CN109840771A - 一种基于同态加密的区块链隐私保护系统及其方法 - Google Patents

Abstract

本发明提供一种基于同态加密的区块链隐私保护系统及其方法。所述隐私保护系统包括：认证中心：所述认证中心用于进行身份验证、签发证书、定期对账本进行核查；区块链节点：所述区块链节点用于收集交易、验证交易、排序交易并生成区块；所述区块链节点包括预处理节点、确认节点和排序节点；用户：一个所述用户对应一个所述确认节点。本发明提供的基于同态加密的区块链隐私保护系统及其方法，区块链隐私保护方案可以实现交易信息机密性；区块链隐私保护方案可以保证交易信息不可篡改；区块链隐私保护方案可以保证交易合法性；区块链隐私保护方案中的重加密功能是安全的。

Description

一种基于同态加密的区块链隐私保护系统及其方法

技术领域

本发明涉及区块链通信技术领域，尤其涉及一种基于同态加密的区块链隐私保护系统及其方法。

背景技术

随着比特币的影响不断增加，作为比特币底层核心的区块链技术开始进入人们的视野。联盟链是以比特币为代表的公有链之后，人们提出的一种新模式，与公有链相比，在牺牲一定去中心化的条件下，可以有效解决公有链中存在的效率低的缺点。

联盟链中的节点需要经过授权才能加入，节点之间具有一定的信任基础，一般适合应用于企业间的金融交易等场景之下；在企业间的金融交易中往往存在商业机密，交易双方不想让第三方获得交易的详细信息；但是，由于需要在区块链网络中达成共识，交易信息必须公开对节点公开，这样就会泄露交易双方的隐私。

为了解决区块链上交易信息安全的问题，国内外学者提出了可以利用密码学知识来保护区块链上的数据。

现有技术1：采用一种机制被称为“混币”机制，混币机制最早来源于Chaum在1981发表的文章，混币的思想是在不改变交易结果的前提下对交易的内容进行混淆，使得与交易无关的节点不能有效地找到一笔交易的输入和输出。混币机制又存在有中心和无中心之分，有中心的混币协议主要有mixcoin协议和Dash协议，mixcoin协议实现混币的思路是用户将旧的公钥地址上的比特币支付给混币中心并提供一个新地址，混币中心将等量的比特币再返还给用户新的公钥地址，通过引入混币中心，实现了用户原有地址与新地址间的不可关联，但是混币中心有可能会泄露用户隐私，Dash协议中执行混币协议的节点称为主节点，所有主节点在执行无中心化的混币协议之前需要系统支付一定数量的押金，一旦违规操作押金就会被扣除，从经济学角度解决了混币中心泄露隐私的风险；

现有技术2：无中心化混币方案主要有coinjion协议，它的设计思路是不同用户联合创建一个比特币交易，交易的输入为所有用户原有公钥地址，输出为所有用户新的公钥地址，他人无法将各用户的输入地址与输出地址对应，从而实现了用户新旧地址的不可关联性。

现有技术3：一种新型货币通过使用零知识证明技术可以隐藏区块链交易的发送方，收款方和交易的价值，但是算法生成证明的过程非常缓慢，需要1分钟才能生成新的证明，在效率上存在瓶颈。

现有技术4：一种新型货币，它通过使用一次性地址技术隐藏交易的接收者，每次交易的输出地址是由接收方的公钥和发送方生成的随机数加密后得到的新地址，同时使用环签名技术隐藏交易的发送者，每次交易由发送者生成一个多人的签名，交易无关方可以确认交易由其中一人签名，但是无法确认具体签名人，通过以上两种技术实现了交易的不可连接性和不可追踪性。

现有技术5：一种基于同态加密的区块链隐私保护方案，使用的是确定性加密，即每次加密时明文对应相同的密文，在此情况下可能会对用户的隐私构成威胁，比如两个用户的账本余额密文相同，那么其中一方立刻可知另一方的账户余额和自己的账户余额相同。

综上所述，目前的解决方案均未有效、完善的解决区块链上交易信息安全的问题。

因此，有必要提供一种新的基于同态加密的区块链隐私保护系统及其方法解决上述技术问题。

发明内容

为解决上述技术问题，本发明提供的基于同态加密的区块链隐私保护系统及其方法，具体技术方案如下：

一种基于同态加密的区块链隐私保护系统，所述隐私保护系统包括：

认证中心：所述认证中心用于进行身份验证、签发证书、定期对账本进行核查；区块链节点：所述区块链节点用于收集交易、验证交易、排序交易并生成区块；所述区块链节点包括预处理节点、确认节点和排序节点；用户：一个所述用户对应一个所述确认节点。

