网络可信身份认证技术问题研究

2018-09-26宋宪荣张猛

网络空间安全 2018年3期

宋宪荣张猛

摘要：网络可信身份认证技术是信息安全的核心技术之一，其任务是识别、验证网络业务系统中用户身份的合法性和真实性以及线上身份和线下身份的一致性。首先明确了网络可信身份的内涵和分类。其次从网络可信身份技术应用中存在问题入手，对生物识别技术、数字证书技术、FIDO技术、大数据行为分析技术、区块链技术等主流和新兴的身份认证技术进行了梳理分析，并从抗抵赖性、安全性、易用性、成熟度、用户使用成本等五个维度对各类认证技术进行评价。最后给出身份认证技术的发展趋势和结论。

关键词：网络可信身份；身份认证技术；生物识别技术；FIDO；大数据分析；区块链

中图分类号：TP302 文献标识码：A

1 引言

当前公民的行为空间已经从线下的实体社会向线上的网络空间延伸，随着人们对网络空间的依赖度越来越高，网络空间中信息交流和互动越来越多，网络已经成为推动社会发展的重要工具，网络空间也已经成为继陆、海、空、天之后的“第五疆域”。但是，网络空间高速发展的同时也面临着网络主体身份难以确认，网络资源非授权访问等日益突出的网络安全问题。从国家治理角度看，国家对网络空间具有主权，对于网络主体行为状况应当有全面的感知，能够实现对网络身份的认证和网络行为的追溯，有利于构建现代化的国家治理体系。从经济社会发展角度看，网络信息技术在经济社会各领域的创新应用，加快了电子政务、电子商务等信息化服务普及，识别信息化服务对象的身份，建立网络可信身份，是老百姓享受各项信息服务的前提和基础，是数字经济发展的必然要求[1]。

网络可信身份认证技术（以下简称“身份认证技术”）是网络可信身份建设的技术基础和重要保障，其目的是为了解决“线上身份”和“线下身份”的统一。随着当前社会的快速发展，网络可信身份认证技术在应用过程中面临六大问题与挑战：一是网络可信身份内涵不清、技术研究与应用脱节问题；二是网络空间身份标识与公民法定身份在网络空间的映射与绑定安全问题；三是不同网络身份认证平台的互联互通互信问题；四是移动应用场景下的可信身份认证问题；五是与身份认证相关的个人隐私泄露问题；六是移动互联网、云计算环境下公钥密码证书的应用及安全问题。为了解决这些问题，各类新型身份认证技术不断涌现，推动网络可信身份服务不断发展。

2.相关技术问题研究

2.1网络可信身份的内涵与范畴

目前，学术界和产业界对网络身份认证的定义还是非常明确的：“身份认证是指在网络设施和信息系统中确认操作者真实身份的过程，从而确定该用户是否具有对某种资源的访问和使用权限。身份认证技术则是确认操作者真实身份过程中使用的方法或手段。”但必须明确，用户通过用户身份认证与用户身份可信没有绝对必然的关系。例如，用户B使用用户A的论坛账号密码登录，虽然用户B通过了身份认证，但用户B的身份是不可信的；再如，部分网上论坛服务使用的账号不与用户线下身份进行挂钩，这种身份也是不可信的。

针对“网络可信身份”，学术界和产业界尚无统一定义。本研究尝试给出如下定义：“网络身份的可信包含两层含义：一是通过网络身份凭证与现实个体法定身份信息的绑定，实现网络主体现实身份真实性认证和追溯；二是通过生物特征识别、大数据行为分析等技术，确保网络行为的主体就是拥有法定身份信息的现实个体。现实主体可以根据网络空间中不同业务类型、应用场景、安全要求具有多种不同的网络身份凭证，只有能通过网络身份凭证实现对网络主体现实身份真实性认证和追溯的网络身份才是网络可信身份，一般在电子政务等高安全等级业务中应用；在不需要身份追溯的應用中使用的网络身份不是网络可信身份，如一般网上信息的匿名浏览等。网络可信身份在签发、撤销、挂起、恢复、应用、服务和评价等全生命周期过程中其真实性可以得到有效的管理和控制，是国家进行网络空间治理的基础。”根据该定义，我们可以把用户身份划分为三大层级：法定信任基础级、第三方作证级和业务凭证级。

