“互聯(lián)網(wǎng)+ 可信身份認(rèn)證平臺(tái)”技術(shù)架構(gòu)與標(biāo)準(zhǔn)

吳國英 周衛(wèi)東 王劍冰 管毅

1. 公安部第一研究所 2. 北京中盾安信科技發(fā)展有限公司

引言

當(dāng)前，以移動(dòng)互聯(lián)網(wǎng)、大數(shù)據(jù)、云服務(wù)、AI等為代表的信息技術(shù)日新月異，引領(lǐng)了社會(huì)生產(chǎn)新變革，創(chuàng)造了人類生活新空間，拓展了國家治理新領(lǐng)域。但由于網(wǎng)絡(luò)的虛擬性特點(diǎn)和現(xiàn)有認(rèn)證方式及流程安全性方面的不足，導(dǎo)致在居民身份網(wǎng)絡(luò)認(rèn)證環(huán)節(jié)暴露出一系列的問題與痛點(diǎn)，引發(fā)了如“數(shù)據(jù)信息泄露、身份冒用、網(wǎng)上居民身份隱私數(shù)據(jù)傳播”等新的安全問題，甚至威脅到了國家政治安全?！吨腥A人民共和國網(wǎng)絡(luò)安全法》明確規(guī)定國家實(shí)施網(wǎng)絡(luò)可信身份戰(zhàn)略，身份網(wǎng)絡(luò)認(rèn)證是實(shí)施網(wǎng)絡(luò)可信身份戰(zhàn)略的一個(gè)重要環(huán)節(jié)，用以解決網(wǎng)絡(luò)世界中“我是誰”的問題，是網(wǎng)絡(luò)應(yīng)用業(yè)務(wù)規(guī)范化的基礎(chǔ)。

但傳統(tǒng)的社會(huì)治理體系難以直接應(yīng)用于網(wǎng)絡(luò)空間，其中如何標(biāo)識、識別、有效管理網(wǎng)絡(luò)參與者的身份是安全系統(tǒng)的第一道屏障，已成為網(wǎng)絡(luò)治理面臨的最為棘手的難題。因此有必要建立一套網(wǎng)絡(luò)可信身份管理體系，作為我國網(wǎng)絡(luò)可信身份戰(zhàn)略資源，服務(wù)于國家安全、經(jīng)濟(jì)發(fā)展、網(wǎng)絡(luò)治理?！盎ヂ?lián)網(wǎng)+可信身份認(rèn)證平臺(tái)”（以下簡稱CTID平臺(tái)）作為網(wǎng)絡(luò)可信身份管理體系的實(shí)踐樣板，可以解決當(dāng)下各行業(yè)在線身份認(rèn)證中存在的諸多問題，為大力發(fā)展數(shù)字民生、促進(jìn)消費(fèi)、創(chuàng)業(yè)創(chuàng)新、促進(jìn)互聯(lián)網(wǎng)的創(chuàng)新成果與經(jīng)濟(jì)社會(huì)各領(lǐng)域深度融合提供了技術(shù)支撐。

一、總體技術(shù)架構(gòu)

CTID平臺(tái)對外提供真實(shí)身份核驗(yàn)、網(wǎng)證開通和管理、網(wǎng)證認(rèn)證等三大功能，基于實(shí)體身份證、網(wǎng)證、居民身份信息、人像等多種認(rèn)證因子，形成了從最簡單的身份信息比對，到需要實(shí)體證件參與的多因子認(rèn)證等多種身份認(rèn)證模式。平臺(tái)構(gòu)建的多因子、多層次、多安全等級的網(wǎng)絡(luò)可信身份認(rèn)證體系，可滿足不同行業(yè)、不同應(yīng)用場景、不同安全等級要求的身份認(rèn)證需要。

在技術(shù)架構(gòu)設(shè)計(jì)上，基于“平臺(tái)+應(yīng)用”的模式，采用“四層三縱”結(jié)構(gòu)進(jìn)行搭建，系統(tǒng)總體架構(gòu)如圖1所示。

（一）數(shù)據(jù)層

CTID平臺(tái)整體服務(wù)的數(shù)據(jù)資源及支撐。通過對身份證數(shù)據(jù)和出入境數(shù)據(jù)的匯聚、清洗、融合、脫敏、數(shù)據(jù)同步等流程設(shè)計(jì)，有效進(jìn)行數(shù)據(jù)資源整合，形成對外提供真實(shí)身份核驗(yàn)、網(wǎng)證開通和管理服務(wù)的數(shù)據(jù)資源及支撐；通過網(wǎng)證開通產(chǎn)生的數(shù)據(jù)形成對外提供網(wǎng)證認(rèn)證的數(shù)據(jù)資源及支撐；通過存儲(chǔ)日志，形成行為追溯和分析的數(shù)據(jù)資源及支撐。

