JP7119142B2 - デジタルｉｄ検証方法及び装置、電子機器、非一時的コンピュータ可読記憶媒体並びにプログラム - Google Patents

デジタルｉｄ検証方法及び装置、電子機器、非一時的コンピュータ可読記憶媒体並びにプログラム Download PDF

Info

Publication number
JP7119142B2
JP7119142B2 JP2021003235A JP2021003235A JP7119142B2 JP 7119142 B2 JP7119142 B2 JP 7119142B2 JP 2021003235 A JP2021003235 A JP 2021003235A JP 2021003235 A JP2021003235 A JP 2021003235A JP 7119142 B2 JP7119142 B2 JP 7119142B2
Authority
JP
Japan
Prior art keywords
target
user
party platform
target user
obtaining
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
JP2021003235A
Other languages
English (en)
Other versions
JP2021111412A (ja
Inventor
マオ、ホンピン
パン、スーユアン
ユアン、チュンチエ
チェン、ハオトン
ワン、ホイ
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Baidu Netcom Science and Technology Co Ltd
Original Assignee
Beijing Baidu Netcom Science and Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Baidu Netcom Science and Technology Co Ltd filed Critical Beijing Baidu Netcom Science and Technology Co Ltd
Publication of JP2021111412A publication Critical patent/JP2021111412A/ja
Application granted granted Critical
Publication of JP7119142B2 publication Critical patent/JP7119142B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/126—Applying verification of the received information the source of the received data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0435—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply symmetric encryption, i.e. same key used for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/045—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply hybrid encryption, i.e. combination of symmetric and asymmetric encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H04L67/1097—Protocols in which an application is distributed across nodes in the network for distributed storage of data in networks, e.g. transport arrangements for network file system [NFS], storage area networks [SAN] or network attached storage [NAS]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
    • H04L9/0631—Substitution permutation network [SPN], i.e. cipher composed of a number of stages or rounds each involving linear and nonlinear transformations, e.g. AES algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0891—Revocation or update of secret information, e.g. encryption key update or rekeying
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0894—Escrow, recovery or storing of secret information, e.g. secret key escrow or cryptographic key storage
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/50—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using hash chains, e.g. blockchains or hash trees

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Storage Device Security (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)
  • Information Transfer Between Computers (AREA)

