一种分级认证审核电子证书生成方法与流程

本发明涉及电子证书生成，具体涉及一种分级认证审核电子证书生成方法。

背景技术：

1、在质量管理、信息安全、合规资质等多认证域场景中，申请主体需通过各认证域的分级审核并持有对应电子证书，验证方依据证书中的等级信息判断申请主体是否满足准入条件。

2、现有电子证书生成方式通常将申请主体的精确认证等级数值直接记录于证书中，验证方通过读取精确数值并与准入阈值比对完成核验；在多认证域场景下，验证方须对各域证书逐一执行签名验证与等级比对。

3、上述方式存在两类技术问题：其一，证书中的精确等级数值超出验证方的实际核验需求，造成超范围信息暴露；其二，在多域联合核验过程中，验证方须逐域执行核验操作，无法在隐藏各域精确等级数值的前提下证明跨域综合资质满足复合准入条件，致使多域联合核验的验证开销随认证域数量积累增长，且隐私保护能力不足。

技术实现思路

1、本发明提供一种分级认证审核电子证书生成方法，解决相关技术中电子证书无法在隐藏精确等级数值的前提下同时支持跨域综合资质核验与指定维度达标信息披露的技术问题。

2、本发明公开了一种分级认证审核电子证书生成方法，包括以下步骤：

3、获取申请主体在多个认证域中经多节点共识审核后确定的最终认证等级集合，将每个认证域的最终认证等级映射为预设整数值域内的数值表示，得到各认证域的等级数值；

4、对每个认证域的等级数值执行pedersen承诺运算，生成对应的等级承诺值；

5、基于等级承诺值及预设的等级区间边界，生成零知识范围证明数据，所述零知识范围证明数据表征等级数值落入达标区间而不输出精确数值；

6、对各评估维度的达标信息按维度独立计算承诺值并生成开启密钥，将各维度承诺值与等级承诺值组织为merkle树结构，计算每个认证域的merkle树根哈希；获取复合准入条件表达式，利用pedersen承诺的同态性质对各认证域等级承诺值执行加权线性组合，生成聚合承诺值；

7、基于聚合承诺值及复合准入条件的聚合阈值，生成跨域聚合范围证明数据；

8、对多个认证域的零知识范围证明数据执行批量验证预处理，利用随机线性组合技术将多个独立零知识范围证明数据压缩为单一聚合证明结构；

9、将聚合证明结构、跨域聚合范围证明数据、各认证域merkle树根哈希列表、申请主体标识及证书有效期组装为跨域聚合证书载荷，并对跨域聚合证书载荷执行签名运算；

10、将签名后的跨域聚合证书载荷与各认证域的维度承诺值列表、开启密钥集合及merkle路径证明封装，生成跨域聚合可选择性披露电子证书，所述跨域聚合可选择性披露电子证书支持聚合范围证明核验路径与指定维度达标信息披露核验路径。

11、进一步地，所述对每个认证域的等级数值执行pedersen承诺运算，包括：设第个认证域的等级数值为，选取随机盲化因子，计算等级承诺值；其中，和为椭圆曲线群上的两个生成元，为第个认证域的等级承诺值，为第个认证域的盲化因子。

12、进一步地，所述生成零知识范围证明数据，采用bulletproofs协议生成，所述bulletproofs协议无需可信初始化参数，证明长度随等级区间比特位数呈对数增长。

13、进一步地，所述对各认证域等级承诺值执行加权线性组合，生成聚合承诺值，包括：计算；其中，为认证域总数，为第个认证域的权重系数，表示椭圆曲线群上的标量乘运算，为聚合承诺值；所述权重系数及聚合阈值由验证方在核验请求中动态指定，证书持有方基于等级承诺值针对不同的权重系数与聚合阈值组合分别生成对应的跨域聚合范围证明数据。

14、进一步地，所述对各评估维度的达标信息按维度独立计算承诺值，包括：设第个认证域第个评估维度的达标信息为，选取随机开启密钥，计算维度承诺值；其中，为抗碰撞哈希函数，为拼接运算符，为第个认证域第个评估维度的承诺值；将各维度承诺值与等级承诺值作为叶节点，逐层计算父节点哈希，得到merkle树根哈希。

