基于可信身份認證的數權保護技術方案研究與實現

王杰勛 馬圣東

摘 ? 要：在互聯網時代，數據擁有價值，個人信息也是一種財產權益。頻繁發生的數據泄漏事故，除了造成巨大的財產損失外，也帶來了巨大的安全隱患。文章分析了互聯網環境下個人信息數據安全的問題及現狀，并提出了基于可信身份認證的數權保護技術方案，重點介紹了方案的主要流程以及技術原理。

關鍵詞：數據安全;可信身份認證;數權保護

中圖分類號：TP309.2 ? ? ? ? ?文獻標識碼：A

Abstract： In the internet age， data has value， and personal information is also a property right. Frequent data leakage accidents， in addition to causing huge property losses， also bring huge security risks. This paper analyzes the problems and current situation of personal information data security under the Internet environment， and proposes a data rights and interests protection technology scheme based on trusted identity authentication. Finally， it focuses on the important processes and technical principles of the scheme.

Key words： data security; trusted identity authentication; data rights and interests protection

1 引言

中國互聯網絡信息中心（CNNIC）發布的數據顯示，截至2019年6月，中國網民數達到8.54億，手機網民規模達8.47億，互聯網普及率為61.2%。越來越多的個人信息傳輸于互聯網，越來越多的平臺在收集著海量用戶數據。互聯網、移動互聯網高速發展，在給人們帶來便利的同時，也帶來了諸多安全隱患。本文分析了互聯網、移動互聯網環境下個人信息數據安全的問題及現狀，并提出了基于可信身份認證的數權保護技術方案。

2 ?用戶數據安全問題現狀及分析

2.1 數據安全問題及現狀

在互聯網大數據時代，數據就意味著行業資源和商業財富，在商業利益的驅動下，各類互聯網平臺、應用收集海量用戶數據，并以此進行數據分析、商業開發。海量用戶數據包含了個人隱私、財務等敏感數據，吸引著更多的以商業目的或國家利益為背景的攻擊者的注意。事實上，這些平臺對于用戶數據保護的重視程度以及安全性要求遠遠不夠，這也是近年來數據泄漏事件頻發的重要原因之一。

據《2018數據泄漏損失研究》評估顯示，大型數據泄露代價高昂，百萬條記錄可致損失4000萬美元，5000萬條記錄可致損失高達3.5 億美元。遭遇數據泄露事件的企業平均要損失386萬美元，同比2017年增加了6.4%。

2018年3月，美國Facebook公司8700萬用戶數據泄漏;2018年6月，前程無憂195萬個人求職簡歷泄漏;2018年8月，華住旗下多個連鎖酒店5億條客戶入住信息數據泄露。對這些數據泄漏事件仔細分析，關鍵由五個因素導致：數據內部權限、數據盜賣、越權訪問、外包服務數據權限、個人隱私泄露。

互聯網時代，數據擁有價值，個人信息也是一種財產權益。但是，各類互聯網平臺應用往往通過“用戶協議”“免責聲明”等手段規避風險、合法的獲取用戶數據，并且在業務中使用用戶數據，在此過程中并沒有用戶的許可或者授權。盡管有的平臺或應用在某些場景下加入了用戶授權許可的控制，但整個過程缺少強身份認證及數字簽名機制，存在用戶授權許可無法追溯的問題。

2018年5月25日歐盟正式實施《通用數據保護條例》（GDPR），規定了嚴格全面的數據處理規則，管轄范圍不受物理空間限制，強化了數據主體的權利體系，賦予監管機構以強大的規范及執行權力，重構了跨境數據管理，制定了嚴苛的處罰措施等。

我國對于數據安全也是越來越重視。國家領導在中共中央政治局就實施國家大數據戰略第二次集體學習時指出，要構建以數據為關鍵要素的數字經濟，推動實體經濟和數字經濟融合發展，推動互聯網、大數據、人工智能同實體經濟深度融合。同時，要切實保障國家數據安全。《個人信息保護法》已納入十三屆全國人大常委會立法規劃。

