身份数据访问控制方法、装置和系统与流程

本申请涉及信息安全技术领域，特别是涉及一种身份数据访问控制方法、装置和系统，更具体地，涉及一种让用户自主获取并使用和证明自己身份数据并且以区块链为中心实现的身份数据访问控制方法、装置、系统、设备和介质。

背景技术：

用户身份的本质是可以验证的、代表着用户的资质和权限的数据属性。这些数据属于用户的隐私信息，使用这些数据的服务者必须通过用户的授权才能访问。在出入办公场所、登录电子邮箱、访问社交网络、执行转账等金融活动、买房买车等生活和工作场景下，用户通常需要出示自己的身份凭证，即某个身份的部分或全部数据属性(或者多个身份的数据属性)，以验证自己的标识(比如身份证号)、自己的社会关系(比如父子关系)、以及自己所具有的资质和权利(比如本科文凭)。身份的应用场景极其广泛，身份的种类以及与之对应的发证机关也多种多样。身份类型和身份验证方式的多样性和差异性，导致用户和单一的信息系统无法为用户提供统一的身份数据管理和身份验证服务。尽管在网络信息系统中，用户身份验证已经有了数十年的发展，并且从早期的传统身份管理系统逐渐发展到各种形态的单点登录系统，但用户的身份信息依然被分割存储在大量不同的系统中，甚至部分信息目前还没有被数字化。这些分离的、独立的信息系统，部分由具有公权力的政府机关提供服务，部分由商业或者非商业性的组织提供服务。在这些系统之间交换数据在目前是无法完成的任务，其主要原因牵涉到：不同组织之间的商业利益如何协调、数据如何标准化、系统的整体安全性如何保证、难以估量的系统建设成本，以及最为严重的用户隐私泄露和因此对应的法律问题。用户在使用线上或者线下服务时，一般的操作流程分为两类：一类的用户随身携带自己的身份，常见于简单的数字化身份；另一类是服务方提出比较复杂的身份验证需求，用户以此从多个身份发行方获得身份证明，然后出示身份并享受服务，常用于时效性较短的身份证明(比如临时通行证)或没有数字化的身份证明(比如员工在职证明)。但是这种操作方式费时费力，在用户数据分散、用户无法获取和随身携带自己的身份数据或者用户只能远程验证等情况下，服务方无法对用户的身份进行验证或者不能确定该身份信息是否真实，从而影响了各方的效率；如果将用户的身份信息上传到公共服务方平台，由服务方向公共服务方平台发起调用，则很可能会造成用户信息的泄露。

技术实现要素：

本申请的目的在于克服上述问题或者至少部分地解决或缓减解决上述问题。

根据本申请的一个方面，提供了一种身份数据访问控制方法，包括：

访问请求发送步骤：将访问请求发送给可信公共服务方；

回复信息接收步骤：接收所述可信公共服务方发送的允许访问的回复信息，从而确认身份发行方存储在所述可信公共服务方上的用户的身份数据格式信息没有更新；

请求接收步骤：接收服务提供方发送的身份数据请求并提示给用户；

用户授权步骤：接收用户对所述数据请求的授权指令；

数据发送步骤：基于所述授权指令，根据所述身份数据请求将与所述用户的身份数据有关的授权数据发送给所述服务提供方，以便所述服务提供方基于所述授权数据在所述可信公共服务方对所述用户的身份进行验证。

该方法将身份数据格式信息保存在可信公共服务方，而身份数据保存在身份发行方，保证用户身份数据的传递可以不经过可信公共服务方，仅在身份发行方、用户代理方和服务提供方之间传递，能够保护用户数据的私密性，同时，服务提供方还能够通过可信公共服务方对用户身份数据进行验证，不需要连接和访问身份发行方，提高了信息验证的速度，加快了事务处理的速度。

