以下是現場速記。
國家信息中心 總工程師 李新友
李新友：謝謝主持人，今天很高興到這兒來做一個報告。這個是數字化轉型的主題，我在下面從休息的時候就一直在聽前面幾個專家的報告都是非常的精彩，從數字化轉型的理念、方法和解決方案以及實踐，大家都把自己的寶貴的東西拿出來給大家分享。
我在底下聽的時候一直在思考企業數字化轉型的事兒，這么多年以來企業在數字化轉型或者說在信息化道路上面也走了很艱難、走了很多年，從開始企業辦公的自動化到后面的MRP再到現在的數字化轉型，我一直在想不是想數字化這個詞，是在想轉型這兩個字。數字化和信息化本身是一脈相通的，我認為沒有什么太大的區別，但轉型兩個字加上去以后可能就不一樣了。企業轉型到底轉什么?這一塊是值得大家去思考的。
今天的會在國資委剛剛發的《企業信息化轉型指南行動綱要》之后就開這個會非常重要。由此我聯想到電子政務這一塊，就是政府的轉型。政府從十一五、十二五、十三五這幾年開始是搞OA政府的辦公自動化，后來搞電子政務，兩網四庫十二經工程，實際是把政府主要部門的業務流程給它自動化或者信息化。
現在政府又提出來叫“互聯網+政務服務”，前一陣剛剛提出這個概念的時候，大家找不到北，不知道互聯網+政務服務與電子政務有什么區別?但是這幾年下來以后，經過十三五的建設，大家已經逐步明白互聯網+政務服務跟電子政務它的區別還是很大的，它的目標是政府轉型，是從一個管理型的政府轉化成一個服務型的政府。
大家可以看到現在有很多的政府網上辦事，老百姓可以通過互聯網或者通過手機就能夠跟政府打交道，報稅、申請營業執照、各種各樣的跟政府打交道的事兒，現在老百姓都可以在網上做了，這就說明互聯網+政務服務跟電子政務是有很大區別的。
所以這個數字化轉型這一塊，我們不要只盯著數字化這三個字，我們要盯著轉型那兩個字，這是非常重要的。
前面的幾位專家講得都非常好，他們的觀點有很多很新穎的地方，我也是第一次聽到，感到很震撼。咱們企業的數字化轉型或者說信息化做得是非常好。但我覺得今天還缺了一點，大家一直都沒有講的，就是在數字化轉型里面怎么樣保障數字化轉型的安全。
所以我今天的主題就是講網絡身份：從零信任到可信。這個網絡身份實際上是信息安全里面的最核心的一個東西，大家都知道搞信息安全主要搞邊界防護等等，但是到了現在這個階段提網絡身份是非常重要的。
我想可能在座的搞信息安全的不是特別多，所以我今天這個報告是以概念性的東西為主的，如果講得不合適大家不要怪罪于我。
網絡身份在國家的網絡安全法里面專門的提到了一句，就是國家要實施網絡可信身份戰略。為了這個目標，我們國家一直在研究怎么樣去實施網絡可信的身份戰略，要提出它的行動綱要、戰略部署等等，我今天講這樣幾個內容。
先講的是網絡身份的三要素，給大家說說，大家可能都知道網絡身份，但至于網絡身份到底是什么?可能大家還沒有特別的概念。
它有三個要素組成：
第一，標識符。這個是非常重要，每個身份都有唯一的標識符，區別你和他不一樣。
第二，憑證。大家可能見到的憑證很多，比如說你自己的口令，比如說銀行的U盾，比如說CA的證書，現在還有手機的掃碼，大家可能還會有手機短信碼驗證，你有可能還會讓你刷身份證等等這些東西可能都是你網絡身份的一個憑證。憑證是用來保護你的身份，如果你丟失了憑證，身份就不成為你的身份了，有可能人家拿到你的憑證，就可以代替你用這個身份在網上行使你的行為，這是憑證的內容。
另外之所以是網絡身份它就有一個屬性，如果這個身份沒有屬性的話，那么這個東西就不叫網絡身份，它只能是網上的賬號。對方為你服務的系統并不知道你是誰，但是在網絡身份里一定要有屬性，只有有屬性了才能知道這個網絡身份跟你這個人是綁在一起的，所以在前一段大家可能都知道的電話要實名制，手機sim卡要實名制，可能要登錄到不同的游戲網站、娛樂網站或者是其他不同的應用系統的時候也需要你填報你的身份信息。比如說現在比較多的就是讓你輸入你的手機號碼、身份證號碼，再給你一個人臉識別過程，大家都有這個使用經驗。
