《金融数字证书与电子签名体系发展趋势研究》

金融数字证书与电子签名体系发展趋势研究报告20264版权声明本报告版权属于北京金融科技产业联盟，并受法律保护。转载、编摘或利用其他方式使用本白皮书文字或观点的，应注明来源。违反上述声明者，将被追究相关法律责任。编制委员会编委会成员黄林 夏宁编写组成员（按姓氏拼音排序）常帅程中代洪旭董志伟方婷高源黄莉群李冠男李钢李记梦李任增刘超刘书洪刘夏维刘晓晴刘宇王琼霄王钊魏晓莉温国华吴家存闫广亮晏海兵杨超杨文俊叶青虞刚严峻岭曾立环张婉仲波周涛编审黄本涛刘昌娟参编单位北京数字认证股份有限公司国家开发银行交通银行股份有限公司上海浦东发展银行股份有限公司中国民生银行股份有限公司中金金融认证中心有限公司兴业数字金融服务(上海)股份有限公司云南南天电子信息产业股份有限公司目 录一、概述 1（一）背景意义 1（二）基本概念 2（三）服务机制 3（四）发展演进 5二、国内外政策环境 7（一）国际政策环境 7（二）国内政策环境 9三、金融场景应用 10（一）使用数字证书与电子签名的金融业务场景分类 10（二）金融领域CA系统与电子签名服务部署模式实践 16（三）数字证书承载模式与金融业务场景的映射关系 19（四）创新应用模式 23四、面临挑战 24（一）法律规范与司法实务衔接不足 24（二）缺乏统一的电子签名分级分类依据 25（三）跨机构/跨域电子签名的互联互通存在瓶颈 26（四）电子签名与新技术的集成应用亟待深入探索 28（五）CA系统/电子签名服务平台存在数据泄露风险 29五、发展趋势及展望 30一、概述（一）背景意义3月，国务院办公厅印发《关于做好金融“五篇大文章”的指导意见》1，明确提出“规范电子签名技术在金融领域的应用”。CA服务供给模式，实现供需平衡与有序竞争，本报告将系统梳理使用数字证书与电子签名的金融业务场CAPKI与分布式数字身份等新兴将对未来金融行业CA（二）基本概念。一般是由公钥基础设施（PKI）体系中的证书认证机构(CA)（或局部使用与公钥一一相对应的私钥数据，该私钥数据为秘密数据，不能以明文的形式在公共区域存储或公开传输。(CA)并不特指具2GB/T25056-2018《信息安全技术证书认证系统密码及其相关安全技术规范》信息系统。在实际应用中，CA系统可以由任何机构或个人实现并使用，CA系统的部署与使用方式不同，其安全管理要求也不同。名人身份并表明签名人认可其中内容的数据3。当电子签名具有（三）服务机制PKI（以下简称第三方电子认证服务机构签发的数字证书产生的数字签可用于具有手写签名或者盖章具有同等的法律效力电子签署场3《中华人民共和国电子签名法》俗地理解为前文提到的由受到信息产业主管部门许可的第三方专业机构建立、维护并运营CA系统的数字证书应用场景。（数字签名值CAPKICACA出具的电子签名验证报告与存证报告。（四）发展演进1.02.0阶段，如3.01.0时代：以数字证书服务为中心1997成立以年《中华人民共和国电子签名法》及配套《电子USBKey2.0时代：以电子签名为实现中心随着移动互联网与“互联网+”USBKey难3.0时代：构建以数字信任为核心的服务体系当前，数字证书与电子签名服务正步入以数字信任为核心的时代。在法律合规、技术安全和业务可信的多重要求下，服（征求意见稿“后台代理”向“前台直面”在金融领域，数字证书与电子签名体系正从单纯的身份验证与签名工具，演进为支撑数字业务全流程可信交互的基础设施。未来，随着算法迁移、司法链构建与服务能力分级体系的完善，数字证书与电子签名服务将更好地服务于数字金融的合规创新与全球化发展。