优选的，所述预处理节点用于预先验证交易信息、对不合法交易进行丢弃，且所述预处理节点包括独立的证书和记录用户余额密文的账本；

所述确认节点用于将区块中合法和不合法交易进行区分标记；所述确认节点包括独立的证书、记录用户余额密文的账本、对应的用户余额的明文以及随机数的明文；

排序节点：所述排序节点用于对收到的交易进行排序，所述排序节点包括独立的证书。

优选的，所述证书采用的X.509国际标准，包括X.509版本号、证书序列号、签名算法的标识符、签发人姓名、有效期、主体名、证书持有人的的公钥和发布者的数字签名。

优选的，所述账本包括记录着用户状态的数据库和区块链。

优选的，所述用户状态的数据库包括用户名以及密文形式下的账户余额的记录，所述用户状态的数据库还包括所属公司、交易币种、交易时间中的一种或多种。

优选的，所述区块链是将一个个区块通过哈希函数的形式连接起来形成了链式结构；所述区块中包含交易信息。

优选的，所述隐私保护方法包括：

进行系统初始化，包括，网络中的节点向认证中心请求证书，认证中心需要生成后续需要使用的密钥；

进行用户初始化，包括，认证中心对用户进行评估，用户首先需要向认证中心给于一个承诺，接着给予用户账户初始余额，最后区块连网络中的节点把初始有用户余额记录到帐本上；

进行用户交易，包括用户首先把自己的用户余额拆分成两部分，一部分为交易金额，另一部分为剩余金额，保证它们之和等于用户余额，接着分别使用Paillier算法加密后写入交易提案中，最后把交易提案发放在区块连网络中；

进行监管审查，包括：

认证中心随机选择一个时间段检查是否有用户发起恶意交易，可以在账本中的区块中找到想验证的交易记录，验证交易是否成立，如果不成立，则可以认定本次交易为恶意交易；否则，认定为正常的交易。

进行账本重加密，包括：

用户重加密请求作为一类特殊交易提案；

用户合理选择一个随机数，把随机数作为特殊交易请求的内容，是用自己的私钥进行签名后发送给排序节点；

排序节点收到请求后，验证签名的合法性，如果签名正确，那么把特殊交易请求单独放到一个新的区块中，不需要等待其他交易签名后立即发给区块链网络中的预处理节点和确认节点；

预处理节点和确认节点收到包含特殊交易请求的区块后验证区块的签名，如果合法，进行下一步；否则，丢弃消息；

把消息记录到区块链上并且更新用户账本余额。

优选的，所述进行系统初始化的操作包括：

认证中心选择自己的私钥，生成相应的公钥，对自己的公钥及相关信息进行签名生成证书；

用户选择自己的私钥，生成相应的公钥，把公钥和证书中身份信息发送给认证中心；

认证中心验证证书中的身份信息是否属实；

用户使用认证中心公钥对签名进行验证；

认证中心运行Paiilier算法的初始化算法，生成公钥和私钥，把公钥在区块链网络中广播，私钥安全的储存在本地；

认证中心设定网络中的预处理策略。

优选的，所述进行用户初始化的操作包括：

用户选择随机数，首先使用认证中心的公钥计算密文，之后使用自己的私钥计算签名，把密文和签名以及一笔保证金发送给认证中心；

认证中心在收到消息后，首先使用验证签名的合法性，接着使用自己的私钥对消息解密得到随机数，最后对申请加入区块链网络中的用户进行评估，给予用户一定的初始金额，使用公钥计算用户余额进行签名生成认证中心的签名，把用户、用户余额、认证中心的签名发送到排序节点中；

排序节点验证签名的合法性，把收到的交易提案进行拜占庭容错算法，得到排好序的区块进行签名发送到区块链网络中；

区块链网络中的预处理节点和确认节点验证签名的合法性，如果合法，把用户余额作为用户对应的用户余额密文记录到账本上。

优选的，所述进行用户交易的操作包括：

用户将自己的账户余额的明文拆分成两部分，进行加密，并生成交易提案发给预处理节点；

处理每一个接收到交易提案的预处理节点；

用户接收预处理节点返回的预处理后的交易提案后，进行交易请求的处理；

排序节点接收交易请求数据集；

确认节点接收网络中的区块。

与相关技术相比较，本发明提供的基于同态加密的区块链隐私保护系统及其方法具有如下有益效果：

效果1：区块链隐私保护方案可以实现交易信息机密性。

效果2：区块链隐私保护方案可以保证交易信息不可篡改。

效果3：区块链隐私保护方案可以保证交易合法性。

效果4：区块链隐私保护方案中的重加密功能是安全的。

效果5：对区块链网络中的节点进行分类，交易提交在确认节点上进行，交易执行在预处理节点和确认节点上进行，达成共识的过程在排序节点上进行，实现了功能上的解耦，增强了交易的并发性；在共识算法上选择效率更佳的拜占庭容错算法，提高了方案的效率。

