美国政府2010年7月发布了新的《网络空间可信身份国家战略（草案）》，旨在建立一个允许用户进行在线交易时创建可信身份的系统。白宫希望能够通过提出一项综合战略更好地保护网络用户并向民众征集建议和帮助。
白宫网络安全负责人Howard Schmidt在其博客里称，这一方案的目标是通过使用特殊ID证明用户身份，保证网络空间交易的安全性，这种ID是一个智能卡或数字证书。数字身份证将在网上交易时由卖家提供给消费者。Schmidt说，《网络空间可信身份国家战略（草案）》最初的草案是由关键政府机构、商业领袖和隐私权提倡者共同制定的，是对奥巴马总统“网络空间政策评估”中一项行动条款的回应。当前网上消费者和企业无不对网上欺诈和身份偷窃感到焦头烂额，管理部门需要一个“身份生态系统”来保证民众互联网交易时的安全，让他们安心。
谈到《网络空间可信身份国家战略（草案）》提出数字ID的初衷时，Schmidt阐述了许多具体的好处。有了智能身份证，办理在线服务时就无需反复更改用户名和密码，或者至少可以减少这种麻烦。这样的ID系统也可以让人们自行选择和控制在多大程度上披露自己的个人信息用于在线认证。几年前，人们就提出同时使用在线和离线身份证并且开始讨论这一问题。这种身份证已经在欧洲逐步投入使用，但是美国还一直持谨慎态度。拥护者主张数字身份证能更好地保护公民身份，但是反对者担心数字身份证将给政府监控公民带来便利。
美国国土安全部（DHS）还推出了一个网站来征求民众对《网络空间可信身份国家战略（草案）》的建议和反馈，截止日期为2010年7月19日。政府将在线收集民众的意见，预计在2010年秋天完成该战略草案的定稿。
美国：将启动网络身份证计划编辑本段回目录
近期,在美国总统奥巴马的推动下,作为国家网络安全战略重要组成部分,美国商务部将启动网络身份证战略。2011年1月7日,美国商务部部长骆家辉在斯坦福大学经济政策研究院表示,美政府将通过推出网络身份证,构建一个网络生态系统。
奥巴马提出的网络身份证国家战略,也称“网络空间可信身份标识国家战略”(NSTIC)。自互联网问世以来,由于网络空间存在的虚拟性和自由性,它在提供极度自由性的同时,也使得网络诚信存在巨大漏洞。在网络空间,全球一直没有可靠、公认和通用的身份识别技术。由于没有真实可靠的身份认证,互联网本身应有的巨大社会和经济价值难以全部得到发挥,黑客入侵和网络欺诈屡见不鲜。
随着互联网在全球的普及以及经济全球化、网络化的深入,网络身份证不可避免地被提到议事日程上来。美国提出的“网络空间可信身份标识国家战略”最早于2010年6月25日由白宫公布于世。其主要内容如下:
——网络空间是一个国家关键基础设施的重要组成部分。安全的网络空间对于国家经济健康和安全至关重要,随着网上欺诈、身份窃取和在线信息滥用情况的快速增多,联邦政府必须加以应对。
——减少网上欺诈和身份盗取关键是提高网络空间身份标识信任等级,参与交易各方高度确信他们是在与已知的实体交互,这非常重要。假冒网站、窃取密码和破解登陆账户,是不可信赖的网络环境的共同特征。本战略旨在寻求有效方式,提高在线交易中所涉及的个人、组织、服务和设备的身份标识的可信度,其目标是以增进信任、保护隐私和创新的方式,推动个人和组织在网络上使用安全、高效、易用的身份标识解决方案。
——本战略定义和倡导支持可信网上环境的身份标识生态系统。同时,身份标识生态系统能够保证其安全性、方便性、公平性、创新性,身份标识证书和设备将由采用互操作平台的供应商提供。
——隐私保护和自愿参与将是身份标识生态系统的支柱,身份标识生态系统通过只共享完成交易的必要信息,来保护匿名参与方。例如,身份标识生态系统允许个人身份只提供年龄信息而不泄露出生日期、姓名、地址或其他识别信息,支持对参与者身份标识进行确认的交易。通过更强大的访问控制技术,减少非授权访问利用其信息的风险。
