CN111770063A - 数字身份信息的派生、验证方法、装置及设备 - Google Patents

Abstract

本说明书实施例提供了一种数字身份信息的派生、验证方法、装置及设备，其中，派生方法包括：客户端响应于用户的数字身份信息的派生请求，获取待派生的根数字身份信息及对应的派生口令；根据根数字身份信息和派生口令，派生根数字身份信息的子数字身份信息；根据根数字身份信息、派生口令和子数字身份信息，向服务端发送派生反馈信息，以使服务端在根据根数字身份信息和派生口令对子数字身份信息验证通过时，通过区块链节点将子数字身份信息保存至区块链中。

Description

数字身份信息的派生、验证方法、装置及设备

本专利申请是申请号：202010098861.3，申请日：2020年2月18日，发明名称“数字身份信息的派生、验证方法、装置及设备”的中国专利申请的分案申请。

技术领域

本文件涉及数据处理技术领域，尤其涉及一种数字身份信息的派生方法、装置及设备。

背景技术

数字身份信息，如DID(英文全称：Decentralized Identifiers；中文：去中心化身份或分布式身份)是一种去中心化的可验证的数字标识符。为了让数字身份信息与实人解耦，通常一个数字身份信息只可在一个场景中使用，而这对于用户来说，则需要为不同的场景申请不同的数字身份信息，为数字身份信息的使用和维护带来了诸多不便。

发明内容

本说明书一个或多个实施例提供了一种数字身份信息的派生方法，应用于客户端。该方法包括响应于用户的数字身份信息的派生请求，获取派生信息。根据所述派生信息进行派生处理，得到指定的根数字身份信息的子数字身份信息。根据所述派生信息和所述子数字身份信息，向服务端发送派生反馈信息。以使所述服务端在根据所述派生信息对所述子数字身份信息验证通过时，通过区块链节点将所述子数字身份信息保存至区块链中。

本说明书一个或多个实施例提供了一种数字身份信息的派生方法，应用于服务端。该方法包括接收客户端发送的派生反馈信息。其中，所述派生反馈信息包括派生信息和子数字身份信息。所述子数字身份信息是基于所述派生信息派生而得的数字身份信息。根据所述派生信息，对所述子数字身份信息进行验证。若验证通过，则根据所述子数字身份信息向区块链节点发送保存请求，以使所述区块链节点将所述子数字身份信息保存至区块链中。

本说明书一个或多个实施例提供了一种数字身份信息的派生方法，应用于区块链节点。该方法包括接收服务端发送的保存请求。其中，所述保存请求基于客户端发送的派生反馈信息，在根据所述派生反馈信息包括的派生信息，对所述派生反馈信息包括的子数字身份信息验证通过时所发送。所述子数字身份信息是基于所述派生信息派生而得的数字身份信息。所述保存请求包括所述子数字身份信息。将所述子数字身份信息保存至区块链中。

本说明书一个或多个实施例提供了一种数字身份信息的验证方法，应用于服务提供方的终端设备。该方法包括接收客户端发送的业务办理请求。其中，所述业务办理请求包括所述客户端基于子数字身份信息从指定机构申请而得的可验证声明。所述子数字身份信息为基于派生信息派生而得的数字身份信息。根据所述可验证声明中的所述子数字身份信息，获取第二签名数据和子公钥。其中，所述第二签名数据为基于所述子数字身份信息所对应的子私钥进行签名处理所得的签名数据。所述子公钥为所述子数字身份信息所对应的公钥。根据所述子公钥对所述第二签名数据进行验证处理。若验证通过，则基于所述可验证声明进行相应的业务处理。

本说明书一个或多个实施例提供了一种数字身份信息的派生装置，应用于客户端。该装置包括获取模块，其响应于用户的数字身份信息的派生请求，获取派生信息。该装置还包括派生模块，其根据所述派生信息进行派生处理，得到指定的根数字身份信息的子数字身份信息。该装置还包括发送模块，其根据所述派生信息和所述子数字身份信息，向服务端发送派生反馈信息，以使所述服务端在根据所述派生信息对所述子数字身份信息验证通过时，通过区块链节点将所述子数字身份信息保存至区块链中。

本说明书一个或多个实施例提供了一种数字身份信息的派生装置，应用于服务端。该装置包括接收模块，其接收客户端发送的派生反馈信息。其中，所述派生反馈信息包括派生信息和子数字身份信息。所述子数字身份信息是基于所述派生信息派生而得的数字身份信息。该装置包括验证模块，其根据所述派生信息，对所述子数字身份信息进行验证。该装置还包括发送模块，其若所述验证模块验证通过，则根据所述子数字身份信息向区块链节点发送保存请求。以使所述区块链节点将所述子数字身份信息保存至区块链中。

本说明书一个或多个实施例提供了一种数字身份信息的派生装置，应用于区块链节点。该装置包括接收模块，其接收服务端发送的保存请求。其中，所述保存请求基于客户端发送的派生反馈信息，在根据所述派生反馈信息包括的派生信息，对所述派生反馈信息包括的子数字身份信息验证通过时所发送。所述子数字身份信息是基于所述派生信息派生而得的数字身份信息。所述保存请求包括所述子数字身份信息。该装置还包括保存模块，其将所述子数字身份信息保存至区块链中。

本说明书一个或多个实施例提供了一种数字身份信息的验证装置，应用于服务提供方的终端设备。该装置包括接收模块，其接收客户端发送的业务办理请求。其中，所述业务办理请求包括所述客户端基于子数字身份信息从指定机构申请而得的可验证声明。所述子数字身份信息为基于派生信息派生而得的数字身份信息。该装置还包括获取模块，其根据所述可验证声明中的所述子数字身份信息，获取第二签名数据和子公钥。其中，所述第二签名数据为基于所述子数字身份信息所对应的子私钥进行签名处理所得的签名数据。所述子公钥为所述子数字身份信息所对应的公钥。该装置还包括验证模块，其根据所述子公钥对所述第二签名数据进行验证处理。该装置还包括处理模块，其若所述验证模块验证通过，则基于所述可验证声明进行对应的业务处理。

本说明书一个或多个实施例提供了一种数字身份信息的派生设备。该设备包括处理器。该设备还包括被安排成存储计算机可执行指令的存储器。所述计算机可执行指令在被执行时使所述处理器响应于用户的数字身份信息的派生请求，获取派生信息。根据所述派生信息进行派生处理，得到指定的根数字身份信息的子数字身份信息。根据所述派生信息和所述子数字身份信息，向服务端发送派生反馈信息。以使所述服务端在根据所述派生信息对所述子数字身份信息验证通过时，通过区块链节点将所述子数字身份信息保存至区块链中。

本说明书一个或多个实施例提供了一种数字身份信息的派生设备。该设备包括处理器。该设备还包括被安排成存储计算机可执行指令的存储器。所述计算机可执行指令在被执行时使所述处理器接收客户端发送的派生反馈信息。其中，所述派生反馈信息包括派生信息和子数字身份信息。所述子数字身份信息是基于所述派生信息派生而得的数字身份信息。根据所述派生信息，对所述子数字身份信息进行验证。若验证通过，则根据所述子数字身份信息向区块链节点发送保存请求，以使所述区块链节点将所述子数字身份信息保存至区块链中。

本说明书一个或多个实施例提供了一种数字身份信息的派生设备。该设备包括处理器。该设备还包括被安排成存储计算机可执行指令的存储器。所述计算机可执行指令在被执行时使所述处理器接收服务端发送的保存请求。其中，所述保存请求基于客户端发送的派生反馈信息，在根据所述派生反馈信息包括的派生信息，对所述派生反馈信息包括的子数字身份信息验证通过时所发送。所述子数字身份信息是基于所述派生信息派生而得的数字身份信息。所述保存请求包括所述子数字身份信息。将所述子数字身份信息保存至区块链中。

本说明书一个或多个实施例提供了一种数字身份信息的验证设备。该设备包括处理器。该设备还包括被安排成存储计算机可执行指令的存储器。所述计算机可执行指令在被执行时使所述处理器接收客户端发送的业务办理请求。其中，所述业务办理请求包括所述客户端基于子数字身份信息从指定机构申请而得的可验证声明。所述子数字身份信息为基于派生信息派生而得的数字身份信息。根据所述可验证声明中的所述子数字身份信息，获取第二签名数据和子公钥。其中，所述第二签名数据为基于所述子数字身份信息所对应的子私钥进行签名处理所得的签名数据。所述子公钥为所述子数字身份信息所对应的公钥。根据所述子公钥对所述第二签名数据进行验证处理。若验证通过，则基于所述可验证声明进行相应的业务处理。

本说明书一个或多个实施例提供了一种存储介质。该存储介质用于存储计算机可执行指令。所述计算机可执行指令在被处理器执行时响应于用户的数字身份信息的派生请求，获取派生信息。根据所述派生信息进行派生处理，得到指定的根数字身份信息的子数字身份信息。根据所述派生信息和所述子数字身份信息，向服务端发送派生反馈信息。以使所述服务端在根据所述派生信息对所述子数字身份信息验证通过时，通过区块链节点将所述子数字身份信息保存至区块链中。

本说明书一个或多个实施例提供了一种存储介质。该存储介质用于存储计算机可执行指令。所述计算机可执行指令在被处理器执行时接收客户端发送的派生反馈信息。其中，所述派生反馈信息包括派生信息和子数字身份信息。所述子数字身份信息是基于所述派生信息派生而得的数字身份信息。根据所述派生信息，对所述子数字身份信息进行验证。若验证通过，则根据所述子数字身份信息向区块链节点发送保存请求，以使所述区块链节点将所述子数字身份信息保存至区块链中。

本说明书一个或多个实施例提供了一种存储介质。该存储介质用于存储计算机可执行指令。所述计算机可执行指令在被处理器执行时接收服务端发送的保存请求。其中，所述保存请求基于客户端发送的派生反馈信息，在根据所述派生反馈信息包括的派生信息，对所述派生反馈信息包括的子数字身份信息验证通过时所发送。所述子数字身份信息是基于所述派生信息派生而得的数字身份信息。所述保存请求包括所述子数字身份信息。将所述子数字身份信息保存至区块链中。

本说明书一个或多个实施例提供了一种存储介质。该存储介质用于存储计算机可执行指令。所述计算机可执行指令在被处理器执行时接收客户端发送的业务办理请求。其中，所述业务办理请求包括所述客户端基于子数字身份信息从指定机构申请而得的可验证声明。所述子数字身份信息为基于派生信息派生而得的数字身份信息。根据所述可验证声明中的所述子数字身份信息，获取第二签名数据和子公钥。其中，所述第二签名数据为基于所述子数字身份信息所对应的子私钥进行签名处理所得的签名数据。所述子公钥为所述子数字身份信息所对应的公钥。根据所述子公钥对所述第二签名数据进行验证处理。若验证通过，则基于所述可验证声明进行相应的业务处理。

附图说明

为了更清楚地说明本说明书一个或多个实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本说明书中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本说明书一个或多个实施例提供的一种数字身份信息的派生方法的场景示意图；