效果6：可以应用到在跨公司的金融业务中，可以由金融监管机构担任认证节点的角色，各个公司担任确认节点的角色，可以实现对于一笔交易只有金融监管机构和交易双方了解详细信息，而其他公司只能验证交易的合法性却不清楚交易的具体信息，金融活动可以安全且高效的进行。

附图说明

图1为本发明提供的基于同态加密的区块链隐私保护系统的系统模型图；

图2为本发明提供的账本示例图。

具体实施方式

下面结合附图和实施方式对本发明作进一步说明。

如图1所示，图1为本发明提供的基于同态加密的区块链隐私保护系统的系统模型图；

认证中心：所述认证中心用于进行身份验证、签发证书、定期对账本进行核查；

首要任务是进行认证，即在节点加入网络前进行身份验证，只有在通过验证后才允许节点加入到网络中，在节点加入到网络后为节点签发证书；次要任务是定期对账本进行核查，防止不合法交易。

区块链节点：所述区块链节点用于收集交易、验证交易、排序交易并生成区块；所述区块链节点包括预处理节点、确认节点和排序节点；

1、预处理节点用于预先验证交易信息，对于不合法交易进行丢弃，减少了不合法交易流入网络，提高了系统效率，在每个预处理节点上具有自己的证书和记录用户余额密文的账本；2、确认节点用来确认交易合法性，把区块中合法和不合法交易进行区分标记，是保证系统安全的节点；每个确认节点具有自己的证书，记录用户余额密文的账本，对应的用户余额的明文以及随机数的明文；3、排序节点：对收到的交易进行排序，保证系统内交易的一致性，防止双花攻击，在每个排序节点上具有自己的证书；

上述证书是采用的是X.509国际标准，主要包含以下数据:

X.509版本号：标识该证书的版本，不同版本证书包含内容不同：

证书序列号：认证中心证书指定序列号，区别于该实体发放的其它证书；

签名算法的标识符：用于识别认证中心签写证书时所用的算法；

签发人姓名：签写帧数的实体的X.500姓名；

有效期：记录了证书证书有效的时间段，超出日期的整数被认为无效；

主体名：证书可以识别其的实体名；

证书持有人的的公钥：记录了被认证者的公钥；

发布者的数字签名：认证中心是用自己的私钥对证书进行签名。

用户：一个所述用户对应一个所述确认节点；

用户是参与到网络中的个体，一个确认节点对应着一个用户，在确认节点上储存着在其上用户的账户余额的明文以及随机数的明文。

如图2所示，图2为在本发明提供的账本示例图；

账本由记录着用户状态的数据库和区块链组成；用户状态数据库需要记录用户名以及密文形式下的账户余额，除此之外，还可以有一些可选记录条目，比如所属公司，交易币种，交易时间等；区块中记录了交易信息，一个个区块通过哈希函数的形式连接起来，形成了链式结构，具有不可篡改的特性。当用户接收到网络中的新区块时会进行验证，如果验证通过就把新区块链接到现有最后一个区块之后，并且根据新区块中的交易信息更新用户状态数据库。

一种基于同态加密的区块链隐私保护方法，所述隐私保护方法包括：

进行系统初始化，包括：认证中心选择自己的私钥，生成相应的公钥，对自己的公钥及相关信息进行签名生成证书；用户选择自己的私钥，生成相应的公钥，把公钥和证书中身份信息发送给认证中心；认证中心验证证书中的身份信息是否属实；用户使用认证中心公钥对签名进行验证；认证中心运行Paiilier算法的初始化算法，生成公钥和私钥，把公钥在区块链网络中广播，私钥安全的储存在本地；认证中心设定网络中的预处理策略。

