网络“实名认证，网名上网”技术研究

马 丁，李 丹

0 引言

近期，“网络谣言”、“网络犯罪”、“网络推手”等成为新闻的热门词汇，网络安全事件的频发严重影响了人们对互联网的信任，也极大地干扰了正常的社会秩序。为此，公安部部署全国公安机关集中开展打击网络有组织制造传播谣言等违法犯罪专项行动。8月20日北京警方宣布，一举打掉以“秦火火”“立二拆四”为首的网络推手公司——北京尔玛互动营销策划有限公司;在成都、襄阳等地也刑拘多名故意散布虚假信息，扰乱社会治安的的谣言制造者。9月9日，最高人民法院、最高检察院公布了关于办理利用信息网络实施诽谤等刑事案件的司法解释。该司法解释通过厘清信息网络发表言论的法律边界，为惩治利用网络实施诽谤等犯罪提供了明确的法律标尺。

有关数据显示，截至今年上半年，中国网民数量已近6亿，其中微博用户数逾3亿，新兴媒体成为中国的社会化、信息化平台，并形成了极具中国特色的传播生态。然而，与此同时，谣言惑众、水军、欺诈、信息泄露等各种网络乱象此起彼伏。这不仅损害了公民权益，扰乱了社会秩序，引发了公众恐慌，而且破坏了政府公信力，损害了政府形象。如果网络空间中谣言横行，每个人都可能成为受害者。“在建成适应经济社会发展的宽带、融合、安全的下一代信息基础设施的同时，民众更需要健康、清新的网络生态环境”，互联网环境的治理已成为当务之急［1］。

1 网络实名必要性

目前，在经济全球化的大背景下，就中国日益成长的国际地位而言，互联网还远未对中国经济的发展起到足够的积极作用。究其根本，是网络诚信和社会责任的缺失，造成了巨大交易成本和社会成本。而网络实名制可以在很大程度上改善这种现象。实名化的网民会更加理性地为自身言行负责，避免匿名化状态下的种种弊端。

很长一段时间，网络实名制备受争议。支持者认为，实名制可以根本解决网络欺诈、网络暴力以及整个网络的有序管理;而反对者则认为，实名制的实施会损害言论自由和网络监督、造成隐私泄露危及个人安全等。实际上网络实名制的目的不在于限制公民的言论自由和隐私泄露，相反是为了治理网络谣言和抵制网络诈骗，保障用户获取真实信息的权利。对公民个人而言，则需要增强社会责任感，对自己在网上的行为和言论负责，是否对他人或社会造成不良影响，共同维护一个公开、透明的网络环境，使互联网成为信息获取的乐土，社会进步的助推器。

随着符合我国国情的互联网实名制认证体系、技术、标准与法规的相继确立，以及实名制基础设施的建设和应用试点的推广，相信在不久的将来，我们将会迎来互联网良性发展的春天［2］。

2 实名认证，网名上网

互联网实名认证体系的核心思想是:实名认证，网名上网。用户在公安机关进行上网注册时采用真实信息，通过身份审核后获得唯一网名;用户利用网名进行各种网络操作。任何单位或个人无法在互联网上通过网名获取用户的真实身份信息;只有经过授权的国家相关机构和人员才能进行用户身份查询，且查询过程必须经过严格审计和审查。

实名认证体系中对认证基础设施提供的安全功能进行了服务化封装，同时将安全认证基础设施的具体特性屏蔽。这样在相同的认证服务接口下，认证服务提供的认证功能可以根据下层使用的基础设施进行切换，不同的认证服务之间能够进行协同认证。除此之外，互联网实名认证采用可扩展的体系构架，可以动态插入各种认证基础设施。概念视图如图1所示。

图1 概念视图Fig．1 A view of concept

3 网络实名技术保障

3． 1 网络实名总体框架

通过研究符合中国国情的实名制认证基础设施体系和框架，完善与公民身份相关联的国家互联网实名制认证规范和管理体制机制，初步形成可信任环境下的互联网安全认证标准与技术支撑体系。实名认证体系总体框架如图2所示。

图2 实名认证体系总体框架Fig．2 Frame of real－ name authentication system

实名认证体系分为四个层次:

