经验分享：
国民认证数字政府强身份认证解决方案，通过生物特征识别+密码技术的双因素认证方式，有效解决弱口令带来的安全问题，满足等保要求。
该解决方案将认证比对前移到用户设备端，用户认证信息都存储在用户设备端，不会上传到服务器，同时用户生物模板存储在本地设备的安全区域，没有访问秘钥无法解锁和访问，也保证了生物特征模板的安全，即便设备丢失也无需担心信息泄露，符合《中华人民共和国网络安全法》、《中华人民共和国民法典》等法律法规中对个人隐私保护的要求。
成果展示：
国民认证数字政府强身份认证解决方案，面向我国各级政府部门及其直属机构、事业单位提供贴合应用的解决方案、产品及服务，实现对用户身份的认证、审核功能，用自主安全技术创新助推政府现代化发展与公共服务。本文以国家政务服务平台为例，介绍在国家互联网政务服务平台中，增加建设移动认证系统，推动电子政务在移动互联网的统一身份认证建立，适应日益普遍的各级移动政务应用。
聚焦政务服务信息难以共享、业务难以协同、基础支撑不足等全局性问题，围绕国家政务服务平台建设需求，探索试点地区和部门与国家政务服务平台的全面对接和信息共享的解决路径，推动国家政务服务平台与试点地区部门移动认证等功能的多点互联和一站式访问，切实推动国务院部门和地方政府信息系统互联互通，形成全国统一政务服务平台。
一、移动身份认证系统解决方案
移动身份认证系统采用标准认证协议，提供从客户端到服务端的统一认证服务接口，支持人脸、指纹等各类认证方式，依托国家权威平台，实现“前端可信、后端权威”。具有统一的用户身份管理、统一的认证服务接口、快速便捷的对接各类认证技术等基础能力，作为基础认证服务平台实现对各类电子政务应用的支持。同时，可依据平台的发展情况，适时建立起基于用户认证信息的大数据分析系统，实现风险防范及控制的能力。
支持人脸、指纹、虹膜、3D人脸、手势、二维码等多种认证方式；支持手机、平板、自助设备、柜台、PC等各类终端设备。
二、方案总体目标
建设面向各级政务门户平台的移动身份认证服务系统，为电子政务互联网业务的人员、设备、系统、用户认证、实名认证及交易提供密钥认证系统，为各级政务业务系统提供设备安全接入、人员身份认证、交易完整性保护和抗抵赖行为。同时采用日益普及的基于生物特征的身份认证技术，提供高安全级别的“网购式”政务应用服务。
移动身份认证系统提供移动端四个服务能力，用以支撑移动端三个主要应用场景。四大能力：提供注册服务、登录认证、身份认证、单点登录等六大能力；三大应用场景：用户登录、跨域登录、用户登出三大场景。
移动认证系统包括三个部分，客户端、服务端以及对应的管理平台。客户端指的是移动认证平台终端套件，包括：客户端、ASM认证器接口模块和认证器三部分。服务端指的是移动认证服务器端套件。管理平台包括：设备管理、安全策略管理、配置管理、日志统计分析等功能。
移动身份认证系统以SDK形式提供政务应用APP进行移动端集成，并部署身份认证服务端服务。服务端部署按照集群式部署，采用双地双服务部署。
三、方案总体架构
本项目包含移动认证应用服务器，移动认证数据库，服务器集群可以根据要求进行扩展。统一认证服务器：该设备是认证系统的核心，处于电子政务生产区，Web应用服务器后端。移动认证数据库服务器：高可用数据库集群，均放置在电子政务内部生产区。用于存储用户相关信息及设备相关元数据。
四、移动认证技术原理
移动认证平台参照UAF协议设计，核心指纹认证系统完全符合UAF协议要求，区别于传统用户名/口令认证的一次认证模式，该协议实现了两步走的认证方式：
第一步：由用户终端设备验证用户身份，验证方式可以多种多样，目前通常采用生物识别技术（指纹、本地3D人脸等），验证通过后，从而解锁安全区中对应的用户私钥。
第二步：使用解锁的用户私钥对响应消息进行签名，服务器端使用该用户对应的公钥进行验签，从而完成整个认证流程。
通过“两步走”的认证方式，有效分割了安全风险。传统用户名/口令认证中用户的秘密都存储在服务器端并进行比对，一旦服务器被攻破，所有用户的秘密都将泄露；将认证比对前移到用户设备端，首先，用户秘密都存储在用户设备端，不会上传到服务器，这样避免了服务器被攻破时用户账户及生物特征模板泄露所造成的损失；其次，用户生物模板存储在本地设备的安全区域，没有访问秘钥无法解锁和访问，这样就保证了生物特征模板的安全，即便设备丢失也无需担心秘密泄露。
五、方案价值
项目采用的身份认证系统基于FIDO标准通用身份认证框架，实现了端到端的强身份认证，能够充分利用移动终端设备内部的安全元件，通过生物识别技术（指纹、本地3D人脸等），替代传统密码口令认证方式，消除传统密码口令认证方式所带来的安全隐患与不良用户体验。
项目采用的身份认证系统能够在任意符合该标准的硬件设备上运行，通过认证方式与认证协议分离的身份认证架构，实现多种认证方式的统一，解决当前强身份认证方式所面临的分散及无法互操作问题；与此同时通过模块化设计，对未来新出现的强身份认证方式提供支持，为身份认证系统的兼容性、可扩展性提供保证。