CN114928470A - 一种身份管理系统 - Google Patents

一种身份管理系统 Download PDF

Info

Publication number
CN114928470A
CN114928470A CN202210351773.9A CN202210351773A CN114928470A CN 114928470 A CN114928470 A CN 114928470A CN 202210351773 A CN202210351773 A CN 202210351773A CN 114928470 A CN114928470 A CN 114928470A
Authority
CN
China
Prior art keywords
user
identity management
identity
management device
information
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202210351773.9A
Other languages
English (en)
Inventor
周文明
王志鹏
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Shenzhen Zhongyue Technology Co ltd
Original Assignee
Shenzhen Zhongyue Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Shenzhen Zhongyue Technology Co ltd filed Critical Shenzhen Zhongyue Technology Co ltd
Publication of CN114928470A publication Critical patent/CN114928470A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/062—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00 applying encryption of the keys

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本申请公开了一种身份管理系统，系统包括：第一身份管理设备、第二身份管理设备、服务请求设备及服务提供设备；服务请求设备用于将包括用户的用户凭证的服务访问请求发给第一身份管理设备，以请求访问服务提供设备；第一身份管理设备用于验证用户凭证，且将用户的身份信息进行加密，将获得的密文发送给第二身份管理设备；如果用户凭证经第一身份管理设备验证通过，则服务请求设备成功访问服务提供设备；第二身份管理设备用于接收第一身份管理设备发送的密文；服务提供设备用于将从第二身份管理设备中获取的密文解密，以获得用户的身份信息。采用本申请，通过对上述身份管理系统中用户的身份信息加密，可保护用户的身份信息的机密性。

