基于区块链分布式数字身份DID的数据要素确权与细粒度访问控制系统和方法

本发明涉及计算机网络、区块链数据安全和密码学访问控制，特别是涉及基于区块链分布式数字身份did的数据要素确权与细粒度访问控制系统和方法。

背景技术：

1、数据要素的跨域流通通常需要解决身份认证、数据权属证明、数据保密存储与访问授权四类核心问题。现有系统多采用中心化公钥基础设施/证书颁发机构、集中式身份数据库、访问控制列表或基于角色的访问控制作为基础架构，数据权属记录由平台运营方负责维护，访问权限判定则由平台服务器执行。此类方案实现相对简便，但在多机构互联场景下，需预先在各机构间建立证书互认与账户映射关系，导致跨域扩展面临较高成本。

2、随着数据基础制度建设的完善与数据要素市场化配置的推进，数据资源正从组织内部应用逐步转向跨部门、跨行业、跨区域流通。数据提供方通常期望在不泄露原始数据内容的前提下，完成权属登记、授权管理与交易审计；数据使用方则需在获得合法授权后，高效验证数据来源、完整性及可用性；监管审计方则需具备事后追溯数据访问行为、核验授权依据并识别异常使用的能力。上述共同需求对系统提出了同时具备可信身份、可信确权、可信授权与可信审计能力的要求。

3、现有的中心化平台通常由平台运营方统一维护账户体系、数据目录、权限表及访问日志。该模式在单一组织内部较易部署，但在多机构协同场景下，将面临信任边界扩张的挑战：不同机构的账户体系难以实现互认，数据所有者难以独立于平台证明其数据权属，平台管理员可能成为权限滥用或日志篡改的潜在风险点，且访问控制策略常与平台业务代码紧密耦合，难以针对复杂的属性组合进行灵活表达。

4、区块链、分布式数字身份、可验证凭证、星际文件系统及密文策略属性基加密技术分别能够解决上述问题的特定方面。区块链适用于记录不可篡改的状态摘要与交易流水；did有助于建立不依赖于单一身份服务商的主体标识；vc可将现实世界资质转化为可验证的数字属性；ipfs适于存储大规模密文数据并通过内容寻址保障其完整性；cp-abe能够将访问权限封装为密码学策略约束。本方案的核心在于对这些技术能力进行协同设计，使其共同服务于数据要素的存证确权与细粒度访问控制。

5、区块链技术提供了不可篡改的分布式账本，可用于记录数据摘要、时间戳及交易流水；did技术使得主体能够通过链上did文档验证其公钥与身份状态；vc技术能够以数字签名形式将现实世界资质与did进行绑定；ipfs等内容寻址存储系统可将大体积密文文件保存于链下；cp-abe能够以属性策略树的形式封装数据密钥，确保仅当主体属性满足预设策略时，方可恢复该数据密钥。

6、在现有技术方案中，部分方案仅将区块链作为日志存储工具，虽能记录访问流水，但无法有效验证访问者身份属性的真实性、凭证的有效性以及属性密钥是否与主体私钥正确绑定；另有方案仅采用cp-abe技术保护数据密钥，但其属性私钥通常由中心化机构静态签发，难以及时响应凭证撤销、主体资格变更或跨机构属性更新等动态需求。本发明通过智能合约在链上动态验证did状态、vc有效性状态及策略匹配结果，从而将访问控制从单次静态授权转变为具备可审计性、可撤销性与可追踪性的持续性授权过程。

技术实现思路

1、本发明旨在至少解决现有技术中存在的需求技术问题，特别创新地提出了基于区块链分布式数字身份did的数据要素确权与细粒度访问控制系统和方法。

2、为了实现本发明的上述目的，本发明提供了一种基于区块链分布式数字身份did的数据要素确权与细粒度访问控制系统，所述系统包括数据所有者终端、数据使用者终端、凭证发行节点、监管审计节点、密码学引擎、可验证凭证/可验证展示管理模块、did解析器、区块链网络以及ipfs链下密文存储网络；

3、区块链网络上部署有did管理合约、数据确权存证合约和访问控制合约；

4、did管理合约用于接收参与实体的did注册请求、更新请求或注销请求，对参与实体提交的did文档进行验证，并将经验证的did文档的状态写入区块链网络；

5、数据所有者终端用于通过密码学引擎生成数据对称密钥，利用数据对称密钥对原始数据进行对称加密以得到数据密文，将数据密文上传至ipfs链下密文存储网络以获得内容标识符cid，并将包括所有者did、标识符cid、时间戳、数字签名和元数据的确权请求提交至数据确权存证合约；

6、数据确权存证合约用于通过did解析器获得与所有者did对应的公钥，根据公钥验证数字签名，并验证标识符cid的唯一性，基于所有者did、标识符cid和时间戳生成资产标识assetid，将assetid与标识符cid、所有者did、时间戳、数字签名及资产状态关联写入区块链网络；

7、凭证发行节点用于在核验参与实体的实体资质后，向参与实体对应的所有者did签发包含属性集合、有效期和撤销标识的可验证凭证vc，并生成与对应did私钥持有证明绑定的属性私钥；

8、数据所有者终端还用于针对assetid对应的原始数据建立访问策略，并通过密码学引擎采用密文策略属性基加密cp-abe对数据对称密钥进行封装，得到与assetid关联的密钥密文；

