[發明專利]一種個人信息管理方法及系統

有效

• 申請號: 201910261111.0
• 申請日: 2019-04-02
• 公開（公告）號: CN110134859B
• 公開（公告）日: 2021-05-07
• 發明（設計）人: 李敏;彭佳;高能
• 申請（專利權）人: 中國科學院數據與通信保護研究教育中心
• 主分類號: G06F16/9535
• 分類號: G06F16/9535
• 代理公司: 北京君尚知識產權代理有限公司 11200
• 代理人: 司立彬

本發明公開了一種個人信息管理方法及系統。本方法為：1)身份服務提供方IDP接收用戶終端發來的個人信息查詢請求；當該個人信息查詢請求中查詢對象僅為IDP，則IDP在本地執行相應的數據處理，得到用戶在IDP的個人信息；當該個人信息查詢請求的查詢對象包括一個或多個第三方應用時，則IDP構建第三方應用個人信息查詢請求直接發送到指定的第三方應用；第三方應用個人信息查詢請求包括IDP、查詢對象和查詢內容，查詢對象包括第三方應用的標識符；2)第三方應用根據收到的第三方應用個人信息查詢請求，獲得用戶在第三方應用的個人信息，并將其返回給IDP；3)IDP將查詢到的所述個人信息返回給該用戶終端。

技術領域

本發明屬于網絡技術中個人隱私保護領域，尤其涉及一種網絡用戶個人信息(personal information，PI)管理的方法及系統，尤其是一種基于OAuth或OpenID的個人信息管理方法及系統。

背景技術

不同網絡應用之間資源共享和個人信息的互聯互通成為一種趨勢，目前，業界已經涌現了一些事實標準，從技術上推動了網絡資源和個人信息的跨域流通。其中，開放的第三方資源授權協議框架(Open third party resource authorization protocolframework，OAuth)和開放的身份鑒別框架(Open identity authentication framework，OpenID)使用較為廣泛。OAuth使得用戶能夠利用某個安全域中的應用程序訪問另一個安全域中受保護資源。OpenID使得網絡應用可以基于某身份服務提供方(Identity ServiceProvider，IDP)提供的身份鑒別服務，驗證終端用戶的身份，并從身份服務提供方獲取關于終端用戶的個人信息。

然而，在此過程中，隨著用戶個人信息流動性變大，個人信息散布在大量不同的網絡應用中，個人信息管理也愈加復雜。另外，跨行業、跨領域的網絡應用在用戶身份、屬性等個人信息的收集、存儲、使用、共享、業務需求等方面要求不完全相同，個人信息管理情況大多處于各自為戰的狀態。

國內外近年來對個人信息的保護給予高度重視。歐盟推出的通用數據保護條例(General Data Protection Regulation，GDPR)被認為史上最嚴的個人數據保護條例，目的在于遏制個人信息被濫用。我國頒布了《網絡安全法》、《信息安全技術個人信息安全規范》(GB/T 35273-2017)等法律及標準，保障用戶對個人信息的知情權、同意權、刪除權(或被遺忘權)。

本發明聚焦個人信息的管理領域，旨在提出一種個人信息管理方法，便于用戶進行個人信息查詢和管理。

發明內容

根據上述發展現狀與發展需求，本發明提出一種基于OAuth或OpenID的個人信息管理方法及系統，不僅可實現用戶對某個網絡應用的用戶個人信息進行查詢和控制(刪除、修改和取消授權)，還可以對所有和該網絡應用存在個人信息共享關系的第三方，實現個人信息跨域查詢和控制。任何使用OAuth或OpenID框架的網絡應用，或與上述網絡應用有個人信息共享關系的其他網絡應用，均可使用本發明實現用戶對個人信息的管理。

為了達到上述目的，本發明采用以下方案：

本發明提出的個人信息管理方法(本發明將該方法稱為通用的個人信息管理方法)包括如下步驟：

步驟1：終端用戶通過訪問身份服務提供方IDP的個人信息管理頁面，選擇要查詢的個人信息，包括查詢對象和查詢內容，構建個人信息查詢請求并發送給身份服務提供方IDP，查詢對象，包括IDP本身、以及和IDP存在用戶個人信息共享關系的第三方應用，IDP的個人信息管理頁面應向終端用戶列出所有與該IDP有個人信息共享關系的所有第三方應用，以便用戶選擇，終端用戶可以選擇其中的一個或多個作為查詢對象，也可只選擇IDP本身，不選擇任何第三方應用，查詢內容，包括但不限于個人信息的收集情況、使用情況、共享情況。