CPK：開闊認證新視野.doc

CPK：開闊認證新視野很多人曾誤讀銀行，把銀行業(yè)理解為做賬的行業(yè)，但隨著我國銀行業(yè)逐漸與世界接軌，我們逐步認識到商業(yè)銀行是在為客戶提供一種服務(wù)，并且在為客戶提供服務(wù)、幫助客戶提升其價值的同時，從中獲得自己應(yīng)得的回報。在網(wǎng)絡(luò)普及的今天，怎樣把服務(wù)延伸至網(wǎng)絡(luò)并且使網(wǎng)絡(luò)服務(wù)更加安全可靠呢？前不久，在本報舉辦的“2007金融行業(yè)網(wǎng)絡(luò)信息安全高峰論壇”上，有專家結(jié)合中國民生銀行正在嘗試的CPK標識認證技術(shù)給我們帶來了全新的理念。什么是CPK標識認證簡單的說，CPK（CombinedPublicKey)認證和我們傳統(tǒng)的認證是一樣的。而標識是對人身份的一個量化的代號，比如我們看見的一個人，外表是什么樣我們能夠肯定，但是在虛擬世界里這就很難確定了。所以要把一個人的信息通過技術(shù)將其數(shù)字化，最后得到這個人在虛擬世界里的標識。但是，一個人在現(xiàn)實世界中就是多角色的，要想在虛擬世界中建立一個人的標識，必須在最開始，從現(xiàn)實到虛擬之間做第一次映射時就要確保準確。傳統(tǒng)認證將認證分為了兩個部分。第一是信任等級劃分。在傳統(tǒng)認證中，甲和乙在虛擬世界中互不相識，但是他們同時信任第三方丙，由此建立了甲乙之間的信任關(guān)系。但是在現(xiàn)實世界中，這種信任關(guān)系并不像邏輯世界中那么簡單。舉幾個大家都熟悉的人物，關(guān)羽信任劉備，劉備信任諸葛亮，那關(guān)羽是不是信任諸葛亮？反過來，諸葛亮是不是信任關(guān)羽？這種信任關(guān)系顯然不是絕對雙向的、相互的，是有一定模糊性的。因此，給這種不確定的信任關(guān)系，應(yīng)該有一個度量的方式將信任分等級。第二是分級信任的作用域。信任不是無條件的，它也有其固定的作用域，超出了這個范圍，信任關(guān)系就不存在了。比如說，我們可能有一些做基金的伙伴，我們在這方面建立了信任關(guān)系，但是這個伙伴可能下面還有一個經(jīng)營飲料公司，不過在賣飲料的時候，超出了我們信任范圍這種信任關(guān)系就不存在了。傳統(tǒng)認證在規(guī)定的作用域，在規(guī)定的等級之內(nèi)它是完全成立的，并且是現(xiàn)在認證系統(tǒng)應(yīng)用的主體。但是有沒有另外的一種認證方式對它進行補充呢？比如在一種特定的環(huán)境下，出現(xiàn)在你面前的一個人，他可能沒有太多理由來解釋他為什么是這個人，但是我們會接受更直接的解釋身份證的認證，當他出示身份證我們只要鑒別身份證的真?zhèn)尉涂梢哉J證這個人的真?zhèn)?，身份證就是CPK的標識，這種認證是不需要第三方的?？梢?，在一定環(huán)境中，客戶存在可以自我認證、自主認證的可能時，是可以使用CPK標識認證作為一種輔助認證手段的。CPK標識認證的優(yōu)勢在于，不需要第三方認證就能鑒別認證客體的性質(zhì)，可以讓客戶完成脫機認證。常規(guī)情況下，需要第三方認證要有一個渠道（互聯(lián)網(wǎng)、電話等）作為認證的載體，將信息傳送給對方，并且在得到答復后才可以完成認證。如果不需要第三方認證，客戶完全可以利用雙方的證書，直接去完成認證，這種便捷性和安全性更加適合在金融產(chǎn)品中應(yīng)用。CPK標識認證的應(yīng)用中國民生銀行科技開發(fā)部總經(jīng)理助理穆新宇認為，CPK是一種新的技術(shù)，民生銀行希望通過這種新技術(shù)的優(yōu)勢來完成現(xiàn)在其他技術(shù)不能做到的一些事情。例如，電子票據(jù)業(yè)務(wù)。電子票據(jù)業(yè)務(wù)是民生銀行今年正式開展的，由銀行承諾票號的網(wǎng)上票據(jù)業(yè)務(wù)。