CN112560005A - 身份可信服务***、方法、电子设备和计算机可读介质 - Google Patents

Abstract

本申请提供了一种身份可信服务***、方法、电子设备和计算机可读介质，属于区块链技术领域。所述***包括：具有多个节点的区块链网络，每个节点上保存有可信机构证书链，所述可信机构证书链中包括多个可信机构颁发的所有帐户证书；目标节点，用于利用所述可信机构证书链中的帐户证书对目标可信机构发送的业务数据进行签名验证，其中，所述目标可信机构为所述多个可信机构中用于传输所述业务数据的机构，所述目标节点为所述目标可信机构上部署的节点。本申请实现可信机构对应的区块链节点之间的数据传播，保障业务协同顺畅、快速。

Description

身份可信服务***、方法、电子设备和计算机可读介质

技术领域

本申请涉及区块链技术领域，尤其涉及一种身份可信服务***、方法、电子设备和计算机可读介质。

背景技术

CA作为数字证书的签发者和第三方信任机构，是PKI体系的核心。现阶段，每个CA机构只能信任自己签发的数字证书，也就是说，每个CA机构有一个自己的信任域，超出了信任域的数字证书就不能被信任，目前比较常见的跨机构信任***，包括CA机构、边界网关和信任网关，应用***也是通过信任网关接入到整个信任***中进行身份认证。举例来说：A机构需要通过边界网关和信任网关，与B机构进行通信，获取B机构的数据后，再对B机构进行身份认证。

由于数据传输还需要经过边界网关和信任网关，应用***自身证书信任库中的数据存在被篡改的风险，因此CA机构之间传输的数据信息可信任性差，业务协同困难。

发明内容

本申请实施例的目的在于提供一种身份可信服务***、方法、电子设备和计算机可读介质，以解决业务协同困难的问题。具体技术方案如下：

第一方面，提供了一种身份可信服务***，所述***包括：

具有多个节点的区块链网络，每个节点上保存有可信机构证书链，所述可信机构证书链中包括多个可信机构颁发的所有帐户证书；

目标节点，用于利用所述可信机构证书链中的帐户证书对目标可信机构发送的业务数据进行签名验证，其中，所述目标可信机构为所述多个可信机构中用于传输所述业务数据的机构，所述目标节点为所述目标可信机构上部署的节点。

可选地，所述***包括：

第一可信机构，用于通过私钥对第一帐户发送的原始数据进行签名，得到携带有数字签名的所述业务数据，并将所述业务数据发送至第一节点，其中，所述第一帐户为在所述第一可信机构中开通的帐户；

所述第一节点，用于通过所述可信机构证书链中所述第一帐户的公钥对所述业务数据进行签名验证。

可选地，所述***包括：

第二可信机构，用于在接收到第二帐户发送的查询请求时，将所述查询请求发送至第二节点，其中，所述查询请求用于请求查询所述业务数据，所述第二帐户为在所述第二可信机构中开通的帐户；

所述第二节点，用于通过所述可信机构证书链的公钥验证所述第一节点发送的业务数据的真伪，并在验证通过的情况下将验证通过结果发送至所述第二可信机构。

可选地，所述业务数据包括机构证书颁发数据，所述***包括：

所述目标可信机构，用于将所述机构证书颁发数据进行签名，并将携带有数字签名的机构证书颁发数据上传至所述目标节点；

所述目标节点，用于在验证所述数字签名为真的情况下将所述携带有数字签名的机构证书颁发数据上传至所述区块链网络。

可选地，所述业务数据包括机构证书吊销数据，所述***包括：

所述目标可信机构，用于将所述机构证书吊销数据进行签名，并将携带有数字签名的机构证书吊销数据上传至所述目标节点；

所述目标节点，用于在验证所述数字签名为真的情况下将所述携带有数字签名的所述机构证书吊销数据上传至所述区块链网络。

可选地，所述***包括：

所述区块链网络中的多个节点，其中，每个所述节点之间具有可信通道；

每个所述区块链节点对应的可信机构，其中，多个所述可信机构之间通过对等网络连接。

第二方面，提供了一种身份可信服务方法，应用于目标节点，所述方法包括：

获取目标可信机构发送的业务数据，其中，所述目标节点为所述目标可信机构上部署的节点，所述目标可信机构为多个可信机构中用于传输所述业务数据的机构；

通过可信机构证书链中的帐户证书对所述业务数据进行签名验证，其中，每个节点上保存有可信机构证书链，所述可信机构证书链中包括多个可信机构颁发的所有帐户证书，多个所述节点构成区块链网络。

