杭州2017年8月30日电 /美通社/ -- 近日，中国电子认证服务产业联盟秘书长、工信部赛迪安全研究所所长刘权应e签宝之邀，撰文解读“电子签名”，下文是经过刘权授权转载的文章全文。
电子签名是什么？为什么电子签名行业越来越热？为什么能做好电子签名产品的公司不多？这是最近一个朋友问我的。
从2004年国家正式出台《电子签名法》，我一直相信电子签名将会成为未来互联网时代的基础性工具。这个相信持续了十几年，近一两年开始陆续有更多人跟我一样相信了。可是，我发现，即便是相信电子签名未来的人，大多对电子签名仍不甚了解，也会提出开头那几个我朋友的疑问。
这是一个有趣的现象，大家对电子签名总是只了解到字面意思，未曾深究，也许是因为电子签名属于商业密码行业，标准门槛高，技术解读往往深涩，一般人听不懂门道。但是这种不明所以，却成为了一个隐患，大众的认知空白代表了用户的认知也不会清晰，那么就给了一些并不完善的电子签名产品发展流通的机会。作为电子签名的研究人员和拥趸，我很清楚使用这样的产品，风险有多大，后果有多么不可估量，所以我想用一些浅显的方式，带大家重新认识电子签名。
其实，我朋友提出的这几个问题只需要弄清四个标准就可以解答，就是《电子签名法》规定的可靠电子签名标准，即真实身份、真实意愿、签名未改、原文未改。
为此，电子签名产品须以身份认证、时间戳、加密算法等技术手段实现。
真实身份和真实意愿是通过实名认证确认的。目前实名认证主要有三种方式：
一是公安部人口库的信息比对，就是通过身份证拍照，或是生物动态识别技术（人脸识别）确认身份。
二是银联用户库信息比对，就是通过验证银行四要素，或银行卡扣款确认身份。
三是运营商实名用户库信息比对，就是通过输入即时短信验证码确认身份。
而签名未改、原文未改则需要多项防篡改技术加持，以及后续证据固化手段辅助，才能确认。其中有两点可以说是防篡改的基础，即签名时间和加密算法。
首先是签名时间。为了确认签名时间，目前的有效方法是加盖时间戳。所谓时间戳，可以理解为一个特定的时间记录。而时间戳又分为自建时间戳，就是从某个平台自身的服务器调取的时间数据，以及第三方授予的可信时间戳，比如国家授时中心加盖的。前者存在随意篡改的风险，不具备法律效力，而后者是不可篡改的，是被法律认可的。
如何判断电子签名的签名时间属性？可以从如下签名属性中获知。
其次是加密算法。作为保护文件的基础屏障，电子签名的加密技术至关重要。而随着电子签名技术的不断深入完善，加密算法也在不断升级。一些初级的算法已经被攻破，不再安全，比如SHA1，就是被Google宣布攻破，被国家密码管理局明确指出的，存在重大安全风险的算法。
这个算法的漏洞在于，当有A、B两个完全不同的文件，使用SHA1算出的哈希值可以完全一样。也就是它可以让攻击者恶意修改文件内容，且不被发现。这就无法保证原始签约文件真实性、完整性、未篡改性，更无法保证在出现法律纠纷时文件能够成为有效证据。
目前电子签名行业的前沿加密算法已是SHA256哈希算法，暂无被攻破风险，能够保证签名原文的真实、完整、防篡改。
判断加密算法的途径，同样可以通过签名属性，如下图。
单就以上两点的任一点就可以直接推翻签署文件的有效性。所以，如果你已经是或即将是电子签名的用户，不妨先以这两点为标准审视自己选择的电子签名产品。
归根结底，明确法律标准并通过专业技术加以实现，这就是电子签名的核心。要掌握这样的技术，实现这样的标准并非易事，所以就出现了目前市面上虽然电子签名产品不断增加，但是真正安全有效的好产品却不多的情形。
行业快速发展，更多人投身于电子签名行业是好事，可我还是衷心希望那些尚稚嫩的从业者们能够把产品发展成优势，收获忠诚用户，而非广告口号。
电子签名行业已经从十多年前的几乎孤军奋战，发展到如今的激烈竞争，良莠不齐，这也许说明电子签名行业正在进入了一个分水岭。这之前，行业总体呈现理性谨慎，小而美的状态，技术集中发展，市场疆域有限。而这之后，行业成长速度加快，产品博弈，胜负见晓迅速，市场新大陆不断涌现，同时暴露更多风险和问题。
我们依旧可以笃定地相信电子签名的长远价值，因为那些经过时间打磨，市场洗礼的，成熟优质的电子签名产品终会为我们的签署安全保驾护航。
