電子身份鑑別已經成為建構安全行動網路服務環境的關鍵
- 周安蓮
-
根據Morgan Stanley Research近期所公布的市場研究報告顯示，全球行動上網用戶數將在未來5年內超越傳統桌上型的連網用戶。而隨著現在各式雲端架構網路應用服務興起，以及行動運算裝置(如電子閱讀器、平板電腦、智慧型手機)在市面上日益普及，不僅一般民眾日常生活模式開始發生改變，對於政府各項施政與企業營運策略也造成莫大衝擊。如何藉由各種IT技術與相關政策、教育、推廣活動的施行，打造健全的行動網路應用運算環境，以保障人們在享受行動上網所提供各項便利服務時的安全性，已成為未來台灣各產、官、學界有關單位所需共同關心與努力的方向。
有鑑於此，亞洲PKI聯盟(Asia PKI Consortium；APKIC)及亞太智慧卡協會(Asia Pacific Smart Card Association；APSCA)於日前假台大醫院國際會議中心共同舉辦「2011年行動應用服務安全與電子身份國際研討會(2011 Mobile Security & eID International Symposium)」，會中除邀請APKIC主席魏哲和、經濟部商業司專門委員廖汝洲、行政院科技顧問組執行祕書黃彥男與APSCA主席Greg Pote蒞臨致辭外，並有來自澳門、南韓、印度、香港、大陸…等地以及台灣的IT、金融與電信相關業者與專家，分別就「PKI與行動電子身份發展」、「行動電子身份與行動安全應用」及「推動電子身份與行動安全」等議題作探討，與現場170位來賓分享/討論其具體實作案例與市場分析觀察。
PKI的推動是社會全體的責任
雖然PKI技術出現已有10年以上的歷史，亦普遍承認是一種能夠有效提高電子商務交易環境安全等級的機制，但在市場上的應用卻一直無法普及。香港嶺南大學盧偉聲博士認為，這與過去相關單位對於PKI的推廣有限有很大關係。「由於消費者需要先行了解公開/私密金鑰的運用概念，善盡保護數位憑證的責任，辨別數位認證機構可靠性，並在支付相關費用後才能使用此技術，使得一般個人用戶對於使用PKI興趣缺缺。」而對於中小企業來說，在缺乏相關知識背景的技術團隊支援下，要發展具備數位憑證功能的軟體成本極高，再加上目前市面上PKI的學習素材往往過於艱澀，無形中也提高了PKI推廣的障礙。
盧博士表示，要解決上述問題不光只是技術單位的責任，更需要有政府、學術教育單位及使用者本身共同合作及參與才能達成。舉例來說，學校教育單位可藉由舉辦相關研討會、短期進修訓練課程及顧問諮詢等措施，讓企業與一般民眾對於PKI使用及效益能有更清楚的認知。而政府單位則可站在支援的立場，規劃相關教材與課程、大量培育學校PKI種子師資、鼓勵相關單位舉辦公開說明會，率先倡導PKI發展與使用等方式，以促進PKI技術在該國的使用率。
行動運算裝置與雲端運算架構成為新一代資安與PKI機制導入重點
隨著ICT科技進步，現在的智慧型手機用途已不再僅限於語音對話，更具備有照相、攝影、傳送簡訊/電子郵件、即時通訊、工作日曆、警訊通知、GPS導航定位、音樂/圖片/影音播放、執行工作表、文書處理器…等網路程式等多重應用功能。這表示現在企業有許多重要的資料，都會經由智慧型手機等類型的行動裝置進行處理，因此人們對於其安全等級的要求亦會相對提升。對此印度Sify Technology Ltd.擔任產品專員的Murali Venkatesan表示，有部分業者已經開始將PKI金鑰直接儲存在用戶的SIM晶片上，藉以提高其行動運算平台交易的整體安全性。
但這種方式也容易衍生出SIM晶片被電信業者鎖定，第三方網路應用服務業者難以進一步提供消費者額外加值服務，以及受制於手機本身記憶體與處理器能量有限等問題。Venkatesan建議，使用者可將經CA認證過的金鑰，改儲存至Proxy SIM、Phone或MicroSD等載體來加以改善。MicroSD由於能移往桌上型電腦或筆記型電腦平台上使用，可應用範圍最為廣泛，因此最獲得Venkatesan所推薦，不過他也強調：「我們應該持開放的態度，保持各種可能選項，才有機會看到各式更新、更好的作業模式出現。」舉例來說，該公司將個人ID資料、數位簽章與QR Code等項目互相結合後，不僅可取代傳統實體ID卡片，更能讓線上身份識別機制運作更為即時、順暢且可靠。
此外，根據IDC調查，在2010年時，有14%的資訊工作者會利用智慧型手機存取公司資料，且此一比例到了2013年將快速成長至30%，顯見許多人常會將私人與公司用的行動運算裝置混合使用，即便是個人用的手機內也會有企業的敏感性資料存在。而Forrester的研究則指出，有高達1/4企業員工的智慧型手機是沒有依循公司標準進行管理。因此在目前針對行動運算平台所發動的各種惡意程式、駭客入侵、通訊攔截、資料竊取、設備遺失…等資安事件威脅層出不窮的情況下，如何做好其相關的安全防護工作，也成為企業在管理上的重要議題。