——身份标识生态系统的另一支柱是互操作性,这一系统利用强大的互操作技术和流程,在参与者之间建立合理的信任水平。互操作性支持身份标识可移植性,并使身份标识生态系统中的服务提供者可接受各种证书类型和身份标识媒介类型,这一系统不依赖于政府作为唯一身份标识提供者。
——互操作性和隐私保护相结合,建立用户为中心的身份标识生态系统。允许个人选择适合交易的互操作证书,并通过建立和采纳隐私强化政策和标准,个人有能力仅发送完成交易所需信息。此外,这些标准将禁止把个人的交易和证书使用与服务供应商挂钩。个人将更有保障地与合适交易方交换信息,安全地发送这些信息。
美国这一国家战略提出,为实现身份标识生态系统,将确定以下四项主要具体目标:建立一个综合的身份标识生态系统框架;建立可互操作的身份标识基础设施;增强用户信心和参与身份标识生态系统的意愿;确保身份标识生态系统的长远成功。
推动和建立本国以及国际间的网络身份证战略,藏有巨大商机,具有重要的社会价值和经济价值,这将是信息高速公路建设后,涉及全球的巨大信息技术工程。奥巴马一心想通过这一战略,再次引领世界经济新潮流,占领未来全球经济的制高点,恢复美国经济。
美国可信网络空间身份标识国家战略（NSTIC）编辑本段回目录
本文来自美国白宫的NSTIC（DRAFT National Strategy for Trusted Identities in Cyberspace）报告的执行总纲（Executive Summary）。
网络空间——由信息技术组件构成的支撑许多沟通方式的相互依存的网络——是一个国家关键基础设施的重要组成部分。我们利用网络空间交流信息、购买销售产品和服务、促进广泛部门的大量在线交易，无论是在国内还是国际。因此，一个安全的网络空间对我们国家的经济健康和安全是至关重要的。特别是，联邦政府必须面对最近网上欺诈、身份窃取和在线信息滥用的惊人增长。
减少网上欺诈和身份盗取的关键一步是提高网络空间中身份标识的信任等级。虽然本战略承认匿名性对许多网上交易的价值（例如，张贴博客），但对其他类型的交易（如网上银行或访问电子健康记录），参与交易的各方高度确信他们是在与已知的实体交互，这一点是非常重要。假冒网站、窃取密码和破解登录帐户是一个不可信赖的计算环境中的共同特征。本战略旨在寻求有效方式，提高一定类型的在线交易中所涉及的个人、组织、服务和设备的身份标识的可信度。本战略的目标是：以促进信任、隐私、选择和创新的方式，推动个人和组织使用安全、高效、易用和互操作的身份标识解决方案访问在线服务。
更具体地说，本战略定义和倡导一种支持可信网上环境的身份标识生态系统（Identity Ecosystem）。身份标识生态系统是一个在线环境，其中的个人、组织、服务和设备可以相互信赖，因为有权威源建立和认证它们的数字身份。身份标识生态系统能够保证：
• 安全性，使对手更难以破坏的网上交易；
• 由方便带来效率，个人可以选择不用像今天一样管理众多的密码或账号；对私营部门，也能从中受益，减少基于纸面的管理流程和帐号管理流程；
• 易用性，尽可能使用自动化身份标识解决方案，立足于操作简便、需要最少培训的技术;
• 用户信心，数字身份得到充分的保护，从而提高使用互联网作为各类网上交易的平台;
• 个人隐私，他们信赖他们的数据被负责任地处理，他们会被经常告知谁在收集他们的数据以及用途情况;
• 更多的选择，身份标识证书和设备是由采用可互操作平台的供应商提供的;及
• 创新的机会，服务提供商开发或扩大所提供的网上服务，尤其是那些具备固有高风险的服务;
隐私保护和自愿参与是身份标识生态系统的支柱。身份标识生态系统通过只共享完成交易的必要信息来保护匿名参与方。例如，身份标识生态系统允许个人身份提供年龄信息而不泄露出生日期、姓名、地址或其他识别信息。在交易的另一端，身份标识生态系统支持对参与者身份标识进行强确认的交易。通过更强大的访问控制技术，身份标识生态系统减少了非授权的访问利用信息的风险。最后，对身份标识生态系统的参与对组织和个人都是自愿的。