Description

一种身份管理系统
技术领域
本申请涉及网络信息安全技术领域，尤其涉及一种身份管理系统。
背景技术
国外某服务提供商未经用户许可，擅自或不正当使用身份管理设备用户个人身份信息。
发明内容
基于以上存在的问题以及现有技术的缺陷，本申请提供一种身份管理系统，通过基于用户属性信息进行描述的公开策略对网络安全域中用户的身份信息进行加密处理，以保护用户的身份信息的机密性。
第一方面，本申请提供了一种身份管理系统，该身份管理系统包括：
第一身份管理设备、第二身份管理设备、服务请求设备以及服务提供设备；其中，所述第一身份管理设备与所述服务请求设备位于第一网络安全域；所述第二身份管理设备与所述服务提供设备位于第二网络安全域；所述第一身份管理设备、所述第二身份管理设备、所述服务请求设备以及所述服务提供设备之间通信连接；
所述服务请求设备用于将服务访问请求发送给所述第一身份管理设备，以请求访问所述服务提供设备；所述服务访问请求包括：包括用户的用户凭证；
所述第一身份管理设备用于：响应于接收到所述服务访问请求，验证所述用户凭证，以及将所述用户的身份信息进行加密，获得密文，并将所述密文发送给所述第二身份管理设备；其中，所述用户的身份信息包括以下一项或多项：用户的姓名、年龄、住址、学校或成绩；
如果所述用户凭证经所述第一身份管理设备验证通过，则所述服务请求设备成功访问所述服务提供设备；
所述第二身份管理设备用于接收所述第一身份管理设备发送的所述密文；
所述服务提供设备用于从所述第二身份管理设备中获取所述密文，并将所述密文进行解密，以获得所述用户的身份信息。
结合第一方面，在一些可选的实施例中，
所述服务请求设备还用于：
在将服务访问请求发送给所述第一身份管理设备之前，
接收所述用户输入的所述用户凭证，并将所述用户凭证发送给所述第一身份管理设备以在所述第一身份管理设备上进行注册，其中，所述用户凭证包括：账号、密码。
结合第一方面，在一些可选的实施例中，
所述第一身份管理设备还用于：
在接收到所述服务访问请求之前，接收所述服务请求设备在所述第一身份管理设备上注册时由所述服务请求设备所发送的所述用户凭证，并将所述用户凭证存储在所述第一身份管理设备中。
结合第一方面，在一些可选的实施例中，
所述第二身份管理设备还用于：
初始化一个全局参数以及一个服务提供设备标识符；
基于所述全局参数及所述服务提供设备标识符生成公钥和主密钥，并将所述公钥发送给所述第一身份管理设备；
初始化一个所述用户的用户标识符、一个会话标识符，并基于所述用户标识符、所述会话标识符、所述主密钥、所述用户的属性信息以及所述全局参数生成私钥；
其中，所述私钥与所述用户标识符、所述用户属性、所述会话标识符相关联；其中，所述用户的属性信息包括以下一项或多项：所述用户的身份信息的使用目的、所述身份信息的使用期限或使用所述身份信息的设备的唯一标识码。
结合第一方面，在一些可选的实施例中，
所述第一身份管理设备还用于：
接收所述第二身份管理设备发送的所述公钥以及所述全局参数；
初始化一个公开策略，结合所述公开策略、所述公钥以及所述全局参数将所述用户的身份信息进行加密，获得密文；其中，
所述用户的属性信息还用于描述所述公开策略。
结合第一方面，在一些可选的实施例中，
所述服务提供设备具体用于：
结合所述第二身份管理设备生成的私钥，对从所述第二身份管理设备中获取的密文进行解密，以获得所述用户的身份信息；
如果所述私钥中的属性信息满足所述公开策略，则成功解密出所述用户的身份信息；
如果所述私钥中的属性信息不满足所述公开策略，则解密失败。
结合第一方面，在一些可选的实施例中，
所述第二身份管理设备，具体还用于：
初始化一个全局参数GP以及一个服务提供设备标识符PID；
通过公钥生成算法AuthSetup(PID,GP)生成{PKPID,MSKPID}，其中，PKPID表示所述公钥，所述MSKPID表示所述主密钥，并将所述公钥PKPID以及所述全局参数GP发送给所述第一身份管理设备；
通过私钥生成算法KenGen(UID,SESSIONID,MSKPID,u,GP)生成私钥SKUID,u,SESSIONID，其中，所述UID标表示所述用户的用户标识符，所述SESSIONID 表示会话标识符，所述u表示所述用户的属性信息；
其中，所述私钥SKUID,u,SESSIONID与所述用户标识符UID、所述用户的属性信息 u、所述会话标识符SESSIONID相关联；其中，所述用户的属性信息u包括以下一项或多项：所述用户的身份信息的使用目的、所述身份信息的使用期限或使用所述身份信息的设备的唯一标识码。
结合第一方面，在一些可选的实施例中，
所述第一身份管理设备具体还用于：
接收所述第二身份管理设备发送的所述公钥PKPID以及所述全局参数GP；
通过加密算法Encrypt(M,P,PKPID,GP)生成密文CT；其中，所述M表示用户的身份信息，所述P表示公开策略；所述用户的身份信息M还用于描述所述公开策略P。
结合第一方面，在一些可选的实施例中，
所述服务提供设备具体用于：
通过解密算法对所述密文CT进行解密，以恢复出所述用户的身份信息M；
如果所述私钥SKUID,u,SESSIONID中的属性信息满足所述公开策略P，则成功解密出所述用户的身份信息M；
如果所述私钥SKUID,u,SESSIONID中的属性信息不满足所述公开策略P，则解密失败。