进行用户初始化，包括，

用户选择随机数，首先使用认证中心的公钥计算密文，之后使用自己的私钥计算签名，把密文和签名以及一笔保证金发送给认证中心；认证中心在收到消息后，首先使用验证签名的合法性，接着使用自己的私钥对消息解密得到随机数，最后对申请加入区块链网络中的用户进行评估，给予用户一定的初始金额，使用公钥计算用户余额进行签名生成认证中心的签名，把用户、用户余额、认证中心的签名发送到排序节点中；排序节点验证签名的合法性，把收到的交易提案进行拜占庭容错算法，得到排好序的区块进行签名发送到区块链网络中；区块链网络中的预处理节点和确认节点验证签名的合法性，如果合法，把用户余额作为用户对应的用户余额密文记录到账本上。

进行用户交易，包括，用户将自己的账户余额的明文拆分成两部分，进行加密，并生成交易提案发给预处理节点；处理每一个接收到交易提案的预处理节点；用户接收预处理节点返回的预处理后的交易提案后，进行交易请求的处理；排序节点接收交易请求数据集；确认节点接收网络中的区块。

进行监管审查，包括：

认证中心随机选择一个时间段检查是否有用户发起恶意交易，可以在账本中的区块中找到想验证的交易记录，验证交易是否成立，如果不成立，则可以认定本次交易为恶意交易；否则，认定为正常的交易。

进行账本重加密，包括：

用户重加密请求作为一类特殊交易提案；用户合理选择一个随机数，把随机数作为特殊交易请求的内容，是用自己的私钥进行签名后发送给排序节点；排序节点收到请求后，验证签名的合法性，如果签名正确，那么把特殊交易请求单独放到一个新的区块中，不需要等待其他交易签名后立即发给区块链网络中的预处理节点和确认节点；预处理节点和确认节点收到包含特殊交易请求的区块后验证区块的签名，如果合法，进行下一步；否则，丢弃消息；把消息记录到区块链上并且更新用户账本余额。

上述区块链隐私保护方案在具体实施时：

示例性的，认证中心是真实可靠的，即认证中心会验证参与到区块链网络中节点的真实身份，并向他们发放正确的证书；网络中的节点是诚实且好奇的，即节点会正确响应请求，但会对处理的交易尽可能的获取自己感兴趣的信息。

签名算法为签名算法，公共参数为(p,g)，首先对本实施例所用到的符号进行定义和说明：

PK_CA：认证中心的公钥；

SK_CA：认证中心的私钥；

PK_i：用户i的公钥；

SK_i：用户i的私钥；

PK：Paiilier算法的公钥；

SK：Paiilier算法的私钥；

Y_i：密文形式下用户i的用户余额；

X_i：明文形式下用户i的账户余额；

R_i：用户i的用户余额对应的随机数；

H₂₅₆(·)：本实施例使用的SHA256算法；

Cert_i：用户或者认证中心的证书；

σ_i：用户或者认证中心的签名。

下面对系统中的各功能进行描述：

1、系统初始化

1.1认证中心选择自己的私钥SK_CA，生成相应的公钥PK_CA，对自己的公钥及相关信息进行签名生成证书Cert_CA，之后可以为其他用户提供签名服务。

1.2、用户选择自己的私钥SK_i，生成相应的公钥PK_i，把公钥和证书中身份信息msg发送给认证中心。

1.3、认证中心验证证书中的身份信息是否属实，如果正确就使用自己的私钥SK_CA对用户的信息进行签名生成证书Cert_i＝(PK_i,msg,σ_CA)，其中把证书发送给用户。

1.4、用户使用认证中心公钥PK_CA对签名进行验证，如果Verify(σ_CA,PK_CA)＝1，说明是由正确的认证中心进行签名，之后把证书保存在本地。

1.5、认证中心运行Paiilier算法的初始化算法，生成公钥PK和私钥SK，把公钥PK在区块链网络中广播，私钥SK安全的储存在本地。

1.6、认证中心设定网络中的预处理策略，也就是合法交易请求需要得到预处理节点背书的个数或种类，换句话说，只有满足预处理策略的交易提案才可能会被认为是合法的。

2、用户初始化

2.1、用户选择随机数R_i，首先使用认证中心的公钥PK_CA计算密文c＝E(R_i,PK_CA)，之后使用自己的私钥SK_i计算进行签名，把(c,σ_i)以及一笔保证金发送给认证中心。

2.2、认证中心在收到消息后，首先使用PK_i验证签名的合法性，接着使用自己的私钥SK_CA对消息解密得到R_i，最后对申请加入区块链网络中的用户进行评估，给予用户一定的初始金额X_init，使用PK计算Y_init＝E(X_init,R,PK)，对(i,Y_init)进行签名生成把(i,Y_init,σ_CA)发送到排序节点中。

