以無證書標識體系構建可信網絡

歐陽秀平 劉劍亮

【摘要】? ? 隨著移動互聯網與虛擬現實網絡社會日常生活的不斷緊密融合，由網絡互聯網虛擬性問題導致的諸多安全問題也逐漸開始顯現。其中，網絡活動參與者個人身份的虛擬性已經導致了各類網絡電信欺詐、網絡短信謠言等諸多安全問題，直接影響網絡社會安全和穩定。本篇文章從如何實現虛擬網絡可信個人身份信息認證的三個角度要求出發，簡要探討了如何通過建立和維護完善虛擬網絡身份認證服務體系，從而有效打造可信賴的網絡空間，促進我國互聯網健康、有序的持續發展。

【關鍵詞】? ? 可信網絡? ? 身份認證

引言：

隨著移動互聯網的快速發展，互聯網的虛擬性也給其發展過程帶來了種種安全問題，如存在網絡電信欺詐、網絡傳播謠言等。事實上，互聯網的這種開放與自由，并不一定意味著要給互聯網一個沒有責任缺失的虛擬地帶。恰恰相反，互聯網也從來不是純粹的一個虛擬網絡空間，它與我們現實中的社會是緊密聯系在一起的，而且越來越緊密。從這個根本意義上說來講，互聯網上的一切行為與其他現實網絡社會的一切行為一樣，必將直接受到現代社會相關法律和職業道德的嚴格約束。

一、可信網絡空間的建設關鍵

從可信網絡互聯網的空間角度看，誠信信息網絡的空間構筑成就需要充分保障面向互聯網信息業務的各主要參與方及用戶信息網絡交換三個流程的可信。面向互聯網信息業務的各主要參與方及用戶信息網絡交換三個流程主要包括面向互聯網信息業務系統服務提供商、互聯網信息業務系統使用者以及可靠的用戶信息網絡傳輸和數據交換三個過程。從目前我國互聯網的安全發展趨勢看，現有的信息技術基本上未能有效保障業務信息網絡傳輸和數據交換等各方面的信息安全性和信息可靠性，而地方政府對其他互聯網相關業務信息服務提供商的業務前置信息審批也基本上未能有效保證其信息可信性。但在基于業務主要使用者群，即也就是普通人的互聯網業務用戶行為方面，由于業務用戶數量眾多、行為各異且同時參與互動程度高且差異性大，因此安全問題較為集中。從目前情況來看，對我國互聯網企業用戶真實身份和網絡行為可靠安全認證的主要有效途徑之一是如何實施認證，包括對企業用戶網絡實體和其他用戶網絡行為的有效安全認證，即企業網絡安全認證。

互聯網發達國家逐漸意識到可信認證網絡的潛在重要性，逐步認識提升其在新的國家網絡發展規劃戰略體系中的重要地位，并開始著手積極嘗試研究構建一個網絡空間可信賴的身份認證系統。如韓國正在積極推行的一套公民網絡安全信息系統后臺服務管理系統實名制，歐洲各國正在積極推動的網絡身份電子證和居民身份證制度改革行動計劃。而最為成熟、最為全面的保障公民網絡安全可以受信賴的網絡身份標識代碼應用戰略模擬方案當中，主要屬美國政府于2011年4月15日正式對外發布的《網絡空間可信身份標識戰略》，美國NSTIC的戰略模擬方案著力在于打造一套保障中國公民網絡空間安全可以受信賴的網絡身份標識代碼應用生態系統，以利于有效促進人類相互信任、隱私、選擇和一種更為創新的社會生活工作方式，推動更多個人和其他社會組織。使用安全、高效的可信賴性身份標識代碼以標識網絡信息系統解決方案模式提供高可訪問性的中國網絡互聯網服務。