Description

本出願の実施例はコンピュータの技術分野に関し、特にブロックチェーンの技術分野に関し、具体的にデジタルＩＤ検証方法及び装置、電子機器、非一時的コンピュータ可読記憶媒体並びにプログラムに関する。
インターネットアプリケーションの急速な発展に伴い、コンピュータにより自動検証しアプリケーションにログインすることで、オフラインエンティティをオンラインの仮想ＩＤに接続することは、その利便性及び重要性がますます顕在化になっている。現在、分散型に基づくデジタルＩＤ検証技術は、探求や開始段階にあり、システム定義が完備しておらず、ユーザがデジタルＩＤを使用し管理するのに便利なクライアントが存在しないため、分散型を実現する完備したデジタルＩＤ検証システムは実際に存在しない。
本出願の実施例は、完備したデジタルＩＤ検証システムを実現可能にするデジタルＩＤ検証方法、デジタルＩＤ検証装置、電子機器、非一時的コンピュータ可読記憶媒体及びコンピュータプログラムを提供する。
第１の態様によれば、本出願の実施例は、分散型アイデンティティ（ＤＩＤ）クライアントによって実行されるデジタルＩＤ検証方法を提供し、前記方法は、
対象ユーザのターゲット第三者プラットフォームへのログイン操作に応答して、前記ターゲット第三者プラットフォームのターゲットログイン情報を得るステップと、
前記ターゲットログイン情報に基づいて、対象ユーザＤＩＤを含むログイン要求を前記ターゲット第三者プラットフォームに送信して、前記対象ユーザの個人ユーザーデータハブから前記対象ユーザのターゲットクレーム（ｔａｒｇｅｔ ｃｌａｉｍ）を得るように前記ターゲット第三者プラットフォームを許可するとともに、前記対象ユーザＤＩＤ及び前記ターゲットクレームを検証するステップと、
前記対象ユーザＤＩＤ及び前記ターゲットクレームが検証に合格した場合に、前記対象ユーザＤＩＤを用いて前記ターゲット第三者プラットフォームにログインするステップと、を含む。
上記の出願の一実施例は、ワールド・ワイド・ウェブ・コンソーシアム（Ｗ３Ｃ）が策定するＤＩＤ規格に対してＤＩＤクライアント及び個人ユーザーデータハブ等のアーキテクチャの追加及び定義を行うことにより、ＤＩＤクライアント、個人ユーザーデータハブと他の既存構造との間のインタラクションに基づいて、デジタルＩＤ検証システム全体のワークフロー及びアクセス方式を明確にし、完備したデジタルＩＤ検証システムを実現可能にするとともに、ＤＩＤアカウントを使用し管理するＤＩＤクライアントをユーザや企業に提供し、デジタルＩＤの絶対的な保有性及び制御可能性を保証したという利点や有益な効果を有する。
選択可能に、前記対象ユーザのターゲット第三者プラットフォームへのログイン操作に応答して、前記ターゲット第三者プラットフォームのターゲットログイン情報を得るステップは、
前記対象ユーザの前記ターゲット第三者プラットフォームへのログイン操作に応答して、ターゲット第三者プラットフォームＤＩＤを少なくとも含むターゲットログイン情報を得、前記ターゲット第三者プラットフォームＤＩＤに基づいて、ブロックチェーンネットワークから前記ターゲット第三者プラットフォームＤＩＤに関連付けられるＤＩＤドキュメントを得ることを含む。
上記の出願の一実施例は、ブロックチェーンネットワークがＤＩＤ及びその関連情報を記憶することができ、各参加者のために情報サービスを提供するという利点又は有益な効果を有する。したがって、ＤＩＤクライアントは、データの暗号化や共有のために、ブロックチェーンネットワークを介してターゲット第三者プラットフォームＤＩＤに関連付けられるＤＩＤドキュメントを得ることができる。
選択可能に、前記の前記対象ユーザの個人ユーザーデータハブから前記対象ユーザのターゲットクレームを得るように前記ターゲット第三者プラットフォームを許可するステップは、
前記個人ユーザーデータハブにおけるターゲットクレームの記憶されたターゲットエンドポイントアドレスを前記ターゲット第三者プラットフォームに送信して、前記ターゲットエンドポイントアドレスに従って個人ユーザーデータハブのターゲットエンドポイントにアクセスするように前記ターゲット第三者プラットフォームを許可するとともに、前記ターゲットクレームを得ることを含む。
上記の出願の一実施例は、ターゲットエンドポイントアドレスが、個人ユーザーデータハブから指定された検証可能なクレームを取得するようにターゲット第三者プラットフォームに指示するために用いられ、さらにターゲットエンドポイントアドレスの送信によってターゲット第三者プラットフォームを許可する目的が達成され、検証可能なクレームの共有を可能にするという利点又は有益な効果を有する。
選択可能に、前記の前記個人ユーザーデータハブにおけるターゲットクレームの記憶されたターゲットエンドポイントアドレスを前記ターゲット第三者プラットフォームに送信する前に、
プロキシ再暗号化メカニズムに基づいて前記ターゲットクレームを暗号化するステップをさらに含む。
上記の出願の一実施例は、プロキシ再暗号化メカニズムを用いてクレームの共有を可能にし、クレームの漏洩を防止し、データのセキュリティが確保されるという利点又は有益な効果を有する。
選択可能に、前記プロキシ再暗号化メカニズムに基づいて前記ターゲットクレームを暗号化するステップは、
高度暗号化標準ＡＥＳ鍵を用いて前記ターゲットクレームを暗号化して、ターゲット暗号化クレームを得ることと、
対象ユーザの公開鍵を用いて前記ＡＥＳ鍵を暗号化して、対称鍵暗号文を得ることと、
対象ユーザの秘密鍵と、ターゲット第三者プラットフォームＤＩＤに関連付けられるＤＩＤドキュメントから取得されたターゲット第三者プラットフォームの公開鍵とに基づいて、再暗号化鍵を計算して得ることと、
前記ターゲット暗号化クレーム、前記対称鍵暗号文及び前記再暗号化鍵を前記個人ユーザーデータハブのターゲットエンドポイントアドレスに記憶して、前記対称鍵暗号文を前記再暗号化鍵を用いて再暗号化するように前記個人ユーザーデータハブを制御し、再暗号文を生成して記憶することと、を含む。
上記の出願の一実施例は、プロキシ再暗号化メカニズムの目的が、対象ユーザの公開鍵で暗号化されたデータは、共有者であるターゲット第三者プラットフォームによってターゲット第三者プラットフォームの秘密鍵で復号して取得されることができ、データ共有の安全性が確保されることができることにあるという利点又は有益な効果を有する。
選択可能に、前記ターゲットエンドポイントアドレスは、前記ターゲット第三者プラットフォームが前記ターゲットエンドポイントアドレスに基づいて前記ターゲット暗号化クレーム及び前記再暗号文を取得するとともに、ターゲット第三者プラットフォームの秘密鍵に基づいて前記再暗号文を復号して対称暗号鍵を得、前記対称暗号鍵に基づいて前記ターゲット暗号化クレームを復号して前記ターゲットクレームを得るために用いられる。
上記の出願の一実施例は、ターゲットエンドポイントアドレスが、指定された検証可能なクレームを取得するようにターゲット第三者プラットフォームに指示するために用いられ、したがって、プロキシ再暗号化メカニズムの保護下で、ターゲット第三者プラットフォームによって取得された検証可能なクレームを復号することを必要とし、データ共有の安全性が確保されるという利点又は有益な効果を有する。
選択可能に、前記対象ユーザのターゲット第三者プラットフォームへのログイン操作に応答して、前記ターゲット第三者プラットフォームのターゲットログイン情報を得る前に、
発行機関レジストリにおける発行機関のサービス情報に基づいて、クレームを発行する対象発行機関を検索するステップと、
クレーム申請要求を前記対象発行機関に送信して、前記対象ユーザのターゲットクレームを生成するように前記対象発行機関を制御するステップと、
前記対象発行機関が前記クレーム申請要求に応答して出したターゲットクレームを得るステップと、をさらに含む。
上記の出願の一実施例は、サービスニーズに応じて、ＤＩＤクライアントを介してユーザが対応する発行機関に検証可能なクレームを申請して取得することができ、ユーザが検証可能なクレームを介して第三者プラットフォームへのログインを容易にするという利点又は有益な効果を有する。
選択可能に、前記の前記対象発行機関が前記クレーム申請要求に応答して出したターゲットクレームを得るステップは、
前記対象発行機関が前記クレーム申請要求に応答してフィードバックしたターゲットエンドポイントアドレスを受信することであって、前記ターゲットエンドポイントアドレスが前記対象ユーザの個人ユーザーデータハブに位置し、前記対象発行機関がプロキシ再暗号化したターゲットクレームを記憶することと、
前記ターゲットエンドポイントアドレスに基づいて、前記個人ユーザーデータハブにおけるターゲットエンドポイントにアクセスし、プロキシ再暗号化したターゲットクレームを得ることと、
前記プロキシ再暗号化したターゲットクレームを対象ユーザ秘密鍵を用いて復号して、前記ターゲットクレームを得ることと、を含む。
上記の出願の一実施例は、検証可能なクレームの発行がデータの共有プロセスでもあることを考慮するため、発行機関はクレームを発行する時に、発出した検証可能なクレームをＤＩＤクライアントに共有するために、同様にプロキシ再暗号化技術を用いることができるという利点又は有益な効果を有する。
選択可能に、前記の前記ターゲットエンドポイントアドレスに基づいて、前記個人ユーザーデータハブにおけるターゲットエンドポイントにアクセスする前に、
前記対象ユーザＤＩＤを前記個人ユーザーデータハブに送信し、前記個人ユーザーデータハブが、前記対象ユーザＤＩＤに関連付けられるＤＩＤドキュメントをブロックチェーンネットワークから取得するとともに、前記ＤＩＤドキュメントにおける対象ユーザの公開鍵を用いて前記対象ユーザのユーザ署名を検証することで、前記対象ユーザが前記対象ユーザＤＩＤの所有者であるか否かを検証することをさらに含む。
上記の出願の一実施例は、参加者のいずれかがインタラクションを行うときに、ブロックチェーンネットワークに記憶されたデジタルＩＤ及び関連情報に基づいて、既知の相手のＤＩＤに基づいて相手のＤＩＤデジタルＩＤを検証することで、相手が既知のＤＩＤの真の所有者であることを確定し、インタラクションの相手によるデジタルＩＤの盗用や偽造が防止され、インタラクションの安全性が確保されることができるという利点又は有益な効果を有する。
選択可能に、前記の前記対象発行機関が前記クレーム申請要求に応答して発行されたターゲットクレームを得た後に、
前記ターゲットクレームから失効リストアドレスを取得するステップと、
前記ターゲットクレームを発行した発行機関の個人失効サービスエンドポイントから、前記失効リストアドレスにアクセスして失効リストを得るステップと、
前記失効リストに基づいて前記ターゲットクレームの失効状態を照会するステップと、をさらに含む。
上記の出願の一実施例は、発行機関が発行された検証可能なクレームを失効させることもでき、したがって、他の参加者が、検証可能なクレームに記録される失効リストアドレスに基づいて、検証可能なクレームの失効状態を照会し、無効な検証可能なクレームの使用を防止することができるという利点又は有益な効果を有する。
選択可能に、前記対象ユーザのターゲット第三者プラットフォームへのログイン操作に応答して、前記ターゲット第三者プラットフォームのターゲットログイン情報を得る前に、
対象ユーザのＤＩＤ作成要求に応答して、前記対象ユーザのために対象ユーザＤＩＤ及び少なくとも１つの公開鍵・秘密鍵ペアを作成するステップをさらに含む。
上記の出願の一実施例は、ＤＩＤクライアントがＤＩＤ作成サービスをユーザに提供することで、ユーザのためにユニバーサルユニークなデジタルＩＤを提供するという利点又は有益な効果を有する。
第２の態様によれば、本出願の実施例は、第三者プラットフォームによって実行されるデジタルＩＤ検証方法を提供し、前記方法は、
対象分散型アイデンティティ（ＤＩＤ）クライアントから送信された、対象ユーザＤＩＤを含むログイン要求に応答して、前記対象ユーザの個人ユーザーデータハブから前記対象ユーザのターゲットクレームを得るステップと、
前記対象ユーザＤＩＤ及び前記ターゲットクレームを検証するステップと、
前記対象ユーザＤＩＤ及び前記ターゲットクレームが検証に合格した場合に、前記対象ユーザが前記対象ユーザＤＩＤを用いてログインすることに成功したと判定するステップと、を含む。
上記の出願の一実施例は、Ｗ３Ｃが策定するＤＩＤ規格に対してＤＩＤクライアント及び個人ユーザーデータハブ等のアーキテクチャの追加及び定義を行うことにより、ＤＩＤクライアント、個人ユーザーデータハブと他の既存構造との間のインタラクションに基づいて、デジタルＩＤ検証システム全体のワークフロー及びアクセス方式を明確にし、完備したデジタルＩＤ検証システムを実現可能にすることで、第三者プラットフォームがＤＩＤ及び検証可能なクレームを検証することで、ユーザのＤＩＤによるログインを容易に許容するという利点や有益な効果を有する。
選択可能に、前記の前記対象ユーザの個人ユーザーデータハブから前記対象ユーザのターゲットクレームを得るステップは、
前記対象ＤＩＤクライアントの第三者プラットフォームへの許可結果に基づいて、前記ターゲットクレームを記憶するターゲットエンドポイントアドレスを得ることと、
前記ターゲットエンドポイントアドレスに基づいて個人ユーザーデータハブのターゲットエンドポイントにアクセスして、前記ターゲットクレームを得ることと、を含む。
上記の出願の一実施例は、ターゲットエンドポイントアドレスが、指定された検証可能なクレームを取得するようにターゲット第三者プラットフォームに指示するために用いられ、さらに第三者プラットフォームがターゲットエンドポイントアドレスを受信すると、ＤＩＤクライアントの許可が得られ、検証可能なクレームの共有が実現されるという利点又は有益な効果を有する。
選択可能に、前記の前記ターゲットエンドポイントアドレスに基づいて個人ユーザーデータハブのターゲットエンドポイントにアクセスして、前記ターゲットクレームを得ることは、
前記ターゲットエンドポイントアドレスに基づいて個人ユーザーデータハブのターゲットエンドポイントにアクセスして、プロキシ再暗号化メカニズムに基づいて暗号化して生成されたターゲット暗号化クレーム及び再暗号文を得ることと、
第三者プラットフォームの秘密鍵を用いて前記再暗号文を復号して、対称暗号鍵を得ることと、
前記対称暗号鍵を用いて前記ターゲット暗号化クレームを復号して、ターゲットクレームを得ることと、を含む。
上記の出願の一実施例は、プロキシ再暗号化メカニズムを用いて検証可能なクレームの共有を可能にし、検証可能なクレームの漏洩を防止し、データの安全性が確保されるという利点又は有益な効果を有する。
選択可能に、前記の前記対象ユーザＤＩＤ及び前記ターゲットクレームを検証するステップは、
前記対象ユーザのユーザ署名に基づいて、前記対象ユーザが前記対象ユーザＤＩＤの所有者であるか否かを検証することと、
検証に合格した場合に、前記ターゲットクレームが属する発行発行機関、クレームタイプ、有効期限及び失効状態の少なくとも１つに基づいて、前記ターゲットクレームを検証することと、を含む。
上記の出願の一実施例は、参加者のいずれかがインタラクションを行うときに、既知の相手のＤＩＤから、相手に対してＤＩＤデジタルＩＤを検証することで、相手が既知のＤＩＤの真の所有者であるかを判定でき、インタラクション相手によるデジタルＩＤの盗用や偽造を防止し、インタラクションの安全性が確保されるという利点又は有益な効果を有する。したがって、第三者プラットフォームは、ＤＩＤの検証に合格したことを前提として、検証可能なクレームを検証することで、ユーザがログイン許可を有するか否かを判定することができる。
選択可能に、前記の前記対象ユーザのユーザ署名に基づいて、前記対象ユーザが前記対象ユーザＤＩＤの所有者であるか否かを検証することは、
前記対象ユーザＤＩＤに基づいて、前記対象ユーザＤＩＤに関連付けられるＤＩＤドキュメントをブロックチェーンネットワークから得ることと、
前記対象ユーザＤＩＤに関連付けられるＤＩＤドキュメントにおける対象ユーザ公開鍵に基づいて、前記対象ユーザのユーザ署名を検証することで、前記対象ユーザが前記対象ユーザＤＩＤの所有者であるか否かを検証することと、を含む。
上記の出願の一実施例は、検証可能なクレームを検証する必要がある第三者プラットフォームに対して、検証可能なクレームによってユーザがログイン許可を有するか否かを検証することができ、ユーザログインの安全性、及び第三者プラットフォームの安全性を確保できるという利点又は有益な効果を有する。
第３の態様によれば、本出願の実施例は、分散型アイデンティティ（ＤＩＤ）クライアントに配置されるデジタルＩＤ検証装置を提供し、前記装置は、
対象ユーザのターゲット第三者プラットフォームへのログイン操作に応答して、前記ターゲット第三者プラットフォームのターゲットログイン情報を得るためのログイン情報取得モジュールと、
前記ターゲットログイン情報に基づいて、対象ユーザＤＩＤを含むログイン要求を前記ターゲット第三者プラットフォームに送信して、前記対象ユーザの個人ユーザーデータハブから前記対象ユーザのターゲットクレームを得るように前記ターゲット第三者プラットフォームを許可するとともに、前記対象ユーザＤＩＤ及び前記ターゲットクレームを検証するためのクレーム許可モジュールと、
前記対象ユーザＤＩＤ及び前記ターゲットクレームが検証に合格した場合に、前記対象ユーザＤＩＤを用いて前記ターゲット第三者プラットフォームにログインするためのプラットフォームログインモジュールと、を含む。
第４の態様によれば、本出願の実施例は、第三者プラットフォームに配置されるデジタルＩＤ検証装置を提供し、前記装置は、
対象分散型アイデンティティ（ＤＩＤ）クライアントから送信された、対象ユーザＤＩＤを含むログイン要求に応答して、前記対象ユーザの個人ユーザーデータハブから前記対象ユーザのターゲットクレームを得るためのクレーム取得モジュールと、
前記対象ユーザＤＩＤ及び前記ターゲットクレームを検証するためのクレーム検証モジュールと、
前記対象ユーザＤＩＤ及び前記ターゲットクレームが検証に合格した場合に、前記対象ユーザが前記対象ユーザＤＩＤを用いてログインすることに成功したと判定するためのユーザログインモジュールと、を含む。
第５の態様によれば、本出願の実施例は電子機器を提供し、
少なくとも１つのプロセッサと、
前記少なくとも１つのプロセッサと通信可能に接続されるメモリと、を含む電子機器であって、
前記メモリは、前記少なくとも１つのプロセッサによって実行可能な命令を記憶しており、前記命令が前記少なくとも１つのプロセッサによって実行されることで、前記少なくとも１つのプロセッサが本出願の第１の態様のいずれかの実施例に記載のデジタルＩＤ検証方法を実行するか、又は本出願の第２の態様のいずれかの実施例に記載のデジタルＩＤ検証方法を実行する。
第６の態様によれば、本出願の実施例は、コンピュータに本出願の第１の態様のいずれかの実施例に記載のデジタルＩＤ検証方法を実行させるか、又は本出願の第２の態様のいずれかの実施例に記載のデジタルＩＤ検証方法を実行させるためのコンピュータ命令が記憶されている非一時的コンピュータ可読記憶媒体を提供している。
第７の態様によれば、本出願の実施例は、コンピュータプログラムであって、前記コンピュータプログラムがプロセッサにより実行されると、本出願の第１の態様又は第２の態様のいずれかの実施例に記載のデジタルＩＤ検証方法を実現する、コンピュータプログラムを提供している。
