基于IPv6 技術構建網絡實名制體系的思路探討

駱夢宇

國家計算機網絡應急技術處理協調中心云南分中心

0 引言

網絡實名制以用戶真實姓名為約束，是政府開展互聯網監管和治理的基礎，是對非法行為追溯打擊的依據，是引導網民加強自律、規范上網行為的重要手段。目前，我國網絡實名制總體依托于電信業務登記實名制，缺乏統一的網絡身份管理及驗證機制。現有模式在監管部門實際工作中已逐漸暴露出各類問題，協同流程不暢通、信息查詢有效性不足、應急處置響應效率低，第三方非必要采集個人信息亂象突出。

本文主要討論通過實名制IP 地址分配的方式構建更為完善的網絡實名制體系的思路及可行性。需要說明的是，文中討論的“一人一址”概念意在突出IP 地址實名分配后帶有明確的指向性，而非自然人與IP 地址嚴格的一一對應關系。

1 現有網絡實名制體系無法滿足國家網絡空間治理的要求

1.1 廣域網地址嚴重匱乏，監管及溯源成本高

1.1.1 NAT 的大量使用導致IPv4 地址顯現出匿名性特征

中國互聯網絡信息中心發布的第45 次互聯網統計報告顯示，截至2020 年3 月，我國網民規模達到9.04 億，而截至2019 年底，我國分配IPv4 地址總量僅為3.87 億個，可用資源嚴重匱乏。為解決IPv4 地址不足的問題，電信運營企業大量采用NAT（網絡地址轉換）技術引入私有地址，造成網絡結構中存在多級地址轉換，加之地址動態分配和代理服務器的存在，導致用于溯源用戶的信息不夠完整，即便是地址分配者也無法及時準確掌握使用者信息，IPv4 地址逐漸呈現出匿名性的特征。

1.1.2 監管部門協查處置工作的溝通成本高

雖然NAT 技術也提供了基于IP 地址、時間戳及端口信息的溯源機制，但其準確性及可追溯期完全依賴于日志留存時間和用戶登記信息的真實性、完整性。同時因涉及個人信息及上網日志查詢，運營企業內部一般設有嚴格的分區域分級別的審批流程及數據管理要求，內部跨部門區域間以及外部監管部門間均需要溝通和協調，但各方缺乏集中協同的平臺，整個溯源過程需要消耗大量人力和時間成本。

1.2 現有上網實名登記模式存在一定的局限性

現有上網實名制以電信業務實名制為基礎，由于存量用戶包括渠道商養卡體量龐大，現場核驗成本較高，部分用戶在早期采用短信或電子渠道實名制補錄方式，不可避免存在錯誤信息和冒用他人身份證進行登記的情況，導致錄入身份與實際使用人的關聯關系不可靠，存在“實名不實人”的情況。目前合法可信的實名查詢接口相對昂貴，且對授權訪問行業和范圍有嚴格限制，部分應用服務商無法核實用戶注冊的真實姓名是否與登記姓名一致，鑒別仿冒身份存在困難。

1.3 第三方參與收集身份認證信息增加數據安全風險點

國家網信辦在2016 年發布的《移動互聯網應用程序信息服務管理規定》明確要求服務方對App注冊用戶進行實名認證。由于缺乏官方統一的認證接口或憑據，企業以此為由自行收集并存儲大量用戶個人信息，包括身份認證信息及登錄憑據。由于第三方安全防護及管理水平參差不齊，監管部門無法將監測能力完全覆蓋，每一個收集方都可能成為新的風險點，一旦數據得不到有效保護被黑客竊取，甚至是被內部人員販賣，都將造成嚴重后果。

2 基于IPv6 技術構建一人一址網絡實名制體系的思路

2.1 建設有唯一性的官方網絡身份管理平臺

網絡身份管理是將真實用戶映射至網絡空間，提供可信服務、開展行為監管的基礎，是國家網絡空間綜合治理能力的關鍵手段。經研究分析國內外網絡身份管理模式及經驗，結合國情，我國應將網絡身份管理公共服務化，確保唯一性和權威性，并將其作為實名分配IPv6 地址的基礎和關聯驗證項。

以獲利為目的的第三方機構在需要長期運作的網絡身份管理體系中并不適合擔任身份提供者及保管者的角色，從長遠來看，網絡身份管理公共服務化是社會發展的必然需求，應由政府主導對技術標準及解決方案進行評估，并作為管理主體建立統一、長期、面向社會免費開放的網絡身份管理體系。網絡身份管理平臺的工作流程可基于傳統PKI（公鑰基礎設施）模式，用戶發起注冊或申請認證的請求直接調用平臺服務接口，在使用平臺公鑰進行加密后，由認證的第三方通過業務接口發起認證請求并獲取結果，用戶無需在第三方錄入和保存任何敏感信息。中科院在2010 年提出構建層次化的IPv6 實名地址空間，以解決實名上網中的身份標識問題，也是基于IP 地址分配體系建立地址資源PKI 對實名地址進行分配、管理和認證，實驗結果證明相應機制能完成實名通信和隱私保護的設計目標。

