電網核心業務可信身份認證框架體系研究

李玉, 范葉平, 金在全, 楊德勝

(1 國網信通產業集團公司 安徽繼遠軟件有限公司，合肥 230088; 2 國網蕪湖供電公司，蕪湖 241000)

0 引言

隨著人類活動不斷向網絡空間延伸，網絡空間被視為繼陸、海、空、天之后的“第五空間”，對國際政治、經濟、文化、社會、軍事等領域都產生了深刻影響。當前網絡已成為人們生產生活不可缺少的重要基礎，網絡安全已超出技術安全、系統保護的范疇，成為涉及政治、經濟、社會等各個領域的綜合安全。黨的十八大以來，黨中央、國務院高度重視網絡安全工作，作出一系列安排部署。國家頒布實施《中華人民共和國網絡安全法》，明確提出“網絡實名制”、“國家實施網絡可信身份戰略”，支持研究開發安全、方便的電子身份認證技術，推動不同電子身份認證之間的互認。習近平總書記強調“沒有網絡安全就沒有國家安全”，網絡安全被國家提升到了前所未有的高度。國家電網公司為學習宣貫《中華人民共和國網絡安全法》，于2017年1月18日召開電視電話會議，并在會上明確進一步做好網絡安全工作。為貫徹落實公司會議精神，著力提升網絡安全和信息通信安全運行整體水平，夯實安全運行基礎，國網信通部要求信息通信系統嚴禁弱口令、嚴肅“僵尸”帳號管理，實現全部帳號“實名制”。

電網核心業務尚未形成以用戶為中心的身份管理服務模式以及多形態、多域的聯合身份管理、授權與服務技術[1-2]，使得現有身份認證以及管理手段難以解決網絡行為個體身份與現實中的身份對應關系[3-4]，不能有效地解決人員真實身份真實驗證問題[5-6]，不能準確確定行為主體網絡身份真實性和行為一致性[7]，無法有效做到網絡用戶身份和網絡行為的追溯。

因此，亟需開展電網核心業務可信身份認證框架體系研究，給出深度融合電網核心業務的可信身份認證主體要素、技術路線、框架模型以及服務模式，實現體系架構的頂層設計，建立以用戶為中心的多維度、多形態可信身份認證框架體系，實現可信身份認證、授權管理、訪問控制和行為審計，完成適用于電網業務發展趨勢的電網核心業務可信身份認證框架模型研究，完成滿足可信身份認證差異化需求的電網核心業務可信身份認證服務模式研究，提出電網核心業務可信身份認證框架體系，支撐公司安全生產運行服務。

1 電網核心業務可信身份認證框架體系研究內容

參考和借鑒國內外可信身份認證框架體系研究成果，在充分理解電網核心業務可信身份認證框架模型、應用服務模式等概念的基礎上，準確分析并掌握電網核心業務可信身份認證框架體系內涵及目標定位，明確可信身份標識、鑒別和授權的各參與方，以及相應的流程和技術。首先開展可信身份認證框架體系實現流程研究，主要包括身份建模、身份鑒別、隱私保護在內的身份認證框架進行深度探索，提出符合當下電網核心業務的可信身份認證框架體系的完善思路與方向，并與電網核心業務深度融合，研究提出電網核心業務可信身份認證框架模型，使得模型可以在應用中持續優化，持續提升應用效果。針對不同的業務場景，研究挖掘身份認證需求與身份認證服務之間的關聯形式，形成云、端、“云+端”等可信身份認證服務模式，從而滿足認證差異化需求。

1.1 研究提出電網核心業務可信身份認證框架體系的完善思路與方向

研究分析國內外先進的可信身份認證框架體系建設思路、技術路線和應用策略，研究國內外先進的身份認證框架體系在電網核心業務中的實用性與差距，提出適用于電網核心業務的可信身份認證框架體系的完善思路和方向。詳細的研究內容如下：