结合第一方面，在一些可选的实施例中，
所述第一安全域与所述第二安全域之间设置有防火墙；所述第一网络安全域与所述第二网络安全域分别配置有网络安全策略。
本申请提供了一种身份管理系统，该管理系统可包括但不限于：第一身份管理设备、第二身份管理设备、服务请求设备、服务提供设备；其中，上述第一身份管理设备与上述服务请求设备位于第一网络安全域；上述第二身份管理设备与上述服务提供设备位于第二网络安全域；上述服务请求设备用于将服务访问请求发送给上述第一身份管理设备，以请求访问上述服务提供设备；上述服务访问请求包括：包括用户的用户凭证；上述第一身份管理设备用于：响应于接收到上述服务访问请求，验证上述用户凭证，并且通过基于用户属性信息进行描述的公开策略和公钥对网络安全域中用户的身份信息进行加密处理，获得密文，并将上述密文发送给上述第二身份管理设备；其中，上述用户的身份信息包括以下一项或多项：用户的姓名、年龄、住址、学校或成绩；如果上述用户凭证经上述第一身份管理设备验证通过，则上述服务请求设备成功访问上述服务提供设备；上述第二身份管理设备用于接收上述第一身份管理设备发送的所述密文；上述服务提供设备用于从上述第二身份管理设备中获取所述密文，并结合私钥将从第二身份管理设备中获取的密文解密，如果该私钥满足上述公开策略，则可以获得用户的身份信息，以获得上述用户的身份信息，采用本申请，即通过基于用户属性信息进行描述的公开策略对网络安全域中用户的身份信息进行加密处理，以保护用户的身份信息的机密性；另外，服务提供设备可直接从第二网络安全域中第二身份管理设备中获取包括用户的身份信息的密文，而无需从第一网络安全域的第一身份管理设备中获取包括用户的身份信息的密文，减少延时，提高了系统效率。
附图说明
为了更清楚地说明本申请实施例技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1是本申请提供的一种身份管理系统的结构示意图；
图2是本申请提供的一种公开策略的示意图；
图3是本申请提供的另一种公开策略的示意图；
图4是本申请提供的另一种身份管理系统的结构示意图。
具体实施方式
下面将结合本申请中的附图，对本申请中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。
为保护用户的身份信息的机密性，提供系统效率，本申请提供一种身份管理系统。
参见图1，是本申请提供的一种身份管理系统的结构示意图，如图1所示，该身份管理系统可包括但不限于：
第一身份管理设备、第二身份管理设备、服务请求设备以及服务提供设备；其中，所述第一身份管理设备与所述服务请求设备位于第一网络安全域；所述第二身份管理设备与所述服务提供设备位于第二网络安全域；本申请实施例中，第一安全域与第二安全域之间可设置有防火墙；第一网络安全域与第二网络安全域可分别配置有不同的网络安全策略。例如：第一网络安全域可为下述任一项：具有网络安全策略的悦校通平台、亚马逊平台、facebook平台。第二网络安全域可为下述任一项：京东平台、腾讯平台；也即是说，第一网络安全域的网络安全策略不同于第二网络安全域的网络安全策略。
其中，第一身份管理设备、第二身份管理设备、服务请求设备以及服务提供设备之间可通过通信网络进行连接。
应当说的，本申请实施例中的第一、第二仅仅用于区分不同的身份管理设备、网络安全域，不应对本申请做出限制。
应当说明的，本申请实施例中的服务请求设备可包括但不限于：
可用于对用户的身份信息进行采集的课堂专用摄像头、可用于对用户的身份信息进行采集的AI智能盒子、可用于对用户的身份信息进行采集的摄像机、或者其他可用于对用户的身份信息进行采集的设备。
应当说明的，服务提供设备可包括但不限于：可用于通过解密方式获得用户的用户身份信息以及给服务请求设备提供服务的服务器。
应当说明的，上述通信网络可包括但不限于下述方式：
方式1：有线方式(如：网线或光纤)的通信网络；
方式2：无线方式(如：WIFI6或5G)的通信网络；
方式3：上述有线方式和无线方式相结合的通信网络。
应当说明的，服务请求设备可用于将服务访问请求发送给第一身份管理设备，以请求访问所述服务提供设备；服务访问请求可包括但不限于：用户的用户凭证。
应当说明的，服务请求设备可用于将服务访问请求发送给第一身份管理设备之前，第一身份管理设备收到服务请求设备发送的用户凭证。
应当说明的，服务请求设备还可用于将用户的身份信息发送给上述第一身份管理设备。
应当说明的，第一身份管理设备可用于：响应于接收到服务请求设备发送的服务访问请求，对服务访问请求中的用户凭证进行验证，以及将用户的身份信息进行加密，获得包括上述用户的身份信息的密文，并将上述密文发送给第二身份管理设备。
其中，上述用户的身份信息可包括但不限于以下一项或多项：用户的姓名、用户的年龄、用户的性别、用户的家庭住址、用户的所在学校、用户的考试成绩、用户的评优考核成绩、用户的职业、用户的人脸图像。
本申请实施例中的用户，可包括但不限于：学生、教师或其他学校工作人员。
本申请实施例中的用户可包括但不限于：学生或教师。
应当说明的，如果用户凭证经第一身份管理设备验证通过，则服务请求设备成功访问服务提供设备。具体的，
第一身份管理设备的存储器或数据库中存储有上述用户凭证时，则可确定出上述用户凭证经第一身份管理设备验证通过。
应当说明的，第二身份管理设备可用于接收第一身份管理设备发送的密文；