身份标识生态系统的另一个支柱是互操作性。身份标识生态系统利用强大的互操作技术和流程，在参与者之间建立合理的信任水平。互操作性支持身份标识可移植性和使身份标识生态系统中的服务提供者可接受各种证书类型和身份标识媒介类型。身份标识生态系统不依赖于政府作为唯一身份标识提供者。相反地，互操作性保证各种公共和私营部门身份标识提供者参与身份标识生态系统。
互操作性和隐私保护相结合，建立了一个用户为中心的身份标识生态系统。用户中心性将允许个人选择适合交易的互操作证书。通过建立和采纳隐私强化政策和标准，个人有能力仅发送完成交易所需的信息，除非他们选择不那样做。此外，这些标准将禁止将个人的交易和证书使用与服务供应商挂钩的做法。个人将更有信心，他们与合适交易方交换信息，安全地发送这些信息，并使个人信息得到采用隐私最佳实践方法的保护。
为了实现身份标识生态系统的远景，对可信网络空间身份标识国家战略（NSTIC）确定了以下目标：
目标1：建立一个综合的身份标识生态系统框架
目标2：建立和实现一个可互操作的身份标识基础设施，与身份标识生态系统框架一致
目标3：增强信心和参与身份标识生态系统的意愿
目标4：确保身份标识生态系统的长远成功.
前两个目标重点在设计和建立必要的治理架构、政策、标准和基础设施，保证网上服务的安全提供。第三个目标针对的是必要的隐私保护，鼓励个人和企业开展所需的教育和培养相关的意识。第四个目标重点是建立机制，促进随着时间推移身份标识生态系统持续的发展和改进。
与对这些目标和远景相一致的是9项高优先级的行动。这些行动奠定身份标识生态系统实现的基础。这些行动包括：
行动1：指定一个联邦机构，领导公共/私营部门与实现本战略目标有关的努力
行动2：制定一个共享、综合的公共/私营部门实施计划
行动3：加快与身份标识生态系统相符的联邦服务、试点系统和政策进展
行动4：公共/私营部门配合以实现增强的隐私保护
行动5：协调风险模型和互操作性标准的开发与精细化
行动6：解决服务提供商和个人的责任担忧
行动7：在所有利益相关者中开展推广和意识培养活动
行动8：继续国际努力中的合作
行动9：发现其他方式推动整个国家采用身份标识生态系统
上述行动的实施要求联邦政府继续提供领导、协调和协作，以提高数字身份标识的安全性。为了领导这些行动协调的日常工作，总统行政办公室（EOP）将在联邦政府内指定一个牵头机构。EOP内的网络安全协调员办公室将继续领导该行动计划确定的机构间政策的制定。牵头机构将与网络安全协调员办公室紧密合作。
本战略是对行动的号召，从联邦政府开始，继续作为设想中的身份标识生态系统主要推动者、最先采用者与主要支持者。联邦政府必须不断地与私营部门、州、地方、郡以及各国政府合作，提供必要的领导和激励使身份标识生态系统的成为现实。反过来，私营部门对本战略的执行也是至关重要的。通过在网络空间进行日常网上交易，个人将会认识身份标识生态系统带来相关的好处。国家的成功将需要各方的共同努力，以及对确定的活动联合所有权和责任感。
“网络空间可信身份国家战略”的启示编辑本段回目录
NSTIC是对2009年发布的《网络空间安全评估报告》（以下简称《评估报告》）的响应。2009年5月，奥巴马政府发布了《评估报告》，突出强调了网络空间的战略地位，指出美国当前网络安全形势严峻，为此设定了网络安全近期和中期行动计划，其中近期计划第10项和中期计划第13项明确，要建立基于网络安全的身份管理战略，保障隐私与公民自由。NSTIC正是落实近中期行动计划的一项战略措施，其出台具体背景是：美国网络安全形势严峻，网络身份管理重要性日益凸显；HSPD-12实施效果明显，有必要将网络身份管理从联邦政府推广至整个网络空间；欧盟、韩国等国家和地区加快在信息网络中引入和部署身份管理。
二、NSTIC的主要内容
