1、 电子认证电子认证 2.02.0 白皮书白皮书 （2018 版） 全国信息全国信息安全标准化技术委员会安全标准化技术委员会 鉴别与鉴别与授权工作组授权工作组 2018 年 4 月 版权声明：如需转载或引用，请注明出处。 目录目录CONTENTS 前言前言 . 1 1 网络发展推动新的电子认证需求网络发展推动新的电子认证需求 . 3 3 2.1 网络实体和网络应用呈爆炸式增长态势. 3 2.2 服务和身份虚拟化技术迅速普及. 4 2.3 数字化财富追赶现实世界的财富. 5 2.4 网络协作成为网络发展的主流. 6 2.5 身份数据资源成为互联网企业竞争力和国家网络治理重要支撑. 6 电子认证技术

2、存在重重挑战电子认证技术存在重重挑战 . 8 8 3.1 网络欺诈严重危害互联网生态环境和社会公共安全. 8 3.2 企业保护个人信息技术亟待规范. 9 3.3 身份非法买卖严重影响网络实名制实施效果. 11 3.4 单一鉴别技术面临不断发展的安全威胁. 12 3.5 身份鉴别需适应网络应用多样化发展需求. 13 电子认证电子认证 2.02.0 时代已经到来时代已经到来 . 1414 4.1 由离线数字证书为主导的证书服务演化为以在线身份服务为主导的身份管理 . 14 4.2 静态的双因素身份鉴别走向以风控为主导融合多种技术的身份鉴别. 15 4.3 多模式多安全等级电子认证成为满足应用需求又

3、节约成本的最佳选择. 17 4.4 在线身份管理服务的共用共享能更好实现网络个人信息保护. 18 4.5 基于大数据的行为追溯可加强网络实体的可信管理. 19 电子认证电子认证 2.02.0 发展面临诸多问题发展面临诸多问题 . 2121 5.1 身份管理相关法律法规体系仍有待完善. 21 5.2 传统电子认证服务安全程度单一. 22 版权声明：如需转载或引用，请注明出处。 5.3 专业身份服务应用范围有限. 23 5.4 身份服务互联互通仍有待改善. 24 鉴别与授权标准体系建设鉴别与授权标准体系建设 . 2525 6.1 鉴别与授权标准体系框架. 25 6.2 标识类标准. 26 6.3

4、验证与证明类标准. 27 6.4 鉴别类标准. 28 6.5 授权类标准. 29 6.6 集成应用与身份管理类标准. 30 电子认证电子认证 2.02.0 发展建议发展建议 . 3333 7.1 推动网络可信身份战略的制定. 33 7.2 鼓励理论创新和技术创新. 34 7.3 推动身份服务产业生态的形成. 34 7.4 鼓励企业采用新技术新模式积极参与实践. 35 7.5 推进鉴别与授权标准体系建设. 35 附录附录 A A 已发布及在研国家标准清单已发布及在研国家标准清单 . 3636 A.1 标识类标准. 36 A.2 验证与证明类标准. 36 A.2.1 凭证语法与格式类 . 36 A

5、.2.2 验证与证明机制与方法类 . 37 A.2.3 凭证颁发安全技术要求 . 38 A.3 鉴别类标准. 39 A.3.1 鉴别机制类 . 39 A.3.2 基于生物特征识别的鉴别框架与协议类 . 40 A.3.3 基于生物特征识别的系统安全技术要求类 . 41 A.4 授权类标准. 41 A.5 集成应用与身份管理类标准. 42 电子电子认证认证 2.0 2.0 白皮书白皮书 （2018） 1 前言前言 随着互联网和物联网技术的快速发展，网络实体身份呈爆炸式增长态势，虚拟化技术的普遍应用加速了网络实体在网上的快速迁移，网络实体身份管理面临重大的挑战和变革。当前，网络实体身份资源已经成为大

6、企业乃至国家的重要战略资源，对网络实体的可管可控已成为网络空间掌控能力的重要体现。电子认证技术1是实现网络实体身份可信管理的技术，是网络信任体系的基础核心技术，也是网络空间安全治理的重要技术支撑。 电子认证技术旨在解决网络实体的身份管理问题，涉及网络实体的身份标识、身份验证与证明、身份鉴别和授权管理等方面。在当前的网络环境下，面对日益猖獗的网络欺诈、个人信息买卖以及身份黑市活动，传统电子认证技术面临着重大的挑战。但在业界的共同努力下，电子认证技术已在诸多方面呈现出不同于以往的新特征， 我们认为电子认证技术已从 1.0时代迈向 2.0 时代，主要表现在：以离线数字证书为主导的身份证明演化为以在线

7、服务为主导的身份管理；以静态的双因素身份鉴别技术发展为以风险控制为主导并融合多种技术的身份鉴别；简单的是或否单一判断模式 1 本白皮书中的本白皮书中的“电子认证电子认证”采用了民间的电子认证的概念，指”采用了民间的电子认证的概念，指广义的电子认证技术，广义的电子认证技术，包含包含身份标识身份标识（Identification） 、身份身份验证与证明（验证与证明（Certification and Proof） 、身份、身份鉴别鉴别与授权（与授权（Authentication and Authorization） ，该定义该定义并未采用并未采用严格严格的学术定义，无对应的英文单词。的学术定义，无

8、对应的英文单词。严格来说，严格来说，Certification 才能叫才能叫认证，认证，Authentication 应该翻译成鉴别，而应该翻译成鉴别，而 Identification 是指身份标识。是指身份标识。 电子电子认证认证 2.0 2.0 白皮书白皮书 （2018） 2 的电子认证转变为具有多模式多安全等级的电子认证；专业化的共享共用身份管理服务逐步替代孤岛隔离的分散的身份管理；基于大数据的行为溯源和追踪技术加强网络实体的可信管理与追溯等。 中华人民共和国网络安全法（以下简称网络安全法）中规定“国家实施网络可信身份战略，支持研究开发安全、方便的电子身份认证技术，推动不同电子身份认证之

9、间的互认”。本白皮书以网络安全法为指引，面向当今网络发展的新趋势，在已有电子认证技术的基础上，提出并描绘电子认证 2.0 的技术特点和标准体系， 希望与业界从业者达成共识，进而规范网络实体的身份管理和服务，降低政府及企业在防伪防欺诈等方面的成本消耗，推动国家网络可信身份生态体系的建设。 本白皮书的撰写得到了全国信息安全标准化技术委员会的指导和帮助，得到了中国密码学会的大力支持和指导，是全国信息安全标准化技术委员会鉴别与授权工作组及中国密码学会电子认证专业委员会专家集体智慧的结晶，在此向指导和参与工作的领导和同事一并表示感谢。文字工作主要由刘丽敏、荆继武、吕娜、国强等编辑完成，在此也一并表示感谢

10、。 本白皮书以工作组内专家观点为主导，力求正确反映技术走向，错误和疏漏之处在所难免，文中观点也可能与其他专家观点有所不同，欢迎大家批评指正，共同为国家电子认证发展出力献策。任何建议与意见可联系全国信息安全标准化技术委员会鉴别与授权工作组秘书处(邮箱：tc260_)。电子电子认证认证 2.0 2.0 白皮书白皮书 （2018） 3 网络网络发展发展推动推动新的电子认证需求新的电子认证需求 截至 2017 年 12 月，我国网民数量已经达到 7.72 亿，稳居世界第一网络大国。我国互联网的发展关乎国家经济发展、社会稳定繁荣，更是影响我国国家安全和主权安全的重要因素。移动互联网、云计算、物联网、区块

11、链、大数据等新技术的出现为网络世界带来了广阔的发展空间和崭新的机遇，同时也带来了新的需求和挑战。 2.12.1 网络网络实体实体和网络和网络应用应用呈呈爆炸式增长爆炸式增长态势态势 移动互联网和物联网的发展使得网络实体的类型和数量快速增长，类型多样化和数量大幅增长的身份管理需求对认证技术提出了新的要求。每位用户、每台设备（如手机、笔记本电脑、平板电脑、台式计算机等）、每个传感器节点（如摄像头、指纹传感器、红外线传感器、RFID 等）在多种场景中的不同应用里都可能拥有不同的身份和不同的管理者。 用户、 设备、传感器节点等网络实体接入网络直接导致了网络身份的爆炸式增长。 与此同时， 网络应用数量也

12、呈现爆炸式增长。 根据应用市场分析显示，苹果 APP Store 中的应用数在 2016 年已超过 200 万。每个应用都有对应的开发者，不仅开发者拥有自己的身份，每个具体的应用、用户通常也会有一个相关的身份，如：由邮件地址与口令构成的电子邮件身份、由 QQ 号和口令构成的 QQ 身份、由淘宝账号与口令构成的淘宝身份等。网络用户数量电子电子认证认证 2.0 2.0 白皮书白皮书 （2018） 4 的增加，伴随着大量设备的接入，使得网络用户的身份不断复杂化并呈现出大规模、爆炸式增长态势（见图 2-1）。 如何唯一标识数量巨大且不断变化的网络实体，如何通过身份标识唯一体现和反映复杂的实体间控制或从

13、属关系以便强化追踪与管理，如何支持同一实体在不同应用中的实名或匿名等不同的安全需求确保不同应用和用户实体安全，都是新形势下电子认证技术和标准的重要问题。 图 2-1 网络主体和网络应用爆炸式增长 2.22.2 服务服务和和身份虚拟化身份虚拟化技术迅速普及技术迅速普及 移动互联网、 云计算使得网络中的计算、 服务、 身份等资源的虚拟化发展迅速普及，身份管理技术必须适应虚拟计算环境下的身份虚拟化和不断变化的身份关联。用户使用不同的终端设备（如手机、笔记本电脑、平板电脑、台式计算机等）通过云端的应用和代理服务控制或使用远端虚拟机进行计算和服务，使得一个身份可以动态延伸到不同网络和设备中。不同的电子电

14、子认证认证 2.0 2.0 白皮书白皮书 （2018） 5 服务也将产生诸多不同的副本身份并在网络上不断迁移。 计算机以及服务器可以通过虚拟化，使参与网络行为的各种实体能够在网络上随着计算机与服务器的迁移而高速漂移，导致网络控制关系的快速不断变化，这使采用传统方法实施网络实体的管理追溯和控制也变得更加困难。 网络虚拟化条件下的实体管理和身份鉴别对身份管理技术提出了新的需求，网络实体的快速延伸，网络实体间的控制、从属等关系都将变得更加复杂，网络实体的变化和移动也将更加快捷，实体的鉴别、追踪和审计管理将成为新形势下身份管理的重要问题。 2.32.3 数字数字化化财富财富追赶追赶现实世界的财富现实世

15、界的财富 随着互联网经济的发展， 互联网技术与金融、 文化、 制造等产业得到了有机的结合，数字化财富正在赶超现实世界的财富。各大银行纷纷推出了互联网金融业务，支付宝、微信等第三方支付方式得到了广泛应用，各大电商企业、 P2P 模式的网络借贷平台也如火如荼的发展， 各种类型的手机金融理财业务也层出不穷，财富正在从现实世界向数字世界迅速转化且势不可挡。 数字世界处处存在价值，资产形式多样化，不再拘泥于现实世界的币种。如，近些年来风靡全球的比特币，在 2009 年诞生之初，1300 个比特币仅值一美元，到了 2018 年，10000 美元才可以兑换一枚比特币。又如，近两年来逐渐升值的网络身份， 也包

16、含巨大价值， 2016 年的网络红人 papi 酱，成功融资 1200 万元。名人在新浪微博、腾讯 QQ 的 VIP 账号，甚至网络游电子电子认证认证 2.0 2.0 白皮书白皮书 （2018） 6 戏中的皮肤和装备，也已经成为一种新的资产形式。 数字世界已不再是虚拟时空，不仅控制着虚拟的财富，也影响着现实世界的经济发展。在信息媒体蓬勃发展的今天，数字世界已变得越来越重要，而其与现实世界的融合和接轨使其在某些方面比现实世界更为重要。与此同时，利益驱动下的犯罪和攻击将变得更加频繁。从技术和标准上维护网络实体身份可信、确保网络上数据、信息或虚拟实体的完整、真实、可鉴别， 以及确保现实实体和网路实体

17、的关系安全， 包括关系的真实、 完整、可控以及可证明将成为新时代下经济发展的新挑战。 2.42.4 网络协作网络协作成为成为网络网络发展发展的主流的主流 云计算技术等的快速发展，标志着网络专业化服务的兴起，预示着网络协作将成为网络发展的主流。基于云计算的专业化服务，将逐步改变过去信息系统自给自足的服务模式。网络协作以及网络专业化服务的市场体系，将使得网络经济发展更具效率和活力。 网络协作需要多个参与方，参与方之间的互相信任是网络协作得以正常、稳定运作的重要基础。网络信任体系的建设已成为主流数字世界发展的重中之重。作为网络信任体系构建的基础技术，电子认证技术也必将成为推动我国网络经济快速发展的重

18、要基础技术。 2.52.5 身份身份数据数据资源资源成为互联网企业竞争力和国家网络治理重要支撑成为互联网企业竞争力和国家网络治理重要支撑 网络身份数据资源已成为互联网企业的核心竞争力，网络身份和认证信息是企业提供后续服务的前提。通过网络身份和认证信息，网络实体及电子电子认证认证 2.0 2.0 白皮书白皮书 （2018） 7 用户信息的管理者或服务者能更容易获得用户的网络行为、爱好等信息。因此，网络应用为用户提供更好服务的同时，从某些方面也为掌握网络用户的上网活动提供了条件。 拥有用户是企业拥有财富的一个重要标志。Facebook 用户数量已经达到 22 亿，其公司价值是按照用户数量来评估的；

19、腾讯拥有超过 8 亿的用户量；360 通过杀毒软件、手机助手等软件拥有了 6.4 亿用户；支付宝拥有4.5 亿实名用户。 管理用户的数量直接反映了企业未来的价值， 已经成为互联网企业的生命线。 网络实体包括现实世界的网络用户，是网络经济发展的主体，控制着网络资源。聚集的实体身份信息直接关系到国家的网络经济安全和其对网络资源的控制力。非法获取网络身份信息，是当前网络犯罪寄生的基础。非法获取和利用这些身份信息，将会威胁到网络用户的虚拟经济、现实经济甚至人身安全；合法应用这些身份信息，才能保障网络秩序和谐，促进产业快速发展。 在网络疆域和边界不断变化的情况下，网络身份管理的规模和能力已经成为国家网络

20、治理能力的重要标志， 大力发展网络身份管理与服务技术，研究适应新时代的不断增长变化的网络身份管理与服务相关标准规范和安全技术要求，推进我国自主的网络身份服务生态体系及可管可控网络秩序建设，也是我国参与世界网络治理的一个重要体现。电子电子认证认证 2.0 2.0 白皮书白皮书 （2018） 8 电子认证电子认证技术技术存在重重存在重重挑战挑战 3.13.1 网络欺诈严重危害互联网生态环境和社会公共安全网络欺诈严重危害互联网生态环境和社会公共安全 我国稳居世界第一网络大国，但是大多数网民的网络安全知识匮乏，安全意识淡薄，安全技能有限，身份保护能力不足。如，钓鱼网站和合法网站的网址存在着细微的差异，

21、但网民基本不会注意观察浏览器的地址栏；公众场合随处可得免费 Wi-Fi，但也成为了有些不法分子冒充合法网络引诱网民、进而欺诈网民的途径；出于简单易用的考虑，弱口令现象普遍，网民倾向于采用用户名/口令的方式来登录网络应用， 并通常使用自己的生日或简单单词等作为口令，还常常使用同一个口令登录不同的网络应用或服务商，给口令被破解带来隐患。又如，大多数网民为了网络生活的便利，不经意间在网络中泄露了个人身份信息，而这些信息一旦被不法分子窃取，就会成为他们谋取利益的对象，如网民们选择在使用抢票软件抢购火车票时，就需要在这些软件上输入其在 12306 网站上的用户名和口令，增加了用户名和口令遭到泄露的风险。

22、 互联网技术的快速发展催生出各式各样的网络欺诈手段，技术水平越来越高，广大网民难以甄别。不法分子从多个渠道收集攻击目标的家庭情况、社会关系和个人信息，利用社会工程学对攻击目标进行网络欺诈。这种精心定制的网络欺诈手段，网民通常难以辨别，信以为真，从而造成巨电子电子认证认证 2.0 2.0 白皮书白皮书 （2018） 9 额损失。如，不法分子利用钓鱼网站、手机病毒等方式盗取银行账号及密码、冒充国家机关发布虚假信息、盗取 QQ 或微信账号冒充亲友骗取钱财。欺诈手段随着技术发展而不断翻新， 勒索病毒等新的犯罪模式也逐渐涌现，对个人的财产及人身安全带来巨大威胁，也加深了对社会的信任感危机。如：2016

23、年的“徐玉玉”事件，因电信诈骗付出了生命的惨痛代价；2016年某高校教师因信息泄露，被犯罪分子冒充公检法骗走 1760 万元。 互联网欺诈事件频发对互联网生态环境产生了诸多不良影响，严重阻碍了我国信息产业尤其是互联网+等新业态的健康、快速发展。 3.23.2 企业企业保护个人信息保护个人信息技术技术亟待规范亟待规范 我国互联网发展迅速，网络活动越来越丰富，公民个人真实信息已经大量并广泛存在于多种网络中。电子政务、社交网络、网上购物、网上理财、即时通信等，网民参与的大部分网络行动均需要进行实名登记。大量的真实身份信息，包括个人身份证/护照号、手机号、联系地址等都被收集并常常被保存在不同的网络服务

24、器上。 我国互联网企业也通过各种服务途径，如网上购物、手机导航等掌握了大量用户的真实信息，除个人基本信息外，还包括：家庭住址、兴趣爱好、网络社交行为、购物习惯、真实行动轨迹等。互联网企业针对个体用户提供的安全保护服务，也会收集用户的个人隐私信息。 目前，多数互联网企业安全和隐私保护能力不足，导致用户个人信息泄露事件频发。许多互联网企业为降低成本，或安全意识薄弱，对用户个人信息的保护不够重视。企业关注点主要在自身提供的网络产品和服务的电子电子认证认证 2.0 2.0 白皮书白皮书 （2018） 10 发展方面，部分企业大量收集甚至超范围收集用户的个人信息，却对用户数据缺乏必要的保护， 如直接明文

25、存储用户个人信息等。 据相关新闻报道，2015 年，知名连锁酒店锦江之星、速八等被爆出存在高危漏洞，黑客可轻松获取千万级顾客开房信息；2015 年,10 万高考考生信息遭到泄露；2016年 9 月 22 日，雅虎承认其与至少 5 亿用户相关的信息遭人窃取；2017 年10 月，雅虎再次宣布所有 30 亿用户个人信息被泄露。 大规模隐私泄露事件频发的案例，折射出令人堪忧的个人真实信息的网络安全处境。事实上，大量的个人真实信息可以轻易通过极低的代价获取。 据南方都市报报道， 仅需 850 元就能获取个人的开房记录、 列车记录、航班记录等 11 项个人信息，其中开房时间可以精确到秒；提供身份证号还能

26、够查询到四大银行的存款余额；查询手机定位经纬度可精确到小数点后六位。 综上所述，我国诸多网民的身份信息处于“裸奔”状态，迫切需要相关企业采取安全措施保护用户隐私，相关技术要求标准和规范亟待制定。对大多数组织来讲，正确管理身份信息对于保持组织业务过程的安全至关重要；对于个人来讲，正确的身份管理对于隐私保护十分重要。为有效管理基于身份信息做出决策的数据处理系统以及隐私保护问题，国际上近年来已开展了诸多研究并发布了相关标准，如 ISO/IEC 24760 系列标准、信息技术 安全技术 隐私框架（ISO/IEC 29100）、信息技术 安全技术 隐私能力评估模型（ISO/IEC 29190）等，为我国

27、在身份信息管理以及隐私保护方面的研究和标准化工作提供了重要指导。 电子电子认证认证 2.0 2.0 白皮书白皮书 （2018） 11 3.33.3 身份非法买卖严重影响网络实名制实施效果身份非法买卖严重影响网络实名制实施效果 网络身份买卖的黑色产业链源于网络身份与现实身份的绑定需求。网民在使用大部分网络产品和服务时，需要将其网络身份与现实身份进行一对一的绑定，包括：银行开户、淘宝注册、酒店入住、电信开户等。将网络身份与现实身份进行绑定，可实现对网民身份的认证，保护网民合法利益并更好实现对网络行为的监管。对于网络诈骗、洗钱等非法行为而言，使用他人的真实身份信息绑定网络身份，是一个绝佳的掩护手段。

28、如，犯罪分子从黑市购买被盗身份证，开办银行卡洗钱；为了隐藏个人真实财产，持有多个身份证。一些个人，为隐私保护的目的，也会从黑市购买身份，进行网络登记或网上聊天等。 部分企业以实名制为名，大肆收集公民个人信息。网络身份黑色产业链不断完整，技术也不断提升。比如，地下黑色产业链可利用作弊工具产生虚假的但可验证通过的身份证号码，从而绕过简单的实名注册；针对提供身份证复印件或者手持身份证拍照等验证信息的方式，黑色产业链通过非法收集并售卖全套的淘宝验证数据，包括身份证复印件、手持身份证拍照照片等，来绕过实名注册。 目前， 我国身份买卖黑市已经形成一定规模， 网络身份买卖价格低廉，通过极低的代价即可将网络身

29、份绑定到一个不属于个人的现实身份。身份买卖服务包括身份证买卖、 配套资料销售 （与身份证对应的 U 盾、 手机卡、开户资料等）、假证办理等。据新华社报道，只需要 900 元就可购买到他人全套的银行开户资料，包括开户的银行卡、身份证原件、网银 U 盾、银行卡绑定的手机号码卡等一系列证件，单以银行卡买卖为例，就已经形成电子电子认证认证 2.0 2.0 白皮书白皮书 （2018） 12 了一条完整的非法利益链。 实名制推行的初衷，是为了便于监管和责任追查，但由于身份黑市交易可以将个人的网络身份绑定到了一个不属于本人的现实身份，同时配套的身份管理技术手段比较单一、体系不够完备，企业具体执行不到位，影响

30、了以规范互联网环境、抑制网络犯罪为目标的实名制推进效果。 3.43.4 单一单一鉴别技术鉴别技术面临面临不断发展的安全不断发展的安全威胁威胁 正所谓没有绝对的安全，安全是动态发展的，静态的身份鉴别面临严峻挑战。事实上，一种鉴别技术从设计理念到具体实施，处处都可能面临着攻击技术进步的威胁和风险。无论何种单一的鉴别技术，都不能确保绝对的安全。 鉴别技术采用的密码算法，其算法原理可能存在威胁。如众所周知的MD5 和 SHA-1 杂凑算法一直作为最为广泛应用的密码算法应用在金融、电子商务、电子政务等领域，目前这两个算法已被宣布存在安全隐患。 鉴别技术在技术实现时可能存在安全漏洞，如果技术实现不准确，就

31、会存在中间人攻击的威胁。如广泛用于保护互联网上数据传输安全的 SSL协议，SSL 协议安全隐患的存在可能使用户受到各种极具破坏力的网络攻击， 其中中间人攻击(Man-in-the-MiddleAttack,简称 MITM 攻击)就是非常危险的一种攻击方式。事实上，任何信息技术在具体编码实现时，安全漏洞的存在是必然的，身份鉴别服务提供者在发现安全漏洞时，只能尽快做好修复和补救措施。 鉴别技术在实际应用时也可能存在安全威胁，如采用被动式的签名机电子电子认证认证 2.0 2.0 白皮书白皮书 （2018） 13 制无法应对中间病毒的攻击。 3.53.5 身份身份鉴别需适应鉴别需适应网络网络应用应用多

32、样化发展需求多样化发展需求 网络应用类型及应用场景呈多样化趋势，多样化的应用和差异化的场景需要多样化的身份鉴别技术。 网络应用已逐渐深入应用到金融、政务、教育、交通、通信、社交等各个行业中，包括在线支付、社交应用、金融服务、手机导航等。不同的应用类型需要不同安全级别和不同方式的鉴别技术。 网络应用的场景也呈现出多样化的趋势，如支付宝具备普通社交、小额支付、大额支付等应用场景，微信兼具有社交、即时通讯、支付、电商等应用场景。不同的应用场景也需要不同的身份鉴别技术，以满足用户在不同应用场景下的易用性及安全性需求。如小额支付可以免密支付，大额支付需要进行更加严格的鉴别后才可进行；又如用户在常规应用上

33、登录只需要简单身份鉴别即可，而在高安全应用上登录需要提高身份鉴别强度。 过多的需求会导致身份管理的差异化，无序的差异化发展必然带来互联互通问题。如何将过多的安全需求归纳整理，研制既满足多级别安全需求、又简单易行的安全技术标准无疑是推动我国身份管理良性发展的新挑战。电子电子认证认证 2.0 2.0 白皮书白皮书 （2018） 14 电子认证电子认证 2.02.0 时代时代已经到来已经到来 网络身份已经成为互联网的重要战略资源，电子认证服务模式和认证方式也在发生巨大变化。生物特征识别、云计算、大数据等技术的融合发展，极大地丰富了电子认证的内涵，促进了电子认证在金融、政务、医疗等各大领域的应用，推动

34、电子认证从 1.0 时代走向电子认证 2.0 时代。 4.14.1 由由离线离线数字证书为主导的数字证书为主导的证书服务证书服务演化为演化为以以在线在线身份身份服务为主服务为主导的身份管理导的身份管理 传统的电子认证服务通常使用离线的数字证书服务模式。数字证书认证机构给用户颁发一个包含用户个人信息和公钥的数字证书，用户通过数字证书进行网络身份鉴别，鉴别时一般不需要数字证书认证机构在线，只需要有最新的证书撤销列表。尽管多数的数字证书认证机构还提供在线的证书状态协议，实现了用户证书撤销的快速响应，但该协议对网络连接要求高，采用证书撤销列表仍是传统实现的主要方式。虽然基于数字证书的身份鉴别安全性高，

35、但传统的以专有硬件（如 USBKey）为数字证书载体的用户身份鉴别易用性不够好。 随着 3G、4G 移动互联技术的不断发展，网络无处不在，用户可通过不同的终端接入方式，访问形式多样的网络应用和服务，这对电子认证的安全性和易用性提出了新要求。 电子电子认证认证 2.0 2.0 白皮书白皮书 （2018） 15 图 4-1 电子认证服务模式的转变 在线的专业化的身份管理与服务已经成为当今网络身份认证的主要方式和发展方向。在新的模式下（见图 4-1），用户在访问网络应用时，可通过在线的专业化身份服务提供方实现对用户身份的鉴别，完成身份鉴别后再将相关数字凭据在线实时返回给相关应用，具有更好的安全时效性

36、。专业化的身份服务也向用户提供了更佳的易用性和安全性，包括单点登录，多级安全支持，不再受限于专有硬件等。同时，网络应用与服务管理者无需管理用户身份信息，可节约开发经费，降低系统复杂度，减少隐私信息泄露风险。 4.24.2 静态的双因素静态的双因素身份鉴别身份鉴别走向走向以风控为主导以风控为主导融合多种技术融合多种技术的的身份身份鉴别鉴别 传统的双因素身份鉴别技术面临诸多安全挑战。传统的身份鉴别一般在身份注册阶段验证用户的真实身份（如通过身份证号、手机号、邮箱地址等），为用户颁发鉴别凭证，通常是口令、令牌或者数字证书，然后网络电子电子认证认证 2.0 2.0 白皮书白皮书 （2018） 16 应

37、用可以利用凭证鉴别用户。 当发放的令牌或证书是无法复制的独立介质，同时也要求提供用户记忆的口令时，这种鉴别方式也被称为双因素鉴别，即知道什么和拥有什么。 在部分情况下， 也会加上第三个因素来进行鉴别，如利用生物特征识别。 双因素身份鉴别技术在实际应用中遇到了越来越大的挑战。由于生成凭证的技术所限，凭证的复制和假冒时常发生。盗号木马、钓鱼网站等手段也可以获取用户的真实凭证信息，进而攻击用户的账户。简单的静态双因素或多因素身份鉴别无法确保当前网络攻击下的身份安全。同时，简单多因素身份鉴别技术给用户带来了使用上的不便， 例如要求用户记住口令、拥有 IC 卡或证书硬件介质等，登录过程繁杂。 基于用户历

38、史行为的、引入风险控制机制的身份鉴别技术（以下简称基于风控的身份鉴别），已经成为目前身份鉴别技术发展的重要方向。在基于风控的身份鉴别中，将根据用户操作所需要的授权决定用户鉴别的安全要求，用户的凭证不再成为应用鉴别用户的唯一因素，用户的网络行为和相关知识也同时作为鉴别判定的重要因素。通过对用户的基本信息（见图 4-2）提取以描摹个体，获取对用户的认知。在用户登录时，通过对环境信息进行动态监测和用户行为的动态监测以进行用户判定。目前，市场上主流的互联网企业，如腾讯、阿里巴巴等均已使用基于行为的身份鉴别技术，通过监控每个用户的登录行为，并根据行为状态来判定是否允许该用户登录或者进行某些关键操作（例如

39、支付）。 电子电子认证认证 2.0 2.0 白皮书白皮书 （2018） 17 图 4-2 用户基本信息 同时，基于可信执行环境的移动终端的发展使得基于生物特征识别的身份鉴别技术应用得到迅速推广，以 FIDO、IFFA、SOTER 等为代表的基于生物特征识别的身份鉴别服务得到了较大范围的应用，如指纹识别、虹膜识别、人脸识别等，大大提升了身份鉴别服务的易用性。 4.34.3 多模式多模式多安全等级电子认证多安全等级电子认证成为成为满足应用需求满足应用需求又节约成本又节约成本的的最最佳选择佳选择 互联网应用和服务层出不穷、 形式多样、 更新频繁， 不同网络应用或服务对用户的可信安全需求也各不相同。即

40、使相同的应用，在不同的环境和场景下对用户的鉴别也有不同的安全要求。支持多等级的安全身份鉴别，以满足不同类型、不同规模的应用在安全性、隐私保护能力、赔付能力等方面的差异化需求是现代身份鉴别的重要内容。应用或服务可能需要针对不同的用户和应用场景，配置不同的安全策略。举例来说，对于需要处理不太敏感信息的应用，仅通过一般鉴别强度的用户实体就可使用；对于安全风险较大的环境，需要使用更强鉴别功能的令牌。 电子电子认证认证 2.0 2.0 白皮书白皮书 （2018） 18 针对不同的应用/机构/软件/服务，根据相应的安全需求，制定多安全等级的认证策略，采用不同安全要求的身份鉴别技术，以达到更好的安全性和易用

41、性的平衡。 4.44.4 在线身份管理服务在线身份管理服务的共用共享能的共用共享能更好更好实现网络实现网络个人信息个人信息保护保护 身份管理边界不断演变，并逐渐被打破，从以应用为中心的身份管理到以机构为中心的身份管理， 逐步向着以用户为中心的身份管理方向发展。在以应用为中心的身份管理中，每个应用或者服务负责管理自己用户的身份，而每个应用的身份与其他应用不能互通。每个用户需要记住很多应用的登录账号和口令。对当前不断发展的应用来说，无论是用户还是管理员都要做大量的身份管理操作，不仅费时，而且费力。在以机构为中心的身份管理中，一个机构（企业或者政府部门）利用一个集中的身份管理系统管理其用户的身份，用

42、户利用该身份登录所有的机构内部应用或者服务，实现单点登录。 当一个用户使用多个机构的服务时，仍旧需要使用多套账户，机构与机构之间的跨机构访问，以机构为中心的身份管理也难以应对。目前，身份管理已经打破应用或者机构边界，逐步形成以用户为中心的身份管理。以用户为中心的身份管理能够确保用户用少量的身份，使用跨机构、跨地域、甚至跨国界的服务。业界已涌现出一系列标准，用于不同的网络身份认证系统之间的互联互通，以及跨域进行访问授权。如，OpenID、SAML、OAuth、 FIDO 等国际标准已得到广泛应用， 被大量国内外主流的互联网企业所采用。 电子电子认证认证 2.0 2.0 白皮书白皮书 （2018）

43、 19 在网络应用和身份大规模增长的现状下，身份管理系统共享共用在为个体提供选择和便利、为应用节省成本的同时，也能更好的保护用户的个人信息。在共享共用的身份管理系统里，作为身份管理服务企业，通过身份入口掌握用户信息，同时通过提供身份服务获取商业利益；作为应用提供商，可选择不同的身份管理系统，自己不需要管理用户。作为个人，可自由选择身份管理系统，其个人信息放在较安全的身份管理系统，有利于身份信息的管理和隐私保护。 在身份管理系统中加强身份信息的安全与隐私保护，实现身份管理方与应用服务提供方的分离、不同类型身份管理系统之间的互联互通，以达到最大范围的单点登录、单点注销。 4.54.5 基于基于大数

44、据的行为追溯可加强网络实体的可信管理大数据的行为追溯可加强网络实体的可信管理 在目前的身份管理技术发展趋势下，个体的身份、行为信息存储在身份管理机构，随着大数据在各行各业的应用和发展，可通过构建网络身份与行为数据中心，实现对用户在不同身份管理机构的身份关联，从而完成用户行为预测和网络可信感知。 通过与身份管理机构进行用户身份与行为数据的交换，利用不断积累起来的历史元数据，可以获得用户身份关联、行为预测、网络可信感知等能力，建立用户网络活动信用档案，提高追溯能力。通过对用户行为大数据的监控与预测，可以发现异常行为提前预警，实现快速追踪；还可实现网络可信感知和网络宏观状态发现， 包括上网流量分析、

45、 网络关注度分析、异常分析和报警等等。 电子电子认证认证 2.0 2.0 白皮书白皮书 （2018） 20 利用大数据技术对用户行为技术进行关联，可通过分析和整合还原用户的网络行为记录。当个体用户在网上犯罪后，可以通过数据取证，快速获取犯罪目标的身份信息和网络活动历史，并获得犯罪目标的多种通讯定位手段，如电话、QQ、微信、交际圈等，及犯罪目标下一步的行动预测，实现对个体用户的追溯，大幅提高网络犯罪追踪、取证、溯源能力。 电子电子认证认证 2.0 2.0 白皮书白皮书 （2018） 21 电子电子认证认证 2.02.0 发展发展面临诸多面临诸多问题问题 5.15.1 身份身份管理管理相关相关法律

46、法规法律法规体系体系仍仍有待完善有待完善 中华人民共和国网络安全法的颁布，奠定了我国在网络空间安全治理的法治化的基础。全国人大常务委员会于 2004 年通过了中国人民共和国电子签名法 ， 并于 2015 年进行了修正； 为了加强对个人信息的保护，第十一届全国人大常委会于 2012 年通过了关于加强网络信息保护的决定，工信部于 2013 年发布了电信和互联网用户个人信息保护规定；中央网信办于 2014 年发布实施了 即时通信工具公众信息服务发展管理暂行规定；为规范互联网群组信息服务，国家互联网信息办公室于 2017 年9 月印发了互联网群组信息服务管理规定。 可以看出，我国网络信息安全的法律体系

47、已经成形，尤其侧重在服务提供商和服务使用者的管理方面，同时也涉及对用户信息收集、保护以及个人信息泄露的惩处等方面，但是在身份服务相关的责任和担保相关法律和个人信息泄露赔偿等方面的法律尚有所欠缺。虽然目前的多条法律法规中提到，在使用网络服务注册时，用户需要将个人真实信息提交给网络服务提供者，且服务提供者应当建立健全用户隐私保护制度，但是对于个人信息泄露受害用户的赔偿问题，目前还没有相应的法律法规给出赔偿的处理方法。 此外， 利用大数据对用户行为进行追溯， 其中涉及诸多法律问题，电子电子认证认证 2.0 2.0 白皮书白皮书 （2018） 22 尚缺乏对应的法律法规予以解决。 5.25.2 传统传

48、统电子认证电子认证服务服务安全程度单一安全程度单一 我国电子认证服务取得了长足的发展，形成了覆盖 40 多家第三方 CA机构的全国统一信任关系，基本建立了全国电子认证行业监管体系，制定了多项电子认证相关技术标准，初步形成覆盖全国的电子认证运营服务体系，形成了丰富的电子认证应用模式服务。目前，电子认证服务已经改变了以前信任关系孤立、基础设施多样、服务标准各异的散乱局面，基本形成了一个信任关系互联互通、基础设施安全可靠、服务规范有章可循的全国统一的第三方电子认证服务体系，在各行各业信息化建设中发挥了重要作用。 但是，我国电子认证服务安全程度仍较为单一，无法全面支撑我国网络可信的应用需求。目前，我国

49、 CA 机构提供的电子认证服务，均是基于数字证书，相对于用户名、口令之类的简单身份验证方式，安全程度高，主要适用于电子政务、电子商务、电子支付等重要的网络应用。在互联网应用环境中，诸如社交网络、论坛、视频服务、新闻浏览等网络应用，无需对用户进行过于严格的身份信息验证，目前电子认证的成本和易用性都不满足这些简单的应用需求；而另一方面，超大额电子交易、不动产交易等对身份服务有更高安全要求。部分第三方电子认证机构由于缺乏评估保障和赔偿保障，其安全程度也无法满足上述高安全应用需求。 电子认证行业缺乏统一的评价体系，电子认证服务互联互通仍存在一定困难，限制了电子认证行业发展。目前我国的 CA 机构大都根

50、据自身的技电子电子认证认证 2.0 2.0 白皮书白皮书 （2018） 23 术及安全能力可以为用户提供若干安全等级的身份认证服务， 但是各 CA 机构对于电子认证服务的安全等级划分、证书策略制定等都各不相同，而且我国 CA 机构对用户承诺的赔偿额也远小于国际 CA 机构的标准。由于我国未建立对于 CA 机构服务能力的统一评价体系，我国 CA 机构之间的互联互通也存在障碍，无法有效对 CA 机构的安全等级、服务能力、业务范围、身份服务的可信度、赔偿能力等进行评价。用户及互联网应用无法通过有效途径获取具有权威性评价信息，极大地限制了我国电子认证行业的发展。 5.35.3 专业身份服务应用范围有限