论文部分内容阅读
摘 要：电子商务热引发了全国各地的“CA认证中心建设热”。不仅各行业、各地区都在建自己的认证中心，而且许多公司和网站也在建自己的认证中心。针对当前认证中心建设现状，本文总结了存在的种种问题，并在此基础上提出一些管理和建设的意见。
关键字：CA认证中心 PKI 信息安全
一、CA中心与电子商务
为了保证互联网上电子交易的安全性（保密性、真实完整性和不可否认性），防范交易及支付过程中的欺诈行为，除了在信息传输过程中采用更强的加密算法等措施之外，还必须在网上建立一种信任及信任验证机制，使交易及支付各方能够确认其他各方的身份，这就要求参加电子商务的各方必须有一个可以被验证的身份标识，即CA证书。CA证书是各实体（消费者、商户／企业、银行等）在网上进行信息交流及商务活动的身份证明，在电子交易的各个环节，交易的各方都需验证对方数字证书的有效性，从而解决相互间的信任问题。
传统的认证机制，如政府部门颁发的身份证、护照、公司营业证书等，有了这些政府权威部门颁发的证书，就可以保证贸易双方身份的认证和合法性的认证，在此基础上，才能保证商务的安全、有序与可靠。而在Internet上是没有“政府”的，因此需要建立一个公正的贸易各方都认可的“认证中心”机构，负责颁发电子商务交易方的“身份认证证书”，并检验各方“真实身份”的工作。这个机构就是网络认证中心。
所谓认证中心，Certification Authority，简称CA，是基于Internet平台建立的一个公正的、权威的、独立的（第三方的）、广受信赖的组织机构，主要负责数字证书的发行、管理以及认证服务，以保证网上业务安全可靠的进行。
二、我国CA中心建设现状
1998年，国内第一家以实体形式运营的上海CA中心（SHECA）成立，此后，全国先后建成了几十家不同类型的CA认证机构，CA认证的概念也逐步从电子商务渗透至电子政务、金融、科教等各个领域。从CA中心建设的背景来分，当前国内的CA中心大致可以分为三类：大行业或政府部门建立的CA，如中国金融认证中心CFCA、中国电信CTCA等；地方政府授权建立的CA，如上海CA、北京CA等；商业性CA。行业性CA不但是数字认证的服务商，也是其他商品交易的服务商，它们不可避免地要在不同程度上参与交易过程，这与CA中心本身要求的第三方性质不相符合。就应用范围而言，行业性CA更倾向于在自己熟悉的领域内开展服务。例如，外经贸部的国富安CA认证中心在适当完善之后将首先应用于外贸企业的进出口业务。政府（包括地方政府）授权建立的第三方认证系统属于地区性CA，除具有地域优势外，在推广应用和总体协调上也具有明显的优势。不过，地区性CA离不开与银行、邮电等行业的合作。
从目前情况看，CA的概念已经深入到电子商务的各个层面，但就其应用而言，还远远不够。在CA建设和分布格局上，无论是在建的还是已经启用的，都还存在一些问题。
1．我国CA业建设“群雄并立”，各地区、各行业分而治之的局面，不利于CA业的长期有序发展
现在国内一哄而上建认证中心，形成这种各自为政又大量重复的建设格局。滥建CA有悖信息化潮流，与打破时间空间限制的网络化潮流大相径庭。网络时代的各自为政无异画地为牢。重复建设所带来的不是利益的最大化，而是国家利益的最小化、公众利益的最小化。以金融CA为例，中国人民银行总行为CFCA制定了管理规范，为金融行业的认证提供了条件和基础。以此观之，其他银行自己建的认证中心，并无多大必要。银行应该遵循一个CA，不能再走信用卡的老路。以前各银行自己搞自己的信用卡，结果，商场、宾馆的收款台要放五、六台刷卡机，为国家管理和社会公众带来了负担。
2．CA认证中心的技术基础差
CA的建立与运作需要强大的技术支撑，因为涉及到许多先进的密码技术。比如，CA提供的公开密钥与数字摘要机制等必须是先进的，密钥的位数必须达到一定的长度，以保证CA及其发行的证书的安全可靠，并且在服务质量与认证速度、管理机制上均需达到很高的水平。
