TW202116038A

TW202116038A - 電子裝置之認證方法及系統

Info

Publication number: TW202116038A
Application number: TW108136651A
Authority: TW
Inventors: 郭谷彰
Original assignee: 郭谷彰
Priority date: 2019-10-09
Filing date: 2019-10-09
Publication date: 2021-04-16
Also published as: TWI698113B

Abstract

一種電子裝置之認證方法，應用於包括有複數節點裝置之區塊鏈網路，其中複數節點裝置包括服務端、用戶端及至少一驗證端。本發明之認證方法包括下列步驟：服務端發布一認證服務合約，以使用戶端透過將驗證資料記錄於認證服務合約中而發起認證程序；驗證端依據該驗證資料，以一驗證機制對該用戶端進行驗證，以產生認證結果；該驗證端將該認證結果記錄於認證管理合約。

Description

電子裝置之認證方法及系統

本發明係關於一種電子裝置之認證方法及系統，特別是一種涉及區塊鏈智能合約之運用的電子裝置之認證方法及系統。

隨著網路普及與通訊技術不斷的提升，許多交易多可透過網路來實現。為確保網路交易安全，需有識別、確認網路使用者身分的機制，其中利用數位憑證即屬方式之一。目前的數位憑證發行流程是網路使用者向被認為應具公信力之憑證管理中心(Certificate Authority, CA)提出憑證簽章請求(Certificate Singing Request, CSR)後，由憑證管理中心對該使用者進行身分驗證，並於驗證通過後始簽發憑證。

然而，由單一的憑證管理中心對網路使用者做身分確認之動作可能還是會有可信度的問題，故而使用者雖然取得某一憑證管理中心所簽發之憑證，但未必會被某服務提供者所信賴，且對於可能沒有實際使用者在操作的物聯網(Internet of Things)裝置來說，傳統憑證管理中心之身分驗證方式也難以適用。因此，實有必要思考一種新的身分驗證機制，以改善前揭提到的問題。

本發明之主要目的係在提供一種運用區塊鏈智能合約實現認證作業之電子裝置之認證方法。

本發明之另一主要目的係在提供一種執行上述方法之電子裝置之認證系統。

為達成上述之目的，本發明之電子裝置之認證方法應用於區塊鏈網路，其中區塊鏈網路包括有複數節點裝置，複數節點裝置包括服務端、用戶端及至少一驗證端。本發明之認證方法包括下列步驟：服務端發布一認證服務合約，以使用戶端透過將一驗證資料記錄於認證服務合約中而發起認證程序；驗證端依據驗證資料，以一驗證機制對用戶端進行驗證，以產生一認證結果；驗證端將該認證結果記錄於一認證管理合約。

本發明之電子裝置之認證系統，運作於一區塊鏈網路，認證系統包括服務端以及至少一驗證端。服務端用以發布一認證服務合約，以使用戶端透過將一驗證資料記錄於該認證服務合約中而發起認證程序。驗證端用以依據該驗證資料，以一驗證機制對該用戶端進行驗證，以產生一認證結果，並將該認證結果記錄於一認證管理合約。

為能讓貴審查委員能更瞭解本發明之技術內容，特舉較佳具體實施例說明如下。

以下請先參考圖1至圖2。圖1係本發明之電子裝置之認證系統之一實施例之使用環境示意圖；圖2係本發明之電子裝置之認證系統之驗證端之一實施例之系統架構圖。

如圖1所示，在本發明之一實施例中，本發明之電子裝置之認證系統1運用於區塊鏈網路100中，其中區塊鏈網路100包括複數節點裝置。複數節點裝置包括有服務端10、複數驗證端20以及用戶端90。具體實施例中，各節點裝置例如可為但不限於伺服器、桌上型電腦、智慧型手機或其他具無線通訊功能之物聯網裝置。本發明之認證系統1包括服務端10以及驗證端20。

在本發明之一實施例中，服務端10係用以透過區塊鏈交易發布認證服務合約11及認證管理合約12。用戶端90可透過將驗證資料記錄於認證服務合約11中而發起認證程序。在此所提到的認證服務合約11及認證管理合約12均為區塊鏈智能合約(Smart Contract)，是指能依據既定條件及輸入的資料來驅動執行指令的電腦程式。由於如何在區塊鏈網路100上佈署可產生特定功能之智能合約為現有技術，其原理及實施方法已為所屬領域具有通常知識者所熟知，故在此不多做贅述。

