漫談網(wǎng)絡(luò)身份的安全

網(wǎng)絡(luò)已日漸成為我們?nèi)粘Ｉ畹幕驹?，而網(wǎng)絡(luò)空間中用戶身份的確認(rèn)已成為大多數(shù)互聯(lián)網(wǎng)業(yè)務(wù)的前提。因此，網(wǎng)絡(luò)身份的安全日益受到普遍關(guān)注,美國、歐盟及其成員國、俄羅斯等都已從戰(zhàn)略計(jì)劃、技術(shù)研發(fā)、標(biāo)準(zhǔn)制定、法律法規(guī)等方面大力推進(jìn)網(wǎng)絡(luò)身份管理工作，從國家頂層設(shè)計(jì)層面保障公民網(wǎng)絡(luò)身份安全。

2012年12月28日，全國人大常委會(huì)通過了的《全國人民代表大會(huì)常務(wù)委員會(huì)關(guān)于加強(qiáng)網(wǎng)絡(luò)信息保護(hù)的決定》，特別強(qiáng)調(diào)了網(wǎng)絡(luò)信息發(fā)布的實(shí)名要求和網(wǎng)絡(luò)用戶的隱私保護(hù)。但是，現(xiàn)在公民上網(wǎng)申請互聯(lián)網(wǎng)服務(wù)機(jī)構(gòu)的應(yīng)用服務(wù)時(shí)，在注冊環(huán)節(jié)往往需要向互聯(lián)網(wǎng)服務(wù)機(jī)構(gòu)的后臺(tái)提供本人的身份信息，有的互聯(lián)網(wǎng)服務(wù)機(jī)構(gòu)還要求用戶通過手機(jī)短信等方式進(jìn)一步認(rèn)證，其結(jié)果是用“網(wǎng)絡(luò)真名”代替了“網(wǎng)絡(luò)實(shí)名”。

公民在使用真實(shí)身份完成注冊后將面臨多種安全威脅，最突出的就是身份信息和個(gè)人隱私信息的泄漏，被泄露的原因有多種，一是互聯(lián)網(wǎng)服務(wù)機(jī)構(gòu)自身的安全防護(hù)能力不夠，被黑客攻入而使后臺(tái)數(shù)據(jù)遭竊；二是互聯(lián)網(wǎng)服務(wù)機(jī)構(gòu)內(nèi)部疏于管理，內(nèi)部人員盜賣信息。造成的后果包括賬號(hào)被盜竊后的個(gè)人數(shù)字財(cái)富損失、身份假冒后的犯罪行為以及相關(guān)的各種詐騙活動(dòng)。其中，電信詐騙案件的泛濫同個(gè)人身份信息和隱私信息泄露案件密不可分，我們注意到十幾年前，陌生電話往往只是推銷，而現(xiàn)在的陌生電話往往是犯罪分子掌握了個(gè)人身份和隱私信息而對被害人實(shí)施的精準(zhǔn)詐騙。電信和網(wǎng)絡(luò)詐騙2011～2013年每年呈70%的復(fù)合增長，公安部有關(guān)部門攔截和360互聯(lián)網(wǎng)安全中心統(tǒng)計(jì)被標(biāo)記的詐騙電話每年上億次。據(jù)統(tǒng)計(jì)，我國的互聯(lián)網(wǎng)應(yīng)用有6.5億網(wǎng)民和355萬個(gè)在冊的服務(wù)網(wǎng)站，身份盜用和網(wǎng)絡(luò)欺詐每年造成的相關(guān)損失高達(dá)數(shù)千億元。

正是由于目前我國網(wǎng)絡(luò)身份認(rèn)證普遍基于個(gè)人身份信息比對和手機(jī)認(rèn)證這些方式的缺陷，使得盜竊和倒賣個(gè)人身份信息、身份證證件照片等案件屢禁不止，甚至還有經(jīng)營買賣第二代身份證的非法網(wǎng)站?？梢灶A(yù)言只要基于身份信息比對建立網(wǎng)絡(luò)信任的方法不改變，倒賣身份信息的案件將長期存在。

目前，關(guān)于網(wǎng)絡(luò)遠(yuǎn)程身份識(shí)別的大規(guī)模應(yīng)用還有一個(gè)認(rèn)識(shí)誤區(qū)就是非?；鸨纳锾卣髯R(shí)別，包括照片、影像和指紋遠(yuǎn)程識(shí)別等技術(shù)。我們必須認(rèn)識(shí)到，生物識(shí)別技術(shù)如果用于網(wǎng)絡(luò)遠(yuǎn)程身份識(shí)別的大規(guī)模應(yīng)用場景，那就不僅僅是生物識(shí)別技術(shù)本身的識(shí)別率有多高，而是要面對網(wǎng)絡(luò)遠(yuǎn)程識(shí)別端環(huán)境的不可控問題，存在著公民強(qiáng)生物特征（如指紋特征信息等）被竊取的重大隱患。并且，一旦公民生物特征被竊取，網(wǎng)絡(luò)身份的偽造、盜用將更加泛濫。因此，生物識(shí)別技術(shù)至多只能作為網(wǎng)絡(luò)遠(yuǎn)程身份識(shí)別的輔助手段。國際上生物特征識(shí)別技術(shù)在網(wǎng)絡(luò)大規(guī)模的應(yīng)用實(shí)踐中，只是在終端設(shè)備上取代傳統(tǒng)的密碼輸入，最常見的如蘋果手機(jī)的TouchID指紋開機(jī)，蘋果聲稱指紋特征信息只存在手機(jī)的安全芯片里、技術(shù)安全上保證不出手機(jī)本身的。