二、国内外政策环境（一）国际政策环境为核心，构建了联邦与州两级协同的法律DocuSign、Adobe等全球性电子签名服务平台均广泛采用基于数字证书的电子签名技术。欧盟的《电子身份识别和信任服务条例》（eIDAS）明确了在欧盟范围内与手写签名具有同等法律效力的电子签名需采用eIDAS构建了统一的电子信任服务体系，其核心特征是在技术中立基础上建立了明确的三级电子签名法ESIGN法案的纯粹技术中立不同，eIDASeIDAS确立的合格电子签名标准已成为全球高基于数字证书的电子签名体系为当前国际社会普遍认可采CA（二）国内政策环境的有效应用仍面临政策供给不足与应用场景覆盖有限的双重挑战。当前，政策与应用体系整体呈积极发展态势，然而仍存在一三、金融场景应用4（如碳交易等（如数据资产交易等CA系统使用与部署的方式以及延伸的存证需求，在规划与落实的主动性、成熟度、前瞻性方面愈加明晰。（一）使用数字证书与电子签名的金融业务场景分类对客业务场景4本章节内容均来自课题参与单位的实际案例函证与审计等细分场景。金融对客业务场景中，因处理的交易涉及大额资金等资产，客业务场景中使用的数字证书通常由第三方电子认证服务机构提供。在对客业务场景中的应用细分见图1。图1数字证书与电子签名在对客业务场景中的应用细分SETEEAPP即可完成原本需要插拔硬件USBKey进USBKey”USBKey相同的“所见即所签”功能，建立了TF卡证书，即可实现移动端安全认证。例如，某股份制商业银行电子签名平台采用上海、福州异地三CA多活部署架构，支持全行近200个业务场景，涵盖零售、企金、30余万笔。某城市商业银行的企业网银大额转账业务通过USBKey内的数字证书实现交易签名，USBKey输入PINUSBKey内数字证书对交易信息进行签跨机构协同场景数字证书与电子签名在跨机构协同场景也拥有着广阔的应金融跨机构协同场景因涉及不同机构间的业务、资产交易，电子签名合法的前提是数字证书的来源合法，符合《中华人民共和国电子签名法》2。图2数字证书与电子签名在跨机构协同场景中的应用细分供应链金融是数字证书与电子签名在跨机构协同场景中的典型应用。某城市商业银行构建了“电子签名+区块链存证”线3～51小时内，服务覆盖小微企业超千家。跨境业务中的身份验证与电子合同签署环节也通常会使用内控管理场景CA系统满足内部数字证书3。图3数字证书与电子签名在内控管理场景中的应用细分在监管报送场景，某城市商业银行构建了“数字证书+日志IP70%。某农村商业银行建立了多维在内部管理场景中，一些金融机构会采用自建CA系统来解OA（二）CA单一电子认证服务供应商模式在中小金融机构中较为普遍。某城市商业银行统一使用第三方电子认证服务机构的数字证书（API多电子认证服务供应商架构被大型金融机构采用以提高系求通常需要达到“59”（99.999%）的水平，灾难恢复目标（、RPO指标）要求高。在这种要求下，通过实现CA供应商“双备份”“多备份”，可有效规避单点安全故障、签名平台采用“上海、福州异地三CA多活部署”架构，通过DNS健康探测、数据库双主同步和故障检查切换等多种机制保在eIDASESIGN法案），3～5个工作日，难以满足“身份互认、证据互通、效率提升”的业务需求。某国有大型商业银行采用“PKI+跨境互认协eIDAS体系要求，20个国家/地区CA系统的选择与部署模式CA系统签发的数字证书。CA仅用于内部办公等封闭场景的自建CA尚可满足基础需求，但2024年某股份制商业银行电子电子签名服务部署的技术创新与标准适配在数字证书的应用体系下，第三方电子认证服务机构自建CA系统仅负责数字证书签发、数字证书签发相关的身份核验与某股份制商SDKJDK、中间件到浏览器的信创全栈适配。