CN117411635A

CN117411635A - 注册并验证针对来源证明区块链的新验证器

Info

Publication number: CN117411635A
Application number: CN202310873377.7A
Authority: CN
Inventors: B·西滕; M·帝莫斯
Original assignee: Nokia Solutions and Networks Oy
Current assignee: Nokia Solutions and Networks Oy
Priority date: 2022-07-14
Filing date: 2023-07-14
Publication date: 2024-01-16
Also published as: JP2024012121A; US20240022429A1; EP4307605A1

Abstract

本公开涉及注册并验证针对来源证明区块链的新验证器。在验证针对来源证明区块链的新验证器中，公告消息被接收，该公告消息包括：唯一地标识固定通信运营方的订阅方的一个固定通信线路的唯一标签(T)、新验证器的对等标识符(peer@)；授权签名方的标识符以及授权签名方在至少唯一标签(T)和对等标识符(peer@)上的加密签名(S2)；公告消息的有效性被校验，包括从PoO区块链检查授权签名方在PoO区块链之上被注册为授权签名方，并且检查公告消息中的授权签名方的加密签名(S2)。如果校验的每个检查均是正向的，则接受针对PoO区块链的新验证器，并在PoO区块链中映射唯一标签与至少对等标识符，否则拒绝新验证器。

Description

注册并验证针对来源证明区块链的新验证器

技术领域

各种示例实施例涉及注册并验证针对来源证明区块链的新验证器。

背景技术

这部分阐述了有用的背景信息，而不承认本文所描述的代表现有技术的任何技术。

区块链通常是无许可的。由于任何人都可以匿名加入区块链，而不需要任何许可要求，因此对等必须被视为不受信任的。对等由唯一的钱包地址标识，该唯一的钱包地址不会透露其拥有方的真实身份。因此，拥有方们可以创建期望的任意数量的钱包。一个想要破坏区块链的欺诈用户可以轻易地创建51％或更多的身份来控制区块链已知的大多数的身份。这被称为女巫攻击。因此，区块链不能简单地认为每个身份都是平等的。因此，需要以不同的方式为身份分配投票权，以便对区块链状态达成共识来建立信任。

特定的共识算法被开发，特别是工作证明共识算法和权益证明共识算法。在工作证明共识算法中，身份需要花费处理资源以便获取投票权。在权益证明共识算法中，身份获取的投票权与第三方托管的相关联钱包中的区块链原生通证(Token)数目成比例，如果欺骗行为被发现，将面临失去这些通证的风险。

工作证明共识算法受困于有显著的能量需求。权益证明共识算法为那些有经济优势的人带来了不公平的优势，因为一个人投入的钱越多，其获取的投票权就越多。因此，权益证明共识算法可能受困于对区块链状态的投票权池的抵抗能力不足。

发明内容

针对各种实施例所寻求的保护范围由独立权利要求书陈述。本说明书中描述的不属于独立权利要求范围的实施例和特征(如果有)将被解释为有助于理解各种实施例的示例。

根据第一示例方面，提供了一种用于验证针对来源证明PoO区块链的新验证器的方法，包括

接收公告消息，公告消息包括：唯一地标识固定通信运营方的订阅方的一个固定通信线路的唯一标签、新验证器的对等标识符、授权签名方的标识符、以及授权签名方在至少唯一标签和对等标识符上的加密签名；

校验公告消息的有效性；

校验包括从PoO区块链检查授权签名方在PoO区块链上被注册为授权签名方；并且

校验包括检查公告消息中的授权签名方的加密签名；

如果校验的每个检查均是正向的，则接受针对PoO区块链的新验证器，并在PoO区块链中映射唯一标签与至少对等标识符，否则拒绝新验证器。

授权签名方可以由运营方在PoO区块链中注册为授权签名方。新验证器的标识符可以包括新验证器的公钥或新验证器的公钥的衍生。

授权签名方的标识符可以包括授权签名方的公钥或授权签名方的私钥的衍生。

对授权签名方的加密签名的检查可以包括使用与私钥对应的授权签名方的公钥，加密签名已经利用该私钥来执行。

公告消息还包括新验证器在至少随机项上以及可选地在对等标识符上的加密签名；

授权签名方的加密签名还扩展到新验证器的加密签名上；并且

对公告消息的有效性的校验还包括检查新验证器的签名。

随机项可以包括时间戳、随机码和/或序列号。随机项可以包括时间戳、随机码和/或序列号的导数。导数可以是单向导数。导数可以是循环冗余和。

对新验证器的加密签名的检查可以包括利用与私钥对应的新验证器的公钥，该加密签名已经利用该私钥来执行。

该唯一标签可以至少包括唯一设备标识符和端口的单向加密散列，该端口由一块硬件使用，固定通信线路通过该块硬件通信连接到用于将新验证器注册到PoO区块链上的公告消息的发送方。该发送者也被称为新验证器的拥有方。该块硬件可以是接入点。该块硬件可以至少包括用于不同陆上通信线路的100个或至少400个端口，以用于提供与相应客户前置设备的连接。

该方法还可以包括接受针对PoO区块链的新验证器，利用新映射覆盖唯一标签在PoO区块链中的在先映射。该覆盖将每个唯一标签的验证器注册数目限制为一个。备选地，在另一实施例中，如果新公告的唯一标签已经在链上注册，则可以简单地拒绝新公告，而不是覆盖。在还有一实施例中，固定的足够小的数目可以被允许，例如，每个唯一标签对应4或8个注册，以允许单个家庭中的多个人各自注册他们自己的验证器，或者以支持多个家庭居住在单个住宅中的情况。

公告消息还可以包括公告消息的发送方的位置的地理指示，以用于将新验证器注册到PoO区块链上。

授权签名方的加密签名可以进一步扩展到地理指示上。

地理指示可以是粗粒度的，以降低地理指示的空间准确度。

根据第二示例方面，提供了一种用于向来源证明PoO区块链公告新验证器的方法，包括：

接收来自新验证器的拥有方的公告请求；

至少基于以下项获取针对新验证器的PoO证明：唯一地标识固定通信运营方的订阅方的一个固定通信线路的唯一标签、新验证器的对等标识符、授权签名方的标识符、以及授权签名方在至少唯一标签和对等标识符上的加密签名；

