CN110535649B - 数据流通方法、系统及服务平台、第一终端设备 - Google Patents

数据流通方法、系统及服务平台、第一终端设备 Download PDF

Info

Publication number
CN110535649B
CN110535649B CN201910299534.1A CN201910299534A CN110535649B CN 110535649 B CN110535649 B CN 110535649B CN 201910299534 A CN201910299534 A CN 201910299534A CN 110535649 B CN110535649 B CN 110535649B
Authority
CN
China
Prior art keywords
data
private key
user
terminal device
service platform
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201910299534.1A
Other languages
English (en)
Other versions
CN110535649A (zh
Inventor
尹浩
邢炬
查聪
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Tsinghua University
Original Assignee
Tsinghua University
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Tsinghua University filed Critical Tsinghua University
Priority to CN201910299534.1A priority Critical patent/CN110535649B/zh
Publication of CN110535649A publication Critical patent/CN110535649A/zh
Application granted granted Critical
Publication of CN110535649B publication Critical patent/CN110535649B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/32—User authentication using biometric data, e.g. fingerprints, iris scans or voiceprints
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/44—Program or device authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0861—Network architectures or network communication protocols for network security for authentication of entities using biometrical features, e.g. fingerprint, retina-scan
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0643—Hash functions, e.g. MD5, SHA, HMAC or f9 MAC
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H04L9/3231—Biological data, e.g. fingerprint, voice or retina
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Biomedical Technology (AREA)
  • General Health & Medical Sciences (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • Health & Medical Sciences (AREA)
  • General Physics & Mathematics (AREA)
  • Power Engineering (AREA)
  • Biodiversity & Conservation Biology (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Telephonic Communication Services (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

本申请公开了一种数据流通方法、系统及服务平台、第一终端设备，所述方法在数据流通中，基于用户的生物信息以及对生物信息的数字签名来实现终端设备用户的身份认证，由于利用了用户的生物信息以及对生物信息的数字签名来对终端设备用户进行身份认证，从而本申请一方面可实现对终端设备用户实体的身份认证，另一方面还可有效避免用户身份信息的冒用等问题，为数据流通中的数据权限管理及可信传输提供了更好的支持。

