CN109858270A - 一种去中心化数字身份的构建方法和*** - Google Patents

Abstract

本发明公开了一种去中心化数字身份的构建方法和***。该***包括学校接入服务器和联盟链***。学校接入服务器存储有学生信息，并作为联盟链***的客户端与联盟链***交互生成属性Merkle树存入联盟链***中。学生构建数字身份时，首先登录学校接入服务器。学校接入服务器通过与学生终端交互获得学生构建数字身份时所输入的各属性和属性值，然后将这些属性和属性值哈希值发送至背书节点进行背书，背书节点背书时通过属性Merkle树对学生所输入的属性值进行正确性判断。学校接入服务器接收到各个背书节点的背书后打包将学生数字身份通过排序服务节点存入联盟链。

Description

一种去中心化数字身份的构建方法和***

技术领域

本发明涉及区块链，特别涉及联盟链。

背景技术

区块链是一种分布式数据库。由于其数据具有不可篡改性，因此可应用于个人数字身份验证。现有技术下，区块链分为公共链、私有链以及公共链和私有链相结合的联盟链三种。Hyperledger Fabric 是一种公开源码的联盟链。Hyperledger Fabric***由CA节点、账本节点、背书节点、排序服务节点以及客户端所组成。CA节点用于对接入HyperledgerFabric***中的各个节点和客户端进行授权验证。账本节点用于分布式存储区块链数据。背书节点用于根据背书策略对合约数据进行背书签名。排序服务节点用于对背书签名后的合约数据进行排序打包同步存入各账本节点。联盟链中一般的合约处理过程如下：首先客户端生成交易提案发送至背书节点，交易提案包括链码和参数；背书节点通过执行链码实现业务逻辑处理，业务逻辑处理后进行背书签名返回客户端；客户端将各个背书节点的背书签名和交易打包发送至排序服务节点，排序服务节点对背书签名验证后进行排序打包同步存入各账本节点。

发明内容

本发明所要解决的问题：通过联盟链实现学校学生的数字身份验证。

为解决上述问题，本发明采用的方案如下：

根据本发明的一种去中心化数字身份的构建方法，包括如下步骤：

S11：学校接入服务器将学生信息存入学校接入服务器的本地数据库中；所述学生信息至少包括学生ID；

S12：学校接入服务器通过和联盟链***的交互，将学生的属性、属性Merkle树存入联盟链***；所述属性Merkle树是由对应属性的属性值构建的Merkle树；

S2：学校接入服务器接受学生终端的连接和登录，并接收学生终端所发送的数字身份凭证创建请求；所述数字身份凭证创建请求包括属性和属性值的对应表、学生属性数字签名；所述学生属性数字签名是学生私钥对属性和属性值哈希值的对应表的数字签名；

S3： 学校接入服务器接收到数字身份凭证创建请求后，将所述的数字身份创建请求中的属性和属性值的对应表转换成属性和属性值哈希值的对应表，并获取属性值在对应属性Merkle树上的路径；然后将属性和属性值哈希值的对应表、学生属性数字签名、对应的学生ID、属性值在对应属性Merkle树上的路径组成合约数据发送至联盟链***的背书节点请求背书；

S4：联盟链***的背书节点获取各属性对应的Merkle树树根，然后根据属性值哈希值和属性值在对应属性Merkle树上的路径对属性进行Merkle树树根验证；验证通过后，对所述合约数据进行背书签名将合约数据的背书签名数据返回学校接入服务器；

S5：学校接入服务器接收到各个背书节点所返回的背书签名数据后，将合约数据和各个背书节点所返回的背书签名数据发送至联盟链***的排序服务节点，并通过排序服务节点存入联盟链***。

根据本发明的一种去中心化数字身份的构建***，该***包括学校接入服务器和联盟链***；

所述学校接入服务器包括以下模块：

M11，用于：将学生信息存入学校接入服务器的本地数据库中；所述学生信息至少包括学生ID；

M12，用于：通过和联盟链***的交互，将学生的属性、属性Merkle树存入联盟链***；所述属性Merkle树是由对应属性的属性值构建的Merkle树；

M2，用于：接受学生终端的连接和登录，并接收学生终端所发送的数字身份凭证创建请求；所述数字身份凭证创建请求包括属性和属性值的对应表、学生属性数字签名；所述学生属性数字签名是学生私钥对属性和属性值哈希值的对应表的数字签名；