图2为本说明书一个或多个实施例提供的一种数字身份信息的验证方法的场景示意图；

图3为本说明书一个或多个实施例提供的一种数字身份信息的派生方法的第一种流程示意图；

图4为本说明书一个或多个实施例提供的一种数字身份信息的派生方法的第二种流程示意图；

图5为本说明书一个或多个实施例提供的一种数字身份信息的派生方法的第三种流程示意图；

图6为本说明书一个或多个实施例提供的一种数字身份信息的派生方法的第四种流程示意图；

图7为本说明书一个或多个实施例提供的一种数字身份信息的派生方法的第五种流程示意图；

图8为本说明书一个或多个实施例提供的一种数字身份信息的派生方法的第六种流程示意图；

图9为本说明书一个或多个实施例提供的一种数字身份信息的派生方法的第七种流程示意图；

图10为本说明书一个或多个实施例提供的一种数字身份信息的派生方法的第八种流程示意图；

图11为本说明书一个或多个实施例提供的一种数字身份信息的派生方法的第九种流程示意图；

图12为本说明书一个或多个实施例提供的一种数字身份信息的派生方法的第十种流程示意图

图13为本说明书一个或多个实施例提供的一种数字身份信息的派生装置的第一种模块组成示意图；

图14为本说明书一个或多个实施例提供的一种数字身份信息的派生装置的第二种模块组成示意图；

图15为本说明书一个或多个实施例提供的一种数字身份信息的派生装置的第三种模块组成示意图；

图16为本说明书一个或多个实施例提供的一种数字身份信息的验证装置的模块组成示意图；

图17为本说明书一个或多个实施例提供的一种数字身份信息的派生设备的结构示意图；

图18为本说明书一个或多个实施例提供的一种数字身份信息的验证设备的结构示意图。

具体实施方式

为了使本技术领域的人员更好地理解本说明书一个或多个实施例中的技术方案，下面将结合本说明书一个或多个实施例中的附图，对本说明书一个或多个实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本说明书的一部分实施例，而不是全部的实施例。基于本说明书一个或多个实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都应当属于本文件的保护范围。

图1为本说明书一个或多个实施例提供的数字身份信息的应用场景示意图，如图1所示，该场景包括：客户端、服务端和接入区块链的区块链节点；其中，客户端可以为手机、平板电脑、台式计算机、便携笔记本式计算机等；服务端可以是独立的服务器，也可以是由多个服务器组成的服务器集群。

具体的，当用户需要派生其根数字身份信息的子数字身份信息时，操作其客户端以向客户端发送派生请求；客户端响应于用户的派生请求，获取待派生的根数字身份信息和对应的派生口令；根据根数字身份信息和派生口令，派生根数字身份信息的子数字身份信息；以及根据根数字身份信息、派生口令和子数字身份信息，向服务端发送派生反馈信息；服务端根据派生反馈信息包括的派生口令和根数字身份信息对子数字身份信息验证通过，并在验证通过时，根据验证通过的子数字身份信息，向区块链中的区块链节点发送保存请求；区块链节点将保存请求中的子数字身份信息保存至区块链中；由此，在用户需要使用不同的数字身份信息时，可以操作其客户端实现数字身份信息的派生，不仅能够满足用户在不同的场景中使用不同的数字身份信息的需求，而且对于用户而言可以通过客户端对数字身份信息进行派生管理，操作方便，提升了便利性。

进一步的，如图2所示，当用户基于派生的子数字身份信息办理业务时，可以首先操作其客户端申请可验证声明(英文全称：Verifiable Credential，简称：VC)，客户端响应于用户的可验证声明的申请操作，根据对应的子数字身份信息向指定机构发送申请请求，接收指定机构返回的可验证声明并保存；当用户操作其客户端进行业务办理时，客户端响应于用户的业务办理操作，根据可验证声明向服务提供方的终端设备发送业务办理请求；服务提供方的终端设备基于区块链中保存的子数字身份信息对业务请求所包括的可验证声明进行验证，并在验证通过时，基于可验证声明进行相应的业务处理。其中，服务提供方的终端设备可以为手机、平板电脑、台式计算机、便携笔记本式计算机等。由此，在确保安全的基础上，基于派生的子数字身份信息实现了业务办理，满足了用户在不同的场景中使用不同的数字身份信息的需求。

需要指出的是，用户基于子数字身份信息申请的可验证声明还可以保存至其他应用中，客户端在被授权的情况下可以访问该其他应用，以在用户基于可验证声明办理业务时，获取该可验证声明并提供给服务提供方的终端设备。

基于上述应用场景架构，本说明书一个或多个实施例提供了一种数字身份信息的派生方法。图3为本说明书一个或多个实施例提供的一种数字身份信息的派生方法的流程示意图，图3中的方法能够由图1中的用户的客户端执行，如图3所示，该方法包括以下步骤：

步骤S102，响应于用户的数字身份信息的派生请求，获取待派生的根数字身份信息及对应的派生口令；

其中，派生口令是由数字、字母、特殊符号(如下划线等)等中的一个或多个字符所组成的字符串，派生口令的长度可以在实际应用中根据需要自行设定。为了使基于同一个根数字身份信息所派生的子数字身份信息各不相同，本说明书实施例中的派生口令与子数字身份信息具有一对一的对应关系。

步骤S104，根据根数字身份信息和派生口令，派生根数字身份信息的子数字身份信息；

步骤S106，根据根数字身份信息、派生口令和子数字身份信息，向服务端发送派生反馈信息，以使服务端在根据根数字身份信息和派生口令对子数字身份信息验证通过时，通过区块链节点将子数字身份信息保存至区块链中。

本说明书一个或多个实施例中，客户端能够响应于用户的派生请求，基于根数字身份信息和对应的派生口令派生子数字身份信息；对于用户而言，不仅能够满足用户在不同的场景中使用不同的数字身份信息的需求，而且可以通过客户端对数字身份信息进行派生管理，操作方便，提升了便利性。

为了便于用户对其数字身份信息的管理，本说明书一个或多个实施例中，可以预先将根数字身份信息保存至客户端中，相应的，步骤S102中获取待派生的根数字身份信息包括：获取保存的根数字身份信息。根数字身份信息还可以由用户操作编辑并提交给客户端，相应的，步骤S102中获取待派生的根数字身份信息包括：从派生请求中获取待派生的根数字身份信息。

进一步的，派生口令由用户通过客户端自行编辑；可选的，用户在需要派生子数字身份信息时，操作其客户端编辑与待派生的子数字身份信息对应的派生口令，并提交给客户端。与之对应的，步骤S102中获取派生口令，包括：从派生请求中获取派生口令；

或者，用户可以预先操作其客户端编辑至少一个派生口令，并将派生口令保存于客户端中；当用户需要派生子数字身份信息时，从客户端保存的派生口令中选取与待派生的子数字身份信息对应的派生口令。与之对应的，步骤S102中获取派生口令，包括：展示保存的至少一个未派生的派生口令；获取用户从展示的派生口令中所选择的派生口令，并作为当前待派生的派生口令。

具体的，客户端中可以保存有第一列表，该第一列表中包括用户编辑的各个派生口令，以及已派生子数字身份信息的派生口令与子数字身份信息的对应关系；对应的，客户端响应于用户的派生请求，从第一列表中获取没有子数字身份信息对应的派生口令，得到未派生的派生口令，展示获取的未派生的派生口令，并获取用户从展示的派生口令中所选择的派生口令，作为当前待派生的派生口令。或者，客户端中可以保存有第二列表，该第二列表中包括用户编辑的各个派生口令，以及已派生子数字身份信息的派生口令和派生标识的对应关系；对应的，客户端响应于用户的派生请求，从第二列表中获取没有派生标识对应的派生口令，得到未派生的派生口令，展示获取的未派生的派生口令，并获取用户从展示的派生口令中所选择的派生口令，作为当前待派生的派生口令。

在客户端获取到派生的根数字身份信息和对应的派生口令之后，即可根据根数字身份信息和派生口令派生子数字身份信息，具体的，如图4所示，步骤S104包括：

步骤S104-2，将根数字身份信息与派生口令进行拼接，得到拼接字符串；或者，将根数字身份信息、派生口令和预设的附加信息进行拼接，得到拼接字符串；

步骤S104-4，根据第一预设算法，对拼接字符串和第一预设算法对应的运算参数进行运算，将得到的第一运算结果确定为子数字身份信息。

其中，附加信息和第一预设算法均可以在实际应用中根据需要自行设定。例如第一预设算法为SHA256算法，第一预设算法对应的运算参数包括8个哈希初值和64个常量；由于SHA256的运算过程对本领域技术人员来说是熟知的，故这里不再详述。

需要指出的是，本说明书实施例中的派生过程具有单向不可逆性，即根据子数字身份信息不能逆推出根数字身份信息。

为了在用户使用子数字身份信息办理业务时，业务提供方能够对子数字身份信息进行有效验证，本说明书一个或多个实施例中，如图5所示，步骤S104之后，还包括：

步骤S105-2，获取根数字身份信息的根关联信息；

作为一个示例，根关联信息可以有用户编辑并提交给客户端，与之对应的，步骤S105-2包括：从派生请求中获取根关联信息；

作为另一个示例，根关联信息保存至客户端中，与之对应的，步骤S105-2包括：从预设存储空间中获取根关联信息；

作为另一示例，根关联信息保存至其他应用中，与之对应的，步骤S105-2包括：在获取到用户的访问授权信息后，从该其他应用中获取根关联信息。

步骤S105-4，根据派生口令和根关联信息，派生子数字身份信息的子关联信息；

其中，根关联信息包括根私钥和根公钥，对应的，步骤S105-4包括：

步骤S105-42，根据派生口令和根私钥，派生子私钥；

具体的，将派生口令转换为二进制形式的字符串；根据预设转换规则将二进制形式的字符串转化为目标字符串；根据第二预设算法，对根私钥和目标字符串进行运算，将得到的第二运算结果确定为子私钥。

其中，转换规则和第二预设算法均可在实际应用中根据需要自行设定；例如，根私钥和目标字符串均为数字形式的字符串，第二预设算法如为加法，即将根私钥和目标字符串相加得到第二运算结果，并将第二运算结果作为子数字身份信息对应的子私钥。

步骤S105-44，根据派生口令和根公钥，派生子公钥；或者，根据子私钥，派生子公钥；

其中，根据派生口令和根公钥，派生子公钥包括：

根据第三预设算法，对根公钥、目标字符串和椭圆曲线上的基点进行运算，将得到的第三运算结果确定为子数字身份信息对应的子公钥。具体的，对目标字符串和椭圆曲线上的G点进行点乘运算得到第四运算结果，将第四运算结果与根公钥进行椭圆曲线上的加法运算得到第三运算结果，并将第三运算结果作为子数字身份信息对应的子公钥。

进一步的，根据子私钥，派生子公钥包括：

根据第四预设算法，对子私钥和椭圆曲线上的基点进行运算，将得到的第三运算结果确定为子公钥。具体的，将子私钥和椭圆曲线上的G点进行点乘运算得到第三运算结果，并将第三运算结果作为派生的子公钥。

由此，根据派生口令、根私钥和根公钥，派生得到子私钥和子公钥；以在后续用户使用基于子数字身份信息所申请的可验证声明办理业务时，基于子私钥和子公钥对可验证声明进行验证。

需要指出的是，上述根据派生口令、根私钥和根公钥派生子私钥和子公钥的方式，仅仅是派生子私钥和子公钥的一种派生方式；上述的第一预设算法、第二预设算法、第三预设算法以及第四预设算法，均可在实际应用中根据需要自行设定。因此，本领域技术人员能够理解的是，基于本说明书实施例提供的派生子私钥和子公钥的技术构思，其他任意基于派生口令、根私钥和根公钥，或者基于派生口令、根私钥、根公钥和其他附加数据等，派生子私钥和子公钥的方式均在本文件的保护范围内。这里不再一一举例说明。