可选地，所述业务数据包括机构证书颁发数据，

所述获取目标可信机构发送的业务数据包括：获取所述目标可信机构发送的携带有数字签名的机构证书颁发数据；

所述通过可信机构证书链中的帐户证书对所述机构证书颁发数据进行签名验证包括：在验证所述数字签名为真的情况下，将所述携带有数字签名的机构证书颁发数据上传至所述区块链网络。

第三方面，提供了一种电子设备，包括处理器、通信接口、存储器和通信总线，其中，处理器，通信接口，存储器通过通信总线完成相互间的通信；

存储器，用于存放计算机程序；

处理器，用于执行存储器上所存放的程序时，实现任一所述的方法步骤。

第四方面，提供了一种计算机可读存储介质，其特征在于，所述计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现任一所述的方法步骤。

本申请实施例有益效果：

本申请实施例提供了一种身份可信服务******，包括：具有多个节点的区块链网络，每个节点上保存有可信机构证书链，可信机构证书链中包括多个可信机构颁发的所有帐户证书；目标节点，用于利用可信机构证书链中的帐户证书对目标可信机构发送的业务数据进行签名验证，其中，目标可信机构为多个可信机构中用于传输业务数据的机构，目标节点为目标可信机构上部署的节点。本申请通过构建跨机构的身份可信服务***，可信机构与该可信机构的节点采用同一套公私钥，将区块链CA与机构自建CA融合，实现可信机构对应的区块链节点之间的数据传播，保障业务协同顺畅、快速。通过区块链网络安全、透明、共记账本及不可篡改的特性，提高数据交换过程中的透明性，保证可信机构身份的可信性。

当然，实施本申请的任一产品或方法并不一定需要同时达到以上的所有优点。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，对于本领域普通技术人员而言，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例中区块链数据处理结构示意图；

图2为本申请实施例中区块链结构示意图；

图3为本申请实施例中区块链网络功能结构示意图；

图4为本申请实施例中跨机构的身份可信服务***示意图；

图5为本申请实施例中为包含可信通道的***示意图；

图6为本申请实施例中整体***示意图；

图7为本申请实施例中为机构证书颁发或吊销的示意图；

图8为本申请实施例中数据协同的流程图；

图9为本申请实施例提供的一种电子设备的结构示意图。

具体实施方式

为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请的一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本申请保护的范围。

在以下的描述中，涉及到“一个具体实施例”，其描述了所有可能实施例的子集，但是可以理解，“一个具体实施例”，其描述了所有可能实施例的相同子集或不同子集，并且可以在不冲突的情况下相互结合。

除非另有定义，本文所使用的所有的技术的科学技术与属于本发明的技术领域的技术人员通常理解的含义相同。本文中所使用的术语只是为了描述本发明实施例的目的，不是旨在限制本发明。

在对本发明实施例进行进一步详细说明之前，对本发明实施例中涉及的名词和术语进行说明，本发明实施例中涉及的名词和术语适用于如下的解释。

(1)交易(Transaction)，等同于计算机术语“事务”，交易包括了需要提交到区块链网络执行的操作，并非单指商业语境中的交易，鉴于在区块链技术中约定俗称地使用了“交易”这一术语，本发明实施例遵循了这一习惯。

例如，部署(Deploy)交易用于向区块链网络中的结点安装指定的智能合约并准备好被调用；调用(Invoke)交易用于通过调用智能合约在区块链中追加交易的记录，并对区块链的状态数据库进行操作，包括更新操作(包括增加、删除和修改状态数据库中的键值对)和查询操作(即查询状态数据库中的键值对)。

(2)区块链(Blockchain)，是由区块(Block)形成的加密的、链式的交易的存储结构。

(3)区块链网络(Blockchain Network)，通过共识的方式将新区块纳入区块链的一系列的节点的集合。

(4)账本(Ledger)，是区块链(也称为账本数据)和与区块链同步的状态数据库的统称。其中，区块链是以文件***中的文件的形式来记录交易；状态数据库是以不同类型的键(Key)值(Value)对的形式来记录区块链中的交易，用于支持区块链中交易的快速查询。

