CN108881106B - 网络电子身份验证的系统和方法 - Google Patents

Abstract

本申请提供了一种网络电子身份验证的系统和方法，该系统包括：eID标识载体、应用系统、eID标识第三方验证系统和载体验证系统，该eID标识载体向该应用系统发送签名值、eID标识载体的载体识别号和eID标识；该应用系统向该eID标识第三方验证系统发送签名原文、签名值、eID标识载体的载体识别号和eID标识，该eID标识第三方验证系统向载体验证系统发送验签请求；该载体验证系统验证签名值；该eID标识第三方验证系统验证eID标识；该eID标识第三方验证系统向该应用系统发送验证结果。本申请提供的网络电子身份验证系统，兼容eID标准载体和加载eID标识的载体，增加用户的选择性降低个人隐私信息外泄的风险。

Description

网络电子身份验证的系统和方法

技术领域

本申请涉及信息安全领域，并且更具体地，涉及一种网络电子身份验证的系统和方法。

背景技术

近年来eID载体验证方式在互联网上开始流行，公民在互联网上需要完成身份认证时，可使用银行办理的eID载体，在互联网应用上完成“贴卡+输入密码”的方式来完成身份认证。行业(企业、机构等)应用载体是指由各行业或各部委或各企业等机构统一规划，面向社会、企业内部、行业内部等发行的智能安全芯片载体，能够实现各行各业内部的使用。

eID的发行需要涉及载体开发改造、柜面读载体系统、后台系统、发行系统等多系统的开发改造，eID的发行对实施要求很高，需要投入大量的人力物力及时间成本，与行业应用融合性低。当前eID服务仅基于eID标准载体，发行渠道单一，eID服务单一，把其他行业应用形式载体纳入体系中比较困难。行业应用载体仅能在行业应用中使用，无法面向行业应用外其他领域提供服务，服务性单一，融入eID标准载体体系门槛高。

发明内容

本申请提供了一种网络电子身份验证的系统和方法，实现了利用eID标识对eID进行验证，用户在进行eID验证时，可以选择eID标准载体和加载eID标识的载体，增加了用户的选择性，并且降低个人隐私信息外泄的风险。

第一方面，提供了一种网络电子身份验证的系统，该系统包括：网络电子身份标识eID标识载体、应用系统、eID标识第三方验证系统和载体验证系统；

该eID标识载体向该应用系统发送签名值、eID标识载体的载体识别号和eID标识，其中，该eID标识用于该eID标识第三方验证系统获取该eID标识对应的用户身份；

该应用系统向该eID标识第三方验证系统发送签名原文、该签名值、该eID标识载体的载体识别号和该eID标识；

该eID标识第三方验证系统向载体验证系统发送验签请求，该验签请求包括该签名原文、该签名值和该eID标识载体的载体识别号；

该载体验证系统验证该签名值；

如果该签名值验证成功，该载体验证系统将该签名值验证成功的消息发送给该eID标识第三方验证系统；

该eID标识第三方验证系统根据该eID标识，验证eID；

该eID标识第三方验证系统在验证该eID标识后，向该应用系统发送验证结果。

该方案，利用加载eID标识的行业应用的载体进行了eID的认证，解决了eID与行业应用融合性低的问题，用户在进行eID验证时，可以选择eID标准载体和加载eID标识的载体，增加了用户的选择性，并且降低个人隐私信息外泄的风险。

在第一方面可能的实现方式中，该系统还包括行业应用载体发行系统和eID标识第三方生成系统；

该行业应用载体发行系统向该eID标识第三方生成系统发送请求消息，该请求消息包括用户姓名和身份证号；

该eID标识第三方生成系统根据用户姓名和身份证号生成eID标识；

该eID标识第三方生成系统将该eID标识发送给该行业应用载体发行系统；

该行业应用载体发行系统根据该eID标识，形成该eID标识载体，该eID标识载体上包括对称或非对称密钥；

该行业应用载体发行系统将该eID标识载体与该eID标识的匹配信息发送给该eID标识第三方生成系统。

该方案，eID标识第三方生成系统根据用户姓名和身份证号生成eID标识，该行业应用载体发行系统将该eID标识写入载体中，不需要设计eID证书管理，eID证书写入及载体COS开发等工作，仅需对发行系统做细微改造，载体柜面发行系统、后台系统等均不涉及升级，使eID的发行门槛更低，更容易发放，解决了行业应用载体仅能在行业应用中使用的问题。

在第一方面可能的实现方式中，该eID标识包括下列信息中的任意一种：

网络电子身份标识eIDcode、用户网络身份应用标识编码appeIDcode和dcode。

在第一方面可能的实现方式中，该eID标识载体的识别号包括下列信息中的任意一种：

该eID标识载体的载体号、该eID标识载体的卡号和该eID标识载体的证书序列号。

在第一方面可能的实现方式中，该eID标识第三方验证系统在验证该eID后，向该应用系统发送验证结果，包括：

该eID标识第三方验证系统生成该eID标识对应的用户在该应用系统的用户网络身份应用标识编码；

该eID标识第三方验证系统向该应用系统发送验证结果和该用户网络身份应用标识编码。

第二方面，提供了一种网络电子身份验证的系统，该系统包括：网络电子身份标识eID标识载体、应用系统、eID标识第三方验证系统和载体验证系统；

该eID标识载体向该应用系统发送签名值、eID标识载体的载体识别号和eID标识，其中，该eID标识用于该eID标识第三方验证系统获取该eID标识对应的用户身份；

该应用系统向该载体验证系统发送验签请求，该验签请求包括该签名原文、该签名值、该eID标识载体的载体识别号和该eID标识；

该载体验证系统验证该签名值；

如果该签名值验证成功，该载体验证系统向该eID标识第三方验证系统发送eID标识验证请求，该eID标识验证请求包括签名验证结果、该eID标识载体的载体识别号和该eID标识；

