[发明专利]基于区块链的CA跨域认证方法及系统

权利要求书

1.一种基于区块链的CA跨域认证方法，其特征在于，包括：

以fabric联盟链框架为基础构建CA联盟链，并将不同域内的CA系统作为区块链节点，所述CA包括位于最高层的根CA、位于中间层的多个策略CA和位于底层的多个用户CA，其中，将所述根CA作为主节点，将所述用户CA作为从节点；

以raft算法作为所述CA联盟链的共识算法完成CA节点之间的共识流程，所述共识流程包含Leader选取流程和数据共识流程，其中，根CA节点参与共识流程，用户CA节点作为分布式数据库存储生成的区块数据；

通过智能合约生成三个不同的非对称的秘钥对，并将三个所述密钥对分别颁发给不同域内的根CA节点、策略CA节点和用户CA节点，使不同域内的根CA节点、策略CA节点和用户CA节点分别拥有相同的秘钥对，以实现不同域内的CA颁发的数字证书相互认证；

基于所述CA联盟链进行跨域认证。

2.根据权利要求1所述的基于区块链的CA跨域认证方法，其特征在于，所述Leader选取流程包括：

所述根CA节点的状态包括follower、candidate或leader，所述CA联盟链起始时，所有根CA节点的状态均为follower；

若状态为follower的根CA节点在选举超时时间内没有收到leader状态根CA节点的心跳信号，则将状态从follower切换为candidate，成为状态为candidate的根CA节点，并向其他状态处于follower的根CA节点发出选举请求；

如果收到超过一半以上状态为follower的根CA节点投票同意，则状态为candidate的根CA节点将状态切换为leader，并在一段时间内不停的给其他状态为follower的根CA节点发送心跳消息以保持其主节点状态。

3.根据权利要求2所述的基于区块链的CA跨域认证方法，其特征在于，所述数据共识流程包括：

状态为leader的根CA节点强制向所有状态为follower的根CA节点同步数据，当超过一半的状态为follower的根CA节点确认接收数据成功并验证交易数据后，状态为leader的根CA节点将数据提交到区块链中，达成全网的共识后，从节点将区块数据添加到自己的账本中。

4.根据权利要求1所述的基于区块链的CA跨域认证方法，其特征在于，所述跨域认证包括数字证书申请流程、证书签发流程、数字证书验证流程以及数字证书撤销流程。

5.根据权利要求4所述的基于区块链的CA跨域认证方法，其特征在于，所述数字证书申请流程包括：

用户通过客户端向所述CA联盟链内任意域内的任意所述用户CA发送申请数字证书的指令，所述用户CA在审核用户信息属实后同意颁发数字证书。

6.根据权利要求4所述的基于区块链的CA跨域认证方法，其特征在于，所述证书签发流程包括：

所述用户CA使用其私钥给包含用户和颁发者信息的摘要进行非对称加密生成数字签名；

将生成的带有所述数字签名的数字证书颁发给用户，用户使用所述数字证书作为电子身份证明。

7.根据权利要求4所述的基于区块链的CA跨域认证方法，其特征在于，所述数字证书验证流程包括：

待身份认证的用户将其数字证书发送给同域或跨域的要验证的用户；

所述要验证的用户通过公钥完成验证过程，数字证书的验证追溯至根证书结束验证流程，通过CA的公钥解密所述数字证书，若能解密则证明所述数字证书由CA联盟链中的可信CA节点颁发。

8.根据权利要求4所述的基于区块链的CA跨域认证方法，其特征在于，所述数字证书撤销流程包括：

用户向CA联盟链中任意一个域内的用户CA申请撤销数字证书，所述用户CA将要撤销的数字证书的序列号添加到数字证书撤销列表中。