一种用于区块链的安全网络附加装置及方法制造方法及图纸

本发明专利技术提供了一种用于区块链安全网络附加装置，包括：密钥管理系统，用于提供的解密密钥；锁盒机构，用于存储密钥，被保存在唯一一个可信的服务器上，并且提供给访问文件的用户；证书，用于管理被授权用户；存储装置，用于存储原始数据和加密结果的非线性校验和，通过该存储装置用户可以检验文件在存储时是否被修改过，用户通过验证分析文件密钥体的元数据文件和通过检验提供的数字签名来验证写的完整性。通过本发明专利技术的网络附加装置及方法，通过加密数据，只在客户端解密来阻止任何未授权用户访问数据，能够避免威胁系统管理员的访问以及对磁盘的物理捕获所引起的潜在威胁。

【技术实现步骤摘要】

本专利技术涉及区块链的安全问题，特别是一种区块链信息安全保护装置，安全网络附加装置及方法。
技术介绍
2009年比特币的出现带来了一种颠覆性的成果--区块链技术，区块链是一个安全的帐簿类数据库，由一个个数据区块组成，使用者可以在这个不断更新升级的平台查找数据，对于金融机构来说，区块链能加快交易处理过程、降低成本、减少中间人、提高市场洞察力，增加业务透明度。计算和存储是计算机系统的两大基本任务，随着信息的爆炸性增长，存储部件会经历基于单服务器的直连存储，到基于局域网的集群网格存储，最后发展到基于广域网的数据网格，区块链技术是目前发展的最末端，这种数据存储介质的本征特质包括智能化的存储，存储服务质量可以保证为用户应用提供服务区分和性能保证，存储是面向对象的海量存储，以及网络存储必须保证是机密完整和安全的，现有的互联网还没有很好的或者方便的办法保证区块链传输过程中的数据和保存在存储设备上的数据的保密性、完整性、可用性、不可抵赖性以及整个网络存储系统的可靠性能，尤其是近年来区块链可信计算技术的产生，对网络存储安全又提出更高的要求。
技术实现思路
本专利技术的目的在于提供一种用于区块链安全网络附加装置，包括：密钥管理系统，用于提供的解密密钥；锁盒机构，用于存储密钥，被保存在唯一一个可信的服务器上，并且提供给访问文件的用户；证书，用于管理被授权用户，所述证书中包含有效用户的ID、用户的公钥、一个提供并验证用户数字签名的哈希过的MAC密钥，以及一个用户执行写运算的时间戳，用于预防重放攻击；以及存储装置，用于存储原始数据和加密结果的非线性校验和，通过该存储装置用户可以检验文件在存储时是否被修改过，用户通过验证分析文件密钥体的元数据文件和通过检验提供的数字签名来验证写的完整性。优选的，将网络附加装置置于区块链节点后，将每个文件赋予一个对称密钥加密，在文件的元数据内部设置一个指向密钥体的指针，在密钥体的元数据内部存储有文件的ID、创建文件的用户的ID，以及最后修改文件的用户的签名，所述签名经过自身用户或被授权的用户验证后，能向其他用户证明密钥体自身没有被改动。优选的，密钥体是由一些与合法用户的原始文件一致的元组组成，每个元组包含一个用户ID域、访问安全数据的对称密钥以及一个是否允许用户向密钥体写的列表，所述密钥体与允许向原始文件进行写操作的权限一致，并且被用户的公钥加密，在客户端由用户的私钥解密。优选的，非线性校验和在被授权用户更改文件后被更新。优选的，附加装置授权所述文件的拥有者执行积极的吊销密码的策略或者懒惰吊销密钥的策略。优选的，附加装置还包含五个独立的数字签名方案，供用户选择，所述五个独立的数字签名方案通过调整安全性和性能比例来提出，文件的创立者能够决定验证所述五个独立的数字签名方案的粒度，粒度越好，安全性越高。通过本专利技术的网络附加装置，通过加密数据，只在客户端解密来阻止任何未授权用户访问数据，能够避免威胁系统管理员的访问以及对磁盘的物理捕获所引起的潜在威胁。根据下文结合附图对本专利技术具体实施例的详细描述，本领域技术人员将会更加明了本专利技术的上述以及其他目的、优点和特征。附图说明后文将参照附图以示例性而非限制性的方式详细描述本专利技术的一些具体实施例。