本报讯 记者佘惠敏报道：国际标准化组织ISO近日发布了首个面向口令鉴别的隐私保护国际标准ISO/IEC 20009-4:2017——基于口令的匿名实体鉴别工业标准。该标准中的YZ机制由中国科学院软件研究所研制，是一种匿名口令实体鉴别机制，被全国信息安全标准化委员会评审会评价为“是一种自主创新匿名实体鉴别机制，属原创性贡献”。

该机制是近年来在网络空间安全领域的ISO国际标准化活动中，少数几个由我国自主研制的国际标准提案。由于YZ机制的引入，ISO/IEC SC27淘汰了其他国家成员体贡献的另外2个安全机制：PIR-HE机制和QGZ机制。

随着互联网应用快速发展，隐私泄露问题日益凸显，2016年泄露数据达40亿条，2017年愈演愈烈，隐私保护的实体鉴别技术得到广泛关注。

ISO/IEC信息安全技术委员会（SC27）自2012年开始制定基于口令的匿名实体鉴别标准，能在实现口令鉴别的同时保护用户隐私。

中科院软件所张振峰研究员主持研制了一种新的匿名口令鉴别与密钥交换（NAPAKE）机制，采用口令杂凑值作为密钥交换的基底并有机地与OT协议相结合，突破了身份鉴别时既要保护隐私又能抵抗字典攻击的相互限制，解决了基于强秘密的匿名实体鉴别设计理论无法适用的问题，在保持显著性能优势的同时具有可证明安全性。这一机制形成了我国自主的国际标准提案，并命名为YZ机制。

近日发布的ISO/IEC 20009-4:2017，由中国、新加坡和日本等国家成员体贡献的三种安全机制组成，为网络空间安全提供了一套基于口令的匿名实体鉴别工业标准，不依赖于专门硬件的支持，便于应用部署。YZ机制是ISO/IEC 20009-4规范的三种机制中唯一不依赖于额外存储假设的安全机制，真正解决了计算机问世以来最常用的口令鉴别技术面临的“鉴别不匿名、匿名无鉴别”难题。在隐私泄露事件频发的安全形势下，该机制作为一种全新的隐私保护技术，可为网络空间中每天数亿次的实体鉴别实例提供隐私保护功能，大力提升我国快速发展的“互联网+”应用的网络空间安全保障能力。