Description

数据流通方法、系统及服务平台、第一终端设备
技术领域
本申请属于数据的流通与权限管理技术领域，尤其涉及一种数据流通方法、系统及服务平台、第一终端设备。
背景技术
随着大数据时代的到来，数据流通日益重要，数据的开放与流通已成为推动行业发展的重要动力。
从数据生产到通过数据计算挖掘其中价值再到相应的行业推动，整个环节往往会牵涉多方参与，数据相应地需要在多方之间进行传输。数据传输过程中，在不可信的网络环境内明确多方的真实身份十分重要，是实现数据权限管理与可信传输的必要前提。其中，用户终端(如移动设备)应用与应用服务平台之间的数据传输是数据流通的一个典型场景，为了实现该场景下的数据权限管理与可信传输，必然会涉及到针对终端侧用户的身份认证问题。
现有终端应用的用户身份管理和认证一般是基于用户名(用户账号)与密码来进行的，未能实现终端侧用户实体的身份认证，用户名与密码的泄露或被盗取风险也相应较高，从而会为数据流通中的数据权限管理及可信传输带来不利影响。
发明内容
有鉴于此，本申请的目的在于提供一种数据流通方法、系统及服务平台、第一终端设备，旨在克服现有技术在数据流通中未能实现对终端侧用户实体进行身份认证的问题，进而更好地支持数据流通中的数据权限管理及可信传输。
为此，本发明公开如下技术方案：
一种数据流通方法，应用于服务平台，该方法包括：
获取终端设备用户的认证信息，所述认证信息包括用户的生物信息和利用终端设备的私钥对所述生物信息进行签名所得的签名信息；
获得预先存储的与所述终端设备的私钥相匹配的公钥；
基于所述公钥以及包括用户的生物信息和签名信息的所述认证信息对终端设备用户进行身份认证，得到认证结果；
在所述认证结果表示终端设备用户通过身份认证的情况下，执行与所述终端设备间的数据流通操作。
上述方法，优选的，在所述获取终端设备用户的认证信息之前，所述方法还包括：
基于终端设备用户在服务平台的身份注册，存储用户生物信息与用户身份信息之间的对应关系，以及用户身份信息与设备的公钥之间的对应关系；
所述获得预先存储的与所述终端设备的私钥相匹配的公钥，包括：
基于预先存储的用户生物信息与用户身份信息之间的对应关系，以及预先存储的用户身份信息与设备公钥之间的对应关系，利用所述认证信息中包括的生物信息获取所述终端设备的公钥。
上述方法，优选的，所述基于所述公钥以及包括用户的生物信息和签名信息的所述认证信息对终端设备用户进行身份认证，得到认证结果，包括：
利用所获得的公钥对所述认证信息中的签名信息进行验签；
若验签成功，则终端设备用户通过身份认证；
若验签失败，则终端设备用户未通过身份认证。
上述方法，优选的，所述执行与所述终端设备间的数据流通操作，包括：
利用服务平台的私钥对第一数据进行签名，得到所述第一数据的签名信息；
将所述第一数据以及所述第一数据的签名信息传输至终端设备，以使得所述终端设备利用服务平台的公钥对所述第一数据的签名信息进行验签，并基于验签结果确定所述第一数据是否可信；
或者，
接收终端设备传输的第二数据及第二数据的签名信息；所述第二数据的签名信息为利用终端设备的私钥对所述第二数据进行签名所得的签名信息；
利用终端设备的公钥对所述第二数据的签名信息进行验签，并基于验签结果确定所述第二数据是否可信。
上述方法，优选的：
在数据仅涉及单方终端设备的主权和利益的情况下，所述终端设备的私钥为：由所述单方终端设备在向服务平台进行身份注册时所生成的公私钥对中的私钥；
在数据涉及多方终端设备的主权和利益的情况下，所述终端设备的私钥为：由第一终端设备将自身所持有的私钥块与从N个第二终端设备中的至少部分设备所征集的符合数量要求的私钥块进行合成所得的私钥；
其中，所述第一终端设备为所述多方终端设备中的数据需求方设备，所述N个第二终端设备为所述多方终端设备中除所述第一终端设备之外的其他设备，所述N为不小于1的自然数；所述多方终端设备中的每个终端设备持有一私钥块，每个终端设备持有的私钥块为由所述多方终端设备中的某个设备在需要进行数据多方授权时通过在多方终端设备间进行协商及秘钥切分所得的秘钥块。
上述方法，优选的，还包括：
对终端设备用户的真实性进行异常审计，并在出现异常时执行相应的应对处理。
一种数据流通方法，应用于第一终端设备，该方法包括：
采集用户的生物信息；
利用所述第一终端设备的私钥对所述生物信息进行签名，得到签名信息；
将所述生物信息以及所述签名信息作为用户的认证信息传输至服务平台，以使得服务平台基于预先存储的与所述第一终端设备的私钥相匹配的公钥以及所述认证信息对第一终端设备的用户进行身份认证；
在所述服务平台的认证结果表示第一终端设备的用户通过身份认证的情况下，执行与所述服务平台间的数据流通操作。
上述方法，优选的，所述执行与所述服务平台间的数据流通操作，包括：
接收服务平台传输的第一数据以及所述第一数据的签名信息，并利用服务平台的公钥对所述第一数据的签名信息进行验签，以基于验签结果确定所述第一数据是否可信；
或者，
将第二数据以及所述第二数据的签名信息传输至服务平台，以使得所述服务平台利用与所述第一终端设备的私钥相匹配的公钥对所述第二数据的签名信息进行验签，并基于验签结果确定所述第二数据是否可信。
上述方法，优选的，在所述采集用户的生物信息之前，所述方法还包括：
向服务平台进行用户身份注册，以使得服务平台基于用户的身份注册存储用户生物信息与用户身份信息之间的对应关系，以及用户身份信息与公钥之间的对应关系。
上述方法，优选的：
在数据仅涉及单方终端设备的主权和利益的情况下，所述第一终端设备的私钥为：由所述单方终端设备在向服务平台进行身份注册时所生成的公私钥对中的私钥；
在数据涉及多方终端设备的主权和利益的情况下，所述第一终端设备的私钥为：由第一终端设备将自身所持有的私钥块与从N个第二终端设备中的至少部分设备所征集的符合数量要求的私钥块进行合成所得的私钥；
其中，所述第一终端设备为所述多方终端设备中的数据需求方设备，所述N个第二终端设备为所述多方终端设备中除所述第一终端设备之外的其他设备，所述N为不小于1的自然数；所述多方终端设备中的每个终端设备持有一私钥块，每个终端设备持有的私钥块为由所述多方终端设备中的某个设备在需要进行数据多方授权时通过在多方终端设备间进行协商及秘钥切分所得的秘钥块。
一种服务平台，包括：
第一获取单元，用于获取终端设备用户的认证信息，所述认证信息包括用户的生物信息和利用终端设备的私钥对所述生物信息进行签名所得的签名信息；
第二获取单元，用于获得预先存储的与所述终端设备的私钥相匹配的公钥；