法定信任基础级又称法定网络身份或权威身份，该身份绑定国家赋予主体的法定真实身份，自然人可以用法定身份证件，如身份证、护照、社保卡等绑定。法定网络身份是网络空间主体身份的可信源点，其相关基础设施由国家建设和管理，长期稳定不变，其载体需要极高的安全保证，这种身份可以直接追溯到现实主体。

第三方作证级又称高可信网络身份或关联身份，该身份绑定政府部门或商业机构赋予用户的由法定身份衍生凭证。银行账号、数字证书、手机号码是由政府监管下的第三方商业机构签发，在申请过程中一般要求与使用主体的法定身份证件或权威证件关联，具备有效抵抗篡改、盗用、窃取等威胁的能力，由可靠的安全技术和严谨的管理流程保障，一般可以追溯到社会主体。该身份存续期较长，在存续期内，载体可以更换。

业务凭证级又称社交身份，社交身份绑定商业机构、社交场所赋予主体的网络属性。主体的网络属性可以是网站账号、电子邮箱、URI、信用值等。当网络属性关联到法定证件或法定证件衍生凭证时，这类可信身份可以追溯其社会主体；当无关联时，可以通过主体的网络行为和商业信誉证明其身份可信程度，不需要知道主体的真实身份，只需要知道主体能干什么。此类可信身份形式上更加多样，很好地满足网络社交和网络业务多样化需求。

三类身份中，法定信任基础级、第三方作证级和关联法定证件的业务凭证级是网络可信身份，其他的身份应用不属于网络可信身份。理清网络可信身份概念是发展可信身份认证技术的基础和关键，对研究不同应用场景下的身份认证技术具有重要意义。

2.2 网络空间身份标识与公民法定身份的映射与绑定

网络可信身份要求实现网络主体现实身份真实性认证和追溯，这就要求公民“线上身份”和“线下身份”进行绑定。在这方面，我国经历了两个阶段的探索。

第一阶段即“网络实名制”，实名制要求用户在办理某项业务时提供个人真实的身份信息，重点是留存资料备查。实名制推出后确实遏制住一部分网络暴力犯罪，但是留存用户实名资料的网络服务提供商安全防护能力千差万别，身份资料信息泄露情况较为严峻，如此前的社保信息泄露事件、12306信息泄露事件、京东信息泄漏事件等。韩国此前在忽视公民隐私保护的情况下，强推网络实名制以打击网络暴力犯罪，导致全国70%以上国民身份信息泄露，最后网络实名制以失败告终。

第二阶段是以技术手段实现身份的“前端匿名，后端实名”，公民身份信息不在互联网上传输。代表方案是公安部第一研究所于2013年提出的“基于二代身份证的网上身份证副本”技术。二代证网上副本是居民身份证在网络上的一种数字存在形式，依托于公安部的全国人口信息库和居民办理二代身份证时留下来的信息，将身份证登记项目（姓名、身份证号码、有效期限等）作为要素进行数字映射，并赋予唯一编号，生成一个终身唯一编号的身份证网上副本，使用过程中网络不传输二代证信息，只对DN号进行验证，防止个人信息泄露。由于该方案立足身份证现有条件及成熟技术，遵循身份证现有安全体制和管理规则，不在网络上传输身份证信息，应用前景较大。目前该方案仍在试点当中，缺乏“杀手级应用”，公民若在家使用还需要采购身份证读卡器和摄像头。此外该方案不支持社会上尚未完全退出流通的一代证。至于其他身份认证方案，如手机号实名认证、数字证书认证都是间接进行身份证号的绑定。

