国家网络身份认证筑牢数字安全屏障
国家网络身份认证筑牢数字安全屏障
近期，公安部第一研究所的锐研究员就国家网络身份认证公共服务进行了深入的专题讲座，以下为该讲座的文字记录：
首先是国家网络身份认证公共服务建设背景和目标
信息化、网络化、数字化已普遍且深入地融入我国各个行业，网络世界与现实社会紧密相连，极大地促进了生产、生活以及社会治理方式的根本性转变。在此背景下，网络安全、隐私维护、数据保护等问题愈发突出，构建一个既能有效保障个人隐私又能核实行为主体身份的可靠数字环境显得尤为迫切且关键。
数字标识与可验证凭证构成了数字身份，这一身份系统对于网络安全传输、存储、使用和管理至关重要，它通过网号和网证确保了与数字空间实体的唯一对应。数字身份系统的核心功能在于验证身份所有者的属性，从而为应用系统提供授权访问和服务。目前，全球各大国家、地区以及国际组织都在积极研究和推进数字身份的建设与应用。美国、欧盟、英国、澳大利亚、加拿大、印度、新加坡以及日韩地区，G20和APEC等国际组织，均致力于推进数字身份的相关工作。数字身份的建立，对于推动经济的持续健康发展、维护社会的和谐稳定，以及增强国家的竞争力，都显得尤为关键和迫切。
我国互联网应用迅猛发展，为保障网络空间用户身份的准确识别，实名认证服务需求激增，衍生出众多网络认证方式。然而，这也引发了个人信息违规收集、滥用、泄露乃至贩卖等一系列风险和问题，对国家安全及公民合法权益构成了重大威胁。鉴于不同互联网平台依据各自独特的认证体系构建了独立的业务信任体系，这种做法不仅阻碍了数字经济的协同高效发展，还影响了数字中国的建设进程。为此网络安全法个人信息保护，《网络安全法》第二十四条以及《个人信息保护法》第六十二条明确提出了我国网络可信身份认证体系建设的必要要求。
党的二十大报告中，国家领导人提出需提升公共安全治理效能，并着重于个人信息的防护。在党的二十届三中全会上，强调了在发展中保障安全的重要性，致力于推动经济社会的优质发展。会议要求我们，一方面要充分满足经济社会发展的需求，另一方面则必须有力保障个人信息安全，同时维护好国家的网络安全与数据安全。
为贯彻中央领导同志的指导精神，确保公民隐私信息及国家关键数据的安全，助力经济社会进步和数字中国的构建，向全社会各行业提供安全可靠、操作简便、权威性强、效率高的网络身份认证公共服务，2020年，国家发改委批准启动了国家网络身份认证公共服务平台的建设工作，该平台的建设由公安部、中央网信办及相关部门共同负责执行。
工程分阶段推进，第一阶段目标是达到每秒30万次认证的支撑能力，具体涵盖以下四个方面：首先，构建网络身份认证的管理法规、制度以及标准体系；其次，打造国家级的网络身份认证公共服务平台；再次，设立涵盖云平台、网络、数据与应用在内的全方位安全防护系统；最后，完善客服、风险控制、运维等相关的配套设施建设。
下面介绍国家网络身份认证公共服务主要设计理念
首先是国家网络身份认证公共服务平台的设计
国内多数互联网平台长期采用真实姓名与公民身份号码组合进行直接实名认证，亦或以手机号码加验证码的方式实施间接实名认证。然而，这两种认证模式在实际操作中普遍存在安全隐患及隐私保护方面的诸多问题。因此，迫切需要开发并构建一个易于群众记忆和操作、确保个人隐私不泄露、便于快速验证身份的国家级网络身份认证服务，该服务仅需对现有网络平台进行轻量级改造，以帮助企业降低成本、提高效率并确保合规运营。经过多年在理论方面的深入研究、技术层面的具体实施以及大规模的实际应用检验，我们构建了一套具有中国特色的数字身份体系，该体系以户籍及法定证件上的信息作为信任的基石，运用密码技术作为实现手段，力求在不改变民众认证习惯的前提下，追求安全与便捷的双重目标，并以匿名服务作为解决策略。
