CN112861107B - 一种可信数字身份文件存储于ic卡介质的应用方法 - Google Patents

Abstract

本发明提供一种可信数字身份文件存储于IC卡介质的应用方法，包括如下步骤：(1)签发全局可信数字身份文件；(2)签发生态数字身份文件；(3)写卡：(4)识读IC卡进入实人认证或实名认证；(5)相关应用场景业务处理；采用本发明提供的方法，不仅解决了生态机构的个性化认证需求，及满足生态机构自主签发生态数字身份标识的需求，还能够将数字身份文件内置于IC卡介质设备中，实现无手机用户使用数字身份。

Description

一种可信数字身份文件存储于IC卡介质的应用方法

技术领域

本发明涉及一种可信数字身份文件存储于IC卡介质的应用方法，属于软件 管理技术领域。

背景技术

eid是以密码技术为基础、以智能安全芯片为载体,签发给公民 的网络身份标识，能够在不泄露身份信息的前提下在线远程识别身 份，主要实现形式是将eid文件内置于IC卡中，当使用IC卡时，将 IC卡中内置的eid文件读取出来进行认证。eid主要用于解决隐私保 护下的线上身份识别问题，它不是明文的身份信息，也不是像“居民 身份证”那样的证件，而是搭载在一张银行卡安全智能芯片上的密码 信息，用户只需将搭载了eid的银行卡插入通用智能卡读卡器并输入 密码、或贴近带有NFC(近场通信)功能手机的背面后，网站在后台可 在线辨别eid的真伪和有效性。

现有的eid产品，主要基于PKI数字签名技术生成的电子身份标识文件，本 质上是一种电子签名文件，仅是在IC卡中内置eid文件，并未涉及与生态机构 联合签发数字身份文件的功能实现，不能解决生态机构的个性化认证需求，也无 法满足生态机构自主签发生态数字身份标识的需求。

发明内容

为了解决上述现有技术中存在的问题，本发明提供一种可信数字身份文件存 储于IC卡介质的应用方法，能够将数字身份文件内置于IC卡介质设备中，实现 为无手机用户也能使用数字身份，同时能达到法定实人认证级别，也能满足生态 机构的个性化认证需求。

本发明的技术方案如下：

一种可信数字身份文件存储于IC卡介质的应用方法，包括如下步骤：

(1)签发全局可信数字身份文件：由应用客户端采集用户的全局可信数字 身份下载信息，并向应用服务端发起全局可信数字身份下载请求，由应用服务端 依次转发请求至数字身份公共服务平台、CTID平台，由CTID平台实现签发并返 回全局可信数字身份文件和PID；

(2)签发生态数字身份文件：数字身份公共服务平台基于PID签发用户在 本生态内的数字身份标识，并将全局可信数字身份文件和生态数字身份标识按照 “A+B+S”的标准结构及加密和数据签名处理后生成含有全局可信数字身份的生 态数字身份文件，并通过数字身份公共服务平台将生态数字身份文件返回至应用 客户端；

(3)写卡：由应用客户端向专用读写设备或专用控件发起写卡请求，通过 IC卡专用读写设备向IC卡中写入含有全局可信数字身份的生态数字身份文件并 返回写卡结果；

(4)识读IC卡进入认证：通过IC卡专用读卡设备识读IC卡，读取生态数 字身份文件，根据不同应用场景，由应用客户端分别向应用服务端发起实人认证 或实名认证请求并进入实人认证或实名认证程序；

(5)相关应用场景业务处理。

进一步地，所述步骤(2)中A段为全局可信数字身份文件，B段为自定义的 生态数字身份标识，S段为对A段、B段拼接串的整体加密机数据签名处理。

进一步地，所述步骤(4)中实人认证应用在需要进行全局可信数字身份及 人像双重认证的使用场景，具体认证步骤如下：

A1、应用客户端采集到生态数字身份文件和用户人像数据后，向应用服务端 发起实人认证请求；

A2、应用服务端将应用客户端的认证请求转发至数字身份公共服务平台；

A3、数字身份公共服务平台使用签发生态数字身份文件时使用到的密钥进行 解密还原出全局可信数字身份文件；

A4、数字身份公共服务平台将解析还原出的全局可信数字身份文件和采集到 的人像数据共同上送CTID平台进行身份认证，并通过CTID平台返回认证结果和 PID；

A5、数字身份公共服务平台根据返回的PID，关联出用户的生态数字身份标 识或个人数据信息；

A6、数字身份公共服务平台将返回的认证结果、关联的生态数字身份标识或 个人数据信息返回至应用服务端；应用服务端将返回的认证结果、关联的生态数 字身份标识、个人数据信息等返回至应用客户端；