2.3 不同网络身份认证平台的互联互通互信

目前，公安、工商、税务、质检、人社、银行等部门的居民身份证、营业执照、组织机构代码证、社保卡、银行卡等基础可信身份资源数据库还未实现互通共享，且缺少护照、台胞证、驾驶证等有效证件的對比数据源，导致数据核查成本较高、效率低；现有的网络身份认证系统基本上由各部门、各行业自行规划建设，各系统各自为战，网络身份重复认证问题突出，并且“地方保护”“条块分割”现象严重，阻碍了网络可信身份服务的快速发展。

针对这种问题，目前主要有两种解决思路。第一种是建立第三方综合性的可信身份服务平台，由平台与公安、工商、电信运营商等权威认证源对接进行实名验证，为用户提供跨系统、跨平台的可信身份认证服务，平台作为可信第三方不存储用户信息，仅提供相关应用接口。第二种则由权威第三方直接建立相关身份数据库，并向其他应用依赖方提供登录授权服务。这种服务本质上是采用OpenID和OAuth结合的互联互通的身份服务和授权登录技术。用户在使用QQ或微信号登录第三方网站（如京东商城）的时候，腾讯使用OpenID技术，充当OpenID身份提供商，为用户提供身份认证服务。而当用户使用第三方应用需要使用在QQ或微信中的数据的时候，腾讯则在后台使用OAuth的体系架构，支持用户通过第三方应用上获取自身在QQ或微信上的信息。

两种方案各有优缺点，第一种方案建设周期快，但本质上并没有改变身份认证资源重复建设的问题；第二种方案的难点在于建立专门的可信第三方身份数据库。目前，公安部的人口数据库虽然信息最全，但由于安全保护原因，尚不能对公众和依赖方开放；而腾讯、阿里巴巴、新浪微博等基于自身用户群建立的数据库尚不是法律意义的可信数据库，只能满足用户的普通社交需求。随着国家对网络可信身份服务体系建设的日益重视，身份认证平台资源的互认互通互信将是一大趋势。

2.4 移动应用场景下的可信身份认证

伴随着智能手机的快速普及，移动应用场景已经成为当前最重要的应用场景之一。移动应用环境最大的特点是便利性。而安全和便利天然是一对矛盾体，因此移动应用场景下的进行安全可信的身份认证便成为一大难题。目前，可在移动应用场景下应用的身份认证技术研究进展有几项。

（1）生物识别技术

生物识别技术是指通过计算机与光学、声学、生物传感器和生物统计学原理等高科技手段密切结合，利用人体固有的生理特性（如指纹、面容、虹膜、掌纹、静脉纹等）和行为特征（如笔迹、声音、步态等）来进行个人身份的鉴定。生物特征按照身份认证技术三要素分类属于“持有什么特征”，其唯一性和终身稳定性成为天然的身份认证要素。

近10年来，随着传感器精度、CPU运算能力的不断提高和高精度生物识别数学模型的不断涌现，生物识别技术发展极其迅速，从早期的指纹、面容、虹膜、笔迹、步态识别扩展至DNA、红外脸温谱、耳形、颅骨、牙型等二十余种生物特征。在技术研究方面，当前研究热点已经由单一生物特征转向多生物特征融合。国际上，国际标准化组织（ISO）和国际电工委员会（IEC）已经联合公布了《信息技术-生物特征-多模态和其他多生物特征融合》（ISO/IECTR24722∶2007）标准，该标准不但包含了对多模态和多生物特征融合做法的描述和分析，它还研讨了需求、可能的路径和标准化来支持多生物特征识别系统，以提高其通用性和实用性。

国内，由清华大学丁晓青教授组研制的TH-ID系统多模式生物特征（人脸、笔迹、签字、虹膜）身份认证识别系统已通过教育部组织的专家鉴定。该系统能够实现在复杂背景下的图像和视频人脸自动检测、识别和认证，在人脸、笔迹、签字、虹膜的识别认证技术上取得了重要进展，在整体上达到了国际领先水平。

