身份认证与身份信息保护服务解决方案介绍课件

TM身份认证与身份信息保护服务解决方案介绍移动互联网应用成功要素身——电子身份证体系手——手机与智能终端钥——安全算法与密钥钱——快捷支付与金融移——移动互联网技术平——管理与服务平台大——大数据分析挖掘信——企业个人信用体系身手钥钱

移平大信网络实名制——大势所驱个人隐私保护——责任与挑战实名认证与隐私保护——大有作为演讲要点背景1：网络实名制——事关国家、企业、个人生命与财产安全为了维护国家网络空间安全，国家网络应用提供出实名制监管要求：全国人大《网络安全法》：网络运营者为用户办理网络接入、域名注册服务，办理固定电话、移劢电话等入网手续，或者为用户提供信息发布、即时通讯等服务，应当要求用户提供真实身份信息。国务院《互联网新闻信息服务管理规定》：互联网新闻信息服务提供者为用户提供互联网新闻信息传播平台服务，应当要求用户提供真实身份信息，否则不能得到相关服务。工信部《电话用户真实身份信息登记规定》：要求电信业务经营者为用户办理固定电话、移动电话、上网卡等入网手续时，如实登记用户真实身份信息。公安部治安局：对酒店、民宿行业的实名制登记要求。背景1：网络实名制——事关国家、企业、个人生命与财产安全文化部《关于规范网络游戏运营加强事中事后监管工作的通知》：不得为使用游客模式登陆的网络游戏用户提供游戏内充值或者消费服务。提倡网络游戏经营单位设置未成年用户消费限额，限定未成年用户游戏时间。商务部《网络交易平台服务规范》：针对电子商务B2B、B2C和C2C模式的特点，规定了各模式中网络交易方、网络交易平台提供商、网络支付平台提供商和网络交易辅助服务提供商的行为服务规范。国家邮政局《快递实名制暂行条例》：寄件人拒绝提供身份信息或者提供身份信息不实的，经营快递业务的企业不得收寄。——互联网时代，无处不在的身份认证、核验、签名、存储：酒店、旅馆、网吧、银行、政府、医院、学校、证券、监狱、企业、驾校、租赁、典当、火车站、汽车站、机场、订票、快递、办卡以及一切需要使用和验证二代身份证的任何场所。如：政府机构：电子政务服务、来访预约登记；电信系统：开户、销户、业务套餐办理等；证券系统：开户、交易等；网吧系统：会员卡开户、上网人员管理等；酒店旅馆：住宿登记等；公安系统：身份证申领、身份证查验、户口登记迁移、人口管理、巡警等；教育系统：报考身份识别、校内人员管理；其它系统：民航、铁路、公路、医疗、民政等各领域。背景1：网络实名制——事关国家、企业、个人生命与财产安全背景2：网络实名制对信息安全、网民生命财产安全带来挑战网络实名制会导致信息泄露风险增加：2016年有58.5%的网站漏洞可能导致泄露实名信息，可能泄露的数量多达60亿条。2011年12月，CSDN网站600万用户信息泄露事件；2012年1月，亚马逊电子商务网站Zappos遭到黑客网络攻击，2400万用户的电子邮件和密码等信息被窃取。2013年10月，圆通百万客户信息遭泄露，客户的地址、姓名、手机号码等信息一览无余2014年1月，2000万酒店开房数据泄漏；2014年3月，携程被爆储存用户信用卡支付信息；2014年12月，13万个12306用户信息遭泄露，包括账号、明文密码等；2015年4月，部分社保数据被泄露，涉及13个省市，3000多万参保用户；2016年6月，山东临沂大学新生信息被泄露导致徐玉玉被电信诈骗致死；2017年3月，京东前离职员工盗取超50万用户数据；2017年3月，公安部侦破侵犯个人信息案件1800余起，抓获犯罪嫌疑人4800余名；2017年5月，15家大数据公司被介入调查；2017年6月，《网络安全法》实施以来，已向多家互联网公司开出执法罚单。背景3：个人隐私保护——有法可依：刑法第二百五十三条：“……向他人出售或者提供公民个人信息，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金；情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。”“……在履行职责或者提供服务过程中获得公民个人信息，出售或者提供给他人，依照前款规定从重处罚。

