TWI823202B

TWI823202B - 代理授權系統和代理授權方法

Info

Publication number: TWI823202B
Application number: TW110145223A
Authority: TW
Inventors: 林晉賢; 林崇頤; 張繼軒; 周秋妃
Original assignee: 中華電信股份有限公司
Priority date: 2021-12-03
Filing date: 2021-12-03
Publication date: 2023-11-21
Also published as: TW202324153A

Abstract

提供一種代理授權系統和代理授權方法。代理授權方法包含：由授權伺服器自委託用戶設備接收代理請求；由第一代理用戶設備自授權伺服器取得對應於代理請求的授權資料，根據授權資料產生驗證資料，並且傳送驗證資料至授權伺服器；以及由授權伺服器根據驗證資料判斷第一代理用戶設備是否通過身分驗證，並且響應於第一代理用戶設備通過身分驗證而傳送對應於代理請求的權杖至第一代理用戶設備。

Description

代理授權系統和代理授權方法

本發明是有關於一種代理授權系統和代理授權方法。

時至今日，生活越趨繁忙的人們經常有眾多需至臨櫃辦理的業務無法親自辦理。因此，代理授權技術逐漸興起。在現有代理授權技術下，透過實體憑證卡片下載授權資料。代理者持實體憑證卡片至應用服務端請求存取服務。於此情境中，受理方難以保證實體憑證卡片之持有使用者身分為合法使用者。此外，實體憑證卡存取之資料修改不易，需透過插卡認證後方得修改其授權資料內容，且後續查詢追蹤交易紀錄皆有所不便，亦難以滿足不指定代理人之使用情境。

據此，如何提出合理、合法且安全的代理機，是各界長期以來持續關注的議題。

本發明提供一種代理授權系統和代理授權方法，可為使用者委託的代理人進行認證和授權。

本發明的一種代理授權系統，包含委託用戶設備、第一代理用戶設備以及授權伺服器。授權伺服器通訊連接至委託用戶設備以及第一代理用戶設備，其中授權伺服器自委託用戶設備接收代理請求，其中第一代理用戶設備自授權伺服器取得對應於代理請求的授權資料，根據授權資料產生驗證資料，並且傳送驗證資料至授權伺服器，其中授權伺服器根據驗證資料判斷第一代理用戶設備是否通過身分驗證，並且響應於第一代理用戶設備通過身分驗證而傳送對應於代理請求的權杖至第一代理用戶設備。

在本發明的一實施例中，上述的代理請求包含對應於第一代理用戶設備的用戶識別碼，其中授權伺服器根據用戶識別碼傳送授權資料至第一代理用戶設備。

在本發明的一實施例中，上述的第一代理用戶設備自授權伺服器所發出的廣播訊息取得授權資料。

在本發明的一實施例中，上述的委託用戶設備傳送異動請求至授權伺服器，其中授權伺服器根據異動請求更新授權資料以及權杖，並且傳送經更新的權杖至第一代理用戶設備。

在本發明的一實施例中，上述的代理授權系統更包含第二代理用戶設備。第二代理用戶設備通訊連接至授權伺服器，其中第一代理用戶設備傳送第二代理請求至授權伺服器，其中授權伺服器根據第二代理請求更新權杖，並且傳送經更新的權杖至第二代理用戶設備。

在本發明的一實施例中，上述的授權伺服器響應於接收第二代理請求而傳送確認訊息至委託用戶設備，其中授權伺服器響應於自委託用戶設備接收對應於確認訊息的同意訊息而傳送經更新的權杖至第二代理用戶設備。

在本發明的一實施例中，上述的第一代理用戶設備傳送註冊資料至授權伺服器，其中授權伺服器比對驗證資料以及註冊資料以判斷第一代理用戶設備是否通過身分驗證。

在本發明的一實施例中，上述的授權資料包含下列的至少其中之一：代理授權項目、時限、資料可用次數以及指定的應用服務。

本發明的一種代理授權方法，適用於委託用戶設備、第一代理用戶設備以及授權伺服器，其中代理授權方法包含：由授權伺服器自委託用戶設備接收代理請求；由第一代理用戶設備自授權伺服器取得對應於代理請求的授權資料，根據授權資料產生驗證資料，並且傳送驗證資料至授權伺服器；以及由授權伺服器根據驗證資料判斷第一代理用戶設備是否通過身分驗證，並且響應於第一代理用戶設備通過身分驗證而傳送對應於代理請求的權杖至第一代理用戶設備。

