网络空间信任服务认识与思考

1、网络空间信任服务-认识与思考1连一峰2014年6月报告内容国际发展态势国内需求分析未来发展思考2国际发展态势-时代变迁3国际发展态势-研究现状 各国研究机构与企业正积极发展身份管理相关技术，大力推广身份管理基础设施，代表性的有： 微软的OpenID项目 Shibboleth、WebSSO项目 欧洲各国的eID电子身份证项目 我国公安部的“电子身份标识-eID”项目 云计算使得网络空间身份管理的重要性上升到战略高度 2010年3月，云安全联盟(CSA)发起“可信云计算计划” 2011年4月，美国正式发布“网络空间可信身份战略” 2009年12月，中科院知识创新工程“网络空间信任技术与支撑平台”

2、国内外标准化组织推进身份管理标准研究与制定 ISO/IEC于2006年专门成立了SC27-WG5身份管理与隐私保护工作组 IETF成立了SCIM工作组，专门制定云身份管理新标准 OASIS于2010年成立了云身份（IDCloud）技术委员会 信安标委、信标委等均在研究制定身份管理与网络信任相关标准4美国的网络空间政策（ 2009年5月): 指导原则 增强隐私保护和民众自愿参与增强隐私保护和民众自愿参与 增强安全性和方案弹性增强安全性和方案弹性 良好的互操作性良好的互操作性 代价可接受并且易于使用代价可接受并且易于使用NSTIC 的理念，“一个在线的环境，那里个人、组织、服务和设备都能信任彼此，

3、因为他们都能按照约定的标准来获取和鉴别他们的数字身份”以以提升提升信任、隐私、选择和创新的方式，推动个人和组织信任、隐私、选择和创新的方式，推动个人和组织使用安全、高效、易用和使用安全、高效、易用和可可互操作的身份标识解决方案互操作的身份标识解决方案来来访问在线服务访问在线服务美国国家战略“可信身份生态系统” NSTIC5国际发展态势-战略部署美国国家战略“可信身份生态系统” NSTIC可信身份生态系统确立了以下目标： 建立一个综合身份标识生态系统框架 建立和实现一个可互操作的身份标识生态系统基础设施 增强民众参与身份标识生态系统的意愿 确保身份标识生态系统的长期运行6 用数字签名签署抵押贷款

4、可信任的关键服务传输系统内置的安全机制减少用户犯错私下给朋友发布所在位置单点登录服务可进入合作门户网站可替代的支付机制，便利交易NSTIC愿景- 2016年1月1日个人可以选择不同的数字身份提供商和数字凭证，以便在任何地点/时间开展安全、便捷的交易7可信可信环境保障服务环境保障服务审计责任认定服务审计责任认定服务访问访问控制服务控制服务跨应用认证跨应用认证服务服务身份管理服务身份管理服务跨跨应用信任应用信任 云计算云计算+ +物联网时代物联网时代服务组装（服务组装（SOASOA）+ + 专业人员维护专业人员维护颁发公钥颁发公钥证书证书身份与公钥绑身份与公钥绑定定信任信任根根国际发展态势信任技术

5、发展趋势跨域信任构件及中间件调用松耦合专业人员编写可信可信计算技术计算技术审计中间件审计中间件访问控制中间件访问控制中间件认证中间认证中间件件身份管理中间件身份管理中间件单域信任代码嵌入（紧耦合）应用业务开发人员编写安全代码8国际发展态势基本判断 围绕数字身份构建网络空间信任生态系统，将为物联网、云计算、泛在网的发展提供基础安全支撑保障，是网络空间健康发展的必然趋势 物联网使虚拟世界与物理世界加速融合，云计算使物联网使虚拟世界与物理世界加速融合，云计算使得网络资源进一步集中，泛在网保证人与设备通过得网络资源进一步集中，泛在网保证人与设备通过各种无线或有线手段接入整个网络，各种网络应用、各种无线

6、或有线手段接入整个网络，各种网络应用、设备、人逐渐融为一体，形成网络空间设备、人逐渐融为一体，形成网络空间物联网物联网网络空间网络空间云基础设施云基础设施报告内容国际发展态势国内需求分析 未来发展思考10 数字身份是所有网络业务安全与管控的源头。人、设备、组织、应用都需要基于数字身份来建立网络信任关系，离不开认证授权、责任认定 物联网的发展打破了虚拟社会与现实世界的界限，网络信任关系反映了现实社会关系和日常活动 网络空间需要强有力的身份管理，简单粗暴的实名身份管理不仅会侵犯用户隐私，还会危害安全国内需求分析-概述11国内需求分析-战略政策 网络信任体系是以密码技术为基础，以法律法规、技术标准和

