CN117544393A - 基于区块链技术的云-边协作数据安全存储系统与方法 - Google Patents
基于区块链技术的云-边协作数据安全存储系统与方法 Download PDFInfo
- Publication number
- CN117544393A CN117544393A CN202311676039.0A CN202311676039A CN117544393A CN 117544393 A CN117544393 A CN 117544393A CN 202311676039 A CN202311676039 A CN 202311676039A CN 117544393 A CN117544393 A CN 117544393A
- Authority
- CN
- China
- Prior art keywords
- data
- node
- authenticated
- entity
- cloud
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000003860 storage Methods 0.000 title claims abstract description 36
- 238000000034 method Methods 0.000 title claims abstract description 23
- 238000005516 engineering process Methods 0.000 title claims abstract description 17
- 238000012545 processing Methods 0.000 claims abstract description 9
- 238000004458 analytical method Methods 0.000 claims abstract description 4
- 230000006870 function Effects 0.000 claims description 26
- 238000012795 verification Methods 0.000 claims description 22
- 230000008520 organization Effects 0.000 claims description 10
- 230000008569 process Effects 0.000 claims description 10
- 230000006854 communication Effects 0.000 claims description 9
- 238000005304 joining Methods 0.000 claims description 9
- 230000007246 mechanism Effects 0.000 claims description 9
- 238000004891 communication Methods 0.000 claims description 8
- 230000005540 biological transmission Effects 0.000 claims description 7
- 238000007726 management method Methods 0.000 claims description 7
- 230000004044 response Effects 0.000 claims description 6
- 238000012550 audit Methods 0.000 claims description 5
- 238000013506 data mapping Methods 0.000 claims description 3
- 238000005538 encapsulation Methods 0.000 claims description 3
- 230000002441 reversible effect Effects 0.000 claims description 3
- 230000007613 environmental effect Effects 0.000 claims description 2
- 230000006855 networking Effects 0.000 claims description 2
- 238000013500 data storage Methods 0.000 description 6
- 230000002776 aggregation Effects 0.000 description 3
- 238000004220 aggregation Methods 0.000 description 3
- 230000003993 interaction Effects 0.000 description 3
- 230000007547 defect Effects 0.000 description 2
- 238000010586 diagram Methods 0.000 description 2
- 230000008901 benefit Effects 0.000 description 1
- 238000010276 construction Methods 0.000 description 1
- 238000009826 distribution Methods 0.000 description 1
- 230000002452 interceptive effect Effects 0.000 description 1