将生成的PoO证明包含在公告消息中；以及

将公告消息发送给PoO区块链的现有验证器。

该方法还可以包括通过针对新验证器生成PoO证明来获取针对新验证器的PoO证明。

该方法还可以包括：在两个阶段中生成PoO证明，使得首先客户前置设备产生第三加密签名，并且随后固定线路运营方的接入点校验第三加密签名，如果第三加密签名是正确的，则用第二加密签名替换第三加密签名。

该方法还可以包括从授权签名方获取针对新验证器的PoO证明。

该方法还可以包括

拦截来自新验证器的公告请求；

获取新验证器的随机项、对等标识符、以及加密签名；

检查新验证器的加密签名；

并且仅在新验证器的加密签名正确的情况下执行针对新验证器的PoO证明的获取。

公告请求的接收可以是使用web服务器来执行的。

该方法还可以包括获取并校验公告请求认证器作为针对以下至少一项的条件：获取证明、将证明包含在公告消息中、或将公告消息发送给现有验证器。认证器可以包括固定通信运营方的订阅标识符，或者认证器可以是固定通信运营方的订阅标识符。认证器可以包括由固定通信运营方针对固定通信运营方的订阅方发布的专用标识符，或者认证器可以是由固定通信运营方针对固定通信运营方的订阅方发布的专用标识符。

该方法还可以进一步包括从固定通信运营方获取唯一标签。

该方法还可以进一步包括保持来自验证器的当前互联网地址和唯一标签的映射。

唯一标签可以基于从当前IP地址的映射来获取，以用于生成PoO证明。

该方法还可以进一步包括由运营方向PoO区块链发送运营方注册请求，以用于获取向PoO区块链证明PoO验证器的权限。运营方注册请求可以包括认证机构发布的运营方的证明。运营方注册请求可以包括运营方的公共地址。公共地址可以包括运营方的公钥。

该方法还可以进一步包括由运营方向PoO区块链提供运营方权益通证，以确保运营方的可靠性。

该方法还可以进一步包括执行网络断言以重复校验不同验证器的近似位置或网络住所。网络断言可以使用互联网延迟测试来执行。网络断言可以使用路由跟踪测试来执行，以获取用于交叉引用的不同验证器的记录。

根据第三示例方面，提供了一种用于将用户设备作为新验证器注册到来源证明PoO区块链的的方法，包括：

向运营方的固定通信网络提供新验证器的对等地址、随机项、以及由与新验证器的对等地址相对应的公钥在对等地址和随机项上生成的第一签名；以及

使PoO公告消息向PoO区块链传输，PoO公告消息包括：新验证器的对等地址、随机项、第一签名、以及授权签名方的PoO证明，PoO证明对针对新验证器的PoO公告消息的有效性进行证明。

使PoO公告消息传输可以包括：使用超文本传输协议HTTP协议发送公告请求，以用于在运营方的固定通信网络中拦截和添加PoO证明。

使PoO公告消息传输可以包括：从运营方的固定通信网络中的PoO web服务器请求PoO证明的添加。

根据第四示例方面，提供了一种用于向来源证明PoO区块链公告新验证器的公告消息，包括：

唯一地标识固定通信运营方的订阅方的一个固定通信线路的唯一标签；

新验证器的对等标识符；

授权签名方的标识符；

以及授权签名方在至少唯一标签和对等标识符上的加密签名。

根据第五示例方面，提供了一种信号，该信号包括第四示例方面的公告消息。

根据第六示例方面，提供了一种计算机程序，该计算机程序包括计算机可执行程序代码，该计算机可执行程序代码被配置为执行第一示例方面、第二示例方面、或第三示例方面的方法。

根据第七示例方面，提供了一种装置，包括至少一个处理器；以及至少一个存储器，存储器包括计算机程序代码；至少一个存储器和计算机程序代码被配置为利用至少一个处理器使装置至少执行第一示例方面的方法。

根据第八示例方面，提供了一种装置，该装置包括处理器，该处理器被配置为执行第一示例方面的方法。

根据第九示例方面，提供了一种装置，该装置包括用于执行第一示例方面的方法的模块。

根据第十示例方面，提供了一种装置，该装置包括存储器和处理器，该存储器和处理器被配置为使该装置执行第一示例方面的方法。

根据第十一示例方面，提供了一种装置，该装置包括至少一个处理器；以及至少一个存储器，存储器包括计算机程序代码；至少一个存储器和计算机程序代码被配置为与至少一个处理器使该装置至少执行第一示例方面的方法。

根据第十二示例方面，提供了一种装置，该装置包括至少一个处理器；以及至少一个存储器，存储器包括计算机程序代码；至少一个存储器和计算机程序代码被配置为与至少一个处理器使装置至少执行第二示例方面的方法。

根据第十三示例方面，提供了一种装置，该装置包括处理器，该处理器被配置为执行第二示例方面。

根据第十四示例方面，提供了一种装置，该装置包括用于执行第二示例方面的方法的模块。

根据第十五示例方面，提供了一种装置，该装置包括存储器和处理器，存储器和处理器被配置为使该装置执行第二示例方面的方法。

根据第十六示例方面，提供了一种装置，该装置包括至少一个处理器；以及至少一个存储器，存储器包括计算机程序代码；至少一个存储器和计算机程序代码被配置为与至少一个处理器使装置至少执行第二示例方面的方法。

根据第十七示例方面，提供了一种装置，该装置包括至少一个处理器；以及至少一个存储器，存储器包括计算机程序代码；该至少一个存储器和计算机程序代码被配置为与至少一个处理器致使装置至少执行第三示例方面的方法。

根据第十八示例方面，提供了一种装置，该装置包括处理器，该处理器被配置为执行第三示例方面的方法。

根据第十九示例方面，提供了一种装置，该装置包括用于执行第三示例方面的方法的模块。

根据第二十示例方面，提供了一种装置，该装置包括存储器和处理器，存储器和处理器被配置为使装置执行第三示例方面的方法。

根据第二十一示例方面，提供了一种装置，该装置包括至少一个处理器；以及至少一个存储器，存储器包括计算机程序代码；至少一个存储器和计算机程序代码被配置为与至少一个处理器使该装置至少执行第三示例方面的方法。

