证书策略 确保电子交易安全

来源 :计算机世界 | 被引量 : 0次 | 上传用户:szlsh88
下载到本地 , 更方便阅读
声明 : 本文档内容版权归属内容提供方 , 如果您对本文有版权争议 , 可与客服联系进行内容授权或下架
论文部分内容阅读
  电子认证行业目前正在积极探讨建立证书策略的必要性和方法。很多人会问:什么是证书策略?为什么要建立证书策略?如何建立证书策略?这些问题不仅为众多的电子认证机构(CA公司)所关注,也必将引起那些经常进行电子交易的普通网民的高度关注。
  
  最近,360公司与深圳沃通公司在网上就“带着身份证的木马”相互指责对方,事件不断在升级。360指责沃通没有管理好发放的代码签名证书,让木马披着合法的外衣到处流窜;而深圳沃通公司则认为,代码签名证书只能证明软件开发单位的数字身份,而不能证明其开发的是否是木马程序,并且,用户应该管理好自己的证书,证书如果丢失,可以立刻吊销证书,但如果证书丢失后不吊销,被木马利用了,不能将责任归咎于证书发放机构。微软等国际公司也持有同样的观点。双方就电子认证的可靠性形成了激烈的交锋。
  “这说明了两件事情,一方面,对证书的使用和管理不当,可能造成用户的损失;另一方面,认证机构不同,对同一事件的认证差异也较大,对证书缺乏标准的认证,会造成用户的不信任。而解决的办法,就是推广和使用证书策略。”信息安全国家重点实验室副主任、中国科学院DCS中心常务副主任兼亚洲PKI联盟秘书长荆继武教授说。
  
  什么是证书策略
  
  那么,什么是证书策略呢?推广和使用它有什么现实意义呢?
  1月21日,信息安全国家重点实验室在工信部信息安全协调司的支持下,召开了“电子认证证书策略与信任保障专家研讨会”,来自清华大学、中国人民大学、中国PKI联盟、香港PKI论坛以及多家CA公司的专家学者参加了研讨会。
  积极推动证书策略的工信部信息安全协调司副司长欧阳武介绍,简单来讲,证书策略就是根据网上应用安全级别的不同,对不同的应用提供不同的证书,以保障交易的安全性。但由于应用的多样性,不可能对每种应用都发一种证书,因此,可以给具有共同安全要求的应用定义一类证书策略,遵守同样证书策略的认证机构(也称为CA公司)按照同样的安全要求签发证书。这样做的目的有三个:一是可以统一规范CA机构对同样安全需求和类别的应用的认证过程,这是实现CA机构之间互认证的基础;二是方便用户的使用,采用证书策略后,最终用户不需要了解认证的技术和细节,只需要知道“采用的是哪种认证策略的证书”就可以了,而对证书依赖方(也就是采用证书的企业,比如银行等)来说,只需要知道“依赖哪种认证策略的证书”就可以了;第三,证书策略对于监管机构来讲,是对认证市场进行规范的监管工具,是规范CA机构服务标准的一种政策工具,具有重要的现实意义。
  之所以提出了证书策略的概念,是因为,虽然在信息安全领域我们已经有了惟一的一部电子签名法,但是在目前的电子商务和电子政务环境中,人们使用各种CA机构签发的数字证书后,依然面临着许多困惑,依然不断出现各种安全威胁。由于证书签发的质量各不相同,不同的证书安全强度也不一样,按照测试流程发放的证书应该不能用于正式的电子交易。由于我国目前缺乏对数字证书的分级,人们无法从证书中获知证书的安全等级。也正因为如此,当使用证书遭受损失的时候,人们难以求助相关的法律保障自己的权益,以致于人们开始怀疑数字证书的可靠性,甚至怀疑整个电子签名技术和市场的可靠性。
  例如,曾经发生过这样的事情,一位网银用户在领取了银行发放的数字证书后,由于没有及时激活数字证书,自己账户中的百万元资金不翼而飞。专家在仔细分析后发现,主要原因在于用户没有及时激活USB Key,因此在Key中就没有产生相应的私钥和数字证书,也就达不到证书的效力(这一过程必须由用户完成,是为了防止银行工作人员作假)。与此同时,其他人冒用他的身份证重新申请了一个新的USB Key并激活,冒领了资金。银行的责任在于没有将相关的步骤和风险详细告之用户。对不懂技术的普通用户来说,了解一大堆专业术语和实现过程实在太为难了。这一结果,不仅对该用户是个巨大打击,相信他从此之后也不会再相信数字证书了,对整个数字证书产业而言,何尝不是个重大信任灾难呢?
  此外,很多人都有过这样的经历:当登录某个网站时,微软浏览器上方常常显示“证书错误:导航已阻止”字样。这是因为,为了保证用户输入信息传输和存储的安全,许多网站都采用了服务器证书。但由于发放服务器证书的CA机构,有许多并没有通过微软浏览器的认证,因此,微软浏览器将这些证书都当成是非法证书。结果造成了最终用户的困惑和网站管理者的担忧,他们很难再相信那些CA机构发放的证书了。
  “还有很多例子可以证明,目前我国CA机构良莠不齐,发放的证书存在许多差异;电子认证对最终用户的使用要求高,使用稍微不注意,就可能造成用户的损失,这造成了证书广泛应用的困难,也造成了人们对电子认证的不信任,影响了电子认证行业的发展。”荆继武教授说。
  对于证书策略的提出,专家们一致认为是非常有意义、也非常及时的。
  “在我国推行证书策略最大的创新在于,国内首次提出了对电子认证进行分级的概念。”北京天威诚信电子商务有限公司总经理殷文钢说。“以往各种CA机构都在按照自己的理解和用户需求发放证书,这些证书之间不能互认证,不具有可比性。一些技术和管理不过关的CA机构发放的证书给用户造成了损失,导致了用户对整个电子认证行业不信任,这是非常不好的现象。现在有了证书策略,至少给CA机构提出了一个新的底线,CA机构必须达到这个标准才能获得更高级别的经营许可,这对技术先进、管理到位的正规经营电子认证服务的公司是一个最大的利好消息。”他说。
  
