此篇文章发布距今已超过311天，您需要注意文章的内容或图片是否可用！
摘 要：网络空间是与陆、海、空、天并列的第五维空间领域。在当前全球网络空间安全形势日趋复杂的背景下，网络空间的安全问题深刻影响着政治、经济、军事、文化、科技等社会的各个领域。随着数字中国战略的深入推进，新型智能网络、新型业务形态、新型服务模式对网络空间安全提出了新的挑战。信任是安全的基础，构建新型网络空间下的信任体系是确保我国信息安全长远发展的重要环节。剖析了网络空间信任体系的内涵、特征和安全目标，基于国内外信任技术和信任体系发展现状，对架构和建设数字信任体系展开了研究。
当今全球的网络空间安全形势错综复杂，外部环境日趋严峻，网络空间的安全问题正深刻地影响着我国政治、军事、经济、文化、科技、生活等社会的各个领域。没有信息安全就没有国家安全，同样，没有可信身份也就没有信息安全。在网络空间建立和传递信任是维护网络空间秩序、保障数字经济繁荣和社会稳定的基础性关键环节，建立网络信任已经成为各类信息网络和行为主体的共同价值追求，构建具有良好生态的网络空间信任体系已成为全社会的共识。网络空间是建设“网络强国、数字中国、智慧社会”的基础，事关国家安全、社会稳定及人民群众切身利益。构建我国网络空间信任体系，有利于掌握网络空间发展的主导权和国际话语权 。网络空间与物理空间、社会空间相互融合，来自网络的攻击可以突破时空限制，迅速蔓延到物理空间和社会空间，造成灾难性后果。随着技术手段的不断提高，网络空间渗透攻击频发，其攻击方式愈加复杂多样。构建我国网络空间信任体系，可以极大地提升我国抵抗网络渗透攻击的能力。随着我国数字化战略的深入推进，数字经济蓬勃发展，网络化、智能化、数字化转变推动工业控制、智能电网、远程医疗、智慧城市、自动驾驶、虚拟现实、增强现实、混合现实、扩展现实、全息、元宇宙等新业务形态，驱动消费网络向产业网络深化演进。构建我国网络空间信任体系，能够有力支撑我国信息安全建设，以应对新业务场景、业务需求对安全带来的新挑战。厘清网络空间环境下数字信任体系的内涵、掌握国内外发展现状、明晰我国数字信任体系面临的挑战，是梳理、研究数字信任体系框架的基础。
数字信任体系的内涵分析包括对网络空间的理解和对信任体系的解读。文 中 的“网络空间”不是指狭隘的计算机网络或者互联网络，而是一种更为广义的网络空间。广义的网络空间也称为赛博空间（Cyberspace），是以使用电子和电磁频谱来标记、存储、修改，以及通过网络系统和一系列物理基础设施交换数据为特征的空间领域，是继陆、海、空、天之后的“第五疆域”，具有以下特征：（1）融于其他四域：网络空间并不孤立存在于其他四域之外，而是在陆地、海洋、天空和太空四域之中不断变化的一类域的整体。（2）具有异构的物理边界：网络空间包括计算机网络、互联网、移动互联网、工业互联网、空天一体化网络（5G/ 卫星互联网）等网络，包括连接于网络之上的各种卫星、基站、路由器、网关、服务器、磁盘阵列、计算机、数据库、应用软件等软硬件设施，还包括在网络和设备之上传递、存储、处理的各种电子、数据信息。（3）与现实紧密映射：网络空间体现了由网络连接的相关现实世界中人、事、物的关系的总和，也包括现实世界与数字虚拟世界之间的映射关系，以及虚拟现实而成的数字社会空间。近年来，我国网络空间迅猛发展，使得万物互联、万网互联、万业相连，其网络与业务形态、服务模式等出现新的发展趋势。互联网、5G、泛物联网、工业互联网、星联网等网络相互融合，并向智能化、自动化、集约化方向发展。同时，数字经济大发展使得元宇宙、数字孪生、数字社会、智慧城市等新的业务场景不断呈现。随着网络和信息基础设施的逐步完善，算网存一体化服务能力和互联网公共服务能力不断提升，平台化、泛在化、一体化的新型网络服务模式日益成熟。新型的智能网络架构如图 1 所示，底层异构的融合网络设施向上提供算网一体化服务、智能化感知管控、泛在化网络服务以及确定性、移动性、内生安全等网络空间能力，以满足在数字中国业务场景下的各种业务需求。新型网络的算网一体化、智能感知与管控等特征，有效确保了服务时延与路径的确定性以及资源感知与可控能力。