9、数据使用者终端用于针对assetid提交可验证展示vp和所有者did随机挑战签名；

10、访问控制合约用于基于可验证凭证/可验证展示管理模块和did解析器，对vp对应的凭证发行者签名、vc有效期、vc撤销状态、did状态以及由did随机挑战签名表征的did私钥持有证明进行验证，从经验证的vp中提取属性集合，并判断属性集合是否满足访问策略；在各项验证均通过且属性集合满足访问策略时，向数据使用者终端返回标识符cid和密钥密文；在任一项验证未通过或属性集合不满足访问策略时，拒绝访问并生成审计日志；

11、数据使用者终端还用于利用与自身did绑定的属性私钥对密钥密文进行cp-abe解封装，以恢复数据对称密钥，并利用恢复的数据对称密钥对根据标识符cid从ipfs链下密文存储网络获得的数据密文进行解密，以获得原始数据；

12、监管审计节点用于基于审计日志对数据使用者终端的访问请求及访问结果进行审计查询。

13、在另一方面，本发明还提供一种基于区块链分布式数字身份did的数据要素确权与细粒度访问控制方法，应用于所述系统；所述方法包括：

14、s1、配置区块链节点和链下分布式存储节点，在区块链节点上部署did管理合约、数据确权存证合约和访问控制合约，并生成密文策略属性基加密cp-abe的公共参数和主密钥；

15、s2、参与实体在本地生成公私钥对，基于公私钥对中的公钥生成did标识并构造did文档，利用与公钥对应的私钥对did文档进行数字签名，将签名后的did文档提交至did管理合约，由did管理合约验证数字签名并将经验证的did文档锚定至区块链节点；

16、s3、凭证发行节点核验参与实体的实体资质后，针对步骤s2中参与实体的did签发包含属性集合、有效期和撤销标识的可验证凭证vc，并基于步骤s1生成的cp-abe的主密钥、属性集合以及对应did的私钥持有证明生成与did绑定的属性私钥；

17、s4、数据所有者终端生成数据对称密钥，利用数据对称密钥对原始数据进行对称加密以获得数据密文，将数据密文上传至链下分布式存储节点以获得内容标识符cid，并针对标识符cid生成数字签名；

18、s5、数据所有者终端将步骤s4获得的标识符cid与数据所有者终端的所有者did、时间戳、数字签名和元数据一并提交至数据确权存证合约；数据确权存证合约解析步骤s2中锚定的所有者did对应的did文档以获得公钥，根据公钥验证数字签名并验证标识符cid的唯一性，基于所有者did、标识符cid和时间戳生成资产标识assetid，并将assetid与标识符cid、所有者did、时间戳、数字签名及资产状态关联写入区块链节点；

19、s6、数据所有者终端针对步骤s5生成的assetid建立访问策略，并根据访问策略采用cp-abe对步骤s4生成的数据对称密钥进行封装，以获得与assetid关联的密钥密文；

20、s7、数据使用者针对步骤s5生成的assetid提交可验证展示vp和did随机挑战签名，访问控制合约对vp以及did随机挑战签名进行验证，从经验证的vp中提取属性集合，并判断属性集合是否满足步骤s6建立的访问策略；在验证通过且属性集合满足访问策略时，向数据使用者返回步骤s4获得的标识符cid和步骤s6获得的密钥密文，在验证失败或属性集合不满足访问策略时拒绝数据使用者的访问请求并生成审计日志；

21、s8、数据使用者利用步骤s3生成的且与自身did绑定的属性私钥对步骤s7返回的密钥密文进行cp-abe解封装，以恢复步骤s4生成的数据对称密钥，根据步骤s7返回的标识符cid从链下分布式存储节点获得数据密文，并利用恢复的数据对称密钥对数据密文进行解密，以获得原始数据。

22、本发明的有益效果：本发明通过将区块链、分布式数字身份did、可验证凭证vc、ipfs链下密文存储以及密文策略属性基加密cp-abe进行协同设计，使数据要素的身份认证、权属确证、保密存储、访问授权及审计追溯形成相互关联的可信处理机制；其中，通过did管理合约对参与实体的did文档及身份状态进行链上管理，降低中心化身份体系存在的单点故障以及跨机构证书互认和账户映射成本；通过将所有者did、标识符cid和时间戳关联生成资产标识assetid，并将权属相关信息写入区块链网络，在无需将原始数据上链的情况下建立数据密文内容地址与数据所有者之间不可篡改、可验证的权属关联，同时利用ipfs链下密文存储网络保存经对称加密的数据密文，从而兼顾数据保密性和链上存储效率；通过将可验证凭证vc中的属性集合、did私钥持有证明以及cp-abe属性私钥进行绑定，并由访问控制合约动态验证凭证发行者签名、vc有效期、vc撤销状态、did状态及did私钥持有证明，再结合访问策略树对属性集合进行匹配，使访问权限能够依据and逻辑、or逻辑或k/n门限逻辑进行细粒度表达，并减少凭证冒用、属性密钥滥用以及主体资格变更后授权未及时失效的风险；同时，访问控制合约仅在身份验证、凭证状态验证及策略匹配均通过时释放与assetid关联的标识符cid和密钥密文，并对拒绝访问的原因及访问请求信息生成审计日志，使数据访问过程具备动态授权、可撤销、可追踪和可审计的技术效果，从而提高跨机构、跨领域数据要素流通过程中的身份可信性、权属可信性、授权安全性及审计可靠性。

23、本发明的附加方面和优点将在下面的描述中部分给出，部分将从下面的描述中变得明显，或通过本发明的实践了解到。