M3，用于：接收到数字身份凭证创建请求后，将所述的数字身份创建请求中的属性和属性值的对应表转换成属性和属性值哈希值的对应表，并获取属性值在对应属性Merkle树上的路径；然后将属性和属性值哈希值的对应表、学生属性数字签名、对应的学生ID、属性值在对应属性Merkle树上的路径组成合约数据发送至联盟链***的背书节点请求背书；

M5，用于：接收到各个背书节点所返回的背书签名数据后，将合约数据和各个背书节点所返回的背书签名数据发送至联盟链***的排序服务节点，并通过排序服务节点存入联盟链***；

所述联盟链***包括背书节点和排序服务节点；所述背书节点包括模块M4；所述排序服务节点包括模块MS5；

所述模块M4用于：获取各属性对应的Merkle树树根，然后根据属性值哈希值和属性值在对应属性Merkle树上的路径对属性进行Merkle树树根验证；验证通过后，对所述合约数据进行背书签名将合约数据的背书签名数据返回学校接入服务器；

所述模块MS5用于：接收学校接入服务器所发送的合约数据和各个背书节点所返回的背书签名数据，并将所接收到的数据存入联盟链***。

本发明的技术效果如下：

1、学生数字身份的构建由学生主导，不依赖于中心化注册机构。

2、基于联盟链，数字身份可信、安全，并且联盟链具有高效率。

3、存入联盟链中的数据均为哈希值，不存在泄露个人隐私的问题。

附图说明

图1是本发明实施例属性Merkle树结构示意图。

具体实施方式

下面对说明书附图本发明做进一步详细说明。

本实施例的去中心化数字身份的构建***，用于为学生构建数字身份，基于Hyperledger Fabric，由学生终端、学校接入服务器和联盟链***所组成。本实施例的联盟链***由Hyperledger Fabric***中的CA节点、账本节点、背书节点和排序服务节点所组成。学校接入服务器则相当于Hyperledger Fabric***中的客户端。学校接入服务器是学校连接Hyperledger Fabric***的入口，每个学校配备一台接入服务器。学生通过学生终端和学校接入服务器接入联盟链***并进行交互。学生终端可以是台式PC、便携式PC、或者诸如手机、平板电脑等移动终端。

本实施例的***中，学校接入服务器包括三个基础模块：模块M11，用于，将学生信息存入学校接入服务器的本地数据库中；模块M12，用于：学校接入服务器通过和联盟链***的交互，将学生的属性、属性Merkle树存入联盟链***；模块M13，用于：对连接学校接入服务器的学生终端进行学生登录身份验证。

学生信息包括但不限于学生ID、学号、姓名、年龄、性别、所属院系等信息。这里的本地数据库中的“本地”是相对于区块链而言，也就是说，学生信息并不存在联盟链***中，而是存储在学校自己的服务器上，可以通过文件方式存储，也可以通过数据库方式存储。该存储学生信息的服务器可以和学校接入服务器是同一个物理设备，也可以不是同一个物理设备，但不管学校接入服务器如何架构，学校接入服务器能够获取或查询到相关的学生信息，使得学生由此可以通过学生信息所对应的账号登录并连接学校接入服务器。

学生通过学生终端连接并登录学校接入服务器，经学校接入服务器对学生终端进行学生登录身份验证后，才能进行相关的数字身份凭证创建操作。也就是说，模块M13是用户管理模块。显而易见地，学生通过学生终端连接并登录学校接入服务器之前，需要进行学生账号注册，并通过实名验证，将学生账号与相应的学生信息相关联。学生账号注册、实名验证、将学生账号与相应的学生信息相关联等用户管理处理过程为本领域技术人员所熟悉，也不是本发明所讨论的范畴，本说明书不再赘述。

学生的属性可以用属性名称或者属性ID表示。每种属性对应有属性值。每种属性对应的属性值均采用枚举值表示，例如，院系的属性名为“院系”，其对应的枚举属性值为“建筑系”、“计算机系”、“土木工程系”、“机械系”等；再比如，入学时间的属性名为“入学时间”，其对应的枚举属性值为“2000”、“2001”、“2002”，...等。由于每种属性的属性值均采用枚举值表示，由此可以构建相应的属性Merkle树。每种属性对应一颗Merkle树。属性Merkle树是由对应属性的属性值构建的Merkle树，如图1所示。图1是一颗属性Merkle树，该树呈二叉树结构，包括8个叶子节点：Node8~Node15。每个叶子节点的数据对应该属性的属性值的哈希值，具体来说：Node8=Hash(“属性值1”)，Node9=Hash(“属性值2”)，...，Node15=Hash(“属性值8”)。每个非叶子节点的数据是该节点下属两个分支节点的哈希值，也即：Node1=Hash(Node2+Node3)、Node2=Hash(Node4+Node5)、Node3=Hash(Node6+Node7)、Node4=Hash(Node8+Node9)、Node5=Hash(Node10+Node11)、Node6=Hash(Node12+Node13) 、Node7=Hash(Node14+Node15)。其中Node1为该属性Merkle树的树根。学校通过学校接入服务器将学生的属性、属性Merkle树作为存证预先存入联盟链***，也就是说，学生的属性、属性Merkle树通过存证链预先存在联盟链***中。

