TW202247154A - 資料授權系統、方法及電腦可讀取記錄媒體 - Google Patents

Abstract

本發明揭示一種資料授權系統及方法，包括第一授權元件產生第一個人金鑰對於第一晶片中，以利用第一個人金鑰對註冊第一個人憑證至伺服器，而第二授權元件產生代理人金鑰對於第二晶片中，以利用代理人金鑰對提出代理申請至伺服器，於同意代理後，第一授權元件利用第一個人金鑰對對代理申請簽出代理人憑證，再利用代理人憑證加密第一晶片中的授權資料，將經加密的授權資料以及代理人憑證上傳至伺服器，接著，於驗證通過後，第二授權元件自伺服器下載經加密的授權資料以及代理人憑證至第二晶片中。本發明另提供用於一種資料授權方法的電腦可讀取記錄媒體。

Description

資料授權系統、方法及電腦可讀取記錄媒體

本發明係關於一種資料授權技術，詳而言之，係關於一種利用積體電路之資料授權系統及方法。

近年來，電子證件(例如健保卡等)的誕生與發展帶給人們生活上很大的改變。

一般而言，在可攜式塑膠卡片內嵌積體電路(IC)稱為晶片卡或智慧卡，其中包含微處理器、I/O介面以及記憶體。另外，依晶片中儲存資訊之用途不同可區分為:身分證、健保卡、駕照、信用卡、電子票證、交通票證等。

現今，無論是醫院看診或藥局領藥皆須使用到健保卡，然而，若是異地就醫但未攜帶健保卡、或是未將幼兒健保卡隨身攜帶但又須臨時看診，則相當不便。此外，雖然目前電子證件使用頻繁，還是有很多情況需使用傳統證件，例如：投票、護照簽證、保險、稅務、辦手機、領取掛號或包裹等等，沒有身分證則無法執行前述行為，例如無法代領貨物。

因此，如何合法且安全地獲得證件中的授權資料，為目前業界亟待解決之課題。

為解決上述問題及其他問題，本發明揭示一種資料授權系統、方法及電腦可讀取記錄媒體。

本發明之資料授權系統係包括：伺服器；第一授權元件，用於產生一第一個人金鑰對於一第一晶片中，以利用該第一個人金鑰對註冊一第一個人憑證至該伺服器；及第二授權元件，用於產生一代理人金鑰對於一第二晶片中，以利用該代理人金鑰對提出一代理申請至該伺服器；其中，該第一授權元件利用該第一個人金鑰對對該代理申請簽出一代理人憑證，再利用該代理人憑證加密該第一晶片中的一授權資料，將經加密的該授權資料以及該代理人憑證上傳至該伺服器後，該第二授權元件自該伺服器下載該經加密的該授權資料以及該代理人憑證至該第二晶片中。

本發明之資料授權系統更包括：應用服務讀取元件，其中，透過該應用服務讀取元件由該第二晶片對輸入的代理人密碼進行驗證，以於驗證通過後，該應用服務讀取元件利用該代理人金鑰對解密該經加密的該授權資料，再將該授權資料以及該代理人憑證傳輸至一應用服務端，進而使該應用服務端自該伺服器取得該第一個人憑證，根據該第一個人憑證對該代理人憑證進行驗證並於驗證通過後，根據該代理人憑證內定義的授權範圍對該授權資料進行比對。

於一實施例中，該第一晶片儲存有一第一個人資料、及該第一個人金鑰對，及其中，該授權資料為該第一個人資料的一部分，而該第二晶片儲存有一第二個人資料、一第二個人金鑰對、一代理人密碼、及該代理人金鑰對，而該第二晶片根據所儲存的代理人密碼對該輸入的代理人密碼進行驗證，以於該儲存的代理人密碼與該輸入的代理人密碼一致時，驗證通過。此外，該伺服器係儲存該經加密的該授權資料。

另外，該第一晶片利用該第一授權元件登入該伺服器進行身分驗證，以於身分驗證通過後審核該代理申請，於審核通過後，利用該第一個人金鑰對該代理申請簽出該代理人憑證。另外，該第二晶片利用該第二授權元件登入該伺服器進行身分驗證，以於身分驗證通過後透過該第二授權元件自該伺服器下載該經加密的該授權資料以及該代理人憑證。

