电子签名：移动应用全链条治理中的重要一环-凯时尊龙官网
电子签名是数据电文中以电子形式所含、所附用于识别签名人身份并表明签名人认可其中内容的数据。自2005年《电子签名法》实施以来，因其具有防篡改、可追溯、可信任的特点，电子签名广泛应用于网络身份认证、交易签约、证据固定、责任溯源等场景，是移动应用（app）全链条治理中的重要一环。
app全链条治理面临新挑战
随着移动互联网的快速发展，app从最早的单机软件演变成现在的实时联网软件。此外，随着定位系统、陀螺仪、传感器、摄像头、麦克风、指纹或面部识别等硬件设施在终端上的不断集成，app在功能和用户体验方面发生了翻天覆地的变化。
随之而来的各种违规收集个人信息、弹窗广告关不掉、个人隐私泄露等侵害用户权益的问题时有发生。为此，工业和信息化部从2019年至今，针对app产业链全主体，开展了一系列侵害用户权益的专项整治工作，取得了积极成效。但app产业相关问题责任认定难以及相关主体管理水平参差不齐，导致app治理面临新的挑战。
app产业链条主体多，责任溯源面临新挑战。app产业链包含了sdk开发者、app开发者、第三方检测机构、应用商店和终端厂商等多方主体，在app使用和管理过程中还存在部分主体权责不明的问题。一是在app处理（如收集、提供、使用等）个人信息时，sdk开发者和app开发者之间存在使用上的权责不明。用户在使用sdk和app之前，虽然需要接受相关隐私政策和用户协议，但这些格式条款合同往往都是“一揽子”要求同意，不同意就不让用，目的是规避sdk和app自身的责任。当app出现违规处理个人信息的情况时，很难界定双方的责任和义务。
二是在app管理过程中，第三方检测机构、应用商店和终端厂商存在管理上的权责不明。app从开发完成到安装到用户的智能终端，需要经过第三方检测机构的安全检测、应用商店的合规审核和终端厂商的安装验证等多重管控。特别是在安卓这类开放的生态中，安全检测、合规审核和安装验证可能由不同的主体来实施，但各方并没有明确划分相关管理责任。app出现安全、合规等问题时，各方责任纠缠不清。
app产业信息不流通，企业管理能力提升面临新挑战。产业信息共享是提高产业效能、推动产业创新、助力产业健康有序发展的基石。现阶段，开放生态下app的身份数据、信用数据、安全合规检测数据等并没有以数据要素的方式在产业中流动起来。应用商店和终端厂商等企业在app管理过程中存在重复认证、重复检测、重复审核等问题，极大地增加了app的运营管理成本，也给违规app提供了可乘之机。利用各应用商店的信息不对称，一些违规app无法通过应用商店分发时，可以转向其他应用分发平台进行分发。
电子签名助力app监管责任溯源
工业和信息化部在《“十四五”信息通信行业发展规划》中指出，要构建统一的app认证签名体系，建设服务于开发者、检测者、分发者的app签名服务系统，提升app供应链各环节的可溯源性。
2022年，在工业和信息化部信息通信管理局的指导下，中国信息通信研究院组织建设了app签名服务系统。截至目前，已为开发者、检测者、分发者共提供了150余万个活跃app的电子签名，实现了app开发、检测和分发各环节的责任溯源。同时将app身份数据、检测结果和审核结果等数据要素附于电子签名中，通过可信网络共享给应用商店和终端厂商等企业，极大地提升了企业的app管理能力。
电子签名助力监管责任精准溯源。开发者完成app开发后，通过app签名服务系统对app进行电子签名，固定了app的开发者身份，同时也确保了app不被第三方篡改。若委托第三方检测机构进行检测，检测机构在完成检测后会再次对app进行电子签名以明确app的检测身份。
应用商店在上架审核时，会首先验证app是否存在开发者和检测机构的电子签名，以降低上架破解、篡改、恶意、违规的app的风险。上架审核通过后，应用商店还会再次对app进行电子签名，明确app的分发身份。
当监管部门发现存在违法违规问题的app时，通过app签名服务系统可以及时定位到app的开发者、检测机构以及应用商店，开发、检测和分发管理责任一目了然。
电子签名因本身具有防篡改、可追溯、可信任的特点，在数据流通过程中具有天然的技术优势。另外《电子签名法》第十四条规定，可靠的电子签名与手写签名或者盖章具有同等的法律效力。电子签名中的app身份数据、检测结果和审核结果等同于签名人在法律层面上的认可，具有较强的可信度。
此外，身份数据、检测结果和审核结果在app管理中具有极高的数据价值，可为应用商店上架审核、终端厂商风险预警提供重要参考和处置依据。过滤相关敏感信息，将可公开的app身份数据、检测结果和审核结果共享给应用商店和终端厂商等企业，能够充分释放数据价值，提升企业app管理能力。
（作者邓佑军 单位：中国信息通信研究院泰尔终端实验室）
来源：人民邮电报