在本發明之一實施例中，複數驗證端20用以依據用戶端90記錄於認證服務合約11中的驗證資料，以一驗證機制來對該用戶端90進行身分確認之驗證動作，以產生一認證結果。當各驗證端20產生認證結果後，不論認證結果為驗證成功或驗證失敗，驗證端20皆會分別將取得的認證結果記錄於認證管理合約12中。在本實施例中，驗證資料為憑證請求檔案(Certificate Signing Request, CSR)，當中包括有區塊鏈帳戶資料、用戶公鑰及統一資源識別碼(Uniform Resource Identifier, URI)之資料，其中區塊鏈帳戶資料為用戶端90在此區塊鏈網路100上公開的帳戶資料，但本發明之驗證資料並不以此為限。

如圖2所示，在本發明之一實施例中，驗證端20包括有發送模組21、驗證模組23、加密模組25及擷取模組27。關於各模組執行之功能，以下將會有更詳細之說明，在此暫不予贅述。

需注意的是，上述各個模組除可配置為硬體裝置、軟體程式、韌體或其組合外，亦可藉電路迴路或其他適當型式配置；並且，各個模組除可以單獨之型式配置外，亦可以結合之型式配置。一個較佳實施例是各模組皆為軟體程式儲存於記憶體(圖未示)中，藉由處理單元(圖未示)執行各模組以達成本發明之功能。此外，本實施方式僅例示本創作之較佳實施例，為避免贅述，並未詳加記載所有可能的變化組合。然而，本領域之通常知識者應可理解，上述各模組或元件未必皆為必要。且為實施本創作，亦可能包含其他較細節之習知模組或元件。各模組或元件皆可能視需求加以省略或修改，且任兩模組間未必不存在其他模組或元件。

接著，請一併參考圖1至圖5，其中圖3係本發明之電子裝置之認證方法之步驟流程圖，圖4係表示認證方法之一驗證機制之步驟流程圖，圖5係表示認證方法之另一驗證機制之步驟流程圖，以下將配合圖1及2來說明圖3至圖5中所示之各步驟。此處需注意的是，以下雖以上述認證系統1為例說明本發明之電子裝置之認證方法，但本發明之認證方法並不以使用在上述相同結構的認證系統1為限。

如圖3所示，首先進行步驟S1：服務端發布認證服務合約及認證管理合約，以使用戶端透過將一驗證資料記錄於該認證服務合約中而發起認證程序。

在本發明之一實施例中，服務端10首先會在區塊鏈網路100上透過區塊鏈交易發布一認證服務合約11。認證服務合約11發布後，區塊鏈網路100上的任一節點裝置如欲進行認證，可提供驗證資料記錄於該認證服務合約11中，藉以發起認證程序。在此提供驗證資料記錄於認證服務合約11之節點裝置即為用戶端90。在本實施例中，驗證資料為憑證請求檔案，當中包含有區塊鏈帳戶資料、用戶公鑰及統一資源識別碼，但本發明不以此為限。

接著，執行步驟S2：驗證端依據驗證資料，以一驗證機制對用戶端進行驗證，以產生一認證結果。

在本發明之一實施例中，區塊鏈網路100上任一節點裝置可依據記錄在認證服務合約11中的驗證資料，以一驗證機制對提供該驗證資料之用戶端90進行驗證，以產生一認證結果。在此以驗證機制對用戶端90進行驗證之節點裝置即為驗證端20。在本發明之具體實施例中，驗證端20會依照用戶端90之選擇就三種驗證方式擇一進行驗證作業，但本發明不以此為限，在其他實施例中，也可限以單一特定之驗證機制進行驗證。

圖4所示為第一種驗證機制之流程圖。在此一驗證機制下，首先會由驗證端20之發送模組21根據用戶端90提供的區塊鏈帳戶資料透過區塊鏈交易發送第一加密代幣至該用戶端90(即執行步驟S201)。接著，驗證端20之驗證模組23會判斷是否有接收到來自該用戶端90回傳的第二加密代幣(即執行步驟S202)。如果驗證端20有接收到來自該用戶端90的第二加密代幣，則應可認定該用戶端90確實為該區塊鏈帳戶資料之擁有者，因此驗證模組23將會產生驗證成功之認證結果(即執行步驟S203)，以完成驗證機制之作業。反之，如果驗證模組23在預設時間內並未接收到來自該用戶端90的第二加密代幣，則驗證端20會重新再以相同的驗證機制對該用戶端90進行驗證(即重複實施步驟S201及步驟S202)。當驗證端20以相同驗證機制對用戶端90進行多次驗證，例如已達五次的預設次數後，如驗證端20均未能接收到來自該用戶端90的第二加密代幣，則驗證端20之驗證模組23將會產生驗證失敗之認證結果(即執行步驟S205)，以完成驗證機制之作業。

