《區(qū)塊鏈隱私計算指南》發(fā)布核心之外以API提供隱私計算服務

2019-07-22 09:00:21 來源：萬向區(qū)塊鏈

7月19日，由中國電子技術(shù)標準化研究院和杭州市蕭山區(qū)人民政府主辦的區(qū)塊鏈技術(shù)和應用峰會暨第三屆中國區(qū)塊鏈開發(fā)大賽成果發(fā)布會在杭州蕭山

7月19日，由中國電子技術(shù)標準化研究院和杭州市蕭山區(qū)人民政府主辦的“區(qū)塊鏈技術(shù)和應用峰會暨第三屆中國區(qū)塊鏈開發(fā)大賽成果發(fā)布會”在杭州蕭山舉辦。本次大會以“標準引領(lǐng)應用創(chuàng)新”為主題，以發(fā)布開發(fā)大賽成果為契機，共同探索區(qū)塊鏈技術(shù)標準以及應用的發(fā)展。

會上，上海萬向區(qū)塊鏈股份公司高級總監(jiān)郝玉琨作為代表，發(fā)布并解讀了《區(qū)塊鏈隱私計算服務指南》(下稱“指南”)標準。

《指南》由中國電子技術(shù)標準化研究院指導，萬向區(qū)塊鏈牽頭起草，矩陣元技術(shù)(深圳)有限公司、中國電子技術(shù)標準化研究院、深圳前海微眾銀行股份有限公司、眾安信息技術(shù)服務有限公司、廈門安妮股份有限公司、易見供應鏈管理股份有限公司、上海金丘信息科技股份有限公司、上海復星高科技(集團)有限公司、北京京東振世信息技術(shù)有限公司、福建省海峽區(qū)塊鏈研究院、深圳華大基因科技有限公司、中國平安(集團)保險公司等公司共同編寫完成。

以下為標準發(fā)布及解讀全文，整理自現(xiàn)場速記稿：

萬向區(qū)塊鏈郝玉琨

尊敬各位領(lǐng)導以及區(qū)塊鏈行業(yè)的同仁，大家上午好!非常榮幸能夠在這里為大家介紹和發(fā)布《區(qū)塊鏈隱私計算服務指南》團體標準。

最近，F(xiàn)acebook發(fā)的Libra，牽動著整個行業(yè)的關(guān)注點，美國政府在近段時間里組織了兩場聽證會，全球政府、央行、監(jiān)管部門等都在關(guān)注著事態(tài)的進展以及美國政府的態(tài)度。在這兩場聽證會里，有一個非常重要的爭議點——隱私保護。Facebook能夠覆蓋20億用戶，怎么保證他不會拿數(shù)據(jù)來作惡?怎么保證數(shù)據(jù)的隱私?

在電子技術(shù)標準化研究院的指導下，中國區(qū)塊鏈技術(shù)和產(chǎn)業(yè)發(fā)展論壇成員的共同努力下，由萬向區(qū)塊鏈牽頭編寫了《區(qū)塊鏈隱私計算服務指南》。關(guān)于這個標準，我們在前期已經(jīng)做了非常充分的準備，去年我們已經(jīng)發(fā)過一個隱私保護的團體標準，今年從4月份開始，我們邀請行業(yè)同仁來共同參與討論，前段時間在深圳做了集中編寫和充分論證。正好在這個時間節(jié)點發(fā)布，我想應該也是工信部、電子標準院以及論壇對于區(qū)塊鏈行業(yè)發(fā)展的充分理解，在這樣一個大背景下適時推出了這樣一個團體標準。

《區(qū)塊鏈隱私計算服務指南》實際上是一個操作指南，它沒有對行業(yè)里經(jīng)常講的那些熱詞和細節(jié)做過多的解釋，因為在標準領(lǐng)域看來，這些細節(jié)是留給技術(shù)專家以及行業(yè)從業(yè)人員研究的。標準化論壇推出它，是為了給行業(yè)從業(yè)者就利用區(qū)塊鏈技術(shù)提高數(shù)據(jù)交換效率和可信性，同時在保護數(shù)據(jù)隱私前提下實現(xiàn)多方協(xié)作的數(shù)據(jù)計算等方面提供指引的，告訴大家什么是基于區(qū)塊鏈的隱私計算，應該怎么用，用完之后怎么管。

首先，區(qū)塊鏈隱私計算服務包括：原則和相關(guān)方、技術(shù)架構(gòu)、服務管理等方面的內(nèi)容。本標準適用于指導區(qū)塊鏈隱私計算服務的展開，同時評估相關(guān)方的區(qū)塊鏈隱私計算服務能力;其次是評估區(qū)塊鏈隱私計算服務對組織的適用性;第四是審計區(qū)塊鏈隱私計算服務的安全性和合規(guī)性。從區(qū)塊鏈誕生以來，合規(guī)都是和它相伴相生的，特別是隱私計算涉及到用戶數(shù)據(jù)的相關(guān)合規(guī)性應該怎么做，這里面也有一些說明。

在今年上半年的國際標準討論中，中國區(qū)塊鏈技術(shù)和產(chǎn)業(yè)發(fā)展論壇牽頭會同了行業(yè)里的眾多專家，把“區(qū)塊鏈是什么”做了漢語定義，我們也對區(qū)塊鏈隱私相關(guān)概念做了定義。包括對隱私計算、安全計算、零知識證明、可信執(zhí)行環(huán)境、門限簽名、數(shù)據(jù)提供方、數(shù)據(jù)執(zhí)行方、數(shù)據(jù)使用方等這些基礎(chǔ)概念做了一個框定。

隱私計算服務指南的原則

接下來，講一下隱私計算服務指南的原則。首先，我們遵循的是國際標準GB/T 35273-2017 中第四章“個人信息安全基本原則”。也就是區(qū)塊鏈隱私計算要依托國際標準對于個人隱私、個人數(shù)據(jù)的要求。在這上面，我們又提出了以下五點原則：一是安全隔離原則，也就是說隱私數(shù)據(jù)需要限定在特定的范圍之內(nèi);二是最小授權(quán)原則，授權(quán)對象最小、數(shù)據(jù)內(nèi)容最小、授權(quán)權(quán)限最小和時間最小;三是明示同意原則，應當獲得隱私主體明確授權(quán);四是透明原則，隱私計劃應該保證透明度，保證雙方公開;最后是監(jiān)管合規(guī)，隱私計算所有的業(yè)務應該是在國家和政府的法律指導下合規(guī)開展。

相關(guān)方

關(guān)于相關(guān)方，如下圖所示：

主體業(yè)務端有前端的終端用戶、業(yè)務提供方、技術(shù)提供方和第三方。從去年開始，網(wǎng)信、公信、公安各個部委都對區(qū)塊鏈隱私、合規(guī)這塊做了很多工作。對隱私計算來說，就有“第三方”的概念，第三方包括監(jiān)管、審計、治理。也就是說，整體隱私計算服務從架構(gòu)和設(shè)計上來說，是把監(jiān)管和治理、審計設(shè)計在里面，業(yè)務開展需要在一個合規(guī)，有監(jiān)管的前提下有序開展。

技術(shù)架構(gòu)

關(guān)于技術(shù)架構(gòu)，區(qū)塊鏈和隱私計算本來是兩個已有的領(lǐng)域，用區(qū)塊鏈技術(shù)可以提高隱私數(shù)據(jù)的交換效率和可信，來幫助我們更好地開展隱私計算。底層還是基于區(qū)塊鏈基礎(chǔ)設(shè)施，上層有數(shù)據(jù)共享、數(shù)據(jù)計算、密鑰管理三個縱向模塊，右側(cè)是在核心模塊之外以API形式對外提供隱私計算服務。

管理要求

接下來是管理要求。納入相關(guān)方，獲得了數(shù)據(jù)，并建立了相關(guān)的服務之后，應該怎樣對這些技術(shù)、產(chǎn)品進行管理。隱私計算需要有這樣幾個管理要求：一是需要設(shè)立相關(guān)的合規(guī)管理崗位，通過相關(guān)方對合規(guī)、對組織進行相關(guān)政策制定;另外一個是風險防范與控制，因為我們要通過設(shè)立專門的機制、人員來保證隱私數(shù)據(jù)不被泄露、不被破解，以及出了問題后密鑰的泄露和丟失處置。

隱私計算過程

我們也規(guī)定了隱私計算的過程，這個過程如上圖所示，包含七個步驟，從預處理到共享、分解、任務分發(fā)一直到最后的提交驗證。這個流程圖是一個抽象的結(jié)果，因為在《指南》編寫過程中，大家都是業(yè)界內(nèi)的公司，每家公司都對于自己在區(qū)塊鏈隱私計算相關(guān)的工作領(lǐng)域做了展示和介紹，每家公司有不同的做法，最后論壇基于大家實踐中的共性，提煉出這樣一個可以參考、可以匹配的流程。

評估與審計

最后是評估與審計。這里面包含了以下六個評估項目：計算準確性的評估、可擴展性評估、計算能力評估、安全涉及評估、適用范圍評估和服務合規(guī)性評估。《指南》里提供了這六個原則給大家作為參考，就像打分表一樣，基于六個大項，里面有若干個小項，對照著打一個分，最后可以看到我們的隱私計算服務能力到底是什么樣的效果性能。