上記の出願の一実施例は、ユーザは、ＤＩＤクライアントを操作して、ターゲット第三者プラットフォームのターゲットログイン情報を取得し、さらにユーザが対象ユーザＤＩＤアカウントを用いて、ＤＩＤクライアントを介してターゲット第三者プラットフォームにログイン要求を送信して、対象ユーザの個人ユーザーデータハブから対象ユーザのターゲットクレームを取得するようにターゲット第三者プラットフォームを許可することによって、ターゲット第三者プラットフォームの対象ユーザＤＩＤ及びターゲットクレームへの検証に基づいて、対象ユーザＤＩＤを用いてターゲット第三者プラットフォームにログインするという利点又は有益な効果を有する。本出願の実施例は、Ｗ３Ｃが策定するＤＩＤ規格に対してＤＩＤクライアント及び個人ユーザーデータハブ等のアーキテクチャの追加及び定義を行うことにより、ＤＩＤクライアント、個人ユーザーデータハブと他の既存構造との間のインタラクションに基づいて、デジタルＩＤ検証システム全体のワークフロー及びアクセス方式を明確にし、完備したデジタルＩＤ検証システムを実現可能にするとともに、ＤＩＤアカウントを使用し管理するＤＩＤクライアントをユーザや企業に提供し、デジタルＩＤの絶対的な保有性及び制御可能性を保証した。
以下、上記の選択可能な実施態様に係る他の効果について、具体的な実施例を参照しながら説明する。
図面は、本出願の技術的手段をより良く理解するために用いられ、本出願を限定するものではない。
本出願の実施例に係るデジタルＩＤ検証システムのアーキテクチャを示す概略図である。 本出願の第１実施例に係るデジタルＩＤ検証方法のフローチャートである。 本出願の第１実施例に係るＤＩＤを用いて第三者プラットフォームにログインするフローチャートである。 本出願の第１実施例に係るｃｌａｉｍを取得するように第三者プラットフォームを許可する例を示す図である。 本出願の第２実施例に係るデジタルＩＤ検証方法のフローチャートである。 本出願の第２実施例に係る第三者プラットフォームがｃｌａｉｍを取得する例を示す図である。 本出願の第２実施例に係るＤＩＤ及びｃｌａｉｍを用いて第三者プラットフォームにログインするフローチャートである。 本出願の第３実施例に係るｃｌａｉｍを申請するフローチャートである。 本出願の第３実施例に係るｃｌａｉｍを申請する概略図である。 本出願の第３実施例に係るｃｌａｉｍを発行する概略図である。 本出願の第３実施例に係るｃｌａｉｍを失効させる概略図である。 本出願の第４実施例に係るデジタルＩＤ検証方法のフローチャートである。 本出願の第５実施例に係るデジタルＩＤ検証方法のフローチャートである。 本出願の第５実施例に係るｃｌａｉｍを検証する概略図である。 本出願の第６実施例に係るデジタルＩＤ検証装置の構造概略図である。 本出願の第７実施例に係るデジタルＩＤ検証装置の構造概略図である。 本出願の実施例のデジタルＩＤ検証方法を実現するための電子機器のブロック図である。
以下は、理解を容易にするために本出願の実施例の様々な詳細を含む添付図面を参照して、本出願の例示的な実施例を説明し、それらは単なる例示として見なされるべきである。したがって、当業者は、本出願の範囲及び精神から逸脱することなく、本明細書に記載された実施例に対して様々な変更及び修正を行うことができることを認識するであろう。同様に、以下の説明では、明確かつ簡潔にするために、周知の機能及び構造についての記述を省略する。
実施例の技術的手段を明確に説明するために、まず、デジタルＩＤ検証システムのアーキテクチャを示す図を説明する。図１は、本出願の実施例に係るデジタルＩＤ検証システムのアーキテクチャを模式的に示す図であり、該システムは、Ｗ３Ｃ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ Ｃｏｎｓｏｒｔｉｕｍ，ワールド・ワイド・ウェブ・コンソーシアム）が策定するＤＩＤ（Ｄｅｃｅｎｔｒａｌｉｚｅｄ Ｉｄｅｎｔｉｔｙ，分散型アイデンティティ）規格に踏まえて、ＤＩＤクライアント及び個人ユーザーデータハブ等のアーキテクチャを追加及び定義するとともに、各アーキテクチャ間のインタラクションフローを標準化して、分散型のデジタルＩＤ管理、検証及び使用などを可能にする。ＤＩＤは、個人のＩＤを識別するだけでなく、組織のＩＤを識別することもでき、ひいては物品のＩＤを識別することもできる。
図１を参照すると、該システムは、発行機関レジストリ（Ｃｌａｉｍ Ｉｓｓｕｅｒ Ｒｅｇｉｓｔｒｙ）１１０、発行機関（Ｉｓｓｕｅｒ）１２０、ＤＩＤ所有者（Ｈｏｌｄｅｒ）１３０、第三者プラットフォーム（Ｖｅｒｉｆｉｅｒ）１４０、及びＤＩＤ下位サブシステム（ＤＩＤ Ｓｕｂｓｙｓｔｅｍ）１５０などを含み、参加者それぞれはＤＩＤアカウントを参加者のユニバーサルユニークなデジタルＩＤとして有する。
発行機関レジストリ１１０は、公開された、既知の発行機関１２０のサービス情報を一括して外部に配信し、ユーザが検証可能なクレーム（Ｖｅｒｉｆｉａｂｌｅ Ｃｒｅｄｅｎｔｉａｌ Ｃｌａｉｍ，本出願ではクレーム又はｃｌａｉｍと略称）等を申請するのに便利である。
発行機関１２０は予め発行機関レジストリ１１０に登録して、サービス情報を発行するために発行機関レジストリ１１０に配置することができる。サービス情報には、サービスエンドポイント情報、申請可能なＣｌａｉｍタイプ及び申請者に必要な情報等が含まれてもよい。発行機関１２０は具体的にｃｌａｉｍ申請サービス（Ｉｓｓｕｅｒ Ｓｅｒｖｉｃｅ）１２１とｃｌａｉｍ失効サービス（Ｃｌａｉｍ Ｒｅｖｏｃａｔｉｏｎ Ｓｅｒｖｉｃｅ）１２２を含むことができる。ｃｌａｉｍ申請サービス１２１は外部にｃｌａｉｍを発行し、例えば、銀行が発行機関として、銀行自体のＤＩＤアカウントを用いてその顧客に資産証明書を発行することができる。ｃｌａｉｍ失効サービス１２２は、当該発行機関が発行したｃｌａｉｍを失効させる。発行機関は、ｃｌａｉｍ失効リストを記憶するための個人失効サービスエンドポイント（Ｐｅｒｓｏｎａｌ Ｒｅｖｏｃａｔｉｏｎ Ｓｅｒｖｉｃｅ Ｅｎｄｐｏｉｎｔ）をさらに含む。
ＤＩＤ所有者１３０は、ＤＩＤクライアント（ＤＩＤ Ｗａｌｌｅｔ）１３１と、個人ユーザーデータハブ（Ｉｄｅｎｔｉｔｙ Ｈｕｂ）１３２とを含む。ＤＩＤクライアント１３１は、ウィジェット等の任意のアプリケーションであってもよい。ユーザは、ＤＩＤクライアント１３１を介してＤＩＤを作成し、ＤＩＤドキュメント（ＤＩＤ Ｄｏｃｕｍｅｎｔ）を更新し、ＤＩＤを用いて発行機関１２０にｃｌａｉｍを申請し、ＤＩＤを用いて第三者プラットフォーム１４０などにログインすることができる。ＤＩＤを鍵フィールドとし、ＤＩＤドキュメントを値フィールドとして、鍵値ペアとしてブロックチェーンネットワークに保存することができる。ＤＩＤドキュメントは、ＤＩＤアカウントに関連付けられる、鍵情報やアクセスエンドポイント情報等の詳細データを記憶するためのものである。個人ユーザーデータハブ１３２は、ユーザが自律的に制御可能なユーザデータストアを指し、ユーザが自律的にデプロイして使用可能であり、ユーザデータ及びアクセス許可機能を管理するために用いられる。
第三者プラットフォーム１４０は、ＤＩＤ、又はＤＩＤ及びｃｌａｉｍを用いてログインすることができる第三者アプリケーション、ウェブサイト、組織又はデバイス等を指す。チャレンジレスポンスメカニズムを通じてＤＩＤ所有者１３０がＤＩＤを有するか否かを検証し、所望のｃｌａｉｍをＤＩＤ所有者１３０に要求するとともに、得られたｃｌａｉｍのデジタルＩＤを検証することを担当する。
ＤＩＤ下位サブシステム１５０は、ＤＩＤブロックチェーン取り組み及び解決サービス（ＤＩＤ Ｒｅｓｏｌｖｅｒ）を提供する。具体的に、ユーザは、ＤＩＤクライアント１３１を用いてＤＩＤを作成した後に、その時にただ一つのオフラインのＤＩＤを有しているだけであり、さらにＤＩＤに関連付けられる情報をＤＩＤドキュメントとしてブロックチェーンに取り組んだ後、そのＤＩＤを真の意味で有効にすることができる。ＤＩＤの解決は、即ちＤＩＤ下位サブシステム１５０が、ＤＩＤに基づいてＤＩＤドキュメントを解決する機能を提供する。ユーザが第三者プラットフォーム１４０にログインすると、第三者プラットフォーム１４０は、チャレンジレスポンスメカニズムを通じてユーザがＤＩＤの所有者であるか否かを確認する必要があり、チャレンジレスポンスのコアは、第三者プラットフォーム１４０がＤＩＤドキュメントにおける公開鍵構成チャレンジに応じてユーザに応答させることである。したがって、第三者プラットフォーム１４０はＤＩＤ解決によりＤＩＤドキュメントを得ることができる。
したがって、該システムは、デジタルＩＤ及びその関連情報を記憶するためのブロックチェーンネットワークと、ＤＩＤ操作を１つの取引にパッケージ化してブロックチェーンに取り組むことで、ブロックチェーンＬ１のＴＰＳ（Ｔｒａｎｓａｃｔｉｏｎｓ Ｐｅｒ Ｓｅｃｏｎｄ，システムスループット）を向上させるためのブロックチェーンＬ２レイヤーノード（ＤＩＤ Ｇｅｒｍ）とを含む。したがって、発行機関１２０、ＤＩＤ所有者１３０及び第三者プラットフォーム１４０は、ＤＩＤ下位サブシステム１５０を介して、デジタルＩＤなどの関連情報をトランザクションデータとして、ブロックチェーンネットワークに取り組み、記憶することができ、デジタルＩＤなどの関連情報へのクラッドを可能にする。さらにＤＩＤ下位サブシステム１５０を通じてブロックチェーンネットワークからデジタルＩＤなどの関連情報を取得することができ、デジタルＩＤの検証に用いられる。又は、発行機関１２０、ＤＩＤ所有者１３０及び第三者プラットフォーム１４０はさらにブロックチェーンノード若しくは軽量ノードとして、ブロックチェーンに要求を直接送信するとともに、ブロックチェーンネットワークからフィードバックされたトランザクションデータを受信することができる。また、当該システムはさらに、すべてのＤＩＤを解決するためのＤＩＦユニバーサルリゾルバ（ＤＩＦ Ｕｎｉｖｅｒｓａｌ Ｒｅｓｏｌｖｅｒ）を含むことができる。
本出願の実施例では、ＤＩＤフォーマットは、Ｗ３Ｃが策定するＤＩＤ規格に準拠し、以下のように定義され、
ｄｉｄ：ｃｃｐ：＜ＤＩＤ Ｓｔｒｉｎｇ＞。
ここで、ｃｃｐは本実施例に係るＤＩＤ仕様を表す。本実施例は、係るＤＩＤ仕様を限定するものではなく、デジタルＩＤ検証システムフレームワークに基づいて提案したＤＩＤ仕様であれば、本実施例に適用可能である。ＤＩＤ Ｓｔｒｉｎｇは、デジタルＩＤのユニバーサルユニークな識別子である。本実施例では、ＤＩＤ Ｓｔｒｉｎｇの計算アルゴリズムを提案し、即ちＤＩＤドキュメントを入力として、以下のアルゴリズムを用いてＤＩＤ Ｓｔｒｉｎｇを生成する。
＜ＤＩＤ Ｓｔｒｉｎｇ＞ ＝ ｂａｓｅ５８（ｒｉｐｅｍｄ１６０（ｓｈａ２５６（＜Ｂａｓｅ ＤＩＤ Ｄｏｃｕｍｅｎｔ＞）））。式中、ｂａｓｅ５８（）、ｒｉｐｅｍｄ１６０（）、ｓｈａ２５６（）は暗号化関数である。
したがって、必要に応じてＤＩＤドキュメントにデジタルＩＤ関連情報を定義することができる。例えば、公開鍵リスト情報、マスター公開鍵情報、スレーブ公開鍵情報、ＤＩＤの検証に用いられる指定公開鍵情報、復元された公開鍵リスト、このＤＩＤを利用可能なエンドポイント情報等を含むことができる。
第１実施例
図２は本出願の第１実施例に係るデジタルＩＤ検証方法のフローチャートであり、本実施例は、ＤＩＤクライアントと第三者プラットフォームとのインタラクションにより、ＤＩＤ及びｃｌａｉｍへの検証に基づいて、ユーザにＤＩＤを用いて第三者プラットフォームにログインさせることに適用可能であり、該方法は、ＤＩＤクライアントによって実行されてもよいし、ソフトウェア及び／又はハードウェアの形態で実装されたデジタルＩＤ検証装置によって実行されてもよく、好ましくは、ＤＩＤクライアントが属するＤＩＤ所有者の端末装置などの電子機器に配置されている。図２に示すように、該方法は具体的にＳ２１０、Ｓ２２０及びＳ２３０を含む。
Ｓ２１０：対象ユーザのターゲット第三者プラットフォームへのログイン操作に応答して、ターゲット第三者プラットフォームのターゲットログイン情報を得る。
本出願の具体的な実施例において、対象ユーザは、ＤＩＤクライアントを用いるユーザであり、個人ユーザや企業ユーザなどであってもよい。対象ユーザがＤＩＤアカウントを有する場合には、ＤＩＤクライアントを使用してＤＩＤ及びその関連情報を直接管理して使用することができ、ＤＩＤ及びその関連情報のクラッドもブロックチェーンネットワークに同期化することもできる。対象ユーザが現在ＤＩＤアカウントを有していない場合には、ＤＩＤクライアントを介して自分のためにＤＩＤアカウントを作成することができる。したがって、ＤＩＤクライアントが対象ユーザのＤＩＤ作成要求に応答して、対象ユーザのために対象ユーザＤＩＤ及び少なくとも１つの公開鍵・秘密鍵ペアを作成する。複数の公開鍵・秘密鍵ペアは、互いにマスタースレーブ関係であってもよく、複数の公開鍵・秘密鍵ペアの具体的な使用方式が、作成されたＤＩＤアカウントに関連付けられるＤＩＤドキュメントに記録されてもよい。
本実施例において、ターゲット第三者プラットフォームは、例えば、第三者アプリケーション、ウェブサイト、組織又はデバイス等の、対象ユーザがＤＩＤを用いてログインするプラットフォームを指す。ＤＩＤクライアントは、アカウントパスワードによるログイン方式又は２次元コード走査などの様々な方式により、ターゲット第三者プラットフォームにログインすることができる。
本実施例において、ターゲットログイン情報は、ターゲット第三者プラットフォームにログインするための必要な情報を指し、ターゲット第三者プラットフォームのログインアドレスｌｏｇｉｎＵｒｌ、対象ユーザのログイン挙動を識別するための一意な識別子ｌｏｇｉｎＩＤ、ターゲット第三者プラットフォームＤＩＤ、必要なｃｌａｉｍタイプなどの情報を含んでもよい。
具体的には、対象ユーザは、ターゲット第三者プラットフォームのログイン方式に基づいて、ＤＩＤクライアントでログイン操作を実行することで、ターゲット第三者プラットフォームのターゲットログイン情報を取得することができる。さらに、ターゲットログイン情報におけるターゲット第三者プラットフォームＤＩＤに基づいて、ブロックチェーンネットワークからターゲット第三者プラットフォームＤＩＤに関連付けられるＤＩＤドキュメントを得ることができ、ＤＩＤドキュメントからターゲット第三者プラットフォームの公開鍵を取得して、データの共有時の暗号化に用いられる。
例示的に、対象ユーザは、自機画面又は他のデバイスの画面上で操作し、ログインしようとするターゲット第三者プラットフォームを選択するとともに、ＤＩＤログイン／検証方式を選択して、画面上にターゲット第三者プラットフォームにログインするための２次元コードを表示することができる。対象ユーザは、ＤＩＤクライアントを用いて２次元コードを走査するとともに、ＤＩＤクライアントでログインを確認する。したがって、ＤＩＤクライアントは、２次元コードを走査することにより、２次元コードに載せられたターゲットログイン情報を得ることができる。
Ｓ２２０：ターゲットログイン情報に基づいて、対象ユーザＤＩＤを含むログイン要求をターゲット第三者プラットフォームに送信して、対象ユーザの個人ユーザーデータハブから対象ユーザのターゲットクレームを得るようにターゲット第三者プラットフォームを許可するとともに、対象ユーザＤＩＤ及びターゲットクレームを検証する。
本出願の具体的な実施例において、ログイン要求は、ログインしようとする対象ユーザに対してデジタルＩＤを検証するようにターゲット第三者プラットフォームをトリガーするために用いられる。ログイン要求には、対象ユーザＤＩＤ、ｌｏｇｉｎＩＤ、ユーザ署名などの情報が含まれてもよい。したがって、ターゲット第三者プラットフォームは、ｌｏｇｉｎＩＤに基づいて対象ユーザの一連のログイン挙動を関連付けることができ、さらに対象ユーザＤＩＤに基づいて、対象ユーザＤＩＤに関連付けられるＤＩＤドキュメントをブロックチェーンネットワークから取得して、ＤＩＤドキュメントから対象ユーザの公開鍵を取得し、対象ユーザの公開鍵を用いてユーザ署名を検証し、対象ユーザが対象ユーザＤＩＤの真の所有者であるかを検証し、デジタルＩＤの盗用又は偽造を防止することができる。
本実施例では、ＤＩＤのみを用いて第三者プラットフォームにログインするログイン方式について、そのフローが図３に示されている。ＤＩＤクライアントは、ターゲット第三者プラットフォームの２次元コードを走査することにより、ログイン情報を得るとともに、ログイン要求をターゲット第三者プラットフォームに送信する。ターゲット第三者プラットフォームは、ログイン要求を受信してＤＩＤを検証した後に、１つのＮｏｎｃｅ（Ｎｕｍｂｅｒ Ｏｎｃｅ，ランダム値）をランダムに生成して保存し、対象ユーザの公開鍵を用いてＮｏｎｃｅを暗号化して、暗号文ｃｉｐｈｅｒＴｅｘｔを得てＤＩＤクライアントにフィードバックすることができる。したがって、ＤＩＤクライアントは、対象ユーザの秘密鍵ＰｒｉｖＫｅｙを用いて暗号文を復号し、平文ｐｌａｉｎＴｅｘｔを得てターゲット第三者プラットフォームにフィードバックする。これによってターゲット第三者プラットフォームは、チャレンジ結果応答を検証し、ｌｏｇｉｎＩＤに基づいてＮｏｎｃｅ及びその関連する平文を確定し、Ｎｏｎｃｅを平文と比較する。比較結果が合致すると検出された場合に、ターゲット第三者プラットフォームはポーリングしてチャレンジに成功したことを知り、対象ユーザがログインに成功したと判定する。
本実施例では、ＤＩＤ及びｃｌａｉｍを用いて第三者プラットフォームにログインするログイン方式について、対象ユーザのターゲットｃｌａｉｍがすべて自己の個人ユーザーデータハブに保存されるので、ＤＩＤクライアントは、ターゲットｃｌａｉｍを検証するために、ターゲット第三者プラットフォームにログイン要求を送信した後に、対象ユーザの個人ユーザーデータハブから対象ユーザのターゲットｃｌａｉｍを取得するようにターゲット第三者プラットフォームを許可する必要がある。
具体的に、図４はｃｌａｉｍを取得するように第三者プラットフォームを許可する例を示す図である。図４に示すように、ターゲット第三者プラットフォームは、ログイン要求を受信すると、ｃｌａｉｍ取得要求をＤＩＤクライアントに送信する。ただし、ＤＩＤクライアントがｃｌａｉｍをローカルに保存した場合には、そのままｃｌａｉｍを返すことができる。ＤＩＤクライアントがローカルにｃｌａｉｍを保存していない場合には、ＤＩＤクライアントは、他のデータ情報のセキュリティを侵害することなく、指定されたターゲットｃｌａｉｍを取得するようにターゲット第三者プラットフォームに指示するために、個人ユーザーデータハブにおけるターゲットｃｌａｉｍを記憶したターゲットエンドポイントアドレスを取得するとともに、個人ユーザーデータハブにおけるターゲットｃｌａｉｍを記憶したターゲットエンドポイントアドレスをターゲット第三者プラットフォームに送信することができる。したがって、ターゲット第三者プラットフォームは、ＤＩＤクライアントの許可を得た後に、ターゲットエンドポイントアドレスに基づいて個人ユーザーデータハブのターゲットエンドポイントにアクセスし、ターゲットエンドポイントからターゲットｃｌａｉｍを得てターゲットｃｌａｉｍを検証することができる。例えば、ターゲットｃｌａｉｍが信頼できる発行機関から発行されたものであるか否か、ターゲットｃｌａｉｍがターゲット第三者プラットフォームのログインに必要なものであるか否か、ターゲットｃｌａｉｍの失効状態等を検証する。その具体的なフローは、後の実施例で説明する。
ターゲットｃｌａｉｍの安全な共有を達成するために、ＤＩＤクライアントは、個人ユーザーデータハブにおけるターゲットｃｌａｉｍを記憶したターゲットエンドポイントアドレスをターゲット第三者プラットフォームに送信する前に、プロキシ再暗号化メカニズムに基づいてターゲットｃｌａｉｍを暗号化することができる。具体的には、ＤＩＤクライアントは、ターゲットｃｌａｉｍをＡＥＳ（Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ，高度暗号化標準）鍵を用いて暗号化してターゲット暗号化ｃｌａｉｍを得、対象ユーザ公開鍵を用いてＡＥＳ鍵を暗号化して対称鍵暗号文を得、対象ユーザの秘密鍵と、ターゲット第三者プラットフォームＤＩＤに関連付けられるＤＩＤドキュメントから取得されたターゲット第三者プラットフォーム公開鍵とに基づいて、再暗号化鍵を計算して得る。ターゲット暗号化ｃｌａｉｍ、対称鍵暗号文及び再暗号化鍵を個人ユーザーデータハブのターゲットエンドポイントアドレスに記憶する。さらに個人ユーザーデータハブが再暗号化鍵を用いて対称鍵暗号文を再暗号化して、再暗号文を生成して記憶する。したがって、ターゲット第三者プラットフォームは、ターゲットエンドポイントアドレスの許可下で、ターゲットエンドポイントアドレスに基づいてターゲット暗号化ｃｌａｉｍ及び再暗号文を取得するとともに、ターゲット第三者プラットフォームの秘密鍵に基づいて再暗号文を復号して対称暗号鍵を得、対称暗号鍵に基づいてターゲット暗号化ｃｌａｉｍを復号してターゲットｃｌａｉｍを得る。
