网络可信身份认证技术问题研究

网络可信身份认证技术问题研究
宋宪荣1，张猛2
（1.南京理工大学计算机科学与工程学院，江苏南京 210094；
2.赛迪智库网络空间研究所，北京 100846）
摘要：网络可信身份认证技术是信息安全的核心技术之一，其任务是识别、验证网络业务系统中用户身份的合法性和真实性以及线上身份和线下身份的一致性。

首先明确了网络可信身份的内涵和分类。

其次从网络可信身份技术应用中存在问题入手，对生物识别技术、数字证书技术、FIDO技术、大数据行为分析技术、区块链技术等主流和新兴的身份认证技术进行了梳理分析，并从抗抵赖性、安全性、易用性、成熟度、用户使用成本等五个维度对各类认证技术进行评价。

最后给出身份认证技术的发展趋势和结论。

关键词：网络可信身份；身份认证技术；生物识别技术；FIDO；大数据分析；区块链
中图分类号：TP302文献标识码：A
Research on the technology of network trusted identity authentication
Song Xi anrong1, Z hang Meng2
(1.S choo l o f Co m put er Sc ie nc e and Engi ne er ing, N anj ing Univ er si t y of Science and Technol ogy, JiangsuNanji ng 210094;
2.Inst it ute of C ybe rs pac e, C C ID, Beijing 100846)
Abstract: Network trusted identity authentication technology is one of the core technologies of information security. Its task is to identify and verify the legitimacy and authenticity of the identity of the user in the network system. First, this paper expounds the connotation and classification of the network trusted identity. Second, analyzes the mainstream and emerging identity authentication technology, such as biometrics technology, digital certificate technology, FIDO, behavior analysis, block chain based on the problems encountered in the development of authentication technology. Then, it evaluates all kinds of authentication technologies from five dimensions, such as non repudiation, security, ease of use, maturity and user cost. Finally, it gives the development trend of the authentication technology.
Key words: network trusted identity; authentication technology; biometric identification; big data analysis; block chain
1 引言
当前公民的行为空间已经从线下的实体社会向线上的网络空间延伸，随着人们对网络空间的依赖度越来越高，网络空间中信息交流和互动越来越多，网络已经成为推动社会发展的重要工具，网络空间也已经成为继陆、海、空、天之后的“第五疆域”。

但是，网络空间高速发展的同时也面临着网络主体身份难以确认，网络资源非授权访问等日益突出的网络安全问题。

从国家治理角度看，国家对网络空间具有主权，对于网络主体行为状况应当有全面的感知，能够实现对网络身份的认证和网络行为的追溯，有利于构建现代化的国家治理体系。

从经济社会发展角度看，网络信息技术在经济社会各领域的创新应用，加快了电子政务、电子
2018年第3期网络空间安全Cyberspace Security
商务等信息化服务普及，识别信息化服务对象的身份，建立网络可信身份，是老百姓享受各项信息服务的前提和基础，是数字经济发展的必然要求[1]。

网络可信身份认证技术（以下简称“身份认证技术”）是网络可信身份建设的技术基础和重要保障，其目的是为了解决“线上身份”和“线下身份”的统一。

随着当前社会的快速发展，网络可信身份认证技术在应用过程中面临六大问题与挑战：一是网络可信身份内涵不清、技术研究与应用脱节问题；二是网络空间身份标识与公民法定身份在网络空间的映射与绑定安全问题；三是不同网络身份认证平台的互联互通互信问题；四是移动应用场景下的可信身份认证问题；五是与身份认证相关的个人隐私泄露问题；六是移动互联网、云计算环境下公钥密码证书的应用及安全问题。

为了解决这些问题，各类新型身份认证技术不断涌现，推动网络可信身份服务不断发展。

2.相关技术问题研究
2.1网络可信身份的内涵与范畴
目前，学术界和产业界对网络身份认证的定义还是非常明确的：“身份认证是指在网络设施和信息系统中确认操作者真实身份的过程，从而确定该用户是否具有对某种资源的访问和使用权限。

