查看原文
其他

上海 CA 王天华:如何把“钥匙”装进手机 | 浅谈·IFAA 联盟(一)

史中 浅黑科技 2019-06-09

《浅谈》由科技新媒体浅黑科技出品,是对科技企业的深度报道系列。


世界太大,我们自顾不暇。但那些疯狂的试图用科技改变世界的人,或许值得你驻足凝望。


我们会探访那些执着的技术人和科技企业,并试着用简单的笔触书写下他们心中的技术和未来,希望这些真实的解读,可以帮你理解这个世界。


《浅谈·IFAA 联盟》,是对互联网金融身份认证联盟 IFAA 的深度报道,此为第一篇对 IFAA 会员单位 上海 CA 的访谈。


是为《浅谈·IFAA 联盟》的第1篇文章,也是《浅谈》总第5篇文章。



上海 CA 王天华:如何把钥匙装进手机


文 | 史中



今天的文章开始,我先帮你开个脑洞:


你有没有想过,你口袋里的钥匙、压箱底的毕业证、脑子里的密码、登录网银用的 Ukey,在本质上是一种东西。


简单来说,他们的目的都是“证明你是你”。


说严谨点,他们都是“你获得某项权利的凭据”。


为了让你更明白,我啰嗦两个例子:


1、你不会让一个陌生人随便进你的家上你的床(我是说陌生的汉子。。。),所以,你需要你家的大门能够认出你,放行你,同时拒绝其他人。你的钥匙就能完美地做到这一点。


2、一家屌屌的媒体“浅黑科技”只招聘北大的中文系博士。所以,你来应聘的时候,为了证明你符合要求,你会甩出北大的学位证书。有证书在手,不用多废一句话。


说到这里,我要介绍一下今天的主角:“上海 CA”。它并不是像“AC 米兰”一样的球队,而是一家专门做“证书”的企业。全上海的工商、税务、社保、公积金等委办局的业务系统,都在使用他们颁发的“数字证书”对用户进行身份认证。


铺垫了这么多,我猜你已经能够理解:上海 CA 所生产的“证书”,就是电子世界的钥匙。


最近,我见到了上海 CA 研发部部长王天华,聊了聊他眼中的未来身份认证技术。


王天华



一、凡是证明,必有成本。


人们每天要做的身份认证,可能比你想象中要多。


我问你个无厘头的问题:


你和女票约会的时候,看到她从出租车上下来,你们一眼就认出了彼此。为什么你们不互相交换一下身份证来验证下身份呢?


别觉得这个问题不值得回答,它起码说明了两个知识点:


1、人脑具有非常优秀的“人脸识别”机制,你看到对方的一瞬间,大脑已经自动完成了身份验证,且准确率奇高。


2、互相看一下身份证,当然可以避免《白夜追凶》里冒名顶替这类事情发生,但这样做所付出的代价是浪费宝贵的时间和精力,而结果99.99999%会证明你刚才纯靠肉眼的判断没错。所以这种认证从成本和收益的角度看,非常不划算,所以会被别人认为脑子秀逗了。


我举这个例子,是为了说明:凡是证明,必有成本。


这个认知非常重要。


上海 CA 所颁发的“证书”,其实根本目的就是为了降低证明的成本。


一家企业,要经常在税务局的网站上办理业务,但每一次办业务,办事员都要证明自己能代表这家企业。于是,理论上他应该每次都跑到税务局向他们提供公司的营业执照、公章、法人签名介绍信。这简直是灾难。


如果没有“电子证书”,每个用户都要拿着证明材料和各个委办局“单线联系”,就像这样。


王天华告诉我,真实的情况是:企业把自己的全套资料拿到上海 CA 的办事网点,然后上海 CA 的工作人员进行审核,之后给他一个 Ukey(相当于一把钥匙)。这样之后,工作人员再登录税务局网站,就可以把 Ukey 插进电脑,继续操作。它的效果等同于把营业执照神马的给税务局看了一遍,因为上海 CA 是税务局认可的第三方电子认证服务机构。所谓“你办事我放心”。


有了上海 CA 颁发的证书,每个用户就可以集中到它的网点认证啦。


忘记说了,“CA”的意思就是“认证授权机构”(Certificate Authority)。这种由机构授权的模式大大降低了社会活动的“信用成本”,提高了效率。


当然,之所以能提高效率,是因为证书代替了当面验证的过程。如此一来,证书本身的安全性其实是最为重要的。那么证书的安全性是怎么保障的呢?



二、怎样保护证书的安全?


