网络匿名的恶意辱骂、诽谤造谣、网络诈骗、低俗文化传播等行为对个人利益和公共利益造成了极大的损害，也为网络空间治理和良好网络生态建设提出了巨大挑战。网络实名制作为一种以用户实名为基础的互联网管理方式，是治理网络不良现象，净化网络空间的重要手段和制度。App实名认证是网络实名制发展的产物，是网络运营者依据用户提供的个人信息证实其真实身份的机制。实践中，App对实名认证提出了不同的解决方案。本文针对市场上各类App实名认证的方式、场景及存在问题等现状进行分析。

一.实名认证的方式

App将用户信息提交给第三方实名认证服务器，实名认证服务器调用相应的数据库对真实身份信息进行比对，最终返回验证结果给App。流程如下图所示：

在实际应用中App常用的实名认证方式有以下几种：

（一）身份证二要素验证：调用公安等政府部门的官方身份数据库，验证用户姓名与身份证号与库中数据的一致性，常用于网络社区、酒店服务、交通票务、网络游戏等行业的App。

（二）手机号三要素验证：调用移动、联通、电信运营商的电话号码库，验证用户姓名、身份证号码、手机号码三类信息的真实性及与库数据的一致性，常用于即时通信、在线教育、在线医疗、网上购物、求职招聘、快递物流、二手交易、旅游服务等行业的App。

（三）银行卡四要素验证：调用银联数据库接口，验证用户的姓名、身份证号、银行卡号、银行预留手机号与库数据的一致性，常用于网络支付、手机银行、网络借贷、投资理财等行业的App。

除以上三种验证方式，部分App还采用收集用户脸部、指纹、虹膜等生物信息来确认其身份的真实性的“实人认证”。这种增强式的实名认证在实际应用中有越来越被宽泛使用的趋势。

二.实名认证场景及分析

实名认证涉及的个人信息一般为用户的敏感个人信息，App在此场景收集用户信息时应同步告知用户其目的。从App同步说明的目的归纳分析，实名认证一是为满足国家或行业法律法规的履责需要，二是为维护运营秩序的风险控制，相关场景主要有以下几类：

（一）履责需要

注册时要求的账号凭证。从2013年9月1日起，新办理电话卡的用户需进行真实身份信息登记。因此用户注册时的手机号既可作为账号凭证也可为App确认用户真实身份。大部分App使用基于手机号的身份认证（见图一），部分App进一步要求用户输入姓名、证件号码等真实身份信息（见图二）来确认用户的身份。

履行公共安全、信息报送义务。健康码申请、个税申报等业务功能在调用用户行程轨迹、健康信息、个人收入时，需用户真实身份信息查询相关的数据库，确认人员是否达到高危风险地区，是否为密接人群及收入真实情况（见图三、图四）。

满足行业、业务特殊要求。为针对直播平台可能的涉黄、低俗和不良之风，相关网络文化协会对申请成为主播的用户提出了提交姓名、身份证号码、手机号码、银行卡账户信息、本人手持身份证照片的实名信息的要求（见图五）。在海淘购物的场景下，我国海关要求入境私人物品需要提供收件人身份证进行报关（见图六）。

（二）风险控制

加强服务安全性时的增强性身份验证。为确保资金安全，在用户进行支付、提现、投保、借款、交易等的操作时，App要求提供用户姓名和证件号码的真实身份信息。（见图七、图八）。

确认用户行为出自本人意愿。App在用户进行账号注销、个人历史信息导出等与用户权益关系重大的操作时为确保用户为账号拥有者，采用实名制的方式来防范可能被恶意注销账号和被他人盗取信息副本的风险。（见图九、图十）。

（三）无明确对应目的

以各类奖励方式为由收集实名信息。与以上场景不同的是此类场景下的实名认证不是强制的。App使用红包、礼品券等方式奖励用户完成实名认证环节或者以提高信任值、提升成交率、有可能享受更多权益等理由让用户同意实名认证（图十一、图十二）。

三.App实名认证收集个人信息存在的问题分析

上述App常见的实名认证场景中，从检测评估的结果来分析，主要存在以下问题：

（一）App阐述实名认证所依据的要求不明确

《网络安全法》第四十一条要求，网络运营者收集、使用个人信息，应当遵循合法、正当、必要的原则，《个人信息保护法（草案）》第六条要求“处理个人信息应当具有明确、合理的目的”，因此App在以实名认证为由收集个人信息时，应将其所依据的国家法律法规、行业管理办法的条款及要求明确说明或援引，而大部分App仅以“依据法律法规及监管要求”、“相关规定”等模糊说法概括，应该说是未达到向用户说明收集目的应具备的合法基础和合理理由。

