以无证书标识体系构建可信网络

欧阳秀平 刘剑亮

【摘要】    随着移动互联网与虚拟现实网络社会日常生活的不断紧密融合，由网络互联网虚拟性问题导致的诸多安全问题也逐渐开始显现。其中，网络活动参与者个人身份的虚拟性已经导致了各类网络电信欺诈、网络短信谣言等诸多安全问题，直接影响网络社会安全和稳定。本篇文章从如何实现虚拟网络可信个人身份信息认证的三个角度要求出发，简要探讨了如何通过建立和维护完善虚拟网络身份认证服务体系，从而有效打造可信赖的网络空间，促进我国互联网健康、有序的持续发展。

【关键词】    可信网络    身份认证

引言：

随着移动互联网的快速发展，互联网的虚拟性也给其发展过程带来了种种安全问题，如存在网络电信欺诈、网络传播谣言等。事实上，互联网的这种开放与自由，并不一定意味着要给互联网一个没有责任缺失的虚拟地带。恰恰相反，互联网也从来不是纯粹的一个虚拟网络空间，它与我们现实中的社会是紧密联系在一起的，而且越来越紧密。从这个根本意义上说来讲，互联网上的一切行为与其他现实网络社会的一切行为一样，必将直接受到现代社会相关法律和职业道德的严格约束。

一、可信网络空间的建设关键

从可信网络互联网的空间角度看，诚信信息网络的空间构筑成就需要充分保障面向互联网信息业务的各主要参与方及用户信息网络交换三个流程的可信。面向互联网信息业务的各主要参与方及用户信息网络交换三个流程主要包括面向互联网信息业务系统服务提供商、互联网信息业务系统使用者以及可靠的用户信息网络传输和数据交换三个过程。从目前我国互联网的安全发展趋势看，现有的信息技术基本上未能有效保障业务信息网络传输和数据交换等各方面的信息安全性和信息可靠性，而地方政府对其他互联网相关业务信息服务提供商的业务前置信息审批也基本上未能有效保证其信息可信性。但在基于业务主要使用者群，即也就是普通人的互联网业务用户行为方面，由于业务用户数量众多、行为各异且同时参与互动程度高且差异性大，因此安全问题较为集中。从目前情况来看，对我国互联网企业用户真实身份和网络行为可靠安全认证的主要有效途径之一是如何实施认证，包括对企业用户网络实体和其他用户网络行为的有效安全认证，即企业网络安全认证。

互联网发达国家逐渐意识到可信认证网络的潜在重要性，逐步认识提升其在新的国家网络发展规划战略体系中的重要地位，并开始着手积极尝试研究构建一个网络空间可信赖的身份认证系统。如韩国正在积极推行的一套公民网络安全信息系统后台服务管理系统实名制，欧洲各国正在积极推动的网络身份电子证和居民身份证制度改革行动计划。而最为成熟、最为全面的保障公民网络安全可以受信赖的网络身份标识代码应用战略模拟方案当中，主要属美国政府于2011年4月15日正式对外发布的《网络空间可信身份标识战略》，美国NSTIC的战略模拟方案着力在于打造一套保障中国公民网络空间安全可以受信赖的网络身份标识代码应用生态系统，以利于有效促进人类相互信任、隐私、选择和一种更为创新的社会生活工作方式，推动更多个人和其他社会组织。使用安全、高效的可信赖性身份标识代码以标识网络信息系统解决方案模式提供高可访问性的中国网络互联网服务。

二、中国网络认证状态

作为互联网金融大国，中国拥有5亿多互联网金融用户，各大互联网金融机构取得长足发展。互联网对我国社会经济生活的影响和影响也与日俱增，如何实现广大互联网服务用户的身份可信度认证的要求也与日俱增。目前，政府和一些大型互联网服务企业都在不断积极探索增强网络信息认证的创新方式和途径。一方面，以政府金融主管部门工作为主的各类互联网金融机构网络信息认证正在积极探索，包括实名制联系网络游戏运营商、实名制联系网店经营者等。另一方面，互联网服务企业也在积极探索各种提升网络公信力和身份信息认证的方式，如中國社交媒体网络门户网站通过添加网络用户的个人关系标签提升网络用户的身份公信力，微博门户网站通过获取用户好友加V账号认证、身份徽章等信息标签提升用户的公信力和身份。

从网络认证市场的发展来看，中国互联网业务的网络认证还处于起步阶段。一方面，网络认证是一项系统工程，需要政府、互联网企业、认证服务商等企业和网络用户的积极配合。管理活动主要包括中央和地方政府、公安、司法、教育、金融、移动互联网等部门业务主管的积极配合与配合。市场活动主要包括各类大型互联网信息服务认证服务商、银行、互联网服务接入认证服务商的积极合作与配合。然而，目前中国传统的网络企业认证服务市场仍处于走自己的路的发展阶段。另一方面，中国，中国现有的传统网络企业认证服务相对简单，如传统网络用户实名注册系统、微博手机实名注册系统等。只能实现网络用户个人身份证相关信息的统一认证，完全忽略网络用户其他个人身份证的信息。此外，为了不断提升网络用户对传统网络业务认证的企业认可度，第三方网络认证逐渐被网络企业广泛认可，并逐步引入传统网络企业认证。然而，目前第三方网络认证市场正在发展，仍处于起步阶段。截至2012年1月底，中国5亿中国网民的有效个人电子身份证明只能持有2500多万张。