二、中國網絡認證狀態

作為互聯網金融大國，中國擁有5億多互聯網金融用戶，各大互聯網金融機構取得長足發展。互聯網對我國社會經濟生活的影響和影響也與日俱增，如何實現廣大互聯網服務用戶的身份可信度認證的要求也與日俱增。目前，政府和一些大型互聯網服務企業都在不斷積極探索增強網絡信息認證的創新方式和途徑。一方面，以政府金融主管部門工作為主的各類互聯網金融機構網絡信息認證正在積極探索，包括實名制聯系網絡游戲運營商、實名制聯系網店經營者等。另一方面，互聯網服務企業也在積極探索各種提升網絡公信力和身份信息認證的方式，如中國社交媒體網絡門戶網站通過添加網絡用戶的個人關系標簽提升網絡用戶的身份公信力，微博門戶網站通過獲取用戶好友加V賬號認證、身份徽章等信息標簽提升用戶的公信力和身份。

從網絡認證市場的發展來看，中國互聯網業務的網絡認證還處于起步階段。一方面，網絡認證是一項系統工程，需要政府、互聯網企業、認證服務商等企業和網絡用戶的積極配合。管理活動主要包括中央和地方政府、公安、司法、教育、金融、移動互聯網等部門業務主管的積極配合與配合。市場活動主要包括各類大型互聯網信息服務認證服務商、銀行、互聯網服務接入認證服務商的積極合作與配合。然而，目前中國傳統的網絡企業認證服務市場仍處于走自己的路的發展階段。另一方面，中國，中國現有的傳統網絡企業認證服務相對簡單，如傳統網絡用戶實名注冊系統、微博手機實名注冊系統等。只能實現網絡用戶個人身份證相關信息的統一認證，完全忽略網絡用戶其他個人身份證的信息。此外，為了不斷提升網絡用戶對傳統網絡業務認證的企業認可度，第三方網絡認證逐漸被網絡企業廣泛認可，并逐步引入傳統網絡企業認證。然而，目前第三方網絡認證市場正在發展，仍處于起步階段。截至2012年1月底，中國5億中國網民的有效個人電子身份證明只能持有2500多萬張。

從網絡認證處理效果來看，現有的網絡認證處理方法和操作方式無法同時完全達到個人身份可信和具體行為可信的認證效果。從明確解決媒體網絡可信個人身份認證的目的和意義來看，網絡可信認證可能不僅包括相關用戶個人身份證號等信息的再次確認，還包括相關用戶個人綜合信息身份證信息的再次確認，這在微博等在線媒體的不同類型互聯網認證服務中表現得尤為突出，如郭美美微博事件，給媒體相關業務單位自身造成了諸多社會利益糾紛和不良后果。目前，中國媒體網可信認證還面臨著各種實際問題，包括：傳統網絡比對認證流程有效性差。而且，現有的個人微博用戶認證僅局限于個人身份證信息的比對，忽略了微博用戶其他個人綜合信息身份證信息的比對認證，無法真正實現通過網絡進行認證的實際目的。

手機用戶的個人隱私和安全保護環境沒有逐步改善。一項調查結果顯示，88.57%的手機用戶普遍擔心未申請網絡身份認證可能會嚴重造成用戶個人隱私信息泄露。然而，引起該用戶關注的直接原因是目前中國相關法律中嚴重缺乏用戶隱私保護措施。此外，用戶普遍擔心使用網絡身份認證會嚴重影響其在互聯網上的言論自由。

部分當前用戶普遍擔心當前認證企業實體及其實施者的高度關注。當前一些互聯網安全認證實施者一直對我國網絡安全行業當前認證企業實體的發展高度擔憂，質疑樂觀態度，質疑當前網絡安全認證企業作為認證企業實體的隱私和個人信息安全措施，質疑認證企業的整體公信力和公信力等。此外，用戶對第三方認證網絡企業認證以及其他當前互聯網安全認證實施企業的安全性和認可度較低。一方面，部分原因是用戶普遍擔心自己的認證可能會嚴重泄露其他用戶的個人隱私;另一方面，原則原因是嚴重泄露其他用戶個人隱私信息或可能發生安全事故后，難以準確界定直接受害方和責任方。

政府認證業務兼容性問題突出。目前，各政務業務類別或各服務企業的政府認證機構都在各自為戰，對獲證用戶業務進行企業認證，并及時發放企業認證通用證書。然而，還有一個主要問題。認證用戶往往需要在不同的政府業務之間，甚至同一部門不同類型的企業之間進行不同的認證。這可能會直接造成企業社會勞動力成本的嚴重浪費。

