講者：卓瑩鎗／國立中正大學通訊工程系電機工程系兼任助理教授

1. 從電信和金融兩大領域
來看網路身分驗證問題 --
邁向數位國家的第一步
國立中正大學通訊工程系/電機工程系兼任助理教授
行政院國發會亞洲·矽谷計畫研究智庫
悠遊卡公司企劃室
卓瑩鎗
silvergun@ee.ccu.edu.tw
立法院數位國家促進會討論議題
1

2. 今天來談趨勢、暫不談技術
趨勢每日都在變，今天會有不錯的八卦
這些八卦的方向幾近正確，適合給委員們拿來質詢
對國家發展很有幫助 : )
# 相關知識，直到昨晚都還有新資訊進來讓小弟我改觀
# 如果今天還有時間，分享一個“監理沙盒”的實作案
2

3. 動機
3

4. 解法 @台灣
1. 區塊鏈
2. 金融陣營
3. 電信陣營
# 必須小聲的說，在台灣，目前不會有其他更好的解法了。
4

5. 來看國外的區塊鏈進展
• 「數位身份自主權」
（Self-Sovereign Identity）
• http://www.coindesk.com/path-self-
sovereign-identity/
• Apr 27, 2016 by Christopher Allen
5

6. 十大金玉良言(上)
• 存在權（Existence）:「我」的存在不可磨滅
不可篡改，不論在數位世界或實體世界皆然；
• 控制權（Control）：用戶必須能控制其數位
身份並決定他人如何使用其個資；
• 存取權（Access）：用戶應該在全球範圍內享
有存取其數位身份與個資的自由；
• 透明度（Transparency）：管理數位身份的系
統應該建立在開源軟體的基礎上；
• 持續力（Persistence）：數位身份應該能永
續存在，但不該抵觸用戶選擇被遺忘的權利；
6

7. 十大金玉良言(下)
• 跨網力（Portability）：用戶身份應該跨平
台、跨管轄權，不該為某特定平台或政府壟斷；
• 互操性（Interoperability）：用戶身份應該
可以隨身攜帶，全球跨網漫遊不受阻礙；
• 同意權（Consent）：用戶須授權同意他人使
用與分享其數位身份；
• 極小化（Minimalization）：數位身份系統應
以最低個人資訊揭露量為原則；
• 保護罩（Protection）：身份認證系統應以保
護用戶權益與自由為最優先考量。
7

8. 愛沙尼亞共和國
愛沙尼亞是歐盟國之一，想在歐盟做生意可先成為電子居民，
再利用愛沙尼亞數位政府服務中心，從設立公司到驗證電子
簽章、簽合約到報稅，只需花五分鐘便可完成。
估計在未來幾年之內，將有1千萬電子居民、繳納5億餘美元
的稅收。正如有些國家為了吸引銀行存款，打造避稅天堂般，
但愛沙尼亞卻是以先進的商務安全系統來招商繳稅。
8

9. 電子公民計劃
9

10. • 這張網路居留證具備的好處很多
• 對於創業者而言，因為愛沙尼亞是歐盟成員之一，快速
申請成立一間愛沙尼亞的公司，即便人沒有居住在歐盟，
也可以快速擁有一間歐盟承認的公司
• 符合歐盟的規範容易與人較高的信任感，如果需要有一
個愛沙尼亞實體位置的地址，該國政府也直接把可以提
供服務的業者，公開在網路上任君選擇
• 對於其他的網路公民而言，可以申辦各種銀行業務，並
且使用各種國際支付業者提供的跨境支付服務，也可以
直接透過網路申報稅務，從遠端驗證文件的真實性，簽
訂各種合約文件，以加密的方式，安全傳輸文件
10

11. 來看台灣的區塊鏈進展
11
# 當小規模的金融商轉成功後，才會逐漸
拓展到其他應用領域，所以我們仍然有
得等了。

12. 電信陣營
三大兩小，互相牽制，孕育而生的某家神奇
公司……
12
1.行動支付
(TSM)
2.我的號碼
(Mobile connect)

13. 智慧型手機現況與發展趨勢(全球)
隨著智慧型手機愈來愈普及，行動應用是未來趨勢的必然。
13

14. 智慧型手機現況與發展趨勢(台灣)
資料來源:資策會
0%
10%
20%
30%
40%
50%
60%
70%
80%
90%
-
2,000
4,000
6,000
8,000
10,000
12,000
14,000
16,000
18,000
2010 2011 2012 2013 2014 2015 2016(f) 2017(f) 2018(f)
智慧型手機人數(千) 智慧型手機普及率(%)
台灣社會人人手機不離身，智慧型手機愈來愈普及。
14