1)底层为数据层:作为用户数据存储、管理的基础设施，采用分片云存储的构架，提供自动化的存储服务，分散存储于分布式数据处理系统中，消除服务器单点故障，以此提供不间断的数据存取、数据校验、以及数据备份保护等功能。

2)基础设施层:作为用户数据和认证信息管理、分发的基础功能设备，为网络用户的身份管理、信任凭据管理提供基本的支撑功能。认证基础设施既包括公安系统提供的设施，也包括各大信誉较好的企业、网站提供的认证基础设施。

3)中间为服务层:将底层基础设施实现的功能封装成为标准的服务接口统一发布。各类业务系统作为服务使用者，只需依据统一服务接口标准所定义的调用方法就能调用实名认证服务。互联网实名认证系统采用SOA的服务架构，分布式部署在信息系统中，与各种认证基础设施进行交互，共同构建覆盖全国的实名认证体系。

4)最上为应用层:是实名认证体系涉及的应用系统总和。各应用系统在用户注册时首先调用实名认证服务系统提供的用户注册服务接口实现用户及对应账户信息在公安系统的实名注册;然后完成该用户在业务系统中的账户注册。用户访问时只需要通过账户或者网名进行登录，不需要在互联网上暴露用户真实身份。由于在服务层屏蔽了网络应用与特定的认证基础设施联系，形成了覆盖全网的认证体系，因此系统支持不同认证模式、认证算法的用户在授权后合理访问业务系统。

3． 2 实名服务标准体系

构件网络实名制首先要保证用户注册和认证信息能够在互联网和各应用系统之间的传递，因此需要采用统一的规范和协议标准以及可扩展的技术体制，如图3所示。

图3 实名服务的技术体制Fig．3 Technical system of real－ name service

(1)资源层标准

资源层定义系统各类资源的标准和要求，具体包括:

算法要求和规范:包括对称分组密码算法、非对称密码算法、数字摘要算法的要求和输入输出接口规范，以及相关算法密钥的格式和规范。

基础编码规范:包括ASN．1、BASE64等编码标准和规范。

目录服务接口规范:支持X．500、LDAP等协议的目录接口。

证书相关格式和规范:包括引用的 X509及WTLS标准的证书、证书撤销列表、数字信封等格式和规范。

基础安全接口标准:基于PKCS#1到PKCS#11的安全相关接口协议和规范。

(2)元数据规范

针对实名管理和认证过程的数据都是通过XML标记语言表达，XML文件格式的元数据定义的标准具体包括:

XML数字签名格式:定义XML文件的数据签名标准和规范。

XML数据加密格式:定义XML文件的数据加密后的密文格式、密钥存放位置、解密方式等标准。

基于SAML的身份断言标准:定义SAML协议标准的用户身份断言格式标准。

基于XACML的访问控制标记语言:定义对系统本身的访问控制标记，主要用在公安部内网业务系统的开发中。

基于XKMS的密钥管理规范:定义系统密钥管理和分发协议。

(3)面向服务的协议

采用WSDL标准接口提供的，基于WebService框架的实名服务协议标准。

身份认证协议:提供用户身份令牌传输、验证等管理流程的标准和协议。

用户管理协议:提供给各业务系统使用的用户注册等管理接口和规范。

信任联盟协议:定义不同信任域的注册、注销、设置信任度等管理接口和规范。

3． 3 基于PKI的数字身份管理

以公开密钥加密技术为基础的公钥基础设施(PKI，Public Key Infrastructure)是一种遵循标准的利用公钥加密技术为网上通信提供一整套安全的基础平台，能为各种不同安全需求的用户提供不同的安全服务［3］。

PKI公钥基础设施是通过使用公开密钥技术和数字证书来确保系统信息安全并负责验证数字证书持有者身份的一种体系。它能够为所有网络应用提供加密和数字签名等密码服务及所必需的密钥和证书管理体系。

使用基于公钥技术系统的用户建立安全通信信任机制的基础是:网上进行的任何需要安全服务的通信都是建立在公钥的基础之上的，而与公钥成对的私钥只掌握在他们与之通信的另一方。这个信任的基础是通过公钥证书的使用来实现的。公钥证书就是一个用户的身份与他所持有的公钥的结合，在结合之前由一个可信任的权威机构CA来证实用户的身份，然后由其对该用户身份及对应公钥相结合的证书进行数字签名，以证明其证书的有效性。