与上述步骤S105-2和步骤S105-4对应的，如图5所示，步骤S106包括：

步骤S106-2，根据根数字身份信息、派生口令、子数字身份信息和子关联信息，向服务端发送派生反馈信息，以使服务端在根据根数字身份信息和派生口令，对子数字身份信息和子关联信息均验证通过时，通过区块链节点将子数字身份信息和子关联信息关联保存至区块链中。

考虑到用户可能基于根数字身份信息派生了多个子数字身份信息，为了便于后续在基于子数字身份信息办理业务时，对子数字身份信息进行验证，本说明书一个或多个实施例中，步骤S102之后，还包括：

步骤A，将派生口令与子数字身份信息进行关联记录，得到第一记录信息；

或者，步骤S105-42之后，还包括：

步骤B，将子数字身份信息和子私钥进行关联记录，得到第二记录信息。

通常的，数字身份信息会有对应的文档，如DID doc，该文档中可以记录数字身份信息的相关信息，本说明书一个或多个实施例中，对于派生的子数字身份信息也同样生成对应的子文档，以记录子数字身份信息的相关信息。具体而言，如图6所示，前述步骤S106-2可以包括：

步骤S106-22，生成子数字身份信息的子文档，将子数字身份信息、子关联信息中的子公钥保存至子文档中；

步骤S106-24，采用子关联信息中的子私钥对派生口令、根数字身份信息和子文档进行签名，得到第一签名数据；

步骤S106-26，根据根数字身份信息、派生口令、子文档和第一签名数据，向服务端发送派生反馈信息，以使服务端在根据子文档包括的子公钥对第一签名数据验证通过、且根据派生口令和根数字身份信息对子文档包括的子数字身份信息验证通过时，通过区块链节点将子数字身份信息和子文档关联保存至区块链中。

由此，基于根数字身份信息、派生口令以及根数字身份信息的根关联信息，实现了子数字身份信息和子数字身份信息的子关联信息的派生；满足了用户在不同的场景中使用不同的数字身份信息的需求。

进一步的，当子数字身份信息和子关联信息派生完成之后，用户即可基于子数字身份信息向指定机构申请可验证声明，并基于该可验证声明进行业务办理；相应的，如图7所示，步骤S106之后还包括：

步骤S108，响应于用户的业务办理操作，向服务提供方的终端设备发送业务办理请求；其中，业务办理请求包括基于子数字身份信息从指定机构所申请的可验证声明，以使终端设备在对可验证声明验证通过时，根据可验证声明进行相应的业务处理；

具体而言，当用户需要基于子数字身份信息办理业务时，操作其客户端以通过客户端申请可验证声明，客户端响应于用户的可验证声明的申请操作，基于子数字身份信息向指定机构发送可验证声明的申请请求，并接收指定机构返回的可验证声明；当用户基于可验证声明办理业务时，可以操作其客户端，客户端响应于用户的业务办理操作，基于该可验证声明向服务提供方的终端设备发送业务办理请求。

步骤S110，接收服务提供方的终端设备发送的验证请求，其中，验证请求包括预设的待签名数据和待验证的子数字身份信息；

具体的，当业务提供方的终端设备接收到业务办理请求时，从业务办理请求包括的可验证声明中获取子数字身份信息，根据获取的子数字身份信息和预设的待签名数据，向用户的客户端发送验证请求；客户端接收该验证请求。

步骤S112，根据待验证的子数字身份信息，获取对应的子私钥；

可选地，当步骤S102之后还包括前述步骤A时，步骤S112包括：根据待验证的子数字身份信息，从第一记录信息中获取关联的派生口令；根据获取的派生口令和保存的根私钥，派生对应的子私钥；

或者，当步骤S105-2之后还包括步骤B时，步骤S112包括：根据待验证的子数字身份信息，从第二记录信息中获取关联的子私钥。

步骤S114，采用获取的子私钥对待签名数据进行签名，得到第二签名数据；

步骤S116，向服务提供方的终端设备发送第二签名数据，以使服务提供方采用待验证的子数字身份信息所对应的子公钥对第二签名数据进行验证。

其中，当服务提供方的终端设备接收到第二签名数据时，根据从可验证声明中获取的子数字身份信息，从区块链中查询关联的子文档，从查询的子文档中获取子公钥，并采用获取的子公钥对接收到的第二签名数据进行验签操作。由此，在确保安全的基础上，基于派生的子数字身份信息实现了业务办理，满足了用户在不同的场景中使用不同的数字身份信息的需求。

本说明书一个或多个实施例中，客户端能够响应于用户的派生请求，基于根数字身份信息和对应的派生口令派生子数字身份信息；对于用户而言，不仅能够满足用户在不同的场景中使用不同的数字身份信息的需求，而且可以通过客户端对数字身份信息进行派生管理，操作方便，提升了便利性。

对应上述图3至图7描述的数字身份信息的派生方法，基于相同的技术构思，本说明书一个或多个实施例还提供另一种数字身份信息的派生方法。图8为本说明书一个或多个实施例提供的另一种数字身份信息的派生方法，图8中的方法能够由图1中的服务端执行，如图8所示，该方法包括以下步骤：

步骤S202，接收客户端发送的派生反馈信息，其中，派生反馈信息包括派生口令、根数字身份信息和子数字身份信息；

步骤S204，根据派生口令和根数字身份信息，对子数字身份信息进行验证；

步骤S206，若验证通过，则根据子数字身份信息向区块链节点发送保存请求，以使区块链节点将子数字身份信息保存至区块链中。

本说明书一个或多个实施例中，服务端通过对客户端发送的子数字身份信息进行验证，并在验证通过后将子数字身份信息保存至区块链中，在确保了子数字身份信息的准确性的基础上，基于区块链的公开可查性和不可篡改性，为后续业务办理过程中的验证操作，提供了有效的数据依据。

进一步的，为了便于后续业务办理过程中对子数字身份信息进行验证，本说明书一个或多个实施例中，派生反馈信息还包括：子数字身份信息的子关联信息；

对应的，步骤S204包括：

根据派生口令和根数字身份信息，对子数字身份信息和子关联信息进行验证。

更进一步的，如图9所示，派生反馈信息还可以包括：子数字身份信息的子文档和第一签名数据，子数字身份信息和子关联信息存储于子文档中，子关联信息包括子数字身份信息对应的子公钥；

与之对应的，如图9所示，步骤S204进一步包括：

S204-2，从子文档中获取子数字身份信息和子公钥；

S204-4，采用获取的子公钥对第一签名数据进行验证，若第一签名数据验证通过，则确定子关联信息验证通过；

S204-6，根据派生口令和根数字身份信息，派生子数字身份信息；

S204-8，确定派生的子数字身份信息与获取的子数字身份信息是否一致，若一致，则确定获取的子数字身份信息验证通过。

其中，步骤S204-6和步骤S204-8还可以在步骤S204-4之前执行。

本说明书一个或多个实施例中，服务端通过对客户端发送的子数字身份信息进行验证，并在验证通过后将子数字身份信息保存至区块链中，在确保了子数字身份信息的准确性的基础上，基于区块链的公开可查性和不可篡改性，为后续业务办理过程中的验证操作，提供了有效的数据依据。

对应前述描述的数字身份信息的派生方法，基于相同的技术构思，本说明书一个或多个实施例还提供另一种数字身份信息的派生方法。图10为本说明书一个或多个实施例提供的另一种数字身份信息的派生方法，图10中的方法能够由图2中的区块链节点执行，如图10所示，该方法包括以下步骤：

步骤S302，接收服务端发送的保存请求，其中，保存请求包括子数字身份信息；

具体的，当服务端接收到客户端发送的派生反馈信息，并对派生反馈信息包括的子数字身份信息验证通过时，根据子数字身份信息和派生反馈信息包括的子文档向区块链节点发送保存请求；区块链节点接收服务端发送的保存请求。

步骤S304，将子数字身份信息保存至区块链中。

具体的，将保存请求包括的子数字身份信息和子文档关联保存至区块链中。

本说明书一个或多个实施例中，通过将子数字身份信息保存至区块链中，以基于区块链的公开可查性和不可篡改性，为后续业务办理过程中的验证操作，提供有效的数据依据。

对应前述描述的数字身份信息的派生方法，基于相同的技术构思，本说明书一个或多个实施例还提供一种数字身份信息的验证方法。图11为本说明书一个或多个实施例提供的一种数字身份信息的验证方法，图11中的方法能够由图2中的服务提供方的终端设备执行，如图11所示，该方法包括以下步骤：

步骤S402，接收客户端发送的业务办理请求，其中，业务办理请求包括客户端基于子数字身份信息从指定机构申请而得的可验证声明；子数字身份信息为基于根数字身份信息和派生口令派生而得的数字身份信息；

具体的，在客户端响应于用户的派生请求派生子数字身份信息之后，还响应于用户的可验证声明的申请请求，基于派生的子数字身份信息向指定机构申请可验证声明；并在检测到用户的业务办理操作时，基于可验证声明向服务供方的终端设备发送业务办理请求。其中，可验证声明包括子数字身份信息、第三签名数据和指定机构的数字身份信息，其中，第三签名数据为指定机构颁发该可验证声明时，使用指定机构的私钥对指定数据进行签名而得的数据。

步骤S404，对可验证声明进行验证；

具体的，如图12所示，步骤S404包括：

步骤S404-2，向客户端发送验证请求，其中，验证请求包括子数字身份信息和预设的待签名数据，以使客户端采用子数字身份信息对应的子私钥对待签名数据进行签名，得到第二签名数据；

具体的，服务提供方的终端设备从可验证声明中获取子数字身份信息，并根据获取的子数字身份信息和预设的待签名数据，向客户端发送验证请求。

步骤S404-4，根据子数字身份信息，从区块链中查询关联的子文档，并从子文档中获取子数字身份信息所对应的子公钥；

步骤S404-6，根据子公钥对客户端发送的第二签名数据进行验证；

步骤S404-8，根据指定机构的数字身份信息，获取指定机构的公钥，采用获取的公钥对第三签名数据进行验证；

其中，根据指定机构的数字身份信息，获取指定机构的公钥，可以为根据指定机构的数字身份信息，从区块链中查询对应的文档，并从查询到的文档中获取指定机构的公钥；或者，服务提供方的终端设备中预先存储指定机构的数字身份信息和公钥的关联记录信息，并根据指定机构的数字身份信息从关联记录信息中获取指定机构的公钥。

步骤S404-10，若第二签名数据和第三签名数据均验证通过，则确定可验证声明验证通过。

根据上述步骤S404-2至步骤S404-10可毫无疑义的得知，当用户基于子数字身份信息申请的可验证声明进行业务办理时，业务提供方的终端设备主要对可验证声明中的子数字身份信息的相关信息进行验证，即业务提供方的终端设备根据可验证声明中的子数字身份信息，获取基于子数字身份信息对应的子私钥进行签名处理而得的第二签名数据、以及获取子数字身份信息对应的子公钥，并根据获取的子公钥对第二签名数据进行验证处理。而为了避免可验证声明是虚假的，业务提供方的终端设备还可以对可验证声明中的第三签名数据进行验证，以确保可验证声明是指定机构所颁发，具有有效性。

步骤S406，若验证通过，则基于可验证声明进行相应的业务处理。

本说明书一个或多个实施例中，服务提供方的终端设备在接收到业务办理请求时，通过对业务办理请求包括的、用户基于子数字身份信息申请而得的可验证声明进行验证，在确保了安全的基础上，基于派生的子数字身份信息实现了业务办理，满足了用户在不同的场景中使用不同的数字身份信息的需求。

