易恒信:搶占網(wǎng)際社會的安全高地

密鑰生產(chǎn)中心種子密鑰用戶私鑰數(shù)據(jù)庫注冊信息用戶私鑰

■ 本報(bào)記者 霍光

以前,社會秩序的穩(wěn)定有賴于對人的管理。但是,在由互聯(lián)網(wǎng)所構(gòu)成的新的網(wǎng)際社會中,構(gòu)建秩序顯得非常困難。身份認(rèn)證被看做解決這一問題的手段之一。北京易恒信認(rèn)證科技有限公司(下稱易恒信)就是這一領(lǐng)域的耕耘者。2008年11月23日,國家密碼管理局正式宣布易恒信上報(bào)的組合公鑰(CPK)的體系中的雙因子組合公鑰算法(TF-CPK)通過審查。至此,這項(xiàng)我國自主發(fā)明的信息安全核心技術(shù)正式得到國家認(rèn)可。

互聯(lián)網(wǎng):沒有硝煙的新戰(zhàn)場

“在網(wǎng)絡(luò)空間建立秩序已經(jīng)成為未來新的國家利益?！币缀阈耪崎T人趙建國對記者說,解決網(wǎng)際空間的秩序問題一定會成為未來經(jīng)濟(jì)增長的重要支撐要素?！熬W(wǎng)絡(luò)建設(shè)固然重要,但更重要的是解決對網(wǎng)絡(luò)的管理問題。只有解決了管理和誠信問題,網(wǎng)絡(luò)所蘊(yùn)含的能量才能轉(zhuǎn)換成經(jīng)濟(jì)和社會發(fā)展的力量?！?/p>

通過新的技術(shù)手段,來搶占網(wǎng)際空間秩序的制高點(diǎn),正是易恒信公司建立的初衷。

“建立網(wǎng)際空間的秩序,要建立三個體系,即新的管理體系、誠信體系和安全體系,而認(rèn)證系統(tǒng)則是這三個體系的基礎(chǔ)?！壁w建國說。

不過,在密碼學(xué)已經(jīng)充分發(fā)展的背景下,找到一種新的認(rèn)證方法談何容易。上世紀(jì)80年代,我國資深信息安全專家南相浩教授就提出了通過種子密鑰計(jì)算標(biāo)識密鑰的方法,這種基于種子密鑰的標(biāo)識密碼體系奠定了后來CPK架構(gòu)的雛形。1999年,南湘浩正式構(gòu)建了CPK的架構(gòu),達(dá)到了海量用戶和簡便識別的雙重要求。

2005年,曾與南相浩在同一部門工作過的趙建國離開部隊(duì)后,到了剛成立不久的北京信息安全基地協(xié)助工作。當(dāng)趙建國了解到有關(guān)情況后,建議組建了北京易恒信認(rèn)證科技有限公司。2005年6月,北京市科委邀請十多位國內(nèi)著名專家對CPK技術(shù)進(jìn)行評議,專家們一致認(rèn)為,CPK技術(shù)是我國具有自主知識產(chǎn)權(quán)的密鑰管理算法,具有重大的創(chuàng)新意義和廣泛的應(yīng)用前景。

CPK:基于標(biāo)識的認(rèn)證體系

自互聯(lián)網(wǎng)出現(xiàn)以來,為解決信息真實(shí)性問題,認(rèn)證技術(shù)不斷向前發(fā)展。然而,目前廣泛使用的基于第三方公鑰認(rèn)證的PKI認(rèn)證體系需要建立和維護(hù)公鑰證書庫供使用者查詢,其認(rèn)證系統(tǒng)的建設(shè)和維護(hù)運(yùn)行成本居高不下。因此,新的基于標(biāo)識的認(rèn)證系統(tǒng)在國際上被認(rèn)為是認(rèn)證技術(shù)的發(fā)展方向,美國政府已將其列入2009年度聯(lián)邦政府科研計(jì)劃。