(1) 研究分析國內外先進的可信身份認證框架體系，識別可信身份認證框架體系關鍵主體要素，結合電網核心業務特點，探討電網核心業務可信身份認證框架主體要素及相互關系，提出電網核心業務可信身份認證框架體系主體要素模型；

(2) 研究國內外先進的身份認證框架體系在電網核心業務中的兼容性和實用性，通過分析電網核心業務身份認證現狀與需求，探討可信身份認證技術路線、框架模型、服務模式等現有身份認證框架體系的適用性與差距，為框架體系的構建明確內涵和目標；

(3) 針對上述問題和目標，研究提出電網核心業務可信身份認證框架體系架構，通過從整體角度進行系統的體系結構設計，實現統一身份可信管理、跨域互操作的有機融合，為功能實現和應用服務奠定基礎。

1.2 研究電網核心業務可信身份認證框架模型

研究分析現有身份認證框架模型，理清現有框架模型與電網核心業務身份認證需求之間的關系；開展電網核心業務可信身份認證框架模型研究，提出身份量化模型、身份鑒別模型、隱私保護模型，為下一步的模型實現和認證服務提供奠定基礎。詳細的研究內容如下：

(1) 研究提出基于生物特征的身份量化定義和量化模型，考慮到身份的不同應用環境，進一步采用結合賬戶/口令、證書等身份形式的組合方式，滿足不同業務場景需求，實現與現有身份認證系統的兼容；

(2) 研究提出基于生物特征的身份鑒別模型，進一步采用結合口令的身份鑒別、基于算法變換的身份鑒別、基于行為模式的身份鑒別等身份鑒別組合方式，滿足身份鑒別的不同安全需求；

(3) 研究利用“生物特征+數據加密”手段提出隱私保護模型，進一步采用“生物特征+匿名化”、“生物特征+數據失真”等隱私保護方法，解決身份信息泄露問題，最大限度兼容并滿足不同業務隱私保護需求。

1.3 研究電網核心業務可信身份認證服務模式

從業務領域、安全認證等方面，對現有身份認證服務模式展開現狀調研，從不同業務場景中身份認證需求、已用認證服務等角度闡述現有身份認證服務模式所存在的問題，研究提出電網核心業務可信身份認證服務模式。詳細的研究內容如下：

(1) 研究服務復用技術，將不同業務間相同的認證服務功能按一定標準封裝為具有規范格式接口描述的服務，從而使服務可被復用，減少認證應用的開發成本；

(2) 研究提出能夠完成相應業務需求及認證功能的服務工作流程，形成滿足電網核心業務的云服務模式、端服務模式、“云+端”混合服務模式等可信身份認證服務模式。

2 電網核心業務可信身份認證框架體系研究實施方案

2.1 技術路線圖

深入了解現有可信身份認證框架體系以及電網核心業務身份認證現狀與需求，將現有身份認證框架體系與電網核心業務緊密結合，研究提出與電網核心業務深度融合的可信身份認證框架體系的完善思路與方向。在此基礎上，研究提出電網核心業務可信身份認證框架模型以及電網核心業務可信身份認證服務模式，給出電網核心業務可信身份認證框架體系架構。

按著上述的研究思路，我們首先需要對電網核心業務身份認證信息深入了解，通過擬定相關業務身份認證信息的收集方案，實現電網核心業務身份認證現狀以及需求的準確掌握，為構建電網核心業務可信身份認證框架體系提供數據支持；然后研究可信身份認證關鍵主體要素識別方法，給出可信身份認證所需的主體要素模型；進一步結合電網核心業務特點，探討可信身份認證技術路線、框架模型、服務模式等現有身份認證框架體系的適用性與差距，為電網核心業務可信身份認證框架體系的構建提出完善思路與方向；在此基礎上，研究提出身份量化模型、身份鑒別模型、隱私保護模型等電網核心業務可信身份認證框架模型以及云服務模式、端服務模式、云+端混合服務模式等電網核心業務可信身份認證服務模式，最終提出電網核心業務可信身份認證框架體系架構，通過從整體角度進行系統的體系架構設計，為下一步的功能實現和應用服務奠定基礎。

