基于區塊鏈的微認證系統架構①

劉 越,盧清華,張衛山

(中國石油大學(華東) 計算機科學與技術學院,青島 266580)

在高速發展的電子信息化社會中,微認證為個人或機構提供了一種正式與非正式學習及成果的證明方式.例如,學生在經過短期特定課程學習之后,學校會頒發微認證.學生收到微認證后,可向他人出示該微認證,以證明自己擁有特定知識或能力.由于微認證中含有關于個人或機構身份證明的信息,因此常常被應用于身份管理領域當中.但是由于中心化的系統架構,當前的微認證信息全部集中于微認證管理服務提供者(如學校)的數據庫中,而微認證對象并不能完全確保微認證信息的安全,以及知曉其微認證信息具體的使用情況;同時,微認證的驗證者也難以確信微認證的有效性與權威性,無法保證其沒有被篡改.此外,各個微認證系統的不一致標準在微認證的驗證過程中也可能會降低驗證效率.因此,微認證的驗證周期可能長達數天或數周.

隨著區塊鏈與智能合約技術的誕生與發展,許多企業和政府部門目前正在探索區塊鏈在各個領域的應用,例如:供應鏈、智慧醫療、與能源供應等[1,2],而身份管理也一向被認為是區塊鏈技術的重要發展應用領域[3].區塊鏈提供了一種不可篡改的共享數據存儲結構,只允許添加事務信息,但是無法對區塊鏈上已存在的事務信息進行更新或刪除,以此來防止對數據的篡改.目前,對于如何應用區塊鏈搭建微認證系統,仍缺乏一個系統、整體的觀念.本研究旨在將區塊鏈技術的分布式結構引入現有的微認證系統中,以區塊鏈生態系統為基礎,利用區塊鏈的透明性與不可篡改性,將微認證信息存于鏈上,提高微認證的驗證效率與數據安全.

1 背景介紹

1.1 微認證簡介

微認證是教育成就的電子化表示,類似于技能培訓所獲得的徽章和獎牌,微認證代表個人完成了頒發認證的組織所要求的培訓或課程.因此,微認證可以充當一種工具,向同事、雇主或者潛在雇主展示對特定知識的掌握.

傳統微認證生命周期如圖1所示.當個人或機構完成了微認證頒發機構所指定的學習任務后,根據課程注冊及成績信息,微認證機構生成并向完成目標的學員發布微認證.獲得微認證后,個人可在需要時(如應聘過程中)展示微認證,而被展示者通過驗證微認證的真偽,以作為展示者的專業知識或能力的證明.

圖1 微認證生命周期示意圖

目前,微認證在國內仍處于初期發展階段,如對微認證的基本框架與認證流程進行探討[4];對基于微認證的教師信息技術應用能力實踐路徑進行設計[5]等.而國外已經將微認證模式應用在許多教育機構當中,研究者也對微認證的實踐模式進行了一定的總結[6].然而,目前的微認證系統都采用了中心化的架構,將數據存儲于傳統數據庫中,容易受到攻擊形成單點故障,造成微認證欺詐的后果(即微認證數據被篡改,驗證者無法確信微認證真偽性).因此,本研究將在現有的微認證系統架構中引入去中心化的區塊鏈技術,以提高系統安全性.

1.2 區塊鏈技術概論

區塊鏈技術概念源自中本聰所提出的數字貨幣“比特幣”[7],作為其底層支撐技術,區塊鏈提供了分布式賬本結構與智能合約計算平臺[8].區塊鏈結構如圖2所示,每一個區塊中包含了上一個區塊的哈希值,從而連接形成一個鏈表.同時,每一個區塊也存儲著事務,每項事務都代表著區塊鏈上數據的變化.區塊鏈網絡中每一個參與者都會保存有一份完整的區塊鏈副本,因此,攻擊、篡改已有的事務需要龐大的計算能力,幾乎不可能發生.區塊鏈中的共識機制決定了其不需要第三方參與者的介入,參與者對數據狀態的改變達到共識,以建立信任關系.

