导读：本文对“网络身份”相关的一系列概念进行了梳理，从现实社会身份管理的方式方法引申出网络身份管理应借鉴的经验和思路，对网络身份生命周期管理所涉及的4个基本阶段及其重点要解决的问题进行了分析，提出了网络可信身份体系参考架构及其系统功能结构，并提出了推进我国网络可信身份体系建设和应用的相关建议。本文略长，请读者朋友们耐心阅读，谢谢。
国强（国家信息中心）
21世纪以来，互联网的普及推动了数字经济的蓬勃发展，极大地改善了人类生产生活方式.但同时，网络空间的匿名性及网络身份的非真实性使得侵犯个人隐私、网络欺诈、网络谣言等违法违规活动日益猖獗.在开放的网络空间中证明用户真实身份的能力对于促进数字经济健康发展和社会繁荣进步至关重要，必然要求国家或者社会提供权威可信的网络身份服务.
《中华人民共和国网络安全法》(以下简称《网络安全法》)第24条规定：“国家实施网络可信身份战略，支持研究开发安全、方便的电子身份认证技术，推动不同电子身份认证之间的互认.”《中华人民共和国个人信息保护法》(以下简称《个人信息保护法》)第62条规定：“推进网络身份认证公共服务建设”.
为落实《网络安全法》《个人信息保护法》的相关要求，推进网络可信身份战略，国家应统一规划并建设网络身份基础设施，向社会提供权威可信的网络身份认证公共服务，积极推动构建以用户为中心的全网、全程的网络可信身份体系，保障数字经济健康可持续发展.
1 识别人的身份是开展各项社会活动的前提
身份是一个内涵丰富而又外延较广的概念,开展各项社会活动时，要先回答“你是谁”这个问题，既需要说明自然属性，更需要说明社会属性.对人的身份识别的需要可以追溯到社会的起源.人们开始进行社交并相互交易时，一般会通过人脸、声音、身高等生物属性以及衣着、单位、职务等社会属性，或者由受信任的人介绍等方式进行身份核验.通常情况下自证是不够的，还需要他证，特别是需要政府等权威机构的证明身份才会被其他人或者组织所接受认可.识别人的身份并建立一定程度的信任关系是开展一切社会活动的前提.
2 对公民的身份管理权是国家主权内容之一
从历史上看，国家在识别公民身份并生成正式的权威身份证件方面发挥了关键作用.专业知识、强制力、信息和社会关系的集中化管理使政府成为可信的身份证明提供者.公民身份证件由政府签发，增强了权威性和认同感，政府管理的法律权威性和程序规范性保证了身份证件的一致性，有助于增强信任(哪怕是最低水平的)，并显著降低社会沟通和交易成本，国家身份证件所带来国家的认同感也有助于促进民族团结，建立信任和调解内部冲突.对公民的身份管理权是国家主权内容之一.网络可信身份管理是网络空间安全的基石.
随着信息社会的兴起，为加强对社会保障、税收、医疗卫生等公共事务的管理，政府建立了相应的信息系统，并为公民颁发各种电子证件以识别其身份；各种各样的互联网应用平台都把用户管理作为一个基础功能模块来开发.这些驱动因素导致产生了一个分散、碎片化的网络身份格局，每个信息系统都有自己的网络身份管理系统或者功能模块，每个系统可能都是运行良好的系统，但彼此隔离，缺少互操作性；这种功能性的身份识别系统导致网络身份的碎片化和管理复杂性，给国家网络空间治理和数字经济健康发展造成了巨大经济和社会负担.国家网络空间治理必然要求国家介入并加强网络身份管理，由国家主导建设网络身份管理基础设施，并向社会提供权威可信的网络身份认证公共服务.
3 与“身份”相关的概念
网络可信身份的关键特征是要能够真正映射绑定到唯一真实的人，并在其生命周期中动态保持一定的可信度.开展网络身份管理特别是网络可信身份管理，首先需要理清有关“身份”的一系列概念.鉴于“身份”的内涵丰富而又外延较广，与“身份”相关的概念需要给予明确定义.
