技术领域
[0001] 本
发明涉及互联网技术领域，尤其涉及一种针对
加密货币钱包的分布式加密管理方法、装置及系统。
背景技术
[0002] 加密货币(crypto currency)，是指基于
密码学技术的
数字货币系统，广泛的应用在去中心化的环境中。当前非常典型并且使用广泛的加密货币就是
比特币。包括比特币在内的全部加密货币中，最关键的就是密钥的使用。典型的加密货币会对一个钱包账户创建一对密钥，公开的部分叫做公钥，也就是加密货币的转账地址，不公开的部分叫做私钥，只有私钥能实现对加密货币实现所有权的
声明，从而实现对加密货币的控制。由此可见，私钥是整个加密货币系统中最关键的部分，私钥的丢失会导致钱包内的加密货币被非法控制，或者是所有者对加密货币钱包失去控制，并永远无法找回。此类事件层出不穷。
[0003] 当前加密货币钱包在保管账户私钥的方法，大致有如下三类，这三类方法均有不同程度的问题和缺点。
[0005] 这种方式是最常见的方式，也是最简单的方法。其主要思路是对私钥进行加密后存储在磁盘(或者其他固定的存储介质)，需要用户设置密码(或者类似的其他认证手段)才能解
锁私钥。这种方式的安全性较差，攻击者可以直接从软件本身进行攻击从而盗取私钥。
[0007] 此种方式是使用外接HSM设备，将私钥保存在外部存储设备中，需要使用私钥的时候和PC或者其他移动设备进行连接，从而使用私钥。这种方式的安全性很好，但是问题是外部设备容易丢失，一旦设备丢失，则用户会失去对钱包中加密货币的控制，造成经济损失。
[0008] 三、
云KMS(Key Management System)系统
[0009] 云KMS是一种公有云厂商提出的云上KMS系统，用于保管用户的密钥，一般KMS系统会提供远程调用的密码学功能，例如将需要处理的数据发送到云端KMS后，云端KMS使用相关密钥进行处理，最后将处理后的数据返回。这种方式的缺点在于用户和云厂商存在信任问题，并且云KMS系统分布单一，无法达到很好的用户连接体验。
发明内容
[0010] 为了解决上述技术问题，本发明提供了一种针对加密货币钱包的分布式加密管理方法、装置及系统。
[0011] 本发明提供的针对加密货币钱包的分布式加密管理方法，包括：
[0012] 任一KMS
节点获得用户的加密货币钱包的私钥，将所述用户的加密货币钱包的私钥同步至至少一其它KMS节点；
[0013] 任一KMS节点接收用户的加密货币钱包交易签名
请求，查询是否保存有所述用户的加密货币钱包的私钥，在保存有所述用户的加密货币钱包的私钥时，使用此私钥处理所述加密货币钱包交易签名请求。
[0014] 上述针对加密货币钱包的分布式加密管理方法还具有以下特点：
[0015] 所述KMS节点使用硬件安全技术使服务提供商无法读取用户的加密货币钱包的私钥。
[0016] 上述针对加密货币钱包的分布式加密管理方法还具有以下特点：
[0017] 所述KMS节点获得用户的加密货币钱包的私钥包括以下方式中的一种：
[0018] 一，从所述用户所属的终端接收所述用户的加密货币钱包的私钥；
[0019] 二，为所述用户创建加密货币钱包的私钥。
[0020] 上述针对加密货币钱包的分布式加密管理方法还具有以下特点：
[0021] 所述KMS节点接收到所述用户的加密货币钱包交易请求后，所述方法还包括：查询未保存有所述用户的加密货币钱包的私钥后，从其它KMS节点查询所述用户的加密货币钱包的私钥，使用查询到的私钥处理所述加密货币钱包交易请求。
[0022] 上述针对加密货币钱包的分布式加密管理方法还具有以下特点：
[0023] 所述将所述用户的加密货币钱包的私钥同步至至少一其它KMS节点包括以下方式中的一种：
[0024] 同步方式一，将所述用户的加密货币钱包的私钥同步至所有其它
[0025] KMS节点；