- 230000002427 irreversible effect Effects 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 238000012544 monitoring process Methods 0.000 description 1
- 238000006467 substitution reaction Methods 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
- H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
- H04L63/0435—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply symmetric encryption, i.e. same key used for encryption and decryption
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
- H04L63/101—Access control lists [ACL]
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/01—Protocols
- H04L67/10—Protocols in which an application is distributed across nodes in the network
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
- H04L9/0838—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these
- H04L9/0841—Key agreement, i.e. key establishment technique in which a shared key is derived by parties as a function of information contributed by, or associated with, each of these involving Diffie-Hellman or related key agreement protocols
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
- H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/50—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using hash chains, e.g. blockchains or hash trees
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Storage Device Security (AREA)
Abstract
本发明公开一种基于区块链技术的云‑边协作数据安全存储系统及方法。所述的系统包括：可信机构，用于对尝试加入系统的任意实体提供唯一的认证；云服务器，由可信机构认证后负责存储已加密的物联网数据；并对经过可信机构认证的实体的请求给予响应；区块链，由可信机构认证后能提供去中心化的存储环境用以确保物联网数据不可被篡改；边缘服务器，由可信机构认证后负责处理物联网设备所提供的物联网数据，并将处理过的数据上传到云服务器；物联网设备：由可信机构认证后将数据提交至附近的边缘服务器进行分析和处理。本发明通过区块链与云服务器的相互协作并结合公钥密码学体制以确保存储数据的安全性。
Description
技术领域
本发明涉及一种基于区块链与云-边缘计算混合架构的物联网数据存储系统与方法。
背景技术
基于物联网技术的各类应用，诸如智慧城市、智能家居及车联网等新一代信息技术在提供生活便利的同时依然面临着诸多安全问题，如数据的隐私保护、访问控制、安全传输等问题。因此，研究如何解决各类物联网应用中所存在的隐私及数据安全隐患具有重要意义。此外，传统的基于云数据中心的物联网数据存储方案依然存在中心计算能力不够，数据隐私泄露和数据遭到破坏的可能。例如，存储在云数据中心的物联网数据存在恶意篡改、数据丢失及隐私嗅探等风险。
发明内容
为克服上述缺陷，本发明提供一种基于区块链技术的云-边协作数据安全存储系统与方法。
为达到上述目的，本发明的基于区块链技术的云-边协作数据安全存储系统，包括：
可信机构，用于对生成系统的密钥，并对尝试加入系统的任意实体提供唯一的认证；
云服务器，由可信机构认证后负责存储已加密的物联网数据；并对经过可信机构认证的实体的请求给予响应；
区块链，由可信机构认证后能提供去中心化的存储环境用以确保物联网数据不可被篡改，通过区块链-云端的数据映射关系以实现对存储在云端的数据的有效性校验；
边缘服务器，由可信机构认证后负责处理物联网设备所提供的物联网数据，并将处理过的数据上传到云服务器；
物联网设备：由可信机构认证后将数据提交至附近的边缘服务器进行分析和处理。
进一步地，所述的物联网设备为传感器设备。
进一步地，所述的传感器设备为感知环境信息的设备，包括：RFID、GPS、温度、湿度传感器。
进一步地，所述的任意实体包括：云服务器、区块链服务器、边缘服务器、物联网设备。
进一步地，所述的可信机构对任意实体认证的过程包括：
