作者：严霄凤
0.引言

随着电子政务、电子商务、物联网、移动互联时代的到来，同时也带来了网络信任体系以及由此衍生的社会和谐稳定的重大挑战。网络信任体系越来越成为保证电子政务、电子交易等安全、可信的重要保障。对此，各国政府无不对此重大挑战高度重视并采取强有力的措施进行干预和管理。

1.国内外网络信任体系建设的情况

（1）PKI体系建设

从各国实际发展情况看，为了在网络空间建立统一的信任体系，通常会建立起国家PKI体系。就一个国家而言，PKI体系的建设，基本上可分为“自上而下”和“自下而上”两种模式进行。

“自上而下”模式：即国家在一开始就成立了专门的管理机构负责本国的PKI建设，首先建立国家根CA，然后由国家根CA负责对下级CA的认证，最终建立起层状的国家PKI信任体系。

加拿大、德国、韩国等采用了“自上而下”模式。

澳大利亚采用的方式是建立国家PKI认可委员会，对国内的CA颁发认可证书，从而形成自上而下的国家PKI体系。

“自下而上”模式：即先分地区、分行业建立起地区性和行业性的CA机构，然后再由国家出面进行协调，通过某种方式（如桥接CA技术），将各自独立的CA机构联结起来，形成国家PKI信任体系。

美国、日本等通过桥接CA方式建立国家PKI体系，在网络空间建立统一的信任体系。

我国PKI体系建设的情况是：一方面，行业和区域性CA发展很快，电子认证服务机构规模逐步扩大。目前，获得工业和信息化部颁发电子认证服务许可的CA机构有30家，除西藏、青海、宁夏等边远地区外，全国大部分省市均有CA机构，另外还有很多未获得电子认证服务许可的CA机构在运营。另一方面，我国还未建立起国家统一的PKI体系。工业和信息化部作为电子签名法授权的监管部门，行使服务许可等管理职能；而国家密码管理部门则根据政府相关文件正在以根中心模式规划建设国家电子政务电子认证体系。
（2）网络身份证

今年1月7日，在斯坦福大学经济政策研究院美国商务部长骆家辉透露，美国政府将通过推出“网络身份证”构建网络生态系统，使每个网络用户可以相互信任彼此的身份。商务部将成立专门的办公室来处理这个项目，美国政府将寻求独立的网络技术供应商来设计、建造和提供网络身份识别技术。

美国《计算机世界》杂志网络版报道，网络身份证不仅能够增加网络安全，还可以减少网络用户记忆密码的烦恼。报道说，推出网络身份证，是美国加强网络安全建设的一个步骤。美国商务部长骆家辉和白宫网络安全协调员施密特透露，美国总统奥巴马将于未来数月公开一份名为《身份认证国策》的草案，可能推出智能身份证或数码证书以识别网民身份。

其它互联网用户大国的相关计划亦已提上日程或正在实施当中。

我国全国人大代表、北京邮电大学校长、中国工程院院士方滨兴在今年安徽代表团全团会议上呼吁推行网络身份证，以防个人信息泄露。

2.我国目前网络信任体系建设中存在的问题

自《电子签名法》发布实施以来，我国的电子签名及认证服务业得到了极大发展，依法获得工信部电子认证服务许可的电子认证服务机构达到30家，截至2010年9月，发放有效证书超过1300万张。这些证书广泛应用于报税、报关、外贸管理等电子政务领域和网络银行、网上证券、网上支付等电子商务领域，取得了良好的使用效果。但由于主管部门缺乏有效的技术监管手段和工具为其工作提供有力的技术支撑，使我国电子认证行业面临证书策略管理、互联互通、以及业务连续性保证等方面的困难。就我国目前电子认证服务业的发展状况和趋势来看，存在以下急需解决的问题：

（1）没有国家级完善的电子签名证书管理依据

目前我国CA的运营仍是各自为政，自成体系，没有统一的证书分类、分级规范和方法，没有统一的安全要求和风险控制，不能保证用户对其所申请证书使用的可信度，影响用户对电子签名的使用信心，从而影响了整个电子认证行业的发展。

（2）没有国家级有力的电子签名证书管理技术手段

目前我国依据《电子签名法》和《电子认证服务管理办法》（工信部第1号令）对CA机构进行服务许可管理，从基本制度上实现了对获得电子认证服务许可的CA机构的管理，但CA机构间不能做到互连、互通、互认，主管部门不能从技术手段上采取有效的管理措施，进行及时的精细化管理，阻碍了电子认证行业的健康、快速发展。

