趙改俠 李達(dá) 謝宗曉（中國金融認(rèn)證中心）

0 引言

注冊機(jī)構(gòu)（RegistrationAuthority，RA）是對用戶證書申請者建立注冊過程的實(shí)體，負(fù)責(zé)對證書申請者進(jìn)行標(biāo)識和鑒別，向認(rèn)證機(jī)構(gòu)（CertificationAuthority，CA）發(fā)起和傳遞證書申請、更新、吊銷等請求。RA是銜接用戶與CA的重要橋梁，在整個PKI閉環(huán)中具有舉足輕重的作用。當(dāng)然，引入RA也增加了風(fēng)險，比如CA需要對RA本身進(jìn)行認(rèn)證及可靠性管理，RA自身的風(fēng)險會傳導(dǎo)至CA。

《中華人民共和國電子簽名法》（以下簡稱：《電子簽名法》）、《電子認(rèn)證服務(wù)管理辦法》和《電子認(rèn)證服務(wù)使用密碼管理辦法》等法律法規(guī)的相關(guān)要求主要針對CA來規(guī)范，沒有專門針對RA的專項(xiàng)管理辦法。因此，針對RA的合規(guī)要求，要結(jié)合對CA的合規(guī)要求來分析。鑒于PKI體系中RA承擔(dān)的重要角色，以及在實(shí)踐中的一些典型問題，本文重點(diǎn)分析RA的合規(guī)問題以及解決思路。

1 RA類型

當(dāng)前，我國具有電子認(rèn)證服務(wù)許可證的CA有50多家，其大多通過授權(quán)RA的模式開展業(yè)務(wù)。通常授權(quán)協(xié)議約定RA承擔(dān)數(shù)字證書告知、審核、資料保管，以及CA與數(shù)字證書協(xié)議的簽署等事項(xiàng)，并由RA代理數(shù)字證書服務(wù)費(fèi)用。RA有以下幾種類型。

（1）傳統(tǒng)型RA

傳統(tǒng)型RA出于自身業(yè)務(wù)安全，需要使用證書，因此證書受理流程通常被嵌入其業(yè)務(wù)流程中。這類RA一般具有業(yè)務(wù)受理窗口，合規(guī)及風(fēng)控把控能力較強(qiáng)。比如，電子政務(wù)、銀行等領(lǐng)域用戶辦理業(yè)務(wù)時，通常在辦理事項(xiàng)選項(xiàng)中增加證書選項(xiàng)，用戶選擇證書選項(xiàng)后，則可在納稅、政府招標(biāo)投標(biāo)、銀行轉(zhuǎn)賬、貸款等業(yè)務(wù)場景中使用數(shù)字證書。這類業(yè)務(wù)場景通常將數(shù)字證書私鑰保存在智能密碼鑰匙（U盾）中或手機(jī)等移動設(shè)備中。這類數(shù)字證書處于用戶絕對控制下，電子簽名具有較強(qiáng)的不可否認(rèn)性；數(shù)字證書告知、用戶審核、數(shù)據(jù)存儲等合規(guī)性風(fēng)險較低。

（2）在線型RA

隨著移動互聯(lián)網(wǎng)的發(fā)展，一些機(jī)構(gòu)尤其是互聯(lián)網(wǎng)金融機(jī)構(gòu)，出于便捷性、用戶體驗(yàn)及成本考慮，將其業(yè)務(wù)全部采用在線方式。通過在線方式審核用戶身份，對用戶的告知及協(xié)議以勾選項(xiàng)或者強(qiáng)制閱讀等方式實(shí)現(xiàn)，采用短信驗(yàn)證碼等方式獲取用戶授權(quán)，將用戶簽名私鑰保存在平臺上。這種類型RA，增加了數(shù)字證書用戶抵賴風(fēng)險，存在一定的數(shù)字證書告知、用戶審核、數(shù)據(jù)存儲等合規(guī)性風(fēng)險。

