全国CA互认路线的分析与实践
引言
近年来，国家连续出台政策，旨在优化营商环境，推动全国统一大市场的加速建设，降低经营主体的交易成本，并促进招标采购行业实现全流程电子化。其中，实现跨区域、跨平台的CA互认被视为关键的支撑措施。本文围绕CA互认研究，分析技术路线、移动CA互认框架、技术关键要点，并总结实践验证情况。通过对这些问题的深入研究，希望能够帮助读者加深对CA互认技术方案的了解，同时为解决全国统一大市场建设中面临的技术问题，提供可借鉴的工作方法。
从实践来看，实现网络共享CA数字证书的技术路线主要分为基于硬件CA和移动CA两种。
基于硬件CA的互认主要有两种技术实现方法：一是对各CA机构和印章机构的现有驱动程序集中打包；二是国家开发统一驱动接口包。
2014年至2017年，国家层面和地方层面均在开展全国硬件CA互认共享的探索。同时，部分省份的公共资源交易平台也开展了本省内的硬件CA互认。从实践应用来看，硬件CA互认存在四个不易解决的问题：
一是对现有技术依存度大，对CA机构的底层驱动技术和交易平台的对接开发改造依赖度很大；
二是对接工作量大 ，每实现一家CA机构互认，都需完成从底层驱动到交易平台的技术对接，对接难度大、对接工作量繁重；
三是硬件介质锁的痛点仍在，包括CA办理效率低、携带和使用不方便、驱动包升级困难、CA机构扩容难度大等；
四是相关各方的权责利关系错位，发锁的收费方和提供用锁的服务方之间责权利错配。
2020年2月，国家发改委在170号文中首次提出加快推进移动CA应用。移动CA技术方案是通过开发公共资源交易领域全国统一的CA互认共享组件和全国统一的互认标准二维码来实现全国CA互认。
移动CA互认相对于硬件CA互认具有显著优势，主要体现在五个方面：一是去除物理介质，无驱动，CA机构可“秒”扩容；二是和交易平台的技术对接简单，时间短；三是通过手机在线办理，使用便捷成本低，体验好；四是有效兼容现有存量硬件CA锁；五是在线授权与记录，主体行为可追溯，便于监管。
为落实国务院24号文，根据857号文、54号文要求，国家发展改革委指导中国招标投标协会建立双周协调调度会议机制，先后召开 5 次调度会，及时调度各地方和企业工作进展情况，中国招标投标公共服务平台分别对试运行网络共享 CA 数字证书的13家试点单位提出的具体问题和建议做进一步解答回复，大力推进技术标准验证，确保验证工作如期完成。
目前，移动CA互认技术标准验证已经取得一定成果，下一步将扩大验证范围。
移动CA互认遵循四大原则：一是支持经营主体自主选择APP、CA证书，切实减轻经营主体负担；二是充分兼容各类交易平台技术路线和CA应用现状，开放接入所有符合标准的CA机构和印章机构；三是严格执行数据安全法律法规，确保“依法依规，安全可靠”；四是根据24号文，以“只用一套证书”为目标，实现全国范围内跨行业、跨区域、跨平台一码通行。
为提升电子交易平台的便捷性、安全性和跨平台互操作性，采取以下设计思路：一是基于移动CA并兼容硬件CA锁；二是目录共享和“点对点”互联；三是使用入口上增设“互认入口” ；四是付费模式上增加按时按量付费。
移动CA互认技术方案通过统一标准，开放接入符合国家和行业标准的各类APP、所有CA机构和所有印章机构；各交易平台侧前置安装部署CA互认共享组件和展示全国互认标准二维码，经营主体在交易平台上通过该CA互认共享组件实现各个平台与平台之间“点对点”数据授权直联互认共享。
另外，各交易平台上是增加全国互认入口，依然保留省（平台）本地入口，兼容平台现有硬件CA锁，存量用户使用不受影响。
交易平台加入CA互认网络后，经营主体漫游使用移动互认CA进行交易的路径分为四步：
第一步，自主选择APP。经营主体可在交易平台所支持的互认共享APP目录中自主选择APP进行下载；
第二步，申请平台证书。经营主体在交易平台上自助选择办理CA证书；
第三步，开通漫游。经营主体可在任一支持全国移动CA互认的APP上，开通漫游服务。
第四步，扫码使用。经营主体在任一参与全国互认的交易平台上扫描全国共享CA互认入口二维码，进行注册或登录完成身份认证、电子签章签名和加密解密等操作。
当前，招标采购行业CA应用现状呈现出经营主体数量庞大、交易时效性要求严苛以及区域内互认的特点。由于CA本身的这些发展特点，让移动CA互认方案面临众多技术难点，如兼容性、技术对接、网络结构、数据共享路径、解密失败应对等等。
移动CA互认技术方案保留省（平台）本地入口，增加全国互认入口，兼容平台现有硬件CA锁，存量用户使用不受影响。并满足本平台以外跨区域投标企业需求，实现异地平台共享登录，签名盖章和加密解密。
