集成在消费者设备与后端服务之间的自动数字标识系统的制作方法

背景技术：

在本发明一些实施例中，涉及数字管理，更具体地，但不排他性地，涉及支持集成在消费设备与后端服务之间的自动数字标识管理系统。

信任服务定义为一种电子服务，包含三个可能的动作之一。第一个动作涉及电子签名的创建、核实或验证，以及时间戳或印章、电子登记的交付服务和这些服务所需的证书。第二个动作包含创建、核实和验证用于认证网站的证书。第三个动作是保存这些电子签名、印章或相关证书。

信任服务提供商是提供和保存数字证书以创建和验证电子签名并认证其签署人的个人或法律实体。信任服务提供商是合格的认证机构，例如，在欧洲联盟和瑞士，在受管制的电子签署程序中需要合格的认证机构。

信任服务提供商有责任通过强有力的认证、电子签名和数字证书机制，确保签署人和服务的电子身份的完整性。

例如，电子身份数字认证服务(electronicidentificationdigitalauthenticationservice，eidas)是一项欧洲法规，定义了信任服务提供商如何执行其认证和不可否认服务的标准。该法规就如何监管和承认信任服务提供商向欧洲联盟成员国提供了指导。

技术实现要素：

本发明一些实施例的目的是提供一种用于数字标识管理的系统和方法。

上述和其它目的通过独立权利要求请求保护的特征实现。其它实现方式从从属权利要求、说明书和附图中是显而易见的。

根据本发明的第一方面，一种用于管理对不同服务提供商的后端服务的安全访问的系统，包括：至少一个处理器，用于执行代码以：通过以下方式管理对多个不同服务提供商中的每一个服务提供商的后端服务的访问：从相应服务提供商的服务提供商码接收用于访问相应服务提供商的多个后端服务的多个注册请求，每个注册请求包括：至少一个客户端设备上的一个或多个访问规则和唯一标识符(uniqueidentifier，uid)；响应于多个注册请求中的每一个注册请求：为至少一个客户端设备颁发数字证书；注册与uid相关联的一个或多个访问规则；向至少一个客户端设备发送数字证书；从相应的服务提供商码接收多个认证请求，每个认证请求包括相应的数字证书的指示；响应于多个认证请求中的每一个认证请求：基于接收到的指示和相应的一个或多个访问规则，对相应的认证请求执行认证分析；将认证分析的结果发送至相应的服务提供商码，以允许相应的服务提供商确定至少一个相应的客户端设备对多个后端服务中的相应的后端服务的访问权限。

根据本发明的第二方面，一种用于管理对不同服务提供商的后端服务的安全访问的方法，包括：从相应服务提供商的服务提供商码接收用于访问相应服务提供商的多个后端服务的多个注册请求，每个注册请求包括：至少一个客户端设备上的一个或多个访问规则和唯一标识符(uniqueidentifier，uid)；响应于多个注册请求中的每一个注册请求：为至少一个客户端设备颁发数字证书；注册与uid相关联的一个或多个访问规则；向至少一个客户端设备发送数字证书；从相应的服务提供商码接收多个认证请求，每个认证请求包括相应的数字证书的指示；响应于多个认证请求中的每一个认证请求：基于接收到的指示和相应的一个或多个访问规则，对相应的认证请求执行认证分析；将认证分析的结果发送至相应的服务提供商码，以允许相应的服务提供商确定至少一个相应的客户端设备对多个后端服务中的相应的后端服务的访问权限。

结合本发明的第一方面和第二方面，在第一方面和第二方面的第一种可能的实现方式中，可选地，一个或多个访问规则根据预定的空间位置和/或预定的时间间隔确定对多个后端服务的访问。

结合本发明的第一方面和第二方面，或第一方面和第二方面的第一种实现方式，在第一方面和第二方面的第二种可能的实现方式中，可选地，还包括从服务提供商码向客户端设备发送与后端服务相关的更新，同时客户端设备被认证以访问后端服务。

结合本发明的第一方面和第二方面，或第一方面和第二方面的第一种或第二种实现方式，在第一方面和第二方面的第三种可能的实现方式中，可选地，服务提供商要求注册，并且每个注册在与相应注册相关联的有限时间窗口内有效。

