電子身份驗(yàn)證有漏洞 誰來證明“你就是你”
2018-05-22 07:18:17 來源: 科技日報
關(guān)注新華網(wǎng)
微博
Qzone
評論
圖集

  5月16日,有報道顯示中國銀聯(lián)通過大數(shù)據(jù)統(tǒng)計(jì)分析,得出個人網(wǎng)絡(luò)財產(chǎn)安全的“蟻潰之堤”——個人信息泄露是90%電信詐騙案件成因。

  這意味著,在網(wǎng)絡(luò)世界中,別人可以通過證明“他是我”,借由“我”的身份“招搖撞騙”,擄走“我”的財產(chǎn)。在安全專家的語系里,這樣的產(chǎn)業(yè)鏈條被稱為黑產(chǎn)。亞信安全副總裁陸光明表示,“從產(chǎn)業(yè)規(guī)???,2016年底我國網(wǎng)絡(luò)電子認(rèn)證市場還不到200億元,但是黑產(chǎn)的規(guī)模已經(jīng)高達(dá)千億元左右?!?/p>

  網(wǎng)絡(luò)可信身份認(rèn)證該出手了?!啊吨腥A人民共和國居民身份證法》確定居民身份證是公民身份管理的可信依據(jù),網(wǎng)絡(luò)身份驗(yàn)證也需要可信度、權(quán)威級相當(dāng)?shù)目尚牌脚_。”中國工程院院士沈昌祥在日前召開的C3安全峰會上表示,網(wǎng)絡(luò)身份可信驗(yàn)證工作刻不容緩。

  身份信息在黑市上被明碼標(biāo)價

  “850塊錢,就能買到開房記錄、列車記錄、航班記錄等11項(xiàng)個人隱私數(shù)據(jù),在身份黑市上,隱私的買賣是被明碼標(biāo)價的,能夠用于制作假通緝令等的身份證戶籍信息,一條只需要10—40元?!敝袊茖W(xué)院信息工程研究所副所長荊繼武展示了一張明晰的價碼賬單,仿造一個企業(yè)身份信息的“五證”僅需要千元左右。無論對于自然人還是法人來說,我國網(wǎng)絡(luò)信息保護(hù)的形勢都非常嚴(yán)峻。

  “易獲得”是個人電子信息難以規(guī)避的“軟肋”。安全領(lǐng)域內(nèi),八成以上的信息泄露由內(nèi)部人員所為。“很少有黑客愿意花那么大的代價從外攻破系統(tǒng)獲取信息,從內(nèi)攻破是更便利、更容易的?!标懝饷髡f。

  “既然防不勝防,能不能讓這些偷竊泄露來的信息分文不值呢?現(xiàn)實(shí)生活中身份證的使用對此提供了很好的借鑒?!标懝饷髡f。

  如何讓網(wǎng)絡(luò)身份認(rèn)證與現(xiàn)實(shí)身份認(rèn)證一樣“強(qiáng)有力”“無漏洞”,成為一個系統(tǒng)工程,關(guān)系到新技術(shù)應(yīng)用、新體系構(gòu)建、以及與已有法律體系的共享共建。國際上,歐盟2006年出臺了開展網(wǎng)絡(luò)可信身份體系建設(shè)的法規(guī)。美國2011年公布網(wǎng)絡(luò)空間可信身份國家戰(zhàn)略,提出10年時間建設(shè)美國網(wǎng)絡(luò)身份體系。

  網(wǎng)絡(luò)身份驗(yàn)證難有“防騙”功效

  當(dāng)下使用的網(wǎng)絡(luò)身份驗(yàn)證難有“防騙”功效,沈昌祥將問題歸納為3類:方法不安全、難保真實(shí)性;欠公平公正、難防篡改;缺乏法律效力、難以執(zhí)法。沈昌祥解釋:“例如大量匯集在微信、支付寶上的個人信息,雖然是實(shí)名認(rèn)證,但隸屬于第三方企業(yè),難以保障它們的不可更改性、不可復(fù)制性?!?/p>