本実施例では、ｃｌａｉｍのないユーザに対しては、発行機関に申請することができる。したがって、発行機関は、自身が発行したｃｌａｉｍを失効させることもできる。具体的には、ＤＩＤクライアントは、発行機関レジストリの発行機関のサービス情報に基づいて、ｃｌａｉｍを発行した対象発行機関を検索し、対象発行機関にｃｌａｉｍの申請要求を送信し、対象発行機関によりｃｌａｉｍの申請要求に応答して発行されたターゲットｃｌａｉｍを得る。ここで、ＤＩＤクライアントは、ｃｌａｉｍを申請する際に、個人ユーザーデータハブにおけるターゲットｃｌａｉｍを記憶するためのターゲットエンドポイントアドレスを対象発行機関に積極的に提供するか、又は対象発行機関によってターゲットエンドポイントアドレスを確定することができる。さらに、対象発行機関は、ターゲットｃｌａｉｍを生成した後に、プロキシ再暗号化メカニズムに基づいてターゲットｃｌａｉｍを暗号化して、ターゲットエンドポイントアドレスに記憶するとともに、ターゲットエンドポイントアドレスをＤＩＤクライアントにフィードバックする。したがって、ＤＩＤクライアントは、ターゲットエンドポイントアドレスに基づいて、個人ユーザーデータハブにおけるターゲットエンドポイントにアクセスして、プロキシ再暗号化されたターゲットｃｌａｉｍを得、プロキシ再暗号化されたターゲットｃｌａｉｍを対象ユーザの秘密鍵を用いて復号し、ターゲットｃｌａｉｍを得る。
本実施例のデジタルＩＤ検証システムでは、各参加者間でインタラクションを行う前に相手のＤＩＤであるデジタルＩＤを検証する必要がある。したがって、ターゲットエンドポイントアドレスに基づいて個人ユーザーデータハブにおけるターゲットエンドポイントにアクセスする前に、ＤＩＤクライアントが対象ユーザＤＩＤを個人ユーザーデータハブに送信することができる。個人ユーザーデータハブが、対象ユーザＤＩＤに関連付けられるＤＩＤドキュメントをブロックチェーンネットワークから取得するとともに、ＤＩＤドキュメントにおける対象ユーザの公開鍵を用いて対象ユーザのユーザ署名を検証することで、対象ユーザが対象ユーザＤＩＤの所有者であるか否かを検証する。
Ｓ２３０：対象ユーザＤＩＤ及びターゲットｃｌａｉｍが検証に合格した場合に、対象ユーザＤＩＤを用いてターゲット第三者プラットフォームにログインする。
本出願の具体的な実施例では、ＤＩＤクライアント又はターゲット第三者プラットフォームは、ポーリングすることにより対象ユーザＤＩＤ及びターゲットｃｌａｉｍが検証に合格したか否かを検出することができる。ＤＩＤクライアントは、対象ユーザＤＩＤ及びターゲットｃｌａｉｍが検証に合格したことを検出すると、対象ユーザＤＩＤを用いてターゲット第三者プラットフォームにログインする。ターゲット第三者プラットフォームは、対象ユーザＤＩＤ及びターゲットｃｌａｉｍが検証に合格したことを検出すると、対象ユーザが対象ユーザＤＩＤを用いてログインすることに成功したことを確認する。
本実施例の技術的手段によれば、ユーザは、ＤＩＤクライアントを操作して、ターゲット第三者プラットフォームのターゲットログイン情報を取得し、さらに対象ユーザＤＩＤアカウントを用いて、ＤＩＤクライアントを介してターゲット第三者プラットフォームにログイン要求を送信して、対象ユーザの個人ユーザーデータハブから対象ユーザのターゲットｃｌａｉｍを取得するようにターゲット第三者プラットフォームを許可することによって、ターゲット第三者プラットフォームの対象ユーザＤＩＤ及びターゲットｃｌａｉｍへの検証に基づいて、対象ユーザＤＩＤを用いてターゲット第三者プラットフォームにログインすることができる。本出願の実施例は、Ｗ３Ｃが策定するＤＩＤ規格に対してＤＩＤクライアント及び個人ユーザーデータハブ等のアーキテクチャの追加及び定義を行うことにより、ＤＩＤクライアント、個人ユーザーデータハブと他の既存構造との間のインタラクションに基づいて、デジタルＩＤ検証システム全体のワークフロー及びアクセス方式を明確にし、完備したデジタルＩＤ検証システムを実現可能にするとともに、ＤＩＤアカウントを使用し管理するＤＩＤクライアントをユーザや企業に提供し、デジタルＩＤの絶対的な保有性及び制御可能性を保証した。
第２実施例
図５は本出願の第２実施例に係るデジタルＩＤ検証方法のフローチャートであり、本実施例は、上記第１実施例に踏まえて、ＤＩＤクライアントが、指定ｃｌａｉｍを取得するようにターゲット第三者プラットフォームを許可する過程をさらに説明し、ブロックチェーンネットワーク、プロキシ再暗号化技術及び個人ユーザデータハブの支援下でターゲット第三者プラットフォームを許可することができる。図５に示すように、該方法は具体的にＳ５１０～Ｓ５６０を含む。
Ｓ５１０：対象ユーザのターゲット第三者プラットフォームへのログイン操作に応答して、少なくともターゲット第三者プラットフォームＤＩＤを含むターゲットログイン情報を得る。
Ｓ５２０：ターゲットログイン情報に基づいて、対象ユーザＤＩＤを含むログイン要求をターゲット第三者プラットフォームに送信する。
Ｓ５３０：ターゲット第三者プラットフォームＤＩＤに基づいて、ターゲット第三者プラットフォームＤＩＤに関連付けられるＤＩＤドキュメントをブロックチェーンネットワークから得る。
本出願の具体的な実施例では、ＤＩＤとＤＩＤに関連付けられるＤＩＤドキュメントとがキー値ペアの形式でブロックチェーンネットワークに記憶される。ＤＩＤクライアントは、ターゲットログイン情報を取得した後に、ターゲット第三者プラットフォームＤＩＤに基づいて、ブロックチェーンネットワークからターゲット第三者プラットフォームＤＩＤに関連付けられるＤＩＤドキュメントを得ることができ、ＤＩＤドキュメントからターゲット第三者プラットフォームの公開鍵を取得して、データの共有時の暗号化に用いられる。
Ｓ５４０：プロキシ再暗号化メカニズムに基づいてターゲットクレームを暗号化する。
本出願の具体的な実施例において、プロキシ再暗号化は暗号文間の鍵変換メカニズムであり、プロキシ再暗号化では、セミトラステッドエージェントが、承認者を代理することによって生成された変換鍵により、承認者の公開鍵で暗号化された暗号文を、被承認者の公開鍵で暗号化された暗号文に変換し、データの共有を実現する。この過程で、エージェントはデータの平文情報を入手できないので、データ漏洩のリスクが低減され、データ共有のセキュリティを向上させる。
本実施例では、ＤＩＤクライアントはプロキシ再暗号化メカニズムに基づいて、対象ユーザの公開鍵がターゲット第三者プラットフォームＤＩＤに関連付けられるＤＩＤドキュメントから取得したターゲット第三者プラットフォームの公開鍵に基づいて、共有すべきターゲットｃｌａｉｍを暗号化する。
選択可能に、ＡＥＳ鍵を用いてターゲットｃｌａｉｍを暗号化して、ターゲット暗号化ｃｌａｉｍを得、対象ユーザの公開鍵を用いてＡＥＳ鍵を暗号化して、対称鍵暗号文を得、対象ユーザの秘密鍵と、ターゲット第三者プラットフォームＤＩＤに関連付けられるＤＩＤドキュメントから取得されたターゲット第三者プラットフォームの公開鍵とに基づいて、再暗号化鍵を計算して得、個人ユーザーデータハブのターゲットエンドポイントアドレスにターゲット暗号化ｃｌａｉｍ、対称鍵暗号文及び再暗号化鍵を記憶して、再暗号化鍵を用いて対称鍵暗号文を再暗号化するように個人ユーザーデータハブを制御して、再暗号文を生成して記憶する。
本実施例では、ＤＩＤクライアントは、暗号化して生成されたターゲット暗号化ｃｌａｉｍ及び再暗号化情報を個人ユーザーデータハブに送信し、個人ユーザーデータハブが再暗号化情報に基づいて再暗号化するとともに、これらのプロキシ再暗号化情報をターゲットエンドポイントアドレスに保存し、それによってターゲット第三者プラットフォームは再暗号化ｃｌａｉｍを個人ユーザーデータハブから抽出するとともに、復号によってターゲットｃｌａｉｍを得る。
Ｓ５５０：個人ユーザーデータハブにおけるターゲットクレームを記憶したターゲットエンドポイントアドレスをターゲット第三者プラットフォームに送信して、ターゲット第三者プラットフォームがターゲットエンドポイントアドレスに基づいて個人ユーザーデータハブのターゲットエンドポイントにアクセスすることを許可し、ターゲットクレームを得るとともに、対象ユーザＤＩＤ及びターゲットクレームを検証する。
本出願の具体的な実施例において、ターゲットエンドポイントアドレスは、ターゲット第三者プラットフォームがターゲットｃｌａｉｍを取得することを許可するために用いられ、ターゲットエンドポイントアドレスの送信は、ターゲットエンドポイントアドレスに基づいて個人ユーザーデータハブのターゲットエンドポイントにアクセスすることをトリガーし、プロキシ再暗号化されたターゲットｃｌａｉｍを得、ターゲットエンドポイントアドレスに基づいてターゲット暗号化ｃｌａｉｍ及び再暗号文を取得し、ターゲット第三者プラットフォーム秘密鍵に基づいて再暗号文を復号して対称暗号鍵を得、対称暗号鍵に基づいてターゲット暗号化ｃｌａｉｍを復号してターゲットｃｌａｉｍを得る。
本実施例では、ＤＩＤクライアントは、ターゲットログイン情報を取得した後に、ターゲット第三者プラットフォームの公開鍵を取得してターゲットｃｌａｉｍを暗号化し、さらにターゲット第三者プラットフォームにログイン要求を送信するときに、ターゲットエンドポイントアドレスをターゲット第三者プラットフォームに同期して送信して許可することができる。ターゲットログイン情報を取得してログイン要求をターゲット第三者プラットフォームに送信した後に、ターゲット第三者プラットフォームのｃｌａｉｍ取得要求を受信し、ＤＩＤクライアントは、ターゲット第三者プラットフォームの公開鍵をさらに取得して、ターゲットｃｌａｉｍを暗号化し、ターゲットエンドポイントアドレスをターゲット第三者プラットフォームに返して許可することもできる。
例示的に、図６は第三者プラットフォームがｃｌａｉｍを取得する例を示す図である。図６に示すように、ＤＩＤクライアントがログイン要求をターゲット第三者プラットフォームに送信した後に、ターゲット第三者プラットフォームは、ｃｌａｉｍ取得要求をＤＩＤクライアントに送信する。さらにＤＩＤクライアントは、ブロックチェーンネットワークに基づいてターゲット第三者プラットフォームのＤＩＤドキュメントを抽出して、ＤＩＤドキュメントからターゲット第三者プラットフォームの公開鍵を取得する。これにより、ＤＩＤクライアントは、プロキシ再暗号化メカニズムに基づいてターゲットｃｌａｉｍを暗号化して、個人ユーザーデータハブのターゲットエンドポイントアドレスに記憶する。ターゲットエンドポイントアドレスをターゲット第三者プラットフォームに返して、個人ユーザーデータハブからターゲットｃｌａｉｍを復号により取得するようにターゲット第三者プラットフォームに指示する。
Ｓ５６０：対象ユーザＤＩＤ及びターゲットクレームが検証に合格した場合に、対象ユーザＤＩＤを用いてターゲット第三者プラットフォームにログインする。
例示的に、図７はＤＩＤ及びｃｌａｉｍを用いて第三者プラットフォームにログインするフローチャートである。図７に示すように、ＤＩＤクライアントは、ターゲット第三者プラットフォームの２次元コードを走査することにより、ログイン情報を得るとともに、対象ユーザＤＩＤを含むログイン要求をターゲット第三者プラットフォームに送信する。ターゲット第三者プラットフォームは、ログイン要求を受信して対象ユーザＤＩＤを検証した後に、ｃｌａｉｍ取得要求をＤＩＤクライアントに送信する。さらにＤＩＤクライアントは、プロキシ再暗号化メカニズムに基づいて、ブロックチェーンネットワークから抽出されたターゲット第三者プラットフォームＤＩＤに関連付けられるＤＩＤドキュメント（ａｐｐＤＩＤドキュメント）を介してターゲット第三者プラットフォームの公開鍵ａｐｐＰｕｂＫｅｙを取得し、対象ユーザの秘密鍵及びターゲット第三者プラットフォームの公開鍵に基づいて再暗号化鍵Ｋを計算して得、ＡＥＳ鍵を用いてｃｌａｉｍを暗号化してターゲット暗号化クレームＥｎｃｒｙｐｔｅｄＣｌａｉｍを取得し、対象ユーザ公開鍵を用いてＡＥＳ鍵を暗号化して、対称鍵暗号文を得るとともに、個人ユーザーデータハブに送信することで、個人ユーザーデータハブに再暗号化鍵Ｋを用いて対称鍵暗号文を暗号化させて再暗号文Ａを得、記憶したエンドポイントアドレスＥｎｄｐｏｉｎｔをＤＩＤクライアントにフィードバックする。同時にターゲット第三者プラットフォームは、ランダムにＮｏｎｃｅを生成して保存し、対象ユーザ公開鍵を用いてＮｏｎｃｅを暗号化して暗号文ｃｉｐｈｅｒＴｅｘｔを得てＤＩＤクライアントにフィードバックすることができる。したがって、ＤＩＤクライアントは、対象ユーザの秘密鍵ＰｒｉｖＫｅｙを用いて暗号文を復号して、平文ｐｌａｉｎＴｅｘｔを得る。ＤＩＤクライアントは、平文及びエンドポイントアドレスをターゲット第三者プラットフォームに送信して、エンドポイントアドレスに基づいてターゲット暗号化クレームＥｎｃｒｙｐｔｅｄＣｌａｉｍ及び再暗号文Ａを取得するようにターゲット第三者プラットフォームを制御するとともに、ターゲット第三者プラットフォームの秘密鍵ａｐｐＰｒｉｖＫｅｙに基づいて再暗号文Ａを復号して対称暗号鍵を得、対称暗号鍵に基づいてターゲット暗号化クレームＥｎｃｒｙｐｔｅｄＣｌａｉｍを復号してターゲットｃｌａｉｍを得る。さらに、ターゲット第三者プラットフォームは、対象ユーザＤＩＤ、ターゲットｃｌａｉｍ及び平文ｐｌａｉｎＴｅｘｔ等の情報に基づいて、一連の検証を行う。検証に合格した場合に、ターゲット第三者プラットフォームは、ポーリングしてチャレンジに成功したことを知り、対象ユーザがログインに成功したと判定する。
本実施例の技術的手段によれば、ユーザはＤＩＤクライアントを操作して、ターゲット第三者プラットフォームのターゲットログイン情報を取得するとともに、ターゲット第三者プラットフォームにログイン要求を送信し、ｃｌａｉｍをプロキシ再暗号化し、ターゲット第三者プラットフォームにターゲットエンドポイントアドレスを送信して、ターゲット第三者プラットフォームが対象ユーザの個人ユーザーデータハブからプロキシ再暗号化されたｃｌａｉｍを取得することを許可することによって、ターゲット第三者プラットフォームの対象ユーザＤＩＤ及びターゲットｃｌａｉｍへの検証に基づいて、対象ユーザＤＩＤを用いてターゲット第三者プラットフォームにログインすることができる。本出願の実施例は、Ｗ３Ｃが策定するＤＩＤ規格に対してＤＩＤクライアント及び個人ユーザーデータハブ等のアーキテクチャの追加及び定義を行うことにより、ＤＩＤクライアント、個人ユーザーデータハブと他の既存構造との間のインタラクションに基づいて、デジタルＩＤ検証システム全体のワークフロー及びアクセス方式を明確にし、完備したデジタルＩＤ検証システムを実現可能にするとともに、ＤＩＤアカウントを使用し管理するＤＩＤクライアントをユーザや企業に提供し、デジタルＩＤの絶対的な保有性及び制御可能性を保証した。
第３実施例
図８は、本出願の第３実施例に係るｃｌａｉｍを申請するフローチャートであり、本実施例は、上記第１実施例に踏まえて、ＤＩＤクライアントが発行機関にｃｌａｉｍを申請する過程をさらに説明し、発行機関の発行によりｃｌａｉｍを得ることができる。図８に示すように、該方法は具体的にＳ８１０～Ｓ８３０を含む。
Ｓ８１０：発行機関レジストリにおける発行機関のサービス情報に基づいて、クレームを発行する対象発行機関を検索する。
本出願の具体的な実施例において、発行機関は予め発行機関レジストリに登録して、サービス情報を発行機関レジストリに配置して発行することができる。サービス情報には、サービスエンドポイント情報、申請可能なＣｌａｉｍタイプ及び申請者に必要な書類等が含まれてもよい。したがって、ＤＩＤクライアントは、ｃｌａｉｍを申請する前に、所望のｃｌａｉｍを発行することができる対象発行機関を検索により取得するように、発行機関レジストリで検索することができる。
Ｓ８２０：対象発行機関にｃｌａｉｍ申請要求を送信して、対象ユーザのターゲットｃｌａｉｍを生成するように対象発行機関を制御する。
本出願の具体的な実施例において、ｃｌａｉｍ申請要求には対象ユーザ署名及び対象ユーザＤＩＤが含まれてもよい。対象発行機関は、ＤＩＤクライアントから送信されたｃｌａｉｍ申請要求を受信した後に、対象ユーザＤＩＤに基づいて対象ユーザＤＩＤに関連付けられるＤＩＤドキュメントをブロックチェーンから取得することができ、ＤＩＤドキュメントから対象ユーザ公開鍵を得るとともに、対象ユーザ公開鍵を用いて対象ユーザ署名を検証して、対象ユーザが確かに対象ユーザＤＩＤの所有者であることを検証する。さらに検証に合格した後に、対象ユーザのためにターゲットｃｌａｉｍを生成する。
例示的に、図９はｃｌａｉｍを申請する概略図である。図９に示すように、発行機関は、自身と対応付けられたサービスエンドポイントとを発行機関レジストリに登録し、ｃｌａｉｍ申請者が提供すべき情報を説明する。ＤＩＤクライアントは、発行機関レジストリを介してｃｌａｉｍを提供することができる対象発行機関を検索するとともに、対象発行機関のサービスエンドポイントにｃｌａｉｍ申請要求を送信し、対象ユーザの今回の申請行為をグローバル識別するための受付ＩＤを得る。
Ｓ８３０：対象発行機関がｃｌａｉｍ申請要求に応答して発行されたターゲットｃｌａｉｍを得る。
本出願の具体的な実施例において、図１０はｃｌａｉｍを発行する概略図である。図１０に示すように、対象発行機関は、ｃｌａｉｍ申請を受け付けた後に、ｃｌａｉｍ申請要求とｃｌａｉｍ申請要求に含まれる情報とを検証する。具体的には、対象発行機関が対象ユーザ署名を検証することに加えて、外部プラットフォームを介して要求に含まれる情報を検証することで、情報が当該発行機関にとって必要な情報であるか否かを検証し、及び情報の正確性を検証することができる。ここで、外部プラットフォームは銀行や警察署などであってもよい。
そして、検証に合格した場合に、対象発行機関が生成されたターゲットｃｌａｉｍを、対象ユーザの個人ユーザデータにおけるターゲットエンドポイントアドレスに記憶するとともに、ターゲットエンドポイントアドレスをＤＩＤクライアントにフィードバックして、対象ユーザのアクセスを許可する。なお、ターゲットエンドポイントアドレスは、対象ユーザが自ら提供するものであってもよいし、発行機関が後期で指定するものであってもよい。それによって、対象ユーザがターゲットｃｌａｉｍに直接アクセスすることができる。
選択可能に、対象発行機関がｃｌａｉｍ申請要求に応答してフィードバックされたターゲットエンドポイントアドレスを受信し、ここで、ターゲットエンドポイントアドレスが対象ユーザの個人ユーザーデータハブに位置し、対象発行機関がプロキシ再暗号化したターゲットｃｌａｉｍを記憶するためのものであり、ターゲットエンドポイントアドレスに基づいて、個人ユーザーデータハブにおけるターゲットエンドポイントにアクセスして、プロキシ再暗号化されたターゲットｃｌａｉｍを得、プロキシ再暗号化されたターゲットｃｌａｉｍを対象ユーザ秘密鍵を用いて復号し、ターゲットｃｌａｉｍを得る。例えば、ＤＩＤクライアントは、受付ＩＤに基づいて発行結果を対象発行機関に照会して、ターゲットエンドポイントアドレスを得ることができる。
選択可能に、ターゲットエンドポイントアドレスに基づいて個人ユーザーデータハブにおけるターゲットエンドポイントにアクセスする前に、対象ユーザＤＩＤを個人ユーザーデータハブに送信し、個人ユーザーデータハブは、対象ユーザＤＩＤに関連付けられるＤＩＤドキュメントをブロックチェーンネットワークから取得するとともに、ＤＩＤドキュメントにおける対象ユーザ公開鍵を用いて対象ユーザのユーザ署名を検証することで、対象ユーザが対象ユーザＤＩＤの所有者であるか否かを検証する。最終的にＤＩＤクライアントは、対象ユーザＤＩＤを個人ユーザーデータハブに送信して、個人ユーザーデータハブが対象ユーザＤＩＤを検証し、検証に合格した場合に、ＤＩＤクライアントは、ターゲットエンドポイントアドレスに基づいて個人ユーザーデータハブにおけるターゲットエンドポイントにアクセスして、対象発行機関によって発行されたターゲットｃｌａｉｍを取得する。
