“網絡身份證”從應用破局

馬雪婷

在移動互聯網領域，用戶只要把eID 卡往具有NFC 功能的手機背后一貼就可完成注冊和登錄，圖為工作人員演示用NFC 手機支付功能進行刷卡消費

如果你在中國工商銀行申領新的金融IC借記卡，會發現卡背面多了一個兩環相扣的圖標，圖案顯示出“eID”三個字母。

eID是英文“Electronic Identity”的英文簡稱，國際上通常定義為“由政府頒發給公民的用于線上和線下識別身份的證件”。目前，新發行的工商銀行金融IC借記卡同時還是一張eID卡，只要持卡人選擇開通該業務，即可獲得一個eID網絡電子身份標識。

為確保卡片和本人一致，這張可以標識個人網絡電子身份的卡片只能由本人在線下申請辦理，在線上應用時，eID只是一串有證書保護的無意義的數字，而這串無意義數字所對應的個人信息，只掌握在“公安部公民網絡身份識別系統”數據庫里。

也就是說，持卡人通過eID登錄網站或者APP的時候，是以密碼技術而不是直接以姓名、性別、身份證號碼等個人的具體信息為信任基礎。這樣，即便網站或者APP遭到攻擊，eID持卡人的身份信息不會被泄露。

目前，我國的第二代身份證只具備線下個人身份識別和防偽的功能，而線上應用普遍采用以姓名、身份證號、手機號碼等個人信息間的關聯關系識別身份，因此留下個人信息泄露的隱患。

“eID的目標就是在保護公民身份信息的前提下，快速有效地實現線上身份識別。”公安部第三研究所網絡身份技術事業部書記嚴則明告訴《瞭望東方周刊》，如果不從技術體系和基礎設施建設著手解決這個問題，網絡的信任體系就非常脆弱，在線高附加值的商業服務的成本就會非常高，電子商務、電子政務和網絡征信的發展已經面臨著嚴重的制約，“要么承擔個人身份信息泄露的風險，要么一些對真實身份有要求的行業無法發展;同時，如果不徹底改變互聯網應用的信任體系直接基于身份信息，那么竊取、買賣個人信息，以及電信和網絡詐騙的案件就不可能根除。

個人隱私信息泄露隱患

嚴則明告訴本刊記者，目前，如何在保護個人隱私、建立網上信任體系，是很多國家都在探索的問題。

比如韓國就在2007年啟動線上個人信息認證，實現網絡注冊實名化。因為個人認證信息均為真實而明確的信息，很快韓國門戶網站“NATE”、社交網站“Cyberworld”等遭到黑客攻擊，造成3500萬名用戶的個人信息泄露。

目前中國的互聯網用戶已經超過6.5億，諸多關系個人社交、交易的網站均需提供個人身份信息。而信息泄露事件也曾多次發生，比如2014年攜程網、12360網站等的用戶信息泄接連發生，更著名的則是2000萬酒店開房數據被泄露后掛在網上供人查詢事件。

根據360互聯網安全中心統計，從2011年到2014年底，被證實已泄漏的中國公民個人信息多達11.27億條，內容包括賬號密碼、電子郵件地址、電話號碼，甚至還包括家庭住址、身份證號碼等信息。

個人隱私信息的泄露直接導致了這些年電信和網絡犯案由騷擾轉為精準的詐騙，另外，利用他人身份向信用卡機構、P2P小額貸款機構進行詐騙也多有發生。《2015年第一季度網絡詐騙犯罪數據研究報告》顯示，超過三成網絡詐騙案與個人信息泄露相關。

“eID網絡電子身份標識正是針對這些問題的。”嚴則明說，公安部第三研究所從2009底年就開始網絡身份管理的研究，目前，“公安部公民網絡身份識別系統”已通過國家密碼管理局的安全審查，并依托中國工商銀行的借記卡向公民試點簽發eID卡。

早在2006年，歐盟委員會即發布《2010泛歐洲eID管理框架路線圖》，從頂層統籌規劃eID管理框架。為配合上述線路圖，2010年德國出臺《電子身份證條例》，對eID卡基礎設施的安全性和數據保護提出明確要求。奧地利和英國也分別推出類似法案。

2012年，歐盟進一步提出《電子簽名和電子身份證法規》草案，圍繞電子簽名和電子身份證兩項基本要素，提出無國界的歐盟數字市場，在尊重隱私和保護數據安全的基礎上，保障各成員國的民眾和企業能夠使用本國簽發的電子身份證獲得其他國家提供的等同服務。