这种深度适配不仅满足密评要求应嵌入自建CA系统或电子签名服务平台全生命周期合规管理CACA（三）数字证书承载模式与金融业务场景的映射关系1．数字证书承载模式与特点USBKey、基于移动终端设备手机安全域TEE/SE、分散密钥和云托管。USBKey模式，通过专用硬件设备（USBKey）TEE/SE模式分散密钥模式，采用密码学技术将私钥分散存储在用户控制（云托管模式1。表1数字证书不同承载模式的特点与适用场景比较证书承载模式安全特性便捷性典型应用场景独立硬件载体USBKeyKeyIC卡独立硬件安全模块低对客业务场景（如企业网银大额交易）、跨机构协同场景（如跨境结算）、内控管理场景（如监管数据报送）基于移动终端设备手机安全域TEE/SE、TF(e)SIM硬件级安全模块中对客业务场景（对私业务场景中的手机银行大额交易）分散密钥依赖协同端的服务安全高对客业务场景（如个人信贷协议签署、银企直连）、跨机构协同场景（如跨机构融资协议签署）云托管依赖云服务安全高对客业务场景（如个人线上开户、信用卡申请、个人消费贷、理财产品签约）2．数字证书承载模式与典型业务场景的适配性分析独立硬件载体安全特性与便捷应用难以兼顾USBKey景中仍占据主导地位。银行对客业务场景中的个人/企业网银大USBKey为载体，为高风险交易提供USBKey（如手机银行大额转账）Key等移动硬件，基于移动终端设备手机安全域(TEE/SE)成为移动金融认证的主流方向PINUSBKeyUSBKey“所见即所签”相同的功能，以USBKey。用户无需额外携带任何物理设备，通过程，建立了便捷、安全的金融服务模式。分散密钥技术为终端侧安全提供创新解决方案USBKey或一体机设备进行数字USBKey等硬件安全USBKey/一体机设备等的使用不便，为用户在移动终端使云端托管模式的便捷性与安全平衡对于使用云端托管密钥的产生电子签名认可其与手写签名具有同等法律效力，我国也在相关技术与应用层面进行探索。某股份制商业银行VTM业务单据电子签名服务采用手写电子签CA效证明签署行为的真实性，作为客户维护其合法利益的电子证据。混合模式的场景应用与适配动态风险评估与认证等级匹配实现安全与效率的最优平衡。USBKeyUSBKey、分散密钥、场景证书等。某城市商业银行采用“按需分级认证”USB（四）创新应用模式传统证书与抗量子证书的混合应用创新模式或成为应对Q-Day的前瞻性选择。某城市商业银行在对客业务场景中创新性地将SM2与NISTDilithium结合，形成双重防护机制。通过抗量的金融服务体验。某证券公司通过构建NGPKI(下一代公钥基础设施)，实现SM2算法证书与后量子算法(PQC)四、面临挑战（一）法律规范与司法实务衔接不足CA（二）缺乏统一的电子签名分级分类依据/机构的资产、信用等，且不同业具体来看，从业务风险维度分析，高风险领域的电子签名要（三）跨机构/跨域电子签名的互联互通存在瓶颈电子签名的互联互通主要体现在数字证书的一致性验证与CA、第三方电子验方式也使得数字证书的可信程度具备不同的安全等级；再次，方面的差异。在电子签名一致性验证方面，PDF、OFD、XML等文件的数字签名/电子签章等都有统一的技术标准，可以依据体业务所需的签名范围等各金融机构/业务系统在实现上都存在当前金融领域电子签名体系的互联互通面临“互认机制缺失”形成了根本性制约。（四）电子签名与新技术的集成应用亟待深入探索电子签名与数字证书的核心技术体系公钥基础设施（PKI）是一种集中式信任的技术体系架构，近年来分布式数字身份（DID）（信任体系在学术界与金PKI为代表的集中式信任体系与以DID与分布式技术解决了业务需PKICA为核心的信任根体系、不DID/DID而言，电子签名与