3.1 身份与身份识别
身份(identity)是使一个人或实体个性化的一组独特的特征和特点，包括社会属性和生物特征；身份识别(identification)是确定一个人或实体的身份并确认其是什么的动作或过程.
3.2 网络身份、网络身份识别及身份管理
网络身份(network identity)是指可以唯一标识一个人或实体的一组通过电子方式采集和存储的属性和凭证；网络身份识别(networkidentification)是确认一个人或实体的属性和特征(独特性)以建立其网络身份的过程；网络身份管理(network identity management)是在技术平台及相关组件的支撑下，由一个组织按照一系列规则、程序对网络身份进行全生命周期管理(包括网络可信身份的创建、使用和交换)的动作和过程.
网络身份是从事在线活动的主体的唯一表示，网络身份通常需要在开放网络上对主体进行远程身份证明，以及通过开放网络对主体进行远程身份认证以访问数字服务.国际标准ITU T Y.2720中定义网络实体身份为“在特定环境中能够识别实体的特定信息”.在网络空间中，一个网络实体的身份需要具备身份标识、身份凭证和身份属性3个基本要素，即标识符、凭证和属性：
1) 标识符.一段用于区分实体的数字或字符串等数据，例如：全球唯一的URI、用户名、为某个特定服务提供的临时有效的可区分身份的昵称、电子邮件地址、电话号码等.
2) 凭证.一种只有实体才拥有和控制的、可以证明实体唯一身份的对象或数据结构.常见的凭证包括口令、数字证书、指纹、Kerberos票据和SAML断言等.
3) 属性.描述实体特征的一组数据，包括生物特征和社会属性.属性值的例子包括真实姓名、居住地、年龄、性别、角色、职务、网上活动记录、信用等.属性也可以用来作为辅助凭证.
3.3 用户、认证与凭证
用户(user)是被授权访问信息系统的个人或(系统)进程.认证(authentication)是当用户访问资源时，通过提供相应凭证证明用户身份的过程，通常作为接受用户访问资源的先决条件.凭证(credential)是 一种只有实体(用户)才拥有和控制的、可以证明实体唯一身份的对象或数据结构.
网络身份生命周期是一个网络身份从产生到结束的全过程.一个网络身份从申请时开始，到由于个人请求删除、死亡或其他事件导致网络身份无效，网络身份记录被删除时结束.
4 从现实社会中寻找网络身份管理的方法
网络空间是现实社会的映射，网络身份管理实际上是现实社会身份管理在网络空间的延伸，网络身份管理需要从现实社会中寻找依据和管理方法.
4.1 居民身份证管理
中国最早是通过户籍制度和户籍管理来实现居民身份管理的，1985年9月6日中华人民共和国第六届全国人民代表大会常务委员会第12次会议通过了《中华人民共和国居民身份证条例》，开启了居民身份证管理时代；2003年6月28日第10届全国人大常委会第3次会议通过了《中华人民共和国居民身份证法》(以下简称《居民身份证法》)，之后于2011年10月29日再次修订发布，《居民身份证法》分为总则、申领和发放、使用和查验、法律责任、附则5章23条，进一步加强了居民身份证管理制度.
从《居民身份证法》的内容看，居民身份证管理的核心内容可以概括为：由法定机关管理，以户籍管理为根本，以居民身份证为载体，证件由各级公安机关审核制作发放；证件制发与应用验证分离，身份验证由应用场景自主完成；不是所有的应用场景都需要核验身份证等.
本文据此对现实社会对身份证管理和使用查验的基本关系进行了梳理，形成了“身份证管理基本关系图”，如图1所示：
图1 身份证管理基本关系图
4.2 网络身份管理
网络身份管理有2个最基本问题必须解决：一是在网络空间中如何方便地证明“我是我”;二是如何保护个人身份隐私，防止身份滥用，防范身份欺诈.这2个问题应贯穿整个网络身份体系设计之中，应从网络身份的注册申领、认证鉴别等基本环节加以考虑.