[0026] 同步方式二，确定接收到所述用户的加密货币钱包的私钥的KMS节点所属的地理区域，向距所述地理区域的距离小于预设距离的其它地理区域内的KMS节点同步所述用户的加密货币钱包的私钥；
[0027] 同步方式三，确定接收到所述用户的加密货币钱包的私钥的KMS节点的级别，向与所述级别相同的KMS节点同步所述用户的加密货币钱包的私钥。
[0028] 上述针对加密货币钱包的分布式加密管理方法还具有以下特点：
[0029] 将所述用户的加密货币钱包的私钥同步至至少一其它KMS节点时采用所述同步方式一时，从其它KMS节点查询所述用户的加密货币钱包的私钥包括：向任一其它节点查询所述用户的加密货币钱包的私钥；
[0030] 将所述用户的加密货币钱包的私钥同步至至少一其它KMS节点时采用所述同步方式二时，从其它KMS节点查询所述用户的加密货币钱包的私钥包括：向相邻地理区域的其它节点中的至少一个查询所述用户的加密货币钱包的私钥；
[0031] 将所述用户的加密货币钱包的私钥同步至至少一其它KMS节点时采用所述同步方式三时，从其它KMS节点查询所述用户的加密货币钱包的私钥包括：向相同级别的KMS节点中的至少一个查询所述用户的加密货币钱包的私钥。
[0032] 本发明提供的针对加密货币钱包的分布式加密管理装置，应用于KMS节点，包括：
[0033] 获取模
块，用于获得用户的加密货币钱包的私钥；
[0034] 同步模块，用于将所述用户的加密货币钱包的私钥同步至至少一其它KMS节点；
[0035] 接收模块，用于接收所述用户的加密货币钱包交易签名请求；
[0036] 查询模块，用于查询是否保存有所述用户的加密货币钱包的私钥；
[0037] 处理模块，用于在所述查询模块查询到保存有所述用户的加密货币钱包的私钥后，使用此私钥处理所述加密货币钱包交易签名请求。
[0038] 上述针对加密货币钱包的分布式加密管理装置还具有以下特点：
[0039] 还包括安全模块，用于使用硬件安全技术使服务提供商无法读取用户的加密货币钱包的私钥。
[0040] 上述针对加密货币钱包的分布式加密管理装置还具有以下特点：
[0041] 所述获取模块，还用于使用以下方式中的一种获得用户的加密货币钱包的私钥包括以下方式：
[0042] 一，从所述用户所属的终端接收所述用户的加密货币钱包的私钥；
[0043] 二，为所述用户创建加密货币钱包的私钥。
[0044] 上述针对加密货币钱包的分布式加密管理装置还具有以下特点：
[0045] 所述处理模块，还用于在所述查询模块查询到保存有所述用户的加密货币钱包的私钥后，从其它KMS节点查询所述用户的加密货币钱包的私钥，使用查询到的私钥处理所述加密货币钱包交易请求。
[0046] 上述针对加密货币钱包的分布式加密管理装置还具有以下特点：
[0047] 所述同步模块，使用以下方式中的一种将所述用户的加密货币钱包的私钥同步至至少一其它KMS节点：
[0048] 同步方式一，将所述用户的加密货币钱包的私钥同步至所有其它KMS节点；
[0049] 同步方式二，确定接收到所述用户的加密货币钱包的私钥的KMS节点所属的地理区域，向距所述地理区域的距离小于预设距离的其它地理区域内的KMS节点同步所述用户的加密货币钱包的私钥；
[0050] 同步方式三，确定接收到所述用户的加密货币钱包的私钥的KMS节点的级别，向与所述级别相同的KMS节点同步所述用户的加密货币钱包的私钥；
[0051] 所述处理模块，还用于在所述同步模块使用同步方式一时，向任一其它节点查询所述用户的加密货币钱包的私钥；在所述同步模块使用同步方式二时，向相邻地理区域的其它节点中的至少一个查询所述用户的加密货币钱包的私钥；在所述同步模块使用同步方式三时，向相同级别的KMS节点中的至少一个查询所述用户的加密货币钱包的私钥。