  陸光明對此持相同觀點(diǎn),他表示,在國外以企業(yè)公信力作為社會公信力的商業(yè)行為居多,例如谷歌的互聯(lián)網(wǎng)賬號可用作其他跨行業(yè)的社會認(rèn)證。但是,F(xiàn)acebook的身份數(shù)據(jù)泄露,嚴(yán)重到甚至可能會對美國高層政策施以影響,這一事件令人對這種模式的安全性產(chǎn)生顧慮。

  被泄露之外,被利用更使身份信息安全問題“雪上加霜”。陸光明說,韓國2011年就爆發(fā)過一次非常嚴(yán)重的身份數(shù)據(jù)泄露事件,當(dāng)時有3500萬用戶數(shù)據(jù)泄露,占當(dāng)時韓國網(wǎng)民的95%左右。此事使得韓國政府開始限制網(wǎng)絡(luò)身份收集,也宣告了其網(wǎng)絡(luò)實(shí)名制的結(jié)束。

  “身份非法買賣嚴(yán)重影響網(wǎng)絡(luò)實(shí)名制的實(shí)施效果?!鼻G繼武說,身份黑市交易可以將個人的網(wǎng)絡(luò)身份綁定到一個完全不屬于本人的現(xiàn)實(shí)身份上。

  “黑戶”的存在,不僅侵害了可能并不知情的個人的利益,也使得真正需要準(zhǔn)確掌握身份信息數(shù)據(jù)的電商深感困擾?!耙患译娚痰呢?zé)任人表示,他每天有幾十萬新注冊用戶,其中有很多黑產(chǎn)用戶,電商企業(yè)需要花費(fèi)很多精力、成本去校驗(yàn)新用戶,將‘黑戶’挑揀出來,確保系統(tǒng)安全?!标懝饷髡f。

  荊繼武總結(jié)道:“現(xiàn)有的身份信息管理技術(shù)手段單一、難奏效,需要完備的身份信息數(shù)據(jù)管理體系?!?/p>

  搭建有公信力的第三方驗(yàn)證平臺

  “一些互聯(lián)網(wǎng)公司開發(fā)的APP,注冊時需要身份證、姓名、電話等信息。我相信很多人都不愿意透露、被捆綁?!标懝饷髡f,用戶很難確定企業(yè)是否會將這些信息挪作他用。

  通過搭建第三方平臺的方法,或能解決這個“隱患”。

  陸光明表示,一個保有用戶信息的第三方認(rèn)證平臺,可以幫助互聯(lián)網(wǎng)企業(yè)認(rèn)證用戶、也確保用戶的信息只用于約定的用途?!皩τ谛滦突ヂ?lián)網(wǎng)企業(yè)來說,平臺把認(rèn)證結(jié)果反饋給企業(yè),企業(yè)獲得的是平臺處理過的可信的用戶認(rèn)證。而用戶(消費(fèi)者)需要面對的則是一個有公信力的平臺,而不是多個信息不對等的企業(yè)。”

  先前已經(jīng)聚集了大量客戶信息的淘寶、微信等已經(jīng)開始擔(dān)負(fù)起這樣的角色,目前,已經(jīng)有“授權(quán)認(rèn)證”等模式,讓用戶無需再次注冊新應(yīng)用的賬號。荊繼武表示,背后基于多模式多安全等級的電子認(rèn)證技術(shù),也保證了“不同等級的數(shù)據(jù)庫使用者,能夠接觸到的信息是不同的?!?/p>

  “基于龐大的互聯(lián)網(wǎng)用戶數(shù)據(jù)基礎(chǔ),亞信安全之前就曾做過類似的平臺構(gòu)建?!标懝饷髡f,隨著國家互聯(lián)網(wǎng)+政務(wù)戰(zhàn)略部署的提出,亞信安全希望構(gòu)建一個能夠打通政務(wù)體系的、擁有法律效力的認(rèn)證平臺。

  目前國家層面正在構(gòu)建具有法律效力的權(quán)威性公民網(wǎng)絡(luò)電子身份標(biāo)識基礎(chǔ)設(shè)施,并加快與電子身份應(yīng)用相關(guān)的技術(shù)和標(biāo)準(zhǔn)的研制推廣工作,未來將會加速構(gòu)建和網(wǎng)絡(luò)電子身份基礎(chǔ)設(shè)施配套的基礎(chǔ)服務(wù)能力,基于網(wǎng)絡(luò)電子身份標(biāo)識基礎(chǔ)設(shè)施將會出現(xiàn)更多的行業(yè)化、跨領(lǐng)域的高可信、互信任的認(rèn)證平臺系統(tǒng)。