本發明之資料授權方法係包括：令一第一授權元件產生一第一個人金鑰對於一第一晶片中，以利用該第一個人金鑰對註冊一第一個人憑證至一伺服器；令一第二授權元件產生一代理人金鑰對於一第二晶片中，以利用該代理人金鑰對提出一代理申請至該伺服器；以及令該第一授權元件利用該第一個人金鑰對對該代理申請簽出一代理人憑證，再利用該代理人憑證加密該第一晶片中的一授權資料，將經加密的該授權資料以及該代理人憑證上傳至該伺服器後，令該第二授權元件自該伺服器下載該經加密的該授權資料以及該代理人憑證至該第二晶片中。

本發明之資料授權方法更包括：透過一應用服務讀取元件由該第二晶片對輸入的代理人密碼進行驗證，以於驗證通過後，該應用服務讀取元件利用該代理人金鑰對解密該經加密的該授權資料，再將該授權資料以及該代理 人憑證傳輸至一應用服務端，更包括：該應用服務端進而自該伺服器取得該第一個人憑證，根據該第一個人憑證對該代理人憑證進行驗證並於驗證通過後，根據該代理人憑證內定義的授權範圍對該授權資料進行比對。

本發明復提供一種電腦可讀取記錄媒體，應用於計算裝置或電腦中，係儲存有指令，以執行前述之資料授權方法。

因此，根據本發明之資料授權系統、方法及電腦可讀取記錄媒體，多個使用者之間可彼此設定代理權限，例如代理時限、個資的授權範圍等等，讓代理者能在任何地點安全地下載被授權的資料到己方的晶片卡中，以自己的晶片卡執行被代理者的授權業務。此外，在註冊和申請代理期間，個資會被加密傳送，藉此排除個資洩漏的風險。

10:伺服器

11:第一個人帳號

111:第一個人憑證

112:代理人憑證

113:加密的授權資料

114:代理申請

21:第一授權元件

22:第二授權元件

31:第一晶片

311:第一個人資料

312:第一個人金鑰對

32:第二晶片

321:第二個人資料

323:代理人金鑰對

324:代理人密碼

325:代理人憑證

326:加密的授權資料

40:應用服務端

41:應用服務讀取元件

S201~S206:步驟

圖1係為本發明之資料授權系統之方塊示意圖。

圖2係為本發明之資料授權方法之流程示意圖。

圖3係為本發明之資料授權系統及方法的簽發個人憑證的實施例之示意圖。

圖4係為本發明之資料授權系統及方法的提出代理申請的實施例之示意圖。

圖5係為本發明之資料授權系統及方法的簽出代理人憑證及加密授權資料的實施例之示意圖。

圖6係為本發明之資料授權系統及方法之下載加密的授權資料及代理人憑證的實施例之示意圖。

圖7係為本發明之資料授權系統及方法之應用服務端的運作的實施例之示意圖。

以下藉由特定的實施例說明本案之實施方式，熟習此項技藝之人士可由本文所揭示之內容輕易地瞭解本案之其他優點及功效。本說明書所附圖式所繪示之結構、比例、大小等均僅用於配合說明書所揭示之內容，以供熟悉此技藝之人士之瞭解與閱讀，非用於限定本案可實施之限定條件，故任何修飾、改變或調整，在不影響本案所能產生之功效及所能達成之目的下，均應仍落在本案所揭示之技術內容得能涵蓋之範圍內。

請參閱圖1，其示意說明本發明之資料授權系統的架構，至少包括伺服器10、第一授權元件21、第二授權元件22、應用服務讀取元件41。

圖1中之系統的各元件均可為軟體、硬體或韌體；若為硬體，則可為具有資料處理與運算能力之處理單元、處理器、電腦或伺服器；若為軟體或韌體，則可包括處理單元、處理器、電腦或伺服器可執行之指令。

伺服器10，用於供使用者端(例如：第一授權元件21或第二授權元件22)之註冊或代理申請，以及供應用服務端40之介接。在一實施例中，伺服器10用於儲存個人憑證、代理人憑證、及加密的授權資料。