安全的網(wǎng)絡(luò)身份和賬號(hào)控制必須基于密碼設(shè)備，例如我國銀行業(yè)普遍使用的、基于非對稱密碼技術(shù)的U盾或者動(dòng)態(tài)令牌。當(dāng)然，銀行的設(shè)備僅限于自身電子銀行的網(wǎng)絡(luò)應(yīng)用，因此，對于整個(gè)社會(huì)的網(wǎng)絡(luò)應(yīng)用，應(yīng)當(dāng)由國家來統(tǒng)一推動(dòng)網(wǎng)絡(luò)身份識(shí)別公共安全基礎(chǔ)設(shè)施的建設(shè)。

“十二五”期間，在國家科技部、發(fā)改委、公安部、工信部、國家互聯(lián)網(wǎng)信息辦公室等部委的大力支持，公安部第三研究所牽頭了所有網(wǎng)絡(luò)身份管理相關(guān)的國家級(jí)重大科研項(xiàng)目，聯(lián)合多家單位制定了相應(yīng)的國家和行業(yè)標(biāo)準(zhǔn)體系，我所承建的“公安部公民網(wǎng)絡(luò)身份識(shí)別系統(tǒng)”經(jīng)過國家密碼管理局的安全審查并投入運(yùn)營。我們研發(fā)的eID是以密碼技術(shù)為基礎(chǔ)，以智能安全芯片為載體，使得上網(wǎng)公民能夠在不泄露身份信息的前提下，在互聯(lián)網(wǎng)上遠(yuǎn)程證明自己的身份并控制賬號(hào)。同時(shí)，eID的技術(shù)規(guī)范還要求接入eID應(yīng)用的互聯(lián)網(wǎng)服務(wù)機(jī)構(gòu)后臺(tái)不能直接存儲(chǔ)用戶的身份信息和手機(jī)號(hào)等，只能直接存儲(chǔ)用戶對應(yīng)的編碼，最大程度地保護(hù)用戶的身份信息和隱私信息從而徹底堵住個(gè)人身份和隱私信息泄露的源頭。

在eID發(fā)行、服務(wù)和應(yīng)用、以及產(chǎn)業(yè)環(huán)境建設(shè)方面，公安部第三研究所以“開放”和“有序”為原則，充分調(diào)動(dòng)和集聚社會(huì)各方的資源來參與eID生態(tài)圈的建設(shè)。在發(fā)行方面，我們與幾家商業(yè)銀行簽訂了合作協(xié)議，利用金融IC卡（即安全密碼設(shè)備）、銀行柜面的渠道資源以及面簽程序發(fā)行加載eID的金融IC卡，其中，工商銀行作為首家eID登記發(fā)行機(jī)構(gòu)已經(jīng)在全國發(fā)行了1600萬張eID金融IC卡，達(dá)到了每天近10萬張的發(fā)行速度；在服務(wù)和應(yīng)用方面，金聯(lián)匯通作為首家eID網(wǎng)絡(luò)身份服務(wù)提供機(jī)構(gòu)，已經(jīng)同奇虎360、信達(dá)證券等合作分別開發(fā)了嵌入“360生活助手”的保護(hù)身份信息的身份識(shí)別和eID貼卡支付、以及證券遠(yuǎn)程開戶手機(jī)應(yīng)用產(chǎn)品等將陸續(xù)上線發(fā)布；在產(chǎn)業(yè)環(huán)境建設(shè)方面，天喻、華虹、華大、大唐、東信和平、復(fù)旦微電子、恒寶、中鈔等IC卡商以及德卡信息、動(dòng)聯(lián)、支付通等機(jī)具商按照eID硬件相關(guān)安全規(guī)范的要求展開了廣泛的合作。

目前，eID的發(fā)行和應(yīng)用試點(diǎn)受到了媒體、互聯(lián)網(wǎng)企業(yè)、金融業(yè)、政府有關(guān)部門和法律界的廣泛關(guān)注。接下來，我們將加快eID生態(tài)圈的建設(shè)，一是要加大eID的發(fā)行力度，同時(shí)要接入更多的應(yīng)用；二是要同媒體的深度合作加強(qiáng)輿論的引導(dǎo)和宣傳；三是要推動(dòng)國家出臺(tái)對eID相應(yīng)的政策支持和投入，最終推動(dòng)eID網(wǎng)絡(luò)身份識(shí)別公共安全基礎(chǔ)設(shè)施的建設(shè)上升到國家戰(zhàn)略。(公安部第三研究所胡傳平)