ここで、対象発行機関は、生成された対象ｃｌａｉｍを個人ユーザーデータハブに記憶する前に、同様にプロキシ再暗号化メカニズムに基づいて、対象ｃｌａｉｍをプロキシ再暗号化することができる。したがって、ＤＩＤクライアントは、プロキシ再暗号化されたターゲットｃｌａｉｍを取得した後に復号して、ターゲットｃｌａｉｍを得る。データ共有のセキュリティが確保される。
また、発行機関は、自らが発行したｃｌａｉｍを失効させることができ、発行機関の個人失効サービスエンドポイントに保存される失効リストである、だれでもアクセス可能なパブリックアドレスにｃｌａｉｍ失効情報を記憶することができる。具体的には、図１１は、ｃｌａｉｍを失効させる概略図である。図１１に示すように、発行機関は、失効リストアドレスを対応するｃｌａｉｍに書き込むことができ、したがって、ＤＩＤクライアントは、失効リストアドレスをターゲットｃｌａｉｍから取得することができ、ターゲットｃｌａｉｍを発行した発行機関の個人失効サービスエンドポイントから、失効リストアドレスにアクセスして失効リストを得、ターゲットｃｌａｉｍの失効状態を失効リストに基づいて照会する。
本実施例の技術的手段によれば、サービスニーズに基づいて、ユーザがＤＩＤクライアントを介して対応する発行機関にｃｌａｉｍの取得を申請し、発行機関の発行によりｃｌａｉｍを取得することができ、それによってユーザがｃｌａｉｍを介して第三者プラットフォームへログインできる。
第４実施例
図１２は本出願の第４実施例に係るデジタルＩＤ検証方法のフローチャートであり、本実施例は、分散型アイデンティティ（ＤＩＤ）クライアントと第三者プラットフォームとのインタラクションにより、ＤＩＤ及びｃｌａｉｍへの検証に基づいて、ユーザにＤＩＤを用いて第三者プラットフォームにログインさせることに適用することができ、該方法は、第三者プラットフォームによって実行されてもよいし、ソフトウェア及び／又はハードウェアの形態で実装されたデジタルＩＤ検証装置によって実行されてもよく、好ましくは、第三者プラットフォームのバックエンドサーバなどの電子機器に配置されている。図１２に示すように、該方法は具体的にＳ１２１０～Ｓ１２３０を含む。
Ｓ１２１０：対象分散型アイデンティティ（ＤＩＤ）クライアントから送信された、対象ユーザＤＩＤを含むログイン要求に応答して、対象ユーザの個人ユーザーデータハブから対象ユーザのターゲットｃｌａｉｍを得る。
本出願の具体的な実施例において、ログイン要求は、ログインしようとする対象ユーザに対してデジタルＩＤの検証を行うように第三者プラットフォームをトリガーするために用いられる。ログイン要求には、対象ユーザＤＩＤ、ｌｏｇｉｎＩＤ、ユーザ署名などの情報が含まれてもよい。第三者プラットフォームは、ｌｏｇｉｎＩＤに基づいて対象ユーザの一連のログイン挙動を関連付けることができ、さらに対象ユーザＤＩＤに基づいて、対象ユーザＤＩＤに関連付けられるＤＩＤドキュメントをブロックチェーンネットワークから取得して、ＤＩＤドキュメントから対象ユーザ公開鍵を取得し、対象ユーザ公開鍵を用いてユーザ署名を検証し、対象ユーザが対象ユーザＤＩＤの真の所有者であることを検証し、デジタルＩＤの盗用又は偽造を防止することができる。
本実施例では、対象ユーザのターゲットｃｌａｉｍは、全て自分の個人ユーザーデータハブに保存されるので、第三者プラットフォームが対象分散型アイデンティティ（ＤＩＤ）クライアント（対象ＤＩＤクライアント）の許可を得た後に、対象ユーザの個人ユーザーデータハブから対象ユーザのターゲットｃｌａｉｍを取得することができる。
具体的には、対象ＤＩＤクライアントの第三者プラットフォームへの許可結果に基づいて、ターゲットｃｌａｉｍを記憶するターゲットエンドポイントアドレスを得、ターゲットエンドポイントアドレスに基づいて個人ユーザーデータハブのターゲットエンドポイントにアクセスして、ターゲットｃｌａｉｍを得る。ここで、ターゲット暗号化ｃｌａｉｍ及び再暗号文がプロキシ再暗号化メカニズムに基づいて暗号化して生成される。したがって、第三者プラットフォームは、ターゲットエンドポイントアドレスに基づいて個人ユーザーデータハブのターゲットエンドポイントにアクセスして、ターゲット暗号化ｃｌａｉｍ及び再暗号文を得ることができ、第三者プラットフォーム秘密鍵を用いて再暗号文を復号して対称暗号鍵を得、対称暗号鍵を用いてターゲット暗号化ｃｌａｉｍを復号して、ターゲットｃｌａｉｍを得る。
Ｓ１２２０：対象ユーザＤＩＤ及びターゲットｃｌａｉｍを検証する。
本出願の具体的な実施例では、対象ユーザＤＩＤへの検証は、現在のユーザが対象ユーザＤＩＤの真の所有者であるか否かを検証するために用いられ、デジタルＩＤの盗用又は偽造が防止される。ターゲットｃｌａｉｍの検証については、現在のユーザが権限を有するか否かを検証するか、又は有効な発行機関の検証に基づいて第三者プラットフォームにログインする権限があるか否かを検証するために用いられる。
具体的に、対象ユーザのユーザ署名に基づいて、対象ユーザが対象ユーザＤＩＤの所有者であるか否かを検証する。即ち対象ユーザＤＩＤに基づいて、対象ユーザＤＩＤに関連付けられるＤＩＤドキュメントをブロックチェーンネットワークから取得し、対象ユーザＤＩＤに関連付けられるＤＩＤドキュメントにおける対象ユーザ公開鍵に基づいて対象ユーザのユーザ署名を検証することで、対象ユーザが対象ユーザＤＩＤの所有者であるか否かを検証する。対象ユーザＤＩＤが検証に合格した場合に、ターゲットｃｌａｉｍが属する発行機関、ｃｌａｉｍタイプ、有効期限及び失効状態の少なくとも１つに基づいて、ターゲットｃｌａｉｍを検証する。
Ｓ１２３０：対象ユーザＤＩＤ及びターゲットｃｌａｉｍが検証に合格した場合に、対象ユーザが対象ユーザＤＩＤを用いてログインすることに成功したと判定する。
本実施例の技術的手段によれば、第三者プラットフォームは、対象ＤＩＤクライアントから送信されたログイン要求を受信した後に、対象ＤＩＤクライアントの許可に基づいて、対象ユーザの個人ユーザーデータハブから対象ユーザのターゲットｃｌａｉｍを取得して、対象ユーザＤＩＤ及びターゲットｃｌａｉｍを検証することができ、検証に合格したと確認されると、対象ユーザが対象ユーザＤＩＤを用いてログインすることに成功したと判定することができる。本出願の実施例は、Ｗ３Ｃが策定するＤＩＤ規格に対してＤＩＤクライアント及び個人ユーザーデータハブ等のアーキテクチャの追加及び定義を行うことにより、ＤＩＤクライアント、個人ユーザーデータハブと他の既存構造との間のインタラクションに基づいて、デジタルＩＤ検証システム全体のワークフロー及びアクセス方式を明確にし、完備したデジタルＩＤ検証システムを実現可能にするとともに、ＤＩＤアカウントを使用し管理するＤＩＤクライアントをユーザや企業に提供し、デジタルＩＤの絶対的な保有性及び制御可能性を保証した。
第５実施例
図１３は本出願の第５実施例に係るデジタルＩＤ検証方法のフローチャートであり、本実施例は、上記第１実施例に踏まえて、ｃｌａｉｍを取得及び検証する過程をさらに説明し、対象ＤＩＤクライアントにより提供されるターゲットエンドポイントアドレスに基づいてターゲットｃｌａｉｍを取得して検証することができる。図１３に示すように、該方法は具体的にＳ１３１０～Ｓ１３５０を含む。
Ｓ１３１０：対象ＤＩＤクライアントから送信された、対象ユーザＤＩＤを含むログイン要求に応答して、対象ＤＩＤクライアントの第三者プラットフォームへの許可結果に基づいて、ターゲットｃｌａｉｍを記憶するターゲットエンドポイントアドレスを得る。
本出願の具体的な実施例では、第三者プラットフォームは、対象ＤＩＤクライアントから送信されたログイン要求を受信した後に、対象ＤＩＤクライアントにｃｌａｉｍ取得要求を送信して、ターゲットｃｌａｉｍの取得を許可するように対象ＤＩＤクライアントを要求することができる。なお、対象ＤＩＤクライアントがターゲットエンドポイントアドレスをフィードバックした場合に、対象ＤＩＤクライアントの許可が得られるものとみなすことができる。ターゲットエンドポイントアドレスは、個人ユーザーデータハブに位置して、対象ユーザのＤＩＤ、ｃｌａｉｍ及び関連情報を記憶する。
Ｓ１３２０：ターゲットエンドポイントアドレスに基づいて個人ユーザーデータハブのターゲットエンドポイントにアクセスして、ターゲットｃｌａｉｍを得る。
本出願の具体的な実施例において、第三者プラットフォームはターゲットエンドポイントアドレスに基づいて個人ユーザーデータハブのターゲットエンドポイントにアクセスして、ターゲットエンドポイントから指定されたターゲットｃｌａｉｍを取得することができる。ここで、データ共有のセキュリティを考慮して、ターゲットエンドポイントにおけるターゲットｃｌａｉｍは、対象ＤＩＤクライアントが再暗号化メカニズムに基づいて暗号化されたものであってもよく、したがって、第三者プラットフォームは取得した後に、復号によって真のターゲットｃｌａｉｍを取得することができる。
選択可能に、ターゲットエンドポイントアドレスに基づいて個人ユーザーデータハブのターゲットエンドポイントにアクセスして、プロキシ再暗号化メカニズムに基づいて暗号化して生成されたターゲット暗号化ｃｌａｉｍ及び再暗号文を得、第三者プラットフォーム秘密鍵を用いて再暗号文を復号して対称暗号鍵を得、対称暗号鍵を用いてターゲット暗号化ｃｌａｉｍを復号して、ターゲットｃｌａｉｍを得る。
Ｓ１３３０：対象ユーザのユーザ署名に基づいて、対象ユーザが対象ユーザＤＩＤの所有者であるか否かを検証する。
本出願の具体的な実施例では、第三者プラットフォームが対象ユーザＤＩＤを検証するために、ログイン要求には対象ユーザのユーザ署名がさらに含まれてもよい。選択可能に、対象ユーザＤＩＤに基づいて、対象ユーザＤＩＤに関連付けられるＤＩＤドキュメントをブロックチェーンネットワークから取得し、対象ユーザＤＩＤに関連付けられるＤＩＤドキュメントにおける対象ユーザ公開鍵に基づいて対象ユーザのユーザ署名を検証することで、対象ユーザが対象ユーザＤＩＤの所有者であるか否かを検証する。
Ｓ１３４０：対象ユーザＤＩＤが検証に合格した場合に、ターゲットｃｌａｉｍが属する発行機関、ｃｌａｉｍタイプ、有効期限及び失効状態の少なくとも１つに基づいて、ターゲットｃｌａｉｍを検証する。
本出願の具体的な実施例において、ターゲットｃｌａｉｍが属する発行機関の関連情報、ｃｌａｉｍタイプ、有効期限等の情報をＤＩＤドキュメントに記憶することができる。したがって、第三者はターゲットｃｌａｉｍが属する発行機関を取得して、信頼される発行機関であるか否かを検証することができ、ｃｌａｉｍタイプに基づいてターゲットｃｌａｉｍが当該第三者プラットフォームのログインに必要なｃｌａｉｍであるか否かを検証し、有効期限に基づいてターゲットｃｌａｉｍが現在限られる使用期限内にあるか否かを検証し、さらにターゲットｃｌａｉｍから失効リストアドレスを取得するとともに、属する発行機関の個人失効サービスセンタの失効リストアドレスにアクセスし、失効リストを取得して、ターゲットｃｌａｉｍの失効状態を照会することもできる。ｃｌａｉｍの全ての関連情報が検証に合格しただけで、ターゲットｃｌａｉｍが検証に合格したと判定できることが理解される。
例示的に、図１４はｃｌａｉｍを検証する概略図である。図１４に示すように、発行機関はｃｌａｉｍの発行及び失効を制御するとともに、失効リストアドレスをｃｌａｉｍに書き込む。ＤＩＤクライアントはｃｌａｉｍを申請して得られた後に、第三者プラットフォームへのログインを要求している間に、第三者プラットフォームがｃｌａｉｍを得るように、第三者プラットフォームを許可する。さらに第三者プラットフォームは、対象ユーザＤＩＤに基づいて、対象ユーザＤＩＤに関連付けられるＤＩＤドキュメントをブロックチェーンネットワークから得、ＤＩＤドキュメントの情報に基づいてｃｌａｉｍを検証する。同時に第三者プラットフォームはさらに、発行機関の個人失効サービスエンドポイントからｃｌａｉｍの失効状態を照会することができる。
Ｓ１３５０：対象ユーザＤＩＤ及びターゲットｃｌａｉｍが検証に合格した場合に、対象ユーザが対象ユーザＤＩＤを用いてログインすることに成功したと判定する。
本出願の具体的な実施例では、対象ユーザＤＩＤの真正性の検証に合格して、ターゲットｃｌａｉｍが属する発行機関が信頼できる機関であり、ターゲットｃｌａｉｍがログインに必要なｃｌａｉｍタイプであり、ターゲットｃｌａｉｍが有効期限内であって、失効されていない場合に、対象ユーザＤＩＤ及びターゲットｃｌａｉｍが検証に合格したと判定し、さらに対象ユーザが対象ユーザＤＩＤを用いてログインすることに成功したと判定する。なお、ｃｌａｉｍの検証については、上記の例に限定されるものではなく、いかなる検証方式も本実施例に適用可能である。
本実施例の技術的手段によれば、第三者プラットフォームは、対象ＤＩＤクライアントから送信されたログイン要求を受信した後に、対象ＤＩＤクライアントの許可に基づいてターゲットエンドポイントアドレスを得、対象ユーザの個人ユーザーデータハブのターゲットエンドポイントから対象ユーザのターゲットｃｌａｉｍを取得して、対象ユーザＤＩＤを検証するとともに、ターゲットｃｌａｉｍが属する発行機関、ｃｌａｉｍタイプ、有効期限及び失効状態の少なくとも１つに基づいてターゲットｃｌａｉｍを検証し、検証に合格したことが確認されると、対象ユーザが対象ユーザＤＩＤを用いてログインすることに成功したと判定することができる。本出願の実施例は、Ｗ３Ｃが策定するＤＩＤ規格に対してＤＩＤクライアント及び個人ユーザーデータハブ等のアーキテクチャの追加及び定義を行うことにより、ＤＩＤクライアント、個人ユーザーデータハブと他の既存構造との間のインタラクションに基づいて、デジタルＩＤ検証システム全体のワークフロー及びアクセス方式を明確にし、完備したデジタルＩＤ検証システムを実現可能にするとともに、ＤＩＤアカウントを使用し管理するＤＩＤクライアントをユーザや企業に提供し、デジタルＩＤの絶対的な保有性及び制御可能性を保証した。
第６実施例
図１５は本出願の第６実施例に係るデジタルＩＤ検証装置の構造概略図であり、本実施例は、分散型アイデンティティ（ＤＩＤ）クライアントと第三者プラットフォームとのインタラクションにより、ＤＩＤ及びｃｌａｉｍへの検証に基づいて、ユーザにＤＩＤを用いて第三者プラットフォームにログインさせることに適用可能であり、該装置は、ＤＩＤクライアントに配置されてもよく、本出願のいずれかの実施例に記載のデジタルＩＤ検証方法を実現可能である。該装置１５００は具体的に、
対象ユーザのターゲット第三者プラットフォームへのログイン操作に応答して、前記ターゲット第三者プラットフォームのターゲットログイン情報を得るためのログイン情報取得モジュール１５１０と、
前記ターゲットログイン情報に基づいて、対象ユーザＤＩＤを含むログイン要求を前記ターゲット第三者プラットフォームに送信して、前記対象ユーザの個人ユーザーデータハブから前記対象ユーザのターゲットｃｌａｉｍを得るように前記ターゲット第三者プラットフォームを許可するとともに、前記対象ユーザＤＩＤ及び前記ターゲットｃｌａｉｍを検証するためのｃｌａｉｍ許可モジュール１５２０と、
前記対象ユーザＤＩＤ及び前記ターゲットｃｌａｉｍが検証に合格した場合に、前記対象ユーザＤＩＤを用いて前記ターゲット第三者プラットフォームにログインするためのプラットフォームログインモジュール１５３０と、を含む。
選択可能に、前記ログイン情報取得モジュール１５１０は、具体的には、
前記対象ユーザの前記ターゲット第三者プラットフォームへのログイン操作に応答して、少なくともターゲット第三者プラットフォームＤＩＤを含むターゲットログイン情報を得、前記ターゲット第三者プラットフォームＤＩＤに基づいて、ブロックチェーンネットワークから前記ターゲット第三者プラットフォームＤＩＤに関連付けられるＤＩＤドキュメントを得るように構成される。
選択可能に、前記ｃｌａｉｍ許可モジュール１５２０は、具体的には、
前記個人ユーザーデータハブでターゲットｃｌａｉｍを記憶したターゲットエンドポイントアドレスを前記ターゲット第三者プラットフォームに送信して、前記ターゲットエンドポイントアドレスに基づいて個人ユーザーデータハブのターゲットエンドポイントにアクセスするように前記ターゲット第三者プラットフォームを許可するとともに、前記ターゲットｃｌａｉｍを得るように構成される。
さらに、前記装置１５００は、暗号化モジュール１５４０をさらに含み、具体的には、
前記の前記個人ユーザーデータハブでターゲットｃｌａｉｍを記憶したターゲットエンドポイントアドレスを前記ターゲット第三者プラットフォームに送信する前に、プロキシ再暗号化メカニズムに基づいて前記ターゲットｃｌａｉｍを暗号化するように構成される。
選択可能に、前記暗号化モジュール１５４０は、具体的には、
高度暗号化標準ＡＥＳ鍵を用いて前記ターゲットｃｌａｉｍを暗号化して、ターゲット暗号化ｃｌａｉｍを得、
対象ユーザ公開鍵を用いて前記ＡＥＳ鍵を暗号化して、対称鍵暗号文を得、
対象ユーザ秘密鍵と、ターゲット第三者プラットフォームＤＩＤに関連付けられるＤＩＤドキュメントから取得されたターゲット第三者プラットフォーム公開鍵とに基づいて、再暗号化鍵を計算して得られ、
前記ターゲット暗号化ｃｌａｉｍ、前記対称鍵暗号文及び前記再暗号化鍵を前記個人ユーザーデータハブのターゲットエンドポイントアドレスに記憶して、前記再暗号化鍵を用いて前記対称鍵暗号文を再暗号化するように前記個人ユーザーデータハブを制御し、再暗号文を生成して記憶するように構成される。
選択可能に、前記ターゲットエンドポイントアドレスは、前記ターゲット第三者プラットフォームが前記ターゲットエンドポイントアドレスに基づいて前記ターゲット暗号化ｃｌａｉｍ及び前記再暗号文を取得するとともに、ターゲット第三者プラットフォーム秘密鍵に基づいて前記再暗号文を復号して対称暗号鍵を得、前記対称暗号鍵に基づいて前記ターゲット暗号化ｃｌａｉｍを復号して前記ターゲットｃｌａｉｍを得るように構成される。
さらに、前記装置１５００は、ｃｌａｉｍ申請モジュール１５５０をさらに含み、具体的には、
対象ユーザのターゲット第三者プラットフォームへのログイン操作に応答して、前記ターゲット第三者プラットフォームのターゲットログイン情報を得る前に、発行機関レジストリにおける発行機関のサービス情報に基づいて、ｃｌａｉｍを発行した対象発行機関を検索し、
ｃｌａｉｍ申請要求を前記対象発行機関に送信して、前記対象ユーザのターゲットｃｌａｉｍを生成するように前記対象発行機関を制御し、
前記対象発行機関が前記ｃｌａｉｍ申請要求に応答して発行したターゲットｃｌａｉｍを得るように構成される。
選択可能に、前記ｃｌａｉｍ申請モジュール１５５０は、具体的には、
前記対象発行機関が前記ｃｌａｉｍ申請要求に応答してフィードバックしたターゲットエンドポイントアドレスを受信することであって、前記ターゲットエンドポイントアドレスが前記対象ユーザの個人ユーザーデータハブに位置し、前記対象発行機関がプロキシ再暗号化したターゲットｃｌａｉｍを記憶する、ことと、
前記ターゲットエンドポイントアドレスに基づいて、前記個人ユーザーデータハブにおけるターゲットエンドポイントにアクセスし、プロキシ再暗号化したターゲットｃｌａｉｍを得ることと、
前記プロキシ再暗号化したターゲットｃｌａｉｍを対象ユーザ秘密鍵を用いて復号して、前記ターゲットｃｌａｉｍを得ることとを実行するように構成される。
選択可能に、前記ｃｌａｉｍ申請モジュール１５５０は、具体的には、
前記の前記ターゲットエンドポイントアドレスに基づいて、前記個人ユーザーデータハブにおけるターゲットエンドポイントにアクセスする前に、前記対象ユーザＤＩＤを前記個人ユーザーデータハブに送信し、前記個人ユーザーデータハブは、前記対象ユーザＤＩＤに関連付けられるＤＩＤドキュメントをブロックチェーンネットワークから取得するとともに、前記ＤＩＤドキュメントにおける対象ユーザ公開鍵を用いて前記対象ユーザのユーザ署名を検証することで、前記対象ユーザが前記対象ユーザＤＩＤの所有者であるか否かを検証するように構成される。
