金融信息安全涉及国家安全——访网络密码认证技术北京市重点实验室主任、三级研究员胡祥义

文／本刊记者 史晓波

日前，网络密码认证技术北京市重点实验室向国家有关部门发出“关于采用自主可控认证技术实施我国网络身份证的建议”，建议指出，要实现网络安全，必须加强网络安全的“顶层设计”，实施“网络身份证”（eID）国家战略。该实验室主任、三级研究员胡祥义先生接受《中国科技财富》记者采访时表示，面对日趋严重的网络安全态势，我国应加快eID（网络身份证）国家战略，率先制定相关技术的国际标准，以此抢占信息安全制高点，可主导未来建立全球信息安全空间行为规范，抢占后信息高速公路时代的建设先机。

金融网络信息化的飞速发展中的安全隐忧与对策

“指纹识别、人脸识别、口令识别、声纹识别、手势识别等识别技术在不同的场景应用上都需要，但是，它们的安全等级比基于密码技术的认证系统要低很多。”胡祥义在对记者解读国家关于《金融和重要领域密码应用与创新发展工作规划（2018—2022年）》时着重强调了密码技术与上述人们常见的识别技术之间的实质区别。

他指出，金融信息化、网络化给金融领域应用带来超快的发展，但其中的安全隐患不容忽视，网络在线支付领域安全事件频发已经成为“常态”，如支付宝、苹果PAY、三星PAY等都采用静态口令认证技术模式，虽然它们具有速度快，操作简单，成本低廉等优势，深受支付企业和用户的青睐。但是，其支付单缺少签名和加密功能，黑客通过截获并替换支付单的内容，即可实现对在线支付协议的有效攻击，盗取用户账户资金。因此，基于口令认证技术模式的移动支付系统安全等级是比较低的。

胡祥义告诉记者，采用密码技术在网络上建立安全体系，能为用户提供高安全等级的在线移动支付服务，保护老白姓的“钱袋子”安全。建立“网络身份证”体系，将使互联网变得更加简便、高效、安全与可信，使得用户的个人信息免遭泄露，它是政府统一为网民提供网络身份认证服务，促进信息消费、保证金融安全的重要手段和方法。

各国实施网络身份证战略的现状

胡祥义指出，要实现我国的网络安全，国家级的“顶层设计”必不可少，实施“网络身份证”国家战略是其重要一环，他向记者列举了国内外的几个实例：

韩国在2007年开始实行了网络实名制，于2012年宣布失败，原因是使用固定口令认证登录，极易被黑客攻破，使个人信息全面外泄。

美国2011年初，奥巴马政府实施“网络身份证”国家战略，计划10年完成，计划投资5.63亿美元科研经费，开展新网络认证技术的研发。但是，8年过去了，至今新网络认证技术还未问世。他们依然采用的是具有30年历史的PKI技术来建立美国的eID试点，至今没有获得重大进展。根源是PKI技术无法支撑海量用户（亿级）建立网络身份证体系。

美国军队大约于2004年左右，开始实施军队系统的eID，美军2013年度的网络安全维护费用高达34亿美元，“网络遍布全球各个角落，连接现役部队、预备役部队、国民警卫队、地方政府与合同商，大约有370万拥有网络身份证的人使用国防部公钥基础设施PKI（public key infrastructure的缩写）（见：美军2013财年信息技术与网络安全项目预算需求）。PKI的证书维护费折合人民币大约：6300元人民币/人/年，可见，证书维护费较高。爱沙尼亚采用PKI技术建立国家eID，该国是国际上信息化最高的国家，然而，人口只有340多万，比美军用户量还少。

我国一些部门和研究机构也进行了eID的研究和试点工作；但是，核心技术架构也是采用与美国相同的PKI技术架构。

密码在网络安全领域的应用以建立网络认证技术架构为主

目前，我国主流的网络认证技术架构都采用国际上通用的PKI（public key infrastructure）技术，但是PKI技术在CA认证中心的证书是以明文存储在数据库中，显而易见是有安全隐患的，容易受到黑客通过篡改用户证书的方式进行攻击。正像沈昌祥院士明确指出的那样：“由于难以保证数字证书的验证装置或系统是安全的，在这些不安全的装置和系统上，一个非法的证书有可能冒充合法证书。”（见：沈昌祥谈我国的PKI建设，《中国信息导报》2002年第09期）。因此，需要将证书加密成密文后存储。