为了举例方便,我刚才一直把 CA 颁发的证书等同于一个U盘一样的东西,但实际上,这是不准确的。


从技术上来讲,为了证明你是你,你只需要拿出某个别人没有的东西就ok了。

什么东西是你有,而别人没有的呢?主流的无外乎三个:


1、你的某个独特记忆

2、你的某个独特物品

3、你的某个独特特征


记忆,物品,特征


独特记忆,主要就是密码,你脑海里那段打死也不说的字符;而独特的物品,一般情况下是指“秘钥”,这串数字极长,符合密码学算法,一般存储在某个硬件里,比如 Ukey;至于独特的特征,一般指你的生物特征,人脸、指纹、虹膜、体态等等。。。


王天华给我科普了下,这三类东西所保证的安全性,其实是不同的。


安全性最差的,要数密码。因为太复杂的密码,人脑根本记不住。而且当人有很多账户密码需要记的时候,他一般会采用简单的密码,或者不同账户重复的密码。这些都有可能造成密码泄露,而一旦泄露,安全性就荡然无存。


安全性较高的,是生物识别。以现在的生物识别技术所提取的指纹或虹膜特征,识别错误率非常低,但生物特征存在一个弊端,那就是不可撤销,从而导致一次泄漏终身泄漏。(你不可能给自己换一张脸)


安全性最高的,是证书。证书的核心是通过密码学的方式算出来的秘钥,要想暴力破解(类似于猜测),以现在的计算机水平,要算到世界末日。


上海 CA 目前最主要的业务之一,就是“法人一证通”,所有公司如果在上海各个委办局办理报税、工商年检、社保、公积金等等业务,就要使用上海 CA 认证平台颁发的证书。


在这种情况下,所有的操作都会产生法律效应,所以这些认证方式都必须符合国家标准。而2005年施行的《电子签名法》,就是保障证书合规性的法律。刚才提到的三种验证方式,只有数字证书可以进行电子签名。


刚才说到,证书的核心就是秘钥,而秘钥就是一串非常长的你根本背不下来的字符。其中私钥由用户自己保管,而与之配对的公钥则可以公布给社会大众。密码学保证,公钥可以验证私钥的正确与否,但是从公钥又没办法推导出私钥。


传统的方式里,私钥被存在这样一种 USB 设备里,就是我们经常用的 Ukey。


所以,把私钥和公钥一配对,立刻就知道你是李逵还是李鬼。这就是证书的工作原理。


上海 CA 是国内第一家专业的“第三方电子认证服务机构”, 每天各个网点超级繁忙,生意火爆。不过,作为研发部长,王天华却不满足,他觉得未来的认证机制应该更人性化。



三、把钥匙装进手机,还能安全吗?


Ukey 这种东西,虽然保证了安全,但它其实挺反人类的。以银行的 Ukey 为例:


你不可能随身带着它,而要用的时候往往不在身边,另外你稍不留神,它就彻底消失在你的生命里,死活都找不到。而且,使用 Ukey 时还要安装一堆“驱动”“控件”之类,还得整天升级,如果你有好多个 Ukey,那更是一场噩梦了。


所以这几年,王天华一直在带领团队把秘钥“塞”进手机。


你可能会问,证书就是一个包含秘钥的文件,把它存在手机里不就得了?


这种说法对,也不对。


秘钥存在手机里,手机自然就变成一个 Ukey,这很容易理解。但是你有米有想过,秘钥要存在手机的什么位置呢?


要知道,手机和 Ukey 最大的不同点在于:手机是可以联网的。只要可以联网,理论上黑客就有可能通过漏洞进入到你的手机,进而找到你的秘钥。如果这件事发生就杯具了。


王天华说,普通的手机内存空间,理论上都不可信。所以他和团队采用了密钥分散存储和运算的技术。简单来说就是:秘钥手机上存一半,服务器上放一半,使用的时候,联合校验。这种方式当然安全性也很高,但是实话实说,和那种封闭的 Ukey 相比较,这样的验证方法毕竟要通过网络传输一段秘钥,用户使用起来,心里会有一点隐隐的压力。


所以,今天的第二个主角——IFAA 联盟——就登场了。


简单说来,IFAA 联盟是一个技术联盟,全称是互联网金融身份认证联盟,发起会员有蚂蚁金服、华为、三星、ARM等等。IFAA 推行的技术标准恰恰可以解决王天华的技术难点,这就是:秘钥存储的位置。


在 IFAA 的标准里,秘钥被存储在一个名为 TrustZone(可信区)的特定区域里。这是一个独立的芯片,和手机其他的内存相互隔离,数据无法被盗取。可以理解为,在手机内部内嵌了一个 Ukey。