  证书策略
  面临的挑战
  
  然而,概念虽好,要真正实现有效的证书策略并非是一件简单的事情,而是一个复杂的系统工程。
  首先面临的第一大难题是,如何在海量的应用中提炼出共性的安全需求?这是证书策略的基础,也是保证证书策略有效实施的关键。
  “在目前的环境下,由于网上应用类型的千差万别和应用数量的庞大,不可能对所有的应用颁发不同的数字证书。因此,对应用安全进行科学的分类是面临的重要挑战。”荆继武教授说。
  中国PKI联盟杜链主任认为,证书的分类原则和方法从总体上看一定是个性化的,同时要兼顾全局性、完整性和长远性。具体要重视三件事情:一是重视初始体系的建设,尽量考虑完整;二是需要政府出面刺激应用的动力;三是要有开放性滚动发展的思路,争取在短期内将工作推开。
  目前,工信部专门委托信息安全国家重点实验室对证书策略进行重点研究。为此,信息安全国家重点实验室专门成立了一个证书策略研究小组,广泛调研了国际上证书策略制定的方法,正在积极探索适合中国国情的证书策略。
  经过对国外证书策略的广泛调研,该实验室发现,各国划分证书策略等级的标准各不相同,但总体而言,是根据证书应用的范围进行划分的。信息安全国家重点实验室高能副教授和王展博士介绍,欧美许多国家和地区的证书策略是按照公众、组织和设备三个领域进行证书策略划分的。“比如,美国隶属于联邦首席信息官理事会的联邦PKI策略权威机构(FPKIPA),主要任务是制定证书策略和信任保障,并检查CA机构是否满足证书策略的要求。他们根据证书策略的四种应用范围分别制定了四套证书策略体系:居民和商业公共证书策略、美国联邦PKI公共策略框架、电子政务CA策略、联邦桥CA策略。
  因此,我国在制定证书策略时,基本思路也是按照证书应用的范围,如是用于个人之间、政府机构之间,还是个人与政府之间等,制定不同的证书策略。
  荆继武教授介绍,目前,我国证书策略分类的框架建议已经基本成型,目前正处于征求意见阶段,预计将于今年4月份对外公布,希望电子认证行业齐心协力,推动形成我国证书策略体系的国家标准。
  证书策略面临的第二个重要挑战是,如何制定一个符合市场要求的证书策略检测办法。电子认证主管部门可通过这个检测和评估确保证书策略能有效实施,让CA机构能够提供符合技术和管理质量要求的证书,最终满足电子签名法的要求。
  这是保障证书策略得以有效贯彻执行的手段,也是规范CA机构服务水平的措施,同时,通过检查,能最终实现各CA机构之间证书的互认证目标。
  荆继武教授介绍,有了标准的证书策略,如何保障使用或依赖证书者的利益就是信任保障的主要内容。策略制定机构实施信任保障最重要的工作就是按照策略,检查发证机构是否制定了符合策略安全要求的认证业务规范,其中包括对证书依赖方的赔付等;其次是检查CA机构是否有能力实施其宣称的认证业务规范;最后还要检查发证机构是否认真准确地执行了所制定的认证业务规则。通过这些检查,确保标有某种证书策略的证书能够具有法律效率,能够保护使用者或依赖该证书的人的利益。
  同样,基于策略的检测方法也将在今年4月份公布。
  
