可信网站认证项目实践

梁振华

（上海凭安征信服务有限公司，上海 200335）

1 引言

近年来，随着中国网民规模的增长及网络购物的普及，网民的日常生活已与互联网紧密结合在一起。而层出不穷的钓鱼及诈骗网站，使网民利益严重受损。传统的网站认证方案存在种种不足，急需有可靠的解决方案。

2 项目背景

近年来，随着互联网的迅速普及和互联网经济的快速发展，网络失信行为也呈日益高发态势，其中尤以仿冒钓鱼网站危害为甚。据中国电子商务协会统计，保守估算每年因钓鱼或诈骗网站给网民造成的损失超过308亿元，网民损失惨重，企业品牌受损，严重威胁着互联网经济的持续增长和广大网民的信心，社会运转所需的信任成本大大增加。解决网络诚信问题、实现网站实名已成为影响国计民生的重要课题。网站认证可以有效确认网站主办者身份、核验开办资质、检验网站安全和经营诚信水平，可以成为落实网站实名制、推进网络诚信建设的有效手段。

针对网络失信乱象，早期也有企业、组织提供网站认证服务，主张为诚信企业贴上可信的标签，让用户远离诈骗，净化网络环境。主要方式为网站底部贴认证标识，如图1所示。

这种方式主要存在问题：

首先，标识为站长自行张贴，使得证书展示的认证信息安全性无法保障；

其次，底部贴标极易被仿冒，网民很容易因为虚假标识而误信了假冒网站，造成了更大的损失；

此外，底部贴标的形式过于“低调”，很少有用户会看到网站的底部，容易被忽略，完全丧失了可信展示的功能。对于如何展示网站的真实身份，早期行业中还采用了互联网软件白名单等方式，由于存在用户覆盖度低、展示效果不明显等缺陷，使得这一问题没有得到很好的解决，业界急需能够跨平台、跨终端的网站认证技术体系与标准。

图1 网站底部贴标的认证方式

3 项目技术原理

为解决网站认证的问题，我们提出借鉴国外CA/Browser Forum 机制建立国内的网站认证技术标准，在工信部相关领导协调指导下，2011年12月，认证联盟组织13家机构作为起草单位，共同制定网站认证国家标准——《网站可信标识技术指南》并提交全国信息安全标准化技术委员会审批。2012年1月，信安标委正式立项并成立《网站可信标识技术指南》标准工作组，工作组包括凭安科技、奇虎360、百度、华为、天威诚信、北龙中网等多家互联网企业和专家学者，并将《网站可信标识技术指南》研制工作列为信安标委2012-2013年度工作重点。

图2 项目的体系框架

3.1 项目体系框架

本项目的体系框架由网站、标识权威机构（I A）以及可信应用三部分组成，关系如图2所示。

a) 标识权威机构： 指具备鉴证网站真实信息能力，能够签发网站可信标识的机构。标识权威机构对网站进行认证，根据认证的信息为网站签发可信标识，同时对可信标识进行管理。

b) 网站：指待认证实体，网络服务提供者，可信标识的持有者,需要向标识权威机构申请可信标识、部署可信标识。

c) 可信应用：指支持网站可信标识的应用，包括但不限于浏览器、搜索引擎、即时通讯软件等。可信应用可以对网站部署的可信标识进行验证，并向终端用户展示可信标识的信息。

3.2 可信标识的使用流程

认证及可信标识的使用流程。

a) 网站到标识权威机构提交相关的身份信息和资料，申请可信标识。

b) 标识权威机构对网站信息和资料审核后，使用标识权威机构私钥对审核的信息进行签名，将用户资料、网站信息以及签名合成网站特有可信标识对象，发放给网站并公开发布。

c) 网站在网络服务器的根目录中部署可信标识。

d) 标识权威机构对外公开发布自身的数字证书（包含公钥信息）以及签发的可信标识信息，可信应用应正确获取并安装标识权威机构的数字证书信息。

e) 需要验证网站的认证信息时，可信应用从网站的根目录获取网站可信标识，使用安装的标识权威机构数字证书验证可信标识对象有效性，核对网站信息与可信标识中信息是否匹配。

f) 可信标识验证通过后，可信应用将可信标识中的内容向终端用户展示。

网站认证国家技术规范的设立，目的在于基于国家自主算法的密码体系，统一网站认证体系架构、操作管理流程、数据格式以及展示方式，建立开放的网站认证体系和管理体系，实现网站身份多方位的认证及展示，实现各地网站的统一管理和互信互通。