应当说明的，服务提供设备可用于从第二身份管理设备中获取密文，并将该密文进行解密，以获得用户的身份信息。具体的，
服务提供设备可用于接收第二身份管理设备发送的密文，并将该密文进行解密，以获得用户的身份信息。
应当说明的，服务请求设备还可用于：
在将服务访问请求发送给第一身份管理设备之前，接收用户输入的用户凭证，并将用户凭证发送给第一身份管理设备以在第一身份管理设备上进行注册，其中，用户凭证可包括但不限于：账号(如：12345678)、密码(如：888888)。
应当说明的，第一身份管理设备还可用于：
在接收到服务访问请求之前，接收服务请求设备在第一身份管理设备上注册时由服务请求设备所发送的用户凭证，并将该用户凭证存储在第一身份管理设备的数据库中或者第一身份设备的存储器中。
应当说明的，第二身份管理设备还可用于下述过程：
初始化一个全局参数以及一个服务提供设备的服务提供设备标识符(换句话说，第二身份管理设备用于生成一个全局参数以及一个服务提供设备的服务提供设备标识符)；
基于上述全局参数及上述服务提供设备标识符生成公钥和主密钥，并将上述公钥发送给上述第一身份管理设备；
初始化一个用户标识符、一个会话标识符(换句话说，生成一个用户标识符、一个会话标识符)，并基于用户标识符、会话标识符、主密钥、用户的属性信息以及全局参数生成私钥；
其中，上述私钥与用户标识符、用户属性、会话标识符相关联；其中，用户的属性信息可包括但不限于以下一项或多项：用户的身份信息的使用目的(如：具体调查用户的背景需要使用到用户的身份信息)、身份信息的使用期限(如 2022.3.2-2022.3.9)，使用身份信息的设备所处的网络安全域或者使用身份信息的设备的唯一标识码(如：服务提供设备的IMEI码)。
其中，会话标识符可用于：防止同一用户通过一个秘钥对多个不同事务中的密文进行解析，以获得用户的身份信息，也即是说，同一用户在特定事务(服务器请求设备因为某个特定事务请求对上述密文解密以获得用户的身份信息)中属性信息满足公开策略的秘钥仅可对特定事务中的密文进行解析以获得用户的身份信息。
应当说明的，第一身份管理设备还可用于下述过程：
接收第二身份管理设备发送的公钥以及全局参数；
初始化一个公开策略(换句话说，生成一个公开策略)，结合该公开策略、上述公钥以及上述全局参数将上述用户的身份信息进行加密，获得包括用户的身份信息的密文；其中，
应当说明的，用户的属性信息还可用于描述上述公开策略，举例来说，
当用户的用户属性信息为：具体调查用户的背景需要使用到用户的身份信息、身份信息的使用期限2022.3.2-2022.3.9，使用身份信息的设备所处的网络安全域或者使用身份信息的设备的唯一标识码-服务提供设备的IMEI码时，公开策略可为：服务提供设备的唯一标识码为ABCD、且服务提供设备的使用用户的身份信息的期限在2022.3.2-2022.3.9，并且服务提供设备想要查询用户的身份信息来获知用户的个人背景信息。
应当说明的，服务提供设备具体可用于下述过程：
结合第二身份管理设备生成的私钥，对从第二身份管理设备中获取的包括用户的身份信息的密文进行解密，以获得用户的身份信息；
如果上述私钥中的属性信息满足上述公开策略，则成功解密出上述用户的身份信息；另外，如果上述公开策略为：服务提供设备的IMEI码为ABCD、或服务提供设备的使用用户的身份信息的期限在2022.3.2-2022.3.9，那么如果私钥的属性信息为服务提供设备的IMEI码为ABCD，则私钥的属性信息满足上述公开策略，也即是说，该服务提供设备可成功解密出上述用户的身份信息。
如果上述私钥中的属性信息不满足上述公开策略，则解密失败，也即是说，身份服务提供设备解密上述密文失败。
举例来说，如果上述公开策略为：服务提供设备的IMEI码为ABCD、或服务提供设备的使用用户的身份信息的期限在2022.3.2-2022.3.9，那么如果私钥的属性信息为服务提供设备的IMEI码为EFG，则此时的私钥的属性信息不满足上述公开策略，也即是说，服务提供设备解密失败。
图2示例性示出了一种公开策略的示意图，如图2所示，
如果私钥中的属性信息为{计算机系，2013，学生}，则该私钥可满足上述图2中的公开策略，也即是说，服务提供设备可通过该私钥解密出上述密文。
应当说明的，如果私钥中的属性信息为{计算机系，2014，学生}，则该私钥可满足上述图2中的公开策略，也即是说，服务提供设备可通过该私钥解密上述密文，获得上述密文中的用户的身份信息。应当说明的，如果私钥中的属性信息为{会计系，2013，学生}，则该私钥不满足上述图2中的公开策略，服务提供设备通过该私钥不能成功解密上述密文，也即是说，解密失败；
应当说明的，如果私钥中的属性信息为{会计系，2014，学生}，则该私钥不满足上述图2中的公开策略，服务提供设备通过该私钥不能成功解密上述密文，也即是说，解密失败。
图3示例性示出了另一种公开策略的示意图，如图3所示，
如果私钥中的属性信息为{使用用户的身份信息的服务提供设备的唯一标识码为ID1；使用用户的身份信息的目的是对用户进行政审；使用用户的身份的期限在A-B之间}，则该私钥可满足上述图3中的公开策略，也即是说，服务提供设备可通过该私钥解密出上述密文。
应当说明的，如果私钥中的属性信息为{使用用户的身份信息的服务提供设备的唯一标识码为ID2；使用用户的身份信息的目的是对用户进行政审；使用用户的身份的期限在A-B之间}，则该私钥不满足上述图3中的公开策略，也即是说，服务提供设备不可通过该私钥解密出上述密文。
