[发明专利]一种区块链隐私合约密钥系统及密钥生成方法、使用方法

权利要求书

1.一种区块链隐私合约密钥系统，其特征在于，该系统包括：证书协调服务模块、卫兵服务模块和隐私合约执行模块，其中：

所述证书协调服务模块为一个中心化部署的协调服务模块，单独部署于一个可信执行环境中，用于签发，管理和存储卫兵服务模块与隐私合约执行模块相关的密钥和证书，并用于跟卫兵服务模块进行远程认证；

所述卫兵服务模块与区块链节点一一对应，用于与证书协调服务模块通信协商，获取隐私合约执行模块的密钥和证书并进行缓存；所述卫兵服务模块与证书协调服务模块进行远程认证，保障彼此间的执行安全；

所述隐私合约执行模块为区块链上的虚拟机部分，是常驻服务，用于提供安全隐私的计算环境；所述隐私合约执行模块通过grpc获取链上数据，通过卫兵服务模块与证书协调服务模块通信获取相关数据，不直接与证书协调服务模块通信。

2.根据权利要求1所述的一种区块链隐私合约密钥系统，其特征在于，一个区块链节点包含多个隐私合约执行模块。

3.根据权利要求2所述的一种区块链隐私合约密钥系统，其特征在于，一个卫兵服务模块对应一个区块链节点上的多个隐私合约执行模块。

4.根据权利要求3所述的一种区块链隐私合约密钥系统，其特征在于，同一个隐私合约执行模块只运行一种用户的隐私合约。

5.一种区块链隐私合约密钥生成方法，其特征在于，应用于如权利要求1-4任一项所述的一种区块链隐私合约密钥系统，完成各个模块间的互相认证，并为每个模块生成对应的私钥与证书，该方法包括：

1)证书协调服务模块与卫兵服务模块间的远程认证；

2)卫兵服务模块与隐私合约执行模块间的本地认证；

3)证书下发流程。

6.根据权利要求5所述的一种区块链隐私合约密钥生成方法，其特征在于，所述证书协调服务模块与卫兵服务模块间的远程认证，包括：

(a)证书协调服务模块初始化后，将CA和Report上链；

(b)将MRENCLAVE做Hash后上链，使证书协调服务模块只接受指定的机器访问；

(c)卫兵服务模块初始化时生成CSR与一对公私钥；

(d)卫兵服务模块请求访问证书协调服务模块，先获取链上证书协调服务模块的CA和Report，之后获取证书协调服务模块返回的Proof，并用CA中的公钥验证Proof中的签名，并且对比Report；之后获取CA中的公钥，并对随机数和MRENCLAVE做加密称为S_A，连同卫兵服务模块的公钥和CSR文件，传输给证书协调服务模块；证书协调服务模块用自己的私钥解开S_A，从链上获取MRENCLAVE的hash数据进行比较；对CSR签发证书，使用卫兵服务模块的公钥对随机数加密，并将签发证书用证书协调服务模块的私钥进行签名，一起发还给卫兵服务模块；卫兵服务模块使用证书协调服务模块公钥验签,并用卫兵服务模块的私钥解密随机数，与之前生成的随机数进行对比，验证步骤都可通过，则远程认证通过。

7.根据权利要求5所述的一种区块链隐私合约密钥生成方法，其特征在于，所述卫兵服务模块与隐私合约执行模块间的本地认证，包括：

(a)隐私合约执行模块请求验证卫兵服务模块；

(b)卫兵服务模块反馈第一信息作为响应；

(c)隐私合约执行模块基于第一信息构造第二信息，请求卫兵服务模块分发密钥和证书；

(d)卫兵服务模块收到第二信息后，基于ECDH协议借助第一信息计算共享公钥；验证第二信息的合法性；

(e)构造第三信息作为响应；

(f)隐私合约执行模块收到第三信息，验证第三信息中报告的合法性。