”“……窃取或者以其他方法非法获取公民个人信息的，依照第一款的规定处罚。”“……单位犯前三款罪的，对单位判处罚金，幵对其直接负责主管人员和直接责任人员，依照相应条款规定处罚。”第二百八十六条：“网络服务提供者履行法律、行政法规规定的信息网络安全管理义务，经监管部门责令采取改正措施而拒绝改正，有下列情形之一的，处三年以下有期徒刑、拘役或者管制，幵处或者单处罚金：（一）致使违法信息大量传播的；（二）致使用户信息泄露，造成严重后果的；（三）致使刑事案件证据灭失，情节严重的；（四）有其他严重情节的。单位犯前款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照前款的规定处罚。有前两款行为，同时构成其他犯罪的，依照处罚较重的规定定罪处罚。”背景3：个人隐私保护——有法可依：网络安全法第四十条：网络运营者应当对其收集的用户信息严格保密，并建立健全用户信息保护制。第四十二条：网络运营者不得泄露、篡改、毁损其收集的个人信息；未经被收集者同意，不得向他人提供个人信息。但是，经过处理无法识别特定个人信息且不能复原的除外。网络运营者应当采取技术措施和其他必要措施，确保其收集的个人信息安全，防止信息泄露、毁损、丢失。在发生或者可能发生个人信息泄露、毁损、丢失的情况时，应当立即采取补救措施，按照规定及时告知用户并向有关主管部门报告。第七十四条：违反本法规定，给他人造成损害的，依法承担民事责任。违反本法规定，构成违反治安管理行为的，依法给予治安管理处罚；构成犯罪的，依法追究刑事责任。第七十六条：本法下列用语的含义：个人信息：是指以电子或者其他方式记录的能够单独或者与其他信息结合识别自然人个人身份的各种信息，包括但不限于自然人的姓名、出生日期、身份证件号码、个人生物识别信息、住址、电话号码等。最高人民法院、最高人民检察院关于办理侵犯公民个人信息刑事案件适用法律若干问题解释：第一条：刑法第二百五十三条之一规定的“公民个人信息”,是指以电子或者其他方式记录的能够单独或者与其他信息结合识别特定自然人身份或者反映特定自然人活动情况的各种信息，包括姓名、身份证件号码、通信通讯联系方式、住址、账号密码、财产状况、行踪轨迹等。第三条：向特定人提供公民个人信息，以及通过信息网络或者其他途径发布公民个人信息的，应当认定为刑法第二百五十三条之一规定的“提供公民个人信息”。未经被收集者同意，将合法收集的公民个人信息向他人提供的，属于刑法第二百五十三条之一规定的“提供公民个人信息”，但是经过处理无法识别特定个人且不能复原的除外。第九条：网络服务提供者拒绝履行法律、行政法规规定的信息网络安全管理义务，经监管部门责令采取改正措施而拒绝改正，致使用户的公民个人信息泄露，造成严重后果的，应当依照刑法第二百八十六条之一的规定，以拒不履行信息网络安全管理义务罪定罪处罚。背景3：个人隐私保护——有法可依：两高释法互联网服务提供商——网络实名制现状当前实名制方式面临的问题：1、上传虚假身份信息&照片2、信息留存，多次使用3、办事人员把关不严实名制不严格：170/171号段已沦为诈骗重灾区。在政府三令五申强调手机号码实名制背景下，电信诈骗依旧猖狂，山东临沂女学生徐玉玉学费被骗，导致不幸死亡的事件在持续发酵，诈骗分子使用的171号段手机号码也被社会舆论质疑监管缺失。虚拟运营商实名制方式不恰当：大部分参与电信诈骗的170、171手机号都能找到实名信息，但这些所谓的“实名登记”号码其实在出售前就已经实名绑定了一个身份证，只是登记的这个信息不一定就是实际使用人，这在行内俗称“养卡”。按规定一个身份证最多能办5个手机号，而大多数用户都只会办理使用一个手机号，那么这个真实用户的身份证就可以被网点悄悄地用来“实名登记”4个170或171的手机号。互联网服务提供商——网络实名制现状互联网服务提供商——传统身份证识别、核验方式面临的问题互联网服务提供商——传统身份证识别、核验方式面临的问题解决方案一：身份证云解码方案用户使用NFC的手机代替身份证读卡器，直接读取二代身份证的加密数据，通过加密通道发送给公安部云解码服务系统，对用户的身份证信息进行解码、身份认证等操作，然后将解码后的身份证信息以及身份认证的结果返回给应用系统。互联网服务提供商实名制方案——身份证云解码身份证云解码服务演示：壹证通eID助手APP人证合一服务演示：壹证通eID助手APP身份证加锁服务演示：壹证通eID助手APP业务流程1.业务终端向解码平台请求解码服务，并从解码平台获取身份证解码结果；2.业务终端通知业务平台实名完成；3.业务平台接收来自身份证解码平台的实名认证结果。优势1.集中解码服务，节省投资，同时由于身份信息来自于后台，杜绝了来自业务终端的信息作假！2.实名过后业务平台以存储appeIDcode形式代替存储明文信息，既满足了实名制需求，又保障了用户隐私。身份证云解码方案的优势接入身份证云解码的智能终端，可获得“eID网络身份标识安全登记发行终端”，应用可获得“公安部公民网络身份服务接入证明”。身份证云解码方案的优势身份证云解码成功案例解决方案二：eID远程身份认证服务二代身份证在互联网环境下使用时存在的主要问题：二代身份证明码标识个人隐私信息。二代身份证只有身份识别功能。二代身份证没有使用密码，任何人都可以盗用或假冒。二代身份证只有身份识别功能，只能识别某身份证的所有者是谁，不能证明持有此证的人是该身份证的合法拥有者，即不能进行身份认证……eID（ElectronicIdentity）：公民电子身份标识，以密码技术为基础，以智能安全芯片为载体，由公安部授权，使用“公安部公民网络身份识别系统”签发给公民的电子身份标识，能在不泄露身份信息前提下在线识别个人身份。解决方案二：eID远程身份认证服务eID编码中不包含个人隐私信息；eID具有身份识别、身份认证、身份签名功能；通过手机读取eID信息时必须输入密码，不会被盗用冒用；eID密码存储在eID卡中，验证密码是在eID卡内完成的，不会在网络中传输；eID加载于智能安全芯片载体上（如：金融IC卡、医保卡、社保卡、市民卡、手机SIM卡、第三代身份证等），独立运行和存储，与载体其它功能互不干扰。eID硬件载体eID具有“身份认证”、“身份识别”、“身份签名”功能，在“实名认证”、“防止隐私泄露”、“保护网络账号安全”和“保障网络交易安全”等方面为用户提供安全可靠的服务。身份认证：在互联网应用中，用户如何向服务提供方或相关的第三方证明“你是你”；