(1)选定哈希函数Hash(*)，消息认证码函数HMAC(*),随机匿名函数，对称加密算法Es(*)，对称解密算法Ds(*)；
(2)可信机构输出系统的随机数T,消息认证码HAMC(*)，设置私钥msk＝T，由可信机构保存生成的私钥；可信机构根据生成的私钥T和时间戳TSnow生成系统公钥为mpk＝g；可信机构向系统内的各个实体公布这些公用函数和公共参数；
(3)待认证实体Ei在本地运行密钥生成算法；待认证实体Ei根据可信机构公布的随机数函数，选择随机数Si作为其私钥Prik(Ei)，根据可信机构公布的加密算法，计算其公钥为Pubk(Ei)
(4)待认证实体Ei与可信机构之间的通信运用Diffie-Helman密钥交换协议生成通信会话秘钥；待认证实体Ei将相关的个人参数(Si,Pubk(Ei))和系统公共参数(哈希函数，随机函数，加密算法)作为输入传给Diffie-Helman算法，输出待认证实体Ei与可信机构之间的会话密钥SKE->TA；
(5)待认证实体Ei的身份信息为Info(Ei)＝{configs,affiliation,type,…,location},Info(Ei)中包含了待认证实体Ei的详细信息；随后，待认证实体Ei使用会话秘钥SKE->TA加密Info(Ei)，生成的加密信息为Reg(Ei)＝{Pubk(Ei),TSnow,HAMC(Pubk(Ei)&TSnow)},发送给可信机构
(6)可信机构接收到待认证实体Ei的身份信息之后，根据本地保存的的消息认证函数结合Reg(Ei)验证其有效性，并且将待认证实体Ei的身份信息以键值对的形式<Ei,Reg(Ei)>备份于云服务器；如果待认证实体Ei身份验证通过，则由可信机构为其生成假名PS(Ei)，颁布其唯一合法的数字证书Cert(Ei)一并发送给待认证实体Ei。
进一步地，所述的可信机构对节点ESi加入区块链网络的过程的认证包括：
(1)申请加入区块链系统；
11)：节点ESi定义加入区块链系统的申请请求；格式如下：
ReqJioni＝{Cert(ESi),Type:”Jion”,IpAddr,HostName.PS(ESi),TSnnow},其中ReqJioni包含
了节点ESi的证书Cert(ESi),Type标识请求的类型，IpAddr和HostName分别代表了申请节点的IP地址和主机名，PS(ESi)为节点的假名；
12)：节点ESi加密ReqJioni之后发送给可信机构，可信机构先对ReqJioni解密，对其中包含的数字证书Cert(ESi)进行核验确定ESi为一注册的合法节点；
13):在确定ReqJioni为合规请求后，可信机构查询区块链的配置详情表，搜索区块链系统中的有效成员节点，并且将ReqJioni转发给区块链中的成员节点，随后由成员节点对请求ReqJioni进行投票；
(2)：节点审核
21)：当区块链节点Nodei收到ReqJioni消息以后，需要验证该消息是否过期，(TSnow-ReqJioni.TSnow)<t(t为预设值的网络传输时间阈值)则代表该条消息没有过期，并且跳转至步骤2，否则丢弃；
22)：Nodei:需验证ReqJioni是否经过可信机构的认证，验证其Cert(ESi)的有效性，IpAddr地址是否真实。如果验证结果都为true,调用智能合约对请求ReqJioni进行投票。
23)：Nodei在完成对请求ReqJioni的投票之后，反向可信机构反馈响应消息说明其投票结果。反馈格式如下：
ResJioni＝{Result:true,From:Pubk(Nodei),Status:“complete”,TSnow}
(3)节点配置；
(31)：在规定的时间间隔内收到超过三分之二的区块链节点的响应消息后，可信机构调用智能合约获取节点的表决结果；否则，这次请求无效；
(32)：可信机构对接收到的表决结果进行分析，当超过三分之二的ResJioni中Result为true，则代表节点ESi通过了入链申请；可信机构将区块链节点所需的配置信息InfoConfig(ESi)发送给节点ESi；
(33)：ESi根据收到的InfoConfig(ESi)设置自身节点为区块链成员节点，并且将自身节点的配置更新Config(ESi)＝{PS(ESi),IpAddr,TSnow,Status}，发送给可信机构；由可信机构将Config(ESi)添加至维护的区块链节点配置表中。
为达到上述目的，本发明的基于区块链技术的云-边协作数据安全存储方法，所述的方法包括下述步骤：
71、传感器数据sData需汇集至传感器管理节点mNodeii,使用ESi的公钥Pubk(ESi)对sData进行加密；mNodei使用其私钥Prik(mNodei)对sData生成数字签名γ，再加上时间戳TSnow之后将加密处理后的sData发送给ESi，格式定义如Rmsg(mNodei)＝{sData,γ,Pubk(ESi),TSnow}
72：边缘节点ESi对接收到的数据进行验证；首先对数据包中所含的时间戳判断该数据包是否已过期；通过验证消息中包含的数字签名来判断该数据包是否来自mNodei节点；当所有条件都满足，结束本次存储流程。
进一步地，所述的方法还包括下述步骤：
81、边缘服务器ESi将收到的Rmsg(mNodei)数据集进行解析，根据系统的敏感数据判定规则，假设判定规则为IP白名单；消息中的IP地址在白名单内，这些sData就是非敏感数据，跳转至步骤82；否则，就是敏感数据，跳转至步骤83；
82：边缘服务器ESi验证sData消息的时间戳TSnow进行有效性验证，再对其数字签名γ验证；验证通过后调用本地的智能合约实现对sData的上链存储，将sData的数据加入ESi维护的区块链账本中；
83：边缘服务器对敏感数据进行二次封装，增加ESi的属性信息以及与数据的对应关系，发送给云服务器CS；云服务器CS验证sRd消息的时间戳TSnow进行有效性验证，再对其数字签名γ验证；验证通过后存储在本地数据库。
本发明提出了基于边缘计算设备构建区块链存储网络的方法，并执行节点申请与成员审核机制以保证区块链系统的可靠性。进一步的，提出了基于区块链与云-边计算混合架构的物联网数据安全存储与交互模型，该模型通过区块链与云服务器的相互协作并结合公钥密码学体制以确保存储数据的安全性。此外，模型使用Diffie-Hellman密钥交换协议以保证数据在传输过程中的机密性。
附图说明
图1本发明的系统架构图
图2为本发明中区块链构建申请流程图
图3为本发明边缘数据的聚合和存储示意图。
具体实施方式
下面结合附图对本发明实施例进行详细描述。
在本发明的描述中，需要理解的是，术语“中心”、“上”、“下”、“前”、“后”、“左”、“右”、“竖直”、“水平”、“顶”、“底”、“内”、“外”等指示的方位或位置关系为基于附图所示的方位或位置关系，仅是为了便于描述本发明和简化描述，而不是指示或暗示所指的装置或元件必须具有特定的方位、以特定的方位构造和操作，因此不能理解为对本发明的限制。
术语“第一”、“第二”仅用于描述目的，而不能理解为指示或暗示相对重要性或者隐含指明所指示的技术特征的数量。由此，限定有“第一”、“第二”的特征可以明示或者隐含地包括一个或者更多个该特征。在本发明的描述中，除非另有说明，“多个”的含义是两个或两个以上。
在本发明的描述中，需要说明的是，除非另有明确的规定和限定，术语“安装”、“相连”、“连接”应做广义理解，例如，可以是固定连接，也可以是可拆卸连接，或一体地连接；可以是直接相连，也可以通过中间媒介间接相连，可以是两个元件内部的连通。对于本领域的普通技术人员而言，可以具体情况理解上述术语在本发明中的具体含义。
如图1所示，本发明包括如下几个部分组成
1、可信机构(Trusted Authority,TA)A:负责系统的初始化，生成系统的主要密钥以及其他公共参数。此外，任意实体尝试加入系统应向TA提供其身份信息并获取其唯一的认证证书。
2、边缘服务器(Edge Server,ES)B:距离传感器设备最近的边缘服务器，负责处理感知设备所提供的的物联网数据，包括计算感知数据的哈希值、加密数据并将处理过的数据上传到云服务器。
3、云服务器(Cloud Server,CS)C:由云服务器负责存储已加密的物联网数据。当授权实体请求访问云端数据时，云服务器请求TA验证身份的有效性，并将加密数据返回给请求者。
4、区块链(Blockchai,BC)D:区块链系统由不同地理分布的边缘服务器构建而成，能提供去中心化的存储环境用以确保物联网数据不可被篡改。此外，通过区块链-云端的数据映射关系可以实现对存储在云端的数据的有效性校验。
5、传感器设备(Sensors)E：部署于物联网应用场景中的各类传感器包括RFID、GPS及温度适度传感器等用以感知环境信息的设备。一般来说，受限于自身的存储和计算能力，传感器设备通常需要将感知的数据提交至附近的边缘服务器进行分析和处理。
进一步的，本发明分为四个主要的基本功能模块：系统初始化SF、实体注册EF、数据处理DF1、数据审计DF2。基本工作流程如下：
S1:系统初始化模块负责系统的初始化工作，TA运行系统的初始化程序，生成系统的主秘钥对<mpk,msk>及其他的系统参数。TA保存系统的主私钥msk并公开系统的公钥mpk。
S2:基本初始化完成后，系统中的各实体(如边缘服务器ES、云服务器CS等)应生成实体密钥对<Prik,Pubk>,然后将其真实的身份信息连同公钥Pubk发送至TA以完成身份注册。TA基于接收到的身份信息生成唯一的数字证书并返回给用户。
S3:当物联网中的边缘服务器，智能传感设备成为系统中的合法实体，则由底层物联网传感器所生成的各类数据可以上传至附近的边缘服务器。此外，边缘服务器还负责将收集到的数据同步到云服务器和区块链账本。
S4:经过授权的管理机构有权验证数据的完整性，获得授权的机构可向边缘服务器和云服务器发送数据的审核请求，并由系统返回数据的审核结果。
整个云-边安全交互存储系统可以分为两部分，节点安全管理和云-边数据安全存储。我们以实体Ei(可以是云服务器，任意传感器设备，边缘服务器),边缘服务器ESi，云服务器CS为例展开主要的循环流程说明。
实体Ei安全加入系统的过程如下：
1、TA选定哈希函数Hash(*)，消息认证码函数HMAC(*),随机匿名函数，对称加密算法Es(*)，对称解密算法Ds(*)。此处设计到的哈希函数，随机匿名函数，加密算法可以根据实际安全等级要求选用不同级别的国际常用加密算法。具体就不展开做详细介绍。
2、TA根据如上的选取的各种算法，输出系统的随机数T,消息认证码HAMC(*)，设置私钥msk＝T，由TA保存生成的私钥。TA根据生成的私钥T和时间戳TSnow生成系统公钥为mpk＝g。TA向系统内的各个Ei公布这些公用函数和公共参数。
3、为了防止在通信过程中密钥泄露，保证私钥的安全，Ei在本地运行密钥生成算法。Ei根据TA公布的随机数函数，选择随机数Si作为其私钥Prik(Ei)，根据TA公布的加密算法，计算其公钥为Pubk(Ei)
4、为了保证与TA通信的安全性，Ei与TA之间的通信运用Diffie-Helman密钥交换协议生成通信会话秘钥。Ei将相关的个人参数(Si,Pubk(Ei))和系统公共参数(哈希函数，随机函数，加密算法)作为输入传给Diffie-Helman算法，输出Ei与TA之间的会话密钥SKE->TA
5、Ei的身份信息为Info(Ei)＝{configs,affiliation,type,…,location},Info(Ei)中包含了实体Ei的详细信息，如设备的配置信息(硬件地址)、从属关系和地理位置等。随后，Ei使用会话秘钥SKE->TA加密Info(Ei)，生成的加密信息为Reg(Ei)＝{Pubk(Ei),TSnow,HAMC(Pubk(Ei)&TSnow)},发送给TA