2.3、排序节点验证签名σ_CA的合法性，把收到的交易提案进行拜占庭容错算法，得到排好序的区块进行签名σ_orderer发送到区块链网络中。

2.4、区块链网络中的预处理节点和确认节点验证签名σ_orderer的合法性，

如果合法，把Y_init作为用户i对应的用户余额密文记录到账本上。

3、用户交易

以用户A与用户B之间的一次交易为例进行描述，如图2所示；

3.1、用户A拥有自己账户余额的明文X_A，首先A把自己的明文拆分成两部分交易金额X₁和剩余金额X₂并且满足X₁+X₂＝X，接着，A选择四个随机数R₁，R₂，M，T并且满足R₁·R₂＝R_A，分别用Paillier算法PK和用户B的公钥PK_B进行加密

Y₁＝E(X₁,R₁,PK)

Y₂＝E(X₂,R₂,PK)

Y₃＝E(X₁,M,PK_B)

Y₄＝E(R₁,T,PK_B)

得到密文组(Y₁,Y₂,Y₃,Y₄,Y′_A)，使用自己的私钥SK_A对交易进行签名

把(Y₁,Y₂,Y₃,Y₄,Y′_A,σ_A)作为交易提案发给预处理节点。

3.2、对于每一个接收到交易提案的预处理节点i，按照下列流程进行处理

3.2.1、验证交易签名的合法性，如果签名合法，进入下一步；否则，丢弃交易提案。

3.2.2、从本地账本提取出A的密文形式下的用户余额，计算

Y′＝Y₁×Y₂(modn²)

验证

Y′＝Y_A＝Y′_A

是否成立，如果成立，进入下一步；否则，丢弃交易提案。

3.2.3、使用私钥SK_i对交易提案进行签名

把(Y₁,Y₂,Y₃,Y₄,Y_A,σ_i)作为交易提案发给用户。

3.3、用户A接收预处理节点返回的预处理后的交易提案后，按照下列流程进行

3.3.1、验证签名的合法性，如果合法，进行下一步；否则，丢弃交易请求。

3.3.2、用户把同一交易不同预处理节点返回的交易请求打包形成一个集合称为交易请求数据集，验证收到的处理后的交易请求是否满足预处理策略，若满足要求，把交易请求数据集签名后发给排序节点；否则，丢弃交易请求，稍后再进行提交。

3.4、排序节点接收交易请求数据集

3.4.1、验证签名的合法性，如果合法，进行下一步；否则，丢弃交易请求。

3.4.2、对于不同交易请求的交易请求数据集进行拜占庭容错算法，得到排好序的区块进行签名发送到区块链网络中。

3.5、确认节点接收网络中的区块

3.5.1、验证区块中的交易请求中预处理节点的签名和排序节点的签名是合法，如果合法，进行下一步；否则，丢弃交易请求。

3.5.2、从本地账本提取出A的密文形式下的用户余额，验证

Y₁·Y₂＝Y_A＝Y′_A

是否成立，验证区块中交易请求数据集是否满足预处理策略，对于满足要求的交易请求数据集标记为合法交易；否则，标记为非法交易。

3.5.3、网络上所有用户在接受新产生的区块后，需要在账本上更新用户A和用户B的账户余额

Y_A←Y₂

Y_B←Y_B·Y₁

3.5.4、用户A在接受包含自己交易的区块后，需要更新明文形式下自己的账户余额X_A，以及更新明文下自己账户的随机数R_A

X_A←X₂

R_A←R₂

用户B在接受包含自己交易的区块后，需要更新明文形式下自己的账户余额X_B，以及更新明文下自己账户的随机数R_B

X_B←X_B+D(Y₃,SK_B)

R_B←R_B·D(Y₄,SK_B)

4、账本重加密

用户重加密请求作为一类特殊交易提案，下面以用户A为例进行描述

4.1、用户A合理选择一个随机数R′，把R′作为特殊交易请求的内容，是用自己的私钥SK_A进行签名后发送给排序节点。

4.2、排序节点收到请求后，验证签名的合法性，如果签名正确，那么把特殊交易请求单独放到一个新的区块中，不需要等待其他交易签名后立即发给区块链网络中的预处理节点和确认节点。

4.3、预处理节点和确认节点收到包含特殊交易请求的区块后

4.3.1、验证区块的签名，如果合法，进行下一步；否则，丢弃消息。

4.3.2、把消息记录到区块链上并且更新用户A账本余额，

Y_A←Y_A·R′ⁿmodn²

除此之外，用户A更新自己随机数

R_A←R_A·R′

5、监管审查

5.1、认证中心随机选择在某时间检查是否有用户发起恶意交易，可以在账本中的区块中找到想验证的交易记录，假设需要检查的交易记录为TX，首先从TX中提取出Y₁,Y₂,Y′_A三个变量，使用Paiilier算法的私钥SK计算