对应上述图3至图7描述的数字身份信息的派生方法，基于相同的技术构思，本说明书一个或多个实施例还提供一种数字身份信息的派生装置。图13为本说明书一个或多个实施例提供的数字身份信息的派生装置的模块组成示意图，该装置用于执行图3至图7描述的数字身份信息的派生方法，如图13所示，该装置包括：

获取模块501，其响应于用户的数字身份信息的派生请求，获取待派生的根数字身份信息及对应的派生口令；

派生模块502，其根据所述根数字身份信息和所述派生口令，派生所述根数字身份信息的子数字身份信息；

发送模块503，其根据所述根数字身份信息、所述派生口令和所述子数字身份信息，向服务端发送派生反馈信息，以使所述服务端在根据所述派生口令和所述根数字身份信息对所述子数字身份信息验证通过时，通过区块链节点将所述子数字身份信息保存至区块链中。

本说明书一个或多个实施例中提供的数字身份信息的派生装置，能够响应于用户的派生请求，基于根数字身份信息和对应的派生口令派生子数字身份信息；对于用户而言，不仅能够满足用户在不同的场景中使用不同的数字身份信息的需求，而且可以通过客户端对数字身份信息进行派生管理，操作方便，提升了便利性。

可选地，所述派生模块502，将所述根数字身份信息与所述派生口令进行拼接，得到拼接字符串；或者，将所述根数字身份信息、所述派生口令和预设的附加信息进行拼接，得到拼接字符串；以及，

根据第一预设算法，对所述拼接字符串和所述第一预设算法对应的运算参数进行运算，将得到的第一运算结果确定为子数字身份信息。

可选地，所述派生模块502，获取所述根数字身份信息的根关联信息；根据所述派生口令和所述根关联信息，派生所述子数字身份信息的子关联信息；

对应的，所述发送模块503，根据所述根数字身份信息、所述派生口令、所述子数字身份信息和所述子关联信息，向所述服务端发送派生反馈信息。

可选地，所述根关联信息包括：根私钥和根公钥；

所述派生模块502，根据所述派生口令和所述根私钥，派生子私钥；以及，

根据所述派生口令和所述根公钥，派生子公钥；或者，根据所述子私钥，派生子公钥。

可选地，所述派生模块502，将所述派生口令转换为二进制形式的字符串；以及，

根据预设转换规则将所述二进制形式的字符串转化为目标字符串；

根据第二预设算法，对所述根私钥和所述目标字符串进行运算，将得到的第二运算结果确定为子私钥；

根据第三预设算法，对所述根公钥、所述目标字符串和椭圆曲线上的G点进行运算，将得到的第三运算结果确定为子公钥。

可选地，所述派生模块502，根据第四预算算法，对所述子私钥和椭圆曲线上的G点进行运算，将得到的第三运算结果确定为子公钥。

可选地，所述发送模块503，生成所述子数字身份信息的子文档，将所述子数字身份信息、所述子公钥保存至所述子文档中；以及，

采用所述子私钥对所述派生口令、所述根数字身份信息和所述子文档进行签名，得到第一签名数据；

根据所述根数字身份信息、所述派生口令、所述子文档和所述第一签名数据，向所述服务端发送派生反馈信息，以使所述服务端在根据所述子文档包括的子公钥对所述第一签名数据验证通过、且根据所述派生口令和所述根数字身份信息对所述子文档包括的所述子数字身份信息验证通过时，通过所述区块链节点将所述子数字身份信息和所述子文档关联保存至所述区块链中。

可选地，所述装置还包括：接收模块和签名模块；

所述发送模块503，响应于所述用户的业务办理操作，向服务提供方的终端设备发送业务办理请求；其中，所述业务办理请求包括基于所述子数字身份信息从指定机构所申请的可验证声明，以使所述终端设备在对所述可验证声明验证通过时，根据所述可验证声明进行相应的业务处理；

所述接收模块，接收所述服务提供方的终端设备发送的验证请求；其中，所述验证请求包括预设的待签名数据和待验证的子数字身份信息；

所述签名模块，根据所述待验证的子数字身份信息，获取对应的子私钥；以及，采用获取的所述子私钥对所述待签名数据进行签名，得到第二签名数据；

所述发送模块503，向所述服务提供方的终端设备发送所述第二签名数据，以使所述服务提供方采用所述待验证的子数字身份信息所对应的子公钥对所述第二签名数据进行验证。

可选地，所述装置还包括：关联模块；

所述关联模块，在所述派生模块502根据所述派生口令和所述根数字身份信息，派生子数字身份信息之后，将所述派生口令与所述子数字身份信息进行关联记录，得到第一记录信息；

所述签名模块，根据所述待验证的子数字身份信息，从所述第一记录信息中获取关联的派生口令；根据获取的所述派生口令和所述根私钥，派生对应的子私钥；

或者，

所述关联模块，在所述派生模块502根据所述派生口令和所述根私钥，派生子私钥之后，将所述子数字身份信息和所述子私钥进行关联记录，得到第二记录信息；

所述签名模块，根据所述待验证的子数字身份信息，从所述第二记录信息中获取关联的子私钥。

可选地，所述获取模块501，从所述派生请求中获取对应的派生口令；或者，

展示保存的至少一个未派生的派生口令，获取用户从展示的派生口令中所选择的派生口令，并作为当前待派生的派生口令；其中，所述未派生的派生口令为所述用户预先设置的派生口令。

本说明书一个或多个实施例提供的数字身份信息的派生装置，能够响应于用户的派生请求，基于根数字身份信息和对应的派生口令派生子数字身份信息；对于用户而言，不仅能够满足用户在不同的场景中使用不同的数字身份信息的需求，而且可以通过客户端对数字身份信息进行派生管理，操作方便，提升了便利性。

需要说明的是，本说明书中关于数字身份信息的派生装置的实施例与本说明书中关于数字身份信息的派生方法的实施例基于同一发明构思，因此该实施例的具体实施可以参见前述对应的数字身份信息的派生方法的实施，重复之处不再赘述。

对应上述图8和图9描述的数字身份信息的派生方法，基于相同的技术构思，本说明书一个或多个实施例还提供一种数字身份信息的派生装置。图14为本说明书一个或多个实施例提供的数字身份信息的派生装置的模块组成示意图，该装置用于执行图8和图9描述的数字身份信息的派生方法，如图14所示，该装置包括：

接收模块601，其接收客户端发送的派生反馈信息，其中，所述派生反馈信息包括派生口令、根数字身份信息和子数字身份信息；

验证模块602，其根据所述派生口令和所述根数字身份信息，对所述子数字身份信息进行验证；

发送模块603，其若所述验证模块验证通过，则根据所述子数字身份信息向区块链节点发送保存请求，以使所述区块链节点将所述子数字身份信息保存至区块链中。

可选地，所述派生反馈信息还包括：所述子数字身份信息的子关联信息；

所述验证模块602，根据所述派生口令和所述根数字身份信息，对所述子数字身份信息和所述子关联信息进行验证。

可选地，所述派生反馈信息还包括：所述子数字身份信息的子文档和第一签名数据，所述子数字身份信息和所述子关联信息存储于所述子文档中，所述子关联信息包括所述子数字身份信息对应的子公钥；

所述验证模块602，从所述子文档中获取所述子数字身份信息和所述子公钥；以及，

采用获取的所述子公钥对所述第一签名数据进行验证，若所述第一签名数据验证通过，则确定所述子关联信息验证通过；

根据所述派生口令和所述根数字身份信息，派生子数字身份信息；

确定派生的所述子数字身份信息与所述获取的所述子数字身份信息是否一致，若一致，则确定获取的所述子数字身份信息验证通过。

本说明书一个或多个实施例提供的数字身份信息的派生装置，通过对客户端发送的子数字身份信息进行验证，并在验证通过后将子数字身份信息保存至区块链中，在确保了子数字身份信息的准确性的基础上，基于区块链的公开可查性和不可篡改性，为后续业务办理过程中的验证操作，提供了有效的数据依据。

需要说明的是，本说明书中关于数字身份信息的派生装置的实施例与本说明书中关于数字身份信息的派生方法的实施例基于同一发明构思，因此该实施例的具体实施可以参见前述对应的数字身份信息的派生方法的实施，重复之处不再赘述。

对应上述图10描述的数字身份信息的派生方法，基于相同的技术构思，本说明书一个或多个实施例还提供一种数字身份信息的派生装置。图15为本说明书一个或多个实施例提供的数字身份信息的派生装置的模块组成示意图，该装置用于执行图10描述的数字身份信息的派生方法，如图15所示，该装置包括：

接收模块701，其接收服务端发送的保存请求，其中，所述保存请求包括子数字身份信息和子文档；

保存模块702，其将所述子数字身份信息和所述子文档关联保存至区块链中。

可选地，所述保存请求还包括：所述子数字身份信息的子文档；

所述保存模块702，将所述子数字身份信息和所述子文档关联保存至区块链中。

本说明书一个或多个实施例提供的数字身份信息的派生装置，通过将子数字身份信息保存至区块链中，以基于区块链的公开可查性和不可篡改性，为后续业务办理过程中的验证操作，提供有效的数据依据。

需要说明的是，本说明书中关于数字身份信息的派生装置的实施例与本说明书中关于数字身份信息的派生方法的实施例基于同一发明构思，因此该实施例的具体实施可以参见前述对应的数字身份信息的派生方法的实施，重复之处不再赘述。

对应上述图11和图12描述的数字身份信息的验证方法，基于相同的技术构思，本说明书一个或多个实施例还提供一种数字身份信息的验证装置。图16为本说明书一个或多个实施例提供的数字身份信息的验证装置的模块组成示意图，该装置用于执行图11和图12描述的数字身份信息的验证方法，如图16所示，该装置包括：

接收模块801，其接收客户端发送的业务办理请求，其中，所述业务办理请求包括所述客户端基于子数字身份信息从指定机构申请而得的可验证声明；所述子数字身份信息为基于根数字身份信息和派生口令派生而得的数字身份信息；

验证模块802，其对所述可验证声明进行验证；

处理模块803，其若所述验证模块验证通过，则基于所述可验证声明进行对应的业务处理。

可选地，所述可验证声明包括所述子数字身份信息、第三签名数据和所述指定机构的数字身份信息；

所述验证模块802，向所述用户的客户端发送验证请求，其中，所述验证请求包括所述子数字身份信息和预设的待签名数据，以使所述客户端采用所述子数字身份信息对应的子私钥对所述待签名数据进行签名，得到第二签名数据；以及，

根据所述子数字身份信息，从区块链中查询关联的子文档，并从所述子文档中获取所述子数字身份信息所对应的子公钥；

根据所述子公钥对所述客户端发送的所述第二签名数据进行验证；以及，

根据所述指定机构的数字身份信息，获取所述指定机构的公钥，采用获取的所述公钥对所述第三签名数据进行验证；

若所述第二签名数据和所述第三签名数据均验证通过，则确定所述可验证声明验证通过。

本说明书一个或多个实施例提供的数字身份信息的验证装置，在接收到业务办理请求时，通过对业务办理请求包括的、用户基于子数字身份信息申请而得的可验证声明进行验证，在确保了安全的基础上，基于派生的子数字身份信息实现了业务办理，满足了用户在不同的场景中使用不同的数字身份信息的需求。

需要说明的是，本说明书中关于数字身份信息的验证装置的实施例与本说明书中关于数字身份信息的验证方法的实施例基于同一发明构思，因此该实施例的具体实施可以参见前述对应的数字身份信息的验证方法的实施，重复之处不再赘述。