[0052] 本发明提供的针对加密货币钱包的分布式加密管理系统，包括多个KMS节点，每个KMS节点包括上述装置。
[0053] 本发明提出了一种分布式的云KMS系统，使用KMS节点分布设置的方式提高用户的使用体验，并在传统的云KMS
基础之上，通过增加了硬件组件等措施解决了用户和服务提供商之间的信任问题。
附图说明
[0054] 构成本发明的一部分的附图用来提供对本发明的进一步理解，本发明的示意性
实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：
[0055] 图1是实施例中分布式KMS节点系统的结构图；
[0056] 图2是实施例中针对加密货币钱包的分布式加密管理方法的
流程图；
[0057] 图3是实施例中针对加密货币钱包的分布式加密管理装置的结构图。
具体实施方式
[0058] 为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。需要说明的是，在不冲突的情况下，本
申请中的实施例及实施例中的特征可以相互任意组合。
[0059] 如图1所示，本发明中设置了多个KMS节点形成分布式KMS节点系统，KMS节点与各种类型的终端通信。
[0060] 如图2所示，针对加密货币钱包的分布式加密管理方法，包括：
[0061] 步骤201，KMS节点获得用户的加密货币钱包的私钥，将用户的加密货币钱包的私钥同步至至少一其它KMS节点；
[0062] 步骤202，KMS节点接收用户的加密货币钱包交易签名请求，查询是否保存有此用户的加密货币钱包的私钥，在保存有此用户的加密货币钱包的私钥时，使用此私钥处理上述加密货币钱包交易签名请求。
[0063] 本方法中，KMS节点使用硬件安全技术使服务提供商无法读取用户的加密货币钱包的私钥，具体的,KMS采用基于Intel的SGX技术建设。加密货币钱包所属终端与KMS节点之间使用国际标准密钥管理互用协议(Key Management Interoperability Protocol，简称KMIP)协议进行通信，KMIP协议可以极大的减小加密货币钱包的通用性问题。
[0064] 步骤101中，KMS节点获得用户的加密货币钱包的私钥包括以下方式中的一种：
[0065] 方式一，从用户所属的终端接收用户的加密货币钱包的私钥；例如用户在移动终端(PC，手机、平板等)使用加密货币钱包生成一个公钥私钥对，用户使用自己本地的加密货币钱包中的“远程上传私钥”功能将生成的私钥通过KMIP协议发送到云端KMS节点。
[0066] 方式二，为用户创建加密货币钱包的私钥。例如移动终端连接KMS节点进行与加密货币钱包的相关认证，移动终端发起为一用户的加密货币钱包创建私钥和公钥的请求，KMS节点为用户生成(例如采用椭圆曲线
算法)加密货币钱包的公钥和私钥，并将公钥发送至所述移动终端。此方式可以防止方式一中用户在本地使用加密货币钱包生成密钥安全强度不够，导致密钥本身存在薄弱点的问题。
[0067] 步骤102中，KMS节点接收到所述用户的加密货币钱包交易请求后，本方法还包括：查询未保存有上述用户的加密货币钱包的私钥后，从其它KMS节点查询所述用户的加密货币钱包的私钥，使用查询到的私钥处理上述加密货币钱包交易请求。
[0068] 步骤101中将所述用户的加密货币钱包的私钥同步至至少一其它KMS节点包括以下方式中的一种：
[0069] 同步方式一，将用户的加密货币钱包的私钥同步至所有其它KMS节点；
[0070] 同步方式二，确定接收到用户的加密货币钱包的私钥的KMS节点所属的地理区域，向距地理区域的距离小于预设距离的其它地理区域内的KMS节点同步所述用户的加密货币钱包的私钥；
[0071] 同步方式三，确定接收到用户的加密货币钱包的私钥的KMS节点的级别，向与所述级别相同的KMS节点同步所述用户的加密货币钱包的私钥。