15.  Swish是瑞典的行動支付服務
- 使用人數約450萬人，佔符合申請資格人口(16+) 60%
- BankID(身分認證)+BankGirot(轉帳平台)
 BankID:
- Y2003服務上線
- 目前使用人數約650萬人，佔符合申請資格人口(16+)
87%
- 用戶透過所屬銀行申請BankID，並進行門號與銀行帳
號之綁定
- 部分銀行可透過網銀申辦BankID，部分銀行則需持有
效身分證件，透過臨櫃辦理。
數位核身服務案例-瑞典Swish(Mobile BankID)
身分認證
行動支付
銀行轉帳網路
15

16. GSMA案例
16

17. 電信整合平台應用架構
各
家
電
信
業
者
(5*MNO)
服
務
供
應
商
(SP)
行動支付應用平台 (TSM)
MNO Wallet *4
亞洲矽谷
SP Wallet
信
用
卡
聯
名
卡
會
員
卡
數
位
票
劵
核身機制
小額代收
悠遊卡
愛金卡
台北市府
有錢卡
玉山銀行
桃園市府
一卡通
高鐵
電
子
票
證
行
動
市
民
卡
Mobile Connect平台
台
灣
行
動
支
付
公
司
策略
合作
夥伴
線上投保
穿戴設備
Payment Wallet
門禁遠
端
應
用
O2O
安全
核身
業務
企業
用戶
業務
線上
線下
業務
智慧城市應用
….
電信整合平台應用(我的號碼)
17

18. 我的號碼 服務介紹
• 什麼是”我的號碼”?
– 英文服務名稱為”Mobile Connect”
– 由GSMA於2014年 MWC @Barcelona 推出
– 手機號碼+手機
– 提供簡單、便利、安全的手機身分識別解決方案
• Mobile Connect計劃目標:
–讓電信公司成為可被信賴的身分識別服務提供商增加用戶滿意度
–提供安全、便利、隱私的線上服務使用環境
• Phase I 專案範圍
–提供OK(LoA 2，單因子)及PIN(LoA 3，雙因子)驗證的方式
–行動和數位服務
•例如電子商務、銀行業務、 醫療和數位娛樂，以及電子政府網站。
18

19. 我的號碼 服務特點
• 由(五大)電信公司進行身分認證
– 由電信網路確認註冊門號正確性，無法偽冒
– NCC規定申辦門號需提供雙證件，讓門號可與
身分證字號進行連結
– 安全機制門號掛失即暫停門號認證有效性
• 使用門號即可進行身分/交易認證
• 保護用戶隱私
19

20. 如果Service Provider要求的安全度較低，
使用者只要簡單的在手機上按「OK」即
可完成身分認證。
可以應用在Login或是身分認證。
如果Service Provider要求的安全度較高，
則要求使用者「輸入PIN」。
可以應用在付費交易確認。
簡單 方便 安全
Mobile Connect 使用情境
20

21. 服務流程
MNO
MNO GW
AAA Server
MNO
MNO GW
AAA Server
1 輸入門號進行
登入/交易身分認證 2 身分認證請求
我的號碼app
我的號碼平台
4 身分認證/交易確認
Desktop/Tablet
MNO
MNO GW
AAA Server
3 查詢門號使用狀態
電信門號網路認證
5 回傳認證結果登入/交易身分
認證成功
6
服務供應商
點選OK或輸入密碼
Identity
GW
AuthN
Server
電商、社群、
社群、電子
政府…網站
21

22. 註冊
MNO
MNO GW
AAA Server
MNO
MNO GW
AAA Server
群信公司伺服器
4 註冊成功
MNO
MNO GW
AAA Server
3 門號/身分證字號核實
電信門號網路認證
(取回加密後門號資
料)
2 門號/身分證字號資料核實請求
1
我的號碼app
Identity
GW
AuthN
Server
*註冊成功後系統保留門號與身分
證字號Hash值,加密後存放
22

23. 認證流程(不含身分證號)
MNO
MNO GW
AAA Server
MNO
MNO GW
AAA Server
1 輸入門號/身分證字號進行
登入/交易身分認證 2 身分認證請求
我的號碼app
群信公司伺服器
4 身分認證/交易確認
Desktop/Tablet
MNO
MNO GW
AAA Server
3 查詢門號使用狀態
5 回傳認證結果登入/交易身分
認證成功
6
服務供應商
點選OK或輸入密碼
Identity
GW
AuthN
Server
傳入參數:1.門號 2.註冊時保留之
門號與身分證號Hash值
3.1以傳入門號與身分證字號Hash
值比對電信公司資料產出Hash值
是否相符
3.2 查詢門號狀態
*3.1比對不符則代表用戶已與註冊
時不同,請回傳-3,前端會提示用戶
重新綁定服務
23

24. 認證流程(含身分證號)
2.1若為含身分證號比對,
則多增加ROCID Hash
傳入MNO GW
MNO
MNO GW
AAA Server
MNO
MNO GW
AAA Server
1 輸入門號/身分證字號進行
登入/交易身分認證 2 身分認證請求
我的號碼app
群信公司伺服器
4 身分認證/交易確認
Desktop/Tablet
MNO
MNO GW
AAA Server
3 查詢門號使用狀態
5 回傳認證結果登入/交易身分
認證成功
6
服務供應商
點選OK或輸入密碼
Identity
GW
AuthN
Server
傳入參數:1.門號 2.註冊時保留之門號與
身分證號Hash值 3.ROC ID Hash值
3.1以傳入門號與身分證字號Hash值並比
對電信公司資料產出Hash值是否相符
3.2 查詢門號狀態
3.3 以MNO本身對應資料產ROC ID Hash值,
並與參數3比對,若不符則回傳-2
24

25. 用戶登入網站
用戶 服務頁面 群信 電信公司
1.用戶登入 2.登入認證請求
3.門號狀態查核
4.傳送Push登入認證至用戶手機
輸入門號,點選登入
5.回傳登入
認證結果
User Profile
用戶手機 APP
收到通知
用戶只需3個動作
1. 在網頁上輸入手
機號碼
2. 手機的門號通
APP會被呼叫請
求確認Yes or No
3. 帳號綁定
帳號綁定完成登入
服務
舊會員
25

26. 用戶登入網站
用戶 服務頁面 電信公司
1.用戶登入 2.登入認證請求
3.門號狀態查核
4.傳送Push登入認證至用戶手機
輸入門號,點選登入
5.回傳登入
認證結果
subject ID
User Profile
用戶手機 APP
收到通知
用戶登入服務
新用戶使用門號通完
成登入後，服務廠商
可依需要導引用戶完
成填寫所需資料。
用戶填寫資料
完成帳號綁定
群信
新會員
26

27. https://www.youtube.com/watch?v=igrf08xVkao
27

28. 金融陣營
「臺灣網路認證公司」成立於1999年，致力於
提供令客戶信賴的認證服務。目前在金融、證
券、保險產業與安全電子商務擁有多年專業技
術與實務經驗，提供國內最具代表性的網路安
全認證服務，並持續推動網路金融安全環境的
建置及宣導，以確保國內金融及電子商務交易
安全，建立便捷可信賴的安全網路交易環境。
28

29. 29

30. 30

31. 服務說明
• 「我的憑證」
– 電子印鑑憑證，為新憑證(效期3年)
– 投資人必須透過有效憑證*由合作應用入口(如:集保股東e票
通)進行線上申請，才能安裝電子印鑑憑證至TWID APP
• 「我的應用」
– 與不同應用的連接，投資人可利用已安裝至TWID APP的電子
印鑑憑證，使用行動應用服務
– 目前「集保股東e票通」就是其中一項行動應用
• 「我的行動網」
– 與合作網站的連接
– 未來投資人可自行增加合作網站至TWID APP，並使用TWID
進行身分識別或交易簽章
*有效憑證包含:
1.網路銀行憑證
2.自然人憑證
3.券商網路下單憑證
31