借鉴居民身份证管理的实践经验，网络身份体系建设管理和应用的基本思路可以概括为：网络身份注册申领应由法定机关管理，以居民身份证为根，网络身份凭证应区分可信等级，由法定机关审核制作发放，网络身份标识中应不含用户身份信息，用户身份信息应只保存在国家网络身份库中；网络身份凭证制发与使用验证应相对分离，身份认证主要由应用场景自主完成；不是所有的应用场景都需要提供高等级网络身份凭证等.
5 网络身份应分可信等级实施管理
网络身份可信级别应反映在确定一个人的身份时对网络身份识别手段的信任程度，从而保证声称某一特定身份的人实际上是该身份被分配给的人.身份证明、核实以及认证等过程控制、网络身份签发机构及其签发程序等管理水平和技术控制水平决定了网络身份可信级别.
在现实生活中，也不是所有的场合都需要对居民身份证进行查验.为便民利企，《居民身份证法》在“第三章 使用和查验”规定，仅仅是在一些需要严格核验身份的场景下才使用和查验居民身份证.
为方便用户使用，降低建设、管理和应用推广成本，网络身份应分可信等级实施管理.国务院办公厅关于印发“互联网+政务服务”技术体系建设指南的通知”(国办函〔2016〕108号)提出要“根据认证程度不同，实名认证用户可分为不同等级，不同等级的用户赋予不同的网上办事权限.”
6 网络可信身份与网络可信身份体系
通过对网络实体持有的身份凭证进行认证鉴别，将其身份标识与其现实社会中的真实身份属性建立绑定关系，网络身份就成为可信的网络身份.网络可信身份主要有3种来源，分别是系统拥有者、网络身份服务提供者以及国家法定权威机构.
网络可信身份体系是对网络身份可信度进行管理和规范的一种体系，包括与网络身份相关的法律法规、标准规范、基础设施、产品技术、管理服务等内容.网络可信身份体系为网络空间中所涉及的自然人、法人以及各种各样的联网设备和服务提供全生命周期的网络身份注册、凭证发行管理、身份认证以及身份维护等网络身份服务，是网络空间安全的基础性公共支撑.
7 网络可信身份体系建设应遵循的原则
结合国内国际的实践经验和现实需求，网络可信身份体系建设应遵循以下原则要求：
1) 安全.网络可信身份应唯一、安全、准确、易用，能够保护用户隐私和数据安全，网络可信身份能够被应用(后端)、用户(前端)快速简便安全接入和使用.
2) 兼容.网络可信身份体系建设应尽可能不改变现有认证协议、标准和规范，最大限度利用现有存量网络身份资源，降低应用开发改造成本，不造成重复投资.
3) 衔接.现实社会身份管理体系是网络可信身份体系的根，其建设和应用应基于现实社会居民身份证管理体系的已有基础，应与现有社会身份管理制度能够衔接.
4) 互认.网络身份相关标准应是面向社会开放的，网络可信身份管理平台和身份认证公共服务平台应能支持现有不同电子身份间的互认.
8 网络可信身份体系参考架构
8.1参考体系架构
网络可信身份体系架构(如图2所示)主要包括法定身份数据持有机构、网络身份管理基础设施(包括网络身份管理平台和技术支撑)、法律法规标准规范以及运行监管安全保障等，共同为网络可信身份体系的上层应用提供网络身份服务.在网络身份管理相关技术支撑下，身份管理基础设施主要提供网络身份注册(身份证明)、凭证发行管理、身份认证以及身份维护等服务，以及在大数据支撑下提供相应的网络行为追溯服务等.网络身份管理基础设施需要人口库、法人库等基础数据库和法定实名数据持有机构提供实名数据核验支持，以及密钥基础设施提供的密码服务支持.
图2 网络可信身份体系架构
8.2系统功能结构
网络身份管理系统包括网络身份注册申领、网络身份管理、网络身份认证服务等功能模块或平台(也可包括网络身份追溯等组件)，为应用系统和第三方认证服务机构提供网络身份认证服务(如图3所示).
图3 网络身份管理系统功能结构
网络身份库用来存储网民法人的身份信息(ID、凭证相关信息、用户身份基本信息、其他身份信息).网络身份库应配备高等级的安全防护措施和监测手段，防止身份信息泄露，保持身份信息完整、可用.网络身份库可分布式部署，网络身份库只接受网络身份管理系统访问.