根据第二十二示例，提供了一种系统。该系统可以包括第七示例方面至第十一示例方面中的任意一个示例方面的装置。该系统可以包括第十二示例方面至第十六示例方面中的任意一个示例方面的装置。该系统可以包括第十七示例方面至第二十一示例方面中的任意一个示例方面的装置。

任何前述存储介质可以包括数字数据存储设备，诸如数据盘或软盘、光存储设备、磁存储设备、全息存储设备、光磁存储器、相变存储器、电阻随机存取存储器、磁随机存取存储器、固体电解质存储器、铁电随机存取存储器或有机存储器或聚合物存储器。存储介质可以形成为除了存储存储器之外没有其他实质性功能的设备，或者可以形成为具有其他功能的设备的一部分，包括但不限于计算机的存储器、芯片组和电子设备的子组件。

前述已经说明了不同的非约束性示例方面和实施例。前述实施例仅用于解释可在实现中使用的选定方面或步骤。可以仅参考特定示例方面来呈现一些实施例。应当理解，对应的实施例也可以应用于其他示例方面。

附图说明

为了更完整地理解示例实施例，现在参考与附图有关的以下描述，其中：

图1示出了示例实施例的有线网络拓扑的架构图；

图2示出了另一示例实施例的有线网络拓扑；

图3a示出了示例实施例的基本信令；

图3b示出了示例实施例的信令图；

图3c示出了示例实施例的请求头；

图3d示出了来源证明PoO证明头；

图4示出了示例实施例的另一信令图；

图5示出了示例实施例的方法在接入点中的操作的流程图；

图6示出了用于由区块链对等校验新验证器的示例实施例的方法的流程图；

图7a至图7c示出了一些示例实施例的方法的信令图；

图8示出了一实施例的装置的框图；

图9示出了用于验证针对PoO区块链的新验证器的方法的流程图；

图10示出了用于向PoO区块链公告新验证器的方法的流程图；以及

图11示出了用于将用户设备作为新验证器注册到PoO区块链的方法的流程图。

附图说明

通过参考附图中的图1至图11，可以理解示例实施例及其潜在的优点。在本文中，相似的附图标记表示相似的部件或步骤。

图1示出了示例实施例的有线网络拓扑的架构图。从左到右，图1示出了终端用户家庭1100，其中用户可以使用计算设备1101连接到互联网1140。该计算设备1101经由她的客户前置设备CPE 1102连接，诸如她的家庭路由器。在示例实施例中，该连接是有线的(例如，使用以太网电缆)或无线的(例如，使用无线局域网(WLAN))。CPE 1102通过客户前置连接1200物理连接到运营方设备。在示例性实施例中，客户前置连接1200被连接到给定的物理位置。在示例实施例中，客户前置连接1200包括有线介质，诸如双绞铜线、同轴电缆或光纤。在示例实施例中，客户前置连接1200包括无线连接，诸如定向WLAN、自由空间光通信链路或微波通信链路。

在示例实施例中，运营方设备被托管在用户家庭1100附近的街道机柜1110中。在示例实施例中，一个街道机柜1110物理连接数十或数百个家庭连接电缆，每个电缆向一个客户或更具体地向一个终端点提供服务固定通信连接(例如，互联网接入、电话通讯)。值得注意的是，一个家庭或商业驻地可以有两个或多个终端点。在示例实施例中，终端点是指CPE可连接的点，或者客户的通信设备可经由运营方设备连接到互联网的点。例如，终端端口可以被实现为墙壁插座，该墙壁插座被连接到商业或住宅楼的技术室中的网络交换机的端口之一。

在示例实施例中，街道机柜1110将终端点和相关联的运营方接入网1120跟终端点电路1201连接。在示例实施例中，运营方接入网1120还通过核心网连接1202与运营方核心网1130连接。在示例实施例中，核心网1130具有到互联网1140的互联网连接1203。

接入网1120维持配置数据，该配置数据标识哪个物理链路1200以及因此的订阅方发起了给定的通信，诸如基于IP数据包的传输。因此，运营方拥有流量的原始发起者的唯一且防篡改的标识。然而，这种防篡改标识在运营方的核心网之外通常是不可用的。当数据传输到达某个连接互联网的服务器上的目的地时，这些知识会丢失并因此而不可用。源IP地址仍然存在，但该地址很容易被伪造，并且在重定向她的数据流量(例如，经由虚拟专用网络VPN、隧道或代理服务器)的情况下无法识别原始发送者。

图2示出了另一示例实施例的有线网络拓扑。三个建筑2100、2110、2120中的每一个建筑在运营方拥有的接入节点2200、2210上的物理端口2201、2202、2212处具有有限数目的家庭。在示例实施例中，接入节点2200、2210中的一个或多个是数字用户线接入复用器(DSLAM)。在示例实施例中，接入节点2200、2210中的一个或多个被部署在街道机柜2200、22110处。在示例实施例中，一个物理订阅方线路(诸如光纤)被多路复用。例如，一个光纤可以用本地交换机连接公寓楼的所有公寓或一栋办公楼的所有运营方线路，该本地交换机被配置为将多路复用连接划分到每个单独的订阅方连接点，诸如墙壁插座。在功能上，到单独的订阅方连接点的每个这样的中间多路复用连接被视为运营方的一个固定连接。

接入节点2200、2210为不同的客户提供相应的客户前置连接2601、2602、2603，这里描述为单独的家庭，每个家庭配备有相应CPE 2103、2113、2123。

图2进一步示出了家庭网络2101、2111、2121，包括具有互联网连接的各个终端用户设备，诸如个人计算机、移动电话、平板电脑、物联网设备等。在示例实施例中，终端用户设备经由有线连接(诸如以太网)或无线连接(诸如WLAN 2102、2112、2122)分别连接到相应的家庭路由器2103、2113、2123。家庭路由器2103、2113、2123在接入节点的另一端终止固定线路的“最后一英里”。家庭路由器可以被视为接入运营方网络的第一个点。其他路由器和/或交换机可以被另外部署在家庭网络中，但此与本讨论无关。最终，源自家庭中的终端用户设备并送往互联网2300的所有网络流量通过家庭路由器2103、2113、2123并通过客户前置连接2601、2602、2603流向运营方的接入节点2200、2210。

