基于区块链的终端可信连接方法及装置、分布式通信系统与流程

本发明涉及区块链或其他相关领域，具体而言，涉及一种基于区块链的终端可信连接方法及装置、分布式通信系统。

背景技术：

1、随着业务终端及应用系统急剧增加，在云网络环境中，终端之间进行业务交互时，需要预先执行鉴别设备终端身份、保护隐私信息、维护系统安全、数据精准保护等操作，相关技术中的网络环境中的终端设备面临一定程度的安全威胁，包括：

2、(1)非授权用户造成网络威胁。作为终端的使用者，如果用户在未进行初始化注册的情况下接入网络环境，则该类用户为非授权用户并可能具有以下攻击行为：1)直接的接入网络并窃取和破坏整个分布式系统的数据和环境；2)与系统下的其他终端建立可信网络连接并主动窃取对方私有可信资料；3)发起中间人攻击，窥探并窃取其他终端间通信会话的隐私数据。结果，非授权用户将会成功地接入分布式网络并进一步对整个分布式系统下的各个终端节点造成严重的威胁。

3、(2)非法平台造成网络威胁。作为终端设备的平台，如果该平台是非法的，即攻击者对终端设备的平台加以操纵使其完整性不能满足网络访问策略，则该攻击者可能存在以下攻击行为：1)在双向验证过程中向其他可信终端传输虚假的平台度量值数据；2)向区块链广播包含自身非法平台完整性的虚假交易。结果，非法平台被认定为一个满足网络访问策略的可信平台，并进一步成功地入侵网络环境。

4、(3)平台置换攻击造成网络威胁。如果一个授权且具有非法平台的攻击者能够与另一个非授权且具有合法平台的攻击者进行合谋，则该类攻击具有以下攻击行为：1)伪装成一个可信终端并成功地接入受保护的网络环境；2)能够与其他可信终端建立可信网络连接并主动窃取其隐私信息。结果，该类攻击将会破坏整个可信网络的安全环境。

5、针对上述的问题，目前尚未提出有效的解决方案。

技术实现思路

1、本发明实施例提供了一种基于区块链的终端可信连接方法及装置、分布式通信系统，以至少解决相关技术中网络环境中的终端设备容易受到网络威胁的技术问题。

2、根据本发明实施例的一个方面，提供了一种基于区块链的终端可信连接方法，应用于预先安装可信防护软件的当前终端，包括：接收会话请求终端的会话请求，并将产生的会话响应信息发送给所述会话请求终端，其中，所述会话请求中包括下述至少之一：所述会话请求终端的身份标识、终端标识以及预先选择的任一随机数，所述会话响应信息包括：当前终端的身份标识、终端标识以及预先选择的任一随机数；接收所述会话请求终端返回的交易公钥，将所述交易公钥以及所述当前终端的交易私钥组成密钥对，基于所述密钥对生成本次可信网络连接的会话密钥，将所述会话密钥发送至所述会话请求终端，通过所述会话密钥与所述会话请求终端建立可信网络连接；接收所述会话请求终端传输的认证响应信息，在对所述认证响应信息进行解密后，得到所述会话请求终端的平台完整性报告以及平台度量值，其中，所述平台完整性报告是基于所述会话请求终端的密钥子产物、可信报告以及身份标识生成的完整性报告，所述平台度量值为所述会话请求终端通过可信平台控制模块对终端平台进行完整性度量，得到的度量值；将所述平台完整性报告和所述平台度量值传输至区块链网络，由区块链网络检测所述会话请求终端的平台完整性报告和平台度量值是否满足网络访问策略；在满足网络访问策略的情况下，对所述会话请求终端传输的验证信息进行签名，将所述会话请求终端的平台完整性报告以及签名后的验证信息整合为更新交易，根据交易共识机制将所述更新交易的交易记录上传至所述区块链。

3、可选地，在接收会话请求终端的会话请求之前，还包括：通过所述当前终端预先安装的可信防护软件调用可信平台控制模块，通过所述可信平台控制模块调用预设函数接口，对所述终端平台进行完整性度量，得到平台度量值；基于所述当前终端的终端标识、所述平台度量值以及签名信息，生成终端注册信息；将所述终端注册信息发送给可信第三方对象，由所述可信第三方对象验证所述终端标识的冗余特征，所述平台度量值的完整特征和所述签名信息的正确性，得到验证结果，并在验证结果指示验证通过的情况下，所述可信第三方对象对所述终端注册信息进行签名，并基于签名后的所述终端注册信息生成响应注册信息；接收所述可信第三方对象传输的响应注册信息。