3.3 可信标识对象的组成内容

可信标识对象的组成如表1所示。其中，标识信息域的组成如表2所示。

表1 可信标识对象的组成内容

3.4 可信标识对象的管理

可信标识对象的管理状态关系如图3所示。(1) 可信标识申请

可信标识申请是网站向标识权威机构提交相关证明材料，标识权威机构对提交的申请和证明材料进行有效性核对和审核的过程。

(2) 可信标识生成

可信标识生成是标识权威机构根据审核确认的网站信息，生成网站可信标识对象的过程。标识权威机构将网站实体信息以及自身信息合并后，使用S M 2 算法私钥对信息签名，产生可信标识对象，然后对可信标识对象进行Base64编码后以文本文件存储。标识权威机构的SM2私钥是签发可信标识的关键，应遵循国家密码主管机构对密钥的相关规定进行安全存储和使用。

(3) 可信标识发放

可信标识发放是标识权威机构将网站可信标识文件发送给网站的过程。发送方式可采用在线下载、邮件传输、离线存储设备拷贝等方式。

(4) 可信标识部署

可信标识的部署是网站收到可信标识文件后，按照约定部署到网站的过程，具体方式是以约定文件名称（如site_trust_id.txt）部署在网站的根目录下，可信应用可以通过HTTP方式从网站根目录下获取可信标识（http：//网站域名/ site_trust_id.txt）。

(5) 可信标识更改

由于网站实体内容的更改，如域名、IP或者网站所有者发生变化，则需要对原有可信标识进行更改。可信标识的更改首先进入可信标识撤销流程，然后重新进入可信标识申请流程。

(6) 可信标识过期

表2 标识信息域的组成内容

网站可信标识对象中的终止有效期早于当前时间时，可信标识处于过期状态，网站需要通过重新进入可信标识申请流程才能获取新的网站可信标识。

(7) 可信标识撤销

可信标识撤销是标识权威机构将特定可信标识列入标识撤销列表的过程，标识撤销列表包含标识权威机构的签名信息。

当出现网站实体内容更换（如域名、IP地址或者网站所有者发生变化）情况时，网站应向标识权威机构提出可信标识撤销。

标识权威机构也可以主动撤销网站可信标识。

(8) 可信标识发布

标识权威机构应及时对外发布可信标识信息以及标识撤销列表信息，可信应用可以根据发布的信息验证可信标识的有效性。

(9) 可信标识延期

当可信标识有效期结束，网站需继续使用可信标识时，标识权威机构采用原有网站信息后重新生成可信标识，发放给网站继续使用。

(10)可信标识对象获取及验证

当可信应用需要对网站进行验证时，首先从网站根目录下获取网站的可信标识对象文件（http：//网站域名/ site_trust_id.txt），然后从文件中提取可信标识对象进行不少于以下步骤的验证。

a) 判断可信标识对象是否为合法的网站可信标识对象，即解析可信标识对象的数据内容是否符合所定义的数据格式。

b) 判断可信标识对象是否为信任的标识权威机构签发，即解析可信标识对象中的标识权威机构名称是否与可信应用信任的标识权威机构名称匹配。

c) 判断可信标识对象数据是否被篡改，即使用信任的标识权威机构公钥解密可信标识对象签名域，得出签名摘要值，对可信标识信息域进行摘要运算，将两个摘要值进行比较，摘要值相同，则可信标识对象未被篡改，摘要值不同，表明可信标识对象被篡改。

d) 验证可信标识对象有效期，即解析可信标识对象的起始有效期和终止有效期，与当前的时间对比，务必使当前时间处于起始有效期与终止有效期之间。

e) 验证可信标识对象是否已经被撤销。验证可信标识对象是否已经被撤销的方法有两种。

①事先或实时获取标识撤销列表并解析，检查当前可信标识对象的序列号是否在标识的撤销列表中,如果存在，表明当前可信标识对象被撤销，如果不存在，表明可信标识对象未被撤销。

