“《淺談》由科技新媒體
淺黑科技出品，是對科技企業的深度報道系列。世界太大，我們自顧不暇。但那些瘋狂的試圖用科技改變世界的人，或許值得你駐足凝望。
我們會探訪那些執著的技術人和科技企業，並試著用簡單的筆觸書寫下他們心中的技術和未來，希望這些真實的解讀，可以幫你理解這個世界。
《淺談·IFAA 聯盟》，是對互聯網金融身份認證聯盟 IFAA 的深度報道，此為第一篇對 IFAA 會員單位 上海 CA 的訪談。
是為《淺談·IFAA 聯盟》的第1篇文章，也是《淺談》總第5篇文章。”
今天的文章開始，我先幫你開個腦洞：
你有沒有想過，你口袋裡的鑰匙、壓箱底的畢業證、腦子裡的密碼、登錄網銀用的 Ukey，在本質上是一種東西。
簡單來說，他們的目的都是“證明你是你”。
說嚴謹點，他們都是“你獲得某項權利的憑據”。
為了讓你更明白，我囉嗦兩個例子：
1、你不會讓一個陌生人隨便進你的家上你的床（我是說陌生的漢子。。。），所以，你需要你家的大門能夠認出你，放行你，同時拒絕其他人。你的鑰匙就能完美地做到這一點。
2、一家屌屌的媒體“淺黑科技”只招聘北大的中文系博士。所以，你來應聘的時候，為了證明你符合要求，你會甩出北大的學位證書。有證書在手，不用多廢一句話。
說到這裡，我要介紹一下今天的主角：“上海 CA”。它並不是像“AC 米蘭”一樣的球隊，而是一家專門做“證書”的企業。全上海的工商、稅務、社保、公積金等委辦局的業務系統，都在使用他們頒發的“數字證書”對用戶進行身份認證。
鋪墊了這麼多，我猜你已經能夠理解：上海 CA 所生產的“證書”，就是電子世界的鑰匙。
最近，我見到了上海 CA 研發部部長王天華，聊了聊他眼中的未來身份認證技術。
王天華
一、凡是證明，必有成本。
人們每天要做的身份認證，可能比你想象中要多。
我問你個無厘頭的問題：
你和女票約會的時候，看到她從出租車上下來，你們一眼就認出了彼此。為什麼你們不互相交換一下身份證來驗證下身份呢？
別覺得這個問題不值得回答，它起碼說明了兩個知識點：
1、人腦具有非常優秀的“人臉識別”機制，你看到對方的一瞬間，大腦已經自動完成了身份驗證，且準確率奇高。
2、互相看一下身份證，當然可以避免《白夜追兇》裡冒名頂替這類事情發生，但這樣做所付出的代價是浪費寶貴的時間和精力，而結果99.99999%會證明你剛才純靠肉眼的判斷沒錯。所以這種認證從成本和收益的角度看，非常不划算，所以會被別人認為腦子秀逗了。
我舉這個例子，是為了說明：凡是證明，必有成本。
這個認知非常重要。
上海 CA 所頒發的“證書”，其實根本目的就是為了降低證明的成本。
一家企業，要經常在稅務局的網站上辦理業務，但每一次辦業務，辦事員都要證明自己能代表這家企業。於是，理論上他應該每次都跑到稅務局向他們提供公司的營業執照、公章、法人簽名介紹信。這簡直是災難。
如果沒有“電子證書”，每個用戶都要拿著證明材料和各個委辦局“單線聯繫”，就像這樣。
王天華告訴我，真實的情況是：企業把自己的全套資料拿到上海 CA 的辦事網點，然後上海 CA 的工作人員進行審核，之後給他一個 Ukey（相當於一把鑰匙）。這樣之後，工作人員再登錄稅務局網站，就可以把 Ukey 插進電腦，繼續操作。它的效果等同於把營業執照神馬的給稅務局看了一遍，因為上海 CA 是稅務局認可的第三方電子認證服務機構。所謂“你辦事我放心”。
有了上海 CA 頒發的證書，每個用戶就可以集中到它的網點認證啦。
忘記說了，“CA”的意思就是“認證授權機構”（Certificate Authority）。這種由機構授權的模式大大降低了社會活動的“信用成本”，提高了效率。