我国特有的数字身份体系依托国家网络身份认证公共服务平台这一坚实基础，通过网号、网证以及网络身份应用标识等多样化的呈现形式，融合人像识别、密码、验证码等可靠的认证要素，向公众广泛提供多元化、模式丰富的权威、可靠、安全、便捷的网络身份认证服务。同时，与各行业、地方的认证平台协同合作，共同打造一个全国范围内统一、高效协作的身份认证生态系统。
网号是网民在网络世界的标识，它如同现实生活中的身份证号码，与申请时所提供的官方证件上的号码一一对应，不包含任何具体的身份信息。其长度较短（仅10位），包含字母和数字，空间更广阔，且易于记忆（排列有序）。通过使用网号，可以在一定程度上减轻对公民身份号码的过度采集和滥用现象。同时，网号本身只用于标记、识别用户身份，不提供给应用方。
网证是网民在网络上展示的可验证身份证明，它与用户所使用的设备相连接，类似于现实生活中的身份证，主要由加密的实名信息索引和设备指纹数据构成，不包含直接的身份信息，以电子文件和二维码两种形式存在，运用国家密码算法进行加密，且具有动态变化的特点，确保了身份验证的安全性和可靠性。
为确保网络平台运营的稳定性，在身份验证操作结束后，公共服务平台将向网络应用平台发送一个不包含个人信息的身份应用标识。这一标识在网络平台内部用于识别用户并提供服务。值得注意的是，同一用户在各个不同的网络平台中拥有的网络身份应用标识是独一无二的，这样的设计旨在防止用户在跨平台间被错误地关联和聚合，以及避免生成不准确的大数据画像。
下面介绍国家网络身份认证公共服务的认证模式及操作流程
我国国家网络身份认证公共服务体系，实行了人、机、证相结合的认证方式，有效保障了认证过程的安全性与可靠性，同时还能根据不同应用场景的需求，提供包括是否成年在内的各类身份属性信息。
网民在下载并使用“国家网络身份认证”APP后，能够通过口令、人脸识别、二维码扫描、动态验证码等多种认证方式组合进行身份验证，从而实现便捷的一键登录、账户绑定、实名认证等级的提升以及预约登记等不同信任级别的应用场景。未来，该APP将根据互联网业务的发展需求，逐步推出更加丰富和多元化的认证模式，并持续对公共服务进行优化和改进。
网民需首先在各大手机应用商店下载“国家网络身份认证”应用程序。随后，根据操作指引，采集活体人像及必需且精简的身份信息，并将这些信息加密后发送至国家网络身份认证公共服务平台。平台通过NFC技术核实网民所持法定证件的真实性和有效性，并在国家基础设施的核验下确认网民的真实身份，从而实现国家网络身份认证公共服务的开通和使用。针对老龄化需求及无NFC功能手机的申请情况，我国在相关地方政务大厅等设施中协调部署了线下自助申请设备网络安全法个人信息保护，同时在应用程序中设置了亲属代为领取的流程。
接入国家公共服务平台的互联网平台必须先行提交申请，申请通过审核后，需依照接入指南对现有的身份认证系统进行简易调整，引入数字身份的运行与管理模块，安装安全接入设备，或者通过云端接入平台与国家公共服务平台构建加密的访问通道。同时，在公司的业务应用程序或小程序中嵌入“网络身份认证软件开发工具包”，通过调用功能与“国家网络身份认证”应用程序实现互动。在整个对接过程中国家网络身份认证筑牢数字安全屏障，国家网络身份认证公共服务平台的技术团队将提供全方位的指导与支持。
用户在接入网络应用或进行业务操作并需进行身份验证时，会启动“国家网络身份认证”应用程序，该程序在用户同意授权后，收集包括凭证、密码、人脸图像在内的加密信息，并将这些数据传输至国家级公共服务平台。而在非网络环境下，则通过条码扫描枪、摄像头等设备，扫描用户展示的二维码，同样获取凭证、密码、人脸图像等加密信息，并将这些数据传输至上述平台。