② 采用标识状态查询方式实时获取可信标识对象的状态，判断可信标识对象有效还是撤销。

f) 验证可信标识中的信息是否与访问的网站信息匹配。验证信息包括但不限于域名、I P地址。

以上步骤中任何一个步骤验证失败，都认为验证失败。

4 项目试点业务模式

依托网站认证国家标准，认证联盟成立网站可信认证专业委员会，并在工信部信息安全协调司组织下开展网站可信认证服务试点，率先对公立医院网站进行了可信认证。

试点开启了基于权威第三方的开放认证体系，主要通过专业的第三方认证机构对网站的域名、主办单位身份、经营资质、网站安全等信息进行核验，利用PKI数字签名技术等手段形成不可篡改的认证标识，并与互联网终端厂商合作，在浏览器、搜索引擎等符合用户使用习惯且显而易见的地方标识出网站身份，方便网民识别区分真假网站，减少网民被钓鱼的几率，有效提高网民上网安全系数，如图4和图5所示。

图3 可信标识对象的管理状态

图4 浏览器展示效果

5 项目经验效果

经过试点运行，有新疆CA、网证通、深圳C A、山西C A 等认证机构申请加入作为认证服务机构，同时有奇虎360、傲游、2345、火狐作为互联网厂商接入认证联盟的结果展示，整个产业的规模与影响力都得到了稳步的提升。为保障网站可信认证业务的持续健康发展，2014年起，可信网站认证业务正式开始市场化商业运作。

五年以来，在工信部的大力指导下，在认证联盟的有效组织协调下，网站可信认证业务取得了明显的进展，主要表现在几个方面。

（1）认证联盟积极拓展了合作终端规模，目前认证联盟网站认证标识已覆盖I E 浏览器、360浏览器、傲游浏览器、2345浏览器、360搜索等互联网平台,网站认证信息每日展示超过50亿次，覆盖5亿网民，初步达到“一处认证，处处展示”的效果。

（2）目前，已有30余万家网站用户提交了认证联盟网站可信认证申请，已为阿里巴巴、京东商城、淘宝、新浪、百度、腾讯等10万余家网站进行了实名网站认证，形成了认证联盟网站可信认证的品牌效应，统计数据如图6所示。

（3）积极拓展各类增值服务：开设网站品牌保护服务拦截、打击假冒网站；开设放心保障计划为诚信商家提供诚信展示平台、保障网民网上购物安全；开设搜索官网直达助力诚信企业网络营销，为企业带来更多帮助。

（4）在良莠不齐的网站认证服务市场中，认证联盟秉持严格、严肃、稳健的审核标准通过了市场的考验，得到广大网站的认可。

（5）经过5年的精耕细作，认证联盟已累计认证10万多家网站，认证结果通过多终端覆盖5亿网民，每天展示量超过50亿次。认证联盟客观、公立、可信的品牌形象得到亿万网民的认可。

图5 搜索引擎展示效果

图6 认证网站统计

6 结束语

本项目借助互联网厂商的用户终端优势，通过创新的网站名片展示方式，将认证信息直接推送到广大用户，在网民使用360浏览器、IE浏览器、2345浏览器、傲游浏览器、360搜索、360安全卫士等产品上网过程中，直接展示相应网站的认证信息，有效提升网站可信形象，帮助网民辨别网站真伪，为网民轻松解决以上网安全问题，同时有效打击了网站仿冒、网络钓鱼等行为，强力提升了广大网民的上网安全水平。