CN113569210A - 分布式身份认证方法、设备访问方法及装置 - Google Patents

Abstract

本申请公开了一种分布式身份认证方法、设备访问方法及装置。其中，该分布式身份认证方法包括：终端设备获取用户信息；终端设备基于用户信息从区块链获取到用户的加密信息；终端设备基于加密信息和用户信息进行计算，得到第一值；终端设备将第一值发送给认证云服务商，以让认证云服务商基于第一值对用户的身份进行验证。本申请基于区块链存储的用户对应的加密信息就可完成用户的身份认证，避免了集中式注册中心导致的数据泄露和单点故障问题。

Description

分布式身份认证方法、设备访问方法及装置

技术领域

本申请涉及区块链技术领域，特别是涉及一种分布式身份认证方法、设备访问方法及装置。

背景技术

移动云计算为资源受限的终端设备提供了额外的计算资源容量。然而，为了使用由不同的云服务商提供的服务，移动用户必须在不同的云服务商处注册用户身份，同时必须记住多个身份和凭证才能访问各种云服务商，这种认证方法复杂且繁琐。

目前，虽然已经出现了许多单点登录方案以消除移动用户访问云服务商的多次重复注册。但是，这些方案大多数依赖于受信任的第三方注册中心，该中心是管理向其注册的所有移动用户的身份信息的集中式实体。集中式的注册中心对其拥有的数据具有完全控制权，从而导致用户数据泄露的可能性和单点故障的风险增加。

发明内容

本申请提供一种分布式身份认证方法、设备访问方法及装置，基于区块链存储的用户对应的加密信息就可完成用户的身份认证，避免了集中式注册中心导致的数据泄露和单点故障问题。

为达到上述目的，本申请提供一种分布式身份认证方法，该方法包括：

终端设备获取用户信息；

终端设备基于用户信息从区块链获取到用户的加密信息；

终端设备基于加密信息和用户信息进行计算，得到第一值；

终端设备将第一值发送给认证云服务商，以让认证云服务商基于第一值对用户的身份进行验证。

为达到上述目的，本申请提供一种分布式身份认证方法，该方法包括：

认证云服务商从终端设备获取到第一值，第一值是终端设备基于用户加密信息和用户信息进行计算得到的，用户加密信息是终端设备基于用户信息从区块链获得的；

认证云服务商对第一值进行验证；

若通过验证，将身份认证消息发送给终端设备以完成身份认证。

为达到上述目的，本申请提供一种设备访问方法，该方法包括：

认证云服务商获取到终端设备发送的访问请求和第一值，第一值是终端设备基于用户加密信息和用户信息进行计算得到的，用户加密信息是终端设备基于用户信息从区块链获得的；

认证云服务商对第一值进行验证；

若通过验证，认证云服务商向终端设备授予访问认证云服务商的权限。

为达到上述目的，本申请还提供一种电子设备，该电子设备包括处理器；处理器用于执行指令以实现上述方法。

为达到上述目的，本申请还提供一种计算机可读存储介质，其用于存储指令/程序数据，指令/程序数据能够被执行以实现上述方法。

本申请终端设备进行身份认证时，先获取用户信息，然后基于用户信息从区块链获取到用户的加密信息，接着终端设备可以基于用户的加密信息和用户信息进行计算，得到第一值，然后将第一值发送给认证云服务商，以让认证云服务商在对第一值认证通过的情况下完成用户身份认证，从而基于区块链存储的用户对应的加密信息就可完成用户的身份认证，使得注册到区块链的不同服务器都可基于区块链上的用户对应的加密信息对用户身份进行认证，无需集中式服务器对用户的信息进行管理，从而避免出现数据泄露和单点故障的问题。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1是本申请基于区块链的用户注册方法一实施方式的流程示意图；

图2是本申请基于区块链的用户注册方法另一实施方式的流程示意图；

图3是本申请分布式身份认证方法一实施方式的流程示意图；

图4是本申请分布式身份认证方法中终端设备的工作流程示意图；

图5是本申请分布式身份认证方法中认证云服务商的工作流程示意图；

图6是本申请分布式身份认证方法另一实施方式的流程示意图；

图7是本申请电子设备一实施方式的结构示意图；

图8是本申请计算机可读存储介质一实施方式的结构示意图。

具体实施方式

描述和附图说明本申请的原理。因此将了解，本领域的技术人员将能够设计各种布置，尽管本文中未明确地描述或示出布置，但其体现了本申请的原理且包括在本申请的范围内。此外，本文中的所有例子主要明确地意在用于教学目的，以辅助读者理解本申请的原理及由发明人所提供的概念，从而深化所属领域，且所有例子不应解释为限于此类特定阐述的例子及条件。另外，除非另外指明(例如，“或另外”或“或在替代方案中”)，否则如本文所使用的术语“或”指代非排他性的“或”(即，“和/或”)。并且，本文所描述的各种实施例不一定相互排斥，因为一些实施例可以与一个或多个其它实施例组合以形成新的实施例。

为了解决现有通过集中式注册中心对用户身份进行管理的技术方案中存在的用户数据泄露和单点故障的问题。

本申请提出一种基于区块链的基于区块链的用户注册方法，在用户通过终端设备注册至云服务商时，云服务商会将用户信息处理成加密信息上传到区块链，这样其他云服务商也可利用存储于区块链的加密信息进行用户身份认证，使得用户无需在不同的云服务商均进行身份注册，通过区块链对用户身份信息进行管理，而无需集中式注册中心，从而避免出现数据泄露和单点故障的问题，而且区块链上存储的是用户信息的加密信息，可以提高用户信息的安全性。

下面将详细介绍本申请基于区块链的用户注册方法，其中基于区块链的用户注册方法一实施方式的流程示意图具体如图1和图2所示，本实施方式的基于区块链的用户注册方法包括以下步骤。其中，本申请的基于区块链的用户注册方法的使用领域不受限制，例如可适用于跨境贸易领域或物联网设备管理领域。需要注意的是，以下步骤编号仅用于简化说明，并不旨在限制步骤的执行顺序，本实施方式的各步骤可以在不违背本申请技术思想的基础上，任意更换执行顺序。

S101：注册云服务商获取携带有用户信息的用户的注册请求。

在一实现方式中，终端设备可以将携带有用户信息的用户的注册请求直接发送给注册云服务商，使得注册云服务商可以获取到携带有用户信息的用户的注册请求。

在另一实现方式中，其中用户和注册云服务商均是他们共同维护的区块链中的节点，用户可通过区块链与注册云服务商交互数据，使注册云服务商仅根据收到的用户的注册请求和用户信息提供服务，而无法知晓被提供服务的用户是谁，可以保护用户的隐私。

另外，终端设备可以对携带有用户信息的用户的注册请求进行加密，并将加密后的数据发送给注册云服务商，以提高用户信息的安全性。而且，终端设备可先选择一云服务商作为接收用户的注册请求的云服务商(即注册云服务商)，然后用注册云服务商的公钥对携带有用户信息的用户的注册请求进行加密，然后将加密后的用户的注册请求发送给注册云服务商，从而仅有注册云服务商才能用自己的私钥对加密后的用户的注册请求进行解密，以保证用户信息的安全。

其中，注册云服务商的公钥可以是在注册云服务商注册进区块链时，由注册云服务商自身上传到区块链上的，这样终端设备可以从区块链获取到注册云服务商的公钥。在其他实施方式中，注册云服务商可以将公钥发送给其选择的一些区块链节点，也可以将公钥直接全网广播，以发送给所有区块链节点。

其中注册云服务商的公钥的计算过程可以是：注册云服务商先选择至少一个私钥，例如x，y；然后利用私钥计算出公钥。例如可利用公式Q＝(x+y).P计算出公钥Q；其中，x和y为注册云服务商选择的私钥，P为椭圆曲线方程的基点。

另外，用户可以就近选择注册云服务商，然后将携带有用户信息的用户的注册请求发送给该就近选择的注册云服务商，以让就近选择的注册云服务商对用户信息进行处理，使得区块链中每个云服务商负责与其相邻的用户节点的注册请求，实现分区处理。

S102：注册云服务商基于自身的密钥和用户信息计算得到至少一个加密信息。

注册云服务商获取携带有用户信息的用户的注册请求后，注册云服务商可以响应于用户的注册请求对用户信息进行处理，以便后续注册云服务商将处理后的至少一个加密信息上传到区块链，以完成用户的注册，并且让自己和其他云服务商可以从区块链上获取到该用户对应的至少一个加密信息，从而在用户登录或访问时对用户的身份进行认证，从而用户仅需进行一次注册就可访问登录多个云服务商，并且也无需集中式注册中心对用户的身份信息进行管理，可以避免出现数据泄露和单点故障的问题。

可选地，注册云服务商可以基于自身的密钥对用户信息进行可逆计算，以得到第一加密信息，这样注册云服务商将第一加密信息发布到区块链上后，用户可以从区块链上获取到自身的第一加密信息，用户可通过用户信息和从区块链上获得的第一加密信息推算出注册云服务商的密钥的推算值，如果用户信息无误，注册云服务商的密钥的推算值就等于注册云服务商密钥的真实值，从而用户身份认证就可通过。

其中，用户信息可以包括关联信息，该关联信息是用户终端对用户的生物特征进行处理得到的。注册云服务商可以基于自身的密钥对关联信息进行可逆计算，以得到第一加密信息，这样如果终端设备在用户登录时采集的用户的生物特征和进行身份注册时采集的生物特征匹配，终端设备就可基于用户登录时采集的用户生物特征计算出正确的关联信息，进而推算出注册云服务商的密钥的真实值，以便完成用户的身份认证，这样终端设备无需存储用户的生物特征，也不用将用户的生物特征发送给其他设备(例如注册云服务商或认证云服务商)，可以保证用户的生物特征信息安全。

进一步地，上述用户的关联信息可以是将用户生物特征和用户的初始标识关联得到的。具体地，用户的终端设备可以对用户的生物特征进行模糊提取，以得到密钥串；然后将密钥串和用户初始标识进行关联，得到关联值；接着将关联值进行哈希处理，得到关联信息。

具体地，关联信息的计算公式如下所示：Gen(BIO_i)＝>(B_i,B_F)；

B₁＝h(ID_i||B_i)；

其中，Gen(.)为模糊提取器的母函数；B_i为对生物特征模糊提取得到的密钥串；B_F为对生物特征模糊提取得到的公共复制串；||为关联操作；

为异或操作；h(.)为单向哈希函数；ID_i是用户的初始标识。

在一实现方式中，基于本实施方式完成用户身份注册后，且在用户登录时，终端设备可以将推算出的注册云服务商的密钥的推算值发送给认证云服务商，让认证云服务商对密钥推算值进行验证，若验证通过，则认证云服务商对用户身份验证通过。

在另一实现方式中，因为认证云服务商可能与注册云服务商不相同，且认证云服务商可能不知晓注册云服务商的密钥的真实值，为了便于认证云服务商对用户身份进行验证，注册云服务商可设置第一密钥和第二密钥这两个密钥，注册云服务商基于第一密钥对用户信息进行计算，以得到第一加密信息，注册云服务商基于第二密钥对注册云服务商的第一标识进行计算，以得到第二加密信息；另外注册云服务商还可利用第一密钥和预设值相乘，得到第三加密信息；注册云服务商还可利用第二密钥和上述的预设值相乘，得到第四加密信息；然后在步骤S103中将第一加密信息、第二加密信息、第三加密信息和第四加密信息上传到区块链，这样在用户登录时用户使用的终端设备可基于用户信息和从区块链上获取的第一加密信息推算出第一密钥，并利用第一密钥和从区块链上获取的第四加密信息相乘，得到第一值，另外认证云服务商会获取到注册云服务商的第一标识等信息，并利用注册云服务商的第一标识等信息和从区块链上获取的第二加密信息推算出第二密钥，并利用第二密钥和从区块链上获取到第三加密信息相乘，得到第二值，若终端设备计算第一值时使用的用户信息无误且计算过程正确，那第二值会和第一值相同，在这样的情况下，认证云服务商对用户身份验证通过，从而区块链上的除注册云服务商以外的云服务商也可以利用用户的至少一个加密信息对用户的身份进行认证，而且在注册和登录过程中云服务商无需获取用户的生物特征等信息，可以保证用户的生物特征信息安全。其中，为便于对第一加密信息、第二加密信息、第三加密信息和第四加密信息进行描述，可将第一加密信息、第二加密信息、第三加密信息和第四加密信息称为用户对应的加密信息，并且可将第一加密信息和第四加密信息统称为用户的加密信息，可将第二加密信息和第三加密信息统称为注册云服务商的加密信息。

其中上述的预设值可以是随机生成的随机数，或者可以是通过用户信息和/或注册云服务商的标识信息处理得到的数值。具体地，用户信息可以包括用户标识，预设值可以是对用户标识和注册云服务商的第二标识计算得到的。进一步地，为了保证用户信息和云服务商信息，可以利用椭圆曲线等方程隐藏他们的身份，具体地，预设值可以是注册云服务商对用户标识与第二标识的和进行椭圆曲线计算得到的。而上述的用户标识可以是用户的初始标识，也可以是对用户的初始标识进行哈希处理得到的值。

而第一加密信息的具体计算公式可为：

其中，A₄为用户的第一加密信息，B₁为用户的关联信息，n_A为注册云服务商的第一密钥，ID_j为注册云服务商的第二标识，

为异或操作。

而第二加密信息的具体计算公式可为：

其中，P_C为用户对应的第二加密信息，h(S)为注册云服务商的第一标识，n_B为注册云服务商的第二密钥，ID_j的注册云服务商的第二标识，

为异或操作。

而第三加密信息的具体计算公式可为：P_A＝n_A×P.(ID_j+h(ID_i))；

其中，P_A为第三加密信息，n_A为注册云服务商的第一密钥，ID_j为注册云服务商的第二标识，h(ID_i)为用户标识。

而第四加密信息的具体计算公式可为：P_B＝n_B×P.(ID_j+h(ID_i))；

其中，P_B为用户对应的第四加密信息，n_B为注册云服务商的第二密钥，ID_j为注册云服务商的第二标识，h(ID_i)为用户标识。

另外上述注册云服务商的第一标识可以是注册云服务商对自身的第二标识处理得到的。

具体地，注册云服务商可以先生成第一随机数r；

然后以公式S＝h(r₁.P||ID_j)计算出中间值，其中，||为关联操作，P为椭圆曲线方程的基点，h为单向哈希函数h(.)：{0，1}*->Zp*，r为第一随机数，S为中间值；

再对中间值S进行哈希处理，得到注册云服务商的第一标识h(S)。

其中，上述的中间值可以由注册云服务商保存在本地服务器。而注册云服务商的第二标识和/或第一标识可以存储于区块链上，以便认证云服务商从区块链上获取到用户对应的注册云服务商的第二标识和/或第一标识，以便对已注册的用户进行身份认证。注册云服务商的第二标识和/或第一标识可以在注册云服务商注册进区块链时，由注册云服务商自身上传到区块链上。

可以理解的是，本申请基于区块链的用户注册方法是基于区块链执行的。为了便于对用户身份进行管理，以及对用户身份进行认证，可以在区块链建立初期，由至少部分云服务商确定统一的哈希函数和椭圆曲线方程的基点等，并将统一的哈希函数和椭圆曲线方程的基点发布到区块链上，以便终端设备和云服务商利用相同的哈希函数和椭圆曲线方程的基点进行数据处理，可以让终端设备和云服务商可以快速且准确地进行密钥转换，以避免出现终端设备和云服务商使用不一致的哈希函数和椭圆曲线方程的基点等外部原因导致用户身份认证失败的情况，这样可以为用户和云服务商提供安全的身份认证通道。

另外，在步骤S102之前，注册云服务商可以基于用户信息在区块链上检查用户是否已经注册过；若已经注册过，则注册云服务商可以忽略该次注册请求，并可向终端设备发出提醒，以提示用户该账号已被注册；若未注册过，则执行步骤S102。

S103：注册云服务商将至少一个加密信息上传至区块链，以完成用户的注册。

基于步骤S102得到至少一个加密信息后，注册云服务商可以将至少一个加密信息上传到区块链。并且注册云服务商还可将注册成功的消息发送给终端设备，以让用户知晓自己已经成功注册。

此外，终端设备可以将注册过程中产生的一些参数(例如公共复制串、模糊提取函数Gen(.)、复制函数Rep(.)、单向哈希h(.)、时间间隔△t、基点P、以及A₁)存储到自身设备上。

其中，A₁是通过公式

计算出来的；其中，ID_i的用户的初始标识；B_i是用户的关联信息；PW_i是用户输入的密码；s_l可以是对用户生物特征进行处理、生成的具有生命周期的秘密。

基于上述基于区块链的用户注册方法或其余用户注册方法将用户对应的加密信息上传到区块链之后，终端设备和认证云服务商可以利用区块链中的用户对应的加密信息进行用户的身份认证。其中，本申请的云服务商即为云服务的提供商，并且云服务商可以是区块链中的完整节点，其可以拥有区块链分布式账本的完整副本，从而云服务商可在区块链上查找到由其他云服务商注册的用户对应的加密信息，以便进行用户的身份认证。具体地，如图3所示，利用上述加密信息进行分布式身份认证方法可包括以下步骤。

S201：终端设备获取用户信息。

S202：终端设备基于用户信息从区块链获取到用户的加密信息。

S203：终端设备基于用户的加密信息和用户信息进行计算，得到第一值。

S204：认证云服务商对第一值进行验证。

S205：若通过验证，认证云服务商将身份认证消息发送给终端设备以完成身份认证。

终端设备进行身份认证时，可以先获取用户信息，以便终端设备基于用户信息从区块链获取到用户的加密信息，从而终端设备可以基于用户的加密信息和用户信息进行计算，得到第一值，以便在认证云服务商对第一值认证通过的情况下完成用户身份认证，从而基于区块链存储的用户对应的加密信息就可完成用户的身份认证，使得注册到区块链的不同服务器都可基于区块链上的用户对应的加密信息对用户身份进行认证，无需集中式服务器对用户的信息进行管理，从而避免出现数据泄露和单点故障的问题。

在第一实现方式中，用户注册时，用户的加密信息是注册云服务商基于注册云服务商的密钥对用户信息进行可逆计算得到的，那在步骤S203中终端设备可以利用用户信息和用户的加密信息进行推算，以得到注册云服务商的密钥的推算值，并将注册云服务商的密钥的推算值作为第一值发送给认证云服务商，以让认证云服务商对注册云服务商的密钥的推算值进行认证，若认证通过，则认证云服务商可以将身份认证消息发送给终端设备以完成用户的身份认证。具体地，在步骤S204中，认证云服务商可基于用户对应的注册云服务商的标识等信息确定注册云服务商的密钥的真实值(例如，若认证云服务商不是注册云服务商，认证云服务商可以直接向注册云服务商请求获取注册云服务商的密钥真实值)；若认证云服务商确定注册云服务商的密钥真实值和终端设备发送的注册云服务商的密钥推算值一致，则第一值认证通过。

在第二实现方式中，在步骤S203中，终端设备可以利用用户信息和用户的加密信息进行推算，以推算出注册云服务商的密钥的推算值；终端设备可以利用注册云服务商的密钥的推算值进行计算，得到第一值，然后将第一值发送给认证云服务商，以让认证云服务商对第一值进行认证，若认证云服务商对第一值认证通过，则认证云服务商将身份认证消息发送给终端设备以完成用户的身份认证，即用户身份认证通过。可选地，在步骤S204中，认证云服务商可以基于第一值、注册云服务商的标识以及注册云服务商的加密信息计算得到第二值；确认第一值和第二值是否一致；若第一值和第二值相同，则认证云服务商对第一值认证通过。

在第三实现方式中，为了便于不同的认证云服务商对用户身份进行验证，用户注册时，注册云服务商可利用第一密钥和第二密钥这两个密钥得到用户对应的第一加密信息、第二加密信息、第三加密信息和第四加密信息这四个加密信息。具体地，在步骤S202中，终端设备可通过用户信息从区块链上获取到用户注册时存储到区块链上的第一加密信息和第四加密信息；然后在步骤S203中，终端设备利用第一加密信息和用户信息推算出注册云服务商的第一密钥的推算值；将第一密钥的推算值和第四加密信息相乘，以得到第一值；接着终端设备将第一值发送给认证云服务商，以让认证云服务商在步骤S204中，基于用户对应的第二加密信息和注册云服务商的标识推算出注册云服务商的第二密钥；然后将推算得到的第二密钥和第三加密信息相乘，以得到第二值；认证云服务商确认计算得到的第二值和第一值是否一致；若一致，则对第一值验证通过，即用户身份认证通过，此时可将身份认证消息发送给终端设备以完成用户的身份认证。

在第四实现方式中，在步骤S202中，终端设备可通过用户信息从区块链上获取到用户注册时存储到区块链上的第一加密信息和第四加密信息；然后在步骤S203中，终端设备利用第一加密信息和用户信息推算出注册云服务商的第一密钥的推算值；将第一密钥的推算值和第四加密信息相乘，以得到第一中间值；终端设备对第一中间值和第一加密信息进行可逆处理，得到第一值；接着终端设备将第一值发送给认证云服务商，以让认证云服务商在步骤S204中，基于注册云服务商的标识和从区块链获取的第二加密信息推算出注册云服务商的第二密钥；然后将推算得到的第二密钥和从区块链获得的第三加密信息相乘，得到第二中间值；认证云服务商对第二中间值、第一值和从区块链获得的第一加密信息进行可逆处理，得到第二过渡值；然后认证云服务商对第二过渡值、第二中间值和第一加密信息进行可逆计算，得到第二值；接着认证云服务商确认计算得到的第二值和第一值是否一致；若一致，则对第一值验证通过，可将身份认证消息发送给终端设备以完成用户的身份认证。

可选地，用户信息可以包括用户密码，注册云服务商的标识包括第一标识和第二标识。终端设备对第一中间值和第一加密信息进行可逆处理的步骤可以包括：终端设备对用户初始标识、用户密码、当前密钥串和注册云服务商的第二标识进行处理，得到第一关联值；然后终端设备对第一关联值、第一中间值和第一加密信息进行异或操作，得到第一值。

其中，第一关联值的计算公式可如下所示：

A₅＝h(ID_i||PW_i||B_i*||r₂||T₁||ID_j)；

其中，A₅为第一关联值，ID_i为用户的初始标识；PW_i为用户的密码；B_i*为用户的当前密钥串；r₂为第二随机数；T₁为第一时间，ID_j为注册云服务商的第二标识。其中，第二随机数r₂和第一时间T₁可以是终端设备在从区块链获取到用户加密信息的情况下生成的。

另外，第一值的计算公式可为：

其中，A₆为第一值，A₅为第一关联值，D₁为第一中间值，A₄为用户的第一加密信息。

进一步地，上述实现方式中认证云服务商具体可对注册云服务商的第一标识、第二标识和第二加密信息进行可逆计算(例如异或计算)，以得到注册云服务商的第二密钥的推算值。

另外，用户信息可以包括用户的当前生物特征，在上述实现方式中的步骤S203中，终端设备可以对当前生物特征进行处理，以得到用户的当前关联信息，然后终端设备利用用户的当前关联信息和用户的加密信息进行可逆运算以推算出注册云服务商的密钥的推算值，这样在用户身份认证时，终端设备可将对用户生物特征进行处理而得到的第一值发送给认证云服务商，而不是直接将用户生物特征发送给认证云服务商，可以在利用用户生物特征对用户身份进行认证的前提下，确保不将用户的生物特征发送给其他设备，而且终端设备无需存储用户生物特征，以保护用户的生物特征安全性。

进一步地，用户信息还可包括用户的初始标识。在步骤S203中，终端设备可以基于用户当前生物特征对用户的初始标识进行处理，以得到用户的当前关联信息。

具体地，终端设备基于用户当前生物特征对用户的初始标识进行处理的步骤可以包括：终端设备可以对用户的当前生物特征进行模糊提取，以得到当前密钥串；然后将当前密钥串和用户初始标识进行关联，得到关联值；接着将关联值进行哈希处理，得到关联信息。

具体地，当前关联信息的计算公式如下所示：Gen(BIO_i*)＝>(B_i*,B_F*)；

B₁*＝h(ID_i||B_i*)；

其中，BIO_i*是用户的当前生物特征，当前生物特征是终端设备在用户登录或访问认证云服务商时、或者用户在认证云服务商上进行身份认证时，从用户获取到的生物特征；Gen(.)为模糊提取器的母函数；B_i*为对用户当前生物特征模糊提取得到的当前密钥串；B_F*为对用户当前生物特征模糊提取得到的当前公共复制串；||为关联操作；

为异或操作；h(.)为单向哈希函数；ID_i是用户的初始标识。

另外，用户的初始标识还可用来区分不同的用户，这样在步骤S202中，终端设备可以利用用户的初始标识、或利用对初始标识处理得到的用户标识，从区块链上查找到用户注册时存储到区块链分布式账本上的用户的加密信息。

相应地，在从终端设备获取到第一值之后，认证云服务商可以基于用户标识、或者基于用户标识和认证云服务商的标识从区块链中查询到用户对应的第一加密信息、第二加密信息和第三加密信息等加密信息，以便执行步骤S204而对第一值进行验证。

其中，认证云服务商可基于以下方法确定用户对应的注册云服务商的标识等信息。例如，在步骤S204中，认证云服务商可利用用户信息中用户标识等信息从区块链中查找到注册云服务商的标识等信息。又例如，终端设备计算到第一值后，可以将第一值和注册云服务商的标识一同发送给认证云服务商，这样认证云服务商可以在接收到第一值的同时，接收到注册云服务商的标识。

此外，在从终端设备获取到第一值时，认证云服务商可以将当前时间作为第二时间T₂，并判断第二时间T₂和第一时间T₁的差值是否在有效期△T内；若是，则基于用户标识、或者基于用户标识和认证云服务商的标识从区块链中查询用户对应的加密信息。

进一步地，在基于用户标识、或者基于用户标识和认证云服务商的标识从区块链中查询到用户对应的加密信息之前，认证云服务商还可基于用户的标识在区块链上验证该用户是否已注销；若用户已注销，则终止此次请求，不执行步骤S204和S205；若用户未注销，则执行步骤S204和S205，以基于查询到的用户对应的加密信息对第一值进行验证。

此外，在上述实现方式的步骤S205中，认证云服务商可基于第一值生成身份认证消息，并将生成的身份认证消息发送给终端设备。

其中，身份认证消息可通过下述公式生成，当然不限于此：

其中，A₈为身份认证消息，A₅*为第二过渡值，A₆为第一值，r₂为第二随机数，T₃为第三时间，r₃为第三随机数。其中。第三时间和第三随机数可以是认证云服务商对第一值认证通过的情况下生成的。

例外，认证云服务商在将身份认证消息发送给终端设备的同时，可将第三时间一同发送给终端设备，以便终端设备确认其收到身份认证消息的时间点T₄和第三时间T₃的差值是否在有效期△T内，若是，则身份认证成功。

如图4所示，对于终端设备，其实现分布式身份认证方法的步骤如下所示。

S301：终端设备获取用户信息。

S302：终端设备基于用户信息从区块链获取到用户的加密信息。

S303：终端设备基于加密信息和用户信息进行计算，得到第一值。

S304：终端设备将第一值发送给认证云服务商，以让认证云服务商基于第一值对用户的身份进行验证。

上述步骤与图3所示实施例中的相关步骤类似，具体不再赘述。终端设备进行身份认证时，先获取用户信息，然后基于用户信息从区块链获取到用户的加密信息，接着终端设备可以基于用户的加密信息和用户信息进行计算，得到第一值，然后将第一值发送给认证云服务商，以让认证云服务商在对第一值认证通过的情况下完成用户身份认证，从而基于区块链存储的用户对应的加密信息就可完成用户的身份认证，使得注册到区块链的不同服务器都可基于区块链上的用户对应的加密信息对用户身份进行认证，无需集中式服务器对用户的信息进行管理，从而避免出现数据泄露和单点故障的问题。

对于认证云服务商，其实现分布式身份认证方法的步骤请参阅图5，图5是本申请分布式身份认证方法中认证云服务商的工作流程示意图。

S401：认证云服务商从终端设备获取到第一值。

其中，第一值是终端设备基于用户的加密信息和用户信息进行计算得到的，用户的加密信息是终端设备基于用户信息从区块链获得的。

S402：认证云服务商对第一值进行验证。

S403：若通过验证，将身份认证消息发送给终端设备以完成身份认证。

本实施方式中上述步骤与图3所示实施例中的相关步骤类似，具体不再赘述。认证云服务商从终端设备接收到第一值后，会在对第一值认证通过的情况下，将身份认证消息发送给终端设备以完成身份认证，其中，第一值是终端设备基于用户的加密信息和用户信息进行计算得到的，用户的加密信息是终端设备基于用户信息从区块链获得的，这样基于区块链存储的用户对应的加密信息就可完成用户的身份认证，使得注册到区块链的不同服务器都可基于区块链上的用户对应的加密信息对用户身份进行认证，无需集中式服务器对用户的信息进行管理，从而避免出现数据泄露和单点故障的问题。

下面为更好说明本申请的分布式身份认证方法，提供下述一个用户身份认证具体实施例来示例性说明：

实施例1

如图6所示，本实施例分布式身份认证方法包括以下步骤：

1、用户MU_i从终端设备上提取其标识ID_i、密码PW_i、生物特征BIO_i，并向区块链提出访问认证云服务商CSP_j的请求；

2、区块链接收到访问请求和相关信息后，将之前注册时存储的加密信息A₄，P_B发送给用户；

3、用户从区块链接收到A₄，P_B后，生成第二随机数r₂，第一时间T₁，并计算

A₅＝h(ID_i||PW_i||B_i*||r₂||T₁||ID_j)，

D₁＝n_A×P_B，

然后，用户将计算得到的以上第一时间T₁、第二随机数r₂和第一值A₆等信息发送至对应的认证云服务商CSP_j，以进行身份认证；

4、认证云服务商CSP_j接收到用户MU_i发送的第一值A₆等信息，验证第二时间T₂和第一时间T₁的差值是否在有效期△T内，若是，则通过用户的标识h(ID_i)和注册云服务商的第二标识ID_j向区块链请求用户对应的加密信息；

5、区块链接收到认证云服务商CSP_j发送的h(ID_i)和ID_j，在其分布式账本上验证该用户是否已注销，若是，则终止此次请求，否则将查询得到的A₄，P_A和P_C返回给认证云服务商CSP_j；

6、认证云服务商CSP_j接收到区块链发来的A₄，P_A和P_C，通过本地计算，验证本地生成的密钥与用户发送的密钥是否一致：

S₁＝n_B×P_A，

验证第二值A₆*是否等于第一值A₆，若是，生成第三随机数r₃，第三时间T₃，并将信息加密为身份认证消息A₈发送至用户MU_i

7、用户MU_i接收到认证云服务商CSP_j发来的<A₈，T₃>，首先检查当前的时间戳T₄和第三时间T₃的差值是否在有效期△T内，若是，则身份认证成功。

本申请的身份认证方法可应用于多个应用场景中，例如下述的两种应用场景。

在一应用场景中，终端设备在对认证云服务商进行访问之前，可以执行本申请的身份认证方法，以便认证云服务商对使用终端设备的用户的身份认证通过后，认证云服务商给终端设备授予访问权限。具体地，在步骤S202中，且在该应用场景中，终端设备可以向终端设备和认证云服务商共同维护的区块链提出用户对认证云服务商的访问请求，以使所述区块链响应于访问请求将用户的加密信息发送给终端设备。其中，终端设备发送的访问请求可以携带有用户标识等信息，以便区块链基于用户标识等信息寻找到用户注册时存储到区块链上的用户的加密信息。

在另一应用场景中，终端设备可以在与认证云服务商交互之前，可以执行本申请的身份认证方法，以便认证云服务商对使用终端设备的用户的身份认证通过后，认证云服务商与终端设备进行信息交互。

另外，若用户因为忘记密码等需要更新或找回密码，则用户可将自身的当前生物特征BIO_i*和标识ID_i输入到终端设备上，以便终端设备对用户的当前生物特征BIO_i*和标识ID_i进行验证，若验证成功，则终端设备会同意用户的密码重置请求，此时用户可输入新密码或基于终端设备获得重置后的新密码。

终端设备对用户当前生物特征BIO_i*和标识ID_i进行验证的过程可如下所示：

终端设备利用模糊提取器的复制函数对当前生物特征BIO_i*进行计算，即利用公式Rep(BIO_i*，P_F)＝B_i*进行计算，得到当前密钥串B_i*；

终端设备对用户的当前密钥串B_i*和用户的标识ID_i进行关联，即利用公式B₁*＝h(ID_i||B_i*)进行计算，得到当前关联信息B₁*；

终端设备验证用户的当前关联信息B₁*和存储在终端设备上的关联信息B₁是否一致；

若一致，则生成新的具有生命周期的秘密s_n，并基于新密码PW_i ⁿ生成新的A₁ ⁿ，例如利用公式

进行计算以生成新的A₁ ⁿ，并用新的A₁ ⁿ替换原移动设备中的A₁，从而实现密码的更新/找回，全程不需要云服务商的参与。

请参阅图7，图7是本申请电子设备20一实施方式的结构示意图。本申请电子设备20包括处理器22，处理器22用于执行指令以实现上述本申请基于区块链的用户注册方法任一实施方式及任意不冲突的组合所提供的方法。

电子设备20可为手机、笔记本电脑等终端，或者还可以为服务器。

处理器22还可以称为CPU(Central Processing Unit，中央处理单元)。处理器22可能是一种集成电路芯片，具有信号的处理能力。处理器22还可以是通用处理器、数字信号处理器(DSP)、专用集成电路(ASIC)、现场可编程门阵列(FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。通用处理器可以是微处理器，或者该处理器22也可以是任何常规的处理器等。

电子设备20还可进一步包括存储器21，用于存储处理器22运行所需的指令和数据。

请参阅图8，图8为本申请实施方式中计算机可读存储介质的结构示意图。本申请实施例的计算机可读存储介质30存储有指令/程序数据31，该指令/程序数据31被执行时实现本申请上述方法任一实施例以及任意不冲突的组合所提供的方法。其中，该指令/程序数据31可以形成程序文件以软件产品的形式存储在上述存储介质30中，以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)或处理器(processor)执行本申请各个实施方式方法的全部或部分步骤。而前述的存储介质30包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质，或者是计算机、服务器、手机、平板等设备。

在本申请所提供的几个实施例中，应该理解到，所揭露的***，装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个***，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括要素的过程、方法、商品或者设备中还存在另外的相同要素。

以上仅为本申请的实施方式，并非因此限制本申请的专利范围，凡是利用本申请说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其他相关的技术领域，均同理包括在本申请的专利保护范围内。

Claims (12)

1.一种分布式身份认证方法，其特征在于，所述方法包括：

终端设备获取用户信息；

所述终端设备基于所述用户信息从区块链获取到所述用户的加密信息；

所述终端设备基于所述加密信息和所述用户信息进行计算，得到第一值；

所述终端设备将第一值发送给认证云服务商，以让所述认证云服务商基于所述第一值对所述用户的身份进行验证。

2.根据权利要求1所述的分布式身份认证方法，其特征在于，

所述终端设备基于所述加密信息和所述用户信息进行计算，得到第一值的步骤包括：

所述终端设备基于所述加密信息、注册云服务商标识和所述用户信息进行计算，得到第一值；

所述以让所述认证云服务商基于所述第一值对所述用户的身份进行验证的步骤包括：

以在所述认证云服务商确认第一值和第二值一致的情况下，所述认证云服务商将身份认证消息发送给所述终端设备以完成身份认证，所述第二值为所述认证云服务商基于所述注册云服务商的标识和加密信息、以及所述第一值计算得到的，所述注册云服务商为响应于所述用户的注册请求完成用户注册的云服务商。

3.根据权利要求1所述的分布式身份认证方法，其特征在于，所述用户信息包括所述用户的当前生物特征和用户的初始标识，所述终端设备基于所述加密信息和所述用户信息进行计算，得到第一值的步骤包括：

所述终端设备基于所述当前生物特征对所述初始标识进行处理，以得到当前关联信息；

所述终端设备基于所述当前关联信息和所述加密信息进行计算，得到所述第一值。

4.根据权利要求3所述的分布式身份认证方法，其特征在于，所述用户加密信息包括第一加密信息，所述注册云服务商的标识包括第二标识，所述终端设备基于所述当前关联信息和所述用户加密信息进行计算，得到所述第一值的步骤包括：

所述终端设备对所述当前关联信息、所述第一加密信息以及所述注册云服务商的第二标识进行可逆计算，以得到注册云服务商的第一密钥的推算值，所述注册云服务商为响应于所述用户的注册请求完成用户注册的云服务商；

所述终端设备基于所述第一密钥的推算值进行计算，得到所述第一值。

5.根据权利要求4所述的分布式身份认证方法，其特征在于，所述用户加密信息包括第二加密信息，所述终端设备基于所述第一密钥的推算值进行计算，得到所述第一值的步骤包括：

所述终端设备将所述第一密钥的推算值和第四加密信息相乘，得到第一中间值；

所述终端设备对所述第一中间值和所述第一加密信息进行可逆处理，得到所述第一值。

6.根据权利要求5所述的分布式身份认证方法，其特征在于，所述用户信息包括所述用户密码，所述终端设备对所述第一中间值和所述第一加密信息进行可逆处理，得到所述第一值的步骤包括：

所述终端设备对所述初始标识、所述用户的密码、当前密钥串和注册云服务商的第二标识进行处理，得到第一关联值；

所述终端设备对所述第一关联值、所述第一中间值和所述第一加密信息进行异或操作，得到所述第一值；

其中，所述当前密钥串为所述终端设备利用模糊提取器对所述当前生物特征进行提取得到的。

7.一种身份认证方法，其特征在于，所述方法包括：

认证云服务商从终端设备获取到第一值，所述第一值是所述终端设备基于用户加密信息和用户信息进行计算得到的，所述用户加密信息是所述终端设备基于所述用户信息从区块链获得的；

所述认证云服务商对所述第一值进行验证；

若通过验证，将身份认证消息发送给所述终端设备以完成身份认证。

8.根据权利要求7所述的身份认证方法，其特征在于，所述认证云服务商对所述第一值进行验证的步骤包括：

所述认证云服务商通过用户标识向区块链请求注册云服务商的加密信息，其中所述注册云服务商为响应于所述用户的注册请求完成用户注册的服务商；

所述认证云服务商基于所述注册云服务商的标识和加密信息、以及所述第一值计算得到第二值；

所述认证云服务商确认所述第一值和所述第二值一致，则将所述身份认证消息发送给所述终端设备以完成身份认证。

9.根据权利要求8所述的身份认证方法，其特征在于，所述注册云服务商的标识包括第一标识和第二标识，所述注册云服务商的加密信息包括第二加密信息和第三加密信息，

所述认证云服务商基于所述注册云服务商的标识和加密信息、以及所述第一值计算得到第二值的步骤之前包括：

所述认证云服务商基于所述用户标识向所述区块链请求所述用户的第一加密信息；

所述认证云服务商基于所述注册云服务商的标识和加密信息、以及所述第一值计算得到第二值的步骤包括：

所述认证云服务商对所述注册云服务商的第一标识、所述第二标识和所述第二加密信息进行计算，以得到所述注册云服务商的第二密钥的推算值；

所述认证云服务商将所述第二密钥的推算值和第三加密信息相乘，得到第二中间值；

所述认证云服务商对所述第二中间值、所述第一加密信息和所述第一值进行可逆计算，得到第二过渡值；

所述认证云服务商对所述第二过渡值、所述第二中间值和所述第一加密信息进行可逆计算，得到所述第二值。

10.一种设备访问方法，其特征在于，所述方法包括：

认证云服务商获取到终端设备发送的访问请求和第一值，所述第一值是所述终端设备基于用户加密信息和用户信息进行计算得到的，所述用户加密信息是所述终端设备基于所述用户信息从区块链获得的；

所述认证云服务商对第一值进行验证；

若通过验证，认证云服务商向终端设备授予访问所述认证云服务商的权限。

11.一种电子设备，其特征在于，所述电子设备包括处理器；所述处理器用于执行指令以实现如权利要求1-10任一项所述的方法。

12.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有能够实现权利要求1-10中任一项方法的程序文件。

Images