如图2所示，在示例实施例中，接入节点2200、2210针对有限数目的家庭2100、2110、2120聚合互联网流量。在示例实施例中，接入节点2200、2210被部署在地理上靠近其所服务的家庭。因此，接入节点2200、2210作为地理区域中可用的针对有限的不动产的代理，因此可以被视为稀缺资源。

在图2中，为了简单起见，每个接入节点2200、2210绘制了10个端口。在示例实施例中，一个接入节点具有数百个端口。此外，图2简化了最终提供如图1所示的互联网接入2300的整个运营方网络，并将重点放在物理线路的物理终端上，即到达订阅方前置的线路，也称为最后一英里。

在示例实施例中，提供了一种PoO区块链。区块链的安全性是通过分配一组足够大的验证器节点来确保的，该验证器节点检查由不同区块链用户提交的交易(例如，货币转账、所有权记录等)的有效性和顺序。验证器节点可以通过在与所有验证器相互连接的对等网络上广播新的区块来向其对等(即其他验证器节点)提出经验证的事务的新的区块。验证器节点还检查由其他验证器提出的区块的有效性。区块链的分布式共识算法规定验证器应该跟随最长的已验证的区块的链，并将所提出的有效区块添加到该链中。

为了避免任何一个验证器节点向区块链提出与其他验证器节点相比数量不成比例的区块的，共识算法要求验证器被随机选择以被允许提出区块。如果工作证明共识算法被使用，所有的验证器都将竞争以便第一个找到加密谜题的答案。另一方面，如果权益证明算法被使用，则随机选择的验证器的子集将被允许就下一区块达成共识。投票权将与被资助的通证的数目成比例。被选择为共识群组的概率与投票的数目成比例，并且因此也与权益成比例。

在示例实施例中，来源证明算法被使用来选择适当的验证器。这与先前已知的共识算法不同。这里，投票权与稀缺资源直接相关，而稀缺资源与实体财产资源相关，即具有固定通信线路的房地产。

在图3b所示的示例实施例中，支持来源证明(PoO)的区块链3200需要通过(多个)HTTP请求3101向区块链对等网络3004要求验证器节点3010、3011、3012、3013、3014、3015被公告。

每个验证器节点3010…3015具有与该验证器节点相关联的唯一加密密钥对3210…3215。在每个密钥对3210…3215中都有一个公钥和一个私钥。公钥充当该验证器的唯一标识，也称为对等地址。每个验证器存储区块链状态3200的副本。在公告程序期间，PoO证明针对所讨论的用户，或者更准确地说，针对给定固定通信线路的当前用户而被生成。在示例实施例中，通过在运营方拥有的设备3002上运行的请求拦截逻辑3300，PoO证明被自动附着到公告请求。

在示例实施例中，运营方拥有的设备是CPE中的任何一个或包括CPE中的任何一个、家庭路由器、街道机柜中的设备(诸如DSLAM、光网络终端(ONT))、接入网中的设备(例如，宽带远程接入服务器(BRAS)、ONT)或运营方的核心网中的设备。这里，该运营方拥有的设备被称为接入点AP 3002。

在示例实施例中，公告请求需要从固定通信运营方的家庭网络被发送，以便公告请求可以利用PoO证明来被拦截和扩展。之后，当验证器已被接受在PoO区块链中操作时(即，向PoO区块链生成区块)，拦截不再被需要，并且用户的验证器节点可以通过任何互联网连接来使用。针对一个验证器节点，注册过程(从公告请求开始)只发生一次。在示例实施例中，需要刷新证明。例如，证明可以包括到期日，在该到期日之后，验证器节点将不会在PoO区块链中被接受。在示例实施例中，运营方向PoO区块链公告验证器的取消，例如通过将新的元素存储到PoO区块链中的排除或无效列表中。当用户移出运营方的前置或停止订阅来自运营方的连接时，运营方可以因此取消用户的验证器。

为了使用户能够提交公告请求，如图3a所示，用户或拥有方从她的设备(即公告验证器节点)发送公告消息3100，以在示例实施例的验证器节点注册程序中将她自己注册到来源证明区块链。在示例实施例中，公告消息3100包括如图3c所示的超文本传输协议(HTTP)来源证明(PoO)请求头3500。在示例实施例中，PoO请求头包括拥有方的对等标识符3501，peer@，诸如拥有方的对等地址或拥有方的验证器节点公钥或从源自公钥的公有地址，或拥有方的某些其他的衍生的标识符。在示例实施例中，请求PoO请求头还包括随机项n3502。在示例实施例中，请求PoO请求头进一步包括针对上述对等标识符3501和随机项n3502的第一签名S1 3503。第一签名S1 3503是使用拥有方的私钥所产生的。在示例实施例中，拥有方标识符是公钥或公钥的衍生，该公钥对应于在产生第一签名S1 3503中所使用的拥有方的私钥。

在示例实施例中，随机项n 3502是时间戳、随机码和/或序列号，或者随机项n3502包括时间戳、随机码和/或序列号。在示例实施例中，随机项n 3502是时间戳、随机码和/或序列号的导数，或者随机项n 3502包括时间戳、随机码和/或序列号的导数。在示例实施例中，导数是单向导数。在示例实施例中，导数是循环冗余和。

参见图3d，在从用户获取PoO请求头并成功校验第一签名后，运营方基于该PoO请求头和由用户和证明提供方的加密签名提供的篡改保护来产生PoO证明3601。在示例实施例中，PoO证明3601是基于关于用户的来源证明数据生成的。PoO证明3601和PoO请求头3500被包含在PoO证明头3600内。