圖5所示為第二種驗證機制之流程圖。在此一驗證機制下，首先會先由驗證端20之加密模組25利用用戶公鑰、驗證私鑰及亂數字串以非對稱式加密方法產生加密訊息(即執行步驟S206)。接著，驗證端20之發送模組21依據統一資源識別碼將該加密訊息及驗證公鑰發送至用戶端90(即執行步驟S207)，其中此處的驗證公鑰與驗證私鑰為驗證端20所產生的相對應密碼組。用戶端90接收到來自驗證端20的加密訊息後，會以驗證端20傳來的驗證公鑰及用戶私鑰對該加密訊息解密，以產生一驗證字串，其中用戶公鑰與用戶私鑰為用戶端90所產生的相對應密碼組。驗證端20之擷取模組27接著會依據統一資源識別碼至用戶端90擷取經解密所產生的驗證字串(即執行步驟S208)。取得驗證字串後，驗證端20之驗證模組23會比對該驗證字串是否與加密時所用的該亂數字串相符(即執行步驟S209)。如果有相符，應可認定用戶端90確實為用戶公鑰的擁有者，並且也是統一資源識別碼所記載的網域名稱(Domain name)或網際網路協定位址(Internet Protocol Address)的擁有者，因此驗證模組23將會產生驗證成功之認證結果(即執行步驟S210)，以完成驗證機制之作業。相反地，如果該驗證字串比對結果與該亂數字串並不相符時，則驗證端20會重新再以相同的驗證機制對用戶端90進行驗證(即重複實施步驟S206~步驟S209)。當驗證端20以相同驗證機制對用戶端90進行多次驗證，例如已達五次的預設次數後，如驗證端20均未能擷取到與該亂數字串相符的驗證字串，則驗證端20之驗證模組23將會產生驗證失敗之認證結果(即執行步驟S212)，以完成驗證機制之作業。

第三種驗證機制為類似現有憑證管理中心採用的傳統驗證方式。舉例而言，可透過發送驗證連結至用戶端90所提供的電子郵件，再根據是否有接收到來自用戶端90點選該驗證連結之結果來產生所述之認證結果(同樣可包含驗證成功或驗證失敗之認證結果)。

根據上開說明可知，前揭提到的第二種驗證機制具有雙重確認機制，包含是否擁有用戶公鑰以及網域名稱或網際網路協定位址之確認，故認證結果具有較高之可信度。本發明之認證方法可提供用戶端90依照其自身需求選擇其中一種驗證機制，且不同驗證機制須提供的驗證資料內容可為不同，因此在其他實施例中，如果用戶端90僅欲選擇以第一種驗證機制進行驗證，可僅提供區塊鏈帳戶資料即可，不需要有用戶公鑰及統一資源識別碼。此外，需應注意的是，本發明所述驗證機制並不以前揭所提到的方式為限。

如圖3所示，執行步驟S3：驗證端將該認證結果記錄於認證管理合約。

在本發明之一實施例中，當驗證端20各自發起驗證並取得認證結果後，不論認證結果為驗證成功或驗證失敗，驗證端20之驗證模組23皆會將取得的認證結果記錄於認證管理合約12中。在具體實施例中，被記錄在認證管理合約12中的資訊包含驗證成功或驗證失敗之認證結果資訊、執行驗證之驗證端資訊以及通過認證的用戶端資訊，但本發明不以此為限。通過認證的用戶端資訊可提供區塊鏈網路100上任一節點裝置瀏覽知悉用戶端90是否經過認證及被認證的次數，藉以讓欲訪問該用戶端90之節點裝置可以在參考後決定是否與該用戶端90連線。驗證端資訊之紀錄可讓服務端10追蹤驗證過程，對於不實驗證之驗證端20施予制裁。

執行步驟S4：服務端比對記錄於認證管理合約中有關該用戶端驗證成功之認證結果次數是否達於一發證標準值。

在本發明之實施例中，服務端10會比對用戶端90成功通過驗證而被記錄於認證管理合約12中的認證結果(即驗證成功之認證結果)次數是否達於一發證標準值。也就是說，不同的節點裝置在完成對用戶端90的驗證後，均會將取得的認證結果記錄於認證管理合約12中，用戶端90通過越多節點裝置(即驗證端)的認證，即表示該用戶端90的安全可信賴度越高。

