[发明专利]一种基于数字证书以及CA认证体系的联盟链权限控制方法

摘要

本发明公开了一种基于数字证书以及CA认证体系的联盟链权限控制方法。在联盟链中，通过分层的数字证书签发体系，实现联盟链的准入控制和自动权限认证。本发明预先定义了三种权限机制，分别用于控制联盟链节点之间的准入权限，联盟链节点的角色权限以及区块链用户的访问权限。利用三种数字证书：准入证书、角色证书以及交易证书分别控制节点准入，角色鉴别以及客户端准入三种权限。采用国际通用的椭圆曲线数字签名算法或是国密数字签名算法实现数字证书的生成及安全消息的签名及验证，解决了传统区块链的权限粒度大甚至没有准入功能等缺陷，并为区块链用户提供了匿名交易特性，提高了区块链交易的安全性并满足了用户的隐私需求。

主权项

一种基于数字证书以及CA认证体系的联盟链权限控制方法，其特征在于，包括如下步骤：1)根证书生成：由一个联盟链各方信任的第三方机构RTCA生成全联盟链全网根数字证书RTCERT,由该机构向下签发相应的代理证书签发机构子根证书，代理数字证书签发机构包括准入代理签发机构EACA和角色代理签发机构RACA，EACA和RACA持有代理签发根证书，代理签发根证书包括准入代理签发根证书EARTCERT和角色代理签发根证书RARTCERT。2)准入证书签发：需要加入联盟链的节点或者客户端，向EACA提供公钥和身份信息，EACA利用EARTCERT与其相对应的私钥，对需要加入联盟链的节点颁发准入证书ECERT，所有的节点和客户端都需要申请ECERT。3)角色证书签发：需要加入联盟链的验证节点VP将自己的公钥和身份信息线下提供给RACA，RACA利用RARTCERT与其对应的私钥，结合对需要加入的联盟链的验证节点VP颁发角色证书，非验证节点NVP不需要申请。4)节点准入鉴权：在联盟链节点完成节点之间的相互连接的过程中，记连接发起节点为B,被动连接节点记为A，在联盟链建立之时或新节点加入时，节点A需要验证所有向自己连接的节点的权限。节点B在发起连接的同时将ECERT发送到被动连接节点A处，节点A验证节点B的证书的合法性以及附带信息的来源，验证A的身份信息，若通过则允许节点B连接到节点A。5)节点角色鉴权：联盟链节点相互连接之时需要对节点角色进行鉴别，如果是验证节点，则该节点连接之时会附带RCERT，在被动连接节点A验证通过之后，节点A会将连接发起节点B标记为验证节点，并将验证消息转发至B。6)客户端准入鉴权：联盟链权限体系在逻辑上是一个整体，所有需要访问联盟链的SDK及客户端应用都需要持有由EACA颁发的ECERT，客户端访问联盟链应用接口之前，被访问的节点需要对该客户端进行鉴权；节点对所有访问自己的客户端进行身份验证，并对该客户端身份信息进行记录，所有客户端的行为都将由该节点A进行代理；客户端通过访问节点A发起的交易将在节点端用节点证书及其对应私钥替换交易签名，并进行转发。7)交易证书签发：客户端在利用ECERT在节点A通过准入鉴权之后，节点A将为该客户端在线签发短期交易证书TCERT,客户端在下次访问的时候利用该TCERT对交易信息进行签名；而TCERT中将不会包含详细的客户端身份信息，仅包含身份指纹，该TCERT以节点A的ECERT作为根证书进行签发。8)伪匿名交易：客户端可以利用TCERT实现相对匿名交易，客户端利用ECERT通过身份认证之后，取得节点在线签发的短期TCERT，利用该短期TCERT，客户端可以获取更多的TCERT,而TCERT中的身份标识将会动态变化，客户端在每次发起交易请求时利用不同的TCERT所对应的私钥进行消息签名。