本文为中国人民大学网络犯罪与安全研究中心秘书长谢君泽在2015年12月举办的“数字签名司法实务研讨会暨《电子签名法》十周年”会议上的发言内容：
一电子签名法是网络时代“私”法领域的霸王法律
首先，我反对《电子签名法》是一种宣誓性法律的说法。我认为，目前《电子签名法》没有用好，是因为很多人没有明白它的司法证明价值。在此基础上，司法机关一直没有出台相应的司法解释。这就导致了《电子签名法》在司法实务中一直没有发挥它应有的价值。
其次，我认为，《电子签名法》是网络时代“私”法领域的霸王法律，不懂《电子签名法》就是不懂法律意义上的“网络”。随后，我会把我的论证展示给各位看！另外，我还想顺便说一下，我认为《网络安全法》是网络时代“公”法领域的霸王法律。当然，这里我不再详说，因为这不是本次会议的主题。
二网络法律行为模式的变化决定了电子签名法的司法证明价值
所有人都知道，在传统领域，一个人表达一个行为，是通过传统签名来完成的。而在网络领域，就不再是这样了！在网络里，一个人要表达一个行为，首先是这个人要使用一台电脑，通过操作电脑里的数据，来表达他的行为。那么，问题来了。凭什么说，这个电脑就是这个人的？凭什么说，这个数据就是这个电脑产生的？凭什么说，这个数据就是那个人表达行为的数据？
换言之，从司法证明角度来看，传统行为是一种“人—行为”的证明模式，它是通过传统签名来完成证明的。而在网络里，网络行为不再是“人—行为”的证明模式，而是“人—机器—数据—行为”的证明模式。而，后者的这种证明模式就必须由电子签名来完成证明。因此，我说，法律行为模式的变化决定了电子签名的重要性。
那么，电子签名都有哪些司法证明价值呢？首先，电子签名具有十分重要的关联性证明价值。如前所述，电子签名用于证明“人—机器—数据—行为”的同一性。也就是说，它是用来证明“到底是什么人，通过机器操作数据，表达了相关的网络行为”。通俗地说，在网络里，电子签名用于证明“你是你”、“你妈是你妈”，“你”的行为不是“你妈”的行为。这就是关联性问题。
其次，电子签名还有一定的真实性证明价值。这个，懂技术的同志应该能明白。比如，像数字签名，它不仅会跟用户身份进行绑定，还会对数据电文的完整性进行固定。实际上，我认为数字签名比传统签名更可靠。比如说，某个人在纸面合同上签字了，但是合同上的文字还是有可能被篡改的。但是，如果用数字签名在数据电文上签名，那么数据电文的内容是不可能被篡改的。因为，一旦篡改就会被发现。
值得说明的是，有效的关联性证明和真实性证明是有前提的，那就是采用可靠的电子签名。
三不同电子签名应用场景下的司法证明责任
我们对常见的电子签名场景进行归纳总结，其实可以分为三种类型：
第一种是“单方电子签名”。“单方电子签名”的特点是有效签名人往往只有一方。比如说，时间戳服务。它就是由用户向时间戳公司提交数据，然后时间戳公司通过技术手段“签收”数据。这就表明了时间戳公司于某年月日收到了什么样的“东西”。当然，如果将来公证机关也开展类似的网上数据“提存公证”服务。也是属于“单方电子签名”。
实际上，实践中这种单方签名还有很多。比如，前段时间工信部起草的“手机APP预置管理规定”，就提到建议APP的开发者对所开发的APP进行数字签名。这样就能确保APP不会被人恶意篡改，从而确保APP的完整性。另外，操作系统软件也是可以进行类似的系统“签名”的。大家有没有想过，这种“单方电子签名”跟传统领域签收快递包裹是很相似的。收件人单方需要签字，但快递员是不需要签名的。这就是典型的单方签名。
大家可以想像，传统领域里有签名的地方，网络里就会有电子签名。那么，“单方电子签名”的证明价值是什么呢？它就是用于证明签名人自己签收、固定“特定”的电子数据。这种电子数据可以是一个电子文件、一个应用软件、一个操作系统软件，或者是任意一段数据电文。
第二种是“双方电子签名”。“双方电子签名”一般发生在双方交易里。在这种交易中，因为没有第三方认证者介入，因此有一方签名人兼具认证者的身份。比如说，像有些没有第三方认证介入的电子商务公司或者网上银行，电商公司或银行他们既是交易的相对方，同时又承担识别用户的“认证方”角色。
那么，在这种情形下，当发生交易纠纷时，电商公司或银行他们既要证明交易行为的存在，还要证明交易行为是与某个特定的人所完成的。换言之，没有第三方认证者介入的电商公司或银行，既要证明交易行为“本身”，还要证明“行为－数据－机器－人”的同一性。刚才有律师和法官提到，医院需要证明电子病历的完整性，其实也是因为这个原因。
