CN105791259A - 一种个人信息保护的方法 - Google Patents

Abstract

一种个人信息保护的方法，该方法包括如下系统：系统包括用户终端节点、服务提供节点、终端服务节点、身份令牌服务提供节点以及可信业务管理节点，所述用户终端节点为包括手机在内的智能终端；服务提供节点包括任意在互联网上为用户提供服务的机构；终端服务节点包括基于互联网提供相关服务器节点；身份令牌服务提供节点，负责用户信息注册，及信息的存储及分类，令牌信息的生成、管理，验证，并根据SP业务选择对应属性的令牌信息，密钥管理，用户、服务提供商和终端服务入网注册的审核服务；可信业务管理节点，负责用户终端中或者与用户终端连接的安全载体单元的内容管理。

Description

一种个人信息保护的方法

技术领域

本发明涉及个人信息保护领域，尤其涉及一种基于服务类别和用户令牌信息的互联网用户个人信息保护系统和方法。

背景技术

随着互联网、物联网时代的到来，接入到互联网上的用户终端以及在互联网上为用户提供服务的服务提供商数量迅速增长。

一方面，每当用户在接入一项服务时都被要求进行身份验证，服务提供商常常要求用户填写各种类型的个人信息，如银行卡号，身份证号码，护照号码，地址和电话号码等；另一方面，用户在使用互联网业务时的行为数据也被大量存储于服务提供商的服务器上，于是，各种类型的服务提供商的服务器上大量存储着用户的各种个人信息，只要其中一个服务提供商的服务器遭受攻击，用户的敏感信息就可能被泄露。相关事件已经于近年来在全球各地出现，一旦发生用户个人信息泄露的情况，将会使用户蒙受巨大的损失，比如信用卡被盗刷、身份证信息被复制等等。

发明内容

为了实现互联网服务接入过程中的用户个人敏感信息保护，本发明的技术方案如下：一种个人信息保护方法，该方法包括如下系统：系统包括用户终端节点、服务提供节点、终端服务节点、身份令牌服务提供节点以及可信业务管理节点，所述用户终端节点为包括手机在内的智能终端，并且该终端通常配置有安全载体单元或者配置有可通过USB接口外接的安全载体单元；服务提供节点包括任意在互联网上为用户提供服务的机构；终端服务节点包括基于互联网提供相关服务器节点；身份令牌服务提供节点，负责用户信息注册，及信息的存储及分类，令牌信息的生成、管理，验证，并根据SP业务选择对应属性的令牌信息，密钥管理，用户、服务提供商和终端服务入网注册的审核服务；可信业务管理节点，负责用户终端中或者与用户终端连接的安全载体单元的内容管理，所述方法主要包含以下步骤：

S1.服务提供商(SP)在令牌服务节点的注册：服务提供商向身份令牌服务提供商（iTSP）提供服务提供商自身的身份信息，身份令牌服务提供商验证相关信息，验证通过后，为其分配唯一的识别号；身份令牌服务提供商根据预先制定的规则为该服务提供商确定服务类别；

S2.终端服务在令牌服务节点的注册：终端服务向iTSP提供终端服务自身的身份信息，身份令牌服务提供商验证相关信息，验证通过后，为其分配唯一的识别号；

S3.用户在令牌服务节点的注册：用户通过运行在用户终端上的个人信息保护系统客户端应用程序向iTSP提供用户信息，iTSP首先依据预先制定的规则对用户信息进行分类，形成用户信息子集，并利用分类的用户信息子集和环境信息，生成一个或者多个用户令牌，同时为每个令牌添加信息域，生成用户令牌信息，生成令牌信息后，iTSP将令牌信息通过可信业务管理节点存储到用户终端的安全载体单元中；

S4.用户注册SP的服务：当用户使用某服务提供商所提供的业务时，用户首先被要求向SP提出注册请求，当用户选择使用令牌进行注册时，SP首先请求用户授权，在用户授权通过后，获得用户的许可后，SP可通过iTSP应用程序或者相应的API读取存储在上述用户终端上安全载体单元中的用户令牌信息，相应的客户端应用程序可以根据SP的服务类别，选择该服务类别对应的令牌，SP提取令牌信息中iTSP的URL信息，根据令牌信息中的URL信息寻址iTSP，并请求验证用户令牌信息的有效性，验证通过后，iTSP根据服务提供商的服务类别返回与其服务类别相对应的用户身份信息子集或者向SP反馈用户身份有效信息，用户身份信息子集是用户身份认证注册信息的子集；

S5.用户接入SP的服务：用户提出接入SP服务的请求时，SP请求用户授权，在用户授权通过后可通过iTSP应用程序或者相应的API读取存储在上述用户终端上安全载体中的用户令牌信息，可以选择，相应的客户端应用程序可以根据SP的服务类别，选择该服务类别对应的令牌，SP提取根据令牌信息中iTSP的URL信息寻址，根据URL信息向iTSP请求验证用户令牌信息的有效性，iTSP将验证的结果返回给SP，SP依据验证的结果决定是否允许用户接入其服务；