在商业应用推广方面，目前最为成熟的是指纹识别和面部设别。在指纹识别方面，北大高科等对指纹识别技术的研究开发国际先进水平，已推出多款产品；汉王科技公司在一对多指纹识别算法上取得重大进展，达到的性能指标中拒识率小于0.1%，误识率小于0.0001%，居国际先进水平。2014年苹果公司在iPhone5s上首次集成Touch ID指纹识别组件，扫描手指的真皮层指纹，目前已经升级为2.0版本，识别精度超过同类产品。在面部识别方面，2017年苹果公司在iPhoneX上首次集成商用化Face ID面部识别组件，搭载环境光传感器、距离感应器，还集成了TrueDepth红外镜头、泛光感应元件（Flood Camera）和点阵投影器，最后由A11处理器对用户面部形成的3万多个红外点进行超高精度三维建模。

在实际应用中，生物识别功能和FIDO技术结合较为紧密，主流千元级智能手机一般都搭载生物识别模块（指纹识别和摄像头），随着智能手机处理器运算能力和生物识别模块识别精度的进一步提高，生物识别技术的应用将更加广泛[1-4]。在安全风险方面，生物识别技术被攻破的概率较传统的静态口令低，但值得注意的是需要防范“指模”“脸模”和“照片”攻击，目前生物特征识别数学模型通过不断优化升级可以抵御相关攻击，安全性极高。

（2）FIDO技术

FIDO线上快速身份验证标准（以下简称FIDO标准）是由FIDO联盟（Fast Identity Online Alliance）提出的一个开放的标准协议。FIDO协议提供U2F和UAF两种版本，其中U2F协议兼容现有密码验证体系，在用户进行高安全属性的在线操作时，其需提供一个符合U2F协议的验证设备作为第二身份验证因素。UAF则充分地吸收了移动智能设备所具有的新技术，在需要验证身份时，智能设备利用生物识别技术（如指纹识别、面部识别、虹膜识别等）取得用户授权，然后通过非对称加密技术生成加密的认证数据供后台服务器进行用户身份验证操作。目前，谷歌公司已经开发出支

持U2F身份认证的Security Key，该装置配合Chrome浏览器实现网站身份的自动鉴别，当用户登录的网站是通过验证时，用户无需输入密码，只需根据浏览器提示按下确认即可，若网站未通过验证，则该装置不会运行；联想旗下国民认证科技有限公司推出的基于FIDO框架的UAP统一身份认证平台，整合指纹识别和虹膜识别等功能为中国银行、民生银行、京东钱包等提供身份认证服务；科技公司Egistec推出的基于FIDO框架的Yukey认证器可以让用户通过指纹识别器及生物数据识别腕带進行联合身份认证。三星公司也在积极研发推出基于FIDO的身份认证解决方案，其安全身份认证框架和指纹读取器均通过了FIDO认证；微软公司在Windows10中全面支持FIDO 2.0版本标准，支持此标准的设备可以具有丰富的第三方生物识别功能，如指纹识别、人脸识别、虹膜识别等，明显地提升了系统安全性和易用性。此外，以蚂蚁金服牵头的IFAA和腾讯牵头的TUSI领域守护计划与FIDO方案本质相同，只是市场定位不同，在此不再展开。

（3）基于大数据行为分析的隐式认证技术

隐式认证一般指认证前台无需用户主动参与，由后台业务系统根据用户行为表现进行分析，将分析结果与系统中预设用户正常行为模型进行匹配的认证技术，该技术正常情况下对用户处于隐蔽状态。而传统的身份认证多是在身份认证过程中要求用户主动提供登录凭证（如账号+口令、USB Key、指纹、短信验证码），后台核验通过后，准许该用户登录。这种方式存在一种缺陷：当用户完成校验登录后，系统后续不再对用户进行持续的身份认证。部分高级系统或设定一个用户无动作时间阈值，待用户无动作超时后强制用户重新登录。这种传统的身份认证方式无法应对身份冒用攻击。随着大数据技术的快速发展，隐式认证技术成为当前研究的一大热点，通过对用户正常行为（如鼠标轨迹、键盘敲击力度、登录IP统计、GPS位置统计等）进行建模，业务系统一旦发现用户行为出现异常，则根据行为异常等级进行适度挑战或者直接拒绝访问[5]。