该eID标识第三方验证系统根据该eID标识，验证eID；

该eID标识第三方验证系统在验证该eID标识后，向该载体验证系统发送验证结果。

该方案，利用加载eID标识的行业应用的载体进行了eID的认证，解决了eID与行业应用融合性低的问题，用户可以在行业应用系统进行eID验证，降低个人隐私信息外泄的风险。

在第二方面可能的实现方式中，该系统还包括行业应用载体发行系统和eID标识第三方生成系统；

该行业应用载体发行系统向该eID标识第三方生成系统发送请求消息，该请求消息包括用户姓名和身份证号；

该eID标识第三方生成系统根据用户姓名和身份证号生成eID标识；

该eID标识第三方生成系统将该eID标识发送给该行业应用载体发行系统；

该行业应用载体发行系统根据该eID标识，形成该eID标识载体，该eID标识载体上包括对称或非对称秘钥；

该行业应用载体发行系统将该eID标识载体与该eID标识的匹配信息发送给该eID标识第三方生成系统。

该方案，eID标识第三方生成系统根据用户姓名和号生成eID标识，该行业应用载体发行系统将该eID标识写入载体中，不需要设计eID证书管理，eID证书写入及载体COS开发等工作，仅需对发行系统做细微改造，载体柜面发行系统、后台系统等均不涉及升级，使eID的发行门槛更低，更容易发放，解决了行业应用载体仅能在行业应用中使用的问题。