结合本发明的第一方面和第二方面，或第一方面和第二方面的第一、第二或第三种实现方式，在第一方面和第二方面的第四种可能的实现方式中，可选地，后端服务为无线网络服务。

结合本发明的第一方面和第二方面，或第一方面和第二方面的第一、第二、第三或第四种实现方式，在第一方面和第二方面的第五种可能的实现方式中，可选地，客户端设备由客户端和/或车辆使用。

结合本发明的第一方面和第二方面，或第一方面和第二方面的第一、第二、第三、第四或第五种实现方式，在第一方面和第二方面的第六种可能的实现方式中，可选地，服务提供商控制对附件的访问。

结合本发明的第一方面和第二方面，或第一方面和第二方面的第一、第二、第三、第四、第五或第六种实现方式，在第一方面和第二方面的第七种可能的实现方式中，可选地，客户端设备由请求访问附件的人和/或车辆使用。

结合本发明的第一方面和第二方面，或第一方面和第二方面的第一、第二、第三、第四、第五、第六或第七种实现方式，在第一方面和第二方面的第八种可能的实现方式中，可选地，后端服务包括由人和/或车辆访问附件。

结合本发明的第一方面和第二方面，或第一方面和第二方面的第一、第二、第三、第四、第五、第六、第七或第八种实现方式，在第一方面和第二方面的第九种可能的实现方式中，可选地，人和/或车辆由服务提供商基于相应的uid和一个或多个访问规则进行认证。

本发明的其它系统、方法、特征和优点在检查以下附图和详细描述后对本领域技术人员来说将会或变得显而易见。旨在所有这些附加系统、方法、特征和优点都包括在本说明书中，在本发明的范围内，并受到所附权利要求书的保护。

除非另有定义，本文所使用的所有技术和/或科学术语的含义与本发明所属领域的普通技术人员通常理解的相同。尽管与本文所描述的方法和材料类似或等效的方法和材料可以用于本发明实施例的实践或测试，但下文描述示例性方法和/或材料。在有冲突的情况下，以包括定义的专利说明书为准。此外，材料、方法和示例仅为说明性的，并非是限制性的。

附图说明

本文仅通过示例结合附图描述了本发明的一些实施例。具体结合附图详细说明，需要强调的是，所示细节通过示例示出并出于对本发明实施例的说明性探讨。这样，根据附图说明，如何实践本发明实施例对本领域技术人员而言是显而易见的。

其中：

图1是根据本发明的一些实施例的自动数字标识管理系统的各种组件的示例性布局；

图2是根据本发明的一些实施例的通过服务提供商码和身份管理码注册和认证客户端设备的过程的示例性数据流；

图3是根据本发明的一些实施例的为了连接到至少一个后端服务而认证至少一个客户端设备的过程的示例性数据流；

图4是根据本发明的一些实施例的用于sp和im系统注册和认证客户端设备的示例性数据流；

图5是根据本发明的一些实施例的用于sp和im系统注册和认证客户端设备和车辆的示例性数据流。

具体实施方式

在本发明一些实施例中，涉及自动数字标识管理，更具体地，但不排他性地，涉及支持集成在消费设备与后端服务之间的自动数字标识管理系统。

根据本发明的一些实施例，提供了数字标识系统(本文也称为“数字认证系统”)和方法，其中，客户端和/或消费者被认证，以便根据访问规则将客户端/消费者设备绑定到至少一个后端服务。例如，航空公司等服务提供商可以认证预先注册的乘客以访问包括安装在机场航站楼的接收区域处的无线网络的后端服务，其中，访问规则可以是直到航班登机的时间段。

根据本发明的一些实施例，提供了一种用于管理对不同服务提供商的后端服务的安全访问的系统。

根据本发明的一些实施例，提供了一种用于管理对不同服务提供商的后端服务的安全访问的方法，包括几个功能阶段。最初，根据本发明的一些实施例，身份管理(identitymanagement，im)码通过计算机网络从相应服务提供商(serviceprovider，sp)的sp码接收用于访问sp的多个后端服务的多个注册请求。

