美国网络空间可信身份战略的谋划及启示2

《美国网络空间可信身份战略的谋划及启示2》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、内部资料赛迪专报2011年第18期（总第40期）工业和信息化部赛迪研究院2011年6月22日美国网络空间可信身份战略的谋划及启示2011年4月15日，美国发布了《网络空间可信身份国家战略》（NSTIC），计划用10年左右的时间，构建一个网络身份生态体系，推动个人和组织在网络上使用安全、高效、易用的身份解决方案。为此，美国成立了专门的主管办公室（NPO），负责协调政府和私人部门的活动，并牵头制定实施路线图。身份管理关系到网络空间的安全和发‐ 1 ‐ 展，美国此举旨在谋求对网络空间的主导权和控制权，并希望通过繁

2、荣网络经济再次引领世界经济新潮流，占领未来全球经济制高点。一、NSTIC的出台背景NSTIC是对2009年发布的《网络空间安全评估》（以下简称《安全评估》）的响应。2009年5月，奥巴马政府发布了《安全评估》，突出强调了网络空间的战略地位，指出美国当前网络安全形势严峻，并设定了网络安全近中期行动计划，其中明确要建立基于网络安全的身份管理战略，保障隐私与公民自由。NSTIC正是落实近中期行动计划的一项战略措施，其出台具体背景是：美国网络安全形势严峻，网络身份管理重要性日益凸显。美国是高度依赖信息网络的国家，整

3、个社会运转已经与网络密不可分。随着网络成为国家依赖生存的神经单元，美国网络空间安全形势日益严峻。据2009年美国国土安全部的报告称，2005年共有4095起针对美国政府和私营部门的网络攻击，但2008年这一数字已增长至7.2万起。这些攻击使关键基础设施和敏感信息保护面临威胁，给美‐ 2 ‐ 国造成巨大损失。美国政府日益认识到，一个可以确认网络主体身份的网络空间已是越来越重要，但目前，美国网络欺诈、身份盗用等相关问题非常突出。据统计，2010年美国有810万人遭受身份盗用或网络欺诈，造成370亿美元的损失；另

4、据Trusteer报告，美国金融机构每周会遭受16次网络钓鱼攻击，每年造成240-940万美元损失。HSPD-12实施效果明显，有必要将网络身份管理从联邦政府推广至整个网络空间。2004年8月，美国出台了国土安全总统令第12号（HSPD-12），为政府部门管理联邦雇员与合同制雇员提供了一套新型身份管理标准策略；该总统令有79个政府部门参与执行。2009年，美国政府还出台了联邦身份、凭证与接入管理路线图与实施指南等相关政策和措施。该政策实施效果明显，在保障网络安全方面发挥了很大作用。以国防部为例，实施强身份认

5、证后网络攻击数量降低了46%以上。在联邦政府之外，很多商业企业也在网络身份管理方面做了不少努力，如OpenID身份管理平台、微软的WindowsCardSpace等，Facebook也正在展开“1帐号N用途”服务，任何拥有Facebook账‐ 3 ‐ 号的人都可以通过Facebook账户登录其他网站。随着美国经济运作、商业活动越来越依赖庞大而复杂的网络，美国政府认识到有必要将身份管理推广到包括私人部门在内的整个网络空间。欧盟、韩国等国家和地区加快在信息网络中引入和部署身份管理。在战略层面、技术层面，欧盟为网

6、络身份管理的大范围部署与推广作了充足的准备。从2002开始的FP6计划，相继开展了FIDIS，Traser，Stork等与身份管理相关的研究，包括在电子政务、信息网络与未来网络中如何引入并部署身份管理，包括关键技术、架构、平台、应用场景等。欧盟的eIDM一揽子研究计划在2010年实现了整个欧盟范围内电子身份（eID）的启用，欧盟成员国公民持有电子身份即可在欧盟内任一国家享受相应的求职、医疗、保险等一系列社会服务。韩国推行“I-PIN”认证多年，授权几家“身份服务提供商”建立身份验证平台，给网络用户发I-PI

7、N，并以此注册所有实名业务。二、NSTIC的主要内容NSTIC旨在通过政府推动和产业界努力，建立一个以用户为中心的身份生态体系。在该体系环境下，个人和组‐ 4 ‐ 织遵循协商一致的标准和流程来鉴别和认证数字身份，从而实现相互信任。NSTIC共八章，核心内容包括指导原则、前景构想、身份生态体系构成、任务目标和行动实施。NSTIC明确身份生态体系必须遵循四个原则。一是身份解决方案应当增强隐私保护并且由公众自愿应用；二是身份解决方案应当是安全、可扩展的；三是身份解决方案应当是互操作的；四是身份解决方案应当是高效且

8、易于应用的。这四个指导原则是任务目标和行动实施的基础。NSTIC前景构想反映了一种以用户为中心的身份生态体系。NSTIC提出的构想是：个人和组织可利用安全、高效、易用和具备互操作的身份解决方案，在一种信心提高、隐私保护意识增强、选择增多和创新活跃的环境下获得在线服务。该构想反映了一种以用户为中心的身份生态体系，适用于个人、企业、非盈利组织、宣传团体、协会和各级政府。NSTIC提出身份生态体系由参与者、策略、流程和