基於上述，本發明的代理授權系統可提供安全的代理授權機制，解決使用者無法親自辦理之業務之代辦需求。透過本代理授權系統之身分核實機制、訊息推播機制、代理權杖發送及生命週期控管等機制，可達成兼顧安全性、便利性及真確性的代理授權方案。

10:代理授權系統

100:委託用戶設備

110、210、310:代理授權應用程式

111:代理資料

200、300:代理用戶設備

211、311:身分資料

212、312:權杖

213、313:私鑰

500:授權伺服器

510:代理授權模組

511:請求公告平台

520:推播模組

530:權杖管理模組

540:實名認證模組

550:異動授權模組

560:公鑰

800:應用伺服器

S201、S202、S203、S204、S205、S206、S207、S208、S209、S301、S302、S303、S304、S401、S402、S403、S404、S405、S406、S407、S408、S409、S410、S411、S501、S502、S503:步驟

圖1根據本發明的一實施例繪示一種代理授權系統的示意圖。

圖2根據本發明的一實施例繪示執行代理授權的信令圖。

圖3根據本發明的一實施例繪示異動代理授權的信令圖。

圖4根據本發明的一實施例繪示執行多層代理授權的信令圖。

圖5根據本發明的一實施例繪示一種代理授權方法的流程圖。

為了使本發明之內容可以被更容易明瞭，以下特舉實施例作為本發明確實能夠據以實施的範例。另外，凡可能之處，在圖式及實施方式中使用相同標號的元件/構件/步驟，係代表相同或類似部件。

圖1根據本發明的一實施例繪示一種代理授權系統10的示意圖。代理授權系統10可包含委託用戶設備100、代理用戶設備200以及授權伺服器500。在一實施例中，代理授權系統10可進一步包含代理用戶設備300。授權伺服器500可通訊連接至委託用戶設備100、代理用戶設備200以及代理用戶設備300。

代理授權系統10中的元件(例如：委託用戶設備100、代理用戶設備200、代理用戶設備300或授權伺服器500)可具有處理單元(例如：處理器但不限於此)、通訊單元(例如：各類通訊晶片、行動通訊晶片、藍芽晶片、WiFi晶片等但不限於此)及儲存單元(例如：可移動隨機存取記憶體、快閃記憶體、硬碟等但不限於此)等運行所述元件的必要構件。處理單元可耦接通訊單元和儲存單元，並且存取和執行儲存在儲存單元中的軟體或應用程式以執行元件的各項功能。

具體來說，委託用戶設備100可包含代理授權應用程式110，其中代理授權應用程式110可包含代理資料111。代理用戶設備200可包含代理授權應用程式210，其中代理授權應用程式210可包含身分資料211、權杖(token)212以及私鑰213。代理用戶設備300可包含代理授權應用程式310，其中代理授權應用程式310可包含身分資料311、權杖312以及私鑰313。授權伺服器500可包含代理授權模組510、推播模組520、權杖管理模組530、實名認證模組540、異動授權模組550以及公鑰560，其中公鑰560可包含對應於私鑰213的公鑰或對應於私鑰313的公鑰。

圖2根據本發明的一實施例繪示執行代理授權的信令圖。請參照圖1和圖2。在步驟S201中，委託用戶設備100的代理授權應用程式110可傳送包含代理資料111的代理請求至授權伺服器500。授權伺服器500可自委託用戶設備100接收代理請求。代理請求可指定代理者也可不指定代理者。以代理用戶設備200為例，若委託用戶設備100的使用者想指定代理用戶設備200的使用者作為代理者，則委託用戶設備100的使用者可操作代理授權應用程式110傳送包含對應於代理用戶設備200的用戶識別碼的代理請求至授權伺服器500。若委託用戶設備100的使用者不想指定代理者，則使用者可操作代理授權應用程式110傳送不包含對應於代理用戶設備200的用戶識別碼的代理請求至授權伺服器500。