身份识别：在互联网应用中，服务提供方或相关的第三方如何识别“你是谁”；身份签名：在互联网应用中，特别是重要的商务活动中，如何表明是你本人“真实意愿”。eID远程身份服务基本功能通信运营商银行eID认证服务提供商

IDSPeID服务运营商IDSO发卡单位壹证通科技金联汇通eID互联网应用AP1eID交通应用AP3eID政务应用AP2eID金融应用AP4eID旅游应用AP6eID酒店应用AP7eID第三方支付应用AP8eID其它应用APneID医疗应用AP9eID物流应用AP5公安部公安部公民身份验证系统公民身份信息库DB（包括基本服务+增值服务）第三代电子身份证eID服务运营体系项目eID网络身份认证二代身份证照片对比认证主要功能身份识别、身份认证、身份签名身份识别认证源公安部“公民网络身份识别系统”以及“公民身份信息库”。“公民身份信息库”或本地信息库认证方式（1）用户通过eID自证（认证我是我），即只有自然人输入eID密码后才能读取eID载体上的eID信息，上传至公安部认证系统，“自证”合法身份，其认证过程由权威性的“公安部公民网络身份识别系统”自动完成。（1）用户通过二代身份证他证（识别你是谁），即任何持有某身份证的人都认证为该身份证本人。自然人手持身份证件拍照，并上传至网络应用系统，由办事人员人工甄别“他证”身份。（2）认证过程不能确认本人意愿。法律效力代表eID主体本人意愿，可追溯，不可抵赖不能确定身份证主体本人意愿

