基于可信身份认证的数权保护技术方案研究与实现

王杰勋 马圣东

摘   要：在互联网时代，数据拥有价值，个人信息也是一种财产权益。频繁发生的数据泄漏事故，除了造成巨大的财产损失外，也带来了巨大的安全隐患。文章分析了互联网环境下个人信息数据安全的问题及现状，并提出了基于可信身份认证的数权保护技术方案，重点介绍了方案的主要流程以及技术原理。

关键词：数据安全;可信身份认证;数权保护

中图分类号：TP309.2          文献标识码：A

Abstract： In the internet age， data has value， and personal information is also a property right. Frequent data leakage accidents， in addition to causing huge property losses， also bring huge security risks. This paper analyzes the problems and current situation of personal information data security under the Internet environment， and proposes a data rights and interests protection technology scheme based on trusted identity authentication. Finally， it focuses on the important processes and technical principles of the scheme.

Key words： data security; trusted identity authentication; data rights and interests protection

1 引言

中国互联网络信息中心（CNNIC）发布的数据显示，截至2019年6月，中国网民数达到8.54亿，手机网民规模达8.47亿，互联网普及率为61.2%。越来越多的个人信息传输于互联网，越来越多的平臺在收集着海量用户数据。互联网、移动互联网高速发展，在给人们带来便利的同时，也带来了诸多安全隐患。本文分析了互联网、移动互联网环境下个人信息数据安全的问题及现状，并提出了基于可信身份认证的数权保护技术方案。

2  用户数据安全问题现状及分析

2.1 数据安全问题及现状

在互联网大数据时代，数据就意味着行业资源和商业财富，在商业利益的驱动下，各类互联网平台、应用收集海量用户数据，并以此进行数据分析、商业开发。海量用户数据包含了个人隐私、财务等敏感数据，吸引着更多的以商业目的或国家利益为背景的攻击者的注意。事实上，这些平台对于用户数据保护的重视程度以及安全性要求远远不够，这也是近年来数据泄漏事件频发的重要原因之一。

据《2018数据泄漏损失研究》评估显示，大型数据泄露代价高昂，百万条记录可致损失4000万美元，5000万条记录可致损失高达3.5 亿美元。遭遇数据泄露事件的企业平均要损失386万美元，同比2017年增加了6.4%。

2018年3月，美国Facebook公司8700万用户数据泄漏;2018年6月，前程无忧195万个人求职简历泄漏;2018年8月，华住旗下多个连锁酒店5亿条客户入住信息数据泄露。对这些数据泄漏事件仔细分析，关键由五个因素导致：数据内部权限、数据盗卖、越权访问、外包服务数据权限、个人隐私泄露。

互联网时代，数据拥有价值，个人信息也是一种财产权益。但是，各类互联网平台应用往往通过“用户协议”“免责声明”等手段规避风险、合法的获取用户数据，并且在业务中使用用户数据，在此过程中并没有用户的许可或者授权。尽管有的平台或应用在某些场景下加入了用户授权许可的控制，但整个过程缺少强身份认证及数字签名机制，存在用户授权许可无法追溯的问题。

2018年5月25日欧盟正式实施《通用数据保护条例》（GDPR），规定了严格全面的数据处理规则，管辖范围不受物理空间限制，强化了数据主体的权利体系，赋予监管机构以强大的规范及执行权力，重构了跨境数据管理，制定了严苛的处罚措施等。

我国对于数据安全也是越来越重视。国家领导在中共中央政治局就实施国家大数据战略第二次集体学习时指出，要构建以数据为关键要素的数字经济，推动实体经济和数字经济融合发展，推动互联网、大数据、人工智能同实体经济深度融合。同时，要切实保障国家数据安全。《个人信息保护法》已纳入十三届全国人大常委会立法规划。

