互聯網時代，我們幾乎每天都在網上消費，“隔空轉賬”不同于現金交易，支付安全需要用技術手段進行保障，數字證書就扮演著這樣一個角色。數字證書的理論體系和數學算法雖然早已存在，但真正讓大家近距離接觸到并普遍使用的還是網銀時代的到來。隨著2004年8月28日《中華人民共和國電子簽名法》頒布以及中國人民銀行對于銀行大額轉賬提出要求，使用植入了數字證書的“網銀盾”一時成了各大銀行的“標配”，開始蓬勃發展。

而到底為什么需要使用這項技術呢？ 這是因為，在進行網絡轉賬的時候數據都是在互聯網上流轉，不可能“一手交錢一手交貨”，那我們在數字支付中很明顯就面臨幾個直接的問題：

①如何確保交易的安全進行、沒有篡改？

舉例來說，如果我買了一件100元的衣服，付款時候也顯示付款100元，結果之后發現銀行卡扣了1000元，我認為這個是系統故障或者是故意欺詐，但如何證明我當時看到的確實是100元？

②如何避免身份冒用？

一筆幾十萬元的巨大金額交易，發生了糾紛，一方說，這不是我付的錢，另一方說，就是你，我親眼看到。這種情況到底怎么鑒定、怎么證明？

而數字證書，正適合解決這些問題。

公鑰密碼學

數字證書為何能解決安全交易防篡改、以及身份認證的問題呢？雖然可以簡單的將個人數字證書比作一個人的“數字身份證”，但實際理論并不如此簡單，畢竟不能“出示”數字證書就解決問題。

這里就要提到目前數字正式使用的密碼學原理“公鑰密碼學”，使用數學算法產生公鑰-私鑰對。此處不再贅述其實現原理，但是公鑰密碼學使用數學的方法使得持有私鑰的使用者獲得兩個能力：

①使用數學的方法可以使私鑰的擁有者使用這把“鑰匙”對數據進行簽名操作，防止篡改。

②使用數學的方法可證明使用者真正持有這個私鑰，而沒有這把“鑰匙”的人無法做到。

這兩個特性正對應了前面的需求：防止篡改與身份認證，這也是為什么選擇數字證書的重要原因。

PKI-CA體系

雖然目前常用的數字證書使用了“公鑰密碼學”，但是純粹的密碼學實際上并不足以解決全部問題，這里牽扯到一個信任的問題。舉例來說，如果兩個人都聲明，“鑰匙”屬于他，該如何分辨？如果“鑰匙”僅僅是一串數學意義上的字符串，其對于身份認證的效力還是有限，這時就引入了CA，也就是認證中心這個概念。 “鑰匙”的使用者在產生密鑰對之后，將向CA也就是認證中心發起申請，將自己的真實身份和自己的“鑰匙”進行綁定，而認證中心則對此予以證明，簽發“數字證書”，至此才成為一個完整的數字證書?？梢岳脭祵W算法加密解密，簽名，驗證簽名，并進行身份的核驗。

數字證書的范圍非常寬泛，并非自然人才能申請證書，一個企業，一個網站，甚至一臺設備，都可以申請自己專屬的數字證書，存放在U盾中為網銀交易保駕護航的，就是這樣一種數字證書。

網銀時代的數字證書

硬件保護

數字密碼鑰匙，又稱電子密碼鑰匙、USBkey，我們經常簡稱其“U盾”。

網銀時代的數字證書存放在U盾中，但是當時作為“U盾”剛剛出現的時候，實際上和U盤看起來樣子有些類似，如果不了解其中原理，可能以為就是一塊特殊的專用u盤。 實際上，U盾最核心的部分還是其中的密碼芯片，安全存儲著用戶真正的“鑰匙”私鑰。即便U盾丟失，攻擊者也極難破解其中的內容獲取用戶的私鑰。實際上，即便是在已經經過了那么多年的今天，也幾乎看不到任何通過直接攻擊破解U盾中密鑰的案例。

升級換代

隨著時代的變遷，像極了U盤的“U盾”開始漸漸不太像U盤了，為什么呢？我們可以看到“U盾”上面開始有了屏幕，還有按鍵，這也就是我們常說的“第二代U盾”“二代盾”。

屏幕和按鍵是僅僅為了功能的增強嗎？其實還是安全上的考慮。

在早期時代，因為U盾看起來就像是U盤插在計算機上，如果使用者的計算機中了木馬類軟件，被完全控制了，是有可能產生攻擊的，比如在交易之前偷偷修改金額，雖然數字證書可以保證交易金額不被篡改，但是在使用數字證書之前就是錯誤的數據，那數字證書也愛莫能助。以及可能發生通過遠程控制輸入了密碼，完成轉賬。

