FOCUS
國(guó)家密碼管理局何良生談《密碼是構(gòu)建網(wǎng)絡(luò)信任體系的基石》
國(guó)家密碼管理局副局長(zhǎng)何良生在“2021信任互聯(lián)大會(huì)”上發(fā)表題為《密碼是構(gòu)建網(wǎng)絡(luò)信任體系的基石》的演講。
第一，網(wǎng)絡(luò)信任技術(shù)的基礎(chǔ)支撐是密碼技術(shù)。
網(wǎng)絡(luò)信任的核心要素是要解決各類網(wǎng)絡(luò)主體的身份真實(shí)性、網(wǎng)絡(luò)行為的可信性、網(wǎng)絡(luò)信息內(nèi)容的完整性機(jī)密性等問(wèn)題，當(dāng)前解決這些問(wèn)題的技術(shù)手段有很多種，但是最為安全、最為有效、最為經(jīng)濟(jì)、最為可靠的手段還是基于現(xiàn)代密碼技術(shù)的數(shù)字認(rèn)證技術(shù)手段，這既是由網(wǎng)絡(luò)信任的內(nèi)在安全要求所決定，也是由密碼技術(shù)與生俱來(lái)的基本安全屬性所決定的，因此，最早在《關(guān)于網(wǎng)絡(luò)信任體系建設(shè)的若干意見(jiàn)》中就明確提出網(wǎng)絡(luò)信任體系是指以密碼技術(shù)為基礎(chǔ)，解決網(wǎng)絡(luò)應(yīng)用中的身份認(rèn)證、授權(quán)管理和責(zé)任認(rèn)定問(wèn)題的完整體系?，F(xiàn)代密碼技術(shù)能夠很好地為網(wǎng)絡(luò)信任體系提供加密和認(rèn)證機(jī)制支持，當(dāng)前用的最多的是基于PKI體系的數(shù)字證書認(rèn)證技術(shù)。數(shù)字證書認(rèn)證技術(shù)的核心是公鑰密碼技術(shù)，按照公鑰密碼基礎(chǔ)設(shè)施（PKI）的技術(shù)架構(gòu)，可以通過(guò)為私鑰持有者簽發(fā)公鑰密碼數(shù)字證書來(lái)鑒別網(wǎng)絡(luò)實(shí)體的身份，進(jìn)而實(shí)現(xiàn)身份、數(shù)據(jù)、行為的可信。目前國(guó)內(nèi)外科研機(jī)構(gòu)和產(chǎn)業(yè)界提出的大量身份管理解決方案及標(biāo)準(zhǔn)基本都是基于公鑰密碼技術(shù)構(gòu)建的，而且其作為身份認(rèn)證的核心憑據(jù)（Token）也都是基于公鑰密碼的數(shù)字簽名技術(shù)。
第二，網(wǎng)絡(luò)信任管理的基礎(chǔ)支撐是密碼管理。
網(wǎng)絡(luò)信任管理是確保網(wǎng)絡(luò)信任體系得以構(gòu)建并持續(xù)運(yùn)行、保障網(wǎng)絡(luò)信任服務(wù)能夠有效發(fā)揮作用的關(guān)鍵要素，最主要的就是確認(rèn)網(wǎng)絡(luò)信任技術(shù)、服務(wù)的法定性、權(quán)威性，確保網(wǎng)絡(luò)信任服務(wù)、功能的合規(guī)性、有效性，可以用于指導(dǎo)信任服務(wù)提供者開展合格的信任服務(wù)。主要目的是針對(duì)合格信任服務(wù)提供者和合格信任服務(wù)進(jìn)行事前、事中、事后的監(jiān)管。主要任務(wù)是負(fù)責(zé)網(wǎng)絡(luò)信任體系的構(gòu)建，網(wǎng)絡(luò)信任服務(wù)政策和策略的制定、實(shí)施和監(jiān)督，確保信任服務(wù)策略制定的科學(xué)性、有效性、適應(yīng)性，信任服務(wù)策略實(shí)施的合理性、針對(duì)性、可行性，并對(duì)服務(wù)策略目標(biāo)的達(dá)成效果進(jìn)行檢測(cè)評(píng)估，與時(shí)俱進(jìn)的提出優(yōu)化完善網(wǎng)絡(luò)信任技術(shù)和服務(wù)的對(duì)策與舉措。