2.2 数据安全分析

用户数据安全问题主要集中在三个方面。

（1）平台安全。平台指的是各互联网平台、应用系统。平台安全主要涉及数据传输交换安全、数据存储安全、数据计算安全、平台管理安全以及基础设施安全。

（2）数据安全。平台为支撑数据流动安全所提供的安全功能，包括数据分类分级、元数据管理、质量管理、数据加密、数据隔离、防泄露、追踪溯源、数据销毁等内容。

（3）隐私安全。隐私保护是建立在数据安全防护基础之上的保障个人隐私权的更深层次安全要求。除了必要的对隐私信息的保护之外，还需要在个人信息收集、使用过程中保障数据主体的个人信息自决权利。

依靠安全技术的发展，通过严格的安全配置管理、安全机制等手段基本可以满足平台安全的需求。通过数据监控等安全防护措施，使得数据安全进一步提高。然而对于隐私安全的防护，一直缺乏非常好的技术方案。

3 基于可信身份认证的数权保护技术方案

本文提出基于可信身份认证的数权保护技术，建立可信身份服务平台，在精确认证用户、应用身份后颁发以数字证书为核心的可信电子身份后，通过严格的授权许可机制，确保应用对用户数据访问的最小许可范围，同时采用数字签名机制验证用户许可的有效性，采用数字信封技术手段保障用户许可的数据密文传输，且仅应用方可以解密用户许可的数据。

3.1 建设可信身份服务平台

可信身份服务平台主要提供六项服务，如图1所示。

（1）权威数据认证服务。平台接入公安、工商、运营商等权威认证服务，为用户、企业提供权威可信的身份认证。

（2）颁发可信的电子身份。通过AI活体检测技术防止欺骗攻击，再通过公安权威身份验证后，为用户颁发电子身份;通过工商服务验证企业身份，为企业颁发电子身份。

（3）数字证书管理服务。平台接入第三方合法CA机构，支持数字证书全生命周期管理。数字证书是用户、企业电子身份的核心。通过应用数字证书技术，采用SM2非对称密码算法、SM3杂凑算法、SM4对称加密算法等，保障身份认证、用户签名不可抵赖、数据加密保护等。

（4）应用管理服务。支持应用（如平台、系统都可称为应用）管理，为接入的应用颁发身份证书。

（5）统一认证服务。用户、企业、应用身份由平台统一认证。所有经过平台统一认证的记录都保存记录。

（6）统一PKI组件。用户、企业、应用可以使用统一PKI组件调用数字证书进行数字签名、加解密、数字信封封包解包等。

3.2 移动基于可信身份认证的数据保护流程设计

3.2.1用户身份认证流程

用户身份认证的主要流程如图2所示。

（1）用户注册/登录。

（2）平台（或移动终端）采集用户姓名/身份证号码。

（3）平台（或移动终端）基于AI人脸活体检测，验证被检测者是否为活体。

（4）若验证被检测者是活体，发送相关身份信息及人脸照片至公安权威服务认证。

（5）若上一步认证成功，由第三方合法CA机构为用户颁发数字证书。

3.2.2 企业身份认证流程

企业认证的主要流程如图3所示。

（1）企业用户注册/登录。

（2）平台采集企业名称/统一社会信用代码/企业银行账号等企业信息。

（3）平台发送企业认证信息至工商权威服务认证企业身份。

（4）若上一步通过，由第三方合法CA机构为企业颁发数字证书。

3.2.3 基于可信身份认证的数权保护流程

在用户和应用（数据请求方、数据持有方）在可信身份平台做完认证之后，数据请求应用获取用户的数据流程分五步骤。

（1）用户登录应用（数据请求方），应用（数据请求方）引导用户至到可信身份服务平台验证用户身份，可信身份验证成功后获得用户身份信息。

（2）应用（数据请求方）请求用户授权获取用户的数据资源信息。

（3）用户确认授权给应用（数据请求方）并进行数字签名，应用（数据请求方）将用户授权的信息发送至应用（数据持有方）。

（4）應用（数据持有方）解析请求信息，通过可信身份服务平台验证用户身份以及授权信息签名的有效性，验证成功后从数据库提取用户数据信息，使用应用（数据请求方）数字证书进行加密（例如数字信封），将加密后的密文信息发送至应用（数据请求方）。