身份认证技术则是确认操作者真实身份过程中使用的方法或手段。

”但必须明确，用户通过用户身份认证与用户身份可信没有绝对必然的关系。

例如，用户B使用用户A 的论坛账号密码登录，虽然用户B通过了身份认证，但用户B的身份是不可信的；再如，部分网上论坛服务使用的账号不与用户线下身份进行挂钩，这种身份也是不可信的。

针对“网络可信身份”，学术界和产业界尚无统一定义。

本研究尝试给出如下定义：“网络身份的可信包含两层含义：一是通过网络身份凭证与现实个体法定身份信息的绑定，实现网络主体现实身份真实性认证和追溯；二是通过生物特征识别、大数据行为分析等技术，确保网络行为的主体就是拥有法定身份信息的现实个体。

现实主体可以根据网络空间中不同业务类型、应用场景、安全要求具有多种不同的网络身份凭证，只有能通过网络身份凭证实现对网络主体现实身份真实性认证和追溯的网络身份才是网络可信身份，一般在电子政务等高安全等级业务中应用；在不需要身份追溯的应用中使用的网络身份不是网络可信身份，如一般网上信息的匿名浏览等。

网络可信身份在签发、撤销、挂起、恢复、应用、服务和评价等全生命周期过程中其真实性可以得到有效的管理和控制，是国家进行网络空间治理的基础。

”根据该定义，我们可以把用户身份划分为三大层级：法定信任基础级、第三方作证级和业务凭证级。

法定信任基础级又称法定网络身份或权威身份，该身份绑定国家赋予主体的法定真实身份，自然人可以用法定身份证件，如身份证、护照、社保卡等绑定。

法定网络身份是网络空间主体身份的可信源点，其相关基础设施由国家建设和管理，长期稳定不变，其载体需要极高的安全保证，这种身份可以直接追溯到现实主体。

第三方作证级又称高可信网络身份或关联身份，该身份绑定政府部门或商业机构赋予用户的由法定身份衍生凭证。

银行账号、数字证书、手机号码是由政府监管下的第三方商业机构签发，在申请过程中一般要求与使用主体的法定身份证件或权威证件关联，具备有效抵抗篡改、盗用、窃取等威胁的能力，由可靠的安全技术和严谨的管理流程保障，一般可以追溯到社会主体。

该身份存续期较长，在存续期内，载体可以更换。

业务凭证级又称社交身份，社交身份绑定商业机构、社交场所赋予主体的网络属性。

主体的网络属性可以是网站账号、电子邮箱、URI、信用值等。

当网络属性关联到法定证件或法定证件衍生凭证时，这类可信身份可以追溯其社会主体；当无关联时，可以通过主体的网络行为和商业信誉证明其身份可信程度，不需要知道主体的真实身份，只需要知道主体能干什么。

此类可信身份形式上更加多样，很好地满
宋宪荣 等：网络可信身份认证技术问题研究
在家使用还需要采购身份证读卡器和摄像头。

此外该方案不支持社会上尚未完全退出流通的一代证。

至于其他身份认证方案，如手机号实名认证、数字证书认证都是间接进行身份证号的绑定。

2.3 不同网络身份认证平台的互联互通互信
目前，公安、工商、税务、质检、人社、银行等部门的居民身份证、营业执照、组织机构代码证、社保卡、银行卡等基础可信身份资源数据库还未实现互通共享，且缺少护照、台胞证、驾驶证等有效证件的对比数据源，导致数据核查成本较高、效率低；现有的网络身份认证系统基本上由各部门、各行业自行规划建设，各系统各自为战，网络身份重复认证问题突出，并且“地方保护”“条块分割”现象严重，阻碍了网络可信身份服务的快速发展。

针对这种问题，目前主要有两种解决思路。

第一种是建立第三方综合性的可信身份服务平台，由平台与公安、工商、电信运营商等权威认证源对接进行实名验证，为用户提供跨系统、跨平台的可信身份认证服务，平台作为可信第三方不存储用户信息，仅提供相关应用接口。