附图中相同的附图标记标示了相同或类似的部件或部分。本领域技术人员应该理解，这些附图未必是按比例绘制的。本专利技术的目标及特征考虑到如下结合附图的描述将更加明显，附图中：图1为根据本专利技术实施例的区块链安全网络附加装置的结构示意图。具体实施方式在进行具体实施方式的说明之前，为了更为清楚的表达所论述的内容，首先定义一些非常重要的概念。交易：交易的实质是个关系数据结构，这个数据结构中包含交易参与者价值转移的相关信息。这些交易信息被称为记账总账簿。交易需经过三个创建、验证、写入区块链。交易必须经过数字签名，保证交易的合法性。区块：所有的交易信息存放于区块中，一条交易信息就是一条记录，作为一个独立的记录存放于区块链中。区块由区块头部和数据部分组成，区块头字段包含区块本身的各种特性，例如前一区块信息，merkle值及时间戳等。其中区块头哈希值和区块高度是标识区块最主要的两个指标。区块主标识符是它的加密哈希值，一个通过SHA算法对区块头进行二次哈希计算而得到的数字指纹。产生的32字节哈希值被称为区块哈希值，或者区块头哈希值，只有区块头被用于计算。区块哈希值可以唯一、明确地标识一个区块，并且任何节点通过简单地对区块头进行哈希计算都可以独立地获取该区块哈希值。区块链：由区块按照链式结构有序链接起来的数据结构。区块链就像一个垂直的堆栈，第一个区块作为栈底的首区块，随后每个区块都被放置在其他区块之上。当区块写入区块链后将永远不会改变，并且备份到其他的区块链服务器上。实施例：参见图1，一种用于区块链安全网络附加装置及方法，通过加密数据，只在客户端解密来阻止任何未授权用户访问数据，能够避免威胁系统管理员的访问以及对磁盘的物理捕获所引起的潜在威胁。客户端的解密依赖于密钥管理系统提供的解密密钥。其中该附加装置的机密性依赖于存储密钥的锁盒机构。每个文件都有一个对称密钥加密，在文件的元数据内部有一个指针指向密钥体，在密钥体的元数据内部有文件的ID、创建文件的用户的ID，以及最后修改文件的用户的签名。这个签名能向其他用户证明密钥体自身没有被改动(当然任何被授权的用户能够验证这个签名)。这里的密钥体是由一些与合法用户的原始文件一致的元组组成，每个元组有一个用户ID域、访问安全数据的对称密钥以及一个是否允许用户向密钥体写的列表，该密钥体与允许向原始文件进行写操作的权限一致，并且被用户的公钥加密，所以能在客户端由用户的私钥解密，这就阻止了入侵者试图得到加密数据的密钥。除了密钥体以外，该区块链安全网络附加装置还通过一个证书来管理被授权用户，证书中包含有效用户的ID、用户的公钥、一个提供并验证用户数字签名的哈希过的MAC密钥，以及一个用户执行写运算的时间戳，用于预防重放攻击。为了提供更高的完整性，该附加装置存储了原始数据和加密结果的非线性校验和，这样用户就可以检验文件在存储时是否被修改过。这个校验和在被授权用户更改文件时也得到更新。用户通过验证分析文件密钥体的元数据文件和通过检验提供的数字签名来验证写的完整性。锁盒密钥被保存在唯一一个可信的服务器上，并且提供给访问文件的用户，它成为攻击者攻击的目标。并且，该附加装置没有一个具体的吊销密钥的策略，把采取积极的吊销或者懒惰吊销密钥的决定和执行留给了文件的拥有者。加密和解密运算放在客户端进行避免了服务器端的瓶颈问题，众所周知，数字签名是附加装置最费时的部分，虽然对每一个数据块的写进行签名，并且对每一个数据块的读实行验证时最安全的方法，但是这种最安全的方法不适合标准的用法，因此该附加装置为了解决在相对较快的客户端机器上解密速度还是很慢的问题，附加装置上为用户提供五个独立的数字签名方案使用户选择，通过调整安全性和性能比例来提出五个数字签名方案。文件的创立者能够决定验证数字签名的粒度，越是好的粒度越能提高安全性，反之亦然。虽然本专利技术已经参考特定的说明性实施例进行了描述，但是不会受到这些实施例的限定而仅仅受到附加权利要求的限定。本领域技术人员应当理解可以在不偏离本专利技术的保护范围和精神的本文档来自技高网...