4、可选地，通过所述可信平台控制模块调用预设函数接口，对所述终端平台进行完整性度量，得到平台度量值的步骤，包括：通过所述可信平台控制模块调用预设函数接口，由所述预设函数接口对所述终端平台的平台完整性进行初始度量，得到初始度量值；基于所述初始度量值调用预先配置的可信信任链，从所述终端平台的信任根出发，进行层级递进校验，得到所述平台度量值。

5、可选地，所述可信第三方对象对所述终端注册信息进行签名，并基于签名后的所述终端注册信息生成响应注册信息的步骤，包括：在对所述终端注册信息进行签名后，所述可信第三方对象将签名值与所述当前终端的终端注册信息进行整合，生成验证信息明文；所述可信第三方对象基于所述当前终端的公钥，加密所述验证信息明文，得到验证信息密文；所述可信第三方对象将所述验证信息密文注入至响应注册信息，并将所述响应注册信息发送至所述当前终端。

6、可选地，在接收所述可信第三方对象传输的响应注册信息之后，还包括：采用终端私钥解密所述响应注册信息中的验证信息密文，并对所述验证信息密文进行签名值验证；在签名值验证通过的情况下，将解密得到的验证信息明文重新整合为基础交易，并将所述基础交易广播至分布式网络环境，将所述基础交易的交易记录上传至区块链，完成所述当前终端的终端网络初始化操作，其中，所述基础交易的交易记录包括：交易标识、终端标识、寄存器值、平台度量值、终端私钥签名值和可信第三方对象的签名值。

7、可选地，在将产生的会话响应信息发送给所述会话请求终端之后，还包括：基于所述当前终端的会话时间戳，生成所述交易私钥；采用所述交易私钥查询区块链，获取所述当前终端最近一次交易的交易记录，并提取该交易记录中的签名信息，其中，所述最近一次交易的交易类型为下述之一：基础交易或者更新交易；基于所述签名信息，生成所述会话请求终端的交易公钥。

8、可选地，在将所述会话密钥发送至所述会话请求终端之后，还包括：向所述会话请求终端发送认证请求，其中，所述会话请求终端在接收到所述认证请求后，根据当前时间戳计算两个密钥子产物，将所述密钥子产物作为与当前终端进行网络信息传递的验证密钥，并采用可信防护软件对终端运行状态进行可信度量，生成可信报告，将所述密钥子产物、所述可信报告以及所述会话请求终端的身份标识进行绑定，生成所述平台完整性报告。

9、根据本发明实施例的另一方面，还提供了一种分布式通信系统，包括：会话请求终端，发起会话请求，并将交易公钥返回至会话响应终端，其中，所述会话请求中包括下述至少之一：所述会话请求终端的身份标识、终端标识以及预先选择的任一随机数；会话响应终端，将产生的会话响应信息发送给所述会话请求终端，接收所述会话请求终端传输的认证响应信息，在对所述认证响应信息进行解密后，得到所述会话请求终端的平台完整性报告以及平台度量值，将所述平台完整性报告和所述平台度量值传输至区块链网络，其中，所述会话响应信息包括：当前终端的身份标识、终端标识以及预先选择的任一随机数，所述平台完整性报告是基于所述会话请求终端的密钥子产物、可信报告以及身份标识生成的完整性报告，所述平台度量值为所述会话请求终端通过可信平台控制模块对终端平台进行完整性度量，得到的度量值；区块链，检测所述会话请求终端的平台完整性报告和平台度量值是否满足网络访问策略，并接收所述会话响应终端传输的交易记录，对所述交易记录打上时间戳；其中，在平台完整性报告和平台度量值是否满足网络访问策略的情况下，会话响应终端对所述会话请求终端传输的验证信息进行签名，将所述会话请求终端的平台完整性报告以及签名后的验证信息整合为更新交易，根据交易共识机制将所述更新交易的交易记录上传至所述区块链。