从网络认证处理效果来看，现有的网络认证处理方法和操作方式无法同时完全达到个人身份可信和具体行为可信的认证效果。从明确解决媒体网络可信个人身份认证的目的和意义来看，网络可信认证可能不仅包括相关用户个人身份证号等信息的再次确认，还包括相关用户个人综合信息身份证信息的再次确认，这在微博等在线媒体的不同类型互联网认证服务中表现得尤为突出，如郭美美微博事件，给媒体相关业务单位自身造成了诸多社会利益纠纷和不良后果。目前，中国媒体网可信认证还面临着各种实际问题，包括：传统网络比对认证流程有效性差。而且，现有的个人微博用户认证仅局限于个人身份证信息的比对，忽略了微博用户其他个人综合信息身份证信息的比对认证，无法真正实现通过网络进行认证的实际目的。

手机用户的个人隐私和安全保护环境没有逐步改善。一项调查结果显示，88.57%的手机用户普遍担心未申请网络身份认证可能会严重造成用户个人隐私信息泄露。然而，引起该用户关注的直接原因是目前中国相关法律中严重缺乏用户隐私保护措施。此外，用户普遍担心使用网络身份认证会严重影响其在互联网上的言论自由。

部分当前用户普遍担心当前认证企业实体及其实施者的高度关注。当前一些互联网安全认证实施者一直对我国网络安全行业当前认证企业实体的发展高度担忧，质疑乐观态度，质疑当前网络安全认证企业作为认证企业实体的隐私和个人信息安全措施，质疑认证企业的整体公信力和公信力等。此外，用户对第三方认证网络企业认证以及其他当前互联网安全认证实施企业的安全性和认可度较低。一方面，部分原因是用户普遍担心自己的认证可能会严重泄露其他用户的个人隐私;另一方面，原则原因是严重泄露其他用户个人隐私信息或可能发生安全事故后，难以准确界定直接受害方和责任方。

政府认证业务兼容性问题突出。目前，各政务业务类别或各服务企业的政府认证机构都在各自为战，对获证用户业务进行企业认证，并及时发放企业认证通用证书。然而，还有一个主要问题。认证用户往往需要在不同的政府业务之间，甚至同一部门不同类型的企业之间进行不同的认证。这可能会直接造成企业社会劳动力成本的严重浪费。

三、无证书公钥的技术特点

先说公钥与标识符的关系：无证书公钥中，一个实体的公钥由两部分组成，除了实体标识符之外，还需要密管中心分发的一个可公开的个性化参数。也就是说，标识符只是公钥的一部分，实体密钥丢失后，不换标识符，也可以完成密钥的更新。不过，在网络通信中，由于还需要一个个性化的公钥参数才能算出完整公钥，因此，这个公钥参数该如何分发管理呢？是不是也有点繁琐？

私钥的组成：一个实体的私钥也是两部分组成，一部分必须由密管中心产生，另一部分可以由实体自己产生并保存。也就是说，即使密管中心，也无法获得实体的完整私钥。没有一种技术是完美的，“尺有所短，寸有所长”的道理是普世的。证书公钥、标识公钥和无证书公钥，三者各有长短，离开应用场景的上下文来独立评述它们的优劣，是不客观不可取的。稳妥的做法是分析既有和扩展应用场景中的身份认证和业务保护相关需求，结合现有安全基础和管理维护条件，开展有针对性的设计。

四、可信网络优势

（一）网络隐身机制

SDP零信任软件定义边界系统具备网络隐身及应用隐身的能力，SDP零信任软件定义边界系统可将被保护的资源隐藏，外网不可见，极大降低了网络暴露面，有效缓解多种网络攻击。

SDP零信任网关自身不主动开放任何IP和端口，只对通过多维身份鉴别的SDP零信任客户端开放连接，严格遵守先认证后连接的原则，对信任的接入主体按需塑造边界。SDP零信任软件定义边界系统的交互机制，起到很好的边界隐身的作用，有效的缓解端口扫描、DDOS等攻击行为。

SDP零信任控制器基于SPA技术，有效缓解恶意连接的请求，只处理有效包含SPA合法凭证的合法SDP零信任客户端请求。

SDP零信任網关基于Default_DROP策略技术，对一切非认证通过的流量丢包。

SDP零信任网关与SDP零信任客户端和SDP零信任控制器联动，实现动态、按需重塑边界，其只对认证通过的接入主体提供安全接入和应用代理访问的功能。将传统的访问控制提升到极高的防护级别。可确保只有通过验证的主体方可接入到边界，只有授权的主体方可访问到被授权的资源。否则边界处于隐身状态，资源同样处于隐身状态。