第一授權元件21用於安裝於該使用者端，例如為軟體，透過讀卡機介面等技術取存取第一晶片31，其中第一晶片31儲存有一第一個人資料。此外，第一授權元件21產生一第一個人金鑰對於第一晶片31中，以利用該第一個人金鑰對向伺服器10註冊一第一個人憑證。詳言之，第一授權元件21利用該第 一個人金鑰對的公鑰產生憑證簽署要求(Certificate Signing Request；CSR)，供伺服器10傳送至第三方憑證機構(Certificate Authority；CA)審核，第三方憑證機構再回傳憑證，即該第一個人憑證，至伺服器10中。

第二授權元件22用於安裝於該使用者端，透過讀卡機介面等技術來存取第二晶片32，其中第二晶片32儲存有一第二個人資料。此外，第二授權元件22產生一代理人金鑰及一代理人密碼於第二晶片32中，以利用該代理人金鑰對向伺服器10提出一代理申請。同樣地，第二授權元件22也產生一第二個人金鑰對於第二晶片32中。

另外，第一晶片31利用第一授權元件21登入伺服器10進行身分驗證，以於身分驗證通過後審核該代理申請。於審核通過後，第一授權元件21利用該第一個人金鑰對的私鑰對該代理申請簽出一代理人憑證，再利用該代理人憑證加密第一晶片31中的一授權資料(該授權資料為該第一個人資料的一部分)，以將經加密的該授權資料以及該代理人憑證上傳至伺服器10。

另外，第二晶片22利用第二授權元件32登入伺服器10進行身分驗證，以於身分驗證通過後，第二授權元件22自伺服器10下載該經加密的該授權資料以及該代理人憑證至第二晶片32中。

透過應用服務讀取元件41，第二晶片32根據所儲存的代理人密碼對輸入至應用服務讀取元件41之輸入的代理人密碼進行驗證，當該儲存的代理人密碼與該輸入的代理人密碼一致時，即驗證通過。於驗證通過後，應用服務讀取元件41利用該代理人金鑰對解密該經加密的該授權資料，解密之後，將該授權資料以及該代理人憑證透過應用服務讀取元件41傳輸至應用服務端40。進而，應用服務端40自伺服器10取得該第一個人憑證，以根據該第一個人憑證對 該代理人憑證進行驗證，當確認該第一個人憑證與該代理人憑證為合法的上下級憑證簽發關係後，即驗證通過。於驗證通過後，應用服務端40根據該代理人憑證內定義的授權範圍對該授權資料進行比對。

請參閱圖2，其示意說明本發明之資料授權方法的流程，包括步驟S201~S206。

在步驟S201，第一授權元件產生第一個人金鑰對於第一晶片中，以利用該第一個人金鑰對註冊第一個人憑證至伺服器。另外，該第一晶片透過該第一授權元件登入該伺服器以註冊第一個人帳號，而該第一個人憑證便存在該第一個人帳號中。接著進至步驟S202。

在步驟S202，第二授權元件產生代理人金鑰對於第二晶片中，以利用該代理人金鑰對提出代理申請至該伺服器。另外，該第二授權元件也產生代理人密碼於該第二晶片中。接著進至步驟S203。

在步驟S203，該第一授權元件利用該第一個人金鑰對對該代理申請簽出代理人憑證，再利用該代理人憑證加密該第一晶片中的授權資料，將經加密的該授權資料以及該代理人憑證上傳至該伺服器。另外，在簽出該代理人憑證之前，該第一晶片利用該第一授權元件登入該伺服器進行身分驗證，以於身分驗證通過後審核該代理申請，於審核通過後，才簽出該代理人憑證。接著進至步驟S204。

在步驟S204，該第二授權元件自該伺服器下載該經加密的該授權資料以及該代理人憑證至該第二晶片中。另外，於下載該經加密的該授權資料以及該代理人憑證之前，該第二晶片利用該第二授權元件登入該伺服器進行身 分驗證，以於身分驗證通過後，才下載該經加密的該授權資料以及該代理人憑證。接著進至步驟S205。