さらに、前記装置１５００は、具体的には、
前記の前記対象発行機関が前記ｃｌａｉｍ申請要求に応答して発行されたターゲットｃｌａｉｍを得た後に、前記ターゲットｃｌａｉｍから失効リストアドレスを取得し、
前記ターゲットｃｌａｉｍを発行した発行機関の個人失効サービスエンドポイントから、前記失効リストアドレスにアクセスして失効リストを得、
前記失効リストに基づいて前記ターゲットｃｌａｉｍの失効状態を照会するように構成される失効照会モジュール１５６０をさらに含む。
さらに、前記装置１５００は、具体的には、
前記対象ユーザのターゲット第三者プラットフォームへのログイン操作に応答して、前記ターゲット第三者プラットフォームのターゲットログイン情報を得る前に、対象ユーザのＤＩＤ作成要求に応答して、前記対象ユーザに対象ユーザＤＩＤ及び少なくとも１つの公開鍵・秘密鍵ペアを作成するように構成されるＤＩＤ作成モジュール１５７０をさらに含む。
本実施例の技術的手段によれば、各機能モジュール間の相互協働により、ＤＩＤの作成、ｃｌａｉｍの申請、ログイン情報の取得、ｃｌａｉｍの暗号化及び復号、第三者プラットフォームの許可、プラットフォームのログイン、及び失効状態照会などの機能を実現する。本出願の実施例は、Ｗ３Ｃが策定するＤＩＤ規格に対してＤＩＤクライアント及び個人ユーザーデータハブ等のアーキテクチャの追加及び定義を行うことにより、ＤＩＤクライアント、個人ユーザーデータハブと他の既存構造との間のインタラクションに基づいて、デジタルＩＤ検証システム全体のワークフロー及びアクセス方式を明確にし、完備したデジタルＩＤ検証システムを実現可能にするとともに、ＤＩＤアカウントを使用し管理するＤＩＤクライアントをユーザや企業に提供し、デジタルＩＤの絶対的な保有性及び制御可能性を保証した。
第７実施例
図１６は本出願の第７実施例に係るデジタルＩＤ検証装置の構造概略図であり、本実施例は、分散型アイデンティティ（ＤＩＤ）クライアントと第三者プラットフォームとのインタラクションにより、ＤＩＤ及びｃｌａｉｍへの検証に基づいて、ユーザにＤＩＤを用いて第三者プラットフォームにログインさせることに適用可能であり、該装置は、第三者プラットフォームに配置されてもよく、本出願のいずれかの実施例に記載のデジタルＩＤ検証方法を実現可能である。該装置１６００は、具体的に、
対象分散型アイデンティティ（ＤＩＤ）クライアントから送信された、対象ユーザＤＩＤを含むログイン要求に応答して、前記対象ユーザの個人ユーザーデータハブから前記対象ユーザのターゲットｃｌａｉｍを得るためのｃｌａｉｍ取得モジュール１６１０と、
前記対象ユーザＤＩＤ及び前記ターゲットｃｌａｉｍを検証するためのｃｌａｉｍ検証モジュール１６２０と、
前記対象ユーザＤＩＤ及び前記ターゲットｃｌａｉｍが検証に合格した場合に、前記対象ユーザが前記対象ユーザＤＩＤを用いてログインすることに成功したと判定するためのユーザログインモジュール１６３０と、を含む。
選択可能に、前記ｃｌａｉｍ取得モジュール１６１０は、具体的には、
前記対象ＤＩＤクライアントの第三者プラットフォームへの許可結果に基づいて、前記ターゲットｃｌａｉｍを記憶するターゲットエンドポイントアドレスを得、
前記ターゲットエンドポイントアドレスに基づいて個人ユーザーデータハブのターゲットエンドポイントにアクセスして、前記ターゲットｃｌａｉｍを得るように構成される。
選択可能に、前記ｃｌａｉｍ取得モジュール１６１０は、具体的には、
前記ターゲットエンドポイントアドレスに基づいて個人ユーザーデータハブのターゲットエンドポイントにアクセスして、プロキシ再暗号化メカニズムに基づいて暗号化して生成されたターゲット暗号化ｃｌａｉｍ及び再暗号文を得、
第三者プラットフォーム秘密鍵を用いて前記再暗号文を復号して、対称暗号鍵を得、
前記対称暗号鍵を用いて前記ターゲット暗号化ｃｌａｉｍを復号して、ターゲットｃｌａｉｍを得るように構成される。
選択可能に、前記ｃｌａｉｍ検証モジュール１６２０は、具体的には、
前記対象ユーザのユーザ署名に基づいて、前記対象ユーザが前記対象ユーザＤＩＤの所有者であるか否かを検証し、
検証に合格した場合に、前記ターゲットｃｌａｉｍが属する発行機関、ｃｌａｉｍタイプ、有効期限及び失効状態の少なくとも１つに基づいて、前記ターゲットｃｌａｉｍを検証するように構成される。
選択可能に、前記ｃｌａｉｍ検証モジュール１６２０は、具体的には、
前記対象ユーザＤＩＤに基づいて、前記対象ユーザＤＩＤに関連付けられるＤＩＤドキュメントをブロックチェーンネットワークから得、
前記対象ユーザＤＩＤに関連付けられるＤＩＤドキュメントにおける対象ユーザ公開鍵に基づいて、前記対象ユーザのユーザ署名を検証することで、前記対象ユーザが前記対象ユーザＤＩＤの所有者であるか否かを検証するように構成される。
本実施例の技術的手段によれば、各機能モジュール間の相互協働により、ｃｌａｉｍの取得、ｃｌａｉｍの復号、ＤＩＤの検証、ｃｌａｉｍの検証及びユーザのログインなどの機能を実現する。本出願の実施例は、Ｗ３Ｃが策定するＤＩＤ規格に対してＤＩＤクライアント及び個人ユーザーデータハブ等のアーキテクチャの追加及び定義を行うことにより、ＤＩＤクライアント、個人ユーザーデータハブと他の既存構造との間のインタラクションに基づいて、デジタルＩＤ検証システム全体のワークフロー及びアクセス方式を明確にし、完備したデジタルＩＤ検証システムを実現可能にするとともに、ＤＩＤアカウントを使用し管理するＤＩＤクライアントをユーザや企業に提供し、デジタルＩＤの絶対的な保有性及び制御可能性を保証した。
第８実施例
本出願の実施例によれば、本出願は電子機器及び可読記憶媒体をさらに提供する。
図１７に示すように、本出願の実施例に係るデジタルＩＤ検証方法の電子機器のブロック図である。電子機器は、ラップトップコンピュータ、デスクトップコンピュータ、ワークステーション、携帯情報端末、サーバ、ブレードサーバ、メインフレームコンピュータ、及び他の適切なコンピュータなどの様々な形態のデジタルコンピュータを表すことが意図される。電子機器はさらに、パーソナルデジタルアシススタント、セルラ電話、スマートフォン、ウェアラブルデバイス、及び他の同様のコンピューティングデバイスなどの様々な形態のモバイルデバイスを表すことができる。本明細書に示される構成要素、それらの接続及び関係、並びにそれらの機能は、単に例示的なものに過ぎず、本明細書に記載され、及び／又は特許請求される本出願の実施を限定することを意図するものではない。
図１７に示すように、該電子機器は、１つ又は複数のプロセッサ１７０１と、メモリ１７０２と、各コンポーネント接続されるための、高速インタフェース及び低速インタフェースを含むインタフェースとを含む。各コンポーネントは、異なるバスにより相互に接続されており、共通のマザーボード上に実装されてもよいし、又は必要に応じて他の形態で実装されてもよい。プロセッサは、電子機器内で実行する命令を処理することができ、その命令には、インタフェースに結合される表示装置などの外部入出力装置上にグラフィカルユーザインタフェース（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ，ＧＵＩ）のグラフィック情報を表示するための命令、又はメモリに記憶された命令が含まれる。他の実施形態では、必要に応じて、複数のプロセッサ及び／又は複数のバスを複数のメモリとともに使用することができる。同様に、複数の電子機器を接続することができ、各機器は、例えば、サーバアレイ、ブレードサーバのグループ、又はマルチプロセッサシステムとして必要な動作の一部を提供する。図１７において、プロセッサ１７０１を例としている。
メモリ１７０２は、本出願に係る非一時的コンピュータ可読記憶媒体である。前記メモリは、本出願に係るデジタルＩＤ検証方法を前記少なくとも１つのプロセッサによって実行させるために、少なくとも１つのプロセッサによって実行可能な命令を記憶している。本出願の非一時的コンピュータ可読記憶媒体は、コンピュータに本出願に係るデジタルＩＤ検証方法を実行させるためのコンピュータ命令を記憶する。
メモリ１７０２は、非一時的コンピュータ可読記憶媒体として、非一時的なソフトウェアプログラム、非一時的なコンピュータ実行可能なプログラム、及び本出願の実施例におけるデジタルＩＤ検証方法に対応するプログラム命令／モジュール、図１５に示すようなログイン情報取得モジュール１５１０、ｃｌａｉｍ許可モジュール１５２０、プラットフォームログインモジュール１５３０、暗号化モジュール１５４０、ｃｌａｉｍ申請モジュール１５５０、失効照会モジュール１５６０及びＤＩＤ作成モジュール１５７０、並びに、図１６に示すようなｃｌａｉｍ取得モジュール１６１０、ｃｌａｉｍ検証モジュール１６２０及びユーザログインモジュール１６３０などのようなモジュールを記憶するように構成されてもよい。プロセッサ１７０１は、メモリ１７０２に記憶された非一時的なソフトウェアプログラム、命令及びモジュールを実行することにより、サーバの様々な機能アプリケーション及びデータ処理を実行し、即ち上記の方法の実施例におけるデジタルＩＤ検証方法を実現する。
メモリ１７０２は、オペレーティングシステム、少なくとも１つの機能に必要なアプリケーションを記憶することができるプログラム記憶領域と、デジタルＩＤ検証方法を実現する電子機器の使用によって作成されるデータなどを記憶することができるデータ記憶領域とを含むことができる。なお、メモリ１７０２は、高速ランダムアクセスメモリを含んでもよく、さらに、少なくとも１つの磁気ディスクメモリデバイス、フラッシュメモリデバイス、又は他の非一時的なソリッドステートメモリデバイスなどの、非一時的メモリを含んでもよい。いくつかの実施例では、メモリ１７０２は、選択可能に、プロセッサ１７０１に対して遠隔に設けれるメモリを含んでもよく、これらのリモートメモリは、デジタルＩＤ検証方法を実行する電子機器にネットワークを介して接続されてもよい。上記ネットワークの例としては、インターネット、企業イントラネット、ローカルエリアネットワーク、移動体通信ネットワーク及びこれらの組み合わせを含むことができるが、これらに限定されない。
デジタルＩＤ検証方法を実行する電子機器はさらに、入力装置１７０３及び出力装置１７０４を含むことができる。プロセッサ１７０１、メモリ１７０２、入力装置１７０３及び出力装置１７０４はバスで接続されていてもよいし、他の方式で接続されていてもよいが、図１７ではバスで接続されている例を示している。
入力装置１７０３は、入力された数字又は文字情報を受信し、タッチスクリーン、キーパッド、マウス、トラックパッド、タッチパッド、ポインティングスティック、１つ又は複数のマウスボタン、トラックボール、ジョイスティックなどの入力装置からの、デジタルＩＤ検証方法を実行する電子機器のユーザ設定及び機能制御に関するキー信号入力を生成することができる。出力装置１７０４は、表示装置、発光ダイオード（Ｌｉｇｈｔ Ｅｍｉｔｔｉｎｇ Ｄｉｏｄｅ，ＬＥＤ）のような補助照明装置及び振動モータのような触覚フィードバック装置などを含むことができる。該表示装置は、液晶ディスプレイ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ，ＬＣＤ）、ＬＥＤディスプレイ及びプラズマディスプレイを含むことができるが、これらに限定されない。いくつかの実施形態では、表示装置はタッチスクリーンであってもよい。
本明細書で説明されるシステム及び技術の様々な実施形態は、デジタル電子回路システム、集積回路システム、特定用途向け集積回路（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ，ＡＳＩＣ）、コンピュータハードウェア、ファームウェア、ソフトウェア、及び／又はそれらの組み合わせにおいて実装することができる。これらの様々な実施形態は、記憶システム、少なくとも１つの入力装置、及び少なくとも１つの出力装置からデータ及び命令を受信し、該記憶システム、該少なくとも１つの入力装置、及び該少なくとも１つの出力装置にデータ及び命令を送信することができる、専用又は汎用のプログラマブルプロセッサであり得る少なくとも１つのプログラマブルプロセッサを含むプログラマブルシステム上で実行及び／又は解釈可能な１つ以上のコンピュータプログラムで実装することを含むことができる。
これらの計算プログラムは、プログラム、ソフトウェア、ソフトウェアアプリケーション、又はコードとも呼ばれ、プログラマブルプロセッサの機械命令を含み、高レベルプロセス及び／又はオブジェクト指向プログラミング言語、及び／又はアセンブリ言語／機械語で実装されてもよい。本明細書で使用されるように、用語「機械可読媒体」及び「コンピュータ可読媒体」とは、機械可読信号として機械命令を受信する機械可読媒体を含む、プログラマブルプロセッサに機械命令及び／又はデータを提供するための任意のコンピュータプログラム製品、デバイス、及び／又は装置（例えば、磁気ディスク、光ディスク、メモリ、プログラマブルロジックデバイス（Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｄｅｖｉｃｅ，ＰＬＤ））を指す。「機械可読信号」という用語は、機械命令及び／又はデータをプログラマブルプロセッサに提供するために使用される任意の信号を指す。
ユーザとのインタラクションを提供するために、本明細書に記載されたシステム及び技術は、ユーザに情報を表示するための表示装置（例えば、陰極線管（Ｃａｔｈｏｄｅ Ｒａｙ Ｔｕｂｅ，ＣＲＴ）又はＬＣＤモニタ）と、ユーザがコンピュータに入力を提供することができるキーボード及びポインティングデバイス（例えば、マウス又はトラックボール）とを有するコンピュータ上で実装されてもよい。他の種類の装置はさらに、ユーザとのインタラクションを提供するために用いられてもよく、例えば、ユーザに提供されるフィードバックは、任意の形態の視覚フィードバック、聴覚フィードバック、又は触覚フィードバックなどの感覚フィードバックであってもよく、ユーザからの入力は、音響入力、音声入力又は触覚入力を含む任意の形態で受信されてもよい。
バックグラウンドコンポーネントを含むコンピューティングシステム（例えば、データサーバ）、又はミドルウェアコンポーネントを含むコンピューティングシステム（例えば、アプリケーションサーバ）、又はフロントエンドコンポーネントを含むコンピューティングシステム（例えば、グラフィカルユーザインタフェース又はウェブブラウザを有するユーザコンピュータであって、ユーザは、該グラフィカルユーザインタフェース又は該ウェブブラウザを介して、本明細書で説明するシステム及び技術の実施形態と対話することができる）、又はそのようなバックグラウンドコンポーネント、ミドルウェアコンポーネント、又はフロントエンドコンポーネントの任意の組み合わせを含むコンピューティングシステムに、本明細書で説明するシステム及び技術を実装することができる。システムの構成要素を、任意の形式又は媒体のデジタルデータ通信（例えば、通信ネットワーク）を介して相互接続することができる。通信ネットワークの例としては、ローカルエリアネットワーク（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ，ＬＡＮ）、ワイドエリアネットワーク（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ，ＷＡＮ）、インターネット及びブロックチェーンネットワークを含む。
コンピュータシステムは、クライアント及びサーバを含むことができる。クライアント及びサーバは、一般的に互いに離れており、通常、通信ネットワークを介して対話する。クライアントとサーバとの関係は、対応するコンピュータ上で動作され、互いにクライアント－サーバ関係を有するコンピュータプログラムによって生成される。
本出願の実施例の技術的手段によれば、Ｗ３Ｃが策定するＤＩＤ規格に対してＤＩＤクライアント及び個人ユーザーデータハブ等のアーキテクチャの追加及び定義を行うことにより、ＤＩＤクライアント、個人ユーザーデータハブと他の既存構造との間のインタラクションに基づいて、デジタルＩＤ検証システム全体のワークフロー及びアクセス方式を明確にし、完備したデジタルＩＤ検証システムを実現可能にするとともに、ＤＩＤアカウントを使用し管理するＤＩＤクライアントをユーザや企業に提供し、デジタルＩＤの絶対的な保有性及び制御可能性を保証した。
また、ブロックチェーンネットワークがＤＩＤ及びその関連情報を記憶することができ、各参加者のために情報サービスを提供する。したがって、ＤＩＤクライアントは、データを暗号化し共有して使用するために、ブロックチェーンネットワークを介してターゲット第三者プラットフォームＤＩＤに関連付けられるＤＩＤドキュメントを得ることができる。
また、ターゲットエンドポイントアドレスが、個人ユーザーデータハブから指定されたｃｌａｉｍを取得するようにターゲット第三者プラットフォームに指示するために用いられ、さらにターゲットエンドポイントアドレスの送信によってターゲット第三者プラットフォームを許可する目的が達成され、ｃｌａｉｍの共有を実現可能にする。
また、プロキシ再暗号化メカニズムを用いてｃｌａｉｍの共有を可能にし、ｃｌａｉｍの漏洩を防止し、データのセキュリティを確保できる。
また、プロキシ再暗号化メカニズムの目的が、対象ユーザ公開鍵が暗号化されたデータに基づいて、ターゲット第三者プラットフォームである共有者によってターゲット第三者プラットフォーム秘密鍵を用いて取得されたデータを復号し、データ共有のセキュリティを確保することができることにある。
また、ターゲットエンドポイントアドレスが、指定されたｃｌａｉｍを取得するようにターゲット第三者プラットフォームに指示するために用いられ、したがって、プロキシ再暗号化メカニズムの保護下で、ターゲット第三者プラットフォームが、取得されたｃｌａｉｍを復号する必要があり、データ共有のセキュリティを確保する。
また、サービスニーズに基づいて、ユーザがＤＩＤクライアントを介して対応する発行機関にｃｌａｉｍの取得を申請し、ユーザによるｃｌａｉｍを介した第三者プラットフォームへのログインが便利になる。
また、ｃｌａｉｍの発行がデータの共有プロセスでもあることを考慮するため、発行機関は発行時に、発行されたｃｌａｉｍをＤＩＤクライアントに共有するために、プロキシ再暗号化技術を同様に用いることができる。
また、参加者のいずれかがインタラクションを行うときに、ブロックチェーンネットワークで記憶したデジタルＩＤ及び関連情報に基づいて、既知の相手のＤＩＤに基づいて、相手のＤＩＤデジタルＩＤを検証することで、相手が既知のＤＩＤの真の所有者であることを確定し、インタラクション相手によるデジタルＩＤの盗用や偽造を防止し、インタラクションの安全性を確保することができる。
また、発行機関が発行されたｃｌａｉｍを失効させることもでき、したがって、他の参加者が、ｃｌａｉｍに記録された失効リストアドレスを介してｃｌａｉｍの失効状態を照会し、無効なｃｌａｉｍの使用を防止することができる。
また、ＤＩＤクライアントがＤＩＤ作成サービスをユーザに提供することで、ユーザのためにユニバーサルユニークなデジタルＩＤを提供する。
なお、上記に示された様々な形態のフローが、ステップの順序変更、追加又は削除により使用されてもよい。例えば、本出願に記載された各ステップは、並列に実行されても、順次的に実行されても、異なる順序で実行されてもよく、本明細書に開示された技術的解決手段の所望の結果を実現できるものであれば、本明細書に限定しない。
上記の具体的な実施形態は、本出願の保護範囲を制限するものではない。当業者には明らかなように、設計要求及び他の要素に応じて、様々な変更、組み合わせ、再組合及び置換を行うことができる。本出願の精神及び原則の範囲内で行われたいかなる変更、均等置換及び改良などは、いずれも本出願の保護範囲内に含まれるべきである。