政府作為認證信息采集和網絡身份提供者，一方面可充分利用行政手段和渠道優勢開展實名信息采集核驗和政策引導宣傳，確保基礎數據真實可信；同時平臺只接受加密驗證請求并只返回比對結果，僅允許第三方發起驗證請求或進行二次授權，減少風險點和暴露面，提高數據安全性；另一方面，通過整合資源，提供官方認證的可信數字身份，統一為末端用戶及行業參與者提供全生命周期及全行業覆蓋的網絡身份管理服務。通過推行實名身份認證的普遍服務，可推動全量應用服務接入驗證，在免除中企業認證成本及降低數據安全風險的同時，擴大監管覆蓋范圍，以技術手段支撐應用服務實名制注冊要求的落地。

2.2 實名分配IPv6 地址

基于官方統一的網絡身份管理體系，可提高實名認證信息的真實性，降低第三方機構參與個人信息收集帶來的數據安全風險，但仍存在除原始驗證信息外缺乏憑證或關聯項的問題，需結合IP 地址實名制分配，以上網實名和業務實名信息雙向關聯，提高對冒用身份用戶的識別能力，支撐監管部門開展精準化的互聯網治理。

利用IPv6 地址資源及技術特點構建有序、安全及可信網絡一直以來是行業研究的重點方向，清華大學吳建平教授團隊提出的真實IPv6 源地址驗證體系結構（SAVA），以輕權、松耦合、多重防御和支持增量部署為設計原則，對互聯網中轉發分組的源地址進行驗證，以確保每一個轉發分組的IP 源地址的真實性，可以從底層結構上提升互聯網的安全性和可信任性，是可信任下一代互聯網的重要技術基礎。2017 年，鄔賀銓院士在接受采訪時表示，IPv6 時代將能實現真正的網絡實名制，未來IP 地址會采用類似電話號碼采取既定規律的分配形式，以便定位用戶。

2.2.1 IPv6 特性滿足實名制分配需求

IP 地址實名制意味著每一家電信運營企業需要向每一個自然人至少分配1 個IP 地址，IPv6 的海量地址資源是實現實名制分配的基礎。

除地址數量外，IPv6 相比IPv4 無論在報文擴展、移動性、安全性，還是路由效率及配置部署難度上，都有顯著的優勢。在單一層次的用戶分配層面，固網用戶使用場景相對簡單，電信運營企業可直接向申請接入的寬帶賬號及關聯的物理鏈路分配固定IP 地址。移動用戶跨區域使用場景中，IPv6 允許用戶在不使用外地代理的情況下，將家鄉地址保留在報文中，利用自動配置或提前固定分配的轉交地址在外地鏈路進行通信。運營企業可將用戶的IP 地址與已認證SIM 卡識別特征（如序列號及IMSI碼）或終端畫像關聯（如IMEI號及MAC地址），在延續運營企業歸屬地接入方式的基礎上確保實名分配IP 地址在全流程中可用、可追溯。

在互聯網多層次的路由和尋址結構層面，基于SAVA 體系通過在接入子網、自治系統內及自治系統間構建源地址路由、交換、轉發、驗證協議或相關規則，可確保帶有真實IPv6 源地址的分組數據不丟失，無法偽造，最終指向實名關聯用戶。實際應用場景中，由于互聯網與實驗網的管理者、參與角色和用戶結構有本質區別，不能簡單套用原有模式，可將單一運營商內部省網及州市城域網整體視為第一級自治系統進行管理，要求單位用戶內部按照第二級自治系統進行管理，并對內部個人用戶應用接入子網相關驗證機制。第一級自治系統內部和第二級自治系統之間可應用自治系統間相關驗證機制，其中單一運營商可通過管理手段要求各省有策略地配置BGP（邊界網關協議）路由，通過省間直接互聯的形式降低建設及運維成本。

2.2.2 規劃設計IP 地址分配策略

使用無狀態自動配置方式生成的地址具有一定的生存周期，并會根據設備變更和網絡環境改變而變化，不便于統一管理，為滿足管理需求，設計合理高效的IPv6 地址分配方式是IP 實名制的最重要的前置工作。

一是電信運營企業根據業務需求提前劃分IP 地址塊，確定區域地址池，通過DHCPv6 服務進行首次使用時的自動分配后，再使用本地數據庫記錄映射固化至實名用戶屬性，持續更新和維護IP地址分配狀態。這種方法實現簡單、易于部署，但對IPv6 地址規劃和分配有較高要求。

二是根據用戶身份證號進行不可逆運算，生成唯一的散列值作為IP 地址主機號的主要組成部分。這種方法可將身份證號和實名制IP 地址建立關聯，實現在不同運營企業、不同地區的同一用戶的IP 主要辨識部分的信息完全一致，并可實現提前分配、按需使用，降低管理成本，但對算法本身的設計有一定要求，且在計算中會丟失身份證原有的地區特征信息，IP 分配和實際接入區域關聯性較低，無法進行路由聚合。