进一步地，对应上述描述的数字身份信息的派生方法，基于相同的技术构思，本说明书一个或多个实施例还提供一种数字身份信息的派生设备，该设备用于执行上述的数字身份信息的派生方法，图17为本说明书一个或多个实施例提供的一种数字身份信息的派生设备的结构示意图。

如图17所示，数字身份信息的派生设备可因配置或性能不同而产生比较大的差异，可以包括一个或一个以上的处理器901和存储器902，存储器902中可以存储有一个或一个以上存储应用程序或数据。其中，存储器902可以是短暂存储或持久存储。存储在存储器902的应用程序可以包括一个或一个以上模块(图示未示出)，每个模块可以包括数字身份信息的派生设备中的一系列计算机可执行指令。更进一步地，处理器901可以设置为与存储器902通信，在数字身份信息的派生设备上执行存储器902中的一系列计算机可执行指令。数字身份信息的派生设备还可以包括一个或一个以上电源903，一个或一个以上有线或无线网络接口904，一个或一个以上输入输出接口905，一个或一个以上键盘906等。

在一个具体的实施例中，数字身份信息的派生设备包括有存储器，以及一个或一个以上的程序，其中一个或者一个以上程序存储于存储器中，且一个或者一个以上程序可以包括一个或一个以上模块，且每个模块可以包括对数字身份信息的派生设备中的一系列计算机可执行指令，且经配置以由一个或者一个以上处理器执行该一个或者一个以上程序包含用于进行以下计算机可执行指令：

响应于用户的数字身份信息的派生请求，获取待派生的根数字身份信息及对应的派生口令；

根据所述根数字身份信息和所述派生口令，派生所述根数字身份信息的子数字身份信息；

根据所述根数字身份信息、所述派生口令和所述子数字身份信息，向服务端发送派生反馈信息，以使所述服务端在根据所述根数字身份信息和所述派生口令对所述子数字身份信息验证通过时，通过区块链节点将所述子数字身份信息关联保存至区块链中。

可选地，计算机可执行指令在被执行时，所述根据所述根数字身份信息和所述派生口令，派生所述根数字身份信息的子数字身份信息，包括：

将所述根数字身份信息与所述派生口令进行拼接，得到拼接字符串；或者，将所述根数字身份信息、所述派生口令和预设的附加信息进行拼接，得到拼接字符串；

根据第一预设算法，对所述拼接字符串和所述第一预设算法对应的运算参数进行运算，将得到的第一运算结果确定为子数字身份信息。

可选地，计算机可执行指令在被执行时，所述方法还包括：

获取所述根数字身份信息的根关联信息；

根据所述派生口令和所述根关联信息，派生所述子数字身份信息的子关联信息；

所述根据所述根数字身份信息、所述派生口令和所述子数字身份信息，向服务端发送派生反馈信息，包括：

根据所述根数字身份信息、所述派生口令、所述子数字身份信息和所述子关联信息，向所述服务端发送派生反馈信息。

可选地，计算机可执行指令在被执行时，所述根关联信息包括：根私钥和根公钥；

所述根据所述派生口令和所述根数字身份信息的根关联信息，派生所述子数字身份信息的子关联信息，包括：

根据所述派生口令和所述根私钥，派生子私钥；

根据所述派生口令和所述根公钥，派生子公钥；或者，根据所述子私钥，派生子公钥。

可选地，计算机可执行指令在被执行时，所述根据所述派生口令和所述根私钥，派生子私钥，包括：

将所述派生口令转换为二进制形式的字符串；

根据预设转换规则将所述二进制形式的字符串转化为目标字符串；

根据第二预设算法，对所述根私钥和所述目标字符串进行运算，将得到的第二运算结果确定为子私钥；

所述根据所述派生口令和所述根公钥，派生子公钥；包括：

根据第三预设算法，对所述根公钥、所述目标字符串和椭圆曲线上的G点进行运算，将得到的第三运算结果确定为子公钥。

可选地，计算机可执行指令在被执行时，所述根据所述派生口令和所述子私钥，派生子公钥，包括：

根据第四预算算法，对所述子私钥和椭圆曲线上的G点进行运算，将得到的第三运算结果确定为子公钥。

可选地，计算机可执行指令在被执行时，所述根据所述根数字身份信息、所述派生口令、所述子数字身份信息和所述子关联信息，向所述服务端发送派生反馈信息，包括：

生成所述子数字身份信息的子文档，将所述子数字身份信息、所述子公钥保存至所述子文档中；

采用所述子私钥对所述派生口令、所述根数字身份信息和所述子文档进行签名，得到第一签名数据；

根据所述根数字身份信息、所述派生口令、所述子文档和所述第一签名数据，向所述服务端发送派生反馈信息，以使所述服务端在根据所述子文档包括的子公钥对所述第一签名数据验证通过、且根据所述派生口令和所述根数字身份信息对所述子文档包括的所述子数字身份信息验证通过时，通过所述区块链节点将所述子数字身份信息和所述子文档关联保存至所述区块链中。

可选地，计算机可执行指令在被执行时，所述方法还包括：

响应于所述用户的业务办理操作，向服务提供方的终端设备发送业务办理请求；其中，所述业务办理请求包括基于所述子数字身份信息从指定机构所申请的可验证声明，以使所述终端设备在对所述可验证声明验证通过时，根据所述可验证声明进行相应的业务处理；

接收所述服务提供方的终端设备发送的验证请求；其中，所述验证请求包括预设的待签名数据和待验证的子数字身份信息；

根据所述待验证的子数字身份信息，获取对应的子私钥；

采用获取的所述子私钥对所述待签名数据进行签名，得到第二签名数据；

向所述服务提供方的终端设备发送所述第二签名数据，以使所述服务提供方采用所述待验证的子数字身份信息所对应的子公钥对所述第二签名数据进行验证。

可选地，计算机可执行指令在被执行时，所述根据所述派生口令和所述根数字身份信息，派生子数字身份信息之后，还包括：

将所述派生口令与所述子数字身份信息进行关联记录，得到第一记录信息；

所述根据所述待验证的子数字身份信息，获取对应的子私钥，包括：

根据所述待验证的子数字身份信息，从所述第一记录信息中获取关联的派生口令；

根据获取的所述派生口令和所述根私钥，派生对应的子私钥；

或者，

所述根据所述派生口令和所述根私钥，派生子私钥之后，还包括：

将所述子数字身份信息和所述子私钥进行关联记录，得到第二记录信息；

所述根据所述待验证的子数字身份信息，获取对应的子私钥，包括：

根据所述待验证的子数字身份信息，从所述第二记录信息中获取关联的子私钥。

可选地，计算机可执行指令在被执行时，获取派生口令，包括：

从所述派生请求中获取对应的派生口令；或者，

展示保存的至少一个未派生的派生口令，获取用户从展示的派生口令中所选择的派生口令，并作为当前待派生的派生口令；其中，所述未派生的派生口令为所述用户预先设置的派生口令。

本说明书一个或多个实施例提供的数字身份信息的派生设备，能够响应于用户的派生请求，基于根数字身份信息和对应的派生口令派生子数字身份信息；对于用户而言，不仅能够满足用户在不同的场景中使用不同的数字身份信息的需求，而且可以通过客户端对数字身份信息进行派生管理，操作方便，提升了便利性。

在另一个具体的实施例中，数字身份信息的派生设备包括有存储器，以及一个或一个以上的程序，其中一个或者一个以上程序存储于存储器中，且一个或者一个以上程序可以包括一个或一个以上模块，且每个模块可以包括对数字身份信息的派生设备中的一系列计算机可执行指令，且经配置以由一个或者一个以上处理器执行该一个或者一个以上程序包含用于进行以下计算机可执行指令：

接收客户端发送的派生反馈信息，其中，所述派生反馈信息包括派生口令、根数字身份信息和子数字身份信息；

根据所述派生口令和所述根数字身份信息，对所述子数字身份信息进行验证；

若验证通过，则根据所述子数字身份信息向区块链节点发送保存请求，以使所述区块链节点将所述子数字身份信息保存至区块链中。

可选地，计算机可执行指令在被执行时，所述派生反馈信息还包括：所述子数字身份信息的子关联信息；

所述根据所述派生口令和所述根数字身份信息，对所述子数字身份信息进行验证，包括：

根据所述派生口令和所述根数字身份信息，对所述子数字身份信息和所述子关联信息进行验证。

可选地，计算机可执行指令在被执行时，所述派生反馈信息还包括：所述子数字身份信息的子文档和第一签名数据，所述子数字身份信息和所述子关联信息存储于所述子文档中，所述子关联信息包括所述子数字身份信息对应的子公钥；

所述根据所述派生口令和所述根数字身份信息，对所述子数字身份信息和所述子关联信息进行验证，包括：

从所述子文档中获取所述子数字身份信息和所述子公钥；

采用获取的所述子公钥对所述第一签名数据进行验证，若所述第一签名数据验证通过，则确定所述子关联信息验证通过；以及，

根据所述派生口令和所述根数字身份信息，派生子数字身份信息；

确定派生的所述子数字身份信息与所述获取的所述子数字身份信息是否一致，若一致，则确定获取的所述子数字身份信息验证通过。

本说明书一个或多个实施例提供的数字身份信息的派生设备，通过对客户端发送的子数字身份信息进行验证，并在验证通过后将子数字身份信息保存至区块链中，在确保了子数字身份信息的准确性的基础上，基于区块链的公开可查性和不可篡改性，为后续业务办理过程中的验证操作，提供了有效的数据依据。

在另一个具体的实施例中，数字身份信息的派生设备包括有存储器，以及一个或一个以上的程序，其中一个或者一个以上程序存储于存储器中，且一个或者一个以上程序可以包括一个或一个以上模块，且每个模块可以包括对数字身份信息的派生设备中的一系列计算机可执行指令，且经配置以由一个或者一个以上处理器执行该一个或者一个以上程序包含用于进行以下计算机可执行指令：

接收服务端发送的保存请求，其中，所述保存请求包括子数字身份信息；

将所述子数字身份信息保存至区块链中。

可选地，计算机可执行指令在被执行时，所述保存请求还包括：所述子数字身份信息的子文档；

所述将所述子数字身份信息保存至区块链中，包括：

将所述子数字身份信息和所述子文档关联保存至区块链中。

本说明书一个或多个实施例提供的数字身份信息的派生设备，通过将子数字身份信息保存至区块链中，以基于区块链的公开可查性和不可篡改性，为后续业务办理过程中的验证操作，提供有效的数据依据。

需要说明的是，本说明书中关于数字身份信息的派生设备的实施例与本说明书中关于数字身份信息的派生方法的实施例基于同一发明构思，因此该实施例的具体实施可以参见前述对应的数字身份信息的派生方法的实施，重复之处不再赘述。

进一步地，对应上述描述的数字身份信息的验证方法，基于相同的技术构思，本说明书一个或多个实施例还提供一种数字身份信息的验证设备，该设备用于执行上述的数字身份信息的验证方法，图18为本说明书一个或多个实施例提供的一种数字身份信息的验证设备的结构示意图。

如图18所示，数字身份信息的验证设备可因配置或性能不同而产生比较大的差异，可以包括一个或一个以上的处理器1001和存储器1002，存储器1002中可以存储有一个或一个以上存储应用程序或数据。其中，存储器1002可以是短暂存储或持久存储。存储在存储器1002的应用程序可以包括一个或一个以上模块(图示未示出)，每个模块可以包括数字身份信息的验证设备中的一系列计算机可执行指令。更进一步地，处理器1001可以设置为与存储器1002通信，在数字身份信息的验证设备上执行存储器1002中的一系列计算机可执行指令。数字身份信息的验证设备还可以包括一个或一个以上电源1003，一个或一个以上有线或无线网络接口1004，一个或一个以上输入输出接口1005，一个或一个以上键盘1006等。