在示例实施例中，来源证明数据包括唯一标签3602T。唯一标签3602T至少从唯一设备ID(AP)以及分配给用户并由用户使用的用于其固定线路通信的端口衍生。在示例实施例中，唯一标签3602T使用被设计用以减轻反向推导的单向散列来衍生。在示例实施例中，唯一标签3602T使用加密来衍生。在示例实施例中，唯一标签3602T包括由互联网数字分配机构(IANA)针对接入点分配的自治系统编号(ASN)以及分配给相应固定通信线路的端口的端口标识符。

在示例实施例中，来源证明数据包括指示用户设备3001所在的区域的地理标识符3603G。地理标识符3603G可以对接入点3002AP所位于的地理区域进行编码，例如，如果共识算法试图确保在共识群组的成员之间有足够的地理分布或焦点，则允许地理信息由共识算法使用。在示例实施例中，地理信息是粗粒度的，诸如仅反映国家、州、城市或地理区域级别(诸如50×50公里或10×10公里的区域)。

在示例实施例中，来源证明数据包括授权签名方的标识符3604。在示例实施例中，授权签名方的标识符3604标识由运营方可用于签署证明3601的账户。在示例实施例中，一组授权运营方和/或它们相应的标识符被存储在链式变量中，该链式变量可以由PoO区块链上的任何人查阅。在示例实施例中，每个授权运营方被允许在PoO区块链上注册授权签名方，例如，由运营方拥有的每个接入点3002AP的一个或多个授权签名方。在示例实施例中，授权签名方专用于给定CPE。

在示例实施例中，来源证明数据包括授权签名方S2在拥有方的对等标识符peer@3501、随机项3502n、第一签名3503S1、唯一标签3602T、地理标识符3603G、以及可选地在授权签名方的标识符3604上的签名3605。PoO证明可以以加密方式证明由用户设备3001公告的数据由运营方校验是正确的。

在示例实施例中，图3c的PoO请求头3500的数据是从PoO证明请求的有效载荷字段而非从头获取的。同样，在一些示例实施例中，在有效载荷中传送其他头数据字段。在某些情况下，头数据字段的使用可以简化处理，而使用有效载荷作为各种数据字段的载波可以促进一些头转换、纠错、错误检测和/或遵守可以应用于互联网的某些部分的头的尺寸限制。

在不同的实施例中，接入点3002由不同的实体实现，诸如CPE、家庭路由器、街道机柜中的设备(例如，DSLAM、ONT)、接入网中的设备(例如，BRAS、ONT)或运营方的核心网中的设备。

在示例实施例中，用户设备3001被用于公告验证器节点3015以及运行验证器节点3015。在示例实施例中，其不需要是公告验证器节点以及运行验证器节点的同一设备。相反，一个不同的设备运行验证器节点。只需要为验证器节点提供一个运行验证器节点的帐户，即验证器节点的密钥对3215的公钥部分，并且该帐户与有效的来源证明的证明相关联并在PoO区块链上注册就足够了。

如前所述，图3a的公告消息3100被发送为HTTP请求，使得接入点3002可以基于其头拦截该请求(参见图3c，附图标记3500)。如上所述，经过请求拦截逻辑3300的公告消息3100可以被拦截和修改。在接收到的HTTP请求中注意到PoO请求头后，请求拦截逻辑3300将用PoO证明头替换该PoO请求头，然后将请求向前路由到其目的地3004(为PoO区块链提供动力的对等网络)。图4所示的另一示例实施例中，通过使用在诸如CPE 2113的设备上运行的PoO模块4005的(多个)显式HTTP请求以及接收有效PoO证明作为响应，拦截和相关联的(深度包)检测可以被避免。然后，利用PoO证明，拥有方可以发送包括有效PoO请求头的(多个)HTTP请求，用于将拥有方在其子网络2111中的验证器节点公告给支持来源证明的对等。图4所示的实施例支持拦截和web服务器方法两者，因此用户设备3001可以使用其中任意一种方法。

图5示出了说明示例实施例的方法在接入点3002AP中的操作的流程图，包括以下中一项或多项：

501.接收传入的IP数据包；

502.检测传入的IP数据包是否是HTTP请求；

503.如果传入的IP数据包是HTTP请求，则检测传入的IP数据包是否包括PoO请求头(参见图3c，附图标记3500)；

504.如果两项检测均不是正向的，则照常传递传入的IP数据包；

505.如果两项检测均是正向的，则修改传入的IP数据包；

506.在修改传入的IP数据包中，去除PoO请求头(参见图3c，附图标记3500)，并插入PoO证明头(参见图3d，附图标记3600)；507.在修改传入的IP数据包中，传递修改后的IP数据包。

如果接入点3002AP是路由器，则该传递可以包括路由IP数据包或修改的IP数据包。

图6示出了用于由区块链对等校验新验证器的示例实施例的方法的流程图。该方法包括以下一项或多项：

601.区块链对等网络3004中的验证器节点3010…3014接收包含PoO证明头3600的公告3101。

602.所讨论的验证器节点3010…3014校验证明头中的签名。

603.所讨论的验证器节点3010…3014利用发送验证器节点(sending validatornode)3015的公钥3501校验第一签名3503S1。604.所讨论的验证器节点3010…3014使用在区块链上注册的授权签名方3604的公钥来校验第二签名3604S2。

605.所讨论的验证器节点3010…3014在区块链上存储从唯一标签3602T到发送验证器节点3015的对等地址3501peer@的映射M，可选地伴随与标签3602T相关联的地理标识3603G。由于这是映射，针对相同唯一标签3602T的未来注册将覆盖映射记录M，用于使得仅一个验证器节点能够与唯一标签T相关联。在示例实施例中，多个映射被允许用于一个唯一标签，诸如两个或五个。在这种情况下，在满足针对一个唯一标签的映射限制后，新映射可以覆盖最老的映射。在示例实施例中，一个物理线路被复用用于两个或更多个用户。假设每个用户具有来自运营方的单独的订阅，并且他们的订阅线路被分隔到他们自己的墙壁插座。这时，针对一个物理线路使用一个唯一标签，不同的用户可能会因为共享相同物理线路的其他用户而失去他们的验证器节点。在该示例实施例中，唯一标签还使用用户标识符或子端口标识符来定义。然后，每个用户被分配一个唯一标签，该唯一标签可以像用户有专用物理线路一样被使用。在备选示例实施例中，针对唯一标签3602T的新的注册是不被允许的。