Juniper Networks亞太區系統工程顧問Harry Toolseram認為：「面對新型態的行動運算平台架構，企業也應該採取新的防禦機制加以因應，以便讓該類型的運算設備也能得到與桌上型電腦相同的安全防護。」舉例來說，企業應針對各式不同異質的行動裝置及其作業系統，提供其適用的資料加密、防毒/防惡意程式與AAA機制，以強化其VPN的安全性，並可依據使用者角色的不同，設定其行動裝置存取各應用系統相對應的權限，讓相關內外部管理政策/法令都能夠被有效落實與施行。為此該公司也提出JUNOS PULSE行動裝置用戶端解決方案，目前全球有76%的智慧型手機，超過2,500萬的行動裝置用戶在使用。
技術、安全及商業模式會影響PKI的使用情境
除了行動運算裝置以外，雲端運算架構在近幾年來也是廣泛受到企業討論的議題，不僅2011年度CeBIT展將主題訂為「雲端工作與生活」，IDC也預測其將是2011年台灣企業投資IT的主要項目。因此為了讓公司未來在雲端架構下的營運能獲得充足保障，使其置放於私有雲端的資料都能通過安全認證，台灣捷而思也特別發展Slim SIM卡技術，以做為其新一代行動PKI主力產品。該公司董事長吳建東表示，除智慧型手機之外，Slim SIM卡亦可適用於多種異質作業系統平台的傳統手機，用戶無需再安裝其他應用系統，或是配合平台修改程式，也不必使用額外的OTP token設備，只要將該卡直接插入手機內，即可隨插隨用。
用戶可透過插有Slim SIM卡的行動裝置先登入銀行入口網站，經銀行後台的Active Directory授權之後，核發SSO ticket，依該使用者的權限展示其個人可操作功能選項。使用者再據此登入網路銀行，SSO會核發eBanking ticket，讓使用者可將其送至網路銀行系統端，通過驗證後提供相關經過授權的服務內容。「由於Slim SIM卡內含病毒驗證功能，其內建的WAP URL也無法改變，因此能夠有效處理雲端運算環境中最難解決的惡意程式與釣魚網站問題，對於管理雲端的身份認證與存取權限有相當大的幫助。」
臺灣網路認證(TWCA)公司策略長杜宏毅認為，無論是在傳統的固定式網路或是行動運算作業環境，使用PKI時都應先就其技術、安全及商業模式3項層面思考其定位。以台灣的網路銀行情境為例，就商業模式層面來考量，由於PKI會由銀行結合憑證單位發送給消費者使用，基於避免因眾多手機作業系統與瀏覽器版本的不同，而造成後續PKI安裝上的麻煩與服務成本增加的問題，以及簡化申請與下載過程，讓消費者更樂於將PKI與應用程式安裝在其自有行動裝置…等動機，因此在技術層面上，行動網路銀行業者會將其應用程式，直接與TWCA行動PKI軟體元件進行整合。
杜宏毅強調，由於PKI已下載儲存在用戶端上，這表示消費者可能也需要自行負起確保金錀安全性的責任。PKI機制運作的主要目標，是要確保線上交易過程中兩造傳輸資料本身的隱密性、驗證性、完整性及不可否認性，至於如何保障運算平台，甚至是金鑰本身的安全性，則並非PKI所能夠獨立完成，「這需要搭配其他的資安防護機制，才能夠提供足夠充足的保護。」此外，也由於PKI是直接與應用系統整合，當用戶切換使用不同的系統時，就會取得另外的金錀，如何解決也是值得深思的問題。
行動運算環境中的PKI新運作機制及應用模式
有鑑於手機的普及率越來越高，其行動PKI憑證、無線網路資料加密與相關安全運作機制也日趨完善，於是開始有台灣業者將健保卡、電子票據、電子錢包、自然人憑證等各式傳統的電子晶片卡功能都整合到手機的SIM卡上，並利用其內建的非接觸界面進行近距離通訊(Near Field Communication；NFC)，以便將手機發展成可信賴的移動式支付平台工具，讓消費者透過手機裝置，就能隨時享受到保險、購物、交通、醫療照護、駕照/護照申請，甚至是公司門禁、出缺勤管理等眾多電子化服務功能。
以中華電信所推出的多項應用為例子，除遠雄集團與該公司合作，在其新推出的建案中提供手機行動付款及安全監控的服務之外，在整合TSM服務模式之中，消費者透過手機便可搭乘大眾運輸工具、至便利超商及速食店購物點餐、收取促銷資訊及電子折價券，或是進行城市旅遊導覽。中華電信資深專案經理繆嘉新認為，隨著GSMA與全球平台組織的大力支持，NFC在未來極有可能成為行動付款及交易應用的主流模式。