三、無證書公鑰的技術特點

先說公鑰與標識符的關系：無證書公鑰中，一個實體的公鑰由兩部分組成，除了實體標識符之外，還需要密管中心分發的一個可公開的個性化參數。也就是說，標識符只是公鑰的一部分，實體密鑰丟失后，不換標識符，也可以完成密鑰的更新。不過，在網絡通信中，由于還需要一個個性化的公鑰參數才能算出完整公鑰，因此，這個公鑰參數該如何分發管理呢？是不是也有點繁瑣？

私鑰的組成：一個實體的私鑰也是兩部分組成，一部分必須由密管中心產生，另一部分可以由實體自己產生并保存。也就是說，即使密管中心，也無法獲得實體的完整私鑰。沒有一種技術是完美的，“尺有所短，寸有所長”的道理是普世的。證書公鑰、標識公鑰和無證書公鑰，三者各有長短，離開應用場景的上下文來獨立評述它們的優劣，是不客觀不可取的。穩妥的做法是分析既有和擴展應用場景中的身份認證和業務保護相關需求，結合現有安全基礎和管理維護條件，開展有針對性的設計。

四、可信網絡優勢

（一）網絡隱身機制

SDP零信任軟件定義邊界系統具備網絡隱身及應用隱身的能力，SDP零信任軟件定義邊界系統可將被保護的資源隱藏，外網不可見，極大降低了網絡暴露面，有效緩解多種網絡攻擊。

SDP零信任網關自身不主動開放任何IP和端口，只對通過多維身份鑒別的SDP零信任客戶端開放連接，嚴格遵守先認證后連接的原則，對信任的接入主體按需塑造邊界。SDP零信任軟件定義邊界系統的交互機制，起到很好的邊界隱身的作用，有效的緩解端口掃描、DDOS等攻擊行為。

SDP零信任控制器基于SPA技術，有效緩解惡意連接的請求，只處理有效包含SPA合法憑證的合法SDP零信任客戶端請求。

SDP零信任網關基于Default_DROP策略技術，對一切非認證通過的流量丟包。

SDP零信任網關與SDP零信任客戶端和SDP零信任控制器聯動，實現動態、按需重塑邊界，其只對認證通過的接入主體提供安全接入和應用代理訪問的功能。將傳統的訪問控制提升到極高的防護級別。可確保只有通過驗證的主體方可接入到邊界，只有授權的主體方可訪問到被授權的資源。否則邊界處于隱身狀態，資源同樣處于隱身狀態。

（二）融合一體化客戶端引擎

SDP零信任客戶端內置融合一體化客戶端引擎，單個客戶端同時運行SDP零信任客戶端、EDR、終端DLP、認證、加密的系統模塊。融合程度高，一體化安裝運維更為便利。SDP零信任等支持客戶端系列產品不僅具有較強的系統操作管理系統以及軟件功能兼容性，該產品支持包括全國中標企業信創中科麒麟、銀河麒麟、中科方德等多種操作系統;同時它還支持包括中標信創windows、linux等桌面操作系統;并且還支持IOS、Android等移動智能終端系統。并可為移動應用提供標準化的SDK開發套件，可供第三方應用廠商無縫集成，具備良好的使用體驗。SDP零信任客戶端支持開機啟動、斷線重連等人性化配置。

（三）持續信任評估引擎

SDP零信任控制器支持收集SDP零信任客戶端的輕量級環境感知信息并實時評估信任度，包括采集運行進程狀態、注冊表、系統版本、關鍵文件存在與否等環境信息。可以通過配置實現對終端運行狀態的周期性信任評估策略，，并支持與EDR等系統聯動實現深層次的信任評估機制，對接入主體信任度打分，為生成動態訪問控制策略提供決策依據。

