可信身份認證平臺的構建

吳國英 楊 林 邱旭華

(公安部第一研究所 北京 100048)

(wuguoying@anicert.cn)

隨著大數據、人工智能、區塊鏈等新型信息技術和互聯網的迅猛發展，數字技術全面融入社會生產生活，驅動生產生活方式和社會治理方式發生深刻變革[1].黨的十八大以來，以習近平同志為核心的黨中央高度重視網絡安全和信息化工作，對網絡強國戰略、數字中國、平安中國建設等作出一系列決策部署.《國民經濟和社會發展第十四個五年規劃和2035年遠景目標綱要》提出要加快數字化發展，發展數字經濟，加強數字社會、數字政府建設，提升公共服務、社會治理等數字化和智能化水平[2]，并要求把安全發展貫穿國家發展各領域和全過程，筑牢國家安全屏障，為我國數字化社會發展指明了前進方向，明確了發展路徑.

面對數字化社會治理新要求和日益嚴峻的網絡空間安全問題，建立完善網絡可信身份管理與服務體系，對保障經濟持續健康發展和社會和諧穩定起到不可或缺的支撐作用.2021年11月1日，《中華人民共和國個人信息保護法》(簡稱《個人信息保護法》)正式實施，對保護個人信息權益、規范個人信息處理活動、促進個人信息合理利用作出了明確規定，對推進網絡身份認證公共服務建設提出了明確要求[3].

1 挑戰與現狀

1.1 數字化社會對身份管理提出了新挑戰

在數字化社會中，數字技術廣泛應用，人與人、人與物、物與物之間廣泛連接，各項社會活動、各類社會關系均以數字化形式存在和記錄，數據成為驅動經濟增長、促進社會治理的核心生產要素，同時也為達成個人信息利用與保護的最大公約數提出了挑戰[4].構成社會關系的各方主體以網絡化、泛在化的形式連接和互動，形成了人類社會、物理世界和網絡空間的三元架構，并有以下特征：

1) 全域連接和全時在線.人和物都成為網絡的連接點，相互之間廣泛連接和貫通.人們可以隨時隨地登錄網絡空間，人人在線、時時在線.與此同時，網絡空間更加開放，面臨網絡攻擊行為隱蔽、安全威脅影響面大等新挑戰，安全防范逐步從邊界隔離向基于可信身份認證的“零信任”安全架構發展.

2) 行為自主和高效協作.人作為社會活動行為主體，有了更大的自主和選擇權，各類社會行為具有高度自主性.為了實現更加泛在的連接和更加高效的交互，人們對網絡空間身份可信以及信任傳遞的需求日益迫切.

3) 數據成為關鍵生產要素.各類社會主體及其行為以數據的形式記錄和標記，產生的海量數據成為驅動經濟增長的核心生產要素，促進了規模經濟、平臺經濟、共享經濟的發展.但是，數據資產確權、數據隱私保護和數據安全防護等方面面臨新的問題和挑戰.

4) 人工智能逐步改變傳統生產生活方式.人工智能技術可拓展人類智力，降低勞動強度，但也會產生數據污染和“深度偽造”問題，帶來虛假身份欺騙等網絡安全挑戰[5].

1.2 網絡空間身份管理的現狀

互聯網特有的匿名屬性，客觀上為不法分子利用網絡實施各類違法犯罪活動提供了便利條件，造成網上違法有害信息肆意傳播，網絡暴力、網絡詐騙、網絡賭博、惡意炒作、虛假營銷等違法犯罪案件頻發.同時，由于缺少網絡空間身份與現實真實身份的對應關系，加大了公安機關打擊難度.

自2002年起，我國陸續出臺了《中華人民共和國網絡安全法》(簡稱《網絡安全法》)等多部法律法規，在互聯網接入、域名注冊等環節，實行網絡實名管理制度[6].網絡實名管理對規范網絡環境、維護網絡秩序、減少網絡犯罪具有積極作用，但仍沿用了線下社會的身份管理方式，主要依靠采集、核驗、留存公民身份號碼、手機號和生物特征等個人信息.多年的實踐證明，使用姓名、公民身份號碼等個人信息代表公民網絡身份，造成了大量的個人信息泄露和黑色產業鏈[7].與線下社會身份認證方式不同的是在線上填寫姓名、公民身份號碼等方式容易產生實名不實人、冒用身份等問題，也難以證明是出自本人意愿. 線上身份冒用以及電信和網絡精準詐騙等諸多案件證明，僅僅依靠個人信息進行網絡可信身份建設會帶來諸多安全風險.