S6.当服务提供商生成账单，通过终端向用户提出支付请求时，根据用户授权，服务提供商可通过身份令牌服务提供商应用程序或者相应的API读取存储于用户终端安全载体单元中的用户具有支付属性的令牌信息，在读取令牌信息前，授权可通过用户输入安全载体单元访问密码，根据业务性质，相应的客户端应用程序可以选择具有支付属性的用户令牌信息，用户授权后，服务提供商将用户令牌信息和支付账单数据发送给支付网络，支付网络根据用户具有支付属性的令牌信息从身份令牌服务提供商处得到用户支付账号信息，支付网络通过与开户银行建立的连接，依据用户支付账号信息执行包括支付在内的业务。

进一步，在步骤S1中，每个SP可以定义一个或多个服务类别，并且依据一定的规则，不同的服务类别可映射到SP对用户信息的不同访问权限，所定义的用户信息的访问权限可依据相关的规则以及SP营业执照中的营业范围确定，不同的国家或者区域可能定义的规则有所不同，仍可采用上述基本方法实现类似功能。

进一步，所述安全载体单元划分不同的身份令牌域，每个身份令牌域至少包含用户令牌信息、访问密码以及公私密钥对以完成签名功能。

进一步，在步骤S3中，根据不同的应用需求，对用户信息进行了分类，对用户信息进行分类是依据相关的标准或者规则划分为不同的用户信息子集，并根据SP的类别给予不同SP对不同数据的访问权限。

进一步，在步骤S3中，用户令牌可以是一串用户令牌可以是一串若干位十六进制数组成的字符串，通过对与用户身份信息相关的信息子集以及生成时的环境数据进行摘要算法得到，为了保证所生成的令牌的唯一性，可在令牌生成后与本iTSP令牌数据集合进行比对，完成唯一性确认。

进一步，在步骤S3中，用户令牌信息包括iTSP生成的用户令牌以及设定的令牌信息域，令牌信息域包括但不仅限于如下信息：令牌属性，令牌有效时间和签发令牌的iTSP的名称以及URL信息。

进一步，在步骤S3中，用户可在一个或多个签发令牌的iTSP注册，并生成各自的令牌，不同的iTSP通过上述令牌信息的名称标识以及对应的URL区分。

进一步，在步骤S3中，iTSP生成用户令牌信息后，通过可信业务管理节点将令牌信息存储到用户终端的安全载体单元相应的身份令牌域中，每个身份令牌域对应一个iTSP，可以选择的，用户令牌信息以数字证书的形式存放到安全载体单元的身份令牌域中，用户或者iTSP可以通过可信业务管理节点定期或者不定期更新令牌信息。

进一步，在步骤S4中的用户注册服务过程中，当iTSP验证SP发送的用户令牌信息之后，依据SP的服务类别，可把用户令牌对应的信息子集通过安全通道返回给SP，用户信息子集通常存储于iTSP的数据库。

进一步，在步骤S5中，服务提供商可以存储用户的令牌信息，当用户再次接入时，服务提供商可以在本地数据库对比用户令牌信息的正确性，如果没有相关的用户令牌信息，则再请求iTSP验证用户令牌信息的有效性。

进一步，在步骤S6中，支付请求发生时，用户应该选择有支付属性的令牌信息，包括选择能够支持支付属性的iTSP,或者相关客户端应用程序根据业务请求自动选择带有支付属性的令牌信息，支付网络通过具有支付属性的令牌向iTSP请求用户的支付账号信息，执行支付业务。

进一步，在步骤S3,S4,S5,S6中，SP客户端应用程序读取的令牌信息包括用户令牌、令牌属性、令牌有效时间、签发令牌的iTSP的名称以及URL信息,SP会根据URL信息与iTSP通信发出令牌解析请求。

进一步，用户可以针对不同的业务选择不同的令牌方法实现个人信息保护，相应的客户端应用程序可以自动地区分SP的服务类别，智能选择该服务类别对应属性的令牌。

进一步，读取令牌信息后，可以在用户界面上显示令牌属性信息，以方便用户进行选择，令牌的选择需要用户的授权，用户授权的方式包括在读取令牌信息前要求用户输入安全载体单元访问密码。

本发明的有益效果在于：

首先，用户只需要在令牌服务提供商进行一次身份注册，获取由令牌服务提供商颁发的令牌后，即可使用令牌接入不同的服务提供商所提供的多种类型的互联网服务，与此同时，只要该服务提供商在上述令牌服务提供商进行了注册，就可以根据服务类别获取用户的相应的信息，简化了用户在各个服务提供商繁琐的注册和接入过程；

其次，在本个人信息保护系统和方法中，依据所规定的服务提供商的服务类别，赋予服务提供商访问相应的用户个人信息的权限或者通过令牌服务提供商验证身份，避免了服务提供商存取不必要的用户个人敏感信息，一方面，即使在服务提供商所部属的系统侧发生用户数据泄露的情况下，用户的损失也会被减小到最低的程度；另一方面，由于尽量少地涉及不必要的用户敏感信息，服务提供商只需要建设必要的用户信息管理系统，降低了系统建设成本与运营风险；