身份认证单元，用于基于所述公钥以及包括用户的生物信息和签名信息的所述认证信息对终端设备用户进行身份认证，得到认证结果；
第一流通处理单元，用于在所述认证结果表示终端设备用户通过身份认证的情况下，执行与所述终端设备间的数据流通操作。
一种第一终端设备，包括：
采集单元，用于采集用户的生物信息；
签名单元，用于利用所述第一终端设备的私钥对所述生物信息进行签名，得到签名信息；
传输单元，用于将所述生物信息以及所述签名信息作为用户的认证信息传输至服务平台，以使得服务平台基于预先存储的与所述第一终端设备的私钥相匹配的公钥以及所述认证信息对第一终端设备的用户进行身份认证；
第二流通处理单元，用于在所述服务平台的认证结果表示第一终端设备的用户通过身份认证的情况下，执行与所述服务平台间的数据流通操作。
一种数据流通系统，包括如上所述的服务平台，以及至少一个如上所述的第一终端设备。
由以上方案可知，本申请提供的数据流通方法，在数据流通中，基于用户的生物信息以及对生物信息的数字签名来实现终端设备用户的身份认证，由于利用了用户的生物信息以及对生物信息的数字签名来对终端设备用户进行身份认证，从而本申请一方面可实现对终端设备用户实体的身份认证，另一方面还可有效避免用户身份信息的冒用等问题，为数据流通中的数据权限管理及可信传输提供了更好的支持。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。
图1-图2是本申请实施例提供的应用于服务平台的数据流通方法流程图；
图3是本申请实施例提供的应用于第一终端设备的数据流通方法流程图；
图4是本申请实施例提供的服务平台的一种结构示意图；
图5是本申请实施例提供的服务平台的另一种结构示意图；
图6是本申请实施例提供的服务平台的又一种结构示意图；
图7-图8是本申请实施例提供的第一终端设备的结构示意图；
图9是本申请实施例提供的适用于移动设备应用的数据可信流通机制示意图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
为了克服现有基于用户名与密码的认证方式在数据流通中未能实现对终端侧用户的实体进行身份认证的问题，更好地支持数据流通中的数据权限管理及可信传输，本申请提供了一种数据流通方法、系统及服务平台、第一终端设备，以下将通过多个实施例对本申请的数据流通方法、系统及服务平台、第一终端设备进行详细阐述。
本申请实施例首先公开一种应用于服务平台的数据流通方法，所述服务平台可以是部署在一个或多个云端/网络端服务器上的用于提供数据服务的服务平台，具体地，例如可以是部署在一个或多个云端/网络端服务器上的用于为终端设备上的应用提供数据服务的应用服务平台。
参考图1示出的数据流通方法的流程示意图，该应用于服务平台的数据流通方法可以包括以下步骤：
步骤101、获取终端设备用户的认证信息，所述认证信息包括用户的生物信息和利用终端设备的私钥对所述生物信息进行签名所得的签名信息。
所述终端设备可以是但不限于移动设备、计算机等设备，本申请实施例将以移动设备应用与应用服务平台之间的数据流通为例对本申请的方案进行说明。
用户身份的认证需要以身份注册为前提，基于此，实际应用中，可预先在用户的移动设备应用中向应用服务平台发起注册请求，并将用户的指纹、照片和/或虹膜等个人生物信息提供至应用服务平台，应用服务平台在获得用户的生物信息后，连接已有的身份鉴证平台(政府机构，金融机构等)，并基于用户提供的指纹、照片和/或虹膜等个人生物信息通过鉴证平台对用户进行身份鉴证；鉴证完成后，移动设备应用本地生成公私钥对，并将代表身份的公钥基于安全连接安全上传至应用服务平台，应用服务平台将用户生物信息与用户身份信息进行绑定，并将用户身份信息与设备的公钥进行绑定，同时存储用户生物信息与用户身份信息之间的对应关系，以及用户身份信息与公钥之间的对应关系。
用户的身份信息可以是应用服务平台从所述身份鉴证平台所调取的用户名或用户身份证号等信息，或者还可以是应用服务平台在用户进行身份注册时为用户分配的能用于标识用户的信息，如用户编号等。
在移动设备的用户向应用服务平台进行身份注册的基础上，当需在移动设备的应用与应用服务平台之间进行数据流通时，应用服务平台需首先对移动设备用户进行身份认证，相对应地，需首先获得移动设备用户的认证信息，该认证信息包括用户的生物信息和利用移动设备的私钥对所述生物信息进行签名所得的签名信息。所述生物信息为用户的移动设备应用在需进行用户身份认证时临时采集的指纹、照片和/或虹膜等个人生物信息，所采集的生物信息类型应与注册在应用服务平台的生物信息类型一致；所述签名信息为移动设备利用预先与应用服务平台约定的哈希计算方式对所采集的生物信息进行哈希计算，进而利用移动设备的私钥对哈希计算所得的哈希值进行加密所得的信息。
实际应用中，作为一种可能的实现方式，所述认证信息中的生物信息，可以是用户在移动设备应用上触发登录请求、移动设备应用进而响应该请求展示一生物信息采集界面时由移动设备采集的信息；或者作为另一种可能的实现方式，所述认证信息中的生物信息，还可以是用户在移动设备的应用中触发数据流通的指令(如上传或下载数据的指令)、移动设备应用进而响应该指令展示一生物信息采集界面时由移动设备采集的信息(即触发数据流通的指令时先进行身份认证，待认证成功后才执行下载或上传等操作)。
步骤102、获得预先存储的与所述终端设备的私钥相匹配的公钥。
具体地，在获得所述认证信息之后，应用服务平台可基于所述认证信息中的生物信息，通过查询预先存储的用户生物信息与用户身份信息之间的对应关系，以及用户身份信息与设备公钥之间的对应关系，来获得与所述移动设备的私钥相匹配的公钥。
步骤103、基于所述公钥以及包括用户的生物信息和签名信息的所述认证信息对终端设备用户进行身份认证，得到认证结果。
在获得与所述移动设备的私钥相匹配的公钥后，应用服务平台可通过利用所述公钥对所述认证信息中的签名信息进行验签，来实现对移动设备用户的身份认证。
该基于验签的身份认证过程具体包括：首先利用所获得的公钥对所述认证信息中的签名信息进行解密，得到一哈希值，并采用与移动设备约定的哈希计算方式(保持与移动设备签名时所采用的哈希计算方式一致)对所述认证信息中的生物信息进行哈希计算，得到另一哈希值，最后，将应用服务平台计算所得的哈希值与解密所得的哈希值进行比对，若两者一致，则验签成功，相对应地表示终端设备用户通过身份认证；否则，若两者不一致，则验签失败，相对应地表示终端设备用户未通过身份认证。