在第二方面可能的实现方式中，在该eID标识载体向该应用系统发送签名值、eID标识载体的载体识别号和eID标识之前，该系统还包括：

该应用系统向该eID标识验证系统上传应用信息请求在eID领域备案；

该eID标识验证系统向该应用系统发送appid和appkey。

在第二方面可能的实现方式中，该eID标识包括下列信息中的任意一种：

网络电子身份标识编码eIDcode、用户网络身份应用标识编码appeIDcode和dcode。

在第二方面可能的实现方式中，该eID标识载体的识别号包括下列信息中的任意一种：

该eID标识载体的载体号、该eID标识载体的卡号和该eID标识载体的证书序列号。

在第二方面可能的实现方式中，该eID标识第三方验证系统在验证该eID后，向该应用系统发送验证结果，包括：

该eID标识第三方验证系统生成该eID标识对应的用户在该应用系统的用户网络身份应用标识编码；

该eID标识第三方验证系统向该应用系统发送验证结果和该用户网络身份应用标识编码。

第三方面，提供了一种网络电子身份验证的方法，该方法应用于包括eID标识载体、应用系统、eID标识第三方验证系统和载体验证系统；

该应用系统向该eID标识第三方验证系统发送签名原文、该签名值、该eID标识载体的载体识别号和该eID标识；

该应用系统接收该eID标识第三方验证系统发送的验证结果。

在第三方面可能的实现方式中，该eID标识包括下列信息中的任意一种：

网络电子身份标识编码eIDcode、用户网络身份应用标识编码appeIDcode和dcode。

在第三方面可能的实现方式中，该eID标识载体的识别号包括下列信息中的任意一种：

该eID标识载体的载体号、该eID标识载体的卡号和该eID标识载体的证书序列号。

第四方面，提供了一种网络电子身份验证的方法，该方法应用于包括网络电子身份标识eID标识载体、应用系统、eID标识第三方验证系统和载体验证系统；

该载体验证系统接收该eID标识第三方验证系统发送的身份验证请求，该身份验证请求包括签名原文、签名值、eID标识载体的载体识别号和eID标识；

该载体验证系统验证该签名值；

如果该载体签名值验证成功，该载体验证系统将该签名值验证成功的消息发送给该eID标识第三方验证系统。

在第四方面可能的实现方式中，该eID标识包括下列信息中的任意一种：

网络电子身份标识编码eIDcode、用户网络身份应用标识编码appeIDcode和dcode。

在第四方面可能的实现方式中，该eID标识载体的识别号包括下列信息中的任意一种：

该eID标识载体的载体号、该eID标识载体的卡号和该eID标识载体的证书序列号。

第五方面，提供了一种网络电子身份验证的方法，其特征在于，该方法应用于包括网络电子身份标识eID标识载体、应用系统、eID标识第三方验证系统和载体验证系统；

eID标识第三方验证系统接收应用系统发送的签名原文、该签名值、该eID标识载体的载体识别号和该eID标识；

该eID标识第三方验证系统根据该eID标识，验证eID；

该eID标识第三方验证系统在验证该eID标识后，向该应用系统发送验证结果。在第五方面可能的实现方式中，该eID标识包括下列信息中的任意一种：

网络电子身份标识编码eIDcode、用户网络身份应用标识编码appeIDcode和dcode。

在第五方面可能的实现方式中，该eID标识载体的识别号包括下列信息中的任意一种：

该eID标识载体的载体号、该eID标识载体的卡号和该eID标识载体的证书序列号。

第六方面，提供了一种网络电子身份验证的方法，该方法应用于包括网络电子身份标识eID标识载体、应用系统、eID标识第三方验证系统和载体验证系统；

所述应用系统向所述载体系统发送验签请求，所述验签请求包括签名原文、签名值、eID标识载体的载体识别号和eID标识；

所述应用系统接收所述载体验证系统发送的验证结果。

在第六方面可能的实现方式中，该eID标识包括下列信息中的任意一种：

网络电子身份标识编码eIDcode、用户网络身份应用标识编码appeIDcode和dcode。

在第六方面可能的实现方式中，该eID标识载体的识别号包括下列信息中的任意一种：

该eID标识载体的载体号、该eID标识载体的卡号和该eID标识载体的证书序列号。

第七方面，提供了一种网络电子身份验证的方法，该方法应用于包括网络电子身份标识eID标识载体、应用系统、eID标识第三方验证系统和载体验证系统；

所述载体验证系统接收所述应用系统发送的身份验证请求，所述身份验证请求包括签名原文、签名值、eID标识载体的载体识别号和eID标识；

所述载体验证系统验证所述签名值；

如果所述载体签名值验证成功，所述载体验证系统将所述签名值验证成功的消息发送给所述eID标识第三方验证系统。

在第七方面可能的实现方式中，该eID标识包括下列信息中的任意一种：

网络电子身份标识编码eIDcode、用户网络身份应用标识编码appeIDcode和dcode。

在第七方面可能的实现方式中，该eID标识载体的识别号包括下列信息中的任意一种：

该eID标识载体的载体号、该eID标识载体的卡号和该eID标识载体的证书序列号。

第八方面，提供了一种网络电子身份验证的方法，该方法应用于包括网络电子身份标识eID标识载体、应用系统、eID标识第三方验证系统和载体验证系统；

eID标识第三方验证系统接收所述载体验证系统发送的eID标识验证请求，所述eID标识验证请求包括签名验证结果、所述eID标识载体的载体识别号和所述eID标识；

所述eID标识第三方验证系统根据所述eID标识，验证eID；

所述eID标识第三方验证系统在验证所述eID标识后，向所述载体验证系统发送验证结果。

在第八方面可能的实现方式中，该eID标识包括下列信息中的任意一种：

网络电子身份标识编码eIDcode、用户网络身份应用标识编码appeIDcode和dcode。

在第八方面可能的实现方式中，该eID标识载体的识别号包括下列信息中的任意一种：

该eID标识载体的载体号、该eID标识载体的卡号和该eID标识载体的证书序列号。

附图说明

图1是根据本发明实施例的网络电子身份验证的系统的示意性框图。

图2是根据本发明实施例的网络电子身份验证的系统的示意性框图。

图3是根据本发明实施例的生成网络电子身份标识的系统的示意性框图。

图4是根据本发明实施例的网络电子身份验证的方法的示意性流程图。

图5是根据本发明实施例的网络电子身份验证的方法的另一示意性流程图。

图6是根据本发明实施例的网络电子身份验证的方法的又一示意性流程图。

图7是根据本发明实施例的网络电子身份验证的方法的示意性流程图。

图8是根据本发明实施例的网络电子身份验证的方法的另一示意性流程图。

图9是根据本发明实施例的网络电子身份验证的方法的又一示意性流程图。

图10是根据本发明实施例的网络电子身份验证的方法的再一示意性流程图。

图11是根据本发明实施例的网络电子身份验证的方法的再一示意性流程图。

具体实施方式

下面将结合附图，对本发明实施例中的技术方案进行描述。

本发明实施例提供的用于验证身份信息的系统和方法，可以应用于计算机上，该计算机包括硬件层、运行在硬件层之上的操作系统层，以及运行在操作系统层上的应用层。该硬件层包括中央处理器(Central Processing Unit，CPU)、内存管理单元(MemoryManagement Unit，MMU)和内存(也称为主存)等硬件。该操作系统可以是任意一种或多种通过进程(Process)实现业务处理的计算机操作系统，例如，Linux操作系统、Unix操作系统、Android操作系统、windows操作系统等。该应用层包含浏览器、通讯录、文字处理软件、即时通信软件等应用。并且，在本发明实施例中，该计算机可以是智能手机等手持设备，也可以是个人计算机等终端设备，本发明实施例并未特别限定，只要能够通过运行记录有本发明实施例的用于核验身份信息的系统和方法的程序，以根据本发明实施例的用于核验身份信息的系统和方法对用户的身份进行核验即可。本发明实施例的用于核验身份信息的方法执行主体可以是计算机设备，或者，是计算机设备中能够调用程序并执行程序的功能模块。

此外，本发明实施例的各个方面或特征可以实现成方法、装置或使用标准编程和/或工程技术的制品。用于执行本申请实施例的用于核验身份信息的系统和方法的程序涵盖可从任何计算机可读器件、载体或介质访问的计算机程序。例如，计算机可读介质可以包括，但不限于：磁存储器件(例如，硬盘、软盘或磁带等)，光盘(例如，压缩盘(Compact Disc，CD)、数字通用盘(Digital Versatile Disc，DVD)等，智能卡和闪存器件(例如，可擦写可编程只读存储器(Erasable Programmable Read-Only Memory，EPROM)、卡、棒或钥匙驱动器等)。另外，本文描述的各种存储介质可代表用于存储信息的一个或多个设备和/或其它机器可读介质。术语“机器可读介质”可包括但不限于，无线信道和能够存储、包含和/或承载指令和/或数据的各种其它介质。