在步驟S202中，授權伺服器500的推播模組520可將對應於代理請求的授權資料傳送至代理用戶設備200。代理用戶設備200可自授權伺服器500取得授權資料。授權資料可包含代理授權項目(例如：由應用伺服器800提供的應用服務)、時限、資料可用次數或指定應用服務(例如：由應用伺服器800提供的應用服務)等資訊。時限可指示代理用戶設備200能為委託用戶設備100執行代理業務的特定時段。資料可用次數可指示代理用戶設備200能為委託用戶設備100執行代理業務的次數。

在一實施例中，授權伺服器500可以單播的方式傳送授權資料至代理用戶設備200。具體來說，若代理請求包含對應於代理用戶設備200的用戶識別碼(即：委託用戶設備100指定代理用戶設備200作為代理人)，則授權伺服器500的代理授權模組510可根據用戶識別碼辨識出代理用戶設備200。在辨識出代理用戶設備200後，推播模組520可以單播的方式傳送授權資料至對應於用戶識別碼的代理用戶設備200。

在一實施例中，授權伺服器500可以廣播的方式傳送授權資料至代理用戶設備200。具體來說，若代理請求不包含對應於任何代理用戶設備的用戶識別碼(即：委託用戶設備100未指定任何代理用戶設備作為代理人)，則代理授權模組510可產生包含授權資料的廣播訊息。推播模組520可將廣播訊息傳送至各個代理用戶設備(例如：代理用戶設備200或代理用戶設備300)。代理用戶設備可自廣播訊息取得授權資料。代理授權模組510也可選擇將授權資料放置在代理授權模組510中的請求公告平台511。若一代理用戶設備存取請求公告平台511，則所述代理用戶設備可自請求公告平台511取得授權資料。

在步驟S203中，代理用戶設備200可根據授權資料產生驗證資料，並且傳送驗證資料至授權伺服器500。具體來說，代理用戶設備200可在先前向授權伺服器500進行註冊。代理用戶設備200可傳送註冊資料至授權伺服器500，其中註冊資料可包含對應於代理用戶設備200的身分資料以及公鑰560。代理用戶設備200可將對應於公鑰560的私鑰213儲存起來。當代理用戶設備200接收授權資料時，代理用戶設備200可利用私鑰213對授權資料進行簽署以產生驗證資料，其中驗證資料可包含經簽署的授權資料以及身分資料等資訊。在一實施例中，身分資料可包含生物特徵(biological feature)，其中生物特徵可包含聲音、臉部特徵、指紋、掌紋、虹膜或視網膜等。

在步驟S204中，授權伺服器500的實名認證模組540可根據驗證資料判斷代理用戶設備200是否通過身分驗證。實名認證模組540可比對驗證資料以及儲存在授權伺服器500的註冊資料是否匹配。若驗證資料與註冊資料匹配，則實名認證模組540可判斷代理用戶設備200通過身分驗證。具體來說，實名認證模組540可利用公鑰560對驗證資料中的經簽署的授權資料進行解碼以取得解碼資料，並可比對解碼資料是否與在步驟S202產生的授權資料匹配。另一方面，實名認證模組540可比對驗證資料中的身分資料211是否與代理用戶設備200的註冊資料中的身分資料匹配。若解碼資料與授權資料匹配，並且驗證資料中的身分資料211與註冊資料中的身分資料匹配，則實名認證模組540可判斷代理用戶設備200通過身分認證。

若代理用戶設備200通過身分驗證，則授權伺服器500可接著執行步驟S205。在步驟S205中，權杖管理模組530製作對應於代理請求的權杖212。在步驟S206中，權杖管理模組530可傳送權杖212至代理用戶設備200。代理用戶設備200可將權杖212儲存起來。

在步驟S207中，代理用戶設備200可傳送權杖212至應用伺服器800，其中應用伺服器800可提供對應於代理請求的應用服務。在一實施例中，代理用戶設備200可進一步傳送身分資料211至應用伺服器800。

在步驟S208中，應用伺服器800可向授權伺服器500確認權杖212是否正確。在一實施例中，應用伺服器800可進一步向授權伺服器500確認身分資料211是否正確。若應用伺服器800自代理用戶設備200所取得的權杖212及/或身分資料211是正確的，在步驟S209中，應用伺服器800可為代理用戶設備200提供對應於代理請求的應用服務。