步骤104、在所述认证结果表示终端设备用户通过身份认证的情况下，执行与所述终端设备间的数据流通操作。
在验签成功从而用户通过身份认证的情况下，可继续基于实际的数据流通需求，在应用服务平台与移动设备应用之间进行所需的数据流通，如从应用服务平台向用户的移动设备应用传输数据(对应移动设备应用从应用服务平台下载数据)，或者在应用服务平台接收移动设备应用传输的数据(对应移动设备应用向应用服务平台上传数据)等。
其中，针对上述的移动设备应用从应用服务平台下载数据的情况，应用服务平台可利用平台自身的私钥对用户需下载的第一数据进行签名，得到所述第一数据的签名信息；并将所述第一数据以及所述第一数据的签名信息传输至用户的移动设备，后续，移动设备在接收到所述第一数据以及所述第一数据的签名信息后，可利用所述应用服务平台的公钥对所述第一数据的签名信息进行验签，若验签成功则表示所接收的第一数据为所述应用服务平台传输的可信数据，否则，若验签失败则所述第一数据不可信，可能在传输过程中经过了篡改。
针对上述的移动设备应用向应用服务平台上传数据的情况，应用服务平台可接收用户的移动设备传输的第二数据及第二数据的签名信息；所述第二数据的签名信息为利用移动设备的私钥对所述第二数据进行签名所得的签名信息；在接收到所述第二数据以及所述第二数据的签名信息后，应用服务平台可进一步利用所述移动设备的公钥对所述第二数据的签名信息进行验签，若验签成功则表示所接收的第二数据为所述移动设备传输的可信数据，否则，若验签失败则所述第二数据不可信，可能在传输过程中经过了篡改。
需要说明的是，本申请中，在数据仅涉及单方终端设备的主权和利益的情况下，所述终端设备的私钥为：由所述单方终端设备在向服务平台进行身份注册时所生成的公私钥对中的私钥。
在数据涉及多方终端设备的主权和利益的情况下，所述终端设备的私钥为：由第一终端设备将自身所持有的私钥块与从N个第二终端设备中的至少部分设备所征集的符合数量要求的私钥块进行合成所得的私钥；其中，所述第一终端设备为所述多方终端设备中的数据需求方设备，所述N个第二终端设备为所述多方终端设备中除所述第一终端设备之外的其他设备，所述N为不小于1的自然数；所述多方终端设备中的每个终端设备持有一私钥块，每个终端设备持有的私钥块为由所述多方终端设备中的某个设备在需要进行数据多方授权时通过在多方终端设备间进行协商及秘钥切分所得的秘钥块。
上述涉及多方终端设备的主权和利益的情况，属于数据多方授权的应用场景，该应用场景在下文中会以示例的形式进行详述。
由以上方案可知，本实施例提供的数据流通方法，在数据流通中，基于用户的生物信息以及对生物信息的数字签名来实现终端设备用户的身份认证，由于利用了用户的生物信息以及对生物信息的数字签名来对终端设备用户进行身份认证，从而本申请一方面可实现对终端设备用户实体的身份认证，另一方面还可有效避免用户身份信息的冒用等问题，为数据流通中的数据权限管理及可信传输提供了更好的支持。
在上述的应用于服务平台的数据流通方法中，参考图2示出的数据流通方法流程图，该数据流通方法还可以包括：
步骤105、对终端设备用户的真实性进行异常审计，并在出现异常时执行相应的应对处理。
具体地，应用服务平台在移动设备进行身份注册时，可同时记录并存储移动设备的物理信息，如记录并存储移动设备的mac地址等。后续，在移动设备与应用服务平台进行数据流通的过程中，可实时检测移动设备的mac地址，若在较短的时间内检测到同一用户在进行数据流通时所采用的设备的mac地址频繁切换，则表示出现异常(如可能是用户的生物信息已泄露被冒用)，从而，针对该情况，应用服务平台可执行相应的应对处理，例如结束与移动设备间的数据流通，并向所记录的mac地址对应的用户移动设备发送提示信息以提示用户尽快更改注册信息(如更换为注册另一手指的指纹)等。
作为另一种可能的实现方式，应用服务平台还可以实时检测移动设备的IP(Internet Protocol Address，网际协议地址)地址，若在较短的时间内检测到同一用户在进行数据流通时所采用的设备的IP地址频繁切换，则同样表示出现异常(如可能是用户的生物信息已泄露被冒用)，从而，针对该情况，可同样在应用服务平台执行上述的应对处理。
本实施例通过在应用服务平台对移动设备用户的真实性进行异常审计，并在出现异常时执行相应的应对处理，可进一步保证数据的可信流通。
对应于上述的应用于服务平台的数据流通方法，本申请实施例还公开一种应用于第一终端设备的数据流通方法，该第一终端设备可以是移动设备或计算机等设备，接下来，将以该第一终端设备为移动设备为例，对本申请的应用于第一终端设备的数据流通方法进行说明。
参考图3示出的应用于第一终端设备的数据流通方法的流程示意图，本实施例中，该应用于第一终端设备的数据流通方法包括：
步骤301、采集用户的生物信息。
用户身份的认证需要以身份注册为前提，基于此，实际应用中，可预先在用户的移动设备应用中向应用服务平台进行身份注册，该身份注册的过程请参阅上文中对注册过程的描述，此处不再赘述。
在移动设备的用户向应用服务平台进行身份注册的基础上，当需在移动设备的应用与应用服务平台之间进行数据流通时，需首先由应用服务平台对移动设备用户进行身份认证，相对应地，移动设备需首先采集用于作为认证信息的用户生物信息，例如采集用户的指纹、照片或虹膜等信息。
步骤302、利用所述第一终端设备的私钥对所述生物信息进行签名，得到签名信息。
在采集用户的生物信息后，移动设备可进一步利用其私钥对所述生物信息进行签名，得到签名信息，具体地，该签名过程包括利用预先与应用服务平台约定的哈希计算方式对所采集的生物信息进行哈希计算，进而利用移动设备的私钥对哈希计算所得的哈希值进行加密。
步骤303、将所述生物信息以及所述签名信息作为用户的认证信息传输至服务平台，以使得服务平台基于预先存储的与所述第一终端设备的私钥相匹配的公钥以及所述认证信息对第一终端设备的用户进行身份认证。
在对所采集的生物信息进行签名后，移动设备将所采集的生物信息以及对所述生物信息的签名信息共同作为认证信息传输至应用服务平台，而应用服务平台则可通过利用移动设备的公钥对所述认证信息中的签名信息进行验签来实现对移动设备用户的身份认证，该基于验签的身份认证过程可参阅上文在“应用于服务平台的数据流通方法”中对该部分的描述，此处不再赘述。
步骤304、在所述服务平台的认证结果表示第一终端设备的用户通过身份认证的情况下，执行与所述服务平台间的数据流通操作。
该数据流通操作具体包括：