在一个具体的实施例中，数字身份信息的验证设备包括有存储器，以及一个或一个以上的程序，其中一个或者一个以上程序存储于存储器中，且一个或者一个以上程序可以包括一个或一个以上模块，且每个模块可以包括对数字身份信息的验证设备中的一系列计算机可执行指令，且经配置以由一个或者一个以上处理器执行该一个或者一个以上程序包含用于进行以下计算机可执行指令：

接收用户发送的业务办理请求，其中，所述业务办理请求包括所述用户基于子数字身份信息从指定机构申请而得的可验证声明；所述子数字身份信息为基于根数字身份信息和派生口令派生而得的数字身份信息；

对所述可验证声明进行验证；

若验证通过，则基于所述可验证声明进行相应的业务处理。

可选地，计算机可执行指令在被执行时，所述可验证声明包括所述子数字身份信息、第三签名数据和所述指定机构的数字身份信息；

所述对所述可验证声明进行验证，包括：

向所述用户的客户端发送验证请求，其中，所述验证请求包括所述子数字身份信息和预设的待签名数据，以使所述客户端采用所述子数字身份信息对应的子私钥对所述待签名数据进行签名，得到第二签名数据；

根据所述子数字身份信息，从区块链中查询关联的子文档，并从所述子文档中获取所述子数字身份信息所对应的子公钥；

根据所述子公钥对所述客户端发送的所述第二签名数据进行验证；以及，

根据所述指定机构的数字身份信息，获取所述指定机构的公钥，采用获取的所述公钥对所述第三签名数据进行验证；

若所述第二签名数据和所述第三签名数据均验证通过，则确定所述可验证声明验证通过。

本说明书一个或多个实施例提供的数字身份信息的验证设备，在接收到业务办理请求时，通过对业务办理请求包括的、用户基于子数字身份信息申请而得的可验证声明进行验证，在确保了安全的基础上，基于派生的子数字身份信息实现了业务办理，满足了用户在不同场景中使用不同的数字身份信息的需求。

需要说明的是，本说明书中关于数字身份信息的验证设备的实施例与本说明书中关于数字身份信息的验证方法的实施例基于同一发明构思，因此该实施例的具体实施可以参见前述对应的数字身份信息的验证方法的实施，重复之处不再赘述。

进一步地，对应上述描述的方法，基于相同的技术构思，本说明书一个或多个实施例还提供了一种存储介质，用于存储计算机可执行指令，一个具体的实施例中，该存储介质可以为U盘、光盘、硬盘等，该存储介质存储的计算机可执行指令在被处理器执行时，能实现以下流程：

响应于用户的数字身份信息的派生请求，获取待派生的根数字身份信息及对应的派生口令；

根据所述根数字身份信息和所述派生口令，派生所述根数字身份信息的子数字身份信息；

根据所述根数字身份信息、所述派生口令和所述子数字身份信息，向服务端发送派生反馈信息，以使所述服务端在根据所述根数字身份信息和所述派生口令对所述子数字身份信息验证通过时，通过区块链节点将所述子数字身份信息关联保存至区块链中。

可选地，该存储介质存储的计算机可执行指令在被处理器执行时，所述根据所述根数字身份信息和所述派生口令，派生所述根数字身份信息的子数字身份信息，包括：

将所述根数字身份信息与所述派生口令进行拼接，得到拼接字符串；或者，将所述根数字身份信息、所述派生口令和预设的附加信息进行拼接，得到拼接字符串；

根据第一预设算法，对所述拼接字符串和所述第一预设算法对应的运算参数进行运算，将得到的第一运算结果确定为子数字身份信息。

可选地，该存储介质存储的计算机可执行指令在被处理器执行时，所述方法还包括：

获取所述根数字身份信息的根关联信息；

根据所述派生口令和所述根关联信息，派生所述子数字身份信息的子关联信息；

所述根据所述根数字身份信息、所述派生口令和所述子数字身份信息，向服务端发送派生反馈信息，包括：

根据所述根数字身份信息、所述派生口令、所述子数字身份信息和所述子关联信息，向所述服务端发送派生反馈信息。

可选地，该存储介质存储的计算机可执行指令在被处理器执行时，所述根关联信息包括：根私钥和根公钥；

所述根据所述派生口令和所述根数字身份信息的根关联信息，派生所述子数字身份信息的子关联信息，包括：

根据所述派生口令和所述根私钥，派生子私钥；

根据所述派生口令和所述根公钥，派生子公钥；或者，根据所述子私钥，派生子公钥。

可选地，该存储介质存储的计算机可执行指令在被处理器执行时，所述根据所述派生口令和所述根私钥，派生子私钥，包括：

将所述派生口令转换为二进制形式的字符串；

根据预设转换规则将所述二进制形式的字符串转化为目标字符串；

根据第二预设算法，对所述根私钥和所述目标字符串进行运算，将得到的第二运算结果确定为子私钥；

所述根据所述派生口令和所述根公钥，派生子公钥；包括：

根据第三预设算法，对所述根公钥、所述目标字符串和椭圆曲线上的G点进行运算，将得到的第三运算结果确定为子公钥。

可选地，该存储介质存储的计算机可执行指令在被处理器执行时，所述根据所述派生口令和所述子私钥，派生子公钥，包括：

根据第四预算算法，对所述子私钥和椭圆曲线上的G点进行运算，将得到的第三运算结果确定为子公钥。

可选地，该存储介质存储的计算机可执行指令在被处理器执行时，所述根据所述根数字身份信息、所述派生口令、所述子数字身份信息和所述子关联信息，向所述服务端发送派生反馈信息，包括：

生成所述子数字身份信息的子文档，将所述子数字身份信息、所述子公钥保存至所述子文档中；

采用所述子私钥对所述派生口令、所述根数字身份信息和所述子文档进行签名，得到第一签名数据；

根据所述根数字身份信息、所述派生口令、所述子文档和所述第一签名数据，向所述服务端发送派生反馈信息，以使所述服务端在根据所述子文档包括的子公钥对所述第一签名数据验证通过、且根据所述派生口令和所述根数字身份信息对所述子文档包括的所述子数字身份信息验证通过时，通过所述区块链节点将所述子数字身份信息和所述子文档关联保存至所述区块链中。

可选地，该存储介质存储的计算机可执行指令在被处理器执行时，所述方法还包括：

响应于所述用户的业务办理操作，向服务提供方的终端设备发送业务办理请求；其中，所述业务办理请求包括基于所述子数字身份信息从指定机构所申请的可验证声明，以使所述终端设备在对所述可验证声明验证通过时，根据所述可验证声明进行相应的业务处理；

接收所述服务提供方的终端设备发送的验证请求；其中，所述验证请求包括预设的待签名数据和待验证的子数字身份信息；

根据所述待验证的子数字身份信息，获取对应的子私钥；

采用获取的所述子私钥对所述待签名数据进行签名，得到第二签名数据；

向所述服务提供方的终端设备发送所述第二签名数据，以使所述服务提供方采用所述待验证的子数字身份信息所对应的子公钥对所述第二签名数据进行验证。

可选地，该存储介质存储的计算机可执行指令在被处理器执行时，所述根据所述派生口令和所述根数字身份信息，派生子数字身份信息之后，还包括：

将所述派生口令与所述子数字身份信息进行关联记录，得到第一记录信息；

所述根据所述待验证的子数字身份信息，获取对应的子私钥，包括：

根据所述待验证的子数字身份信息，从所述第一记录信息中获取关联的派生口令；

根据获取的所述派生口令和所述根私钥，派生对应的子私钥；

或者，

所述根据所述派生口令和所述根私钥，派生子私钥之后，还包括：

将所述子数字身份信息和所述子私钥进行关联记录，得到第二记录信息；

所述根据所述待验证的子数字身份信息，获取对应的子私钥，包括：

根据所述待验证的子数字身份信息，从所述第二记录信息中获取关联的子私钥。

可选地，该存储介质存储的计算机可执行指令在被处理器执行时，获取派生口令，包括：

从所述派生请求中获取对应的派生口令；或者，

展示保存的至少一个未派生的派生口令，获取用户从展示的派生口令中所选择的派生口令，并作为当前待派生的派生口令；其中，所述未派生的派生口令为所述用户预先设置的派生口令。

本说明书一个或多个实施例提供的存储介质存储的计算机可执行指令在被处理器执行时，能够响应于用户的派生请求，基于根数字身份信息和对应的派生口令派生子数字身份信息；对于用户而言，不仅能够满足用户在不同的场景中使用不同的数字身份信息的需求，而且可以通过客户端对数字身份信息进行派生管理，操作方便，提升了便利性。

另一个具体的实施例中，该存储介质可以为U盘、光盘、硬盘等，该存储介质存储的计算机可执行指令在被处理器执行时，能实现以下流程：

接收客户端发送的派生反馈信息，其中，所述派生反馈信息包括派生口令、根数字身份信息和子数字身份信息；

根据所述派生口令和所述根数字身份信息，对所述子数字身份信息进行验证；

若验证通过，则根据所述子数字身份信息向区块链节点发送保存请求，以使所述区块链节点将所述子数字身份信息保存至区块链中。

可选地，该存储介质存储的计算机可执行指令在被处理器执行时，所述派生反馈信息还包括：所述子数字身份信息的子关联信息；

所述根据所述派生口令和所述根数字身份信息，对所述子数字身份信息进行验证，包括：

根据所述派生口令和所述根数字身份信息，对所述子数字身份信息和所述子关联信息进行验证。

可选地，该存储介质存储的计算机可执行指令在被处理器执行时，所述派生反馈信息还包括：所述子数字身份信息的子文档和第一签名数据，所述子数字身份信息和所述子关联信息存储于所述子文档中，所述子关联信息包括所述子数字身份信息对应的子公钥；

所述根据所述派生口令和所述根数字身份信息，对所述子数字身份信息和所述子关联信息进行验证，包括：

从所述子文档中获取所述子数字身份信息和所述子公钥；

采用获取的所述子公钥对所述第一签名数据进行验证，若所述第一签名数据验证通过，则确定所述子关联信息验证通过；以及，

根据所述派生口令和所述根数字身份信息，派生子数字身份信息；

确定派生的所述子数字身份信息与所述获取的所述子数字身份信息是否一致，若一致，则确定获取的所述子数字身份信息验证通过。

本说明书一个或多个实施例提供的存储介质存储的计算机可执行指令在被处理器执行时，

通过对客户端发送的子数字身份信息进行验证，并在验证通过后将子数字身份信息保存至区块链中，在确保了子数字身份信息的准确性的基础上，基于区块链的公开可查性和不可篡改性，为后续业务办理过程中的验证操作，提供了有效的数据依据。

另一个具体的实施例中，该存储介质可以为U盘、光盘、硬盘等，该存储介质存储的计算机可执行指令在被处理器执行时，能实现以下流程：

接收服务端发送的保存请求，其中，所述保存请求包括子数字身份信息；

将所述子数字身份信息保存至区块链中。

可选地，该存储介质存储的计算机可执行指令在被处理器执行时，所述保存请求还包括：所述子数字身份信息的子文档；

所述将所述子数字身份信息保存至区块链中，包括：

将所述子数字身份信息和所述子文档关联保存至区块链中。

本说明书一个或多个实施例提供的存储介质存储的计算机可执行指令在被处理器执行时，通过将子数字身份信息保存至区块链中，以基于区块链的公开可查性和不可篡改性，为后续业务办理过程中的验证操作，提供有效的数据依据。