執行步驟S5：服務端發送一憑證檔案至用戶端。

步驟S4完成後，當比對結果為用戶端90被不同驗證端20驗證成功的認證結果次數合計已達發證標準值時，服務端10便會發送憑證檔案至用戶端90。舉例而言，假設用戶端90所記錄的驗證資料為憑證請求檔案，並且選擇以前揭提到的第二種驗證機制進行驗證時，由於第二種驗證機制具較高的安全可信賴度，因此可設定發證標準值為十次，亦即只要該用戶端90通過了十個不同驗證端20以第二種驗證機制所進行驗證後，服務端10便會根據記錄於認證管理合約12中的十次驗證成功的認證結果發送憑證檔案至用戶端90。再舉例言之，假設用戶端90所記錄的驗證資料為憑證請求檔案，並且選擇以前揭提到的第一種驗證機制進行驗證時，由於第一種驗證機制安全可信賴度較第二種驗證機制低，因此可設定發證標準值為二十次，亦即要該用戶端90通過了二十個不同驗證端20以第一種驗證機制所進行驗證後，服務端10才會根據記錄於認證管理合約12中的二十次驗證成功之認證結果發送憑證檔案至用戶端90。

另需注意的是，在其他實施例中，用戶端90可單純請求驗證即可，而不以要求發送憑證為必要。也就是說，本發明之認證方法也可提供用戶端90選擇僅由驗證端20完成驗證並記錄認證結果於認證管理合約12中即可，此時用戶端90提供記錄在認證服務合約11中的驗證資料可以不是憑證請求檔案，換言之，前揭所述的步驟S4和步驟S5是可以省略的。由於記錄於認證管理合約12中的認證結果可作為其他節點裝置是否信任用戶端90裝置的依據，故即便沒有憑證，其他節點裝置也可以認證管理合約12中有關用戶端90認證結果之次數來作為決定是否訪問該用戶端90的判斷依據。

經由前揭說明可知，本發明揭露之認證方法是以區塊鏈上分散的各個節點裝置作為獨立的認證裝置，亦即區塊鏈上的任一節點裝置均可對請求被認證的用戶端90進行身分驗證。因區塊鏈網路可追溯紀錄且紀錄不易被竄改的特性，而可免去現有技術之憑證管理中心並達到多重驗證之功效，提高認證結果的可信賴度。並且，本發明之認證方法提供有多種驗證機制，可供用戶端90依照其自身認證強度需求做選擇。

雖然本發明已以實施例揭露如上實施例，然其並非用以限定本發明，任何所屬技術領域中具有通常知識者，在不脫離本發明之精神和範圍內，當可作些許之更動與修飾，皆應為本專利所主張之權利範圍，故本專利之保護範圍當視後附之專利申請範圍所界定者為準。

1:認證系統 10:服務端 11:認證服務合約 12:認證管理合約 20:驗證端 21:發送模組 23:驗證模組 25:加密模組 27:擷取模組 90:用戶端 100:區塊鏈網路

圖1係本發明之電子裝置之認證系統之一實施例之使用環境示意圖。圖2係本發明之電子裝置之認證系統之驗證端之一實施例之系統架構圖。圖3係本發明之電子裝置之認證方法之步驟流程圖。圖4係表示認證方法之一驗證機制之步驟流程圖。圖5係表示認證方法之另一驗證機制之步驟流程圖。