（四）動態訪問控制引擎

SDP零信任網關支持與SDP零信任控制器的信任評估模塊聯動，可根據信任評估結果生成動態的訪問控制策略，對信任度發生變化的主體執行強制下線、升權、降權等訪問控制操作。極大提升系統的基于風險的響應和處置能力，將可能發生的危險或損失降到最低。SDP零信任軟件定義邊界系統的動態訪問控制機制，打破了傳統的基于日志等信息的事后審計追溯定位的機制，真正將發現威脅、消除威脅形成自動化控制閉環，可以將即將發生的風險扼殺在發起端，而不是發生危險以后事后審計追溯。

五、網絡認證體系的建立和完善

（一）研究制定網絡空間可信化的身份管理國家安全政策

隨著中國國家經濟社會發展活動對我國網絡空間依賴性不斷增強，各相關行業對實現網絡空間可信化的身份都已經提出了很大需求，如網絡購物、網上銀行、網上社保等，身份安全管理已經成為當前確保我國網絡空間繁榮和健康有序發展的關鍵。未來可信身份安全管理將更加重要，美國、歐盟等都在積極加強可信身份安全管理中的技術研發和實施部署，已經初步形成較強的行業技術競爭優勢;對中國而言，網絡空間身份安全管理技術也是我國社會主義發展改革過程中一個有待研究解決的重大課題，關系著我國在網絡空間中的重要話語權。為此，必須將可信化的身份管理上升發展到具有國家性和戰略性的高度，出臺各項相關國家政策措施，整合各類政府資源。明確分工，建立健全政府部門主導、市場主體的協同推動工作機制，促進國家網絡空間可信身份安全管理的健康發展。

（二）建立并完善網絡信息隱私安全保護系列相關安全法律法規

國家相關主管部門建議應繼續加快《電信法》法規出臺，制訂關于促進我國信息化產業發展的電子商務、電子政務等系列相關安全法律法規，為推進網絡空間相關基礎信息設施體系建設、業務模式創新工作營造良好的安全法律制度環境。同時還提出需要依法加快規范推進我國網絡信息安全、個人信息隱私保護、信息安全監控等系列相關法律立法，建立明確透明的我國網絡安全法律保障、信息安全數據監控、用戶個人信息隱私保護、跨境電商數據信息流動、青少年網上信息保護等安全法律制度環境，明確安全法律要求、企業法律責任和安全管理制度邊界，并加快建立依法規范管理網絡信息空間和積極引導參與國際網絡治理的安全制度法律環境，從而建立能夠加快推進我國互聯網市場競爭規則秩序、知識產權權益保護等系列相關法律立法，建立規范有序、安全可信的我國網絡空間法律環境。此外，相關主管部門還建議可以以近期網絡密碼信息泄漏這類事件發生為主要契機，繼續加強普法宣傳教育力度，鼓勵和引導吸引網絡用戶積極參與使用網絡可信賴的身份信息認證。

（三）加強企業標準化技術研究，增強企業認證的標準互通互聯可認性

通過加強政府部門引導，企業協會主導，加大密碼學、生物特征識別技術﹑企業智能卡等企業認證核心技術的研發推廣力度。建立中國企業擁有和自主研發知識產權的重點行業及區域國家標準認證核心技術和行業標準，并加快建立企業認證技術標準之間的技術接口協議，增強第三方企業認證標準互通互聯可認性，降低企業社會認證成本。

六、結束語

誠信認證保障保護網絡企業認證安全是當前我國保護互聯網信息產業健康發展的一個必然趨勢和重要發展戰略方向，也是保證互聯網在促進我國國民經濟社會穩定持續健康發展中仍然能夠持續充分發揮其最大技術優勢的重要技術基礎。完善中國網絡用戶真實身份認證信息安全管理，增強我國網絡企業用戶能夠通過誠信認證直接聯系網絡參與者的主動意愿，打造可信賴的企業網絡空間，充分發揮如何保障認證互聯網在促進我國國民經濟社會穩定持續健康發展的大進程實踐中的重要技術優勢性和保障機制作用。

參? 考? 文? 獻

[1]何翠芹.構建可信、安全的網絡生態環境[J].信息安全與通信保密，2016，（07）：31.

[2]杜飛進.構建可信網絡生態? 維護國家信息安全[J].人民論壇，2016，（04）：46.