1.3 基礎身份管理及認證服務的現狀

新中國成立70多年來，在開展社會治理和公共服務工作中，國家陸續頒布實施了《戶口登記條例》《中華人民共和國居民身份證法》等法律法規，建立了具有中國特色的法定身份證件管理制度體系.戶口登記和公民身份號碼制度的建立，實現了對全國戶籍人口登記管理，為每個公民賦予了唯一的、終身不變的身份代碼.居民身份證制度的實施，已經為13.1億中國公民制發了身份證件，使其成為應用最廣、使用頻度最高的基礎身份證件.

為適應信息化社會發展要求，公安機關大力推進戶籍、居民身份證、出入境管理等基礎身份信息管理系統建設，建立了覆蓋全國戶籍人口、出入境證件等國家級基礎身份信息數據庫，為各行各業提供身份信息核驗和共享服務.

從我國數字經濟發展和社會治理的需要看，當前基礎身份認證服務仍存在諸多不適應，主要表現在：1)提供基礎身份認證服務部門未統一歸口，基礎身份數據來源多頭，無法保證身份數據一致性，給群眾帶來不便；2)基礎身份數據未統一匯聚治理，無法保證數據完整性；3)部分身份認證采用姓名、公民身份號碼等信息進行驗證，造成個人信息過度采集、留存，泄露風險較大，對公民的隱私保護構成威脅；4)以信息驗證為主的身份認證方式易被他人冒用身份，無法保證實人實證.

2 可信身份管理與服務模型

2.1 可信身份管理模型

在現實社會和數字化社會中，人是牽引其他要素流通和應用的關鍵核心，將海量無序數據組織成可供決策、生產的知識與信息.網絡身份是在網絡空間中識別特定主體的數字化標志，是網絡身份認證的要素，也是確定身份特征的依據，是現實社會自然人身份在網絡空間的映射.基于當前我國數字化社會發展現狀，網絡身份表現為網絡虛擬身份、網絡實名身份、可信匿名身份3種形態.其中可信匿名身份是符合《個人信息保護法》要求，更加適合我國社會數字化發展要求的網絡身份形態，需要由國家權威機構提供認證服務以確認其身份的真實有效性.可信身份作為權威的身份信任“根”，通過可信身份認證服務，建立人要素與其他要素間信任連接，解決隱私保護和數據開放的矛盾，破除數據流通壁壘.通過可信身份服務，促成數字身份成為可信身份、網上活動成為可知活動、數據資源通過確權成為數據資產.

綜上，本文提出我國可信身份管理模型.該模型由網絡用戶、網絡應用服務商、簽發服務、認證服務和網絡身份管理5個關鍵要素構成，如圖1所示：

圖1 可信身份管理模型

在可信身份管理模型中，簽發服務為網絡用戶簽發直接或間接綁定法定身份的網絡身份憑證，并將簽發相關數據共享給身份認證服務方.網絡用戶在進行身份證明時，向業務提供方授權出示網絡身份憑證，業務提供方將網絡用戶出示的網絡身份憑證提交身份認證服務方進行身份認證，認證通過，身份認證服務給業務提供方返回認證憑據[8-9].

2.2 可信身份服務模型

根據可信身份管理模型構建可信身份服務模型，如圖2所示.

圖2 可信身份服務模型

可信身份認證平臺向網絡用戶提供可信身份簽發服務，簽發網絡身份憑證；向網絡應用服務商提供網絡身份憑證認證服務，反饋身份認證結果和網絡身份認證憑據.

網絡身份憑證是以法定身份證件為信任根，經過匿名化處理形成可信匿名身份信息,結合國家標準密碼算法進行脫敏、去標識化等處理，為自然人頒發唯一、權威、可信的可存儲在個人智能終端的數字身份憑證，不含個人明文信息，能夠以數據文件或二維碼等形態被網絡應用調取，用以證明個人真實身份.