A7、应用客户端根据返回的认证结果、生态数字身份标识或个人数据信息进 行双重认证应用场景的相关业务受理。

进一步地，所述步骤(4)中实名认证应用在仅需要关联生态数字身份的实 用场景，具体认证步骤如下：

B1、应用客户端采集到生态数字身份文件后，向应用服务端发起实名认证请 求；

B2、应用服务端将客户端的认证请求转发至数字身份公共服务平台；

B3、数字身份公共服务平台使用签发生态数字身份文件时使用到的密钥进行 解密还原出生态数字身份标识；

B4、数字身份公共服务平台将解析还原出的数字身份标识进行真实性和有效 性的校验；

B5、数字身份公共服务平台将生态数字身份标识及根据生态数字身份标识关 联出的个人数据返回至应用服务端；应用服务端将生态数字身份标识及根据生态 数字身份标识关联出的个人数据返回至应用客户端；

B6、应用客户端根据返回的生态数字身份标识或个人数据信息进行单因子应 用场景的相关业务受理。

与现有技术相比，本发明具有如下有益效果：

1、本发明提供的一种可信数字身份文件存储于IC卡介质的应用方法，将数 字身份文件按照“A+B+S”结构生成，其中A段为全局可信数字身份文件，B段为 生态自定义的身份标识，S段为A段、B段拼接串的整体数据签名，在场景应用 中，当需要法定实人认证级别使用时可用到A段中的全局可信数字身份文件，当 不需要法定实人认证级别(即弱身份应用场景)使用时可用B段中的生态数字身 份标识进行本地核验(不需要请求至CTID平台)从而识别用户身份，可满足生 态机构个性化的认证需求，满足生态机构自主签发生态数字身份标识的需求；克 服了现有技术中在IC卡中内置eid文件，无法解决生态机构的个性化认证需求 的问题。

2、本发明提供的一种可信数字身份文件存储于IC卡介质的应用方法，不仅 能够满足生态机构个性化的认证需求和生态机构自主签发生态数字身份标识的 需求，而且采用上述方法将数字身份文件内置于IC卡介质设备中，实现无手机 用户也能使用数字身份，扩大数字身份的应用场景。

附图说明

图1为本发明的方法流程图；

图2为本发明实施例中数字身份文件下载的流程图；

图3为本发明实施例中数字身份文件进行实人认证示意图；

图4为本发明实施例中数字身份文件进行实名认证示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清 楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全 部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳 动前提下所获得的所有其他实施例，都属于本发明保护的范围。

参见图1，一种可信数字身份文件存储于IC卡介质的应用方法，包括如下步 骤：

(1)签发全局可信数字身份文件：由应用客户端采集用户的全局可信数字 身份下载信息，全局可信数字身份下载信息包括姓名、身份证号、人像照片等， 应用客户端采集下载信息后向应用服务端发起全局可信数字身份下载请求，应用 服务端将应用客户端的全局可信数字身份下载请求转发向数字身份公共服务平 台，数字身份公共服务平台转发全局可信数字身份下载请求至CTID平台，在CTID 平台认证全局可信数字身份下载信息通过后，签发并返回全局可信数字身份和 PID；

(2)签发生态数字身份文件：数字身份公共服务平台基于PID签发用户在 本生态内的数字身份标识，并将全局可信数字身份文件和生态数字身份标识按照 “A+B+S”的标准结构及加密和数据签名处理后生成含有全局可信数字身份的生 态数字身份文件，并通过数字身份公共服务平台将生态数字身份文件返回至应用 客户端；

(3)写卡：由应用客户端向专用读写设备或专用控件发起写卡请求，通过 IC卡专用读写设备向IC卡中写入含有全局可信数字身份的生态数字身份文件并 返回写卡结果；

(4)识读IC卡进入认证：通过IC卡专用读卡设备识读IC卡，读取生态数 字身份文件，根据不同应用场景，由应用客户端分别向应用服务端发起实人认证 或实名认证请求并进入实人认证或实名认证程序；