在手机里的独立芯片里存储秘钥,相当于和手机的其他功能隔离开,安全性大大提高。


说到这,你可能注意到了两个重要的问题:


1、IFAA 标准可以让证书不出手机,在本地的封闭芯片里就可以进行校验,杜绝了秘钥被盗的风险。


2、IFAA 标准要靠一个联盟来推动,因为里面既涉及到支付系统,又涉及到内嵌芯片,需要软硬件厂商合作。


于是,2017年7月上海 CA 成为了 IFAA 联盟的第一批战略伙伴,利用这套体系完善了自己的手机证书技术。


其实,上海 CA 在过去几年,已经在手机证书上做了不少创新。让王天华引以为豪的一个发明就是,上海 CA 发布的手机 App“移证通”,不仅可以让移动证书完全代替传统 Ukey ,而且还可以让移动证书更好用,两种用法如下:


1、用手机登录某服务时,系统会自动跳转到移动证通,用户只要刷一下指纹,或者刷脸,就能授权访问自己的证书, 从而完成验证。


2、用电脑登录服务时,网页端会显示一个二维码,用“移证通”扫描一下,就可以在手机上授权,相当于把 Ukey 插入了电脑。(据说这个功能是国内首创,适应了纯移动应用之间以及移动+Web 的应用场景)


不知道你有没有发现一个问题。为什么访问手机上的证书,还要验证一下指纹呢?


这也是一个标准的保护模型,同样也是 IFAA 的技术标准之一:秘钥被存在手机上,但是并不是谁拿到手机都可以访问,必须再进行一次验证,证明你是秘钥的主人。


也就是说,秘钥不仅放在手机的安全区域,还被缩进了一个箱子,而这个箱子的密码,就是你的指纹或面部。这就好比你的 Ukey,把它插到电脑上之后,还要输入一个密码才可以使用,是一样的安全效果。


用你的生物特征解锁手机里的证书,然后再用证书验明自己的正身,大概就是这么个过程。


如此一来,上海 CA 的移动证书技术体系就更加完善。对于王天华来说,有了 IFAA 联盟的技术加持,上海 CA 在移动领域的认证系统,就可以完全符合国家标准。在此之上,他有两个设想:


1、移动办公这个场景一定会比想象中更快来临。上海 CA 在移动认证的技术已经准备完毕,未来可以继续开拓全国各委办局的移动端业务。


2、移动认证的场景,可以适应更多的业务类型。未来上海 CA 可以把自己的认证能力输出给其他类型的客户,拓展个人认证业务。


作为计算机专业科班出身的技术人,王天华内心非常清楚:每一个由密码学保证的证书和秘钥,都是一把坚不可摧的锁,它们在你根本不在意的时候,一次次沉默地捍卫着你的隐私和权利。


也正因如此,他才不遗余力地尝试新技术,让数字证书的价值得到更广泛的应用。


每多一个人理解其中的价值,都让他无比高兴。





---



再自我介绍一下吧。我叫史中,是一个倾心故事的科技记者。我的日常是和各路大神聊天。如果想和我做朋友,可以关注微博:史中方枪枪,或者加我微信:shizhongst

不想走丢的话,你也可以关注我的自媒体公众号“浅黑科技”

蓝字查看更多内容


黑客故事


黑客李均歪传

痴人赵武:我还没打算和命运握手言和

草根黑客K0:梦想很贵,但值得一试

“95后”黑客单好奇:再推一把自己

黑客小灰灰:让时间来证明一切

Oscar:我对人生的期望

十年前的黑客哥们,现在可还好?

妖妖灵吗?我是个黑客,我被黑客给黑了

你有勇气和这三个未成年黑客比一比谁更XX吗?借你三个梁静茹


风云观点


Fortinet|苹果资本|双面黑客

美国大断网全纪实

周鸿祎:未来的世界属于怪咖

张溪梦:“增长黑客”的四认知

李鸣雷:我眼中的云安全

“君有漏洞在腠理 不治将恐深

 刘刚:威胁情报和反病毒

王博:认真做人脸识别

“情报薛”:我要做的威胁情报

肖力:时间会把一切还给我们


探索好奇


大数据“读心术”|二维码破解

达摩院 |破解ofo

科幻巨制《天猫双11》

“摸屁股盗刷术”

CCF-IFAA科研基金

神龙云服务器

膨胀的iPhone 8 

揭秘:两张A4纸破解人脸识别

浅黑科技,让技术被读懂

    您可能也对以下帖子感兴趣

    文章有问题?点此查看未经处理的缓存