本課題的實施包括幾個重點研究內容，各研究內容的相互關聯構成一個有機的整體。具體的研究步驟見電網核心業務可信身份認證框架體系研究技術路線圖(圖1)。如圖1所示。

首先是收集梳理電網核心業務身份認證現狀以及需求，然后在此基礎上研究關鍵主體要素識別方法，給出可信身份

圖1 電網核心業務可信身份認證框架體系研究技術路線圖

認證所需的主體要素模型；進一步結合電網核心業務特點，探討可信身份認證技術路線、框架模型、服務模式等現有身份認證框架體系的適用性與差距，提出構建電網核心業務可信身份認證框架體系的完善思路與方向；在此基礎上，研究提出身份量化模型、身份鑒別模型、隱私保護模型等電網核心業務可信身份認證框架模型以及云服務模式、端服務模式、云+端混合服務模式等電網核心業務可信身份認證服務模式，最終提出電網核心業務可信身份認證框架體系架構，實現體系架構的頂層設計。

2.2 技術方案

本課題整體的技術框架由包括電網核心業務可信身份認證框架模型以及電網核心業務可信身份認證服務模式在內的電網核心業務可信身份認證框架體系組成。通過制定收集方案，深入了解電網核心業務身份認證現狀及需求，然后經過梳理分析現有可信身份認證框架體系的建設思路、技術路線和應用策略，緊密結合電網核心業務特點，提出電網核心業務可信身份認證框架體系架構，并明確電網核心業務可信身份認證框架模型以及電網核心業務可信身份認證服務模式的實現功能。總體架構,見圖2所示。

圖2 電網核心業務可信身份認證框架體系研究技術方案圖

(1) 通過分析電網核心業務身份認證信息和現有可信身份認證框架體系，對存在的優缺點和適用性進行評估，將身份認證流程和電網核心業務緊密結合，提出電網核心業務可信身份認證框架體系架構，并明確電網核心業務可信身份認證框架模型以及電網核心業務可信身份認證服務模式的實現功能。

(2) 電網核心業務可信身份認證框架體系架構：包括主體要素、技術支撐、框架模型和服務模式，通過核心技術對主題要素數據的加工處理來實現框架模型和服務模式的各個功能。其中，主體要素為自外委人員、主業人員等身份信息，核心技術主要采用身份鑒別技術、生物特征加密技術、身份認證融合識別技術、跨域互操作技術、安全審計技術以及隱私保護技術等，框架模型包括身份量化模型、身份鑒別模型和隱私保護模型，服務模式包括云服務模式、端服務模式和云+端混合服務模式。

(3) 電網核心業務可信身份認證框架模型：包括身份量化模型、身份鑒別模型和隱私保護模型。其中，身份量化模型通過現有的應用或服務采用的賬戶/口令、令牌、證書、生物特征等身份定義，以及姓名、生日、身份證號、生物特征等身份組成，采用身份量化手段對身份進行標識、從而實現身份的建立。身份鑒別模型包括基于口令的身份鑒別、基于算法變換的身份鑒別、基于生物特征的身份鑒別以及基于行為模式的身份鑒別，針對不同的安全認證需求，可采用單因子或多因子身份鑒別方式，實現多級的可信身份認證。隱私保護模型通過采用基于生物特征+匿名化的隱私保護、基于生物特征+數據失真的隱私保護以及基于生物特征+數據加密的隱私保護等典型的隱私保護方法，最大限度兼容并滿足不同業務隱私保護需求。

