深度解讀:電子合同進(jìn)階之路

馬臣云 萬聯(lián)網(wǎng) 2018-01-10 08:10:04

隨著電子簽名在各行各業(yè)的推廣,使用電子簽名技術(shù)打通無紙化的最后一公里已經(jīng)成為行業(yè)共識(shí)。本文分析了電子合同在不同階段的技術(shù)和應(yīng)用場景,并提出了手機(jī)盾技術(shù)、區(qū)塊鏈智能合約等技術(shù)對電子合同領(lǐng)域的影響。以電子合同的昨天、今天、明天給出了電子合同進(jìn)階之路。

大家都知道,電子合同最核心的價(jià)值是消除紙質(zhì)合同給信息流的斷層,可以提升業(yè)務(wù)效率、降低成本并提升管理能力。

以保險(xiǎn)行業(yè)壽險(xiǎn)為例,傳統(tǒng)保險(xiǎn)新契約需要7步:填寫紙質(zhì)保單、交單初審掃描、外包錄單、核保、轉(zhuǎn)賬代扣、生效制單、保單投遞。以上步驟涉及多個(gè)部門的流轉(zhuǎn)和參與,承保周期為5-7天,投入成本非常高。使用電子簽名解決投保單(投保人簽名)、保單(保險(xiǎn)公司蓋章)無紙化后,錄入投保信息、數(shù)字簽名、即時(shí)核保收費(fèi)生效、投保資料拍照上傳,后臺(tái)審核出具電子保單,整個(gè)流程下來可控制在30分鐘以內(nèi)。實(shí)際上發(fā)生變化的不僅僅是效率提升成本下降,而是加速了保險(xiǎn)業(yè)務(wù)推進(jìn)的效率,降低“反悔率”。

初次接觸到電子合同的人對其最大的顧慮是合法性,實(shí)際上我們國家早就有相關(guān)的法律支撐。比如《合同法》第十一條是這樣寫的“書面形式是指合同書、信件和數(shù)據(jù)電文(包括電報(bào)、電傳、傳真、電子數(shù)據(jù)交換和電子郵件)等可以有形地表現(xiàn)所載內(nèi)容的形式”?!峨娮雍灻ā返谄邨l:“數(shù)據(jù)電文不得僅因?yàn)槠涫且噪娮印⒐鈱W(xué)、磁或者類似手段生成、發(fā)送、接收或者儲(chǔ)存的而被拒絕作為證據(jù)使用”;第十四條: “可靠的電子簽名與手寫簽名或者蓋章具有同等的法律效力”?!缎淌略V訟法》《民事訴訟法》提到,可以用于證明案件事實(shí)的材料,都是證據(jù);包括...(八)視聽資料、電子數(shù)據(jù)。

其中《電子簽名法》對電子簽名、電子證據(jù)描述的最為詳細(xì),總結(jié)如下:

接下來,我們就以電子合同的昨天、今天、明天聊一聊行業(yè)主流解決方案以及未來的發(fā)展方向。

電子合同的昨天(1.0)

當(dāng)前國內(nèi)主流電子合同解決方案分為兩個(gè)陣營,傳統(tǒng)CA機(jī)構(gòu)、互聯(lián)網(wǎng)電子合同平臺(tái),其主要思路可以歸納為如下圖所示:

(1)實(shí)名認(rèn)證

在2015年之前,傳統(tǒng)CA機(jī)構(gòu)一般是通過線下方式進(jìn)行客戶身份的實(shí)名認(rèn)證,針對個(gè)人用戶核驗(yàn)用戶身份證、企業(yè)用戶核對營業(yè)執(zhí)照等。

2015年后,由于P2P互聯(lián)網(wǎng)金融的熱起,在線實(shí)名方式被普遍使用,針對個(gè)人采用身份證聯(lián)網(wǎng)核查(姓名、身份證號(hào)碼匹配查詢)、活體識(shí)別、人臉對比、銀行卡四要素驗(yàn)證(姓名、身份證號(hào)碼、卡號(hào)、預(yù)留手機(jī)號(hào))等方式確定實(shí)名或?qū)嵢?。針對企業(yè),一般采用企業(yè)信用號(hào)碼查詢、網(wǎng)銀驗(yàn)證(給企業(yè)對公帳號(hào)打款若干,讓企業(yè)填寫金額)等。

(2)頒發(fā)數(shù)字證書

知道用戶是誰后,接下來就是給用戶頒發(fā)數(shù)字證書。數(shù)字證書是用戶線下身份轉(zhuǎn)化成線上身份的憑證。數(shù)字證書內(nèi)有用戶信息、用戶公鑰、證書序列號(hào)、有效期以及CA機(jī)構(gòu)對以上信息的簽名。提到公鑰就不得不提非對稱算法,非對稱算法是相對于對稱算法,對稱算法的加密和解密的密鑰是同一個(gè),而非對稱算法的密鑰是二個(gè),一個(gè)稱為公鑰可以公開,一個(gè)稱為私鑰,由用戶私有。公鑰加密只能用對應(yīng)的私鑰解密,反之亦然。私鑰對數(shù)據(jù)加密后,任何人使用其對應(yīng)的公鑰就可以解密,從而證明該數(shù)據(jù)是私鑰的加密的,那么持有私鑰的人就不能抵賴該行為,所以我們又稱這種用私鑰加密的方法為數(shù)字簽名。數(shù)字證書是CA機(jī)構(gòu)對用戶信息和公鑰的簽名,本質(zhì)就是由CA機(jī)構(gòu)擔(dān)保證明這個(gè)公鑰是某個(gè)人或單位的。

所以,私鑰是核心,是行使簽名的行為的“簽名制作數(shù)據(jù)”?!峨娮雍灻ā返谑龡l明確指出,“簽名制作數(shù)據(jù)”應(yīng)屬于電子簽名人專有、僅由電子簽名人控制。

針對私鑰的存儲(chǔ)和保護(hù),歷史上出現(xiàn)過三種方案,軟證書(密鑰)、U盾硬證書、云托管。

軟證書即私鑰作為一個(gè)文件保存在用戶終端,通過口令保護(hù),容易被黑客木馬復(fù)制和破解。軟證書在2008年之前PC網(wǎng)銀時(shí)代曾經(jīng)大行其道,后來屢屢發(fā)生被盜事件,監(jiān)管部門徹底叫停了軟證書。

軟證書叫停后,銀行開始普遍采用了U盾這種硬件介質(zhì)。U盾,又稱USBKEY、智能密碼鑰匙,內(nèi)置了專用的密碼芯片,保護(hù)私鑰不被輕易復(fù)制和破解。被認(rèn)為是當(dāng)前安全級別最高的私鑰保護(hù)手段,俗稱金融級硬證書。

由于U盾成本高、分發(fā)困難、用戶體驗(yàn)差,互聯(lián)網(wǎng)電子合同平臺(tái)采用了另外一種私鑰存儲(chǔ)方式:云托管。云托管顧名思義是在電子合同云平臺(tái)代為用戶存儲(chǔ)了用戶的私鑰,通過平臺(tái)自身的口令或者短信口令認(rèn)證的方式鑒別用戶。

(3)數(shù)字簽名

用戶有了私鑰、數(shù)字證書,就可以對電子合同進(jìn)行數(shù)字簽名了。由于PDF格式的文件容易展現(xiàn),同時(shí)支持電子簽章的驗(yàn)證,行業(yè)中大多采用PDF簽章的形式保存用戶的簽名和合同內(nèi)容。

這里簡單普及一下幾個(gè)名詞的區(qū)別:電子簽名、數(shù)字簽名、電子簽章。

電子簽名:《電子簽名法》第二條本法所稱電子簽名,是指數(shù)據(jù)電文中以電子形式所含、所附用于識(shí)別簽名人身份并表明簽名人認(rèn)可其中內(nèi)容的數(shù)據(jù)。

數(shù)字簽名:利用現(xiàn)代密碼技術(shù),PKI/CA體系,實(shí)現(xiàn)電子簽名的一種技術(shù)。

電子簽章:在數(shù)字簽名的基礎(chǔ)上,利用圖章的可視化形式,實(shí)現(xiàn)的電子簽名。本質(zhì)上仍是數(shù)字簽名。

也就是說數(shù)字簽名是電子簽名的實(shí)現(xiàn)形式的一種,未來不排除其他技術(shù)手段滿足可靠電子簽名的要求。而電子簽章是可視化的數(shù)字簽名。

(4)司法取證

為了解決司法實(shí)踐的實(shí)務(wù)問題,行業(yè)中引入了司法容易接受的公證處或司法鑒定機(jī)構(gòu)輔助完成證據(jù)舉證工作。

電子合同的今天(2.0)

電子合同1.0基本形成了相對完善的用戶實(shí)名認(rèn)證、證書發(fā)放、數(shù)字簽名以及司法舉證體系,但電子合同1.0模式中的私鑰存儲(chǔ)和保護(hù)方案是一個(gè)小小的遺憾。

