CN115907997A - 基于分布式数字身份的智能设备交易方法及系统 - Google Patents

Abstract

本发明涉及分布式数字身份技术领域，公开了一种基于分布式数字身份的智能设备交易方法及系统，旨在解决现有确认智能设备归属权存在安全性差的问题，方案主要包括：厂商生成智能设备对应的设备公私钥对和DID文档；智能设备将DID文档上传分布式数字身份联盟链；设备购买者创建订单后厂商生成可验证凭证；设备购买者向第三方支付平台进行支付；第三方支付平台验证可验证凭证并在验证通过后向厂商支付订单；设备购买者获得设备私钥；第三方支付平台将交易过程上传至分布式数字身份联盟链；设备购买者从分布式数字身份联盟链获取DID文档，将设备拥有者修改为设备购买者。本发明提高了确认智能设备归属权的安全性，特别适用于物联网设备。

Description

基于分布式数字身份的智能设备交易方法及系统

技术领域

本发明涉及分布式数字身份技术领域，具体来说涉及一种基于分布式数字身份的智能设备交易方法及系统。

背景技术

随着物联网应用场景不断深入和日益丰富，典型物联网场景从单机功能向联网互动的方向发展，尤其在智慧家庭领域，场景间的联动已经成为IoT领域的核心应用之一。在家庭中，有多个不同厂家的物联网设备的场景下，某个设备控制其他设备进行联动，设备之间相互连接并且相互协作，能够为智能家居使用者带来生活的便利与舒适的体验。

用户在购买智能设备时，应该有效的使智能设备归属于用户，解决智能设备的归属权问题，只有设备归属权属于用户才能在同一用户授权下，进行智能设备联动。因此需要能够让智能设备确认用户是购买的用户，让用户确认厂商是设备的厂商，让厂商确认使用设备是用户购买的智能设备，这些问题牵扯到了多方的身份认证与确权，如何能够简单、安全又可靠的解决智能设备的归属权问题，才是设备跨域协同的基础与关键。

区块链技术是一种分布式存储方案，涉及数学、密码学、计算机等多学科领域知识，具有去中心化、可追溯、不可篡改、集体维护、公开透明等特点。区块链技术可以满足物联网数据采集对数据安全、可追溯等方面的需求。

分布式数字身份(Decentralized Identity，DID)以区块链技术为基础，利用区块链去中心化的特点可有效克服单一服务商对用户账号的把控问题，同时其不可篡改的特点可有效解决身份授信问题，其基于凭据的信任构建机制为身份、授权的信任传递提供了安全机制，为物联网设备认证确权问题提供了安全可靠的解决方案。

针对智能设备归属权转移问题，现有技术提出了多种解决方案。例如，专利申请号201510226295.9公开了一种基于蓝牙通信接入的物联网身份认证方法。该方案使用非对称加密技术为用户端生成密钥对，与服务器端进行公钥交换，服务器端根据注册用户提交的注册码、随机数和蓝牙MAC地址为其生成id并以加密的形式发送给用户保存。该方法利用了非对称加密技术，使得只有拥有私钥的用户才可以登录服务器。但是对于预先设定的注册口令，容易被不法分子窃取伪装成诚实用户接入系统，同时由于蓝牙通信传输距离近，无法满足物联网广覆盖、低功耗的特性。再例如，专利申请号201210281247.6公开了一种物联网认证方法及系统。该方案通过对设备配件编号并通过算法生成唯一的第一和第二电子证书，其中第一电子证书用于发送给第三方管理平台注册，第二电子证书用于之后的登录操作。该系统采用简便易行的认证方式，有效的减少了第三方管理平台的负担。但是采用对配件编号生成电子证书的方式过于简单，黑客可以通过获取设备配件编号生成第二电子证书侵入系统，导致用户或设备数据的泄密。

