導讀

中鈔區塊鏈技術研究院全程參與了《金融分佈式賬本技術安全規範》(以下簡稱《安全規範》)的編制過程。本文針對第六節“基礎硬件”第十三節“身份管理”相關內容進行解讀並提出合規建議。

練娜:“基礎硬件”“身份管理”解讀及合規建議

練娜

中鈔信用卡產業發展有限公司

  杭州區塊鏈技術研究院

練娜:“基礎硬件”“身份管理”解讀及合規建議基礎硬件

01 編寫背景及依據

基礎硬件作爲安全體系框架的最底層,是保證整體系統安全的基礎。因與傳統 IT 系統安全要求無過大差異,《安全規範》在遵循國標《信息安全技術網絡安全等級保護基本要求》GB/T 22239-2019 的基礎上,考慮了現行金融行業標準可直接應用或修改應用的相關要求,形成了對基礎硬件的安全要求。
02 核心要素

物理安全方面的核心要素是場地、硬件設備、節點部署和硬件加密設備。網絡安全方面的核心要素是網絡架構和通信傳輸。

03 重點解讀

在金融領域,涉及基礎硬件安全的行業標準相對成熟。在《安全規範》中,除了滿足現有標準的要求外,需要重點關注硬件加密設備安全。這是因爲在服務器端,承擔驗證傳入的通信、分佈式賬本上的數據哈希、通信信道加密 / 解密數據、分佈式賬本本身的數據加密和解密、保護通信通道等功能;而在客戶端,需要保護私鑰(或其他憑證)以防止冒充。第 6.2.4 條規定了在服務器端“使用的加密機設備應符合國家密碼管理部門頒佈的 GM/T 0045-2016 的要求”,在客戶端“使用的個人密碼設備(如 Ukey、加密卡、帶 SE 或 TEE 的移動終端等)應符合行業主管部門和國家密碼管理部門的要求”。

需要說明的是,《安全規範》中第 6.2.3 條節點部署安全(場地安全)與第 9 節、第 16 節、第 17 節構成了完整節點的安全要求。

04 合規建議

金融分佈式賬本身份基礎硬件部分的實施難點是對於硬件加密設備的要求。作爲推薦性行業標準,從事金融分佈式賬本系統建設的機構應配合信息安全國標和國家密碼管理部門要求,實施基礎硬件的部署工作。中國人民銀行《金融分佈式賬本技術應用評價指標》已完成草案稿,其中有更爲具體的指標要求,後續可比對合標。此外,還應注意機房和雲端部署的物理位置以及異構性。

練娜:“基礎硬件”“身份管理”解讀及合規建議身份管理

01 編制背景及依據

當前,個人信息的非法收集、泄露、濫用等安全問題日益嚴重。特別是在金融行業,相關機構的個人金融信息保護工作面臨嚴峻挑戰。個人信息保護的源頭是身份管理系統的建設,分佈式賬本技術的出現爲身份管理提出了新思路,但如何將分佈式賬本身份與用戶真實身份對應是一大挑戰。《安全規範》的“身份管理”在充分考慮信息安全 CIA 三要素(保密性、完整性和可用性)的基礎上,遵循國標《信息安全技術個人信息安全規範》GB/T 35273-2017 (2020 年 3 月,該標準升級爲 2020 版本),以及銀保監會和中國人民銀行的相關文件。

02 核心要素

包括身份定義、賬戶管理、憑證生命週期管理、身份鑑別、節點標識管理、身份信息安全、身份監管審計要求。

03 重點解讀

身份管理部分,側重身份生命週期的相關概念,避免特定於具體的身份管理解決方案。

一是首創性定義金融分佈式賬本身份、賬戶、憑證,以及其對應關係。將分佈式賬本賬戶與真實身份進行聯繫,保證了監管與審計。通過合規憑證的流轉,減少個人信息的透露。

在第 13.2 條“身份定義”中描述了身份、賬戶、憑證的定義和對應關係,採用身份憑證的表述方法替代了常規的 CA 證書,打破了對於實現方案的限制,爲今後新型身份管理方案的出現和使用打下了基礎。“身份是指涉及自然人及法人等實體的屬性的集合,身份可以進行數字化標識(簡稱數字標識)”。“賬戶是身份的屬性合集”,“一個身份可以對應多個賬戶”,“每個賬戶應關聯一個身份標識,即身份憑證”,“身份憑證是用戶通過身份鑑別後,由鑑別者爲用戶出具的一種可信電子憑據,包括但不限數字證書和公私鑰對等”。