胡祥义主任告诉记者，国际上常用的网络认证架构包括：PKI、IBC和CLA等，在基于密码技术建立网络认证架构的研究领域，包括基于公钥（非对称）算法的网络认证架构的研究和基于单钥（对称）算法的网络认证架构的研究，我国都处于世界领先水平或第一方阵。目前我国密码学者研发的多种网络认证架构如：CLA、CPK、垂直认证、CLF、IKI等，其技术特征与优势明显，他认为未来20年，国内自主知识产权的网络认证架构将成为主流，可以应用于不同的网络安全应用领域，满足我国INTERNET 2.0和物联网安全应用的需求。

确保实施金融网络信息安全措施的四条原则和建议

国家采用密码技术在网络上建立安全体系，需要确保网络认证架构安全、密码算法安全、密钥管理安全，以及网络协议安全。胡祥义研究员提出了四条保证我国金融网络信息安全措施的原则和建议：第一，要坚持以国密算法为基础，智能芯片为载体的网络安全架构；第二，要做到认证协议、签名协议、加密协议、密钥交换协议等须在加密芯片硬件里完成，实现“芯片级”的安全协议。第三，对称密码密钥管理，要保证各种（认证、签名、加密和密钥交换）对称密钥都一次一变；第四，对于非对称密码密钥管理，必须保证3～4个月更新一次密钥对（含：公钥和私钥）。

我们已拥有自主可控可实施“网络身份证”的核心技术

各国网络身份证技术，主要采用PKI（public key infrastructure）技术已经有近30年历史了，我国引进PKI至今也有22年历史。胡祥义主任认为，PKI是采用非对称密码和对称密码相结合的方式来建立网络认证架构的，其建设和维护成本都比较高。他指出，要实施“网络身份证”战略，其网络认证技术，必须解决海量（亿级）用户并发认证和海量（亿级）表单并发签名验证的难题，而PKI无法有效解决。

据介绍，网络密码认证技术北京市重点实验室在中国工程院周仲义院士的指导下，经过10多年研发成功的“垂直认证”技术，是采用组合密钥生成算法解决对称密码的密钥管理难题，实现认证密钥、签名密钥、加密密钥和交换密钥的密钥，都一次一变，且认证、签名、加密和密钥交换协议，都在芯片里完成，是“芯片级”的安全协议，安全等级高于PKI。

对比PKI，“垂直认证”技术是新一代认证技术架构，其并发认证速度快其100倍，并发签验速度快其200倍，能解决海量（亿级）用户并发认证和海量（亿级）表单并发签名验证的难题；PKI是人工更新密钥，而“垂直认证”是采用智能合约式的实时更新密钥，可降低年密钥维护成本80%，而且安全等级也得到了大幅度提升。

经第三方权威部门检测，“垂直认证”技术各项指标已远远超过国家网络空间安全指南2020年的考核指标。据介绍，“垂直技术”已经获得国家和军队相关产品证书和多项国家发明专利，是具有自主知识产权的密码产品，完全自主可控。周院士认为，“在我国实施网络身份证建议是积极的，技术方案是可行的”；中国工程院魏正耀院士认为“垂直认证”技术有三个重要创新点；而国际著名密码学家、伦敦大学密码学博士、国家可信计算工作组副组长韩永飞教授则指出：“该技术方案至少领先世界10年以上”。

网络时代，各国都想实现eID，包括我国的一些研究机构，但其研究基本上都有一些欠缺。胡祥义认为我国腾讯、阿里、华为等大公司是最有条件实施网络身份证eID的企业。如腾讯公司的微信，已经完成了几乎全部个人与个人、部分个人与机构之间的文件、语音和多媒体传输平台，实施eID只需在手机端部署的加密芯片中写入5种安全协议（包括：认证、签名、文件加密、语音加密和多媒体加密协议），即可建立个人与对应机构端的认证中心。建立这样的eID，不仅能大幅降低建设费用，还可有千亿级的收入，是新时代实现企业“君子豹变”千载难逢的机会。

胡祥义主任最后总结到，采用“垂直认证”技术可支撑我国实施“网络身份证”（eID）国家战略，保证政府、企业和个人的信息安全。像1993年美国克林顿政府实施信息高速公路国家战略一样，实施网络身份证国家战略，可促进我国的经济发展，尤其是促进信息安全产业成长，促进传统产业转型和升级，提升国家竞争力。同时，可培养和锻炼人才，增加就业。