针对移动设备应用从应用服务平台下载数据的情况，移动设备接收服务平台传输的第一数据以及所述第一数据的签名信息，并利用服务平台的公钥对所述第一数据的签名信息进行验签，最终基于验签结果确定所述第一数据是否可信；
针对移动设备应用向应用服务平台上传数据的情况，移动设备将需上传的第二数据以及所述第二数据的签名信息传输至服务平台，以使得所述服务平台利用与所述第一终端设备的私钥相匹配的公钥对所述第二数据的签名信息进行验签，并基于验签结果确定所述第二数据是否可信。
需要说明的是，在数据仅涉及单方终端设备的主权和利益的情况下，所述第一终端设备的私钥为：由所述单方终端设备在向服务平台进行身份注册时所生成的公私钥对中的私钥；
在数据涉及多方终端设备的主权和利益的情况下，所述第一终端设备的私钥为：由第一终端设备将自身所持有的私钥块与从N个第二终端设备中的至少部分设备所征集的符合数量要求的私钥块进行合成所得的私钥；
其中，所述第一终端设备为所述多方终端设备中的数据需求方设备，所述N个第二终端设备为所述多方终端设备中除所述第一终端设备之外的其他设备，所述N为不小于1的自然数；所述多方终端设备中的每个终端设备持有一私钥块，每个终端设备持有的私钥块为由所述多方终端设备中的某个设备在需要进行数据多方授权时通过在多方终端设备间进行协商及秘钥切分所得的秘钥块。
上述涉及多方终端设备的主权和利益的情况，属于数据多方授权的应用场景，该应用场景在下文中会以示例的形式进行详述。
本申请由于利用了用户的生物信息以及对生物信息的数字签名来对终端设备用户进行身份认证，从而一方面可实现对终端设备用户实体的身份认证，另一方面还可有效避免用户身份信息的冒用等问题，为数据流通中的数据权限管理及可信传输提供了更好的支持。
对应于上述的应用于服务平台的数据流通方法，本申请还公开一种服务平台，该服务平台可以是部署在一个或多个云端/网络端服务器上的用于提供数据服务的服务平台，具体地，例如可以是部署在一个或多个云端/网络端服务器上的用于为终端设备上的应用提供数据服务的应用服务平台。
参考图4示出的服务平台的结构示意图，该服务平台包括：
第一获取单元401，用于获取终端设备用户的认证信息，所述认证信息包括用户的生物信息和利用终端设备的私钥对所述生物信息进行签名所得的签名信息；
第二获取单元402，用于获得预先存储的与所述终端设备的私钥相匹配的公钥；
身份认证单元403，用于基于所述公钥以及包括用户的生物信息和签名信息的所述认证信息对终端设备用户进行身份认证，得到认证结果；
第一流通处理单元404，用于在所述认证结果表示终端设备用户通过身份认证的情况下，执行与所述终端设备间的数据流通操作。
在本申请实施例的一实施方式中，参考图5，所述服务平台还包括：身份管理单元405，用于基于终端设备在服务平台的身份注册，存储用户生物信息与用户身份信息之间的第一对应关系，以及用户身份信息与设备的公钥之间的第二对应关系；
所述第二获取单元402，具体用于：基于预先存储的用户生物信息与用户身份信息之间的对应关系，以及预先存储的用户身份信息与设备公钥之间的对应关系，利用所述认证信息中包括的生物信息获取所述终端设备的公钥。
在本申请实施例的一实施方式中，所述身份认证单元403，具体用于：利用所获得的公钥对所述认证信息中的签名信息进行验签；若验签成功，则终端设备用户通过身份认证；若验签失败，则终端设备用户未通过身份认证。
在本申请实施例的一实施方式中，所述第一流通处理单元404，具体用于：
利用服务平台的私钥对第一数据进行签名，得到所述第一数据的签名信息；将所述第一数据以及所述第一数据的签名信息传输至终端设备，以使得所述终端设备利用服务平台的公钥对所述第一数据的签名信息进行验签，并基于验签结果确定所述第一数据是否可信；
或者，
接收终端设备传输的第二数据及第二数据的签名信息；所述第二数据的签名信息为利用终端设备的私钥对所述第二数据进行签名所得的签名信息；利用终端设备的公钥对所述第二数据的签名信息进行验签，并基于验签结果确定所述第二数据是否可信。
在本申请实施例的一实施方式中：
在数据仅涉及单方终端设备的主权和利益的情况下，所述终端设备的私钥为：由所述单方终端设备在向服务平台进行身份注册时所生成的公私钥对中的私钥；
在数据涉及多方终端设备的主权和利益的情况下，所述终端设备的私钥为：由第一终端设备将自身所持有的私钥块与从N个第二终端设备中的至少部分设备所征集的符合数量要求的私钥块进行合成所得的私钥；其中，所述第一终端设备为所述多方终端设备中的数据需求方设备，所述N个第二终端设备为所述多方终端设备中除所述第一终端设备之外的其他设备，所述N为不小于1的自然数；所述多方终端设备中的每个终端设备持有一私钥块，每个终端设备持有的私钥块为由所述多方终端设备中的某个设备在需要进行数据多方授权时通过在多方终端设备间进行协商及秘钥切分所得的秘钥块。
在本申请实施例的一实施方式中，参考图6，所述服务平台还包括：审计处理单元406，用于：对终端设备用户的真实性进行异常审计，并在出现异常时执行相应的应对处理。
对于本申请实施例公开的服务平台而言，由于其与上述实施例公开的应用于服务平台的数据流通方法相对应，所以描述的比较简单，相关相似之处请参见上述实施例中应用于服务平台的数据流通方法部分的说明即可，此处不再详述。
对应于上述的应用于第一终端设备的数据流通方法，本申请还公开了一种第一终端设备，该第一终端设备可以是移动设备或计算机等设备，参考图7示出的第一终端设备的结构示意图，该第一终端设备包括：
采集单元701，用于采集用户的生物信息；
签名单元702，用于利用所述第一终端设备的私钥对所述生物信息进行签名，得到签名信息；
传输单元703，用于将所述生物信息以及所述签名信息作为用户的认证信息传输至服务平台，以使得服务平台基于预先存储的与所述第一终端设备的私钥相匹配的公钥以及所述认证信息对第一终端设备的用户进行身份认证；
第二流通处理单元704，用于在所述服务平台的认证结果表示第一终端设备的用户通过身份认证的情况下，执行与所述服务平台间的数据流通操作。
在本申请实施例的一实施方式中，所述第二流通处理单元704，具体用于：
接收服务平台传输的第一数据以及所述第一数据的签名信息，并利用服务平台的公钥对所述第一数据的签名信息进行验签，以基于验签结果确定所述第一数据是否可信；
或者，
将第二数据以及所述第二数据的签名信息传输至服务平台，以使得所述服务平台利用与所述第一终端设备的私钥相匹配的公钥对所述第二数据的签名信息进行验签，并基于验签结果确定所述第二数据是否可信。