6、TA接收到Ei的身份信息之后，根据本地保存的的消息认证函数结合Reg(Ei)
验证其有效性，并且将Ei的身份信息以键值对的形式<Ei,Reg(Ei)>备份于云服务器。如果Ei身份验证通过，则由TA为其生成假名PS(Ei)，颁布其唯一合法的数字证书Cert(Ei)一并发送给Ei，实体Ei在本地保存Cert(Ei)作为其身份的有效凭证。
至此，实体Ei的注册流程完成。
如图2所示，进一步的，如果实体为边缘服务器节点，需要加入区块链系统，如下以边缘服务器节点ESi为例分析加入区块链网络的过程。
节点ESi加入区块链网络可分为申请请求、节点审核、区块链节点配置三个主要阶段。
阶段一：申请加入区块链系统
步骤1：节点ESi定义加入区块链系统的申请请求。格式如下：
ReqJioni＝{Cert(ESi),Type:”Jion”,IpAddr,HostName.PS(ESi),TSnow},其中ReqJioni包含了节点ESi的证书Cert(ESi),Type标识请求的类型，IpAddr和HostName分别代表了申请节点的IP地址和主机名，PS(ESi)为节点的假名。
步骤2：节点ESi加密ReqJioni之后发送给TA，TA需要先对ReqJioni解密，对其中包含的数字证书Cert(ESi)进行核验确定ESi为一注册的合法节点。
步骤3:在确定ReqJioni为合规请求后，TA查询区块链的配置详情表，搜索区块链系统中的有效成员节点，并且将ReqJioni转发给区块链中的成员节点，随后由成员节点对请求ReqJioni进行投票。
阶段二：节点审核
步骤1：当区块链节点Nodei收到ReqJioni消息以后，需要验证该消息是否过期，(TSnow-ReqJioni.TSnow)<t(t为预设值的网络传输时间阈值)则代表该条消息没有过期，并且跳转至步骤2，否则丢弃
步骤2：Nodei:需验证ReqJioni是否经过TA的认证，验证其Cert(ESi)的有效性，IpAddr地址是否真实。如果验证结果都为true,调用智能合约对请求ReqJioni进行投票。
步骤3：Nodei在完成对请求ReqJioni的投票之后，反向TA反馈响应消息说明其投票结果。
反馈格式如下：
ResJioni＝{Result:true,From:Pubk(Nodei),Status:“complete”,TSnow}
阶段三：节点配置
步骤1：在规定的时间间隔内收到超过三分之二的区块链节点的响应消息后，TA调用智能合约获取节点的表决结果。否则，这次请求无效。
步骤2：TA对接收到的表决结果进行分析，当超过三分之二的ResJioni中Result为true，则代表节点ESi通过了入链申请。TA将区块链节点所需的配置信息InfoConfig(ESi)发送给节点ESi，比如genesis.json文件等。
步骤3：ESi根据收到的InfoConfig(ESi)设置自身节点为区块链成员节点，并且将自身节点的配置更新Config(ESi)＝{PS(ESi),IpAddr,TSnow,Status}，发送给TA。随后，由TA将Config(ESi)添加至维护的区块链节点配置表中。
至此，节点ESi完成了加入区块链系统的整个流程。
以上部分完成了节点安全管理部分。下面将说明云-边数据安全存储过程。
云-边数据的安全存储可以分为两部分，一是数据采集设备到边缘服务器的安全交互存储过程，可以称为数据聚合；二是边缘服务器与云服务器之间的安全交互存储过程，可以称为数据存储。
如图3所示，假设感知设备是部署在应用场景中的各类传感器，该类设备负责监控共L个特征属性。因此，由传感器设备生成的感应数据可以定义为SData＝{d1,d2…,dl}。该类传感器的数据将通过网络汇聚至附近的边缘服务器ESi，数据聚合的详细步骤如下:
步骤1：传感器数据sData需汇集至传感器管理节点mNodei,使用ESi的公钥Pubk(ESi)对sData进行加密；mNodei使用其私钥Prik(mNodei)对sData生成数字签名γ，再加上时间戳TSnow之后将加密处理后的sData发送给ESi，格式定义如Rmsg(mNodei)＝{sData,γ,Pubk(ESi),TSnow}
步骤2：边缘节点ESi对接收到的数据进行验证。首先对数据包中所含的时间戳判断该数据包是否已过期。随后，通过验证消息中包含的数字签名来判断该数据包是否来自mNodei节点。当所有条件都满足，才可以进行下一步数据存储流程。
由于物联网应用通常每天产生上千GB的数据，基于边缘服务器的区块链系统受限于有限的硬件资源，所以在本发明中设计由区块链系统存储非敏感类型的数据，由云服务器记录敏感类的数据。敏感数据的定义根据具体的应用场景来确定，一般工业用的敏感数据包含设备IP，关键设备运行数据等。
数据存储的详细步骤如下：
步骤1：边缘服务器ESi将收到的Rmsg(mNodei)数据集进行解析，根据系统的敏感数据判定规则，假设判定规则为IP白名单。消息中的IP地址在白名单内，这些sData就是非敏感数据，跳转至步骤2；否则，就是敏感数据，跳转至步骤3
步骤2：边缘服务器ESi验证sData消息的时间戳TSnow进行有效性验证，再对其数字签名γ验证。验证通过后调用本地的智能合约实现对sData的上链存储，将sData的数据加入ESi维护的区块链账本中。区块链账本具有不可逆，数据不可篡改的优势，提高了边缘服务器所存储数据的安全性。