另一个具体的实施例中，该存储介质可以为U盘、光盘、硬盘等，该存储介质存储的计算机可执行指令在被处理器执行时，能实现以下流程：

接收客户端发送的业务办理请求，其中，所述业务办理请求包括所述客户端基于子数字身份信息从指定机构申请而得的可验证声明；所述子数字身份信息为基于根数字身份信息和派生口令派生而得的数字身份信息；

对所述可验证声明进行验证；

若验证通过，则基于所述可验证声明进行相应的业务处理。

可选地，该存储介质存储的计算机可执行指令在被处理器执行时，所述可验证声明包括所述子数字身份信息、第三签名数据和所述指定机构的数字身份信息；

所述对所述可验证声明进行验证，包括：

向所述用户的客户端发送验证请求，其中，所述验证请求包括所述子数字身份信息和预设的待签名数据，以使所述客户端采用所述子数字身份信息对应的子私钥对所述待签名数据进行签名，得到第二签名数据；

根据所述子数字身份信息，从区块链中查询关联的子文档，并从所述子文档中获取所述子数字身份信息所对应的子公钥；

根据所述子公钥对所述客户端发送的所述第二签名数据进行验证；以及，

根据所述指定机构的数字身份信息，获取所述指定机构的公钥，采用获取的所述公钥对所述第三签名数据进行验证；

若所述第二签名数据和所述第三签名数据均验证通过，则确定所述可验证声明验证通过。

本说明书一个或多个实施例提供的存储介质存储的计算机可执行指令在被处理器执行时，在接收到业务办理请求时，通过对业务办理请求包括的、用户基于子数字身份信息申请而得的可验证声明进行验证，在确保了安全的基础上，基于派生的子数字身份信息实现了业务办理，满足了用户在不同的场景中使用不同的数字身份信息的需求。

需要说明的是，本说明书中关于存储介质的实施例与本说明书中关于数字身份信息的派生方法、验证方法的实施例基于同一发明构思，因此该实施例的具体实施可以参见前述对应的数字身份信息的派生方法、验证方法的实施，重复之处不再赘述。

上述对本说明书特定实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。

在20世纪30年代，对于一个技术的改进可以很明显地区分是硬件上的改进(例如，对二极管、晶体管、开关等电路结构的改进)还是软件上的改进(对于方法流程的改进)。然而，随着技术的发展，当今的很多方法流程的改进已经可以视为硬件电路结构的直接改进。设计人员几乎都通过将改进的方法流程编程到硬件电路中来得到相应的硬件电路结构。因此，不能说一个方法流程的改进就不能用硬件实体模块来实现。例如，可编程逻辑器件(Programmable Logic Device，PLD)(例如现场可编程门阵列(Field Programmable GateArray，FPGA))就是这样一种集成电路，其逻辑功能由用户对器件编程来确定。由设计人员自行编程来把一个数字系统“集成”在一片PLD上，而不需要请芯片制造厂商来设计和制作专用的集成电路芯片。而且，如今，取代手工地制作集成电路芯片，这种编程也多半改用“逻辑编译器(logic compiler)”软件来实现，它与程序开发撰写时所用的软件编译器相类似，而要编译之前的原始代码也得用特定的编程语言来撰写，此称之为硬件描述语言(Hardware Description Language，HDL)，而HDL也并非仅有一种，而是有许多种，如ABEL(Advanced Boolean Expression Language)、AHDL(Altera Hardware DescriptionLanguage)、Confluence、CUPL(Cornell University Programming Language)、HDCal、JHDL(Java Hardware Description Language)、Lava、Lola、MyHDL、PALASM、RHDL(RubyHardware Description Language)等，目前最普遍使用的是VHDL(Very-High-SpeedIntegrated Circuit Hardware Description Language)与Verilog。本领域技术人员也应该清楚，只需要将方法流程用上述几种硬件描述语言稍作逻辑编程并编程到集成电路中，就可以很容易得到实现该逻辑方法流程的硬件电路。

控制器可以按任何适当的方式实现，例如，控制器可以采取例如微处理器或处理器以及存储可由该(微)处理器执行的计算机可读程序代码(例如软件或固件)的计算机可读介质、逻辑门、开关、专用集成电路(Application Specific Integrated Circuit，ASIC)、可编程逻辑控制器和嵌入微控制器的形式，控制器的例子包括但不限于以下微控制器：ARC 625D、Atmel AT91SAM、Microchip PIC18F26K20以及Silicone Labs C8051F320，存储器控制器还可以被实现为存储器的控制逻辑的一部分。本领域技术人员也知道，除了以纯计算机可读程序代码方式实现控制器以外，完全可以通过将方法步骤进行逻辑编程来使得控制器以逻辑门、开关、专用集成电路、可编程逻辑控制器和嵌入微控制器等的形式来实现相同功能。因此这种控制器可以被认为是一种硬件部件，而对其内包括的用于实现各种功能的装置也可以视为硬件部件内的结构。或者甚至，可以将用于实现各种功能的装置视为既可以是实现方法的软件模块又可以是硬件部件内的结构。

上述实施例阐明的系统、装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机。具体的，计算机例如可以为个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字助理、媒体播放器、导航设备、电子邮件设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任何设备的组合。

为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本说明书实施例时可以把各单元的功能在同一个或多个软件和/或硬件中实现。

本领域内的技术人员应明白，本说明书一个或多个实施例可提供为方法、系统或计算机程序产品。因此，本说明书一个或多个实施例可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本说明书可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本说明书是参照根据本说明书实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

本说明书一个或多个实施例可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本说明书的一个或多个实施例，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

以上所述仅为本文件的实施例而已，并不用于限制本文件。对于本领域技术人员来说，本文件可以有各种更改和变化。凡在本文件的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本文件的权利要求范围之内。

Claims (33)

1.一种数字身份信息的派生方法，应用于客户端，包括：

响应于用户的数字身份信息的派生请求，获取派生信息；

根据所述派生信息进行派生处理，得到指定的根数字身份信息的子数字身份信息；

根据所述派生信息和所述子数字身份信息，向服务端发送派生反馈信息，以使所述服务端在根据所述派生信息对所述子数字身份信息验证通过时，通过区块链节点将所述子数字身份信息保存至区块链中。

2.根据权利要求1所述的方法，所述派生信息包括：所述根数字身份信息和派生口令；

所述根据所述派生信息进行派生处理，得到指定的根数字身份信息的子数字身份信息，包括：

将所述根数字身份信息与所述派生口令进行拼接，得到拼接字符串；或者，将所述根数字身份信息、所述派生口令和预设的附加信息进行拼接，得到拼接字符串；

根据第一预设算法，对所述拼接字符串和所述第一预设算法对应的运算参数进行运算，将得到的第一运算结果确定为所述根数字身份信息的子数字身份信息。

3.根据权利要求2所述的方法，所述派生信息还包括：所述根数字身份信息的根关联信息；所述方法还包括：

根据所述派生口令和所述根关联信息，派生所述子数字身份信息的子关联信息；

所述根据所述派生信息和所述子数字身份信息，向服务端发送派生反馈信息，包括：

根据所述根数字身份信息、所述派生口令、所述子数字身份信息和所述子关联信息，向所述服务端发送派生反馈信息。

4.根据权利要求3所述的方法，所述根关联信息包括：根私钥和根公钥；

所述根据所述派生口令和所述根关联信息，派生所述子数字身份信息的子关联信息，包括：

根据所述派生口令和所述根私钥，派生子私钥；

根据所述派生口令和所述根公钥，派生子公钥；或者，根据所述子私钥，派生子公钥。

5.根据权利要求4所述的方法，所述根据所述派生口令和所述根私钥，派生子私钥，包括：

将所述派生口令转换为二进制形式的字符串；

根据预设转换规则将所述二进制形式的字符串转化为目标字符串；

根据第二预设算法，对所述根私钥和所述目标字符串进行运算，将得到的第二运算结果确定为子私钥；

所述根据所述派生口令和所述根公钥，派生子公钥；包括：

根据第三预设算法，对所述根公钥、所述目标字符串和椭圆曲线上的G点进行运算，将得到的第三运算结果确定为子公钥。

6.根据权利要求4所述的方法，所述根据所述子私钥，派生子公钥，包括：

根据第四预设算法，对所述子私钥和椭圆曲线上的G点进行运算，将得到的第三运算结果确定为子公钥。

7.根据权利要求4所述的方法，所述根据所述根数字身份信息、所述派生口令、所述子数字身份信息和所述子关联信息，向所述服务端发送派生反馈信息，包括：

生成所述子数字身份信息的子文档，将所述子数字身份信息、所述子公钥保存至所述子文档中；

采用所述子私钥对所述派生口令、所述根数字身份信息和所述子文档进行签名，得到第一签名数据；

根据所述根数字身份信息、所述派生口令、所述子文档和所述第一签名数据，向所述服务端发送派生反馈信息，以使所述服务端在根据所述子文档包括的子公钥对所述第一签名数据验证通过、且根据所述派生口令和所述根数字身份信息对所述子文档包括的所述子数字身份信息验证通过时，通过所述区块链节点将所述子数字身份信息和所述子文档关联保存至所述区块链中。

8.根据权利要求4所述的方法，所述方法还包括：

响应于所述用户的业务办理操作，向服务提供方的终端设备发送业务办理请求；其中，所述业务办理请求包括基于所述子数字身份信息从指定机构所申请的可验证声明，以使所述服务提供方的终端设备在对所述可验证声明验证通过时，根据所述可验证声明进行相应的业务处理；

接收所述服务提供方的终端设备发送的验证请求；其中，所述验证请求包括预设的待签名数据和待验证的子数字身份信息；

根据所述待验证的子数字身份信息，获取对应的子私钥；

采用获取的所述子私钥对所述待签名数据进行签名，得到第二签名数据；

向所述服务提供方的终端设备发送所述第二签名数据，以使所述服务提供方的终端设备采用所述待验证的子数字身份信息所对应的子公钥对所述第二签名数据进行验证。

9.根据权利要求8所述的方法，

所述根据所述派生信息进行派生处理，得到指定的根数字身份信息的子数字身份信息之后，还包括：

将所述派生口令与所述子数字身份信息进行关联记录，得到第一记录信息；

所述根据所述待验证的子数字身份信息，获取对应的子私钥，包括：

根据所述待验证的子数字身份信息，从所述第一记录信息中获取关联的派生口令；

根据获取的所述派生口令和所述根私钥，派生对应的子私钥；

或者，

所述根据所述派生口令和所述根私钥，派生子私钥之后，还包括：

将所述子数字身份信息和所述子私钥进行关联记录，得到第二记录信息；

所述根据所述待验证的子数字身份信息，获取对应的子私钥，包括：

根据所述待验证的子数字身份信息，从所述第二记录信息中获取关联的子私钥。

10.根据权利要求1所述的方法，所述派生信息包括：派生口令；

所述获取派生信息，包括：

从所述派生请求中获取所述派生口令；或者，

展示保存的至少一个未派生的派生口令，获取用户从展示的派生口令中所选择的派生口令，并作为当前待派生的派生口令；其中，所述未派生的派生口令为所述用户预先设置的派生口令。