为了便于理解本发明实施例，首先简单介绍本发明实施例的一些概念。

网络电子身份标识(electronic Identity，简称“eID”)，是一种以密码技术为基础，以智能卡芯片为载体，由公安部统一签发给公民的、权威的、保护个人身份信息的、普适的网络身份标识。它能够用于在互联网上不泄露身份信息的前提下远程识别个人的身份。

eID卡，是eID的载体，目前主要是金融IC卡，可以通过银行网点发放，发放过程中银行会对用户的真实身份做严格审核，确保本人申领，审核通过后才将eID颁发给用户。eID面签过程可信且具有普适性。eID基于公安部人口库的审核，由“公安部公民网络身份识别系统”统一签发，可进行跨地域、跨行业的网络身份服务，具有权威性，且采用密码技术为基础，具有高安全性。eID含有一对由智能安全芯片内部产生的非对称密钥，通过高强度安全机制确保其无法被非法读取、复制、篡改或使用；其唯一性标识采用国家商用密码算法生成，不含任何个人身份信息，有效保护了公民身份信息。eID用于身份认证是一种具有权威性、安全性、普适性和隐私性的认证方法。

数字证书，是互联网通讯中标志通讯各方身份信息的一串数字，提供了一种在Internet上验证通信实体身份的方式，数字证书不是数字身份证，而是身份认证机构盖在数字身份证上的一个章或印(或者说加在数字身份证上的一个签名)。可以在网上用它来识别对方的身份。

数字证书信息，可以为数字证书的序列号，该序列号用于唯一地标识该数字证书(该数字证书信息可以理解为数字证书的标识)，该数字证书用于唯一地标识用户身份(该数字证书可以理解为用户的身份标识)。

为方便理解本发明实施例，以下，简单介绍私钥签名、公钥验证的具体过程。

设备A(可对应于本发明实施例的eID卡)持有一对公私钥对，包括公钥a1和私钥a2，公钥a1为设备A的数字证书中包含的公钥，私钥a2为设备A自身持有的私钥。设备A使用私钥a2对待签原文的摘要M的摘要(或者说，待签原文的摘要M的哈希值)进行加密，生成电子签名m(即私钥签名)。其中，该待签原文的摘要M可以理解为明文信息或签名的明文信息。

另一方面，设备B(可应对本发明实施例的eID第三方认证子系统)可以获取设备A的数字证书，该数字证书中保存有公钥a1。设备B基于公钥a1对该电子签名m进行解密，得到该待签原文的摘要M的摘要。

进一步地，设备B可以对待签原文使用Hash函数进行计算，将得到的结果与上述解密后得到的待签原文的摘要进行对比，若两者一致，可以确定该电子签名m是设备A利用自身唯一的私钥a2计算出的，从而设备B验证了设备A的身份，同时也可证明该电子签名m保护的待签原文的摘要M未被篡改。

应理解，以上列举的方法仅为示例性说明，不应对本发明实施例构成任何限定，用于计算电子签名的签名算法和签名Hash算法要根据数字证书中表明的算法进行计算。

需要说明是，本发明实施例中的情况和方式的划分仅是为了描述的方便，不应构成特别的限定，各种情况和方式中的特征在不矛盾的情况下可以相结合。

以下，结合图1至图6详细说明电子身份认证的系统和方法。

图1是根据本发明实施例的一种网络电子身份验证的系统的示意性框图。如图1所示，该系统100包括：网络电子身份标识eID标识载体110、应用系统120、eID标识第三方验证系统130和载体验证系统140。其中，该eID标识载体110、该应用系统120、该eID标识第三方验证系统130和该载体验证系统140通信连接，所述应用系统120支持eID标准载体进行eID验证。

该系统100可以利用eID标识验证eID，该eID标识载体110向该应用系统120发送签名值、eID标识载体的载体识别号和eID标识，其中，该eID标识用于该eID标识第三方验证系统130获取该eID标识对应的eID；该应用系统120向该eID标识第三方验证系统130发送签名原文、所述签名值、所述eID标识载体的载体识别号和所述eID标识；该eID标识第三方验证系统130向载体验证系统140发送验签请求，该验签请求包括该签名原文、该签名值和该eID标识载体的载体识别号；

该载体验证系统140验证该签名值；如果该载体签名值验证成功，该载体验证系统140将该签名值验证成功的消息发送给该eID标识第三方验证系统130；该eID标识第三方验证系统130根据该eID标识，验证eID；该eID标识第三方验证系统在验证该eID后，向该应用系统120发送验证结果。

具体地，该应用系统120向该eID标识载体110发送签名原文，该签名原文可以为事件(例如，开户)发生的时间、唯一标识该事件的业务流水号以及业务信息(例如，开户号)中的至少一种。

该eID标识载体110根据该eID标识载体110的私钥和签名原文生成签名值，该eID标识载体110将生成的签名值、签名原文eID标识载体的载体识别号和eID标识发送给该应用系统120。

该应用系统120向该eID标识第三方验证系统130发送签名原文、该签名值、该eID标识载体的载体识别号和该eID标识；

该eID标识第三方验证系统向载体验证系统发送验签请求，该验签请求包括该签名原文、该签名值和该eID标识载体的载体识别号；

该载体验证系统140根据eID标识载体的载体识别号，去数据库(可选地，该载体验证系统140可以存储该数据库)中，检索该载体识别号所对应的数字证书，若能够检索到对应的数字证书则说明该用户是真实存在的。进一步地，根据数字证书中保存的公钥，对签名值进行解密，得到签名原文。该载体验证系统140可以对通过运算得到的签名原文和接收到的签名原文进行对比，若两者一致，则可以确定该签名值验证成功；若两者不一致，则可以确定该签名值验证失败。

如果该载体签名值验证成功，该载体验证系统140将该签名值验证成功的消息发送给该eID标识第三方验证系统130；该eID标识第三方验证系统130根据该eID标识，验证eID。该eID标识第三方验证系统130根据该eID标识，对用户的实名信息进行验证。