二是加強訪問控制要求。在註冊過程中,如缺乏適當的身份覈實程序將給系統帶來更大的脆弱點,《安全規範》通過第 13.3 條“身份註冊”和第 13.4 條“身份覈實”規範金融分佈式賬本訪問安全系統的權限。第 13.4 條身份覈實特別說明:“存在隱私保護需求的金融分佈式賬本系統可使用匿名身份認證,但應遵循‘前臺自願、後臺實名’的原則,前臺使用匿名標識,後臺應能還原註冊實體的實名身份。”

第 13.5 條“賬戶管理”通過預定義用戶級別(普通用戶賬戶、管理員賬戶、其他特定權限)的方式,允許系統差別管理訪問權限。通過爲常見用戶級別預定義訪問控制設置,降低管理複雜性,提升金融分佈式賬本的穩健性和安全性。

三是憑證生命週期管理。第 13.6.1 條“金融分佈式賬本的憑證管理應包括憑證的產生、存儲、使用、撤銷、終止整個過程的管理”,“對不同金融業務所需憑證中包含的信息、數據格式和加解密規則,應編寫專門的文檔加以說明”。結合第 13.2 條中關於憑證的定義,給 CA 證書(公私鑰對)之外的數字憑證方案(例如分佈式身份中的可驗證憑證)提供了可能性。

第 13.6.4 條明確“憑證應由用戶和憑證提供方雙方各自進行安全存儲”,並要求說明“持久性存儲的目的、方法和位置”。這是從管理手段方面保證個人信息的安全性,結合數字憑證的數據格式和加密規則等技術手段,保證憑證信息不泄露。

第 13.6.5 條提出“憑證流轉應由用戶發起,對憑證信息的訪問應經過用戶授權許可”,突出了無論從技術角度還是管理角度,用戶都是身份信息的主體。

四是對身份監管審計的支持。 第 13.11.1 條規定了“在特殊情況下,監管機構無需徵得信息主體授權同意包括如下情況”等 11 條內容。

第 13.11.2 條規定了“應對身份、賬戶、憑證的訪問和更改提供安全審計功能,審計記錄包括訪問的日期、時間、用戶標識、數據等審計相關信息”。

04 合規建議

金融分佈式賬本身份管理部分的實現難點是釐清身份、賬戶、憑證的概念,以及身份管理應滿足監管審計要求。從事金融分佈式賬本系統建設的機構在設計實現用戶真實身份和賬本賬戶的對應關係,以及憑證的數據內容、結構和加解密方式等方面,應根據應用場景選擇技術方案,做好身份註冊及審覈、預定義用戶級別等基礎工作。同時,在設計中還應充分考慮配合 2020 年 2 月出臺的《個人金融信息保護技術規範》JR/T 0171-2020,以及中國人民銀行和銀保監會關於個人金融信息保護的文件。此外,《安全規範》爲身份管理方案創新留下了可行性,分佈式身份作爲目前討論最多的解決方案之一,旨在實現用戶擁有、控制和管理自己的身份,實現數字身份的安全性、隱私保護和不可抵賴性,實現可信數據的安全流轉。分佈式身份體系依靠密碼學的技術方案體系,如何取其優點並滿足金融強監管要求,是未來研究的重點。

練娜:“基礎硬件”“身份管理”解讀及合規建議結語

在推廣分佈式賬本應用的過程中,金融機構面臨比其他行業更加嚴格的要求。《安全規範》的發佈實施有助於規範金融分佈式賬本的應用,有助於金融機構按照標準規定的安全要求進行系統設計、部署和運維,是現階段最具指導意義的“合規手冊”。建議從事分佈式賬本建設和服務運行的企業和機構比對自身現有產品或在研產品,確認合規性及可監管性。中國人民銀行金融分佈式賬本技術系列規範的其他部分將陸續出臺,完整的標準體系將推動金融分佈式賬本的可持續發展。

_ End_

來源 | 金融電子化可點擊左下角“閱讀原文”,查找標準全文

RECOMMEND
推薦閱讀

練娜:“基礎硬件”“身份管理”解讀及合規建議

練娜:“基礎硬件”“身份管理”解讀及合規建議

練娜:“基礎硬件”“身份管理”解讀及合規建議

練娜:“基礎硬件”“身份管理”解讀及合規建議

練娜:“基礎硬件”“身份管理”解讀及合規建議

練娜:“基礎硬件”“身份管理”解讀及合規建議

練娜:“基礎硬件”“身份管理”解讀及合規建議

練娜:“基礎硬件”“身份管理”解讀及合規建議

練娜:“基礎硬件”“身份管理”解讀及合規建議

練娜:“基礎硬件”“身份管理”解讀及合規建議

練娜:“基礎硬件”“身份管理”解讀及合規建議

來源鏈接:mp.weixin.qq.com