（二）服務(wù)層

CTID平臺(tái)整體能力層，聚焦互聯(lián)網(wǎng)業(yè)務(wù)需求，根據(jù)不同行業(yè)、不同應(yīng)用的特點(diǎn)構(gòu)建分級分類的真實(shí)身份核驗(yàn)和網(wǎng)證認(rèn)證、網(wǎng)證開通、網(wǎng)證管理、居民身份網(wǎng)絡(luò)標(biāo)識生成、人像比對等服務(wù)。

（三）接入層

CTID平臺(tái)服務(wù)能力的輸出層，為CTID APP和第三方應(yīng)用提供使用平臺(tái)服務(wù)能力的接入接口、流量控制和權(quán)限控制。目前有網(wǎng)證開通和管理的接口、真實(shí)身份核驗(yàn)接口和網(wǎng)證認(rèn)證接口。

（四）應(yīng)用層

基于CTID平臺(tái)能力發(fā)展的外部各種互聯(lián)網(wǎng)應(yīng)用，為了數(shù)據(jù)安全，防止個(gè)人身份隱私泄露，CTID平臺(tái)為外部應(yīng)用提供統(tǒng)一的真實(shí)身份信息采集、網(wǎng)證認(rèn)證等控件，實(shí)現(xiàn)用戶隱私信息與互聯(lián)網(wǎng)應(yīng)用服務(wù)商的隔離。

（五）安全保障系統(tǒng)

按照國家網(wǎng)絡(luò)安全法和網(wǎng)絡(luò)安全等級保護(hù)制度等法律法規(guī)要求，以支撐業(yè)務(wù)應(yīng)用為目標(biāo)，以保護(hù)數(shù)據(jù)資產(chǎn)為核心，實(shí)現(xiàn)“全程審計(jì)—檢測預(yù)警—威脅感知—威脅處置”的安全閉環(huán)，確保CTID平臺(tái)安全。對參與身份認(rèn)證的各個(gè)實(shí)體對象產(chǎn)生密鑰及證書，并基于密鑰及證書實(shí)現(xiàn)業(yè)務(wù)環(huán)節(jié)中的信息安全防護(hù)，同時(shí)提供對密鑰統(tǒng)一、集中的安全管理。

（六）運(yùn)維保障系統(tǒng)

負(fù)責(zé)CTID平臺(tái)各種硬件設(shè)備和軟件系統(tǒng)的自動(dòng)監(jiān)控、運(yùn)行維護(hù)和安全保障，實(shí)現(xiàn)對CTID整個(gè)平臺(tái)內(nèi)各個(gè)集群主機(jī)和服務(wù)狀態(tài)信息的采集、匯聚、分析、告警四大功能，實(shí)現(xiàn)故障快速響應(yīng)，確保系統(tǒng)穩(wěn)定安全運(yùn)行。

（七）標(biāo)準(zhǔn)體系

基于面向用戶類型的不同，形成的一套標(biāo)準(zhǔn)體系，涉及基礎(chǔ)、業(yè)務(wù)、設(shè)備、管理、數(shù)據(jù)、安全等，指導(dǎo)行業(yè)應(yīng)用享用平臺(tái)能力，保障平臺(tái)運(yùn)行安全和提供快速響應(yīng)的運(yùn)維保障。

二、關(guān)鍵技術(shù)

（一）基于法定身份證件，采用國密算法，構(gòu)建適應(yīng)網(wǎng)絡(luò)空間身份認(rèn)證的網(wǎng)證

利用大數(shù)據(jù)技術(shù)對身份證數(shù)據(jù)和出入境數(shù)據(jù)進(jìn)行匯聚、清洗、融合和采用國產(chǎn)商用密碼算法進(jìn)行單向變換脫敏與保護(hù)，建立公安網(wǎng)與互聯(lián)網(wǎng)的身份對照關(guān)系。通過將法定證件登記項(xiàng)目作為要素進(jìn)行映射，經(jīng)數(shù)學(xué)變換或密碼變換生成網(wǎng)證，形成互聯(lián)網(wǎng)空間的網(wǎng)絡(luò)映射證件。通過網(wǎng)絡(luò)映射證件技術(shù)實(shí)現(xiàn)電子法定身份證件網(wǎng)上、網(wǎng)下一體化應(yīng)用，解決中國當(dāng)前面臨的網(wǎng)絡(luò)法定身份管理難題，降低通過大數(shù)據(jù)關(guān)聯(lián)分析進(jìn)行個(gè)人畫像的風(fēng)險(xiǎn)。

