信息安全标准化委员会-2018版电子认证2.0白皮书-2018.4-46页-1mb

电子认证 2.0 白皮书总结

核心内容

电子认证2.0是应对当前网络环境复杂性、多样性以及安全挑战的新型身份认证体系。随着互联网和物联网的快速发展，网络实体和应用数量激增，传统电子认证技术已难以满足当前的网络安全需求。电子认证2.0强调以在线身份服务为主导，融合多种技术手段，提升身份鉴别的安全性与易用性，并通过多模式、多安全等级的认证方式实现更灵活的身份管理。

电子认证2.0的出现是技术发展与法律规范共同推动的结果，其发展也面临诸多问题，如法律法规体系不完善、安全技术单一、身份服务应用范围有限、身份服务互联互通困难等。因此，推动电子认证2.0的发展需要从标准体系建设、技术创新、产业生态构建等方面入手。

主要观点

• 网络身份的爆炸式增长：随着移动互联网、云计算、物联网等技术的发展，网络实体和应用数量迅速增加，身份管理变得更加复杂。
• 传统电子认证的局限性：传统以离线数字证书为主的认证方式，存在易用性差、安全等级单一等问题。
• 电子认证2.0的特征：
  • 以在线身份服务为主导；
  • 从静态双因素鉴别转向以风控为主导的融合技术；
  • 支持多模式、多安全等级认证；
  • 实现身份信息的共享共用，增强个人信息保护；
  • 借助大数据进行行为追溯，提升可信管理能力。
• 身份数据的重要性：身份数据已成为互联网企业竞争力和国家网络治理的重要支撑，但其安全与隐私保护仍面临挑战。
• 身份非法买卖与实名制的挑战：身份黑市的存在严重影响了网络实名制的实施效果，亟需加强身份管理与保护。
• 法律法规与标准体系的建设：目前我国在身份管理相关法律法规和标准体系方面仍有待完善，需加快制定和推广。

关键信息

• 网络身份管理的必要性：身份管理是网络信任体系的核心，是网络空间安全治理的关键。
• 身份认证技术的演变：从静态双因素认证到基于行为与风险控制的动态认证，是身份认证技术的重要发展方向。
• 技术与标准的融合：生物特征识别、大数据分析、云计算等技术的应用推动了电子认证2.0的发展，而标准体系的建立则是保障其安全性和互操作性的基础。
• 身份服务的互联互通：实现身份服务的共享和互通是电子认证2.0的重要目标之一，有助于降低企业成本，提高用户隐私保护能力。
• 身份服务的生态构建：推动身份服务产业生态的形成，鼓励企业采用新技术新模式，加强政产学研合作，是实现电子认证2.0的关键路径。

电子认证2.0发展建议

1. 推动网络可信身份战略的制定：以《网络安全法》为指引，建立符合国情的网络可信身份管理体制与机制。
2. 鼓励理论与技术创新：加强身份鉴别、授权、管理等技术的研究与应用，提升系统安全性与易用性。
3. 推动身份服务产业生态的形成：促进企业间合作，实现身份服务的互联互通与资源共享。
4. 鼓励企业参与实践：支持企业采用新技术、新模式，推动在线身份管理服务市场的发展。
5. 推进鉴别与授权标准体系建设：加快制定与实施隐私保护、身份互操作、行为追踪等相关的标准，为电子认证2.0提供技术支撑。

标准体系框架与重点标准

电子认证2.0标准体系包括以下类别：

• 标识类标准：用于统一网络实体的标识方式，如数字身份格式、数据模型等。
• 验证与证明类标准：涵盖凭证语法与格式、验证机制、颁发安全技术等。
• 鉴别类标准：包括鉴别机制、生物特征识别框架与协议、系统安全技术要求等。
• 授权类标准：涉及授权机制、访问控制模型、授权接口规范等。
• 集成应用与身份管理类标准：包括身份管理框架、互操作规范、安全策略分级等。

重点标准

总结

电子认证2.0是应对当前网络环境变化和安全挑战的必然选择，其发展依赖于技术创新、标准体系建设以及产业生态的形成。通过推动身份服务的共享与互通、加强生物特征识别与风险控制技术的应用，以及完善相关法律法规与标准体系，我国有望构建一个安全、可信、高效的网络身份管理体系，实现网络空间的可控与可管，为网络经济发展和国家治理提供有力支撑。