代理授權系統10可提供異動授權機制，讓委託人可方便快速地更改授權內容。圖3根據本發明的一實施例繪示異動代理授權的信令圖。請參照圖1和圖3。在步驟S301中，委託用戶設備100可傳送異動請求至授權伺服器500。在步驟S302中，授權伺服器500的權杖管理模組530可根據異動請求更新權杖212。此外，授權伺服器500還可根據異動請求更新代理授權項目、時限、資料可用次數或指定的應用服務等授權資料。在步驟S303中，推播模組520可傳送經更新的權杖212至代理用戶設備200。推播模組520還可進一步將經更新的授權資料傳送至代理用戶設備200。原本的權杖212(即：未經更新的權杖212)將變為無效。在步驟S304中，推播模組520可傳送訊息至委託用戶設備100，藉以提示委託用戶設備100授權的異動已經完成。

當代理用戶設備200的使用者無法為委託者辦理業務時，代理用戶設備200可通過多層代理授權機制委託其他的代理用戶設備(例如：代理用戶設備300)為委託者辦理業務。圖4根據本發明的一實施例繪示執行多層代理授權的信令圖。請參照圖1和圖4。在本實施例中，假設代理用戶設備200已經取得了對應於由委託用戶設備100所發出的代理請求的權杖212。

在步驟S401中，代理用戶設備200可傳送第二代理請求至授權伺服器500。第二代理請求可指定代理者也可不指定代理者。以代理用戶設備300為例，若代理用戶設備200的使用者想指定代理用戶設備300的使用者作為代理者，則代理用戶設備200的使用者可操作代理授權應用程式210傳送包含對應於代理用戶設備300的用戶識別碼的第二代理請求至授權伺服器500。若代理用戶設備200的使用者不想指定代理者，則使用者可操作代理授權應用程式210傳送不包含對應於代理用戶設備300的用戶識別碼的第二代理請求至授權伺服器500。

在步驟S402中，授權伺服器500的推播模組520可傳送確認訊息至委託用戶設備100，藉以提示代理用戶設備200欲委請其他代理用戶設備(即：代理用戶設備300)執行代理業務。

在步驟S403中，若委託用戶設備100的使用者同意將代理業務委請其他代理用設備處理，則委託用戶設備100可傳送對應於確認訊息的同意訊息至授權伺服器500。同意訊息可指示將對應於委託用戶設備100的代理業務從委請代理用戶設備200進行處理改為委請代理用戶設備300進行處理。

在步驟S404中，授權伺服器500的推播模組520可將對應於第二代理請求的授權資料傳送至代理用戶設備300。授權資料可包含代理授權項目(例如：由應用伺服器800提供的應用服務)、時限、資料可用次數或指定應用服務(例如：由應用伺服器800提供的應用服務)等資訊。

在一實施例中，授權伺服器500可以單播的方式傳送授權資料至代理用戶設備300。具體來說，若第二代理請求包含對應於代理用戶設備300的用戶識別碼(即：代理用戶設備200指定代理用戶設備300作為代理人)，則授權伺服器500的代理授權模組510可根據用戶識別碼辨識出代理用戶設備300。在辨識出代理用戶設備300後，推播模組520可以單播的方式傳送授權資料至對應於用戶識別碼的代理用戶設備300。

在一實施例中，授權伺服器500可以廣播的方式傳送授權資料至代理用戶設備300。具體來說，若第二代理請求不包含對應於任何代理用戶設備的用戶識別碼(即：代理用戶設備200未指定任何代理用戶設備作為代理人)，則代理授權模組510可產生包含授權資料的廣播訊息。推播模組520可將廣播訊息傳送至各個代理用戶設備(例如：代理用戶設備300)。代理用戶設備可自廣播訊息取得授權資料。代理授權模組510也可選擇將授權資料放置在代理授權模組510中的請求公告平台511。若一代理用戶設備存取請求公告平台511，則所述代理用戶設備可自請求公告平台511取得授權資料。