（二）采用目前主流技術(shù)，實(shí)現(xiàn)系統(tǒng)高穩(wěn)定性、服務(wù)高并發(fā)性，平臺(tái)服務(wù)連續(xù)性達(dá)到99.76%，支持最高并發(fā)10000TPS

1. 硬件平臺(tái)的靈活擴(kuò)展

對實(shí)際物理機(jī)采用虛擬化技術(shù)，根據(jù)實(shí)際需求靈活調(diào)配資源，分為手動(dòng)處理和自動(dòng)擴(kuò)展兩種方式。

2. 接入?yún)^(qū)高并發(fā)事務(wù)處理

使用專用負(fù)載均衡對高并發(fā)業(yè)務(wù)進(jìn)行分發(fā)來滿足業(yè)務(wù)處理，如還無法滿足實(shí)際需求時(shí)，再使用x86服務(wù)器實(shí)現(xiàn)網(wǎng)絡(luò)7層和4層的負(fù)載均衡，以滿足高并發(fā)請求事務(wù)處理。

3. 提高業(yè)務(wù)處理速度

單筆業(yè)務(wù)內(nèi)盡量采用并行處理；業(yè)務(wù)靜態(tài)數(shù)據(jù)采用內(nèi)存緩存技術(shù)，提高數(shù)據(jù)命中率；使用任務(wù)隊(duì)列方式進(jìn)行業(yè)務(wù)間服務(wù)交換；采用類REST接口服務(wù)方式來減少服務(wù)消耗的系統(tǒng)資源與提高服務(wù)速度個(gè)人數(shù)據(jù)單向脫敏變換。

4. 數(shù)據(jù)庫存儲(chǔ)與訪問

對目前的事務(wù)交易數(shù)據(jù)進(jìn)行分類，分為強(qiáng)一致性和弱一致性要求。強(qiáng)一致性數(shù)據(jù)需要采用關(guān)系型數(shù)據(jù)庫存儲(chǔ)，采用讀寫分離+緩存的方式進(jìn)行解決；弱一致性數(shù)據(jù)可采用分布式數(shù)據(jù)庫存儲(chǔ)，設(shè)置只讀模式，采用集群方式進(jìn)行數(shù)據(jù)服務(wù)。對非檢索條件的非結(jié)構(gòu)化數(shù)據(jù)采用對象數(shù)據(jù)庫方式進(jìn)行存儲(chǔ)，例如模板、人像和安全策略等信息。采用統(tǒng)一數(shù)據(jù)庫服務(wù)訪問接口集群進(jìn)行高并發(fā)訪問服務(wù)。

5. 認(rèn)證記錄的存儲(chǔ)

采用分布式存儲(chǔ)方式，使用統(tǒng)一的日志記錄服務(wù)接口，后臺(tái)使用分布式存儲(chǔ)以提高日志存儲(chǔ)速度。

6. 網(wǎng)絡(luò)與服務(wù)高可用

接入網(wǎng)絡(luò)采用三大運(yùn)營商BGP，保證只要有一個(gè)運(yùn)營商的網(wǎng)絡(luò)可用即可保障網(wǎng)絡(luò)可用，平臺(tái)內(nèi)網(wǎng)絡(luò)采用雙路+SDN架構(gòu)來保障內(nèi)部網(wǎng)絡(luò)的靈活配置與無單點(diǎn)故障。平臺(tái)內(nèi)所有服務(wù)均采用集群方式提供，任何服務(wù)器或軟件的故障均不會(huì)影響服務(wù)質(zhì)量。

（三）運(yùn)用“2+N”模式算法融合，實(shí)現(xiàn)比單算法更優(yōu)的人像比對準(zhǔn)確率

通過深度學(xué)習(xí)人像識別技術(shù)，CTID平臺(tái)創(chuàng)新性實(shí)現(xiàn)“2+N”模式算法融合，使平臺(tái)人像比對識別精度優(yōu)于任何單算法，正確識別率達(dá)到98%，平均響應(yīng)時(shí)間小于300ms。同時(shí)，可以實(shí)現(xiàn)動(dòng)態(tài)線性擴(kuò)展平臺(tái)人像比對算法，使CTID平臺(tái)人像比對算法可以緊跟人像比對技術(shù)的發(fā)展。

