当前位置: 主页 > 财经 > 金融 >

重新认识电子签名:技术和标准的交叉点

2017-08-30 16:48 消息来源:e签宝

杭州2017年8月30日电 /美通社/ -- 近日,中国电子认证服务产业联盟秘书长、工信部赛迪安全研究所所长刘权应e签宝之邀,撰文解读“电子签名”,下文是经过刘权授权转载的文章全文。

电子签名是什么?为什么电子签名行业越来越热?为什么能做好电子签名产品的公司不多?这是最近一个朋友问我的。

从2004年国家正式出台《电子签名法》,我一直相信电子签名将会成为未来互联网时代的基础性工具。这个相信持续了十几年,近一两年开始陆续有更多人跟我一样相信了。可是,我发现,即便是相信电子签名未来的人,大多对电子签名仍不甚了解,也会提出开头那几个我朋友的疑问。

这是一个有趣的现象,大家对电子签名总是只了解到字面意思,未曾深究,也许是因为电子签名属于商业密码行业,标准门槛高,技术解读往往深涩,一般人听不懂门道。但是这种不明所以,却成为了一个隐患,大众的认知空白代表了用户的认知也不会清晰,那么就给了一些并不完善的电子签名产品发展流通的机会。作为电子签名的研究人员和拥趸,我很清楚使用这样的产品,风险有多大,后果有多么不可估量,所以我想用一些浅显的方式,带大家重新认识电子签名。

其实,我朋友提出的这几个问题只需要弄清四个标准就可以解答,就是《电子签名法》规定的可靠电子签名标准,即真实身份、真实意愿、签名未改、原文未改

为此,电子签名产品须以身份认证、时间戳、加密算法等技术手段实现。

真实身份和真实意愿是通过实名认证确认的。目前实名认证主要有三种方式:

一是公安部人口库的信息比对,就是通过身份证拍照,或是生物动态识别技术(人脸识别)确认身份。

二是银联用户库信息比对,就是通过验证银行四要素,或银行卡扣款确认身份。

三是运营商实名用户库信息比对,就是通过输入即时短信验证码确认身份。

而签名未改、原文未改则需要多项防篡改技术加持,以及后续证据固化手段辅助,才能确认。其中有两点可以说是防篡改的基础,即签名时间和加密算法。

首先是签名时间。为了确认签名时间,目前的有效方法是加盖时间戳。所谓时间戳,可以理解为一个特定的时间记录。而时间戳又分为自建时间戳,就是从某个平台自身的服务器调取的时间数据,以及第三方授予的可信时间戳,比如国家授时中心加盖的。前者存在随意篡改的风险,不具备法律效力,而后者是不可篡改的,是被法律认可的。

如何判断电子签名的签名时间属性?可以从如下签名属性中获知。

重新认识电子签名
重新认识电子签名

其次是加密算法。作为保护文件的基础屏障,电子签名的加密技术至关重要。而随着电子签名技术的不断深入完善,加密算法也在不断升级。一些初级的算法已经被攻破,不再安全,比如SHA1,就是被Google宣布攻破,被国家密码管理局明确指出的,存在重大安全风险的算法。

这个算法的漏洞在于,当有A、B两个完全不同的文件,使用SHA1算出的哈希值可以完全一样。也就是它可以让攻击者恶意修改文件内容,且不被发现。这就无法保证原始签约文件真实性、完整性、未篡改性,更无法保证在出现法律纠纷时文件能够成为有效证据。

目前电子签名行业的前沿加密算法已是SHA256哈希算法,暂无被攻破风险,能够保证签名原文的真实、完整、防篡改。

判断加密算法的途径,同样可以通过签名属性,如下图。

重新认识电子签名
重新认识电子签名

单就以上两点的任一点就可以直接推翻签署文件的有效性。所以,如果你已经是或即将是电子签名的用户,不妨先以这两点为标准审视自己选择的电子签名产品。

归根结底,明确法律标准并通过专业技术加以实现,这就是电子签名的核心。要掌握这样的技术,实现这样的标准并非易事,所以就出现了目前市面上虽然电子签名产品不断增加,但是真正安全有效的好产品却不多的情形。

行业快速发展,更多人投身于电子签名行业是好事,可我还是衷心希望那些尚稚嫩的从业者们能够把产品发展成优势,收获忠诚用户,而非广告口号。

电子签名行业已经从十多年前的几乎孤军奋战,发展到如今的激烈竞争,良莠不齐,这也许说明电子签名行业正在进入了一个分水岭。这之前,行业总体呈现理性谨慎,小而美的状态,技术集中发展,市场疆域有限。而这之后,行业成长速度加快,产品博弈,胜负见晓迅速,市场新大陆不断涌现,同时暴露更多风险和问题。

我们依旧可以笃定地相信电子签名的长远价值,因为那些经过时间打磨,市场洗礼的,成熟优质的电子签名产品终会为我们的签署安全保驾护航。