(二) BSN个人数据加密流转服务

1. 产品说明

  任何网站、APP、小程序或者软件，在与其他平台传送个人相关数据时，都要各自为自然人生成公私钥对，并通过BSN实名DID服务将公钥写入延安链上的BSN官方实名DID文档。相互传输数据的双方可以通过BSN官方实名DID文档内的公钥对数据进行相互加密，接收方必须使用对应的个人私钥才能进行解密，确保个人数据在互联网上传输时处于高层次的加密保护下。这样的机制能够让一个业务方在传递数据前，确保另外一个业务方也掌握同一用户的基本信息，“前台匿名、后台实名”，从而降低个人数据泄露的风险。

  即使在不需要强加密的数据传输场景下，一个业务方也可以使用私钥对数据进行签名，另一方收到数据时，仅通过BSN官方实名DID标识和公钥索引，在BSN官方实名DID文档内检索出对应公钥并进行签名验证，便可确保个人数据在传输过程中的完整性，达到防伪造、防篡改、防抵赖的效果。

2. 场景案例

• 场景一

  合同签署平台可以为每个签署人在BSN官方实名DID文档内生成本地公私钥对（个人掌握私钥）。在签署合同时，平台不仅可以为合同（PDF文件）打上私钥签名水印，在明确了下一个签署人后，平台前端同时还可以使用下一个签署人在BSN官方实名DID文档内的公钥对合同进行加密，并在平台内传递给下一个签署人，该签署人可以在平台前端通过本地私钥解密，并进行后续的签署和传递操作。这样的机制可以在平台内传递合同时，实现签署人到签署人的端到端加密，确保合同的保密性，可以从技术上实现连平台管理者都无法查看合同内容。这是在同一平台下个人用户之间进行信息加密传输的案例。

• 场景二

  电子邮件服务商（例如企业级服务）可以在开户时为自然人用户生成公私钥对，并将公钥写入BSN官方实名DID文档（私钥由用户自行保管）。多个电子邮件服务商只要互相了解BSN官方实名DID文档内的公钥索引，即可提供相互之间的邮件加密服务。发件人在输入收件人的邮件地址时，同时输入其BSN官方实名DID标识或与之关联的BSN全网分布式域名，邮件服务器即可使用对应公钥索引下的公钥对邮件进行加密，收件人收到加密邮件后，可以使用自己的私钥在本地解密阅读。这样可以实现邮件在互联网上的完全加密传输，甚至邮件服务商也无法接触到邮件内容。这是跨平台个人用户之间进行信息加密传输的案例。

• 场景三

  医疗机构的系统可以为患者和医生生成关联BSN官方实名DID的公私钥对（个人掌握私钥，公钥写入BSN官方实名DID文档）。当患者访问医疗网站并向医生发送个人病历时，医疗系统的前端通过该医生的公钥对患者病历进行前端加密，并将密文病历通过互联网传输至医疗网站的后端系统，确保只能由该医生使用其私钥进行解密才能得到患者的原始病历资料。

3. 技术流程

• 数据传输双方访问BSN-DDC官方门户网站https://ddc.bsnbase.com，注册成为业务平台方，并购买相应套餐和能量值；
• 数据传输双方根据《BSN实名DID服务技术接口文档》（接口文档）在系统后台服务集成BSN实名DID服务SDK，通过调用接口文档“7.4.1 生成公私钥对”方法为个人用户分别生成业务公私钥对；
• 业务方使用上述生成的用户公钥，经过CTID平台对个人用户的身份证、姓名、人脸等身份信息进行验证后，通过调用接口文档“7.2.1-申领DID”方法（需要消耗BSN官方实名DID服务套餐）申领BSN官方实名DID，得到个人用户的BSN官方实名DID文档；
• 传输方使用用户的BSN官方实名DID标识调用接口文档“7.2.2 查询下载DID文档”方法（需要消耗能量值），查询该用户的BSN官方实名DID文档，使用接收方在BSN官方实名DID文档里存储的上述自己生成的公私钥对中的公钥，调用接口文档“7.4.2 加密”方法对用户个人数据进行加密，随后把加密数据传输给接收方；如果需要传输明文数据，传输方对用户数据用上述自己生成的私钥调用“7.4.4 签名”方法进行签名，把用户数据、签名数据、公钥索引一起传输给接收方；
• 接收方收到加密数据后使用上述自己为用户生成的公私钥对中的私钥调用接口文档“7.4.3 解密”方法进行解密，获取传输过来的用户明文数据；如果接收到明文数据，则使用用户的BSN官方实名DID标识调用接口文档“7.2.2 查询下载DID文档”方法（需要消耗能量值）查询该用户的BSN官方实名DID文档，检索公钥索引对应的公钥调用接口文档“7.4.5 验签”方法对签名数据进行验签。

4. 所需套餐

• 需要购买BSN官方实名DID服务套餐（每次实名核验（姓名+身份证）/实人核验（姓名+身份证+人像）+生成或更新BSN官方实名DID文档大约需要花费0.75-1.2元人民币），套餐详细内容请点击查看；
• 需要购买BSN-DDC基础网络能量值套餐（每次下载BSN官方实名DID文档需要花费0.04元人民币），套餐详细内容请点击查看。

5. 与BSN全网分布式域名关联

  BSN实名DID服务可以关联BSN全网分布式域名服务。每个购买了BSN实名DID服务套餐的业务平台方，都会获赠一个自有品牌的“.did”一级域名（例如bsn.did），业务平台方可以将每个个人用户的实名DID与该一级域名下的二级域名或三级域名直接关联，以方便后续的业务处理，例如查询、公钥获取等。

  业务平台方也可以为个人用户注册“.com”“.web3”或“.bsn”的一级域名，并关联到对应的实名DID标识上，以便于个人用户可以随时在其他业务APP或网站内，自行输入域名并关联到自己的实名DID文档。具体详情请访问BSN全网分布式域名官网。

6. 数据安全说明

• 所有终端用户的个人敏感信息均由业务方进行加密后，才通过BSN实名DID服务API接口发送到CTID数字身份链平台，并最终在延安链上生成BSN官方实名DID。在整个过程中，BSN各方无法接触、收集或存储任何个人信息；
• 延安链由国家信息中心、中国移动集团设计院、CTID数字身份链平台运营方、信通院云大所和红枣科技通过各自建立验证节点来进行共治共管，以确保没有任何单独一方可以对链环境进行重构或者修改；
• BSN实名DID服务相应的智能合约由CTID数字身份链平台部署并管理，任何其他公司和人员都无法对该合约进行干扰和修改，以确保合约本身的安全性和权威性；
• BSN官方实名DID由权威的CTID数字身份链平台生成，其签发私钥对应的公钥是公开的，任何人都可以通过公钥来验证BSN官方实名DID的生成方为合法并具有公信力的机构。