Claims (20)

  1. 分散型アイデンティティ（ＤＩＤ）クライアントによって実行されるデジタルＩＤ検証方法であって、対象ユーザのターゲット第三者プラットフォームへのログイン操作に応答して、前記ターゲット第三者プラットフォームのターゲットログイン情報を得るステップと、前記ターゲットログイン情報に基づいて、対象ユーザＤＩＤを含むログイン要求を前記ターゲット第三者プラットフォームに送信して、前記対象ユーザの個人ユーザーデータハブから前記対象ユーザのターゲットクレームを得るように前記ターゲット第三者プラットフォームを許可するとともに、前記対象ユーザＤＩＤ及び前記ターゲットクレームを検証するステップと、前記対象ユーザＤＩＤ及び前記ターゲットクレームが検証に合格した場合に、前記対象ユーザＤＩＤを用いて前記ターゲット第三者プラットフォームにログインするステップと、を含むことを特徴とするデジタルＩＤ検証方法。
  2. 前記対象ユーザのターゲット第三者プラットフォームへのログイン操作に応答して、前記ターゲット第三者プラットフォームのターゲットログイン情報を得るステップは、前記対象ユーザの前記ターゲット第三者プラットフォームへのログイン操作に応答して、ターゲット第三者プラットフォームＤＩＤを少なくとも含むターゲットログイン情報を得、前記ターゲット第三者プラットフォームＤＩＤに基づいて、ブロックチェーンネットワークから前記ターゲット第三者プラットフォームＤＩＤに関連付けられるＤＩＤドキュメントを得ることを含むことを特徴とする請求項１に記載の方法。
  3. 前記の前記対象ユーザの個人ユーザーデータハブから前記対象ユーザのターゲットクレームを得るように前記ターゲット第三者プラットフォームを許可するステップは、前記個人ユーザーデータハブにおけるターゲットクレームの記憶されたターゲットエンドポイントアドレスを前記ターゲット第三者プラットフォームに送信して、前記ターゲットエンドポイントアドレスに従って個人ユーザーデータハブのターゲットエンドポイントにアクセスするように前記ターゲット第三者プラットフォームを許可するとともに、前記ターゲットクレームを得ることを含むことを特徴とする請求項１に記載の方法。
  4. 前記の前記個人ユーザーデータハブにおけるターゲットクレームの記憶されたターゲットエンドポイントアドレスを前記ターゲット第三者プラットフォームに送信する前に、プロキシ再暗号化メカニズムに基づいて前記ターゲットクレームを暗号化するステップをさらに含むことを特徴とする請求項３に記載の方法。
  5. 前記プロキシ再暗号化メカニズムに基づいて前記ターゲットクレームを暗号化するステップは、高度暗号化標準ＡＥＳ鍵を用いて前記ターゲットクレームを暗号化して、ターゲット暗号化クレームを得ることと、対象ユーザの公開鍵を用いて前記ＡＥＳ鍵を暗号化して、対称鍵暗号文を得ることと、対象ユーザの秘密鍵と、ターゲット第三者プラットフォームＤＩＤに関連付けられるＤＩＤドキュメントから取得されたターゲット第三者プラットフォームの公開鍵とに基づいて、再暗号化鍵を計算して得ることと、前記ターゲット暗号化クレーム、前記対称鍵暗号文及び前記再暗号化鍵を前記個人ユーザーデータハブのターゲットエンドポイントアドレスに記憶して、前記対称鍵暗号文を前記再暗号化鍵を用いて再暗号化するように前記個人ユーザーデータハブを制御し、再暗号文を生成して記憶することと、を含むことを特徴とする請求項４に記載の方法。
  6. 前記ターゲットエンドポイントアドレスは、前記ターゲット第三者プラットフォームが前記ターゲットエンドポイントアドレスに基づいて前記ターゲット暗号化クレーム及び前記再暗号文を取得するとともに、ターゲット第三者プラットフォームの秘密鍵に基づいて前記再暗号文を復号して対称暗号鍵を得、前記対称暗号鍵に基づいて前記ターゲット暗号化クレームを復号して前記ターゲットクレームを得るために用いられることを特徴とする請求項５に記載の方法。
  7. 前記対象ユーザのターゲット第三者プラットフォームへのログイン操作に応答して、前記ターゲット第三者プラットフォームのターゲットログイン情報を得る前に、発行機関レジストリにおける発行機関のサービス情報に基づいて、クレームを発行する対象発行機関を検索するステップと、クレーム申請要求を前記対象発行機関に送信して、前記対象ユーザのターゲットクレームを生成するように前記対象発行機関を制御するステップと、前記対象発行機関が前記クレーム申請要求に応答して出したターゲットクレームを得るステップと、をさらに含むことを特徴とする請求項１に記載の方法。
  8. 前記の前記対象発行機関が前記クレーム申請要求に応答して出したターゲットクレームを得るステップは、前記対象発行機関が前記クレーム申請要求に応答してフィードバックしたターゲットエンドポイントアドレスを受信することであって、前記ターゲットエンドポイントアドレスが前記対象ユーザの個人ユーザーデータハブに位置し、前記対象発行機関がプロキシ再暗号化したターゲットクレームを記憶することと、前記ターゲットエンドポイントアドレスに基づいて、前記個人ユーザーデータハブにおけるターゲットエンドポイントにアクセスし、プロキシ再暗号化したターゲットクレームを得ることと、前記プロキシ再暗号化したターゲットクレームを対象ユーザ秘密鍵を用いて復号して、前記ターゲットクレームを得ることと、を含むことを特徴とする請求項７に記載の方法。
  9. 前記の前記ターゲットエンドポイントアドレスに基づいて、前記個人ユーザーデータハブにおけるターゲットエンドポイントにアクセスする前に、前記対象ユーザＤＩＤを前記個人ユーザーデータハブに送信し、前記個人ユーザーデータハブが、前記対象ユーザＤＩＤに関連付けられるＤＩＤドキュメントをブロックチェーンネットワークから取得するとともに、前記ＤＩＤドキュメントにおける対象ユーザの公開鍵を用いて前記対象ユーザのユーザ署名を検証することで、前記対象ユーザが前記対象ユーザＤＩＤの所有者であるか否かを検証することをさらに含むことを特徴とする請求項８に記載の方法。
  10. 前記の前記対象発行機関が前記クレーム申請要求に応答して出したターゲットクレームを得た後に、前記ターゲットクレームから失効リストアドレスを取得するステップと、前記ターゲットクレームを出した発行機関の個人失効サービスエンドポイントから、前記失効リストアドレスにアクセスして失効リストを得るステップと、前記失効リストに基づいて前記ターゲットクレームの失効状態を照会するステップと、をさらに含むことを特徴とする請求項７に記載の方法。
  11. 前記対象ユーザのターゲット第三者プラットフォームへのログイン操作に応答して、前記ターゲット第三者プラットフォームのターゲットログイン情報を得る前に、対象ユーザのＤＩＤ作成要求に応答して、前記対象ユーザのために対象ユーザＤＩＤ及び少なくとも１つの公開鍵・秘密鍵ペアを作成するステップをさらに含むことを特徴とする請求項１に記載の方法。
  12. 第三者プラットフォームによって実行されるデジタルＩＤ検証方法であって、対象分散型アイデンティティ（ＤＩＤ）クライアントから送信された、対象ユーザＤＩＤを含むログイン要求に応答して、前記対象ユーザの個人ユーザーデータハブから前記対象ユーザのターゲットクレームを得るステップと、前記対象ユーザＤＩＤ及び前記ターゲットクレームを検証するステップと、前記対象ユーザＤＩＤ及び前記ターゲットクレームが検証に合格した場合に、前記対象ユーザが前記対象ユーザＤＩＤを用いてログインすることに成功したと判定するステップと、を含み、
    前記の前記対象ユーザの個人ユーザーデータハブから前記対象ユーザのターゲットクレームを得るステップは、
    前記ターゲットクレームを記憶するターゲットエンドポイントアドレスに基づいて個人ユーザーデータハブのターゲットエンドポイントにアクセスして、プロキシ再暗号化メカニズムに基づいて暗号化して生成された、ターゲット暗号化クレーム及び再暗号文を得ることと、
    第三者プラットフォーム秘密鍵を用いて前記再暗号文を復号して、対称暗号鍵を得ることと、
    前記対称暗号鍵を用いて前記ターゲット暗号化クレームを復号して、ターゲットクレームを得ることとを含むことを特徴とするデジタルＩＤ検証方法。
  13. 前記の前記対象ユーザの個人ユーザーデータハブから前記対象ユーザのターゲットクレームを得るステップは、前記対象ＤＩＤクライアントの第三者プラットフォームへの許可結果に基づいて、前記ターゲットクレームを記憶するターゲットエンドポイントアドレスを得ること、をさらに含むことを特徴とする請求項１２に記載の方法。
  14. 前記の前記対象ユーザＤＩＤ及び前記ターゲットクレームを検証するステップは、前記対象ユーザのユーザ署名に基づいて、前記対象ユーザが前記対象ユーザＤＩＤの所有者であるか否かを検証することと、検証に合格した場合に、前記ターゲットクレームが属する発行機関、クレームタイプ、有効期限及び失効状態の少なくとも１つに基づいて、前記ターゲットクレームを検証することと、を含むことを特徴とする請求項１２に記載の方法。
  15. 前記の前記対象ユーザのユーザ署名に基づいて、前記対象ユーザが前記対象ユーザＤＩＤの所有者であるか否かを検証することは、前記対象ユーザＤＩＤに基づいて、前記対象ユーザＤＩＤに関連付けられるＤＩＤドキュメントをブロックチェーンネットワークから得ることと、前記対象ユーザＤＩＤに関連付けられるＤＩＤドキュメントにおける対象ユーザの公開鍵に基づいて、前記対象ユーザのユーザ署名を検証することで、前記対象ユーザが前記対象ユーザＤＩＤの所有者であるか否かを検証することと、を含むことを特徴とする請求項１４に記載の方法。
  16. 分散型アイデンティティ（ＤＩＤ）クライアントに配置されるデジタルＩＤ検証装置であって、対象ユーザのターゲット第三者プラットフォームへのログイン操作に応答して、前記ターゲット第三者プラットフォームのターゲットログイン情報を得るためのログイン情報取得モジュールと、前記ターゲットログイン情報に基づいて、対象ユーザＤＩＤを含むログイン要求を前記ターゲット第三者プラットフォームに送信して、前記対象ユーザの個人ユーザーデータハブから前記対象ユーザのターゲットクレームを得るように前記ターゲット第三者プラットフォームを許可するとともに、前記対象ユーザＤＩＤ及び前記ターゲットクレームを検証するためのクレーム許可モジュールと、前記対象ユーザＤＩＤ及び前記ターゲットクレームが検証に合格した場合に、前記対象ユーザＤＩＤを用いて前記ターゲット第三者プラットフォームにログインするためのプラットフォームログインモジュールと、を含むことを特徴とするデジタルＩＤ検証装置。
  17. 第三者プラットフォームに配置されるデジタルＩＤ検証装置であって、対象分散型アイデンティティ（ＤＩＤ）クライアントから送信された、対象ユーザＤＩＤを含むログイン要求に応答して、前記対象ユーザの個人ユーザーデータハブから前記対象ユーザのターゲットクレームを得るためのクレーム取得モジュールと、前記対象ユーザＤＩＤ及び前記ターゲットクレームを検証するためのクレーム検証モジュールと、前記対象ユーザＤＩＤ及び前記ターゲットクレームが検証に合格した場合に、前記対象ユーザが前記対象ユーザＤＩＤを用いてログインすることに成功したと判定するためのユーザログインモジュールと、を含み、
    前記クレーム取得モジュールは、前記ターゲットクレームを記憶するターゲットエンドポイントアドレスに基づいて個人ユーザーデータハブのターゲットエンドポイントにアクセスして、プロキシ再暗号化メカニズムに基づいて暗号化して生成された、ターゲット暗号化クレーム及び再暗号文を得て、第三者プラットフォーム秘密鍵を用いて前記再暗号文を復号して、対称暗号鍵を得て、前記対称暗号鍵を用いて前記ターゲット暗号化クレームを復号して、ターゲットクレームを得ることを特徴とするデジタルＩＤ検証装置。
  18. 少なくとも１つのプロセッサと、前記少なくとも１つのプロセッサと通信可能に接続されるメモリと、を含む電子機器であって、前記メモリは、前記少なくとも１つのプロセッサによって実行可能な命令を記憶しており、前記命令が前記少なくとも１つのプロセッサによって実行されることで、前記少なくとも１つのプロセッサが請求項１～１１のいずれか一項に記載のデジタルＩＤ検証方法を実行するか、又は請求項１２～１５のいずれか一項に記載のデジタルＩＤ検証方法を実行することを特徴とする電子機器。
  19. コンピュータ命令が記憶されている非一時的コンピュータ可読記憶媒体であって、前記コンピュータ命令がコンピュータに請求項１～１１のいずれか一項に記載のデジタルＩＤ検証方法を実行させるか、又は請求項１２～１５のいずれか一項に記載のデジタルＩＤ検証方法を実行させることを特徴とする非一時的コンピュータ可読記憶媒体。
  20. コンピュータプログラムであって、前記コンピュータプログラムがプロセッサにより実行されると、請求項１～１１又は請求項１２～１５のいずれか一項に記載のデジタルＩＤ検証方法を実現する、コンピュータプログラム。
JP2021003235A 2020-01-14 2021-01-13 デジタルｉｄ検証方法及び装置、電子機器、非一時的コンピュータ可読記憶媒体並びにプログラム Active JP7119142B2 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN202010037958.3A CN111277577B (zh) 2020-01-14 2020-01-14 数字身份验证方法、装置、设备和存储介质
CN202010037958.3 2020-01-14