(5)智能合约(Smart Contracts)，也称为链码(Chaincode)或应用代码，部署在区块链网络的节点中的程序，节点执行接收的交易中所调用的智能合约，来对状态数据库的键值对数据进行更新或查询操作。

(6)共识(Consensus)，是区块链网络中的一个过程，用于在涉及的多个节点之间对区块中的交易达成一致，达成一致的区块将被追加到区块链的尾部，实现共识的机制包括工作量证明(PoW，Proof of Work)、权益证明(PoS，Proof of Stake)、股权授权证明(DPoS，Delegatd Proof-of-Stake)、消逝时间量证明(PoET，Proof of Elapsed Time)等。

下面说明本发明实施例，提供的区块链网络的示例性应用，如图1所示，图1是本发明实施例提供的一种身份可信服务***示意图，包括区块链网络101、共识节点102，认证中心103、业务主体104、客户端节点104-1，业务主体105和客户端节点105-1，下面分别进行说明：

区块链网络101的类型是灵活多样的，例如可以为公有链、私有链或联盟链中的任意一种。以公有链为例，任何业务主体的电子设备例如用户终端和服务器，都可以在不需要授权的情况下接入区块链网络101；以联盟链为例，业务主体在获得授权后其下辖的电子设备(例如终端/服务器)可以接入区块链网络101，此时，成为区块链网络101中的客户端节点。

在一些实施例中，客户端节点104可以只作为区块链网络101的观察者，即提供支持业务主体发起交易(例如，用于上链存储数据或查询链上数据)功能，对于区块链网络101的共识节点102的功能，例如排序功能、共识服务和账本功能等，客户端节点可以缺省或者有选择性(例如，取决于业务主体的具体业务需求)地实施。从而，可以将业务主体的数据和业务处理逻辑最大程度迁移到区块链网络101中，通过区块链网络101实现数据和业务处理过程的可信和可追溯。

区块链网络101中的共识节点接收来自不同业务主体，例如图1中示出的业务主体104的客户端节点104-1提交的交易，执行交易以更新账本或者查询账本，执行交易的各种中间结果或最终结果可以返回业务主体104的客户端节点104-1中显示。

例如，客户端节点104-1可以订阅区块链网络101中感兴趣的事件，例如区块链网络101中特定的组织/通道中发生的交易，由共识节点102推送相应的交易通知到客户端节点104-1，从而触发客户端节点104-1中相应的业务逻辑。

作为区块链的示例，如图2所示，图2是本发明实施例提供的区块链网络101中区块链的结构示意图，每个区块的头部既可以包括区块中所有交易的哈希值，同时也包含前一个区块中所有交易的哈希值，新产生的交易的记录被填充到区块并经过区块链网络中节点的共识后，会被追加到区块链的尾部从而形成链式的增长，区块之间基于哈希值的链式结构保证了区块中交易的防篡改和防伪造。

下面说明本发明实施例提供的区块链网络的示例性的功能架构，如图3所示，图3是本发明实施例提供的区块链网络101的功能架构示意图，包括应用层301、共识层302、网络层303、数据层304和资源层305，下面分别进行说明：

应用层301封装了区块链网络能够实现的各种业务，包括交易的溯源、存证和验证等。

共识层302封装了区块链网络101中的节点102对区块达成一致性的机制(即共识机制)、交易管理和账本管理的功能。共识机制包括POS、POW和DPOS等共识算法，支持共识算法的可插拔。交易管理用于验证节点101接收到的交易中携带的数字签名，验证业务主体104的身份信息，并根据身份信息判断确认其是否具有权限进行交易(从业务主体身份管理读取相关信息)；对于获得接入区块链网络101的授权的业务主体而言，均拥有认证中心颁发的数字证书，业务主体利用自己的数字证书中的私钥对提交的交易进行签名，从而声明自己的合法身份。账本管理用于维护区块链和状态数据库。对于取得共识的区块，追加到区块链的尾部；执行取得共识的区块中的交易，当交易包括更新操作时更新状态数据库中的键值对，当交易包括查询操作时查询状态数据库中的键值对并向业务主体的客户端节点返回查询结果。支持对状态数据库的多种维度的查询操作，包括：根据区块序列号(例如交易的哈希值)查询区块；根据区块哈希值查询区块；根据交易序列号查询区块；根据交易序列号查询交易；根据业务主体的账号(序列号)查询业务主体的账号数据；根据通道名称查询通道中的区块链。