步骤3：边缘服务器对敏感数据进行二次封装，增加ESi的属性信息以及与数据的对应关系，格式定义为：sRd＝{Pubk(ESi),PS(ESi),Rmsg(mNodei),TSnow}发送给云服务器CS；云服务器CS验证sRd消息的时间戳TSnow进行有效性验证，再对其数字签名γ验证。验证通过后存储在本地数据库。
至此，一套完整的系统流程执行完成，本发明提出的基于区块链技术的云-边协作数据安全存储系统提供了一种动态节点的安全管理策略，任意节点(传感器、边缘服务器)之间数据的安全传输方式；同时提供了一种安全有效的云-边协作数据不可逆不可篡改的存储方法。不仅解决了当前工业物联网普遍存在的工业数据数据存储和传输的安全性问题，还解决了集中式存储存在的性能和效率问题。
上面结合附图对本发明作了详细说明，但是本发明不限于上述实施方式，在本领域普通技术人员所具备的知识范围内，还可以在不脱离本发明宗旨的前提下做出各种变化。对不脱离本发明的构思和范围做出许多其他改变和改型，应当视为本发明保护范围。
在本说明书的描述中，具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。
以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。
Claims (8)
1.一种基于区块链技术的云-边协作数据安全存储系统，其特征在于，所述的系统包括：
可信机构，用于对生成系统的密钥，并对尝试加入系统的任意实体提供唯一的认证；
云服务器，由可信机构认证后负责存储已加密的物联网数据；并对经过可信机构认证的实体的请求给予响应；
区块链，由可信机构认证后能提供去中心化的存储环境用以确保物联网数据不可被篡改，通过区块链-云端的数据映射关系以实现对存储在云端的数据的有效性校验；
边缘服务器，由可信机构认证后负责处理物联网设备所提供的物联网数据，并将处理过的数据上传到云服务器；
物联网设备：由可信机构认证后将数据提交至附近的边缘服务器进行分析和处理。
2.如权利要求1所述的基于区块链技术的云-边协作数据安全存储系统，其特征在于，所述的物联网设备为传感器设备。
3.如权利要求2所述的基于区块链技术的云-边协作数据安全存储系统，其特征在于，所述的传感器设备为感知环境信息的设备，包括：RFID、GPS、温度、湿度传感器。
4.如权利要求1所述的基于区块链技术的云-边协作数据安全存储系统，其特征在于，所述的任意实体包括：云服务器、区块链服务器、边缘服务器、物联网设备。
5.如权利要求1所述的基于区块链技术的云-边协作数据安全存储系统，其特征在于，所述的可信机构对任意实体认证的过程包括：
(1)选定哈希函数Hash(*)，消息认证码函数HMAC(*),随机匿名函数，对称加密算法Es(*)，对称解密算法Ds(*)；
(2)可信机构输出系统的随机数T,消息认证码HAMC(*)，设置私钥msk＝T，由可信机构保存生成的私钥；可信机构根据生成的私钥T和时间戳TSnow生成系统公钥为mpk＝g；可信机构向系统内的各个实体公布这些公用函数和公共参数；
(3)待认证实体Ei在本地运行密钥生成算法；待认证实体Ei根据可信机构公布的随机数函数，选择随机数Si作为其私钥Prik(Ei)，根据可信机构公布的加密算法，计算其公钥为Pubk(Ei)
(4)待认证实体Ei与可信机构之间的通信运用Diffie-Helman密钥交换协议生成通信会话秘钥；待认证实体Ei将相关的个人参数(Si,Pubk(Ei))和系统公共参数(哈希函数，随机函数，加密算法)作为输入传给Diffie-Helman算法，输出待认证实体Ei与可信机构之间的会话密钥SKE->TA；
(5)待认证实体Ei的身份信息为Info(Ei)＝{configs,affiliation,type,…,location},Info(Ei)中包含了待认证实体Ei的详细信息；随后，待认证实体Ei使用会话秘钥SKE->TA加密Info(Ei)，生成的加密信息为Reg(Ei)＝{Pubk(Ei),TSnow,HAMC(Pubk(Ei)&TSnow)},发送给可信机构
(6)可信机构接收到待认证实体Ei的身份信息之后，根据本地保存的的消息认证函数结合Reg(Ei)验证其有效性，并且将待认证实体Ei的身份信息以键值对的形式<Ei,Reg(Ei)>备份于云服务器；如果待认证实体Ei身份验证通过，则由可信机构为其生成假名PS(Ei)，颁布其唯一合法的数字证书Cert(Ei)一并发送给待认证实体Ei。
6.如权利要求1所述的基于区块链技术的云-边协作数据安全存储系统，其特征在于，
所述的可信机构对节点ESi加入区块链网络的过程的认证包括：
(1)申请加入区块链系统；
11)：节点ESi定义加入区块链系统的申请请求；格式如下：
ReqJioni＝{Cert(ESi),Type:”Jion”,IpAddr,HostName.PS(ESi),TSnnow},其中ReqJioni包含了节点ESi的证书Cert(ESi),Type标识请求的类型，IpAddr和HostName分别代表了申请节点的IP地址和主机名，PS(ESi)为节点的假名；
12)：节点ESi加密ReqJioni之后发送给可信机构，可信机构先对ReqJioni解密，对其中包含的数字证书Cert(ESi)进行核验确定ESi为一注册的合法节点；
13):在确定ReqJioni为合规请求后，可信机构查询区块链的配置详情表，搜索区块链系统中的有效成员节点，并且将ReqJioni转发给区块链中的成员节点，随后由成员节点对请求ReqJioni进行投票；
(2)：节点审核
21)：当区块链节点Nodei收到ReqJioni消息以后，需要验证该消息是否过期，(TSnow-ReqJioni.TSnow)<t(t为预设值的网络传输时间阈值)则代表该条消息没有过期，并且跳转至步骤2，否则丢弃；