這時候屏幕和按鍵就起到了關鍵的作用：

①交易要素直接顯示在U盾的屏幕上，所見即所簽，U盾上面只要顯示1萬元，實際簽名就一定是1萬元，杜絕了“提前篡改”的可能性。

②遠程操控再強力，也難以模擬真正的物理按鍵點擊，最后的交易確認在U盾上面點擊，遠程模擬操作也難以奏效。

隨著監管的完善以及要求的提高，二代盾逐漸普及，在網銀蓬勃發展的時代，好像人人都有好幾個盾，對應了不同的銀行。

移動時代的數字證書

移動時代的來臨是不可阻擋的，隨著手機和各種可攜帶的移動設備的增強，很多必須使用電腦才能完成的操作開始被替代，因為手機操作的便利性，人們逐漸傾向于能在手機上完成的事情就不再動用電腦。

在這個基礎上，網銀時代的“U盾”，使用率就開始逐漸下降并且走向沒落，但是數字證書卻沒有，從前面我們了解到，數字證書是核心，而“U盾”是其載體和防護措施，那么既然時代變了，數字證書怎么才能在移動端中使用呢？ 各種巧妙的方法被提出和實踐：比如，可以給U盾加入藍牙功能，變成藍牙盾，手機和電腦都可以用；比如說將U盾做成IC卡的形狀，方便攜帶，就和帶了一張銀行卡一樣；又比如使用專門的SIM盾，將密鑰存儲在專用的SIM卡中，可以插入電話卡槽使用；還有就是在“可穿戴設備” 比如手環，智能手表，眼鏡中加入芯片…..

以上這些方法，雖然都有具體實踐，且安全度都相當不錯，但是時至今日，我們眼見的這類產品卻沒有普及。 這是為什么呢？

不向外求

不向外求，其實是現在移動端的一個整合趨勢，當手機查看時間極為方便時，僅為了看時間而戴手表的人就不會選擇手表了。當手機攝像能力不停增強，卡片式照相機幾乎絕跡了，而當手機的安全模塊不斷增強時，外部的設備就逐漸失去了用戶的喜愛：如果手機就足夠了，為何還要額外的設備呢？ 誠然，額外設備帶來的“分離式”認證安全性足夠高，但用戶傾向于使用便捷方案的腳步越來越快，除了一些巨額和超大額交易場景，對于“不便捷但安全”的場景越來越不再能接受，用戶更喜歡“一機在手，天下我有”的舒適感，而這種趨勢目前是很明顯且很難被替代的。

這就導致了手機、移動端本身的功能越做越多，很多本屬于其他專用設備的元件和芯片也開始加入手機內部，而外部專用設備的使用率明顯下降。

化繁為簡

除了“不向外求”之外，簡化流程和便捷性也是產品的生死線?；叵肫饋砦覀儺斈晔窃趺词褂镁W銀的，拿到u盾需要開啟，可能還需要專門去一趟銀行做授權，真正使用的時候還需要安裝驅動程序，安裝網銀助手，為指定的瀏覽器安裝插件，安裝完之后如果出現兼容問題還需要換瀏覽器，這一系列的操作以現在來看實在過于繁雜。如果在APP中滑動一個按鈕，驗證一下信息就可以開啟高級功能，顯然更簡單舒適，而且目前主流的支付應用也確實就是這么實踐的。

兼容度與安全性的方案整合

說完了“不向外求”與“化繁為簡”，這里還是需要面臨一個問題，那就是移動端的顯著差異性明顯比PC時代更高。比如大家都有電腦，裝的操作系統也都相似，而PC機器并沒有“不向外求”的特點，那么一個當時的U盾產品，其實只需要適配操作系統和瀏覽器就好，基本不會在乎這個PC的品牌是什么，是戴爾還是神州，對于U盾來說幾乎沒有任何區別。

但是在移動端，就會有顯著的差異，比如一家手機在其芯片中加入了安全模塊，另一家并沒有，而有的手機加入了3D結構光的人臉識別，其他手機沒有等等，新技術的發展和競爭異常迅速和激烈，這也就導致了做方案的時候“兼容度”和“安全性”有了一定的“沖突”。

在這種情況下，多種移動端方案的整合就成了一種很合適的模式，比如CFCA的移動端解決方案就非常完善的解決了這個問題，利用密鑰分隔算法實現云端與本地分別存儲密鑰的云證通產品可以兼容絕大多數智能機型，同時可以提供較高的安全服務保障，FIDO+產品可以提供基于本地金融級生物識別大額支付，且規避生物識別信息泄露問題，手機盾產品可以為手機提供最高安全級別的，U盾級別的的安全防護。

方案的結合不但可以保障安全，更為使用方提供了更全面的使用場景和模式，滿足各種情況下的需求，這也是當前移動端生態中最好的兼容性與最強的安全性從沖突到統一的未來前景。

責任編輯：韓希宇