在本申请实施例的一实施方式中，参考图8，所述第一终端设备还包括：身份注册单元705，用于向服务平台进行用户身份注册，以使得服务平台基于用户的身份注册存储用户生物信息与用户身份信息之间的对应关系，以及用户身份信息与公钥之间的对应关系。
在本申请实施例的一实施方式中：
在数据仅涉及单方终端设备的主权和利益的情况下，所述第一终端设备的私钥为：由所述单方终端设备在向服务平台进行身份注册时所生成的公私钥对中的私钥；
在数据涉及多方终端设备的主权和利益的情况下，所述第一终端设备的私钥为：由第一终端设备将自身所持有的私钥块与从N个第二终端设备中的至少部分设备所征集的符合数量要求的私钥块进行合成所得的私钥；
其中，所述第一终端设备为所述多方终端设备中的数据需求方设备，所述N个第二终端设备为所述多方终端设备中除所述第一终端设备之外的其他设备，所述N为不小于1的自然数；所述多方终端设备中的每个终端设备持有一私钥块，每个终端设备持有的私钥块为由所述多方终端设备中的某个设备在需要进行数据多方授权时通过在多方终端设备间进行协商及秘钥切分所得的秘钥块。
对于本申请实施例公开的第一终端设备而言，由于其与上述实施例公开的应用于第一终端设备的数据流通方法相对应，所以描述的比较简单，相关相似之处请参见上述实施例中应用于第一终端设备的数据流通方法部分的说明即可，此处不再详述。
本申请还公开了一种数据流通系统，该系统包括如上文所述的服务平台，以及至少一个如上文所述的第一终端设备。所述服务平台与所述第一终端终端设备间的数据流通处理过程，具体可参阅上文中对应用于服务平台以及第一终端设备的数据流通方法的陈述，这里不再详述。
以下提供本申请方案的一具体应用示例：
参考图9，本示例基于本申请方案提供了一种适用于移动设备应用的数据可信流通机制，该适用于移动设备应用的数据可信流通机制以应用服务平台及移动设备为基础，其中，所述应用服务平台包括身份管理、数据管理及审计三个功能模块，该三个功能模块分别用于进行用户身份管理，数据管理以及用户真实性的异常审计。
上述机制包括用户身份注册、数据流通过程中的身份认证、以及数据多方授权这三个处理过程。其中，用户身份注册，数据流通过程中的身份认证，以及数据多方授权的实现过程具体如下：
1)用户身份注册
移动设备应用向应用服务平台发起注册请求，并向应用服务平台提供用户的生物信息，如用户指纹、照片或虹膜等，应用服务平台通过连接已有的身份鉴证平台(政府机构，金融机构等)，根据用户提供的生物信息通过该鉴证平台对用户进行身份鉴证；鉴证完成后，移动设备应用在本地生成公私钥对，并将代表身份的公钥安全上传至应用服务平台；应用服务平台进行用户生物信息与用户身份信息的绑定、以及用户身份信息与设备的公钥的绑定，并存储绑定后所得的用户生物信息与用户身份信息之间的对应关系，以及用户身份信息与设备的公钥之间的对应关系，并同时将用户移动设备的物理信息(如mac地址等)纳入审计模块，以方便后续对用户的真实性进行异常审计。
2)数据流通过程中的身份认证
在移动设备应用与应用服务平台产生数据流通(用户上传或下载相关数据)的情况下，移动设备应用在向应用服务平台传输数据时，使用设备的私钥对数据进行签名，应用服务平台则利用设备的公钥对数据的签名进行验签，以此确定数据传输过程的可信性，同时应用服务平台利用审计模块评估用户的真实性。
同理，应用服务平台在向移动设备应用传输数据时，使用平台的私钥对数据进行签名，移动设备应用则利用平台的公钥对数据的签名进行验签，以此确定数据传输过程的可信性。
3)数据多方授权
当数据牵涉多方的主权和利益时，多方会协商进行秘钥切分。数据需求方必须向多方征集足够数量的秘钥才可以通过应用服务平台的身份认证，进而可从应用服务平台获取数据。
以下以具体示例对该情况加以说明，假设移动设备A的用户(比如：患者)需向移动设备B的用户(比如：医生)授予“可在移动设备B的应用中获得该移动设备A在应用服务平台上的部分数据(比如患者在近一年内的病历数据)”的权限，那么该情况可能会涉及到移动设备A、移动设备B以及可能的其他移动设备C(数量不限于一个，对应于上述的患者、医生的示例，移动设备C可以代表院方)等多方的主权和利益，针对此种应用场景，所牵涉的多方设备可协商进行私钥切分，并向每个被牵涉的移动设备分配一切分所得的私钥块，在此基础上，作为数据需求方的移动设备B可向其他各设备征集私钥块，只有在作为数据需求方的移动设备B多方征集足够数量的私钥块后才可以通过应用服务平台的身份认证，具体地，在作为数据需求方的移动设备B征集到足够数量的私钥块后可将所征集的各私钥块合成为一个私钥，进而基于该合成的私钥进行身份认证及后续的数据流通。其中，所述“足够数量”的具体数值同样可基于多方设备间的协商而定，该数值并不限定于多方设备的全部私钥块的数量值。
综上所述，本申请的数据流通方案相比于现有技术，具有以下优势：
1)目前移动端在进行数据流通时，缺乏对移动端用户实体的身份认证，本申请通过利用用户的生物信息以及对生物信息的数字签名来对终端设备用户进行身份认证，解决了该问题，实现了对移动端用户实体的身份认证；
2)在网络的数据传输过程中，数据存在易遭受嗅探、篡改甚至中间人攻击等情况，对于该情况，本申请通过非对称加密、数字签名、密钥共享等技术，使得移动应用在进行数据流通的过程中能够认证移动端用户实体的身份进而保障数据在传输过程中的安全；
3)数据传输过程中，现有技术缺少多对多的数据权限管理方法，账户与数据之间一一对应(即用户自身账户下的相关数据只有通过登录用户账号才能获取，不能授权给其他账号)，难以实现数据的灵活管理，本申请通过基于秘钥协商及切分的数据多方授权，可有效克服该问题，能够实现多对多灵活的数据权限管理。
需要说明的是，本说明书中的各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似的部分互相参见即可。
为了描述的方便，描述以上系统或装置时以功能分为各种模块或单元分别描述。当然，在实施本申请时可以把各单元的功能在同一个或多个软件和/或硬件中实现。
通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本申请可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例或者实施例的某些部分所述的方法。
最后，还需要说明的是，在本文中，诸如第一、第二、第三和第四等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (13)