X₁＝D(Y₁,SK)

X₂＝D(Y₂,SK)

X′＝D(Y′_A,SK)

验证

X₁+X₂＝X′

是否成立，如果不成立，则可以认定本次交易为恶意交易；否则，认定为正常的交易。

5.2、对于恶意交易，认证中心对扣除交易发起方的保证金，对其进行追查，把账本上的数据恢复为正常状态。

本发明所提供的实施方案能够得到以下有效效果：

效果1：区块链隐私保护方案可以实现交易信息机密性。

效果2：区块链隐私保护方案可以保证交易信息不可篡改。

效果3：区块链隐私保护方案可以保证交易合法性。

效果4：区块链隐私保护方案中的重加密功能是安全的。

效果5：对区块链网络中的节点进行分类，交易提交在确认节点上进行，交易执行在预处理节点和确认节点上进行，达成共识的过程在排序节点上进行，实现了功能上的解耦，增强了交易的并发性；在共识算法上选择效率更佳的拜占庭容错算法，提高了方案的效率。

效果6：可以应用到在跨公司的金融业务中，可以由金融监管机构担任认证节点的角色，各个公司担任确认节点的角色，可以实现对于一笔交易只有金融监管机构和交易双方了解详细信息，而其他公司只能验证交易的合法性却不清楚交易的具体信息，金融活动可以安全且高效的进行。

针对上述有益效果进行方案验证分析：

效果1验证：

使用Paillier算法对交易提案进行加密，区块链网络中只有认证中心具有Paillier算法的私钥，交易无关方想要获得交易提案的明文，只能通过两种方法，第一种从认证中心获得私钥，第二种自行计算出Paillier算法的私钥。在上述实施过程中，本发明示例性的说明认证中心是安全可靠的，并且不会向其他参与者泄露私钥，所以第一种方法不可行；Paillier算法基于的合数幂剩余类问题这一困难问题，交易无关方无法在多项式时间内破解密文，因此方案可以保证交易信息的机密性。

效果2验证：

交易提案会在网络传播，区块链网络中的所有参与者都可以得到交易提案，本发明使用ElGamal签名算法对交易的哈希值进行签名，由于敌手无法在多项式时间内得到签名对应的私钥，所以可以保证交易提案不会被其他人篡改，并且使用ElGamal签名算法也可以保证交易的不可否认性。对于可能存在重放攻击，本发明可以使用时间戳手段来避免。

效果3验证：

在本发明中，使用的是满足加法同态性质的Paillier算法，预处理节点和确认节点在在没有私钥的情况下，在多项式时间无法得到交易金额的明文，但是可以提取交易中的密文数据，计算

验证

Y₁·Y₂＝Y_A

是否成立，如果成立，则可以在一定程度上说明交易是合法的，即满足上述条件是交易提案为合法交易提案的必要条件。因为敌手可能发起一个恶意交易，即用户按照以下两种方式发起交易

X₁+X₂＝X,X₁>0,X₂<0

X₁+X₂＝X,X₁<0,X₂>0

这两种交易方法可以通过上述的检查方法，但是却是恶意交易。本发明通过引入认证中心的审查监督功能来减少甚至避免这样的交易。在基于信誉的模型中，如果用户发起了恶意交易，认证中心可以给出证明并公之于众，并且扣除其保证金并使得恶意用户在网络中失去信誉。

在每一笔交易过后，网络中的所有用户都会更新自己的账本，用户还会更新自己的账户余额明文以及随机数明文，保证了下次合法交易可以通过验证。

效果4验证：

用户进行一次随机数扩充后，在预处理节点和确认节点上用户A的账本余额的密文变为

Y_A≡g^m·Rⁿ·R′ⁿ≡g^m·(RR′)ⁿmodn²

对密文解密

由上式可知，明文保持不变，此时账本密文对应的随机数和用户所保存的随机数都为RR′，所以可以确保下次交易的正常进行。所有用户都获得了随机数R′，但是不能计算出新的随机数RR′，不会泄露关于交易金额的信息。同时，在方案中本发明把重加密请求作为一类特殊的交易，在排序节点收到后立即打包成块，保证了不会有针对之前账户余额的交易残存在网络中，避免合法交易可能会被解决的现象。