发明内容

本发明旨在解决现有确认智能设备归属权的方法存在安全性较差的问题，提出一种基于分布式数字身份的智能设备交易方法及系统。

本发明解决上述技术问题所采用的技术方案是：

一方面，提供一种基于分布式数字身份的智能设备交易方法，包括以下步骤：

步骤1、厂商生成智能设备对应的设备公私钥对、DID账号以及DID文档，所述DID文档中至少包括：DID标识符、设备公钥、设备拥有者、服务以及身份验证信息，所述设备拥有者默认为厂商；

步骤2、通过所述智能设备将DID文档上传至分布式数字身份联盟链；

步骤3、设备购买者生成个人公私钥对，当设备购买者创建购买智能设备的订单后，厂商生成第一可验证凭证，并通过个人公钥以及第三方支付平台的平台公钥对所述第一可验证凭证进行加密后，将其发送给设备购买者，所述第一可验证凭证中至少包括：设备购买者信息、设备信息、设备私钥、订单信息和金融信息；

步骤4、所述设备购买者向第三方支付平台进行支付，同时设备购买者向第三方支付平台发送加密后的第一可验证凭证；

步骤5、第三方支付平台使用平台私钥对第一可验证凭证进行解密后，验证其中的订单信息和金融信息，并在验证通过后向厂商支付订单金额，然后将第一可验证凭证中的剩余信息打包为第二可验证凭证，并将其发送给设备购买者；

步骤6、设备购买者通过个人私钥对第二可验证凭证进行解密后，获得设备私钥；

步骤7、第三方支付平台将此次交易过程上传至分布式数字身份联盟链；

步骤8、设备购买者从分布式数字身份联盟链获取DID文档，通过设备私钥对DID文档进行解密后，将设备拥有者修改为设备购买者，并更新分布式数字身份联盟链上的DID文档。

进一步地，所述第一可验证凭证中还包括：凭证元数据、声明和厂商证明。

进一步地，通过个人公钥以及第三方支付平台的平台公钥对所述第一可验证凭证进行加密，具体包括：

通过个人公钥对购买者信息、订单信息、设备信息和设备私钥进行加密后，通过第三方支付平台的平台公钥对加密后的购买者信息、订单信息、设备信息和设备私钥，以及未加密的凭证元数据、声明、厂商证明、订单信息和金融信息进行加密。

进一步地，所述第二可验证凭证中包括：通过个人公钥加密后的购买者信息、订单信息、设备信息和设备私钥，以及未被加密的凭证元数据、声明和厂商证明。

进一步地，所述智能设备为物联网设备。

另一方面，提供一种于分布式数字身份的智能设备交易系统，包括：

厂商，用于生成智能设备对应的设备公私钥对、DID账号以及DID文档，所述DID文档中至少包括：DID标识符、设备公钥、设备拥有者、服务以及身份验证信息，所述设备拥有者默认为厂商；在收到设备购买者创建的订单后，生成第一可验证凭证，并通过个人公钥以及第三方支付平台的平台公钥对所述第一可验证凭证进行加密后，将其发送给设备购买者，所述第一可验证凭证中至少包括：设备购买者信息、设备信息、设备私钥、订单信息和金融信息；

智能设备，用于将所述DID文档上传至分布式数字身份联盟链；

设备购买者，用于生成个人公私钥对，创建购买智能设备的订单；向第三方支付平台进行支付，同时向第三方支付平台发送加密后的第一可验证凭证；通过个人私钥A对第二可验证凭证进行解密后，获得设备私钥；以及从分布式数字身份联盟链获取DID文档，通过设备私钥对DID文档进行解密后，将设备拥有者修改为设备购买者，并更新分布式数字身份联盟链上的DID文档；

第三方支付平台，用于使用平台私钥对第一可验证凭证进行解密后，验证其中的订单信息和金融信息，并在验证通过后向厂商支付订单金额，然后将第一可验证凭证中的剩余信息打包为第二可验证凭证，并将其发送给设备购买者；