图7a示出了示例实施例的方法的信令图，示出了以下事件：

701.为包括核心逻辑和PoO逻辑两者的CPE供能。

702.核心逻辑向接入网DHCP服务器发送IP地址请求。

703.DHCP服务器针对CPE发布IP地址，并将IP地址发送给用于在发布的IP地址和由CPE使用的接入线路之间映射的接入网或核心网中的接入点。接入线路在这里可以指与该IP地址相关的任何流量的端口或物理线路。接入点知道或获取接入线路的知识。在示例实施例中，接入线路由单向加密散列所标识，该单向加密散列至少取自具有端口的设备的设备标识符，其中接入线路从该端口延伸到CPE。

704.接入点存储从IP地址IP@到唯一标签T的映射。

705.DHCP服务器向CPE和用户通知所发布的IP地址。

706.新的验证器(候选)向PoO区块链发送PoO公告请求。在示例实施例中，该请求包括认证器，例如，用于减轻攻击者通过被劫持的用户设备注册其验证器节点的风险。在示例实施例中，认证器包括由用户和运营方共同知晓的非公开信息。在示例实施例中，认证器包括运营方的用户的用户ID，例如，在运营方的单据中发现的。在示例实施例中，支持PoO验证器的运营方针对其用户生成PoO用户认证器。认证器可以由用户通过运营方的自助服务门户来检索。然后，该认证器在公告请求706中作为附加保护被发送，例如作为头字段。

707.接入点拦截PoO证明。在示例实施例中，公告请求706基于对HTTP头的深度包检测而被拦截。在示例实施例中，在认证器被需要的情况下，在此有效认证器的存在被校验，并且除非被标识，否则公告请求不被进一步处理。

708.接入点检查接收到的公告请求是否有效，例如，接入点是否接收到PoO请求头以及第一签名是否有效。如果第一签名S1有效，则接入点基于存储的IP地址映射来获取唯一标签，生成并附着针对如前面所述的对等@、n、S1和S2的PoO证明。

709.接入点向PoO区块链发送附着PoO证明的公告消息。在示例实施例中，除了PoO请求头由包括PoO证明的PoO证明头替换之外，公告消息可以对应于公告请求。在示例实施例中，发送方IP地址被保持为新验证器的IP地址，就像它在公告请求706中一样。

图7b示出了另一示例实施例的方法的信令图。该方法的事件701至705与图7a的事件701至705对应，因此未绘制这些事件。706.如图7a所示，公告请求706被发送。

707’.该公告请求由CPE核心逻辑拦截。

708’.PoO逻辑检查接收的公告请求是否有效，例如，PoO逻辑是否接收到PoO请求头，以及第一签名是否有效。如果第一签名S1有效，则PoO逻辑基于存储的IP地址映射来获取唯一标签，生成并附着用于如前面所述的对等@、n、S1和S2的PoO证明。在生成PoO证明之前，PoO逻辑从接入网或从接入点获取或已经获取唯一标签。

710.在步骤708’中，PoO逻辑通过向接入点发送带有候选新验证器的IP地址的唯一标签请求来获取唯一标签T。

711.响应于唯一标签请求，接入点向PoO逻辑发送唯一标签T。

709.参考图7a所述，PoO逻辑发送公告消息。在图7b的实施例中，CPE操作为授权签名方。例如，CPE包括可信执行环境，在该可信执行环境中CPE存储公钥和私钥的副本，并且在该可信执行环境中CPE计算第二签名。在由图7c所示的另一示例实施例中，CPE通过PoO证明请求711请求接入点以生成PoO证明。

在又一示例实施例中，PoO证明在两个阶段中生成，因此CPE的PoO逻辑首先生成第三加密签名。随后，固定线路运营方的核心网(例如，接入点)校验第三加密签名，如果第三加密签名是正确的，则用第二加密签名替换第三加密签名。PoO逻辑可以将由第三加密签名签名的中间形式的证明重定向到运营方的核心网或接入网中的接入点或其他实体，用于生成带有第二加密签名的最终形式的认证。通过使用带有第三加密签名的中间加密签名，每个CPE可以使用单独的公/私钥对，并且提供给PoO区块链的证明仍然可以看起来来自一个或几个授权签名方。

共识群组选择

在每个被标识为生成配置数目个块的持续时间的区块链时间期限，新的随机共识群组被选择。每个成功注册的验证器节点3010…3015给定了相同的被选择的可能性。在示例实施例中，最小的地理分布或焦点被用作选择共识群组的成员的附加约束。

授权运营方&注册证明发布实体

固定通信线路运营方或互联网服务提供方通常被视为可信赖的一方：

将拦截逻辑或web服务器逻辑部署到它们的AP上；

可信地执行PoO证明的供应；以及

在区块链上针对它们控制下参与的AP注册认证发布实体。

在示例实施例中，一组授权运营方在区块链上或在链式变量中注册。这种授权运营方的数目非常有限：针对市场中每个为公众所知的固定线路通信运营方有一个。在区块链上添加新的授权运营方需要来自区块链对等的大多数的投票。

在示例实施例中，PoO区块链要求运营方以通证为注，如果有任何人能够证明不诚实的行为，运营方将失去该通证。在示例实施例中，不诚实的运营方被禁止进一步参与。在示例实施例中，对等能够促进临时或永久禁止不诚实的对等，在这种情况下，区块链的对等针对这样的禁止进行投票，并且投票结果由PoO区块链自动产生。

在示例实施例中，启用断言的对等(例如，带有专用逻辑的CPE)的网络连续地断言其他对等的近似位置。在示例实施例中，启用断言的对等通过质询-响应交互系统、测量延迟、收集追踪路线信息等来断言彼此的近似位置。当检查到近似位置(或其他信息，诸如对等的IP地址和分配给相应运营方的IP地址范围)与证明中声称的位置之间的偏差，可以确定运营方未能按照PoO区块链的要求来验证其用户。