CPK就是一種基于標(biāo)識的認(rèn)證系統(tǒng)。在CPK體系中,利用用戶標(biāo)識通過種子密鑰和CPK算法就可以直接計(jì)算出公鑰,而計(jì)算過程本身就證明了其真實(shí)性,因此實(shí)現(xiàn)了用戶間的直接認(rèn)證,整個認(rèn)證體系和認(rèn)證過程大大簡化。

趙建國向記者介紹,目前在標(biāo)識認(rèn)證系統(tǒng)上,我國已經(jīng)走在美國的前邊。美國總統(tǒng)信息顧問委員會2005在給布什總統(tǒng)的報(bào)告中將10億級別的認(rèn)證技術(shù)列為10大安全關(guān)鍵技術(shù)之首,而CPK認(rèn)證系統(tǒng)利用48KB的種子公鑰就能構(gòu)建起10的48次方規(guī)模的認(rèn)證系統(tǒng)。

另一方面,CPK認(rèn)證也很安全。趙建國介紹,早期,在CPK體系中,對私鑰的保護(hù)是一個難題,如果大量私鑰泄漏,會對種子密鑰構(gòu)成威脅。但是,通過與芯片技術(shù)的結(jié)合,這一問題得到妥善解決?，F(xiàn)在要獲得一個用戶私鑰,必須首先解剖芯片,而且只能獲得經(jīng)過用戶口令加密的數(shù)據(jù)。而新的TF-CPK體制的用戶密鑰已經(jīng)實(shí)現(xiàn)了全隨機(jī)化,徹底解決了安全性問題。

2006年10月,曾任美洲密碼年會執(zhí)行主席的國際知名密碼學(xué)者詹姆士·休斯在得知CPK算法后,專程來華與南相浩教授交流,并稱贊其為“極好的解決方案”。在詹姆士·休斯的倡議下,2007年的歐密會上介紹了CPK體系。2008年11月23日,雙因子組合公鑰算法(TF-CPK)通過了國家密碼管理局的審查。

“目前,我們在一步一步向前推進(jìn)。有一批安全專家一直在堅(jiān)定地支持我們,他們對未來的安全體系有一個大膽的設(shè)計(jì),該體系的底層是密碼學(xué)和認(rèn)證技術(shù),主要提供數(shù)字簽名和密鑰交換兩項(xiàng)基本功能,目前已經(jīng)做得比較堅(jiān)實(shí)。其次是平臺安全和可信連接。用CPK技術(shù)對可執(zhí)行代碼進(jìn)行簽名和驗(yàn)證,可以有效地阻止病毒和惡意代碼的加載和運(yùn)行,這項(xiàng)工作已經(jīng)取得突破性進(jìn)展,預(yù)計(jì)在今年8月可以拿出應(yīng)用成果。由于CPK是端到端的自證體系,因此能夠用于實(shí)現(xiàn)可信連接。我們著手針對網(wǎng)絡(luò)協(xié)議來進(jìn)行開發(fā)?！壁w建國表示,下一代網(wǎng)絡(luò)協(xié)議很可能就是基于標(biāo)識的網(wǎng)絡(luò)協(xié)議,而通過標(biāo)識認(rèn)證體系,就可以建立起新一代的安全架構(gòu)體系。

占領(lǐng)制高點(diǎn)時不我待

“網(wǎng)絡(luò)空間秩序的建立,將是下一步經(jīng)濟(jì)發(fā)展的關(guān)鍵所在。”趙建國這樣看待網(wǎng)絡(luò)秩序的意義。

事實(shí)上,美國已經(jīng)開始著手建立新的網(wǎng)絡(luò)秩序。自從上世紀(jì)末憑借“信息高速公路”的提出獲得了經(jīng)濟(jì)的高速發(fā)展以來,美國一直在尋求新的經(jīng)濟(jì)增長點(diǎn)。而在奧巴馬政府的新規(guī)劃中,對網(wǎng)絡(luò)的管理也成為其重要戰(zhàn)略之一。