這項業(yè)務(wù)同樣也存在著安全性、完整性、不可否認性的問題，同時要對它的行為負責。因此，需要采用認證、加密方式才能完成交易。如果說僅考慮完成交易，可以采用PKI的方式完成，即，給客戶發(fā)一個證書，當他成為網(wǎng)上銀行客戶的時候，他所生成的虛擬票據(jù)產(chǎn)品被認證就可以了。如果銀行可以接受這樣的票據(jù)，那這就是具有可操作性的。但是，票據(jù)有其自身的特點，它是雙方流動的，它可能從A客戶到B客戶，那么中間還可能會通過銀行，這兩個客戶有可能同時在線，也有可能不是同一個時間在線，還有可能限于客戶的操作水平，他也許沒有得到一個在線的數(shù)據(jù)，最終是通過銀行的客戶經(jīng)理，把網(wǎng)上客戶的虛擬產(chǎn)品變成一個實體的渠道，傳送到客戶那里。怎樣讓網(wǎng)上客戶相信他是否確實收到了匯票？是否真的拿到了銀行的抵押資金呢？這就產(chǎn)生了一個脫機驗證的問題，恰好可以利用CPK脫機認證的特點，完成上述工作。網(wǎng)上銀行大多數(shù)都是聯(lián)機交易，但是也有一些是脫機操作的。越是比較大眾化的操作，它越有可能是聯(lián)機的，越是一些高風險的資金業(yè)務(wù)，也就是為高級客戶提供的服務(wù)，它越有可能是脫機的，這個現(xiàn)象是存在的。因為對這樣的客戶，它是銀行非常重要的利潤提供者，對這樣的利潤提供者，提供盡可能多的服務(wù)手段，將有助于提升銀行與這部分高級客戶之間的合作價值。所以在做一些非常高級的對公業(yè)務(wù)時，脫機交易是完全可能存在的。又例如，交易雙方之間沒有用互聯(lián)網(wǎng)，而是通過另外的渠道（傳真、電話等）去做這項業(yè)務(wù)。那么在這樣的渠道上，有沒有可能通過客戶自主認證的方式去完成對客戶的一個識別，由于產(chǎn)生了對客戶的識別，引發(fā)對客戶的信任，并且確定最終雙方的交易行為，這都是我們一直在探討的一個問題。以上主要介紹了CPK在對公眾服務(wù)方面可能會產(chǎn)生的作用，其實研究這項技術(shù)，還是因為民生銀行發(fā)現(xiàn)CPK除了在對公眾服務(wù)方面起到一些作用，由它本身特點決定了其在對內(nèi)部信息系統(tǒng)保護方面所起到的作用。第一，對銀行員工提供認證管理。利用CPK多標識域、多作用域的特點向員工發(fā)放證書，使員工實現(xiàn)多個角色轉(zhuǎn)換的自主認證。第二，對銀行IT系統(tǒng)認證管理。銀行內(nèi)部的各種IT系統(tǒng)作為一個操作主體去操作其他系統(tǒng)的時候，他們之間的信任關(guān)系是比較模糊的，而CPK可以解決銀行信息系統(tǒng)內(nèi)部操作安全問題。第三，對銀行的基礎(chǔ)設(shè)施或設(shè)備提供認證管理。CPK由標識生成一個比較大的密鑰空間，并且是自下而上產(chǎn)生的，在客戶傳送私密信息時，銀行可以在上面同步地得到這樣一個對稱的密鑰，由此簡化了銀行密鑰管理的手段。第四，對客戶與其他伙伴指定的一些合作項目中的IT基礎(chǔ)設(shè)施，提供一種遠程提供認證管理。CPK與PKI的關(guān)系可能有的人會認為CPK是對PKI的一種替代，或者說它是PKI的一個挑戰(zhàn)者，其實這種定義略有偏頗。PKI體系已經(jīng)被別人研究了二十多年，從它成為美國的國家標準至今也有十余年了。它是一個十分成熟、完美的體系，已經(jīng)得到了大家的公認，因此挑戰(zhàn)它既不現(xiàn)實，也沒有這個必要，而CPK更多的是對PKI的一種補充。前文所提及的民生銀行電子票據(jù)的例子，實際上表明了PKI，是在一個完整的電子商務(wù)環(huán)境之下的另外一個多重的客戶認證手段。在面對當前的高風險業(yè)務(wù)、大金額業(yè)務(wù)時，銀