最后，整个个人信息保护系统和方法是基于令牌信息的，在用户接入服务提供商的服务时，不会显式关联用户的姓名、身份证号码、银行账号等敏感信息，即这些敏感信息不会在SP的服务器上存储，即使服务提供商使用用户交易等敏感行为数据来完成交易分析等大数据业务时，由于令牌业务服务提供商是根据服务类别为该服务提供商提供必要的用户信息，因此大大降低了用户个体行为敏感信息的泄露。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明一实施例的用户个人信息保护系统框架图。

图2为本发明一实施例的用户个人信息保护保护方法框架图。

图3为本发明一实施例的用户终端身份认证应用相关模块。

图4为本发明一实施例的服务提供节点组成单元图。

图5为本发明一实施例的支付网络节点组成单元图。

图6为本发明一实施例的身份令牌服务提供节点组成单元图。

图7为本发明一实施例的可信业务管理节点组成单元图。

图8为本发明一实施例的哈希算法

图9为本发明一实施例的用户在身份令牌服务节点注册流程图。

图10为本发明一实施例的服务提供商在身份令牌服务节点注册流程图。

图11为本发明一实施例的支付网络在身份令牌服务节点注册流程图。

图12为本发明一实施例的用户在服务提供节点注册及接入服务流程图。

图13为本发明一实施例的用户支付流程图。

具体实施方式

下面结合附图和实施例对本实用新型进行进一步说明。

如图1所示，本发明所描述的个人信息保护系统和方法涉及到的系统组成部分包括用户终端101，服务提供节点102、支付网络节点103、身份令牌服务节点104以及可信业务管理节点105。

用户终端101的个人信息保护应用相关模块的逻辑组成如图2所示，由服务提供商应用程序app1(201)、身份认证系统应用程序app2(202)以及安全载体单元(203)组成。可选择，用户身份认证系统应用程序app2以API的形式内嵌于服务提供商应用程序app1，或者，服务提供商应用程序app1以可载入的应用程序的形式存在于身份认证系统应用程序app2的框架中，具体模式与不同的实现方式相关。

服务提供服务器节点102至少由四个单元组成，如图3所示，分别是用户管理单元301、安全通信单元302、业务管理单元303以及数据库304。用户管理单元301负责用户令牌以及个人信息的管理以及与令牌服务提供商通信以便完成验证；安全通信单元302负责与服务提供商应用程序app1(201)、身份令牌服务节点104以及支付网络节点103通信；业务管理单元303负责所提供业务的处理；数据库304存储用户信息。

支付网络节点103至少由四个单元组成，如图4所示，分别是支付受理单元401、业务逻辑单元402、结算中心单元403以及数据库404。支付受理单元401负责接收服务提供节点102发送的用户支付请求，业务逻辑单元402负责与身份令牌服务提供商通信，获取令牌信息所对应的用户的支付账号信息，并处理其他的支付业务逻辑；结算中心单元403负责到对应的银行执行用户的支付请求；数据库404存储用户、服务提供商以及交易过程中的一些信息。

身份令牌服务提供节点104的模块组成如图5所示，由五个单元组成，即用户终端管理单元501、服务提供商管理单元502、支付网络管理单元503、令牌信息管理单元504、令牌信息解析单元505以及数据库506构成。用户终端管理单元501负责用户注册信息的管理；服务提供商管理单元502负责服务提供商注册信息的管理和验证；支付网络管理单元503负责支付网络注册信息的管理和验证；令牌信息管理单元504负责为用户生成、存储以及管理令牌信息；令牌信息解析单元505负责服务提供节点以及支付网络节点请求的用户令牌信息验证和用户支付账号信息的解析；数据库506存储用户、令牌、服务提供商等相关信息。

可信业务管理节点105逻辑上由两部分组成，如图6所示，分别是安全载体管理单元601以及身份令牌服务商节点通信单元602。前者负责用户终端101中安全载体单元的管理，包括添加、更新、删除安全载体单元上的应用程序等功能；后者实现与身份令牌服务商节点的通信接口。

为了实施对个人敏感信息的保护，本方法实施了基于服务分类以及令牌信息的个人信息保护体系架构，大体包括如下5个过程：

1.用户身份信息在令牌服务提供节点的注册及令牌生成流程；

2.服务提供商在令牌服务提供节点的注册流程；

3.支付网络节点在令牌服务提供节点的注册流程；

4.用户在服务提供节点注册或接入服务流程；

5.用户支付流程。

以下通过实施例具体描述每个过程的流程图。

一、用户身份信息在令牌服务提供节点的注册流程及令牌生成流程

在使用基于令牌的身份认证体系之前，用户首先需要在身份令牌服务节点进行注册。如图7所示，注册流程主要包括以下步骤：

701用户通过终端101上的特定应用程序，如身份认证系统应用程序app2（202），向身份令牌服务节点104发起用户注册请求。个人信息保护系统应用程序app2(202)与令牌服务节点104中的用户终端管理单元501通信，触发用户终端101的安全载体单元203上的身份令牌域生成本身份令牌域的公私钥对，其中私钥存储在安全载体单元203中，公钥通过身份认证系统应用程序app2(202)发送给令牌服务商104中的用户终端管理单元501，用户终端管理单元501将公钥存储到数据库506中；