根据本申请的另一个方面，还提供了一种身份数据访问控制装置，包括：

访问请求发送模块，其配置成用于将访问请求发送给可信公共服务方；

回复信息接收模块，其配置成用于接收所述可信公共服务方发送的允许访问的回复信息，从而确认身份发行方存储在所述可信公共服务方上的用户的身份数据格式信息没有更新；

请求接收模块，其配置成用于接收服务提供方发送的身份数据请求并提示给用户；

用户授权模块，其配置成用于接收用户对所述数据请求的授权指令；

数据发送模块，其配置成用于基于所述授权指令，根据所述身份数据请求将与所述用户的身份数据有关的授权数据发送给所述服务提供方，以便所述服务提供方基于所述授权数据在所述可信公共服务方对所述用户的身份进行验证。

该装置能够保存用户身份数据，并且根据服务提供方的需求提供不同的数据，该数据能够通过可信公共服务验证，从而保护用户数据的私密性，同时，提供了信息验证的途径，提高了信息验证的速度，加快了事务处理的速度。

根据本申请的另一个方面，还提供了一种身份数据访问控制系统，包括：可信公共服务方服务器、身份发行方终端、用户终端和服务提供方终端，所述可信公共服务方服务器分别与所述身份发行方终端、所述用户终端和所述服务提供方终端连接，其中，用户终端包括存储器、处理器和存储在所述存储器内并能由所述处理器运行的计算机程序，所述处理器执行所述计算机程序时实现如上所述的身份数据访问控制方法。

本申请的系统以公私钥加密为基础，以可信公共服务为中心，身份发行方、用户代理、服务提供方三方协同工作，共同完成身份数据聚合、身份数据请求和身份数据验证等工作，在可信公共服务之外进行数据交换保证了身份数据的私密性。

根据下文结合附图对本申请的具体实施例的详细描述，本领域技术人员将会更加明了本申请的上述以及其他目的、优点和特征。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。后文将参照附图以示例性而非限制性的方式详细描述本申请的一些具体实施例。附图中相同的附图标记标示了相同或类似的部件或部分。本领域技术人员应该理解的是，这些附图未必是按比例绘制的。在附图中：

图1是根据本申请的一个实施例的身份数据访问控制系统的示意性框图；

图2是根据本申请的身份数据访问控制系统的各装置示意性功能框图；

图3是根据本申请的一个实施例的可信公共服务方的示意性框图；

图4是运行根据本申请一个实施例的身份数据访问控制方法的计算机装置硬件结构示意图；

图5是根据本申请的一个实施例的身份数据访问控制方法的示意性流程图；

图6是根据本申请的另一个实施例的身份数据访问控制方法的示意性流程图；

图7是根据本申请的一个实施例的身份数据访问控制装置的示意性框图；

图8是根据本申请的另一个实施例的身份数据访问控制装置的示意性框图；

图9是根据本申请的一个实施例的身份数据访问控制系统的示意性结构图；

具体实施方式

为了使本技术领域的人员更好地理解本申请方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分的实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本申请保护的范围。

需要说明的是，本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本申请的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

实施例1

根据本申请实施例，提供了一种身份数据访问控制系统。图1是根据本申请的一个实施例的身份数据访问控制系统的示意性框图。图2是根据本申请的身份数据访问控制系统的各装置示意性功能框图。参见图1和图2，该系统可以包括：

可信公共服务方，也称可信公共网络服务(装置a)，用于提供可信公共服务，存证并公示用户、组织、机构的以下信息：(a)公钥和公开信息，例如，组织名称、官网地址等，(b)各参与者之间关联信息，(c)身份数据的验证信息。装置a提供公共网络服务和网络接口，允许身份发行方读写数据，允许用户和服务提供方读取数据。该装置具备的功能包括但不限于：公信机构注册(公钥存证)、强身份发行方注册(有公信机构签名)、弱身份发行方注册(无公信机构签名)、用户身份数据存证(仅用于数据验证)等。

身份发行方(装置b)，通常部署在组织的内网，和组织的用户管理系统工作在一起；但在不同的应用场景下，也有个人用户可以作为独立的身份发行方，为其它用户发行弱身份，此时装置b可运行在用户手机等系统上。身份发行方提供网络或其它访问接口，让其用户能够直接或者间接访问装置b，在验证用户身份后，获取该用户专属的身份数据。在发放用户身份数据前，身份发行方需要将运行该装置的组织与其发放的用户身份进行关联，并将关联信息以及上述用户身份的验证信息存放在可信公共服务上。当身份发行方吊销用户身份或者修改用户的数据时，也必须及时在可信公共服务上做相应的更新。该装置b的功能包括但不限于：区块链访问代理、存放主密钥和派生密钥、已发放的身份数据、发放和吊销身份的编程接口等。

