近日，公安部、國家互聯網信息辦公室發布《國家網絡身份認證公共服務管理辦法(征求意見稿)》(以下簡稱《征求意見稿》)。其中提到，國家為社會公眾統一簽發“網號”“網證”，提供以法定身份證件信息為基礎的真實身份登記、核驗服務，自然人可通過國家網絡身份認證公共服務平臺自愿申領并使用“網號”“網證”登錄互聯網平臺，使用互聯網服務。
《國家網絡身份認證公共服務管理辦法(征求意見稿)》
其中，“網號”是指與自然人身份信息一一對應，由字母和數字組成、不含明文身份信息的網絡身份符號；“網證”是指承載網號及自然人非明文身份信息的網絡身份認證憑證。
“網號網證”似乎真的要來了，圍繞它的關注、疑問不少。這項制度意味著什么？將如何影響我們的生活？
北京大學法學院胡凌副教授研究網絡法多年，專注于探討互聯網作為一種全新的生產方式催生出新的生產組織、生產關系，并影響法律規則的形成。數字身份及其認證是他研究的重點之一。帶著對“網號網證”的諸多問題，近日，南風窗與胡凌展開了對話。
多一個選擇的入口
南風窗：國家通過統一的公共服務平臺、簽發“網號”“網證”的網絡身份認證方式，與現行的網絡身份認證有何不同？對網民個體的上網會產生什么影響？
胡凌：根據《網絡安全法》第二十四條，《電子商務法》第二十七條，《反電信網絡詐騙法》第二十一條等規定，網絡運營者在提供相應網絡服務的時候，應當要求用戶提供真實身份信息，也就是實名制管理。相當長一段時間里，通過手機號驗證是我們向互聯網平臺提供身份核驗的主要方式，因為手機號是需要以實名身份購買并且綁定的，相當于真實身份信息被電信運營商這個環節掌握，而其他環節的網絡服務可以間接地使用這一身份標識進行驗證。目前我們看到的網絡服務基本上是圍繞手機號搭建起來的識別系統。還有一種情況是，大廠APP的賬號因為具有一定程度的影響，也會被用來登錄第三方服務平臺，實現可信身份驗證，進而跨平臺共享用戶數據。
“網號”“網證”服務形態比較接近于之前公安部第一研究所承建的可信身份認證平臺(CTID)，后者是以身份證制證數據為基礎，與實體身份證芯片對應的電子映射；前者根據《征求意見稿》中的定義，也是與自然人身份信息一一對應的。用戶在申領“網號”“網證”后可在需要登錄的第三方平臺進行核驗，此時相關個人認證信息根據法律、行政法規規定，有時會保留在平臺，有時僅由公安部后臺數據庫驗證后向平臺回饋驗證結果，即可證明自己作為自然人和線下公民身份的唯一性。目前兩個系統是同時并存的，都是基于用戶自愿原則進行申領，關鍵還是看使用的場景。
我理解“網號”“網證”和現有的網絡身份認證方式是一種平行關系，意味著多了一個供大家選擇的入口。我們已經看到，國家網絡身份認證APP(試點版)服務界面包括可以打碼的網號、虛擬證件憑證和動態的二維碼，從而實現數字化證件的兩種主要功能：展示功能(人讀)和后臺驗證(機讀)。未來在登錄APP的時候，在操作上可能出現跳轉國家網絡身份認證APP進行認證的選項。在線下一些場合，如果忘記攜帶身份證件，也可以通過展示手機界面或刷二維碼的方式進行核驗。
國家網絡身份認證APP(試點版)服務界面
推行“網號”“網證”可能意味著網絡身份核驗不再以手機號碼為核心，會增加平臺通過手機號直接對應到具體個人的成本，只能通過賬戶推送廣告信息，降低了手機號和其他身份信息泄露的風險。對用戶而言，相當多日常生活相關的APP已經實名制注冊登錄過，因此影響不大，更重要的是可以幫助推動解決過去一些因為認證成本高而無法實現的身份認證問題，例如難以追蹤到電詐團伙，或者無法為未成年人提供有效身份等。
南風窗：身份核驗在現代數字生活(如社會生產與治理)中具有怎樣的價值？由此，如何理解提供國家網絡身份認證公共服務的意義？
胡凌：最早的身份認證，是社會主體為了確保屬地安全秩序、分配有限資源，使其成員享有相應的權利、履行義務，賦予這些成員某種固定不變的身份，因此身份核驗的實質是證明人們所擁有的“資質”。這些資質信息不單純和個人相關，而是反映了個人和單位組織之間的關系，推而廣之，個人身份信息反映的也是在不同的社會關系中他人對個體的認同和識別。傳統線下單位組織向個人頒發身份信息并加以認證，但影響力可能較弱。