分布式数字身份联盟链，用于接收智能设备上传的DID文档；接收第三方支付平台上传的交易过程；以及接收设备购买者对DID文档的更新。

进一步地，所述第一可验证凭证中还包括：凭证元数据、声明和厂商证明。

进一步地，通过个人公钥以及第三方支付平台的平台公钥对所述第一可验证凭证进行加密，具体包括：

通过个人公钥对购买者信息、订单信息、设备信息和设备私钥进行加密后，通过第三方支付平台的平台公钥对加密后的购买者信息、订单信息、设备信息和设备私钥，以及未加密的凭证元数据、声明、厂商证明、订单信息和金融信息进行加密。

进一步地，所述第二可验证凭证中包括：通过个人公钥加密后的购买者信息、订单信息、设备信息和设备私钥，以及未被加密的凭证元数据、声明和厂商证明。

进一步地，所述智能设备为物联网设备。

本发明的有益效果是：本发明所述的基于分布式数字身份的智能设备交易方法及系统，通过使用可验证凭证解决智能设备、厂商、设备购买者以及第三方支付平台的身份认证问题，安全传递设备私钥，从而在分布式数字身份联盟链上更新DID文档的设备拥有者，从而安全实现智能设备的归属权问题，提高了智能设备确权的安全性。

附图说明

图1为本发明实施例所述的基于分布式数字身份的智能设备交易系统的结构示意图；

图2为本发明实施例所述的基于分布式数字身份的智能设备交易方法的流程示意图；

图3为本发明实施例所述的分布式数字身份创建的流程示意图；

图4为本发明实施例所述的DID文档的结构示意图；

图5为本发明实施例所述的创建订单的流程示意图；

图6为本发明实施例所述的购买智能设备的流程示意图；

图7为本发明实施例所述的第一可验证凭证的结构示意图；

图8为本发明实施例所述的第二可验证凭证的结构示意图；

图9为本发明实施例所述的修改设备拥有者的流程示意图。

具体实施方式

下面将结合附图对本发明的实施方式进行详细描述。

本发明旨在提供一种基于分布式数字身份的智能设备交易方法及系统，以提高设备拥有权确认的安全性。其主要的技术方案包括：厂商生成智能设备对应的设备公私钥对、DID账号以及DID文档，所述DID文档中至少包括：DID标识符、设备公钥、设备拥有者、服务以及身份验证信息，所述设备拥有者默认为厂商；通过所述智能设备将DID文档和设备公钥上传至分布式数字身份联盟链；设备购买者生成个人公私钥对，当设备购买者创建购买智能设备的订单后，厂商生成第一可验证凭证，并通过个人公钥以及第三方支付平台的平台公钥对所述第一可验证凭证进行加密后，将其发送给设备购买者，所述第一可验证凭证中至少包括：设备购买者信息、设备信息、设备私钥、订单信息和金融信息；所述设备购买者向第三方支付平台进行支付，同时设备购买者向第三方支付平台发送加密后的第一可验证凭证；第三方支付平台使用平台私钥对第一可验证凭证进行解密后，验证其中的订单信息和金融信息，并在验证通过后向厂商支付订单金额，然后将第一可验证凭证中的剩余信息打包为第二可验证凭证，并将其发送给设备购买者；设备购买者通过个人私钥对第二可验证凭证进行解密后，获得设备私钥；第三方支付平台将此次交易过程上传至分布式数字身份联盟链；设备购买者从分布式数字身份联盟链获取DID文档，通过设备私钥对DID文档进行解密后，将设备拥有者修改为设备购买者，并更新分布式数字身份联盟链上的DID文档。

具体而言，设备购买者购买厂商的物联网设备并将拥有设备的所有权，可以授权其他用户或者设备对智能设备进行访问，以及定制相应的访问权限。具体地，本发明首先建立基于物联网设备的分布式数字身份，以此作为后续认证、授权的基础；设备购买者欲购买物联网设备时，需要证明厂商是物联网设备的厂商，厂商需要知道设备购买者是发生支付交易的购买者，因此需要生成能够证明相互身份的可验证凭证，可验证凭证中，订单信息和金融信息提供给第三方支付平台确认，购买者信息、设备信息和设备私钥则提供给购买者进行确认及使用。设备购买者在生成订单后，要向第三方平台进行支付，第三方平台需要验证支付者交易购买的设备属于目标厂商，并使购买者安全得到设备私钥，交易过程需要上链进行存证，实现一手交钱一手交货。设备购买者在获取到了设备私钥后，设备购买者需要在分布式数字联盟链上使用设备私钥更新DID文档，将设备拥有者改成设备购买者完成物联网设备的拥有，设备购买者拥有设备的所有权后，可以授权其他用户或者设备对智能设备进行访问，以及定制相应的访问权限。