第二种则由权威第三方直接建立相关身份数据库，并向其他应用依赖方提供登录授权服务。

这种服务本质上是采用OpenID 和OAuth 结合的互联互通的身份服务和授权登录技术。

用户在使用Q Q 或微信号登录第三方网站（如京东商城）的时候，腾讯使用OpenID 技术，充当OpenID 身份提供商，为用户提供身份认证服务。

而当用户使用第三方应用需要使用在Q Q 或微信中的数据的时候，腾讯则在后台使用OAuth 的体系架构，支持用户通过第三方应用上获取自身在QQ 或微信上的信息。

两种方案各有优缺点，第一种方案建设周期快，但本质上并没有改变身份认证资源重复建设的问题；第二种方案的难点在于建立专门的可信第三方身份数据库。

目前，公安部的人口数据库虽然信息最全，但由于安全保护原因，尚不能对公众和依赖方开放；而腾讯、阿里巴巴、新浪微博等基于自身用户群建立的数据库尚不是法律意义的可信数据库，只能满足用户的普通社交需
足网络社交和网络业务多样化需求。

三类身份中，法定信任基础级、第三方作证级和关联法定证件的业务凭证级是网络可信身份，其他的身份应用不属于网络可信身份。

理清网络可信身份概念是发展可信身份认证技术的基础和关键，对研究不同应用场景下的身份认证技术具有重要意义。

2.2 网络空间身份标识与公民法定身份的映射与绑定
网络可信身份要求实现网络主体现实身份真实性认证和追溯，这就要求公民“线上身份”和“线下身份”进行绑定。

在这方面，我国经历了两个阶段的探索。

第一阶段即“网络实名制”，实名制要求用户在办理某项业务时提供个人真实的身份信息，重点是留存资料备查。

实名制推出后确实遏制住一部分网络暴力犯罪，但是留存用户实名资料的网络服务提供商安全防护能力千差万别，身份资料信息泄露情况较为严峻，如此前的社保信息泄露事件、12306信息泄露事件、京东信息泄漏事件等。

韩国此前在忽视公民隐私保护的情况下，强推网络实名制以打击网络暴力犯罪，导致全国70%以上国民身份信息泄露，最后网络实名制以失败告终。

第二阶段是以技术手段实现身份的“前端匿名，后端实名”，公民身份信息不在互联网上传输。

代表方案是公安部第一研究所于2013年提出的“基于二代身份证的网上身份证副本”技术。

二代证网上副本是居民身份证在网络上的一种数字存在形式，依托于公安部的全国人口信息库和居民办理二代身份证时留下来的信息，将身份证登记项目（姓名、身份证号码、有效期限等）作为要素进行数字映射，并赋予唯一编号，生成一个终身唯一编号的身份证网上副本，使用过程中网络不传输二代证信息，只对D N 号进行验证，防止个人信息泄露。

由于该方案立足身份证现有条件及成熟技术，遵循身份证现有安全体制和管理规则，不在网络上传输身份证信息，应用前景较大。

目前该方案仍在试点当中，缺乏“杀手级应用”，公民若
2018年第3期网络空间安全Cyberspace Security
求。

随着国家对网络可信身份服务体系建设的日益重视，身份认证平台资源的互认互通互信将是一大趋势。

2.4 移动应用场景下的可信身份认证
伴随着智能手机的快速普及，移动应用场景已经成为当前最重要的应用场景之一。

移动应用环境最大的特点是便利性。

而安全和便利天然是一对矛盾体，因此移动应用场景下的进行安全可信的身份认证便成为一大难题。

目前，可在移动应用场景下应用的身份认证技术研究进展有几项。

（1）生物识别技术
生物识别技术是指通过计算机与光学、声学、生物传感器和生物统计学原理等高科技手段密切结合，利用人体固有的生理特性（如指纹、面容、虹膜、掌纹、静脉纹等）和行为特征（如笔迹、声音、步态等）来进行个人身份的鉴定。

生物特征按照身份认证技术三要素分类属于“持有什么特征”，其唯一性和终身稳定性成为天然的身份认证要素。

近10年来，随着传感器精度、C P U运算能力的不断提高和高精度生物识别数学模型的不断涌现，生物识别技术发展极其迅速，从早期的指纹、面容、虹膜、笔迹、步态识别扩展至D N A、红外脸温谱、耳形、颅骨、牙型等二十余种生物特征。