不過有另外一些業者指出，無論是將數位身份儲存在SIM卡、安裝在行動裝置上的用戶端軟體，或是由遠端伺服器下載私密金鑰後再臨時性地儲存於行動裝置上(漫遊)等PKI運作方式，或多或少都有一些衍生性的問題發生。SafeNet香港與台灣區經理Vince Wan表示：「SIM-based及Client-based都有受制於特定裝置/SIM卡，高昂的密碼管理成本，以及更多的前置準備作業等狀況。而漫遊則會有將私密金鑰以未加密型式曝露與需仰賴設備CPU進行解密的風險。」為此該公司提出以以Luna Remote Signature Server(RSS)機制來改善上述狀況。
Wan說，我們可以將RSS想像成是一種由第三方集中保管的私有金鑰線上虛擬銀行。只要用戶將其ID與OTP登錄到RSS上，該RSS即會送出另一個OTP以供認證管理員進行驗證，一旦OTP正確，即可使用對應的私有金鑰進行數位簽章，並且將其傳送到任一支援PKI服務的網站上使用，以增進PKI的可用性。「這種作業機制非常簡單且具有彈性，企業無需改變既有的IT基礎建設便可運作，無論是在建置或維護成本方面均可望大幅降低。」而也由於私有金鑰是交由第三方負責處理，不僅用戶不必再擔心金鑰如何保管的問題，亦可做到100%的可攜性。「只要能連上網路便可進行相關的存取。」
亞太地區各國正積極推廣PKI在行動運算環境的應用
以澳門eSign Trust Certification Services為例，參與該計畫發展的葉曉紅表示，由於預期未來全球行動連網裝置將取代傳統桌上型運算設備，成為使用者上網作業的主流，作為目前唯一獲得澳門「電子文件與電子簽名法」認可的憑證單位─澳門郵政，在近期亦積極模擬試驗各項行動電子文件簽名情境，以找出最佳的簽章作業模式。在此過程中，澳門郵政使用iPhone平台作為測試行動安全機制的前端應用環境，後端則是以EPCM伺服器、認證/驗證伺服器、eSign Trust CA伺服器與HSM(Hardware Security Module)加密處理器等設備，構成其eSign Trust的安全骨幹。
葉曉紅表示，選定iPhone除了因其具有龐大智慧型手機使用族群外，在核心作業系統方面，該平台也提供完整的安全與認證機制，如支援組態檔案、電子郵件、Safari瀏覽器及SCEP憑證等安裝方式，以及能夠透過OCSP對憑證進行即時的移除與廢止等。目前該單位已完成「網站登錄及伺服器稽核」、「在用戶端以PKI憑證進行簽章」、「在伺服器端以PKI憑證進行簽章」，以及「在伺服器端依據PKI憑證，計算雜湊值進行簽章」等4項情境的測試，並發現以「搭配雜湊值」的方式缺點最少。葉曉紅說，此方式不僅可符合PKI的標準，確保電子文件的安全性，還可避免其他可能發生的用戶端行動裝置遺失而導致憑證外流，或是傳送大量文件而產生頻寬不足及運算過於耗時等問題。
至於在南韓方面，據Korea Internet & Security Agency副研究員Jin Soo Lim的說法，該國施行電子簽章法以保障電子文件的安全性及可靠性，以促進全國資訊化發展並為民眾生活標準帶來便利之後，自2002年起，除了獲政府認可的5家CA單位對於一般民間企業、個人用戶，以及政府公務人員所發出的憑證總數，於10年間成長超過4倍，由原來的493萬張增加為2011年初的2,370萬張，佔南韓總人口數的47%以上，在行動銀行、網路銀行、政府服務、網路購物、線上股票買賣等生活領域的PKI應用成果上，亦有相當優異的表現。
以政府服務為例，目前南韓政府在醫療資訊、政府申訴、稅金繳交、健康保險等應用項目都已大量採用PKI機制。根據《2010年聯合國e政府調查報告》，無論是在參與及發展度等各項指標，南韓都是全球第1名的國家。其成功原因，有很大部分是與政府法令規定，以及相關單位不遺餘力進行推廣教育有關。Jin表示，除超過300美元的線上交易需有核可憑證外，「由於南韓法令強制規定所有網路銀行用戶，必須使用獲得核可的憑證以進行安全線上交易，因此全國19家提供網站登錄、交易與自助授權服務等項目的銀行及郵政單位，均是以核可憑證為基礎，建立其網路銀行服務機制。」目前南韓每天線上銀行的交易量為2,800萬筆，交易金額則高達1.86兆美元。
至於負責建立與營運全大陸銀行卡跨行資訊交換網路的中國銀聯，目前也正積極發展其行動電子付款安全機制。中國銀聯技術管理部資深高級工程師徐靜雯表示，該公司已規劃出近距離付款與遠端付款兩種試驗性營運架構，可讓消費者持手機，透過POS終端或一般網際網路進行跨行性質的付款交易。「在確保安全的前提下，我們必須要對行動付款網路中的每一個交易實體，其彼此之間的互動過程，以及底層基礎的資安架構等部分進行相關規劃。」而截至目前為止，中國銀聯除已經針對交易實體及互動過程提出相關安控機制，並也將PKI應用在資安架構層面。徐靜雯說，「未來我們將持續努力，讓整體營運安全機制能夠更加健全。」