7、基础设施为主要内容，以解决网络应用中身份认证、授权管理和责任认定等为目的的完整体系 中办发【2003】27号文 国办发【2006】11号文身份认证身份认证是确认是确认主客体主客体真实身份的过真实身份的过程方法程方法授权管理授权管理是综合利用身份认证是综合利用身份认证、访问、访问控制、权限管理等措施解决访问者合控制、权限管理等措施解决访问者合法使用信息资源的过程方法法使用信息资源的过程方法责任认定责任认定是应用证据是应用证据保全、行为审计、保全、行为审计、取证分析等技术，取证分析等技术，确定行为主体责确定行为主体责任任的过程的过程方法方法可信可信环境是网络环境是网络信任信任体系的必要支撑体系的必

8、要支撑国内需求分析-必要性 建立网络空间信任体系是我国信息化发展的迫切需要，也是国家信息安全保障工作的重要组成部分 国家中长期科学和技术发展规划纲要国家中长期科学和技术发展规划纲要（2006202020062020年）年） 网络安全要标本兼治网络安全要标本兼治、重在治本，建立网络空间信任体系是从重在治本，建立网络空间信任体系是从边界防御边界防御转向转向系统防御系统防御的治本之道的治本之道 建立网络空间信任体系是提升重要信息基础设施安全保护水平的迫切需要 作为新兴作为新兴的基础网络和重要信息系统，的基础网络和重要信息系统，我国飞速发展的物联网、云计我国飞速发展的物联网、云计算平台、算平台、泛在网

9、的安全保障工作与传统信息基础设施存在差异泛在网的安全保障工作与传统信息基础设施存在差异，需要，需要在等级保护框架内进行技术层面和管理层面的升级与拓展在等级保护框架内进行技术层面和管理层面的升级与拓展 人、设备、应用、组织等海量实体间需要建立信任关系，这需要大规人、设备、应用、组织等海量实体间需要建立信任关系，这需要大规模的网络空间信任服务基础设施提供支撑，模的网络空间信任服务基础设施提供支撑，这些基础设施是维护高度这些基础设施是维护高度网络化网络化社会正常运转的必备基础设施社会正常运转的必备基础设施13国内需求分析必要性 建立网络空间信任可提升我国对网络安全管控能力，为建设健康和谐的网络提供技

10、术支撑 围绕数字身份构建认证授权围绕数字身份构建认证授权、责任认定、责任认定、平台信任等服务平台信任等服务，将使网络将使网络用户身份及行为变用户身份及行为变得可管控得可管控，并保证终端，并保证终端、网络环境、云环境、网络环境、云环境、物联物联网的可管控，以达到基础网络和重要信息系统分等级安全监管的目标网的可管控，以达到基础网络和重要信息系统分等级安全监管的目标 建立网络空间信任服务将促进信息安全产业和信息产业发展 信任服务是为所有网络应用提供信任服务是为所有网络应用提供安全信任基础设施安全信任基础设施，最终像，最终像PKIPKI系统一系统一样遍布各地样遍布各地（包括政府、行业、企业），（包括政

11、府、行业、企业），并相互连接为信任的服务云并相互连接为信任的服务云 安全信任基础设施的建立工作为信息安全产业发展带安全信任基础设施的建立工作为信息安全产业发展带来巨大商机，信来巨大商机，信任问题任问题的解决可以更有力的推动云计算的解决可以更有力的推动云计算、物联网等信息产业的发展物联网等信息产业的发展14国内需求分析-电子身份标识-eID（个人） 电子身份标识-Electronic Identity 依托公安部覆盖依托公安部覆盖1313亿人口的亿人口的全国公民身份信息系统全国公民身份信息系统，利用用户主动提交的身份信息，核查无误后生成一组利用用户主动提交的身份信息，核查无误后生成一组唯一的网络