进而大幅提升了网络服务效率和内生安全，使得在新型智能网络支撑下的数字应用更快捷、更安全。数字信任体系是指在数字化发展背景下，为实现可信身份管理、安全数据交互、权限管控、责任认定等目标而建立的涉及技术、管理、制度、设施、人才等要素，能有效支撑网络空间中系统、设备、部件、进程以及其他数字对象实体之间建立身份与数据信任关系的综合系统。数字信任体系的核心内容如图 2 所示。包括宏观目标、体系内容、主要能力、参与各方。其中，宏观目标是站在国家和行业发展角度对数字信任体系建设的战略性要求；体系内容是信任体系包含的各类具体内容，如职能部门、标准、产品、设施、人才、生态等；主要能力是对信任体系的服务能力的描述；参与各方是对信任体系所涉及的建设、使用、监管各方的描述。（1）网络身份主体的“真实性”：网络行为主体的身份真实可靠，可通过一定的方式核实其真实身份。（2）网络主体属性的“可靠性”：网络行为主体的年龄、性别、职务等属性信息是可靠的、值得信赖的。（3）网络信息内容的“访问可控性”：网络行为主体对网络信息内容的访问是可控的。（4）网络信息内容的“完整性”：网络信息内容在存储或传输过程中不被删除、修改、伪造等行为偶然或蓄意地破坏和篡改。（5）网络行为的“可追溯性”：在适当的时间，采用合适的方式标识网络行为主体、发生时间及状态，从而为网络仲裁提供依据。2011 年 4 月，美国发布并实施了《网络空间 可 信 身 份 国 家 战 略》（National Strategy for Trusted Identities in Cyberspace，NSTIC），提出用 10 年左右的时间，构建一个网络空间可信身份生态系统，使个人和机构能够在提高信心、隐私性、选择性和创新性的情况下，运用安全、有效、易用、可互操作的身份解决方案进行在线服务，主要包括 3 项举措。（1）制定身份生态系统框架，用以指导信任体系建设。（2）由美国政府组织实施机构，发起支持实施引导工程项目，召集、促进和推动私企来主导数字身份项目实施的办法。NSTIC 组织领导和实施机构如图 3 所示。（3）开发联邦云凭据交换平台，为信任服务提供服务支撑。经过 10 年的建设，美国政府通过研制标准，如 NIST SP 800-63-3《数字身份指南》系列，制定了技术框架，增强了网络身份解决方案的互操作性；通过实施引导工程，促进政府和社会使用网络身份，使得网络身份被广泛使用；网络信任市场不断发展和成熟，企业和个人对网络身份的使用不断增加。欧盟各国积极地推进国家网络空间可信身份工作，力求通过推广和应用网络可信身份，解决网络行为的追溯等问题，从而促进网络空间的繁荣发展，争取未来国家间竞争的比较优势。欧盟早在 2006 年便发布了《2010 年泛欧洲电子身份标识（eID）管理框架路线图》，并于 2014 年颁布电子身份验证服务（electronic IDentification and Authentication Services，eIDAS），取代了欧洲电子签名规范的前一个版本 eSignatures Directive 1999/93/EC。2021 年 6 月再次修订和更新 eIDAS 2.0。欧盟统一在其各成员国内广泛建立能在欧盟全境范围使用的 eID 基础设施，使得欧盟成员国公民持有电子标识即可在欧盟内的任一国家享受求职、医疗、保险等一系列社会服务。我国党和政府高度重视网络信任体系的建设和使用，早在 2006 年国务院便转发了国家网络与信息安全协调小组关于《网络信任体系建设若干意见》，用以指导我国信任体系的建设。同时，又先后颁布实施了诸如《电子签名法》《电子认证服务管理办法》《网络安全法》《密码法》《数据安全法》等一系列的法律法规和标准，有力地促进了我国网络信任事业的发展。近年来，随着我国行业 / 区域 CA、国家顶级 / 二级标识解析系统，以及公安部 eID、CTID等平台的建成与使用，我国网络空间信任体系在电子政务、金融、交通、医疗等各大领域发挥着越来越重要的作用。