CN111902838A - 因特网数据使用控制系统 - Google Patents

Abstract

描述了一种无缝自动地授予全面许可在数据库之间使用和传输因特网数据的定制的许可的方法。所述方法使用图形语言，例如JOSN‑LD，来集成和使用当事方之间加密签署的信息共享协议(ISA)；当获得适当的许可时，数据被序列化以便易于在数据库之间传输；在使用控制联络下，粒度数据交换能够在因特网上任意数量的当事方之间自动进行。严格来说，所述方法提供了途径，通过该途径用户不仅可以控制他们的数据被如何处理，也可以控制所述数据被传输至哪个或哪些企业。然后，可以根据网络或者桌面应用程序中定义的用户偏好向其提供广告，接下来将其应用于发布到用户访问的域的所有相关广告发布者。

Description

因特网数据使用控制系统

技术领域

本发明涉及因特网数据，更具体地涉及因特网上各方之间许可数据交换。

背景技术

在我们的现代计算机社会中，通过网络进行数据共享和传输是无处不在的。许多个人、团体、公司、组织等通常不仅共享关于他们自己和他们知道的事情的数字数据，而且还跨封闭网络、多个网络和因特网搜索关于其他方和其他事情的数据和信息。一般来说，数据可移植性是指用户将其数据从一个数据主机移动到另一个数据主机的可能性。这样的用户可以是个人、公司或其他方，并且用户数据可以由用户本身移动，或者用户可以向另一方或实体授予权限，来移动或接收数据或当前正在更新的数据副本，例如通过链接。这样的数据主机可以在单个网络上，也可以跨越不同的网络，甚至是整个因特网。这些数据可以包括已经自创建的数据和/或由于用户的活动或其他信息存储而创建的关于用户的数据。

对于希望获得或交换身份信息或其他相关信息的用户、供应商和/或其他方来说，数据的可移植性非常重要，例如对于潜在的采购或其他商业交易/交换。当然，身份信息或其他个人信息的无限可用性和交换可能存在许多缺点，很少有人愿意以一种开放的和不受限制的方式提供他们自己的个人数据。众所周知，几乎总是有要求、限制或其他保护伴随着提供这样的个人数据。

当身份数据或其他个人数据的交换发生在单个受控网络或域中时，通常可以被保持在控制或限制之下，但是在多数情况下，跨越多个不同的服务器、网络或因特网时，提供数据可移植性可能会有问题。例如，在用户可能希望获得关于某一特定产品的信息的情况下，他或她可以在该类型产品的专营网站或已知供应商的单一网络上提供他或她的个人信息或数据，在此情况下，可以合理预期的是，此类信息可以通过单一网站或网络的有信用的经营者来保持安全或保护。但是，不断重复地提供个人信息或数据可能是复杂且低效的，例如在用户可能希望从多个供应商、网络或站点提供和/或访问数据的情况下。

事实上，多数情况下在因特网上仅仅提供个人数据已经变得越来越普遍，有时以不安全或不受保护的方式。因特网已经成为连接许多其他类型的数字网络和通信与数据交换设备的共同网络。因特网使用的增加，已经致使在其上运行的应用程序和服务的数量、进行的交易的数量和价值以及可以通过电子方式形成和维持的关系的数量和类型方面增长。它们中的每一个都已经反过来增加了对在线活动信任的重要性。尽管已经开发了许多已知的技术和服务来满足这一需求，但是目前已知的每一种技术和服务常常都有缺点或局限性。

目前，在使用因特网或其他网络将数据从一个计算设备传输到另一个计算设备、或者从一个数据库传输到另一个数据库之后，没有自动的方法来控制数据的使用。对于使用因特网接收的数据，目前还没有自动化的方法来验证保管链或来源。此外，目前还没有调和和协调PSD2规则和GDPR规则的可用协议。

因此，需要一种新的系统和方法，由此实体的数据可以被控制，并且可以根据实体建立的偏好被数据的发起者安全和自动地限制数据的使用。此外，还需要一个方法化的系统，该系统采用参与方、用户或实体之间的加密签名、自动化协议，使得数据的使用和传输完全透明。这样一个系统为个人因特网数据提供了清晰的保管链，并使用户能够限制某些形式的使用和/或传输/共享。该系统优选地被配置为，简单地定义和描述数据，方便数据从一个数据库移动到另一个数据库。该系统和方法优选地使用现有的图形语言和现有的PKI-公钥/私钥对。此外，这样的系统最好是以关注点分离为架构，也就是说，系统上的角色和要点已经分离，然后相互作用，而不是像有围墙的花园一样将所有东西都放在单个服务器或中心中。