第三种是“三方电子签名”。“三方电子签名”也是发生在双方交易里。但是，在这种交易中，由于第三方认证者的介入，签名人与认证者的身份不再“同一”。也就是说，不管是用户，还是电商公司，或是银行，他们都是纯粹的交易相对方。而身份的认证者由专门的机构承担，而这里的身份认证者就是《电子签名法》里所规定的“电子认证服务提供者”。比如说，像这次承办会议的北京CA公司。
当然，这些电子认证服务提供者，不只是收钱而已，他们还要承担相应的证明责任。这个证明责任是什么呢？就是前面所说的“人－机器－数据－行为”的同一性。这也就是说，在有第三方认证者介入的交易场景里，电商公司或银行，只要承担交易行为“本身”的证明责任，而“人－机器－数据－行为”的证明责任则由电子认证服务提供者来承担。
四司法证明视角下的可靠电子签名：技术可靠性和案情可靠性
司法人员可能会问：在司法活动中，如何判断电子签名是否可靠呢？我认为，司法证明视角下电子签名的可靠性包括技术上的可靠性和案情中的可靠性。
技术上的可靠性是说，电子签名，或者说电子签名中所使用的加密算法，在技术上可不可靠。比如说，IOS9苹果手机的锁屏密码，虽然是对称加密，但目前为止却是很可靠的，因为没有人能从技术上破解IOS9苹果手机的锁屏密码。另外，我认为微信身份认证也是比较可靠的，因为它采用的是双重加密。如果更换手机登陆微信帐户，不但要输入微信密码，还要输入手机验证码。
此外，就是大家所知道的，PKI非对称加密、MD5/SHA1等哈希加密算法，他们都属于目前技术上可靠的密码。但是，要特别注意，技术上的可靠性，是具有相对性的。也就是说，它是相对于现阶段而言的。随着技术的发展，加密算法的可靠性是动态变化的。有些密码在目前是技术可靠的，但是在将来很可能会变成不可靠。我想，这是司法人员不敢用《电子签名法》的原因之一。因为司法人员在个案中认定电子签名是否可靠，其前提就是得先了解现阶段电子签名的技术水平。然而，这对司法人员而言，实在是“难为之炊”！
而，案情中的可靠性，主要包括案情中行为人的知识结构、案情中的伪造篡改条件、个案中的案情发展过程。关于行为人的知识结构，我打个比方，司法人员应该很好理解。在座嘉宾中有一位技术大牛戴士剑教授，它的取证技术水平特别高，因此他有专门的反取证知识结构。所以，以后如果他打官司，他向北京任何法院提交的电子证据，你们一定要严重怀疑、认真审查。至于案情中伪造篡改条件，我也举个例子：
有些人可能知道，MD5加密算法是可以被破解的。但前提是，你得给我足够多的密码专家、足够快的超算计算机、足够长的运算时间。这些行为条件，在个案中能够具备吗？显然是不可能的。因此，在个案中MD5加密算法还是很可靠的。此外，在个案中还有不同的案情。比如说，案件事实是什么时候发生的？证据是什么时候固定的？谁持有或接触证据？司法人员可以从个案中的具体情况来判断这些涉案证据是否可靠。
讲到这里，大家有没有发现。技术跟法律其实是相通的。技术上的可靠性，或者说密码的可靠性，它本质上是“消息”的“时间性”。而案情中的可靠性，其实也有“行为”的“时间性”问题。
我给出一个公式来总结前面我所说的电子签名可靠性问题。那就是：司法可靠性＝技术可靠性+案情可靠性。当然，要理解这个公式，首先要明白这三个可靠性都一种相对可靠性，而不是绝对可靠性。
五《电子签名法》：连接网络空间与传统空间的法律
我想，现在可能有些人会开始支持我的论断：《电子签名法》是网络时代“私”法领域的霸王法律，不懂《电子签名法》就是不懂法律意义上的“网络”。
如果我们站到另一个新的高度来看，我们会发现：在网络时代，人是在传统空间里的，而行为是发生在网络空间里的。而，电子签名就是将传统空间里的人和网络空间里的行为绑定在一起的。因此，我认为，《电子签名法》是一部连接网络空间与传统空间的法律。
同时，我相信，有且只有《电子签名法》能够达到这样的司法证明目的，也只有《电子签名法》能够完成这样的司法证明使命。我也相信，在将来，随着电子签名的具体司法规则的落地，《电子签名法》必定会成为引用率最高的一部法律。
当然，这既需要我们最高法院同志的认可，也需要在座各位专家学者的共同推动。
作者简介
谢君泽，现为中国人民大学网络犯罪与安全研究中心秘书长、研究员，中国人民大学法学院物证技术鉴定中心副主任、国家司法鉴定人，中国人民大学法学院证据学研究所研究员，首都互联网协会法律专业委员会委员，具有信息技术与法律专业的双重背景，长期致力于计算机网络取证、电子证据司法鉴定、职务犯罪侦查信息化、网络安全法等信息与法的交叉研究，多次参加最高人民检察院、中华全国律协等部门相关规则的起草与论证。
时间：2016-1-5
来源：腾讯研究院犯罪研究中心（微信公众号tencentccc）