在示例实施例中，CPE利用PoO证明向PoO区块链对等补充消息，而运营方的另一网络实体针对CPE生成并传递PoO证明。其他实现也是可能的，诸如CPE还生成PoO证明。

图8示出了根据实施例的装置800的框图。

装置800包括存储器840，存储器840包括持久的计算机程序代码850。装置800还包括用于使用计算机程序代码840控制装置800的操作的处理器820、用于与其他节点通信的通信单元810。通信单元810包括，例如，局域网(LAN)端口、无线局域网(WLAN)单元、蓝牙单元、蜂窝数据通信单元、或卫星数据通信单元。处理器820包括，例如以下任意一项或多项：主控制单元(MCU)、微处理器、数字信号处理器(DSP)、专用集成电路(ASIC)、现场可编程门阵列、以及微控制器。

图9示出了用于验证针对PoO区块链的新验证器的方法的流程图，该方法包括以下一个或多个步骤：

901.接收公告消息，该公告消息包括：唯一标签，该唯一标签唯一地标识固定通信运营方的订阅方的一个固定通信线路；新验证器的对等标识符；授权签名方的标识符，以及授权签名方在至少唯一标签和对等标识符上的加密签名。

902.校验公告消息的有效性。

903.在校验中，从PoO区块链检查授权签名方在PoO区块链上被注册为授权签名方。

904.在校验中，检查公告消息中授权签名方的加密签名。

905.如果校验的每个检查均是正向的，则接受针对PoO区块链的新验证器，并在PoO区块链中映射唯一标签与至少对等标识符，否则拒绝新验证器。

906.公告消息还包括新验证器在至少随机项上以及可选地在对等标识符上的加密签名。

907.授权签名方的加密签名还扩展到新验证器的加密签名上。

908.在公告消息的有效性的校验中，检查新验证器的签名。

909.在接受针对PoO区块链的新验证器后，利用新映射来覆盖唯一标签在PoO区块链中的在先映射。

910.公告消息还包含新验证器的位置的地理指示。

911.授权签名方的加密签名进一步扩展到地理指示上。

图10示出了用于向PoO区块链公告新验证器的方法的流程图，该方法包括以下一个或多个步骤：1001.接收针对新验证器的公告请求。新验证器在这里可以指知晓公钥和私钥的验证器实体的节点，该公钥和私钥正被应用于PoO验证器注册。例如，自然人或计算机设备(诸如计算机)可以保持验证器节点。因此，验证器节点可以由带有相同或不同设备的验证器实体来实例化，用于向PoO区块链公告验证器(如果从不同的固定连接线路执行)以及用于来自任何互联网连接的后续的投票。

1002.至少基于以下项获取针对新验证器的PoO证明：唯一标签，该唯一标签唯一地标识固定通信运营方的订阅方的一个固定通信线路；新验证器的对等标识符；授权签名方的标识符，以及授权签名方在至少唯一标签和对等标识符上的加密签名。

1003.将生成的PoO证明包含在公告消息中。

1004.将公告消息发送给PoO区块链的现有验证器。

1005.通过针对新验证器生成PoO证明来获取针对新验证器的PoO证明。

1006.拦截来自新验证器的公告请求。

1007.获取新验证器的随机项、对等标识符、以及加密签名。

1008.检查新验证器的加密签名，仅在新验证器的加密签名正确的情况下，执行针对新验证器的PoO证明的获取。

1009.使用web服务器执行公告请求的接收。

1010.获取并校验公告请求认证器作为针对以下至少一项的条件：获取证明、将证明包含在公告消息中、或者将公告消息发送给现有的验证器。

1011.保持来自验证器的当前互联网地址以及唯一标签的映射。

1012.基于映射，获取唯一标签，以用于基于唯一标签来获取针对新验证器的PoO证明。

图11示出了用于将用户设备作为新验证器注册到PoO区块链的方法的流程图，该方法包括以下一个或多个步骤：1101.向运营方的固定通信网络提供新验证器的对等地址、随机项、以及由与新验证器的对等地址相对应的公钥在对等地址和随机项上生成的第一签名。

1102.使PoO公告消息向PoO区块链传输，该PoO公告信息包括新验证器的对等地址、随机项、第一签名、以及授权签名方的PoO证明，该PoO证明对针对新验证器的PoO公告消息的有效性进行证明。

1103.在使PoO公告消息传输中，使用超文本传输协议HTTP协议发送公告请求，以用于在运营方的固定通信网络中拦截和添加PoO证明。

1104.在使PoO公告消息传输中，从运营方的固定通信网络中的PoO web服务器请求PoO证明的添加。

本申请中使用的术语“电路”可以指以下一项或多项或全部：

(a)仅硬件的电路实现(诸如仅在模拟和/或数字电路中的实现)；以及

(b)硬件电路和软件的组合，诸如(如适用)：

(i)(多个)模拟和/或数字硬件电路与软件/固件的组合；以及

(ii)带有软件(包括一同工作用以使装置(诸如移动电话或服务器)执行各种功能的(多个)数字信号处理器、软件、以及(多个)存储器)的(多个)硬件处理器的任何部分；以及

(c)需要用于操作的软件(例如，固件)的(多个)硬件电路和/或(多个)处理器，诸如(多个)微处理器或(多个)微处理器的一部分，但当其不需要软件进行操作时，软件可以不存在。

电路的这个定义适用于这个术语在本申请中、包括在任意权利要求中的所有使用。作为进一步的示例，如在本申请中所使用的，术语电路还涵盖仅硬件电路或处理器(或多个处理器)或硬件电路或处理器的一部分以及其(或它们的)伴随软件和/或固件的实现。术语电路还涵盖，例如并且如果适用于特定权利要求元件，用于移动设备的基带集成电路或处理器集成电路或服务器、蜂窝网络设备或其他计算或网络设备中的类似集成电路。