网络身份管理模块是网络可信身份管理系统的中枢.负责对网民法人注册的网络身份信息进行访问控制管理，对网络身份库进行操作.提供真实身份核验、网络身份签发、网络身份管理、网络身份认证等在线服务.
网络身份注册申领(如图4所示)模块(子系统)是网民法人注册网络可信身份的入口，也是网民法人维护其网络可信身份信息的重要渠道之一，应有方便易用的用户界面，应提供移动APP.网络身份注册申领模块通过网络身份管理模块访问网络身份库.
图4 网络身份注册申领
网络身份认证服务模块面向应用系统、第三方认证机构，以API或SDK的方式提供网络可信身份认证服务.网络身份认证服务模块通过网络身份管理模块访问网络身份库.
9 网络身份管理的4个基本阶段及其核心问题
网络身份生命周期是一个网络身份从产生到结束的全过程.一个网络身份从申请时开始，到由于个人请求删除、死亡或其他事件导致网络身份无效，网络身份记录被删除时结束.网络身份的生命周期包括注册申领与身份证明、凭证发行与管理、身份认证、身份管理与维护4个基本阶段.
9.1 注册申领与身份证明
注册申领是一个与应用无关的独立过程.网民应登录国家网络身份管理平台，以法定凭证(如居民身份证等)为基本证件，向国家授权机构或认可机构申领.申领过程中要充分照顾网民心理，通过多种渠道、多次累积的方式核验身份信息，线上线下相结合、以线上远程身份核验为主，完成对个人真实身份的核验.
注册核验是网络身份可信的基石，是以后建立信任关系的锚点，应通过相关法律法规和标准规范进行明确规定.
身份核验时要合理划分可信级别，不同应用场景对身份核验级别的要求也不同.一般应根据应用场景对真实身份核验级别的需要，通过国家或社会权威真实身份信息库，如国家人口库等，完成对个人身份核验.
注册申领完成后，网民可在国家要求使用网络可信身份的应用中使用登录，也可在支持网络可信身份的应用中使用登录.
在网络身份注册过程中，当申请人向注册审核机构提供其身份的证据时，其身份的基本属性就建立起来.如果此人按照规范性要求和程序可靠地表明了自己的身份，注册审核机构就可以在一定程度上保证其身份的可信度.注册审核机构应通过身份证明文件做到如下事项：
1) 在网络身份数据库中，将重复声明的身份标识合并解析为唯一的身份标识，并删除重复的数据项；
2) 确认所有提供的证据是正确和真实的；
3) 验证声明的身份是否存在于真实世界中；
4) 核实所声称的身份与提供身份证据的真人有关.
注册阶段的核心问题是如何结合申请人线下持有的法定机构签发的身份证明文件及法定机构持有的权威身份数据，利用线上远程的方式对申请人进行身份证明与核实，确认“我是我”，并能够保证身份证明及核实达到一定的可信水平.
9.2 凭证发行与管理
身份核验完成后，注册平台将按其身份核验级别给网民签发不同可信等级的网络可信身份凭证.网络可信身份凭证由网民个人持有，作为其登录网络应用时的认证或鉴别凭证.根据网络身份可信等级，网络可信身份凭证有多种安全级别和实现形式，如动态口令、数字证书、芯片、移动设备、指纹等.
网络可信身份凭证应基于国产密码技术生成、强度足够、成本要低、应不依赖物理载体介质，能够防盗用，具备有效期，可查询状态(挂失后可冻结、废除).网络可信身份凭证丢失、失窃、泄露时，网民可通过真实身份核验后申请临时网络可信身份凭证.
网络可信身份凭证的制发与认证原则上应由不同机构进行，制发由国家授权认可的机构负责，认证可由应用自主选择第三方认证服务机构完成.
凭证管理从凭证颁发开始，这是创建和分发虚拟或物理凭证的过程，如电子护照、网络身份证、身份二维码、网络身份APP以及唯一的网络身份标识.
凭证管理的日常工作是凭证维护(检索、更新和删除)和撤销(删除分配给凭证的权限).应制定与网络身份相关的法律法规和标准规范，以指导和支持凭证颁发机构提升网络身份凭证的互操作性和互通互认.
