网号网证的一些思考与困惑

[ztm0929]

7 月 15 日，“网号网证”管理办法正式施行。它如何平衡效率、安全与隐私？我有点困惑。

管理办法原文： https://www.cac.gov.cn/2025-05/23/c_1749711107835487.htm

几个要点

• 自然人自愿申领网号网证
• 鼓励有关部门行业（如高铁、酒店、政务大厅）接入网号网证，应当保留现有的其他合法认证方式
• 鼓励（不强制）互联网平台（如微博、微信）接入网号网证，保障未使用网号网证的用户享有同等服务

我的思考与困惑

传统的身份证号包含许多个人信息（地区、年龄等），手机号会被电话短信骚扰；相比之下，网号似乎不怕公开，它对于绝大多数人没有意义。

如果传统号码是密码，那网号可以被理解为公钥吗？我们的生物信息作为私钥，二者结合才能完成通信。这么来看，在认证的过程中，似乎安全性提升并不大，传统号码已经采用了多种方式（多因素）来避免身份盗用（例如替考）。

我们再来看网号网证的另一个作用，防范信息过度采集。

我比较悲观，在现有的糟糕情况下，网号网证似乎并不能解决它所设想的问题（信息泄露严重），我觉得应该由工信部牵头带领各大互联网平台采取一次混淆数据的措施。（坦白说我也想不到具体的操作方式）

至于网上关于“一键断网”的担忧，从上述要点来看，似乎不必过于在乎，没有网号依然可以在微信微博发言；平台封号（违反社区规范）依然会比网号服务封号（违法犯罪）更频繁，真到了网号封禁的情况，人也大概率进局子了😂

结论

网号网证（相比于身份证号、手机号）也许会是一个便捷的认证方式，但对已有的信息泄露问题帮助不大。

[fun201108]

当用网号网证定位一个人，手机号、身份证号保护再好又有什么用？还不如直接用身份证号登录

[Rickkkkkkk]

这就是一个管理工具，没有效率、安全、隐私考虑的。实际上你的信息全部泄露，负责的人不会受到任何处罚，真正遭殃的人是外包的开发人员。

参考上海公安的 10 亿数据泄露事件

[dhb233]

看起来就是为了不让平台获取到身份证号？之前是平台用身份证号实名认证，现在是用网证、网号去实名认证。就类似于用户名密码先 md5 再提交呗。。。

[ztm0929]

@dhb233 对，从它的管理办法来看似乎就是想让平台（微信微博等）少收集信息

[ztm0929]

@fun201108 从它的说明来看，网号是一串没有意义的数字；相比之下身份证号包含很多信息，手机号可以被拨通；只看这个，网号似乎更好些。

[NSAgold]

网证各平台只能拿到实名认证后的结果 各平台数据库泄漏了也只会泄漏认证号和认证结果，具体信息是拿不到的。
唯一的问题是来的太晚了，该泄漏的都给各家的弱密码数据库泄漏完了。
早年间反对实名制很大一点就是各家平台数据安全参差不齐，公网弱密码都整得出来。

[GaGaGood]

就怕用来让你一键全网闭嘴

[chanChristin]

现在又没有要求所有平台都上，我们平台强实名制，但是现在压根没有接入网证的计划，我怀疑产品都不知道有这个东西。

[HeyWeGo]

控制欲的体现罢了

[WuDiHaiTai]

@JimLee0921 小区门口站个人，“你好业主，办理网号了吗，看一下您的手机，办理了才能回家。”

[Kirkcong]

@ztm0929 最开始的时候他们说，你们的 qiang 自己可以留着，我们不管，只是需要登记一下；后来他们说，你们的 qiang 自己可以留着，但是别人都登记了，你的没有登记，属于黑 qiang ，要管；再后来，他们按照登记的信息收掉了所有人的 qiang ；现在，犯人没抓住可以，但是 qiang 丢了，这辈子没了。

最开始的时候，github 是可以上的，后来，他们 ban 了，人们不满意，他们又开了，一段时间后，开始干扰，效果是有些人能上，有些人上不去，有些人网速慢。这时，用户开始相互指责了，——我能上去你为什么不能，瞎说。

