歐盟電子認證服務業發展現狀

王琎

發展背景

網絡安全是一個關系著國家安全和主權、關系著社會穩定、關系著民族文化繼承和發揚的重要問題，其重要性隨著全球信息化步伐的加快與信息技術的深入發展不斷提升。2019年，各國通過制定網絡安全戰略、完善網絡安全法律法規，調整網絡安全機構設置等方式，不斷強化國家網絡安全頂層設計。

歐盟發展網絡可信身份的前提和目標來源于對于電子商務的推廣和拓展。歐盟相信，在未來電子商務會成為推進整個歐洲一體化重要的一項動力。在電子商務中，明確交易雙方的身份是推進洽談合作順利進行的前提，因此可信身份及針對于可信身份的管理對電子商務十分重要。

前身為西歐十余國家成立的歐洲經濟合作和發展組織在2011年發布過一份有關自然人在網絡空間中身份管理的報告，報告中認為電子身份管理是未來數字經濟發展的基礎設施。其具體理由有下面幾點：

一是促進電子商務跨境貿易發展。電子商務在2005年以后，以接近指數型的速度增長，而在商務活動中，確定參與者身份的問題也變得更加重要。電子商務與線下的見面交易不同，通常是遠程交易，然而有時交易方制定了有針對性地營銷策略，只對特定的群體進行打折，例如火車票或者飛機票中的學生票。隨著電子商務跨境貿易的發展，確認交易雙方身份的需求已經從境內拓展至境外。在境內，根據我國居民身份證法，向對方出示身份證是具有證明合法身份的法律手段，然而，在跨境交易中如何證明身份已經成為了問題。作為交易參與方，如何才能認定對方提供的信息是真實的、有效的（即：我是誰），如何確定身份證件證明的人是他所聲稱的人（即：我是我）已成為迫在眉睫的問題。跨境合作機制和體系的互認，是解決這一問題的主要方法。只有不同國家間關于身份管理體系進行互認，跨越國家邊境的認證才能實現。同時，如果跨境身份管理體系進行了互認和合作，跨境電子商務的從業者只需通過本國境內的身份系統對交易人的身份進行認證，極大地節約了交易的時間和成本，并且認證結果具有法律效力。保障電子商務跨境貿易的身份真實性，減少了跨境電子商務詐騙的風險。

二是推電子政務領域的跨境發展。2016年聯合國經濟和社會事務部發布的《聯合國電子政務調查報告》顯示，聯合國全部近200個成員國政府都已開通了國家門戶網站。通過門戶網站，可以在促進行政事務智能化，提高政務服務質量，加強政府信息公示，落實政府行政責任制，為自然人和法人機構帶來便利。盡管不同國家的電子政務的實施完善程度存在差異，但無紙化辦公和電子政務已成為世界上大多數政府有效實施行政的手段。一方面，電子政務可以節約大量紙張和紙質傳遞步驟，達到降低成本的效果。另一方面，電子政務有利于給政府決策提供可量化的數據指標和進行大數據分析，提升決策質量和效率。目前，我國已經在推進“互聯網+政務”上進行了大量投入，部分地區可以通過互聯網進行工商登記、商標注冊等事項。目前，在進行種種電子政務時，提供服務的政府網站或者APP通常會要求當事人進行實名認證。實名認證包括了對于自然人身份的認證和法人及社會組織的認證，從而保證自然人身份的線下與線上相對應，避免出現利用政策漏洞產生擾亂社會及政務秩序的情況。由此可見，身份管理與電子政務聯系密切，“互聯網+電子政務”的穩定高效運行離不開身份管理。

發展概況

歐盟的可信身份戰略起始于1993年的《電子簽名統一框架指令》。雖然在聯合國的電子簽名示范法中，對電子簽名跨境互認進行了一定的規范，但是具體到歐盟應用的場景中，各國不同的法律認定對歐盟的成員國之前的電子交流和電子商務已經產生了客觀上的阻礙。所以歐盟將各國關于電子簽名的法律上升一個層次，制定了《電子簽名統一框架指令》。該《電子簽名統一框架指令》將“電子簽名”定義為一種認證方式。但是伴隨信息技術的高速發展，歐洲在個人隱私保護方面也在迅速加碼。電子簽名這種具有和實體簽名一樣法律效應的形式，遭到了用戶的巨大反感。

一是在互聯網場景多樣化的背景下，僅有電子簽名行為通過法律關聯線下責任已經不能滿足實際。另外，在互聯網的大多數情況下，用戶的登錄都是由“用戶名密碼”或者“手機號碼驗證碼”這樣的低成本組合完成的，這樣的組合并不能夠滿足“可靠電子簽名”或“高級電子簽名”的要求。這使得對于數字身份的分級與分類成為迫切的需求。

二是在《電子簽名統一框架指令》中，沒有將“意愿表達”和“身份識別”進行區分。有的時候，用戶在點擊網頁時并不是為了簽訂合同，而是為了獲取會員優惠報價信息。相對的，在簽訂訂單時，用戶使用的是意愿表達，表明其既進行了身份識別又認可訂單中的內容。這種看似簡單的互聯網瀏覽和點擊行為，其表達了用戶的不同意愿，如何在法律上區分這些意愿，并真正的讓其服務于電子交易已成為需要解決的核心問題。