具体地，该eID标识第三方验证系统130向该应用系统120发送验证结果包括，该eID标识第三方验证系统130生成该用户在此应用平台唯一的身份标识码appeIDcode，该用户的网络身份应用标识编码appeIDcode与应用相对应。该appeIDcode与用户具有一一对应的关系，每一个appeIDcode可以唯一地标识一个用户。但这并不代表每一个企业服务子系统120对同一个用户具有相同的appeIDcode。对于不同的企业服务子系统120，eID第三方认证子系统130对同一个用户的身份信息经过运算得到的appeIDcode是不同的，由此可以避免用户在不同网络应用中的行为数据被汇聚、分析和追踪，最大程度地保护个人身份和隐私信息。

可选地，eID标识第三方验证系统130可以包括eID网络身份服务机构(IndentityService Provider，IDSP)、网络身份运行机构(Indentity Service Operator，IDSO)和eID中心。其中，IDSP用于连接IDSO与线上应用服务机构(例如企业服务子系统120)，向线上应用服务机构提高eID网络身份增值服务。

IDSO用于连接eID签发机构与eID网络身份服务机构，承担eID网络身份识别基础服务，并与eID网络身份服务机构合作向线上应用服务结构提供eID网络身份公共增值服务和相关安全增值服务。

可选地，载体验证系统为可验证行业(企业、机构等)应用载体签名的系统，包含但不限于行业应用验证系统、行业应用运营系统、行业应用服务系统。

可选地，该系统还包括行业应用载体发行系统和eID标识第三方生成系统；

该行业应用载体发行系统向该eID标识第三方生成系统发送请求消息，该请求消息包括用户姓名和身份证号；

该eID标识第三方生成系统根据用户姓名和身份证号生成eID标识；

该eID标识第三方生成系统将该eID标识发送给该行业应用载体发行系统；

该行业应用载体发行系统根据该eID标识，形成该eID标识载体，该eID标识载体上包括对称或非对称密钥；

该行业应用载体发行系统将该eID标识载体与该eID标识的匹配信息发送给该eID标识第三方生成系统。

应理解，该行业应用载体发行系统、该应用系统120和该载体验证系统140属于一个行业领域。例如，工商银行下的应用载体发行系统、应用系统、和载体验证系统，应用载体发行系统可以发行载体如银行卡或芯片卡，该载体发行系统发行的载体携带eID标识。

可选地，加载eID标识的载体是指符合eID高强度安全机制要求的智能安全芯片载体，如：金融IC卡、社保卡、市民卡、USBKey等。eID标识在载体智能安全芯片内存储。eID标识发放过程中发行机构会对用户的真实身份做严格审核，确保本人申领，审核通过后才将加载eID的载体颁发给用户。因此，eID标识面签过程可信且具有普适性。

可选地，加载eID标识的载体具有一张载体上现有的数字证书，利用该数字证书的验证，可保证eID标识验证的准确性、可靠性。

该方案，eID标识第三方生成系统根据用户姓名和身份证号生成eID标识，该行业应用载体发行系统将该eID标识写入载体中，不需要设计eID证书管理，eID证书写入及载体COS开发等工作，仅需对发行系统做细微改造，载体柜面发行系统，后台系统等均不涉及升级，使eID的发行门槛更低，更容易发放，解决了行业应用载体仅能在行业应用中使用的问题。

可选地，该eID标识信息包含但不限于网络电子身份标识eIDcode、用户网络身份应用标识编码appeIDcode和dcode。

可选地，该eID标识载体的识别号可作为载体的唯一识别信息，包含但不限于该eID标识载体的载体号、该eID标识载体的卡号和该eID标识载体的证书序列号。

图2是根据本发明实施例的图1是根据本发明实施例的一种网络电子身份验证的系统的示意性框图。如图1所示，该系统200包括：网络电子身份标识eID标识载体210、应用系统220、载体验证系统230和eID标识第三方验证系统240。其中，该网络电子身份标识eID标识载体210、该应用系统220、该载体验证系统230和该eID标识第三方验证系统240通信连接，该应用系统220不支持eID标准载体。

该eID标识载体210向该应用系统220发送签名值、eID标识载体的载体识别号和eID标识，其中，该eID标识用于该eID标识第三方验证系统240获取该eID标识对应的用户身份；

该应用系统220向该载体验证系统230发送验签请求，该验签请求包括该签名原文、该签名值、该eID标识载体的载体识别号和该eID标识；

该载体验证系统240验证该签名值；

如果该签名值验证成功，该载体验证系统230向该eID标识第三方验证系统240发送eID标识验证请求，该eID标识验证请求包括签名验证结果、该eID标识载体的载体识别号和该eID标识；

该eID标识第三方验证系统240根据该eID标识，验证eID；

该eID标识第三方验证系统240在验证该eID标识后，向该载体验证系统发送验证结果。

该方案，利用加载eID标识的行业应用的载体进行了eID的认证，解决了eID与行业应用融合性低的问题，用户可以在行业应用系统进行eID验证，降低个人隐私信息外泄的风险。

可选地，eID标识第三方验证系统240可以包括eID网络身份服务机构(IndentityService Provider，IDSP)、网络身份运行机构(Indentity Service Operator，IDSO)和eID中心。其中，IDSP用于连接IDSO与线上应用服务机构(例如企业服务子系统220)，向线上应用服务机构提高eID网络身份增值服务。

IDSO用于连接eID签发机构与eID网络身份服务机构，承担eID网络身份识别基础服务，并与eID网络身份服务机构合作向线上应用服务结构提供eID网络身份公共增值服务和相关安全增值服务。