在步驟S405中，代理用戶設備300可根據授權資料產生驗證資料，並且傳送驗證資料至授權伺服器500。具體來說，代理用戶設備300可在先前向授權伺服器500進行註冊。代理用戶設備300可傳送註冊資料至授權伺服器500，其中註冊資料可包含對應於代理用戶設備300的身分資料以及公鑰560。代理用戶設備300可將對應於公鑰560的私鑰313儲存起來。當代理用戶設備300接收授權資料時，代理用戶設備300可利用私鑰313對授權資料進行簽署以產生驗證資料，其中驗證資料可包含經簽署的授權資料以及身分資料等資訊。在一實施例中，身分資料可包含生物特徵。

在步驟S406中，授權伺服器500的實名認證模組540可根據驗證資料判斷代理用戶設備300是否通過身分驗證。實名認證模組540可比對驗證資料以及儲存在授權伺服器500的註冊資料是否匹配。若驗證資料與註冊資料匹配，則實名認證模組540可判斷代理用戶設備300通過身分驗證。具體來說，實名認證模組540可利用公鑰560對驗證資料中的經簽署的授權資料進行解碼以取得解碼資料，並可比對解碼資料是否與在步驟S404產生的授權資料匹配。另一方面，實名認證模組540可比對驗證資料中的身分資料311是否與代理用戶設備300的註冊資料中的身分資料匹配。若解碼資料與授權資料匹配，並且驗證資料中的身分資料311與註冊資料中的身分資料匹配，則實名認證模組540可判斷代理用戶設備300通過身分認證。

若代理用戶設備300通過身分驗證，則授權伺服器500可接著執行步驟S407。在步驟S407中，權杖管理模組530可將權杖212更新為對應於第二代理請求的權杖312。在步驟S408中，權杖管理模組530可傳送權杖312至代理用戶設備300。代理用戶設備300可將權杖312儲存起來。

在步驟S409中，代理用戶設備300可傳送權杖312至應用伺服器800，其中應用伺服器800可提供對應於第二代理請求的應用服務。在一實施例中，代理用戶設備300可進一步傳送身分資料311至應用伺服器800。

在步驟S410中，應用伺服器800可向授權伺服器500確認權杖312是否正確。在一實施例中，應用伺服器800可進一步向授權伺服器500確認身分資料311是否正確。若應用伺服器800自代理用戶設備300所取得的權杖312及/或身分資料311是正確的，在步驟S411中，應用伺服器800可為代理用戶設備300提供對應於第二代理請求的應用服務。

圖5根據本發明的一實施例繪示一種代理授權方法的流程圖，其中方法可由如圖1所示的代理授權系統10實施。在步驟S501中，由授權伺服器自委託用戶設備接收代理請求。在步驟S502中，由第一代理用戶設備自授權伺服器取得對應於代理請求的授權資料，根據授權資料產生驗證資料，並且傳送驗證資料至授權伺服器。在步驟S503中，由授權伺服器根據驗證資料判斷第一代理用戶設備是否通過身分驗證，並且響應於第一代理用戶設備通過身分驗證而傳送對應於代理請求的權杖至第一代理用戶設備。

綜上所述，本發明的代理授權系統可提供合理、合法且安全之機制，解決使用者無法親自辦理業務之代辦需求。透過代理授權系統之身分核實機制、訊息推播機制、代理權杖發送及生命週期控管等機制，可達成兼顧安全性、便利性及真確性的代理授權方案。代理授權系統可結合生物特徵辨識、密碼辨識技術或金鑰簽署技術，加強對代理者身分的驗證，藉以避免代理授權遭到非合法持有者之濫用。代理授權系統可提供授權異動機制。使用者於有需求時能夠更快速方便地更改授權內容。代理授權系統可透過推播技術，於授權內容異動或多層授權發生時，即時地通知提供授權者並更新代理權杖。代理授權系統可提供不指定代理授權者對象之被動授權方法，以在使用者未指定代理授權對象的情況下，自動地為使用者安排代理人來完成代理業務。代理授權系統可提供更加彈性之多層授權方法，以滿足代理者需將代理授權之資格轉交予他人之情境。