702身份认证系统应用程序app2(202)提示用户填写各类个人信息，可以包括但不局限于用户姓名、性别、职业、邮箱、电话号码、身份证号码、银行卡号等，还可以包括用户的生物识别信息和用户行为信息等；

703在本实施例中，可以采用两种方式存储用户信息。一种是将用户信息存储于身份令牌服务提供节点的相应数据库中，另外一种是将用户信息存储于用户终端安全载体单元中。对于前一种方案，在用户确认后，身份认证系统应用程序app2(202)采用存储于安全载体单元203中的私钥对上述用户填写的各类个人信息进行签名加密，并通过安全协议（例如https）发送到令牌服务节点104中的用户终端管理单元501；对于后一种方案，则在用户确认后，身份认证系统应用程序app2(202)仅对上述用户填写的部分用于验证个人有效身份的信息进行签名加密，并通过安全协议（例如https）发送到令牌服务节点104中的用户终端管理单元501。用于验证个人有效身份的信息可以包括手机号、电子邮箱号码等；

704用户终端管理单元501采用存储于数据库506中的公钥对加密的用户信息进行解密，同时校验用户信息的正确性。校验的方法可以选择但不局限于发送手机、电子邮件激活码，与银行系统确认用户账号信息等手段；倘若用户信息校验错误，则提示用户核实用户信息，回到步骤703，否则执行以下步骤；

705如果身份令牌服务提供节点存储用户个人信息，则身份令牌服务提供节点104中的用户终端管理单元501对用户信息进行分类，并将分类的结果发送给令牌信息管理单元504。用户信息的每个单项称为信元，每个分类的子集与相应的信息属性关联。例如，用户信息可以归结为如下属性：

第一类，公民信息属性，公民信息属性可以包含用户姓名、生物信息、身份证号、长久居住地址等信元；

第二类，商业信息属性，商业信息属性可以包括用户信誉度、送货地址、手机号码、邮箱地址等信元；

第三类，金融信息属性，金融信息属性可以包括银行卡号，账户信息，职业、投资等信元；

第四类，用户行为信息属性，用户行为属性可以包括用户实时地理位置，交通社会关系等信元。

第五类，教育信息属性，教育信息属性可以包括教育背景等信息；

第六类，健康与医疗健康属性，该属性可以包括用户的医疗与健康状况信息等；

信息属性和信元的一种映射关系如下表所示：

鉴于信息可能有多种分类方式，这里不一一列举。

在令牌生成过程中，令牌信息管理单元504可以对用户信息进行处理，生成一个令牌，也可以对不同的用户信息子集生成不同的令牌信息，并将令牌信息存储到数据库506中；通常，令牌是一串若干位十六进制数组成的字符串，在令牌生成的方法中可以保证每一个令牌都是唯一的，并与用于生成令牌的用户信息的子集一一对应。为了保证所生成的令牌的唯一性，可在令牌生成后与本iTSP令牌数据集合进行比对，完成唯一性确认，如果令牌不唯一，则要求重新生成令牌。

当令牌生成的数据源对应到分类的个人信息时，每个令牌相应地被赋予了属性，令牌的属性用户的个人信息分类子集的属性相对应。

如图所示，一种令牌生成方法是通过对与用户身份信息相关的信息子集以及生成时的环境数据（如，时间，经纬度等位置数据）通过哈希(Hash)算法得到图8所示，即

以公民令牌生成为例，按照预定规则，用户王明的如下信息可分类到公民信息类别：

（1）王明的身份证号为110****X；

（2）王明的生物识别信息，如指纹信息（在本例中，假定王明的指纹信息纯的二进制表示为10001010100100110001111111）；

（3）长久居住地址为“北京市海淀区**号”；

生成令牌的环境信息如下：

（4）时间为2015-06-02-10:15:20

为了简化说明，本实施例在生成令牌时，没有使用用户的位置信息。则哈希算法输入的信息为如下数据串：

“王明”+10001010100100110001111111+622****X+北京市海淀区**号+20150602101520。

本实施例假定用户令牌为16位，那么经过哈希后的用户令牌为：44907333552032104226。令牌属性为“公民令牌属性”；

令牌生成后，令牌信息管理单元504为每个令牌添加包括如下信息域，例如令牌属性，令牌有效时间和签发令牌的iTSP的名称以及URL等信息，令牌属性对应于用户信息子集的分类。用户令牌以及附加的信息域构成用户令牌信息。令牌信息管理单元504生成令牌信息后，可选的，可以为令牌分配一个有效的时间，并将该有效时间储存到数据库506中。

如果用户终端安全载体单元203存储用户的个人信息，则当705步骤中用户终端管理单元501验证用户身份有效之后，用户终端管理单元501告知身份认证系统应用程序app2(202)用户身份有效，然后身份认证系统应用程序app2(202)按照上述的算法对用户进行信息进行分类，并生成用户的令牌信息。在令牌生成过程中，可以对用户信息进行处理，生成一个令牌，也可以对不同的用户信息子集生成不同属性的令牌。与此同时，身份认证系统应用程序app2(202)将生成的令牌信息加密后发送给身份令牌服务提供节点104的用户终端管理单元501，用户终端管理单元501将用户令牌信息存储到数据库506中；为了保证所生成的令牌的唯一性，可在令牌生成后与本iTSP令牌数据集合进行比对，完成唯一性确认。