可选地，载体验证系统为可验证行业(企业、机构等)应用载体签名的系统，包含但不限于行业应用验证系统、行业应用运营系统、行业应用服务系统。

可选地，该系统还包括行业应用载体发行系统和eID标识第三方生成系统；

该行业应用载体发行系统向该eID标识第三方生成系统发送请求消息，该请求消息包括用户姓名和身份标识号；

该eID标识第三方生成系统根据用户姓名和身份标识号生成eID标识；

该eID标识第三方生成系统将该eID标识发送给该行业应用载体发行系统；

该行业应用载体发行系统根据该eID标识，形成该eID标识载体，该eID标识载体上包括对称或非对称密钥；

该行业应用载体发行系统将该eID标识载体与该eID标识的匹配信息发送给该eID标识第三方生成系统。

可选地，在该eID标识载体向该应用系统发送签名值、eID标识载体的载体识别号和eID标识之前，该系统还包括：

该应用系统向该eID标识验证系统上传应用信息请求在eID领域备案；

该eID标识验证系统向该应用系统发送appid和appkey。

图3是根据本发明实施例的一种生成网络电子身份标识的系统300的示意性框图。如图3所示，该系统300包括：行业应用载体发行系统310和eID标识第三方生成系统320；

该行业应用载体发行系统310向该eID标识第三方生成系统320发送请求消息，该请求消息包括用户姓名和身份证号；

该eID标识第三方生成系统320根据用户姓名和身份证号生成eID标识；

该eID标识第三方生成系统320将该eID标识发送给该行业应用载体发行系统310；

该行业应用载体发行系统310将该eID标识写入载体中；

该行业应用载体发行系统310将该载体与该eID标识的匹配信息发送给该eID标识第三方生成系统320。

可选地，加载eID标识的载体是指符合eID高强度安全机制要求的智能安全芯片载体，如：金融IC卡、社保卡、市民卡、USBKey等。eID标识在载体智能安全芯片内存储。eID标识发放过程中发行机构会对用户的真实身份做严格审核，确保本人申领，审核通过后才将加载eID的载体颁发给用户。因此，eID标识面签过程可信且具有普适性。

可选地，加载eID标识的载体具有一张载体上现有的数字证书，利用该数字证书的验证，可保证eID标识验证的准确性、可靠性。

该方案，eID标识第三方生成系统根据用户姓名和身份证号生成eID标识，该行业应用载体发行系统将该eID标识写入载体中，不需要设计eID证书管理，eID证书写入及载体COS开发等工作，仅需对发行系统做细微改造，载体柜面发行系统，后台系统等均不涉及升级，使eID的发行门槛更低，更容易发放，解决了行业应用载体仅能在行业应用中使用的问题。

可选地，该eID标识信息包含但不限于网络电子身份标识eIDcode、用户网络身份应用标识编码appeIDcode和dcode。

可选地，该eID标识载体的识别号可作为载体的唯一识别信息，包含但不限于该eID标识载体的载体号、该eID标识载体的卡号和该eID标识载体的证书序列号。

图4是根据本发明实施例的一种网络电子身份验证的方法400的示意性流程图，该方法400应用于包括eID标识载体、应用系统、eID标识第三方验证系统和载体验证系统中，如图3所示，该方法400包括：

S410，该应用系统向该eID标识第三方验证系统发送签名原文、该签名值、该eID标识载体的载体识别号和该eID标识；

S420，该应用系统接收该eID标识第三方验证系统发送的验证结果。

应理解，该方法400可以由上述实施例提供的应用系统100来执行，根据本发明实施例的网络电子身份验证的方法400中的各个步骤或流程，可应用于本发明实施例中的一种网络电子身份验证的系统100的各个模块的上述和其他操作和/或流程，为了简洁此处不再赘述。

图5是根据本发明实施例的一种网络电子身份验证的方法500的示意性流程图，该方法500应用于包括网络电子身份标识eID标识载体、应用系统、eID标识第三方验证系统和载体验证系统；

S510，该载体验证系统接收该eID标识第三方验证系统发送的验签请求，该验签请求包括该签名原文、该签名值和该eID标识载体的载体识别号；

S520，该载体验证系统验证该签名值；

S530，如果该载体签名值验证成功，该载体验证系统将该签名值验证成功的消息发送给该eID标识第三方验证系统。

应理解，该方法500可以由上述实施例提供的应用系统100来执行，根据本发明实施例的网络电子身份验证的方法500中的各个步骤或流程，可应用于本发明实施例中的一种网络电子身份验证的系统100的各个模块的上述和其他操作和/或流程，为了简洁此处不再赘述。

图6是根据本发明实施例的一种网络电子身份验证的方法500的示意性流程图，该方法600应用于包括网络电子身份标识eID标识载体、应用系统、eID标识第三方验证系统和载体验证系统；

S610，eID标识第三方验证系统接收载体验证系统发送的签名值验证成功的消息和eID标识；

S620，该eID标识第三方验证系统根据该eID标识，验证eID；

S630，该eID标识第三方验证系统在验证该eID后，向该应用系统发送验证结果。

应理解，该方法600可以由上述实施例提供的应用系统100来执行，根据本发明实施例的网络电子身份验证的方法600中的各个步骤或流程，可应用于本发明实施例中的一种网络电子身份验证的系统100的各个模块的上述和其他操作和/或流程，为了简洁此处不再赘述。

图7是根据本发明实施例的一种网络电子身份验证的方法700的示意性流程图，该方法700应用于包括网络电子身份标识eID标识载体、应用系统、eID标识第三方验证系统和载体验证系统；