可信用户代理(装置c)，是用户使用的身份系统的代理装置，通常部署在用户的手机和电脑上。装置c中保存了用户的主密钥和各派生密钥(供不同的身份和身份数据使用)，以及用户的身份数据。装置c提供本地编程接口，为其它应用提供用户身份验证等服务。由于保存了大量的用户私密数据，装置c上的数据存储必须保证绝对安全，其密钥应保存在可靠的安全存储区内，对数据的访问必须首先验证用户的指纹、口令、面部等身份特征。在装置c对外提供用户数据时，无论是对本机的其它应用程序还是系统之外的第三方信息系统，必须获得用户的明确授权。装置c的功能包括但不限于：已获取的身份数据、主密钥和派生密钥、区块链访问代理、查看和接受身份的编程接口等。

服务提供方(装置d)，通常和应用服务系统部署在一起，比如审核人员的电脑或手机中，门禁系统的闸机内，金融机构的kyc或者贷款等业务系统中。该装置d的功能包括但不限于：区块链访问代理、存放主密钥和派生密钥、请求和验证用户身份的编程接口等。

其中，装置a分别与装置b、装置c、装置d通过网络连接或非网络连接，装置c可以用装置b获取数据。对于同一个装置c，可以有一个或多个装置b为其发行身份，也可以有一个或多个装置d向其请求数据以提供服务。所述网络包括但不限于互联网、广域网、城域网、局域网、vpn网络、无线自组织网络(adhoc网络)等。非网络连接包括：wifi、蓝牙、nfc、二维码扫描等。

在用户请求服务时，服务提供方向用户提出数据申请，用户在装置c上查阅并审批这些申请，在用户批准申请后，装置c向服务提供方发送数据，装置c通过可信公共服务上的公开信息，包括由公钥组成的信任链以及数据验证信息来验证用户的身份和资质。

可选地，图3是根据本申请的一个实施例的可信公共服务方的示意性框图。可信公共服务上通常会预设一些具有强公信力的机构，称为“一级可信机构”，由这些机构验证并背书的机构成为“二级可信机构”，该信任关系依次传递，直到最终的用户数据。可以理解的是，本申请并不强制要求所有的数据、所有的机构必须能够追溯到一级信任机构。只要用户数据的信任根能够获得服务提供方的认可，对该服务提供方而言，用户的数据即可看作有效数据。本申请中，为保证用户数据的私密性，身份数据内容的传递不经过可信公共服务(装置a)，仅在身份发行方(装置b)、用户代理(装置c)和服务提供方(装置d)之间传递。该数据传递过程被称为链外数据交换。

在一个应用场景中，例如，身份发行方是学校。第一步，学校在可信公共服务方，例如区块链上注册，把自己的公开信息开放给公众；第二步，学校给某学生(用户)发放一个毕业证书，该学生的毕业证书的全部数据或部分数据的数据格式，由学校上传到区块链上；第三步，学生通过自己的可信用户代理方获取毕业证书的真实数据和权限，基于权限先到区块链上查找是否存在属于自己身份的数据，学生要想从区块链上获取与自己的身份数据相关的数据，必须先证明自己是该学生，不是别的人，因此需要通过线下的方式，直接到学校拿到属于自己的获取数据的凭据。比如，学校当面见过该学生，在检查过其身份证和所有的考试成绩，认为符合毕业要求的情况下，给该学生一个授权凭证，例如，验证码，该学生以此为依据可以在可信公共服务上获取与自己的毕业证书相对应的信息。服务提供方，例如，某企业要聘用该学生，但要求他能证明自己确实是大学毕业生，该学生也需要验证向可信用户代理获取信息的是该企业的情况下，授权给该企业使用或查看自己的毕业证书数据，该企业才能看到。该企业拿到该学生的身份数据之后，必须要到区块链上验证一下，这个数据确实是属于该学生的而且没有该学生修改过，从而形成了完整的身份验证的过程。可以理解的是，该应用场景仅仅是本申请中的一个示例，本申请的系统可以用于多种需要身份验证的场景。

本申请的系统以公私钥加密为基础，以可信公共服务为中心，身份发行方、用户代理、服务提供方三方协同工作，共同完成身份数据聚合、身份数据请求和身份数据验证等工作，采用链外数据交换保证了数据传输的安全性。由于用户信息集中到用户可以控制的设备上，同时提供可靠的数据验证机制，在用户授权的前提下，让服务提供方能够快速验证用户的身份数据。本申请的系统能够使用户自主获取身份数据，然后向第三方(通常为服务方)出示并且证实自己身份数据。目标是让用户的数据(特别是隐私数据)回归用户，让用户能够真正获得并掌控个人数据，从而提升用户的使用便利性和数据安全性。

本发明以用户为中心，聚集用户分散在不同信息系统中的身份数据，以用户为中心展开对身份数据的聚集和使用。既提供了数据使用的便利性，又保护了用户的隐私数据。通过该系统，用户不需要被迫信任第三方商业机构，将数据托管在第三方商业机构的服务器上。本发明利用区块链的数据公开和数据不可篡改等特性，通过区块链建立组织和组织、组织和个人、以及个人和个人之间的信任关系，并以此验证用户身份数据的可信性和有效性。任何用户数据以及会威胁到用户数据安全的信息都不会被传递到可信公共网络服务(装置a)上。可信公共网络服务除了可以用区块链实现外，也可以用中心化、半中心化的方式实现。

实施例2

根据本申请实施例，还提供了一种身份数据访问控制方法实施例，需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

本申请实施例一所提供的方法实施例可以在移动终端、计算机终端或者类似的运算装置中执行。图4示出了一种用于本申请方法的计算机装置(或移动设备)的硬件结构框图。如图4所示，计算机装置10(或移动设备10)可以包括一个或多个处理器(图中采用102a、102b，……，102n来示出，处理器可以包括但不限于微处理器mcu或可编程逻辑器件fpga等的处理装置)、用于存储数据的存储器104、以及用于通信功能的传输模块。除此以外，还可以包括：显示器、输入/输出接口(i/o接口)、通用串行总线(usb)端口(可以作为i/o接口的端口中的一个端口被包括)、网络接口、电源和/或相机。本领域普通技术人员可以理解，图4所示的结构仅为示意，其并不对上述电子装置的结构造成限定。例如，计算机装置10还可包括比图4中所示更多或者更少的组件，或者具有与图4所示不同的配置。所述移动设备也可以是任何一种可与用户通过键盘、鼠标、触摸屏、声控设备或手写设备等方式进行人机交互的电子产品，例如手机、智能手机、pda、可穿戴设备、掌上电脑ppc或平板电脑等。

应当注意到的是上述一个或多个处理器和/或其他数据处理电路在本文中通常可以被称为“数据处理电路”。该数据处理电路可以全部或部分的体现为软件、硬件、固件或其他任意组合。此外，数据处理电路可为单个独立的处理模块，或全部或部分的结合到计算机装置10(或移动设备)中的其他元件中的任意一个内。如本申请实施例中所涉及到的，该数据处理电路作为一种处理器控制(例如与接口连接的可变电阻终端路径的选择)。

存储器104可用于存储应用软件的软件程序以及模块，如本申请实施例中的方法对应的程序指令/数据存储装置，处理器通过运行存储在存储器104内的软件程序以及模块，从而执行各种功能应用以及数据处理，即实现上述的应用程序的方法。存储器104可包括高速随机存储器，还可包括非易失性存储器，如一个或者多个磁性存储装置、闪存、或者其他非易失性固态存储器。在一些实例中，存储器104可进一步包括相对于处理器远程设置的存储器，这些远程存储器可以通过网络连接至计算机装置10。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

传输装置用于经由一个网络接收或者发送数据。上述的网络具体实例可包括计算机装置10的通信供应商提供的无线网络。在一个实例中，传输装置包括一个网络适配器(networkinterfacecontroller,nic)，其可通过基站与其他网络设备相连从而可与互联网进行通讯。在一个实例中，传输装置可以为射频(radiofrequency,rf)模块，其用于通过无线方式与互联网进行通讯。

显示器可以例如触摸屏式的液晶显示器(lcd)，该液晶显示器可使得用户能够与计算机装置10(或移动设备)的用户界面进行交互。

在上述运行环境下，本申请提供了一种身份数据访问控制方法。该方法可以运行在包括上述运算装置的用户终端，该用户终端也可以称为可信用户代理方(装置c)。图5是根据本申请的一个实施例的身份数据访问控制方法的示意性流程图。该方法可以包括：

s200访问请求发送步骤：将访问请求发送给可信公共服务方；

s400回复信息接收步骤：接收所述可信公共服务方发送的允许访问的回复信息，从而确认身份发行方存储在所述可信公共服务方上的用户的身份数据格式信息没有更新；

s600请求接收步骤：接收服务提供方发送的身份数据请求并提示给用户；

s800用户授权步骤：接收用户对所述数据请求的授权指令；

s900数据发送步骤：基于所述授权指令，根据所述身份数据请求将与所述用户的身份数据有关的授权数据发送给所述服务提供方，以便所述服务提供方基于所述授权数据在所述可信公共服务方对所述用户的身份进行验证。

该方法将身份数据格式信息保存在可信公共服务方，而身份数据保存在身份发行方，保证用户身份数据的传递可以不经过可信公共服务方，仅在身份发行方、用户代理方和服务提供方之间传递，能够保护用户数据的私密性，同时，服务提供方还能够通过可信公共服务方对用户身份数据等验证，提高了信息验证的速度，加快了事务处理的速度。

用户的身份信息可以包括但不限于社交关系信息、核心标识信息、个人生活信息、公司员工信息等几个方面的信息。例如，社交关系信息可以包括结婚证、户口本、出生证明、亲属关系、朋友及其他信息；核心标识信息可以包括身份证、驾驶执照、护照/签证、社会保险及其他关系的信息；个人生活信息包括：会员卡、银行账号、完税证明、社交网络账号、信用积分、保险、房产/车/资产证明、毕业证书、培训证书及其他信息；公司员工信息包括在职证明、离职证明、职称、薪资证明、门禁系统、办公应用(邮件等)、财务报销等系统、人力系统、业务系统及其他信息。

身份发行方可以包括：权威机构、可信机构、普通机构等。其中，权威机构是具有公权力的政府机关，为用户颁发核心标识，具有公信力和普遍可信性的机构。可信机构，例如，学校、医院、银行等，能够为用户颁发可信凭证，普通机构包括：普通商业或非商业实体，只能颁发“弱身份”的机构，无可信资质的培训认证机构等。

可选地，s200访问请求发送步骤中，在身份发行方向可信公共服务方注册并将用户身份数据的格式信息存储在可信公共服务方的情况下，将访问请求发送给可信公共服务方。

可信用户代理方启动时，首先需要通过访问的方式到可信公共服务方查看有没有身份数据变更或者新颁发的身份。用户能够访问装置a的前提可以包括：装置b已经将用户的身份数据上传到可信公共服务方。可信用户代理方可以通过线下验证身份的方式向身份发行方获取真实的用户身份数据，并且获得访问装置a的权限，该权限可以是密钥、密码、验证码等。

可选地，在所述s400回复信息接收步骤中：在接收到所述可信公共服务方发送的不允许访问的回复信息的情况下，向身份发行方获取所述用户的身份数据和访问所述可信公共服务方的权限。

身份发行方可以增加、修改、删除装置a上的该用户的身份信息，此时，用户需要从装置b获得新的权限才能访问装置a。因为，此时可信用户代理方内存储的用户身份信息已经不是最新的信息，因此通过该步骤能够判断可信用户代理方的信息是否是最新数据，是否与装置a的信息格式相对应。

通过该方法，用户可以查询可信公共服务方存储的用户身份数据是否发生变化，可以确认身份发行方的身份，同时，可以确保接下来提供给服务提供方的信息与装置a中的相对应。

在本申请中，在所述回复信息接收步骤中，所述身份数据格式信息为身份数据的存储格式，其中，所述身份数据包括：用户标识、用户身份和身份发行方标识。也就是说，可信公共服务方不直接存储用户的身份信息，而是存储信息的格式。例如，包括数据类型，包括：数字、字符串、列表、元组、字典等；和对应的数据长度；校验位；时间戳等。如果一旦用户身份信息发生更新，身份数据格式信息也会发生变化。

图6是根据本申请的另一个实施例的身份数据访问控制方法的示意性流程图。可选地，在所述请求接收步骤前，该方法还包括：

s500公钥交换步骤：在与服务提供方建立连接的情况下，与服务提供方交换公钥。交换公钥的时机可以是在可信用户代理方与服务器提供方建立点对点连接的时候，也可以根据需要进行设置。

该步骤能够使得用户和服务提供方相互验证身份以及解密消息报文，使得信息流程过程更加安全。

可选地，身份数据请求可以包括但不限于两种类型：请求发送身份数据的部分或全部内容；请求发送身份数据证明。

例如，如果服务提供方是银行，可能要求可信用户代理提供身份证号码，即身份数据的内容。如果服务提供方是招聘单位，可能要求可信用户代理提供学位证书是否真实存在的证明，而并不关心学位证书编号或证书实际内容本身。不同情况下，可信用户代理方提供的数据是不同的。

对于上述两种不同请求，在所述s900数据发送步骤中，所述根据所述身份数据请求将与所述用户的身份数据有关的授权数据发送给所述服务提供方可以包括但不限于以下两种方式：

(1)在所述身份数据请求是身份数据的部分或全部内容的情况下，将身份数据的部分或全部内容、身份发行方的签名和用户的签名发送给服务提供方；

(2)在所述身份数据请求是身份数据证明的情况下，将零知识证明发送给所述服务提供方。

服务提供方可通过交换方式得到可信用户代理方的公钥，同时，可以从可信公共服务方获取到身份发行方的公钥，因此，服务提供方可以分别验证用户和身份发行方的数据签名，证明用户没有伪造身份，以及身份发行方是合法的颁发者。

需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本申请并不受所描述的动作顺序的限制，因为依据本申请，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本申请所必须的。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到根据上述实施例的方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如rom/ram、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，或者网络设备等)执行本申请各个实施例所述的方法。

实施例3

根据本申请实施例，还提供了一种身份数据访问控制装置。图7是根据本申请的一个实施例的身份数据访问控制装置的示意性框图。该装置可以包括：

访问请求发送模块200，其配置成用于将访问请求发送给可信公共服务方；

回复信息接收模块400，其配置成用于接收所述可信公共服务方发送的允许访问的回复信息，从而确认身份发行方存储在所述可信公共服务方上的用户的身份数据格式信息没有更新；

请求接收模块600，其配置成用于接收服务提供方发送的身份数据请求并提示给用户；

用户授权模块800，其配置成用于接收用户对所述数据请求的授权指令；

数据发送模块900，其配置成用于基于所述授权指令，根据所述身份数据请求将与所述用户的身份数据有关的授权数据发送给所述服务提供方，以便所述服务提供方基于所述授权数据在所述可信公共服务方对所述用户的身份进行验证。

该装置将身份数据格式信息保存在可信公共服务方，而身份数据保存在身份发行方，保证用户身份数据的传递可以不经过可信公共服务方，仅在身份发行方、用户代理方和服务提供方之间传递，能够保护用户数据的私密性，同时，服务提供方还能够通过可信公共服务方对用户身份数据等验证，提高了信息验证的速度，加快了事务处理的速度。

可选地，访问请求发送模块200用于：在身份发行方向可信公共服务方注册并将用户身份数据存储在可信公共服务方的情况下，将访问请求发送给可信公共服务方。

可选地，在所述回复信息接收模块400还用于：在接收到所述可信公共服务方发送的不允许访问的回复信息的情况下，向身份发行方获取所述用户的身份数据和访问所述可信公共服务方的权限。

图8是根据本申请的另一个实施例的身份数据访问控制装置的示意性框图。

可选地，该装置还可以包括：

公钥交换模块500，其配置成用于：在与服务提供方建立连接的情况下，与服务提供方交换公钥。交换公钥的时机可以是在可信用户代理方与服务器提供方建立点对点连接的时候，也可以根据需要进行设置。

在所述数据发送模块900中，所述根据所述身份数据请求将与所述用户的身份数据有关的授权数据发送给所述服务提供方可以包括但不限于以下两种方式：

(1)在所述身份数据请求是身份数据的部分或全部内容的情况下，将身份数据的部分或全部内容、身份发行方的签名和用户的签名发送给服务提供方；

(2)在所述身份数据请求是身份数据证明的情况下，将零知识证明发送给所述服务提供方。

实施例4

根据本申请实施例，还提供了一种身份数据访问控制系统。图9是根据本申请的一个实施例的身份数据访问控制系统的示意性结构图。该系统可以包括：可信公共服务方服务器、身份发行方终端、用户终端、服务提供方终端，可信公共服务方服务器分别与身份发行方终端、用户终端和服务提供方终端连接。

可选地，用户终端包括存储器、处理器和存储在所述存储器内并能由所述处理器运行的计算机程序，其中，所述处理器执行所述计算机程序时实现如上所述的身份数据访问控制方法中的任一个。

该系统将身份数据格式信息保存在可信公共服务方，而身份数据保存在身份发行方，保证用户身份数据的传递可以不经过可信公共服务方服务器，仅在身份发行方终端、用户终端和服务提供方终端之间传递，能够保护用户数据的私密性，同时，服务提供方还能够通过可信公共服务方服务器对用户身份数据等验证，提高了信息验证的速度，加快了事务处理的速度。

上述的各种终端和服务器可以以多种形式存在，包括但不限于：

(1)移动通信设备：这类设备的特点是具备移动通信功能，并且以提供话音、数据通信为主要目标。这类终端包括：智能手机(例如iphone)、多媒体手机、功能性手机，以及低端手机等。

(2)超移动个人计算机设备：这类设备属于个人计算机的范畴，有计算和处理功能，一般也具备移动上网特性。这类终端包括：pda、mid和umpc设备等，例如ipad。

(3)便携式娱乐设备：这类设备可以显示和播放多媒体内容。该类设备包括：音频、视频播放器(例如ipod)，掌上游戏机，电子书，以及智能玩具和便携式车载导航设备。

(4)特定服务器：提供计算服务的设备，服务器的构成包括处理器、硬盘、内存、系统总线等，服务器和通用的计算机架构类似，但是由于需要提供高可靠的服务，因此在处理能力、稳定性、可靠性、安全性、可扩展性、可管理性等方面要求较高。

(5)其他具有数据交互功能的计算设备。

实施例5

根据本申请实施例，还提供了计算机可读存储介质，优选为非易失性可读存储介质，其内存储有计算机程序，所述计算机程序在由处理器执行时实现如上所述的身份数据访问控制方法中的任一个。

根据本申请实施例，还提供了一种计算机程序产品，包括计算机可读代码，当所述计算机可读代码由计算设备执行时，导致所述计算设备执行如上所述的身份数据访问控制方法中的任一个。

上述本申请实施例序号仅仅为了描述，不代表实施例的优劣。

在本申请的上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

在本申请所提供的几个实施例中，应该理解到，所揭露的技术内容，可通过其它的方式实现。其中，以上所描述的装置实施例仅仅是示意性的，例如所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，单元或模块的间接耦合或通信连接，可以是电性或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可为个人计算机、服务器或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。

在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机加载和执行所述计算机程序指令时，全部或部分地产生按照本申请实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、获取其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(dsl))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，dvd)、或者半导体介质(例如固态硬盘solidstatedisk(ssd))等。

专业人员应该还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤是可以通过程序来指令处理器完成，所述的程序可以存储于计算机可读存储介质中，所述存储介质是非短暂性(英文：non-transitory)介质，例如随机存取存储器，只读存储器，快闪存储器，硬盘，固态硬盘，磁带(英文：magnetictape)，软盘(英文：floppydisk)，光盘(英文：opticaldisc)及其任意组合。

以上所述，仅为本申请较佳的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应该以权利要求的保护范围为准。