相里朋【原创】电子认证技术概论技术特点及典型应用

  • 2017-10-07
  • 0

陆续PO出年初写的一篇材料


1. 概述

随着互联网的蓬勃发展,网络和信息技术迎来了前所未有的新时代。但是网络所具有的开放性、共享性使得分布在网络中的信息处于一种高风险的状态,用户的个人信息极易受到非法监听、非法复制、非法访问等各种恶意的攻击。如何有效地保障各类用户的信息,已成为网络应用中的一个重要议题。

电子认证是目前解决网络中的安全、信任问题的最重要的手段。通过电子认证技术可以确保网上传递信息的保密性、完整性和不可否认性,确保网络应用的安全。电子认证目前在金融电子政务、电子商务、医疗、电信、教育等等领域已有广泛的应用。电子签名和认证在网上报税、报关、工商年检、社保缴纳、公积金管理等公共服务领域获得广泛应用。电子认证在网上招投标、在线支付、在线合同等电子商务领域应用迅速增长,并逐步向知识产权保护、物流和供应链管理等领域扩展。

同时,随着云计算、大数据、区块链等新技术的发展,以及信息消费、国家诚信体系建设等社会发展需求,各种安全问题、隐私问题、监管问题等随之而来,如何将电子认证相关技术与其结合,利用电子认证技术解决这些新技术和社会发展中存在的安全问题和信任问题,推动相关的技术和产业发展,是当前亟待解决的重要问题。本文拟从有关的国家政策出发,对云计算、大数据、区块链、信息消费、国家诚信体系建设等方面存在的相关问题及痛点进行分析,分别提出与电子认证技术相结合的工作思路。

2. 电子认证特点分析

2.1. 电子认证技术特点

电子认证是以电子证书(又称数字证书)为核心技术的加密技术,它以PKIPublic Key Infrastructure,公钥基础设施)技术为基础。电子认证以其所具有的以下四大特征在信息化应用中起基础性、关键性的作用:

Ø 真实性。确保交易双方的真实身份、信息内容真实以其交易发生时间的真实性。

Ø 完整性。确保双方交易的信息是完整的、没有被篡改过和伪造过。

Ø 机密性。确保电子交易中数据电文、交换数据、信息的保密性,使之不被交易双方以外的交易无关个体获知。

Ø 不可否认性。确保交易双方不能对其参与过交易的事实进行抵赖,它为日后可能存在的交易纠纷提供了一个可信的证据。

PKI是一种遵循标准的利用公钥加密技术为电子商务的开展提供一套安全基础平台的技术和规范,它提供公钥加密和数字签名服务的系统或平台,目的是为了管理密钥和证书。一个机构通过采用PKI 框架管理密钥和证书可以建立一个安全的网络环境。一个典PKI 应用包括以下部分:

1) 认证中心CACA PKI 的核心,CA 负责管理PKI 结构下的所有用户(包括各种应用程序)的证书,把用户的公钥和用户的其他信息捆绑在一起,在网上验证用户的身份,CA 还要负责用户证书的黑名单登记和黑名单发布,后面有CA 的详细描述。

2)注册机构RA数字证书注册审批机构。RA系统是CA的证书发放、管理的延伸。它负责证书申请者的信息录入、审核以及证书发放等工作;同时,对发放的证书完成相应的管理功能。发放的数字证书可以存放于IC卡、硬盘或软盘等介质中。RA系统是整个CA中心得以正常运营不可缺少的一部分。

3 X.500 目录服务器。X.500 目录服务器用于发布用户的证书和黑名单信息,用户可通过标准的LDAP 协议查询自己或其他人的证书和下载黑名单信息。

4KMC密钥管理中心。密钥管理中心(KMC),是公钥基础设施中的一个重要组成部分,负责为CA系统提供密钥的生成、保存、备份、更新、恢复、查询等密钥服务,以解决分布式企业应用环境中大规模密码技术应用所带来的密钥管理问题。

5)自开发安全应用系统,自开发安全应用系统是指各行业自开发的各种具体应用系统,例如银行、证券的应用系统等。

完整的PKI 包括认证政策的制定(包括遵循的技术标准、各CA 之间的上下级或同级关系、安全策略、安全程度、服务对象、管理原则和框架等)、认证规则、运作制度的制定、所涉及的各方法律关系内容以及技术的实现等。

2.2. 电子认证工作程序

电子认证的具体操作程序为:电子签名人在做电子签名前,必须将他的公钥送到一个经合法注册,具有从事电子认证服务许可证的第三方,即CA认证中心,登记并由该认证中心签发数字证书。然后,电子签名人将电子签名文件同数字证书发送给对方,收件方经通过数字证书及电子签名的验证,即可确信电子签名文件的真实性和可信性。由此可见,在电子文件环境中,CA认证中心扮演的角色与上述传统书面文件签字(盖章)环境中的第三者(户政事务所)的角色有异曲同工之妙。CA认证中心正起到一个行使具有权威性公证的第三人的作用。而经CA认证机关颁发的数字证书就是证明两者之间的对应关系的一个电子资料,该资料指明及确认使用者名称及其公共密钥。使用者从公开地方取得证明后,只要查验证明书内容确实是由CA机关所发,即可推断证明书内的公开密钥确实为该证明书内相对应的使用者本人所拥有。如此,该公钥持有人无法否认与之相对应的该密钥为他所有,进而亦无法否认经该密钥所验证通过的电子签名不为他所签署。

2.3. 电子认证典型应用

目前电子认证主要应用于以下几个方面:

1)移动互联网。移动支付是人们经常使用的服务,通过电子签名,确保签名人身份的真实性、电子签名过程的可靠性以及数据电文的完整性,对APP进行签名,可以有效防范木马和恶意软件;

2)电子商务。如电子合同、电子发票,能有效降低经营成本、提高生产效率和优化资源配置。电子认证在网上证券、网上保险、网上支付等领域中应用广泛,证券领域非现场开户和网上交易、保险领域电子保单等业务模式正在兴起,带动了电子认证服务和产品的应用。

3)电子政务。电子政务市场是目前我国电子认证行业的主要收入来源,也是电子认证应用范围最为广泛领域之一。电子政务业务通过面向广大企事业单位发放数字证书,为用户提供网上报税、网上工商年检、网上社保登记等业务的安全保障,获得了用户的普遍认可;可信电子证照,其真实性、可信性是杜绝假证假照泛滥,保障网络化应用的关键;电子发票的安全性、可信性,在加强税收征管、优化征纳服务等方面具有较大优势。

4)医疗领域。在医疗卫生领域,随着我国新医改方案的实施,基于电子病历的医院信息系统和基于电子健康档案的区域医疗卫生平台的建设纷纷启动。卫生部已发布了关于推动电子认证服务、电子病历应用的系列规划和政策文件,将推动医疗卫生领域的电子认证市场进入快速增长阶段。电子病历,将病人的病历、病史检查以及各医疗单位的化验单、报告单等信息通过一个电子病历的平台存储起来,达到信息共享的目的。

5)彩票行业。随着互联网彩票、手机彩票等销售模式的使用,将推动电子认证业务在彩票行业的普及和发展。电子认证服务和产品能够为互联网彩票的真实、可信提供保障,彩票行业广大的市场网络和用户群体将为电子认证业务带来较大的市场空间。