可选地，每个注册请求包括一个或多个访问规则，以及至少一个客户端设备上的唯一标识符(uniqueidentifier，uid)。在每个注册请求之后，im码为每个相应的客户端设备颁发数字证书(例如，x.509数字证书)，这可以由第三方(如可信服务)实现。接下来，im码注册一个或多个相应的访问规则和相应的uid(可选地，在基于本地和/或云的存储介质中)，并将数字证书发送至一个或多个相应的客户端设备码，其中，相应的客户端设备码将数字证书安装在一个或多个相应的客户端设备上，并配置对多个后端服务中的一个或多个的访问。

接下来，im码可以通过计算机网络接收多个认证请求，每个请求从相应的sp码的相应的sp发送，包括相应的数字证书的指示。

对于接收到的多个认证请求中的每一个，im码基于接收到的指示和与相应的数字证书相关联的相应的一个或多个访问规则执行认证分析。每个认证分析的结果被发送至相应的sp码，该sp码确定至少一个相应的客户端设备对相应的后端服务的访问权限。

为了将客户端/消费者设备绑定到后端服务，用于客户端身份认证的现有解决方案通常需要使用专用服务提供商应用程序，不启用与任何特定服务提供商或特定后端服务无关的一般和通用方式管理客户端认证，这与本文描述的系统不同。此外，现有解决方案需要客户端交互，以实现后端服务启动，通常包括以下一项或多项：键入密码、访问门户、应用近场通信(nearfieldcommunication，nfc)标记或快速响应(quickresponse，qr)码进行配置，或使用预装的数字证书。虽然使用预装数字证书进行客户端设备认证不需要主动客户端交互，但现有解决方案仅支持企业设备，例如通过局域网(localareanetwork，lan)通过可扩展认证协议-传输层方案(extensibleauthenticationprotocol-transportlayerscheme，eap-tls)绑定组织租赁设备。

本文描述的系统与现有解决方案相比有几个优势：

1.客户端设备在访问时无需任何配置即可访问后端服务。

2.改善了从sp码到板载客户端设备的个性化更新的用户体验，并提供离散推送数据服务。

3.基于客户端设备uid认证，快速部署增值服务。

在详细描述本发明的至少一个实施例之前，应理解，本发明的应用不一定限于以下描述和/或附图和/或示例中所示的组件和/或方法的具体构造和设置。本发明存在其它实施例，或者本发明能够以各种方式实施或执行。

本发明可以是系统、方法和/或计算机程序产品。计算机程序产品可以包括计算机可读存储介质(medium或media)，其中具有计算机可读程序指令，用于使处理器执行本发明的各方面。

计算机可读存储介质可以是能够保留和存储指令以供指令执行设备使用的有形设备。计算机可读存储介质可以是例如但不限于电子存储设备、磁存储设备、光存储设备、电磁存储设备、半导体存储设备或上述的任何适当组合。

本文所描述的计算机可读程序指令可以从计算机可读存储介质下载到相应的计算/处理设备，或通过网络下载到外部计算机或外部存储设备，例如互联网、局域网、广域网和/或无线网络。

计算机可读程序指令可以完全在用户计算机上执行、部分在用户计算机上执行、作为独立的软件包、部分在用户计算机上执行、部分在远程计算机上执行，或完全在远程计算机或服务器上执行。在后一种场景下，远程计算机可以通过任何类型的网络连接到用户的计算机，包括局域网(localareanetwork，lan)或广域网(wideareanetwork，wan)，或者可以连接到外部计算机(例如，使用互联网服务提供商通过互联网)。在一些实施例中，包括可编程逻辑电路、现场可编程门阵列(field-programmablegatearray，fpga)或可编程逻辑阵列(programmablelogicarray，pla)等的电子电路可以通过利用计算机可读程序指令的状态信息来个性化电子电路来执行计算机可读程序指令，以执行本发明的各方面。

本文结合本发明实施例提供的方法、装置(系统)和计算机程序产品的流程图和/或框图来描述本发明的各方面。应理解，流程图和/或框图的每个框以及流程图和/或框图中的框的组合可以由计算机可读程序指令实现。