當然，之所以能提高效率，是因為證書代替了當面驗證的過程。如此一來，證書本身的安全性其實是最為重要的。那麼證書的安全性是怎麼保障的呢？
二、怎樣保護證書的安全？
為了舉例方便，我剛才一直把 CA 頒發的證書等同於一個U盤一樣的東西，但實際上，這是不準確的。
從技術上來講，為了證明你是你，你只需要拿出某個別人沒有的東西就ok了。
什麼東西是你有，而別人沒有的呢？主流的無外乎三個：
1、你的某個獨特記憶
2、你的某個獨特物品
3、你的某個獨特特徵
記憶，物品，特徵
獨特記憶，主要就是密碼，你腦海裡那段打死也不說的字符；而獨特的物品，一般情況下是指“秘鑰”，這串數字極長，符合密碼學算法，一般存儲在某個硬件裡，比如 Ukey；至於獨特的特徵，一般指你的生物特徵，人臉、指紋、虹膜、體態等等。。。
王天華給我科普了下，這三類東西所保證的安全性，其實是不同的。
安全性最差的，要數密碼。因為太複雜的密碼，人腦根本記不住。而且當人有很多賬戶密碼需要記的時候，他一般會採用簡單的密碼，或者不同賬戶重複的密碼。這些都有可能造成密碼洩露，而一旦洩露，安全性就蕩然無存。
安全性較高的，是生物識別。以現在的生物識別技術所提取的指紋或虹膜特徵，識別錯誤率非常低，但生物特徵存在一個弊端，那就是不可撤銷，從而導致一次洩漏終身洩漏。（你不可能給自己換一張臉）
安全性最高的，是證書。證書的核心是通過密碼學的方式算出來的秘鑰，要想暴力破解（類似於猜測），以現在的計算機水平，要算到世界末日。
上海 CA 目前最主要的業務之一，就是“法人一證通”，所有公司如果在上海各個委辦局辦理報稅、工商年檢、社保、公積金等等業務，就要使用上海 CA 認證平臺頒發的證書。
在這種情況下，所有的操作都會產生法律效應，所以這些認證方式都必須符合國家標準。而2005年施行的《電子簽名法》，就是保障證書合規性的法律。剛才提到的三種驗證方式，只有數字證書可以進行電子簽名。
剛才說到，證書的核心就是秘鑰，而秘鑰就是一串非常長的你根本背不下來的字符。其中私鑰由用戶自己保管，而與之配對的公鑰則可以公佈給社會大眾。密碼學保證，公鑰可以驗證私鑰的正確與否，但是從公鑰又沒辦法推導出私鑰。
傳統的方式裡，私鑰被存在這樣一種 USB 設備裡，就是我們經常用的 Ukey。
所以，把私鑰和公鑰一配對，立刻就知道你是李逵還是李鬼。這就是證書的工作原理。
上海 CA 是國內第一家專業的“第三方電子認證服務機構”， 每天各個網點超級繁忙，生意火爆。不過，作為研發部長，王天華卻不滿足，他覺得未來的認證機制應該更人性化。
三、把鑰匙裝進手機，還能安全嗎？
Ukey 這種東西，雖然保證了安全，但它其實挺反人類的。以銀行的 Ukey 為例：
你不可能隨身帶著它，而要用的時候往往不在身邊，另外你稍不留神，它就徹底消失在你的生命裡，死活都找不到。而且，使用 Ukey 時還要安裝一堆“驅動”“控件”之類，還得整天升級，如果你有好多個 Ukey，那更是一場噩夢了。
所以這幾年，王天華一直在帶領團隊把秘鑰“塞”進手機。
你可能會問，證書就是一個包含秘鑰的文件，把它存在手機裡不就得了？
這種說法對，也不對。
秘鑰存在手機裡，手機自然就變成一個 Ukey，這很容易理解。但是你有米有想過，秘鑰要存在手機的什麼位置呢？
要知道，手機和 Ukey 最大的不同點在於：手機是可以聯網的。只要可以聯網，理論上黑客就有可能通過漏洞進入到你的手機，進而找到你的秘鑰。如果這件事發生就杯具了。