目前，国外已有多个用户行为分析产品商业化，如美国Heap、Trak公司的产品可以实时实现用户全程操作行为记录，一旦发现异常可以进行自动邮件提醒；Mouseflow公司的产品可以通过记录用户鼠标历史轨迹进而对用户操作进行分析。国内阿里巴巴和腾讯通过淘宝、天猫、QQ、微信等应用积累了大量用户行为数据，并提取了上万个行为维度，利用大数据的风险识别可以对用户行为进行有效分析，从而对用户进行精准的分类分层，可实时判断每一个用户的认证动机，对不同风险等级的用户采取不同的认证方式，保障正常用户的快捷体验，而风险用户则无法简单的通过盗用他人信息通过认证。通过建立自学习的风险控制引擎（Risk Engine）实现对用户异常行为（可疑登录、转账）的预警、质疑和阻止，对可能存在被盗或买卖的账户进行二次认证，确保身份信息持续有效[6，7]。

（4）移动数字证书技术

生物识别技术和大数据行为分析技术等解决的是身份认证中“我是我”问题，对于“我是谁”的问题，仍需要数字证书来解决。目前国内主要有两代产品：第一代移动数字证书是基于手机SIM卡载体，俗称SIM盾，用户的数字证书集成在专用SIM卡中，只需依赖方APP支持该SIM盾，用户即可方便的使用其进行身份验证和数字签名。该方案本质上是传统优盾的微型化，并没有从根本上解决传统优盾与移动互联网应用的矛盾，虽然用户后期使用较为方便，但是前提是用户必须前往专门的电信运营商处更换专用SIM卡。

目前国内浦发银行和中国移动推出过相关产品[8]。第二代移动数字证书一般被称为“手机盾”，用手机实现传统优盾（USB Key）的全部功能，它不依赖硬件密码芯片，用软件实现可靠的密码设备、密码运算和CA数字证书等全部功能。为克服传统文件证书对用户私钥保护力度不够的问题，手机盾采用密码分割计算技术，保证在不重现完整密钥的前提下完成数字签名、加解密等操作，从而规避密钥被恶意程序直接跟踪截取的风险。此外，通过手机盾对密钥进行分散存储（终端和云端），有效地解决终端密钥的安全存储管理问题。手机盾方案作为PKI技术应用的最新方案，研究较为火热，自2016年底开始陆续有相关商业化产品面世，截止2017年底，国内已有4家产品获得国家密码管理局《商用密码产品型号证书》，2家产品通过GM/T0028-2014《密码模块安全技术要求》二级要求。该技术目前存在的问题是，根据《密码模块安全技术要求》，软件密码模块最高仅可达到二级要求，而传统优盾最高可达到三级以上，因此部分高安全等级业务系统可能不适合应用该方案，且该技术较新，其稳定性、可靠性、高频交易响应程度都有待市场检验[9]。

（5）短信验证码技术

短信验证码技术是由依赖方通过验证码接入商发送4-6位验证码至用户手机，在限定时间内由用户输入验证的身份认证方案。该方案使用极为简便，安全性较高，但容易遭到伪基站的欺骗攻击和恶意软件的短信拦截攻击。其技术已经非常成熟，在此不再赘述。

移动应用厂商在开发应用身份认证系统时，往往根据业务的安全需求将业务分成基础级和敏感级，根据业务安全等级的不同采用上述一种或多种身份认证技术，如，社交账号的登录和管理操作为基础级，而对账号关联的金融账户在进行转账、支付交易的操作则划为敏感级，用户需要进行额外的身份挑战和校验，如校验手机内置数字证书、手机验证码、动态口令牌、指纹等生物信息、支付密码等方式。

2.5 与身份认证技术相关的个人隐私泄露

在隐私泄露风险防范方面，学术界和产业界的研究主要关注三方面内容：一是用户的姓名、身份证号、住址等身份证信息泄露；二是用户的个人生物特征泄露；三是个人行为信息泄露。针对第一点，以二代证网上副本技术为代表的一批身份认证技术，由于不在互联网上传输身份证信息，技术本身一般不会引发信息泄露。针对第二点，由于自然人个体生物特征的有限性和唯一性，一旦泄露将造成无可挽回的损失，目前相关技术标准和厂商已经进行了防范。如FIDO中，根据UAF协议，用户所有的个人生物数据与私有密钥都只存储在用户设备中，无需经网络传送到网站服务器，而服务器只需存储有用户的公钥即可完成用户身份验证。苹果手机广泛使用的TouchID，原始指纹是存在本机安全硬件Secure Enclave中，不可导出，该硬件中的信息只有处理器可以访问，其他任何软件无权访问，保证生物特征数据不外泄。而验证方法则是基于类似HMAC的算法。（1）服务端只需存储用户指纹信息Hash后的摘要值，而不存储原始的指纹信息，因此服务器即使被入侵，也不会泄露用户的指纹信息。（2）验证指纹的过程中，用户的指纹信息不会在网络上传输，而只是传输指纹信息哈希后的摘要值。即使被窃取，也无法还原出原始指纹信息。并且由于 HMAC 具有的防重放攻击特性，攻击者也无法凭借该段摘要伪造用户身份执行其他操作[10-12]。对于建立中心化的国家级的生物特征数据库，各国均持审慎态度。目前已披露的仅有印度的Aadhaar项目，该项目自2009年开始实施，截止2015年底，已对8.2亿印度公民实施了生物识别数据采集（包括照片、十指指纹和虹膜扫描），同时为每个居民提供唯一的12位身份证明编号并建立关联，据印度政府宣称，该系统建有多层隔离系统，安全防护强度极高。针对第三点，由于部分企业在进行身份认证时搜集了用户的上网行为、GPS位置等行为信息，企业有可能利用这些信息对用户进行精准营销、短信轰炸，这种隐私泄露虽然不可避免，但可以通过法律来对企业进行约束。

2.6 云计算、移动互联网环境下传统数字证书的应用及安全

传统数字证书应用历史悠久，最为一种高安全等级的身份认证手段，其表现形式多种多样，在PC端应用较为广泛。常见形式有USB Key、eID卡、IC卡、支付盾、文件证书、移动证书等。但是，随着云计算和移动互联网时代的到来，传统数字证书应用也面临着诸多挑战。

一是安全性问题。近几年来RSA1024、SHA-1等应用于PKI电子认证的经典密码接连被密码学家破解，而这些破解无一例外借助了强大的运算能力，云计算的普及使黑客暴力破解逐渐成为现实。除了进一步升级密码强度外，研究人员也在寻找其他能用于身份认证的技术，其中区块链技术研究最为火热，相比传统中心化的PKI电子认证方式，其优势有三点。

（1）身份信息更难篡改。每个人一出生便会形成自己的数字身份信息，同时得到一个公钥和一个私钥，利用时间戳技术形成区块链，在共识机制保证下，数据篡改极为困难（51%攻击）。

（2）系统信息分布式存放，系统上的所有节点均可下载存放最新、最全的身份认证信息。人们不必再随时携带自己的身份证，只需要通过公钥证明“我是我”，通过私钥自由管理自己的身份信息。

（3）激励机制的存在促使用户积极维护整个区块链，保证系统长期良性运作，系统稳定性更高、维护成本更低[13，14]。目前，已经有部分区块链身份认证和电子存证产品面世，如2017年区块链企业ShoCard与航空服务商SITA合作开发了SITA Digital Traveler Identity APP的身份认证应用。该应用融合了基于区块链的数据和面部识别技术，致力于简化航空公司乘客身份验证流程，以及实现机场实时数据流；微软宣布和Blockstack Labs、ConsenSys合作，推出基于区块链技术的身份识别系统，实现人、产品、应用和服务的深度交互；IBM与法国国民互助信贷银行（CréditMutuelArkéa）合作完成了一个基于区块链技术的身份认证系统，该系统采用超级账本（Hyperledger）区块链框架引导客户向第三方（比如本地公共部门或零售商）提供身份证明。

国内在线合同签署企业法大大联合阿里云邮箱推出了基于区块链技术的邮箱存证产品、众签科技与中证司法鉴定中心合作推出了“存证云”司法鉴定平台、北京合链共赢科技开发的文档存证系统等都运用区块链技术对用户身份和文件进行鉴别和防伪。

目前，利用区块链技术进行在线身份认证尚不成熟，具有可操作意义的商业化应用较少，但该方案技术优势明显，发展潜力极大[15-17]。

二是证书管理复杂。传统PKI技术存在需要大量交换数字证书的问题，证书管理和交换十分繁琐。1984年以色列密码学家Shamir提出IBC（Identity-Based Cryptograph，基于标识的密码）体系。该体系是在传统的PKI体系基础上发展而来，除了保有PKI体系的技术优点外，主要解决了在具体安全应用中PKI体系需要大量交换数字证书的问题，使安全应用更加易于部署和使用。IBC体系不再依赖数字证书和证书管理系统，简化了密钥和证书管理的复杂性。在PKI体系中，需要为每一个用户创建和维护一张数字证书，这些与证书相关的密钥要不断更新，旧密钥和旧证书还不能立刻丢弃，需要进行归档，人员离开后就要撤销相关的证书放入撤销列表，因此撤销列表也需要不断发布、更新和维护。这种管理体系十分复杂。在IBC体系中，可以使用用户唯一標识（比如邮箱地址）+主密钥+公共参数代替发放给用户的证书，通过每个人的邮箱地址结合主密钥和公共参数就可以为每个用户创建唯一的私钥，管理员只需要管理主密钥+公共参数即可，这样就极大地简化了密钥的管理，IBC体系中的密钥管理只包括密钥产生和密钥更新[18，19]。

IBC体系虽然解决了PKI体系中复杂的证书管理问题，但也面临着私钥管理等问题的挑战。基于IBC的密码系统（如SM9）虽然无需再管理数字证书，但是其归根结底是属于非对称密码算法的，系统的安全性仍然由私钥的安全性来决定。私钥存储介质的问题无法回避：在IBC体系中，用户私钥虽然是在中央的密钥服务器生成的，但是从用户可控角度来讲，其私钥仍然要下发给用户本人保存，如果用户本人没有安全的密钥存储介质，整个安全体系的安全性还是无从谈起，这与PKI体系遇到的问题是完全一样的。所以，即使在基于IBC的密码系统中，用户私钥的安全存储介质依然是必须要解决的问题。

私钥的分发安全问题需要考虑：在标准的PKI体系中，用户私钥是在终端本地安全生成并存储的，无需传输到后台，不存在私钥在网络中传送的问题；而在IBC体系中，私钥在中央的密钥服务器生成，私钥要通过网络传送给终端侧，在传输过程中的私钥安全如何保证成了 IBC 体系相对于 PKI 体系新衍生的问题。基于这一点，就需要传输私钥的网络尽可能是内部网络以保证私钥分发的安全，这也是IBC体系（SM9）不太适用于开放网络大规模应用的原因之一。

三是介质问题。硬件介质设计之初是为了保证用户私钥不可导出，但是随着移动互联网的快速发展，传统USB Key无法在手机端应用，而改良版的蓝牙Key等依旧容易丢失、损坏，且一旦丢失或损坏，数字证书需要重新签发，使用十分不便，近年来逐渐被移动数字证书所替代。

2.7 小结

本章从网络可信身份认证技术在应用过程中面临六大问题与挑战入手，明确了网络可信身份的内涵与外延，分析了各种不同的身份认证技术在解决上述问题时的基本做法。以下从抗抵赖性、安全性、易用性、成熟度和用户使用成本五个维度对本章所涉及的身份认证技术进行横向对比，五个维度定义见表1；划分结果按照“高/中/低”进行定性，结果见表2所示。

通过表2可以看出，主流的技术在关键的抗抵赖性和安全性上，均达到中等偏上水平。传统技术经过多年发展和改良，其成熟度较高；绝大多数新技术在安全性上有所突破但在易用性上受限于技术发展水平还不理想。

3 发展趋势

随着大数据、人工智能、移动互联网、物联网、云计算等技术的快速发展，网络身份认证技术演进呈现出四个发展趋势。

（1）由离线数字证书为主导的证书服务演化为以在线身份服务为主导的身份管理。传统的身份认证往往局限于数字证书服务，但随着网络社会的快速发展，公民对身份认证的需求会逐渐扩大到身份鉴别、行为分析、隐私保护、行为管理和行为追踪等综合性身份管理范围。

（2）以静态认证为主导的身份鉴别发展为以大数据风控为主导，融合多种技术的身份鉴别。传统的身份认证往往是单因素或双因素的静态认证，如账号+口令、短信验证码、数字证书等，但随着云计算、人工智能等新技术的应用，网络空间身份冒用形势空前严峻，静态认证已经力不从心，而以大数据风控为核心融合多种身份认证技术的身份鉴别模式有望能应对挑战。

（3）简单的是或否单一模式身份认证转变为具有多模式多安全级别的身份认证。传统身份认证系统业务划分粒度较粗，甚至没有划分。用户一旦通过校验便获得全部操作权限。随着网上业务系统功能的日趋复杂，业务操作访问控制权限将更加细分。以在线支付系统为例，不同敏感程度的交易信息、不同金额的交易将对应不同级别的身份认证。

（4）专业化的共享共用身份管理服务逐步替代孤岛隔离的分散的身份管理。身份管理边界将逐渐被打破，逐步形成以用户为中心的身份管理，各类身份认证技术将逐步统一在一个身份管理框架体系中，目前OpenID、Oauth、SAML/FIDO/IFAA/SOTER等身份服务互联互通标准已经逐渐形成[20]。

4 结束语

（1）网络可信身份的内涵目前学术界和产业界尚未完全统一，其是我国网络空间身份管理的理论根基，需要高度重视。

（2）现阶段，多种网络可信身份认证技术共生共存，大多数身份认证技术都针对特定的应用场景进行了优化，其中以移动互联网应用场景较为常见。

（3）身份认证技术的应用与业务的安全需求相匹配，业务安全等级越高，对身份认证技术的要求就越高。

（4）隐私泄露问题是身份认证技术研发考虑的重要问题之一，相关技术在研发时应避免身份信息、生物数据在网上传输（无论是明文还是加密）。而通过大数据分析技术得到用户隐私画像则需要通过法律来对企业使用进行约束。

（5）传统身份认证技术经过多年发展和改良，其成熟度较高；绝大多数新技术在安全性上有所突破但在易用性上受限于技术发展水平还不理想。

（6）未来身份认证技术将朝着以大数据风控为核心、多种身份认证技术互通融合、层次权限分明的方向发展。

参考文献

[1] 旷野，闫晓丽.美国网络空间可信身份战略的真实意图[J].信息安全与技术， 2012， 3（11）：3-6.

[2] 田梅靖，杜琳琳.生物特征识别专利技术综述[J].科技展望， 2017，27（23）： 303.

[3] 章婧.图像形成装置的身份认证技术专利技术综述[J].中国新通信， 2016（04）： 156.