所以網絡身份它的三要素是不可或缺的。
為了給大家進一步的講這個概念，我舉了這么幾個例子：
比如說特別多的就是掃健康碼，到哪兒去都掃健康碼，進酒店掃健康碼，到餐館吃飯要掃健康碼，上飛機、坐高鐵都要掃健康碼。在掃健康碼的時候三要素是什么?比如說標識符那就是你的手機的號碼，用手機的號碼變成了你的網絡身份的標識符。憑證就是sim卡。它的屬性是什么?屬性就是你在申請sim卡時在電信里面留下的各種各樣的身份信息。在掃碼的時候還要留下手機漫游位置的信息。
我講的網絡身份是講它的信任的問題，就是從零到可信，它的信任鏈是什么?我們在掃健康碼的時候我們網絡身份依據的是電信或者移動運營商給你的sim卡加密的程序。我們網絡信任基礎是電信運營商，如果那個被攻破了我們的網絡身份就攻破了，類似的還有很多東西，包括公交、地鐵刷碼還有短信驗證碼等等全部都是基于電信的sim卡的信任鏈，用的是手機sim卡的憑證。
再一個微信掃碼登錄，這個大家肯定也用過。當你訪問網上應用系統的時候，你以前從來沒有注冊過，那個系統可能會讓你去注冊，但是并沒有要求你輸入用戶名再提供一大堆你的口令、你的身份信息等等這些東西去做認證，而是讓你微信掃碼，掃碼以后你的系統就進去了。
這個過程它的標識符用的是微信賬號，用的是微信的口令，微信的口令可能不記得，但是系統里記得。另外的屬性就是我們留在微信里面的各種各樣的身份信息，大部分微信為了做微信的紅包都在微信里面留下了銀行卡，錄入了身份證。所以這個銀行卡的信息還有身份證的信息都是作為你身份的一種屬性存在那了。
它的信任鏈是誰?就是我們信任誰了?我的網絡身份是誰向第三方證明它是可信的?是微信的那個平臺，我們現在叫第三方平臺。給我提供的應用系統那個微信是它的第三方平臺，類似的有很多。微博賬戶、QQ賬號，這里有一個最大的問題，在手機時我沒有提，因為手機平臺是國有企業提供的，這里有一個信任機法律地位的問題。我們網絡身份的賬戶基于的是第三方的平臺給我們的，它不高興就可以把奧巴馬的賬號給封了，我們是一樣的，如果它不高興也可以把我們的網絡身份給封了，所以這里法律地位很重要。
另外是用戶隱私，這個不提了。
再有支付寶賬號，掃碼支付。剛才楊濤也提到這個問題，我們把支付寶賬號當成網絡身份。掃碼有兩種方式，一種是商戶有掃碼機讓你提供二維碼，還有一種商戶在墻上掛二維碼讓你去掃它，不管哪一種掃碼方式都是在把支付寶的賬號當成了你的身份信息，直接把支付寶的錢給取走了，這里面同樣跟微信是一樣的問題。
再一個是掃身份證，身份證結構不提了。我們到很多地方都會掃身份證，比如高鐵入口，我發現自從把高鐵的進出口改成了身份證掃碼以后那個效率高多了，大家不知道有沒有這感覺?以前掃車票好麻煩，現在身份證一掃進去很快，效率很高。但是這里面把身份證的號碼變成了我們的網絡身份的標識，因為在后臺的系統都是網絡系統，它的憑證是身份證加密系統，屬性就是我們在身份證上留下來的用戶身份信息都作為網絡身份的憑證。在高鐵里面、銀行里面、酒店里面都要掃身份證，大家有這個印象吧?不光要掃身份證，要用專管的專用設備來操作，不是所有的商戶都能刷身份證，不能把刷身份證機器誰都給，那樣就亂掉了，那個機器就不是成為專用的機器了因為那個機器上，每個機器上都有號碼，每個機器給誰都是固定的。
再一個是刷臉，一直大家認為刷臉很不安全，把我的個人隱私搞走了。對于一個應用系統來說，如果是在封閉的環境下，臉刷進去沒關系，沒有個人隱私被搞走了。只有什么情況下?那個系統內部管理人員有壞心思把你數據拷貝出來賣出去，這時候會產生個人隱私的問題。