效果5验证：

在系统初始化阶段主要的时间消耗为认证中心1次自签证书和进行Paillier算法初始化，每个用户与认证中心交互进行1次签名与验签。由于系统初始化只进行1次，所以对方案效率的影响可以忽略。

在用户初始化阶段每个用户的时间消耗主要为3次签名与验签，排序节点进行排序的时间消耗，以及网络中的节点更新帐本的时间。由于系统初始化对于每个用户只进行1次，与用户数量呈线性关系，所以对方案效率的影响可以忽略。

在用户交易中，一笔交易的时间消耗主要为4次加密运算，2次密文下的运算，4次签名与验签，排序节点进行排序的时间消耗，以及网络中节点更新账本的时间。

在账本重加密中一次重加密请求的时间小号主要为2次签名和验签，以及以及网络中节点更新账本的时间。

在监管审查中一次审查的时间消耗主要为3次解密运算，由于审查监管是由认证中心独立进行，所以对方案效率的影响可以忽略。

方案中使用Paillier进行加密，随着密钥长度逐渐增长，加密和解密过程中所消耗的时间也逐渐增大，在密钥长度超过256位后，加密和解密消耗的时间会急剧增加，在保证安全性的同时选择最小的密钥长度可以提高方案的效率。

效果5验证：

在本实施例中交易金额示例性的为整数，但是在实际生活中，不可避免的会用到浮点数，而Paillier算法只能对整数进行加密，对于这一问题给出一个平凡的解决方法，选择使用低等级的币种单位。以人民币为例说明，在日常交易中使用的最小单位是分，那么人民币作为交易币种时，可以放弃最常用的“元”为单位，而使用“分”作为交易金额的单位，这样可以把交易金额全变成整数。Paillier算法中要求明文m<n，使用低等级的币种单位意味着明文会扩大相应的倍数，以“元”为单位和以“分”为单位，两种情况下能加密的最大明文相差100倍，如果在算法中选择的n为128位，那么以“分”为单位能加密的最大数值约为10的40次方，这在实际生活中是足够使用的，所以方法是可行的。

现有技术中已有的区块链隐私保护方案包括混币方案，Zcash方案，Monero方案，将混币方案、Zcash方案、Monero方案以及本实施例方案之间进行对比，如表1所示：

区块链隐私保护方案比较

针对表1进行分析：

首先从应用场景上来看，本实施例提出的方案是应用于联盟链之上的，其他方案都是应用于公有链上的方案；由于本实施例方案是以联盟链为应用场景，因此也是以账户模型的形式来保存用户余额的，好处是可以节约储存空间以及可以快速获得账户的余额，而其他方案是以未花费交易输出(UTXO)的形式储存用户余额；其次由于加入到区块链中的用户之间具有一定程度信任，所以本方案不需要隐藏交易双方身份，而Zcash方案和Monero方案可以隐藏交易双方身份；再次混币方案只是对出输入的交易进行简单的混合，以多输入对应多输出的形式提交交易，所以不能隐藏交易金额，其余三个方案都可以隐藏交易金额；然后Zcash方案在初始化是需要一个可信第三方生成初始化参数，如果初始化参数被泄露，整个网络中就会生成许多无法确定来源的UTXO，本方案需要一个可信的第三方初始化来生成Paillier加密算法的参数；最后从效率的角度来看，Zcash方案需要使用zk-SNARKs算法生成证明，所以效率很低；最后需要说明Monero方案的一个缺点，示例性的，有64.04％的交易输入并没有采用多个输入混合的方式来保证用户身份，因此会对用户身份隐私造成威胁。

以上所述仅为本发明的实施例，并非因此限制本发明的专利范围，凡是利用本发明说明书及附图内容所作的等效结构或等效流程变换，或直接或间接运用在其它相关的技术领域，均同理包括在本发明的专利保护范围内。

Claims (10)

1.一种基于同态加密的区块链隐私保护系统，其特征在于，所述隐私保护系统包括：

认证中心：所述认证中心用于进行身份验证、签发证书、定期对账本进行核查；

区块链节点：所述区块链节点用于收集交易、验证交易、排序交易并生成区块；所述区块链节点包括预处理节点、确认节点和排序节点；

用户：一个所述用户对应一个所述确认节点。

2.根据权利要求1所述基于同态加密的区块链隐私保护系统，其特征在于，所述预处理节点用于预先验证交易信息、对不合法交易进行丢弃，且所述预处理节点包括独立的证书和记录用户余额密文的账本；