PKI必须具有权威认证机构CA在公钥加密技术基础上对证书的产生、管理、存档、发放以及作废进行管理的功能，包括实现这些功能的全部硬件、软件、人力资源、相关政策和操作程序，以及为PKI体系中的各成员提供全部的安全服务。如:实现通信中各实体的身份认证、保证数据的完整、抗否认性和信息保密等。

证书管理系统主要由证书签发系统(CA)、注册系统(RA)、目录服务器组成，为应用系统提供证书签发、撤销、查询等功能。

证书管理系统的基本组成和工作原理如图4所示。

图4 证书管理系统组成和原理Fig．4 Composition and principle of certificate management system

CA由签发模块、业务处理模块、证书服务、CA管理控制台、安全运算卡、USBKey载体组成。CA是PKI公钥基础设施体系的核心，具有验证用户证书申请、签发证书、定期发布证书撤销列表等功能。RA相当于CA的一个代理机构，帮助CA完成证书申请的登记和审计工作。密钥管理中心对用户加密密钥的生命周期实施管理，主要包括密钥的产生、存储和归档等。证书数据库用于证书的存储和查询，以及CRL列表的查询。

RA由RA服务、证书服务、RA管理控制台、身份令牌载体组成，为用户申请和发放电子身份证书。

电子身份证书是公民在网络社会的身份凭证，因此必须对电子身份证书进行有效和安全的管理。电子身份证书由公安部门统一签发，公安机关当场验明个人用户真实身份后，为用户产生唯一网名，并为用户签发电子身份证书。与此同时，向实名认证系统提交该用户网名、真实身份证号和其他相关个人信息，将网名与用户真实的身份证绑定。

3． 4 实名认证服务

实名认证服务系统通过Web Services技术对外提供服务接口。服务的实现采用基于Web Services框架的服务实现技术。Web Services是一种具体的互操作技术而不是系统构架，支持服务的平台独立性以及跨机构边界的服务集成、调用与互操作。Web Services关注的重点是服务描述、发布、发现、调用，它将所有功能都定义为服务，包括了多种粒度级别的服务。所有服务都具有独立性，调用者只需要关心请求接口与返回结果。Web Services定义了规范化的服务接口，支持跨平台、系统可调用性，是目前支持SOA构架最好的应用技术。Web Services通过XML文件实现，这些XML文件有统一的格式与模板，同时采用简单对象访问协议(SOAP)作为通讯协议。

实名认证服务(其体系结构见图5)包括认证服务、身份映射服务、用户注册服务、证书验证服务等，通过标准的服务总线，以插件方式部署，便于系统功能的扩展。各服务通过基础设施访问接口调用基础设施提供的基础功能和数据。对外通过标准的服务协议提供服务，屏蔽外部系统直接对基础设施的访问。

服务提供者提供的服务包括统一的描述语言，即Web Services统一描述语言(WSDL，Web Services Description Language)，WSDL主要描述三个方面的特性:服务是关于什么方面的、服务在哪里以及如何调用服务。有了WSDL文件服务消费者便能轻松地获取相关服务并实现服务调用。

通过服务化对认证基础设施提供的安全功能进行了服务化封装，同时将安全认证基础设施的具体特性屏蔽。这样在相同的认证服务接口下，认证服务提供的认证功能可以根据下层使用的基础设施进行切换。不同的认证服务之间能够进行协同认证。尽管目前采用主要基于PKI的证书系统作为认证基础设施，也可以动态插入其它的认证基础设施，实现认证体系的扩展。

图5 实名制认证服务体系结构Fig．5 Architecture of real－ name authentication service system

3． 5 大规模网络环境支持

为满足互联网的超大规模环境的使用，主要从系统——节点——服务器三个层面满足系统的并发能力和数据存储能力。整个认证服务系统按照地域化分级分域实现网络实名支撑服务。根据用户的访问地点，通过相应的服务节点对用户的访问请求进行分流。用户通过门户网站获取证书签发或实名认证服务。门户网站根据用户的地址，将用户请求引导到相应的服务节点上。集群的目的是共享和高效地利用资源，提供大型运算和负载均衡用以分配请求、缓解压力以及出现故障时进行自动切换实现高可用性。负载均衡即通过特定的设备或者软件，将外部来的连接请求均匀地分配到现有的几个服务器或者服务上面，使服务器的负载平均，从而以较低成本消除网络瓶颈，提高网络的灵活性和可靠性。

