網絡可信身份體系建設相關問題研究

國 強

(國家信息中心 北京 100045)

(guoqiang@sic.gov.cn)

21世紀以來，互聯網的普及推動了數字經濟的蓬勃發展，極大地改善了人類生產生活方式.但同時，網絡空間的匿名性及網絡身份的非真實性使得侵犯個人隱私、網絡欺詐、網絡謠言等違法違規活動日益猖獗.在開放的網絡空間中證明用戶真實身份的能力對于促進數字經濟健康發展和社會繁榮進步至關重要，必然要求國家或者社會提供權威可信的網絡身份服務.

《中華人民共和國網絡安全法》[1](以下簡稱《網絡安全法》)第24條規定：“國家實施網絡可信身份戰略，支持研究開發安全、方便的電子身份認證技術，推動不同電子身份認證之間的互認.”《中華人民共和國個人信息保護法》[2](以下簡稱《個人信息保護法》)第62條規定：“推進網絡身份認證公共服務建設”.

為落實《網絡安全法》《個人信息保護法》的相關要求[1-2]，推進網絡可信身份戰略，國家應統一規劃并建設網絡身份基礎設施，向社會提供權威可信的網絡身份認證公共服務，積極推動構建以用戶為中心的全網、全程的網絡可信身份體系，保障數字經濟健康可持續發展.

1 識別人的身份是開展各項社會活動的前提

身份是一個內涵豐富而又外延較廣的概念,開展各項社會活動時，要先回答“你是誰”這個問題，既需要說明自然屬性，更需要說明社會屬性.對人的身份識別的需要可以追溯到社會的起源.人們開始進行社交并相互交易時，一般會通過人臉、聲音、身高等生物屬性以及衣著、單位、職務等社會屬性，或者由受信任的人介紹等方式進行身份核驗.通常情況下自證是不夠的，還需要他證，特別是需要政府等權威機構的證明身份才會被其他人或者組織所接受認可.識別人的身份并建立一定程度的信任關系是開展一切社會活動的前提.

2 對公民的身份管理權是國家主權內容之一

從歷史上看，國家在識別公民身份并生成正式的權威身份證件方面發揮了關鍵作用.專業知識、強制力、信息和社會關系的集中化管理使政府成為可信的身份證明提供者.公民身份證件由政府簽發，增強了權威性和認同感，政府管理的法律權威性和程序規范性保證了身份證件的一致性，有助于增強信任(哪怕是最低水平的)，并顯著降低社會溝通和交易成本，國家身份證件所帶來國家的認同感也有助于促進民族團結，建立信任和調解內部沖突.對公民的身份管理權是國家主權內容之一.網絡可信身份管理是網絡空間安全的基石.

隨著信息社會的興起，為加強對社會保障、稅收、醫療衛生等公共事務的管理，政府建立了相應的信息系統，并為公民頒發各種電子證件以識別其身份；各種各樣的互聯網應用平臺都把用戶管理作為一個基礎功能模塊來開發.這些驅動因素導致產生了一個分散、碎片化的網絡身份格局，每個信息系統都有自己的網絡身份管理系統或者功能模塊，每個系統可能都是運行良好的系統，但彼此隔離，缺少互操作性；這種功能性的身份識別系統導致網絡身份的碎片化和管理復雜性，給國家網絡空間治理和數字經濟健康發展造成了巨大經濟和社會負擔.國家網絡空間治理必然要求國家介入并加強網絡身份管理，由國家主導建設網絡身份管理基礎設施，并向社會提供權威可信的網絡身份認證公共服務.

3 與“身份”相關的概念

網絡可信身份的關鍵特征是要能夠真正映射綁定到唯一真實的人，并在其生命周期中動態保持一定的可信度.開展網絡身份管理特別是網絡可信身份管理，首先需要理清有關“身份”的一系列概念.鑒于“身份”的內涵豐富而又外延較廣，與“身份”相關的概念需要給予明確定義.

3.1 身份與身份識別

身份(identity)[3-4]是使一個人或實體個性化的一組獨特的特征和特點，包括社會屬性和生物特征；身份識別(identification)[3-4]是確定一個人或實體的身份并確認其是什么的動作或過程.

