[發(fā)明專利]基于區(qū)塊鏈的分布式IDaaS身份統(tǒng)一認證系統(tǒng)

有效

• 申請?zhí)枺?/td>: 201811250591.2
• 申請日: 2018-10-25
• 公開（公告）號: CN109450877B
• 公開（公告）日: 2021-05-25
• 發(fā)明（設計）人: 曾劍雋;王越;李勝釗
• 申請（專利權）人: 北京九州云騰科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L9/32;H04L29/08
• 代理公司: 北京市商泰律師事務所 11255
• 代理人: 黃曉軍

本發(fā)明提供了一種基于區(qū)塊鏈的分布式IDaaS身份統(tǒng)一認證系統(tǒng)。該系統(tǒng)中的TA管理所有IDM的注冊和授權；IDM管理所有User的注冊和認證，多個IDM形成分布式IDaaS平臺，該分布式IDaaS平臺通過區(qū)塊鏈的形式管理所有認證User的身份信息；User向CSP請求訪問云服務；CSP獲取到區(qū)塊鏈中包含的User的身份信息后，為User提供其所需云服務。本發(fā)明為多個云構成的云聯(lián)盟提供了一種基于區(qū)塊鏈的分布式IDaaS身份統(tǒng)一認證機制，簡化用戶訪問云服務的認證流程，實現(xiàn)用戶身份統(tǒng)一認證，本發(fā)明通過采用區(qū)塊鏈技術在保護用戶敏感信息的同時簡化了認證信息的管理。

技術領域

本發(fā)明涉及云計算安全技術領域，尤其涉及一種基于區(qū)塊鏈的分布式IDaaS身份統(tǒng)一認證系統(tǒng)。

背景技術

云計算通過網(wǎng)絡將資源以可靠的服務模式提供給用戶，使用戶無需了解底層技術細節(jié)就可以享受服務，從而從繁雜的基礎設施維護工作中解放出來。由于云計算的巨大商業(yè)和社會價值，國內(nèi)外各大IT企業(yè)都先后推出了自己的云計算產(chǎn)品，各國政府對于云計算的應用進行研究。

在云計算不斷提高生產(chǎn)效率的同時，其暴露出來的各種安全問題也不容忽視，云計算安全問題已經(jīng)成為阻礙云計算發(fā)展的關鍵因素。

云計算安全問題是一個多層次并涉及到多研究領域的復雜問題。云環(huán)境下權限安全管理、跨云的資源共享等方面存在著嚴重的安全挑戰(zhàn)，由此帶來的身份認證、授權管理、訪問控制等等問題更加嚴峻。同時，作為基礎軟硬件服務的提供者，云計算的基礎設施服務層為云計算的平臺層和應用層提供了基本性的安全保障，提高其安全性是整個云計算安全的基石。

云計算為計算行業(yè)帶來了巨大的變革。軟件，平臺和基礎設施現(xiàn)在都可以作為云服務提供給用戶，而且還能夠以云服務的方式向用戶提供身份管理。換句話說，用戶可以使用云服務中提供的身份認證管理架構的服務，即IdaaS(identity as a service，身份即服務)的形式。IdaaS具有多種優(yōu)勢，例如減少基礎設施的部署，使用云服務進行集成管理及易于使用。但是，使用IDaaS意味著將關鍵信息外包給第三方。與身份認證相關的數(shù)據(jù)(例如，用戶帳戶信息，安全憑證等)由第三方管理和控制，從而給用戶帶來了安全隱患。

發(fā)明內(nèi)容

本發(fā)明的實施例提供了一種基于區(qū)塊鏈的分布式IDaaS身份統(tǒng)一認證系統(tǒng)，以克服現(xiàn)有技術的問題。

為了實現(xiàn)上述目的，本發(fā)明采取了如下技術方案。

一種基于區(qū)塊鏈的分布式IDaaS身份統(tǒng)一認證系統(tǒng)，包括：可信機構TA、身份管理員IDM、云服務提供者CSP和用戶User；

所述的TA，用于管理所有IDM的注冊和授權；

所述的IDM，用于管理所有User的注冊和認證，多個IDM形成分布式IDaaS平臺，該分布式IDaaS平臺通過區(qū)塊鏈的形式管理所有認證User的身份信息；

所述的User，用于向CSP請求訪問云服務；

所述的CSP，用于接收到User發(fā)送的訪問云服務的請求后，訪問所述區(qū)塊鏈，獲取到所述區(qū)塊鏈中包含的所述User的身份信息后，為所述User提供其所需云服務。

進一步地，所述的TA，用于產(chǎn)生大素數(shù)q和單向散列函數(shù)h，隨機選擇一個整數(shù)作為TA的私鑰，滿足gcd(Sk_TA,q-1)＝1，計算出TA的公鑰公布系統(tǒng)參數(shù)(q,g,h,Pk_TA)。

進一步地，當IDM_i向TA進行注冊時：

所述的IDM_i，用于向TA提交自己唯一的身份標識

所述的TA，用于在確認IDM_i的身份后，隨機選擇一個整數(shù)且并計算和將公私鑰對和簽名返回給IDM_i；