公共服务平台核实身份信息的准确性、有效性与身份验证的匹配度，并将加密、签名的认证凭证，包括用户网络身份标识、认证结果及时间戳等，传递给应用后台。应用后台据此执行后续服务操作，并在业务系统中保存用户网络身份标识。整个过程中，用户只需轻点选择并输入必要的密码或进行人脸识别，即可完成匿名认证，操作简便快捷。
下面介绍国家网络身份认证公共服务建设进展情况
在公共服务平台架构和安全设计方面
国家网络身份认证公共服务平台在全国范围内已设立多个分布式数据处理中心和认证服务中心，构建起了主备冗灾的基础设施架构；同时，建立了统一的运维监测、安全防护和业务风险控制体系，确保了平台的可用性高达99.99%。该平台认证能力卓越，每秒可处理至少30万次认证，能够满足每年高达1.2万亿次的身份认证需求，并具备高并发、高可用、高性能以及高安全性的显著特点。
在数据支撑方面
当前，我国国家网络身份认证平台已整合全国有效的户籍资料、出入境人口相关数据，以及包括居民身份证、华侨普通护照、港澳居民内地通行证在内的各类法定证件信息，构建了一个权威、统一、全面的基础身份数据库。同时，全国身份证制证数据实时汇集系统已建成，并持续进行数据补充与维护工作，致力于提高数据质量，稳固数据基础。
在隐私保护和系统安全方面
在构建国家网络身份认证公共服务能力的过程中，始终将隐私保护、数据安全以及应用安全视为至关重要的核心要素。个人身份信息已通过国家保密算法实现端到端全程加密处理；对基础数据进行分级、分类、分区以及分域存储，确保互联网服务端不存储任何明文数据，对关键数据进行物理隔离，并加强边界防护网络安全法个人信息保护，强化授权管理和日志审计；在申请、发放、使用和管理等各个环节，采用多种技术手段增强移动应用程序的安全性，结合端云技术抵御针对生物特征的深度伪造攻击，与接入的各个平台建立加密和防篡改的数据传输通道，同时构建风险控制、客户服务和救济机制，以防止身份信息的冒领和滥用。同时，依据关键信息基础设施的防护规范，实施多样化的信息安全措施，融合人工智能技术及安全大数据分析，构建起一个全面覆盖的深度防御系统。此系统旨在实现从终端到网络、云服务及平台的全方位安全态势感知、预警功能，并对各类安全事件进行实时响应和处置。此外，它还能有效预防和抵御各种强度极高的网络攻击。
在法律依据方面
国家已建成网络身份认证公共服务平台，此平台构筑了国家网络身份认证公共服务体系。为确保和规范这一公共服务的构建与运用，国家颁布了一系列法律法规及政策性文件。《网络安全法》第24条明确指出，我国将推行网络可信身份战略，并鼓励研究和开发既安全又便捷的电子身份认证技术，同时促进各类电子身份认证系统间的相互认可；《个人信息保护法》第62条亦提出，要推广此类技术的研发与应用，并推动网络身份认证公共服务的构建；《反电信网络诈骗法》第33条强调，国家应推动网络身份认证公共服务的建设，并支持个人及企业自愿采用，同时规定电信运营商、银行、支付机构及互联网服务提供商应对涉嫌诈骗的电话卡、账户等通过国家认证服务重新核实用户身份；《网络数据安全管理条例》第43条鼓励网络平台支持用户通过国家认证服务登记和核实身份信息；《互联网信息服务深度合成管理规定》第9条要求，深度合成服务的使用者必须通过移动电话号码、身份证号码、统一社会信用代码或国家认证服务等方式进行真实身份认证；《互联网政务应用安全管理规定》第30条鼓励互联网政务应用支持用户使用国家认证服务进行身份注册；《人脸识别技术应用安全管理办法》第11条则提倡优先利用国家人口基础信息库和国家认证服务，以减少人脸信息的收集和存储，确保人脸信息的安全。该法律法规的颁布，为国家网络身份认证公共服务确立了坚实的法律根基。
在标准规范方面