無法反推身份信息

eID使用示意圖

2011年3月1日德國漢諾威博覽會上，采用無接觸智能卡技術具有eID功能的新式德國公民電子身份證件卡亮相

據公安部第三研究所eID事業部副主任胡永濤介紹，eID是以密碼技術為基礎、以智能芯片為載體、由“公安部公民網絡身份識別系統”簽發給公民個人的網絡身份標識。通俗地講，eID就是由公私密鑰保護的上網公民個人身份信息的密文代碼，使用eID的私鑰由上網公民本人掌握，而公鑰由權威機構掌握、保障網絡身份的有效性。

嚴則明告訴本刊記者，eID的加密算法很難被破解，“即便被讀出，也只是沒有實際意義的字符串，而且無法反推到個人身份信息”。

他說，目前eID在密碼技術上是最高級別的安全類型，“存在的漏洞只可能是主動泄露的風險，即持卡人主動把自己的eID卡和密碼交由他人使用。但即便如此，這個行為也是可以被追溯的。”

eID在簽發過程中會留下錄像等痕跡，發行登記機構會保留備查，一旦發生問題即可追溯，這是此前網絡實名制難以做到的。

用戶在申領和開通eID業務后，就可以使用讀卡器或者帶NFC功能的智能手機接入應用。“eID技術規范要求，接入eID網絡身份服務的互聯網應用機構后臺不能直接存儲用戶的身份信息，只能存儲用戶對應的編碼，在個人隱私保護上形成一道防線。”嚴則明說。

特別是在移動互聯網領域，用戶只要把eID卡在具有NFC功能的手機背后一貼就可完成注冊和登錄，而無需記憶更多的賬號和密碼。

突破推廣瓶頸

據嚴則明介紹，目前中國工商銀行在全國累計發行eID卡達到2000萬張，并以每天約10萬張的幅度增長，“但是，在試點過程中，由于應用場景少，開通eID的比例不高，工行網點的發行體驗和培訓也沒有跟上，因此，公眾對eID的認知還相當欠缺，需要有強應用來推動。”

應用落地，是eID推廣的當務之急。

負責eID應用推廣的金聯匯通信息技術有限公司總經理亓文華告訴本刊記者，目前已經有十余家互聯網服務企業開始接入eID應用。

除個人用戶，亓文華說，以物流、證券以及金融信貸為代表的行業，對eID的接入很有熱情。“對網絡真實身份有剛性需求、對安全性要求比較高的行業，比如證券公司的開戶業務、網上金融支付業務等，積極性更高。”

以物流行業為例。中國多年來未能出現占領絕對市場份額的大型企業，統計數據顯示，2014年中國物流總額達到213.5萬億元，其中中小物流企業占據90%的市場份額。

“無法有效識別身份信息，是物流業的發展瓶頸。”安保泓物流聯盟創始人白芷安告訴《瞭望東方周刊》，在傳統物流行業中，發貨人和收獲人的身份全憑一張手寫的物流單據驗證，而工作人員在送貨時往往憑借手機號碼來確認收件人的身份，“丟件、錯件現象屢見不鮮，出現糾紛后抵賴的現象也時有發生。”

由于發件人責任主體不能確認，更嚴重的情況是快遞違禁物品。白芷安說，早年她曾在快遞集散地碰到過偽裝成正常貨物的毒品甚至槍支，“由于寄件人無法準確追溯，往往不了了之。”

她說，由于物流行業信用體系遠不完善，保險業務不愿意介入，銀行更不愿意授信和貸款。

“物流行業對身份真實性的識別是剛性需求，eID便捷的網絡身份認證恰好解決了這個難題。”白芷安說，包括發貨方、物流公司、收貨人等不同角色，均可以在NFC手機或者讀卡器上進行eID認證，過去無法實現的實名發貨、實名收件、實名運輸、實名派送以及實名簽收，都迎刃而解，可以從根本上避免因身份問題而導致的大量糾紛和官司。

360手機助手選擇接入eID，是基于對行業的預測和對用戶習慣的分析。

360公司手機助手事業部總經理陶偉華告訴本刊記者，大量傳統行業紛紛以O2O的模式進入互聯網，“如果要長久發展，首先要解決身份認證。”

以打車軟件為例，陶偉華說，如果不能解決身份認證問題，惡性事件發生的概率就會增加。調研顯示，目前中國的互聯網用戶中只有30%習慣在線支付，其中原因正是很多人對于網絡現狀的不信任。

航旅縱橫是目前已經實現eID接入的一個航班管理應用APP。過去要使用這個服務，需要上傳身份證照片并等待人工審核，至少需要12小時，時有賬戶被搶注而導致個人隱私信息泄露的情況發生。現在即使賬戶被搶注或被盜，eID持卡人可以馬上“搶回”。

“這些行業正是eID應用落地的突破口。”亓文華告訴本刊記者，包括在線支付行業、物流行業、互聯網金融行業等，他們正與數十家互聯網應用機構洽談，“我們有信心，未來eID的應用領域和前景將非常廣闊。”