在步驟S205，透過應用服務讀取元件由第二晶片對輸入的代理人密碼進行驗證，以於驗證通過後，該應用服務讀取元件利用代理人金鑰對解密該經加密的該授權資料，再將該授權資料以及該代理人憑證傳輸至一應用服務端。其中，該第二晶片根據所儲存的代理人密碼對輸入的代理人密碼進行驗證，當該儲存的代理人密碼與該輸入的代理人密碼一致時，即驗證通過。接著進至步驟S206。

在步驟S206，應用服務端自伺服器取得第一個人憑證，根據第一個人憑證對代理人憑證進行驗證，以於驗證通過後根據代理人憑證內定義的授權範圍對該授權資料進行比對。其中，當確認該第一個人憑證與該代理人憑證為合法的上下級憑證簽發關係後，即驗證通過。

請參閱圖3，其示意說明本發明之資料授權系統及方法的簽發個人憑證的實施例。

使用者A(未圖示)透過第一授權元件21存取第一晶片31，註冊時先於第一晶片31內產生第一個人金鑰對312，其中，第一晶片31內還具有第一個人資料311。接著，利用第一個人金鑰對312內之公鑰向伺服器10註冊第一個人憑證111，註冊成功後伺服器10內會產生第一個人帳號11，紀錄第一個人憑證111。

請參閱圖4，其示意說明為本發明之資料授權系統及方法的提出代理申請的實施例。

使用者B(未圖示)透過第二授權元件22存取第二晶片32，申請時先於第二晶片32內產生代理人金鑰對323及對應解密功能之代理人密碼324。接著，利用代理人金鑰對323向伺服器10提出向第一個人帳號11之代理申請114。

請參閱圖5，其示意說明為本發明之資料授權系統及方法的簽出代理人憑證及加密授權資料的實施例。

使用者A(未圖示)透過第一授權元件21及第一晶片31進入伺服器10，審核上述使用者B所提出之代理申請114。若同意授權，將透過第一授權元件21存取第一晶片31內之第一個人金鑰對312，針對代理申請114簽出代理人憑證112。接著，第一授權元件21從第一晶片31內之第一個人資料311讀出第一個人資料311中被同意授權之資料，利用代理人憑證112對其加密以產生加密的授權資料113。接著，第一授權元件21將加密的授權資料113及代理人憑證112上傳至伺服器10，伺服器10將其寫入第一個人帳號11內。

請參閱圖6，其示意說明為本發明之資料授權系統及方法之下載加密的授權資料及代理人憑證的實施例。

使用者B(未圖示)透過第二授權元件22及第二晶片32，至伺服器10取得加密的授權資料113及代理人憑證112。接著，第二授權元件22將加密的授權資料113及代理人憑證112寫入第二晶片32內，成為在第二晶片32內的加密的授權資料326及代理人憑證325。

請參閱圖7，其示意說明為本發明之資料授權系統及方法之應用服務端的運作的實施例。

應用服務端40須透過呼叫應用服務讀取元件41來存取第二晶片32內的被代理者資料，也就是使用者A(未圖示)授權後才寫入第二晶片32內的加密的授權資料326。存取加密的授權資料326時，先執行代理人密碼的驗證。此時，應用服務讀取元件41等待接收使用者B(未圖示)輸入的代理人密碼，於第二晶片32內驗證通過後方能存取加密的授權資料326。

藉此，透過代理人密碼機制，可以確保只有「合法授權代理人(使用者B)」能夠讀取加密的授權資料，並且此機制符合雙因子驗證之安全強度，唯有同時具備「What You Have(授權寫入之第二晶片32)」與「What You Know(代理人密碼)」兩項條件之使用者，方能讀取加密的授權資料。

第二晶片32內驗證輸入的代理人密碼與代理人密碼324一致後，將使用代理人金鑰對323內的私鑰對於加密的授權資料326進行解密，解密之後，應用服務讀取元件41將已解密之授權資料與代理人憑證325一併讀出，並回傳至應用服務端40。

當應用服務端40獲得第二晶片32內的已解密之授權資料與代理人憑證325時，為了應用服務端40驗證代理人憑證325之有效性，應用服務端40向伺服器10取得代理人憑證325之簽發者憑證，也就是第一個人憑證111，並且透過建立憑證鏈之方式來確認第一個人憑證111與代理人憑證325是否為合法之上下級憑證簽發關係。