学校接入服务器的上述三个模块：模块M11、模块M12、模块M13是本实施例为学生构建数字身份的基础模块。学生构建数字身份通过学生终端发起，具体过程如下：

首先学生通过学生终端连接并登录学校接入服务器，然后，通过学生终端进入数字身份构建页面，学生在数字身份构建页面内输入各个属性所对应的属性值后提交，学生终端将学生所输入的各个属性和对应的属性值打包成数字身份凭证创建请求发送至学校接入服务器。数字身份凭证创建请求包括属性和属性值的对应表和学生属性数字签名。学生属性数字签名可以是学生私钥对属性和属性值哈希值的对应表的数字签名，也可以是学生私钥对属性和属性值的对应表的数字签名。属性值哈希值也就是对属性值进行哈希函数运算得到的哈希值。学生私钥和学生公钥相对应，是非对称加密技术中的密钥对，可以由学生终端产生，也可以由学校接入服务器在学生账号注册时产生，也可以由第三方数字可信认证机构所颁发证书中的学生个人私钥。

学校接入服务器接收到数字身份凭证创建请求后，首先对学生属性数字签名通过学生公钥进行验证，然后将数字身份创建请求中的属性和属性值的对应表转换成属性和属性值哈希值的对应表，并获取属性值在对应属性Merkle树上的路径；然后将属性和属性值哈希值的对应表、学生属性数字签名、对应的学生ID、属性值在对应属性Merkle树上的路径组成合约数据发送至联盟链***的背书节点请求背书。“将数字身份创建请求中的属性和属性值的对应表转换成属性和属性值哈希值的对应表”也就是将“属性和属性值的对应表”中的各个属性值通过哈希运算后得到属性值哈希值，然后由各个属性和属性值哈希值组成对应表。“属性值在对应属性Merkle树上的路径”，以图1中的属性Merkle树为例，假设该属性的属性值为属性值3，则对应的“属性值在对应属性Merkle树上的路径”为Node11、Node4、Node3。“将属性和属性值哈希值的对应表、学生属性数字签名、对应的学生ID、属性值在对应属性Merkle树上的路径组成合约数据发送至联盟链***的背书节点请求背书”也就是将交易提案发送至背书节点请求背书的过程。需要指出的是，交易提案发送至背书节点请求背书时，背书节点有多个。具体发送给多少个背书节点和哪些背书节点通过预先设定的背书策略确定。

联盟链***的背书节点获取各属性对应的Merkle树树根，然后根据属性值哈希值和属性值在对应属性Merkle树上的路径对属性进行Merkle树树根验证；验证通过后，对合约数据进行背书签名将合约数据的背书签名数据返回学校接入服务器。“获取各属性对应的Merkle树树根”通过查询学校在联盟链***中的凭证链数据获得，该凭证链数据通过前述模块M12存在联盟链***中，不再赘述。“根据属性值哈希值和属性值在对应属性Merkle树上的路径对属性进行Merkle树树根验证”实质上是判断属性值是否正确的业务逻辑处理过程。以图1中的属性Merkle树为例，假设该属性的属性值为属性值3，则对应的“属性值在对应属性Merkle树上的路径”为Node11、Node4、Node3，该属性对应的Merkle树树根为Node1，该属性的属性值哈希值为Node10，则该验证过程可以表示判断等式：Node1=Hash((Node4+Hash(Node10+Node11))+Node3)是否成立的过程。假如上述等式成立，则验证通过，验证通过后，对合约数据进行背书签名，否则拒绝背书签名。“对合约数据进行背书签名”也就是联盟链***的背书节点用自己的私钥对合约数据进行数字签名的过程。