（二）融合一体化客户端引擎

SDP零信任客户端内置融合一体化客户端引擎，单个客户端同时运行SDP零信任客户端、EDR、终端DLP、认证、加密的系统模块。融合程度高，一体化安装运维更为便利。SDP零信任等支持客户端系列产品不仅具有较强的系统操作管理系统以及软件功能兼容性，该产品支持包括全国中标企业信创中科麒麟、银河麒麟、中科方德等多种操作系统;同时它还支持包括中标信创windows、linux等桌面操作系统;并且还支持IOS、Android等移动智能终端系统。并可为移动应用提供标准化的SDK开发套件，可供第三方应用厂商无缝集成，具备良好的使用体验。SDP零信任客户端支持开机启动、断线重连等人性化配置。

（三）持续信任评估引擎

SDP零信任控制器支持收集SDP零信任客户端的轻量级环境感知信息并实时评估信任度，包括采集运行进程状态、注册表、系统版本、关键文件存在与否等环境信息。可以通过配置实现对终端运行状态的周期性信任评估策略，，并支持与EDR等系统联动实现深层次的信任评估机制，对接入主体信任度打分，为生成动态访问控制策略提供决策依据。

（四）动态访问控制引擎

SDP零信任网关支持与SDP零信任控制器的信任评估模块联动，可根据信任评估结果生成动态的访问控制策略，对信任度发生变化的主体执行强制下线、升权、降权等访问控制操作。极大提升系统的基于风险的响应和处置能力，将可能发生的危险或损失降到最低。SDP零信任软件定义边界系统的动态访问控制机制，打破了传统的基于日志等信息的事后审计追溯定位的机制，真正将发现威胁、消除威胁形成自动化控制闭环，可以将即将发生的风险扼杀在发起端，而不是发生危险以后事后审计追溯。

五、网络认证体系的建立和完善

（一）研究制定网络空间可信化的身份管理国家安全政策

随着中国国家经济社会发展活动对我国网络空间依赖性不断增强，各相关行业对实现网络空间可信化的身份都已经提出了很大需求，如网络购物、网上银行、网上社保等，身份安全管理已经成为当前确保我国网络空间繁荣和健康有序发展的关键。未来可信身份安全管理将更加重要，美国、欧盟等都在积极加强可信身份安全管理中的技术研发和实施部署，已经初步形成较强的行业技术竞争优势;对中国而言，网络空间身份安全管理技术也是我国社会主义发展改革过程中一个有待研究解决的重大课题，关系着我国在网络空间中的重要话语权。为此，必须将可信化的身份管理上升发展到具有国家性和战略性的高度，出台各项相关国家政策措施，整合各类政府资源。明确分工，建立健全政府部门主导、市场主体的协同推动工作机制，促进国家网络空间可信身份安全管理的健康发展。

（二）建立并完善网络信息隐私安全保护系列相关安全法律法规

国家相关主管部门建议应继续加快《电信法》法规出台，制订关于促进我国信息化产业发展的电子商务、电子政务等系列相关安全法律法规，为推进网络空间相关基础信息设施体系建设、业务模式创新工作营造良好的安全法律制度环境。同时还提出需要依法加快规范推进我国网络信息安全、个人信息隐私保护、信息安全监控等系列相关法律立法，建立明确透明的我国网络安全法律保障、信息安全数据监控、用户个人信息隐私保护、跨境电商数据信息流动、青少年网上信息保护等安全法律制度环境，明确安全法律要求、企业法律责任和安全管理制度边界，并加快建立依法规范管理网络信息空间和积极引导参与国际网络治理的安全制度法律环境，从而建立能够加快推进我国互联网市场竞争规则秩序、知识产权权益保护等系列相关法律立法，建立规范有序、安全可信的我国网络空间法律环境。此外，相关主管部门还建议可以以近期网络密码信息泄漏这类事件发生为主要契机，继续加强普法宣传教育力度，鼓励和引导吸引网络用户积极参与使用网络可信赖的身份信息认证。

（三）加强企业标准化技术研究，增强企业认证的标准互通互联可认性

通过加强政府部门引導，企业协会主导，加大密码学、生物特征识别技术﹑企业智能卡等企业认证核心技术的研发推广力度。建立中国企业拥有和自主研发知识产权的重点行业及区域国家标准认证核心技术和行业标准，并加快建立企业认证技术标准之间的技术接口协议，增强第三方企业认证标准互通互联可认性，降低企业社会认证成本。

六、结束语

诚信认证保障保护网络企业认证安全是当前我国保护互联网信息产业健康发展的一个必然趋势和重要发展战略方向，也是保证互联网在促进我国国民经济社会稳定持续健康发展中仍然能够持续充分发挥其最大技术优势的重要技术基础。完善中国网络用户真实身份认证信息安全管理，增强我国网络企业用户能够通过诚信认证直接联系网络参与者的主动意愿，打造可信赖的企业网络空间，充分发挥如何保障认证互联网在促进我国国民经济社会稳定持续健康发展的大进程实践中的重要技术优势性和保障机制作用。

参  考  文  献

[1]何翠芹.构建可信、安全的网络生态环境[J].信息安全与通信保密，2016，（07）：31.

[2]杜飞进.构建可信网络生态  维护国家信息安全[J].人民论坛，2016，（04）：46.