当前，我国在网络空间信任体系方面取得了长足进步，然而随着数字经济战略的推进，智能化、网络化、数字化使得网络融合、数据融合、虚实场景融合成为我国网络空间发展的主要趋势，同时也逐步暴露了我国网络空间信任体系面临的问题。相较于美国的 NSTIC 战略计划，我国尚未系统地发布网络空间信任体系指导性战略，尚未组建专门的权威机构负责推动、协调网络空间体系的设计、建设和市场应用引导，也未明确提出战略性目标、框架体系、主要战略任务和实施路线图，这导致我国网络空间信任体系的建设缺乏全局化的战略性指导。当前的网络空间信任管理体系、服务体系、各行业 / 区域信任基础设施，彼此间缺乏交互，各自为战，相关资源无法共享协同，不成体系，无法形成合力。各信任技术体系、各行业、各地域、各信任系统、平台、设施之间，存在严重的技术壁垒和空间壁垒，导致跨域、跨行业、跨系统之间的信任无法互信互认，严重阻碍了数据的价值流通。随着泛物联网、5G、星联网的网络融合发展，以及元宇宙、数字孪生、数字资产交易、数字社交、数字媒体等新兴业务场景的出现，使得各行业对诸如海量虚拟数字对象身份认证需求、弱资源环境的认证需求、高速移动低延迟响应认证需求等需求愈发强烈。传统的认证技术、认证框架、认证理论已难以应对这些网络结构复杂、安全层次要求不同、运行环境各异的认证需求。归纳总结，层次思维：对信任体系各要素综合分析，以分类分层的思维方式进行体现。立足现实，反映趋势：以现实为基础，既体现技术、产品能力和设施建设现状，又在一定程度反映出未来的发展趋势。功能完备，覆盖全面：能满足网络空间对身份可信、权限可控、数据真实的信任诉求，广泛覆盖技术、产品、服务、设施建设与监管等领域，进而形成一个逻辑自洽的完整体系。弹性发展，支撑未来：面向网络融合、数据融合、场景融合的新型网络空间，构建开放且具备弹性的体系框架，进而支撑未来网络空间进一步发展下的信任服务需求。数字信任体系的总体框架如图 4 所示，包括规则层、执行层和评价层。其中，规则层是整个信任体系的上层建筑，体现国家意志，实现对该行业的规划、引导和约束。执行层是信任体系的具体建设内容，从技术、产品、服务、设施以及人才培养和试点推广等各方面，实现信任体系的主体内容。评价层是对执行效果的检测，通过检测监管，及时发现存在的问题并及时纠正问题。规则层是网络空间信任体系的战略指引，主要包括机构建设、法律法规、政策标准与生态治理等方面。通过机构建设确定推动的责任主体；通过颁布法律法规保障信任体系的合法地位；通过政策制度合理引导信任体系发展方向；通过标准指南规范信任体系健康发展；通过生态治理打造信任体系良性发展环境。规则层的具体内容如图 5 所示。机构建设包括主管单位、实施单位以及专项工作组的建设；法律法规主要涉及信息系统安全保护、联网保密规定、安全技术强制使用、个人信息安全防护等内容方向；政策牵引主要体现在诸如国家的“十四五”规划、远景目标纲要以及产业发展规划等；标准指南主要涵盖认证技术实现标准、认证技术应用标准、认证产品与系统实现 / 检测标准、等保 / 密评评估标准等；生态治理主要考虑供给侧的服务合规性、需求侧的使用合规性以及中间环节的相关权益保障。执行层是规则层的落地实施，主要包括技术、产品、试点项目、基础设施建设、科研与人才培养以及产业市场的发展。执行层的具体内容如图 6 所示，执行层是信任体系的核心内容，反映了规则层战略规划的落实实施，也是评价层主要的评价对象。执行层的技术体系为产品体系提供技术支撑，技术与产品支撑了基础设施的建设，产品与基础设施又共同形成了信任服务体系，服务体系向上形成了信任服务能力支撑，对外提供身份标识、标识解析、身份认证、权限管控、行为追溯、资产确权、数据真实性保护等服务能力。信任服务能力不仅支撑着我国试点项目的推进，还支撑着我国在数字化改革中的数字经济、数字社会、数字政府的数字融合场景；支撑着星联网、5G、泛物联网等异构网络的融合发展；支撑着元宇宙、数字孪生等虚实场景融合的虚拟数字世界的发展。评价层对执行效果进行评估和监测，以确保执行的效果和方向符合预期。