圖2 區塊鏈結構示意圖

智能合約是部署、發布、運行在區塊鏈上的程序,為其提供了強大的計算能力[9].智能合約中可以定義觸發器、條件等業務邏輯,以支持復雜的事務處理[10].目前以太坊虛擬機環境下的區塊鏈平臺支持使用一種圖靈完全的編程語言Solidity,來編寫智能合約.

當前全球有許多企業、機構都在研究基于區塊鏈的應用程序.微軟、IBM、亞馬遜等公司將云服務與區塊鏈結合起來,向用戶提供方便快捷的私有區塊鏈搭建服務.在學術研究中,有針對以區塊鏈替代傳統中心化數據庫的利弊權衡分析[11],將設計模式應用到智能合約開發中[12-14],還有將區塊鏈引進各個行業系統中的初步試探[15-17].本研究將區塊鏈引入微認證系統的構建中,以解決當前微認證系統依靠中心化管理模式的弊端,提高驗證的安全性與可靠性.

2 基于區塊鏈的微認證系統架構設計

2.1 設計目標

本研究將提出一個基于區塊鏈的微認證系統架構,架構中包含了可重用的微認證相關服務.目標架構的需求如下:

(1)微認證提供者在日常工作中可記錄微認證對象的信息;

(2)微認證提供者根據記錄信息生成微證明;

(3)向微認證驗證者提供便捷、有效的微證明驗證方式;

(4)系統架構應保證數據隱私性、完整性;

(5)確保系統底層架構的可用性.

2.2 架構設計

如圖3所示,系統架構采用3 層結構:用戶界面層、服務層、與基礎設施層.其中,服務層包括:部署服務、賬戶管理服務、數據管理服務、與微認證管理服務;基礎設施層包括:傳統數據庫和區塊鏈網絡(及運行在區塊鏈上的智能合約).系統的目標用戶包括:微認證提供者(如,學校)、微認證對象(如,學生)、與微認證驗證者.

圖3 基于區塊鏈的微認證系統架構示意圖

2.2.1 服務層設計

部署服務包含了區塊鏈部署與智能合約部署.本研究中所采用的區塊鏈平臺為以太坊,用戶可通過輸入參數(如,區塊生成難度,個人IP 地址等)自定義私有或聯盟區塊鏈網絡進行部署.當區塊鏈部署完畢后,用戶即可以監控、查看區塊鏈運行情況,并部署所開發的智能合約.

賬戶管理服務包括賬戶注冊服務、密鑰生成服務、與密鑰分割/重塑服務.在本研究中,區塊鏈上的賬戶取代了傳統數據庫中所記錄的賬戶密碼.用戶可通過賬戶注冊服務,設置密碼,由底層區塊鏈生成相對應的賬戶.同時,用戶可選擇生成非對稱密鑰,以便于對數據進行加解密操作.所生成的公鑰將存儲于智能合約中,與用戶的區塊鏈賬戶對應,便于其他用戶進行查詢.通過密鑰分割與重塑服務,用戶可將私鑰(或密碼)進行分割,在丟失、遺忘密鑰或密碼后,通過分割碎片進行重塑,便能夠重新控制相關的加解密公鑰或者區塊鏈賬戶.

通過數據管理服務,微認證提供者可在日常工作中管理微認證對象的信息(如,學生的課程成績),并同時將其存儲在鏈下數據庫與鏈上智能合約中.

微認證管理服務包括微認證生成服務、微認證驗證服務、與微認證撤銷服務.微認證提供者根據數據庫中所記錄的數據,生成JSON 格式的電子微認證.微認證中包括:提供者與認證對象的區塊鏈賬號、微認證識別號、生成日期、與證明內容.在微認證驗證階段,驗證者可使用微認證驗證服務以校驗一個微認證的真偽性.通過系統提供的在線驗證通道,驗證者可輸入所收到的微認證,系統后臺將自動識別微認證識別號與提供者區塊鏈賬號以進行驗證,并返回驗證結果.若微認證對象不再需要此電子證明,或提供者發現微認證對象不符合證明內容,提供者可撤銷該微認證,則后續不再支持驗證者對該微認證進行驗證.需要注意,微認證可通過各種方式(如郵件)在3 種用戶之間進行傳輸,不包含在本研究范圍內.