所述确认节点用于将区块中合法和不合法交易进行区分标记；所述确认节点包括独立的证书、记录用户余额密文的账本、对应的用户余额的明文以及随机数的明文；

排序节点：所述排序节点用于对收到的交易进行排序，所述排序节点包括独立的证书。

3.根据权利要求2所述基于同态加密的区块链隐私保护系统，其特征在于，所述证书采用的X.509国际标准，包括X.509版本号、证书序列号、签名算法的标识符、签发人姓名、有效期、主体名、证书持有人的的公钥和发布者的数字签名。

4.根据权利要求2所述基于同态加密的区块链隐私保护系统，其特征在于，所述账本包括记录着用户状态的数据库和区块链。

5.根据权利要求4所述基于同态加密的区块链隐私保护系统，其特征在于，所述用户状态的数据库包括用户名以及密文形式下的账户余额的记录，所述用户状态的数据库还包括所属公司、交易币种、交易时间中的一种或多种。

6.根据权利要求4所述基于同态加密的区块链隐私保护系统，其特征在于，所述区块链是将一个个区块通过哈希函数的形式连接起来形成了链式结构；所述区块中包含交易信息。

7.一种基于同态加密的区块链隐私保护方法，其特征在于，所述隐私保护方法包括：

进行系统初始化，包括，网络中的节点向认证中心请求证书，认证中心需要生成后续需要使用的密钥；

进行用户初始化，包括，认证中心对用户进行评估，用户首先需要向认证中心给于一个承诺，接着给予用户账户初始余额，最后区块连网络中的节点把初始有用户余额记录到帐本上；

进行用户交易，包括用户首先把自己的用户余额拆分成两部分，一部分为交易金额，另一部分为剩余金额，保证它们之和等于用户余额，接着分别使用Paillier算法加密后写入交易提案中，最后把交易提案发放在区块连网络中；

进行监管审查，包括：

认证中心随机选择一个时间段检查是否有用户发起恶意交易，可以在账本中的区块中找到想验证的交易记录，验证交易是否成立，如果不成立，则可以认定本次交易为恶意交易；否则，认定为正常的交易。

进行账本重加密，包括：

用户重加密请求作为一类特殊交易提案；

用户合理选择一个随机数，把随机数作为特殊交易请求的内容，是用自己的私钥进行签名后发送给排序节点；

排序节点收到请求后，验证签名的合法性，如果签名正确，那么把特殊交易请求单独放到一个新的区块中，不需要等待其他交易签名后立即发给区块链网络中的预处理节点和确认节点；

预处理节点和确认节点收到包含特殊交易请求的区块后验证区块的签名，如果合法，进行下一步；否则，丢弃消息；

把消息记录到区块链上并且更新用户账本余额。

8.根据权利要求7所述基于同态加密的区块链隐私保护方法，其特征在于，所述进行系统初始化的操作包括：

认证中心选择自己的私钥，生成相应的公钥，对自己的公钥及相关信息进行签名生成证书；

用户选择自己的私钥，生成相应的公钥，把公钥和证书中身份信息发送给认证中心；

认证中心验证证书中的身份信息是否属实；

用户使用认证中心公钥对签名进行验证；

认证中心运行Paiilier算法的初始化算法，生成公钥和私钥，把公钥在区块链网络中广播，私钥安全的储存在本地；

认证中心设定网络中的预处理策略。

9.根据权利要求8所述基于同态加密的区块链隐私保护方法，其特征在于，所述进行用户初始化的操作包括：

用户选择随机数，首先使用认证中心的公钥计算密文，之后使用自己的私钥计算签名，把密文和签名以及一笔保证金发送给认证中心；

认证中心在收到消息后，首先使用验证签名的合法性，接着使用自己的私钥对消息解密得到随机数，最后对申请加入区块链网络中的用户进行评估，给予用户一定的初始金额，使用公钥计算用户余额进行签名生成认证中心的签名，把用户、用户余额、认证中心的签名发送到排序节点中；

排序节点验证签名的合法性，把收到的交易提案进行拜占庭容错算法，得到排好序的区块进行签名发送到区块链网络中；

区块链网络中的预处理节点和确认节点验证签名的合法性，如果合法，把用户余额作为用户对应的用户余额密文记录到账本上。

10.根据权利要求9所述基于同态加密的区块链隐私保护方法，其特征在于，所述进行用户交易的操作包括：

用户将自己的账户余额的明文拆分成两部分，进行加密，并生成交易提案发给预处理节点；

处理每一个接收到交易提案的预处理节点；

用户接收预处理节点返回的预处理后的交易提案后，进行交易请求的处理；

排序节点接收交易请求数据集；

确认节点接收网络中的区块。