（5）应用（数据请求方）使用私钥解密获得用户数据的明文信息。

如图4所示是以用户访问某交友应用，应用需要认证用户身份并获取用户的学历信息为例，描述整个流程以及数据传输保护机制。

从上述流程可以看出，基于可信身份认证的数据保护流程具备四个特点。

（1）可信身份服务平台只提供身份认证与数字签名验证服务。

（2）可信身份服务平台没有留存用户的信息数据，仅做了数据传输。

（3）数据传输采用基于数字证书非对称加密技术，实现端到端密文传输，保障数据安全。

（4）用户行为受数字签名保护，可追溯，不可抵赖。

3.3 移动安全终端设计

3.3.1 移动安全终端主要功能设计

移动安全终端是可信身份服务平台的移动端延伸，对用户来说是移动安全中心。移动安全终端的主要功能有五个。

（1）身份认证。基于AI活体检测技术结合公安身份核验服务验证用户真实身份。

（2）出示电子证件。用户可出示电子身份供应用或其他用户确认出示者身份信息。

（3）统一认证登录。第三方应用可以跳转到移动安全终端APP进行统一认证，也可以从移动安全终端APP直接跳转至应用。

（4）移动证书管理器。提供用户私钥的生成、加密存储，移动端数字证书全生命周期管理。

（5）扫一扫功能。功能包括扫码登录、扫码签名、扫码加解密、扫码数字信封封包等。

3.3.2 移动安全终端私钥安全存储及签名机制

用户私钥必须由用户完全持有，并且在任何时刻签名必须体现用户签名行为的自主性。本方案采用了基于SOTP乘法加密保护签名私钥的SM2同态签名技术方案。

这套方案基于郑建华院士的Z算法，通过SOTP安全技术机制，在认证用户客户端身份后，动态下发加密算法。SOTP依据数学原理将密码算法与用户密钥有机融合，利用用户密钥对原本共同的算法进行重构，使得不同用户使用不同加解密算法，用户密钥融合在自己的算法中。用户客户端使用下载动态加密算法生成随机数u，再使用随机数u加密保护用户私钥，可以确保任何时候用户私钥均以密文形式存储在客户端。由Z算法保证u的取值在统计学上是随机的，攻击者在无法获取u的条件下，也无法获取用户私钥，从而达到保护用户私钥的安全。

方案能够在私钥加密保护的条件下，由用户自主独立生成签名。任何人也能通过SOTP中心自主验证签名。生成与验证签名的过程与SM2算法类似，计算量相同，签名的安全性与效率相同。

4 结束语

本文重点介绍了在互联网大数据时代用户数据安全问题现状并做了深入分析，提出了基于可信身份认证的数权保护技术。通过建立可信身份服务平台，在精确认证用户、应用身份后颁发以数字证书为核心的可信电子身份，结合数字证书技术及授权许可机制严格保护用户数据安全。

参考文献

[1] 中国互联网络信息中心.第44次《中国互联网络发展状况统计报告》 [EB/OL]. http：//www.cnnic.net.cn/hlwfzyj/hlwxzbg/hlwtjbg/201908/t20190830_70800.htm，2019（08）.

[2] 中国网信网.国家网络空间安全战略[EB/OL]. http：//www.cac.gov.cn/2016-12/27/c_1120195926.htm ，2016（12）.

[3] Ponemon Institute.2018 Cost of Data Breach Study[EB/OL]. https：//www.ibm.com/downloads/cas/AEJYBPWA， 2018（10）.

[4] 中国信息通信研究院安全研究所，大数据安全白皮书（2018年）[EB/OL].http：//www.caict.ac.cn/kxyj/qwfb/bps/201807/P020180712523226672500.pdf，2018（07）.

[5] 张博卿.我国大数据安全现状、问题及对策建议[J].网络空间安全，2018，9（08）：49-51+84.

[6] 人民日报.个人数据使用，期待更规范 [EB/OL].http：//paper.people.com.cn/rmrb/html/2019-04/08/nw.D110000renmrb_20190408_2-18.htm 2019（04）.