（四）采用國產(chǎn)化產(chǎn)品和國產(chǎn)密碼算法，實(shí)現(xiàn)平臺(tái)安全可控

安全可信的網(wǎng)絡(luò)、存儲(chǔ)和數(shù)據(jù)庫等關(guān)鍵核心技術(shù)國產(chǎn)化替代，確保平臺(tái)安全可控。全面支持國產(chǎn)密碼算法，實(shí)現(xiàn)核心技術(shù)自主可控；借鑒多種認(rèn)證與密鑰協(xié)商等協(xié)議，實(shí)現(xiàn)身份認(rèn)證流程中信息的安全防護(hù)；根據(jù)所使用環(huán)境的不同，進(jìn)行權(quán)限控制管理，保障用戶隱私。

三、標(biāo)準(zhǔn)體系

互聯(lián)網(wǎng)空間身份認(rèn)證是一項(xiàng)重大的系統(tǒng)工程，是實(shí)施網(wǎng)絡(luò)可信身份戰(zhàn)略的重要環(huán)節(jié)，用以解決網(wǎng)絡(luò)世界中“我是誰”的問題，是網(wǎng)絡(luò)應(yīng)用業(yè)務(wù)規(guī)范化的基礎(chǔ)，需要在一整套法律、法規(guī)、政策和標(biāo)準(zhǔn)指導(dǎo)下，采用開放的技術(shù)架構(gòu)，實(shí)現(xiàn)全地域、全行業(yè)的服務(wù)覆蓋。

因此，在CTID平臺(tái)實(shí)施過程中，同時(shí)啟動(dòng)了居民身份網(wǎng)絡(luò)認(rèn)證標(biāo)準(zhǔn)系列公共安全行業(yè)標(biāo)準(zhǔn)的制定。在制定過程中遵循切實(shí)可行、準(zhǔn)確實(shí)用，采標(biāo)為主、定標(biāo)為輔，高前瞻性、易擴(kuò)展性，先易后難、急者先行等原則。到目前為止，有12個(gè)公共安全行業(yè)標(biāo)準(zhǔn)進(jìn)入報(bào)批階段，具體標(biāo)準(zhǔn)名稱見圖2。本批次標(biāo)準(zhǔn)對居民身份網(wǎng)絡(luò)認(rèn)證系統(tǒng)組成、業(yè)務(wù)流程、協(xié)議接口、性能要求和信息安全進(jìn)行了規(guī)范，形成了安全、便捷、統(tǒng)一的覆蓋“中國居民”的身份網(wǎng)絡(luò)認(rèn)證技術(shù)框架，對提高我國網(wǎng)絡(luò)身份管理技術(shù)水平，實(shí)現(xiàn)網(wǎng)絡(luò)社會(huì)治理的現(xiàn)代化具有積極意義。在兩次標(biāo)準(zhǔn)審查會(huì)上，與會(huì)專家都對本系列標(biāo)準(zhǔn)的創(chuàng)新性、技術(shù)含量和規(guī)范性給予了高度評價(jià)。

四、結(jié)語

相對于市面上現(xiàn)有依托人口信息庫衍生的形形色色的網(wǎng)絡(luò)身份認(rèn)證方式，CTID平臺(tái)不再停留在公民身份信息的形式比對層面，有效解決了公民個(gè)人隱私保護(hù)的難題，大幅提升人民群眾網(wǎng)絡(luò)活動(dòng)的安全感。整體解決方案保持與現(xiàn)實(shí)社會(huì)中法定身份管理體系相同的技術(shù)架構(gòu)，將現(xiàn)實(shí)生活中使用法定身份證件證明身份的模式和流程移植到網(wǎng)絡(luò)空間，維持持證人法定身份證件真實(shí)有效和人證同一性兩大核心要點(diǎn)，實(shí)現(xiàn)二代證等電子法定身份證件網(wǎng)上、網(wǎng)下一體化應(yīng)用，不僅強(qiáng)化了《中華人民共和國居民身份證法》等法律、法規(guī)、行政規(guī)章普適性，同時(shí)符合公眾既有普遍認(rèn)知和習(xí)慣，易于接受和廣泛推廣。

目前CTID平臺(tái)已經(jīng)對外提供真實(shí)身份核驗(yàn)和認(rèn)證服務(wù)超21億次，覆蓋電子政務(wù)、金融、保險(xiǎn)等領(lǐng)域，從應(yīng)用實(shí)踐中也證明CTID平臺(tái)充分滿足互聯(lián)網(wǎng)時(shí)代對于網(wǎng)上身份認(rèn)證的需求，可極大提高我國網(wǎng)絡(luò)身份管理技術(shù)水平。前期的實(shí)踐積累也為打造我國網(wǎng)上身份認(rèn)證基礎(chǔ)設(shè)施奠定了堅(jiān)實(shí)基礎(chǔ)，對推進(jìn)社會(huì)治理體系和治理能力現(xiàn)代化具有重大意義。