至少以前的一次在创建基于图形的用户控制的因特网数据交换系统方面的尝试已经失败。XDI渴望通过数据图提供嵌入式的数据访问控制。然而，这项努力从未找到实现这一目标的有效解决办法。XDI作为一种图形语言，曾经是超定的、效率低下的和复杂的，并且最终由于它不是友好的数据库而未能工作。为了方便数据库之间的传输，数据不能被简单地定义。XDI命名了“链接合约”，但从未在功能上以有意义的方式为开发人员定义“链接合约”。与XDI相比，本发明目前采用JSON-LD作为底层图形语言，并且继续从事实上定义、创建和管理链接合约。这使得本发明有助于用户对其共享的数据进行数据使用控制，并且通过用户定义的和双方同意的许可来控制接收者可以使用所获得的数据的方式、地点和目的。

此外，还需要一个与GDPR和PSD2均兼容和一致的系统和协议。欧盟通用数据保护条例(GDPR)的精神是在终端用户与公司的关系中授予其权利。JLINC协议对此真正地将数据主体(数据权利持有人)置于每个数据事件的中心。如Lawrence Lessig所述，“代码就是法律”，并且本发明的JLINC协议在协议结构中体现了GDPR的精神。

另一项欧洲条例，支付服务指令2(PSD2)要求银行简化金融服务访问客户银行服务的过程。这似乎与GDPR条例相矛盾，但相信通过将数据权利持有人置于每个数据事件的中心，本发明的系统使得满足这两个条例的意图和文本成为可能。

发明内容

提供的本发明的概要用于以简单的形式介绍一些概念，这些概念在下面的详细描述中进一步描述。本概要并非旨在确定权利要求主题的关键特征或基本特征，亦非旨在限制权利要求主题的范围。

本发明是一种用于在因特网上的计算设备之间建立关于数据使用许可和数据所有权的加密签名协议的方法和系统。协议的选择、签署和交换也可以自动化。此外，本发明是一种允许两个或多个实体以许可各方使用因特网或其他分散传输网络来加密签署商定条款的方式来交换数据的方法。本发明使用现有标准协议和方法的新组合来实现创建分散数据使用许可控制机制的新目标。

本发明提供了一种系统和方法，通过该系统和方法，用户不仅可以控制当一个或多个实体需要其数据时哪些实体可以获得其数据，而且还可以控制在数据被传输或搜集之后许可实体对这些数据做些什么。该系统涉及信息共享协议(ISAs)的相互签署，这些协议通常是加密签署的。ISAs的合同签署通过强健的、自动化的系统来推进，该系统主要使用图形语言来实现，如JSON-LD。该协议在法律上是有效的，并且被配置为强烈鼓励实体尊重这些协议，或面对信誉损害和/或法律后果。

该系统基于交换这些ISAs，并且软件有助于本发明的系统使用户只有在协商和决定使用数据的许可和权利之后，才能够安全和有信心地共享数据。

因特网上的大多数点对点数据共享，都是通过某种形式的访问控制来实现的。管理员控制用户是否可以实现访问，或者数据是否可以交换。目前，当交换数据时，例如元数据、个人信息、浏览信息和类似的用户数据，占有者总是在诉讼中占上风。一旦实体拥有了用户的因特网数据，他或她可以根据当前的典型服务条款做任何他们想做的事情。这对许多因特网的普通用户来说是不幸的，他们不知道自己的数据正在被捕获，也无从知晓他们的数据将被如何处理或者将与谁共享。一旦实体拥有用户的数据，他们就可以对这些数据随心所欲。

如今，诸如JSON-LD等图形语言使得在数据库之间移动数据变得更加容易。当前的发明增加了关于如何使用、组合数据以及如何自动化此类活动的协议，这些协议均可以加密签署。这对于帮助数据在不同的数据源之间移动起到了有益的副作用，因为它是存储数据的通用语言和形式。该系统有助于证明对数据所做的操作，以及在什么日期和时间，从而确定数据来源。此外，该系统还许可证明双方同意本次交换。协议的一部分最好包括选择权，这样用户可以关闭对他/她数据的任何和所有访问，并且另一方必须服从用户的请求。用户保留在任何时候追溯执行此操作的能力，并从已经招办的另一方收到签字确认的承诺，其中各方持有由各方签署的协议的加密哈希值(cryptographic hash)，签署的哈希值也记录在任何一方指定的所有审计服务或分类账的超集上。