[0072] KMS节点之间进行密钥同步时，采用安全通道进行同步。
[0073] 具体的，
[0074] 将用户的加密货币钱包的私钥同步至至少一其它KMS节点时采用同步方式一时，从其它KMS节点查询用户的加密货币钱包的私钥包括：向任一其它节点查询所述用户的加密货币钱包的私钥；
[0075] 将用户的加密货币钱包的私钥同步至至少一其它KMS节点时采用同步方式二时，从其它KMS节点查询所述用户的加密货币钱包的私钥包括：向相邻地理区域的节点中的至少一个查询所述用户的加密货币钱包的私钥；
[0076] 将用户的加密货币钱包的私钥同步至至少一其它KMS节点时采用同步方式三时，从其它KMS节点查询所述用户的加密货币钱包的私钥包括：向相同级别的其它节点中的至少一个查询所述用户的加密货币钱包的私钥。
[0077] 如图2所示，针对加密货币钱包的分布式加密管理装置，应用于KMS节点，包括：
[0078] 获取模块，用于获得用户的加密货币钱包的私钥；
[0079] 同步模块，用于将所述用户的加密货币钱包的私钥同步至至少一其它KMS节点；
[0080] 接收模块，用于接收所述用户的加密货币钱包交易签名请求；
[0081] 查询模块，用于查询是否保存有所述用户的加密货币钱包的私钥；
[0082] 处理模块，用于在所述查询模块查询到保存有所述用户的加密货币钱包的私钥后，使用此私钥处理所述加密货币钱包交易签名请求。
[0083] 其中，此装置还包括安全模块，用于使用硬件安全技术使服务提供商无法读取用户的加密货币钱包的私钥。
[0084] 获取模块，还用于使用以下方式中的一种获得用户的加密货币钱包的私钥包括以下方式：
[0085] 一，从所述用户所属的终端接收所述用户的加密货币钱包的私钥；
[0086] 二，为所述用户创建加密货币钱包的私钥。
[0087] 处理模块，还用于在所述查询模块查询到保存有所述用户的加密货币钱包的私钥后，从其它KMS节点查询所述用户的加密货币钱包的私钥，使用查询到的私钥处理所述加密货币钱包交易请求。
[0088] 所述同步模块，使用以下方式中的一种将所述用户的加密货币钱包的私钥同步至至少一其它KMS节点：
[0089] 同步方式一，将所述用户的加密货币钱包的私钥同步至所有其它KMS节点；
[0090] 同步方式二，确定接收到所述用户的加密货币钱包的私钥的KMS节点所属的地理区域，向距所述地理区域的距离小于预设距离的其它地理区域内的KMS节点同步所述用户的加密货币钱包的私钥；
[0091] 同步方式三，确定接收到所述用户的加密货币钱包的私钥的KMS节点的级别，向与所述级别相同的KMS节点同步所述用户的加密货币钱包的私钥；
[0092] 处理模块，还用于在所述同步模块使用同步方式一时，向任一其它节点查询所述用户的加密货币钱包的私钥；在所述同步模块使用同步方式二时，向相邻地理区域的其它节点中的至少一个查询所述用户的加密货币钱包的私钥；在所述同步模块使用同步方式三时，向相同级别的KMS节点中的至少一个查询所述用户的加密货币钱包的私钥。
[0093] 本发明中的针对加密货币钱包的分布式加密管理系统，包括多个KMS节点，每个KMS节点包括上述装置。
[0094] 下面通过具体实施例进行详细说明。
[0095] 具体实施例一
[0096] 系统中包括100个KMS节点。
[0097] 用户A在移动终端B使用加密货币钱包C生成一个公钥私钥对，用户使用自己本地的加密货币钱包C中的“远程上传私钥”功能将生成的私钥通过KMIP协议发送到移动终端B当前所在的第一KMS节点。KMS节点获知用户A的私钥。或者，移动终端B连接第一KMS节点进行与加密货币钱包C的相关认证，移动终端B发起为用户A的加密货币钱包C创建私钥和公钥的请求，第一KMS节点采用椭圆曲线算法为用户A生成加密货币钱包C的公钥和私钥，并将公钥发送至移动终端B，保存用户A的私钥。