国家网络身份认证公共服务遵循“目标清晰、体系完备、层级合理、界限分明”的四大原则，构建了一个“系统化、协调性、完整性、可扩展性”的标准体系。该体系涵盖了基础通用标准、数据治理标准、业务应用标准、安全标准以及管理标准等多个方面。目前，已有两项国家标准、十七项公安行业标准以及十七项工程规范性技术文件得以立项。在这些项目中，《网络身份认证服务接口技术要求》这一国家标准以及《通用术语》和《个人身份信息处理要求》等五项公安行业标准即将与公众见面。这些标准的发布，旨在指导国家公共服务平台及相关业务系统的建设、实施、推广、应用以及维护工作。
下面介绍重点行业领域试点应用情况
国家网络身份认证公共服务平台在国内众多顶尖互联网平台进行了技术测试，针对风险账户的二次身份验证环节进行深入探索，全面证明了其理论的科学性、技术的可实现性、使用的便捷性以及整个体系的可靠性。
随后，在互联网、政务服务、交通出行、邮政快递等关键行业和领域，展开了试点项目。在这些互联网平台上，诸如淘宝、微信、小红书、拼多多、哔哩哔哩等数十个应用已经正式投入使用。政务平台已在国家层面及河北、吉林、江苏、安徽、山东、湖南、四川、宁夏等八个省区，以及无锡、温州、金华、泰安等四个城市的政务平台中投入使用，涵盖了用户登录、账号等级升级、电子证照展示等多样化服务场景。在出行过程中，旅客可通过“航旅纵横”或“飞常准”应用程序，在关联国家网络身份认证公共服务后，轻松实现网上购票和网上值机。同时，滴滴出行平台也提供了身份认证服务，而神州专车则支持一键登录功能。在邮政寄递方面，用户在顺丰速运APP或小程序完成登录及账号实名认证后，即可寄件。如需了解更多支持的应用场景，请登录“国家网络身份认证”应用程序进行详细查阅。此外，在数字中国峰会期间，我们尝试了线上预约和线下入场应用场景的推广；同时，贵州、安徽、福建等省份也在努力研究和推进各自区域内的应用建设。
下面介绍《国家网络身份认证公共服务管理办法》征求意见情况
2024年7月26日，公安部与国家互联网信息办公室对外发布了《国家网络身份认证公共服务管理办法》，并向公众广泛征集意见，此举受到了社会各界的广泛关注。在短短一个月的时间里，总计收集到了大约1.7万条各类意见和建议。多数意见认为，国家推行网络身份认证对于增强网络安全、改善网络环境具有显著作用；同时，大家普遍认为，这一举措还将推动网络科技的进步，并有助于数字经济的繁荣发展。
在公安部与网信办共同举办的互联网企业、法律界及媒体界的座谈会上，该平台受到了积极的评价与支持，同时，与会者还提出了提升使用便捷性等方面的有益建议。在此，我要再次强调，国家网络身份认证公共服务平台仅向用户提供选择匿名化网号、网证进行身份认证的服务，我们不会收集或保存用户的地理位置信息以及网络平台业务数据，且不具备限制用户上网或追踪用户网络行为的能力。
最后介绍下步工作考虑
接下来，我们将致力于在各个社会领域不断推进网络身份认证公共服务的广泛应用，特别是针对那些网民普遍反映强烈的个人信息过度采集和滥用问题较为突出的互联网平台，以及与民众日常生活紧密相关的交通出行、生活服务、邮政快递、社交交友等众多领域。我们的目标是尽快让国家网络身份认证公共服务在保护个人隐私、便利日常生活、确保数据安全等方面发挥其应有的支撑和保障作用。在试点实施过程中，我们将持续采纳来自网民、参与单位以及社会各界各方的宝贵意见和建议，同时不断拓宽区块链、人工智能等领域的先进技术应用范围，进而对技术架构、商业模式、安全保障体系进行持续优化，以期向全社会提供更为优质的服务。
数字化时代是一个加速创新、不断变革的时代。我们热切期待更多部门、地区、行业的加入，共同推进推广应用实施。我们将根据新形势，共同调整和完善相关政策规定。同时，优化认证流程国家网络身份认证筑牢数字安全屏障，促进国家网络身份认证公共服务应用的推广。我们致力于将个人信息保护和便民利企措施落到实处，充分发挥数据要素的价值，激发数字经济的活力。不断优化数字社会环境，加强数字安全屏障的构建，为推动中国式现代化贡献我们的力量。