由于受到美国出口限制的影响，国内的CA认证技术完全靠自己研发。又由于参与部门很多，导致标准不统一，既有国际上的通行标准，又有自主研发的标准。使我国CA技术实现本身并不成熟。另外一方面，用在CA相关产品购买上的开销仅仅是整个运营成本的一部分，配置、运行和维护一个认证系统所需的持续成本是巨大的。所以，CA中心的投资应该由一个有稳定收入来源、实力雄厚、承担的风险较小且具有极高信任度的社会机构来承担。
3．信息安全领域的标准化、法律化不完善。
国内尚未出台统一的PKI标准或相关的管理规范，也没有一个明确的CA管理机构。这种缺乏统一标准的态势必将造成多种技术标准共存的局面，也是目前我国众多CA中心各方割据、难以互通的一个主要原因。没有规范的管理和行业标准导致行业整体发展具有一定的盲目性，CA中心繁多，但许多并不是真正的第三方权威性机构，导致CA中心之间的协调和交叉认证困难。
4．CA认证中心责任、义务不清。
当前有的公司在网上发放CA证书。这种情况，如果出现问题，该公司是否为自己发放的证书承担责任？实际上这些公司根本不承担责任。如果发证机构不为自己发的证书负责，还要这个认证干什么？确保CA本身的可信安全、确保注册机构和资源库的可信安全、确保发布信息的可信安全是当前任何一个CA认证中心必须尽到的义务，同时，CA认证中心要在它的认证实施声明中，明确注明自己的责任和对违约造成损失的赔偿级别。现在有许多公司，以为建CA能赚钱，或者容易炒作，便纷纷涉足，从国外网站下载一些软件，就开始发放所谓的CA证书，网民在网上随便登记一个名字，就算是认证了，发证公司根本就不去核查，因而认证的安全性和可信度就大打折扣，出了问题，用户的利益谁来管？找谁要赔偿？这都是建设CA认证中心时必须回答、决不容回避的现实问题。
面向社会服务的CA中心必须达到一定的要求。首先要看建设单位是否具备管理能力，以及责任和义务是否很明确，一旦证书出了问题，各方的责任是否清楚；其次是看技术能力和运行条件，CA要为社会服务，能否保证安全可信，运转有效；这需要专门的技术能力和安全完整的网上认证技术体系。比如在炒股票时，如果认证的周期太长，别人已经成交了，你这里还堵着，那肯定不行。第三是看是否有足够的财力支持。没有数千万乃至上亿的投入，是无法面向社会提供可信赖的CA服务。第四是看整个CA系统和设施是否安全。总之，CA中心能否提供安全可靠的服务，不能仅凭其自身的宣传，而是要通过“国家信息安全认证”。
三、小结
针对当前我国电子商务CA认证中心的建设出现的种种问题，笔者认为除了需要在管理制度和行业标准的规范上积极完善外，构筑一个宏观的CA体系结构对我国当前CA建设的盲目性有很重要的指导意义。
从市场的需求及未来发展看，我国目前CA数目众多，但无论在规模、服务水平、用户数量还是社会信赖度上都与国际著名CA有很多大的差距，所以在CA建设上迫切需要具有安全技术保证的、可信赖的权威性的、全国级CA中心，以后再重点发展一到两个商业性CA，当时机成熟时，在此基础上再建一个国家级的根CA，全国的认证问题基本上就解决了。禁止滥建CA，一哄而上的重复建设。
我国CA认证体系适合采用三层的CA体系结构，分别是：第一层CA是国家级CA，也就是根CA，或称之为政策CA，它负责为第二层CA制定政策，为第二层CA签发证书及CRL，同时与其它国家的根CA进行交叉验证；第二层CA是地方政府或者称为省级CA，负责与其它区域性CA、行业CA进行交叉认证；第三层是操作CA，它面向最终用户，直接为用户签发、管理用于各种用途的数字证书及CRL。如果以后希望为其它行业或地区提供认证服务，就可以从省级CA下面建立新的操作CA，或建立逻辑CA。
[参考文献]
[1]劳国龄.电子商务安全与管理[M].高等教育出版社，2004
[2]柯新生.网络支付与结算[M].电子工业出版社，2004
