4.2 电子认证法律制度（课件）《电子商务法规》（清华大学出版）

《电子商务法规》 （清华大学出版） 电子签名与电子认证法律制度 第一节 电子签名法律制度 第二节 电子证法律制度 第四章 第二节 电子认证法律制度 4.2.1电子认证的概念 《电子认证服务管理办法》第二条规定：“本办法所称电子认证服务，是指为电子签名相关各方提供真实性、可靠性验证的活动。 ”狭义的电子认证仅指电子认证行为，即由认证机构采用电子方法以证明电子签名人的真实身份或电子信息真实性行为；广义的电子认证则包括认证机构、电子认证行为和数字证书在内的一整套法律制度。 电子认证是以核心电子书（又称数字证书）为核心技术的加密技术，以PKI技术为基础，对网络上传输的信息进行加密、解密、数字签名和数字认证。 电子认证是电子政务和电子商务中的核心环节，可以确保网上传递信息的保密性、完整性和不可否认性，确保网络应用的安全。 4.2.1电子认证的概念 电子认证的意义与作用 防止欺诈 防范交易当事人以外的人故意入侵而造成风险。在网络环境下，交易双方可能素未谋面甚至不在同一国家，欺诈的可能性非常大，而欺诈后的事后救济又非常有限，所以事先通过电子认证可以消除外部的欺诈风险，促进电子商务的顺利进行； 防止否认 针对交易当事人之间可能产生的误解或抵赖而设置的，以便在电子商务交易当事人之间预防纠纷。电子认证技术达到了传统交易中签章公证等防止否认的技术效果，减少了当事人之间的纠纷，具体表现在数据电文的发送、接收及其内容的不可否认等方面。 电子认证的意义与作用主要体现在以下两个方面： 4.2.1电子认证的概念 发件人在电子签名前，签署者必须将他的公共密钥送到一个经合法注册，具有从事电子认证服务许可证的认证机构，登记并由该认证机构签发电子签名认证证书。 然后，发件人将电子签名文件同电子签名认证证书一并发送给对方，收件方查验证书及电子签名，即可确信电子签名文件的真实性和可信性。 电子认证的操作程序 4.2.2电子认证的技术——PKI PKI是一种遵循既定标准的密钥管理平台，能够为所有网络应用者提供加密和数字签名等密码服务及所必需的密钥和证书管理体系。 PKI是一个利用公开密钥加密技术来实施和提供网络信息传输服务的安全基础设施，已得到国际上的普遍认可。 PKI是一种框架体系，支持身份认证、信息传输，具有存储的完整性、存储的机密性和操作的不可否认性。 1. PKI的概念 4.2.2电子认证的技术——PKI （1）认证机构和数字证书 认证机构是PKI的核心，主要任务是制作、签发、管理证书，并提供证书生命周期内的管理服务。数字证书是由认证机构签发的包含公开密钥拥有者的信息以及公开密钥的数据文件，用来确认持有密钥者身份。 （2）数字证书库 是集中存放认证证书的地方，一种公开信息库，用户可以从中获得其他用户的证书和公钥。 （3）密钥备份及恢复系统 由认证机构来管理，它是在用户丢失公共密钥的情况下恢复其密钥的有效机制，仅针对公开密钥，签名私钥不能备份。 （4）证书作废系统 作废证书是通过将证书列入作废证书表（CRL）来完成的，由认证机构负责创建并维护一份及时更新的CRL。 （5）客户端证书处理系统 由相应的电子商务软件和认证证书组成，通常是按照认证机构的说明在计算机系统安装有关证书文件和签名及验证组件等。 2. PKI的组成 4.2.3电子认证机构概述 1.认证机构的定义 认证机构的英文为 Certification Authority ，简称 CA , 亦称为认证中心、验证机构或凭证管理中心等。认证机构（CA）是能够签发数字证书，并确认用户身份，由交易双方信赖的，居于第三方地位的中介机构，在电子商务中具有特殊的地位。它是为了从根本上保障电子商务活动顺利进行而设立 的，主要解决电子商务活动中参与各方的身份认定，维护交易安全。 《电子认证服务管理办法》 《电子认证服务管理办法》第二条规定：“本办法所称电子认证服务提供者，是指为需要第三方认证的电子签名提供认证服务的机构。“ 4.2.3电子认证机构概述 中立性和可靠性 认证机构独立于交易双方，在交易过程中，不代表任何一方的利益，仅以中立机构的身份提供信用服务。 权威性 主要来自两方面，其一来自认证机构的服务，给用户提供值得信赖的信息；其二来自认证机构的地位，政府机关或主管机关核准设立的认证机构更具权威性。 真实性 所提供的各种信息必须真实、完整、准确，严禁为客户提供虚假信息。 安全性和机密性 采用相当程度的安全技术及配套设备；保证个人信息和隐私资料不会泄露给任何非授权个人或实体。 2.认证机构的特点 4.2.3电子认证机构概述 3.认证机构的设立条件与终止程序 （一）认证机构申请设立的条件 我国《电子认证服务管理办法》第5条指出电子认证服务机构应当具备下列条件： （1）具有独立的企业法人资格； （2）具有与提供电子认证服务相适应的人员。从事电子认证服务的专业技术人员、运营管理人员、安全管理人员和客户服务人员不少于30名，并且应当符合相应岗位技能要求； （3）注册资本不低于人民币3000万元； （4）具有固定的经营场所和满足电子认证服务要求的物理环境； （5）具有符合国家有关安全标准的技术和设备； （6）具有国家密码管理机构同意使用密码的证明文件； （7）法律、行政法规规定的其他条件。 4.2.3电子认证机构概述 3.