12、标识符和数字证书唯一的网络标识符和数字证书 与居民身份证不同，电子身份标识只是一段网络标识与居民身份证不同，电子身份标识只是一段网络标识符，其本身不含任何用户身份信息，这样既确保了个符，其本身不含任何用户身份信息，这样既确保了个人身份的真实性，又可有效避免身份信息曝光。电子人身份的真实性，又可有效避免身份信息曝光。电子身份证的应用，身份证的应用，为国家积极稳妥地推行网络实名制，为国家积极稳妥地推行网络实名制，构建构建网络诚信体系网络诚信体系提供了有效的解决途径提供了有效的解决途径15国内需求分析-可信网站（网站数字身份） 可信网站是验证网站真实身份的第三方权威服务 “可信网站”的验证标识一般放

13、在网站的醒目位置上，以图标的形式出现，用户可查看该网站的验证信息 可有效防止钓鱼攻击、加强网站信誉，促进相关安全服务企业发展 国家标准制定 信安标委2011年正式批准网站可信标识技术指南16国内需求分析-可信密码模块TCM (安全模块) 可信计算组织（TCG）给出了TPM2.0解决方案 用户可指定所需要的密码算法 定义算法集合以方便互操作 支持多个算法集合的并行使用 能够快速便捷地替换被破坏的算法 我国颁布了自主标准TCM规范 支持国产算法 SM2SM3SM4TCM芯片17国内需求分析-物联网（传感设备身份） 预计到2019年底，将会有250亿至1万亿设备与互联网相连接 智慧城市 工控网 车联

14、网 远程医疗 。 各个传感设备、终端、用户的身份将成为我们定义和构建物联网的牢固基础18报告内容国际发展态势国内需求分析未来发展思考19网络空间信任服务思考 身份即服务(IDentity As A Service) 认证即服务(Authentication) 授权即服务(Authorization) 访问控制即服务(Access Control) 审计及责任认定即服务(Audit& Accountability) 可信环境即服务(Trusted Environment) 信任、信誉(声誉)即服务(Credit&Reputation)20网络空间信任服务思考 由于信息技术的发展，

15、虚拟世界与物理世界高度融合，对网络空间信任体系建设提出了新的需求和挑战 云计算使得用户复杂多样云计算使得用户复杂多样、跨管理域和跨平台应跨管理域和跨平台应用用 物联网使得传感设备数字身份纳入互联网级别管物联网使得传感设备数字身份纳入互联网级别管控控 终端设备与服务平台环境的安全性、可信性亟需终端设备与服务平台环境的安全性、可信性亟需保障保障 网络空间融合为一个整体，用户、设备、组织、应用都接入网络空间，数字身份成为网络空间的安全根基 研究建设大规模研究建设大规模网络空间信任服务基础设施网络空间信任服务基础设施，为用户及设备提供身份，为用户及设备提供身份管理、认证授权、责任认定等安全服务，为移动

16、办公、移动商务、数管理、认证授权、责任认定等安全服务，为移动办公、移动商务、数字医疗等各种网络应用提供安全基础，解决网络用户鉴权、管控、责字医疗等各种网络应用提供安全基础，解决网络用户鉴权、管控、责任追踪、隐私保护等安全问题任追踪、隐私保护等安全问题 可信计算技术为研究建立可信可控的网络平台服务环境提供了基础，网络空间信任服务为开展重要基础设施信息安全等级保护工作、提升国家和全社会各行业的信息保障水平奠定了基础网络空间信任建立流程22数字身份服务（个人）个人数字身份个人数字身份23Identity As A Service符合现实社会信任结构保护用户隐私注册阶段可信身份即服务 （安全模块、设备

17、及环境）24TCM芯片身份即服务（传感器） 传感器身份标识 RFID芯片 传感器设备 传感器身份服务 身份颁发服务 身份撤销服务 鉴权服务25终端实体数字身份数字身份管理员管理员资源资源/业务业务应用应用Web门户门户认证即服务(Authentication)26授权管理即服务(Authorization)属性策略签发服务属性策略签发服务授权策略签发服务授权策略签发服务终端用户终端用户属性检索属性检索服务构件服务构件属性验证属性验证服务构件服务构件属性撤销服务属性撤销服务属性颁发服务属性颁发服务授权属性授权属性策略审核策略审核27终端用户策略管理员属性颁发办事员资源资源/ /业务业务应用应用门户门户访问控制即服务（Access Control)28审计