区块链电子认证系统的设计与实现

周硙

摘  要：本文提出了一种基于区块链的电子认证系统（CA/PKI）。该系统数据持久化及访问依赖于区块链的去中心化特性，相对于单点部署PKI系统具有更高的可靠性，且运维难度低于集群部署;同时系统继承了区块链不可篡改、不可伪造的特性，可以对数字证书的签发、验证、吊销关键环节实现数据存证，方便各方交换数据，并保证全程留痕。上述特性使得该系统可以便捷的实现私有部署，成本低、安全性高，在企业级应用、电子商务等领域具有潜在的应用价值。

关键词：区块链;电子认证服务;证书基础设施

中图分类号：TP311     文献标识码：A

Abstract： This paper proposes a digital authentication system （CA/PKI， Certificate Authority/Public Key Infrastructure） based on blockchain. The data persistence of this system depends on decentralized characteristics of blockchain. It is more reliable than single-point deployment of PKI system， and the operation and maintenance is easier than that of the cluster deployment. This system inherits the characteristics of blockchain that cannot be compromised. This solution can issue， verify， and revoke key certificates to realize data storage certificates， facilitate the exchange of data， and ensure that traces are kept throughout the process. The above features make the system easy to implement private deployment， taking into account the cost and security， and it is highly expected to be available in enterprises and e-commerce areas.

Keywords： blockchain; Certificate Authority; Public Key Infrastructure

1   引言（Introduction）

數字证书广泛的使用在金融交易、电子签名、用户鉴权等场景。即可以代替传统的用户名密码认证模式、也可以在原有系统上提供双因子认证，进一步提高系统安全性[1]。信息系统利用数字证书核实用户身份。证书包含身份信息、授权信息及第三方权威机构的数字签名。其中数字签名，由具有公信力的第三方证书颁发机构（Certificate Authority，CA）核实信息后，用密码学方法计算得到。CA同时提供了公钥基础设施（PKI）实现证书的生命周期管理。PKI需要实现证书签发、更新、作废、查询等一系列服务[2]。特定场景下有部署私有CA/PKI的需求，如企业级应用等。CA将成为整个系统安全的基石，采用中心化部署时，CA的安全将是系统安全的重中之重，需要该组织机构具有相应的技术能力、管理能力，需要有专业的团队，并投入充足的建设及后期维护费用。

区块链是一种集体维护的分布式共享加密数据库[3]，众多的项目证明它具有不可伪造、全程留痕、可以追溯的技术特性。……