本发明的系统实例化了一种数据保护和交换系统，该系统是安全的、加密签名的和自动化的，其许可关于可以对在因特网上交换的个人数据做什么的协议，以便在交换后管理该数据。这也适用于其他协议，包括因特网上任何类型的商业合同或协议。目前，数据交换可以由所谓的“智能合约”自动管理，例如在以太坊上，这些合约实际上是对代码进行模糊处理的黑匣子，并且因此，只有在执行代码时才能知道合约的结果。这导致了意外的商业交易发生，并且由于软件缺陷、错误或欺诈而导致价值被盗的情况。如果代码不容易理解，则可能导致在用户不知情的情况下共享数据，并共享给用户未知的各方，或者更糟。本发明的目的是摆脱这种模棱两可和模糊不清的黑匣子，并向用户提供对他/她自己的合同协议和数据的直接和透明的持续控制。

需要分布式系统(非集中式)，用户控制权分布在多个分布式系统上。与区块链不同，本发明提供了可以使用图形语言，例如JSON-LD，来描述数据的方法，该图形语言有效地限定和映射用户数据，从而许可数据从一个数据库无缝地传输到另一个数据库。

为了便于实体之间许可的数据交换，数据必须以特定的方式来描述，以便成功地从一个数据库移动到另一个数据库。严格来说，为了这样做，数据必须序列化。使用图形语言，数据可以在数据库之间移动。然而，在关于具体哪些数据可以交换以及数据被移动之后如何处理没有达成协议的情况下，许多实体在不许可这种交换。数据库中的特定数据可以通过使用图形语言来共享，但如果没有关于数据一旦获取之后将如何处理的自动化协议，这仍然是个问题。本发明提供了一种机制，其中该协议本身采用图形语言编写，并且以计算机和人都可以理解的方式来表示。该协议可以用标准的PKI签署，并且一旦该协议被传输，协议的审计记录中就包含了指向该协议的链接，这样双方都可以显示，而且任何第三方都可以无可辩驳地确认他们各自持有的协议也是由另一方签署的，并且是有效的。

本发明被称为JLINC，使用JSON-LD来表示人类和机器可读的合约，该合约控制如何处理这些数据，并且在传输协议本身中审计轨迹很容易被参考和维护，由此实体可以承担法律责任和声誉责任。一旦公司(实体)签署了有约束力的协议，就可以通过声誉和法律追究他们的责任，那么他们就更有可能去遵守。世界上任何地方为欧盟公民持有或处理个人数据的公司，将因不遵守GDPR被处以高达全球营业额4％的罚款。

此外，本发明的系统适用于三方交互，并使数据权利持有人能够对谁有权访问他/她的数据以及在获取数据后可以对其做些什么保持控制。所涉及的各方不必局限于数据持有者、金融机构和公司，还可以包括设备、业务和公司制造的物联网(IOT)设备。

附图说明

所附的附图包括在本文中并构成说明书的一部分，其说明了本发明，并且与文字描述一起进一步用于解释本发明的原理并使相关领域的技术人员能够制造和使用本发明。

参照附图列表，能更好地理解本发明，其中：

图1描绘了涉及广告时执行和使用本发明的方法所需的部件图。

图2示出了详细说明通过本发明的方法实施的后端处理的流程图，以便于促进对关于广告的个人自身因特网数据的无缝控制。

图3具体描述了执行和自动使用本发明的系统和方法的流程图。

图4展示了描述本发明的方法步骤的流程图，其示出了就广告而言询问和获取许可时因特网数据的进程。

图5描绘了显示三方与本发明的JLINC数据服务之间交互的流程图。

具体实施方式

本说明书公开了包含本发明特征的一个或多个实施例。公开的实施例仅仅是本发明的示例。本发明的范围不限于所公开的实施例。

说明书中对“一个实施例”、“实施例”、“示例实施例”等的引用表明，所描述的实施例可以包括特定特征、结构或特性，但每个实施例并不必然地包括该特定特征、结构或特性。而且，这些短语并不必然地涉及同一实施例。进一步地，当结合实施例描述特定特征、结构或特性时，认为无论是否明确描述，结合其他实施例实现该特征、结构，或特性在本领域技术人员的知识范围内。

本发明是一种系统和方法，通过该系统和方法，在许可且仅在许可的情况下，数据可以被简单地定义、映射以及在数据库之间传输。权限通过加密签名的信息共享协议(ISAs)进行协商，ISAs具有法律约束力。该协议确保获得的数据仅用于许可使用的目的，并且数据仅在许可的情况下传输给其他方。本发明的系统和方法采用JSON-LD，一种数据图语言，通过它管理员可以定义数据转移，然后再添加新的层，通过该新的层所有者可以定义和同意与数据相关的权限。

