中国移动-基于区块链的数字身份研究报告-2020.11-28页_628kb

基于区块链的数字身份研究报告总结

核心内容

本报告由中国移动研究院撰写，聚焦于基于区块链的数字身份认证技术在移动通信网络中的应用。随着5G和万物互联的发展，传统数字身份认证技术（如PKI）在实际应用中面临诸多问题，如证书配置效率低、多CA互信复杂、内网设备无法访问CRL/OCSP服务、单点故障风险等。区块链技术因其分布式记账、多方共识、数据防篡改等特性，为解决这些问题提供了新的思路和方案。

主要观点

1. 数字身份的重要性
   数字身份是建立网络信任关系的基础，是实现数字空间治理的前提。传统PKI体系虽广泛应用，但在万物互联时代已显不足。

2. 区块链的优势
   区块链技术可有效解决传统PKI体系的单点故障问题，实现多CA机构之间的互信，支持灵活的信任域建立，提升证书配置效率，增强内网设备的证书状态查询能力。

3. 区块链与数字身份的结合
   基于区块链的数字身份认证体系可以将数字证书的管理与信任建立过程解耦，支持自签名证书的使用，并允许证书用户按需建立信任域，从而提升系统的灵活性与可扩展性。

关键信息

传统数字身份技术问题

• 证书配置效率低：大量设备需要配置证书，传统方式依赖人工或集中申请，效率低下。
• 多CA互信复杂：不同CA之间证书无法直接互信，需依赖交叉认证或桥CA，结构复杂且存在安全风险。
• 内网设备无法访问CRL/OCSP：内网设备无法连接互联网查询证书状态，导致安全隐患。
• CRL/OCSP单点故障：中心化架构下，证书状态查询服务易受攻击或故障影响，导致系统不可用。

区块链技术的解决方案

• 分布式存储与共识机制：将证书信息记录于区块链中，避免单点故障，提升系统可靠性。
• 信任域按需建立：通过通道机制，实现信任域的灵活划分，保护用户隐私并提高系统安全性。
• 证书管理流程优化：支持证书发布、更新、撤销、查询等流程，并通过智能合约实现自动化审核。
• 证书格式优化：可简化序列号、签发者等字段，仅保留核心信息，如用户ID和公钥，提升存储效率。
• 支持多种协议：包括TLS/DTLS、IPSec等，满足不同场景下的身份认证需求。

应用场景

1. 网络设备身份认证
   设备商可在生产阶段自行生成证书并上传至区块链系统，实现高效、安全的批量配置。设备在入网时，通过区块链查询节点验证证书状态，完成身份认证。

2. 跨CA证书互信
   多个CA机构可通过区块链建立联盟链，实现跨机构证书互信，依赖方只需信任任一CA即可信任整个系统的证书。

3. 适配TLS/DTLS协议
   在设备认证过程中，通过传输证书标识信息代替完整证书，减少带宽消耗，提升通信效率。

4. 智能硬件数字身份管理
   设备商可配置自签名证书，并通过区块链系统实现灵活的信任域选择，无需自建CA或购买第三方证书，降低成本。

5. 软件/服务的数字身份管理
   在微服务架构中，服务注册中心可作为证书提交节点，服务调用时通过区块链验证身份证书，确保通信安全。

技术展望

1. 构建安全基础设施
   基于区块链的分布式信任环境，可为万物互联时代构建更安全、可信的数字身份认证体系。

2. 加快技术融合
   区块链与新一代信息技术（如5G、物联网、工业互联网）的融合，将促进身份认证在更多场景中的落地。

3. 推动跨域信任互联
   通过区块链实现跨信任域的证书信息共享和信任链同步，助力数字身份信任体系的演进。

缩略语列表