S501、S502、S503:步驟

Claims

一種代理授權系統，包括：委託用戶設備；第一代理用戶設備；第二代理用戶設備；以及授權伺服器，通訊連接至所述委託用戶設備、所述第一代理用戶設備以及所述第二代理用戶設備，其中所述授權伺服器自所述委託用戶設備接收代理請求，其中所述代理請求包括對應於所述第一代理用戶設備的第一用戶識別碼，其中所述第一代理用戶設備自所述授權伺服器取得對應於所述代理請求的授權資料，根據所述授權資料產生驗證資料，並且傳送所述驗證資料至所述授權伺服器，其中所述授權伺服器根據所述第一用戶識別碼傳送所述授權資料至所述第一代理用戶設備，其中所述授權伺服器根據所述驗證資料判斷所述第一代理用戶設備是否通過身分驗證，並且響應於所述第一代理用戶設備通過所述身分驗證而傳送對應於所述代理請求的權杖至所述第一代理用戶設備，其中響應於所述第一代理用戶設備取得對應於由所述委託用戶設備所發出的所述代理請求的所述權杖，所述第一代理用戶設備通過多層代理授權機制委託所述第二代理用戶設備辦理業務，其中響應於所述第一代理用戶設備指定所述第二代理用戶設備為代理者，所述第一代理用戶設備傳送包含對應於所述第二代理用戶設備的第二用戶識別碼的第二代理請求至所述授權伺服器，並且響應於所述第一代理用戶設備未指定所述代理者，所述第一代理用戶設備傳送不包含對應於所述第二代理用戶設備的所述第二用戶識別碼的所述第二代理請求至所述授權伺服器。
如請求項1所述的代理授權系統，其中所述第一代理用戶設備自所述授權伺服器所發出的廣播訊息取得所述授權資料。
如請求項1所述的代理授權系統，其中所述委託用戶設備傳送異動請求至所述授權伺服器，其中所述授權伺服器根據所述異動請求更新所述授權資料以及所述權杖，並且傳送經更新的所述權杖至所述第一代理用戶設備。
如請求項1所述的代理授權系統，其中所述第一代理用戶設備傳送所述第二代理請求至所述授權伺服器，其中更包括：所述授權伺服器根據所述第二代理請求更新所述權杖，並且傳送經更新的所述權杖至所述第二代理用戶設備。
如請求項4所述的代理授權系統，其中所述授權伺服器響應於接收所述第二代理請求而傳送確認訊息至所述委託用戶設備，其中所述授權伺服器響應於自所述委託用戶設備接收對應於所述確認訊息的同意訊息而傳送經更新的所述權杖至所述第二代理用戶設備。
如請求項1所述的代理授權系統，其中所述第一代理用戶設備傳送註冊資料至所述授權伺服器，其中所述授權伺服器比對所述驗證資料以及所述註冊資料以判斷所述第一代理用戶設備是否通過所述身分驗證。
如請求項1所述的代理授權系統，其中所述授權資料包括下列的至少其中之一：代理授權項目、時限、資料可用次數以及指定的應用服務。
一種代理授權方法，適用於委託用戶設備、第一代理用戶設備、第二代理用戶設備以及授權伺服器，其中所述代理授權方法包括：由所述授權伺服器自所述委託用戶設備接收代理請求，其中所述代理請求包括對應於所述第一代理用戶設備的第一用戶識別碼；由所述第一代理用戶設備自所述授權伺服器取得對應於所述代理請求的授權資料，根據所述授權資料產生驗證資料，並且傳送所述驗證資料至所述授權伺服器，其中所述授權伺服器根據所述第一用戶識別碼傳送所述授權資料至所述第一代理用戶設備；以及由所述授權伺服器根據所述驗證資料判斷所述第一代理用戶設備是否通過身分驗證，並且響應於所述第一代理用戶設備通過所述身分驗證而傳送對應於所述代理請求的權杖至所述第一代理用戶設備，其中響應於所述第一代理用戶設備取得對應於由所述委託用戶設備所發出的所述代理請求的所述權杖，所述第一代理用戶設備通過多層代理授權機制委託所述第二代理用戶設備辦理業務，其中響應於所述第一代理用戶設備指定所述第二代理用戶設備為代理者，所述第一代理用戶設備傳送包含對應於所述第二代理用戶設備的第二用戶識別碼的第二代理請求至所述授權伺服器，並且響應於所述第一代理用戶設備未指定所述代理者，所述第一代理用戶設備傳送不包含對應於所述第二代理用戶設備的所述第二用戶識別碼的所述第二代理請求至所述授權伺服器。