[發明專利]一種基于區塊鏈一體機的隱私保護方法及系統

有效

• 申請號: 202011127580.2
• 申請日: 2020-10-20
• 公開（公告）號: CN112333158B
• 公開（公告）日: 2022-11-04
• 發明（設計）人: 黃步添;劉振廣;沈瑋;梁逸敏;萬志國
• 申請（專利權）人: 杭州云象網絡技術有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L9/32;H04L67/10
• 代理公司: 杭州五洲普華專利代理事務所(特殊普通合伙) 33260
• 代理人: 徐晶晶

1.一種基于區塊鏈一體機的隱私保護方法，其特征在于，具體包括：

用戶節點向區塊鏈一體機發起節點加入申請，申請信息包括加密后的節點地址、身份信息、身份證書、賬戶權限和隱私保護等級；

通過集成于區塊鏈一體機中的智能合約芯片建立用戶節點可信通道，將所述申請信息通過可信通道傳輸至區塊鏈一體機中的SGX可信執行環境，SGX可信執行環境內包括Enclave安全區域和非Enclave安全區域；

所述建立用戶節點可信通道的過程包括：用戶節點通過智能合約向SGX可信執行環境發起質詢，SGX可信執行環境將所述質詢發送給內部的Enclave安全區域，Enclave安全區域生成一個包含對質詢的回應及Enclave臨時公鑰的清單，將清單經過摘要運算生成哈希摘要，將所述哈希摘要通過智能合約發送給用戶節點，用戶節點驗證所述哈希摘要，驗證通過后建立與SGX可信執行環境中的Enclave安全區域的可信通道，并將節點公鑰通過可信通道傳輸給SGX可信執行環境；

在可信執行環境內對申請信息進行解密并驗證，所述驗證包括對節點地址、身份信息、身份證書、賬戶權限及隱私保護等級的驗證；

所述解密過程包括在SGX可信執行環境中的非Enclave安全區域內進行，用節點公鑰對申請信息進行解密；所述驗證過程包括在SGX可信執行環境的Enclave安全區域內，對解密后的節點地址、身份信息、身份證書、賬戶權限及隱私保護等級進行驗證，驗證節點地址、身份信息是否正確，身份證書是否合規合法，調用證書授權列表，查看身份證書是否在證書授權列表內，并驗證賬戶權限與隱私保護等級是否與身份信息相匹配，驗證通過后將身份信息進行摘要運算后加入身份信息列表中；

SGX可信執行環境的Enclave安全區域與非Enclave安全區域通過SGX指令設置的安全參數傳遞機制進行交互；所述參數傳遞機制包括從Enclave安全區域外部將解密后的申請信息通過Ecall指令傳遞到Enclave安全區域內部，以及從Enclave安全區域內部將驗證結果信息通過Ocall指令傳遞到Enclave安全區域外部；

驗證通過后，在可信執行環境內對申請信息進行分割，分割為隱私信息與非隱私信息，將隱私信息打包為零知識信息，所述隱私信息包括所述隱私保護等級對應的信息；

根據賬戶權限與隱私保護等級為用戶節點分配權限；

將用戶節點加入到區塊鏈網絡中，并向全網進行廣播。

2.根據權利要求1所述的基于區塊鏈一體機的隱私保護方法，其特征在于，驗證通過后，所述在可信執行環境內對申請信息進行分割，具體包括在SGX可信執行環境的Enclave安全區域內按照隱私保護等級對申請信息進行分割，分割為隱私信息與非隱私信息；將隱私信息打包為零知識信息，具體包括將所述隱私信息進行哈希運算Hash(pi,id,addr,sk,rn,sn)形成零知識信息，其中pi為隱私信息，id為賬戶信息，addr為節點地址，sk為節點私鑰，rn為隨機數，sn為序列號，rn和sn由在SGX可信執行環境中的隨機模塊和序列模塊分別產生，哈希運算過程在SGX可信執行環境的Enclave安全區域中進行。

3.根據權利要求1所述的基于區塊鏈一體機的隱私保護方法，其特征在于，所述根據賬戶權限與隱私保護等級為用戶節點分配權限，所述權限包括交易權限、數據讀寫權限、存儲權限、模型/函數/指令調用權限、通信權限、密鑰權限與加解密算法調用權限。

4.根據權利要求1所述的基于區塊鏈一體機的隱私保護方法，其特征在于，將用戶節點加入到區塊鏈網絡中，并向全網進行廣播之前，包括在SGX可信執行環境的Enclave安全區域中通過EGETKEY指令使用密鑰分發算法生成加密密鑰，對所述零知識信息進行加密，加密后與非隱私信息、驗證結果信息一同打包成節點加入信息發布于區塊鏈網絡；網絡中的其他用戶節點確認所述驗證結果信息，驗證結果為通過時將所述節點加入信息添加至各自維護的節點信息列表中。