一种基于DNSSEC的数据可信服务实现方法与流程

本发明涉及物联网电子追溯技术领域，尤其是一种基于dnssec的数据可信服务实现方法。

背景技术：

在基于物联网的分布式服务构架中，食品安全追溯的数据（主数据、事件数据、传感数据等）被保存在产生数据企业所管理的物联网信息服务中。供应链上下游企业、监管者、消费者查询与食品相关的信息时，将通过物联网的解析及目录服务获得信息服务的地址，最终从物联网信息服务中获得数据。

但是通过物联网信息服务接口，数据的访问者只能获取未获验证的数据，无法确认这些数据是否是原始的、未被篡改的，这在食品安全电子追溯中认定企业主体责任会存在问题。采用分布式构架进行数据的存储管理，不仅会收到外部的攻击，还会受到内部的恶意破坏和非法篡改。物联网信息服务中数据库的数据被修改会有多种情况，其中包括：

1.企业自行篡改物联网信息服务上的原始记录数据。

2.物联网信息服务受到恶意攻击，造成数据被恶意篡改或删除。

3.物联网信息服务本身因为硬件原因导致服务中断、数据丢失等。

后两者可以通过增加设备冗余、多做备份、提升系统安全等级等方法进行防范，而对于企业自行篡改物联网信息服务上的数据则很难有效进行防范。一个典型的情况如：当某小型生产企业的某一个成品批次食品的原料被检测出了问题，企业为了减少损失修改了其物联网信息服务数据库中该批次食品的原料批次等信息，以此来避免该批次食品被全部召回，并达到隐瞒及降低损失的目的。由于物联网信息服务数据库上的原始数据被篡改，消费者、下游企业、甚至监管者都无法通过食品溯源获得正确的问题食品信息，这将导致有问题的该批次食品没有被正确召回而继续在市场中流通，从而使得食品安全问题进一步发生扩散。类似的情况在小微型生产、流通企业中会有相当的发生几率。

当类似事件发生的时候，就需要有一种机制可以验证物联网信息服务中数据的完整性，其中，数据完整性就是指数据在存储或传输过程中保持不被修改、不被破坏和丢失的特性。

技术实现要素：

本发明针对现有技术的不足，提出一种基于dnssec的数据可信服务实现方法，将可信服务作为一个可信第三方为存储在物联网信息服务上的数据提供完整性验证服务。为了解决中小企业使用ca证书门槛过高的问题，这个数据可信服务将通过dnssec（dnssecurityextension，dnssec）进行公共密钥分发，这样所提供的基于数字签名的数据验证功能可有效查验存储在物联网信息服务上的数据是否被篡改。

为了实现上述发明目的，本发明提供以下技术方案：

一种基于dnssec的数据可信服务实现方法，如下：

密钥生成及公共密钥注册：企业生成用于数字签名的密钥对，所述密钥对包括私有密钥和公共密钥；所述私有密钥用于签名数据，所述公共密钥保存到基于dnssec扩展的物联网解析服务中；

主数据、事件数据签名及提交：信息服务商使用所述私有密钥对主数据或事件数据进行数字签名，通过提交接口将数字签名和密钥编号保存到数据可信服务的数据库中；

对客户端进行查询和验签：客户端通过所述数据可信服务的查询接口获取所述数字签名及所述密钥编号，根据所述密钥编号从解析服务获取对应的所述公共密钥，通过所述公共密钥对企业信息服务中的主数据或事件数据进行验签，从而判断是否符合食品安全数据的完整性。

优选的，所述私有密钥和所述公共密钥为rsa密钥，包括一个域名作为所述密钥编号，域名的前几级必须是企业物联网标识。

优选的，所述公共密钥保存前，需要先进行base64转码，以确保所述公共密钥中的所有特殊字符都转换为普通字符。

有益效果

本发明所提供的一种基于dnssec的数据可信服务实现方法，具备如下优点：

1.数据可信服务是一个由可信第三方提供的数据完整性验证服务，它由政府机构、监管机构或第三方服务机构运营，以确保其公证性（如与物联网目录服务类似，可以部署在有诚信保障的公共平台）；

2.数据可信服务仅存储食品安全物联网中主数据和事件数据的数字签名，这样可以减少数据交换量，并最大限度的保护数据所有者的隐私；

3.原始数据保存在企业端、签名保存在数据可信服务中、公共密钥通过扩展为dnssec的物联网解析服务分发，任何一方发生数据篡改都可以在验证时被发现；

4.数据可信服务的访问服务地址通过基于dnssec的物联网解析服务提供给查询用户，保证用于访问的服务本身是可靠的，同时数据可信服务在需要的情况下通过解析也可以支持分布式部署，以降低单点压力；

5.保存数字签名公共密钥的dnssec资源记录采用已有记录，兼容所有主流dns服务软件和客户端。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图示出的结构获得其他的附图。

