美国密码法律制度概览 2023.docxVIP

美国密码法律制度概览 密码（cryptography）作为实现信息安全的有效方法，在整个数据生命周期中发挥着不可替代的保障作用，长期以来被广泛用于政府机构、外交部门、军队和情报机构的活动中。随着20世纪70年代现代密码学的出现，密码技术正被越来越多的用户所使用。在当今的信息社会中，密码技术已经成为国家重要的战略资源，是保障国家网络与信息安全的重要支柱，直接关系到国家的政治安全、经济安全和军事安全，因此许多国家都通过立法建立了专门的密码管理制度。 作为密码技术研发和应用最为成熟的国家之一，美国的密码政策和立法一直具有积极的示范效应。根据美国密码法律制度的基本结构，本文主要从密码出口管制、民用密码管理和政府密码管理三个方面对其进行介绍和分析。 一、美国密码出口管制法律制度 密码出口管制的主体可以分为密码技术和加密产品两个部分。密码技术（encryption）通常包含五个要素：（1）加密功能；（2）解密功能；（3）密钥；（4）纯文本；（5）密文。1加密技术也称为密码编译，指的是将明文转换为密文的技术。解密技术也称为密码分析，指的是将密文转换为明文的技术。密钥是指用来完成加密、解密、完整性验证等密码学应用的秘密信息，在对称加密中，用于加密和解密消息的密钥是相同的。在非对称加密中，用于加密和解密消息的密钥是不同的。密码技术归根到底是一种技术上的形态与路径。密码产品指的是使用密码技术对于内容信息进行加密保护或者安全认证的产品，比如金融数据加密机、数字电话加密机以及电子支付密码器系统等。密码产品更多指的是含有密码技术的产品，密码技术是密码产品中的核心附属部分。 （一）美国密码出口管制法律制度的演变 1.20世纪90年代前：严格管制 美国早期的密码技术产品出口受到十分严格的限制，密码被视为一种具有武器性质的军民两用产品，被列入控制武器出口的清单，实行极为严格的管控措施。美国政府试图通过这种方式避免先进的密码技术被外国势力获取，以保证其对外情报工作的开展。 1992年以前，几乎所有密码技术产品的出口都由美国国务院（U.S. State Department）通过《美国国家武器审查条例》（International Traffic In Arms Regulations，简称ITAR）规定2，该条例是美国出于美苏冷战的考虑而制定的。在1992年至1996年12月期间，对密码技术出口的管辖权由美国国务院和美国商务部共享。自1996年12月以来，大多数密码技术的出口受到美国商务部的监管。 20世纪90年代前，美国密码技术出口受到《国际武器贸易条例》（ITAR）和《出口管制法》（后来经过多次修改）的规制，密码技术主要被应用于军事、外交和情报工作。ITAR的法律效力来源是军火出口管制法（Arms Export Control Act，简称AECA），主要规制“国防物品”和“军火”的出口（对除美国或加拿大以外的任何地方）。直到1996年12月，美国政府认为所有密码技术，甚至是仅用于商业的密码技术以及未分类的密码技术，都是国防物品或军火。当然其中也有一些例外情况，例如对一些弱加密的技术产品由商务部下的出口管理局（BXA）进行管辖。但在总体上，国务院基于其自己的政策决定和美国国家安全局（NSA）的建议，出于国家安全的原因直接管制密码技术的出口。一般来说，州政府管辖下的密码产品很难或不可能出口，而商务部管辖下的产品尽管有一些限制却可以出口。 总体上，在1996年以前，美国密码出口管制由ITAR具体执行，目的是维护国家安全和外交以及军事有关的利益，对密码技术或者产品进行严格控制。在此期间，密码技术在性质上是属于军需品而被列入军用物品清单，作为军需物品的密码出口需要得到单独许可，且该许可必须得到国防部（DOD）和国家安全局（NSA）的批准。并且根据ITAR规定，出口密码技术和密码产品的长度、强度以及一些特殊加密功能都受到限制。 2.1996年以后：逐步放松管制 对密码技术的限制阻碍了美国企业在密码技术方面的发展，不仅包括生产加密产品的企业，也包括以密码技术为生产工具的企业（如经营业务为网络浏览器或电子邮件的企业）。对于许多企业来说，生产两种版本的产品是低效或不切实际的。在这一背景下，越来越多的企业呼吁放松密码出口管制。 1996年2月，ITAR规则得到了修改，允许个人在国外使用密码产品，从而允许在飞机上携带有密码软件的笔记本电脑。这种“临时出口”不需要许可证，只需要使用者采取正常的预防措施以确保密码产品的安全（例如将产品作为随身行李携带，外出时将产品锁在酒店房间或保险箱中）。但是，使用者不得复制、展示、销售和再出口密码产品，也不得转让密码产品的所有权或控制权，并且每次携带密码产品出境都必须在五年内保存记录。 1996年5月，美国国家研究委员会发布了一项密码学政策研究