（3）專業(yè)平臺型RA

隨著無紙化業(yè)務(wù)需求的增加，出現(xiàn)了一些專業(yè)的互聯(lián)網(wǎng)電子簽約平臺。其業(yè)務(wù)模式是對接各類需要電子簽署的客戶，不參與客戶業(yè)務(wù)，不直接面對最終用戶，通過平臺接受客戶方申請代替數(shù)字證書用戶申請、保管、調(diào)用數(shù)字證書。這類RA無法接觸最終的數(shù)字證書用戶，對證書用戶的告知、審核、資料保管等無法控制。這種類型的RA，增加了數(shù)字證書用戶的抵賴風(fēng)險，同時也給CA帶來極大的合規(guī)性風(fēng)險。

2 RA合規(guī)現(xiàn)狀及存在問題

目前，尚沒有專門針對RA的專項(xiàng)管理辦法，RA合規(guī)主要依據(jù)《電子認(rèn)證服務(wù)管理辦法》第二十一條、第三十條、第十八條第三款。

告知、審核、資料保管是RA、CA面臨的最大困難及合規(guī)性風(fēng)險。受業(yè)務(wù)模式、管控政策以及新冠肺炎疫情的影響，近年來出現(xiàn)P2P平臺暴雷、機(jī)構(gòu)倒閉、消費(fèi)貸用戶還款意愿降低等現(xiàn)象，這暴露出RA存在的一些問題。

（1）對用戶告知不完善

數(shù)字證書主要用于保護(hù)業(yè)務(wù)安全，提供交易傳輸過程中的完整性以及交易的抗抵賴性服務(wù)。由于PKI體系的專業(yè)性，廣大用戶對數(shù)字證書及電子簽名認(rèn)知較少，因此《電子認(rèn)證服務(wù)管理辦法》提出CA須對用戶的告知事項(xiàng)。而在現(xiàn)實(shí)在線業(yè)務(wù)中，需要向用戶告知以及需要用戶同意的事項(xiàng)較多，用戶往往未全部理解即選擇同意。另一方面，業(yè)務(wù)方對數(shù)字證書的理解不夠嚴(yán)謹(jǐn)，告知事項(xiàng)比較隱晦，甚至不提數(shù)字證書以及私鑰托管授權(quán)等。這些情況，導(dǎo)致用戶事后以不知情提出抵賴，增加了CA的合規(guī)性風(fēng)險。

（2）在線身份審核標(biāo)準(zhǔn)欠缺

《電子簽名法》及《電子認(rèn)證服務(wù)管理辦法》要求CA對數(shù)字證書用戶進(jìn)行身份審核。CA在其業(yè)務(wù)規(guī)則中描述的身份審核方式是否能達(dá)到身份審核真實(shí)性、準(zhǔn)確性、意愿性等效果，沒有統(tǒng)一的標(biāo)準(zhǔn)。比如，一些RA使用二要素、三要素、四要素、五要素，一些使用生物識別、短信驗(yàn)證碼、小額打款驗(yàn)證，或者使用第三方已驗(yàn)證的結(jié)果等。這就造成在真實(shí)性、準(zhǔn)確性、意愿性效果方面存在差異，給后續(xù)的證書使用造成潛在的抵賴風(fēng)險。

（3）RA數(shù)據(jù)存儲不規(guī)范

《電子簽名法》要求對與認(rèn)證相關(guān)的信息保存期限至少為電子簽名認(rèn)證證書失效后五年，這就要求由RA負(fù)責(zé)處理的信息也同樣需要保存。通常情況下，RA基于信息保護(hù)或者客戶控制的因素，不愿意或不能提供給CA保管。RA保存哪些信息、如何保存、如何提取，以及RA停止服務(wù)后如何處理等，行業(yè)無詳細(xì)的標(biāo)準(zhǔn)規(guī)范。一些RA使用云服務(wù)，自身并無機(jī)房、主機(jī)、信息存儲管理規(guī)則規(guī)范等，一旦出現(xiàn)糾紛需要提取數(shù)字證書有關(guān)記錄時，甚至不知如何提取、是否可以提取等。一旦RA倒閉、停止服務(wù)，CA很難獲得RA存儲的數(shù)據(jù)，這將給日后的糾紛埋下隱患。