例如，假设用户对购买汽车感兴趣。因此，用户通过ISA协议向供应商透露，声明今天他或她对一辆车感兴趣。该数据涉及用户对车辆的意图或兴趣。用户可以稍后请求返回或销毁该数据。这对用户和供应商都有很高的价值。他们必须遵照用户的兴趣，但保护他们的声誉也符合他们的兴趣。供应商窃取这些数据没有很多收获。相反，通过尊重协议，公司的声誉得以维持和发展。一旦公司完全接纳了新系统，还可以从更好的数据质量中获益，大大降低数据维护成本，从而使更多的销售资源集中在重要的购买者身上，而不是浪费精力来对抗目前不感兴趣的客户，例如最近购买了一辆汽车的客户。

本发明的系统和方法也可以应用于网络广告空间，其中用户可以通过出版商网络设置他/她的偏好，并且提供符合他们兴趣的广告，同时对广告商基本上保持匿名，而且不会像传统的广告跟踪那样被跟踪。

本发明的系统可用于网站的认证用户，或用于那些不是(或还不是)站点用户的用户。在此场景下，查看站点的未登录用户可以定制他/她的广告体验(继而取得使用他/她的匿名用户数据的资格)，但希望使用广告选项查看站点，而无需披露他们的实际身份，也无需登录。严格来说，本发明允许用户保持匿名，但也允许用户拥有为他们定制的广告。

本发明的系统使用数据图形语言构建，例如JSON-LD，一种在因特网上广泛使用的开放式软件协议。JSON-LD是一种新的图形语言。该系统被称为JLINC，采用这种图形语言来表示，并添加了同样使用该图形语言编写的加密签名的合约和使用控制。本发明的系统以这种方式构建，得以分割或分离数据交换的端点-即在两个对抗实体之间。这种“关注点分离”的概念对本发明的实质是重要的，这有助于将本发明的系统的规模和范围扩大到不仅包括数据的使用/交换，还包括其他在线合约和协议。已完成的合约的审计跟踪由第四方持有，并且第三方可以提供标准合约，或者是经验证的属性提供者(例如年龄/位置的验证等)。本发明推进的这种分离允许在因特网上为此建立协议基础。

应当理解的是，实体之间的用户数据共享与广告尤其相关。公司希望向对其产品或服务感兴趣的用户发送广告。必然的公司或那些与其他公司提供类似商品或服务的公司，往往希望为了互惠互利而交换用户数据。因此，用户数据的大部分交换都与广告有关。本发明的系统包括与这些实体网站有接口的鲁棒性网络应用程序和桌面应用程序，以使用户能够设置与其兴趣和用户数据偏好相关的广泛权限，这些权限对配备本发明的数据访问控制系统的所有实体(广告发布商到域，以及域公司本身)全局性地实施。

以下术语的定义如下，因为它们与本发明的系统和方法的过程和使用有关：

发布商—内容提供者，在其控制的域中主办网站上的广告。

用户—通过网络浏览器的内容和广告的个人消费者。

广告网络—与出版商签订合同、向用户发送广告的广告内容提供者。

广告偏好—用户根据所提供的一组选项做出的一组特定选项，这些选项可以包括什么类型的广告、在什么兴趣领域、来自谁等。

ADprefs—JLINC启用的域，用户可以在其中设置和管理其广告偏好。

如图3所示，本发明的系统和方法的执行和自动使用过程，优选地进行如下：

1、用户使用ADprefs按钮到达发布商网页。(100)

2、当用户点击ADprefs按钮时，用户到达ADprefs域下的ADprefs页面。(110)

3、用户有机会选择广告偏好(或接受默认设置)，然后返回到发布商页面。(120)

4、每次用户返回到发布商页面时，它都会调用广告网络或其他广告来源上的API，使用广告偏好-掩码来提供广告。(130)

5、如果用户单击广告上小的广告偏好图标，他们将返回到可识别他们的ADprefs页面。(140)不论用户是来自他们登入的原始发布商，还是任何其他主办ADprefs服务的发布商，这都将起作用。如果是新发布商，他们会被询问是否想要使用相同的广告偏好或创建一组发布商指定的广告偏好。(150)

6、如果用户第一次登入新的发布商页面，首次登录后，会向用户显示登入按钮，但是当用户访问ADprefs页面时，系统将识别他们并在该用户的发布商ID列表中为他们存储该新发布商的随机ID。(160)

7、整个方案是设备或浏览器特定的。如果用户希望关联多个设备，他们可以执行以下操作：

a.在ADprefs页面，在一台设备上，用户创建用户名和密码。(170)

b.在ADprefs页面，在另一台设备上，他们使用同样的用户名和密码登录。这两个用户的偏好现在是关联的，并且在其中一台设备上改变它们将在所有关联的设备上对它们更新。(175)

8、注意，广告网络和Adpref均不收集任何PII，因此根据定义，它们不共享或出售任何PII。用户信息以假名和随机id的形式完整保存。(180)

