[發明專利]一種面向屬性保護的數字身份服務方法及其系統

有效

• 申請號: 201210065687.8
• 申請日: 2012-03-13
• 公開（公告）號: CN103312675A
• 公開（公告）日: 2013-09-18
• 發明（設計）人: 朱玉濤;張立武;武傳坤
• 申請（專利權）人: 中國科學院軟件研究所
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 北京君尚知識產權代理事務所(普通合伙) 11200
• 代理人: 余長江

1.一種面向屬性保護的數字身份服務方法，其步驟為：

1)信任提供方為經過驗證的注冊用戶頒發身份標識，并將用戶注冊的屬性信息注冊到屬性提供方中；

2)信任提供方根據該用戶的身份標識和屬性提供方提供的對應于該用戶的屬性發布接口鏈接生成該用戶的用戶憑證；

3)應用系統向信任提供方發送憑證頒發請求，信任提供方為該應用系統生成一標識并設置一屬性發布策略，將該屬性發布策略配置到屬性提供方；

4)信任提供方根據該應用系統的標識、屬性提供方的策略查詢接口鏈接地址和策略標識為該應用系統生成業務授權憑證；

5)身份服務提供方將應用系統的用戶提交的用戶憑證、注冊的基本身份信息與該應用系統發送的業務授權憑證組合為一屬性請求消息，然后根據用戶憑證上的屬性提供方鏈接地址將該屬性請求消息發送給屬性提供方；

6)屬性提供方驗證用戶憑證正確性后，根據業務授權憑證中的策略查詢接口鏈接地址查詢到的屬性發布策略，將用戶的屬性信息發布給身份服務提供方；

7)身份服務提供方將收到的屬性信息提供給相應的應用系統。

2.如權利要求1所述的方法，其特征在于所述信任提供方與所述屬性提供方為一一對應，構成一信任域；每一信任域設有一可信方，用于維護用戶的屬性信息。

3.如權利要求2所述的方法，其特征在于所述可信方擁有自己的公鑰P和私鑰Pr，提供給所在信任域中的信任提供方和屬性提供方對執行的數據進行加解密；不同可信方之間通過PKI建立相互之間的信任關系。

4.如權利要求2所述的方法，其特征在于通過所述可信方根據應用系統的業務模式、部署的安全環境、業務規模為該應用系統制定所述屬性發布策略。

5.如權利要求1或4所述的方法，其特征在于采用XML格式文件保存所述屬性發布策略。

6.如權利要求1所述的方法，其特征在于所述信任提供方使用用戶的URI資源標識符作為注冊用戶的唯一身份標識。

7.一種面向屬性保護的數字身份服務系統，其特征在于包括至少一個信任域，至少一業務域；所述信任域分別通過網絡與所述業務域連接；每一所述業務域包括一身份服務提供方和與其數據連接的若干應用系統，每一所述信任域包括一信任提供方及與其數據連接的一屬性提供方；其中：

所述身份服務提供方，用于接收用戶注冊的基本身份信息，將用戶憑證與應用系統的業務授權憑證進行組合，生成組合憑證，依靠組合憑證向屬性提供方請求使用應用系統所需的用戶屬性信息；

所述信任提供方，用于為用戶頒發用戶憑證，所述用戶憑證中包含用戶的身份標識和用戶屬性所在的屬性提供方標識；以及用于為應用系統頒發業務授權憑證，所述業務授權憑證包含應用系統的標識、屬性提供方的策略查詢接口鏈接地址和策略標識；

所述屬性提供方，用于對用戶的屬性信息進行管理，為應用系統發布屬性以及對每一應用系統的屬性發布策略進行配置。

8.如權利要求7所述的系統，其特征在于所述信任提供方與所述屬性提供方為一一對應，構成一信任域；每一信任域設有一可信方，用于維護用戶的屬性信息。

9.如權利要求8所述的系統，其特征在于所述可信方擁有自己的公鑰P和私鑰Pr，提供給所在信任域中的信任提供方和屬性提供方對執行的數據進行加解密；不同可信方之間通過PKI建立相互之間的信任關系。

10.如權利要求7所述的系統，其特征在于所述信任提供方使用用戶的URI資源標識符作為注冊用戶的唯一身份標識。