[發明專利]一種基于安全多方計算的區塊鏈密鑰管理系統

在審

• 申請號: 201911169093.X
• 申請日: 2019-11-26
• 公開（公告）號: CN110880972A
• 公開（公告）日: 2020-03-13
• 發明（設計）人: 闞海斌;張如意;劉百祥;李鳴;吳小川
• 申請（專利權）人: 復旦大學
• 主分類號: H04L9/08
• 分類號: H04L9/08;H04L9/32;H04L29/06;H04L29/08
• 代理公司: 上海正旦專利代理有限公司 31200
• 代理人: 陸飛;陸尤

1.一種基于安全多方計算的區塊鏈密鑰管理系統，其特征在于，采用四層結構，用解耦合、插件化的架構設計以及使用多種通信協議進行各個參與方之間的信息傳輸，為用戶提供密鑰管理的服務，為區塊鏈賬戶用戶和區塊鏈應用提供安全易用的密鑰管理工具；所述四層結構分別是：數據存儲層，網絡通信層，密碼服務層，API服務層，其中：

所述數據存儲層，負責備份存儲密鑰信息；用戶在密鑰生成階段和密鑰刷新階段獲得的密鑰份額經過集成加密模塊加密后，相應的密文信息根據賬戶ID和密鑰kid存儲在數據存儲數據庫中，數據存儲數據庫是關系型數據庫，或者是非關系型數據庫，數據庫中存放兩類不同的數據：不同安全等級的加密算法信息、加密密鑰的加密算法和加密后的密文信息；

所述網絡通信層，負責在安全多方計算階段與其他參與方進行數據通信；為了適配不同業務場景使用到的通信協議，系統在 TCP 協議上統一封裝了RPC、TLS和HTTPS/HTTP網絡協議；用戶在初始化密鑰管理服務時通過配置文件設置所需的協議即可；同時為了適配不同系統平臺的編碼格式，使用統一的數據格式進行數據的傳輸；每種協議都封裝統一接口：

所述密碼服務層，采用插件化的形式為API服務層提供加密服務；密碼服務層分為兩個模塊：集成加密模塊和MPC模塊；集成加密模塊中包含所有使用到的KDF、哈希算法、對稱加密算法等等，為備份密鑰份額提供保障；加解密時根據用戶選擇的安全強度配置判斷用戶密碼的安全強度并接受足夠數量的用戶身份信息，安全強度不匹配時會返回提示信息，接著選取相應的KDF算法和加密算法加密保存密鑰份額信息；MPC模塊是支持多方計算ECDSA的核心模塊，包含密鑰生成、簽名和密鑰刷新的算法；用戶創建區塊鏈賬戶需要使用分布式密鑰生成算法，已有區塊鏈賬戶發起交易需要使用分布式簽名算法，在緊急情況下需要調用分布式密鑰刷新接口對密鑰份額進行更新，保護區塊鏈賬戶；MPC模塊的運作依賴于網絡通信模塊，MPC參與方之間保證網絡通信正常，在規定時間內收到相關的證明信息和交互信息，從而保證MPC算法的正確執行；

插件化的架構方便用戶添加自主化的密碼模塊，用戶只要實現了定義好的接口就能在加密密鑰時使用自主實現的算法，設計成開放的框架有利于適配現有的傳統行業中的密鑰保護模塊；

所述API服務層，是為用戶提供的上層接口，用戶可直接使用；包含初始化配置、密鑰生成、簽名、密鑰刷新和修改密碼接口；用戶在實例化密鑰管理系統后，可以直接在業務的流程中調用上述接口。

2.根據權利要求1所述的基于安全多方計算的區塊鏈密鑰管理系統，其特征在于，所述數據存儲層中創建有索引，在數據量較大的情況下加快數據的查詢速度；數據庫的具體配置和使用方式取決于用戶設計，在這個設計的基礎上加強數據庫的安全性和容災性。

3.根據權利要求1所述的基于安全多方計算的區塊鏈密鑰管理系統，其特征在于，所述數據存儲層中適配有緩存機制，使用最近最少使用算法，將使用頻率較高的數據緩存在內存中，加快簽名和密鑰刷新的性能；如果系統是在輕客戶端上面使用、不方便建設數據庫的地方，系統提供文件存儲的功能，將每個加密的信息存在文件中，需要時直接從文件上讀取。

4.根據權利要求1所述的基于安全多方計算的區塊鏈密鑰管理系統，其特征在于，為了提高安全多方計算的成功率，在所述網絡通信層中添加高可用的措施，當網絡連接斷開時自動重連，當長時間網絡連接上沒有收到消息時重新發送請求，在重新請求三次后仍然失敗則通知上層用戶，需要由用戶排查其他參與方的服務狀態。

5.根據權利要求1-4之一所述的基于安全多方計算的區塊鏈密鑰管理系統，其特征在于，密鑰管理系統應用于區塊鏈業務系統時，應用系統直接與密鑰管理系統交互，應用系統將需要簽名或者解密的信息發送給密鑰管理系統，密鑰管理系統操作完成后返回信息。