（4）用戶授權(quán)不清

在線電子簽約平臺或者互聯(lián)網(wǎng)金融平臺的業(yè)務(wù)模式，通常是在獲取用戶授權(quán)后，代替用戶申請、保存數(shù)字證書，在某種指令下調(diào)用數(shù)字證書執(zhí)行簽名操作等。這種業(yè)務(wù)模式，在獲取用戶授權(quán)時，對數(shù)字證書的使用權(quán)限、使用范圍、使用時效等比較模糊。比如，用戶A通過B平臺授權(quán)申請數(shù)字證書用于處理B1貸款業(yè)務(wù)，但A不了解證書效期多長，如A需要處理B2消費(fèi)貸款時，未再次進(jìn)行授權(quán)，B平臺直接使用了B1業(yè)務(wù)時申請的數(shù)字證書，這就存在A用戶授權(quán)范圍、時效不明確的問題。

3 RA存在問題解決思路

在監(jiān)管機(jī)構(gòu)對RA無監(jiān)管依據(jù)的情況下，CA出于降低風(fēng)險的考慮，應(yīng)加強(qiáng)對RA的管理。

（1）對RA的授權(quán)準(zhǔn)入要求

CA應(yīng)對RA的基本資信進(jìn)行調(diào)研，確保RA有能力履行身份審核、信息告知、數(shù)據(jù)存儲以及RA系統(tǒng)的安全運(yùn)營。CA可對RA的注冊年限、注冊資本、技術(shù)實(shí)力及合規(guī)人員情況、經(jīng)營狀況、監(jiān)管處罰情況、信用情況、業(yè)務(wù)發(fā)展模式、合規(guī)體系建設(shè)等進(jìn)行評價。從推動發(fā)展互聯(lián)網(wǎng)業(yè)務(wù)的角度考慮，可對RA進(jìn)行動態(tài)分類分級管理，對評價特別差的機(jī)構(gòu)，比如嚴(yán)重失信的機(jī)構(gòu)、多次受到監(jiān)管合規(guī)處罰的機(jī)構(gòu)，CA應(yīng)放棄與其合作。對評價較差的機(jī)構(gòu)，CA應(yīng)控制對其的授權(quán)，比如僅開放一個類型的數(shù)字證書，且控制數(shù)字證書有效期等措施，并加大對該類機(jī)構(gòu)的合規(guī)指導(dǎo)頻率。

（2）CA應(yīng)具有與RA的協(xié)議履行監(jiān)督機(jī)制

CA與RA簽署協(xié)議，約定雙方的權(quán)利義務(wù)。通常約定由RA面向用戶，審核用戶的申請信息、告知用戶使用事項(xiàng)、保存與認(rèn)證相關(guān)的信息等，但RA是否履行了約定義務(wù)，CA很難掌握。因此，CA可在協(xié)議中約定對RA的合規(guī)審計(jì)機(jī)制，以及違反協(xié)議約定后的處置措施。比如，RA機(jī)構(gòu)未按照協(xié)議約定，對數(shù)字證書用戶進(jìn)行充分告知、身份審核，如用戶有歧異的，CA核實(shí)情況后，可按照規(guī)則吊銷用戶數(shù)字證書，必要時CA可聲明該數(shù)字證書無效。

（3）按場景制定審核標(biāo)準(zhǔn)

數(shù)字證書的使用范圍及場景比較廣，不同的業(yè)務(wù)場景對安全需求不同，因此可針對數(shù)字證書使用場景提出審核標(biāo)準(zhǔn)。

