[发明专利]身份数据访问控制方法、装置和系统

权利要求书

1.一种身份数据访问控制方法，包括：

身份发行方提供网络或其它访问接口，让其用户直接或者间接访问身份发行方，在验证用户身份后，获取该用户专属的身份数据，在发放用户身份数据前，身份发行方需要将运行身份发行方的组织与其发放的用户身份进行关联，并将关联信息以及上述用户身份的验证信息存放在可信公共服务上；

访问请求发送步骤：在身份发行方向可信公共服务方注册并将用户身份数据的格式信息存储在可信公共服务方的情况下，将访问请求发送给可信公共服务方；

回复信息接收步骤：接收所述可信公共服务方发送的允许访问的回复信息，从而确认身份发行方存储在所述可信公共服务方上的用户的身份数据格式信息没有更新；

请求接收步骤：接收服务提供方发送的身份数据请求并提示给用户；

用户授权步骤：接收用户对所述数据请求的授权指令；和

数据发送步骤：基于所述授权指令，根据所述身份数据请求将与所述用户的身份数据有关的授权数据发送给所述服务提供方，以便所述服务提供方基于所述授权数据在所述可信公共服务方对所述用户的身份进行验证；

回复信息接收步骤还包括：当身份发行方吊销用户身份或者修改用户的数据时，在可信公共服务方做相应的更新。

2.根据权利要求1所述的方法，其特征在于，在所述回复信息接收步骤中：在接收到所述可信公共服务方发送的不允许访问的回复信息的情况下，向身份发行方获取所述用户的身份数据和访问所述可信公共服务方的权限。

3.根据权利要求1所述的方法，其特征在于，在所述回复信息接收步骤中，所述身份数据格式信息为身份数据的存储格式，其中，所述身份数据包括：用户标识、用户身份和身份发行方标识。

4.根据权利要求1至3中任一项所述的方法，其特征在于，在所述请求接收步骤前，该方法还包括：

公钥交换步骤：在与服务提供方建立连接的情况下，与服务提供方交换公钥。

5.根据权利要求1至3中任一项所述的方法，其特征在于，在所述数据发送步骤中，所述根据所述身份数据请求将与所述用户的身份数据有关的授权数据发送给所述服务提供方包括：

在所述身份数据请求是身份数据的部分或全部内容的情况下，将身份数据的部分或全部内容、身份发行方的签名和用户的签名发送给所述服务提供方。

6.根据权利要求1至3中任一项所述的方法，其特征在于，在所述数据发送步骤中，所述根据所述身份数据请求将与所述用户的身份数据有关的授权数据发送给所述服务提供方包括：

在所述身份数据请求是身份数据证明的情况下，将零知识证明发送给所述服务提供方。

7.根据权利要求5所述的方法，其特征在于，在所述数据发送步骤中，所述服务提供方基于所述授权数据在所述可信公共服务方对所述用户的身份进行验证的步骤包括：

所述服务提供方基于用户的公钥和从所述可信公共服务方获得的身份发行方的公钥分别验证所述用户的签名和所述身份发行方的签名，从而对所述用户的身份进行验证。