[0098] 第一KMS节点将用户A的加密货币钱包C的私钥同步至其它99个KMS节点。
[0099] 移动终端B移动到第二KMS节点的
覆盖范围。
[0100] 用户A在移动终端B上操作加密货币钱包C，需要对商家D进行付款，移动终端B上的加密货币钱包C软件采集用户认证信息(例如密码、指纹等)，向第二KMS节点发送使用私钥进行签名的请求，此请求中携带用户认证信息，第二KMS节点验证用户认证信息成功后，向移动终端B询问加密货币钱包C需要执行的具体操作，移动终端B将加密货币钱包C的加密的货币交易数据发送给第二KMS节点，并请求使用其私钥对货币数据进行签名，第二KMS节点查询本身存储有用户A的加密货币钱包C的私钥后，使用此私钥对交易数据进行签名后，向移动终端B返回签名值。
[0101] 具体实施例二
[0102] 系统中包括100个KMS节点。级别最高的KMS节点共有10个，包括第一KMS节点和第二KMS节点。
[0103] 用户A在移动终端B使用加密货币钱包C生成一个公钥私钥对，用户使用自己本地的加密货币钱包C中的“远程上传私钥”功能将生成的私钥通过KMIP协议发送到移动终端B当前所在的第一KMS节点。KMS节点获知用户A的私钥。或者，移动终端B连接第一KMS节点进行与加密货币钱包C的相关认证，移动终端B发起为用户A的加密货币钱包C创建私钥和公钥的请求，第一KMS节点采用椭圆曲线算法为用户A生成加密货币钱包C的公钥和私钥，并将公钥发送至移动终端B，保存用户A的私钥。
[0104] 第一KMS节点将用户A的加密货币钱包C的私钥同步至其它9个相同级别的KMS节点。
[0105] 移动终端B移动到第二KMS节点的覆盖范围。
[0106] 用户A在移动终端B上操作加密货币钱包C，需要对商家D进行付款，移动终端B上的加密货币钱包C软件采集用户认证信息(例如密码、指纹等)，向第二KMS节点发送使用私钥进行签名的请求，此请求中携带用户认证信息，第二KMS节点验证用户认证信息成功后，向移动终端B询问加密货币钱包C需要执行的具体操作，移动终端B将加密货币钱包C的加密的货币交易数据发送给第二KMS节点，并请求使用其私钥对货币数据进行签名，第二KMS节点查询本身未存储有用户A的加密货币钱包C的私钥后，向同级别的其它KMS节点中的一个查询用户A的加密货币钱包C的私钥，获得此私钥后，使用此私钥对交易数据进行签名后，向移动终端B返回签名值。
[0107] 使用KMS节点分布设置的方式提高用户的使用体验，并在传统的云KMS基础之上，通过增加了硬件组件等措施解决了用户和服务提供商之间的信任问题。
[0108] 上面描述的内容可以单独地或者以各种方式组合起来实施，而这些变型方式都在本发明的保护范围之内。
[0109] 本领域普通技术人员可以理解上述方法中的全部或部分步骤可通过程序来指令相关硬件完成，所述程序可以存储于计算机可读存储介质中，如只读
存储器、磁盘或光盘等。可选地，上述实施例的全部或部分步骤也可以使用一个或多个集成
电路来实现，相应地，上述实施例中的各模块/单元可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。本发明不限制于任何特定形式的硬件和软件的结合。
[0110] 需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括……”限定的要素，并不排除在包括所述要素的物品或者设备中还存在另外的相同要素。
[0111] 以上实施例仅用以说明本发明的技术方案而非限制，仅仅参照较佳实施例对本发明进行了详细说明。本领域的普通技术人员应当理解，可以对本发明的技术方案进行
修改或者等同替换，而不脱离本发明技术方案的精神和范围，均应涵盖在本发明的
权利要求范围当中。