应当说明的，如果私钥中的属性信息为{使用用户的身份信息的服务提供设备的唯一标识码为ID1；使用用户的身份信息的目的是窃取用户的隐私；使用用户的身份的期限在A-B之间}，则该私钥不满足上述图3中的公开策略，也即是说，服务提供设备不可通过该私钥解密出上述密文。
应当说明的，如果私钥中的属性信息为{使用用户的身份信息的服务提供设备的唯一标识码为ID1；使用用户的身份信息的目的是对用户进行政审；使用用户的身份的期限不在A-B范围内}，则该私钥不满足上述图3中的公开策略，也即是说，服务提供设备不可通过该私钥解密出上述密文。
为进一步阐述如何保护用户的身份信息的机密性，提供身份信息交互的效率，本申请提供另一种身份管理系统。以第一身份管理设备为校园身份管理服务器，第二身份管理设备为云端身份管理服务器，服务提供设备为云端服务器为例，具体的，结合图4对身份管理系统进行具体说明。
参见图4，是本申请提供的另一种身份管理系统的结构示意图，如图4所示，该系统可包括但不限于：服务请求设备、校园身份管理服务器、云端身份管理服务器以及云端服务器；其中，
校园身份管理服务器与服务请求设备(如：可用于对用户的身份信息进行采集的课堂专用摄像头，或者可用于对用户的身份信息进行采集的AI智能盒子) 位于第一网络安全域；云端身份管理服务器与云端服务器位于第二网络安全域。
下面对图4所述的管理系统中设备之间的交互过程进行详细阐述，具体可包括但不限于下述过程：
步骤1：校园身份管理服务器通过结合用户属性信息进行描述的公开策略以及公钥将获得的用户的身份信息进行加密，并可将加密后所获得的密文发送给云端身份管理服务器；
步骤2：服务请求设备(如：可为安装在校园内的AI智能盒子)将携带用户的用户凭证的服务访问请求发送给校园身份管理服务器，以请求访问上述云端服务器(也即是说，访问云端服务器上的应用程序)。
步骤3：如果上述用户凭证经校园身份管理服务器验证通过，则服务请求设备可成功访问上述云端服务器(也即是说，校园身份管理服务器的存储器或数据库中存储有上述用户凭证时，则可确定出上述用户凭证经校园身份管理服务器验证通过，则服务请求设备可成功访问上述云端服务器)。
步骤4：云端服务器可从云端身份管理服务器获取包括用户的身份信息的密文。
步骤5：云端服务器可通过私钥将从云端身份管理服务器获取的密文进行解密，如果该私钥中的属性信息满足上述公开策略，则云端服务器通过上述私钥对上述密文进行解析，可以成功获得用户的身份信息。应当说明的，在执行步骤1之前，服务请求设备接收用户输入的用户凭证，并且，服务请求设备将上述用户输入的用户凭证发送给校园身份管理服务器以在校园身份管理服务器上进行注册。
应当说明的，图4实施例中未阐明的关于服务请求设备、校园身份管理服务器、云端身份管理服务器以及云端服务器的具体功能或实现，可参考图1实施例，此处不再赘述。
综上所述，服务请求设备将包括用户的用户凭证的服务访问请求发给第一身份管理设备，以请求访问服务提供设备；第一身份管理设备验证用户凭证，且通过基于用户属性信息进行描述的公开策略和公钥对网络安全域中用户的身份信息进行加密处理，将获得的密文发送给第二身份管理设备；如果用户凭证经第一身份管理设备验证通过，则服务请求设备成功访问服务提供设备；第二身份管理设备接收第一身份管理设备发送的密文；服务提供设备结合私钥将从第二身份管理设备中获取的密文解密，如果该私钥满足上述公开策略，则可以获得用户的身份信息。采用本申请，即通过结合用户属性信息进行描述的公开策略和公钥对网络安全域中用户的身份信息进行加密处理，以保护用户的身份信息的机密性；另外，服务提供设备可直接从第二网络安全域中第二身份管理设备中获取包括用户的身份信息的密文，而无需从第一网络安全域的第一身份管理设备中获取包括用户的身份信息的密文，减少延时，提高了系统效率。
应当说明的，第二身份管理设备，具体还可用于下述过程：
初始化一个全局参数GP以及一个服务提供设备标识符PID(也即是说，生成一个全局参数GP以及一个服务提供设备标识符PID)；
通过公钥生成算法AuthSetup(PID,GP)生成{PKPID,MSKPID}，其中，PKPID表示上述公钥，MSKPID表示上述主密钥，并将所述公钥PKPID以及全局参数GP发送给第一身份管理设备。可选的，公钥生成算法还可包括但不限于：非对称加密算法(如：RSA、DSA、ECC、Diffie-Hellman、El Gamal)。通过私钥生成算法KenGen(UID,SESSIONID,MSKPID,u,GP)生成私钥SKUID,u,SESSIONID，其中，上述 UID可表示用户的用户标识符，上述SESSIONID表示会话标识符，上述u表示所述用户的属性信息；其中，上述私钥SKUID,u,SESSIONID与上述用户标识符UID、上述用户的属性信息u、上述会话标识符SESSIONID相关联。
其中，上述用户的属性信息u可包括但不限于以下一项或多项：上述用户的身份信息的使用目的、上述身份信息的使用期限或使用上述身份信息的设备的唯一标识码。可选的，私钥生成算法，还可包括但不限于：非对称加密算法。
上述会话标识符SESSIONID可用于表征某个特定事务(服务器请求设备因为某个特定事务请求对上述密文解密以获得用户的身份信息)。