如图4所示，示出了终端用户使用本发明的JLINC系统和接口来控制他/她的广告许可和数据使用的示例，如下：

1、用户登录至BobCo的网站(用她的用户名和密码)。(200)

2、她点击“控制你的数据”按钮，并进入JLINC网页应用程序，在此为她创建并注册密钥对，然后通过户数据服务器与BobCo的企业服务器商定ISA。(210)

3.另外，当登录JLINC网页应用程序时，用户的公钥保存在其浏览器的本地存储中。(220)它也可以保存在缓存中，但是目前本发明不需要任何缓存，因此该系统不需要缓存通知。有些浏览器在其默认设置中设置了当站点第一次想要写入本地存储时，浏览器会为用户提供许可框来确认“OK”。

4、随后，用户登录在CharlieCo的站点上，然后点击他的“控制你的数据”按钮。JLINC网页应用程序读取本地存储，看到用户已经有拥有帐户，并提出将CharlieCo添加到她的供应商列表。(230)

5、如果用户同意，用户数据服务记录该选择，并将来自CharlieCo的任何额外数据添加至她的配置文件。她对其配置文件或设置所做的任何后续修改都将与BobCo和CharlieCo共享。(240)

6、为了随后返回到她的JLINC网页应用程序，用户仍然使用“控制您的数据”按钮通过(任何)一个她的绑定供应商登录，但当她这样做时，JLINC网页应用程序会显示她与所有同意与其绑定的供应商的关系。(250)

7、如果她的本地存储被删除，或者她移动到不同的设备上，当她使用“控制你的数据”按钮登录时，后端用户数据服务将识别她为现有用户(通过按钮中的代码)，并还原本地存储密钥。(260)

8、无论用户何时登录她的JLINC网页应用程序，她都会看见包含链接的通知。该通知声明，为了更高的安全性和更多的功能，用户可以下载并安装JLINC桌面或移动应用程序。(270)

9、如果她选择桌面应用程序，网页应用程序将触发用户数据服务器生成一次性使用的令牌，她可以将该令牌复制并粘贴到她的新桌面应用程序中，这样用户数据服务器就能够将她的桌面应用程序标识为她。(280)

10、然后，桌面应用程序为用户生成并注册新的本地存储的主密钥对，这样从桌面应用程序的后续登录不需要密码或对供应商站点的访问。(290)

11、如果她安装移动应用程序，除了用户数据服务器通过短信息服务(SMS)将该令牌发送到她的手机外，使用相同的过程。(300)

安全性考虑

本发明的网页应用程序仅与登录BobCo和CharlieCo一样安全。这与OAuth的情况完全相同，即如果用户使用Facebook TM登录所有使用过的站点，并且有人使用户的Facebook帐户陷入危险，那么他们有权访问用户的所有数据。

不幸的是，作为第二个身份验证因素的短信息服务并没有看上去那么有用。从本质上讲，如果恶意行为人可以操纵用户的电话帐户(这是可以做到的)，他们就拥有用户的短信息服务，很可能还有用户的电子邮件。在这种情况下，为了安全性本发明鼓励使用Yubikey(或类似的)。据预测，最终每个人都会有两个Yubikey，一个容易接近，另一个在第一个丢失或被盗的情况下隐藏起来。

在使用本发明的系统和方法时可能存在大量的变体。之前对该系统的描述主要集中在自愿的个人数据使用案例上。如前所述，该系统还包括与广告有关的使用案例。可以设想，本发明的系统还为按法律要求遵守PSD2开放银行业务规则或了解您的客户规则(KnowYour Customer rules)以及GDPR对个人数据的控制和可移植性的需求提供技术解决方案。可以设想，经过本发明系统功能的合法性处理，本发明的系统可以与PSD2 APIs以许可金融技术(FinTech)公司实现GDPR使用的方式一起使用。目前，PSD2要求银行开放API，但是那时当用户给出API访问的第三方金融技术(FinTech)公司时，目前该金融技术(FinTech)公司无法满足GDPR对个人数据控制的要求。通过JLINC，金融技术(FinTech)提供者可以利用这一机会拓展至PSD2提供的新业务，同时也为其客户提供遵守GDPR所需的对他/她的数据的粒度控制。

本发明的系统还可用于身份验证。例如，一些出售年龄限制物品和服务的商务经常需要身份证明，如年龄或位置/邮政编码。在这些域中，该系统可以用于确认用户确实是X岁，或者身体上确认在某个位置，然后根据经确认的和合法获得的数据可以共享数据。

类似地，该系统可以配置为，第三方使用密钥(例如类似于严格身份资格)进行会签，包括声明该用户超过18岁，或者声明这是经过该令牌证明的人的孩子，而所有这些都不知道那个人的身份。由此，即使对于匿名用户，该系统也可用于域的子验证空间。