22)：Nodei:需验证ReqJioni是否经过可信机构的认证，验证其Cert(ESi)的有效性，IpAddr地址是否真实。如果验证结果都为true,调用智能合约对请求ReqJioni进行投票。
23)：Nodei在完成对请求ReqJioni的投票之后，反向可信机构反馈响应消息说明其投票结果。反馈格式如下：
ResJioni＝{Result:true,From:Pubk(Nodei),Status:“complete”,TSnow}
(3)节点配置；
(31)：在规定的时间间隔内收到超过三分之二的区块链节点的响应消息后，可信机构调用智能合约获取节点的表决结果；否则，这次请求无效；
(32)：可信机构对接收到的表决结果进行分析，当超过三分之二的ResJioni中Result为true，则代表节点ESi通过了入链申请；可信机构将区块链节点所需的配置信息InfoConfig(ESi)发送给节点ESi；
(33)：ESi根据收到的InfoConfig(ESi)设置自身节点为区块链成员节点，并且将自身节点的配置更新Config(ESi)＝{PS(ESi),IpAddr,TSnow,Status}，发送给可信机构；由可信机构将Config(ESi)添加至维护的区块链节点配置表中。
7.一种基于区块链技术的云-边协作数据安全存储方法，其特征在于，所述的方法包括下述步骤：
71、传感器数据sData需汇集至传感器管理节点mNodeii,使用ESi的公钥Pubk(ESi)对sData进行加密；mNodei使用其私钥Prik(mNodei)对sData生成数字签名γ，再加上时间戳TSnow之后将加密处理后的sData发送给ESi，格式定义如Rmsg(mNodei)＝{sData,γ,Pubk(ESi),TSnow}
72：边缘节点ESi对接收到的数据进行验证；首先对数据包中所含的时间戳判断该数据包是否已过期；通过验证消息中包含的数字签名来判断该数据包是否来自mNodei节点；当所有条件都满足，结束本次存储流程。
8.如权利要求7所述的一种基于区块链技术的云-边协作数据安全存储方法，其特征在于，所述的方法还包括下述步骤：
81、边缘服务器ESi将收到的Rmsg(mNodei)数据集进行解析，根据系统的敏感数据判定规则，假设判定规则为IP白名单；消息中的IP地址在白名单内，这些sData就是非敏感数据，跳转至步骤82；否则，就是敏感数据，跳转至步骤83；
82：边缘服务器ESi验证sData消息的时间戳TSnow进行有效性验证，再对其数字签名γ验证；验证通过后调用本地的智能合约实现对sData的上链存储，将sData的数据加入ESi维护的区块链账本中；
83：边缘服务器对敏感数据进行二次封装，增加ESi的属性信息以及与数据的对应关系，发送给云服务器CS；云服务器CS验证sRd消息的时间戳TSnow进行有效性验证，再对其数字签名γ验证；验证通过后存储在本地数据库。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202311676039.0A CN117544393A (zh) | 2023-12-07 | 2023-12-07 | 基于区块链技术的云-边协作数据安全存储系统与方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202311676039.0A CN117544393A (zh) | 2023-12-07 | 2023-12-07 | 基于区块链技术的云-边协作数据安全存储系统与方法 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN117544393A true CN117544393A (zh) | 2024-02-09 |
Family
ID=89788005
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202311676039.0A Pending CN117544393A (zh) | 2023-12-07 | 2023-12-07 | 基于区块链技术的云-边协作数据安全存储系统与方法 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN117544393A (zh) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN118381599A (zh) * | 2024-06-24 | 2024-07-23 | 浙江宇脉科技股份有限公司 | 一种基于区块链的智能通信方法及系统 |
-
2023
- 2023-12-07 CN CN202311676039.0A patent/CN117544393A/zh active Pending
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN118381599A (zh) * | 2024-06-24 | 2024-07-23 | 浙江宇脉科技股份有限公司 | 一种基于区块链的智能通信方法及系统 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| AU2021206913B2 (en) | Systems and methods for distributed data sharing with asynchronous third-party attestation | |
| Lohachab | ECC based inter-device authentication and authorization scheme using MQTT for IoT networks | |