軟證書的方案由于安全性太差早被人唾棄,不在我們的討論范圍。

U盾硬證書總結(jié)下來是一個(gè)高貴冷艷的方案,好處是安全性好,絕對合規(guī),但壞處也很明顯:首先成本和管理成本過高,導(dǎo)致只有銀行、政府類的應(yīng)用在使用它,其次使用麻煩、兼容性差也是用戶長期詬病的地方,各種瀏覽器不兼容問題,讓銀行的客服大為頭疼。

云托管方案,雖然徹底解決了用戶體驗(yàn)的問題,密鑰在云端存儲(chǔ),不需要任何介質(zhì),只要有口令,隨時(shí)隨地、任何設(shè)備上都可以進(jìn)行簽名,但是安全性卻值得商榷。眾所周知,基于口令或者短信口令屬于弱身份認(rèn)證手段,攻擊門檻低,故容易發(fā)生密鑰泄漏事件。同時(shí)云合同平臺(tái)管理了用戶私鑰,實(shí)際擁有了至高無上的權(quán)利,在一定的利益驅(qū)動(dòng)下是有條件冒充用戶替用戶完成簽名的。所以,國家密碼管理部門至今沒有為任何云托管方案頒發(fā)密碼產(chǎn)品型號(hào),其無法滿足《電子簽名法》中第十三條規(guī)定的可靠電子簽名的條件。

那問題來了,有沒有兼顧合法性、安全性與便利性的方案呢?

實(shí)際上人們一直探討手機(jī)能不能成為認(rèn)證的介質(zhì),幸運(yùn)的是隨著移動(dòng)安全、密碼技術(shù)的發(fā)展,以及手機(jī)自身安全條件的改善,一種叫手機(jī)盾的產(chǎn)品應(yīng)運(yùn)而生。

手機(jī)盾利用手機(jī)自身的密碼芯片結(jié)合巧妙的私鑰處理機(jī)制配合云密碼機(jī)以及綜合的移動(dòng)安全技術(shù),在私鑰保護(hù)方面可以和U盾相媲美。其基本原理是由手機(jī)端、應(yīng)用服務(wù)器端、密碼服務(wù)中心端各自生成私鑰因子,三方協(xié)同計(jì)算,最終結(jié)果完成數(shù)字簽名。在生成和計(jì)算過程,任何時(shí)間、任何設(shè)備都沒有完整的私鑰出現(xiàn),從而大大提升了攻擊難度。手機(jī)端又利用TEE/SE、設(shè)備信息、指紋等技術(shù)以及抗逆向、防調(diào)試等移動(dòng)安全的技術(shù)立體了保護(hù)手機(jī)端私鑰因子。

由于不需要額外的介質(zhì),手機(jī)變U盾,兼容主流智能手機(jī),支持APP和PC掃碼應(yīng)用,其安全性和易用性得到大大的提升。行業(yè)內(nèi)已有部分產(chǎn)品通過國家密碼局、公安部、銀行卡檢測中心的認(rèn)證,真正達(dá)到了金融級別安全和互聯(lián)網(wǎng)的體驗(yàn)。我們稱這種把安全性和易用性得到良好平衡的方案為電子合同2.0

電子合同的明天(3.0)

電子合同2.0幾乎完美解決了電子合同簽署的問題,但本質(zhì)上還是紙質(zhì)合同的無紙化。合同內(nèi)容是靜態(tài)的,只是從文字上約定各方的權(quán)利義務(wù),合同的執(zhí)行和紙質(zhì)合同一樣,仍然依賴線下各單位的商業(yè)操守、法律底線。執(zhí)行效率低,容易出現(xiàn)拖款、違約等情況,違約后的糾正成本非常高。另外,合同只解決了甲乙雙方的權(quán)利義務(wù),屬于點(diǎn)對點(diǎn)的信任建立。實(shí)際產(chǎn)業(yè)鏈中,商流、信息流、資金流是流動(dòng)的,跨多個(gè)組織的,靜態(tài)的電子合同無法形成全鏈條的信任的傳遞和累積。

如果電子合同約定的權(quán)利義務(wù)能夠公平公正的執(zhí)行,則會(huì)大大提升執(zhí)行效率和執(zhí)行的公正性。如果商流、信息流、資金鏈、物流能夠在多機(jī)構(gòu)之間可信、可控的共享,那么一種新的商業(yè)信任體系就可以構(gòu)建起來。