我曾经一直好奇一件事，当时那个年代又没有计算机，怎么可能那么多犹太人被赶尽 sha 绝，没有监控，随便隐姓埋名不就好了，德国又是怎么知道具体人数呢？即便上门询问，随便躲到地下室不就行了？后来我知道了，他们以人口普查为由，挨家挨户上门核实，这种行为很正常，人 chu 无害。后来，他们给每人发了身份证，犹太人有了正式的可以证明自己是合法犹太公民的身份。再后来，他们凭借获取到的信息挨家挨户搜，但没过多久，开始觉得身份证上标识不够明确，处理信息效率太低了，此时恰好有人发明了打孔卡和读卡机，这也是计算机的雏形，他们为每一位犹太人发了印有三代血统的打孔卡，配合读卡机，精准的识别每一个犹太人。在那之后，由于这套全新信息处理系统的充分运用，极大的加速了人口筛选过程，也使得犹太人再无逃脱的可能。而那位发明了打孔卡和读卡机的人很有商业头脑，——他只出租读卡机，从不售卖，这让 jun 方重度依赖他们，也让他赚的盆满钵满，同时这也是他人生赚到的第一桶金。由此，IBM 诞生了。

[Kirkcong]

@ztm0929
“后面提到的关联信息查询也是我很好奇的点，也许内部人员可以通过网号查询，不知道有什么内部防范措施。”

内部为什么要有防范措施？为什么要把自己人关在外面？

[ztm0929]

@Kirkcong 内部是一个相对于我们这些普通人的概念（我们是外部），以公安为例，调取数据库查询某人的身份信息都需要有审批，查询完之后还会留存“某年某月某人查询 xx 数据”的记录。这是我指的内部防范措施例子，不知道网号网证有没有类似的。

[HappyFox]

很简单的一个事，没必要想那么复杂，就是单纯学习国外已经落地很久的先进经验。
- 新加坡 singpass： https://www.singpass.gov.sg/main/
- 美国 login： https://www.login.gov/what-is-login/

治理思路参考《 Technofeudalism: What Killed Capitalism 》，核心观点 ruanyifeng 日志里提过

“
作者瓦鲁法基斯建议，为了打破技术封建主义，防止数字领主的出现，政府必须实行一些强制措施。
（ 1 ）征收云税，降低数字领主获取的云地租。
（ 2 ）推行统一的数字身份，不要让每个网站都推行自己的用户体系。一旦用户使用谷歌、微软、苹果等大公司的用户身份，表示自己的互联网身份，他就会依赖这些大公司，不得不受制于它。设想一下，如果某一天你突然失去了微信账户，生活会多么不方便。
（ 3 ）推行数据共享。用户在某个应用产生的数据，应该可以移植到其他应用。比如，你在推特发的帖子，应该可以移植到其他社交媒体。这样就避免了数据被数字领主垄断。
”
https://www.amazon.com/Technofeudalism-Killed-Capitalism-Yanis-Varoufakis/dp/1685891241

[ztm0929]

@HappyFox cool ！不知道美国居民和新加坡居民有没有对“一键断网”的担忧讨论 hhh👀

[HappyFox]

@ztm0929 #53 个人观点：公民身份认证能力本身就是区域集体的共识的一项衍生产物，建设网络统一认证平台，本质上是集体选出的管理员将自身的公民身份鉴别能力“赛博化”，而非要求以这个认证进行登录。
也就是说，如果当地以前管理员有“一键断网”能力，那建设之后也有；如果管理员之前没有这个能力，那建设后依旧没有。
甚至对于普通公民来说，将认证能力“赛博化”反而能有效的遏制第三方认证机构截留认证信息，并拿到了认证撤回能力。就像信用卡和 apple pay ，谁会喜欢每天都找信用卡公司投诉盗刷、而不是从源头就避免 cvv 泄露呢

[Kirkcong]

@ztm0929 我说的有些模糊了，让我详细说一下。各种系统防范的都是外部的人，对内很少防护，因为很多系统设计之初是没有考虑对内防护的，而且对外未授权访问的危害总是比内部大的。这就导致，即便内部有一些防护措施，也很容易被绕过，包括但不限于 测试帐号，绕过大门走窗户（操作逻辑），简单的 sql 注入（这在外包、xx 项目中很常见）。

简单来说，很多对公司内部的鉴权、记录都是防君子不防小人的。还有一点，如果一个系统是对外开放的，人们发现漏洞后厂商会修复，尽最大可能缩小受影响范围及时间。但公司内部系统不一样，只要不影响正常业务，一般没有人会去修的，这就意味着，如果真的有不管是逻辑层面、代码层面的漏洞可以绕过某些防护，这个方法会一直可用。

以上只是说我在企业中发现的一些问题。

[wdssmq]

一个人用自来水冒充纯净水出售盈利，对其进行了相应的处罚。。

然而并不能因此禁止其「使用自来水」。。。