RA采取在線審核信息時，應(yīng)選取信源可靠的權(quán)威機(jī)構(gòu)作為供應(yīng)商。比如對個人用戶的審核認(rèn)證可采取如下方式：1）通過公安部數(shù)據(jù)聯(lián)網(wǎng)認(rèn)證。RA可通過與合法擁有公安部數(shù)據(jù)的供應(yīng)商合作，對用戶的證件種類、證件號碼、姓名、出生日期、戶口所在地、證件有效期等進(jìn)行個人用戶身份認(rèn)證。2）通過電信運(yùn)營商進(jìn)行認(rèn)證。RA可通過證件類型、證件有效期、證件號碼、姓名、手機(jī)號碼等對個人用戶進(jìn)行身份認(rèn)證。3）通過銀行卡信息進(jìn)行實(shí)名認(rèn)證。RA可通過銀行卡號碼、開戶行、開戶人姓名、開戶人證件號碼等對個人用戶進(jìn)行實(shí)名認(rèn)證。4）針對政府職員、公職人員等低風(fēng)險主體以及簽署勞動合同、快遞簽收等低風(fēng)險業(yè)務(wù)的意愿性認(rèn)證，可以采取郵件確認(rèn)、短信驗(yàn)證、業(yè)務(wù)顯式告知、業(yè)務(wù)連續(xù)性控制等任何一種方式實(shí)現(xiàn)意愿性確認(rèn)。針對涉及金額支付（自動扣款）、財產(chǎn)抵押、貸款、保險的業(yè)務(wù)，除業(yè)務(wù)顯式告知、業(yè)務(wù)連續(xù)性控制等方式外，還必須增加活體人臉識別、現(xiàn)場照片、錄音、視頻等任何一種或者多種方式進(jìn)行意愿性認(rèn)證。

RA對機(jī)構(gòu)(企業(yè))用戶的身份認(rèn)證和意愿性認(rèn)證可采用以下方式：1）通過工商信息進(jìn)行企業(yè)身份認(rèn)證。RA應(yīng)對企業(yè)名稱、企業(yè)統(tǒng)一信用代碼、法定代表人姓名、法定代表人身份證號碼等信息進(jìn)行認(rèn)證。2）通過有效的法律文件進(jìn)行企業(yè)身份認(rèn)證。RA可通過股東決議書、授權(quán)委托書、律師函、公證書等有效的法律文件進(jìn)行企業(yè)身份認(rèn)證。3）對政府機(jī)構(gòu)的意愿性確認(rèn)，可以通過機(jī)構(gòu)（企業(yè)）郵件、經(jīng)辦人手機(jī)短信驗(yàn)證碼等方式確認(rèn)；對其他機(jī)構(gòu)可以通過法人短信驗(yàn)證碼、經(jīng)辦人人臉識別、經(jīng)辦人短信驗(yàn)證碼、對公賬號小額打款等方式確認(rèn)。4）任何使用第三方CA簽發(fā)的且存儲在智能密碼鑰匙里的數(shù)字證書，進(jìn)行其他業(yè)務(wù)所需要的身份認(rèn)證，可以達(dá)到實(shí)名認(rèn)證及意愿性確認(rèn)效果。

（4）RA數(shù)據(jù)保管要求

RA保存數(shù)據(jù)應(yīng)便于CA提取。RA應(yīng)當(dāng)按照安全、準(zhǔn)確、完整、保密的原則，妥善保存用戶資料和交易記錄，確保能重現(xiàn)交易場景，在CA需要時可以方便提供用戶身份驗(yàn)證、意愿性驗(yàn)證、告知記錄等相關(guān)信息，保存期限不低于證書失效后5年。RA應(yīng)保證與數(shù)字證書相關(guān)的信息不被篡改、隱私信息不被泄露，且只有被授權(quán)者才能接觸RA相關(guān)敏感數(shù)據(jù)及設(shè)備。RA的訪問記錄、授權(quán)記錄、門禁記錄、監(jiān)控記錄、系統(tǒng)日志等應(yīng)至少保留1年，以便CA及其他監(jiān)管機(jī)構(gòu)的審計(jì)或者安全評估。

4 結(jié)語

CA授權(quán)的RA在PKI體系中承擔(dān)著重要的角色，RA的質(zhì)量直接決定了PKI體系的整體質(zhì)量，因此有必要對RA的運(yùn)營從監(jiān)管及標(biāo)準(zhǔn)層面進(jìn)行規(guī)范。同時，也應(yīng)加強(qiáng)社會公眾對PKI體系的認(rèn)識，正確理解數(shù)字證書及電子認(rèn)證服務(wù)的作用及機(jī)制，共同促進(jìn)互聯(lián)網(wǎng)業(yè)務(wù)健康發(fā)展。