安全性安全性高：安全芯片载体+通过国家密码管理局安全性审查，eID信息加密存储，可有效的杜绝个人信息泄露；eID具有使用密码，能有效防止盗用。安全性低：身份证照片以明文传输与存储，易遭攻击泄漏个人隐私新;存在盗用冒用不能确认代表本人真实意愿。准确性由“公安部公民网络身份识别系统”自动与公民身份信息库比对，100%精准。考虑人为或第三方因素，精准度无法得到保障。时效性秒级实时响应。人工审核，1-5个工作日，时延大且不确定。工作量系统自动处理，无需人工干预，节省用户费用人工审核，工作量巨大，责任大。eID与二代身份证对比eID为互联网应用的身份识别、账户管理、安全登录和交易保护等业务提供低成本、可信任的安全基础服务。具有其它技术不可比拟的优势，可满足公民在个人隐私、网络交易及虚拟财产等多方面的安全保障需求：•权威性：eID基于公安部人口库的审核，由“公安部公民网络身份识别系统”统一签发，可进行跨地域、跨行业的网络身份服务•安全性：eID含有一对由智能安全芯片内部产生的非对称密钥，通过高强度安全机制确保其无法被非法读取、复制、篡改或使用；•普适性：eID不不受载体物理形态的限制，只要载体中的安全智能芯片符合eID载体相关标准即可；eID适用于所有互联网应用;•私密性:eID的唯一性标识采用国家商用密码算法生成，不含任何个人身份信息，有效保护了公民身份信息。eID身份认证服务特点eID技术通过国家权威机构认证与授权eID身份认证服务特点eID身份认证服务产业环境eID远程身份认证服务应用领域eID技术解决了互联网应用环境下用户隐私泄露、身份被盗用、交易抵赖等安全问题。eID在电子政务领域应用场景：目前在电子政务领域，可以直接使用eID进行身份认证的应用场景包括：（1）工商企业网上注册登记与管理服务（2）电子办税服务（3）政府门户网站信息服务（4）政府招投标采购服务（5）政府不动产交易、登记服务（6）社保服务（7）医保服务（8）教育服务（9）就业与指导服务（10）婚姻登记服务(11)消费者权益保护服务（12）出入境与交通旅游服务(13)居住证办理（14）社会救助服务（15）政府大楼来访电子登记服务eID远程身份认证服务应用领域eID在金融领域应用场景：（1）网上银行eIDe盾进行身份认证&银行APP个人身份认证（eIDe盾）

在PC端网上银行业务中，银行一般采用写入了用户身份证书的USB存储介质即“U盾”对用户的身份进行认证、对交易数据进行加密处理，但用户使用上存在许多问题：——U盾不便携带，用户也没有随身携带U盾的习惯，特别是用户不可能随身携带多个银行的U盾；——U盾容易丢失；——电脑上需要安装银行特殊的驱动程序，甚至需要使用特殊版本的浏览器，一般老百姓很难搞定；——只能在电脑上使用，在手机等职能终端上不能使用U盾，不便于客户进行移动支付；——U盾的签发单位属于银行，只能对客户在该银行的一个账号进行身份认证，不能对多个账户更不能对其它银行的账户进行身份认证。（2）eID+银联闪付身份认证（3）eID+小额贷款业务身份认证eID远程身份认证服务应用领域eID在征信领域应用场景

目前国内有八大征信公司（腾讯征信有限公司、芝麻信用管理有限公司、拉卡拉信用管理有限公司、深圳前海征信中心股份有限公司、鹏元征信有限公司、中诚信征信有限公司、中智诚征信有限公司、北京华道征信有限公司）以及各大银行的征信机构面向企业和本银行开展个人征信服务，eID在征信业务中能很好地解决个人身份认证问题。eID在保险领域应用场景

在保险购买、理赔过程中，采用eID技术对相关人员进行身份认证,防止保险诈骗。eID远程身份认证服务应用领域eID在房地产中介领域应用场景

在不动产交易、不动产产权登记、不动产产权查询、房屋交易中介、小区及公共建筑物业管理过程中，可以使用eID技术，对不动产购买人员、出售人员、中介人员等进行身份认证、身份识别与身份签名，防止冒用或盗用他人身份信息在房地产交易、产权查询等业务中弄虚作假，违反国家法律法规，损害他人利益等行为的发生。eID远程身份认证服务应用领域eID远程身份认证服务在通信运营商中的应用eID在通信运营商和虚拟运营商应用场景

在三大运营商以及多个具有虚拟运营资质的的公司中，可以使用eID技术在多种业务中进行身份认证：老用户实名认证新业务实名认证远程发卡实名认证VIP流量经营实名认证eIDSIM卡发卡实名认证企业来访登记实名认证可以作为通信运营商的增值服务，面向企业推广互联网经营者对数据价值产生迷茫：互联网经营者需要关注：承担对个人信息保护的责任；按照规定建立健全用户信息保护制度；在数据流通应用中，获得用户授权，或实现脱敏化处理；完