[發明專利]一種分散自主網絡中基于區塊鏈的多CA跨域認證方法

在審

• 申請號: 202110743520.1
• 申請日: 2021-07-01
• 公開（公告）號: CN113343213A
• 公開（公告）日: 2021-09-03
• 發明（設計）人: 芮蘭蘭;楊楊;王苗苗;高志鵬;李文璟
• 申請（專利權）人: 北京郵電大學
• 主分類號: G06F21/44
• 分類號: G06F21/44;G06F21/45;G06F21/60;G06F16/27
• 代理公司: 北京挺立專利事務所(普通合伙) 11265
• 代理人: 高福勇

1.一種分散自主網絡中基于區塊鏈的多CA跨域認證方法，其特征在于，采用多CA跨域認證架構，構架由聯盟鏈和多個域組成；每個域包括各自的CA服務器、成員認證和管理服務器MAMS、網絡設備和物理設備，CA服務器能沿用原有的認證方式對域內成員進行身份認證，MAMS能夠與CA服務器進行認證交互和與聯盟鏈進行跨域認證交互；聯盟鏈的認證節點為每個域中的CA服務器，共同維護加入聯盟鏈的所有設備的證書信息和狀態賬本，區塊賬本中僅記錄證書的Hash值、證書狀態和所屬CA，多個認證交易組成一個區塊，多個區塊鏈接在一起組成區塊鏈；證書由頒布該證書的CA服務器保存在自己的數據庫中，同時每個認證節點維護一個區塊鏈賬本副本和賬本世界狀態數據庫，查詢狀態數據庫能迅速獲取區塊賬本信息；

方法包括以下步驟：

S1、A域中的設備Da向B域中設備Db發送連接請求；

S2、設備Db向MAMS_B查詢設備Da的認證信息，若查詢無結果，則拒絕連接，并將MAMS_B的信息返回給設備Da；

S3、設備Da向MAMS_B發送跨域認證請求；

S4、MAMS_B收到請求后生成隨機數N返回給設備Da，設備Da使用自己的私鑰對N進行簽名sign(N,PK_RA)，同時對自己的證書Cert_A進行Hash運算，將證書Cert_A、Hash(Cert_A)、sign(N,PK_RA)發送給MAMS_B；

S5、MAMS_B收到上述參數后開始進行跨域認證，MAMS_B首先分析證書Cert_A，獲取設備Da的公鑰PK_UA和身份信息，使用PK_UA對簽名進行驗證，得到隨機數N’；

S6、MAMS_B比較該隨機數N’和自己生成的N，若不同，則拒絕跨域請求，否則，向區塊鏈發起證書信息查詢交易；

S7、區塊鏈獲取Da證書的hash值和證書狀態，驗證證書狀態是否為有效，若無效，則認證失敗；若有效，比較該hash值和請求參數中的hash值，若不同，則拒絕跨域請求，若相同，認證成功，返回給MAMS_B；

S8、MAMS_B存儲設備Da的證書，并將設備Db的證書Cert_B用設備Da的公鑰進行簽名，發送給Da，允許接入。

2.根據權利要求1所述的分散自主網絡中基于區塊鏈的多CA跨域認證方法，其特征在于，域內設備Da申請證書及證書的發布流程如下：

第一步：設備Da生成公私鑰對PK_UA、PK_RA，向域A的成員認證和管理服務器MAMS_A發送證書申請；

第二步：成員認證和管理服務器MAMS_A通過verify(Da,Org1)驗證組織中的設備Da的身份，驗證通過后將設備Da申請證書的請求發送給該域的證書頒發機構CA1，否則向設備返回錯誤信息；

第三步：CA1使用自己的私鑰加密設備Da的公鑰和身份信息生成設備Da的證書Cert_A，并將該證書保存在數據庫中，同時，在聯盟鏈中發起認證交易；

第四步：聯盟鏈中的CA服務器作為認證節點將證書的Hash值Hash(Cert_A)、證書所屬CA機構和可用狀態字段作為交易寫入區塊，區塊交易同步到該通道中的所有認證節點；

第五步：CA1將認證的證書Cert_A發送給MAMS_A，MAMS_A保存設備Da的證書和狀態，將申請好的證書發送給設備Da，完成證書的申請和發布。

3.根據權利要求1所述的分散自主網絡中基于區塊鏈的多CA跨域認證方法，其特征在于，域內設備Da申請證書更新的流程如下：

第一步：設備Da生成新的公私鑰對，向MAMS_A發送證書更新申請；

第二步：MAMS_A驗證用戶提交的信息，若驗證通過則將設備Da的證書更新請求發送給CA1；

第三步：CA1使用自己的私鑰加密設備Da的證書更新申請文件生成設備Da的證書Cert_A_new，將數據庫中的舊證書更新為新證書信息，同時，在聯盟鏈中發起更新交易；

第四步：聯盟鏈中的CA服務器將區塊中原有證書交易的state值置為invalid，發布新證書的信息寫入區塊，區塊交易同步到該通道中的所有認證節點；

第五步：CA1將更新好的證書Cert_A_new發送給MAMS_A，MAMS_A更新本域中證書庫，將更新好的證書發送給設備Da。