3.2 網絡身份、網絡身份識別及身份管理

網絡身份(network identity)[3-4]是指可以唯一標識一個人或實體的一組通過電子方式采集和存儲的屬性和憑證；網絡身份識別(network identification)[3-4]是確認一個人或實體的屬性和特征(獨特性)以建立其網絡身份的過程；網絡身份管理(network identity management)是在技術平臺及相關組件的支撐下，由一個組織按照一系列規則、程序對網絡身份進行全生命周期管理(包括網絡可信身份的創建、使用和交換)的動作和過程.

網絡身份是從事在線活動的主體的唯一表示，網絡身份通常需要在開放網絡上對主體進行遠程身份證明，以及通過開放網絡對主體進行遠程身份認證以訪問數字服務.國際標準ITU-T Y.2720[5]中定義網絡實體身份為“在特定環境中能夠識別實體的特定信息”.在網絡空間中，一個網絡實體的身份需要具備身份標識、身份憑證和身份屬性3個基本要素，即標識符、憑證和屬性：

1) 標識符.一段用于區分實體的數字或字符串等數據，例如：全球唯一的URI、用戶名、為某個特定服務提供的臨時有效的可區分身份的昵稱、電子郵件地址、電話號碼等.

2) 憑證.一種只有實體才擁有和控制的、可以證明實體唯一身份的對象或數據結構.常見的憑證包括口令、數字證書、指紋、Kerberos票據和SAML斷言等.

3) 屬性.描述實體特征的一組數據，包括生物特征和社會屬性.屬性值的例子包括真實姓名、居住地、年齡、性別、角色、職務、網上活動記錄、信用等.屬性也可以用來作為輔助憑證.

3.3 用戶、認證與憑證

用戶(user)[3-4]是被授權訪問信息系統的個人或(系統)進程.認證(authentication)[3-4]是當用戶訪問資源時，通過提供相應憑證證明用戶身份的過程，通常作為接受用戶訪問資源的先決條件.憑證(credential)[3-4]是 一種只有實體(用戶)才擁有和控制的、可以證明實體唯一身份的對象或數據結構.

網絡身份生命周期是一個網絡身份從產生到結束的全過程.一個網絡身份從申請時開始，到由于個人請求刪除、死亡或其他事件導致網絡身份無效，網絡身份記錄被刪除時結束.

4 從現實社會中尋找網絡身份管理的方法

網絡空間是現實社會的映射，網絡身份管理實際上是現實社會身份管理在網絡空間的延伸，網絡身份管理需要從現實社會中尋找依據和管理方法.

4.1 居民身份證管理

中國最早是通過戶籍制度和戶籍管理來實現居民身份管理的，1985年9月6日中華人民共和國第六屆全國人民代表大會常務委員會第12次會議通過了《中華人民共和國居民身份證條例》，開啟了居民身份證管理時代；2003年6月28日第10屆全國人大常委會第3次會議通過了《中華人民共和國居民身份證法》[6](以下簡稱《居民身份證法》)，之后于2011年10月29日再次修訂發布，《居民身份證法》[6]分為總則、申領和發放、使用和查驗、法律責任、附則5章23條，進一步加強了居民身份證管理制度.

從《居民身份證法》[6]的內容看，居民身份證管理的核心內容可以概括為：由法定機關管理，以戶籍管理為根本，以居民身份證為載體，證件由各級公安機關審核制作發放；證件制發與應用驗證分離，身份驗證由應用場景自主完成；不是所有的應用場景都需要核驗身份證等.

本文據此對現實社會對身份證管理和使用查驗的基本關系進行了梳理，形成了“身份證管理基本關系圖”，如圖1所示：

圖1 身份證管理基本關系圖

4.2 網絡身份管理

網絡身份管理有2個最基本問題必須解決：一是在網絡空間中如何方便地證明“我是我”;二是如何保護個人身份隱私，防止身份濫用，防范身份欺詐.這2個問題應貫穿整個網絡身份體系設計之中，應從網絡身份的注冊申領、認證鑒別等基本環節加以考慮.

借鑒居民身份證管理的實踐經驗，網絡身份體系建設管理和應用的基本思路可以概括為：網絡身份注冊申領應由法定機關管理，以居民身份證為根，網絡身份憑證應區分可信等級，由法定機關審核制作發放，網絡身份標識中應不含用戶身份信息，用戶身份信息應只保存在國家網絡身份庫中；網絡身份憑證制發與使用驗證應相對分離，身份認證主要由應用場景自主完成；不是所有的應用場景都需要提供高等級網絡身份憑證等.