(5)相关应用场景业务处理。

参见图2，签发全局可信数字身份文件、签发生态数字身份文件和写卡步骤 为数字身份文件下载流程；数字身份文件下载流程中主要分为CTID侧、区域政 府/行业机构侧以及业务接入侧；CTID平台主要执行CTID侧的任务，数字身份公 共服务平台主要执行区域政府/行业机构侧的任务，业务接入侧主要实现写卡步 骤，包括写卡应用客户端、写卡应用服务端、IC卡读写设备和作为介质的IC卡； 写卡应用客户端采集用户的全局可信数字身份下载信息，并向写卡应用服务端发 起全局可信数字身份下载请求，写卡应用服务端转发全局可信数字身份下载请求 至区域政府/行业机构侧的数字身份公共服务平台，数字身份公共服务平台再次 转发全局可信数字身份下载请求至CTID侧的CTID平台，CTID平台认证全局可信 数字身份下载信息通过后，签发并返回全局可信数字身份和PID至数字身份公共服务平台，数字身份公共服务平台基于PID签发用户在本生态内的数字身份标识， 并将全局可信数字身份文件和生态数字身份标识按照“A+B+S”的标准结构及加 密和数据签名处理后生成含有全局可信数字身份的生态数字身份文件，并通过数 字身份公共服务平台将生态数字身份文件返回至写卡应用服务端，写卡应用服务 端将返回数字身份文件(包含全局可信数字身份、生态数字身份标识和签名)至 写卡应用客户端，写卡应用客户端向IC卡读写设备发起写卡请求，IC卡读写设 备将数字身份文件写入IC卡中同时返回写卡成功或失败的结果提示。

进一步地，所述步骤(2)中A段为全局可信数字身份文件，B段为自定义的 生态数字身份标识，S段为A段、B段拼接串的整体加密机数据签名处理，生成 防伪造防篡改的保护信息S，能钩解决了A段数据与B段数据相结合的安全性问 题，最终输出包含A+B+S特定格式的数据文件。

参见图3，所述步骤(4)中实人认证应用在需要进行全局可信数字身份及人 像双重认证的使用场景，具体认证步骤如下：

A1、IC卡读写设备识读IC卡内存储的数字身份文件后，全局可信数字身份 应用客户端将IC卡专用读卡设备识读到的数据进行解析，获取其中的生态数字 身份文件，同时，全局可信数字身份应用客户端拍摄采集用户的人像数据，采集 到生态数字身份文件和人像数据后，向全局可信数字身份应用服务端发起实人认 证请求；

A2、全局可信数字身份应用服务端将全局可信数字身份应用客户端的实人认 证请求(数字身份文件和人像)转发至数字身份公共服务平台；

A3、数字身份公共服务平台使用签发生态数字身份文件时使用到的密钥进行 解密还原数字身份文件，获取全局可信数字身份；

A4、数字身份公共服务平台将解析还原出的全局可信数字身份文件和采集到 的人像数据共同上送CTID平台进行身份认证，并通过CTID平台返回认证结果和 PID至数字身份公共服务平台；

A5、数字身份公共服务平台根据返回的PID，关联出用户的生态数字身份标 识或个人数据信息；

A6、数字身份公共服务平台将返回的认证结果、关联的生态数字身份标识或 个人数据信息返回至全局可信数字身份应用服务端；全局可信数字身份应用服务 端将返回的认证结果、关联的生态数字身份标识、个人数据信息等返回至全局可 信数字身份应用客户端；

A7、应用客户端根据返回的认证结果、生态数字身份标识或个人数据信息进 行双重认证应用场景的相关业务受理。

参见图4，所述步骤(4)中实名认证应用在仅需要关联生态数字身份的实用 场景，具体认证步骤如下：

B1、IC卡读写设备识读IC卡内存储的数字身份文件后，全局可信数字身份 应用客户端将IC卡专用读卡设备识读到的数据进行解析，获取其中的生态数字 身份文件，向应用服务端发起实名认证请求；

B2、全局可信数字身份应用服务端将全局可信数字身份应用客户端的实人认 证请求(数字身份文件)转发至数字身份公共服务平台；

B3、数字身份公共服务平台使用签发生态数字身份文件时使用到的密钥解析 数字身份文件、数据验签，还原出生态数字身份标识；

B4、数字身份公共服务平台将解析还原出的数字身份标识进行真实性和有效 性的校验；

B5、数字身份公共服务平台将认证结果、生态数字身份标识及根据生态数字 身份标识关联出的个人数据返回至全局可信数字身份应用服务端；全局可信数字 身份应用服务端将认证结果、生态数字身份标识及根据生态数字身份标识关联出 的个人数据返回至全局可信数字身份应用客户端；