图中的流程图和框图示出了根据本发明的各种实施例的系统、方法和计算机程序产品的可能实现方式的架构、功能和操作。在这方面，流程图或框图中的每个块可以表示指令的模块、段或部分，其包括用于实现指定逻辑功能的一个或多个可执行指令。在一些替代实现方式中，框中注明的功能可能不会按照图中注明的顺序。例如，连续示出的两个框实际上可以基本上同时执行，或者根据所涉及的功能，这些块有时可以按相反的顺序执行。还需要说明的是，框图和/或流程图中的每个块，以及框图和/或流程图中的块的组合，可以由基于特殊用途硬件的系统实现，这些系统执行指定的功能或动作，或执行特殊用途硬件和计算机指令的组合。

现在参考图1，图1示出了根据本发明的一些实施例的系统组件。该系统用于管理对不同服务提供商的后端服务的安全访问，不受服务提供商或后端服务类型的限制。例如，该系统可以用于酒店，该酒店在注册客户的预订期内向注册客户授予自动无线连接，和/或酒店可以允许根据多个访问规则(例如预订期和/或尊贵客户的vip访问)访问免费停车场或任何其它服务。

包括三种组件类型，im系统100、一个或多个sp108，它们各自与一个或多个客户端设备116相关联。im系统100包括imi/o接口102、im存储器104和一个或多个im处理器106。imi/o接口102接收来自sp108的客户端设备的注册请求、数字证书和认证请求作为输入，并将数字证书输出到相应的客户端设备116，并将客户端设备认证验证输出到相应的sp的sp码。im存储器104存储客户端证书请求和相应的访问规则、sp108注册细节和im码，im码包括用于管理对多个服务提供商的多个后端服务的访问的指令。一个或多个im处理器106用于执行位于im存储器104中的im码。

一个或多个sp108，每个sp108具有spi/o接口110、sp存储器112和一个或多个sp处理器114。spi/o接口110输出向im系统100的sp注册请求、客户端设备116数字证书颁发请求、客户端设备认证请求、客户端设备的增值服务相关更新，并从im系统接收客户端设备认证分析验证作为输入。sp存储器112存储客户端注册细节、客户端认证验证和sp码的代码指令，sp码的码指令包括用于管理客户端设备对多个后端服务的访问的指令。一个或多个sp处理器114用于执行位于sp存储器112中的sp码。

一个或多个客户端设备116，每个客户端设备116具有客户端设备i/o接口118、客户端设备存储器120和一个或多个客户端设备处理器122。客户端设备i/o接口118接收来自客户端的客户端注册数据、来自im码的客户端数字证书以及来自sp码的服务相关更新作为输入。客户端设备存储器120由相应的客户端设备在每个客户端设备上分配，并存储每个客户端设备的相应的数字证书、后端服务配置值和增值服务更新。客户端设备存储器还存储客户端设备码，其中包括指令，用于从im系统接收和安装数字证书以及用于配置相应的sp的后端服务。一个或多个客户端设备处理器122用于执行位于客户端设备存储器120中的客户端设备码。

各种系统组件可以实现为软件和/或固件。

还参考图2，图2是根据本发明的一些实施例的客户端设备的注册和数字认证过程的示例性数据流。首先，如200所示，至少一个客户端设备，例如由客户端操作的移动设备和/或笔记本电脑，可以通过如202所示的销售点(pointofsale，pos)和/或注册请求访问服务。例如，该服务可以是预订酒店客房，该客房可通过向酒店或第三方注册的网站访问。接下来，如204所示，相应的sp码从客户端设备接收注册请求。接下来，如206所示，sp码根据客户端uid和相应的访问规则，通过计算机网络向im系统100发送数字证书请求。例如，客户端uid可以基于客户端设备电话号码，并且访问规则可以由服务提供商模块根据注册推导，例如，访问规则可以是对应于相应的客房预订时段的时间帧。接下来，如208所示，im系统通过计算机网络接收证书，并且如210所示，im系统根据im码处理请求，并根据客户端uid和相应的访问规则颁发数字证书。数字证书可以包括x.509证书等，其可以包括证书有效性的相应时间段。如212所示，im系统通过计算机网络将数字证书发送至客户端设备，客户端设备安装数字证书并根据客户端设备码中的指令配置请求的后端服务。