三是《電子簽名統一框架指令》其作用效力低，無法達到統一歐盟各國家電子簽名的法律法規。“指令”與“條例”存在顯著區別。指令的條文無法跨越國內法直接影響歐盟各國公民，其存在的意義是指導歐盟各國的國內法立法并將指令中的條文轉化為各個國家的國內法。這一局限導致了歐盟各國雖然均將指令的原則進行了轉化，但各自互不兼容，管理方式參差不齊。例如部分歐盟國家對于電子簽名非常嚴格，對電子簽名服務機構施以高度的限定賀嚴格的標準，但是個別國家卻采取了任由市場發展，政府不進行干涉的原則，最終導致了這些國家的電子簽名不能互通互認。

在這一背景下，歐盟自2008年開始，由各國共同參與進行了關于電子身份識別、電子認證、電子簽名其定義和邏輯關系的廣泛研究和討論，并于2014年出臺了具有里程碑意義的《eIDAS條例》。

《eIDAS條例》準確的梳理了“身份管理”與“信任服務”的關系。首先，其要求歐盟的所有成員國政務搭建了標準統一的、互認的身份管理系統并抽象了各種不同層次的身份“安全等級”，使得身份可以在不同歐盟國家間有序流動和互認。其次，其將由電子簽名技術衍生而來的相似服務進行了概念上的擴充和細化，由僅和手寫簽名一致的狹義場景解釋轉化為具體的、明確的服務類型例如法人實體電子印章、文件時間戳、電子郵件證書、網頁認證等“信任服務”。

發展特點

（一）將“身份識別”與“身份認證”分離

身份管理中涉及的核心內容可以進行進一步的細分。在以往的一些研究和實踐中，以“電子簽名”為代表，其進行簽名的一個動作本質上代表了兩重意思。第一層意思即為身份識別：電子簽名中自然人或組織回首先聲明自己的姓名或組織名（即PKI體系中的“證書持有者”）。第二層意思為身份認證，生成一段僅有該“持有者”才能夠制作的數據，從密碼學的角度對自己聲稱身份進行證明。

“身份識別”又稱“身份確認”、“身份創建”、“身份注冊”。這個過程一般不涉及密碼學的相關內容，而僅涉及國家對于自然人和法人的管理。這個概念與我國的公安機關的戶籍管理及市場監管總局的企業注冊信息管理較為類似。其中包括身份由來材料的收集，信息真實性的審核，經過審核資料的存檔和保管，身份附屬信息的修改以及錯誤身份信息的刪除等。其本質是賦予了歐盟的成員國在其國家范圍內，對某一自然人或者法人進行確認和識別以保證這個自然人或法人是獨一無二的。通常這一過程會生成一個唯一識別碼以確定這個實體。身份認證是指建立一個可接受水平的保證過程，用以保證聲稱的身份是真實的。這里面的“保證過程”即為身份認證。在電子化的語言中，這一保證過程也可以被稱之為用戶電子身份的原始性、完整性被確認的電子化過程。

聯合國貿易法委員會的《電子簽名示范法》中，并未對識別和認證兩個過程進行區分，由于電子簽名涉及較多技術上的細節，這導致了部分自然人和組織對于法律流程和技術細節的混淆和誤解，容易產生“眉毛胡子一把抓”的情況。

（二）注重數據保護

眾所周知，歐盟的各國對于用戶個人隱私的保護非常嚴格。據調查，有大于一半的歐洲公民對個人數據的濫用產生的詐騙標識非常擔憂。盡管數據的隱私性和網絡身份跨境身份識別及互認存在一些對抗，但是《eIDAS條例》在制定的過程中努力進行了對數據處里和保護的協調。其“數據處理與保護”的內容中，確立了數據最小化原則。在某些情況下，使用“假名”或“網絡昵稱”進行電子商務活動也是允許的。例如，奧地利政府從居民登記中心提取了唯一的標識符（UID），這個UID可以作為假名或網絡昵稱使用，愛沙尼亞等國也采取了類似的策略。但是類似于愛沙尼亞的公民號碼是公開的信息，而在奧地利、匈牙利、葡萄牙等公民號碼僅能在特定的服務中使用。

（三）設定互認分級即保證級別

《eIDAS條例》的一大亮點即為對于多種類的互認需求進行了分級。對于跨系統、跨國境的互認進行了分級，以“低、中、高”這一形式對信賴度進行了劃分。具體而言，低保證級別的主要特點是采用了減少身份濫用或身份改動的風險控制技術;中保證級別的主要特點是實質上減少的身份濫用或身份改動的風險技術控制;高保證級別基本上防止了身份濫用或身份改動的風險技術控制。

對于電子身份憑證進行承認的流程，《eIDAS條例》進行了如下規定。第一，簽發該身份憑證的國家有義務確保簽發系統已經在歐盟官方的列表中公布;第二，電子身份憑證的保證級別應當等于或者高于公共機構的要求，即：高級別可以訪問同級別或低級別的應用，而低級別的保證及不可訪問高級別的應用;第三，對于相關的公共機構提供的在線服務保證級別應為中等或者高等。

（四）抽象統一的互操作框架

在《eIDAS條例》被制定以前，歐洲實施了多個跨境項目以研究泛歐洲地域身份互操作的基本框架，這些項目有著不同的特點和解決的問題，適用于不同的領域，也對發展跨境電子身份和信任服務的互操作性打下了一些技術基礎。涉及跨境的主要框架有Stork2.0、TURBINE、ABC4trust等。

《eIDAS條例》中對于各種互操作性的框架遵循了技術中立的原則，并且未對任何成員國內的任何具體國內電子身份技術解決方案進行否定和其實。但是《eIDAS條例》還要求各成員國應盡可能遵守歐盟和國際標準。同時，互操作性基本框架要遵循最小化權限的設計原則，并且要遵守歐盟95/46號指令中個人數據處理規定。