凭证发行与管理阶段的核心问题是在不同的可信身份级别水平上如何为申请人提供既安全方便又成本合理的认证凭证，认证凭证应包括安全、不易破解、携带使用简便等特性.
9.3 身份认证
身份认证是根据已注册的身份信息验证身份声明者的过程.这些身份信息可以是个人识别码(PIN)、口令、密钥、数字证书、指纹、声纹或面部图像等生物特征数据，也可以是这些信息的组合.这一阶段的挑战包括：如何缩短响应处理时间；提高身份认证匹配的准确性；确保申请人的无缝体验；减轻网络连接负载；打击身份欺诈行为以及找到价格合理的硬件和软件解决方案.
在网络空间中，网络可信身份可与网民的个人真实身份一一对应.在国家相关法律法规和标准规范要求指导下，国家授权管理机构、认证服务机构、应用服务机构等均可依法依规通过网络可信身份凭证认证用户身份，收集和管理用户行为信息，协助打击网络犯罪，维护网络秩序.
身份认证阶段的核心问题是如何打破网络身份碎片化的局面，实现不同网络身份间的互认互通，实现统一认证、一网通办，降低网络身份认证的经济社会成本.
9.4 身份管理与维护
身份管理与维护是检索、更新和删除身份属性或数据字段，控制访问身份信息和身份服务的持续过程.
身份检索涉及获取用户的身份属性，应使用安全策略来强制执行访问权限，对身份操作进行审核以确保只有经过授权的用户才能访问、更改或删除身份信息.
网络可信身份体系建立后，用户身份信息仅保存在国家授权或认可机构建立的网络身份数据库中.国家授权或认可机构将依法予以保护，防止非法访问和恶意攻击.
应用系统原则上不再收集、存储网民身份信息，身份认证交由第三方认证服务机构完成.应用系统可以直接使用国家授权认可的第三方认证机构提供的身份认证服务.应用系统要获取用户身份信息需向国家授权机构申请或备案.应用系统获取用户身份信息需用户知情、同意.根据应用场景的不同要求，用户使用不同等级的可信身份凭证登录应用.
身份管理与维护阶段的核心问题是如何动态地维护身份证明及认证的可信水平，并保护用户身份隐私数据安全，使其始终保持在一定的可信级别上.
10 相关建议
为推动我国数字经济的健康快速发展，提升国家网络空间治理能力和国家网络空间治理体系现代化水平，保障网络空间安全,建议国家相关部门组织开展对国际国内网络身份管理体系建设应用的现状进行调研，分析我国网络身份管理中存在的关键问题.建议开展以下5个方面的研究：
1) 开展网络身份立法的必要性和可行性研究.尽快研究并提出网络可信身份管理办法或者管理条例，加强网络可信身份监管，明确网络可信身份各方责任，统一网络可信身份保证水平标准，明确网络可信身份证明、身份验证器、联合身份验证等保证级别规范性要求和操作程序，把推动网络可信身份互认、加强不同网络可信身份管理系统互操作性列为法律要求.
2) 研究并提出网络身份可信体系建设顶层设计框架，梳理完善网络身份相关标准规范的重点工作任务.
3) 尽快开展立项建设国家网络可信身份基础设施的可行性研究.早日推动国家网络可信身份基础设施和国家网络可信身份互联互通基础设施建设，向社会提供权威可信的网络可信身份认证公共服务.
4) 通过设立国家网络可信身份投资基金等形式，积极引导社会各界积极参与网络可信身份新技术研究，推动网络可信身份服务在商业模式和技术上的创新，营造网络可信身份生态健康发展环境，增加网络可信身份公共服务供给.
5) 在数字经济、数字政府、电子商务、网络社交等领域开展网络可信身份应用创新试点示范，在此基础上提出网络可信身份建设指引和最佳实践指南等.
作者简介
国强，硕士，信息系统项目管理师.主要研究方向为信息安全、网络可信身份管理.
（本文刊载在《信息安全研究》2022年第8卷第9期，为便于阅读做了适当精简）
声明：本文来自信息安全研究，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
