电子认证20白皮书2018版_44页_1mb

电子认证 2.0 白皮书总结

核心内容概述

《电子认证 2.0 白皮书》由全国信息安全标准化技术委员会鉴别与授权工作组发布，旨在分析电子认证技术在当前网络环境下的发展趋势与挑战，提出电子认证 2.0 的技术特点与标准体系建设建议，以推动我国网络可信身份生态体系的构建。白皮书指出，随着互联网和物联网技术的迅速发展，网络实体和应用数量呈爆炸式增长，身份管理面临前所未有的复杂性与挑战。电子认证技术需从传统的离线数字证书模式向以在线身份服务为主导的管理方式演进，融合多种技术，提升安全性与易用性，同时应对身份非法买卖、网络欺诈等安全威胁。

主要观点

1. 网络发展推动新的电子认证需求

• 网络实体和应用数量迅速增长，身份管理需求日益复杂。
• 身份数据已成为互联网企业竞争力和国家治理的重要支撑。
• 网络协作成为主流，身份管理需适应虚拟化和动态变化的环境。

2. 电子认证技术面临挑战

• 网络欺诈严重威胁网络安全与社会公共安全。
• 企业对个人信息保护存在不足，导致隐私泄露事件频发。
• 身份非法买卖影响网络实名制的实施效果。
• 单一鉴别技术难以应对不断变化的安全威胁。
• 身份鉴别需适应多样化网络应用需求，但当前缺乏统一标准。

3. 电子认证 2.0 时代到来

• 离线数字证书向在线身份服务演进，提升安全与管理效率。
• 静态双因素鉴别向基于风控的多技术融合模式发展。
• 多模式、多安全等级的认证体系成为最优选择。
• 在线身份管理服务共享共用，有助于提升个人信息保护能力。
• 基于大数据的行为追溯技术增强网络实体可信管理能力。

4. 电子认证 2.0 发展建议

• 推动网络可信身份战略的制定与实施。
• 鼓励理论与技术创新，完善身份管理技术。
• 构建身份服务产业生态，加强企业间合作。
• 推动企业采用新技术与新模式，积极参与实践。
• 加快鉴别与授权标准体系建设，支持电子认证 2.0 发展。

关键信息

• 截至2017年，我国网民数量达7.72亿，网络身份管理面临巨大挑战。
• 网络身份已成为战略资源，其安全与管理直接关系到国家网络治理能力。
• 电子认证技术需适应虚拟化、多样化和动态化趋势，融合生物特征识别、大数据等技术。
• 电子认证服务需具备多等级安全策略，以适应不同应用场景的安全需求。
• 现有身份管理服务缺乏统一标准，导致互联互通困难，限制了行业发展。
• 建议加强身份数据隐私保护、推动身份服务的共享共用、建立多因素与基于风险的身份鉴别体系。

标准体系框架

电子认证 2.0 标准体系由以下五类标准组成：

1. 标识类标准：统一网络实体标识，支持跨平台与跨应用识别。
2. 验证与证明类标准：规范电子凭证生成、管理及安全要求。
3. 鉴别类标准：包括鉴别机制、生物特征识别协议及系统安全要求。
4. 授权类标准：涵盖基于角色的访问控制、授权机制及系统实现要求。
5. 集成应用与身份管理类标准：规范身份管理框架、互操作性、安全策略及行为追踪等。

当前标准进展

• 标识类标准：已有《网站可信标识技术指南》等标准发布，部分仍在研。
• 验证与证明类标准：涵盖数字证书、签名格式、时间戳、证书撤销列表等，部分仍在修订或研究中。
• 鉴别类标准：包括对称与非对称鉴别机制、匿名鉴别、可鉴别加密等，部分仍在研。
• 授权类标准：包括基于角色的访问控制、安全断言标记语言等，部分标准已发布。
• 集成应用与身份管理类标准：已发布部分标准，如 PKI 互操作规范，仍在研标准包括身份管理框架、行为追踪等。

总结

电子认证 2.0 是适应当前网络环境与技术发展趋势的重要转型，强调身份服务的在线化、多技术融合、多安全等级支持及共享共用。随着网络身份的重要性不断提升，其安全与管理已成为国家安全、社会稳定和经济发展的重要组成部分。白皮书呼吁各方共同努力，推动标准体系建设、技术创新与产业生态发展，以实现网络身份的可信管理与高效服务。