应当说明的，第一身份管理设备具体还可用于下述过程：
接收第二身份管理设备发送的公钥PKPID以及全局参数GP；
可通过加密算法Encrypt(M,P,PKPID,GP)生成密文CT；其中，上述M表示用户的身份信息，上述P表示公开策略；上述用户的属性信息u还可用于描述上述公开策略P。举例来说，
当用户的用户属性信息u为：具体调查用户的背景需要使用到用户的身份信息、身份信息的使用期限2022.3.2-2022.3.9，使用身份信息的设备所处的网络安全域或者使用身份信息的设备的唯一标识码-服务提供设备的IMEI码时，
公开策略P可为：服务提供设备的唯一标识码为ABCD、且服务提供设备的使用用户的身份信息的期限在2022.3.2-2022.3.9，并且服务提供设备想要查询用户的身份信息来获知用户的个人背景信息。
应当说明的，服务提供设备具体可用于下述过程：
通过解密算法Decrypt(CT,SKUID,u,SESSIONID,GP)对密文CT进行解密，以恢复出用户的身份信息。
具体的，如果私钥SKUID,u,SESSIONID中的属性信息满足公开策略P，则可从上述密文CT中成功解密出用户的身份信息M。举例来说，
如果上述公开策略P为：服务提供设备的IMEI码为ABCD、或服务提供设备的使用用户的身份信息的期限在2022.3.2-2022.3.9，那么如果私钥的属性信息为服务提供设备的IMEI码为ABCD，则私钥的属性信息满足上述公开策略，也即是说，该服务提供设备可成功解密出上述用户的身份信息。
如果私钥SKUID,u,SESSIONID中的属性信息不满足公开策略P，则不能从上述密文 CT中解密出用户的身份信息M，也即是说，解密失败。举例来说，
如果上述公开策略P为：服务提供设备的IMEI码为ABCD、或服务提供设备的使用用户的身份信息的期限在2022.3.2-2022.3.9，那么如果私钥的属性信息为服务提供设备的IMEI码为EFG，则此时的私钥的属性信息不满足上述公开策略，也即是说服务提供设备解密失败。应当说明的，会话标识符SESSIONID可用于：防止同一用户UID通过一个秘钥对多个不同事务中的密文进行解析，以获得用户的身份信息M，也即是说，同一用户UID在特定事务中属性信息满足公开策略的秘钥仅可对特定事务中的密文进行解析以获得用户的身份信息M。
综上所述，通过采用本申请，也即通过基于用户属性信息u进行描述的公开策略P对网络安全域中用户的身份信息进行加密处理，以保护用户的身份信息的机密性；另外，服务提供设备可直接从第二网络安全域中第二身份管理设备中获取包括用户的身份信息的密文CT，而无需从第一网络安全域的第一身份管理设备中获取包括用户的身份信息的密文CT，减少延时，提高了系统效率。
应当说明的，图2-4实施例中未详细进行解释的定义或说明，可参考图1 实施例。
应当说明的，图1-4仅仅用于对本申请进行阐述及说明，不应对本申请的保护范围做出限制。
本领域普通技术人员可以意识到，结合本申请中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。
所属领域的技术人员可以清楚地了解到，为了描述的方便和简洁，上述描述的设备、系统和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。
在本申请所提供的几个实施例中，应该理解到，所揭露的设备、装置和方法，可以通过其它的方式实现。例如，以描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。
上述描述的装置、设备的实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另外，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口、设备、装置或单元的间接耦合或通信连接，也可以是电的，机械的或其它的形式连接。
所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本申请实施例方案的目的。
另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以是两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。
所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储器中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分，或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储器中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储器包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。
以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到各种等效的修改或替换，这些修改或替换都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以权利要求的保护范围为准。