[3]中国金融认证中心：http://www.cfca.com.cn
[4]北京数字证书认证中心：http://www.bjca.org.cn
关键字：CA认证中心 PKI 信息安全
一、CA中心与电子商务
为了保证互联网上电子交易的安全性（保密性、真实完整性和不可否认性），防范交易及支付过程中的欺诈行为，除了在信息传输过程中采用更强的加密算法等措施之外，还必须在网上建立一种信任及信任验证机制，使交易及支付各方能够确认其他各方的身份，这就要求参加电子商务的各方必须有一个可以被验证的身份标识，即CA证书。CA证书是各实体（消费者、商户／企业、银行等）在网上进行信息交流及商务活动的身份证明，在电子交易的各个环节，交易的各方都需验证对方数字证书的有效性，从而解决相互间的信任问题。
传统的认证机制，如政府部门颁发的身份证、护照、公司营业证书等，有了这些政府权威部门颁发的证书，就可以保证贸易双方身份的认证和合法性的认证，在此基础上，才能保证商务的安全、有序与可靠。而在Internet上是没有“政府”的，因此需要建立一个公正的贸易各方都认可的“认证中心”机构，负责颁发电子商务交易方的“身份认证证书”，并检验各方“真实身份”的工作。这个机构就是网络认证中心。
所谓认证中心，Certification Authority，简称CA，是基于Internet平台建立的一个公正的、权威的、独立的（第三方的）、广受信赖的组织机构，主要负责数字证书的发行、管理以及认证服务，以保证网上业务安全可靠的进行。
二、我国CA中心建设现状
1998年，国内第一家以实体形式运营的上海CA中心（SHECA）成立，此后，全国先后建成了几十家不同类型的CA认证机构，CA认证的概念也逐步从电子商务渗透至电子政务、金融、科教等各个领域。从CA中心建设的背景来分，当前国内的CA中心大致可以分为三类：大行业或政府部门建立的CA，如中国金融认证中心CFCA、中国电信CTCA等；地方政府授权建立的CA，如上海CA、北京CA等；商业性CA。行业性CA不但是数字认证的服务商，也是其他商品交易的服务商，它们不可避免地要在不同程度上参与交易过程，这与CA中心本身要求的第三方性质不相符合。就应用范围而言，行业性CA更倾向于在自己熟悉的领域内开展服务。例如，外经贸部的国富安CA认证中心在适当完善之后将首先应用于外贸企业的进出口业务。政府（包括地方政府）授权建立的第三方认证系统属于地区性CA，除具有地域优势外，在推广应用和总体协调上也具有明显的优势。不过，地区性CA离不开与银行、邮电等行业的合作。
从目前情况看，CA的概念已经深入到电子商务的各个层面，但就其应用而言，还远远不够。在CA建设和分布格局上，无论是在建的还是已经启用的，都还存在一些问题。
1．我国CA业建设“群雄并立”，各地区、各行业分而治之的局面，不利于CA业的长期有序发展
现在国内一哄而上建认证中心，形成这种各自为政又大量重复的建设格局。滥建CA有悖信息化潮流，与打破时间空间限制的网络化潮流大相径庭。网络时代的各自为政无异画地为牢。重复建设所带来的不是利益的最大化，而是国家利益的最小化、公众利益的最小化。以金融CA为例，中国人民银行总行为CFCA制定了管理规范，为金融行业的认证提供了条件和基础。以此观之，其他银行自己建的认证中心，并无多大必要。银行应该遵循一个CA，不能再走信用卡的老路。以前各银行自己搞自己的信用卡，结果，商场、宾馆的收款台要放五、六台刷卡机，为国家管理和社会公众带来了负担。
2．CA认证中心的技术基础差
CA的建立与运作需要强大的技术支撑，因为涉及到许多先进的密码技术。比如，CA提供的公开密钥与数字摘要机制等必须是先进的，密钥的位数必须达到一定的长度，以保证CA及其发行的证书的安全可靠，并且在服务质量与认证速度、管理机制上均需达到很高的水平。