认证机构的设立条件与终止程序 （二）认证机构的终止程序 认证机构是一个营业性实体，它所从事的信用服务，是一般交易的基础条件，涉及商业交易的通畅与安全。认证机构一旦终止其业务，它过去签发的证书的有效性就无法再由其给予证明，这将会给证书持有人和证书依赖方带来不便或损害。 因此，认证机构的不间断运作与社会公众的利益密切相关，其业务终止不像一般营利性企业一样，在清算之后完全结束，而应做出必要的预先安排和相应程序，建立使其营业持续进行的机制，一般应包括以下程序： 第一步，事前通知。在终止认证机构之前，必须通知用户和潜在依赖方；同时报告主管机关。 第二步，安排业务承接。为了提供不间断的认证机构服务，终止的认证机构可与其他认证机构就业务承接进行协商，妥善安排。 我国《电子签名法》第二十三条对该问题进行了规定：“电子认证服务提供者拟暂停或者终止电子认证服务的，应当在暂停或者终止服务90日前，就业务承接及其他有关事项通知有关各方。电子认证服务提供者拟暂停或者终止电子认证服务的，应当在暂停或终止服务60日前向国务院信息产业主管部门报告，并与其他电子认证服务提供者就业务承接进行协商，做出妥善安排。电子认证服务提供者未能就业务承接事项与其他电子认证服务提供者达成协议的，应当申请国务院信息产业主管部门安排其他电子认证服务提供者承接其业务。” 4.2.4电子认证机构的管理 1.国际管理模式 目前，国际上对电子认证服务的管理模式大概分为三种。 第一种是行业自律型模式。这是市场自由、技术中立原则的充分体现，即政府完全不介入、不干预，认证机构通过市场竞争建立信誉，以求生存和发展。 第二种是政府监管与市场培育相结合模式。政府对认证机构管理进行有限的介入，不进行全面干预，采用这种管理模式的国家多数规定了自愿认可制度，即法律规定认证机构并不一定取得许可，但经过政府许可的认证机构可享受责任限额等优惠条件。 第三种是政府主导型模式。大多数发展中国家受技术、资金的限制，市场发育不完善，大多采用政府干预来发展本国认证体系，如马来西亚。有些发达国家也采用了政府干预的政策，规定由信息通信部或者相关部门颁发许可证，如韩国、日本等都属于对认证机构实施许可、审批的国家。 4.2.4电子认证机构的管理 2.国内管理模式 我国市场尚未成熟，企业信誉相对较弱，因此在电子认证中需要以政府的信誉作为补充。我国《电子签名法》规定的电子认证属于政府主导型，并对电子认证服务应当具备的条件做出了规定，只有以国家名义存在或由主管部门颁发经营许可证的认证机关，或国家相关部门授权经营的电子认证公司，其颁发的数字证书才最有权威性。同时，在一国范围内，还有必要建立国家级的总的认证中心，对一般认证机构的认证进行确认或协调。 在国家指导与监督下建立的认证机构必须保持权威性、中立性与公正性，避免将传统经济体制下的行业分割、地区垄断等弊端带入这一新型的商务活动中。例如，我国商务部、信息产业部、银行等部门都在建立自己的认证中心，如果缺乏统一协调，就会带来管理混乱，增加交易成本。因此，由国家建立强有力的专门机构进行统一领导，制定统一的政策法律框架就显得非常必要。 4.2.5电子认证的法律关系 （一）电子签名认证机构的法律权利 （1）要求证书申请人提供真实有效的资料并对资料进行调查核实，根据调查结果自行决定是否颁发证书的权利。我国《电子签名法》第二十条规定：“电子签名人向认证机构申请电子签名认证证书，应当提供真实、完整和准确的信息。” （2）向证书申请人和证书用户收取合理服务报酬的权利。 （3）对本机构已颁发的数字证书进行管理和撤销的权利。认证机构在颁发了数字证书后，可经证书用户请求或者在特定的情况下自行决定，对证书内容进行修改、更新或予以撤销。我国《电子认证服务管理办法》第二十九条规定了认证机构可行使撤销权利的具体情况。 （4）请求赔偿权。根据我国《电子签名法》第二十七条的规定：“认证机构在电子签名人知悉电子签名制作数据已经失密或者可能已经失密未及时告知有关各方，并终止使用电子签名制作数据，未向电子认证服务提供者提供真实、完整和准确的信息，或者有其他过错，给电子签名依赖方、电子认证服务提供者造成损失时，承担赔偿责任。” 4.2.5电子认证的法律关系 （二）电子签名认证机构的法律义务 （1）安全保障的义务。这是认证机构承担的首要义务，也是认证机构的法定义务、强制性义务。具体而言，这要求认证机构做到以下几点：在颁发、更新和撤销证书时，对证书申请人或者证书用户提供的资料真实性、可靠性进行谨慎的审核；当私钥丢失、遗忘、被盗用、被解密或者证书用户请求时及时中止、撤销证书，以防止产生损失。 （2）及时告知的义务。《电子认证服务管理办法》第二十一条规定，认证机构应当向证书申请人告知的事项，这实际上是要求专业的认证机构提醒非专业的申请人其享有的权利和义务。 （3）对掌握的用户信息进行妥善保存和保密的义务。认证机构在运作的过程中能够接触到很多的用户信息，认证机构应当妥善保存这些信息，保存的期限至少为证书失效之后5年。 （4）提供安全、可靠的认证系统，并保障其正常运转的义务。认证机构必须保障其认证系统是安全、可靠的，且应建立系统备份机制，以防突发情况导致整个认证系统瘫痪。 （5）信息披露的义务。认证机构理当主动进行信息披露以维护自己的权威性和公信力。《电子认证服务管理办法》第十二条规定了一部分信息披露的范围，主要以认证机构自身的信息为主。 谢谢大家 THE END $$