2.2 數據安全分析

用戶數據安全問題主要集中在三個方面。

（1）平臺安全。平臺指的是各互聯網平臺、應用系統。平臺安全主要涉及數據傳輸交換安全、數據存儲安全、數據計算安全、平臺管理安全以及基礎設施安全。

（2）數據安全。平臺為支撐數據流動安全所提供的安全功能，包括數據分類分級、元數據管理、質量管理、數據加密、數據隔離、防泄露、追蹤溯源、數據銷毀等內容。

（3）隱私安全。隱私保護是建立在數據安全防護基礎之上的保障個人隱私權的更深層次安全要求。除了必要的對隱私信息的保護之外，還需要在個人信息收集、使用過程中保障數據主體的個人信息自決權利。

依靠安全技術的發展，通過嚴格的安全配置管理、安全機制等手段基本可以滿足平臺安全的需求。通過數據監控等安全防護措施，使得數據安全進一步提高。然而對于隱私安全的防護，一直缺乏非常好的技術方案。

3 基于可信身份認證的數權保護技術方案

本文提出基于可信身份認證的數權保護技術，建立可信身份服務平臺，在精確認證用戶、應用身份后頒發以數字證書為核心的可信電子身份后，通過嚴格的授權許可機制，確保應用對用戶數據訪問的最小許可范圍，同時采用數字簽名機制驗證用戶許可的有效性，采用數字信封技術手段保障用戶許可的數據密文傳輸，且僅應用方可以解密用戶許可的數據。

3.1 建設可信身份服務平臺

可信身份服務平臺主要提供六項服務，如圖1所示。

（1）權威數據認證服務。平臺接入公安、工商、運營商等權威認證服務，為用戶、企業提供權威可信的身份認證。

（2）頒發可信的電子身份。通過AI活體檢測技術防止欺騙攻擊，再通過公安權威身份驗證后，為用戶頒發電子身份;通過工商服務驗證企業身份，為企業頒發電子身份。

（3）數字證書管理服務。平臺接入第三方合法CA機構，支持數字證書全生命周期管理。數字證書是用戶、企業電子身份的核心。通過應用數字證書技術，采用SM2非對稱密碼算法、SM3雜湊算法、SM4對稱加密算法等，保障身份認證、用戶簽名不可抵賴、數據加密保護等。

（4）應用管理服務。支持應用（如平臺、系統都可稱為應用）管理，為接入的應用頒發身份證書。

（5）統一認證服務。用戶、企業、應用身份由平臺統一認證。所有經過平臺統一認證的記錄都保存記錄。

（6）統一PKI組件。用戶、企業、應用可以使用統一PKI組件調用數字證書進行數字簽名、加解密、數字信封封包解包等。

3.2 移動基于可信身份認證的數據保護流程設計

3.2.1用戶身份認證流程

用戶身份認證的主要流程如圖2所示。

（1）用戶注冊/登錄。

（2）平臺（或移動終端）采集用戶姓名/身份證號碼。

（3）平臺（或移動終端）基于AI人臉活體檢測，驗證被檢測者是否為活體。

（4）若驗證被檢測者是活體，發送相關身份信息及人臉照片至公安權威服務認證。

（5）若上一步認證成功，由第三方合法CA機構為用戶頒發數字證書。

3.2.2 企業身份認證流程

企業認證的主要流程如圖3所示。

（1）企業用戶注冊/登錄。

（2）平臺采集企業名稱/統一社會信用代碼/企業銀行賬號等企業信息。

（3）平臺發送企業認證信息至工商權威服務認證企業身份。

（4）若上一步通過，由第三方合法CA機構為企業頒發數字證書。

3.2.3 基于可信身份認證的數權保護流程

在用戶和應用（數據請求方、數據持有方）在可信身份平臺做完認證之后，數據請求應用獲取用戶的數據流程分五步驟。

（1）用戶登錄應用（數據請求方），應用（數據請求方）引導用戶至到可信身份服務平臺驗證用戶身份，可信身份驗證成功后獲得用戶身份信息。

（2）應用（數據請求方）請求用戶授權獲取用戶的數據資源信息。

（3）用戶確認授權給應用（數據請求方）并進行數字簽名，應用（數據請求方）將用戶授權的信息發送至應用（數據持有方）。

（4）應用（數據持有方）解析請求信息，通過可信身份服務平臺驗證用戶身份以及授權信息簽名的有效性，驗證成功后從數據庫提取用戶數據信息，使用應用（數據請求方）數字證書進行加密（例如數字信封），將加密后的密文信息發送至應用（數據請求方）。