在不以任何方式限制本文出现的权利要求的范围、解释或应用的情况下，本文公开的一个或多个示例实施例的技术效果是，区块链证明可以基于有限的且可校验的资源来被验证，该资源不需要任何与工作证明相关的计算挖掘。本公开的一个或多个示例实施例的另一技术效果是，区块链证明可以在不同对等之间不带财务歧视地被布置。本文公开的一个或多个示例实施例的还有一技术效果是，区块链证明可以有效且可校验地在地理上被分布。实施例可以在软件、硬件、应用逻辑或软件、硬件及应用逻辑的组合中实现。在示例实施例中，应用逻辑、软件或指令集被保持在各种常规计算机可读介质中的任一种上。图8中描述并描绘了计算机的一个示例，在本文的上下文中，“计算机可读介质”可以是任何非瞬态介质或方法，可以包含、存储、通信、传播或传输指令以由指令执行系统、装置或设备(诸如计算机)使用或与指令执行系统、装置或设备(诸如计算机)结合使用。计算机可读介质可以包括计算机可读存储介质，其可以是可以包含或存储指令以由指令执行系统、装置或设备(诸如计算机)使用或与指令执行系统、装置或设备(诸如计算机)结合使用的任何介质或方法。

如果需要，本文讨论的不同功能可以以不同的顺序和/或彼此同时执行。此外，如果需要，前面描述的功能中的一个或多个可以是可选的或者可以被组合。

尽管在独立权利要求中陈述了各个方面，但是其他方面包括来自所描述的实施例和/或从属权利要求的特征与独立权利要求的特征的其他组合，而不仅仅是权利要求中明确陈述的组合。

还应注意，虽然前面描述了示例实施例，但这些描述不应被视为限制性的。相反，在不脱离所附权利要求中所定义的本发明的范围的情况下，可以进行一些变化和修改。

Claims

1.一种用于验证针对来源证明PoO区块链的新验证器的方法，包括：

接收公告消息，所述公告消息包括：唯一地标识固定通信运营方的订阅方的一个固定通信线路的唯一标签、所述新验证器的对等标识符、授权签名方的标识符、以及所述授权签名方在至少所述唯一标签和所述对等标识符上的加密签名；

校验所述公告消息的有效性；

所述校验包括从所述PoO区块链检查所述授权签名方在所述PoO区块链上被注册为授权签名方；并且

所述校验包括检查所述公告消息中的所述授权签名方的所述加密签名；

如果所述校验的每个检查均是正向的，则接受针对所述PoO区块链的所述新验证器，并在所述PoO区块链中映射所述唯一标签与至少所述对等标识符，否则拒绝所述新验证器。

2.根据权利要求1所述的方法，其中

所述公告消息还包括所述新验证器在至少随机项上以及可选地在所述对等标识符上的加密签名；

所述授权签名方的所述加密签名还扩展到所述新验证器的所述加密签名上；并且

对所述公告消息的所述有效性的所述校验还包括检查所述新验证器的所述签名。

3.根据权利要求1或2所述的方法，还包括：在接受针对所述PoO区块链的所述新验证器后，利用新映射来覆盖所述唯一标签在所述PoO区块链中的在先映射。

4.根据权利要求1或2所述的方法，其中

所述公告消息还包括所述新验证器的位置的地理指示；并且

所述授权签名方的所述加密签名进一步扩展到所述地理指示上。

5.一种用于向来源证明PoO区块链公告新验证器的方法，包括：

接收针对所述新验证器的公告请求；

至少基于以下项获取针对所述新验证器的PoO证明：唯一地标识固定通信运营方的订阅方的一个固定通信线路的唯一标签、所述新验证器的对等标识符、授权签名方的标识符、以及所述授权签名方在至少所述唯一标签和所述对等标识符上的加密签名；

将生成的所述PoO证明包含在公告消息中；以及

将所述公告消息发送给所述PoO区块链的现有验证器。

6.根据权利要求5所述的方法，还包括：通过针对所述新验证器生成所述PoO证明来获取针对所述新验证器的PoO证明。

7.根据权利要求5或6所述的方法，还包括

拦截来自所述新验证器的所述公告请求；

获取所述新验证器的随机项、对等标识符、以及加密签名；以及

检查所述新验证器的所述加密签名，并且仅在所述新验证器的所述加密签名正确的情况下执行针对所述新验证器的所述PoO证明的所述获取。

8.根据权利要求5或6所述的方法，其中所述公告请求的所述接收是使用web服务器来执行的。

9.根据权利要求5或6所述的方法，还包括：获取并校验公告请求认证器作为针对以下至少一项的条件：获取所述证明、将所述证明包含在所述公告消息中、或将所述公告消息发送给所述现有验证器。

10.根据权利要求5或6所述的方法，还包括：

保持来自所述验证器的当前互联网地址和所述唯一标签的映射；以及

基于所述映射，获取所述唯一标签，以用于基于所述唯一标签来获取针对所述新验证器的所述PoO证明。

11.一种用于将新验证器注册到来源证明PoO区块链的方法，包括：

向运营方的固定通信网络提供所述新验证器的对等地址、随机项、以及由与所述新验证器的所述对等地址相对应的公钥在所述对等地址和所述随机项上生成的第一签名；以及

使PoO公告消息向所述PoO区块链传输，所述PoO公告消息包括：所述新验证器的所述对等地址、所述随机项、所述第一签名、以及授权签名方的PoO证明，所述PoO证明对针对所述新验证器的所述PoO公告消息的有效性进行证明。

12.根据权利要求11所述的方法，其中使所述PoO公告消息传输包括：a)使用超文本传输协议HTTP协议发送所述公告请求，以用于在所述运营方的所述固定通信网络中拦截和添加所述PoO证明，或者b)从所述运营方的所述固定通信网络中的PoO web服务器请求所述PoO证明的添加。

13.一种计算机程序，包括计算机可执行程序代码，所述计算机可执行程序代码被配置为执行前述权利要求所述的任一方法。

14.一种装置，包括存储器和处理器，所述存储器和处理器被配置为使所述装置执行根据权利要求1至10中任一项所述的方法。

15.一种系统，包括：装置，所述装置包括存储器和处理器，所述存储器和处理器被配置为使所述装置执行根据权利要求1至10中任一项所述的方法；以及装置，包括存储器和处理器，所述储器和处理器被配置为使所述装置执行根据权利要求11或12所述的方法。