換言之，代理人憑證325為授權寫入時期在使用者A同意之情況下，透過使用者A之第一個人金鑰對312內之私鑰所簽署，再由伺服器10進行核發，因此藉由第一個人憑證111與代理人憑證325之間的憑證鏈關係建立成功與 否，可用以驗證代理人憑證325之有效性，進而確認使用者B是否真的是使用者A所授權之合法代理人。

當應用服務端40確認代理人憑證325之有效性後，則可讀取代理人憑證325內所定義之授權資料欄位，並與已解密之授權資料比對，確認所取得之授權資料項目是否與代理人憑證325內所定義之授權資料欄位完全相符。

若資料完全相符，則可確認授權資料之範圍確實經過使用者A本人同意而授權代理，並不是使用者B或是伺服器10在非經授權之情況下所複製或偽造之資料。

因此，應用服務端40在確認「使用者B為使用者A授權之合法代理人」以及「由第二晶片32內所讀出之授權資料為使用者A同意之授權資料」等2項條件皆滿足之情況下，則可允許使用者B代理使用者A來存取應用服務。

此外，本發明還揭示一種電腦可讀取記錄媒體，係應用於具有處理器(例如，CPU、GPU等)及/或記憶體的計算裝置或電腦中，且儲存有指令，並可利用此計算裝置或電腦透過處理器及/或記憶體執行此電腦可讀媒介，以於執行此電腦可讀媒介時執行上述之方法及各步驟。

綜上所述，本發明之資料授權系統、方法及電腦可讀取記錄媒體為一種點對點的資料加密授權技術，不同於中央控管式的寫卡，本發明不會洩漏個人資料給予中控系統。此外，不同的使用者之間可彼此授權寫卡，達到即時性的遠端代理人認證及資料授權，而授權者還可審核並刪減被請求授權之資料。因此，原本無法使用電子證件的場合將產生變化，極大程度的改善電子證件的使用體驗(例如：代領貨需持本人證件但未攜帶、臨時異地看病未攜帶健保卡等)。再而，本發明可應用於常見之電子證件，如健保卡、自然人憑證、悠遊 卡、各種識別證等。於支援此電子證件授權的同時，各電子證件系統仍可維持對原本已發行之舊版電子證件之相容性，不會造成舊電子證件無法使用之情形。

因此，本發明之資料授權系統、方法及電腦可讀取記錄媒體的優點如下：

點對點個人資料授權，非既有技術之中央控管式的寫卡，根本上的不同是由端點對端點的資料加密，中控系統無法取得卡片資料，亦非透過系統複製卡片。除系統無法取得資料外，授權之資料亦可採取部分授權，僅提供部分必要之資料給予請求者，相比過往整張證件資訊提供，可避免不必要之資訊洩漏。不同於其他技術，授權及電子證件寫入皆針對個人；此技術可令不同人相互授權電子證件，使用者同意下可達到異地代理人之功效。市面常見之電子證件皆可應用，除該電子證件系統需調整以支援新電子證件外，既有已發行之電子證件的使用不會受到影響。

上述實施例僅例示性說明本案之功效，而非用於限制本案，任何熟習此項技藝之人士均可在不違背本案之精神及範疇下對上述該些實施態樣進行修飾與改變。因此本案之權利保護範圍，應如後述之申請專利範圍所列。

10:伺服器

21:第一授權元件

22:第二授權元件

31:第一晶片

32:第二晶片

40:應用服務端

41:應用服務讀取元件

Claims (13)