在技术研究方面，当前研究热点已经由单一生物特征转向多生物特征融合。

国际上，国际标准化组织（I S O）和国际电工委员会（I E C）已经联合公布了《信息技术-生物特征-多模态和其他多生物特征融合》（I S O/ I E C T R24722∶2007）标准，该标准不但包含了对多模态和多生物特征融合做法的描述和分析，它还研讨了需求、可能的路径和标准化来支持多生物特征识别系统，以提高其通用性和实用性。

国内，由清华大学丁晓青教授组研制的T H-I D系统多模式生物特征（人脸、笔迹、签字、虹膜）身份认证识别系统已通过教育部组织的专家鉴定。

该系统能够实现在复杂背景下的图像和视频人脸自动检测、识别和认证，在人脸、笔迹、签字、虹膜的识别认证技术上取得了重要进展，在整体上达到了国际领先水平。

在商业应用推广方面，目前最为成熟的是指纹识别和面部设别。

在指纹识别方面，北大高科等对指纹识别技术的研究开发国际先进水平，已推出多款产品；汉王科技公司在一对多指纹识别算法上取得重大进展，达到的性能指标中拒识率小于0.1%，误识率小于0.0001%，居国际先进水平。

2014年苹果公司在i P h o n e5s 上首次集成To u c h I D指纹识别组件，扫描手指的真皮层指纹，目前已经升级为2.0版本，识别精度超过同类产品。

在面部识别方面，2017年苹果公司在i P h o n e X上首次集成商用化F a c e I D面部识别组件，搭载环境光传感器、距离感应器，还集成了T r u e D e p t h红外镜头、泛光感应元件(F l o o d C a m e r a)和点阵投影器，最后由A11处理器对用户面部形成的3万多个红外点进行超高精度三维建模。

在实际应用中，生物识别功能和F I D O技术结合较为紧密，主流千元级智能手机一般都搭载生物识别模块（指纹识别和摄像头），随着智能手机处理器运算能力和生物识别模块识别精度的进一步提高，生物识别技术的应用将更加广泛[1-4]。

在安全风险方面，生物识别技术被攻破的概率较传统的静态口令低，但值得注意的是需要防范“指模”“脸模”和“照片”攻击，目前生物特征识别数学模型通过不断优化升级可以抵御相关攻击，安全性极高。

（2）FIDO技术
F I D O线上快速身份验证标准（以下简称F I D O标准）是由F I D O联盟（F a s t I d e n t i t y O n l i n e A l l i a n c e）提出的一个开放的标准协议。

F I D O协议提供U2F和U A F两种版本，其中U2F协议兼容现有密码验证体系，在用户进行高安全属性的在线操作时，其需提供一个符合U2F协议的验证设备作为第二身份验证因素。

U A F则充分地吸收了移动智能设备所具有的新技术，在需要验证身份时，智能设备利用生物识别技术（如指纹识别、面部识别、虹膜识别等）取得用户授权，然后通过非对称加密技术生成加密的认证数据供后台服务器进行用户身份验证操作。

目前，谷歌公司已经开发出支
宋宪荣 等：网络可信身份认证技术问题研究
持U2F身份认证的S e c u r i t y K e y，该装置配合C h r o m e浏览器实现网站身份的自动鉴别，当用户登录的网站是通过验证时，用户无需输入密码，只需根据浏览器提示按下确认即可，若网站未通过验证，则该装置不会运行；联想旗下国民认证科技有限公司推出的基于F I D O 框架的U A P统一身份认证平台，整合指纹识别和虹膜识别等功能为中国银行、民生银行、京东钱包等提供身份认证服务；科技公司E g i s t e c 推出的基于F I D O框架的Yu k e y认证器可以让用户通过指纹识别器及生物数据识别腕带进行联合身份认证。