(4) 電網核心業務可信身份認證服務模式：包括云服務模式、端服務模式和云+端混合服務模式。其中，端服務模式針對特定業務場景應用，利用增強的嵌入式系統運算能力和改進的生物特征識別算法，在前端設備嵌入可信身份認證模塊，減少傳輸數據量及后臺存儲的負擔，主要解決單域可信身份認證問題；云服務模式針對多業務場景應用，利用后臺部署可信身份認證模塊，集中對前端設備發送過來的身份數據信息進行管理，可以有效的實現多個業務場景間的身份相互認證，并可結合行為記錄的大數據分析提前預測用戶的行為，主要解決跨域可信身份認證問題；云+端混合服務模式針對全業務場景應用，結合云、端服務的各自優點互為補充，實現易定制、易集成、功能更全面、應用更廣闊的特性，主要解決跨應用可信身份認證問題。

2.3 框架體系設計

本課題通過對電網核心業務身份認證信息分析，然后對現有可信身份認證框架模型與電網核心業務的兼容性和適用性進行評估，依托生物特征識別、區塊鏈、大數據等相關技術和手段，以法定身份證件為根，構建“五個層次、兩個保障”國家電網公司核心業務可信身份認證框架體系,如圖3所示。

圖3 電網核心業務可信身份認證框架體系

即可信基礎、可信支撐、可信服務、可信應用和服務用戶五個層次，監管機制和安全機制兩個保障。

完成電網核心業務可信身份認證框架體系技術架構設計，包括完成可信基礎、可信支撐、可信服務、可信應用和服務用戶五個層次以及監管機制和安全機制兩個保障設計，為下一步的具體實施和場景應用奠定基礎。

(1) 可信基礎

可信基礎是電網核心業務可信身份認證框架體系中最底層、最核心的基礎信任源，是信任鏈傳遞最初始的根，所有的信任活動都以此為基礎向上層衍生和傳遞。針對電網核心業務身份認證復雜多樣的特點，通過配置不同的身份信息數據來源，比如外委人員、主業人員等，給出可信身份認證所需的主體要素模型，實現可信基礎作為電網核心業務可信體系的信任源。

(2) 可信支撐

可信支撐是指電網核心業務可信身份認證框架體系技術支撐平臺，包括生物識別、區塊鏈、身份加密、深度學習、大數據分析等多種技術手段和多級可信、多因子身份鑒別系統。支撐平臺以信任分類評價體系為依據，對可信服務層提供分級、分類信任，從而滿足可信服務的多層次、多場景、多類型的需求。

(3) 可信服務

可信服務是指可傳遞的信任憑證。可信支撐層簽發具有經濟易用、用戶接受程度高的身份憑證，形成更上一層的信任鏈，實現身份人證(身份憑證認證和身份屬性認證)，訪問控制、安全審計、行為分析等功能，為可信應用層中基建、運檢、安監、營銷、后勤、信通等電網核心業務應用提供多維度的信任服務，構建全業務覆蓋的信任空間。

(4) 可信應用

可信應用是指各類應用系統通過電網核心業務可信身份認證服務模式提供的各類應用服務，包括：1)基建類，如基建現場作業管控應用等；2)運檢類，如變電站出入管理應用，現場巡檢人員可信全過程管控等；3)安監類，重大活動保障人員可信安全管控等；4)營銷類，如智能營業廳窗口業務人員可信身份認證、無人值守智能營業廳自助業務辦理人員可信身份認證、移動支付可信身份認證等；5)后勤類，后勤可信可視保障應用等；6)信通類，如研發人員安全管控、運維人員安全管控、信息系統實名制應用等。

(5) 服務用戶

服務用戶是服務電網核心業務可信身份認證應用的實體，如：公司內部員工、合作伙伴、客戶等，是依托可信服務開展可信應用的實體。在網絡環境中身份、行為過程中，既要保證電網核心業務用戶網絡環境中活動的保密性、完整性和安全性，又要保證關鍵業務的不可抵賴性。