应当理解的是，本发明的系统和方法不必局限于在广告中使用，反而扩展到由一个或多个当事方在因特网上安全地作出的任何和所有协议。虽然使用JSON-LD作为图形语言，但应该理解的是，其他图形语言可以代替JSON-LD来使用。

例如，应当理解的是，当前发明的另一个关键优点是它为委托同意提供了机制，其中，一方可以同意使用数据，在第一方的授权下，第二方可以与附加的第三方或第四方等共享这些数据。条件可以是自动化的，且可以由第一方根据附加方必须满足的条件来设置，然后也可以在逻辑或布尔网络(Boolean mainfold)中与其他条件组合。例如，继续与具有特定型号、特定颜色的库存的汽车经销商共享此数据，直到指定的日期之前，或直到发送第一方已完成购买且不再在市场上的通知。在收到第一方删除该数据的指示后，任何一方不得保留或重新传输该数据。

这种自动化的逻辑合约层次体系不局限于企业对顾客的使用案例场景，还可以应用于任何商业合约或供应链，例如，基于卖方符合产品规格、发货日期、融资条款等特定的条款，潜在客户发出未结订单以获取信息或实际执行自动化采购的情形。商业合同可以包含纯金融工具和商品、衍生品或其他金融工具或产品的交易。

应当理解的是，可以使用当前发明建立替代商品担保的贸易信用，其中由一种或多种商品为担保的机器可读的合同作为贸易信用进行交换。这些信用用作抵抗通胀的交易单元，其中的流动性由合同中表达该单元的能力来提供，该合同即可以是人工可读的也可以是机器可读的，并且可以被法官检查(与以前基于区块链的其他合同不同)。

类似地，应该理解的是，可以使用当前发明建立相互信任的贸易信用系统，其中个人和/或实体能够以可交易的借据形式相互提供信贷。这些可交易的合约构成了在网络或社区之间创造流动性的方法。有能力自动进行合同交换，并将身份与可以表示为密钥的属性相关联，而这些属性反过来被用于会签用于签署交易信用合约的密钥，这使得本发明能够为工作社区信用系统提供必要的缺失的基础设施。

其他的版本包括涉及物联网(IoT)的场景，其中设备创建关于和/或代表个人或其他实体的数据，在此该设备在传输数据之前对数据进行签名，并且在使用该设备的个人或实体与接收该数据的实体之间的ISA下，对该数据的使用进行管理。

在另一类实施例中，数据可以在处于业务关系中的两个或多个商业实体之间交换，其中管理数据的合约是复杂的法律文件，已在其相应的管理相应数据库之间进行了协商，以管理可能由内部或外部事件和/或时间周期事件触发的自动基础上的特定条款和条件下的各自数据库之间的特定数据的交换。

在另一类实施例中，由一系列商业方创建的数据来源链可用于帮助管理该供应链，每一商业方签署与通过供应链的货物移动和处理相关联的ISA。这里，数据来源表示并验证与物料供应链中的活动序列相关联的物理保管链或来源。经加密签名和验证的文件，证明原材料或食品输入来源的文件，从而证明该供应链的完整性，也可能为终端用户或顾客的最终产品增值。

在另一优选实施例类别中，本发明的协议和系统可用于三方交互，如下所述。

本发明的JLINC协议使得能够满足PSD2和GDPR的需求的更安全和更灵活的解决方案成为可能。以下是应用于三方交互的JLINC协议的描述：

在本发明的实施和系统中涉及的三个参与者，及其交互云服务，每一个交互示例如下：

·银行，被称为“BankCo”。

·银行的代理人，BankCo JLINC解决方案服务。

·金融技术公司，被称为“FinCo”。

·金融技术公司的代理人，FinCo JLINC解决方案服务。

·终端用户，GDPR条款中的“数据主体”，或OAuth条款中的“资源所有者”，被称为“Alice”。

·她的代理人是JLINC数据服务，通过她的JLINC应用程序访问。

三方的交互如图5所示。

Alice可以通过BankCo或FinCo初始登入本发明的系统(JLINC)。对于这个讨论示例，假设她是由BankCo登入的，但是，不管Alice是如何登入系统的，过程是相同的。

BankCo通过将客户的账户号码或银行记录中唯一标识客户的其他ID发送至合适的JLINC解决方案服务API，来初始化在JLINC解决方案服务上的每个现有客户或新客户。然后，其过程如下：

1、JLINC解决方案服务联系Alice的JLINC数据服务，后者为该用户(Alice)实例化一个密钥对，并将公钥作为假名标识符，连同由Alice的私钥签署的提议的信息共享协议一起返回至JLINC解决方案服务。

2、JLINC解决方案服务记录该公钥，对该信息共享协议进行会签，然后将其返回至Alice的JLINC数据服务。这两个服务都可以通过第三方审计服务记录此协议。JLINC解决方案服务此时还创建一次性随机ID，并使用该ID生成一次性使用URL，BankCo可以向Alice提供该URL，从而带她登入。

3、JLINC解决方案发送方还可以将银行希望与Alice共享和/或共同管理的一些数据与已签署的信息共享协议一起返回，Alice可以根据该信息共享协议随时更改、更新或撤回这些数据。

4、当Alice访问该URL时，她被带到JLINC数据服务登录页面。当她登录时，新的假名与她的帐户关联。如果她还没有帐户，她可以注册新的帐户，然后该假名与她的新帐户相关联。

Alice可以通过在她的JLINC应用程序中选择FinCo帐户，将其添加至她的JLINC数据服务中。此过程与上述过程工作原理类似，只是过程相反。优选地，该过程如下：

1、首先，JLINC数据服务为Alice生成新的密钥对，并将公钥连同签署的提议的信息共享协议一起发送给FinCo JLINC解决方案服务。

2、FinCo J LI NC解决方案服务会签该信息共享协议并将其返回给JLINC数据服务。它向FinCo API发送消息以创建新的客户记录并记录该新客户的ID。

3、然后，FinCo可以从Alice的JLINC数据服务请求数据。当Alice启动FinCo帐户请求时，她将已经预先授权某个配置文件或数据集，她可以随时更改、更新或撤回该配置文件或数据集。已经由Alice授权的共享数据可以包括Alice根据该信息共享协议从BankCo收到的BankCo数据。

Alice可以选择添加到其JLINC数据服务中的可用JLINC解决方案服务列表是由带外注册过程创建和维护的，该过程创建唯一的API密钥和API机密，在该JLINC解决方案服务与其JLINC数据服务之间共享。

·各自的服务之间的所有通信都是通过加密会话(通常是TLS)进行的，但为了进一步的安全，还需要另外两个措施。

·首先，所有消息都包含发送者的API密钥，并被格式化为JSON网页令牌，被使用共享API秘密的HMAC部分保护，从而减轻中间人攻击者在未经检测的情况下更改服务之间传输的消息。

·此外，通过该关系中预定接收者的公钥对消息的内容加密。因此，只有Alice相应私钥的拥有者能够读取该消息的内容，并且任何更改该消息内容的尝试都将失败。

PSD2服务

为了实施PSD2服务，FinCo需要代表Alice访问BankCo的PSD2必需的API。目前相关标准机构目考虑下的实现这一点的方法是OAuth2框架。该方法的优选步骤如下：

1、首先，本发明采用对OAuth2的扩展，从而许可Alice和/或她的JLINC数据服务在BankCo使用密钥质询而不是用户名和密码进行身份验证。它将如下工作。

2、接下来，Alice向FinCo表示(要么在FinCo站点登录，要么通过预先安排)，她希望FinCo代表她执行涉及BankCo的一些操作。

3、然后，在现有的ISA下(该请求中包含该ISA的哈希值)，FinCo的JLINC解决方案服务调用Alice的JLINC数据服务的API来请求来自BankCo的能力。

4、接下来，Alice的JLINC数据服务反过来对BankCo的JLINC解决方案服务进行API调用，以获取该能力，包括Alice的ISA与BankCo的哈希值。

5、接下来，BankCo的JLINC解决方案服务将Alice的公钥呈现给BankCo的认证API来代替用户名。

6、接下来，BankCo返回认证质询，随机数字或字符串。对于此步骤的安全性至关重要，该质询必须足够长且足够随机，并且决不能重复使用。BankCo的JLINC解决方案服务最好包括防止该质询重用的检查。

7、然后，BankCo的JLINC解决方案服务使用Alice的公钥加密该质询，并将其发送到她的JLINC数据服务。她的JLINC数据服务解密该质询，用Alice的私钥进行签名，用BankCo的公钥重新加密签名的质询，并将其发回。

8、然后，如果BankCo本身不具备这样做的能力，BankCo的JLINC解决方案服务使用BankCo的私钥解密已签名的质询，并且在任何情况下都将已签名的质询呈现给BankCo。

9、接下来，BankCo使用Alice的公钥验证该签名，然后返回OAuth令牌。这一步代替了标准的OAuth技术，在此Alice将被重定向到BankCo的站点并进行身份验证，然后使用OAuth令牌被重定向到FinCo。

10、然后，BankCo的JLINC解决方案服务用Alice的公钥加密该令牌，并将其传输至Alice的JLINC数据服务。Alice的JLINC数据服务解密该令牌，用FinCo的公钥对其重新加密，并将其传输到FinCo的JLINC解决方案服务。