互聯網平臺服務也是類似的道理，需要服務千萬級用戶，盡管可以允許用戶使用假名注冊，但其商業模式仍然需要技術手段追蹤，確保登錄賬戶的用戶身份唯一性。如果因為成本無法負擔一個更加廣泛和流動的成員群體身份認證，就需要某種身份認證的公共服務。我們到景區去旅游，為了限流以及防止黃牛票，都不得不通過真實身份核驗來確保服務秩序和公平。以前是用身份證，現在有了“網號”“網證”，身份核驗可以實時聯網查詢，無論你去哪兒，都能通過同一套系統證明“你是你”，而不是他人盜用了你的資質。這就是基于大規模社會流動性的治理思路，即現代國家不得不依賴數字基礎設施降低治理成本。
在2016年《網絡安全法》通過的時候，存在多種認證技術路線和實踐，因此規定國家推動不同電子身份認證之間的互認。統一的網絡身份認證基礎設施，能夠降低社會組織對其成員認證和互聯網平臺合規的成本，也能“擋”住平臺對個人信息的超范圍采集、留存等亂象。該制度還可以推動解決其他一系列現實治理問題。例如，在電信網絡詐騙犯罪中，很多電詐團伙跑到農村收購留守老人和婦女的戶口本、身份證、手機號和銀行卡，大批開通網絡賬戶或注冊公司，從事詐騙、“水軍”等活動。如果這些網絡賬戶通過“網號”開通，而不是和實體電話號碼綁定，就可能遏制電信詐騙行為，提高犯罪成本。又例如，因為較少使用身份證或不擁有手機號，很多未成年人的身份難以核驗，帶來很多游戲沉迷或打賞糾紛，家長為子女申領“網號”也可以實現快速認證。
身份認證制度有其邊界
南風窗：《征求意見稿》提到，“網號”“網證”的應用能夠最大限度減少互聯網平臺超范圍采集、留存公民個人信息，保護公民個人信息安全。從技術層面看，它是如何做到的？
胡凌：我最近也體驗了試點版的國家網絡身份認證公共服務APP，它采用的是“靜態號碼+動態認證”的認證方式。這個靜態號碼就是你領到的網號，這是一串固定的、和身份信息無關的生成號碼，但能夠對應到本人。靜態號碼可以在某些場合進行展示或填報，第三方APP通過認證平臺反饋確認你是具有真實基礎身份的用戶，但除非法律法規另有規定，否則無法讀取身份證號、電話號碼等信息。通俗來講，通過使用“網號”，用戶真實身份信息和各類應用服務之間就搭建起了“防火墻”和“隔離帶”。
如果是一些線下場景，每次需要核驗的時候，還會隨機生成動態二維碼，這種動態認證可以避免截圖和身份冒用。原來基于手機號的認證系統通過動態驗證碼提供了多重因子認證，但可能會被偽基站劫持。人臉識別需要真人搖頭或眨眼，也是一種強調動態性的驗證方式，但對技術要求更高。二維碼掃碼目前看來是線下應用較為廣泛的一種技術實現方式，但也存在需要部署終端等成本問題。
因此可能不存在一勞永逸的完美身份認證解決方案，社會事務對認證的需求是無窮盡的，應該鼓勵更加便捷的基于場景的多元方案。
國家網絡身份認證公共服務APP中的網絡身份認證憑證
南風窗：能否理解為，原本各互聯網平臺的身份核驗及身份信息存儲、管理責任“集中”到了國家網絡身份認證公共服務平臺？這樣的變化意味著什么？
胡凌：現有網絡身份認證實踐主要集中在電信運營商提供的手機號和大廠平臺賬號共享兩類。通過“網號”“網證”制度，身份核驗部分地從電信運營商和大廠轉向國家網絡身份認證公共服務平臺，由公安部、網信辦等部門監督管理。
這些身份信息既然被新的部門收集儲存起來，當然需要對它的使用作出規定和限制，而且責任可能也意味著負擔。例如，涉及刑事犯罪的嫌疑人身份信息的獲取是否也可以參照原來從電信運營商依法調取證據的程序，都是可能發生的新問題。
比起刑事訴訟，民事糾紛的身份查證可能是另一個更普遍的問題。以往如果用戶通過網購買到假貨或者遇到網絡暴力，需要找平臺提供侵權者的真實身份信息，然后提起訴訟。原來的手機號認證體系可以由平臺提供手機信息，然后到電信運營商查詢。但在新的網號制度下，平臺和電信運營商都無法提供這些信息，就需要到國家網絡身份認證公共服務平臺核查，負擔也會相應轉移，相關程序如何開展也成了問題。像這樣一系列新問題，都需要更多探索。
南風窗：有學者擔憂，當基于真實身份的“網號”與多個互聯網平臺綁定使用，個體原本碎片化的網絡行為有可能被集中追蹤、暴露，進而約束個人言行空間。如何看待該公共服務平臺在“保障”與“約束”間有可能的矛盾？
胡凌：前面說過的手機號和大廠平臺賬號共享，都能夠實現個人身份信息的跨平臺使用，因此也就將某種價值較弱的身份信息轉化為更為通用的身份信息，成為基礎身份標識符。源于歐盟GDPR的個人信息攜帶權也試圖滿足用戶對信息碎片化加以整合的需求。因此，這種擔憂實際上可能不理解數字生產方式對信息使用和價值生產帶來的改變。