Publications (2)

Publication Number Publication Date
JP2021111412A JP2021111412A (ja) 2021-08-02
JP7119142B2 true JP7119142B2 (ja) 2022-08-16

Family

ID=71001662

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2021003235A Active JP7119142B2 (ja) 2020-01-14 2021-01-13 デジタルｉｄ検証方法及び装置、電子機器、非一時的コンピュータ可読記憶媒体並びにプログラム

Country Status (5)

Country Link
US (1) US20210218574A1 (ja)
EP (1) EP3852338B1 (ja)
JP (1) JP7119142B2 (ja)
KR (1) KR102509688B1 (ja)
CN (1) CN111277577B (ja)

Families Citing this family (22)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2021183694A1 (en) * 2020-03-10 2021-09-16 Lumedic Acquisition Co., Inc. Electronic patient credentials
CN111832004B (zh) * 2020-06-30 2024-05-17 北京泰尔英福科技有限公司 可信声明系统中信任锚的管理方法及装置
CN111818491A (zh) * 2020-07-10 2020-10-23 成都淞幸科技有限责任公司 一种5g环境d2d场景下去中心化身份管理的方法
CN112927434B (zh) * 2021-01-06 2022-08-19 上海泰砥科技有限公司 区块链及did的共享充电方法及共享充电桩系统
CN112861157A (zh) * 2021-03-01 2021-05-28 北京欧凯联创网络科技有限公司 一种基于去中心化身份和代理重加密的数据共享方法
CN113343208A (zh) * 2021-05-20 2021-09-03 网易（杭州）网络有限公司 一种凭证授权方法、装置、终端及存储介质
CN113746916B (zh) * 2021-09-01 2024-06-18 北京泰尔英福科技有限公司 基于区块链的第三方服务提供方法、系统及相关节点
CN115828223A (zh) 2021-09-17 2023-03-21 鸿海精密工业股份有限公司 操作系统登录方法、电子设备及存储介质
KR102569132B1 (ko) * 2021-09-29 2023-08-24 한국전자통신연구원 분산 아이디 기반 서비스에서의 위임 크리덴셜 발급 장치 및 방법
US20230142147A1 (en) * 2021-11-10 2023-05-11 Microsoft Technology Licensing, Llc Network communication using proof of presence
KR102612463B1 (ko) * 2021-11-24 2023-12-11 (주)드림시큐리티 분산 id 기반 검증 크리덴셜 관리 및 디바이스 검증 방법 및 장치
KR102564633B1 (ko) * 2021-11-26 2023-08-11 주식회사 케이사인 Hd 기반의 컴퓨팅 장치 did 발급 방법
WO2023095967A1 (ko) * 2021-11-29 2023-06-01 주식회사 블록체인기술연구소 블록체인 기반의 did 서비스, ipfs 기반의 데이터 공유 기술, 및 개인키 분산 저장 기술이 결합된 비대면 대용량 문서 접근 시스템
CN114338795B (zh) * 2021-12-23 2024-06-14 杭州趣链科技有限公司 一种区块链客户端的数据通信方法及装置
JP2024507304A (ja) * 2021-12-27 2024-02-19 イーストーム カンパニー，リミテッド ブロックチェーン基盤の認証及び取り引きシステム
US11922410B2 (en) 2022-02-15 2024-03-05 Paypal, Inc. Online decentralized identity verification for a multi-sided network
CN115037534B (zh) * 2022-05-30 2023-04-14 深圳文储科技有限公司 一种基于did的设备数据管理方法及系统
CN115002130A (zh) * 2022-05-31 2022-09-02 赵瑞 基于区块链的个人数字孪生did构建应用方法
CN115065466B (zh) * 2022-06-23 2024-01-19 中国电信股份有限公司 密钥协商方法、装置、电子设备和计算机可读存储介质
CN114862388B (zh) * 2022-07-01 2022-11-29 浙江毫微米科技有限公司 基于数字钱包的身份管理方法、计算机设备和存储介质
CN115952527A (zh) * 2023-03-09 2023-04-11 北京百度网讯科技有限公司 数据授权、提取、验证方法及其装置、设备和介质
CN117527445B (zh) * 2024-01-02 2024-03-12 江苏荣泽信息科技股份有限公司 一种基于重加密及分布式数字身份的数据共享系统

Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008287701A (ja) 2007-03-28 2008-11-27 Symantec Corp パーティ間の推移的信用に基づいてユーザのデジタルアイデンティティを受け入れる方法及び装置
US20170286768A1 (en) 2015-03-09 2017-10-05 Michigan Health Information Network - Mihin System and method for identity proofing and knowledge based authentication
JP2018537022A (ja) 2015-10-14 2018-12-13 ケンブリッジ ブロックチェーン，エルエルシー デジタルアイデンティティを管理するためのシステム及び方法
JP2019506103A (ja) 2015-12-22 2019-02-28 ジェムアルト エスアー 信頼できるアイデンティティを管理する方法
JP2019097148A (ja) 2017-11-22 2019-06-20 シビラ株式会社 認証方法、認証装置、コンピュータプログラム及びシステムの製造方法
US10425230B1 (en) 2019-03-01 2019-09-24 Capital One Services, Llc Identity and electronic signature verification in blockchain
WO2019179534A2 (en) 2019-07-02 2019-09-26 Alibaba Group Holding Limited System and method for creating decentralized identifiers
JP6592573B1 (ja) 2018-09-10 2019-10-16 Ｌｉｎｅ株式会社 情報処理方法、情報表示方法、プログラム、端末、サーバ
US20190333054A1 (en) 2018-04-20 2019-10-31 Infonetworks Llc System for verification of pseudonymous credentials for digital identities with managed access to personal data on trust networks

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7028181B1 (en) * 2000-06-09 2006-04-11 Northrop Grumman Corporation System and method for efficient and secure revocation of a signature certificate in a public key infrastructure
US8788836B1 (en) * 2006-12-22 2014-07-22 Symantec Corporation Method and apparatus for providing identity claim validation
JP5454960B2 (ja) * 2011-11-09 2014-03-26 株式会社東芝 再暗号化システム、再暗号化装置及びプログラム
US11531783B2 (en) * 2018-03-27 2022-12-20 Workday, Inc. Digital credentials for step-up authentication
US11989762B2 (en) * 2018-05-10 2024-05-21 Civic Technologies, Inc. Eligibility for access to restricted goods and services using zero-knowledge proofs
CN108769013A (zh) * 2018-05-29 2018-11-06 浪潮软件集团有限公司 一种基于以太坊的身份注册方法和装置
CN109583184B (zh) * 2018-10-09 2020-08-04 阿里巴巴集团控股有限公司 身份验证方法及装置和电子设备
US11366910B2 (en) * 2018-12-27 2022-06-21 Eli Talmor Method and system for secure applications using blockchain
CN110049060A (zh) * 2019-04-28 2019-07-23 南京理工大学 基于区块链的分布式可信身份存证方法及系统
US11176282B2 (en) * 2019-06-18 2021-11-16 Microsoft Technology Licensing, Llc Encrypting data associated with decentralized identifier
CN111095865B (zh) * 2019-07-02 2023-08-04 创新先进技术有限公司 用于发布可验证声明的系统和方法
US11146552B1 (en) * 2019-08-29 2021-10-12 American Express Travel Related Services Company, Inc. Decentralized application authentication

Patent Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2008287701A (ja) 2007-03-28 2008-11-27 Symantec Corp パーティ間の推移的信用に基づいてユーザのデジタルアイデンティティを受け入れる方法及び装置
US20170286768A1 (en) 2015-03-09 2017-10-05 Michigan Health Information Network - Mihin System and method for identity proofing and knowledge based authentication
JP2018537022A (ja) 2015-10-14 2018-12-13 ケンブリッジ ブロックチェーン，エルエルシー デジタルアイデンティティを管理するためのシステム及び方法
JP2019506103A (ja) 2015-12-22 2019-02-28 ジェムアルト エスアー 信頼できるアイデンティティを管理する方法
JP2019097148A (ja) 2017-11-22 2019-06-20 シビラ株式会社 認証方法、認証装置、コンピュータプログラム及びシステムの製造方法
US20190333054A1 (en) 2018-04-20 2019-10-31 Infonetworks Llc System for verification of pseudonymous credentials for digital identities with managed access to personal data on trust networks
JP6592573B1 (ja) 2018-09-10 2019-10-16 Ｌｉｎｅ株式会社 情報処理方法、情報表示方法、プログラム、端末、サーバ
US10425230B1 (en) 2019-03-01 2019-09-24 Capital One Services, Llc Identity and electronic signature verification in blockchain
WO2019179534A2 (en) 2019-07-02 2019-09-26 Alibaba Group Holding Limited System and method for creating decentralized identifiers

Also Published As

Publication number Publication date
EP3852338B1 (en) 2023-09-06
CN111277577B (zh) 2022-06-07
EP3852338A1 (en) 2021-07-21
US20210218574A1 (en) 2021-07-15
KR102509688B1 (ko) 2023-03-14
KR20210091677A (ko) 2021-07-22
JP2021111412A (ja) 2021-08-02
CN111277577A (zh) 2020-06-12

Similar Documents

Publication Publication Date Title
JP7119142B2 (ja) デジタルｉｄ検証方法及び装置、電子機器、非一時的コンピュータ可読記憶媒体並びにプログラム
CN108235806B (zh) 安全访问区块链的方法、装置、系统、存储介质及电子设备
EP2351316B1 (en) Method and system for token-based authentication
US11196729B2 (en) Methods and systems for distributing encrypted cryptographic data
US9094212B2 (en) Multi-server authentication token data exchange
US8788843B2 (en) Storing user data in a service provider cloud without exposing user-specific secrets to the service provider
US8627409B2 (en) Framework for automated dissemination of security metadata for distributed trust establishment
JP7069286B2 (ja) プライバシーデータの処理方法、プライバシーデータの処理装置、機器及び媒体
CN102404314B (zh) 远程资源单点登录
KR101130415B1 (ko) 비밀 데이터의 노출 없이 통신 네트워크를 통해 패스워드 보호된 비밀 데이터를 복구하는 방법 및 시스템
CN111737366B (zh) 区块链的隐私数据处理方法、装置、设备以及存储介质
CN110048848B (zh) 通过被动客户端发送会话令牌的方法、系统和存储介质
JP2019522412A (ja) 登録・認可方法、装置及びシステム
US9749130B2 (en) Distributing keys for decrypting client data
CN115242471A (zh) 信息传输方法、装置、电子设备及计算机可读存储介质
CN113987561A (zh) 一种基于可信执行环境的隐私数据分级方法、系统及终端
CN115189975B (zh) 登录方法、装置、电子设备和存储介质
JP5860421B2 (ja) 復号方法、復号システム

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20210113

A977 Report on retrieval

Free format text: JAPANESE INTERMEDIATE CODE: A971007

Effective date: 20211130

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20211221

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20220310

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20220311

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20220712

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20220713

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20220726

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20220803

R150 Certificate of patent or registration of utility model

Ref document number: 7119142

Country of ref document: JP

Free format text: JAPANESE INTERMEDIATE CODE: R150