完善數位身分制度 擠身先進數位國家之列淺談 Mobile ID 安全之法令要求與應用案例

壹、什麼是Mobile ID？

Mobile ID指的是一種數位身分，可以使用於智慧手機、平板電腦、穿戴式裝置與物聯網或與其相關的系統中，進行身分識別管理之技術。概念上可以包含指紋、聲紋或臉部辨識等生物辨識方式，或者是某些裝置上利用使用者所擁有的資料的驗證方式等。

而在臺灣目前新推出的電子身分識別方式就是一種Mobile ID的運用模式，台灣證券交易所旗下公司台灣網路認證股份有限公司所成立的「TWID身分識別中心」2018/11/28宣布與五大電信公司簽約，預計最快於2019年1月提供Mobile ID行動身分識別服務，未來透過手機就可以進行實名認證，可以拿來當作網路上的身分證。而Mobile ID行動身分識別服務主要是由利用用戶當初向各電信公司申請門號的資料做基礎，透過載有SIM卡的行動裝置連線至Mobile ID平台發出確認請求，並由「TWID身分識別中心」向各電信公司查詢門號用戶的基本資料(手機門號及身分證字號)，做為電商、行動支付、遊戲業等應用服務商、網路銀行等業者作為用戶身分識別使用，達到實名認證行動化、交易確認行動化1。

資料來源：https://udn.com/news/story/7086/3506960

另外玉山銀行與前述與臺灣網路認證公司TWID身分識別中心合作，已於2019年10月推出Mobile ID行動身分識別服務，提供電子支付會員在進行進行跨境網路購物服務時，於註冊電子支付會員、變更會員資料或提升交易額度時，可以直接在線上輸入行動電話門號，透過電信業者確認門號持有人身分，再搭配國民身分證資料，即可完成實名認證，而可行動化而免臨櫃辦理2。

而針對電子身分識別方式在安全上的法令要求與各項應用案例狀況，將影響未來Mobile ID在臺灣應用之可能性，本文將另介紹目前歐洲關於此項技術的相關情形，包括相關法令之要求與應用之案例。

貳、安全法令之要求

一、歐盟電子交易身分識別與信任服務規則

為了符合2010年歐洲數位議程(A Digital Agenda for Europe)中數位單一市場(digital single market)之目標，並建立消費者對於線上電子交易環境之信賴，歐盟於2014年通過「電子交易身分識別與信任服務規則Regulation(EU) No 910/2014 of the European Parliament and of the Council of 23 July 2014 on electronic identification and trust services for electronic transactions in the internal market，以下簡稱規則」，希望能提供歐盟公民、企業與公部門安心使用電子交易的基礎環境；而如有跨會員國均能承認的電子身分識別(electronic identification)機制，避免在交易過程所面臨的身分認證障礙。基於上述目的，此規則將建立關於電子簽章、電子時戳、電子文件、電子註冊傳遞服務(electronic registered delivery services)與網站鑑別認證服務(certificate services for website authentication)的法律框架。

而此一規則第2章即規定電子身分識別之相關要求，重點如下：

(一)電子身分識別方案應具備保證水準

規則第8條規定，電子身分識別方案應保證該方案中所發布的電子身分識別方式，應具備所保證的低、中、高各種水準。而該保證之低、中、高水準應分別符合下列標準：

1. 具備保證之低水準指的是電子身分識別方案中所採用的電子身分識別方式僅提供有限程度的保密性，且採用的技術規格、標準與程序僅能減低識別資料被濫用的風險。
2. 具備保證之中等水準指的是電子身分識別方案中所採用的電子身分識別方式提供充分程度的保密性，且採用的技術規格、標準與程序能大幅降低識別資料被濫用的風險。
3. 具備保證之高水準指的是電子身分識別方案中所採用的電子身分識別方式提供較中等程度更高的保密性，且採用的技術規格、標準與程序能避免識別資料被濫用。

(二)技術細節另由施行細則決定

歐盟執委會(Commission)應透過本規則之施行細則(implementing acts)，訂定上述符合高中低水準所必要之技術規格、標準與程序，訂定相關技術規格、標準與程序時，應考量下列要素之可靠性與品質：

1. 能證明與確認申請使用電子身分識別方式的自然人或法人身分的程序。
2. 電子身分識別方式的發行程序。
3. 使接受電子身分識別方式的信任方(relying party)可認證使用電子身分識別方式的自然人或法人身分的認證機制。
4. 發行電子身分識別方式之組織(entity)。
5. 電子身分識別方式申請與發行過程之參與者。
6. 已發行電子身分識別方式之科技與安全規格。

