[發明專利]一種基于SGX軟件防護擴展指令的區塊鏈用戶密鑰保護方法和裝置

有效

• 申請號: 201710989478.5
• 申請日: 2017-10-20
• 公開（公告）號: CN107919954B
• 公開（公告）日: 2019-05-14
• 發明（設計）人: 陳建海;劉丁豪;王津航;何欽銘;黃步添;林威
• 申請（專利權）人: 浙江大學
• 主分類號: H04L9/08
• 分類號: H04L9/08;G06Q20/38
• 代理公司: 杭州天勤知識產權代理有限公司 33224
• 代理人: 胡紅娟

1.一種基于SGX軟件防護擴展指令的區塊鏈用戶密鑰保護裝置，其特征在于，包括：

SGX加密模塊，基于軟件防護擴展指令生成可信空間，并生成用于驗證所述可信空間訪問權限的訪問密鑰；所述可信空間用于存儲區塊鏈網絡的用戶密鑰和密鑰操作函數；

交易共識模塊，接收來自區塊鏈網絡的交易，通過所述訪問密鑰訪問SGX加密模塊，調用其中的密鑰操作函數，實現對交易的驗證共識；

交易構造模塊，根據用戶的意圖發起交易，通過所述訪問密鑰訪問SGX加密模塊，調用其中的密鑰操作函數，實現交易信息的填充與合法化，并向區塊鏈網絡廣播該交易。

2.根據權利要求1所述的區塊鏈用戶密鑰保護裝置，其特征在于，所述的SGX加密模塊包括：

用戶空間，包括處理空間和可信空間；所述處理空間用于加載用戶密鑰和密鑰操作函數二者的證書信息，所述可信空間用于存儲用戶密鑰和密鑰操作函數；

SGX驅動器，通過對用戶密鑰和密鑰操作函數二者的證書信息進行測量，為所述的用戶密鑰和密鑰操作函數分配可信空間，將用戶密鑰和密鑰操作函數二者的證書信息傳遞給SGX硬件處理器；

SGX硬件處理器，對用戶密鑰和密鑰操作函數二者的證書信息和可信空間的完整性進行驗證，根據用戶密鑰和密鑰操作函數二者的證書的哈希值和SGX硬件處理器特征數據的哈希值生成可信空間的訪問密鑰，通過訪問密鑰對可信空間進行加密。

3.一種基于SGX軟件防護擴展指令的區塊鏈用戶密鑰保護方法，其特征在于，包括：

(1)獲取用戶密鑰并存入SGX加密模塊，包括：

(1-1)以安全途徑獲取區塊鏈認可的用戶密鑰；

(1-2)對用戶密鑰進行備份；

(1-3)從用戶密鑰生成公鑰并存儲于本地；

(1-4)將用戶密鑰存入SGX加密模塊，包括：

(a)生成用戶密鑰和密鑰操作函數二者的證書，將用戶密鑰和密鑰操作函數與所述證書一起上載到處理空間中；

所述密鑰操作函數包括密鑰驗證函數和密鑰簽名函數；

(b)通過SGX驅動器對上載的用戶密鑰、密鑰操作函數以及二者的證書進行參數測量，為可信空間分配地址空間和內存頁，創建可信空間，并將用戶密鑰和密鑰操作函數復制到可信空間中，之后刪除處理空間中的數據；

(c)SGX驅動器獲取用戶密鑰和密鑰操作函數二者的證書信息并傳遞給SGX硬件處理器；SGX硬件處理器根據證書信息的哈希值以及SGX硬件處理器自身的哈希值生成可信空間的訪問密鑰，通過訪問密鑰對可信空間進行加密；

(d)重復步驟(a)～(c)，建立多個可信空間，將備份的多份用戶密鑰分別存入不同的可信空間中；

(2)處理相關的密鑰操作，包括處理由區塊鏈網絡傳入交易引起的密鑰操作和由用戶發起交易引起的密鑰操作；

處理由區塊鏈網絡傳入交易引起的密鑰操作包括以下步驟：

(ⅰ)區塊鏈客戶端接收區塊鏈網絡傳入的交易信息；

(ⅱ)調用SGX安全區外的驗證函數對交易中不需要用戶密鑰的部分進行驗證，計算交易的優先級并進行排序；

(ⅲ)區塊鏈客戶端向SGX驅動器發起請求，通過訪問密鑰驗證后，調用某一可信空間內的密鑰驗證函數對交易中需要用戶密鑰的部分進行驗證；

(ⅳ)檢查對密鑰驗證函數的調用結果，若調用結果不正常，則調用另一個可信空間內的密鑰驗證函數，直至調用結果正常；之后將驗證信息打包入驗證結果，完成交易的驗證；

(ⅴ)根據驗證結果向區塊鏈網絡發送反饋；

若驗證成功，則向區塊鏈網絡廣播該交易信息，供其余用戶節點繼續驗證；

若驗證失敗，則停止傳播該交易，或向區塊鏈網絡反饋交易非法；

處理由用戶發起交易引起的密鑰操作包括以下步驟：

(Ⅰ)區塊鏈客戶端在SGX安全區外構建交易；

(Ⅱ)區塊鏈客戶端向SGX驅動器發起請求，通過訪問密鑰驗證后，調用某一可信空間內的密鑰簽名函數獲取用戶密鑰簽名；

(Ⅲ)檢查對密鑰簽名函數的調用結果，若調用結果不正常，則調用另一個可信空間內的密鑰簽名函數，直至調用結果正常；之后將簽名信息打包入交易信息，完成交易的構建；

(Ⅳ)向區塊鏈網絡廣播交易。