這里面注冊的標識符是預先要注冊好的，比如進單位刷臉考勤，我們單位所有人的臉照片還有身份信息都已經預先存儲進去了，這樣刷臉的時候標識符是系統預先預知，刷臉的時候把我的臉特征跟里面信息匹配，實際我的臉的特征是我的憑證。大家經常提到刷臉就進去了，好像很自豪。
剛才給大家提了應用的例子，都是跟網絡身份有關系。網絡身份有幾個典型的特征：
第一，網絡身份是可用于多個互不相干的互聯網應用系統，用一個身份可以用于很多系統。
第二，網絡身份通常由第三方提供，應用系統與第三方預先建立的信任關系，網絡身份的可信度依賴第三方。比如企業搞數字化，外面單位要跟我有供貨關系，外面單位要到我們這兒來登錄系統里面的時候，它沒有預先注冊怎么辦?它可以用微信賬號來登錄，也就是相當于我這個企業認了微信賬號是可信任的，也就是說微信跟第三方預先建立身份關系。
第三，網絡身份的真實性不容易證明。我怎么樣證明它的網絡身份是真的、假的。
再一個概念是用戶賬號與網絡身份有什么不一樣的地方，這里快速過一下。最早原始的時候是一個網絡系統對了一個賬號，這里面的所有的賬號都是固定的，都是可預知的，它不存在任何不真實性的問題，往往都是一個內網的環境。
第二，出差的人遠程的登錄、移動的登錄，相當于客戶端本身動了。原來在企業辦公客戶端是死的，我們辦公室客戶端它的IP地址都是封的，換一個IP地址就進不去了。現在客戶端跨出了安全域，但是客戶還在以前系統里注冊過的。
第三，業務賬號是單點登錄。搞企業的人可能都知道，用一個賬號登錄系統里面去以后，后面所有相關系統，比如人事、財務、考勤各種各樣的業務系統都能夠用這一個賬號來用，或者我登錄一次后面就不用管了，這個是沒有區分資源的。在數字化轉型里面，你的每一個數字資源都是一個獨立單元，有的重要、有的不重要，你現在這樣一個單點登錄進去以后實際是把不重要和重要的混為一談了，這是非常危險的事情。但現在這個賬號還不是網絡賬號，因為我是在一個企業里面用的。
第四，服務資源開放。服務資源開放以后，一個應用系統就對應很多身份。從企業角度來看，企業不知道到我企業系統來訪問的時候是哪一個用戶，這是非常明確的，這個時候身份就不能確定了，能不能夠采用第三方的身份?很多企業都采用第三方的身份。
這是典型的，反過來看的一個用戶自己想要訪問很多互聯網的應用系統，他的賬號，一個系統注冊一個賬號，一個系統注冊一個賬號，我們就很糊涂了。比如每個銀行都要注冊賬號，有很多人憑證、口令都搞成一樣，這樣很危險不安全，那怎么辦?這個時候用一個應用系統賬號來訪問其他系統賬號。比如用微信賬號訪問別的系統，這個實際上就是網絡賬號雛形就出來了。
總結一下，網絡身份跟用戶賬號的區別。我不知道跟大家有沒有講清楚，我不念了。
底下很重要，如果有人惡意的去收集多個應用系統的用戶身份信息用大數據技術就能為用戶畫像，這樣能分析出用戶很多隱私出來。
下面的概念就是網絡身份的可信等級，這里有三個概念，一個是實名，一個叫實證，一個叫實人。如果網絡身份跟這三個東西一個都不綁定，那不能叫做網絡身份，只能是網絡賬號。如果跟你的實名綁定了，這個身份就是可信的身份，但是這個可信度是多少?可能要打問號。比如網絡注冊身份，提供身份證和姓名都交給你了，但是是不是我自己，是不是我的身份證你不知道，這就是實名的問題。比如到銀行辦卡，銀行讓你提供實名，這就是真實的身份。
另外實證，法律給的實證最多的是身份證。再就是銀行卡，銀行卡雖然不是法定的身份卡，但是它的信任是通過驗證身份得到的銀行卡，它是法定的。所以實證比實名要更進一步可信。
再一個實人，比如我的指紋、臉部特征人到現場注冊，可能他的身份更真實。現在我要問大家一個問題，微信的賬號是什么樣的可信程度?大家到微信那現場去登錄過嗎?沒有，但是你提供了銀行卡，銀行卡是你的嗎?不知道，所以微信的身份它的可信度是多少?大家要問一下的。