（5）應用（數據請求方）使用私鑰解密獲得用戶數據的明文信息。

如圖4所示是以用戶訪問某交友應用，應用需要認證用戶身份并獲取用戶的學歷信息為例，描述整個流程以及數據傳輸保護機制。

從上述流程可以看出，基于可信身份認證的數據保護流程具備四個特點。

（1）可信身份服務平臺只提供身份認證與數字簽名驗證服務。

（2）可信身份服務平臺沒有留存用戶的信息數據，僅做了數據傳輸。

（3）數據傳輸采用基于數字證書非對稱加密技術，實現端到端密文傳輸，保障數據安全。

（4）用戶行為受數字簽名保護，可追溯，不可抵賴。

3.3 移動安全終端設計

3.3.1 移動安全終端主要功能設計

移動安全終端是可信身份服務平臺的移動端延伸，對用戶來說是移動安全中心。移動安全終端的主要功能有五個。

（1）身份認證。基于AI活體檢測技術結合公安身份核驗服務驗證用戶真實身份。

（2）出示電子證件。用戶可出示電子身份供應用或其他用戶確認出示者身份信息。

（3）統一認證登錄。第三方應用可以跳轉到移動安全終端APP進行統一認證，也可以從移動安全終端APP直接跳轉至應用。

（4）移動證書管理器。提供用戶私鑰的生成、加密存儲，移動端數字證書全生命周期管理。

（5）掃一掃功能。功能包括掃碼登錄、掃碼簽名、掃碼加解密、掃碼數字信封封包等。

3.3.2 移動安全終端私鑰安全存儲及簽名機制

用戶私鑰必須由用戶完全持有，并且在任何時刻簽名必須體現用戶簽名行為的自主性。本方案采用了基于SOTP乘法加密保護簽名私鑰的SM2同態簽名技術方案。

這套方案基于鄭建華院士的Z算法，通過SOTP安全技術機制，在認證用戶客戶端身份后，動態下發加密算法。SOTP依據數學原理將密碼算法與用戶密鑰有機融合，利用用戶密鑰對原本共同的算法進行重構，使得不同用戶使用不同加解密算法，用戶密鑰融合在自己的算法中。用戶客戶端使用下載動態加密算法生成隨機數u，再使用隨機數u加密保護用戶私鑰，可以確保任何時候用戶私鑰均以密文形式存儲在客戶端。由Z算法保證u的取值在統計學上是隨機的，攻擊者在無法獲取u的條件下，也無法獲取用戶私鑰，從而達到保護用戶私鑰的安全。

方案能夠在私鑰加密保護的條件下，由用戶自主獨立生成簽名。任何人也能通過SOTP中心自主驗證簽名。生成與驗證簽名的過程與SM2算法類似，計算量相同，簽名的安全性與效率相同。

4 結束語

本文重點介紹了在互聯網大數據時代用戶數據安全問題現狀并做了深入分析，提出了基于可信身份認證的數權保護技術。通過建立可信身份服務平臺，在精確認證用戶、應用身份后頒發以數字證書為核心的可信電子身份，結合數字證書技術及授權許可機制嚴格保護用戶數據安全。

參考文獻

[1] 中國互聯網絡信息中心.第44次《中國互聯網絡發展狀況統計報告》 [EB/OL]. http：//www.cnnic.net.cn/hlwfzyj/hlwxzbg/hlwtjbg/201908/t20190830_70800.htm，2019（08）.

[2] 中國網信網.國家網絡空間安全戰略[EB/OL]. http：//www.cac.gov.cn/2016-12/27/c_1120195926.htm ，2016（12）.

[3] Ponemon Institute.2018 Cost of Data Breach Study[EB/OL]. https：//www.ibm.com/downloads/cas/AEJYBPWA， 2018（10）.

[4] 中國信息通信研究院安全研究所，大數據安全白皮書（2018年）[EB/OL].http：//www.caict.ac.cn/kxyj/qwfb/bps/201807/P020180712523226672500.pdf，2018（07）.

[5] 張博卿.我國大數據安全現狀、問題及對策建議[J].網絡空間安全，2018，9（08）：49-51+84.

[6] 人民日報.個人數據使用，期待更規范 [EB/OL].http：//paper.people.com.cn/rmrb/html/2019-04/08/nw.D110000renmrb_20190408_2-18.htm 2019（04）.