為何網(wǎng)絡(luò)管理體系如此重要?趙建國認(rèn)為,每一種生產(chǎn)力都要有其對應(yīng)的生產(chǎn)關(guān)系,也即管理體系。在網(wǎng)絡(luò)快速發(fā)展的今天,網(wǎng)絡(luò)管理體系的建立將成為知識經(jīng)濟(jì)發(fā)展的支撐?！耙坏┙⒘苏J(rèn)證體系,網(wǎng)絡(luò)空間將從無序變成有序,電子政務(wù)、電子商務(wù)等都可以在這個體系上建立起來,國家的經(jīng)濟(jì)發(fā)展?jié)摿梢缘玫綐O大的釋放。”談到建立認(rèn)證體系的重要性,趙建國顯得非常興奮。

同時,認(rèn)證體系也為網(wǎng)絡(luò)安全體系的建立奠定了基礎(chǔ)。“認(rèn)證體系的建立,可以實(shí)現(xiàn)基于管理的安全,而非基于防御的安全?！壁w建國說,“因此,認(rèn)證體系是實(shí)現(xiàn)安全的前提。之前,安全領(lǐng)域一定是進(jìn)攻方具有優(yōu)勢。但是,建立認(rèn)證體系之后,管理者可以主動監(jiān)控非法行為,可以用密碼武器保護(hù)自己,從而實(shí)現(xiàn)了主被動的轉(zhuǎn)換?！?/p>

正因?yàn)檎J(rèn)證體系對網(wǎng)絡(luò)空間的管理體系、安全體系建立都有重要意義,趙建國認(rèn)為,CPK將會成為“未來社會管理的支撐技術(shù)”。

不過,雖然我國發(fā)明了CPK技術(shù),并成為目前世界上唯一擁有構(gòu)建超大規(guī)模復(fù)雜認(rèn)證體系能力的國家,趙建國依然滿懷危機(jī)意識。“美國的科學(xué)創(chuàng)新能力和底子要比我們強(qiáng),我們的優(yōu)勢能領(lǐng)先多久還是未知數(shù)。但這次機(jī)遇一旦喪失,我們將喪失過去許多年積累起來的優(yōu)勢,并錯失在網(wǎng)絡(luò)空間秩序建立的過程中領(lǐng)跑的機(jī)會?！彼麑τ浾哒f。

CPK密鑰生產(chǎn)分發(fā)系統(tǒng)示意圖

終端實(shí)體

注冊申請

密鑰申請

注冊管理中心

密鑰管理中心

CPK標(biāo)識認(rèn)證系統(tǒng)簡介

認(rèn)證系統(tǒng)(Authentication System)是在公鑰密碼體制的基礎(chǔ)上,通過數(shù)字簽名和密鑰交換,在開放的信息環(huán)境中提供真實(shí)性證明,建立信任的一種技術(shù)手段,也是實(shí)現(xiàn)信息保障(Information Assurance)的基礎(chǔ)。目前世界上與認(rèn)證相關(guān)的技術(shù)很多,如通過賬號+密碼、動態(tài)口令、數(shù)據(jù)加解密過程、生物特征(如指紋)等,但真正成為系統(tǒng),并進(jìn)入實(shí)際應(yīng)用的只有PKI和CPK。PKI和CPK功能相近,最大的區(qū)別是,前者是基于第三方公鑰證書的認(rèn)證系統(tǒng),需要建立和維護(hù)公鑰證書庫供使用者查詢,后者是基于標(biāo)識的認(rèn)證系統(tǒng),可直接利用用戶的標(biāo)識(如單位名稱、用戶的姓名等)通過種子公鑰直接計(jì)算出用戶的標(biāo)識公鑰,因而能夠?qū)崿F(xiàn)端到端(用戶到用戶)的直接認(rèn)證,簡化了認(rèn)證過程,提高了認(rèn)證效率,減少了證書庫建設(shè)維護(hù)和查詢服務(wù)等對人員、設(shè)備、帶寬等資源的消耗,及其對應(yīng)用規(guī)模的制約和影響,為認(rèn)證技術(shù)走向普及應(yīng)用創(chuàng)造了條件。