706如果身份令牌服务提供节点存储用户个人信息，则身份令牌服务提供商104中的令牌信息管理单元504将上述产生的用户令牌信息发送给可信业务管理节点105中的身份令牌服务商节点通信单元602，身份令牌服务商节点通信单元602将上述的用户令牌信息通过安全载体管理单元601存储到用户终端101的安全载体单元203中。所生成的令牌信息的储存格式可定义为：iTSP名称：iTSP的地址(URL)：令牌属性名称：令牌（十六进制数字符串）：令牌有效期（可选）。以公民信息属性的令牌为例，步骤706中的令牌信息在安全载体单元303中储存的方式为：

iTSP：www.***.com：公民信息属性：44907333552032104226：2015-12-01

如果用户终端安全载体单元203存储用户的个人信息，则将用户上述填写的个人信息以及令牌信息存储到用户终端的安全载体单元203中，存储格式与上述方式可选择一致；

在这一步中，可以选择的，令牌信息可以以数字证书的形式存放于用户终端安全载体单元203中。

707最后，身份令牌服务节点104中的用户终端管理单元501依据令牌信息管理单元504处理的结果告知用户注册的结果。

二、服务提供商在令牌服务提供节点的注册流程

在允许用户接入其服务之前，首先服务提供节点102需要在身份令牌服务节点104上注册。注册过程可以通过身份令牌服务提供商的门户网站进行，也可以提交纸质的申请材料。以前者为例，注册的流程和步骤包括（如图9所示）：

801服务提供节点102中的业务管理单元303在身份令牌服务节点104填写企业相关的信息以及请求的服务类别，通过安全通信单元302向身份令牌服务节点104中的服务提供商管理单元502提交注册请求。这些信息可以包括但不局限于公司名称、公司法人代表、请求的服务类别、组织机构代码、营业执照扫描件等信息；

802服务提供商管理单元502接收到上述服务提供节点102提交的注册信息后，校验注册信息的有效性，校验的方法可以包括到工商局验证组织机构代码、营业执照信息的有效性等；若信息有误，则要求服务提供商102重新提交申请，否则执行以下步骤；

803服务提供商管理单元502根据服务提供节点102请求的服务类别，结合营业执照中的经营范围为服务提供分配服务类别。服务的类型可以分为但不局限于公民信息类型、电子商务类型、交通类型、金融类型、医疗类型、教育等类型，这些服务类别需要预先确定。服务提供商管理单元502依据相关规则定义每种类型对用户信息的访问权限，每一个访问权限对应一个标签(Tag)，标签由若干个十六进制符号表示，其个数与用户信息集的个数有关。例如，用户信息一共有十六个信元，包括姓名、生物信息、身份证号、长久居住地址、用户信誉度、送货地址、手机号码、邮箱地址、银行卡号、教育背景、职业、投资、用户实时地理位置、交通、医疗、社会关系。这些信元按顺序排列，采用两个字节16个比特(bit)来表示用户的信息集。身份令牌服务提供商104根据服务提供商102的服务类别，例如，电子商务类型内容服务提供商能够访问第五到第八个信元，则该类型的访问权限标签为0F00；一个示例的访问权限如下表所示：

804同时，身份令牌服务节点104中的服务提供商管理单元502为上述提交申请的服务提供商节点102分配唯一的识别号(ID)，该识别号可以选择LEI号；

805最后，服务提供商管理单元502将上述分配的服务类别和识别号发送给服务提供节点102中业务管理单元303。业务管理单元303接收到服务类别和识别号之后，在本地生成PKI密钥对，所产生的私钥保存到数据库304，公钥发送给身份令牌服务节点104中的服务提供商管理单元502，服务提供商管理单元502将公钥保存到数据库506中。

三、支付网络节点在服务提供节点注册流程

支付网络节点在服务提供节点注册的流程和步骤如下（如图11所示）：

901支付网络节点103中的业务逻辑单元402向身份令牌服务节点104的支付网络管理单元503提交相关的信息，请求身份的注册。提交的信息可以包括但不局限于机构名称、机构法人代表、组织机构代码、营业执照扫描件等信息；

902支付网络管理单元503接收到上述支付网络节点103提交的注册信息后，校验注册信息的有效性，校验的方法可以包括到工商局验证组织机构代码、营业执照信息的有效性等；若信息有误，则要求支付网络节点103重新提交申请，否则执行以下步骤；

903身份令牌服务节点104中的支付网络管理单元503为上述提交申请的支付网络节点103分配唯一的识别号(ID)，该识别号可以选择LEI号，也可以通过支付网络103所提交的注册信息哈希得到；

904支付网络管理单元503将上述分配的识别号发送给支付网络节点103中业务逻辑单元402。业务逻辑单元402接收到识别号之后，与身份令牌服务提供节点建立一条安全传输通道，该传输通道可以采用诸如https安全传输协议等技术。

