易恒信:抢占网际社会的安全高地

密钥生产中心种子密钥用户私钥数据库注册信息用户私钥

■ 本报记者 霍光

以前,社会秩序的稳定有赖于对人的管理。但是,在由互联网所构成的新的网际社会中,构建秩序显得非常困难。身份认证被看做解决这一问题的手段之一。北京易恒信认证科技有限公司(下称易恒信)就是这一领域的耕耘者。2008年11月23日,国家密码管理局正式宣布易恒信上报的组合公钥(CPK)的体系中的双因子组合公钥算法(TF-CPK)通过审查。至此,这项我国自主发明的信息安全核心技术正式得到国家认可。

互联网:没有硝烟的新战场

“在网络空间建立秩序已经成为未来新的国家利益。”易恒信掌门人赵建国对记者说,解决网际空间的秩序问题一定会成为未来经济增长的重要支撑要素。“网络建设固然重要,但更重要的是解决对网络的管理问题。只有解决了管理和诚信问题,网络所蕴含的能量才能转换成经济和社会发展的力量。”

通过新的技术手段,来抢占网际空间秩序的制高点,正是易恒信公司建立的初衷。

“建立网际空间的秩序,要建立三个体系,即新的管理体系、诚信体系和安全体系,而认证系统则是这三个体系的基础。”赵建国说。

不过,在密码学已经充分发展的背景下,找到一种新的认证方法谈何容易。上世纪80年代,我国资深信息安全专家南相浩教授就提出了通过种子密钥计算标识密钥的方法,这种基于种子密钥的标识密码体系奠定了后来CPK架构的雏形。1999年,南湘浩正式构建了CPK的架构,达到了海量用户和简便识别的双重要求。

2005年,曾与南相浩在同一部门工作过的赵建国离开部队后,到了刚成立不久的北京信息安全基地协助工作。当赵建国了解到有关情况后,建议组建了北京易恒信认证科技有限公司。2005年6月,北京市科委邀请十多位国内著名专家对CPK技术进行评议,专家们一致认为,CPK技术是我国具有自主知识产权的密钥管理算法,具有重大的创新意义和广泛的应用前景。

CPK:基于标识的认证体系

自互联网出现以来,为解决信息真实性问题,认证技术不断向前发展。然而,目前广泛使用的基于第三方公钥认证的PKI认证体系需要建立和维护公钥证书库供使用者查询,其认证系统的建设和维护运行成本居高不下。因此,新的基于标识的认证系统在国际上被认为是认证技术的发展方向,美国政府已将其列入2009年度联邦政府科研计划。

CPK就是一种基于标识的认证系统。在CPK体系中,利用用户标识通过种子密钥和CPK算法就可以直接计算出公钥,而计算过程本身就证明了其真实性,因此实现了用户间的直接认证,整个认证体系和认证过程大大简化。

赵建国向记者介绍,目前在标识认证系统上,我国已经走在美国的前边。美国总统信息顾问委员会2005在给布什总统的报告中将10亿级别的认证技术列为10大安全关键技术之首,而CPK认证系统利用48KB的种子公钥就能构建起10的48次方规模的认证系统。

另一方面,CPK认证也很安全。赵建国介绍,早期,在CPK体系中,对私钥的保护是一个难题,如果大量私钥泄漏,会对种子密钥构成威胁。但是,通过与芯片技术的结合,这一问题得到妥善解决。现在要获得一个用户私钥,必须首先解剖芯片,而且只能获得经过用户口令加密的数据。而新的TF-CPK体制的用户密钥已经实现了全随机化,彻底解决了安全性问题。

2006年10月,曾任美洲密码年会执行主席的国际知名密码学者詹姆士·休斯在得知CPK算法后,专程来华与南相浩教授交流,并称赞其为“极好的解决方案”。在詹姆士·休斯的倡议下,2007年的欧密会上介绍了CPK体系。2008年11月23日,双因子组合公钥算法(TF-CPK)通过了国家密码管理局的审查。

“目前,我们在一步一步向前推进。有一批安全专家一直在坚定地支持我们,他们对未来的安全体系有一个大胆的设计,该体系的底层是密码学和认证技术,主要提供数字签名和密钥交换两项基本功能,目前已经做得比较坚实。其次是平台安全和可信连接。用CPK技术对可执行代码进行签名和验证,可以有效地阻止病毒和恶意代码的加载和运行,这项工作已经取得突破性进展,预计在今年8月可以拿出应用成果。由于CPK是端到端的自证体系,因此能够用于实现可信连接。我们着手针对网络协议来进行开发。”赵建国表示,下一代网络协议很可能就是基于标识的网络协议,而通过标识认证体系,就可以建立起新一代的安全架构体系。

占领制高点时不我待

“网络空间秩序的建立,将是下一步经济发展的关键所在。”赵建国这样看待网络秩序的意义。

事实上,美国已经开始着手建立新的网络秩序。自从上世纪末凭借“信息高速公路”的提出获得了经济的高速发展以来,美国一直在寻求新的经济增长点。而在奥巴马政府的新规划中,对网络的管理也成为其重要战略之一。

为何网络管理体系如此重要?赵建国认为,每一种生产力都要有其对应的生产关系,也即管理体系。在网络快速发展的今天,网络管理体系的建立将成为知识经济发展的支撑。“一旦建立了认证体系,网络空间将从无序变成有序,电子政务、电子商务等都可以在这个体系上建立起来,国家的经济发展潜力可以得到极大的释放。”谈到建立认证体系的重要性,赵建国显得非常兴奋。

同时,认证体系也为网络安全体系的建立奠定了基础。“认证体系的建立,可以实现基于管理的安全,而非基于防御的安全。”赵建国说,“因此,认证体系是实现安全的前提。之前,安全领域一定是进攻方具有优势。但是,建立认证体系之后,管理者可以主动监控非法行为,可以用密码武器保护自己,从而实现了主被动的转换。”

正因为认证体系对网络空间的管理体系、安全体系建立都有重要意义,赵建国认为,CPK将会成为“未来社会管理的支撑技术”。

不过,虽然我国发明了CPK技术,并成为目前世界上唯一拥有构建超大规模复杂认证体系能力的国家,赵建国依然满怀危机意识。“美国的科学创新能力和底子要比我们强,我们的优势能领先多久还是未知数。但这次机遇一旦丧失,我们将丧失过去许多年积累起来的优势,并错失在网络空间秩序建立的过程中领跑的机会。”他对记者说。

CPK密钥生产分发系统示意图

终端实体

注册申请

密钥申请

注册管理中心

密钥管理中心

CPK标识认证系统简介

认证系统(Authentication System)是在公钥密码体制的基础上,通过数字签名和密钥交换,在开放的信息环境中提供真实性证明,建立信任的一种技术手段,也是实现信息保障(Information Assurance)的基础。目前世界上与认证相关的技术很多,如通过账号+密码、动态口令、数据加解密过程、生物特征(如指纹)等,但真正成为系统,并进入实际应用的只有PKI和CPK。PKI和CPK功能相近,最大的区别是,前者是基于第三方公钥证书的认证系统,需要建立和维护公钥证书库供使用者查询,后者是基于标识的认证系统,可直接利用用户的标识(如单位名称、用户的姓名等)通过种子公钥直接计算出用户的标识公钥,因而能够实现端到端(用户到用户)的直接认证,简化了认证过程,提高了认证效率,减少了证书库建设维护和查询服务等对人员、设备、带宽等资源的消耗,及其对应用规模的制约和影响,为认证技术走向普及应用创造了条件。