5 網絡身份應分可信等級實施管理

網絡身份可信級別應反映在確定一個人的身份時對網絡身份識別手段的信任程度，從而保證聲稱某一特定身份的人實際上是該身份被分配給的人.身份證明、核實以及認證等過程控制、網絡身份簽發機構及其簽發程序等管理水平和技術控制水平決定了網絡身份可信級別.

在現實生活中，也不是所有的場合都需要對居民身份證進行查驗.為便民利企，《居民身份證法》在“第三章 使用和查驗”規定[6]，僅僅是在一些需要嚴格核驗身份的場景下才使用和查驗居民身份證.

為方便用戶使用，降低建設、管理和應用推廣成本，網絡身份應分可信等級實施管理.國務院辦公廳關于印發“互聯網+政務服務”技術體系建設指南的通知”(國辦函〔2016〕108號)[7]提出要“根據認證程度不同，實名認證用戶可分為不同等級，不同等級的用戶賦予不同的網上辦事權限.”

6 網絡可信身份與網絡可信身份體系

通過對網絡實體持有的身份憑證進行認證鑒別，將其身份標識與其現實社會中的真實身份屬性建立綁定關系，網絡身份就成為可信的網絡身份.網絡可信身份主要有3種來源，分別是系統擁有者、網絡身份服務提供者以及國家法定權威機構.

網絡可信身份體系是對網絡身份可信度進行管理和規范的一種體系，包括與網絡身份相關的法律法規、標準規范、基礎設施、產品技術、管理服務等內容.網絡可信身份體系為網絡空間中所涉及的自然人、法人以及各種各樣的聯網設備和服務提供全生命周期的網絡身份注冊、憑證發行管理、身份認證以及身份維護等網絡身份服務，是網絡空間安全的基礎性公共支撐.

7 網絡可信身份體系建設應遵循的原則

結合國內國際的實踐經驗和現實需求，網絡可信身份體系建設應遵循以下原則要求：

1) 安全.網絡可信身份應唯一、安全、準確、易用，能夠保護用戶隱私和數據安全，網絡可信身份能夠被應用(后端)、用戶(前端)快速簡便安全接入和使用.

2) 兼容.網絡可信身份體系建設應盡可能不改變現有認證協議、標準和規范，最大限度利用現有存量網絡身份資源，降低應用開發改造成本，不造成重復投資.

3) 銜接.現實社會身份管理體系是網絡可信身份體系的根，其建設和應用應基于現實社會居民身份證管理體系的已有基礎，應與現有社會身份管理制度能夠銜接.

4) 互認.網絡身份相關標準應是面向社會開放的，網絡可信身份管理平臺和身份認證公共服務平臺應能支持現有不同電子身份間的互認.

8 網絡可信身份體系參考架構

8.1 參考體系架構

網絡可信身份體系架構(如圖2所示)主要包括法定身份數據持有機構、網絡身份管理基礎設施(包括網絡身份管理平臺和技術支撐)、法律法規標準規范以及運行監管安全保障等，共同為網絡可信身份體系的上層應用提供網絡身份服務.在網絡身份管理相關技術支撐下，身份管理基礎設施主要提供網絡身份注冊(身份證明)、憑證發行管理、身份認證以及身份維護等服務，以及在大數據支撐下提供相應的網絡行為追溯服務等.網絡身份管理基礎設施需要人口庫、法人庫等基礎數據庫和法定實名數據持有機構提供實名數據核驗支持，以及密鑰基礎設施提供的密碼服務支持.

圖2 網絡可信身份體系架構

8.2 系統功能結構

網絡身份管理系統包括網絡身份注冊申領、網絡身份管理、網絡身份認證服務等功能模塊或平臺(也可包括網絡身份追溯等組件)，為應用系統和第三方認證服務機構提供網絡身份認證服務(如圖3所示).

圖3 網絡身份管理系統功能結構

網絡身份庫用來存儲網民/法人的身份信息(ID、憑證相關信息、用戶身份基本信息、其他身份信息).網絡身份庫應配備高等級的安全防護措施和監測手段，防止身份信息泄露，保持身份信息完整、可用.網絡身份庫可分布式部署，網絡身份庫只接受網絡身份管理系統訪問.