还参考图3，图3是根据本发明的一些实施例的为了连接到至少一个后端服务而认证至少一个客户端设备的过程的示例性数据流。在注册客户端设备并颁发如图2所示的数字证书之后，客户端可以访问相应的后端服务。例如，客户端可以输入客户端设备的位置，该客户端设备自动连接到无线网络等后端服务。

首先，如300所示，一个或多个客户端设备，例如移动电话和/或笔记本电脑，访问相应的sp的相应的后端服务。如图2所示，注册后预装在客户端设备上的相应的数字证书可以由客户端设备自动发送，作为访问相应的后端服务的认证过程的一部分。接下来，如302所示，相应的sp接收数字证书，作为要认证的凭据。接下来，在相应的sp上执行的sp码将数字证书作为认证请求发送至im系统，如304所示。接下来，如306所示，在im系统处理器上执行的im系统码根据数字证书和相应的访问规则对接收到的认证请求执行相应的认证分析。例如，客户端证书可以包含超出由与相应的uid相关联的相应的访问规则定义的第二时间段的范围的第一时间段，并且在这种情况下，由im系统执行的认证分析可以返回访问拒绝。

接下来，如308所示，im系统通过计算机网络将认证分析的结果发送至相应的sp，这使得相应的客户端设备自动访问注册的后端服务。此外，sp码可能会偶尔向板载客户端设备发送更新。例如，度假圣地的客人可以用他/她的移动电话通过无线网络接收关于就餐时间的更新或基于相应的uid的个性化消息。

还参考图4，图4是根据本发明的一些实施例的用于sp和im系统注册和认证客户端设备的示例性数据流。例如，sp可以是通过计算机网络连接到im系统的酒店计算机，客户端设备可以是客户端通过酒店网站进行酒店预订的手机。如400、402、404、406所示，示例中包括四个组件，分别是客户端设备、销售点(pointofsale，pos)/注册、支持无线网络等后端服务的sp，以及im系统。首先，如408所示，酒店计算机通过万维网(www)等计算机网络向im系统注册，并安装包括sp码的计算机程序(app)。接下来，如410所示，操作客户端设备400(例如移动电话)的客户端从酒店计算机404预订服务，例如，客户端通过网站(用于酒店的pos)402预订酒店房间。接下来，如412所示，网站402将预订发送至安装在酒店计算机404上的app。接下来，如414所示，app根据客户预订向im系统发送数字认证请求。(例如24小时)。如416所示，im系统例如通过使用客户端uid将数字证书直接发送回客户端设备，该uid可以是电话号码。接下来，如418所示，客户端设备码安装接收到的数字证书，并配置酒店无线网络的无线连接。

接下来，在客户端成功注册后，如420所示，客户端可以在预订当天到达酒店，并且客户端设备访问酒店无线网络。接下来，如422所示，酒店计算机上的app将客户端设备的认证委托至im系统。im系统根据im系统存储器中的记录进行认证分析，并将认证结果发送至酒店计算机上的app，如424所示。如果认证结果验证了客户端设备，则客户端设备自动连接到酒店无线网络。在成功验证客户端设备之后，酒店计算机可以向客户端设备发送附加更新，如426所示，例如个性化消息，如晚餐时间更改、特别优惠和在接待处为相应的客户端留下的消息，这可能会改善整体用户体验。

还参考图5，图5是根据本发明的一些实施例的用于客户端设备和车辆的注册和认证的示例性数据流。例如，图5可以描述访问门控社区以执行服务(例如垃圾清除)的多用途车辆和驾驶员的注册和认证。

如500、502、504、506所示，示例中包括四个组件：分别是客户端设备和卡车、社区管理办公室、支持后端服务的sp(例如控制门控社区的大门的社区计算机)，以及im系统。首先，如508所示，社区计算机通过万维网(www)等计算机网络向im系统注册，并安装包括sp码的app。

接下来，如510所示，社区管理办公室502根据uid和车辆注册驾驶员客户端设备，例如手机/平板电脑。接下来，如512所示，社区管理办公室请求相应的驾驶员设备和车辆的数字证书，然后将其发送至相应的驾驶员设备和车辆500进行安装，如514和516所示。