上述判断属性值是否正确的业务逻辑处理过程，本实施例中通过链码实现。也就是，交易提案发送至背书节点请求背书时，交易提案包括链码和合约数据。其中，合约数据包括：属性和属性值哈希值的对应表、学生属性数字签名、对应的学生ID、属性值在对应属性Merkle树上的路径。而链码则是一可执行的代码，联盟链***的背书节点通过执行链码实现上述判断属性值是否正确的业务逻辑处理过程。

联盟链***的背书节点对合约数据进行背书签名得到合约数据的背书签名数据。该合约数据的背书签名数据最终被返回至学校接入服务器。学校接入服务器接收到各个背书节点所返回的合约数据的背书签名数据后，将合约数据和各个背书节点所返回的背书签名数据发送至联盟链***的排序服务节点，并通过排序服务节点存入联盟链***。将合约数据和各个背书节点所返回的背书签名数据发送至联盟链***的排序服务节点后，排序服务节点的处理过程Hyperledger Fabric***自身确定，具体可参考有关HyperledgerFabric的排序服务节点的文档，本说明书不再赘述。

Claims (2)

1.种去中心化数字身份的构建方法，其特征在于，包括如下步骤：

S11：学校接入服务器将学生信息存入学校接入服务器的本地数据库中；所述学生信息至少包括学生ID；

S12：学校接入服务器通过和联盟链***的交互，将学生的属性、属性Merkle树存入联盟链***；所述属性Merkle树是由对应属性的属性值构建的Merkle树；

S2：学校接入服务器接受学生终端的连接和登录，并接收学生终端所发送的数字身份凭证创建请求；所述数字身份凭证创建请求包括属性和属性值的对应表、学生属性数字签名；所述学生属性数字签名是学生私钥对属性和属性值哈希值的对应表的数字签名；

S3： 学校接入服务器接收到数字身份凭证创建请求后，将所述的数字身份创建请求中的属性和属性值的对应表转换成属性和属性值哈希值的对应表，并获取属性值在对应属性Merkle树上的路径；然后将属性和属性值哈希值的对应表、学生属性数字签名、对应的学生ID、属性值在对应属性Merkle树上的路径组成合约数据发送至联盟链***的背书节点请求背书；

S4：联盟链***的背书节点获取各属性对应的Merkle树树根，然后根据属性值哈希值和属性值在对应属性Merkle树上的路径对属性进行Merkle树树根验证；验证通过后，对所述合约数据进行背书签名将合约数据的背书签名数据返回学校接入服务器；

S5：学校接入服务器接收到各个背书节点所返回的背书签名数据后，将合约数据和各个背书节点所返回的背书签名数据发送至联盟链***的排序服务节点，并通过排序服务节点存入联盟链***。

2.一种去中心化数字身份的构建***，其特征在于，该***包括学校接入服务器和联盟链***；

所述学校接入服务器包括以下模块：

M11，用于：将学生信息存入学校接入服务器的本地数据库中；所述学生信息至少包括学生ID；

M12，用于：通过和联盟链***的交互，将学生的属性、属性Merkle树存入联盟链***；所述属性Merkle树是由对应属性的属性值构建的Merkle树；

M2，用于：接受学生终端的连接和登录，并接收学生终端所发送的数字身份凭证创建请求；所述数字身份凭证创建请求包括属性和属性值的对应表、学生属性数字签名；所述学生属性数字签名是学生私钥对属性和属性值哈希值的对应表的数字签名；

M3，用于：接收到数字身份凭证创建请求后，将所述的数字身份创建请求中的属性和属性值的对应表转换成属性和属性值哈希值的对应表，并获取属性值在对应属性Merkle树上的路径；然后将属性和属性值哈希值的对应表、学生属性数字签名、对应的学生ID、属性值在对应属性Merkle树上的路径组成合约数据发送至联盟链***的背书节点请求背书；

M5，用于：接收到各个背书节点所返回的背书签名数据后，将合约数据和各个背书节点所返回的背书签名数据发送至联盟链***的排序服务节点，并通过排序服务节点存入联盟链***；

所述联盟链***包括背书节点和排序服务节点；所述背书节点包括模块M4；所述排序服务节点包括模块MS5；

所述模块M4用于：获取各属性对应的Merkle树树根，然后根据属性值哈希值和属性值在对应属性Merkle树上的路径对属性进行Merkle树树根验证；验证通过后，对所述合约数据进行背书签名将合约数据的背书签名数据返回学校接入服务器；

所述模块MS5用于：接收学校接入服务器所发送的合约数据和各个背书节点所返回的背书签名数据，并将所接收到的数据存入联盟链***。