[發明專利]一種基于區塊鏈的訪問控制方法和系統

有效

• 申請號: 201710540062.5
• 申請日: 2017-07-05
• 公開（公告）號: CN107332847B
• 公開（公告）日: 2019-04-26
• 發明（設計）人: 金海;代煒琦;鄒德清;王晨龍;劉鐘澤;柴芳百
• 申請（專利權）人: 武漢鳳鏈科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 武漢臻誠專利代理事務所(普通合伙) 42233
• 代理人: 宋業斌

1.一種基于區塊鏈的訪問控制方法，其特征在于，包括以下步驟：

(1)區塊鏈節點接收來自于客戶端的請求，并判斷該請求是元數據管理請求，非元數據管理請求，還是訪問鑒權請求，如果是元數據管理請求，則轉入步驟(2)，如果是非元數據管理請求，則轉入步驟(4)，如果是訪問鑒權請求，則轉入步驟(6)；

(2)區塊鏈節點對該元數據管理請求對應的訪問控制權限進行鑒定，如果鑒定通過，則轉入步驟(3)，否則過程結束；

(3)區塊鏈節點將元數據管理請求添加到區塊鏈中的待辦請求列表的末尾，并在該元數據管理請求出現在待辦請求列表頭部的時候，通知元數據表中的管理員參與投票，并在投票結果顯示通過時執行元數據管理請求對應的管理操作，從而完成對元數據表、公共客體訪問規則表、以及表結構表的更新；

(4)區塊鏈節點對該非元數據管理請求對應的訪問控制權限進行鑒定，如果鑒定通過，則轉入步驟(5)，否則過程結束；

(5)區塊鏈節點執行上述非元數據管理請求對應的管理操作，從而完成對用于管理員的主體屬性表和客體訪問規則表的更新；

(6)區塊鏈節點根據訪問鑒權請求對應的客體從用于管理員的客體訪問規則表中取出對應的訪問規則，從用于管理員的主體屬性表中取出該訪問規則對應的主體屬性，并將該主體屬性代入訪問規則中求值，返回鑒權結果。

2.根據權利要求1所述的訪問控制方法，其特征在于，進一步包括在步驟(1)之前初始化的操作，即建立表結構表、元數據表、公共客體訪問規則表、用于管理員的主體屬性表和客體訪問規則表，其中表結構表中反映了表類型、表名稱、屬性名稱、屬性類型、屬性默認值、是否主鍵之間的映射關系，元數據表中反映了管理員標識符、管理員公鑰、表名稱以及表類型之間的映射關系，公共客體訪問規則表中反映了客體名稱和訪問規則之間的映射關系，用于管理員的主體屬性表反映了主體名稱與主體安全屬性之間的映射關系，用于管理員的客體訪問規則表中反映了客體名稱與客體訪問規則之間的映射關系。

3.根據權利要求2所述的訪問控制方法，其特征在于，表結構表的建立過程是將表類型、表名稱作為鍵值對中的鍵，將屬性名稱、屬性類型、屬性默認值、是否主鍵作為鍵值對中的值存入區塊鏈的鍵值對數據庫中，存入之前檢查該鍵對應的數據是否存在，如果不存在則存入該數據，如果存在則結束該條數據的存入過程， 其對應的映射關系如下：

[表類型][表名稱]→[屬性名稱][屬性類型][屬性默認值][主鍵]。

4.根據權利要求2所述的訪問控制方法，其特征在于，元數據表的建立過程是將表類型、表名稱、管理員標識符作為鍵值對中的鍵，將表中所有數據作為鍵值對中的值存入到區塊鏈的鍵值對數據庫中，在插入每條數據之前檢查數據中每個項與表結構表中元數據表中對應的屬性類型是否匹配，檢查插入數據是否已在表中存在，如果匹配且不存在，則允許插入，否則拒絕該數據的插入，格式如下所示：

[表類型][表名稱][管理員標識符]→[管理員標識符][管理員公鑰][表類型][表名稱]。

5.根據權利要求2所述的訪問控制方法，其特征在于，公共客體訪問規則表、用于管理員的主體屬性表和客體訪問規則表的建立過程是插入數據之前檢查數據中每個項與表結構表中元數據表中對應的屬性類型是否匹配，檢查插入數據是否已在表中存在，如果匹配且不存在，則允許插入，否則拒絕該數據的插入，格式如下所示：

[表類型][表名稱][主鍵屬性值]→[所有屬性值]。

6.根據權利要求1所述的訪問控制方法，其特征在于，步驟(2)具體包括以下子步驟：

(2-1)區塊鏈節點根據元數據管理請求中的管理員標識符、請求操作表類型、請求操作表名稱在元數據表中是否存，如果存在，轉入步驟(2-2)，否則表示管理員鑒權失敗，過程結束；

(2-2)區塊鏈節點根據元數據表中管理員的公鑰并使用非對稱加密算法驗證元數據管理請求中的簽名信息的是否合法，如果合法，表示管理員鑒權通過，否則表示管理員鑒權失敗，過程結束。