S710，该应用系统向该载体验证系统发送验签请求，该验签请求包括签名原文、签名值、eID标识载体的载体识别号和eID标识；

S720，该应用系统接收该eID标识第三方验证系统发送的验证结果。

应理解，该方法700可以由上述实施例提供的应用系统200来执行，根据本发明实施例的网络电子身份验证的方法700中的各个步骤或流程，可应用于本发明实施例中的一种网络电子身份验证的系统200的各个模块的上述和其他操作和/或流程，为了简洁此处不再赘述。

图8是根据本发明实施例的一种网络电子身份验证的方法800的示意性流程图，该方法800应用于包括网络电子身份标识eID标识载体、应用系统、eID标识第三方验证系统和载体验证系统；

S810，该载体验证系统接收该应用系统发送的身份验证请求，该身份验证请求包括签名原文、签名值、eID标识载体的载体识别号和eID标识；

S820，该载体验证系统验证该签名值；

S830，如果该载体签名值验证成功，该载体验证系统向该eID标识第三方验证系统发送eID标识验证请求。

应理解，该方法800可以由上述实施例提供的应用系统200来执行，根据本发明实施例的网络电子身份验证的方法800中的各个步骤或流程，可应用于本发明实施例中的一种网络电子身份验证的系统200的各个模块的上述和其他操作和/或流程，为了简洁此处不再赘述。

图9是根据本发明实施例的一种网络电子身份验证的方法900的示意性流程图，该方法900应用于包括网络电子身份标识eID标识载体、应用系统、eID标识第三方验证系统和载体验证系统；

S910，eID标识第三方验证系统接收该载体验证系统发送的eID标识验证请求，该eID标识验证请求包括签名验证结果、该eID标识载体的载体识别号和该eID标识；

S920，该eID标识第三方验证系统根据该eID标识，验证eID；

S930，该eID标识第三方验证系统在验证该eID标识后，向该载体验证系统发送验证结果。

应理解，该方法900可以由上述实施例提供的应用系统200来执行，根据本发明实施例的网络电子身份验证的方法900中的各个步骤或流程，可应用于本发明实施例中的一种网络电子身份验证的系统200的各个模块的上述和其他操作和/或流程，为了简洁此处不再赘述。

图10是根据本发明实施例的用于远程开户的方法再一例的示意性流程图。图10从设备交互的角度描述了一种网络电子身份验证的方法1000。该方法1000可以应用于包括网络电子身份标识eID标识载体、第一应用系统、eID标识第三方验证系统和载体验证系统中。其中，该第一应用系统为支持eID标准载体验证的系统。

在本发明实施例中，第一应用系统包括第一应用客户端和第一应用平台端，该应用客户端可以是APP或网页，该应用平台端可以理解为服务器，该服务器可以为一个也可以为多个，即，多个服务器可以构成服务器集群。该服务器可以部署在一台物理设备上，也可以分布式地部署在一组物理设备中，构成服务器集群，从而达到扩展网络设备和服务器带宽、增加吞吐量、加强网络数据处理能力、提高网络灵活性和可用性的目的。本发明实施例对此并未特别限定。

如图6所示，该方法600包括：

S1001，第一应用客户端将签名原文发送给eID标识载体，由eID标识载体内私钥产生签名值；

S1002，eID标识载体将签名值、载体识别号、eID标识发送给给第一应用客户端；

S1003，第一应用客户端将读取到的签名值、载体识别号、eID标识及签名原文传输给第一应用平台端；

S1004，第一应用平台端接收信息，并采用安全传输方式将信息发送到eID标识第三方验证系统，验证用户eID；

S1005，eID标识第三方验证系统将签名原文、签名值、载体识别号传输给载体验证系统，验证签名值的正确性；

S1006，载体验证系统向eID标识第三方验证系统发送签名值验证结果；

S1007，eID标识第三方验证系统验证eID标识，生成该用户在此第一应用平台唯一的身份标识码appeidcode，

S1008，eID标识第三方验证系统验向第一应用平台端发送appeidcode和验证结果；

S1008，第一应用平台端通知应用客户端完成eID验证。

图11是根据本发明实施例的用于远程开户的方法再一例的示意性流程图。图11从设备交互的角度描述了一种网络电子身份验证的方法1100。该方法1100可以应用于包括网络电子身份标识eID标识载体、第二应用系统、eID标识第三方验证系统和载体验证系统中。其中，该第二应用系统为不支持eID标准载体验证的系统，该第二应用系统包括第二应用客户端和第二应用平台端。

如图7所示，该方法1100包括：

S1101，第二应用平台端上传应用信息给eID标识第三方验证系统，请求在eID领域备案；

S1102，eID标识第三方验证系统返回appid及appkey给第二应用平台端，appid和appkey用户后续的传输保护和生成对应appeidcode；

S1103，第二应用客户端将签名原文发送给eID标识载体，由eID标识载体内私钥产生签名值；

S1104，eID标识载体将签名值、载体识别号、eID标识发送给给第二应用客户端；

S1105，第二应用客户端将读取到的签名值、载体识别号、eID标识及签名原文传输给第二应用平台端；

S1106，第二应用平台端接收信息，并采用安全传输方式将信息发送到载体验证系统，验证签名正确性；

S1107，载体验证系统验证签名值的正确性；

S1108，签名值验证成功后，载体验证系统将签名验证结果及载体识别号、eID标识传输给eID标识第三方验证系统；

S1109，eID标识第三方验证系统验证eID标识，生成该用户身份对应的appeidcode；

S1110，eID标识第三方验证系统将appeidcode同验证结果返回给载体验证系统；

S1111，载体验证系统将结果同步给第二应用平台端；

S1112，第二应用平台端通知第二应用客户端完成eID身份验证。

应理解，图10和图11是本发明实施例的验证电子身份标识的方法的示意性流程图，示出了该方法的详细的通信步骤或操作，但这些步骤或操作仅是示例，本发明实施例还可以执行其它操作或者图10和图11中的各种操作的变形。此外，图10和图11中的各个步骤可以分别按照与图10和图11所呈现的不同的顺序来执行，并且有可能执行图10和图11中的部分操作。

