电子认证治理与CA信任生态第05页：电子认证治理与CA信任生态

01 · 法律与监管框架

1.1 三层制度结构

国密电子认证的治理呈现"法律—行政法规—部门规章"三层结构，且存在"双头监管"的制度特征：

1.2 "双头监管"的运行逻辑

一家持牌电子认证服务机构实际上接受双线监管：工信部管"认证服务的商业行为与服务质量"（许可、年报、检查、业务承接安排），国家密码管理局管"密码使用的合规性"（密码使用许可、密码产品检测、密评衔接）。2017年《电子认证服务密码管理办法》修订后，两线衔接更紧密。这一结构的国际对照意义：国际Web PKI的治理主体是浏览器厂商联盟（CA/B Forum）与市场机制，国密体系则是行政监管主导——前者灵活但依赖企业权力，后者确定性强但创新节奏受行政周期影响（第3页方法论启示的延伸）。

02 · 电子认证服务许可制度

2.1 许可要件

依据《电子认证服务管理办法》，从事电子认证服务须取得《电子认证服务许可证》。设立条件包括（要点）：具有独立的企业法人资格；与提供电子认证服务相适应的人员（从事电子认证服务的专业技术人员、运营管理人员、安全管理人员和客户服务人员不少于三十名且符合岗位技能要求）；注册资本不低于人民币三千万元；具备符合国家有关标准和技术规范的安全保障措施；等等。同时须取得《电子认证服务使用密码许可证》方可使用密码从事认证服务。

2.2 持续监管与退出机制

• 报告与检查：CA须向工信部报送认证业务开展情况报告、财务会计报告；接受定期与不定期检查（覆盖法律法规符合性、安全运营管理、风险管理）；重大系统事故、重大财产损失、重大法律诉讼、关键岗位人员变动须及时报告。
• 暂停与终止的"业务承接"制度：CA拟暂停或终止服务的，须在九十日前通知有关各方、六十日前向工信部报告，并与其他CA协商业务承接；未能达成协议的，由工信部安排承接——这一制度确保证书生态不会因单一CA退出而信任坍塌，是国际根程序" distrust 即退市"机制之外的另一种连续性保障设计。
• 罚则：隐瞒情况、提供虚假材料的处警告或罚款；降低许可条件的责令限期改正并公告。

03 · CA行业生态格局

3.1 生态画像

持牌电子认证服务机构构成"全国性机构+区域性机构"的梯队格局，服务对象高度集中于金融与政务：

与国际生态的关键差异：国际公共CA数以百计（浏览器根库纳入约百余个组织、上千个信任锚），国密持牌CA为数十家量级且准入受行政许可控制；国际DV证书全自动免费签发，国密证书（尤其含KM托管的双证书）流程重、周期长、以组织与个人实名制为基线。这决定了国密生态"滥用成本低"的问题远小于国际生态，但"可用性与敏捷性"问题更突出——两类体系的钓鱼风险结构根本不同（第8页展开）。

3.2 CA运营的密码合规要求

• CA系统须符合GB/T 25056-2018《证书认证系统密码及其相关安全技术规范》，通过商用密码应用安全性评估；
• 使用的密码产品（CA系统、签名验签服务器、HSM/服务器密码机）须具备商用密码产品认证证书；
• 签发SM2双证书并对接KM中心托管加密密钥（第3页架构）；
• 制定并备案电子认证业务规则（CPS）与证书策略（CP），明确身份核验等级、证书生命周期与责任条款。

04 · 信任锚的分发机制

4.1 国密根证书如何到达客户端

4.2 信任提示的用户界面

国密浏览器通常在地址栏展示专门的"国密"或"国密SM2"身份标识（如锁形+国密字样），以区别于普通HTTPS标识——这一设计的双刃剑效应是：一方面为用户提供了"该站点使用国产加密"的可感知信号，另一方面若用户被训练为"见国密标识即可信"，则该标识本身可能成为钓鱼者的仿冒对象（第8页攻防场景S2）。如何设计"不被滥用的信任标识"是国密生态特有的HCI安全课题。

05 · 电子签名法律效力与CA的证明职能

5.1 可靠电子签名的四条件

《电子签名法》第十三条规定，电子签名同时满足下列条件的，视为可靠的电子签名：（一）电子签名制作数据用于电子签名时，属于电子签名人专有；（二）签署时电子签名制作数据仅由电子签名人控制；（三）签署后对电子签名的任何改动能够被发现；（四）签署后对数据电文内容和形式的任何改动能够被发现。当事人也可以选择使用符合其约定的可靠条件的电子签名。第十四条规定，可靠的电子签名与手写签名或者盖章具有同等的法律效力。

5.2 CA的证明链条

将四条件翻译为密码学与运营语言，正是双证书架构（第3页）与CA身份审核流程的制度化表达：

5.3 时间戳与证据服务

可信时间戳（依据《电子签名法》对数据电文时间确定性的要求）由时间戳服务机构（TSA）签发，将签名值与可信时间绑定，防止"重签旧文件"类争议。头部CA普遍提供"证书+时间戳+存证"的一体化证据服务，部分机构还与司法鉴定、互联网法院证据平台对接——CA的价值正在从"发证书"向"出证据"迁移。

06 · 跨境互认探索

6.1 粤港电子签名证书互认

内地与香港自2009年起建立电子签名证书互认机制，《粤港两地电子签名证书互认办法》于2012年发布实施：两地电子认证服务机构可经核准开展跨境互认服务，互认证书用于两地电子商务与政务文书的电子签署。互认安排采取"目录核准+年度评估"模式——这本质上是监管制度层面的互信（而不仅是算法层），其经验对更大范围的跨境互认具有样本价值。

6.2 国际互认的现实边界

• 算法层已通：SM2/SM3/SM4均已成为ISO/IEC国际标准（第2页），技术层面不存在"不认识的算法"。
• 信任层未通：国际浏览器根程序未纳入任何国密CA；国际文档签名（如Adobe AATL）信任列表亦未纳入——跨境场景中国密证书需借助"双证书策略"（国密证书服务境内合规、国际证书服务跨境兼容）。
• 制度层渐进：互认的实质是法律责任与审计体系的相互承认，典型路径是"双边互认试点→区域规则（如CEPA框架）→多边安排"的渐进路线；eIDAS（欧盟）与全球LEI体系的经验表明，身份互认制度的建设周期以十年计。

本节参考来源（本页）

以下均为真实可查的权威来源，用于支撑本页法律与生态事实。