10、可选地，所述会话响应终端包括：注册模块，通过预先安装的可信防护软件调用可信平台控制模块，通过所述可信平台控制模块调用预设函数接口，对所述终端平台进行完整性度量，得到平台度量值；基于所述会话响应终端的终端标识、所述平台度量值以及签名信息，生成终端注册信息；将所述终端注册信息发送给可信第三方对象，由所述可信第三方对象验证所述终端标识的冗余特征，所述平台度量值的完整特征和所述签名信息的正确性，得到验证结果，并在验证结果指示验证通过的情况下，所述可信第三方对象对所述终端注册信息进行签名，并基于签名后的所述终端注册信息生成响应注册信息；接收所述可信第三方对象传输的响应注册信息；基础交易上传模块，采用终端私钥解密所述响应注册信息中的验证信息密文，并对所述验证信息密文进行签名值验证；在签名值验证通过的情况下，将解密得到的验证信息明文重新整合为基础交易，并将所述基础交易广播至分布式网络环境，将所述基础交易的交易记录上传至区块链，其中，所述基础交易的交易记录包括：交易标识、终端标识、寄存器值、平台度量值、终端私钥签名值和可信第三方对象的签名值。

11、可选地，还包括：可信第三方对象，在对终端注册信息进行签名后，将签名值与所述会话响应终端的终端注册信息进行整合，生成验证信息明文；基于所述会话响应终端的公钥，加密所述验证信息明文，得到验证信息密文；将所述验证信息密文注入至响应注册信息，并将所述响应注册信息发送至所述会话响应终端。

12、根据本发明实施例的另一方面，还提供了一种基于区块链的终端可信连接装置，应用于预先安装可信防护软件的当前终端，包括：会话请求接收单元，用于接收会话请求终端的会话请求，并将产生的会话响应信息发送给所述会话请求终端，其中，所述会话请求中包括下述至少之一：所述会话请求终端的身份标识、终端标识以及预先选择的任一随机数，所述会话响应信息包括：当前终端的身份标识、终端标识以及预先选择的任一随机数；公钥接收单元，用于接收所述会话请求终端返回的交易公钥，将所述交易公钥以及所述当前终端的交易私钥组成密钥对，基于所述密钥对生成本次可信网络连接的会话密钥，将所述会话密钥发送至所述会话请求终端，通过所述会话密钥与所述会话请求终端建立可信网络连接；响应信息接收单元，用于接收所述会话请求终端传输的认证响应信息，在对所述认证响应信息进行解密后，得到所述会话请求终端的平台完整性报告以及平台度量值，其中，所述平台完整性报告是基于所述会话请求终端的密钥子产物、可信报告以及身份标识生成的完整性报告，所述平台度量值为所述会话请求终端通过可信平台控制模块对终端平台进行完整性度量，得到的度量值；平台度量单元，用于将所述平台完整性报告和所述平台度量值传输至区块链网络，由区块链网络检测所述会话请求终端的平台完整性报告和平台度量值是否满足网络访问策略；交易记录上传单元，用于在满足网络访问策略的情况下，对所述会话请求终端传输的验证信息进行签名，将所述会话请求终端的平台完整性报告以及签名后的验证信息整合为更新交易，根据交易共识机制将所述更新交易的交易记录上传至所述区块链。

13、可选地，基于区块链的终端可信连接装置还包括：控制模块调用单元，用于在接收会话请求终端的会话请求之前，通过所述当前终端预先安装的可信防护软件调用可信平台控制模块，通过所述可信平台控制模块调用预设函数接口，对所述终端平台进行完整性度量，得到平台度量值；终端注册信息生成单元，用于基于所述当前终端的终端标识、所述平台度量值以及签名信息，生成终端注册信息；平台度量信息验证单元，用于将所述终端注册信息发送给可信第三方对象，由所述可信第三方对象验证所述终端标识的冗余特征，所述平台度量值的完整特征和所述签名信息的正确性，得到验证结果，并在验证结果指示验证通过的情况下，所述可信第三方对象对所述终端注册信息进行签名，并基于签名后的所述终端注册信息生成响应注册信息；响应注册信息接收单元，用于接收所述可信第三方对象传输的响应注册信息。

14、可选地，控制模块调用单元包括：函数接口调用模块，用于通过所述可信平台控制模块调用预设函数接口，由所述预设函数接口对所述终端平台的平台完整性进行初始度量，得到初始度量值；平台度量模块，用于基于所述初始度量值调用预先配置的可信信任链，从所述终端平台的信任根出发，进行层级递进校验，得到所述平台度量值。