這里給了一個實例，可信身份等級的劃分。比如說手機號和短信這樣的交互注冊一個身份，還有通過實名的核驗，尤其要現場核驗，再一個是進行實人的核驗，現場核驗和遠程核驗兩個區別還是很大的。
再一個身份管理的三個環節，因為時間關系我后面快速的走一下。三個事兒：身份證明、認證鑒別、應用授權。這是一個典型的系統，身份證明是干什么用的?就是在注冊申領的時候用的，我先要申請網絡身份，是向誰申請?某個應用系統可以，但是一定要有底下法定的機構來確定這個人就是你，這是一個。
再一個中間網絡管理，再往后有一個網絡身份的認證，就是當我用我的身份進入系統的時候，只要有人說你的身份是對的，在身份認領時要證明我的身份，要提供一大堆證明材料。一旦有了身份以后，我再去用我身份的時候，我還要帶著我的憑證，這個憑證是開始身份認領時得到的，比如口令、CA的key，比如你得到的二維碼，你得到的APP等等都是你身份認證的憑證。
在應用系統來說，如果通過了驗證，那么我應用系統就可以對你進行各種各樣的授權了。
這張圖是注冊過程中在系統的角度，數據存儲和互動處理要做的事情。比如注冊時要提供身份證明材料，一旦你給了身份證明材料以后給你一個憑證，拿憑證進行身份驗證，后臺對身份全過程進行管理，這里沒有提到身份授權。
身份管理里有幾個難題：
第一，注冊和申領時證明就是線上的遠程的申領身份證明怎么樣去確認它，這個是核驗這是很難的。如果讓我現場跑到銀行去，我為了錢可能去跑，如果讓我跑到某個窗口注冊網絡身份我不愿意去，我特別希望能夠做遠程的。
第二，憑證發行和管理。你要發行一個怎么樣又便宜又方便使用的那樣的一個憑證是非常重要的。
另外，你怎么樣幫助客戶去保護他的憑證?憑證的保護也非常重要，丟掉了就等于丟掉了網絡身份。如果按楊總剛才說的銀行的案例就等于錢包丟掉了。
再有身份認證，現在認證有很多機構，這些機構怎么能讓認證互聯互通?是頭疼的事兒。
再一個是認證的便捷性。
下面在應用的時候授權，以往通用一個注冊把所有系統都用上了，這里就必須要有細膩度的訪問控制策略，就是你的信息哪些能訪問，哪些不能訪問，都要跟你的網絡身份可信程度、可信等級要掛鉤。
最后身份管理這一塊不提了。
我們國家也存在了很多問題，最大的問題我感覺可能還是網絡身份、法律地位問題。
后面幾個環節跟大家提一提，注冊環節的身份，剛才說身份證明和核驗很難。怎么做?我們現在的做法把注冊和核驗分開。注冊是在前臺，你可以通過各種方式，在后臺可以靈活多渠道的實名的驗證。
身份認證服務，這一塊有一個轉變，叫轉型也好。以前認證系統都集成在應用系統里面了，每個應用系統里面都帶著用戶管理系統，現在把它變成第三方認證服務。應用系統沒有用戶管理概念，它只是授權，這樣就可以保證用戶的隱私。
再一個在認證的時候要采用多模式的認證，不能說只有一個認證不通過就全部死掉了，現在銀行頭疼的是密碼忘了一定要去一趟銀行。
在身份認證服務里，前面是身份認證，后臺還需要實名認證，這個都是技術上的操作。
最后用戶授權、訪問控制，有一種新的方法叫做零信任的訪問控制和授權。零信任是什么意思?我根本就不信你這個網絡身份，我這個應用系統首先把你當成不信任的對象，我才能考慮通過你提供的憑證來確定你到底是什么樣等級的網絡身份，我再確定給你什么樣的訪問權限。
這個是典型的零信任訪問控制的架構(見PPT)。
最后結束語，網絡身份是國家網絡戰略的重要資源，要盡快建立國家網絡信任服務體系，建立網絡身份合法地位，解決網絡空間中的身份證明、個人隱私保護、身份認證服務、應用授權安全等問題，構建用戶與應用之間的信任關系，讓網絡身份真正從零信任走向可信。
謝謝大家!
京公網安備 11010502049343號