給我們帶來希望的是區(qū)塊鏈和智能合約技術(shù)。區(qū)塊鏈?zhǔn)潜忍貛诺牡讓蛹夹g(shù),是一個(gè)分布式賬本,一種通過去中心化、去信任的方式集體維護(hù)一個(gè)可靠數(shù)據(jù)庫的技術(shù)方案。智能合約是運(yùn)行在區(qū)塊鏈上模塊化、自動(dòng)執(zhí)行的腳本,能夠?qū)崿F(xiàn)數(shù)據(jù)處理、價(jià)值轉(zhuǎn)移、資產(chǎn)管理等一系列功能。

智能合約構(gòu)建和執(zhí)行流程如下:

1、多方用戶共同參與制定一份智能合約:合約中包含了雙方的權(quán)利和義務(wù),觸發(fā)的條件以及觸發(fā)后的執(zhí)行的動(dòng)作,使用編程語言編程實(shí)現(xiàn),開源公示給各方。

2、部署智能合約:根據(jù)合約內(nèi)容,指定N個(gè)或全部節(jié)點(diǎn)部署智能合約,上傳合約代碼到指定節(jié)點(diǎn)。

3、達(dá)到條件觸發(fā)合約執(zhí)行:條件可以是規(guī)定的時(shí)間、可以是外部輸入的交易和數(shù)據(jù)(比如到貨、初驗(yàn)、終驗(yàn)、招標(biāo)、抵押等,這些交易由調(diào)用者發(fā)起并保存到區(qū)塊鏈),部署合約的節(jié)點(diǎn),共同執(zhí)行合約內(nèi)容完成之前指定的動(dòng)作(比如付款、抵押、解抵押),利用共識(shí)算法把運(yùn)行狀態(tài)保存到區(qū)塊鏈。

比如在供應(yīng)鏈金融領(lǐng)域,存在信息不對稱、信息無法共享、信任無法傳遞、履約無法保障等問題,造成了中小企企業(yè)融資難、融資貴的現(xiàn)象。那么用區(qū)塊鏈共享賬本可以解決信息不對稱;應(yīng)收應(yīng)付票據(jù)資產(chǎn)數(shù)字化,在區(qū)塊鏈上確權(quán)轉(zhuǎn)移解決信任傳遞問題;用智能合約實(shí)現(xiàn)結(jié)算支付自動(dòng)化則可以有效管控風(fēng)險(xiǎn)。

綜上,電子合同3.0,則是在解決紙質(zhì)合同無紙化后,利用區(qū)塊鏈技術(shù)把企業(yè)資產(chǎn)數(shù)字化,數(shù)字化資產(chǎn)價(jià)值可確權(quán)、可拆分、可傳遞。利用智能合約技術(shù)使合約能夠按照約定公正的,無干擾的自動(dòng)執(zhí)行,從而構(gòu)建新的商業(yè)信用體系。

作者簡介:

馬臣云,網(wǎng)絡(luò)ID:“非著名信息安全磚家”,十五年的信息安全產(chǎn)品的研發(fā)和產(chǎn)品管理工作,主要方向是密碼學(xué)、區(qū)塊鏈、身份認(rèn)證、電子簽名。

系國家電子簽章技術(shù)規(guī)范起草人、互金協(xié)會(huì)電子合同標(biāo)準(zhǔn)起草人,曾獲省部級科技進(jìn)步二等獎(jiǎng)、首都勞動(dòng)獎(jiǎng)?wù)?、全國五一勞?dòng)獎(jiǎng)?wù)拢小毒≒KI網(wǎng)絡(luò)安全認(rèn)證技術(shù)與編程實(shí)現(xiàn)》一書。

2016年創(chuàng)辦北京信任度科技,致力于技術(shù)讓信任更簡單!

信任度科技以“企業(yè)互聯(lián)網(wǎng)”時(shí)代的客戶需求為核心,專注于解決制約全流程互聯(lián)網(wǎng)化運(yùn)營的可信身份、可信行為、可信數(shù)據(jù)等問題,建立了以手機(jī)盾可信數(shù)字身份為核心,涵蓋全平臺(tái)、全場景的電子簽名產(chǎn)品與解決方案體系,并通過區(qū)塊鏈技術(shù)推動(dòng)身份、行為、數(shù)據(jù)從組織內(nèi)部向生態(tài)化、社會(huì)化領(lǐng)域的延伸。

長按二維碼關(guān)注我們