1. 一種資料授權系統，係包括：

   伺服器；

   第一授權元件，用於產生一第一個人金鑰對於一第一晶片中，以利用該第一個人金鑰對註冊一第一個人憑證至該伺服器；及

   第二授權元件，用於產生一代理人金鑰對於一第二晶片中，以利用該代理人金鑰對提出一代理申請至該伺服器；

   其中，該第一授權元件利用該第一個人金鑰對對該代理申請簽出一代理人憑證，再利用該代理人憑證加密該第一晶片中的一授權資料，將經加密的該授權資料以及該代理人憑證上傳至該伺服器後，該第二授權元件自該伺服器下載該經加密的該授權資料以及該代理人憑證至該第二晶片中。
2. 如請求項1所述之資料授權系統，更包括應用服務讀取元件，其中，透過該應用服務讀取元件由該第二晶片對輸入的代理人密碼進行驗證，以於驗證通過後，該應用服務讀取元件利用該代理人金鑰對解密該經加密的該授權資料，再將該授權資料以及該代理人憑證傳輸至一應用服務端，進而使該應用服務端自該伺服器取得該第一個人憑證，根據該第一個人憑證對該代理人憑證進行驗證並於驗證通過後，根據該代理人憑證內定義的授權範圍對該授權資料進行比對。
3. 如請求項1所述之資料授權系統，其中，該第一晶片儲存有一第一個人資料、及該第一個人金鑰對，及其中，該授權資料為該第一個人資料的一部分，以及其中，該伺服器係儲存該經加密的該授權資料。
4. 如請求項2所述之資料授權系統，其中，該第二晶片儲存有一第二個人資料、一第二個人金鑰對、一代理人密碼、及該代理人金鑰對，及其中，該第二晶片根據所儲存的代理人密碼對該輸入的代理人密碼進行驗證，以於該儲存的代理人密碼與該輸入的代理人密碼一致時，驗證通過。
5. 如請求項1所述之資料授權系統，其中，該第一晶片利用該第一授權元件登入該伺服器進行身分驗證，以於身分驗證通過後審核該代理申請，於審核通過後，利用該第一個人金鑰對該代理申請簽出該代理人憑證。
6. 如請求項1所述之資料授權系統，其中，該第二晶片利用該第二授權元件登入該伺服器進行身分驗證，以於身分驗證通過後透過該第二授權元件自該伺服器下載該經加密的該授權資料以及該代理人憑證。
7. 一種資料授權方法，係包括：

   令一第一授權元件產生一第一個人金鑰對於一第一晶片中，以利用該第一個人金鑰對註冊一第一個人憑證至一伺服器；

   令一第二授權元件產生一代理人金鑰對於一第二晶片中，以利用該代理人金鑰對提出一代理申請至該伺服器；以及

   令該第一授權元件利用該第一個人金鑰對對該代理申請簽出一代理人憑證，再利用該代理人憑證加密該第一晶片中的一授權資料，將經加密的該授權資料以及該代理人憑證上傳至該伺服器後，令該第二授權元件自該伺服器下載該經加密的該授權資料以及該代理人憑證至該第二晶片中。
8. 如請求項7所述之資料授權方法，更包括：透過一應用服務讀取元件由該第二晶片對輸入的代理人密碼進行驗證，以於驗證通過後，該應用服務讀取元件利用該代理人金鑰對解密該經加密的該授權資料，再將該授權資 料以及該代理人憑證傳輸至一應用服務端，更包括：該應用服務端進而自該伺服器取得該第一個人憑證，以根據該第一個人憑證對該代理人憑證進行驗證並於驗證通過後，根據該代理人憑證內定義的授權範圍對該授權資料進行比對。
9. 如請求項7所述之資料授權方法，其中，該第一晶片儲存有一第一個人資料、及該第一個人金鑰對，及其中，該授權資料為該第一個人資料的一部分，以及其中，該伺服器係儲存該經加密的該授權資料。
10. 如請求項8所述之資料授權方法，其中，該第二晶片儲存有一第二個人資料、一第二個人金鑰對、一代理人密碼、及該代理人金鑰對，及其中，該第二晶片根據所儲存的代理人密碼對該輸入的代理人密碼進行驗證，以於該儲存的代理人密碼與該輸入的代理人密碼一致時，驗證通過。
11. 如請求項7所述之資料授權方法，其中，該第一晶片利用該第一授權元件登入該伺服器進行身分驗證，以於身分驗證通過後審核該代理申請，於審核通過後，利用該第一個人金鑰對該代理申請簽出該代理人憑證。
12. 如請求項7所述之資料授權方法，其中，該第二晶片利用該第二授權元件登入該伺服器進行身分驗證，以於身分驗證通過後透過該第二授權元件自該伺服器下載該經加密的該授權資料以及該代理人憑證。
13. 一種電腦可讀取記錄媒體，應用於計算裝置或電腦中，係儲存有指令，以執行如請求項7至12之任一者所述之資料授權方法。

Images