Claims (10)

1.一种身份管理系统，其特征在于，包括：
第一身份管理设备、第二身份管理设备、服务请求设备以及服务提供设备；其中，所述第一身份管理设备与所述服务请求设备位于第一网络安全域；所述第二身份管理设备与所述服务提供设备位于第二网络安全域；所述第一身份管理设备、所述第二身份管理设备、所述服务请求设备以及所述服务提供设备之间通信连接；
所述服务请求设备用于将服务访问请求发送给所述第一身份管理设备，以请求访问所述服务提供设备；所述服务访问请求包括：包括用户的用户凭证；
所述第一身份管理设备用于：响应于接收到所述服务访问请求，验证所述用户凭证，以及将所述用户的身份信息进行加密，获得密文，并将所述密文发送给所述第二身份管理设备；其中，所述用户的身份信息包括以下一项或多项：用户的姓名、年龄、住址、学校或成绩；
如果所述用户凭证经所述第一身份管理设备验证通过，则所述服务请求设备成功访问所述服务提供设备；
所述第二身份管理设备用于接收所述第一身份管理设备发送的所述密文；
所述服务提供设备用于从所述第二身份管理设备中获取所述密文，并将所述密文进行解密，以获得所述用户的身份信息。
2.如权利要求1所述身份管理系统，其特征在于，
所述服务请求设备还用于：
在将服务访问请求发送给所述第一身份管理设备之前，
接收所述用户输入的所述用户凭证，并将所述用户凭证发送给所述第一身份管理设备以在所述第一身份管理设备上进行注册，其中，所述用户凭证包括：账号、密码。
3.如权利要求2所述身份管理系统，其特征在于，
所述第一身份管理设备还用于：
在接收到所述服务访问请求之前，接收所述服务请求设备在所述第一身份管理设备上注册时由所述服务请求设备所发送的所述用户凭证，并将所述用户凭证存储在所述第一身份管理设备中。
4.如权利要求1所述身份管理系统，其特征在于，
所述第二身份管理设备还用于：
初始化一个全局参数以及一个服务提供设备标识符；
基于所述全局参数及所述服务提供设备标识符生成公钥和主密钥，并将所述公钥发送给所述第一身份管理设备；
初始化一个所述用户的用户标识符、一个会话标识符，并基于所述用户标识符、所述会话标识符、所述主密钥、所述用户的属性信息以及所述全局参数生成私钥；
其中，所述私钥与所述用户标识符、所述用户属性、所述会话标识符相关联；其中，所述用户的属性信息包括以下一项或多项：所述用户的身份信息的使用目的、所述身份信息的使用期限或使用所述身份信息的设备的唯一标识码。
5.如权利要求4所述身份管理系统，其特征在于，
所述第一身份管理设备还用于：
接收所述第二身份管理设备发送的所述公钥以及所述全局参数；
初始化一个公开策略，结合所述公开策略、所述公钥以及所述全局参数将所述用户的身份信息进行加密，获得密文；其中，
所述用户的属性信息还用于描述所述公开策略。
6.如权利要求5所述身份管理系统，其特征在于，
所述服务提供设备具体用于：
结合所述第二身份管理设备生成的私钥，对从所述第二身份管理设备中获取的密文进行解密，以获得所述用户的身份信息；
如果所述私钥中的属性信息满足所述公开策略，则成功解密出所述用户的身份信息；
如果所述私钥中的属性信息不满足所述公开策略，则解密失败。
7.如权利要求4所述身份管理系统，其特征在于，
所述第二身份管理设备，具体还用于：
初始化一个全局参数GP以及一个服务提供设备标识符PID；
通过公钥生成算法AuthSetup(PID,GP)生成{PKPID,MSKPID}，其中，PKPID表示所述公钥，所述MSKPID表示所述主密钥，并将所述公钥PKPID以及所述全局参数GP发送给所述第一身份管理设备；
通过私钥生成算法KenGen(UID,SESSIONID,MSKPID,u,GP)生成私钥SKUID,u,SESSIONID，其中，所述UID标表示所述用户的用户标识符，所述SESSIONID表示会话标识符，所述u表示所述用户的属性信息；
其中，所述私钥SKUID,u,SESSIONID与所述用户标识符UID、所述用户的属性信息u、所述会话标识符SESSIONID相关联；其中，所述用户的属性信息u包括以下一项或多项：所述用户的身份信息的使用目的、所述身份信息的使用期限或使用所述身份信息的设备的唯一标识码。
8.如权利要求7所述身份管理系统，其特征在于，
所述第一身份管理设备具体还用于：
接收所述第二身份管理设备发送的所述公钥PKPID以及所述全局参数GP；
通过加密算法Encrypt(M,P,PKPID,GP)生成密文CT；其中，所述M表示用户的身份信息，所述P表示公开策略；所述用户的身份信息M还用于描述所述公开策略P。
9.如权利要求8所述身份管理系统，其特征在于，
所述服务提供设备具体用于：
通过解密算法Decrypt(CT,SKUID,u,SESSIONID,GP)对所述密文CT进行解密，以恢复出所述用户的身份信息M；
如果所述私钥SKUID,u,SESSIONID中的属性信息满足所述公开策略P，则成功解密出所述用户的身份信息M；
如果所述私钥SKUID,u,SESSIONID中的属性信息不满足所述公开策略P，则解密失败。
10.如权利要求1所述身份管理系统，其特征在于，
所述第一安全域与所述第二安全域之间设置有防火墙；所述第一网络安全域与所述第二网络安全域分别配置有网络安全策略。
CN202210351773.9A 2022-03-30 2022-04-02 一种身份管理系统 Pending CN114928470A (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN202220729749X 2022-03-30
CN202220729749 2022-03-30