B6、应用客户端根据返回的生态数字身份标识或个人数据信息进行单因子应 用场景的相关业务受理。

以上所述的具体实施例，对本发明的目的、技术方案和有益效果进行了进一 步的详细说明，应当理解，以上所述仅为本发明的具体实施例而已，并不用于限 定本发明的保护范围。特别指出，对于本领域技术人员来说，凡在本发明的精神 和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范 围之内。

Claims (3)

1.一种可信数字身份文件存储于IC卡介质的应用方法，其特征在于：包括如下步骤：

（1）签发全局可信数字身份文件：由应用客户端采集用户的全局可信数字身份下载信息，并向应用服务端发起全局可信数字身份下载请求，由应用服务端依次转发请求至数字身份公共服务平台、CTID平台，由CTID平台实现签发并返回全局可信数字身份文件和PID；

（2）签发生态数字身份文件：数字身份公共服务平台基于PID签发用户在本生态内的数字身份标识，并将全局可信数字身份文件和生态数字身份标识按照“A+B+S”的标准结构及加密和数据签名处理后生成含有全局可信数字身份的生态数字身份文件，并通过数字身份公共服务平台将生态数字身份文件返回至应用客户端；其中，A段为全局可信数字身份文件，B段为自定义的生态数字身份标识，S段为对A段、B段拼接串的整体加密机数据签名处理；

（3）写卡：由应用客户端向专用读写设备或专用控件发起写卡请求，通过IC卡专用读写设备向IC卡中写入含有全局可信数字身份的生态数字身份文件并返回写卡结果；

（4）识读IC卡进入认证：通过IC卡专用读卡设备识读IC卡，读取生态数字身份文件，根据不同应用场景，由应用客户端分别向应用服务端发起实人认证或实名认证请求并进入实人认证或实名认证程序；

（5）相关应用场景业务处理。

2.根据权利要求1所述的一种可信数字身份文件存储于IC卡介质的应用方法，其特征在于：所述步骤（4）中实人认证应用在需要进行全局可信数字身份及人像双重认证的使用场景，具体认证步骤如下：

A1、应用客户端采集到生态数字身份文件和用户人像数据后，向应用服务端发起实人认证请求；

A2、应用服务端将应用客户端的认证请求转发至数字身份公共服务平台；

A3、数字身份公共服务平台使用签发生态数字身份文件时使用到的密钥进行解密还原出全局可信数字身份文件；

A4、数字身份公共服务平台将解析还原出的全局可信数字身份文件和采集到的人像数据共同上送CTID平台进行身份认证，并通过CTID平台返回认证结果和PID；

A5、数字身份公共服务平台根据返回的PID，关联出用户的生态数字身份标识或个人数据信息；

A6、数字身份公共服务平台将返回的认证结果、关联的生态数字身份标识或个人数据信息返回至应用服务端；应用服务端将返回的认证结果、关联的生态数字身份标识或个人数据信息返回至应用客户端；

A7、应用客户端根据返回的认证结果、生态数字身份标识或个人数据信息进行双重认证应用场景的相关业务受理。

3.根据权利要求1所述的一种可信数字身份文件存储于IC卡介质的应用方法，其特征在于：所述步骤（4）中实名认证应用在仅需要关联生态数字身份的实用场景，具体认证步骤如下：

B1、应用客户端采集到生态数字身份文件后，向应用服务端发起实名认证请求；

B2、应用服务端将客户端的认证请求转发至数字身份公共服务平台；

B3、数字身份公共服务平台使用签发生态数字身份文件时使用到的密钥进行解密还原出生态数字身份标识；

B4、数字身份公共服务平台将解析还原出的数字身份标识进行真实性和有效性的校验；

B5、数字身份公共服务平台将生态数字身份标识及根据生态数字身份标识关联出的个人数据返回至应用服务端；应用服务端将生态数字身份标识及根据生态数字身份标识关联出的个人数据返回至应用客户端；

B6、应用客户端根据返回的生态数字身份标识或个人数据信息进行单因子应用场景的相关业务受理。

Images