網(wǎng)絡(luò)信任管理主要依據(jù)與網(wǎng)絡(luò)安全相關(guān)的法律法規(guī)、技術(shù)標(biāo)準(zhǔn)和網(wǎng)絡(luò)信任基礎(chǔ)設(shè)施來(lái)達(dá)成。在我國(guó)，網(wǎng)絡(luò)信任管理的核心依托和載體就是密碼管理，也可以說(shuō)密碼管理是網(wǎng)絡(luò)信任管理的基礎(chǔ)支撐，這主要體現(xiàn)在以下三個(gè)方面：
一是我國(guó)與網(wǎng)絡(luò)安全相關(guān)的法律法規(guī)明確了電子認(rèn)證在網(wǎng)絡(luò)信任體系建構(gòu)中的法律地位，確保了網(wǎng)絡(luò)信任體系的正確性，特別是以密碼認(rèn)證技術(shù)作為信任技術(shù)的核心，實(shí)現(xiàn)實(shí)體身份可信、信息來(lái)源可信、數(shù)據(jù)完整可信、網(wǎng)絡(luò)行為可信的網(wǎng)絡(luò)信任要求，已得到深入廣泛的應(yīng)用及立法的普遍認(rèn)可。2005 年頒布實(shí)施的《電子簽名法》第十四條規(guī)定，可靠的電子簽名與手寫簽名或者蓋章具有同等的法律效力，確立了電子簽名的法律效力。2009年工信部頒布《電子認(rèn)證服務(wù)管理辦法》明確，電子認(rèn)證服務(wù)是指為電子簽名相關(guān)各方提供真實(shí)性、可靠性驗(yàn)證的活動(dòng)，國(guó)家密碼管理局發(fā)布《電子認(rèn)證服務(wù)密碼管理辦法》和《電子政務(wù)電子認(rèn)證服務(wù)管理辦法》，對(duì)電子政務(wù)電子認(rèn)證服務(wù)機(jī)構(gòu)的設(shè)立、服務(wù)開展情況和電子認(rèn)證密碼有關(guān)事項(xiàng)進(jìn)行管理，有效推進(jìn)了網(wǎng)絡(luò)認(rèn)證體系的建設(shè)和管理。2017年施行的《網(wǎng)絡(luò)安全法》進(jìn)一步明確了網(wǎng)絡(luò)信任體系建設(shè)目標(biāo)，支持了電子認(rèn)證技術(shù)發(fā)展，第二十四條規(guī)定國(guó)家要實(shí)施網(wǎng)絡(luò)可信身份戰(zhàn)略，支持研究開發(fā)安全、方便的電子身份認(rèn)證技術(shù)，推動(dòng)不同電子身份認(rèn)證之間的互認(rèn)。2020年實(shí)施的《密碼法》第二十九條規(guī)定，國(guó)家密碼管理部門要對(duì)采用密碼技術(shù)從事電子政務(wù)電子認(rèn)證服務(wù)的機(jī)構(gòu)進(jìn)行認(rèn)定，會(huì)同有關(guān)部門負(fù)責(zé)政務(wù)活動(dòng)中使用電子簽名、數(shù)據(jù)電文的管理，明確了密碼之于電子認(rèn)證服務(wù)的法定性。
二是強(qiáng)化電子認(rèn)證服務(wù)中的密碼使用要求，確保網(wǎng)絡(luò)信任體系的合規(guī)性，特別是密碼作為電子認(rèn)證的核心，其在電子認(rèn)證中的應(yīng)用也在國(guó)家政策和專門立法中得到了確認(rèn)和規(guī)范。2014 年國(guó)辦印發(fā)的 《 金融領(lǐng)域密碼應(yīng)用指導(dǎo)意見(jiàn) 》 從密碼支撐金融網(wǎng)絡(luò)信任體系建設(shè)的角度明確要求要抓緊完成密鑰管理系統(tǒng)、第三方電子認(rèn)證基礎(chǔ)設(shè)施以及金融機(jī)構(gòu)自建電子認(rèn)證基礎(chǔ)設(shè)施的密碼升級(jí)工作。