互认网络有级联和互联两种方式，级联结构依赖单点，存在卡顿风险，互联结构不受中心化节点影响，更稳定，更开放。移动CA互认技术方案采用互联结构，即分布式部署网络结构。经营主体可通过CA互认共享组件实现各个平台之间“点对点”数据授权直联互认共享，从而避免因单一中心化节点负载过高导致全国范围内市场主体无法完成投标和开标的故障。
数据共享有国家统一集中的中心化和交易平台多中心化两种方式，中心化方式存在数据安全隐患高、成本高的问题，多中心化方式则更稳定、性能更好。移动CA互认技术方案采用多中心化数据共享。
移动CA互认技术方案的省内分布式共享与集中式共享两种模式兼容各省及央企主体库，不影响目前管理模式。
省内分布式共享是指经营主体通过扫码登录交易平台时，数据信息先授权推送到交易平台，再同步给各省及央企平台统一主体库。
省内集中式共享是指经营主体通过扫码登录交易平台时，数据信息先推送到各省及央企平台统一主体库，再将经营主体的数据信息推送给交易平台。
从以往的案例来看，由于CA证书问题导致投标文件解密失败取消投标资格的现象屡见不鲜。
移动CA互认技术方案通过预解密控件、备份信封、链上保障等交易保障措施应对移动CA互认解密失败，确保投标解密万无一失。
2023年4月，国办电子政务办组织编制了《电子证照扩大应用领域和全国互通互认 2023 年重点任务分工方案(征求意见稿)》，提出在公共资源交易领域推广和扩大电子营业执照、电子签章电子合同联合应用，实现招投标领域全流程数字证书跨地区、跨平台互认，支持地方探索电子营业执照在交易平台的应用，基本实现“一照通行”“一照通投”。
移动CA互认技术方案预留电子营业执照集成接口，支持通过APP使用电子营业执照实现“一照通投”。
在远程异地评标中，专家数字证书可以采用移动CA，通过密钥分割技术将证书保管在手机等智能终端上，使用时通过扫描二维码进行签字；针对交易中心、部分央企评标室不能携带手机的情况，也可以将数字证书保管在服务端，通过专家刷脸等授权管理方式，保证密钥的调用经密钥所有权人的合法授权。
移动CA互认技术方案先采取“谁签谁验”方式，通过统一的CA互认签章工具集成各平台签章控件，投标人在某个平台上参与交易时自动切换至该平台使用的签章控件，从而实现一个平台仅使用同一签章控件。
目前，国家层面已经建设统一的电子印章管理平台，在中国招标投标协会指导下，中国招标投标公共服务平台正在与公安部电子印章开展技术验证。随着国家级统一电子印章管理平台的建设应用，移动CA互认技术方案最终能实现“互签互验”。
目前，部分地方实现省内和区域内的CA互认，但由于各省、各区域内的二维码格式不一致，所以不支持跨省CA互认。移动CA互认技术方案通过全国统一共享互认二维码，同时兼容省内CA互认和区域互认，实现全国范围内的CA互认。
移动CA互认技术方案本着共性、中立的原则，兼容开放多APP接入，实现经营主体可自主选择任一APP。目前，已有7家APP接入验证，其中中招互连APP率先完成对接和测试，证明了技术方案的可行性。
截止2024年3月3日，移动CA互认在13家验证平台上线试运行，扫码注册登录、扫码签名签章、扫码加解密人次共计85万次，开通移动证书3500多张。移动CA互认技术方案验证效果总结主要体现在五个方面：
首次实现跨区域全国互认，包括省市两级公共资源交易系统、央国企和第三方各类交易平台。涉及多个开发单位异构系统。
第二，实现公共资源交易全领域覆盖，本次验证的交易平台涵盖了市政、房建、水利等公共资源交易全部领域。
第三，交易平台对接便捷快速，仅1个半月的时间，验证交易平台都完成全部功能改造并正式部署上线。CA互认共享组件还同步接入了数十家CA机构。
第四，有效降低经营主体成本，验证的13家平台，平均每个投标人漫游3个交易平台，证书费用大概降低30%。办理时间大幅缩短。
第五，确保CA互认“零失败”，通过结合联盟区块链提供交易保障服务，避免物理CA锁涉及驱动环境兼容和设备故障等问题导致CA无法正常使用的问题。
全国CA互认路线的研究与实践，应致力于探究和实现一种高效、安全的CA互认技术路线。通过深入研究CA互认的技术路线、移动CA互认框架的构建、技术关键点的攻克以及实践验证过程，CA互认技术方案已经取得了一系列积极的成果。下一步，在国家政策指导下，中招互连将遵循该技术方案，积极实践推广，不断优化和完善CA互认技术，为推进全国统一大市场贡献力量。
北京中招互连应用科技有限公司 胡志高 杨传平 毛莹