由于受到美国出口限制的影响，国内的CA认证技术完全靠自己研发。又由于参与部门很多，导致标准不统一，既有国际上的通行标准，又有自主研发的标准。使我国CA技术实现本身并不成熟。另外一方面，用在CA相关产品购买上的开销仅仅是整个运营成本的一部分，配置、运行和维护一个认证系统所需的持续成本是巨大的。所以，CA中心的投资应该由一个有稳定收入来源、实力雄厚、承担的风险较小且具有极高信任度的社会机构来承担。
3．信息安全领域的标准化、法律化不完善。
国内尚未出台统一的PKI标准或相关的管理规范，也没有一个明确的CA管理机构。这种缺乏统一标准的态势必将造成多种技术标准共存的局面，也是目前我国众多CA中心各方割据、难以互通的一个主要原因。没有规范的管理和行业标准导致行业整体发展具有一定的盲目性，CA中心繁多，但许多并不是真正的第三方权威性机构，导致CA中心之间的协调和交叉认证困难。
4．CA认证中心责任、义务不清。
当前有的公司在网上发放CA证书。这种情况，如果出现问题，该公司是否为自己发放的证书承担责任？实际上这些公司根本不承担责任。如果发证机构不为自己发的证书负责，还要这个认证干什么？确保CA本身的可信安全、确保注册机构和资源库的可信安全、确保发布信息的可信安全是当前任何一个CA认证中心必须尽到的义务，同时，CA认证中心要在它的认证实施声明中，明确注明自己的责任和对违约造成损失的赔偿级别。现在有许多公司，以为建CA能赚钱，或者容易炒作，便纷纷涉足，从国外网站下载一些软件，就开始发放所谓的CA证书，网民在网上随便登记一个名字，就算是认证了，发证公司根本就不去核查，因而认证的安全性和可信度就大打折扣，出了问题，用户的利益谁来管？找谁要赔偿？这都是建设CA认证中心时必须回答、决不容回避的现实问题。
面向社会服务的CA中心必须达到一定的要求。首先要看建设单位是否具备管理能力，以及责任和义务是否很明确，一旦证书出了问题，各方的责任是否清楚；其次是看技术能力和运行条件，CA要为社会服务，能否保证安全可信，运转有效；这需要专门的技术能力和安全完整的网上认证技术体系。比如在炒股票时，如果认证的周期太长，别人已经成交了，你这里还堵着，那肯定不行。第三是看是否有足够的财力支持。没有数千万乃至上亿的投入，是无法面向社会提供可信赖的CA服务。第四是看整个CA系统和设施是否安全。总之，CA中心能否提供安全可靠的服务，不能仅凭其自身的宣传，而是要通过“国家信息安全认证”。
三、小结
针对当前我国电子商务CA认证中心的建设出现的种种问题，笔者认为除了需要在管理制度和行业标准的规范上积极完善外，构筑一个宏观的CA体系结构对我国当前CA建设的盲目性有很重要的指导意义。
从市场的需求及未来发展看，我国目前CA数目众多，但无论在规模、服务水平、用户数量还是社会信赖度上都与国际著名CA有很多大的差距，所以在CA建设上迫切需要具有安全技术保证的、可信赖的权威性的、全国级CA中心，以后再重点发展一到两个商业性CA，当时机成熟时，在此基础上再建一个国家级的根CA，全国的认证问题基本上就解决了。禁止滥建CA，一哄而上的重复建设。
我国CA认证体系适合采用三层的CA体系结构，分别是：第一层CA是国家级CA，也就是根CA，或称之为政策CA，它负责为第二层CA制定政策，为第二层CA签发证书及CRL，同时与其它国家的根CA进行交叉验证；第二层CA是地方政府或者称为省级CA，负责与其它区域性CA、行业CA进行交叉认证；第三层是操作CA，它面向最终用户，直接为用户签发、管理用于各种用途的数字证书及CRL。如果以后希望为其它行业或地区提供认证服务，就可以从省级CA下面建立新的操作CA，或建立逻辑CA。
[参考文献]
[1]劳国龄.电子商务安全与管理[M].高等教育出版社，2004
[2]柯新生.网络支付与结算[M].电子工业出版社，2004
[3]中国金融认证中心：http://www.cfca.com.cn
[4]北京数字证书认证中心：http://www.bjca.org.cn