(6) 監管機制和安全機制

監管機制和安全機制，包括與電網核心業務可信認證框架體系建設相關的規范和制度的制定，主管部門的監督，以及安全機制的建立，目的是提高防范人員身份盜用、人員身份冒用、身份失竊密的安全能力，以及提升公司信息安全綜合保障能力。它們既是電網核心業務可信身份認證框架體系的重要組成部分，也是確保網絡實體、網絡資源和網絡行為可信的必要保障。

2.4 主體關系設計

電網核心業務身份認證框架主體要素是電網核心業務可信身份認證框架體系的重要部分，電網核心業務身份認證框架主體要素實體包括電網核心業務應用、用戶、電網核心業務可信身份認證系統、國網人資和公安部居民身份認證平臺，從而形成電網核心業務可信身份認證框架主體四方模型。其中，國網人資系統和外委人員數據源作為業務身份提供方；公安部居民身份認證平臺作為身份認證提供方，使得進入電網核心業務可信身份認證系統的人員數據都是經過公安部居民身份認證平臺權威認證的；電網核心業務應用和用戶作為身份認證使用方；電網核心業務可信身份認證系統作為身份認證服務提供方。身份認證使用方、身份認證服務方、業務身份提供方和身份認證提供方四個部分有機的組合在一起，實現本課題研究成果的應用性轉化。主體關系,如圖4所示。

圖4 電網核心業務可信身份認證框架主體要素及相互關系

3 總結

電網核心業務可信身份認證框架體系是以人的身份管理為基礎實現可信身份認證、授權管理、訪問控制和行為審計等功能的一組策略、規則、方法和系統，正是為了解決用戶在使用、維護和更新身份，以及應用在使用身份鑒別和授權等功能時所面臨的主要安全威脅而提出的。目標是通過以可信身份認證技術為支撐，以解決身份盜用和身份信息泄露為導向，深入研究用戶身份建模、跨域鑒別、隱私保護等影響可信身份認證在電網核心業務有效實現和部署的關鍵技術流程及方式，給出深度融合電網核心業務的可信身份認證主體要素、技術路線、框架模型以及服務模式，實現體系架構的頂層設計。

(1) 通過研究分析國內外先進的可信身份認證框架體系的建設思路、框架模型、技術路線和服務模式，總結歸納先進的可信身份認證框架體系共性與個性成果，并進行電網核心業務可信框架體系的適用性與差距性分析，提出符合當下電網核心業務的可信身份認證框架體系的完善思路與方向；

(2) 依據電網核心業務的可信身份認證框架體系的完善思路與方向，并與電網核心業務深度融合，明確電網核心業務可信身份認證框架體系內涵及目標定位，提出電網核心業務可信身份認證框架模型設計原則和方案，構建電網核心業務可信身份認證模型；

(3) 通過研究電網不同業務可信身份認證差異化需求，提出面向不同的電網核心業務可信身份認證服務應用策略，研究設計電網核心業務可信身份認證服務模式，形成滿足電網核心業務的“云+端”的可信身份認證服務模式。

[1] 顧青，謝超，馮四風．網絡可信身份管理體系研究[J].信息安全研究,2016,2(10):931-935.

[2] 馬丁，蘭海英，曾夢岐．網絡可信身份管理體系研究[J].信息安全與通信保密,2014(1):60-63.

[3] 胡傳平，陳兵，方濱興,等．全球主要國家和地區網絡電子身份管理發展與應用[J].中國工程科學,2016,18(6):099-103.

[4] 汪志鵬，楊明慧，呂良．基于eID的網絡可信身份體系建設研究[J].信息網絡安全,2016(9):97-100.

[5] 荊繼武．網絡可信身份管理的現狀與趨勢[J].網絡安全研究,2016,2(6):666-668.

[6] 仇保利．構建具有中國特色的網絡可信體系[J].警察技術,2016(1):8-11.

[7] 劉建華，梁俊杰．公眾網絡統一身份認證服務標準體系研究[J].西安郵電大學學報,2014,19(1):111-114.