1.一种数据流通方法，其特征在于，应用于服务平台，该方法包括：
获取终端设备用户的认证信息，所述认证信息包括用户的生物信息和利用终端设备的私钥对所述生物信息进行签名所得的签名信息；
获得预先存储的与所述终端设备的私钥相匹配的公钥；
基于所述公钥以及包括用户的生物信息和签名信息的所述认证信息对终端设备用户进行身份认证，得到认证结果；
在所述认证结果表示终端设备用户通过身份认证的情况下，执行与所述终端设备间的数据流通操作；
其中，当数据需求方设备需获得数据提供方设备提供并存储于所述服务平台的数据时，数据需求方设备向包括所述数据提供方设备的多方设备征集私钥块，在征集的私钥块满足数量条件的情况下，所述数据需求方设备能够通过应用所述服务平台的身份认证，并能够利用通过对征集的各私钥块进行合成处理所得的私钥从所述服务平台获取所述数据提供方的数据；多方设备所持有的私钥块为多方设备进行协商及秘钥切分所得的私钥块。
2.根据权利要求1所述的方法，其特征在于，在所述获取终端设备用户的认证信息之前，所述方法还包括：
基于终端设备用户在服务平台的身份注册，存储用户生物信息与用户身份信息之间的对应关系，以及用户身份信息与设备的公钥之间的对应关系；
所述获得预先存储的与所述终端设备的私钥相匹配的公钥，包括：
基于预先存储的用户生物信息与用户身份信息之间的对应关系，以及预先存储的用户身份信息与设备公钥之间的对应关系，利用所述认证信息中包括的生物信息获取所述终端设备的公钥。
3.根据权利要求1所述的方法，其特征在于，所述基于所述公钥以及包括用户的生物信息和签名信息的所述认证信息对终端设备用户进行身份认证，得到认证结果，包括：
利用所获得的公钥对所述认证信息中的签名信息进行验签；
若验签成功，则终端设备用户通过身份认证；
若验签失败，则终端设备用户未通过身份认证。
4.根据权利要求1所述的方法，其特征在于，所述执行与所述终端设备间的数据流通操作，包括：
利用服务平台的私钥对第一数据进行签名，得到所述第一数据的签名信息；
将所述第一数据以及所述第一数据的签名信息传输至终端设备，以使得所述终端设备利用服务平台的公钥对所述第一数据的签名信息进行验签，并基于验签结果确定所述第一数据是否可信；
或者，
接收终端设备传输的第二数据及第二数据的签名信息；所述第二数据的签名信息为利用终端设备的私钥对所述第二数据进行签名所得的签名信息；
利用终端设备的公钥对所述第二数据的签名信息进行验签，并基于验签结果确定所述第二数据是否可信。
5.根据权利要求1所述的方法，其特征在于：
在数据仅涉及单方终端设备的主权和利益的情况下，所述终端设备的私钥为：由所述单方终端设备在向服务平台进行身份注册时所生成的公私钥对中的私钥；
在数据涉及多方终端设备的主权和利益的情况下，所述终端设备的私钥为：由第一终端设备将自身所持有的私钥块与从N个第二终端设备中的至少部分设备所征集的符合数量要求的私钥块进行合成所得的私钥；
其中，所述第一终端设备为所述多方终端设备中的数据需求方设备，所述N个第二终端设备为所述多方终端设备中除所述第一终端设备之外的其他设备，所述N为不小于1的自然数；所述多方终端设备中的每个终端设备持有一私钥块，每个终端设备持有的私钥块为由所述多方终端设备中的某个设备在需要进行数据多方授权时通过在多方终端设备间进行协商及秘钥切分所得的秘钥块。
6.根据权利要求1-5任一项所述的方法，其特征在于，还包括：
对终端设备用户的真实性进行异常审计，并在出现异常时执行相应的应对处理。
7.一种数据流通方法，其特征在于，应用于第一终端设备，该方法包括：
采集用户的生物信息；
利用所述第一终端设备的私钥对所述生物信息进行签名，得到签名信息；
将所述生物信息以及所述签名信息作为用户的认证信息传输至服务平台，以使得服务平台基于预先存储的与所述第一终端设备的私钥相匹配的公钥以及所述认证信息对第一终端设备的用户进行身份认证；
在所述服务平台的认证结果表示第一终端设备的用户通过身份认证的情况下，执行与所述服务平台间的数据流通操作；
其中，当数据需求方设备需获得数据提供方设备提供并存储于所述服务平台的数据时，数据需求方设备向包括所述数据提供方设备的多方设备征集私钥块，在征集的私钥块满足数量条件的情况下，所述数据需求方设备能够通过应用所述服务平台的身份认证，并能够利用通过对征集的各私钥块进行合成处理所得的私钥从所述服务平台获取所述数据提供方的数据；多方设备所持有的私钥块为多方设备进行协商及秘钥切分所得的私钥块。
8.根据权利要求7所述的方法，其特征在于，所述执行与所述服务平台间的数据流通操作，包括：
接收服务平台传输的第一数据以及所述第一数据的签名信息，并利用服务平台的公钥对所述第一数据的签名信息进行验签，以基于验签结果确定所述第一数据是否可信；
或者，
将第二数据以及所述第二数据的签名信息传输至服务平台，以使得所述服务平台利用与所述第一终端设备的私钥相匹配的公钥对所述第二数据的签名信息进行验签，并基于验签结果确定所述第二数据是否可信。
9.根据权利要求7所述的方法，其特征在于，在所述采集用户的生物信息之前，所述方法还包括：
向服务平台进行用户身份注册，以使得服务平台基于用户的身份注册存储用户生物信息与用户身份信息之间的对应关系，以及用户身份信息与公钥之间的对应关系。
10.根据权利要求7所述的方法，其特征在于：
在数据仅涉及单方终端设备的主权和利益的情况下，所述第一终端设备的私钥为：由所述单方终端设备在向服务平台进行身份注册时所生成的公私钥对中的私钥；
在数据涉及多方终端设备的主权和利益的情况下，所述第一终端设备的私钥为：由第一终端设备将自身所持有的私钥块与从N个第二终端设备中的至少部分设备所征集的符合数量要求的私钥块进行合成所得的私钥；
其中，所述第一终端设备为所述多方终端设备中的数据需求方设备，所述N个第二终端设备为所述多方终端设备中除所述第一终端设备之外的其他设备，所述N为不小于1的自然数；所述多方终端设备中的每个终端设备持有一私钥块，每个终端设备持有的私钥块为由所述多方终端设备中的某个设备在需要进行数据多方授权时通过在多方终端设备间进行协商及秘钥切分所得的秘钥块。
11.一种服务平台，其特征在于，包括：
第一获取单元，用于获取终端设备用户的认证信息，所述认证信息包括用户的生物信息和利用终端设备的私钥对所述生物信息进行签名所得的签名信息；
第二获取单元，用于获得预先存储的与所述终端设备的私钥相匹配的公钥；
身份认证单元，用于基于所述公钥以及包括用户的生物信息和签名信息的所述认证信息对终端设备用户进行身份认证，得到认证结果；
第一流通处理单元，用于在所述认证结果表示终端设备用户通过身份认证的情况下，执行与所述终端设备间的数据流通操作；
其中，当数据需求方设备需获得数据提供方设备提供并存储于所述服务平台的数据时，数据需求方设备向包括所述数据提供方设备的多方设备征集私钥块，在征集的私钥块满足数量条件的情况下，所述数据需求方设备能够通过应用所述服务平台的身份认证，并能够利用通过对征集的各私钥块进行合成处理所得的私钥从所述服务平台获取所述数据提供方的数据；多方设备所持有的私钥块为多方设备进行协商及秘钥切分所得的私钥块。
12.一种第一终端设备，其特征在于，包括：
采集单元，用于采集用户的生物信息；
签名单元，用于利用所述第一终端设备的私钥对所述生物信息进行签名，得到签名信息；
传输单元，用于将所述生物信息以及所述签名信息作为用户的认证信息传输至服务平台，以使得服务平台基于预先存储的与所述第一终端设备的私钥相匹配的公钥以及所述认证信息对第一终端设备的用户进行身份认证；
第二流通处理单元，用于在所述服务平台的认证结果表示第一终端设备的用户通过身份认证的情况下，执行与所述服务平台间的数据流通操作；
其中，当数据需求方设备需获得数据提供方设备提供并存储于所述服务平台的数据时，数据需求方设备向包括所述数据提供方设备的多方设备征集私钥块，在征集的私钥块满足数量条件的情况下，所述数据需求方设备能够通过应用所述服务平台的身份认证，并能够利用通过对征集的各私钥块进行合成处理所得的私钥从所述服务平台获取所述数据提供方的数据；多方设备所持有的私钥块为多方设备进行协商及秘钥切分所得的私钥块。
13.一种数据流通系统，其特征在于，包括：如权利要求11所述的服务平台，以及至少一个如权利要求12所述的第一终端设备。
CN201910299534.1A 2019-04-15 2019-04-15 数据流通方法、系统及服务平台、第一终端设备 Active CN110535649B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201910299534.1A CN110535649B (zh) 2019-04-15 2019-04-15 数据流通方法、系统及服务平台、第一终端设备