王天華說，普通的手機內存空間，理論上都不可信。所以他和團隊採用了密鑰分散存儲和運算的技術。簡單來說就是：秘鑰手機上存一半，服務器上放一半，使用的時候，聯合校驗。這種方式當然安全性也很高，但是實話實說，和那種封閉的 Ukey 相比較，這樣的驗證方法畢竟要通過網絡傳輸一段秘鑰，用戶使用起來，心裡會有一點隱隱的壓力。
所以，今天的第二個主角——IFAA 聯盟——就登場了。
簡單說來，IFAA 聯盟是一個技術聯盟，全稱是互聯網金融身份認證聯盟，發起會員有螞蟻金服、華為、三星、ARM等等。IFAA 推行的技術標準恰恰可以解決王天華的技術難點，這就是：秘鑰存儲的位置。
在 IFAA 的標準裡，秘鑰被存儲在一個名為 TrustZone（可信區）的特定區域裡。這是一個獨立的芯片，和手機其他的內存相互隔離，數據無法被盜取。可以理解為，在手機內部內嵌了一個 Ukey。
在手機裡的獨立芯片裡存儲秘鑰，相當於和手機的其他功能隔離開，安全性大大提高。
說到這，你可能注意到了兩個重要的問題：
1、IFAA 標準可以讓證書不出手機，在本地的封閉芯片裡就可以進行校驗，杜絕了秘鑰被盜的風險。
2、IFAA 標準要靠一個聯盟來推動，因為裡面既涉及到支付系統，又涉及到內嵌芯片，需要軟硬件廠商合作。
於是，2017年7月上海 CA 成為了 IFAA 聯盟的第一批戰略伙伴，利用這套體系完善了自己的手機證書技術。
其實，上海 CA 在過去幾年，已經在手機證書上做了不少創新。讓王天華引以為豪的一個發明就是，上海 CA 發佈的手機 App“移證通”，不僅可以讓移動證書完全代替傳統 Ukey ，而且還可以讓移動證書更好用，兩種用法如下：
1、用手機登錄某服務時，系統會自動跳轉到移動證通，用戶只要刷一下指紋，或者刷臉，就能授權訪問自己的證書， 從而完成驗證。
2、用電腦登錄服務時，網頁端會顯示一個二維碼，用“移證通”掃描一下，就可以在手機上授權，相當於把 Ukey 插入了電腦。（據說這個功能是國內首創，適應了純移動應用之間以及移動+Web 的應用場景）
不知道你有沒有發現一個問題。為什麼訪問手機上的證書，還要驗證一下指紋呢？
這也是一個標準的保護模型，同樣也是 IFAA 的技術標準之一：秘鑰被存在手機上，但是並不是誰拿到手機都可以訪問，必須再進行一次驗證，證明你是秘鑰的主人。
也就是說，秘鑰不僅放在手機的安全區域，還被縮進了一個箱子，而這個箱子的密碼，就是你的指紋或面部。這就好比你的 Ukey，把它插到電腦上之後，還要輸入一個密碼才可以使用，是一樣的安全效果。
用你的生物特徵解鎖手機裡的證書，然後再用證書驗明自己的正身，大概就是這麼個過程。
如此一來，上海 CA 的移動證書技術體系就更加完善。對於王天華來說，有了 IFAA 聯盟的技術加持，上海 CA 在移動領域的認證系統，就可以完全符合國家標準。在此之上，他有兩個設想：
1、移動辦公這個場景一定會比想象中更快來臨。上海 CA 在移動認證的技術已經準備完畢，未來可以繼續開拓全國各委辦局的移動端業務。
2、移動認證的場景，可以適應更多的業務類型。未來上海 CA 可以把自己的認證能力輸出給其他類型的客戶，拓展個人認證業務。
作為計算機專業科班出身的技術人，王天華內心非常清楚：每一個由密碼學保證的證書和秘鑰，都是一把堅不可摧的鎖，它們在你根本不在意的時候，一次次沉默地捍衛著你的隱私和權利。
也正因如此，他才不遺餘力地嘗試新技術，讓數字證書的價值得到更廣泛的應用。
每多一個人理解其中的價值，都讓他無比高興。
---
再自我介紹一下吧。我叫史中，是一個傾心故事的科技記者。我的日常是和各路大神聊天。如果想和我做朋友，可以關注微博：史中方槍槍，或者加我微信：shizhongst。
不想走丟的話，你也可以關注我的自媒體公眾號“淺黑科技”。
閱讀更多 淺黑科技 的文章