【技术保护点】
一种用于区块链安全网络附加装置，其特征在于包括：密钥管理系统，用于提供的解密密钥；锁盒机构，用于存储密钥，被保存在唯一一个可信的服务器上，并且提供给访问文件的用户；证书，用于管理被授权用户，所述证书中包含有效用户的ID、用户的公钥、一个提供并验证用户数字签名的哈希过的MAC密钥，以及一个用户执行写运算的时间戳，用于预防重放攻击；存储装置，用于存储原始数据和加密结果的非线性校验和，通过该存储装置用户可以检验文件在存储时是否被修改过，用户通过验证分析文件密钥体的元数据文件和通过检验提供的数字签名来验证写的完整性。

【技术特征摘要】
1.一种用于区块链安全网络附加装置，其特征在于包括：密钥管理系统，用于提供的解密密钥；锁盒机构，用于存储密钥，被保存在唯一一个可信的服务器上，并且提供给访问文件的用户；证书，用于管理被授权用户，所述证书中包含有效用户的ID、用户的公钥、一个提供并验证用户数字签名的哈希过的MAC密钥，以及一个用户执行写运算的时间戳，用于预防重放攻击；存储装置，用于存储原始数据和加密结果的非线性校验和，通过该存储装置用户可以检验文件在存储时是否被修改过，用户通过验证分析文件密钥体的元数据文件和通过检验提供的数字签名来验证写的完整性。2.根据权利要求1所述的一种用于区块链安全网络附加装置，其特征在于：将所述网络附加装置置于区块链节点后，将每个文件赋予一个对称密钥加密，在文件的元数据内部设置一个指向密钥体的指针，在密钥体的元数据内部存储有文件的ID、创建文件的用户的ID，以及最后修改文件的用户的签名，所述签名经过自身用户或被授权的用户验证后，能向其他用户证明密钥体自身没有被改动。3.根据权利要求2所述的一种用于区块链安全网络附加装置，其特征在于：所述，所述密钥体是由一些与合法用户的原始文件一致的元组组成，每个元组包含一个用户ID域、访问安全数据的对称密钥以及一个是否允许用户向密钥体写的列表，所述密钥体与允许向原始文件进行写操作的权限一致，并且被用户的公钥加密，在客户端由用户的私钥解密。4.根据权利要求1所述的一种用于区块链安全网络附加装置，其特征在于：所述非线性校验和在被授权用户更改文件后被更新。5.根据权利要求1所述的一种用于区块链安全网络附加装置，其特征在于：所述附加装置授权所述文件的拥有者执行积极的吊销密码的策略或者懒惰吊销密钥的策略。6.根据权利要求1所述的一种用于区块链安全网络附加装置，其特征在于：所述附加装置还包含五个独立的数字签名方案，供用户选择，所述五个独立的数字签名方案通过调整安全性和性能比例来提出，文件的创立者能够决定验...

【专利技术属性】
技术研发人员：张丛，
申请(专利权)人：深圳市樊溪电子有限公司，
类型：发明
国别省市：广东;44