網絡身份管理模塊是網絡可信身份管理系統的中樞.負責對網民/法人注冊的網絡身份信息進行訪問控制管理，對網絡身份庫進行操作.提供真實身份核驗、網絡身份簽發、網絡身份管理、網絡身份認證等在線服務.

網絡身份注冊申領(如圖4所示)模塊(子系統)是網民/法人注冊網絡可信身份的入口，也是網民/法人維護其網絡可信身份信息的重要渠道之一，應有方便易用的用戶界面，應提供移動APP.網絡身份注冊申領模塊通過網絡身份管理模塊訪問網絡身份庫.

圖4 網絡身份注冊申領

網絡身份認證服務模塊面向應用系統、第三方認證機構，以API或SDK的方式提供網絡可信身份認證服務.網絡身份認證服務模塊通過網絡身份管理模塊訪問網絡身份庫.

9 網絡身份管理的4個基本階段及其核心問題

網絡身份生命周期是一個網絡身份從產生到結束的全過程.一個網絡身份從申請時開始，到由于個人請求刪除、死亡或其他事件導致網絡身份無效，網絡身份記錄被刪除時結束.網絡身份的生命周期包括注冊申領與身份證明、憑證發行與管理、身份認證、身份管理與維護4個基本階段.

9.1 注冊申領與身份證明

注冊申領是一個與應用無關的獨立過程.網民應登錄國家網絡身份管理平臺，以法定憑證(如居民身份證等)為基本證件，向國家授權機構或認可機構申領.申領過程中要充分照顧網民心理，通過多種渠道、多次累積的方式核驗身份信息，線上線下相結合、以線上遠程身份核驗為主，完成對個人真實身份的核驗.

注冊核驗是網絡身份可信的基石，是以后建立信任關系的錨點，應通過相關法律法規和標準規范進行明確規定.

身份核驗時要合理劃分可信級別，不同應用場景對身份核驗級別的要求也不同.一般應根據應用場景對真實身份核驗級別的需要，通過國家或社會權威真實身份信息庫，如國家人口庫等，完成對個人身份核驗.

注冊申領完成后，網民可在國家要求使用網絡可信身份的應用中使用登錄，也可在支持網絡可信身份的應用中使用登錄.

在網絡身份注冊過程中，當申請人向注冊審核機構提供其身份的證據時，其身份的基本屬性就建立起來.如果此人按照規范性要求和程序可靠地表明了自己的身份，注冊審核機構就可以在一定程度上保證其身份的可信度[8].注冊審核機構應通過身份證明文件做到如下事項：

1) 在網絡身份數據庫中，將重復聲明的身份標識合并解析為唯一的身份標識，并刪除重復的數據項；

2) 確認所有提供的證據是正確和真實的；

3) 驗證聲明的身份是否存在于真實世界中；

4) 核實所聲稱的身份與提供身份證據的真人有關.

注冊階段的核心問題是如何結合申請人線下持有的法定機構簽發的身份證明文件及法定機構持有的權威身份數據，利用線上遠程的方式對申請人進行身份證明與核實，確認“我是我”，并能夠保證身份證明及核實達到一定的可信水平.

9.2 憑證發行與管理

身份核驗完成后，注冊平臺將按其身份核驗級別給網民簽發不同可信等級的網絡可信身份憑證.網絡可信身份憑證由網民個人持有，作為其登錄網絡應用時的認證或鑒別憑證.根據網絡身份可信等級，網絡可信身份憑證有多種安全級別和實現形式，如動態口令、數字證書、芯片、移動設備、指紋等.

網絡可信身份憑證應基于國產密碼技術生成、強度足夠、成本要低、應不依賴物理載體介質，能夠防盜用，具備有效期，可查詢狀態(掛失后可凍結、廢除).網絡可信身份憑證丟失、失竊、泄露時，網民可通過真實身份核驗后申請臨時網絡可信身份憑證.

網絡可信身份憑證的制發與認證原則上應由不同機構進行，制發由國家授權認可的機構負責，認證可由應用自主選擇第三方認證服務機構完成.

憑證管理從憑證頒發開始，這是創建和分發虛擬或物理憑證的過程，如電子護照、網絡身份證、身份二維碼、網絡身份APP以及唯一的網絡身份標識.