网络层303封装了点对点(P2P，PointtoPoint)网络协议、数据传播机制和数据验证机制、接入认证机制和业务主体身份管理的功能。

其中，P2P网络协议实现区块链网络101中节点102之间的通信，数据传播机制保证了交易在区块链网络101中的传播，数据验证机制用于基于加密学方法(例如数字证书、数字签名、公/私钥对)实现节点102之间传输数据的可靠性；接入认证机制用于根据实际的业务场景对加入区块链网络101的业务主体的身份进行认证，并在认证通过时赋予业务主体接入区块链网络101的权限；业务主体104身份管理用于存储允许接入区块链网络101的业务主体104的身份、以及权限(例如能够发起的交易的类型)。

数据层304封装了实现账本的各种数据结构，包括以文件***中的文件实现的区块链，键值型的状态数据库和存在性证明(例如区块中交易的哈希树)。

资源层305封装了实现区块链网路101中的各个节点102的计算资源、存储资源和通信资源。

本申请实施例提供了一种身份可信服务***，可以用于机构之间数据的协同，提高数据可溯性。

下面将结合具体实施方式，对本申请实施例提供的一种身份可信服务***进行详细的说明，该***包括多个可信机构，用于传输业务数据。每个可信机构上部署有区块链网络上的一个节点，多个节点构成区块链网络，区块链网络中的每个节点上均保存有相同的可信机构证书链，该可信机构证书链中包括多个可信机构颁发的所有帐户证书，也就是说，每个节点上均包括多个可信机构颁发的所有帐户证书。

每个可信机构具有一个开通的账户，用户可以通过该账户登录可信机构，从而通过该可信机构上传业务数据至区块链网络，或从区块链网络获取业务数据，目标节点用于对接收或发送的业务数据进行签名验证。账户、可信机构和节点是一一对应的。

可信机构证书链包括多个可信机构颁发的所有帐户证书，可以实现机构证书链的可信存储、业务协作的价值分配、数据交换的可追溯和可审计。可信机构证书链存储至区块链上，防止人为篡改，提高安全性和数据可追溯性。

图4为跨机构的身份可信服务***示意图。从图4中可看出，该***包括A、B、C和D四个节点，每个节点上均保存有可信机构证书链(A-B-C-D)，每个机构对应的节点还具有对应的公钥私钥，每个节点之间具有可信通道，多个可信机构之间通过P2P(peer-to-peer，对等网络)连接。

通过构建跨机构的身份可信服务***，可信机构与该可信机构的节点采用同一套公私钥，将区块链CA与机构自建CA融合，实现可信机构对应的区块链节点之间的数据传播，保障业务协同顺畅、快速。通过区块链网络安全、透明、共记账本及不可篡改的特性，提高数据交换过程中的透明性，保证可信机构身份的可信性。另外，本申请无需信任网关和接入网关，通过区块链节点集成可信机构证书链简化证书信任链的构建。

作为一种可选的实施方式，建立跨机构的身份可信服务***的过程为：在A、B、C、D四家机构部署区块链节点，按照相应的安全规范进行接入区块链网络，从而保证数据传输和节点通信的安全性，同时节点与节点间建立可信通道，如图5为包含可信通道的***示意图。然后基于A、B、C、D四家机构部署的区块链节点，建设跨机构的身份可信服务***，分别部署于四家机构的专网。通过跨机构身份可信服务***，将A、B、C、D四家机构的证书链上传至各自的区块链节点，共识后形成一条可信机构证书链，作为跨机构用户证书CA验证的信任来源。如图6为整体***示意图。

在进行数据协同过程中，第一节点先将第一可信机构的业务数据上链至区块链网络，然后第二节点对该业务数据进行验证，验证通过则表明了第一机构身份的可信性。其中，第一节点对应第一机构，第二节点对应第二信机构。

业务数据包括机构证书颁发数据。在机构证书颁发时，目标可信机构采用私钥将机构证书颁发数据进行签名，然后将携带有数字签名的机构证书颁发数据上传至目标节点，目标节点从可信机构证书链中获取该私钥对应的公钥，并通过该公钥打开该机构证书颁发数据。若目标节点能够打开该机构证书颁发数据，表明目标可信机构的身份可信，则目标节点将机构证书颁发数据上传至区块链网络；若目标节点不能打开该机构证书颁发数据，表明目标可信机构的身份不可信，则目标节点不会将机构证书颁发数据上传至区块链网络。

业务数据还包括机构证书吊销数据。在机构证书颁发时，目标可信机构采用私钥将机构证书吊销数据进行签名，然后将携带有数字签名的机构证书吊销数据上传至目标节点，目标节点从可信机构证书链中获取该私钥对应的公钥，并通过该公钥打开该机构证书吊销数据。若目标节点能够打开该机构证书吊销数据，表明目标可信机构的身份可信，则目标节点将机构证书吊销数据上传至区块链网络；若目标节点不能打开该机构证书吊销数据，表明目标可信机构的身份不可信，则目标节点不会将机构证书吊销数据上传至区块链网络。

图7为机构证书颁发或吊销的示意图。从图中可以看出，目标可信机构采用CA服务私钥对机构证书颁发数据或机构证书吊销数据进行签名，然后将机构证书颁发数据或机构证书吊销数据发送至目标节点，目标节点采用CA服务公钥验证目标可信机构的身份的有效性，如果验证通过，则将机构证书颁发数据或机构证书吊销数据上链。

本申请利用可信机构证书链互信机制，实现跨机构多方自动互信，验证交易身份的有效性，提高数据传输安全性。

作为一种可选的实施方式，该***包括：第一可信机构，用于通过私钥对第一帐户发送的原始数据进行签名，得到携带有数字签名的业务数据，并将业务数据发送至第一节点；第一节点，用于通过可信机构证书链中第一帐户的公钥对业务数据进行签名验证。

图8为数据协同的流程图。如图8所示，第一可信机构具有一个开通的第一账户，用户Su登录第一账户，发起一笔用于业务的原始数据，第一可信机构通过调用智能合约，采用第一账户的私钥对原始数据进行签名，得到携带有数字签名的业务数据，并将业务数据发送至第一节点。具体的，采用私钥进行签名，可以是对原始数据进行哈希运算(hash)，得到原始数据的摘要，采用私钥对摘要加密得到数字签名。第一节点在得到业务数据后，需要验证第一可信机构的身份，因此，第一节点从可信机构证书链中获取第一帐户的公钥，并通过该公钥验证第一可信机构的身份，若验证通过，则第一节点将业务数据上链至区块链，区块链会将该业务数据广播至第二节点对应的第二可信机构；若验证失败，则第一节点不会将业务数据上链。另外，第一节点还会将上链结果反馈至第一可信机构。

作为一种可选的实施方式，该***包括：第二可信机构，用于在接收到第二帐户发送的查询请求时，将查询请求发送至第二节点，其中，查询请求用于请求查询业务数据；第二节点，用于通过可信机构证书链的公钥验证第一节点发送的业务数据的真伪，并在验证通过的情况下将验证通过结果发送至第二可信机构。

如图8所示，第二可信机构的用户Sv想要查看该业务数据，则用户Sv登录第二账户，发送查询请求，用于请求查询该业务数据。第二可信机构将该查询请求发送至第二节点，则第二节点需要验证业务数据的有效性。具体的，第二节点通过智能合约获取到该携带有数字签名的业务数据后，从第二节点上的可信机构证书链获取第一可信机构的公钥，验证业务数据的签名是否正确，若第二节点验证签名未通过验证，则表明可信机构证书链出现问题，则第二节点将问题反馈至第二可信机构；若第二节点验证签名通过验证，则还需要通过该公钥对数字签名进行解密，得到业务数据的摘要，然后第二节点将原始数据进行hash运算得到原始数据的摘要，第二节点若判定业务数据的摘要与原始数据的摘要相同，表明业务数据通过验证，则第二节点将验证成功结果反馈至第二可信机构，用户Sv可以查看该业务数据；第二节点若判定业务数据的摘要与原始数据的摘要不相同，表明业务数据没通过验证，则第二节点将验证失败结果反馈至第二可信机构，用户Sv不能查看该业务数据。

本申请的区块链节点之间相互授信，区块链节点各自管理可信机构内部主体的认证机制，方便快捷。另外，验证可信机构的身份和业务数据的真伪，多个节点认证上链数据，提高数据可靠性，采用区块链网络，可信机构内部的认证也更加透明。

可选的，本申请实施例还提供了一种跨机构的身份可信服务方法的处理流程，具体过程如下。

第一可信机构中包括第一业务平台，第一可信机构的用户Su登录第一账户时，通过统一身份认证服务进行用户的登录鉴权，用户Su登录第一业务平台后，在第一可信机构上发起一笔用于业务的原始数据，原始清洗转换后形成数据包文件并流转至第一业务平台，第一业务平台中内置有区块链服务SDK，通过该SDK对原始数据进行哈希运算得到摘要，并采用私钥对摘要进行加密得到原始数据的数字签名，生成携带有数字签名的业务数据。第一可信机构将业务数据发送至区块链网络中的第一节点，第一节点采用可信机构证书链的第一可信机构的公钥验证签名通过后，将业务数据同步至区块链网络中的其他节点，例如第二节点，第二节点将业务数据发送至第二可信机构，此时，第二可信机构中的用户不能查看该业务数据。

第二可信机构中包括第二业务平台，第二可信机构中的用户Sv登录第二账户时，通过统一身份认证服务进行用户的登录鉴权。用户Sv想要查看该业务数据，则点击该业务数据，第二可信机构将业务数据发送至第二节点，第二节点从自己的可信机构证书链获取第一可信机构的公钥，验证业务数据的签名正确，然后通过该公钥对数字签名进行解密，得到业务数据的摘要，然后第二节点将原始数据进行hash运算得到原始数据的摘要，第二节点若判定业务数据的摘要与原始数据的摘要相同，表明业务数据通过验证，用户Su的身份通过验证。

下面，为了更清楚的说明本申请，首先将智能合约的工作原理进行简单介绍：

构建智能合约：智能合约由区块链内的多个用户共同参与制定，可用于任何用户之间的任何交易。协议当中明确规定了交易双方的权利和义务，开发人员将这些权利和义务以电子化的方式进行编程，代码中包含会触发合约自动执行的条件。

存储智能合约：一旦编码完成，这份智能合约上传至区块链网络上，即全网的每个节点都可以收到这份智能合约。

执行智能合约：智能合约会定期检查是否存在相关事件和触发条件，以满足条件的事件推送到待验证的队列中，区块链上的验证节点先对事件进行签名验证，以确保其有效性，等大多数验证节点对该事件达成共识，智能合约将成功执行，并通知给用户。

基于相同的技术构思，本发明实施例还提供了一种电子设备，如图9所示，包括处理器901、通信接口902、存储器903和通信总线904，其中，处理器901，通信接口902，存储器903通过通信总线904完成相互间的通信，

存储器903，用于存放计算机程序；

处理器901，用于执行存储器903上所存放的程序时，实现上述步骤。

上述电子设备提到的通信总线可以是外设部件互连标准(Peripheral ComponentInterconnect，PCI)总线或扩展工业标准结构(Extended Industry StandardArchitecture，EISA)总线等。该通信总线可以分为地址总线、数据总线、控制总线等。为便于表示，图中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

通信接口用于上述电子设备与其他设备之间的通信。

存储器可以包括随机存取存储器(Random Access Memory，RAM)，也可以包括非易失性存储器(Non-Volatile Memory，NVM)，例如至少一个磁盘存储器。可选的，存储器还可以是至少一个位于远离前述处理器的存储装置。

上述的处理器可以是通用处理器，包括中央处理器(Central Processing Unit，CPU)、网络处理器(Network Processor，NP)等；还可以是数字信号处理器(Digital SignalProcessing，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。

在本发明提供的又一实施例中，还提供了一种计算机可读存储介质，该计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现上述任一方法的步骤。

在本发明提供的又一实施例中，还提供了一种包含指令的计算机程序产品，当其在计算机上运行时，使得计算机执行上述实施例中任一方法。

在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机程序指令时，全部或部分地产生按照本发明实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(DSL))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，DVD)、或者半导体介质(例如固态硬盘Solid State Disk(SSD))等。