四、用户在服务提供节点注册或接入服务流程

当用户首次使用服务提供商的服务时，需要在服务提供节点102上进行注册；之后，用户就可以直接使用服务提供节点102提供的服务。用户终端101在服务提供节点102上注册和接入两个过程有相似的地方，其流程和步骤如下（如图12所示）：

1001用户通过用户终端101下载并打开服务提供商的应用程序app1(201)，在首次使用时，app1提示用户首先进行注册才能使用该服务，否则提示用户请求服务接入；

1002当用户在服务提供商的应用程序app1(201)上提交注册或接入请求后，应用程序app1（201）与身份认证系统应用程序app2（202）通信，请求用户令牌信息；

1003身份认证系统应用程序app2（202）从安全载体单元203读取用户令牌信息，显示在app2（202）程序界面上，并提示用户选择某个令牌信息。令牌的选择需要用户的授权，用户授权的方式包括在读取令牌信息前要求用户输入安全载体单元访问密码，例如PIN码或者使用生物识别信息进行授权表明用户许可等。当用户选择某个令牌信息后，可以选择采用储存于安全载体单元203中的私钥对令牌信息进行签名加密再发送给服务提供商应用程序app1（201）。身份认证系统应用程序app2（202）在显示用户令牌信息时，可以只显示用户令牌的属性类型。用户在选择令牌信息时，应判断接入的服务是哪种类型，从而选择对应的令牌信息；

1004服务提供商应用程序app1（201）将用户请求的指令、用户选择的令牌信息和其他一些与服务相关的信息通过服务提供节点102中的安全通信单元302发送给用户管理单元301。倘若用户首次使用该服务，则请求的指令为“注册”；若用户想接入该服务，则请求的指令为“接入”。其他的与服务相关的信息由服务提供商根据业务的不同自己定义；

1005用户管理单元301接收到上述用户的请求后，首先从用户令牌信息中提取签发令牌的iTSP节点的URL信息，以便确定需要通信的iTSP节点。倘若用户请求的指令为“注册”，则将请求的指令、用户令牌信息以及服务提供商的身份识别号通过安全通信单元302转发给身份令牌服务节点104的令牌信息解析单元505。倘若用户请求的指令为“接入”，服务提供节点102可以选择将用户令牌信息发送给身份令牌服务提供商104的令牌信息解析单元505，请求验证令牌的有效性，也可以选择在本地数据库304对用户的令牌信息进行验证（用户已经在服务提供商节点102上注册过）。在发送请求信息时，出于安全的考虑可以选择采用服务提供节点102数据库304中的私钥进对请求的指令以及用户令牌信息进行加密；

1006令牌信息解析单元505收到服务提供节点102中用户管理单元301的请求后，在第1005步选择加密的情况下，需要根据服务提供节点102的识别号从数据库506中取出上述服务提供节点102的公钥对加密的信息进行解密；

1007令牌信息解析单元505收到服务提供商102用户管理单元301的请求后，在第1003步选择加密的情况下，采用存储于数据库506中的用户公钥对用户令牌信息进行解密，并验证用户令牌信息的有效性。用户令牌信息有效性的校验包括查看数据库中用户信息是否存在，用户令牌是否在有效时间之内等；

1008若用户令牌信息无效，则返回用户令牌无效命令给用户管理单元301；否则令牌信息解析单元505判断服务提供节点102的请求指令，如果请求的指令为用户注册，则执行以下1009、1010两步骤，否则从第911步开始执行；

1009如果身份令牌服务提供节点存储用户个人信息，则令牌信息解析单元505根据服务提供商识别号查找服务提供节点102的服务类别，根据对应的服务类别及相应的权限定义TAG提取用户相应的信息子集，可选择将用户的信息子集返回给服务提供节点102的用户管理单元301。如果用户终端安全载体单元203存储用户的个人信息，则令牌信息解析单元505根据服务提供商识别号查找服务提供节点102的服务类别,将服务类别发送给身份认证系统应用程序app2（202）。身份认证系统应用程序app2（202）根据服务类别从安全载体单元203中提取用户相应的信息子集，并将用户的信息子集发送给服务提供节点102的用户管理单元301；

1010服务提供节点102的用户管理单元301将上述的用户信息子集以及令牌信息存储到数据库304中，并通过安全通信单元302告知用户终端101注册完成；

1011令牌信息解析单元505返回用户令牌有效的信息给服务提供节点102中的用户管理单元301；

1012用户管理单元301告知服务提供节点102中的业务管理单元303用户令牌有效，业务管理单元303为用户终端101接入其服务。

五、用户支付流程

当用户选择在用户终端101上进行支付请求时，需要采用个人信息保护系统完成支付业务，具体的流程和步骤如下（如图12所示）：

1101服务提供节点102中的业务管理单元303在用户终端101的服务提供商应用程序app1（201）上生成账单信息，请求用户支付；

1102应用程序app1（201）与身份认证系统应用程序app2（202）通信，请求用户令牌信息；

1103身认证系统应用程序app2（202）从用户终端安全载体单元203通过API读取用户令牌信息，显示在app2程序界面上，并提示用户选择带有支付属性的令牌信息。令牌的选择需要用户的授权，用户授权的方式包括在读取令牌信息前要求用户输入安全载体单元访问密码，例如PIN码或者使用生物识别信息进行授权表明用户许可等。可以选择的，身认证系统应用程序app2（302）根据支付业务请求自动选择带有支付属性的用户令牌信息。当用户选择令牌信息后，可以选择采用储存于安全载体单元203中的私钥对令牌信息进行签名加密再发送给服务提供商应用程序app1。身份认证系统应用程序app2在显示用户令牌信息时，可以只显示用户令牌的类型；