三星公司也在积极研发推出基于F I D O的身份认证解决方案，其安全身份认证框架和指纹读取器均通过了F I D O认证；微软公司在Wi n do w s10中全面支持F I D O 2.0版本标准，支持此标准的设备可以具有丰富的第三方生物识别功能，如指纹识别、人脸识别、虹膜识别等，明显地提升了系统安全性和易用性。

此外，以蚂蚁金服牵头的IFAA和腾讯牵头的TUSI 领域守护计划与F I D O方案本质相同，只是市场定位不同，在此不再展开。

（3）基于大数据行为分析的隐式认证技术
隐式认证一般指认证前台无需用户主动参与，由后台业务系统根据用户行为表现进行分析，将分析结果与系统中预设用户正常行为模型进行匹配的认证技术，该技术正常情况下对用户处于隐蔽状态。

而传统的身份认证多是在身份认证过程中要求用户主动提供登录凭证（如账号+口令、U S B K e y、指纹、短信验证码），后台核验通过后，准许该用户登录。

这种方式存在一种缺陷：当用户完成校验登录后，系统后续不再对用户进行持续的身份认证。

部分高级系统或设定一个用户无动作时间阈值，待用户无动作超时后强制用户重新登录。

这种传统的身份认证方式无法应对身份冒用攻击。

随着大数据技术的快速发展，隐式认证技术成为当前研究的一大热点，通过对用户正常行为（如鼠标轨迹、键盘敲击力度、登录IP统计、GPS位置统计等）进行建模，业务系统一旦发现用户行为出现异常，则根据行为异常等级进行适度挑战或者直接拒绝访问[5]。

目前，国外已有多个用户行为分析产品商业化，如美国H e a p、Tr a k公司的产品可以实时实现用户全程操作行为记录，一旦发现异常可以进行自动邮件提醒；M o u s e f l o w公司的产品可以通过记录用户鼠标历史轨迹进而对用户操作进行分析。

国内阿里巴巴和腾讯通过淘宝、天猫、Q Q、微信等应用积累了大量用户行为数据，并提取了上万个行为维度，利用大数据的风险识别可以对用户行为进行有效分析，从而对用户进行精准的分类分层，可实时判断每一个用户的认证动机，对不同风险等级的用户采取不同的认证方式，保障正常用户的快捷体验，而风险用户则无法简单的通过盗用他人信息通过认证。

通过建立自学习的风险控制引擎（Risk Engine）实现对用户异常行为（可疑登录、转账）的预警、质疑和阻止，对可能存在被盗或买卖的账户进行二次认证，确保身份信息持续有效[6,7]。

（4）移动数字证书技术
生物识别技术和大数据行为分析技术等解决的是身份认证中“我是我”问题，对于“我是谁”的问题，仍需要数字证书来解决。

目前国内主要有两代产品：第一代移动数字证书是基于手机SIM卡载体，俗称SIM盾，用户的数字证书集成在专用SIM卡中，只需依赖方APP支持该S I M盾，用户即可方便的使用其进行身份验证和数字签名。

该方案本质上是传统优盾的微型化，并没有从根本上解决传统优盾与移动互联网应用的矛盾，虽然用户后期使用较为方便，但是前提是用户必须前往专门的电信运营商处更换专用SIM卡。

目前国内浦发银行和中国移动推出过相关产品[8]。

第二代移动数字证书一般被称为“手机盾”，用手机实现传统优盾（USB Key）的全部功能，它不依赖硬件密码芯片，用软件实现可靠的密码设备、密码运算和C A数字证书等全部功能。

为克服传统文件证书对用户私钥保护力度不够的问题，手机盾采用密码分割计算技术，保证在不重现完整密钥的前提下完成数字签名、加解密等操作，从而规避密钥被恶意程序直接跟踪截取的风险。

此外，通过手机盾对密钥进行分散存储（终端和云端），有效地解决终端密钥的安全存储管理问题。

手机盾方案作为PKI技术应用的
2018年第3期网络空间安全Cyberspace Security
最新方案，研究较为火热，自2016年底开始陆续有相关商业化产品面世，截止2017年底，国内已有4家产品获得国家密码管理局《商用密码产品型号证书》，2家产品通过GM/T0028-2014《密码模块安全技术要求》二级要求。

该技术目前存在的问题是，根据《密码模块安全技术要求》，软件密码模块最高仅可达到二级要求，而传统优盾最高可达到三级以上，因此部分高安全等级业务系统可能不适合应用该方案，且该技术较新，其稳定性、可靠性、高频交易响应程度都有待市场检验[9]。

（5）短信验证码技术
短信验证码技术是由依赖方通过验证码接入商发送4-6位验证码至用户手机，在限定时间内由用户输入验证的身份认证方案。

该方案使用极为简便，安全性较高，但容易遭到伪基站的欺骗攻击和恶意软件的短信拦截攻击。

其技术已经非常成熟，在此不再赘述。

移动应用厂商在开发应用身份认证系统时，往往根据业务的安全需求将业务分成基础级和敏感级，根据业务安全等级的不同采用上述一种或多种身份认证技术，如，社交账号的登录和管理操作为基础级，而对账号关联的金融账户在进行转账、支付交易的操作则划为敏感级，用户需要进行额外的身份挑战和校验，如校验手机内置数字证书、手机验证码、动态口令牌、指纹等生物信息、支付密码等方式。

2.5 与身份认证技术相关的个人隐私泄露
在隐私泄露风险防范方面，学术界和产业界的研究主要关注三方面内容：一是用户的姓名、身份证号、住址等身份证信息泄露；二是用户的个人生物特征泄露；三是个人行为信息泄露。

针对第一点，以二代证网上副本技术为代表的一批身份认证技术，由于不在互联网上传输身份证信息，技术本身一般不会引发信息泄露。

针对第二点，由于自然人个体生物特征的有限性和唯一性，一旦泄露将造成无可挽回的损失，目前相关技术标准和厂商已经进行了防范。

如F I D O中，根据U A F协议，用户所有的个人生物数据与私有密钥都只存储在用户设备中，无需经网络传送到网站服务器，而服务器只需存储有用户的公钥即可完成用户身份验证。

苹果手机广泛使用的TouchID，原始指纹是存在本机安全硬件S e c u r e E n c l a v e中，不可导出，该硬件中的信息只有处理器可以访问，其他任何软件无权访问，保证生物特征数据不外泄。

而验证方法则是基于类似H M A C的算法。

（1）服务端只需存储用户指纹信息H a s h后的摘要值，而不存储原始的指纹信息，因此服务器即使被入侵，也不会泄露用户的指纹信息。

（2）验证指纹的过程中，用户的指纹信息不会在网络上传输，而只是传输指纹信息哈希后的摘要值。

即使被窃取，也无法还原出原始指纹信息。

并且由于H M A C具有的防重放攻击特性，攻击者也无法凭借该段摘要伪造用户身份执行其他操作[10-12]。

对于建立中心化的国家级的生物特征数据库，各国均持审慎态度。

目前已披露的仅有印度的Aadhaar项目，该项目自2009年开始实施，截止2015年底，已对8.2亿印度公民实施了生物识别数据采集（包括照片、十指指纹和虹膜扫描），同时为每个居民提供唯一的12位身份证明编号并建立关联，据印度政府宣称，该系统建有多层隔离系统，安全防护强度极高。

针对第三点，由于部分企业在进行身份认证时搜集了用户的上网行为、GPS位置等行为信息，企业有可能利用这些信息对用户进行精准营销、短信轰炸，这种隐私泄露虽然不可避免，但可以通过法律来对企业进行约束。

2.6 云计算、移动互联网环境下传统数字证书的应用及安全
传统数字证书应用历史悠久，最为一种高安全等级的身份认证手段，其表现形式多种多样，在P C端应用较为广泛。

常见形式有U S B K e y、e I D卡、I C卡、支付盾、文件证书、移动证书等。

但是，随着云计算和移动互联网时代的到来，传统数字证书应用也面临着诸多挑战。

一是安全性问题。

近几年来R S A1024、SHA-1等应用于PKI电子认证的经典密码接连被密码学家破解，而这些破解无一例外借助了强大的运算能力，云计算的普及使黑客暴力破解。