2.2.2 傳統數據庫設計

本研究采用傳統數據庫存儲3 類數據.第1 類數據是所部署的智能合約信息,在進行調用時需要合約地址與二進制接口,因此將此類智能合約相關信息存儲以便于查看和管理.第2 類數據是智能合約模板,本研究將設計、總結適用于智能合約的設計模式,并應用在微認證系統中,將其開發為合約模板,把源碼存儲于數據庫中,方便用戶在部署智能合約時能夠進行選擇與應用.第3 類數據是微認證對象數據,將微認證對象學習或考核過程中的原始數據記錄下來存儲于數據庫中,用于后續生成微認證.

2.2.3 區塊鏈與智能合約設計

區塊鏈為微認證系統提供了底層去中心化基礎設施與智能合約運行環境,微認證提供者與對象通過區塊鏈賬戶在系統中進行業務流程交互.本研究中,區塊鏈上主要應部署4 類智能合約.

例2： (非選擇題第32題)果蠅體細胞有4對染色體，其中2、 3、 4號為常染色體，抑制控制長翅/殘翅性狀的基因位于2號染色體上，控制灰體/黑檀體性狀的基因位于3號染色體上，某小組用一只無眼灰體長翅雌果蠅與一只有眼灰體長翅雄果蠅雜交，雜交子代的表現型及其比例如下：

(1)公鑰注冊表合約,用戶可將區塊鏈賬戶與公鑰作為鍵值對上傳至注冊表中,在微認證驗證過程中,系統即通過微認證提供者的區塊鏈賬戶查詢到對應公鑰進行驗證序列的解密.

(2)微認證提供者注冊表,在微認證系統中,將能夠開具微認證的工作人員的區塊鏈賬戶存儲在注冊表中,任意用戶可輸入一個區塊鏈賬戶以查詢其是否為有效工作人員.只有有效工作人員才能向微認證對象生成能夠進行有效驗證的微認證.

(3)微認證對象數據合約,用于記錄微認證對象的數據(加密或哈希形式).微認證對象數據合約繼承了訪問控制合約模板以應用相關機制,規定只有該合約數據所覆蓋的微認證對象可查詢數據以進行數據完整性校驗.

(4)微認證注冊表,用于存儲微認證驗證信息.微認證注冊表也應用了訪問控制機制,即只有微認證提供者注冊表中的區塊鏈賬戶可以上傳微認證驗證信息,以防止認證作假欺詐.

2.3 核心技術研究

本研究中涉及了區塊鏈部署、區塊鏈賬戶管理、鏈上鏈下數據存儲、智能合約設計、與加解密技術方面的知識,并將在本節中進行進一步的分析與探討.

在進行區塊鏈部署時,系統后臺腳本通過用戶所輸入的參數實現自動化部署與配置區塊鏈客戶端的任務.智能合約的部署支持用戶選擇上傳智能合約文件,系統后臺將自動編譯并部署智能合約.部署成功后,該智能合約的鏈上地址與應用系統二進制接口將存儲于數據庫中,以方便調用.

在鏈上智能合約設計的過程中,確定合約中方法的權限控制是一個難點.在智能合約進行編譯與部署前,以存儲在數據庫中的訪問控制合約模板作為父類,使目標合約繼承該父類合約,以獲得訪問控制機制.圖4展示了訪問控制合約主要代碼.合約所有者默認為微認證提供者區塊鏈賬號,在合約部署時被自動記錄;同時,部署合約時即可定義能夠訪問合約的區塊鏈賬號[14].合約所有者能夠更換訪問控制的區塊鏈賬號以提高可擴展性,如只有特定微認證對象能夠訪問存儲了自身數據的合約進行數據完整性校驗.“modifier”部分用于檢測當前訪問合約的是否為所定義的區塊鏈賬戶,若是,“_;”部分則為運行子類合約目標訪問控制的代碼.