2015 年印發(fā)的 《關(guān)于加強(qiáng)重要領(lǐng)域密碼應(yīng)用的指導(dǎo)意見(jiàn)》 則進(jìn)一步指出，對(duì)面向社會(huì)服務(wù)的信息系統(tǒng)，應(yīng)當(dāng)加快推進(jìn)基于密碼的網(wǎng)絡(luò)信任、安全管理和運(yùn)行監(jiān)管體系建設(shè)，規(guī)范密碼在電子文件、電子證照、電子印章、身份認(rèn)證、電子簽名、數(shù)據(jù)存儲(chǔ)和傳輸?shù)确矫娴膽?yīng)用，實(shí)現(xiàn)面向社會(huì)服務(wù)的政務(wù)信息系統(tǒng)運(yùn)行的安全可靠，對(duì)各重要領(lǐng)域面向社會(huì)服務(wù)的網(wǎng)絡(luò)信任管理提出明確密碼應(yīng)用要求。2018年印發(fā)的《關(guān)于密碼應(yīng)用與創(chuàng)新發(fā)展的工作規(guī)劃》著重強(qiáng)調(diào)要充分發(fā)揮密碼在網(wǎng)絡(luò)信任體系構(gòu)建、網(wǎng)絡(luò)綜合治理中的支撐作用，構(gòu)建網(wǎng)絡(luò)實(shí)體鑒別、網(wǎng)絡(luò)身份管理、網(wǎng)絡(luò)域名、網(wǎng)絡(luò)合約、網(wǎng)絡(luò)行為分析、網(wǎng)絡(luò)違法取證及溯源等應(yīng)用的密碼支撐體系，要通過(guò)密碼管理和有效應(yīng)用牢固支撐網(wǎng)絡(luò)空間時(shí)代的社會(huì)治理。
三是加強(qiáng)電子認(rèn)證中的密碼檢測(cè)評(píng)估，確保網(wǎng)絡(luò)信任體系的有效性。按照 《 密碼法 》 關(guān)于加強(qiáng)事中事后監(jiān)管和密碼應(yīng)用安全性評(píng)估的要求，嚴(yán)格落實(shí)國(guó)家有關(guān)密碼管理規(guī)定，督促重要網(wǎng)絡(luò)信息系統(tǒng)建設(shè)者和運(yùn)營(yíng)者規(guī)范使用密碼，為網(wǎng)絡(luò)空間信任體系建設(shè)提供堅(jiān)實(shí)支撐。適應(yīng)新時(shí)代網(wǎng)絡(luò)空間的新變化以及對(duì)于全域安全、動(dòng)態(tài)安全、信任關(guān)系復(fù)雜多變的新情況，有針對(duì)性的開展了關(guān)于身份認(rèn)證系統(tǒng)、身份認(rèn)證基礎(chǔ)設(shè)施的密碼應(yīng)用安全性評(píng)估，確保密碼合規(guī)、正確、有效使用。加強(qiáng)網(wǎng)絡(luò)空間信任體系涉及到的密碼產(chǎn)品和密碼應(yīng)用的“雙隨機(jī)”檢查，確保密碼產(chǎn)品和密碼應(yīng)用符合要求，確保信任體系構(gòu)建科學(xué)、合理。通過(guò)對(duì)電子認(rèn)證中相關(guān)密碼基礎(chǔ)設(shè)施和各類密碼應(yīng)用的檢測(cè)評(píng)估，優(yōu)化完善電子認(rèn)證產(chǎn)品、電子認(rèn)證系統(tǒng)的密碼功能，提升電子認(rèn)證服務(wù)與密碼融合的產(chǎn)品、服務(wù)和支撐體系供給能力，打造網(wǎng)絡(luò)信任體系上下游產(chǎn)業(yè)鏈協(xié)同支持密碼的生態(tài)體系，積極構(gòu)建以密碼為引領(lǐng)的網(wǎng)絡(luò)信任體系創(chuàng)新鏈、價(jià)值鏈，服務(wù)網(wǎng)絡(luò)信任體系的持續(xù)性、穩(wěn)定性、有效性，讓每家單位、每位公民都能享受到安全可靠的信任服務(wù)，暢通網(wǎng)絡(luò)互聯(lián)。
第三，網(wǎng)絡(luò)信任服務(wù)的基礎(chǔ)支撐是密碼服務(wù)。
網(wǎng)絡(luò)信任服務(wù)的核心是為各類網(wǎng)絡(luò)信息系統(tǒng)提供身份認(rèn)證、權(quán)限管理、責(zé)任認(rèn)定等的服務(wù)，通過(guò)信任服務(wù)確保網(wǎng)絡(luò)身份可信，各種數(shù)據(jù)來(lái)源和內(nèi)容可信、各類網(wǎng)絡(luò)行為可信。而密碼服務(wù)是指基于密碼技術(shù)和產(chǎn)品，實(shí)現(xiàn)密碼應(yīng)用功能，提供密碼保障的行為，它是網(wǎng)絡(luò)信任服務(wù)的根本，從當(dāng)前和今后相當(dāng)長(zhǎng)的一段時(shí)期來(lái)看，只有依靠基于密碼數(shù)字證書服務(wù)的身份認(rèn)證、數(shù)字簽名與驗(yàn)證等服務(wù)，才能保證網(wǎng)絡(luò)主體身份的真實(shí)性，保證數(shù)據(jù)傳輸交互的真實(shí)性、完整性和抗抵賴，也只有實(shí)現(xiàn)了有效的身份鑒別認(rèn)證才能正確管理網(wǎng)絡(luò)用戶的授權(quán)行為，從而保障網(wǎng)絡(luò)用戶的行為可信，進(jìn)而明晰行為責(zé)任，厘清責(zé)任主體。
經(jīng)過(guò)近二十年的發(fā)展，我國(guó)基于密碼的電子認(rèn)證服務(wù)成效顯著，有力地促進(jìn)了電子認(rèn)證服務(wù)行業(yè)健康有序發(fā)展，截至目前，國(guó)內(nèi)已有取得電子認(rèn)證密碼使用許可證的電子認(rèn)證服務(wù)機(jī)構(gòu)57家，電子政務(wù)電子認(rèn)證服務(wù)機(jī)構(gòu)49家，已發(fā)布近20項(xiàng)國(guó)家電子認(rèn)證密碼服務(wù)相關(guān)標(biāo)準(zhǔn)，如SM3密碼雜湊算法、SM2橢圓曲線公鑰密碼算法等算法標(biāo)準(zhǔn)、數(shù)字證書認(rèn)證系統(tǒng)密碼協(xié)議規(guī)范、基于SM2密碼算法的數(shù)字證書格式規(guī)范、數(shù)字證書互操作檢測(cè)規(guī)范、基于數(shù)字證書的身份鑒別接口規(guī)范、基于SM2密碼算法的證書認(rèn)證系統(tǒng)密碼及其相關(guān)安全技術(shù)規(guī)范、證書認(rèn)證系統(tǒng)檢測(cè)規(guī)范、證書認(rèn)證密鑰管理系統(tǒng)檢測(cè)規(guī)范等，這些標(biāo)準(zhǔn)涵蓋了密碼算法、電子認(rèn)證基礎(chǔ)設(shè)施、證書應(yīng)用接口、認(rèn)證系統(tǒng)檢測(cè)等各個(gè)層面，有力指導(dǎo)了各電子認(rèn)證服務(wù)機(jī)構(gòu)開展認(rèn)證服務(wù)和密碼應(yīng)用。密碼數(shù)字證書應(yīng)用已經(jīng)涵蓋國(guó)民經(jīng)濟(jì)和社會(huì)管理的各個(gè)領(lǐng)域，在工商稅務(wù)、社會(huì)保障、質(zhì)量監(jiān)管、醫(yī)療衛(wèi)生、公共安全、海關(guān)商務(wù)、文化教育、交通通信、金融證券、電子支付等重要領(lǐng)域密碼數(shù)字證書應(yīng)用效果都非常明顯，在轉(zhuǎn)變政府職能、優(yōu)化便民惠民利民服務(wù)、保障組織和個(gè)人正當(dāng)權(quán)益等方面發(fā)揮了重要作用。