換句話說，在“網號”“網證”出現之前，碎片化網絡行為集中追蹤使用的模式已經開始并穩定了，這是數字生產方式的內在需求?，F在的問題是，我們是需要統一的低成本為更多的網絡服務提供便捷的認證方式，適應信息技術帶來的快速流動性需求，還是抑制這種需求，抬高成本，使基礎身份及其認證碎片化，這是社會成員的集體選擇。
“網號”“網證”的重心和監管網絡行為和言論無關。在該APP個人信息和隱私保護規則中，我們可以看到收集的信息包括基礎證件的芯片序列信息、人像、口令信息、終端設備信息等，而不是在第三方應用中的具體行為數據。打個比方，當人們進出國境時，在海關需要查驗護照，登記護照信息，并記錄進入和離開國境的時間，但如果需要獲取在國內從事的具體行為，就不是海關的職責了。類似地，網絡身份認證公共服務并不收集我們使用各類網絡服務的行為數據。
從網絡實名制推行以來，有人擔心其基于威懾和發現概率可能引發寒蟬效應，但多年來網絡黑灰產、謠言、網暴等問題并沒有因為實名制而解決，而且網絡行為還在不斷發生變化，這都說明真實身份認證有其自身的制度功能和邊界，無法承載全部的治理功能，需要把它和其他內容監管制度和手段區分開，分別進行研究討論。
數據權力的善治
南風窗：《征求意見稿》指出，申領“網號”“網證” 按照自愿原則。但“網號網證”的說法使人將其聯想為能夠上網、接入網絡服務的資格許可與限制，擔憂其存在強制推廣的趨勢。如何看待這種說法？
胡凌：目前來看，這項制度是以部委層級的規章進行試點推廣。“網號”“網證”作為一種網絡身份認證的公共基礎設施，未來是否會變成擴展到接入一切服務的端口，既取決于運營和部署成本，也取決于和其他類型認證成本的比較優勢，還取決于社會接受的程度和意愿，其推廣是一個社會過程，很難強制，成本很高，還是得在現有制度和技術基礎上逐漸推動演化，在邊際上調整。
雖然現在輿論只是將注意力集中在大型互聯網平臺的接入，但如果放眼長遠，社會中存在大量需要進行認證的場合，如何提供成本更低的有效身份驗證服務，探索何時何處需要驗證何時不需要，需要更多研究。從這個意義上說，“網號”“網證”不是居民身份證，而是其信息映射。如果真要成為數字化的身份證，需要上升到法律層級，由全國人大修改《居民身份證法》。未來隨著技術發展、突發公共事件或者管理思路的調整，可能出現其他變化。
南風窗：今天我們已經體會到，“數據”作為一種治理的權力在深度介入我們的生活，但它對普通個體而言常常意味著不可見的“黑箱”。從制度系統建設的角度而言，如何建立關于數據的善治，增強民眾對此的信心？
胡凌：通過創設基礎身份，利用低成本信息技術，便利社會流動性，增加社會經濟價值，同時又確保一定程度的秩序和安全，這本身就是利用數據的善治。現代社會中人們崇尚隱私保護，實際上是工商業社會中流動加強，信任缺失的后果。那種以為個體可以控制所有關于自己信息的想法不太現實，無論是互聯網平臺希望用戶披露信息，通過你的行為數據和偏好獲利，還是為數字市場交易提供公共信息服務，都離不開信息的匯集和創造性使用。
黑箱問題可以通過表面上的協議或說明進行展示，但效果不佳，這本身就說明大部分理性的社會主體可能并非特別在意特定種類的身份信息使用，相反，他們在意的是如何通過信息更好輔助實現自己的目標。一旦私人成本過高，社會就需要公共信息服務，這就是為什么“網號”“網證”是一種增加身份認證服務市場供給的制度。所以可能沒必要糾結在身份技術和制度本身，而是要看到在何種場合需要何種信息，從而更好地實現社會治理目標。
從過去十余年的經驗看，認證技術在不停變化，身份證等證件、電話號碼、人臉、二維碼、指紋都曾經在一定時期內成為基礎身份標識，但也發生了改變。只要不把基礎身份制度想象成一勞永逸解決問題的固定化制度，而是嵌套在不斷變化的社會中的技術措施，我們看待“網號”“網證”面臨的爭議可能就會平和一些。
我個人更加關心這項制度施行后，在防范電詐和身份信息盜竊、保護個人信息安全、保護未成年人、解決糾紛等問題上有何推進。關于身份信息如何妥善使用，當下的法律如《個人信息保護法》《數據安全法》已經提供了基本框架，未來可以根據“網號”“網證”的實際應用效果進一步加以完善。(南風窗微信公眾號 作者 付思涵)