包括：

请求接收单元，用于接收请求节点发送的连接请求，将工作量证明请求发送至所述请求节点，所述工作量证明请求包括用于生成工作量证明任务的随机数；

结果接收单元，用于接收所述请求节点响应于所述工作量证明请求执行所述工作量证明任务得到的执行结果以及针对所述执行结果生成的签名；

结果验证单元，用于基于所述请求节点的节点公钥对所述签名进行验签，并基于所述执行结果对所述工作量证明任务进行验证；

连接建立单元，用于在所述签名验签成功且所述工作量证明任务验证通过的情况下，与所述请求节点建立连接。

15.一种电子设备，包括：

处理器；

用于存储处理器可执行指令的存储器；

其中，所述处理器通过运行所述可执行指令以实现如权利要求1-13中任一项所述的方法。

16.一种计算机可读存储介质，其上存储有计算机指令，该指令被处理器执行时实现如权利要求1-13中任一项所述方法的步骤。

Images