  他山之石
  
  实际上,国际社会早就对证书策略有了广泛的共识,并在积极探索不同的证书应用。以中国香港的数字证书发放为例,据香港公钥基建论坛有限公司项目顾问陈婉华女士介绍,香港目前的证书分成四种:一是身份认证证书,负责认证网上交易人的身份,相当于现实生活中的公民身份证;二是员工证书,用于识别组织内员工的身份,相当于现实生活中的工作证;三是邮件证书,用于识别电子邮件的真伪,保障邮件的安全;四是服务器证书,用于识别网络中的服务器的身份,保证对服务器的可追溯性和安全性。每个证书所保证的应用不同,因此,其安全级别也并不一样。
  以身份认证证书为例,它能证明网上交易人的身份,但仅此而已,至于交易人利用该身份进行何种商务活动,是合法的还是犯法的,则不是证书保障的范围,这就像现实生活中的身份证一样,每个人都有一个身份证,可追溯到个人住址、电话等,最后能找到这个人。但如果此人犯了法,发放身份证的部门并没有责任,而必须从刑法的角度进行判断。目前,香港的网络身份认证证书已经与现实生活中的公民身份证进行捆绑,在公民身份证上有一片小小的IC卡,当公民进行网上交易时,插入现实中的身份证,就可以同时识别现实身份和网络身份,保证交易人的真实性。据陈婉华女士介绍,这一举措目前得到了越来越多的国际社会的认可,在欧洲的23个国家中,有7个国家已经将电子签名技术放在身份证中,未来,将有13个国家采用这一做法。
  陈婉华女士介绍,为了推广电子签名技术,香港延续了30多年不变的公司法最近将进行修改,将电子签名等同于手写签名等条款加入到公司法中,正式确立电子签名的法律地位。
  专家认为,这是一种特殊的证书策略,是适合香港这一特殊的地理和人文环境的面向公众应用的证书策略。面向电子政务、电子医疗等行业,还将进一步建立和推广独立的证书策略。这些做法,对于国内建立独特的证书策略
  具有很好的参考价值。
  
  建立联盟
  推广证书应用
  
  欧阳武副司长介绍,建立证书策略的最终目标,是积极推动电子证书在各个行业的广泛应用,以进一步推动我国电子政务、电子商务的安全发展。要实现这一目标,仅仅依靠证书策略是不够的,还需要业界联合起来,共同为最终用户建立一个安全的、方便使用的、风险最低的使用环境。
  因此,在工信部的积极推动下,业界正在讨论成立一个可靠的电子签名联盟,由熟悉电子签名法的法官、律师、CA机构、技术专家等组成,为最终用户提供电子签名相关的各种服务,如不断推出标准的、安全的电子认证服务;同时还提供各种法律援助,目的是为最终用户提供傻瓜式的电子签名应用环境。用户不需要了解技术,也不需要了解相关的法律,只需要最简单的应用。万一发生了安全风险,联盟中的律师会提供相应的法律援助; 最大化地减轻用户的负担,确保电子签名技术真正应用起来,确保网上电子商务和电子政务的安全。
  “在通过微软等国际浏览器巨头的认证方面,我们可以借鉴澳大利亚的经验。”荆继武介绍。目前,澳大利亚已经由政府牵头与微软达成协议,使澳大利亚CA机构颁发的证书能与微软IE浏览器无缝连接,使人们通过浏览器对网站进行访问时更加平滑。荆继武介绍:“国内可信认证联盟的另一重要目标也是希望通过政府的引导,与微软等国际浏览器厂商达成协议,使国内CA机构颁发的证书不再被微软浏览器认为是非法的,这样人们浏览网页时,就不会在IE浏览器中弹出一个非法证书界面,达到平滑浏览的效果,也达到人们对国内电子证书信任的目标。”
  