实施例

请参阅图1，本实施例以智能设备为物联网设备为例，所述的基于分布式数字身份的智能设备交易系统包括：厂商、物联网设备、设备购买者、第三方支付平台和分布式数字身份联盟链。

其中，设备购买者购买厂商的物联网设备并将拥有设备的所有权，可以授权其他用户或者设备对物联网设备进行访问，以及定制相应的访问权限。厂商指生产物联网设备的厂家，拥有一开始对物联网设备的所有权，是最初的设备所有者。物联网设备指被访问的设备，需要对访问者进行身份认证，确认用户是否有权访问设备。分布式数字身份联盟链用于存放分布式数据身份账号、公钥等对外公开信息。第三方支付平台完成设备购买者购买物联网设备的支付环节，确认厂商身份信息与设备购买的订单、金融信息。

请参阅图2，基于上述系统，本实施例提供的基于分布式数字身份的智能设备交易方法，包括以下步骤：

本实施例首先需要建立基于物联网设备的分布式数字身份，并以此作为后续认证和授权的基础。请参阅图3，本实施例根据分布式数字身份(W3C DIDs V1.0)相应的标准，数字身份建立过程包括以下步骤：

步骤1、厂商生成智能设备对应的设备公私钥对、DID账号以及DID文档，所述DID文档中至少包括：DID标识符、设备公钥、设备拥有者、服务以及身份验证信息，所述设备拥有者默认为厂商；

本实施例中，厂商生成设备公私钥对，此过程不需要统一的CA进行密钥创建。DID账号生成方式为现有技术，此处不作赘述，本实施例对此也不作限制。

步骤2、通过所述智能设备将DID文档上传至分布式数字身份联盟链；

请参阅图4，本实施例中，DID文档中包含DID标识符、设备公钥、设备拥有者、服务以及身份验证信息，其中设备拥有者为厂商。

设备购买者欲购买物联网设备，需要证明厂商是物联网设备的厂商，厂商需要知道购买者是发生支付交易的购买者，因此需要生成能够证明相互身份的可验证凭证。请参阅图5和图6，本实施例中，订单的建立以及可验证凭证的生成包括以下步骤：

步骤3、设备购买者生成个人公私钥对PubA和PriA，当设备购买者创建购买智能设备的订单后，厂商生成第一可验证凭证VC1，并通过个人公钥PubA以及第三方支付平台的平台公钥PubB对所述第一可验证凭证VC1进行加密后，将其发送给设备购买者。

具体而言，设备购买者在创建订单之前，需要生成个人公私钥对PubA和PriA，并在创建订单时，将个人公钥PubA添加至订单中。其中，创建订单的方式可以为线上或线下，本实施例对此不作限制，例如，设备购买者利用终端APP线上创建订单。厂商根据订单中的订单信息、设备信息和购买者信息生成第一可验证凭证VC1。

请参阅图7，本实施例中，所述第一可验证凭证(Verifiable Credential 1，VC1)中包括：凭证元数据、声明、厂商证明、设备购买者信息、设备信息、设备私钥、订单信息和金融信息。

在生成第一可验证凭证VC1之后，还对其进行加密，进一步提高安全性。具体地，本实施例通过个人公钥PubA对购买者信息、订单信息、设备信息和设备私钥进行加密后，通过第三方支付平台的平台公钥PubB对加密后的购买者信息、订单信息、设备信息和设备私钥，以及未加密的凭证元数据、声明、厂商证明、订单信息和金融信息进行加密。