網絡身份認證憑據是認證完成后的結果憑據，包括網絡身份應用標識、認證時間、認證類型等信息，網絡身份認證服務使用者可留存，用于身份認證服務溯源查證.網絡身份應用標識是在網絡應用中關聯自然人身份的標識，由可信身份認證平臺生成存儲在網絡應用服務端.為防止網絡應用實現大規模、跨網絡應用的身份串聯聚合，同一自然人在不同網絡應用中的網絡身份應用標識互不相同，在同一網絡應用中的網絡身份應用標識保持不變.

個人身份明文信息只在政府部門安全域存儲，用戶個人信息與互聯網中的網絡身份應用標識形成對應關系，實現“實名管理，匿名使用”模式.有效實現個人隱私數據保護，防范公民個人信息泄露，保障國家數據安全，創新社會治理，帶動國家網絡可信身份生態體系建立.

3 可信身份認證平臺

3.1 總體架構

基于“平臺+應用”的模式，采用“四層三縱”結構進行搭建，總體架構如圖3所示.

圖3 可信身份認證總體架構

基礎環境： 采用云計算技術搭建云平臺服務，形成包括存儲資源、計算資源、網絡資源等云平臺資源，為系統提供易擴展的存儲資源以及計算能力，同時云平臺具備結構化和非結構化數據的處理能力.

信息資源：是系統整體服務的數據資源及支撐.通過對數據的匯聚、處理、治理、組織、服務等流程設計，有效地完成數據資源整合.信息資源包括身份原始信息、身份脫敏信息、身份認證信息、業務資源信息、日志及數據分析信息等，為網絡可信身份管理提供統一、權威的數據資源.

應用系統：通過建設統一入口平臺、真實身份核驗平臺、網絡身份簽發平臺、網絡身份認證平臺、網絡身份管理系統等，基于法定身份證件信息和基礎人口信息資源，實現用戶真實身份核驗、網絡身份憑證簽發、網絡身份認證等服務功能，建立網絡空間身份管理可信體系.

終端系統：建設為網絡用戶提供網絡身份憑證申領和管理的網絡身份認證客戶端，為網絡應用服務商提供對接可信身份認證平臺的網絡身份認證SDK.

安全防護保障：為保障整體系統的安全，構建縱深防御、分級分類、集中監測、自主可控的安全防護體系.從數據安全、應用安全、云平臺安全等方面建設全面滿足《網絡安全法》、網絡安全等級保護、關鍵信息基礎設施等國家法律和制度要求的安全保障體系.落實國家網絡安全等級保護制度，基于自主可控的密碼技術，實現云平臺、網絡、數據與應用安全體系全覆蓋，有效保護數據資產和設施平臺的安全.

運維監控保障：構建集中統一、實時監控、呈現可視、精細智能、人員合理的運維監控體系.建立統一的運維監控管理平臺，對各個中心的基礎設施、云平臺、網絡、數據、應用、安全的運行狀態實現集中可視、集中監控、集中告警、集中分析的自動化、智能化、標準化運維管理.

制度標準保障：構建信息共享、業務協同、互聯互通、安全保密、科學完備的制度標準規范體系，形成網絡空間可信身份認證標準規范體系，服務于網絡身份管理及身份認證服務，統籌制定基礎標準、業務標準、數據標準、安全標準、設備標準和管理標準.

3.2 軟件架構

以法定身份證件信息為基礎，通過網絡身份認證客戶端、統一入口平臺、真實身份核驗平臺和網絡身份簽發平臺，向網絡用戶簽發網絡身份憑證.基于網絡身份憑證，通過統一入口平臺和網絡身份認證平臺，向互聯網應用系統和政務應用系統提供可信身份認證服務[10].軟件架構如圖4所示.