（二）泛化使用实名制的要求

2017年 6 月 1 日开始实施的《网络安全法》提出的“网络运营者，应当要求用户提供真实身份信息”统领性要求，但尚没有详细、完整的配套文件对需实名认证具体的服务类型进行界定，没有对不同场景实名认证所需真实身份信息的具体类别进行明确。随着越来越多App在越来越多的场景下要求用户进行实名认证，就有部分企业存在“搭便车”心态，泛化使用实名认证要求，在既非必要场景下，又非强实名要求下，以实名认证为由要求用户提供姓名、身份证号码甚至人脸信息。且由于很多App在要求用户实名认证时，未能明确说明所依据的法律法规要求，用户也就很难分辨其必要性。

（三）欺骗用户提供实名认证的个人信息

实名制的推出有利于行业主管部门进行监督，打击犯罪，实名制已介入社会管理的多个领域，为了防范黄牛倒卖，实行了“火车票实名制”；为了保护个人财产，实行了“储蓄实名制”；为了杜绝垃圾、欺诈短信，实行了“手机实名制”。实名认证对社会管理追责方面也发挥了重要作用，但仍有些App“以欺诈、诱骗等不正当方式误导用户同意收集实名信息”的行为，比如，以实名认证为由收集用户个人信息，但并未对信息作真实性核验。测试发现，使用用户A的姓名、用户B的身份证号码，用户C的人脸信息，却通过了某些App的实名认证。出现该问题的原因有二，其一是由于验证用户信息的真实性时，调用第三方接口需支付一定的服务费用，在用户量大的情况下，费用对于App而言是一笔不小的开支；其二因为大部分人还是会提交真实的个人信息，App运营者通过超范围收集方式“囤积”数据，收集的这些敏感的个人信息，将可能为其提供更多的“变现”机会。

（四）未向用户明示实名信息的处理方式

《网络安全法》第四十三条规定，网络运营者应按照法律、行政法规的规定和与用户的约定，收集使用个人信息。据此规定，以实名认证为由收集的个人信息不应用于其他用途，在使用实名认证接口服务时，不得私自截留、存储此部分信息。在实践中大多数App在实名认证时，没有说明此信息在完成相应身份验证功能后将被如何处理（见图十三、图十四）。个人实名信息大多为敏感个人信息，一旦泄露可能会对用户财产等个人权益造成严重危害，特别是人脸、指纹等生物特征，属于不可变更的信息，除非特殊的场景不应收集。对于实名信息，如国家法律法规提出了保存要求时，应对个人信息安全作充分地影响评估，确保系统信息保护机制达到相应的要求。

四.几点安全建议：

App实名认证涉及庞大的数据信息，紧密关系着网民的个人信息安全，它的顺利推行还需有关主管部门进一步完善顶层设计和配套措施,推动网络运营者依法依规，在遵循最小必要原则前提下收集使用用户实名信息。

政策法规层面：可针对实名制的应用场景进行区分，出台相应的规章文件以及分级分类保护政策，制定标准规范引导企业正确应用。规章、政策等提出的框架性要求，应有配套的标准规范“明确”其范围、类型。同时，要充分发挥实名制的积极作用，还应当建立相应的监督管理机制，压缩运营者的自由裁量空间，避免运营者泛化使用实名制要求。

App运营者层面：一是明确需要实名认证的业务类型。以实名认证为由收集的个人信息，必须要有明确的依据。App运营者应梳理各部门或行业的相关要求，确认国家要求实名认证的业务类型。如现在已经明确的乘坐飞机或列车及长途汽车、住宾馆、进网吧、购买管制物品、寄快递、申请电话号码、网络游戏等均需实名制，在涉及此类型的业务时可以提出实名认证的要求。二是明确所需的实名信息类型。二要素、三要素、四要素验证方式所需收集的用户个人信息类型及其敏感度不同，强度依次增强。实名制要求与最小必要原则并不矛盾，需要根据具体需要选择适用于业务场景的实名认证方式，这样既是对用户个人信息的保护，也是充分履责、节约成本的体现。三是限制实名信息的使用范围。首先，绝大部分场景下，实名信息就是用于身份认证，其使用目的、范围是非常明确的，也是用户容易理解的，但是一旦用于其他目的，则需要再次征得用户明示同意；其次，使用实名信息，应避免使用原始数据，仅采用加密或去标识化数据实现身份再次验证等功能，将更有利于保护信息不被泄露、滥用。

（本文部分图片来源于互联网，作者：App治理工作组 樊华 高理想）

声明：本文来自App个人信息举报，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。