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201910299534.1A CN110535649B (zh) 2019-04-15 2019-04-15 数据流通方法、系统及服务平台、第一终端设备

Publications (2)

Publication Number Publication Date
CN110535649A CN110535649A (zh) 2019-12-03
CN110535649B true CN110535649B (zh) 2020-11-03

Family

ID=68659374

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201910299534.1A Active CN110535649B (zh) 2019-04-15 2019-04-15 数据流通方法、系统及服务平台、第一终端设备

Country Status (1)

Country Link
CN (1) CN110535649B (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113114610B (zh) * 2020-01-13 2022-11-01 杭州萤石软件有限公司 一种取流方法、装置及设备
CN111769954A (zh) * 2020-06-30 2020-10-13 山东浪潮通软信息科技有限公司 数据采集方法、数据采集服务端及客户端、电子设备

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1411202A (zh) * 2001-09-28 2003-04-16 中国科学院研究生院 一种安全的数字签名系统及其数字签名方法
CN101051896A (zh) * 2006-04-07 2007-10-10 华为技术有限公司 一种认证方法和系统
CN101729256A (zh) * 2008-10-24 2010-06-09 深圳宝嘉电子设备有限公司 基于指纹、密码技术、易碎数字水印的安全认证方法
US9213818B2 (en) * 2014-02-24 2015-12-15 Partnet, Inc. Anonymous authentication using backup biometric information
CN105938526A (zh) * 2016-03-07 2016-09-14 李明 一种身份认证方法及系统
CN107016546A (zh) * 2017-03-31 2017-08-04 上海族蚂信息科技有限公司 一种具备安全机制的自主制定交易流程的系统和方法
CN107231331A (zh) * 2016-03-23 2017-10-03 阿里巴巴集团控股有限公司 获取、下发电子证件的实现方法和装置

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US9641341B2 (en) * 2015-03-31 2017-05-02 Duo Security, Inc. Method for distributed trust authentication

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1411202A (zh) * 2001-09-28 2003-04-16 中国科学院研究生院 一种安全的数字签名系统及其数字签名方法
CN101051896A (zh) * 2006-04-07 2007-10-10 华为技术有限公司 一种认证方法和系统
CN101729256A (zh) * 2008-10-24 2010-06-09 深圳宝嘉电子设备有限公司 基于指纹、密码技术、易碎数字水印的安全认证方法
US9213818B2 (en) * 2014-02-24 2015-12-15 Partnet, Inc. Anonymous authentication using backup biometric information
CN105938526A (zh) * 2016-03-07 2016-09-14 李明 一种身份认证方法及系统
CN107231331A (zh) * 2016-03-23 2017-10-03 阿里巴巴集团控股有限公司 获取、下发电子证件的实现方法和装置
CN107016546A (zh) * 2017-03-31 2017-08-04 上海族蚂信息科技有限公司 一种具备安全机制的自主制定交易流程的系统和方法

Also Published As

Publication number Publication date
CN110535649A (zh) 2019-12-03

Similar Documents

Publication Publication Date Title
US10581612B2 (en) Method and system for encryption
EP3175578B1 (en) System and method for establishing trust using secure transmission protocols
CN108834144B (zh) 运营商码号与账号的关联管理方法与系统
US20180159694A1 (en) Wireless Connections to a Wireless Access Point
US10205723B2 (en) Distributed storage of authentication data
WO2018090183A1 (zh) 一种身份认证的方法、终端设备、认证服务器及电子设备
CN104735065B (zh) 一种数据处理方法、电子设备及服务器
CN105306490A (zh) 支付验证系统、方法及装置
CN109150535A (zh) 一种身份认证方法、设备、计算机可读存储介质及装置
CN112543166B (zh) 实名登录的方法及装置
CN105164689A (zh) 用户认证
CN111435913A (zh) 一种物联网终端的身份认证方法、装置和存储介质
WO2018021708A1 (ko) 공개키 기반의 서비스 인증 방법 및 시스템
CN110381075B (zh) 基于区块链的设备身份认证方法和装置
CN113572728B (zh) 认证物联网设备的方法、装置、设备及介质
CN112468571B (zh) 内外网数据同步方法、装置、电子设备及存储介质
CN106209730B (zh) 一种管理应用标识的方法及装置
CN110535649B (zh) 数据流通方法、系统及服务平台、第一终端设备
CN108833105B (zh) 电子签名方法及装置
CN107846390B (zh) 应用程序的认证方法及装置
KR20200030345A (ko) 프라이빗 블록체인 기반 개인정보 관리 서비스 제공 방법
CN112380509A (zh) 身份信息生成及验证方法、装置、可读存储介质
CN113051623B (zh) 一种数据处理方法、装置和电子设备
CN114978528B (zh) 一种高可靠的机构智能移动数字签名方法和系统
CN110225011B (zh) 用户节点的认证方法、设备及计算机可读存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant