Lina：“基本硬件”“身份管理”的解释和合规性建议

指南

中国钞票区块链技术研究院参加了《金融分布式账本技术安全规范》（以下简称《安全规范》）的编制工作。本文解释了第13节“基本硬件”和第13节“身份管理”的相关内容，并提出了合规性建议。

丽娜       中国钞票信用卡产业发展有限公司       杭州区块链技术研究院

基本硬件

01 编制背景及依据

基本硬件作为安全系统框架的底层，是确保整个系统安全的基础。由于与传统的IT系统安全要求没有显着差异，因此“安全规范”遵循国家标准“信息安全技术网络安全级别保护的基本要求” GB / T 22239-2019，并认为当前的金融行业标准可以直接应用或修改应用程序的相关要求，形成基本硬件的安全要求。

02 核心要素

物理安全性的核心元素是站点，硬件设备，节点部署和硬件加密设备。网络安全的核心要素是网络体系结构和通信传输。

03 关键解释

在金融领域，涉及基本硬件安全性的行业标准相对成熟。在“安全规范”中，除了满足现有标准的要求外，还必须关注硬件加密设备的安全性。这是因为在服务器端，它承担诸如验证传入通信，在分布式分类帐上进行数据哈希处理，通信通道加密/解密数据，对分布式分类帐本身进行数据加密和解密以及保护通信通道等功能； ，您需要保护私钥（或其他凭据）以防止假冒。第6.2.4条规定，在服务器端，“使用的加密机设备应符合国家密码管理部门发布的GM / T 0045-2016的要求”，而在客户端，则应使用“个人密码设备（如Ukey，加密卡（带有SE或TEE的移动终端等）应符合行业主管部门和国家密码管理部门的要求。”

应当注意，6.2.3节点部署安全（站点安全）和“安全规范”中的第9、16和17节构成了完整节点的安全要求。

04 合规建议

实施财务分布式分类帐标识的基本硬件部分的困难是对硬件加密设备的要求。作为推荐的行业标准，从事金融分布式分类帐系统构建的机构应按照国家信息安全标准和国家密码管理部门的要求实施基本硬件的部署。中国人民银行《金融分布式账本技术应用评价指标》已完成草案，对指标有更具体的要求，可以与后续标准进行比较和匹配。此外，您还应注意计算机房和云部署的物理位置和异构性。

身份管理

01 编制背景及依据

当前，诸如非法收集，披露和滥用个人信息之类的安全问题变得越来越严重。特别是在金融业中，相关机构对个人金融信息的保护面临严峻挑战。个人信息保护的来源是身份管理系统的构建。分布式分类帐技术的出现为身份管理提供了新思路，但是如何使分布式分类帐身份与用户的真实身份相对应是一个重大挑战。 “身份管理”的“安全规范”充分考虑了信息安全CIA的三个要素（机密性，完整性和可用性），并遵循国家标准“信息安全技术个人信息安全规范” GB / T 35273-2017（2020年3月，该标准升级到2020版），以及中国银行业监督管理委员会和中国人民银行的相关文件。

02 核心要素

包括身份定义，帐户管理，凭证生命周期管理，身份认证，节点身份管理，身份信息安全，身份监督审核要求。

03 关键解释

身份管理部分着重于与身份生命周期相关的概念，并避免使用特定的身份管理解决方案。

一种是定义财务分布式分类帐标识，帐户，凭据及其对应关系的计划。将分布式分类账帐户与真实身份相关联，可以确保监督和审核。通过发行合规证书，减少了个人信息的泄露。

身份，帐户和凭据的定义和对应关系在第13.2条“身份定义”中进行了描述。身份凭证的表示方法用于代替传统的CA证书，打破了对实现方案的限制，是未来的一种新身份管理方案。外观和用途奠定了基础。 “身份是指涉及诸如自然人和法人之类的实体的属性的集合。身份可以通过数字方式识别（称为数字身份）。” “帐户是身份的属性的集合”，“一个身份可以对应于多个帐户”，“每个帐户应与一个身份相关联，即身份凭证”，“身份凭证由身份验证后的鉴别者颁发电子凭证，包括但不限于数字证书以及等效的公钥和私钥。”

二是加强门禁控制要求。在注册过程中，如果缺少适当的身份验证程序，将会给系统带来更大的漏洞，则“安全规范”将通过第13.3条“身份注册”和第13.4条“身份验证”系统权限来规范金融分布式分类帐访问的安全性。第13.4条：身份验证的特殊验证：“匿名身份验证可用于具有隐私保护要求的金融分布式分类帐系统，但应遵循“自愿前台和背景真实姓名”的原则。前台使用匿名标识，后台部门应该能够恢复注册实体的实名身份。”

第13.5条“帐户管理”允许系统通过预定义用户级别（通用用户帐户，管理员帐户和其他特定权限）来不同地管理访问权限。通过为普通用户级别预定义访问控制设置，可以降低管理复杂性，并提高金融分布式分类帐的健壮性和安全性。

第三是凭证生命周期管理。第13.6.1条“财务分布式分类账的凭证管理应包括凭证生成，存储，使用，撤销，终止的全过程管理”，“凭证所要求的信息，数据格式以及加密和解密”不同的金融企业应在规则中写明特殊文件以解释“。结合第13.2条中的凭证定义，它提供了CA证书（公钥和私钥对）以外的数字凭证解决方案（例如分布式身份中的可验证凭证）的可能性。

第13.6.4条明确规定：“凭证应由用户和凭证提供者安全地存储”，并要求说明“**存储的目的，方法和位置”这是为了在管理方法上确保个人信息的安全，并结合数字证书数据格式和加密规则的技术手段，以确保凭据信息不会泄漏。

第13.6.5条建议“凭证的转移应由用户发起，对凭证信息的访问应由用户授权”，强调指出用户是身份信息的主体，无论是技术信息还是管理信息透视。

第四，支持身份监督审计。第13.11.1条规定：“在特殊情况下，监管机构无需获得包含以下条件的信息的授权”和其他11项内容。

第13.11.2条规定：“应提供安全审核功能，以访问和修改身份，帐户和凭据，审核记录应包括与审核相关的信息，例如访问日期和时间，用户身份，和数据”

04 合规建议

实现财务分布式分类账的身份管理部分的困难是要弄清身份，帐户和凭证的概念，并且身份管理应满足监管审核的要求。从事金融分布式分类账系统建设的机构应当设计并实现用户真实身份与分类账之间的对应关系，以及凭证的数据内容，结构和加密解密方式。 ，预定义用户级别等基本工作。同时，设计还应充分考虑与2020年2月发布的《个人金融信息保护技术规范》 JR / T 0171-2020以及中国人民银行和中国银行业监督管理委员会的文件的配合。关于个人财务信息的保护。另外，“安全规范”为身份管理解决方案创新留下了可行性。分布式身份是当前讨论最多的解决方案之一。隐私保护和不可否认性，以实现可信数据的安全流动。分布式身份系统依赖于加密技术方案系统。如何利用它并满足强大的财务监管要求是未来研究的重点。

结论

在推广分布式分类帐应用程序的过程中，金融机构面临比其他行业更为严格的要求。 “安全规范”的发布和实施有助于规范金融分布式分类帐的应用，并帮助金融机构根据标准规定的安全要求设计，部署和维护系统。它是现阶段**指导性的“合规手册” “。建议从事分布式账本建设和服务运营的企事业单位比较自己现有的产品或在开发中的产品，以确认符合性和监督。中国人民银行金融分布式账本技术系列的其他部分将陆续介绍。另一个，完善的标准体系将促进金融分布式账本的可持续发展。