其他级别的访问权限。而通过身份验证的担保者可以对需要获取访问权限的权限请求者进行担保。且对需要获取的访问权限的权限请求者进行担保的担保者可以为一个或多个。
[0051]本发明的方案中，针对不同的访问权限，可以设定不同的担保组；担保组中的担保者可以对需要获取该担保组所对应的访问权限的权限请求者进行担保。
[0052]这样，权限请求者要获得敏感功能或服务的访问权限，除了要有合法的身份，还需要至少一个合法的担保者为其担保，增加了攻击的难度，提高了访问安全性。其中，为权限请求者担保的担保者，可以从权限请求者所请求获取的访问权限所对应的担保组中进行随机选择，并不是固定的，以此可以进一步提高安全性。
[0053]本发明的方案中，担保者的身份角色与权限请求者的并不一定具有同等的访问权限，但是，担保者的角色定义允许其对权限请求者的访问权限进行授权。
[0054]下面结合附图详细说明本发明的技术方案。
[0055]本发明提供了一种智能终端的授权系统，如图1所示，该授权系统可以包括:第一智能终端101、第二智能终端102、以及授权服务器103。
[0056]本发明的方案中，第一智能终端101可以是请求获取访问权限的权限请求者，相应地，第二智能终端102是可以为该访问权限的权限请求者进行担保的担保者。或者，第二智能终端102可以是请求获取访问权限的权限请求者，相应地，第一智能终端101是可以为该访问权限的权限请求者进行担保的担保者。
[0057]以下将以第一智能终端101为权限请求者、第二智能终端102为担保者为例来说明本发明的方案。
[0058]本发明的方案中，为了保障权限请求者的身份的合法性，第一智能终端101要访问设置有安全访问限制的敏感功能或服务时，首先需要进行身份角色的验证。验证方式可以采用本领域技术人员常用的技术手段。
[0059]这样，通过身份验证的第一智能终端101进入已验证、待授权的状态；之后，第一智能终端101可以向合法的担保者发送授权请求，具体地，第一智能终端101可以向通过身份验证的第二智能终端102发送授权请求。
[0060]本发明的方案中，作为担保者的第二智能终端102，其身份验证的方式也可以采用本领域技术人员常用的技术手段。
[0061]实际应用中，第一智能终端101、第二智能终端102可以通过如下至少之一的身份验证数据进行身份验证:密码、手势、用户的生物特征、设备的硬件特征、设备持有的数字证书。第二智能终端102与第一智能终端101可以采用相同的身份验证方式，也可以采用不同的身份验证方式。
[0062]本发明实施例中，通过身份验证的第一智能终端101可以向通过身份验证的第二智能终端102发送授权请求。其中，授权请求中可以包括:第一智能终端101的身份数据，以及针对第一智能终端101所请求获取的访问权限的权限请求信息。实际应用中，第一智能终端101的身份数据可以是第一智能终端101的设备标识信息、或第一智能终端101的用户标识信息，或者其它可以代表第一智能终端101的标识信息。
[0063]相应地，第二智能终端102在接收到第一智能终端101发送的授权请求后，可以对接收的授权请求进行验证。具体地，第二智能终端102对授权请求中第一智能终端101的身份数据，以及权限请求信息所针对的访问权限进行验证，以此决定其是否可以为第一智能终端101进行担保。
[0064]验证通过后，可以利用自身的担保私钥对接收的授权请求进行签名，并向第一智能终端101返回经自身的担保私钥签名的授权请求。
[0065]继而，第一智能终端101接收到经第二智能终端102的担保私钥签名的授权请求后，可以将签名后的授权请求上传至授权服务器103。
[0066]作为授权平台的授权服务器103可以校验授权请求上的签名，校验通过后，读取授权请求中的权限请求信息；根据读取的权限请求信息，决定是否授权，并针对授权请求向第一智能终端101反馈授权结果。
[0067]也就是说，第一智能终端101在授权请求上的签名通过授权服务器103的校验后，将从授权服务器103接收针对授权请求的授权结果。若授权结果为授权成功，则第一智能终端101可以使用其请求获取的访问权限所对应的功能或服务。
[0068]这样，本发明的方案中，相比现有“认证即授权”的模式，增加了担保者的角色，将身份验证与授权过程分离，使得权限请求者通过身份验证后也无法直接获得其身份所预定义的访问权限，避免通过身份验证即可获得授权的情况，提高了访问安全性；而且，利用担保者对权限请求者的授权请求的担保签名，增加了攻击的难度，进一步提高了访问安全性。
[0069]进一步地，实际应用中，考虑到第一智能终端101与第二智能终端102之间存在数据交换的过程，而NFC (Near Field Communicat1n，近场通信)协议要求通讯双方物理接触或者双方之间的距离不大于一个设定的距离阈值(比如，10厘米)，被窃听或被回放攻击的可能性很低。
[0070]因此，本发明实施例中，基于通信安全性考虑，第一智能终端101与第二智能终端102之间可以采用NFC协议。实际应用中，第一智能终端101与第二智能终端102发生物理接触，或者靠近到设定的距离阈值(比如，10厘米)之内，可以建立NFC数据链路。这样，由于NFC协议对物理距离的强制限制，使得权限请求者和担保者必须要在同一时间和空间，才有可能实现担保者对授权请求的签名，大大增加了攻击的难度。
[0071]实际应用中，为了能够使用NFC协议，第一智能终端101与第二智能终端102的设备都需要具有NFC SE (Secure Element，安全元件)硬件，以进行NFC SE服务。
[0072]具体地，在与第二智能终端102建立NFC数据链路之后，第一智能终端101激活NFC SE服务中的请求担保接口；同时，第二智能终端102激活NFC SE服务中的担保接口，以此完成与第一智能终端101之间的安全通信。
[0073]基于上述智能终端的授权系统，本发明提供了一种智能终端的授权方法，其具体流程如图2所示，可以包括如下步骤:
[0074]S201:第一智能终端向第二智能终端发送授权请求。
[0075]具体地，不同于现有“认证即授权”的模式，作为权限请求者的第一智能终端101在通过身份验证之后，进入待授权状态。
[0076]为了获取功能或服务的访问权限，第一智能终端101可以向合法的担保者发起请求，即向通过身份验证的第二智能终端102发送授权请求。其中，授权请求中可以包括:第一智能终端101的身份数据，以及针对第一智能终端101所请求获取的访问权限的权限请求信息。
[0077]实际应用中，为请求获取访问权限的第一智能终端101进行担保的第二智能终端102，其可以从第一智能终端101所请求获取的访问权限所对应的担保组中进行选择。担保组中包括至少一个合法的担保者，能够为该访问权限的权限请求者进行担保。
[0078]而且，第一智能终端101的身份所预定义的访问权限，与向第二智能终端102发送的授权请求所针对的访问权限可以相同，也可以不同。
[0079]也就是说，第一智能终端101请求获取其身份所预定义的访问权限时，可以从与预定义的访问权限对应的担保组中选择第二智能终端102 ;而第一智能终端101请求获取其他级别的访问权限时，可以从与第一智能终端101请求的访问权限所对应的担保组中选择第二智能终端102。
[0080]本发明的方案中，第一智能终端101、第二智能终端102可以通过如下至少之一的身份验证数据进行身份验证:
[0081]密码、手势、用户的生物特征、设备的硬件特征、设备持有的数字证书。
[0082]实际应用中，第一智能终端101与第二智能终端102之间采用NFC协议，在第一智能终端101与第二智能终端102发生物理接触，或者靠近到设定的距离阈值(比如，10厘米)之内，可以建立NFC数据链路；继而，第一智能终端101通过激活的NFC SE服务中的请求担保接口，发送授权请求；而第二智能终端102通过激活的NFC SE服务中的担保接口，接收授权请求。
[0083]S202:第二智能终端对接收的授权请求进行验证，验证通过后，向第一智能终端返回经自身的担保私钥签名的授权请求。
[0084]具体地，通过身份验证的第二智能终端102作为合