Publications (1)

Publication Number Publication Date
CN114928470A true CN114928470A (zh) 2022-08-19

Family

ID=82804320

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210351773.9A Pending CN114928470A (zh) 2022-03-30 2022-04-02 一种身份管理系统

Country Status (1)

Country Link
CN (1) CN114928470A (zh)

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108322447A (zh) * 2018-01-05 2018-07-24 中电长城网际系统应用有限公司 云环境下的数据共享方法及系统、终端和云服务器

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108322447A (zh) * 2018-01-05 2018-07-24 中电长城网际系统应用有限公司 云环境下的数据共享方法及系统、终端和云服务器

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
TRI HOANG VO 等: "Efficient Privacy-preserving User Identity with Purpose-based Encryption", 2019 INTERNATIONAL SYMPOSIUM ON NETWORKS, COMPUTERS AND COMMUNICATIONS (ISNCC), pages 1 - 8 *

Similar Documents

Publication Publication Date Title
CN110086608B (zh) 用户认证方法、装置、计算机设备及计算机可读存储介质
US10554420B2 (en) Wireless connections to a wireless access point
CN102812684B (zh) 实施计算机策略的系统和方法
US8683209B2 (en) Method and apparatus for pseudonym generation and authentication
CN109076078A (zh) 用以建立和更新用于安全的车载网络通信的密钥的方法
CN114238999A (zh) 数据传送方法、控制数据使用的方法以及密码设备
CN103634265B (zh) 安全认证的方法、设备及系统
US11349646B1 (en) Method of providing secure communications to multiple devices and multiple parties
JP5992535B2 (ja) 無線ｉｄプロビジョニングを実行するための装置及び方法
CN108809633A (zh) 一种身份认证的方法、装置及系统
JP6182080B2 (ja) 認証システム、プログラム
CN106656955A (zh) 一种通信方法及系统、客户端
CN114422266A (zh) 一种基于双重验证机制的IDaaS系统
US20190305940A1 (en) Group shareable credentials
EP3820186B1 (en) Method and apparatus for transmitting router security information
CN112261103A (zh) 一种节点接入方法及相关设备
CN112425117B (zh) 化名信任状的配置方法和装置
CN106685646B (zh) 一种数字证书密钥管理方法及管理服务器
CN112035820B (zh) 一种用于Kerberos加密环境下的数据解析方法
CN114928470A (zh) 一种身份管理系统
US12120247B2 (en) Owner identity confirmation system, certificate authority server and owner identity confirmation method
KR20150005789A (ko) 인증서를 이용한 사용자 인증 방법
JP2005086428A (ja) 認証を得て暗号通信を行う方法、認証システムおよび方法
CN116318637A (zh) 设备安全入网通信的方法和系统
US11153288B2 (en) System and method for monitoring leakage of internal information by analyzing encrypted traffic

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination