電子簽名:網絡經濟的助推器

今年4月1日，是我國信息安全領域的重要法律之一 ——《電子簽名法》頒布5周年的日子。這是一部具有劃時代意義的法律，它為規范網絡行為、建立網絡秩序、增強網絡信任奠定了法律基礎。但也有人認為該法規過于超前，目前的應用與預期相去甚遠。那么，如何解釋《電子簽名法》的真正含義，怎樣進一步推廣它的應用?近日，《計算機世界》報總編孫定特別約見了工業和信息化部信息安全協調司副司長歐陽武，并就相關問題展開了深入探討。

網絡經濟

需要認證服務

《電子簽名法》施行之前，人們常問的問題是: “我們在網絡上從事的各種活動，法律上是否承認，有沒有法律效力?”制定《電子簽名法》的重要意義之一，就是要消除這樣的疑問。

孫定: 2005年4月1日，《電子簽名法》正式施行，至今已經整整5年。有人認為，該部法律過于超前，在目前的環境下施行，并不是很好，而且“電子簽名”目前的應用與人們的預期也相去較遠。工業和信息化部作為該部法律指定的電子認證服務機構監管部門，如何看待這一問題?在2005年就頒布這樣一部法律，有何現實意義?

歐陽武: 我認為，《電子簽名法》并不超前，而是具有重要的現實意義。其中最突出的意義有三點:

首先，它消除了推動電子商務、電子政務等新興業務發展的法律障礙。現實生活中，我們無論是開展政務活動、民商事活動還是社會活動，例如向政府提交報告、簽署合同、交換信息、進行交易時，都有簽名或蓋章的要求，簽名或蓋章是文件生效的法定要件。而所有這些，都是為了保留證據，以便事后產生爭議時作為權利主張的依據。

當我們把所有這些活動轉移到網絡空間上之后，如何確立電子信息的效力，如何保障網絡行為的可追溯性，特別是如何滿足法律對簽名、蓋章和書面形式的要求，就成為推進電子政務和電子商務發展首先遇到的問題。《電子簽名法》在施行之前，人們常問的問題是: “我們在網絡上從事的各種活動，法律上是否承認，有沒有法律效力?”制定《電子簽名法》的重要意義之一，就是要消除這樣的疑問。它首次明確了“可靠的電子簽名與手寫簽名或蓋章具有同等的法律效力”。

第二，互聯網迅猛發展，已經成為重要的基礎設施，網絡經濟也已經成為一種新興的經濟形態。域名和IP地址是發展互聯網和互聯網業務的基礎，由于國際域名登記和IP地址分配機制的原因，實行網絡實名制的域名不足23%，達到域名信息的真實、完整和準確的，則不足5%。這已經成為了互聯網信息安全的一個突出問題。在網絡實名制還沒有實現的情況下，有一種可以有效地解決互聯網安全機制不足的手段，就是對網站域名和個人身份、機構身份進行認證，例如服務器證書、個人身份證書、機構身份證書等等，都是電子簽名技術的應用。它是建立互聯網的信任機制、消除互聯網上信任體制不健全的一種好辦法。

第三，《電子簽名法》是確定網絡行為責任的一種手段。因為，采用可靠的電子簽名技術，再加上有效的管理，可以保證經過可靠電子簽名的數據不可更改、不可抵賴。現實生活中，很多人拿著寫有簽名的各種文件上法庭打官司，就是因為這個簽名是不可更改的，代表了簽名人的責任。映射到互聯網上，也需要這樣一套機制，否則就找不到網絡行為的責任人了。如果不能追溯到網絡行為的責任人，那么一切網絡行為，包括各種網絡經濟活動、各種網絡服務行為，就都變成了一種“海市蜃樓”的行為——即使描繪再完美，都如在沙灘上建設大樓，不可能期望建得很高。

《電子簽名法》的通俗解釋

但與紙質文件不同的是，電子文件很容易被修改、復制，修改的痕跡也不易被察覺。因此，對于電子文件，我們需要找到一種手段，達到手寫簽名與紙質文件的“綁定”效果。

孫定: 普通民眾對《電子簽名法》很不了解，甚至業內人士對該法律的認識和理解也不是十分深刻，而利用該法維護自身權益的行為就更為少見了。有人反映，電子簽名及其相關解釋太過晦澀，大部分的人都看不懂。自工業和信息化部成立后，專門組織了專家進行研討。請您介紹一下這方面的結論。

本報總編輯孫定

歐陽武: 首先需要理解什么是電子簽名。《電子簽名法》對電子簽名的定義很專業，對于非專業人士，確實很難理解。如果簡單、直觀地解釋，電子簽名就是信息空間(也被稱為網絡空間、電子空間)里具有與物理空間里手寫簽名同樣功能和作用的方法和手段。

手寫簽名很好理解，就是采用墨水筆在書面文件上書寫個人姓名或符號，表明簽名人對文件內容的認可。但與紙質文件不同的是，電子文件很容易被修改、復制，修改的痕跡也不易被察覺。因此，對于電子文件，我們需要找到一種手段，達到手寫簽名與紙質文件的“綁定”效果。只有有了這種手段，才能確保電子文件一經簽署就不可更改。這樣，一切網上的信息，一經簽署就具有了法律效力。

那么，電子簽名也需要具備一些特點，這就是《電子簽名法》對具有與手寫簽名具有同等法律效力的“可靠電子簽名”的法定要求: 簽名制作數據由簽名人專屬; 簽名制作數據由簽名人控制; 簽名不可更改; 經簽署后的數據電文不可更改。

電子簽名可以采用多種形式，如: 附著于電子文件的手寫簽名的數字化圖像，包括采用生物筆跡辨別法所形成的圖像; 向收件人發出證實發送人身份的密碼、計算機口令; 采用特定生物技術識別工具，如指紋或是眼虹膜透視辨別法等。與手寫簽名不同，手寫簽名與簽署對象文件一般是捆綁在一起的，而電子簽名與簽署對象文件有可能是分離的。

工業和信息化部信息安全協調司副司長歐陽武

孫定: 《電子簽名法》中還有一個重要的概念，就是電子認證，什么是電子認證?電子簽名為什么需要認證?

歐陽武: 認證活動并不是網絡上才有的活動。認證活動自古羅馬時代就存在。現實生活中，認證也是普遍存在的。例如司法鑒定、質量認定、文件公證、會計審計等都是認證。

認證是指依據某種標準對有形或者無形的主體進行鑒別、辨認，并以某種方式證明其與標準之間符合性的行為或過程。

前面，我們說的都是物理空間里的認證行為。在信息空間里，一切都是電子化的。無論是信息還是行為，都轉化成為電子代碼，即便是人們在網上的一個動作，也是通過某個程序(即電子代理物)代我們執行的。

另外一點就是，一旦“電子代理物”發生某個動作后，數據信息會經過多個服務器、路由器、不同的網絡進行傳遞，當接收方接收到數據信息時，如何確保這些信息在傳遞過程中沒有被篡改過，就需要來認證。而這個認證不是一般機構或個人能完成的，它需要具有一定專業技術的認證機構來完成。

電子簽名不同于一般手寫簽名，使用的技術復雜，直觀性不強，很多人不具備直接鑒別電子簽名真實性的知識。電子簽名實施過程較多，保證電子簽名真實的環節也比較多，要確認一個電子簽名，需要從很多環節上進行認證，這些環節包括身份認證、技術手段認證、使用環境認證、簽名結果認證等等。因此，我們需要專門機構提供電子簽名的認證服務。

工信部

將力推電子簽名

對電子簽名和電子認證服務來說，不但要完善技術體系，還需要形成服務的體系化; 不僅要完善電子認證服務機構的服務，還要完善更多的后續配套措施，例如司法鑒定服務、賠償擔保服務等等。

孫定: 近年來，不斷有人在說，《電子簽名法》頒布以來，實行的效果不盡如意，您覺得主要原因是什么?

歐陽武: 這幾年來，我們也在進行反思，發現有幾方面的原因。

對于普通用戶來說，他們不需要對電子簽名法的技術有太深入的了解，因為電子簽名或電子認證服務是一個相對復雜的機制。特別是在社會應用層面，必須保證電子簽名和電子認證是一套完整的機制。

而在過去，我們推廣《電子簽名法》的時候，把更多的精力放在了技術環節上，對證書、身份認證的環節比較多，直接面對用戶的宣傳比較少，特別是對他們關心的問題關注不夠。例如一旦產生糾紛，對如何取證、舉證，如何對證據進行采信等問題關注不夠，相關的研究也太少，宣傳的力度也不夠。

第二是服務體系不健全。我們不能讓用戶自己去解決電子簽名應用中出現的問題，要從技術、使用、爭議解決等各個方面為用戶提供全方位的服務。我們發現，目前的電子簽名服務中，僅有身份認證和證書服務，沒有簽名應用服務，更沒有針對電子簽名的司法鑒定和訴訟代理服務，因此，用戶在使用電子簽名時不放心，還有顧慮。

第三就是要推廣好的應用經驗。這些年來，在一些行業和領域，已經涌現出很多非常成功的“電子簽名”應用案例，我們要及時總結這些案例，并加以宣傳和推廣。

在過去，我們關注更多的是電子簽名中的證書發放，對證書發放者的身份進行了認定，而缺乏對證書發放之后的作用、使用中的問題進行關注，也缺少相關的配套措施。就如同燒水，100度才能開，可是我們現在才燒了50度，如果不再繼續添柴、加熱，那這壺水永遠也燒不開。

孫定: 您剛才也說到了，未來還要為《電子簽名法》的推廣，以及電子認證服務添柴加火，請您介紹一下，下一步工信部會采取哪些具體的措施?

歐陽武: 現在，一方面由于用戶計算機使用水平參差不齊，而另一方面沒有形成一種“傻瓜式”的便利服務體系，所以很多用戶還沒有接受電子簽名這種方式。

所以對電子簽名和電子認證服務來說，不但要完善技術體系，還需要形成服務的體系化; 不僅要完善電子認證服務機構的服務，還需要完善更多的后續配套的服務，例如司法鑒定服務、賠償擔保服務等等。

目前全國有30家電子認證服務機構，有的業務就開展得很好，既有呼叫中心的服務，也有上門服務。所以，業界正在探討，是否可以建立一個電子認證服務聯盟。以一條龍的服務形式，確保用戶在電子簽名、電子認證、電子取證、司法訴訟中的任何一個環節，都有相關的機構可以提供優質可靠的服務。

另外一方面，從信息安全協調司日常工作的角度看，在電子認證服務管理方面，我們會加強電子簽名工具和軟件的認證審計，保證這些簽名軟件在當前應用環境下的安全性。

采訪手記

“電子簽名”大有作為

5年下來，電子認證服務應用并未達到預期效果。筆者分析其中原因，無外乎是應用的行業較少、應用不規范等。目前，電子認證服務只應用在很少的幾個行業中，如金融、電子政務、電子病例等。難道在其他行業就不需要電子簽名服務了嗎?顯然不是的。

以保護虛擬財產為例，筆者就認為，電子認證服務大有潛力可挖。當前，網絡游戲如火如荼，很多玩家不但投入了大量時間，也投入了不少的金錢。玩家獲得的每一件絕世裝備，其背后都是與時間或金錢成正比的。這也引起了某些不法分子的注意。當前，游戲玩家賬戶被盜、虛擬裝備丟失、絕世武器丟失的事件時有發生。如果我們能對絕世裝備這樣的虛擬財產、或者是游戲賬號等引入電子認證機制，給每一個虛擬財產簽上擁有者自己的簽名，這樣不就可以明確了它的歸屬權問題了嗎?至少，它可以大大降低虛擬財產安全性問題。

除了網絡游戲中的虛擬財產，當前電子認證服務最大的應用是“電子銀行”。但應用的不規范，導致問題重重。很多人都會好奇，銀行不是有專門的USB-Key證書來保證電子銀行業務的安全嗎?可是這些證書又有多少是第三方電子認證服務機構發出的呢?工、農、中、建四大銀行，絕大部分采用的是自建電子認證服務機構發出的證書。當然了，“電子簽名法”也規定了在雙方約定的情況下，非第三方電子認證機構發出的簽名也是有效的。但從這個意義上來說，第三方電子認證機構也應該加大這方面的推廣力度。

可見電子簽名缺少的不是應用，而是廣大用戶如何在手捧《電子簽名法》的同時，把這些應用進一步擴大，讓不規范的應用規范起來。(文/湯銘)

感悟

電子簽名任重而道遠

歐陽武認為，盡管電子簽名及認證服務的概念很好，但是要真正實現有效的證書策略，并非是一件簡單的事情，而是一個復雜的系統工程。

目前，電子證書在應用方面普及程度并不是很高，這和用戶的計算機水平不高有關，但也和相關部門的推廣力度不夠有很大關系。除此之外，在技術層面，很多電子證書還不能被所有的軟件兼容。很多人都有過這樣的經歷: 當登錄某個網站時，微軟瀏覽器上方常常顯示“證書錯誤: 導航已阻止”字樣。這是因為，為了保證用戶輸入信息傳輸和存儲的安全，許多網站都采用了服務器證書。但由于發放服務器證書的CA機構，有許多并沒有通過微軟瀏覽器的認證，因此，微軟瀏覽器將這些證書都當成是非法證書。結果造成了最終用戶的困惑和網站管理者的擔憂，他們很難再相信那些CA機構發放的證書了。

所以，歐陽武認為，電子簽名應用要得到推廣，必須從技術、使用、爭議解決等各個方面為用戶提供全方位的服務。做到“不但要完善電子簽名及認證的技術體系，還需要形成一條龍式的一體化服務”。