| Chai et al. | CyberChain: Cybertwin empowered blockchain for lightweight and privacy-preserving authentication in Internet of Vehicles | |
| Babu et al. | A distributed identity‐based authentication scheme for internet of things devices using permissioned blockchain system | |
| Oktian et al. | BorderChain: Blockchain-based access control framework for the Internet of Things endpoint | |
| CN108768988A (zh) | 区块链访问控制方法、设备及计算机可读存储介质 | |
| CN105530253B (zh) | 基于CA证书的Restful架构下的无线传感器网络接入认证方法 | |
| KR20100134745A (ko) | 분산형 아이덴티피케이션을 위한 방법, 네트워크 내의 스테이션 | |
| Srikanth et al. | An efficient Key Agreement and Authentication Scheme (KAAS) with enhanced security control for IIoT systems | |
| CN101409619A (zh) | 闪存卡及虚拟专用网密钥交换的实现方法 | |
| Kravitz | Transaction immutability and reputation traceability: Blockchain as a platform for access controlled iot and human interactivity | |
| Faisal et al. | Cyber security and key management issues for internet of things: Techniques, requirements, and challenges | |
| US20230045486A1 (en) | Apparatus and Methods for Encrypted Communication | |
| Das et al. | Design of a trust-based authentication scheme for blockchain-enabled iov system | |
| CN110492997B (zh) | 一种基于超级账本的加密系统、方法、装置和存储介质 | |
| CN117544393A (zh) | 基于区块链技术的云-边协作数据安全存储系统与方法 | |
| Duan et al. | Design of anonymous authentication scheme for vehicle fog services using blockchain | |
| Zeydan et al. | Blockchain-based self-sovereign identity solution for aerial base station integrated networks | |
| Kumar et al. | An anonymous and authenticated V2I communication with a simplified user revocation and re-registration strategy: P. Kumar, H. Om | |
| Ponnuru et al. | Baap-fiot: Blockchain assisted authentication protocol for fog-enabled internet of things environment | |
| Saadeh et al. | Object authentication in the context of the internet of things: A survey | |
| Chen et al. | Enabling a secured communication in distributed iot using the smart systems service infrastructure | |
| Alvarenga et al. | DAGSec: A hybrid distributed ledger architecture for the secure management of the Internet of Things | |
| Yao et al. | VDKMS: Vehicular Decentralized Key Management System for Cellular Vehicular-to-Everything Networks, A Blockchain-Based Approach | |
| Garzon et al. | Did link: Authentication in tls with decentralized identifiers and verifiable credentials |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination |