CN112565294A

CN112565294A - 一种基于区块链电子签名的身份认证方法

Info

Publication number: CN112565294A
Application number: CN202011544469.3A
Authority: CN
Inventors: 李程; 金宏洲; 程亮
Original assignee: Hangzhou Tiangu Information Technology Co ltd
Current assignee: Hangzhou Tiangu Information Technology Co ltd
Priority date: 2020-12-23
Filing date: 2020-12-23
Publication date: 2021-03-26
Anticipated expiration: 2040-12-23
Also published as: CN112565294B

Abstract

本发明提供一种基于区块链电子签名的身份认证方法，涉及用户APP、可信认证机构和SID账号管理系统，所述APP用于用户的信息填写和用户的密钥保存，以及用户的身份验证使用；所述可信认证机构用于用户的身份认证，以及将用户的可信声明签名后发送到区块链；所述SID账号管理系统用于保管所有SID账号。本方法方法实现了身份系统的安全性，达到身份认证的隐私保护，具有身份认证的便捷性，可以做到分离认证数据和隐私数据，最小化数据原则，满足合规要求。

Description

一种基于区块链电子签名的身份认证方法

技术领域

本发明涉及一种身份认证方法，尤其是涉及一种基于区块链电子签名的身份认证方法。

背景技术

目前，最主流的传统身份认证系统是基于PKI(公钥基础设施)的。PKI是一组由硬件、软件、参与者、管理政策与流程组成的基础架构，其目的在于创造、管理、分配、使用、存储以及撤销数字证书。PKI的基础体系中有一个证书签署中心(CA，CertificationAuthority)、一个证书注册中心(RA，Registration Authority)、一个存放证书的公共数据库。证书的签署和使用等包括下列几个部分。

证书注册：

用户与PKI的安全服务器建立连接，并生成自己的公钥和私钥。用户通过安全服务器向RA发送自己的身份信息和公钥，向RA请求注册数字证书。

证书签署：

证书签发的过程，RA审查后将用户申请注册证书的信息发给CA，CA验证后对此公钥形成数字证书，并加上CA的数字签名完成签发。

证书存放：

申请数字证书成功后，RA获得证书和转发给用户，并将证书和用户信息一起存放在证书数据库中。需要将证书存放的理由在于，可能当需要验证用户身份时，该用户不一定在线或随时应答。有了PKI的标准数据库之后，需要数字证书的用户可以在这个数据库中进行查询。

证书注销和更新：

当用户申请注销数字证书时，用该公钥对应的私钥对一个固定格式的消息进行数字签名并传给RA，当RA验证签名合法后，将证书从数据库中删除，同时在证书注销表(CRL)中添加被注销的证书信息。当用户需要更新自己的证书时，选取一个新的公钥，用原来公钥对应的私钥对新公钥进行签名，将签名信息传给CA，CA验证签名有效后签署一个新的数字证书。用户再将该新数字证书连同用原私钥签名的证书更新请求传给RA，RA在验证签名以及新证书的合法性后，将原来的证书从数据库中删除，添加新证书，同时在证书注销表中添加被注销的证书信息。

证书的获取：

当其他用户需要某个用户的数字证书时，向RA提出咨询请求，由RA将数字证书传给咨询者。有时候，咨询者只想查看一下该数字证书是否仍然有效，RA只需传递是否有效的信息即可，不需要把整个证书数据在网上传输。

证书的验证：

当获得证书后，可以通过CA的公钥对此数字证书进行解密。但由于CA有很多家，验证者和证书持有人不一定有相同的CA。多个CA通常通过自上而下的树状CA结构进行通信，顶端的为根CA，通过根CA逐一对下面的分支CA进行验证并获得所需要的数字证书。

由此可见，用户对数据的控制能力非常弱。一方面，需要通过数字证书都是依赖于中心化的CA机构控制；另一方面，证书的安全性存在巨大挑战，比如证书的存储，证书的传输，证书的使用等。

如图1所示，目前利用PKI验证身份时，包括PKI认证服务器、应用服务器、应用客户端、PKI认证服务器客户端组件，所述PKI认证服务器能够对用户的私钥与数据库的数字证书进行验证，所述PKI认证服务器客户端组件能够读取用户的公钥信息，所述PKI认证服务器客户端组件通过应用客户端、应用服务器与PKI认证服务器进行联系。

用户将自己的密钥载体放置在PKI认证服务器客户端组件时，(1)应用客户端向应用服务器发起登录请求；(2)应用服务器向PKI认证服务器进行随机数请求；(3)PKI认证服务器向应用服务器返回随机数；(4)应用服务器保存随机数并将该随机数发送给应用客户端；(5)PKI认证服务器客户端组件对随机数及登录信息进行签名，登录信息包括用户的公钥；(6)应用客户端将签名信息发送给应用服务器；(7)应用服务器发送先前保存的随机数和签名信息到PKI认证服务器；(8)PKI认证服务器返回认证结果及证书基本信息；(9)应用服务器返回签名结果，从而应用客户端知道用户是否验证通过。

在上述PKI的验证基础上，以公安部的eID为例，eID是以国产自主密码技术为基础、以智能安全芯片为载体，采用空中开通或临柜面审的方式，依据对法定身份证件核验的结果，由“公民网络身份识别系统”签发给公民的网络电子身份标识，不仅能够在不泄露身份信息的前提下在线识别自然人主体，还能用于线下身份证明，在发行与服务流程上，通过泛用户与应用场景、多登记发行机构，中心化签发中心、内网存储原始数据的方式，再结合实名身份认证服务、签名认证服务、匿名身份认证服务，网络身份信息保护服务等方式为各应用提供服务。

现在电子签名大多使用PKI这套机制做身份认证，但是这些中心化身份系统容易受到外部因素的影响，从而导致整个系统的可用性受到严重影响，甚至导致整个系统陷入瘫痪，因此有几种因素会导致身份系统的可用性大大打折扣：

1)隐私保护

身份所有者的身份数据被他方储存利用，影响用户身份隐私，且安全性不强；

2)中心化平台很可能不堪重负

当不同设备频繁地进行信息传递时，传递信息带来的数据是海量的，系统很可能不堪重负，但是随着5G甚至更快的流量平台推出，该问题会得到一定程度的缓解。

3)单点故障

中心化的身份管理平台就像串联电路，一旦出现单点故障，整个系统的运行会受到严重阻碍。

发明内容

本发明提供了一种基于区块链电子签名的身份认证方法，用于解决电子合同身份系统的安全性问题、解决电子合同身份系统的健壮性问题以及解决电子合同身份系统的隐私保护性问题，其技术方案如下所述：

一种基于区块链电子签名的身份认证方法，涉及用户APP、可信认证机构和SID账号管理系统，所述APP用于用户的信息填写和用户的密钥保存，以及用户的身份验证使用；所述可信认证机构用于用户的身份认证，以及将用户的可信声明签名后发送到区块链；所述SID账号管理系统用于保管所有SID账号；

包括下列步骤：

S100：用户注册及验证：用户在APP上注册，从SID账号管理系统获取SID账号，向可信认证机构进行身份认证，并保存认证后获取的密钥；

S200：用户电子身份证信息认证：可信认证机构向用户发送数字证书，用其公钥对用户的可信声明签名，将形成的声明证据发送到区块链；

S300：用户身份验证：证件验证方从区块链获取用户的声明证据，用户将其自身的可信声明发给证件验证方进行验证。

进一步的，步骤S100中，用户注册及验证具体包括以下步骤：

S1：用户在个人移动终端上安装APP；

S2：用户进入APP界面后，填写个人基本信息，向SID账号管理系统申请账号，所述SID账号管理系统分配SID账号提供给用户；

S3：用户通过可信认证机构进行身份认证；

其中，基本信息包括用户的身份证号和姓名，身份验证采用传统的验证方式即可，比如人脸识别或现场确认等，验证方为可信认证机构，其根据用户的基本信息和用户本人进行核实，核实后，用户身份验证成功；

S4：可信认证机构向APP发送该用户的密钥，APP保存用户密钥。

进一步的，步骤S200中，用户电子身份证信息认证包括以下步骤：

S5：用户在APP上填写相关信息，所述基本信息和相关信息统称声明；

S6：用户使用自己的私钥做签名，对填写的声明进行签名；

S7：用户将签名后的内容、用户公钥一起发送到可信认证机构，向可信认证机构提交数字证书申请；

S8：可信认证机构利用收到的用户公钥，对签名后的内容进行解密，获取到用户的声明，并将声明发送给SID账号管理系统进行验证和信息保存；

S9：SID账号管理系统反馈可信认证机构验证通过信息，声明成为可信声明，可信认证机构用其私钥对可信声明进行签名存证；

S10：可信认证机构将上述签名存证过程保存到区块链上，作为声明证据，声明证据采用该用户的SID账号作为标识；

S11：可信认证机构用用户公钥对可信声明进行签名，形成签名摘要，然后可信认证机构使用其私钥对签名摘要进行签名，形成数字证书，发送数字证书给用户保存。

进一步的，步骤S300中，所述用户身份验证包括以下步骤：

S12：证件验证方在对用户进行身份验证时，获知该用户的SID账号；

S13：证件验证方根据该SID账号，从区块链上获取该账号对应的声明证据；证件验证方下载声明证据后，采用可信认证机构的公钥进行解密，获得可信声明的摘要信息；

S14：用户采用可信认证机构的公钥将自己的数字证书进行解密，再使用自己的私钥对签名摘要进行解密，得到可信声明的摘要信息，然后将可信声明的摘要信息发送到证件验证方进行验证；

S15：证件验证方将用户发送的可信声明的摘要信息与自己解密获得的可信声明的摘要信息进行比对验证，验证通过，则实现了对用户的身份验证。

进一步的，用户利用私钥对其SID签名后存储在电子签名平台。

进一步的，步骤S2中，所述SID账号管理系统分配的SID账号不重复，每个用户对应唯一的一个SID账号。

进一步的，步骤S4中，所述用户密钥和可信认证机构的密钥能够由第三方可信机构提供。

进一步的，步骤S8中，所述SID账号管理系统根据声明中的基本信息，对用户身份进行验证，根据声明中的相关信息，保存用户的相关信息内容。

所述基于区块链电子签名的身份认证方法实现了身份系统的安全性，达到身份认证的隐私保护，具有身份认证的便捷性，可以做到分离认证数据和隐私数据，最小化数据原则，满足合规要求。

附图说明

图1是普通的利用PKI电子签名身份认证系统的示意图；

图2是基于区块链的去中心化电子签名身份认证系统示意图；

图3是所述基于区块链电子签名的身份认证方法的示意图。

具体实施方式

本发明提供了一种基于区块链电子签名的身份认证方法，和PKI电子签名身份认证方法不同，本方法是基于区块链的去中心化电子签名身份认证方法。

如图2所示，运用区块链技术实现分布式的数字证书签发，让以往由集中式CA认证中心签发数字证书，可以由区块链的分布式账本实现。一种方式是形成CA之间的区块链，使得CA之间不必相互信任，以共识的方式完成数字证书的签发和管理。第二种方式，区块链的记账和维护可以由系统中的所有证书持有者来共同完成。基于区块链的PKI可以实现传统PKI系统的证书申请、签发、验证和管理。

(1)证书签发：

用户自己生成公私钥对，私钥自己保存，并将公钥和用于验证个人身份信息的数据发动给验证节点进行证书的申请。

(2)证书签发：

区块链会根据新用户提交的信息验证其身份的真实性；验证通过后生成数字证书并上链。

(3)证书撤销：

证书用户提出证书撤销请求，其中包括用户的证书以及可以证实用户身份的信息；验证节点根据用户提交的信息验证用户身份，审核证书撤销请求通过后，将未纳入区块的合法证书信息以及证书状态上链。

(4)证书更新：

用户需要产生一份新的数字证书，与原有证书有相同的DN(Distinguished Name)项。证书用户向区块链网络发起证书更新请求，提交待更新的证书，新产生的证书以及证实身份的信息。其后再由验证节点进行验证上链。

去中心化身份认证对比中心化身份认证，具有以下优点：

1、不容易受到网络分区故障、单点故障和断网的影响，对于底层的网络协议(IP/TCP)，在发生单一节点故障或断网的时候，不同节点之间仍然可以进行信息传递、验证和价值转移。

2、在合规上严格遵守GDPR等高标准的隐私保护协议。通过建立基于用户许可的数据使用机制，用户可以根据自身实际情况提供相应的信息，完成可验证声明的交换功能，从而不泄露身份证号码、手机联系方式、出生日期等其他的核心信息。同时，可以让监管者或权威部门充当验证人的角色，这样既有利于监管，又减少了洗钱和犯罪的空间。

3、具备一定程度的可移植性。随着未来跨链技术的逐步成熟，去中心化身份将会像某即时通讯软件账号或支付宝账号一样可以被授权登录其他应用，而且用户可以自主控制身份。

如图3所示，本发明提供的基于区块链电子签名的身份认证方法，其设计有APP、可信认证机构、SID账号管理系统。

所述APP，可以由可信认证机构或者委托第三方进行制作，用于用户的信息填写和用户的密钥保存，以及用户的身份验证使用。

可信认证机构，其用于验证用户身份以及维护SID账号管理系统，同时用于将用户的用户信息通过自己的私钥加密后发送到区块链上。

SID账号管理系统，作用是管理APP的账号，保管所有SID账号，其中SID指代数字身份信息。

本方法中，包括用户注册及验证、用户电子身份证信息认证、用户身份验证三个主要方面。

一、其中，用户注册及验证包括以下步骤：

S1：用户在个人移动终端上安装APP；

其中，所述个人移动终端可以采用手机、平板等具有网络通讯功能的电子产品；

S2：用户进入APP界面后，用户填写个人基本信息，向SID账号管理系统申请账号，所述SID账号管理系统分配SID账号提供给用户；

其中，该账号不重复，每个用户对应唯一的一个SID账号；

S3：用户通过可信认证机构(例如公安局平台)进行身份认证；

其中，基本信息包括用户的身份证号和姓名，身份认证采用传统的验证方式即可，比如人脸识别或现场确认等，验证方为可信认证机构，其根据用户的基本信息和用户本人进行核实，认证核实后，用户身份认证成功；

所述用户密钥可以由可信认证机构提供，所述用户和可信认证机构的密钥也可以由第三方可信机构提供。

二、所述用户电子身份证信息认证，主要是通过可信认证机构进行操作的，其包括以下步骤：

S5：用户在APP上填写关于本人的进一步的相关信息，比如地址、邮编、性别等内容，具体内容选项可以由可信认证机构确定；

S6：所述基本信息和相关信息统称声明，用户使用自己的私钥做签名，对填写的声明进行签名；

S7：用户将签名后的内容、用户公钥发送到可信认证机构，向可信认证机构提交数字证书申请；

S8：可信认证机构利用收到的用户公钥，对签名后的内容进行解密，获取到用户的相关信息，并将声明发送给SID账号管理系统进行验证和信息保存；

其中，SID账号管理系统根据声明中的基本信息，对用户身份进行验证，根据声明中的相关信息，保存用户的相关信息内容；

S9：SID账号管理系统反馈可信认证机构验证信息，此时声明为可信声明，可信认证机构用其私钥对可信声明进行签名存证(对可信声明进行摘要然后用私钥对摘要进行签名)；

S10：可信认证机构记录可信声明的状态，并将该过程(可信认证机构用其私钥对可信声明进行签名存证)保存到区块链上，作为声明证据，声明证据采用该用户的SID账号作为标识；

三、用户身份验证，是向证件验证方进行自身的身份验证过程，其包括以下步骤：

S12：当用户需要向证件验证方出示电子身份证件时，例如电子签名过程中需要出示电子身份证，那么证件验证方在对用户进行身份验证时，首先需要获知该用户的SID账号；

其中，身份验证时，通常是当面进行，比如门禁进入等，也可以是离线验证，比如用户利用互联网进行网上的身份验证，判断是否为本人操作的场景。

本方法可以在电子签名平台进行身份认证，极大的保护了用户的隐私，为了防止SID被滥用，需要使用用户私钥进行加密存储在电子签名平台，用户要保管好自己的SID。

Claims

1.一种基于区块链电子签名的身份认证方法，涉及用户APP、可信认证机构和SID账号管理系统，所述APP用于用户的信息填写和用户的密钥保存，以及用户的身份验证使用；所述可信认证机构用于用户的身份认证，以及将用户的可信声明签名后发送到区块链；所述SID账号管理系统用于保管所有SID账号；

包括下列步骤：

2.根据权利要求1所述的基于区块链电子签名的身份认证方法，其特征在于：步骤S100中，用户注册及验证具体包括以下步骤：

S1：用户在个人移动终端上安装APP；

S3：用户通过可信认证机构进行身份认证；

3.根据权利要求1所述的基于区块链电子签名的身份认证方法，其特征在于：步骤S200中，用户电子身份证信息认证包括以下步骤：

S6：用户使用自己的私钥做签名，对填写的声明进行签名；

4.根据权利要求1所述的基于区块链电子签名的身份认证方法，其特征在于：步骤S300中，所述用户身份验证包括以下步骤：

5.根据权利要求1所述的基于区块链电子签名的身份认证方法，其特征在于：用户利用私钥对其SID签名后存储在电子签名平台。

6.根据权利要求2所述的基于区块链电子签名的身份认证方法，其特征在于：步骤S2中，所述SID账号管理系统分配的SID账号不重复，每个用户对应唯一的一个SID账号。

7.根据权利要求2所述的基于区块链电子签名的身份认证方法，其特征在于：步骤S4中，所述用户密钥和可信认证机构的密钥能够由第三方可信机构提供。

8.根据权利要求3所述的基于区块链电子签名的身份认证方法，其特征在于：步骤S8中，所述SID账号管理系统根据声明中的基本信息，对用户身份进行验证，根据声明中的相关信息，保存用户的相关信息内容。