憑證管理的日常工作是憑證維護(檢索、更新和刪除)和撤銷(刪除分配給憑證的權限).應制定與網絡身份相關的法律法規和標準規范，以指導和支持憑證頒發機構提升網絡身份憑證的互操作性和互通互認.

憑證發行與管理階段的核心問題是在不同的可信身份級別水平上如何為申請人提供既安全方便又成本合理的認證憑證，認證憑證應包括安全、不易破解、攜帶使用簡便等特性.

9.3 身份認證

身份認證是根據已注冊的身份信息驗證身份聲明者的過程[7].這些身份信息可以是個人識別碼(PIN)、口令、密鑰、數字證書、指紋、聲紋或面部圖像等生物特征數據，也可以是這些信息的組合.這一階段的挑戰包括：如何縮短響應處理時間；提高身份認證匹配的準確性；確保申請人的無縫體驗；減輕網絡連接負載；打擊身份欺詐行為以及找到價格合理的硬件和軟件解決方案.

在網絡空間中，網絡可信身份可與網民的個人真實身份一一對應.在國家相關法律法規和標準規范要求指導下，國家授權管理機構、認證服務機構、應用服務機構等均可依法依規通過網絡可信身份憑證認證用戶身份，收集和管理用戶行為信息，協助打擊網絡犯罪，維護網絡秩序.

身份認證階段的核心問題是如何打破網絡身份碎片化的局面，實現不同網絡身份間的互認互通，實現統一認證、一網通辦，降低網絡身份認證的經濟社會成本.

9.4 身份管理與維護

身份管理與維護是檢索、更新和刪除身份屬性或數據字段，控制訪問身份信息和身份服務的持續過程.

身份檢索涉及獲取用戶的身份屬性，應使用安全策略來強制執行訪問權限，對身份操作進行審核以確保只有經過授權的用戶才能訪問、更改或刪除身份信息.

網絡可信身份體系建立后，用戶身份信息僅保存在國家授權或認可機構建立的網絡身份數據庫中.國家授權或認可機構將依法予以保護，防止非法訪問和惡意攻擊.

應用系統原則上不再收集、存儲網民身份信息，身份認證交由第三方認證服務機構完成.應用系統可以直接使用國家授權認可的第三方認證機構提供的身份認證服務.應用系統要獲取用戶身份信息需向國家授權機構申請或備案.應用系統獲取用戶身份信息需用戶知情、同意.根據應用場景的不同要求，用戶使用不同等級的可信身份憑證登錄應用.

身份管理與維護階段的核心問題是如何動態地維護身份證明及認證的可信水平，并保護用戶身份隱私數據安全，使其始終保持在一定的可信級別上.

10 相關建議

為推動我國數字經濟的健康快速發展，提升國家網絡空間治理能力和國家網絡空間治理體系現代化水平，保障網絡空間安全,建議國家相關部門組織開展對國際國內網絡身份管理體系建設應用的現狀進行調研，分析我國網絡身份管理中存在的關鍵問題.建議開展以下5個方面的研究：

1) 開展網絡身份立法的必要性和可行性研究.盡快研究并提出網絡可信身份管理辦法或者管理條例，加強網絡可信身份監管，明確網絡可信身份各方責任，統一網絡可信身份保證水平標準，明確網絡可信身份證明、身份驗證器、聯合身份驗證等保證級別規范性要求和操作程序，把推動網絡可信身份互認、加強不同網絡可信身份管理系統互操作性列為法律要求.

2) 研究并提出網絡身份可信體系建設頂層設計框架，梳理完善網絡身份相關標準規范的重點工作任務.

3) 盡快開展立項建設國家網絡可信身份基礎設施的可行性研究.早日推動國家網絡可信身份基礎設施和國家網絡可信身份互聯互通基礎設施建設，向社會提供權威可信的網絡可信身份認證公共服務.

4) 通過設立國家網絡可信身份投資基金等形式，積極引導社會各界積極參與網絡可信身份新技術研究，推動網絡可信身份服務在商業模式和技術上的創新，營造網絡可信身份生態健康發展環境，增加網絡可信身份公共服務供給.

5) 在數字經濟、數字政府、電子商務、網絡社交等領域開展網絡可信身份應用創新試點示范，在此基礎上提出網絡可信身份建設指引和最佳實踐指南等.