[发明专利]一种隐私保护的身份属性证明系统及方法

说明书

本发明提供一种隐私保护的身份属性证明系统及方法，系统包括：服务商服务端生成服务的访问策略，向服务商客户端发送该访问策略，服务商服务端对证据进行验证；服务商客户端向服务商服务端发送服务请求，重定向到系统客户端，向其转发访问策略；系统服务端请求属性的证书；对证书中的属性重新签名，并生成属性的凭证，颁发给系统客户端；系统客户端检索访问策略中的属性标签：若该属性的凭证未保存在系统客户端中，则系统客户端向系统服务端申请该属性的凭证；通过聚合签名生成用于属性证明的证据，并发送给服务商服务端。服务商无法得到用户的真实属性信息，用户的隐私得到保护。

技术领域

本发明属于安全与隐私保护领域，特别涉及一种隐私保护的身份属性证明系统及方法。

背景技术

身份认证是在线服务提供商验证用户身份有效性的基本技术手段，目前的身份认证过程需要用户将诸如姓名、手机号、身份证号、银行卡号、密码等敏感信息提交给服务提供商进行验证，由于缺乏有效的隐私保护机制，使得服务提供商过度收集用户的身份信息，这些敏感的身份信息被用来分析用户的行为习惯和偏好，甚至在用户不知情的状况下被分发给直销等第三方应用。

近年来由于隐私泄露而导致的身份盗用、诈骗问题层出不穷，从个人用户隐私权的角度来看，用户对于自身隐私信息失去控制，很有可能被攻击者盗用合法身份进行非法行为，给用户财产及生命安全带来危害；从服务提供商的角度来看，由于留存大量用户敏感信息，因此极易成为攻击者的目标，一旦数据库发生泄露，不仅会威胁到核心业务，也会在名誉和用户赔偿上受到极大影响。因此，隐私保护的身份认证技术是互联网应用的刚需。

eID在我国被定义为公民网络电子身份标识，由公安部统一签发，以密码学相关技术为基础，智能卡芯片为载体，公民通过eID在网络上远程证明自己的真实、有效身份的同时保护了自己的身份信息，具有隐私保护、普适性等特点。我国近年来同样制定了一系列相关技术标准。2002年，通过分析、研究国外PKI/PMI标准体系，完成了适合于国内的PKI/PMI标准的制定；2008年，开始研究身份管理(IdM)相关技术，将其分为三个技术阶段，分别是：1.研究IdM的需求；2.设计应用场景，制定IdM体系架构、功能模块以及协议机制；3.完善数据模型，制定API接口。公安部第三研究所分别于2011年10月和2012年7月牵头负责研究制定了《网络电子身份格式规范》和《网络电子身份标识eID载体安全技术要求》。我国对于eID的推行已取得显著成果，2012年，已将北京邮电大学作为试点，发放了3万张加载eID的校园卡。公安部分别于2012年、2014年和2016年与中国工商银行、上海银行、中国建设银行签订协议，合作发行嵌入eID的金融IC卡。

发明内容

针对现有技术存在的问题，本发明提供一种隐私保护的身份属性证明系统及方法。

本发明的技术方案如下：

一种隐私保护的身份属性证明系统，包括：系统服务端、系统客户端和服务提供商；

服务提供商：被实例化为服务商客户端和服务商服务端，服务商服务端生成服务的访问策略，向服务商客户端发送该访问策略，服务商服务端对用于属性证明的证据进行验证，验证证据的有效性和所有权：如果验证通过，服务商服务端批准服务商客户端的服务请求，否则，拒绝服务商客户端的服务请求；服务商客户端向服务商服务端发送服务请求，重定向到系统客户端，向其发送该访问策略；

系统服务端：向身份颁发者请求某类属性的证书；对证书中的属性重新签名，并生成属性凭证，将属性凭证颁发给系统客户端；

系统客户端：解析访问策略后，检索访问策略中的属性标签：若该属性的凭证未保存在系统客户端中，则系统客户端向系统服务端申请该属性的凭证，系统服务端对用户进行身份认证，向系统客户端发送身份认证通知；接收到身份认证通知后，与系统服务端交互，完成身份认证；通过聚合签名，生成用于属性证明的证据，并将证据发送给服务商服务端。

本发明还提供一种隐私保护的身份属性证明方法，包括：