应理解，在本发明实施例的各种实施例中，上述各过程的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本发明实施例的实施过程构成任何限定。本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的系统、装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应所述以权利要求的保护范围为准。

Claims (9)

1.一种网络电子身份验证的系统，其特征在于，所述系统包括：

eID标识载体、应用系统、eID标识第三方验证系统和载体验证系统；

所述eID标识载体向所述应用系统发送签名值、eID标识载体的载体识别号和eID标识，其中，所述eID标识用于所述eID标识第三方验证系统获取所述eID标识对应的用户身份；

所述应用系统向所述eID标识第三方验证系统发送签名原文、所述签名值、所述eID标识载体的载体识别号和所述eID标识；

所述eID标识第三方验证系统向载体验证系统发送验签请求，所述验签请求包括所述签名原文、所述签名值和所述eID标识载体的载体识别号；

所述载体验证系统验证所述签名值；

如果所述签名值验证成功，所述载体验证系统将所述签名值验证成功的消息发送给所述eID标识第三方验证系统；

所述eID标识第三方验证系统根据所述eID标识，验证eID；

所述eID标识第三方验证系统在验证所述eID标识后，向所述应用系统发送验证结果，包括：

所述eID标识第三方验证系统生成所述eID标识对应的用户在所述应用系统的用户网络身份应用标识编码；

所述eID标识第三方验证系统向所述应用系统发送验证结果和所述用户网络身份应用标识编码。

2.根据权利要求1所述的系统，其特征在于，所述系统还包括行业应用载体发行系统和eID标识第三方生成系统；

所述行业应用载体发行系统向所述eID标识第三方生成系统发送请求消息，所述请求消息包括用户姓名和身份证号；

所述eID标识第三方生成系统根据用户姓名和身份证号生成eID标识；

所述eID标识第三方生成系统将所述eID标识发送给所述行业应用载体发行系统；

所述行业应用载体发行系统根据所述eID标识，形成所述eID标识载体，所述eID标识载体上还包括对称或非对称密钥；

所述行业应用载体发行系统将所述eID标识载体与所述eID标识的匹配信息发送给所述eID标识第三方生成系统。

3.根据权利要求2所述的系统，其特征在于，所述eID标识包括下列信息中的任意一种：

网络身份标识编码eIDcode、用户网络身份应用标识编码appeIDcode或dcode。

4.根据权利要求2或3所述的系统，其特征在于，所述eID标识载体的识别号包括下列信息中的任意一种：

所述eID标识载体的载体号、所述eID标识载体的卡号或所述eID标识载体的证书序列号。

5.一种网络电子身份验证的系统，其特征在于，所述系统包括：

eID标识载体、应用系统、载体验证系统和eID标识第三方验证系统；

所述eID标识载体向所述应用系统发送签名值、eID标识载体的载体识别号和eID标识，其中，所述eID标识用于所述eID标识第三方验证系统获取所述eID标识对应的用户身份；

所述应用系统向所述载体验证系统发送验签请求，所述验签请求包括签名原文、所述签名值、所述eID标识载体的载体识别号和所述eID标识；

所述载体验证系统验证所述签名值；

如果所述签名值验证成功，所述载体验证系统向所述eID标识第三方验证系统发送eID标识验证请求，所述eID标识验证请求包括签名验证结果、所述eID标识载体的载体识别号和所述eID标识；

所述eID标识第三方验证系统根据所述eID标识，验证eID；

所述eID标识第三方验证系统在验证所述eID标识后，向所述载体验证系统发送验证结果，包括：

所述eID标识第三方验证系统生成所述eID标识对应的用户在所述应用系统的用户网络身份应用标识编码；

所述eID标识第三方验证系统向所述载体验证系统发送验证结果和所述用户网络身份应用标识编码。

6.根据权利要求5所述的系统，其特征在于，所述系统还包括行业应用载体发行系统和eID标识第三方生成系统；

所述行业应用载体发行系统向所述eID标识第三方生成系统发送请求消息，所述请求消息包括用户姓名和身份证号；

所述eID标识第三方生成系统根据用户姓名和身份证号生成eID标识；

所述eID标识第三方生成系统将所述eID标识发送给所述行业应用载体发行系统；

所述行业应用载体发行系统根据所述eID标识，形成所述eID标识载体，所述eID标识载体上还包括对称或非对称密钥；

所述行业应用载体发行系统将所述eID标识载体与所述eID标识的匹配信息发送给所述eID标识第三方生成系统。

7.根据权利要求5或6所述的系统，其特征在于，在所述eID标识载体向所述应用系统发送签名值、eID标识载体的载体识别号和eID标识之前，所述系统还包括：

所述应用系统向所述eID标识验证系统上传应用信息请求在eID领域备案；

所述eID标识验证系统向所述应用系统发送appid和appkey。

8.根据权利要求7所述的系统，其特征在于，所述eID标识包括下列信息中的任意一种：

网络身份标识编码eIDcode、用户网络身份应用标识编码appeIDcode或dcode。

9.根据权利要求6所述的系统，其特征在于，所述eID标识载体的识别号包括下列信息中的任意一种：

所述eID标识载体的载体号、所述eID标识载体的卡号和所述eID标识载体的证书序列号。

Images