15、可选地，平台度量信息验证单元包括：信息整合模块，用于在对所述终端注册信息进行签名后，所述可信第三方对象将签名值与所述当前终端的终端注册信息进行整合，生成验证信息明文；信息明文加密模块，用于所述可信第三方对象基于所述当前终端的公钥，加密所述验证信息明文，得到验证信息密文；密文注入模块，用于所述可信第三方对象将所述验证信息密文注入至响应注册信息，并将所述响应注册信息发送至所述当前终端。

16、可选地，基于区块链的终端可信连接装置还包括：信息密文解密单元，用于在接收所述可信第三方对象传输的响应注册信息之后，采用终端私钥解密所述响应注册信息中的验证信息密文，并对所述验证信息密文进行签名值验证；明文整合单元，用于在签名值验证通过的情况下，将解密得到的验证信息明文重新整合为基础交易，并将所述基础交易广播至分布式网络环境，将所述基础交易的交易记录上传至区块链，完成所述当前终端的终端网络初始化操作，其中，所述基础交易的交易记录包括：交易标识、终端标识、寄存器值、平台度量值、终端私钥签名值和可信第三方对象的签名值。

17、可选地，基于区块链的终端可信连接装置还包括：交易私钥生成单元，用于在将产生的会话响应信息发送给所述会话请求终端之后，基于所述当前终端的会话时间戳，生成所述交易私钥；区块链查询单元，用于采用所述交易私钥查询区块链，获取所述当前终端最近一次交易的交易记录，并提取该交易记录中的签名信息，其中，所述最近一次交易的交易类型为下述之一：基础交易或者更新交易；交易公钥生成单元，用于基于所述签名信息，生成所述会话请求终端的交易公钥。

18、可选地，基于区块链的终端可信连接装置还包括：认证请求发送单元，用于在将所述会话密钥发送至所述会话请求终端之后，向所述会话请求终端发送认证请求，其中，所述会话请求终端在接收到所述认证请求后，根据当前时间戳计算两个密钥子产物，将所述密钥子产物作为与当前终端进行网络信息传递的验证密钥，并采用可信防护软件对终端运行状态进行可信度量，生成可信报告，将所述密钥子产物、所述可信报告以及所述会话请求终端的身份标识进行绑定，生成所述平台完整性报告。

19、根据本发明实施例的另一方面，还提供了一种计算机可读存储介质，所述计算机可读存储介质包括存储的计算机程序，其中，在所述计算机程序运行时控制所述计算机可读存储介质所在设备执行上述任意一项的基于区块链的终端可信连接方法。

20、根据本发明实施例的另一方面，还提供了一种电子设备，包括一个或多个处理器和存储器，所述存储器用于存储一个或多个程序，其中，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现上述任意一项的基于区块链的终端可信连接方法。

21、在本公开中，接收会话请求终端的会话请求，并将产生的会话响应信息发送给会话请求终端，然后接收会话请求终端返回的交易公钥，将交易公钥以及当前终端的交易私钥组成密钥对，基于密钥对生成本次可信网络连接的会话密钥，将会话密钥发送至会话请求终端，通过会话密钥与会话请求终端建立可信网络连接，接收会话请求终端传输的认证响应信息，在对认证响应信息进行解密后，得到会话请求终端的平台完整性报告以及平台度量值，其中，平台完整性报告是基于会话请求终端的密钥子产物、可信报告以及身份标识生成的完整性报告，平台度量值为会话请求终端通过可信平台控制模块对终端平台进行完整性度量，得到的度量值，将平台完整性报告和平台度量值传输至区块链网络，由区块链网络检测会话请求终端的平台完整性报告和平台度量值是否满足网络访问策略，在满足网络访问策略的情况下，对会话请求终端传输的验证信息进行签名，将会话请求终端的平台完整性报告以及签名后的验证信息整合为更新交易，根据交易共识机制将更新交易的交易记录上传至区块链。

22、本公开，可以通过会话密钥保证两个终端会话过程中安全性，在保证授权可信的用户成功接入网络的同时，能够对非授权用户加以鉴别，并阻止非授权用户进一步接入网络或与其它可信终端建立可信网络连接，从而保障了整个网络环境的安全，同时，本实施例中可以在可信网络连接会话的过程中，可信终端在证明自身合法平台完整性的同时能够检测并识别出攻击者非法平台传递的虚假度量值，中断与攻击者的会话连接并进一步阻止非法平台设备对安全可信网络环境的入侵，从而解决相关技术中网络环境中的终端设备容易受到网络威胁的技术问题。