11.一种数字身份信息的派生方法，应用于服务端，包括：

接收客户端发送的派生反馈信息，其中，所述派生反馈信息包括派生信息和子数字身份信息；所述子数字身份信息是基于所述派生信息派生而得的数字身份信息；

根据所述派生信息，对所述子数字身份信息进行验证；

若验证通过，则根据所述子数字身份信息向区块链节点发送保存请求，以使所述区块链节点将所述子数字身份信息保存至区块链中。

12.根据权利要求11所述的方法，所述派生信息包括：根数字身份信息和派生口令；所述派生反馈信息还包括：所述子数字身份信息的子关联信息；

所述根据所述派生信息，对所述子数字身份信息进行验证，包括：

根据所述派生口令和所述根数字身份信息，对所述子数字身份信息和所述子关联信息进行验证。

13.根据权利要求12所述的方法，所述派生反馈信息还包括：所述子数字身份信息的子文档和第一签名数据，所述子数字身份信息和所述子关联信息中的子公钥存储于所述子文档中；

所述根据所述派生口令和所述根数字身份信息，对所述子数字身份信息和所述子关联信息进行验证，包括：

从所述子文档中获取所述子数字身份信息和所述子公钥；

采用获取的所述子公钥对所述第一签名数据进行验证，若所述第一签名数据验证通过，则确定所述子关联信息验证通过；以及，

根据所述派生口令和所述根数字身份信息，派生子数字身份信息；

确定派生的所述子数字身份信息与所述获取的所述子数字身份信息是否一致，若一致，则确定获取的所述子数字身份信息验证通过。

14.一种数字身份信息的派生方法，应用于区块链节点，包括：

接收服务端发送的保存请求；其中，所述保存请求基于客户端发送的派生反馈信息，在根据所述派生反馈信息包括的派生信息，对所述派生反馈信息包括的子数字身份信息验证通过时所发送；所述子数字身份信息是基于所述派生信息派生而得的数字身份信息；所述保存请求包括所述子数字身份信息；

将所述子数字身份信息保存至区块链中。

15.根据权利要求14所述的方法，所述保存请求还包括：所述子数字身份信息的子文档；

所述将所述子数字身份信息保存至区块链中，包括：

将所述子数字身份信息和所述子文档关联保存至区块链中。

16.一种数字身份信息的验证方法，应用于服务提供方的终端设备，包括：

接收客户端发送的业务办理请求，其中，所述业务办理请求包括所述客户端基于子数字身份信息从指定机构申请而得的可验证声明；所述子数字身份信息为基于派生信息派生而得的数字身份信息；

根据所述可验证声明中的所述子数字身份信息，获取第二签名数据和子公钥；其中，所述第二签名数据为基于所述子数字身份信息所对应的子私钥进行签名处理所得的签名数据；所述子公钥为所述子数字身份信息所对应的公钥；

根据所述子公钥对所述第二签名数据进行验证处理；

若验证通过，则基于所述可验证声明进行相应的业务处理。

17.根据权利要求16所述的方法，所述根据所述可验证声明中的所述子数字身份信息，获取第二签名数据，包括：

向所述客户端发送验证请求，其中，所述验证请求包括预设的待签名数据和所述子数字身份信息，以使所述客户端采用所述子数字身份信息对应的子私钥对所述待签名数据进行签名处理，得到第二签名数据；

接收所述客户端发送的所述第二签名数据。

18.根据权利要求16所述的方法，根据所述可验证声明中的所述子数字身份信息，获取子公钥，包括：

根据所述子数字身份信息，从区块链中查询关联的子文档；

从所述子文档中获取所述子数字身份信息所对应的子公钥。

19.根据权利要求16-18任一项所述的方法，所述接收客户端发送的业务办理请求之后，还包括：

根据所述可验证声明包括的所述指定机构的数字身份信息，获取所述指定机构的公钥；

采用获取的所述公钥对所述可验证声明包括的第三签名数据进行验证；

所述若验证通过，则基于所述可验证声明进行相应的业务处理，包括：

若所述第二签名数据和所述第三签名数据均验证通过，则基于所述可验证声明进行相应的业务处理。

20.一种数字身份信息的派生装置，应用于客户端，包括：

获取模块，其响应于用户的数字身份信息的派生请求，获取派生信息；

派生模块，其根据所述派生信息进行派生处理，得到指定的根数字身份信息的子数字身份信息；

发送模块，其根据所述派生信息和所述子数字身份信息，向服务端发送派生反馈信息，以使所述服务端在根据所述派生信息对所述子数字身份信息验证通过时，通过区块链节点将所述子数字身份信息保存至区块链中。

21.根据权利要求20所述的装置，所述派生信息包括：派生口令和待派生的根数字身份信息的根关联信息；

所述派生模块，还根据所述派生口令和所述根关联信息，派生所述子数字身份信息的子关联信息；

所述发送模块，根据所述派生口令、所述根数字身份信息、所述子数字身份信息和所述子关联信息，向所述服务端发送派生反馈信息。

22.根据权利要求21所述的装置，所述根关联信息包括：根私钥和根公钥；

所述派生模块，根据所述派生口令和所述根私钥，派生子私钥；以及，

根据所述派生口令和所述根公钥，派生子公钥；或者，根据所述子私钥，派生子公钥。

23.一种数字身份信息的派生装置，应用于服务端，包括：

接收模块，其接收客户端发送的派生反馈信息，其中，所述派生反馈信息包括派生信息和子数字身份信息；所述子数字身份信息是基于所述派生信息派生而得的数字身份信息；

验证模块，其根据所述派生信息，对所述子数字身份信息进行验证；

发送模块，其若所述验证模块验证通过，则根据所述子数字身份信息向区块链节点发送保存请求，以使所述区块链节点将所述子数字身份信息保存至区块链中。

24.一种数字身份信息的派生装置，应用于区块链节点，包括：

接收模块，其接收服务端发送的保存请求，其中，所述保存请求基于客户端发送的派生反馈信息，在根据所述派生反馈信息包括的派生信息，对所述派生反馈信息包括的子数字身份信息验证通过时所发送；所述子数字身份信息是基于所述派生信息派生而得的数字身份信息；所述保存请求包括所述子数字身份信息；

保存模块，其将所述子数字身份信息保存至区块链中。

25.一种数字身份信息的验证装置，应用于服务提供方的终端设备，包括：

接收模块，其接收客户端发送的业务办理请求，其中，所述业务办理请求包括所述客户端基于子数字身份信息从指定机构申请而得的可验证声明；所述子数字身份信息为基于派生信息派生而得的数字身份信息；

验证模块，其根据所述可验证声明中的所述子数字身份信息，获取第二签名数据和子公钥；其中，所述第二签名数据为基于所述子数字身份信息所对应的子私钥进行签名处理所得的签名数据；所述子公钥为所述子数字身份信息所对应的公钥；根据所述子公钥对所述第二签名数据进行验证处理；

处理模块，其若所述验证模块验证通过，则基于所述可验证声明进行对应的业务处理。

26.一种数字身份信息的派生设备，包括：

处理器；以及，

被安排成存储计算机可执行指令的存储器，所述计算机可执行指令在被执行时使所述处理器：

响应于用户的数字身份信息的派生请求，获取派生信息；

根据所述派生信息进行派生处理，得到指定的根数字身份信息的子数字身份信息；

根据所述派生信息和所述子数字身份信息，向服务端发送派生反馈信息，以使所述服务端在根据所述派生信息对所述子数字身份信息验证通过时，通过区块链节点将所述子数字身份信息保存至区块链中。

27.一种数字身份信息的派生设备，包括：

处理器；以及，

被安排成存储计算机可执行指令的存储器，所述计算机可执行指令在被执行时使所述处理器：

接收客户端发送的派生反馈信息，其中，所述派生反馈信息包括派生信息和子数字身份信息；所述子数字身份信息是基于所述派生信息派生而得的数字身份信息；

根据所述派生信息，对所述子数字身份信息进行验证；

若验证通过，则根据所述子数字身份信息向区块链节点发送保存请求，以使所述区块链节点将所述子数字身份信息保存至区块链中。

28.一种数字身份信息的派生设备，包括：

处理器；以及，

被安排成存储计算机可执行指令的存储器，所述计算机可执行指令在被执行时使所述处理器：

接收服务端发送的保存请求，其中，所述保存请求基于客户端发送的派生反馈信息，在根据所述派生反馈信息包括的派生信息，对所述派生反馈信息包括的子数字身份信息验证通过时所发送；所述子数字身份信息是基于所述派生信息派生而得的数字身份信息；所述保存请求包括所述子数字身份信息；

将所述子数字身份信息保存至区块链中。

29.一种数字身份信息的验证设备，包括：

处理器；以及，

被安排成存储计算机可执行指令的存储器，所述计算机可执行指令在被执行时使所述处理器：

接收客户端发送的业务办理请求，其中，所述业务办理请求包括所述客户端基于子数字身份信息从指定机构申请而得的可验证声明；所述子数字身份信息为基于派生信息派生而得的数字身份信息；

根据所述可验证声明中的所述子数字身份信息，获取第二签名数据和子公钥；其中，所述第二签名数据为基于所述子数字身份信息所对应的子私钥进行签名处理所得的签名数据；所述子公钥为所述子数字身份信息所对应的公钥；

根据所述子公钥对所述第二签名数据进行验证处理；

若验证通过，则基于所述可验证声明进行相应的业务处理。

30.一种存储介质，用于存储计算机可执行指令，所述计算机可执行指令在被处理器执行时实现以下流程：

响应于用户的数字身份信息的派生请求，获取派生信息；

根据所述派生信息进行派生处理，得到指定的根数字身份信息的子数字身份信息；

根据所述派生信息和所述子数字身份信息，向服务端发送派生反馈信息，以使所述服务端在根据所述派生信息对所述子数字身份信息验证通过时，通过区块链节点将所述子数字身份信息保存至区块链中。

31.一种存储介质，用于存储计算机可执行指令，所述计算机可执行指令在被处理器执行时实现以下流程：

接收客户端发送的派生反馈信息，其中，所述派生反馈信息包括派生信息和子数字身份信息；所述子数字身份信息是基于所述派生信息派生而得的数字身份信息；

根据所述派生信息，对所述子数字身份信息进行验证；

若验证通过，则根据所述子数字身份信息向区块链节点发送保存请求，以使所述区块链节点将所述子数字身份信息保存至区块链中。

32.一种存储介质，用于存储计算机可执行指令，所述计算机可执行指令在被处理器执行时实现以下流程：

接收服务端发送的保存请求，其中，所述保存请求基于客户端发送的派生反馈信息，在根据所述派生反馈信息包括的派生信息，对所述派生反馈信息包括的子数字身份信息验证通过时所发送；所述子数字身份信息是基于所述派生信息派生而得的数字身份信息；所述保存请求包括所述子数字身份信息；

将所述子数字身份信息保存至区块链中。

33.一种存储介质，用于存储计算机可执行指令，所述计算机可执行指令在被处理器执行时实现以下流程：

接收客户端发送的业务办理请求，其中，所述业务办理请求包括所述客户端基于子数字身份信息从指定机构申请而得的可验证声明；所述子数字身份信息为基于派生信息派生而得的数字身份信息；

根据所述可验证声明中的所述子数字身份信息，获取第二签名数据和子公钥；其中，所述第二签名数据为基于所述子数字身份信息所对应的子私钥进行签名处理所得的签名数据；所述子公钥为所述子数字身份信息所对应的公钥；

根据所述子公钥对所述第二签名数据进行验证处理；

若验证通过，则基于所述可验证声明进行相应的业务处理。

Images