集群的负载均衡策略是提高集群整体性能的关键，其目的是根据处理机的性能来分配与其相称的任务，最小化应用程序的执行时间。该策略将用户的请求按照一定的算法分发到集群的某些节点服务器上以实现对用户请求的并行处理，最大限度地利用各节点的处理能力，实现集群系统的负载均衡，提高节点的整体性能。

3． 6 基于云存储的海量分布式数据处理系统

为存储海量的用户实名信息，需要采用云存储的数据管理模式。云存储目的是向用户提供以互联网为基础的在线存储服务。实现云计算环境下数据存储的基础是由多个存储设备所构成的存储中心。这些异构的存储设备通过各自的分布式文件系统将分散的、低可靠的资源聚合为一个具有高可靠性、高可扩展性的整体，在此基础上构建面向用户的云存储服务。云存储结构示意图如图6所示。

图6 云存储结构示意Fig．6 Architecture of cloud storage

分布式文件系统(DFS，Distributed File System)是云存储的核心。利用分布式文件系统可以实现云存储中多个存储设备之间的协同工作，使分布在多个服务器上的文件如同位于网络上的一个位置一样，对外提供同一种服务，并提供更大更强更好的数据访问性能。

4 系统安全性设计

在互联网实名制下，公民身份信息隐私性保护是重中之重。公民的真实身份信息不直接放到互联网上或存储在业务网站中;对网络用户真实身份的查询必须经过严格的访问控制，并且所有查询操作都将受到严格审计和审查［4］。

整个实名制认证基础设施的自身安全防护，包括从网络安全——应用安全——数据安全的过程，能够在互联网上抵御来自网络的攻击造成的数据丢失泄露或者破坏，同时对内网的访问进行授权管理和行为审计，防止内部安全隐患。

从技术体制的实现上主要采用WS－Security安全体系架构，包含WS－Trust、WS－Secure Conversation、WS －Federation、WS － Policy、WS － Authorization等一些系列应用服务安全标准规范和SAML、XACML等断言及授权机制，内容涵盖了从如何保证消息的完整性和机密性、如何在消息中加入安全令牌、如何进行访问控制、如何进行授权、如何跨域进行身份认证、如何对安全措施进行协商、如何定义策略等相关问题。

5 结语

网络实名制在实施后能够有效地限制网络谣言和网络欺诈的横行，提高公民在网上，的责任感，起到净化网络、增强网络的信任度的作用。同时在实施过程中，需要不断完善系统的安全性，打消用户对隐私泄露的顾虑，逐步完善管理标准和相应的法律规范，从而使得实名制真正为广大网民所接受，促进电子商务、社会诚信等各方面的建设和健康发展。

［1］ 兆龙，林永青，马继华．共话网络实名制［J］．江苏通信 ，2010，6(03):14－17．

ZHAO long，LIN Yong－ qing，MA Ji－ hua．Discuss Network Real－name System ［J］．Jiangsu Communication，2010，6(03):14 －17．

［2］ 韩洪慧．正确理解网络实名 逐步建立实名体系［J］．信息技术与标准化，2011(07):46－48．

HAN Hong－hui．Understand Internet Real－name Correctly and Establish Real－name System Step by Step［J］．Information Technology ＆ Standardization，2011(07):46－48．

［3］ 肖凌，李之棠．公开密钥基础设施(PKI)结构［J］．计算机工程与应用，2002(10):137－139，251．

XIAO Ling，LI Zhi－ tang．Structure of PKI［J］．Computer Engineering＆ Application，2002(10):137－139，251．

［4］ 唐美丽，曹凯．韩国网络实名制对我国网络管理的借鉴意义研究［J］．情报杂志，2010，12(29):62－66．

TANG Mei－ li，CAO Kai．Research Network Management in China referring Network Real－name System in Korea［J］．Journal of Intelligence，2010，12(29):62 －66．