圖4 訪問控制合約主要代碼

由于目前區塊鏈平臺中并不支持找回或更改密碼操作,本研究出于去中心化的安全考量,系統架構中也不支持將賬戶與密碼存儲于數據庫中.用戶可通過分割與重塑區塊鏈密碼或加密密鑰,決定分割數量與重塑的閾值,將所輸入的密碼/密鑰分割成不同的部分,并自行選擇保存方式.若用戶忘記密碼/密鑰,則可輸入大于或等于閾值數量的密碼碎片,系統后臺將通過所輸入的碎片重塑出完整的密碼/密鑰[18].

由于鏈上數據的透明性與冗余性,鏈上鏈下數據需要進行差異化處理[19].本研究中采用將大型原始數據存儲在數據庫中,并將原始數據進行區分,每一部分通過加密,或者進行哈希計算,將密文或哈希值存儲于鏈上.用戶可通過對鏈上數據進行解密查看數據,或者將鏈下原始數據與鏈上哈希值進行對比,確保數據的完整性.

目標系統架構應向驗證者提供快速、高效、可靠的微認證驗證服務,避免過于繁復的驗證手段.在本架構設計中,微認證生成時,相關驗證信息將存儲于鏈上智能合約中,包括:提供者與證明對象的區塊鏈賬號、微認證識別號、與微認證驗證序列.微認證驗證序列是通過將微認證進行哈希計算后,再由提供者私鑰進行加密生成的.微認證的驗證過程如圖5所示,系統通過智能合約獲取提供者公鑰與鏈上微認證驗證序列.將微認證驗證序列進行解密后所得的哈希值,與用戶所輸入的微認證進行哈希計算后相對比,進行雙重驗證,已確保該微認證的有效性、權威性、與完整性.

圖5 微認證驗證流程示意圖

2.4 傳統微認證系統設計對比分析

與傳統微認證系統架構設計相比,本文方法主要在3 個方面進行了設計創新.

(1)區塊鏈賬戶取代傳統賬戶功能

傳統微認證系統將用戶的賬戶與密碼存儲于數據庫中,在登錄等操作時將當前用戶身份與數據庫內記錄進行對比.本文方法以鏈上賬戶取代傳統賬戶,系統不存儲用戶密鑰或密碼,避免了黑客攻擊竊取用戶賬戶資料的風險.同時,鏈上賬戶與智能合約可進行交互,實現合約內的權限管理機制.

(2)鏈上鏈下數據差異化處理

傳統微認證系統架構只使用了數據庫進行數據存儲,易遭受攻擊,形成“單點故障”.本文方法將原始數據存于鏈下數據庫,哈希或加密后的數據存于鏈上,通過鏈上鏈下數據對比,確保了數據的一致性.同時,區塊鏈的透明性與不可篡改性能夠對微認證提供者的操作進行記錄并回溯,對系統內部人員的行為進行約束.

(3)多節點分布式架構

底層區塊鏈生態為本文方法提供了多節點的分布式架構.相比于傳統微認證系統部署運行在單一服務器上,本文方法中涉及的所有目標用戶均可選擇在本地部署區塊鏈節點,提高了系統的可擴展性.

3 系統架構評估

3.1 系統原型開發

本研究中基于區塊鏈的微認證系統原型使用JavaScript 語言進行開發,通過Tomcat 進行部署.為實現區塊鏈部署服務,所需要的部署文件通過安全外殼協議 (SSH)進行傳輸,包括部署腳本文件與創始區塊文件.系統原型采用MySQL 作為傳統數據庫,以太坊作為底層區塊鏈網絡.鏈上智能合約通過Solidity 語言進行開發,并由Web3 應用程序接口進行部署.