  陸光明介紹,由國家不同部委授權(quán)建設(shè),亞信安全參與搭建統(tǒng)一的身份信息認(rèn)證平臺,不僅僅要完成個人身份認(rèn)證業(yè)務(wù),還提供涉及到法人、營業(yè)執(zhí)照等證照信息的認(rèn)證服務(wù)??v向來看,整個平臺包括國家中心平臺的建設(shè),也包括中心平臺與各個部委、各省市的對接建設(shè)。

  為了擔(dān)負(fù)起龐大的信息處理量,平臺將構(gòu)建分布式的數(shù)據(jù)存儲,并推動數(shù)據(jù)共享,打破數(shù)據(jù)孤島,推進(jìn)電子簽名應(yīng)用等,以期形成跨行業(yè)的身份信息認(rèn)證的傳遞和互認(rèn)。通過推動單緯度、單系統(tǒng)、特定場景的可信身份,向多維度、綜合性、可交叉的可信身份體系,助力網(wǎng)絡(luò)安全身份體系發(fā)展。

  相關(guān)鏈接

  新技術(shù)讓網(wǎng)上身份識別更可靠

  居民身份證作為電子法定證件,本身兼有“線下”和“線上”法律作證的地位。沈昌祥表示,2代身份證識別體系建設(shè)時,預(yù)留了指紋識別的端口,當(dāng)時由于種種原因暫時未被整合的認(rèn)證手段,最近可能再被啟用。

  “公民網(wǎng)絡(luò)電子身份標(biāo)識基礎(chǔ)設(shè)施將融合各種新技術(shù)?!标懝饷髡f,企業(yè)將持續(xù)創(chuàng)新可交互、易操作、高可信的新型認(rèn)證技術(shù),例如聲紋識別、指紋識別、相貌識別等。

  之前的身份可信判斷,通過“我所擁有+我所知道”,未來將轉(zhuǎn)向“我的特征+我所知道”。也就是說,之前“我擁有”的u盾、短信驗(yàn)證碼+口令等方式,將被替換“我”特有的指紋、聲紋、面相+口令等方式。通過新技術(shù)的加入最大限度做到只有“我”才能證明“我自己”。

  在系統(tǒng)底層建設(shè)中,陸光明介紹,目前平臺的主流技術(shù)仍是基于強(qiáng)密碼實(shí)現(xiàn)安全保障,并會適時利用安全大數(shù)據(jù),進(jìn)行態(tài)勢感知的風(fēng)險預(yù)測和控制。對于新興的區(qū)塊鏈技術(shù)、時間戳等安全保障方式,平臺將做到端口預(yù)留。

  巨大的用戶量是對該平臺的另一個嚴(yán)峻考驗(yàn)。據(jù)統(tǒng)計(jì),2016年支付寶實(shí)名用戶達(dá)到4.5億人。與之相比,要構(gòu)建覆蓋中國全體居民以及法人單位的統(tǒng)一身份認(rèn)證平臺,數(shù)據(jù)處理量可想而知。

  為此,亞信安全咨詢戰(zhàn)略總監(jiān)吳大明表示,平臺在建設(shè)和使用的過程中將會不斷有新的應(yīng)用加入,因此平臺具備可擴(kuò)展。一個公民出生、入托再到上學(xué),需要跑到各個地方去辦各種手續(xù)的體驗(yàn),未來可能變成可跨省、隨時辦。(記者 張佳星)

+1
【糾錯】 責(zé)任編輯: 韓家慧
相關(guān)新聞
新聞評論
加載更多
嶗山云海
嶗山云海
在無聲世界中起舞
在無聲世界中起舞
新德里掠影
新德里掠影
總統(tǒng)衛(wèi)隊(duì)——雅典市中心的獨(dú)特風(fēng)景
總統(tǒng)衛(wèi)隊(duì)——雅典市中心的獨(dú)特風(fēng)景

?
010020020110000000000000011198061122866074