1104服务提供商应用程序app1(201)将用户令牌以及支付账单信息发送给支付网络节点103中的支付受理单元401。支付受理单元401接受业务管理单元303的请求，将用户支付信息转发给业务逻辑单元402；

1105业务逻辑单元402首先从用户令牌信息中提取签发令牌的iTSP节点的URL信息，然后向对应的身份令牌服务节点104的令牌信息解析单元505发送用户令牌信息，请求用户的支付账号信息。支付账号信息包括用户姓名、银行卡号等信息；

1106令牌信息解析单元505验证用户令牌的有效性，如果身份令牌服务提供节点存储用户个人信息，则将令牌对应的用户支付账号信息直接发送给支付网络业务逻辑单元402。如果用户终端安全载体单元203存储用户的个人信息，则令牌信息解析单元505请求身份认证系统应用程序app2（202）获取用户支付账号信息。身份认证系统应用程序app2（202）根据令牌信息从安全载体单元203中提取用户的支付账号信息，并返回给令牌信息解析单元505，令牌信息解析单元505将令牌对应的用户支付账号信息加密后发送给支付网络业务逻辑单元402，支付网络业务逻辑单元402使用存储于支付网络的私钥对此信息进行解密；用于对用户支付账号信息进行加密的密钥对可在支付网络注册时由支付网络生成，私钥可存储于支付网络的相应的数据库，公钥通过由支付网络通过安全通道分发到身份令牌服务商，并存储于相应的密钥数据库。

1107业务逻辑单元402进行必要的业务逻辑处理，并将令牌信息解析单元505返回的用户账号信息以及支付金额转发给结算中心单元403。结算中心单元403负责与相应的银行处理用户的支付请求，并将处理的结果反馈给业务逻辑单元402；

1108业务逻辑单元402通过支付受理单元401将支付的结果返回给服务提供商应用程序app1(201)；

1109服务提供商应用程序app1(201)告知服务提供商102的业务管理单元303用户支付是否成功。

Claims (14)

1.一种个人信息保护的方法，其特征在于，该方法包括如下系统：系统包括用户终端节点、服务提供节点、包括支付节点在内的终端服务节点、身份令牌服务提供节点以及可信业务管理节点，所述用户终端节点为包括手机在内的智能终端，并且该终端通常配置有安全载体单元或者配置有可通过USB接口外接的安全载体单元；服务提供节点包括任意在互联网上为用户提供服务的机构；终端服务节点包括基于互联网提供相关服务器节点；身份令牌服务提供节点，负责用户信息注册，及信息的存储及分类，令牌信息的生成、管理，验证，并根据SP业务选择对应属性的令牌信息，密钥管理，用户、服务提供商和终端服务入网注册的审核服务；可信业务管理节点，负责用户终端中或者与用户终端连接的安全载体单元的内容管理，所述方法主要包含以下步骤：

S1.服务提供商(SP)在令牌服务节点的注册：服务提供商向身份令牌服务提供商（iTSP）提供服务提供商自身的身份信息，身份令牌服务提供商验证相关信息，验证通过后，为其分配唯一的识别号；身份令牌服务提供商根据预先制定的规则为该服务提供商确定服务类别；

S2.终端服务在令牌服务节点的注册：终端服务向iTSP提供终端服务自身的身份信息，身份令牌服务提供商验证相关信息，验证通过后，为其分配唯一的识别号；

S3.用户在令牌服务节点的注册：用户通过运行在用户终端上的个人信息保护系统客户端应用程序向iTSP提供用户信息，iTSP首先依据预先制定的规则对用户信息进行分类，形成用户信息子集，并利用分类的用户信息子集和环境信息，生成一个或者多个用户令牌，同时为每个令牌添加信息域，生成用户令牌信息，生成令牌信息后，iTSP将令牌信息通过可信业务管理节点存储到用户终端的安全载体单元中；

S4.用户注册SP的服务：当用户使用某服务提供商所提供的业务时，用户首先被要求向SP提出注册请求，当用户选择使用令牌进行注册时，SP首先请求用户授权，在用户授权通过后，获得用户的许可后，SP可通过iTSP应用程序或者相应的API读取存储在上述用户终端上安全载体单元中的用户令牌信息，相应的客户端应用程序可以根据SP的服务类别，选择该服务类别对应的令牌，SP提取令牌信息中iTSP的URL信息，根据令牌信息中的URL信息寻址iTSP，并请求验证用户令牌信息的有效性，验证通过后，iTSP根据服务提供商的服务类别返回与其服务类别相对应的用户身份信息子集或者向SP反馈用户身份有效信息，用户身份信息子集是用户身份认证注册信息的子集；