15、进一步地，所述利用随机线性组合技术将多个独立零知识范围证明数据压缩为单一聚合证明结构，包括：生成随机挑战系数，其中为第个认证域对应的随机挑战系数，对各域零知识范围证明数据的内积参数执行加权线性组合，将个独立零知识范围证明数据合并输出为聚合证明结构；所述随机挑战系数通过非交互式fiat-shamir变换在证明生成阶段确定性导出。

16、进一步地，所述对跨域聚合证书载荷执行签名运算，采用bls聚合签名方案，由各认证域的签名方分别对跨域聚合证书载荷执行签名后聚合为单一签名值。

17、进一步地，所述聚合范围证明核验路径，包括：提取跨域聚合范围证明数据及聚合证明结构，验证方通过验证跨域聚合范围证明数据确认综合资质满足复合准入条件，通过验证聚合证明结构确认各域零知识范围证明数据有效，整个核验过程不输出任何认证域的精确等级数值；所述指定维度达标信息披露核验路径，包括：提取特定维度的merkle路径证明及对应开启密钥，验证方利用merkle路径证明确认维度承诺值属于根哈希所覆盖的数据结构，并利用开启密钥开启维度承诺值以获取指定审核维度的达标信息。

18、本发明公开了一种分级认证审核电子证书生成系统，包括：

19、等级映射模块，用于获取申请主体在多个认证域中经多节点共识审核后确定的最终认证等级集合，并将每个认证域的最终认证等级映射为预设整数值域内的数值表示；

20、承诺与证明生成模块，用于对各认证域的等级数值执行pedersen承诺运算生成等级承诺值，并基于等级承诺值及预设的等级区间边界生成零知识范围证明数据；

21、merkle树构建模块，用于对各评估维度的达标信息按维度独立计算承诺值并生成开启密钥，将各维度承诺值与等级承诺值组织为merkle树结构并计算根哈希；

22、跨域聚合运算模块，用于获取复合准入条件表达式，对各认证域等级承诺值执行同态线性组合运算生成聚合承诺值，并基于聚合承诺值生成跨域聚合范围证明数据；

23、批量压缩模块，用于对多域零知识范围证明数据执行批量验证预处理，利用随机线性组合技术将多个独立零知识范围证明数据压缩为单一聚合证明结构；载荷组装与签名模块，用于将聚合证明结构、跨域聚合范围证明数据、各认证域merkle树根哈希列表、申请主体标识及证书有效期组装为跨域聚合证书载荷，并对跨域聚合证书载荷执行签名运算；

24、证书封装模块，用于将签名后的跨域聚合证书载荷与各认证域的维度承诺值列表、开启密钥集合及merkle路径证明封装，生成跨域聚合可选择性披露电子证书，并支持聚合范围证明核验路径与指定维度达标信息披露核验路径。

25、进一步地，所述跨域聚合运算模块还用于接收验证方在核验请求中动态指定的权重系数及聚合阈值，基于相同的等级承诺值针对不同的权重系数与聚合阈值组合分别生成对应的跨域聚合范围证明数据，而不重新执行pedersen承诺运算。

26、本发明的有益效果在于：

27、本发明通过对等级数值执行pedersen承诺运算并生成零知识范围证明数据，将等级核验从精确数值比对转变为区间归属判定，解决了精确等级数值超范围披露的技术问题，取得了将披露信息范围限定在核验所需最小集合内的技术效果。本发明利用pedersen承诺的同态性质对多域等级承诺值执行线性组合并生成跨域聚合范围证明数据，同时通过随机线性组合技术将多个独立零知识范围证明数据压缩为单一聚合证明结构，解决了多域联合核验中逐域比对操作导致验证开销积累及隐私保护缺失的技术问题，取得了验证方计算量与通信数据量不随认证域数量线性增长、且无需输出任何单域精确等级即可完成复合准入条件整体判定的技术效果。本发明通过merkle树结构与双路径核验相配合，取得了在整体资质核验与指定维度达标信息披露两类需求之间按需切换的技术效果。