二、歐盟電子交易身分識別與信任服務規則施行細則

依據前述規則第8條規定之要求，歐盟執委會於2015年9月通過歐盟電子交易身分識別與信任服務規則的施行細則(以下簡稱施行細則)，其目的在於訂定保證水準中所必要之技術規格、標準與程序。也是為了確保不同電子交易身分識別方案中的保證水準得以互通。施行細則參考了ISO29115標準，但也兼顧前述規則中部分不同之規定，與歐盟會員國目前可用於進行身分識別之工具，因此並未全部採納ISO29115之要求。而施行細則規定要求之項目中，與使用方式之要求與管理相關之例示如下：

1.電子身分識別方式的類別與設計

保證水準	要求事項
低	使用至少一種認證（authentication）因子。 使發行者能透過合理步驟確認該電子身分識別方式在本人所控制或保有下使用。
中	使用至少兩種認證因子。 能被推定電子身分識別方式僅在本人所控制或保有下才能使用。
高	在中度保證水準的要求外再增加： 電子身分識別方式可避免遭到複製、竄改或其他潛在高風險之攻擊。 可使本人在可信賴的保護下避免他人使用其電子身分認證方式。

資料來源：施行細則附錄2.2.1

2.暫停使用、撤銷使用與再啟用

保證水準	要求事項
低	能即時有效地暫停或撤銷電子身分識別方式之使用。 具備措施防止未經授權之電子身分識別方式暫停、撤銷或再啟用。 僅在回復暫停或撤銷前之保證水準要求後，才能再啟用電子身分識別方式。
中	與低度保證水準要求相同。
高	與低度保證水準要求相同。

資料來源：施行細則附錄2.2.3

3. 認證機制

保證水準	要求事項
低	在釋出個人識別資料之前，電子身分識別方式與其有效性應經過可靠地驗證。 當個人識別資料儲存為認證機制的一部分時，必須保護資料以避免資料被竊取或侵害。 認證機制採用安全控制措施驗證電子身分識別方式，大幅降低攻擊者以猜測，竊聽，重播或操縱通信等方式進行基本攻擊，破壞認證機制之風險。
中	除低度保證水準的要求外再增加： 在釋出個人識別資料之前，電子身分識別方式與其有效性應經過動態認證機制可靠地驗證。 認證機制採用安全控制措施驗證電子身分識別方式，大幅降低攻擊者以猜測，竊聽，重播或操縱通信等方式進行中度攻擊，破壞認證機制之風險。
高	除低度保證水準的要求外再增加： 認證機制採用安全控制措施驗證電子身分識別方式，大幅降低攻擊者以猜測，竊聽，重播或操縱通信等方式進行高度攻擊，破壞認證機制之風險。

資料來源：施行細則附錄2.3.1

參、實際案例

法國企業gemalto開發的Mobile ID服務3，透過其實際案例之應用，說明其符合前述電子交易身分識別與信任服務規則之要求。根基於GSMA行動連接服務，使用可全球通行且具專屬性的數位身分，做為線上服務登。入認證之用，可免除新用戶的註冊和認證程序。而各國的實際案例如：

一、冰島

冰島在歐洲算是很早便採行電子身分證(electronic citizen ID)的國家，雖然電子身分證具備較強的安全性，但仍舊有不便利之處，例如需要具備讀卡機的電腦才能使用。因此透過Mobile ID的應用，可以兼顧安全跟便利性。冰島應用Mobile ID的領域包括銀行與電子化政府的服務，Mobile ID的部署可使冰島所有的行動營運業者均加入服務網路，可向所有的訂購者提供互動式服務。冰島的國家憑證機構Audkenni，選擇Gemalto LinqUs Mobile ID的技術提供Mobile ID服務，運用PKI技術與數位憑證的安全性建立具信賴性的環境。用戶的數位身分以私鑰(private key)的型態，安全的存放在SIM卡裡，並由Audkenni簽發憑證4。

二、挪威

在挪威首次推出電子銀行業務後不久，Mobile ID便成為挪威銀行業的關鍵角色。目前LinqUs Mobile ID已提供超過300萬挪威用戶於電子銀行交易時，可使用高強度認證與行動簽名(mobile signature)的服務。採用Mobile ID技術前，銀行使用BankID系統，該系統運用安全token技術，但並不十分方便或屬於經濟有效，而後採用Mobile BankID的方式，使用戶能更容易地證明身分。BankID可用以進行電子文件簽署、不動產投標、申請貸款、電子支付等用途。因用戶的數位簽名在SIM卡上，只要是能使用SIM卡的裝置，包括傳統手機、智慧型手機或平板電腦，均可做為授權交易的裝置。目前挪威五大電信商均參與Mobile BankID服務5。

(本文作者為冠捷科技集團隱私與個資保護遵循處副處長)