圖4 可信身份認證軟件架構

3.3 硬件架構

采用多地多中心架構設計和云化部署，可對云設備和云軟件進行統一管理.提供標準的網絡、計算、存儲等資源調度能力，以及標準的平臺計算、數據存儲、數據傳輸交換、作業管理、服務資源管理、作業調度等服務.各中心均基于私有云全棧自主可控解決方案，底層采用全國產化服務器、GPU卡及操作系統，搭建云基礎設施，高度自主可控，實現“四多”能力，即多元算力、多云協同、多域容災和多級云管.

多元算力：一云多芯、一云多池，充分考慮現網情況，支持多CPU架構和多虛擬化形態平滑入云.

多云協同：為跨多地、多廠商的公有云提供統一入口，可快速構建混合云.

多域容災：實現多地域、全場景、系統自助容災解決方案，實現核心業務無改造上云，降低全面云化的成本，保證業務永遠在線.

多級云管：支持最多5級管理架構，充分適配多級組織架構管理要求.

3.4 安全架構

1) 構建“一個安全管理中心、三重防護”的智能可信安全防護架構.

通過建設集中的安全管理中心實現全流程數據智能安全分析、智能安全管理、智能閉環處置，構建平臺整體智慧安全管控的“大腦”.通過可信計算、國產密碼應用技術、APT高級威脅防護、主動防御、網絡安全防護技術和手段構建通信網絡、區域邊界、計算環境的三重安全防護，保護平臺整體安全.從物理環境、主機、網絡、云平臺、應用、數據安全維度進行安全設計，并將三重安全防護納入到安全管理中心進行監控、分析、策略閉環處置，形成縱深閉環防御體系.

2) 構建全流程保障的安全服務支撐體系.

通過建設安全服務支撐體系構建基于策略、檢測、防護和響應的安全模型，以安全事件發生前后為分界線，按照“事前有檢測、事中有防護、事后有響應”的安全服務策略，提供事前評估/加固、培訓/演練、情報預警、上線合規監測、檢測，事中監測/展示分析、防護、運維及分析，事后有安全事件響應和處置的安全服務.

3) 依法依規，制定完善的安全標準與制度.

遵照國家安全等級保護條例和《網絡安全法》等法律和規范，建設以技術類、管理制度類、安全監測類的安全標準和制度，規范平臺建設和運營過程中所涉及的安全技術要求、管理制度標準和安全監測數據采集和處理要求，實現完善的平臺安全制度標準.

4 典型應用場景

4.1 互聯網+政務服務

隨著互聯網+政務服務的深入推進，“只進一扇門”“最多跑一次” “不見面審批”等改革措施不斷涌現，對深化“放管服”改革、優化營商環境、便利企業和群眾辦事創業發揮了重要作用.在互聯網+政府服務應用中，身份認證是其中重要環節，而身份可信及政府部門各業務系統之間的信任傳遞、個人信息保護是重中之重.基于本文描述的可信身份認證公共服務平臺，用戶授權政務應用使用網絡身份認證客戶端進行認證，全鏈路全流程不需出現個人敏感身份信息數據，同時，因為是基于統一的可信身份認證功能公共服務平臺，可實現“一次認證、全網通辦”.

4.2 互聯網應用

隨著互聯網發展迅速，網絡活動越來越豐富，公民個人真實信息已經大量并廣泛存在于不同網絡活動中，如網絡社交、網上購物、即時通信等.大多數互聯網企業安全和隱私保護能力不足、安全意識薄弱、降低運營成本等原因，對用戶個人身份信息的保護不夠重視，造成大規模公民身份隱私信息泄露事件頻發多發，給犯罪分子留下可乘之機.基于本文描述的可信身份認證公共服務平臺，個人在進行實名登記時，通過授權使用網絡身份認證客戶端進行身份認證，實現“前端匿名，后端實名”，不用把個人身份信息留存到互聯網應用服務商，同時也降低了互聯網應用服務商在個人身份信息保護方面的投入.

5 結束語

以國家法定證件為信任根簽發網絡可信身份，搭建可信身份認證平臺，是數字化社會可信身份管理的必然要求，可帶動我國網上網下一體化身份管理的生態發展，形成網絡空間治理亟需的統一可信身份認證公共服務能力.同時，落實公民身份信息保護，助力國家誠信體系建設和社會治理現代化.