从法律、法规角度来讲，电子认证服务已经有了初步的框架。然而，从技术、管理等方面的标准化来看，还有比较大的差距，相关标准还无法有效支撑《电子签名法》的有效实施。为此，本文从法律、法规分析入手，结合其他具体情况给出标准体系的需求和标准体系框架，依照标准体系框架对标准体系进行描述，给出了当前继续完成的任务，最后对全文进行了总结。
概述
1.国内现状
上个世纪90年代，电子商务蓬勃兴起，市场迫切需要通过必要的政策法规和技术措施来确保电子商务有关经济活动的合法性和规避风险的安全性。至2004年6月，全球网站超过5160万个，而我国也有数百万经济实体通过电子商务开展业务，千万企业希望通过电子商务拓展国内外两个市场。上亿人有上网购物的想法。据iResearch调查，2004年我国的电子商务市场达到3200亿元。电子商务的快速发展推动了对电子签名的需求，因为其迫切需要在网络这一虚拟环境中确认商业往来对方的可靠性和可信程度，需要电子合同能够拥有和纸质合同一样的法律地位。而这些不仅需要电子签名技术的强力支持，还需要法律确认电子签名的法律效力。与此有类似需求的还有电子政务，中国电子政务工程正式启动于1993年的“三金工程”，至2002年进入到全面发展时期，它同样需要确认文件的来源，并承认电子签名的合法性。
无论是电子商务还是电子政务都需要一个安全网络环境和运行环境，两者共同指向了电子认证服务基础设施。目前，我国已经建立了上百家电子认证中心对外提供电子认证服务。他们都采用了PKI技术体系，而在国际上PKI也是目前当之无愧的主流电子认证服务基础设施。目前，国内PKI的科研和产品方面都形成了重大突破，已经具备了自主知识产权的PKI系统，其中商用密码产品生产定点单位可以提供多款电子认证产品，供电子认证服务企业使用。
电子认证技术并不局限在基于公钥技术的PKI体系。其他包括基于生物特征技术、基于身份的技术等领域正在迅速发展，它们同样可以用于电子认证服务。然而，目前从技术成熟度、公众认可程度和国际认可程度来讲，新技术与PKI比较还有非常大的差距。所以在立法和标准体系制定过程中都需要考虑开放性和技术的实际应用问题。
《电子签名法》颁布之前，中国电子认证服务业属于长期无统一主管部门、无行业标准、无管理办法的“三无”行业。在行业发展初期，国内政府委办、行业、大企业群雄并起，建设了大量数字证书服务机构，导致目前有上百家良莠不齐的数字证书服务机构。中国电子认证服务机构的建设缺乏国家统一指导和规范，缺乏统一的、实质性的组织协调与管理。由于国内电子认证建设没有总体规划，全国各行业各地区已经建有100多家电子认证中心，整个行业整体处于一种混乱发展的状态。
2004年8月28日，十届全国人大常委会第十一次会议表决通过了《电子签名法》，该法律在2005年4月1日起正式施行。《电子签名法》明确了电子认证服务机构的主管部门，并要求国家信息化主管部门依照该法制定电子认证服务业的具体管理办法，对电子认证服务提供者依法实施监督管理。《电子签名法》对电子认证服务机构进行市场准入制度，目前100多家电子认证中心如何重新获得服务资格成为大家关心的焦点。
与《电子签名法》相配套，同样于2005年4月1日实施的还有《电子认证服务管理办法》和《电子认证服务密码管理办法》。《电子认证服务管理办法》是国家法律特别授权制定的，是与《电子签名法》配套同步实施，具有重要法律效力和作用。《电子认证服务密码管理办法》有国家密码管理局根据《电子签名法》和《商用密码管理条例》制定，用来电子认证服务提供者使用密码的行为实施监督管理。
为配合两个管理办法的实施，信息产业部电子认证服务管理办公室制定了《电子认证业务规则规范》，国家密码管理局制定了《证书认证系统密码及相关安全技术规范》。前者用来规范电子认证业务规则的基本框架、主要内容和编写格式，后者用来规范证书认证服务系统的需求、设计、检测、运行管理和互操作。
综合以上法律法规和相关规范，可以说我国已经初步具备对基于PKI技术的电子认证服务进行监督和管理的法律框架和一定的技术实施基础。然而，我们同时也要认识到电子认证服务行业的标准体系还远不完善。标准体系一方面保证产品的互操作和质量，另一方面用来保证电子认证服务的质量。
当前与电子认证服务行业相关的标准化工作并非由行业本身推动，而是主要由安标委组织相关部门、产品公司与科研单位进行。在安标委的推动下，相关的标准已经初具规模，包括PKI系列标准、密码技术标准、物理环境安全标准等。然而，从电子认证服务的技术和管理来讲，这些标准还不成体系，需要进行大量的标准定制和开发工作。与国外相比，需要配套的标准和规范严重滞后。
长期以来，我国电子认证服务业的建设和运营一直都缺少统一的标准和规范，严重影响了中国电子认证服务行业的发展。目前国内的电子认证服务机构颁发数字证书时所采用的标准和规范都不一样，证书的发放和运用范围、审核方式也不尽相同，所涉及到的信息保存及披露更是有较大的差别。《电子签名法》等法律法规的出台为行业的管理奠定了法律基础，为了支持签名法的实施，客观上需要一个完善的标准体系对电子认证服务业进行技术和管理上的规范。
2.标准体系的意义
一个完善的电子认证服务标准体系对于整个行业的意义是多方面的，包括行业管理、技术互操作、公众的认可、人才培养和国际化等等。此外，它对于相关行业的发展也异常重要，如电子认证服务相关产品和设备生产厂商、电子商务、电子政务、信息安全服务等。
首先，电子认证服务标准体系有助于政府职能部门进行行业的管理。标准能够帮助职能部门确定行业准入的技术条件，确定对电子认证服务提供者进行监督管理的条件和技术措施。
其次，电子认证服务标准体系有助于解决相关技术的互操作问题。互操作问题包括几个方面，包括电子认证服务间的互操作、签名验证设备与电子认证服务间的互操作、电子认证相关服务产品的兼容问题、相关设备产品的测评问题以及应用开发的通用接口问题。
第三，电子认证服务标准体系有助于提高公众对服务提供者的认可。标准为衡量电子认证服务提供者的技术和服务提供了度量的准则。同时也为用户搭建了对电子认证服务的操作和理解的总体框架。
第四，电子认证服务标准体系有助于专业人才的培养。众所周知，电子认证服务本身有一个极为复杂的技术体系，标准化能够将所需的技术基础最小化。同时，它也保证规范化的人才培养，从而实现人才的通用性。
第五，电子认证服务标准体系有助于行业的国际化发展。经济全球化是当前一个重要发展潮流，电子商务等业务领域的国际化发展迫切需要底层的电子认证技术的互操作。此外，相关国际化标准可以帮助电子认证相关产品拓展国际市场。
第六，电子认证服务标准体系有助于推动其他相关产业的发展。电子认证服务标准体系能够辅助相关产品提供商进行产品的开发和检测。同时相关业务的标准化将有利于电子商务、电子政务等应用行业提高安全水平和互操作能力。
总之，电子认证服务标准体系问题严重束缚行业自身乃至电子商务、电子政务等应用领域发展，解决该问题时不我待。
3.国外情况
目前，已经有60多个国家和地区进行了电子签名立法，相关的标准体系建设也在迅速推进。本文中不准备全面罗列各个国家的发展，只是选取具有美国和欧盟这两个有代表性国家和地区共同体作为参照。选取美国是因为它最早对电子签名立法，并且信息技术最为发达。而欧洲一方面信息技术非常发达，更重要的是它在电子签名标准体系建设工作非常出色，有很大的参考价值。
(一)欧盟
欧盟委员会1997年4月提出著名的《欧洲电子商务行动方案》(European Initiative in E-commerce)。随着电子商务的发展，为了在欧洲的层面上制定一个统一的电子签名法律框架，克服各国对互联网市场规制上出现的互不协调局面，并与国际上各国的行动保持同步，欧盟委员会于1999年12月13日制定了《关于建立电子签名共同法律框架的指令》(以下简称《指令》)。其主要目标是：①推动电子签名的使用，促进法律承认；②协调成员国之间的规范；③提高人们对电子签名的信心；④创设一种弹性的、与国际的行动规则相容的、具有竞争性的跨境电子交易环境。《指令》提出一个涉及电子签名和“认证服务商”(CSPs)的法律框架。它依据交易的敏感度的不同，将电子签名依其安全水平的高低分为“基本电子签名”(the basic signature)和“高级电子签名”(the advanced signature)，前者适用于低水平交易，后者用于需要较高安全水平的交易。《指令》没有提出具体的技术导向，但偏向于采用数字签名。
欧洲电子签名标准化组织(European Electronic Signature Standardization Initiative，EESSI)于1999年成立，由ICTSB(Information & Communication Technologies Standards Board)牵头，欧洲几个信息安全标准组织共同组成，主要工作致力于国际间电子认证政策和相关标准的整合，建立支持安全电子签名法律的技术标准体系。具体标准化工作由CEN/ISSS(the Information Society Standardisation System of the European Committee for Standardisation)E-sign工作组和ETSI TC SEC/ESI(the European Telecommunication Standards Institute TC，Electronic Signatures and Infrastructures)来执行。其中，E-sign工作组主要负责系统安全评估、符合性检测，ETSI TC SEC/ESI主要负责互操作标准、签名策略、证书策略和功能规范的制定。E-sign工作组已于2003年关闭，EESSI也在2004年关闭。目前，ETSI TC SEC/ESI负责维持现有标准集并负责开发新标准。相关的协调工作由ICTSB的NISSG(Network and Information Security Steering Group)负责。
(二)美国
美国的电子签名立法起步较早，《犹它州电子交易法》(UETA)是涉及电子签名的第一个立法，并被奉为二十多个州的示范法。1997年在统一商法典中增加了两章：电子合同法和计算机信息交易法，1998年做出进一步的修改。2000年10月美国国会通过《全球和国内商业法中的电子签名法案》(以下简称《法案》)，并由总统克林顿以电子方式签署为法律。它是一项重要的电子商务立法，其突出特点是，采纳了“最低限度”模式来推动电子签名的使用，不规定使用某一特定技术。
美国在信息技术的研究和应用方面在全世界处于领先地位，然而在电子签名标准建设方面却没有专门的体系。这一方面是因为《法案》不倾向于任何特定的技术，另一方面就是PKI技术在美国电子政务方面应用较早，相关标准化工作已有一定的基础，其中很多标准化工作在《法案》之前已经在进行。虽然有不同的技术体系，但在美国基于PKI的数字签名仍然占据主导地位。PKI相关标准化工作有多个方面。美国国家技术标准局(NIST)发布的FIPS系列和SP系列。RSA安全公司虽然不是标准化组织，但该公司开发的PKCS系列规范影响却非常之大。此外，美国法律协会(American Bar Association)发布的数字签名指南(Digital Signature Guideline，DSG)和PKI评估指南(PKI Assessment Guideline)在PKI和数字签名方面都有很大的影响力。
签名法及相关法规解读
2005年4月1日起正式施行。《电子签名法》正式实施，同时实施的还包括信息产业部的《电子认证服务管理办法》和国家密码管理局的《电子认证服务密码管理办法》。结合以前颁布的一些法规条例，电子签名的法律框架已经形成。本节中，我们对相关法律、法规进行分析，主要关注标准方面，以获得直接的标准需求，并对电子签名服务的核心概念进行分析。
1.中华人民共和国电子签名法
《电子签名法》是我国信息化领域里的第一部法律，它采取了“技术中立”的立法原则，只规定了作为安全可靠的电子签名所应达到的标准，对于采用何种技术手段法律不做规定。这部《电子签名法》重点解决了五个方面的问题：确立了电子签名的法律效力；规范了电子签名行为；明确了认证机构的法律地位及认证程序；规定了电子签名的安全保障措施；明确了电子认证服务行政许可的实施机关。下面我们对法律条文进行标准相关的分析。
“第二条 本法所称电子签名，是指数据电文中以电子形式所含、所附用于识别签名人身份并表明签名人认可其中内容的数据。”
上述电子签名定义给出了电子签名的三个特征：①数据电文中数据；②能够识别签名人身份；③表明签名人对数据电文内容的认可。
“第八条 审查数据电文作为证据的真实性，应当考虑以下因素：(一)生成、储存或者传递数据电文方法的可靠性；(二)保持内容完整性方法的可靠性；(三)用以鉴别发件人方法的可靠性；(四)其他相关因素。”
考虑数字电文真实性的考虑因素中引出了数字电文格式、安全传输、可靠存储和完整性保护机制问题。
“第十一条 数据电文进入发件人控制之外的某个信息系统的时间，视为该数据电文的发送时间。”
发送时间对于一些业务的数据电文异常重要，在这种情况下可信时间戳服务能够帮助法律实施中发送时间的确定。
“第十三条 电子签名同时符合下列条件的，视为可靠的电子签名：(一)电子签名制作数据用于电子签名时，属于电子签名人专有；(二)签署时电子签名制作数据仅由电子签名人控制；(三)签署后对电子签名的任何改动能够被发现；(四)签署后对数据电文内容和形式的任何改动能够被发现。”
可靠电子签名是法律中的核心概念，这里给出了判定的四个条件。由于立法采用了技术中立的原则，所以没有规定特定的签名技术是可靠的电子签名。因此，法律就不再有可实施性，需要相应的解释和实施细则进行技术特定化处理。实际上，这里还是能够发现数字签名的影子。此外，特定的技术体系满足一定的环境和管理要求后才能认定其生成的签名是可靠的电子签名。
“第十四条 可靠的电子签名与手写签名或者盖章具有同等的法律效力。”
这里直接给可靠的电子签名以法律地位，导致可靠电子签名的解释比较吃力。因为，电子签名背后蕴含电子签名技术、相应电子签名产品及其管理。并非所有电子签名技术都能够生成可靠的电子签名。同时，能够生成可靠电子签名的技术生成的就是可靠的电子签名，相应的产品必须达到某种要求，并且满足特定的配置和管理要求。在后面概念辨析部分，本文将详细分析可靠电子签名的概念。
“第十七条 提供电子认证服务，应当具备下列条件：(一)具有与提供电子认证服务相适应的专业技术人员和管理人员；(二)具有与提供电子认证服务相适应的资金和经营场所；(三)具有符合国家安全标准的技术和设备；(四)具有国家密码管理机构同意使用密码的证明文件；(五)法律、行政法规规定的其他条件。”
第三款要求实施和管理规则中需要解释适用标准的问题，也是今天讨论的核心问题之一，可能评估标准还会引入相应的认证认可机构。第四款的要求则给出了《电子认证服务密码管理办法》的法律依据。
“第十九条 电子认证服务提供者应当制定、公布符合国家有关规定的电子认证业务规则，并向国务院信息产业主管部门备案。
电子认证业务规则应当包括责任范围、作业操作规范、信息安全保障措施等事项。”
引出了电子认证业务规则规范。另外，还有安全管理问题，涉及到安全管理标准和电子认证服务安全管理规范问题。
“第二十一条 电子认证服务提供者签发的电子签名认证证书应当准确无误，并应当载明下列内容：(一)电子认证服务提供者名称；……”
引出电子签名证书格式的问题。
“第二十四条 电子认证服务提供者应当妥善保存与认证相关的信息，信息保存期限至少为电子签名认证证书失效后五年。”
引出电子签名证书等信息的安全归档问题。
“第二十六条 经国务院信息产业主管部门根据有关协议或者对等原则核准后，中华人民共和国境外的电子认证服务提供者在境外签发的电子签名认证证书与依照本法设立的电子认证服务提供者签发的电子签名认证证书具有同等的法律效力。”
引出标准国际化的问题。
“第二十八条 电子签名人或者电子签名依赖方因依据电子认证服务提供者提供的电子签名认证服务从事民事活动遭受损失，电子认证服务提供者不能证明自己无过错的，承担赔偿责任。”
证据保存对于服务方异常重要，需要考虑证据保存标准。
除此之外，《电子签名法》还有两个方面的不足。一方面，没有考虑签名生成和验证过程的问题，而设备和服务提供者整体构成一个安全的系统，为此需要考虑在引入管理办法约束可靠的签名生成设备和验证过程以及相关的技术和评估标准。另一方面，对电子认证服务未加区分，未确定电子认证服务与可靠电子签名间的关系。换句话说，就是一般性的电子认证服务和赋予法律效力的电子签名认证服务应有区别，应该在实施细则中给出电子认证服务与可靠电子签名的关联办法，并对给出对提供可靠电子签名的服务提供者的技术和管理要求。
2.电子认证服务管理办法
与《电子签名法》相配套，同样于2005年4月1日实施的还有《电子认证服务管理办法》(以下简称《管理办法》)。本着立足依法行政、采取“技术中立”、考虑国际接轨、严格职权界限、限定管理范畴、统一规范用语、留有发展空间、实现平稳过渡八项原则，《管理办法》以电子认证服务机构为主线，围绕电子服务行为规范等方面的内容做出了明确规定，而其他问题暂时不予涉及，目的是为了尽快出台，以保证《电子签名法》的顺利施行。下面我们对法律条文进行标准相关的分析。
“第二条 本办法所称电子认证服务，是指为电子签名相关各方提供真实性、可靠性验证的公众服务活动。
本办法所称电子认证服务提供者，是指为电子签名人和电子签名依赖方提供电子认证服务的第三方机构(以下称为“电子认证服务机构”)。”
给出了技术中立的电子认证服务的定义。
“第五条 电子认证服务机构，应当具备下列条件：……(五)具有符合国家有关安全标准的技术和设备；(六)具有国家密码管理机构同意使用密码的证明文件；……”
由于采用了技术中立的思路，所以无法对其中的第五款进行解释。
“第六条 申请电子认证服务许可的，应当向信息产业部提交下列材料：……(四)国家有关认证检测机构出具的技术设备、物理环境符合国家有关安全标准的凭证；(五)国家密码管理机构同意使用密码的证明文件。……”
第四款明确了电子认证服务相关的技术设备和物理环境需要经过特定的检测。第五条则要求对密码的使用获得国家密码管理局的证明文件，受到《电子认证服务密码管理办法》的约束。
“第十五条 电子认证服务机构应当按照信息产业部公布的《电子认证业务规则规范》的要求，制定本机构的电子认证业务规则，并在提供电子认证服务前予以公布，向信息产业部备案。”
进一步引出《电子认证业务规则规范》。
“第十七条 电子认证服务机构应当保证提供下列服务：(一)制作、签发、管理电子签名认证证书；(二)确认签发的电子签名认证证书的真实性；(三)提供电子签名认证证书目录信息查询服务；(四)提供电子签名认证证书状态信息查询服务。”
证书生命周期管理和提供的证书服务。
“第十九条 电子认证服务机构应当建立完善的安全管理和内部审计制度，并接受信息产业部的监督管理。”
安全管理标准和技术审计标准。
总的来说，该管理办法倾向于行业管理，采用了技术中立的思路，因而无法实现技术特定化，需要进一步的管理办法和实施细则来实现。
3.电子认证服务密码管理办法
为了规范电子认证服务提供者使用密码的行为国家密码管理局还公布了《电子认证服务密码管理办法》。下面对其中的条款进行标准相关的分析。
“第二条 国家密码管理局对电子认证服务提供者使用密码的行为实施监督管理。”
明确了管理办法的管理范围-电子认证服务提供者使用密码的行为。
“第五条 申请《电子认证服务使用密码许可证》应当具备下列条件：(一)具有符合《证书认证系统密码及其相关安全技术规范》的电子认证服务系统；……(三)电子认证服务系统采用的商用密码产品是国家密码管理局认定的产品；(四)电子认证服务系统通过国家密码管理局安全性审查。”
第一款通过《证书认证系统密码及其相关安全技术规范》将电子认证服务系统限定为基于PKI技术的数字认证系统。第三款限定了商用密码产品的选择。第四款要求通过国家密码管理局安全性审查，安全性审查可能与基于其他安全标准的检测有重叠。
“第九条 电子认证服务系统的运行应当符合《证书认证系统密码及其相关安全技术规范》。”
关于运行系统需符合的要求
目前，《电子认证服务密码管理办法》起到了实际的技术特定化的功能，《证书认证系统密码及其相关安全技术规范》将技术体系特定为PKI技术体系。但是，需要考虑到相应的局限性，因为相关的管理办法主要约束密码使用相关的方面，而对其它技术和管理方面无法覆盖。
4.其他法规和规范
除以上法律法规之外，信息产业部根据《电子签名法》和《电子认证服务管理办法》制定了《电子认证业务规则规范》。该规范将技术体系特定为PKI体系，给出了电子认证业务规则的模版和编写要求。总体来讲起到了PKI中的CPS(Certificate Practice Statement)的作用，然而我们看到其中缺少了证书策略(Certificate Policy，CP)给出证书服务提供者的技术、管理、证书应用领域的信息。
国家密码管理局制定了《证书认证系统密码及其相关安全技术规范》，以支持《电子认证服务密码管理办法》。该规范对电子认证服务系统的技术、管理、检测等多个方面提出了比较全面的要求。然而，由于涉及范围限于密码使用，该规范无法对所有服务以及电子签名设备进行约束。
5.相关法规的问题
根据以上分析，这里对这几个法律法规进行综合讨论，主要分析当前的一些不足，以指引标准体系的制定。
首先，《签名法》的实施需要明确全面的技术特定化，而《电子认证服务密码管理办法》间接的对其进行了特定化为基于PKI的数字签名，并且将数字签名认证服务局限在CA。
其次，数字认证服务覆盖的领域局限在CA。实际上，数字认证服务并不局限在证书机构(CA)部分的证书服务，还包括注册机构(RA)、时间戳机构(TA)、属性机构(AA)、归档服务、互操作等方面。
第三，未将签名设备和验证过程纳入体系。终端安全性的缺乏将导致整个安全体系受损。
《电子签名法》对签名方采用无过错推定，所以标准体系中纳入签名和验证过程有利于保证服务提供方的利益。
第四，没有对设备和物理安全性检测标准进行解释。
第五，当前的法律法规一定程度上起到了限制电子认证技术发展的作用。《电子认证服务管理办法》明确管理的范围包括所有的电子认证服务，而《电子认证服务密码管理办法》则通过《证书认证系统密码及其相关安全技术规范》将电子认证服务解释为PKI数字证书服务，导致采用其他技术的电子认证服务无法被采纳。
第六，可靠电子签名的解释没有明确。可靠电子签名需要电子认证服务提供者的证书服务。因此，即使将电子认证服务特定化为PKI数字证书服务，仍需要对电子认证服务加以区分。根据当前的法律法规推理，所有满足条件的电子认证服务提供者提供的服务都是可靠的电子签名认证服务，这一定程度上限制了消费者的选择。
6.核心概念辨析
基于上述法律法规的分析，我们认识到电子签名核心概念的理解对整个标准体系的确定有着至关重要的作用。在这一节中，我们将对核心概念进行深入剖析，以期获得对这些概念的共识。
电子签名法中给出了电子签名和可靠电子签名的概念，这两个概念都属于技术中立的概念。电子签名涵盖内容很多，然而仅有可靠电子签名才具有法律效力，如图1所示。
图1 电子签名
“第二条 本法所称电子签名是指数据电文中以电子形式所含、所附用于识别签名人身份并表明签名人认可其中内容的数据。”
“第十三条 电子签名同时符合下列条件的，视为可靠的电子签名：
(一)电子签名制作数据用于电子签名时，属于电子签名人专有；
(二)签署时电子签名制作数据仅由电子签名人控制；
(三)签署后对电子签名的任何改动能够被发现；
(四)签署后对数据电文内容和形式的任何改动能够被发现。”
关于电子认证服务，《电子签名法》和《电子认证服务管理办法》给出的都是技术无关的定义。而在《电子认证服务使用密码许可证》和《电子认证业务规则规范》，实际将电子认证服务特定化为PKI数字证书服务。但是，需要注意基于PKI数字证书服务未必能够提供可靠的数字签名，因此需要对服务进行进一步的限定。
“第十六条 电子签名需要第三方认证的，由依法设立的电子认证服务提供者提供认证服务。”——《电子签名法》
“第二条 本办法所称电子认证服务，是指为电子签名相关各方提供真实性、可靠性验证的公众服务活动。”——《电子认证服务管理办法》
“第五条 申请《电子认证服务使用密码许可证》应当具备下列条件：(一)具有符合《证书认证系统密码及其相关安全技术规范》的电子认证服务系统；…”——《电子认证服务密码管理办法》
“电子认证服务机构(CA)注册机构(RA)证书策略(CP)电子认证业务规则(CPS)证书吊销列表(CRL)在线证书状态协议(OCSP)电子签名认证证书(证书)…”——《电子认证业务规则规范》
当前的法规没有明确提出可靠电子签名认证服务的概念，而直接默认基于PKI的数字证书服务就是可靠电子签名认证服务，能够用来支持可靠电子签名的制作。所以，我们这里称能够用来支持生成可靠电子签名的电子认证服务为可靠电子签名认证服务。
在整个技术体系中，签名设备是不可或缺的。特别是在可靠电子签名的定义中对签名数据的保护和签名制作方面有明确要求，这实际上引入了签名设备。与可靠电子签名相对应需要有可靠签名设备。
签名设备：满足特定配置的对签名制作数据进行操作的软件或硬件设备。
可靠签名设备：满足特定配置的对签名制作数据进行操作的软件或硬件设备，并能够生成可靠电子签名的设备。
图2 电子认证服务
图3 签名制作设备
为了实施必须对电子签名、可靠电子签名和电子认证服务进行技术特定化处理。目前需要将技术体系确定为基于PKI的数字认证技术。
数字签名在IS07498-2中定义为：“附加在数据单元上的一些数据，或是对数据单元所作的密码变换，这种数据和变换允许数据单元的接收者用以确认数据单元来源和数据单元的完整性，并保护数据，防止被人(例如接收者)进行伪造”。
美国电子签名标准(DSS，FIPS186-2)对数字签名作了如下解释：“利用一套规则和一个参数对数据计算所得的结果，用此结果能够确认签名者的身份和数据的完整性”。
可见ISO7498-2和FIPS186-2中的定义也是一个技术中立的，它不局限于特定的数字签名技术。为此，定义还需要进一步限定。这里我们称采用PKI技术的数字签名为基于PKI的数字签名。而称满足《电子签名法》中可靠电子签名服务的四个条件的基于PKI的数字签名称作基于PKI的可靠数字签名。
下一步还需要给出能够为基于PKI的数字签名提供服务的数字认证服务的概念。我们称基于PKI技术体系为电子签名相关各方提供真实性、可靠性验证的公众服务活动为基于PKI的数字认证服务。而基于PKI的数字认证服务只有在满足一定的技术、管理、环境等要求才能用于生成基于PKI的可靠数字签名。此外，与之相对应的基于PKI的签名设备和基于PKI的可靠签名设备。
图4 电子签名核心概念及其PKI技术特定化
标准体系框架
1.研究范围
电子签名共涉及三方实体：签名者、验证者和电子认证服务者。各自的活动和实体间的互操作如图5所示。
图5 电子签名
签名者使用签名模块产生签名；验证者使用签名验证模块验证签名结果，以确认签名者的身份并确定签名者对被签名数据电文的认可；电子认证服务提供者作为可信的第三方机构，向签名者和验证者提供真实性和可靠性服务。除此之外，电子认证服务提供者还向签名者和验证者提供诸如可信时间戳服务、安全资料库服务、公证服务、归档服务等等。
电子签名技术支撑体系和相关标准规范应该围绕上图中的三方实体以及实体之间的活动进行研究。
电子认证服务机构的必须依照一定的技术开发、建设和管理才能提供可信的电子认证服务。这是电子签名尤其是可靠电子签名的安全前提和信任基础。
用户使用的电子签名产生模块(软件或硬件)必须满足一定的自身安全要求，并采用安全的签名流程才能保证制作的电子签名满足可靠电子签名的要求。同样的，验证者使用的电子签名验证模块、环境和流程也必须满足一定的安全要求才能保证安全正确地验证电子签名结果。
电子签名涉及的实体间不可避免的需要互操作，如签名者向电子认证服务机构申请电子认证证书，签名者向验证者提供可靠电子签名等。这些交互活动需要遵循一个统一的接口和操作规范。只有这样，不同厂家的产品、系统之间才有可能互联、互通、互信。
还应研究电子签名的底层支撑技术，如签名算法、单向函数等，以及电子签名在具体环境中的应用，如电子支付、电子货币等。
对电子认证服务机构和电子签名产生/验证模块都必须有与上述标准配套的评估和检测方法，用于相关部门的审批和监管。
●总的来说，电子签名的技术支撑体系和相关标准应主要对下面几个方面进行研究：电子签名底层支撑技术；
●电子认证服务机构的安全保护、管理与评估；
●电子签名产生和验证设备的安全保护、管理与评估；
●签名者、验证者和电子认证服务机构之间的互操作，
●电子签名的应用协议。
2.电子签名相关标准规范与法律、法规的关系
从电子签名法到其电子签名相关标准规范是一个从抽象到具体的过程，其中涉及法律和技术两方面内容。首先，从法律角度讲，电子签名法具有高度的概括性，必须有配套的释义性法规来解释、充实电子签名法中的条文。其次，从技术角度讲，电子签名法是技术独立的，为了使其具有可操作性，必须与当前实际可用的特定技术结合起来。因此，与电子签名法相配套的应该是一套从抽象到具体，从法律到技术逐渐过度、逐渐细化的层次框架，如图6所示。其中：
图6 法律法规与标准规范的层次结构
●电子签名法作为基本的框架性标准，位于该体系的最上层。电子签名法确定电子签名、数据电文等的法律地位，给出一般性的法律要求，但不涉及实现技术，保持技术独立性。
●电子签名法配套法规以支持电子签名的技术为基础，但不局限于某种特定的技术。配套法规对电子签名法进行解释、充实，定义一套符合电子签名法的最小功能要求集合。
●功能、管理和评估标准依赖于实现电子签名的具体技术和使用这种技术的管理、操作方法。这些标准针对特定的技术，详细规定为了达到上层法规的要求，应该满足的功能要求、管理标准和评估方法。
●互操作规范定义支持电子签名的各项技术的具体用法、接口、格式等，以提高签名者、验证者和电子认证服务机构之间的互操作性。
版权所有： 品牌总网 闽ICP备16034782号-1 本网站法律顾问：郑明汉 律师
Copyright © PPZW.COM 2002-2025 All Rights Reserved. 在线客服：
加盟商在线QQ：
Email:qy@PPzw.com
上一篇文章：