1:認證系統

10:服務端

11:認證服務合約

12:認證管理合約

20:驗證端

90:用戶端

100:區塊鏈網路

Claims

一種電子裝置之認證方法，應用於一區塊鏈網路，該區塊鏈網路包括複數節點裝置，該複數節點裝置包括一服務端、一用戶端及至少一驗證端，該認證方法包括下列步驟：該服務端發布一認證服務合約，以使該用戶端透過將一驗證資料記錄於該認證服務合約中而發起認證程序；該至少一驗證端依據該驗證資料，以一驗證機制對該用戶端進行驗證，以產生一認證結果；以及該至少一驗證端將該認證結果記錄於一認證管理合約。
如申請專利範圍第1項所述之認證方法，其中該驗證資料包括一區塊鏈帳戶資料，該驗證機制包括：該至少一驗證端根據該區塊鏈帳戶資料發送一第一加密代幣至該用戶端；該至少一驗證端判斷是否有接收到來自該用戶端之一第二加密代幣；以及若是，則該至少一驗證端產生該認證結果。
如申請專利範圍第1項所述之認證方法，其中該驗證資料包括一區塊鏈帳戶資料、一用戶公鑰及一統一資源識別碼，該驗證機制包括：該至少一驗證端利用該用戶公鑰、一驗證私鑰及一亂數字串加密產生一加密訊息；該至少一驗證端依據該統一資源識別碼將該加密訊息及一驗證公鑰發送至該用戶端，其中該驗證公鑰與該驗證私鑰為該驗證端所產生之密碼組；該至少一驗證端依據該統一資源識別碼至該用戶端擷取一驗證字串，其中該驗證字串係由該用戶端利用該驗證公鑰及一用戶私鑰對該加密訊息解密後所產生，該用戶公鑰與該用戶私鑰為該用戶端所產生之密碼組；以及該至少一驗證端比對該驗證字串是否與該亂數字串相符；若是，則該至少一驗證端產生該認證結果。
如申請專利範圍第1項所述之認證方法，其中該驗證資料為一憑證請求檔案，該認證方法更包括以下步驟：該服務端比對記錄於該認證管理合約中有關該用戶端驗證成功之認證結果次數是否達於一發證標準值；以及若是，該服務端發送一憑證檔案至該用戶端。
如申請專利範圍第2或3項所述之認證方法，其中該驗證資料包括一憑證請求檔案，該認證方法更包括以下步驟：該服務端比對記錄於該認證管理合約中有關該用戶端驗證成功之認證結果次數是否達於一發證標準值；以及若是，該服務端發送一憑證檔案至該用戶端。
如申請專利範圍第1項所述之認證方法，其中該驗證機制係根據該用戶端之選擇而執行。
一種電子裝置之認證系統，運作於一區塊鏈網路，該認證系統包括：一服務端，用以發布一認證服務合約，以使一用戶端透過將一驗證資料記錄於該認證服務合約中而發起認證程序；以及至少一驗證端，用以依據該驗證資料，以一驗證機制對該用戶端進行驗證，以產生一認證結果，並將該認證結果記錄於一認證管理合約。
如申請專利範圍第7項所述之認證系統，其中該驗證資料包括一區塊鏈帳戶資料，該至少一驗證端包括：一發送模組，用以根據該區塊鏈帳戶資料發送一第一加密代幣至該用戶端；以及一驗證模組，用以判斷是否有接收到來自該用戶端之一第二加密代幣，並在有接收到該第二加密代幣時，產生該認證結果，以完成該驗證機制。
如申請專利範圍第7項所述之認證系統，其中該驗證資料包括一區塊鏈帳戶資料、一用戶公鑰及一統一資源識別碼，該至少一驗證端包括：一加密模組，用以利用該用戶公鑰、一驗證私鑰及一亂數字串加密產生一加密訊息；一發送模組，用以依據該統一資源識別碼將該加密訊息及一驗證公鑰發送至該用戶端，其中該驗證公鑰與該驗證私鑰為該驗證端所產生之密碼組；一擷取模組，用以依據該統一資源識別碼至該用戶端擷取一驗證字串，其中該驗證字串係由該用戶端利用該驗證公鑰及一用戶私鑰對該加密訊息解密後所產生，該用戶公鑰與該用戶私鑰為該用戶端所產生之密碼組；以及一驗證模組，用以比對該驗證字串是否與該亂數字串相符，並在該驗證字串與該亂數字串相符時，產生該認證結果，以完成該驗證機制。
如申請專利範圍第7項所述之認證系統，其中該驗證資料為一憑證請求檔案，該服務端更用以比對記錄於該認證管理合約中有關該用戶端驗證成功之認證結果次數是否達於一發證標準值，並在該用戶端之認證結果次數達於該發證標準值時，發送一憑證檔案至該用戶端。
如申請專利範圍第8或9項所述之認證系統，其中該驗證資料為一憑證請求檔案，該服務端更用以比對記錄於該認證管理合約中有關該用戶端驗證成功之認證結果次數是否達於一發證標準值，並在該用戶端之認證結果次數達於該發證標準值時，發送一憑證檔案至該用戶端。
如申請專利範圍第7項所述之認證系統，其中該驗證機制係根據該用戶端之選擇而執行。