图1为本发明所述一种基于dnssec的数据可信服务实现方法的原理图；

图2为本发明所述一种基于dnssec的数据可信服务实现方法的解析服务中的key记录示例图；

图3为本发明所述一种基于dnssec的数据可信服务实现方法的使用dnssec保护后的key记录示例图；

图4为本发明所述一种基于dnssec的数据可信服务实现方法的查询和验签工作流程原理图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明的一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

文件词语释义如下：iot（internetofthings）物联网；

iotds（internetofthingsdirectoryservices）物联网目录服务；

iotis（internetofthingsinformationservices）物联网信息服务；

iotns（internetofthingsnameservices）物联网解析服务；

iotts（internetofthingstrustservices）物联网可信服务。

如图1所示，一种基于dnssec的数据可信服务实现方法，包括：

密钥生成及公共密钥注册：企业生成用于数字签名的密钥对，所述密钥对包括私有密钥和公共密钥；所述私有密钥用于签名数据，所述公共密钥保存到基于dnssec扩展的物联网解析服务中；

主数据、事件数据签名及提交：信息服务商使用所述私有密钥对主数据或事件数据进行数字签名，通过提交接口将数字签名和密钥编号保存到数据可信服务的数据库中；

对客户端进行查询和验签：客户端通过物联网解析、目录、信息服务获得食品全部生命周期信息，然后通过所述数据可信服务的查询接口获取所述数字签名及所述密钥编号，根据所述密钥编号从解析服务获取对应的所述公共密钥，通过所述公共密钥对企业信息服务中的主数据或事件数据进行验签，从而判断是否符合食品安全数据的完整性。

本方案中的密钥生成及公钥注册工作原理如下：

企业用户首先需要与一台iotts服务进行绑定，并将iotts的服务访问入口更新到iotns的服务资源列表中。

然后企业需要先自行生成用于数字签名的rsa密钥（rsa加密算法是一种非对称加密算法，在公开密钥加密和电子商业中rsa被广泛使用。），并为该密钥设定一个域名作为密钥编号，域名的前几级必须是企业物联网标识，例如key20180226.weigang.cfstroot.org.cn。

随后需要在负责对key20180226.weigang.cfstroot.org.cn进行解析的解析服务器上增加key类型资源记录，并选择对应的哈希算法和加密方法。

数据可信服务将企业用于对受保护数据签名的公钥存放到有安全扩展的dns服务（dnssec）的key记录中。公钥保存前，需要先进行base64转码，以确保公钥中的所有特殊字符都转换为普通字符。例如，keyid的域名是：key20180226.weigang.cfstroot.org.cn，其使用的哈希算法是sha-256，加密算法rsa，公钥通过base64转换以后存放到密钥字段。

当客户端通过dns进行请求时，可以获得如图2所示的结果。

同时，利用dnssec可通过信任链来确保资源记录不被篡改。对区域文件完成签名后，如图3所示。

本方案中的数据签名及提交工作原理如下：

企业信息服务向数据可信服务的接口存入主数据、事件数据的签名。数字签名使用管理主数据企业的rsa私钥。在对关键信息完成数字签名后，通过提交接口将信息（数字签名、主数据/事件urn形式数据标识符、公钥id）提交到数据可信服务上。以下是一个主数据进行提交的例子：

1.假定需保护的数据标识为：urn:cfst:id:item:001.weigang.cfstroot.org.cn，其关联的内容包括：商品名称、原料表、保质期时长、生产标准号、质量等级、食品生产许可证编号等与食品安全相关的信息。

2.在企业信息服务上，将主数据转换为json字符串（json：javascriptobjectnotation，是一种轻量级的数据交换格式。易于人阅读和编写，同时也易于机器解析和生成。），然后使用名称为key1的私钥为这些json字符串进行签名，签名的结果为signature。

3.调用物联网可信数据服务的提交接口，将主数据的urn标识符

（urn:cfst:id:item:001.weigang.cfstroot.org.cn）、数字签名（signature）、公钥id（key1.weigang.cfstroot.org.cn）作为信息保存到数据可信服务。

本方案中的数据的查询和验签工作原理如下：

客户端在查询时，需要通过信息服务、数据可信服务、解析服务的配合来完成整个验证过程，具体的工作过程如图4所示，具体为包括如下步骤：

步骤（1）客户端首先通过解析服务获得数据可信服务的访问入口；

步骤（2）调用数据可信服务的查询接口获得对应的数字签名和公钥id；

步骤（3）访问解析服务的dnssec基础设施，通过公钥id查询受保护的公钥key资源记录获得实际的签名公钥；

步骤（4）使用公钥对数字签名进行解密获得被签名数据的哈希值；

步骤（5）访问企业信息服务，获取其中的主数据或事件数据，进行json转换后计算哈希值；

步骤（6）比较所述步骤（4）和所述步骤（5）产生的哈希值，如果相等，表示数据未被修改；如果不相等，则表示数据已经被篡改，即企业信息服务商的食品安全追溯电子数据存在问题。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。