文档介绍：内部资料
赛迪专报
2011 年第 18 期(总第 40 期)
工业和信息化部赛迪研究院 2011 年 6 月 22 日
美国网络空间可信身份战略的谋划及启示
2011 年 4 月 15 日,美国发布了《网络空间可信身份
国家战略》(NSTIC),计划用 10 年左右的时间,构建一个
网络身份生态体系,推动个人和组织在网络上使用安全、
高效、易用的身份解决方案。为此,美国成立了专门的主
管办公室(NPO),负责协调政府和私人部门的活动,并牵
头制定实施路线图。身份管理关系到网络空间的安全和发
  ‐ 1 ‐
展,美国此举旨在谋求对网络空间的主导权和控制权,并
希望通过繁荣网络经济再次引领世界经济新潮流,占领未
来全球经济制高点。
一、NSTIC 的出台背景
NSTIC是对2009年发布的《网络空间安全评估》(以下
简称《安全评估》)的响应。2009年5月,奥巴马政府发布
了《安全评估》,突出强调了网络空间的战略地位,指出
美国当前网络安全形势严峻,并设定了网络安全近中期行
动计划,其中明确要建立基于网络安全的身份管理战略,
保障隐私与公民自由。NSTIC正是落实近中期行动计划的
一项战略措施,其出台具体背景是:
美国网络安全形势严峻,网络身份管理重要性日益凸
显。美国是高度依赖信息网络的国家,整个社会运转已经
与网络密不可分。随着网络成为国家依赖生存的神经单
元,美国网络空间安全形势日益严峻。据2009年美国国土
安全部的报告称,2005年共有4095起针对美国政府和私营
部门的网络攻击,。
这些攻击使关键基础设施和敏感信息保护面临威胁,给美
  ‐ 2 ‐
国造成巨大损失。美国政府日益认识到,一个可以确认网
络主体身份的网络空间已是越来越重要,但目前,美国网
络欺诈、身份盗用等相关问题非常突出。据统计,2010年
美国有810万人遭受身份盗用或网络欺诈,造成370亿美元
的损失;另据Trusteer报告,美国金融机构每周会遭受16
次网络钓鱼攻击,每年造成240-940万美元损失。
HSPD-12 实施效果明显,有必要将网络身份管理从联
邦政府推广至整个网络空间。2004 年 8 月,美国出台了
国土安全总统令第 12 号(HSPD-12),为政府部门管理联
邦雇员与合同制雇员提供了一套新型身份管理标准策略;
该总统令有 79 个政府部门参与执行。2009 年,美国政府
还出台了联邦身份、凭证与接入管理路线图与实施指南等
相关政策和措施。该政策实施效果明显,在保障网络安全
方面发挥了很大作用。以国防部为例,实施强身份认证后
网络攻击数量降低了 46%以上。在联邦政府之外,很多商
业企业也在网络身份管理方面做了不少努力,如 OpenID
身份管理平台、微软的 Windows CardSpace 等,Facebook
也正在展开“1 帐号 N 用途”服务,任何拥有 Facebook 账
  ‐ 3 ‐
号的人都可以通过 Facebook 账户登录其他网站。随着美
国经济运作、商业活动越来越依赖庞大而复杂的网络,美
国政府认识到有必要将身份管理推广到包括私人部门在
内的整个网络空间。
欧盟、韩国等国家和地区加快在信息网络中引入和部
署身份管理。在战略层面、技术层面,欧盟为网络身份管
理的大范围部署与推广作了充足的准备。从 2002 开始的
FP6 计划,相继开展了 FIDIS,Traser,Stork 等与身份管
理相关的研究,包括在电子政务、信息网络与未来网络中
如何引入并部署身份管理,包括关键技术、架构、平台、
应用场景等。欧盟的 eIDM 一揽子研究计划在 2010 年实现
了整个欧盟范围内电子身份(eID)的启用,欧盟成员国
公民持有电子身份即可在欧盟内任一国家享受相应的求
职、医疗、保险等一系列社会服务。韩国推行“I-PIN”
认证多年,授权几家“身份服务提供商”建立身份验证平
台,给网络用户发 I-PIN,并以此注册所有实名业务。
二、NSTIC 的主要内容
NSTIC 旨在通过政府推动和产业界努力,建立一个以
用户为中心的身份生态体系。在该体系环境下,个人和组
  ‐ 4 ‐
织遵循协商一致的标准和流程来鉴别和认证数字身份,从
而实现相互信任。NSTIC 共八章,核心内容包括指导原则、
前景构想、身份生态体系构成、任务目标和行动实施。
NSTIC 明确身份生态体系必须遵循四个原则。一是身
份解决方案应当增强隐私保护并且由