步骤4、所述设备购买者向第三方支付平台进行支付，同时设备购买者向第三方支付平台发送加密后的第一可验证凭证VC1；

步骤5、第三方支付平台使用平台私钥对第一可验证凭证VC1进行解密后，验证其中的订单信息和金融信息，并在验证通过后向厂商支付订单金额，然后将第一可验证凭证VC1中的剩余信息打包为第二可验证凭证VP1，并将其发送给设备购买者；

第三方支付平台根据订单信息和金融信息验证设备购买者购买的设备属于目标厂商，验证通过后向厂商支付购买费用，并使设备购买者安全得到设备私钥。

本实施例中，第二可验证凭证中(Verifiable Presentation 1，VP1)为第一可验证凭证VC1中的剩余信息，请参阅图8，其中包括：通过个人公钥加密后的购买者信息、订单信息、设备信息和设备私钥，以及未被加密的凭证元数据、声明和厂商证明。

步骤6、设备购买者通过个人私钥PriA对第二可验证凭证VP1进行解密后，获得设备私钥；

步骤7、第三方支付平台将此次交易过程上传至分布式数字身份联盟链；

具体地，设备购买者通过个人私钥PriA对第二可验证凭证VP1进行解密，即可获得购买者信息、订单信息、购买信息和设备设备私钥，设备购买者获得设备私钥后交易完成，第三方支付平台将交易过程上传至分布式数字身份联盟链进行存证，实现一手交钱一手交货。

在上述步骤中，设备购买者已经通过解开第二可验证凭证VP1获取到了设备私钥，设备恩购买者需要在分布式数字联盟链上使用设备私钥更新DID文档，将设备拥有者改成设备购买者完成物联网设备的拥有，请参阅图9，其过程主要包括：

步骤8、设备购买者从分布式数字身份联盟链获取DID文档，通过设备私钥对DID文档进行解密后，将设备拥有者修改为设备购买者，并更新分布式数字身份联盟链上的DID文档。

分布式数字身份联盟链上的DID文被更新后，即可完成设备拥有者为设备购买者的共识，物联网设备的拥有权也随之改变，使得设备购买者拥有了物联网设备，设备购买者可以授权其他用户或者设备对物联网设备进行访问，以及定制相应的访问权限。

综上所述，本实施例所述的基于分布式数字身份的智能设备交易方法及系统，通过使用可验证凭证解决物联网设备、厂商、设备购买者以及第三方支付平台的身份认证问题，安全传递设备私钥，从而在分布式数字身份联盟链上更新DID文档的设备拥有者，从而安全实现智能设备的归属权问题，提高了智能设备确权的安全性。

Claims (10)

1.基于分布式数字身份的智能设备交易方法，其特征在于，包括以下步骤：

步骤1、厂商生成智能设备对应的设备公私钥对、DID账号以及DID文档，所述DID文档中至少包括：DID标识符、设备公钥、设备拥有者、服务以及身份验证信息，所述设备拥有者默认为厂商；

步骤2、通过所述智能设备将DID文档上传至分布式数字身份联盟链；

步骤3、设备购买者生成个人公私钥对，当设备购买者创建购买智能设备的订单后，厂商生成第一可验证凭证，并通过个人公钥以及第三方支付平台的平台公钥对所述第一可验证凭证进行加密后，将其发送给设备购买者，所述第一可验证凭证中至少包括：设备购买者信息、设备信息、设备私钥、订单信息和金融信息；

步骤4、所述设备购买者向第三方支付平台进行支付，同时设备购买者向第三方支付平台发送加密后的第一可验证凭证；

步骤5、第三方支付平台使用平台私钥对第一可验证凭证进行解密后，验证其中的订单信息和金融信息，并在验证通过后向厂商支付订单金额，然后将第一可验证凭证中的剩余信息打包为第二可验证凭证，并将其发送给设备购买者；