11、最后，FinCo的JLINC解决方案服务对该令牌进行解密，并将其呈现给FinCo，以按照已建立的OAuth框架来使用。

在该过程的结尾，本发明的系统向FinCo呈现了BankCo生成的能力，但显著降低了“中间人”攻击者重复该业务或者窃取Alice的凭据或其OAuth令牌的能力。通过将Alice置于数据事件的中心，本发明的系统使她能够看到并控制整个过程。

JLINC解决方案服务连接器

企业/商业机构/实体可以使用到JLINC解决方案服务数据库的直接CRM连接器(例如，Postgresql数据库系统的外部数据包装机制)或使用JLINC解决方案服务API，将其数据源连接到JLINC解决方案服务。

新的终端用户登录

企业可以通过两种方式在自己的JLINC解决方案服务上初始化现有的或新的客户。如果企业使用的是到JLINC解决方案服务数据库的直接CRM连接器，则JLINC解决方案服务数据库将触发随机一次性使用标识号的创建。否则，企业可以将企业记录中客户的账户号码或其他唯一标识客户的ID发送到相应的JLINC解决方案服务API。

届时，不论发生哪种情况：

1、首先，本发明的JLINC解决方案服务联系新终端用户的JLINC数据服务，该服务为该用户实例化一个密钥对并将公钥作为假名标识号连同由新的终端用户的私钥签署的提议的信息共享协议一起返回至JLINC解决方案服务。

2、然后，JLINC解决方案服务记录该公钥，会签该信息共享协议，并将其返回给新终端用户的JLINC数据服务。这两个服务也可以通过第三方审计服务记录此协议。JLINC解决方案服务此时还创建一次性随机ID，或者使用数据库触发器创建的id(如果是这样的话)，并使用该id创建一次性使用的URL，BankCo可以通过电子邮件或其他方式将该URL呈现给向新的终端用户，以带她登入。

3、然后，JLINC解决方案服务也可以随签署的信息共享协议返回银行希望与新的终端用户共享和/或共同管理的一些数据，她可以根据信息共享协议随时更改、更新或撤回这些数据。

4、当新的终端用户访问该URL时，她将被带到JLINC数据服务登录页面。当她登录时，新的假名与她的帐户相关联。如果她还没有帐户，她可以注册一个，然后该假名与她的新帐户相关联。

JLINC审计服务

作为本发明的JLINC协议的一部分，任何数据事件的所有各方都可以各自指定JLINC审计服务。该协议要求被通知的每一方在一段合理的时间内将作为数据事件一部分而创建的已签名的数据事件收据的副本发送给指定的JLINC审核服务。

JLINC审计服务匹配收据，如果在一段时间后没有从相关数据事件的双方或所有方收到匹配收据，则向涉及的所有相关方发出通知。这些收据旨在提供加密的不可反驳的证据，证明当事方同意有关数据的交换。

本发明的JLINC审计服务还提供了密钥注册服务，该密钥注册服务为使用该服务的所有各方注册公钥。在相应的私钥因任何原因被泄露或退出服务的情况下，JLINC审核服务将记录该事实，以及已取代该无效密钥的公钥，如果该公钥适用。如果JLINC审核服务收到包含无效公钥的收据，则该服务将对该结果返回通知，并返回有关替代密钥的任何信息。JLINC审计服务还提供了API来直接检查公钥的有效性和替换。

应当理解的是，本发明的系统和方法的协议和技术可以在任何情况下部署，其中在许可的基础上存在与数据交换有关的多方。

为了说明和描述的目的，提出了本发明的具体实施例的上述描述。它们并不打算是详尽的，也不打算将本发明局限于所公开的确切形式，而且显然，根据上述指导，许多修改和变化是可能的。所选的和描述的示例性实施例是为了最好地解释本发明的原理及其实际应用，从而使本领域的其他技术人员能够最好地利用本发明和具有各种修改的各种实施例，该修改适合于深思熟虑的特定用途。

在说明了本发明之后，应当理解的是，可以在不脱离本发明的本质的情况下实现各种调整和版本。此外，应当理解的是，本发明不仅仅局限于上述实施例中描述的发明，而且还进一步包括该应用范围内的任何和所有实施例。

Claims (1)

1.一种无缝自动地授予全面准许在数据库之间使用和传输因特网数据的定制的许可的方法，包括：

使用图形语言集成和使用当事方之间加密签署的信息共享协议；

当获得适当的许可时，将数据序列化，从而易于在数据库之间传输；

在使用控制联络的情况下，使粒度数据在因特网上任意数量的当事方之间自动交换；且

根据用户偏好向用户提供广告。

Images