[发明专利]一种数字证书管理方法和装置

权利要求书

1.一种数字证书管理方法，其特征在于，包括：

对于每一个区块链节点，生成一对非对称密钥对，所述非对称密钥对指示了所述区块链节点对应的公钥分量及私钥分量；

生成一对全局密钥对，所述全局密钥对指示了全局公钥及全局私钥，并使用所述全局私钥对预设根证书信息进行签名以生成根证书；

基于签名生成算法聚合一个或多个所述区块链节点的公钥分量，以生成一个或多个聚合公钥；

将所述一个或多个聚合公钥、所述全局公钥、所述根证书写入区块链的创世区块中；

接收用户发送的数字证书生成请求，所述数字证书生成请求指示了第一用户信息；

将所述第一用户信息广播至区块链上，以使得所述区块链上参与生成同一所述聚合公钥的区块链节点使用对应的私钥分量对所述第一用户信息进行签名，以生成第一签名信息；

聚合所述第一签名信息以生成第一数字证书，所述第一数字证书指示了所述区块链节点的标识信息；

将所述第一数字证书上传至区块链，以供区块链节点或智能合约根据所述第一数字证书指示的区块链节点的标识信息，从所述创世区块中获取所述聚合公钥，并使用所述聚合公钥对所述第一数字证书进行验证；

在所述第一数字证书验证通过的情况下，使用所述全局密钥对中的全局私钥对所述第一用户信息进行签名，以为所述用户生成第二数字证书。

2.根据权利要求1所述的数字证书管理方法，其特征在于，还包括：

将所述第二数字证书上传至区块链，以供区块链节点或智能合约从所述创世区块中获取所述根证书或所述全局公钥，并使用所述全局公钥或所述根证书指示的全局公钥对所述第二数字证书进行验证。

3.根据权利要求1所述的数字证书管理方法，其特征在于，还包括：

接收用户发送的数字证书撤销请求，所述数字证书撤销请求指示了所述用户的第二用户信息及待撤销数字证书；

将所述第二用户信息广播至区块链上，以使得区块链上知晓所述全局私钥的区块链节点，使用所述全局私钥对所述第二用户信息进行签名，以生所述待撤销数字证书对应的撤销凭证。

4.根据权利要求3所述的数字证书管理方法，其特征在于，还包括：

将所述撤销凭证上传至区块链，以供区块链节点或智能合约从所述创世区块中获取所述根证书或所述全局公钥，并使用所述全局公钥或所述根证书指示的全局公钥对所述撤销凭证进行验证。

5.一种数字证书管理装置，其特征在于，包括：密钥对生成模块、根证书生成模块、公钥聚合模块、公钥写入模块；其中，

所述密钥对生成模块，用于对于每一个区块链节点，生成一对非对称密钥对，所述非对称密钥对指示了所述区块链节点对应的公钥分量及私钥分量；

所述根证书生成模块，用于生成一对全局密钥对，所述全局密钥对指示了全局公钥及全局私钥，并使用所述全局私钥对预设根证书信息进行签名以生成根证书；

所述公钥聚合模块，用于基于签名生成算法聚合一个或多个所述区块链节点的公钥分量，以生成一个或多个聚合公钥；

所述公钥写入模块，用于将所述一个或多个聚合公钥、所述全局公钥、所述根证书写入区块链的创世区块中；

还包括：数字证书生成模块；其中，

所述数字证书生成模块，用于接收用户发送的数字证书生成请求，所述数字证书生成请求指示了第一用户信息；

将所述第一用户信息广播至区块链上，以使得所述区块链上参与生成同一所述聚合公钥的区块链节点使用对应的私钥分量对所述第一用户信息进行签名，以生成第一签名信息；

聚合所述第一签名信息以生成第一数字证书，所述第一数字证书指示了所述区块链节点的标识信息；

还包括：数字证书上传模块；其中，

所述数字证书上传模块，用于将所述第一数字证书上传至区块链，以供区块链节点或智能合约根据所述第一数字证书指示的区块链节点的标识信息，从所述创世区块中获取所述聚合公钥，并使用所述聚合公钥对所述第一数字证书进行验证；

所述数字证书生成模块，还用于在所述第一数字证书验证通过的情况下，使用所述全局密钥对中的全局私钥对所述第一用户信息进行签名，以为所述用户生成第二数字证书。