接下来，在成功注册驾驶员设备和车辆之后，如518所示，相应的驾驶员和车辆可以到达门控社区以执行垃圾收集服务等。在车辆到达社区计算机/大门504之后，驾驶员设备可以被接近传感器检测到，如520所示。接下来，如522所示，通过将认证委托至im系统，由社区计算机/大门504认证驾驶员设备和车辆。如524所示，im系统对相应的驾驶员设备和车辆执行认证分析，并且当认证分析有效时，社区计算机可以向门控社区授予对驾驶员设备和车辆的自动访问，以执行相应的服务。图5中示出的示例可以提高封闭社区的安全性，降低服务成本，并为提供服务的驾驶员提供无缝体验。

本发明的其它系统、方法、特征和优点在检查以下附图和详细描述后对本领域技术人员来说将会或变得显而易见。旨在所有这些附加系统、方法、特征和优点都包括在本说明书中，在本发明的范围内，并受到所附权利要求书的保护。

已出于说明的目的提供本发明的各种实施例的描述，而并不旨在详尽的或限于所公开的实施例。在不脱离所描述的实施例的范围和精神的情况下，本领域技术人员可以清楚理解许多修改和变化。相比于市场上可找到的技术，选择此处使用的术语可最好地解释本实施例的原理、实际应用或技术进步，或使本领域其他技术人员理解此处公开的实施例。

预计在本申请到期的专利有效期内，许多相关的系统、方法和计算机程序将被开发出来，术语模糊化的范围旨在先验地包括所有此类新技术。

本文所使用的术语“约”是指±10％。

术语“包括”、“具有”以及其变化形式表示“包括但不限于”。这个术语包括了术语“由……组成”以及“主要由……组成”。

短语“主要由……组成”意指组成物或方法可以包括额外成分和/或步骤，但前提是所述额外成分和/或步骤不会实质上改变所要求的组成物或方法的基本和新颖特性。

除非上下文中另有明确说明，此处使用的单数形式“一个”和“所述”包括复数含义。例如，术语“化合物”或“至少一个化合物”可以包含多个化合物，包含其混合物。

此处使用的词“示例性的”表示“作为一个例子、示例或说明”。任何“示例性的”实施例并不一定理解为优先于或优越于其它实施例，和/或并不排除其它实施例特点的结合。

此处使用的词语“可选地”表示“在一些实施例中提供且在其它实施例中没有提供”。本发明的任何特定实施例都可以包括多个“可选的”特征，除非这些特征有冲突。

在本申请中，本发明的各种实施例可以范围格式呈现。应理解，范围格式的描述仅为了方便和简洁起见，并且不应该被解释为对本发明范围的固定限制。因此，对范围的描述应被认为是已经具体地公开所有可能的子范围以及所述范围内的个别数值。例如，对于例如从1到6的范围的描述应被视为已具体公开了从1到3、从1到4、从1到5、从2到4、从2到6、从3到6等的子范围以及该范围内的单个数字例如1、2、3、4、5和6。不论范围有多广，这都适用。

当此处指出一个数字范围时，表示包括了在指出的这个范围内的任意所列举的数字(分数或整数)。短语“在第一个所指示的数和第二个所指示的数范围内”以及“从第一个所指示的数到第二个所指示的数范围内”和在这里互换使用，表示包括第一个和第二个所指示的数以及二者之间所有的分数和整数。

应了解，为简洁起见在单独实施例的上下文中描述的本发明的某些特征还可以组合提供于单个实施例中。相反地，为简洁起见在单个实施例的上下文中描述的本发明的各个特征也可以单独地或以任何合适的子组合或作为本发明的任何其它实施例提供。在各个实施例的上下文中描述的某些特征未视为那些实施例的基本特征，除非没有这些元素所述实施例无效。

本说明书中所提及的所有公开、专利和专利申请都在本文中以全文引用的方式并入本说明书中，程度如同每一单独的公开、专利或专利申请被专门并且单独地指示以引用的方式并入本文中一般。此外，本申请中对任何参考文件的引用或鉴别不应理解为承认该参考文件是作为本发明的现有技术可获得的。在使用章节标题的程度上，它们不应被解释为必定限制性的。