需要说明的是，在本文中，诸如“第一”和“第二”等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上所述仅是本申请的具体实施方式，使本领域技术人员能够理解或实现本申请。对这些实施例的多种修改对本领域的技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本申请的精神或范围的情况下，在其它实施例中实现。因此，本申请将不会被限制于本文所示的这些实施例，而是要符合与本文所申请的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种身份可信服务***，其特征在于，所述***包括：

具有多个节点的区块链网络，每个节点上保存有可信机构证书链，所述可信机构证书链中包括多个可信机构颁发的所有帐户证书；

目标节点，用于利用所述可信机构证书链中的帐户证书对目标可信机构发送的业务数据进行签名验证，其中，所述目标可信机构为所述多个可信机构中用于传输所述业务数据的机构，所述目标节点为所述目标可信机构上部署的节点。

2.根据权利要求1所述的***，其特征在于，所述***包括：

第一可信机构，用于通过私钥对第一帐户发送的原始数据进行签名，得到携带有数字签名的所述业务数据，并将所述业务数据发送至第一节点，其中，所述第一帐户为在所述第一可信机构中开通的帐户；

所述第一节点，用于通过所述可信机构证书链中所述第一帐户的公钥对所述业务数据进行签名验证。

3.根据权利要求2所述的***，其特征在于，所述***包括：

第二可信机构，用于在接收到第二帐户发送的查询请求时，将所述查询请求发送至第二节点，其中，所述查询请求用于请求查询所述业务数据，所述第二帐户为在所述第二可信机构中开通的帐户；

所述第二节点，用于通过所述可信机构证书链的公钥验证所述第一节点发送的业务数据的真伪，并在验证通过的情况下将验证通过结果发送至所述第二可信机构。

4.根据权利要求1所述的***，其特征在于，所述业务数据包括机构证书颁发数据，所述***包括：

所述目标可信机构，用于将所述机构证书颁发数据进行签名，并将携带有数字签名的机构证书颁发数据上传至所述目标节点；

所述目标节点，用于在验证所述数字签名为真的情况下将所述携带有数字签名的机构证书颁发数据上传至所述区块链网络。

5.根据权利要求1所述的***，其特征在于，所述业务数据包括机构证书吊销数据，所述***包括：

所述目标可信机构，用于将所述机构证书吊销数据进行签名，并将携带有数字签名的机构证书吊销数据上传至所述目标节点；

所述目标节点，用于在验证所述数字签名为真的情况下将所述携带有数字签名的所述机构证书吊销数据上传至所述区块链网络。

6.根据权利要求1所述的***，其特征在于，所述***包括：

所述区块链网络中的多个节点，其中，每个所述节点之间具有可信通道；

每个所述区块链节点对应的可信机构，其中，多个所述可信机构之间通过对等网络连接。

7.一种身份可信服务方法，应用于目标节点，其特征在于，所述方法包括：

获取目标可信机构发送的业务数据，其中，所述目标节点为所述目标可信机构上部署的节点，所述目标可信机构为多个可信机构中用于传输所述业务数据的机构；

通过可信机构证书链中的帐户证书对所述业务数据进行签名验证，其中，每个节点上保存有可信机构证书链，所述可信机构证书链中包括多个可信机构颁发的所有帐户证书，多个所述节点构成区块链网络。

8.根据权利要求7所述的方法，其特征在于，所述业务数据包括机构证书颁发数据，

所述获取目标可信机构发送的业务数据包括：获取所述目标可信机构发送的携带有数字签名的机构证书颁发数据；

所述通过可信机构证书链中的帐户证书对所述机构证书颁发数据进行签名验证包括：在验证所述数字签名为真的情况下，将所述携带有数字签名的机构证书颁发数据上传至所述区块链网络。

9.一种电子设备，其特征在于，包括处理器、通信接口、存储器和通信总线，其中，处理器，通信接口，存储器通过通信总线完成相互间的通信；

存储器，用于存放计算机程序；

处理器，用于执行存储器上所存放的程序时，实现权利要求7-8任一所述的方法步骤。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现权利要求7-8任一所述的方法步骤。

Images