3.2 性能測試

本研究將系統原型部署在阿里云服務器上(2 vCPUs,8 GB RAM,20 GB Disk)進行性能測試.實驗第一部分為分別運行微認證生成服務與驗證服務各一個小時,記錄了運行時間內微認證服務吞吐量的變化.實驗第二部分為分別運行1000 次微認證生成服務與驗證服務,記錄了運行時間總和.

圖6展示了微認證生成服務與驗證服務的吞吐量變化.在實驗過程中,微認證生成服務吞吐量穩定地保持在10 tps (每秒事務數)左右,而微認證驗證服務吞吐量有些許波動,大部分時間保持在200 tps 左右,最高不超過250 tps.圖7與圖8分別展示了運行1000 次微認證生成服務與微認證驗證服務所需總時間.生成1000 個微認證超過19 000 s,包含了生成時間以及將相關驗證信息上傳至區塊鏈的時間.

由于區塊鏈中每個區塊所能包含的事務數量有限,同時,以太坊中的“工作量證明”共識機制(POW)[20]導致了其存在區塊間隔(將近12 s 生成一個區塊),因此上傳微認證信息需要耗費一定時間.相較之下,微認證的驗證則有更快的速度,驗證1000 個微認證共需不到100 s.雖然微認證驗證服務包括從智能合約中獲取信息,但由于其不改變鏈上數據的狀態,此類查詢操作并不需要通過共識機制被包含進區塊中,能夠運行得更加有效率.因此,微認證驗證服務的吞吐量比生成服務高出許多.

圖6 微認證服務吞吐量變化

圖7 微認證生成服務運行時間

圖8 微認證驗證服務運行時間

實驗數據表明,基于區塊鏈的微認證系統基本達到了預期性能.為進一步提高性能表現和可伸縮性,在后續研究中將使用其他區塊鏈平臺(如,Parity、Hyperledger Fabric 等)進行系統開發.同時,未來研究也將嘗試匯集多個微認證一并哈希打包在一條事務內進行上傳[21],通過減少鏈上事務數量的方法以達到更高效的性能表現.

3.3 安全性評估

本文系統架構擬達到的隱私安全保護為:系統架構應保證數據隱私性、完整性;同時系統底層架構的可用性應得到保障.

通過將區塊鏈引入微認證系統,改善了現有的中心化架構,同時提高了微認證的安全性.微認證對象可自主選擇目標微認證驗證者(如畢業生應聘時可將微認證附于簡歷中),即未授權者不能夠獲取證明,從而防止微認證對象身份信息的泄露.同時,若微認證有被不恰當使用的現象發生,微認證對象可向提供者提出申請,撤銷該證明并進行重新生成與頒發.

本研究中通過將原始數據存儲于鏈下數據庫,加密或哈希數據存儲于鏈上的方式,微認證驗證過程中也使用了數據解密與哈希對比兩個步驟,提供了對數據一致性的保護.區塊鏈網絡需要運行在多個主機節點之間,每個節點都存有完整的區塊副本.因此,若出現攻擊者對其中的節點進行攻擊,試圖篡改數據,系統也能夠很快地通過其余節點進行恢復.同時,區塊鏈將記錄微認證對象數據與微認證驗證信息的上傳,因此,任何違規的行為(如,制作虛假微認證)都可以追溯到具體的區塊鏈賬戶,并進行相應處罰.

4 結論與展望

本文介紹了一種基于區塊鏈的微認證系統架構,為現有的微認證系統提供了一種改進方案,并分析了引入區塊鏈技術后系統的性能與安全性.試驗表明,由于區塊鏈自身性能限制,上傳數據至區塊鏈的過程需要耗費一定時間,但驗證微認證的過程具有很高的效率.同時,微認證對象能夠更好地掌握微認證的使用情況,通過區塊鏈數據的透明性與不可篡改性,微認證欺詐現象也能夠得到有效緩解.本文系統架構只是初步研究,還有很大的改進空間,下一步的工作是優化系統架構,并進一步研究基于區塊鏈的自主身份管理領域.