NSTIC旨在通过政府推动和产业界努力，建立一个以用户为中心的身份生态体系。在该体系环境下个人和组织遵循协商一致的标准和流程来鉴别和认证数字身份，从而实现相互信任。NSTIC共八章，核心内容包括指导原则、前景构想、身份生态体系构成、任务目标和行动实施。首先，NSTIC明确身份生态体系必须遵循四个原则，即身份解决方案应当是增强隐私的并且由公众自愿应用；身份解决方案应当是安全、可扩展的；身份解决方案应当是互操作的；身份解决方案应当是高效且易于应用的。其次，NSTIC前景构想反映了一种以用户为中心的身份生态体系，即个人和组织可利用安全、高效、易用和具备互操作的身份解决方案，在一种信心提高、隐私增强、选择增多和创新活跃的环境下获得在线服务。再次，NSTIC提出身份生态体系由参与者、策略、流程和相关技术构成。此外，为确保身份生态体系的建立，NSTIC明确了四项任务和目标，并确定了身份生态体系实施各方职责和进度计划。
三、NSTIC的战略意图
NSTIC是在美国网络安全战略发生重大转变背景下提出的，是美国网络安全战略的重要构成。作为美国首个网络空间身份管理战略，其战略意图十分明显：第一，积极应对网络安全威胁，增强网络防御并建立网络威慑；第二，保持美国在网络空间的技术优势，增强对网络空间的掌控；第三，为获取用户信息提供合法渠道，实现美国对网上身份、行为的更好管控；第四，繁荣网络经济，巩固美国全球经济霸权地位。
身份管理关系到未来网络基础设施，它同时涉及到技术、社会、法律、国家政策等多方面因素，欧美等发达国家对网络空间身份管理高度重视，各国都希望充分发挥自己在此领域的主导作用。美国NSTIC出台，对我国网络安全工作具有诸多启示：
第一，尽快制定我国网络空间可信身份国家政策。随着我国经济社会活动对网络依赖性增强，各行业对网络空间可信身份都提出了需求，如网上购物、网上银行、网上社保等，身份管理成为确保网络空间繁荣和健康发展的关键。未来身份管理将更加重要，美国、欧盟等都在加强身份管理技术研发和部署，已经形成较强的技术优势；对我国而言，如果不及时加以部署和研发，将很可能丧失在未来网络中的话语权。为此，必须将可信身份上升到国家战略高度，出台相关政策措施，整合各类资源，建立政府主导、市场主体的推动机制，促进网络空间身份管理的发展。
第二，支持网络空间身份管理技术研发和应用示范。目前美欧在身份管理技术和产品研发方面具有优势，我国在此方面还处于跟随阶段，缺乏相关的实施和尝试。鉴于身份管理的基础性和重要性，建议政府通过科技支撑计划等，支持研究机构、企业等开展相关技术研究和产品研发，支持建设应用示范系统，着力推进在电子政务、电子商务等方面的应用示范，探讨解决不同身份管理系统之间互联互通问题，在技术成熟时可以建立国家性身份管理平台，确保关系国家民生的关键身份信息把握在国家而不是国外企业手中。
第三，积极参与国际标准制定，掌握话语权。身份管理关系到未来网络架构，美国、欧盟等发达国家都在争夺技术、标准方面话语权，目前有大量组织也在对身份管理标准进行研究，如自由联盟、OpenID、OASIS、W3C、ITU-T、ETSI、3GPP、ATIS和IETF等，但还没有形成统一标准。建议我国统筹协调研究、产业等各方面资源，有计划开展身份管理系列化标准研究工作，同时组织国内力量积极向国际组织提交议案，争取设立由我国主导的研究议题，增强我国在身份管理标准化工作中的话语权与主导权。
第四，加强网络用户隐私信息保护。网络空间用户相关信息被收集，会产生一系列问题，包括这些信息应该存储在哪里，所有权应当归属于谁，谁有权利控制、使用这些信息，谁应当对用户信息的使用承担责任等等。这些问题直接涉及到广大用户的个人权益。当前，网络上个人信息泄密现象非常严重，用户隐私信息面临着威胁。因此，有必要加强网络空间用户隐私保护，出台相关的法律法规和标准规范，对用户隐私信息收集、使用、以及泄露应当承担的法律责任等内容予以明确和规范。
参考文献编辑本段回目录
http://www.nist.gov/nstic/
