可信网络需要电子签名与认证服务的基础设施建设提供保障
刘志诚
网络的发展经历了三个时代。
首先是硬件和协议的网络时代，网络的主要作用在于计算能力的共享、沟通、通信、静态内容展示。这个时代的核心是硬件和协议，基础设施以大型主机、终端、网络设备为主。此时的身份验证方式集中在以现实身份为基础的现实身份验证，接入的网络节点和设备数量有限并且具备明确的现实身份，设备使用者有着明确的身份以及现实可审计的访问记录，主要特征是用户和设备等主体的认证依赖与现实身份的校验和审计。
然后是网络服务的时代，网络的主要作用在于提供沟通、通信、信息收集与获取、动态内容展示与交互、以及基于网络的现实服务信息化等网络服务，这个时代的核心是网络服务，对应的基础设施是网络服务的软件和服务模式的系统和平台，例如：云计算。网络服务时代的身份验证集中在以虚拟身份为基础的匿名身份验证，网络对用户的身份认证依赖于虚拟的服务账号，服务账号通常并未与用户的现实身份建立必然的联系，主要特征是用户和设备等主体的认证依赖于割裂的服务账号。
未来是可信主体的时代，网络的主要作用在于主体间的网络空间互动，提供现实社会服务在网络空间的实现以及融合现实与网络的创新服务，这个时代的核心是可信主体，对应的基础设施是主体的识别、认证的系统和平台。可信主体时代的认证方式集中于以现实身份为基础的实名身份验证，虽然表现形式可以是虚拟账号，但该虚拟账号以经过验证的现实身份为基础。主要特征是用户和设备等主体的认证依赖于经过验证的实名身份。
目前，正处在网络服务时代与可信主体时代的过渡时期，认证方式除了具备网络服务时代和主体时代的特征，还存在一种过渡的身份认证方式，以现实身份为基础的匿名身份验证，网络对用户的身份认证依赖于虚拟的服务账号，该账号以用户的现实身份为基础，却并未以用户身份为基础建立可信的依赖关系，用户身份的认证依然依赖与服务账号。主要特征是用户和设备等主体的标识依赖于现实身份，但并不具备可验证性。
现阶段网络存在着大量的信息滥用、网络欺诈、身份盗用的问题，这些问题促进技术手段和管理模式的变革与发展，促生了以公钥基础设施为基础的身份认证的技术和管理体系。上述因素只是可信个体时代的促进因素，并不是根本因素。可信个体时代的必然并非来自于管制的需求，真正的必然来自于个体在网络空间的参与程度，以及个体在网络空间的现实需求。
网络空间与现实社会的界限日益模糊，逐渐共生和融合，网络的形式和内容潜移默化中从量变到质变。最终，网络空间与现实空间会融为一体，因此，可信个体时代也可以称之为可信网络时代，时代构建的基础在于可信参与的个体，个体的可信取决于个体身份是经过认证的可信现实身份，在网络空间的验证方式是基于可信现实身份的标识以及标识在网络实现的技术手段，信息系统基于技术手段可以实现对个体的身份、行为的识别和认证，对信息系统而言它识别和认证的是权威机构宣称的个体。
网络身份成为可信现实身份的一种属性，和现实身份密切关联，但这种关联并不意味着传统意义上的网络实名化，而只意味着网络身份作为一种身份属性与个体密不可分，不再割裂，与可信现实身份关联的网络身份的表现形式依然可以丰富多彩，个体现实身份的网络身份属性并不单一，个体可以根据信息服务的价值和内容提供不同的网络身份。从一定意义上而言，信息系统信任的内容可以包括不同的个体的身份属性的状态，而不包括属性的具体内容，这种个体现实身份关联的网络身份并未泄漏现实身份的隐私。
需要加强公共身份属性基础设施建设
可信网络依赖的基础是可信身份基础设施，从目前来看，已经具备了现实身份认证和发放的基础设施和相关的技术实现，即公钥基础设施（PKI）和传统意义上的认证中心（CA），CA中心只是依赖与现实身份发放可以在信息系统认证的身份标识即数字证书，信息系统可以依赖于PKI的数字签名技术实现现实身份关联的行为认证。在诸如《电子签名法》等相关法律的保护下，可以一定程度上解决信息滥用、网络欺诈、身份盗用等相关问题。
目前需要加强属性身份基础设施的建设，在以现实身份为基础的CA系统的建设中，数字证书一般只作为身份标识使用，不包括身份属性，而缺少身份属性的标识往往不能作为信息服务系统的可信依据。例如：在电子政务的工商和税务等分别以组织机构代码、营业执照、税务登记证等作为服务账号，这些服务账号是关联个体身份的属性，对于电子政务招投标系统等依赖于个体身份属性的服务系统，如果没有权威机构对个体身份工商、税务属性的鉴权，即使拥有个体身份标识也不能使用相关服务。这也是认证机构之间的互操作性障碍的根本原因。
在可信网络时代，个体身份的可信包括对个体身份标识的认证以及对个体身份标识与属性身份关系的鉴权，属性身份包含个体身份的隐私信息，属性身份数据粒度最小化和属性的状态化是属性身份隐私保护的重要特征。例如：对于某些以年龄为限制的网游系统需要知道用户是成年人的状态即可，并不需要知道用户具体的年龄。因此，需要可信的权威机构建立身份标识与身份属性之间关系，并提供身份标识关联的属性认证和鉴权，建立公共身份属性基础设施服务。
公共身份属性基础设施定义了个体身份标识以及身份属性关系的建立、维护、验证以及对外提供认证鉴权服务的接口和实现框架。需要主管部门建立一套完整管理机制和实现规范，管理、监督、指导各领域依照规范建立的领域内的身份属性基础设施。