32. TWID App
32

33. 電子印鑑憑證-申請流程
*以網銀憑證、自然人憑證或券商網路下單
憑證綁定用戶身分後，重新發給用戶’電
子印鑑憑證’
33

34. 電子印鑑憑證-線上申請
1.
2.
3.
4.
5.
6.
7.
8.
設定投資人ID
設定憑證保護密碼
34

35. 使用流程-憑證簽章交易*於使用相關服務時以App to App方
式，用戶輸入TWID密碼完成認證
35

36. 身分識別
信物管理
帳戶約定
AP Partner
ID Partner
ID Partner (多元身分識別)
•金融憑證(TWCA)
•晶片金融卡(票交所 eDDA )
•自然人憑證(內政部ICS)
•無卡/有卡核驗(財金)
•健保卡(衛福部.待主管機關同意)
•銀行帳號核驗(票交所開發中)
•門號通(Mobile Connect)
AP Partner(各項應用)
•電子保單
•證券線上開戶
•投信投顧線上開戶
•證交所投資人綜合查詢
•證交所股票競拍
•期交所
AP Partner(合作夥伴)
•精誠-線上開戶
•Line 下單
•鉅亨網
帳戶綁定(金流平台)
•票交所(金融憑證/自然人
憑證/晶片金融卡)
•財金全繳網(晶片金融卡/
金融憑證)
Block
Chain
資料彙整
與轉遞
文件簽署
36

37. • https://www.youtube.com/watch?v=U4sZ8jld
wc0
• https://www.youtube.com/watch?v=6ZuExYb
HwIw
37

38. 兩陣營服務比較
TWID 我的號碼
服務申辦
申辦門檻高: 以憑證(如自然人憑證、金融憑證、晶片
金融卡)辦憑證(電子印鑑憑證)，需先臨櫃辦理前列憑
證才可申請TWID之電子印鑑憑證
申辦無門檻:
只有持有智慧型手機與擁有電信門號即可辦理
服務註冊
申辦註冊過程繁複--1.在SP網站註冊(i.輸入申請人基本
資料:姓名, 身分證號, 手機號碼, email; ii.選擇有效憑證:
需插卡、輸入員憑證密碼進行簽章; iii.設定電子印鑑憑
證下載密碼; iv. 設定投資人ID); 2.下載APP; 3.啟用APP(i.
輸入投資人ID; ii.選擇email或簡訊進行註冊認證，輸入
註冊認證碼; iii.輸入電子印鑑憑證下載密碼; iv.完成安
裝)
註冊流程簡單方便
1.下載APP並開啟行動上網
2.填入門號、身分證號、設定六位數密碼
3.註冊完成
適用範圍
用戶在線上申請時會用到有效憑證種類，會依不同行
動應用有所不同，需洽所屬行動應用服務單位；TWID
功能取決於原有效憑證之適用範圍
只要使用手機與門號，就可以完成身分認證與交
易確認
更換手機或
刪除APP
更換手機或是刪除APP後，則需重新申請電子印鑑憑
證，費時費力
用戶只要開啟行動上網，重新登入服務，即可完
成服務重新綁定
使用流程 每次都需要輸入密碼進行簽章
依照服務安全等級的不同，服務有彈性
安全等級高:輸入密碼進行(雙因子)驗證
安全等級低:點擊"同意"鍵即可
安全機制
手機掉了，若需廢止電子印鑑憑證，需至TWCA(台網)
的網站上進行憑證掛失/廢止申請
進線電信客服掛失門號，身分驗證即刻失效，安
全有保障
忘記密碼
若忘記電子印鑑憑證密碼，則需至SP網站重新申請"電
子印鑑憑證"
開啟行動上網，輸入身分證號驗證，重新設定密
碼即可
38

39. 建議
跨部會協商：
國發會、金管會、通傳會、台灣網路認證公
司、電信協會，共同深入檢討數位身分認證
議題及牽涉法規適用，相互交流做法，建立
標準作業程序，共同推廣應用，邁向數位國
家的第一步 !
#應該已經有譜了，不是空穴來風~~~
39

40. 今日加碼
• 不單只有數位身份辨識這個議題，電信和金融需要
整合。
• 在行動支付這個議題上，我們也需要有一支國家代
表隊來對抗 Apple pay、Samsung pay、Android
pay
• 電信陣營 : TSM技術 (群信)<=國發會
• 金融陣營 : HCE技術 (台灣行動支付)<=金管會
# 很多新聞說 : Apple Pay登台9天綁卡70萬張，相較台灣本土電子支付
「台灣Pay」上路9個月來，綁卡數量只有4.3萬張
40

41. TSM技術
41

42. 42

43. 43

44. HCE技術
44

45. 45

46. 建議
不管是行動支付還是第三方支付，全台灣目前沒有一家業者
是賺錢的。
國發會應該找電信陣營，金管會應該找金融陣營，共同攜手
組一支國家隊。
不是為了要讓特定誰賺錢，而是我們國家在數位身分辨識、
電子支付這些涉及軟硬體整合和電信金融的根本基業上，不
能拱手讓出戰場，因為這些都是萬年大計。
46

47. 感謝各位先進聆聽
歡迎多多指導