三是按照類似身份證編碼的方式，由主管單位統一以網絡層級、運營商、省市、區縣、局點、用戶類型、用戶、主機的層級結構設計框架，分配碼位。這種方法最為直觀，地址規律性強，同一用戶和區域內用戶群體使用相鄰IP，利于路由聚合及統一管理，是可行性較高的分配策略。

2.2.3 建設集中化的管理體系及能力

大量實名制IP 地址分配后，除SAVA 本身所需構建的網絡設備及轉發信息數據庫能力外，一人一址的映射關系需要依賴數據庫集群及各類前端應用解決方案進行支撐和管理，客戶側將新增相關業務流程，涉及IP 地址管理相關系統的規模及復雜度將明顯上升，為各方參與者提出了更高的管理要求。

從電信運營企業的角度，需要統建IP 地址信息管理及服務平臺，對現有核心網及接入網相關網元進行優化改造，明確地址新增、變更、注銷、回收、審核的工作機制及前端業務操作流程，提前預留溯源相關系統接口。同時應明確相關制度規范，識別關鍵資產，集中開展內網安全風險檢測、安全態勢感知、數據使用合規性監測和數據安全審計工作。

從監管部門的角度，需要統籌建設溯源管理協同平臺和敏感數據共享機制，明確主要管理方，并以信息系統固化和整合行政審批及信息流轉流程，充分開展跨部門協作，開展基于工單任務制的溯源查證工作，降低溝通成本，提高處置效率，以有效打擊涉網違法犯罪活動。同時，行業主管單位應介入運營企業地址信息管理及服務平臺管理，明確數據保護及日志留存要求，定期開展檢查。

3 利用一人一址網絡實名制推進網絡空間治理

3.1 精準化治網管網，構建良好的網絡生態

通過建設網絡身份管理平臺并開展IP 地址實名制分配，可以將治理手段精確落實到個人。一方面可強化實名制的約束效果，清理黑卡，提高冒用成本，同時依托快速準確的溯源模式，加強打擊涉網犯罪的力度及處置效率；另一方面，區別于傳統的“一刀切”模式，為監管部門建設精準化的管控手段提供了技術基礎，實現從行為管控到人群管控的變革，基于網絡實名提供差異化服務，推動內容限制、年齡分級等制度落地，構建更為自由、開放和健康的網絡行業生態。

3.2 構建國家級大數據公共安全應急體系

新冠肺炎疫情期間，大數據及IT 輔助手段的廣泛應用有效支撐了聯防聯控工作，但由于各商業系統、各區域及各行業主管單位使用身份憑證信息存在差異，日志數據沒有互通渠道，通過技術手段完整還原一段時間特定群體的行為軌跡和關聯人群信息存在較大困難，基層抗疫單位在流調及密接追蹤上需耗費大量的人力和時間。全網唯一且便于追溯的實名網絡身份標識有助于建立全國性大數據公共安全事件應急響應體系，通過制定嚴格的激活條件和執行流程，統一標準及接口要求，可搭建在特殊公共安全事件應急響應時期整合跨行業跨區域的敏感數據采集、共享和分析能力。

3.3 推動IPv6 技術規模應用

IPv6 協議已發布近22 年，技術標準體系趨于完善，主流終端設備已提供支持，但一直以來在我國都未能得到充分普及和規模應用。究其根本，新興技術成熟催生應用發展，再通過殺手級應用成功挖掘商業價值，實現規模商用的傳統規律不適用于此類支撐基礎服務的底層關鍵技術。運營企業及應用服務提供商并不能從規模部署IPv6 中看到業務增長點或收益點，甚至需要在兩種協議并行兼容上投入更高成本，相較于其他業務，一般用戶的使用體驗不會因為協議升級而有明顯差異，業務兩端需求均不迫切。惟有基于國家網絡空間治理需要，以建立政府管理手段為目標，才能反向推動此類技術全面部署，形成普遍服務能力后，再基于其技術特征和優勢，打造商業生態，創新業務模式。

4 結束語

建設統一網絡身份管理平臺，發放可信數據身份，并利用IPv6 相關技術實現IP 地址實名制分配，從而完善上網實名制體系，能有效提高實名信息真實性，促進網民自律，提升監管和溯源工作效率，加強對涉網犯罪行為的打擊力度，同時降低第三方信息數據安全風險，有助于國家網絡空間治理水平的提升，并可反向推動關鍵基礎技術的規模部署。當前推行“一人一址”網絡實名制的時機與基礎技術已趨于成熟，可行性高，但由于涉及跨區域跨行業跨部門的工作協調及資源整合，其業務及數據處理流程、政策性風險、服務性能、安全保障及管理要求等工作仍需進一步研究。