步骤6、设备购买者通过个人私钥对第二可验证凭证进行解密后，获得设备私钥；

步骤7、第三方支付平台将此次交易过程上传至分布式数字身份联盟链；

步骤8、设备购买者从分布式数字身份联盟链获取DID文档，通过设备私钥对DID文档进行解密后，将设备拥有者修改为设备购买者，并更新分布式数字身份联盟链上的DID文档。

2.如权利要求1所述的基于分布式数字身份的智能设备交易方法，其特征在于，所述第一可验证凭证中还包括：凭证元数据、声明和厂商证明。

3.如权利要求2所述的基于分布式数字身份的智能设备交易方法，其特征在于，通过个人公钥以及第三方支付平台的平台公钥对所述第一可验证凭证进行加密，具体包括：

通过个人公钥对购买者信息、订单信息、设备信息和设备私钥进行加密后，通过第三方支付平台的平台公钥对加密后的购买者信息、订单信息、设备信息和设备私钥，以及未加密的凭证元数据、声明、厂商证明、订单信息和金融信息进行加密。

4.如权利要求3所述的基于分布式数字身份的智能设备交易方法，其特征在于，所述第二可验证凭证中包括：通过个人公钥加密后的购买者信息、订单信息、设备信息和设备私钥，以及未被加密的凭证元数据、声明和厂商证明。

5.如权利要求1至4任一项所述的基于分布式数字身份的智能设备交易方法，其特征在于，所述智能设备为物联网设备。

6.基于分布式数字身份的智能设备交易系统，其特征在于，包括：

厂商，用于生成智能设备对应的设备公私钥对、DID账号以及DID文档，所述DID文档中至少包括：DID标识符、设备公钥、设备拥有者、服务以及身份验证信息，所述设备拥有者默认为厂商；在收到设备购买者创建的订单后，生成第一可验证凭证，并通过个人公钥以及第三方支付平台的平台公钥对所述第一可验证凭证进行加密后，将其发送给设备购买者，所述第一可验证凭证中至少包括：设备购买者信息、设备信息、设备私钥、订单信息和金融信息；

智能设备，用于将所述DID文档上传至分布式数字身份联盟链；

设备购买者，用于生成个人公私钥对，创建购买智能设备的订单；向第三方支付平台进行支付，同时向第三方支付平台发送加密后的第一可验证凭证；通过个人私钥A对第二可验证凭证进行解密后，获得设备私钥；以及从分布式数字身份联盟链获取DID文档，通过设备私钥对DID文档进行解密后，将设备拥有者修改为设备购买者，并更新分布式数字身份联盟链上的DID文档；

第三方支付平台，用于使用平台私钥对第一可验证凭证进行解密后，验证其中的订单信息和金融信息，并在验证通过后向厂商支付订单金额，然后将第一可验证凭证中的剩余信息打包为第二可验证凭证，并将其发送给设备购买者；

分布式数字身份联盟链，用于接收智能设备上传的DID文档；接收第三方支付平台上传的交易过程；以及接收设备购买者对DID文档的更新。

7.如权利要求6所述的基于分布式数字身份的智能设备交易系统，其特征在于，所述第一可验证凭证中还包括：凭证元数据、声明和厂商证明。

8.如权利要求7所述的基于分布式数字身份的智能设备交易系统，其特征在于，通过个人公钥以及第三方支付平台的平台公钥对所述第一可验证凭证进行加密，具体包括：

通过个人公钥对购买者信息、订单信息、设备信息和设备私钥进行加密后，通过第三方支付平台的平台公钥对加密后的购买者信息、订单信息、设备信息和设备私钥，以及未加密的凭证元数据、声明、厂商证明、订单信息和金融信息进行加密。

9.如权利要求8所述的基于分布式数字身份的智能设备交易系统，其特征在于，所述第二可验证凭证中包括：通过个人公钥加密后的购买者信息、订单信息、设备信息和设备私钥，以及未被加密的凭证元数据、声明和厂商证明。

10.如权利要求6至9任一项所述的基于分布式数字身份的智能设备交易系统，其特征在于，所述智能设备为物联网设备。

Images