（3）没有国家级及时的电子认证服务业务连续性保证

目前我国的CA机构中有30家获得了工信部电子认证服务许可，对于他们的运行风险缺乏技术性手段进行监控、评估和管理，一旦发生CA机构倒闭、系统损坏等问题，其涉及业务的连续性和安全行都无法得到保证，将给用户带来不可估量的损失，对社会安定带来不利影响，增加社会的不和谐因素，影响社会稳定。

3.通过规范的电子认证服务建立国家网络信任体系

随着我国经济发展速度的加快和经济总量规模的增大，电子认证呈现出证书发放量逐年增大、覆盖应用面快速扩展的特点。这些数字证书在各行业、各地区的电子政务、电子商务等领域，发挥着积极作用，促进了网络信任的建立。但电子认证服务业作为信息安全领域重要的基础设施和网络信任体系的核心基础，还处于发展初期，发展规模及应用模式等方面尚未形成集中优势，其条块分割的运行模式使电子认证行业的职能未能充分体现和被广泛认可，数字证书服务的质量有待提高，市场未能得到充分挖掘。经济和信息化的快速发展对电子认证服务已形成倒逼机制，电子认证服务的业务模式有待转变，业务水平有待提高，服务意识有待提升。

要建立我国有效的网络信任体系，需要建立相应的证书策略体系、管理机制和技术平台，实现国家级的CA策略管理、证书互认和电子认证的业务连续性保证，形成我国规范的电子认证服务。为此，我们需要做好以下几项工作：

（1） 制定国家级证书策略体系，实现证书分类分级管理

借鉴美国等国家的经验，制定基线证书策略和各应用领域的分级证书策略，形成我国自主的证书策略分类分级体系及其实施方案，实现证书策略管理，促进应用系统间认证资源共享，为数字证书推广和跨行业应用打好基础。

建立电子签名证书策略管理体系，可以从产业全局出发建立规范统一的证书策略管理体系，实现电子认证机构评估标准和流程的统一；可以指导应用程序开发商和数字证书依赖方识别证书安全级别，对证书正确使用；可以通过专门的策略管理中心实施基于证书策略的电子监管，以技术手段替代行政管理手段，实现对电子认证机构的服务质量评估；可以为我国电子认证体系与国际电子认证体系的接轨奠定基础。

（2）建立国家级证书互认平台，实现证书互认和技术监管

开展数字证书互认研究，制定证书互认工作规范和互认标准，制定证书互认技术方案，建立跨区域、跨行业数字证书的互认试点，促进认证服务机构互联互通，推动全国网络信任体系建设，实现国内各CA机构之间的证书互认，为与国际CA机构间的证书互认奠定基础。

建立国家级证书互认平台，可以有效解决目前电子认证机构间不能互连互通，缺乏统一技术、应用、服务标准，签发证书不能互认等问题，为电子认证主管部门提供有效的技术监管手段，解决CA机构质量评估、证书验证等国家电子认证主管部门急需解决的问题；可以通过建立完整的电子认证基础设施，为国家网络信任体系的建立奠定基础，实现政府有效监管、认证机构规范运营、依赖方便捷应用、电子签名人得到有效法律保障的目标；可以为电子认证行业提供必要的技术引导，寻求产业发展新方向和新模式；可以促进国际合作的发展，提升我国电子认证服务行业在国际上的竞争力。

（3）建立国家级证书备份库，实现电子认证业务连续性保证

建立各CA资料的备份库，实现对CA机构证书资料库的灵活调用、统一查验，做到对证书的统一管理，完成对CRL列表和OCA服务器等的统一监管，做好CA机构业务承接中的应急响应，保证电子认证业务的连续性，保障证书使用者的合法利益。

建立国家级证书备份库，可以通过对CA机构证书库及相关信息的备份，及时对CA的运营状况进行监控和引导；可以通过采用科学、规范的方法，依据不同层次的证书策略要求，对认证机构进行不同安全要求的评估和认定，规范电子签名证书的质量，保证证书策略的有效实施。

注：本文得到国家科技支撑计划项目（项目编号：2009BAH39B00；课题编号：2009BAH39B05）资助。