评价层的具体内容如图7所示，包括检测认证、评估、监管审计3大体系，在各体系下，又包含机构设立、类别和等级划分、相关检测标准与指南、对应技术和工具等内容。数字信任体系的建设需要国家、行业和个体的共同参与，如图 8 所示。从国家层面来说，在数字信任体系的建设过程中，需要政府公信力机关牵头，组建相关职能机构，推动诸如国家身份信息统一服务平台、公民身份信息库、国家统一认证服务平台等信任基础设施的建设；积极推动相关政策、法律法规的制定和执行；制定相关国家技术、产品检测标准，同时加大监管审计力度，确保信任体系的良性发展；推动产学研用，为信任体系的发展创造活跃市场。从行业层面来说，需要各行业积极构建本行业的密钥管理系统、证书管理系统、电子签章系统等信任基础设施的建设，为上层行业应用提供证书管理、密钥管理、数字签名、生物识别等能力；制定基于行业特点的信任标准、监管制度。从个人层面来说，需要进行安全教育，进而增强安全意识。同时，通过获取智能密码钥匙、软证书、软件密码模块、安全浏览器、杀毒软件等安全防护工具，进而形成身份识别、身份认证和资源权限的管控能力。数字信任体系建设是一项涵盖技术、管理、制度等多领域的系统性工程。针对当前我国信任体系的现状，提出当下信任体系建设的重点任务。一是组建机构，明确各方职责。由政府引导，权威部门牵头，组建专门机构，明确领导方、参与方、监管方等各方角色职责。二是顶层设计，规划战略目标。分析国内外信任体系建设现状和国内应用发展趋势，顶层设计，长远规划，制定战略目标。三是研究梳理，搭建体系框架。根据我国信任体系技术现状和基础设施建设现状，结合我国数字化发展应用需求，梳理和研究技术体系、产品体系、服务体系，搭建我国信任体系总体建设框架，制定阶段性任务目标。四是稳步落实，推动任务实施。产学研管用多方协调，根据信任体系长远战略规划和阶段性任务目标，稳步推动各项计划落地实施。一是整合信任资源，加快体系化建设步伐。整合现有认证信息提供方、信任服务提供方、网络服务运营商、监管审计方等各方资源，建立资源共建、共享制度，形成多方信息联动机制，改善信任服务和管理碎片化现状，形成统一管理、协调运作的体系化信任服务能力。二是加大设施建设力度，夯实信任基础。加大诸如证书互联互通公共服务平台、身份信息公共服务设施、标识管理体系、统一认证服务设施等信任基础设施的建设，进一步促进不同区域、网络、行业间信息的互信互认，促进数字元素的价值流通。一是面向复杂化场景新需求，孵化认证新技术。随着工业互联网、泛物联网、车联网及星联网等应用场景的日益增加，万物、万网、万业相融合导致的应用变化，亟须在现有认证技术的基础上融合发展，积极创新认证技术，使之能在异构网络、复杂的计算与存储资源环境下满足海量标识、海量认证、及时响应、分级安全的认证需求。二是加大基础研究，鼓励理论创新。加大密码算法、安全多方计算、零信任、区块链、安全芯片制造等技术方向的投入，探索量子密码、格密码、同态计算、保留格式加密等密码算法在身份认证、隐私保护方面的应用理论创新。鼓励基于区块链的分布式认证架构、安全多方计算、零信任框架的认证模式突破。本文在分析研究当今国内外信任领域发展现状的基础上，指出当前我国信任体系面临的问题，提出了数字信任体系框架，并给出了信任体系建设重点任务的思考和建议。囿于时间和篇幅限制，本文并没有就具体的信任技术展开阐述。随着数字化转型的逐步深入，以及隐私保护和身份主权的觉醒，中心化认证“包打天下”的认证格局必然被打破，如何构建基于分布式与中心化认证模式相结合的融合化认证体系，将是值得我们重点研究的一个方向。引用格式：尹一桦 , 帅军军 . 数字信任体系研究 [J]. 信息安全与通信保密 ,2023(9):96-105.尹一桦，男，硕士，高级工程师，主要研究方向为商用密码应用、密钥管理；
帅军军，男，学士，工程师，主要研究方向为商用密码技术应用。
选自《信息安全与通信保密》2023年第9期（为便于排版，已省去原文参考文献）推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
周飒博客-ZhouSa.com
还没有评论，来说两句吧...