S5.用户接入SP的服务：用户提出接入SP服务的请求时，SP请求用户授权，在用户授权通过后可通过iTSP应用程序或者相应的API读取存储在上述用户终端上安全载体中的用户令牌信息，可以选择，相应的客户端应用程序可以根据SP的服务类别，选择该服务类别对应的令牌，SP提取根据令牌信息中iTSP的URL信息寻址，根据URL信息向iTSP请求验证用户令牌信息的有效性，iTSP将验证的结果返回给SP，SP依据验证的结果决定是否允许用户接入其服务；

S6.当服务提供商生成账单，通过终端向用户提出支付请求时，根据用户授权，服务提供商可通过身份令牌服务提供商应用程序或者相应的API读取存储于用户终端安全载体单元中的用户具有支付属性的令牌信息，在读取令牌信息前，授权可通过用户输入安全载体单元访问密码，根据业务性质，相应的客户端应用程序可以选择具有支付属性的用户令牌信息，用户授权后，服务提供商将用户令牌信息和支付账单数据发送给支付网络，支付网络根据用户具有支付属性的令牌信息从身份令牌服务提供商处得到用户支付账号信息，支付网络通过与开户银行建立的连接，依据用户支付账号信息执行包括支付在内的业务。

2.根据权利要求1所述的方法，其特征在于，在步骤S1中，每个SP可以定义一个或多个服务类别，并且依据一定的规则，不同的服务类别可映射到SP对用户信息的不同访问权限，所定义的用户信息的访问权限可依据相关的规则以及SP营业执照中的营业范围确定，不同的国家或者区域可能定义的规则有所不同，仍可采用上述基本方法实现类似功能。

3.根据权利要求1所述的方法，其特征在于，所述安全载体单元划分不同的身份令牌域，每个身份令牌域至少包含用户令牌信息、访问密码以及公私密钥对以完成签名功能。

4.根据权利要求1所述的方法，其特征在于，在步骤S3中，根据不同的应用需求，对用户信息进行了分类，对用户信息进行分类是依据相关的标准或者规则划分为不同的用户信息子集，并根据SP的类别给予不同SP对不同数据的访问权限。

5.根据权利要求4所述的方法，其特征在于，在步骤S3中，用户令牌可以是一串用户令牌可以是一串若干位十六进制数组成的字符串，通过对与用户身份信息相关的信息子集以及生成时的环境数据进行摘要算法得到，为了保证所生成的令牌的唯一性，可在令牌生成后与本iTSP令牌数据集合进行比对，完成唯一性确认。

6.根据权利要求5所述的方法，其特征在于，在步骤S3中，用户令牌信息包括iTSP生成的用户令牌以及设定的令牌信息域，令牌信息域包括但不仅限于如下信息：令牌属性，令牌有效时间和签发令牌的iTSP的名称以及URL信息。

7.根据权利要求4或5所述方法，其特征在于，在步骤S3中，用户可在一个或多个签发令牌的iTSP注册，并生成各自的令牌，不同的iTSP通过上述令牌信息的名称标识以及对应的URL区分。

8.根据权利要求1所述的方法，其特征在于，在步骤S3中，iTSP生成用户令牌信息后，通过可信业务管理节点将令牌信息存储到用户终端的安全载体单元相应的身份令牌域中，每个身份令牌域对应一个iTSP，可以选择的，用户令牌信息以数字证书的形式存放到安全载体单元的身份令牌域中，用户或者iTSP可以通过可信业务管理节点定期或者不定期更新令牌信息。

9.根据权利要求1所述的方法，其特征在于，在步骤S4中的用户注册服务过程中，当iTSP验证SP发送的用户令牌信息之后，依据SP的服务类别，可把用户令牌对应的信息子集通过安全通道返回给SP，用户信息子集通常存储于iTSP的数据库。

10.根据权利要求1所述的方法，其特征在于，在步骤S5中，服务提供商可以存储用户的令牌信息，当用户再次接入时，服务提供商可以在本地数据库对比用户令牌信息的正确性，如果没有相关的用户令牌信息，则再请求iTSP验证用户令牌信息的有效性。

11.根据权利要求1所述的方法，其特征在于，在步骤S6中，支付请求发生时，用户应该选择有支付属性的令牌信息，包括选择能够支持支付属性的iTSP,或者相关客户端应用程序根据业务请求自动选择带有支付属性的令牌信息，支付网络通过具有支付属性的令牌向iTSP请求用户的支付账号信息，执行支付业务。

12.根据权利要求1所述的方法，其特征在于，在步骤S3,S4,S5,S6中，SP客户端应用程序读取的令牌信息包括用户令牌、令牌属性、令牌有效时间、签发令牌的iTSP的名称以及URL信息，SP会根据URL信息与iTSP通信发出令牌解析请求。

13.根据权利要求12所述的方法，其特征在于，用户可以针对不同的业务选择不同的令牌方法实现个人信息保护，相应的客户端应用程序可以自动地区分SP的服务类别，智能选择该服务类别对应属性的令牌。

14.根据权利要求12所述的方法，其特征在于，读取令牌信息后，可以在用户界面上显示令牌属性信息，以方便用户进行选择，令牌的选择需要用户的授权，用户授权的方式包括在读取令牌信息前要求用户输入安全载体单元访问密码。