[发明专利]区块链应用可信身份管理方法、系统、设备及存储介质

说明书

本发明提供了一种区块链应用可信身份管理方法、系统、设备及存储介质，所述方法包括区块链应用客户端与身份管理服务器建立安全通信通道；所述应用客户端将用户的交易提案和签名请求通过所述身份管理服务器发送至硬件安全模块；所述硬件安全模块选择相应的用户密钥对所述交易提案进行签名，并将签名后的交易提案通过所述身份管理服务器返回至所述应用客户端；所述应用客户端将签名后的交易提案发送至区块链节点。本发明引入硬件安全模块管理区块链应用身份凭据，在硬件安全模块上实现用户身份凭据的生成、使用和管理功能，重新设计了区块链用户发送交易请求的工作流程，用户无需自行操作签名过程或管理身份凭据，由硬件安全模块进行签名等操作，保证隐私数据安全，保证身份信息安全可信。

技术领域

本发明涉及区块链技术领域，尤其涉及一种区块链应用的可信身份管理方法、系统、设备及存储介质。

背景技术

企业级区块链一般存储和操作高价值、高隐私性的数据，区块链应用的用户私钥等身份凭据需要较高安全性的机制保护和管理。现有技术中，用户的签名密钥等隐私数据一般直接存放在API（Application Programming Interface，应用程序编程接口）网关服务器中。如图1所示，为现有技术中API网关与区块链节点和应用客户端连接的示意图，组织101的API网关103是组织101中所有用户访问区块链节点的统一入口，客户端104的请求必须通过API网关103才能访问到区块链节点102。

如图2所示，为现有技术中区块链中交易请求提出的时序图。其中，交易请求的提出流程一般为：应用客户端通过调用API网关提供的API提交交易请求，API网关将客户端提交的请求构建为交易提案（Transaction Proposal），再由保存在API网关中的用户密钥进行签名以证明用户身份，最后将签名后的用户提案提交到区块链节点。然而，采用该种方式，存在如下缺陷：

（1）API网关安全级别较低，未对用户隐私数据进行特殊保护，容易遭受攻击，而用户密钥等隐私数据一旦泄露后果严重；

（2）API网关同时负责处理请求和管理用户身份数据，角色重叠，负载较重；

（3）API网关无法满足密钥生成、密钥分享、加密数据的追溯等等与可信身份管理相关的其他需求；

（4）API网关签名后的请求可能被攻击者用于重放攻击（Replay Attack）。此处，重放攻击指的是攻击者重复发送目的主机已接收过的消息，来达到欺骗系统的目的，主要用于交易提案的重复发送，破坏交易逻辑的正确性。

发明内容

针对现有技术中的问题，本发明的目的在于提供一种区块链应用可信身份管理方法、系统、设备及存储介质，引入硬件安全模块对用户身份凭据提供逻辑层面和物理层面的安全保护，提高用户身份凭据的安全性。

本发明实施例提供一种区块链应用可信身份管理方法，包括如下步骤：

客户端与身份管理服务器建立第一通信通道；

所述应用客户端将用户的交易提案和签名请求通过所述身份管理服务器发送至硬件安全模块；

所述硬件安全模块选择相应的用户密钥对所述交易提案进行签名，并将签名后的交易提案通过所述身份管理服务器返回至所述应用客户端；

所述应用客户端将签名后的交易提案发送至区块链节点。

可选地，所述应用客户端与身份管理服务器建立第一通信通道，包括如下步骤：

所述应用客户端发送通信请求至所述身份管理服务器；

所述身份管理服务器对所述应用客户端进行身份验证，如果验证成功，则建立所述应用客户端与所述身份管理服务器之间的第一通信通道。

可选地，所述身份管理服务器对所述应用客户端的身份验证成功之后，返回服务器身份认证信息至所述应用客户端，所述应用客户端对所述服务器身份认证信息进行验证，如果验证成功，则建立所述应用客户端与所述身份管理服务器之间的第一通信通道。