  新品
  
  EMC信息安全事业部RSA入华十年成就斐然
  本报讯 1月22日,EMC信息安全事业部举行了盛大庆典,庆贺公司进入中国十年及为保卫中国行业信息安全所取得的成就。据EMC大中华区总裁叶成辉先生介绍,十年来,RSA保持着持续的高速增长,到目前为止,已经为中国的包括金融、电信、电子商务网站、大型企业等行业用户发放了14000多张令牌,持续保卫着用户的信息安全。
  展望未来,专程来华的EMC执行副总裁、EMC信息安全事业部RSA总裁亚瑟
其他文献
近日,TP-LINK举行了“2011年冬季TP-LINK新产品发布会”,发布了多款双频无线、便携路由等新品。除了双频无线路由、最新电力线产品外,本次发布会还展示了包括TL-WR700N、710N等便携式无线路由,以及最新上市的内置电池的3G便携路由TL-MR11U。  与以往发布会不同的是,在此次发布会上,TP-LINK并没有以某个新技术或新产品为重点,而是将企业运营新成果、工业设计与新品上市融合
大数据的话题还在持续升温之中。目前来看,市场上最热衷于谈大数据话题的除了从事商业智能的厂商之外,存储厂商应该是最积极的推动者了。为什么存储厂商如此关注大数据呢?  “原则上,任何一种全新的概念,只要它对技术和业务解决方案有高需求时,都会给存储厂商带来商机,使其能够售出更多的硬件、软件及服务,这就是存储厂商热衷于谈大数据这个话题的基本原因。”彭博(Bloomberg)资讯资深分析师Anand Sri
焦点数据  6套节目免费看  广电全国上线CMMB  本报讯 1月28日,中广传播宣布,CMMB手机电视业务将在全国全面运营,预计2月首批24个省上线,3月31日前其余省陆续上线。  中广传播总经理孙朝晖表示,中广传播(集团)计划在未来5年内实现“睛彩”电视信号全国市级及以上城市达到深度覆盖。  孙朝晖同时透露,用户购买内置了业务的终端,3年内可免费收看6套电视节目,包括CCTV1等电视频道。  
【编者按】 2010年,对于802.11n来说注定是具有重要意义的一年。尽管市场上符合802.11n 2.0草案标准的商业产品早已出现,但是,802.11n产品真正大行其道却要等到标准正式通过之后。2010年,我们将见证802.11n产品的大规模应用吗?基于802.11n最终标准的产品能够为用户提供哪些前所未有的特性?业界主流厂商推出了哪些优秀的802.11n产品?用户在今后的组网中,应该采取怎样
本报综合消息 近日,市场研究公司ABI研究调查显示,手机软件下载量在今年将会有重大突破。由于越来越多的人开始选择购买智能手机,未来将会有更多的消费者选择从网上下载应用软件,2010年的移动应用程序下载量将从2009年的24亿美元增长145%至59亿美元。  报告指出,苹果公司拥有约33亿的下载量,仍将占据整个市场的最大份额,但是Android公司将成为增长最快的公司。同时,预计Google手机操作
IT培训机构在招聘会现场打出“100%保障就业”的广告,苦于求职的大学生似乎找到了“救命的稻草”。    IT培训让很多人又爱又恨。一方面它为缺乏技术能力和工作经验的年轻人提供了进入企业的“敲门砖”;另一方面,这里充斥的虚假宣传,又让一个个心怀IT梦的年轻人不堪重负,失望而归。    3月15日,《计算机世界》报第29期封面报道《逃离蚁族》刊出后,计世网3月16日以《IT蚁族:蜗居和逃离》为题将该
SOC(信息安全管理平台)曾经一度被认为是未来信息安全技术的主要发展方向,但从2009年开始,SOC的声音却变小了很多,很多厂商认为SOC没前途而放弃了它的研发及市场。东软安全却不这么认为,今天SOC已成为它增长最快的业务之一。    产品还是解决方案?    “SOC在发展中的一个瓶颈,就是很多厂商将它作为一种产品来开发,但根据东软的经验,SOC并非产品而是一种解决方案。”东软公司网络安全营销中
包括备份磁带在内的IT资产,每天都会从IT数据中心搬进搬出。RFID技术可以对服务器、硬盘、媒体磁带和其他IT资产进行实时跟踪,并且无需人为介入,同时还能快速查找到丢失磁带的位置。    大企业的IT数据中心通常拥有成千上万的IT资产,对数据中心而言,跟踪和管理这些移动资产是日常工作之外的一项艰巨的任务。为了进行常规维护、修理和升级,企业除了需要常规性地将服务器、硬盘和外部媒体从数据中心搬进搬出,
光进铜退是近两年国内固网运营商为了迎接光纤到户时代的来临,在接入网层面推行的重要战略。随着3G上马、移动互联网迅猛发展,以及三网融合的逐步推进,运营商的光进铜退工作也在加速部署。    光进铜退影响到运营商业务模式、网络模式、维护模式等多个方面,对运营商的IT支撑系统提出了重大挑战,涉及BSS/OSS中众多系统的架构改造和能力提升。要更好地推进光进铜退,就需要充分了解光进铜退的业务规则、产品设计、
Sony HDCAM摄录一体机的HDW系列被广泛地应用于高清晰度(HD)节目制作中—如新闻采集、黄金时间节目、商业节目、自然历史节目等等。针对中国高清市场的现状,索尼为中国市场量身打造了HDW-680摄录一体机—针对新闻制作人员以及更多高清专业用户需求的一款高性价比产品。    HDW-680装有三片新开发的2/3英寸型Power HAD FX CCD,14比特模/数转换器,以及顶级的DSP LS