Sectigo 網誌
eIDAS 2.0：圍繞這項新標準的相關憂慮
了解 eIDAS 2.0 如何致力簡化網上交易流程，以及其目前面對的私隱與中心化相關爭議。
eIDAS 2.0：定義與相關爭議
《電子身份識別與信任服務條例》（Electronic Identification, Authentication, and Trust Services，簡稱 eIDAS）是由歐盟（EU）27 個成員國共同制定的法規，旨在提升電子業務開展的便捷性與安全性。該法規對數碼證書、電子簽名、電子印章作出規範，同時對歐盟境內電子交易雙方之間建立信任的相關服務實施監管。
eIDAS 2.0 法規的設計目標是簡化網站身份驗證、文件簽署及各類網上交易的辦理流程。舉例來說，民眾可全程無需簽署紙本文件，即可完成購車、申請汽車貸款、辦理保險、車輛註冊以及將車輛添加至保單等全流程操作。
但 eIDAS 也引發了不少憂慮。許多持份者認為，該法規的中心化屬性可能會讓民眾和企業不必要地暴露在風險中。另有觀點認為，eIDAS 越權規定了瀏覽器可信任的數碼證書類型，還有部分人士認為 eIDAS 為歐盟成員國監控本國公民提供了便利。
從 eIDAS 到 eIDAS 2.0 的演進
儘管 eIDAS 1.0 在提升數碼空間安全性方面發揮了作用，但並未提供全面的保護。例如，各成員國可自行選擇 eIDAS 的落地方式，導致各國之間政策不統一。此外，其信任服務僅覆蓋電子簽名、電子印章和時間戳，無法保護用戶免受旨在竊取身份信息的仿冒網站侵害。
eIDAS 2.0 試圖透過推出歐盟數碼身份（EUDI）錢包來解決上述問題，該工具有望提升個人與組織之間數碼交易的規則一致性。
用戶可在 EUDI 錢包中存儲身份信息，例如姓名、出生日期、簽名、居住地址和電話號碼。後續當辦理貸款等業務需要貸款方核實身份信息時，用戶可直接從錢包中發送相關數據，無需簽署文件、傳真文件或使用第三方電子簽名軟件。
此外，透過引入新的機制和信任服務，eIDAS 2.0 覆蓋了更廣泛的數碼交易場景。其中一項值得關注的功能是合格網站認證證書（QWAC），其作用等同於現時用於驗證網站真實性的 SSL 數碼證書。2.0 版本還納入了電子歸檔、電子賬本，以及遙距電子簽名管理系統相關規範。
甚麼是 eIDAS 2.0？
eIDAS 2.0 的主要目標包括：
- 拓展法規適用的服務範圍，例如用於身份驗證的電子證書
- 提升電子交易落地實施的一致性，尤其是透過 EUDI 錢包實現的相關交易
- 在租房簽約、機票預訂、求職申請等更廣泛的日常活動場景中，提供更安全、更便捷的電子交易體驗
eIDAS 生態系統中的實體主要分為三類：
- 身份發行方：例如，政府實體可根據用戶的出生證明簽發個人身份數據，證明用戶的出生地、姓名、出生日期及父母資料。
- 用戶: 指從頒發方接收身份數據的個人或商業實體，可以是公民，也可以是接收QWAC的網站擁有者。
- 依賴方: 依賴方是使用用戶提供的身份資訊的實體，例如接受航班預訂的航空公司、辦理入院手續的醫院，或對候選人進行面試的僱主。
在聯合立法者就其內容達成共識後，2023年6月29日，eIDAS於2023年9月全面生效。
eIDAS 2.0為歐盟公民和企業帶來的優勢
在eIDAS 2.0框架下，歐盟企業和公民將可獲得更便捷、更高效，且有望更安全的電子交易體驗。
對公民而言，交易流程將大幅提速。例如置業時，公民無需再提供護照複印件，也無需找治安官或其他認證機構做公證，只需出示載有數碼身份資訊的EUDI Wallet，選擇要共享的數據即可。同理，企業也可享受更快速、順暢、安全的交易體驗：企業可即時獲取各類身份資訊，驗證客戶的真實身份。
對企業和客戶雙方來說，即便是大額採購場景下的網上交易也會更安全便捷。客戶可直接從錢包中共享身份、支付和配送資訊，幫助線上銷售企業實現更順暢的資金流轉。
跨境交易也將從中受惠。此前各國各自制定數據保護法例，阻礙了需要數據共享的交易開展。eIDAS 2.0遵循適用於全部27個成員國的GDPR原則運作。
eIDAS 2.0的相關爭議
合資格信任服務供應商（QTSP）是指提供一項或多項合資格信任服務的自然人或法人。目前有數百家QTSP，當中很多是僅在單個國家營運的主體。要確保每家QTSP的可靠性和網絡安全防護措施到位存在一定難度。這一問題，加上eIDAS 2.0的其他條款，已經引發了一些爭議:
- eIDAS可能為建立網站證書集中存儲庫鋪平道路，該存儲庫會存儲部分或全部成員國頒發的所有QWAC。這意味著單次黑客攻擊就可能導致歐盟範圍內數千個網站發生數據泄露。
- eIDAS強制瀏覽器廠商支援所有獲批信任服務供應商頒發的QWAC，限制了瀏覽器廠商的自主權。即使瀏覽器開發商對某家QTSP的網絡安全實踐存在顧慮，也必須認可該QTSP頒發的QWAC。
- 如果某歐洲政府想要監視公民或企業，其完全有可能從QTSP處獲取證書和密鑰資訊。
- eIDAS對瀏覽器展示機構相關資訊的方式作出了規定，要求相關資訊必須便於消費者識別、理解和驗證。部分持份者認為這會限制瀏覽器廠商的介面設計能力和自主創意決策空間。
上述問題疊加，存在監管過度的可能性。未來政府甚至可能按照員工數量、營運所在國家等存疑標準來認證QTSP。
後續進展
eIDAS 2.0目前仍處於早期階段。EUDI Wallet已於2023年4月啟動試點測試，重點覆蓋多個應用場景，包括：
- 使用政務服務
- 開立銀行帳戶
- 註冊SIM卡
- 存儲駕駛執照資訊
- 簽署合約
- 處方申領
- 跨境出行
- 頒發機構數碼身份
- 接收付款
- 學歷學位認證
- 申領社會保障福利
隨着政府部門、企業和公民從這些試點計劃中累積經驗，eIDAS 的未來發展路徑將愈來愈清晰。該法規有望全面提升數碼交易的流暢度與安全性，徹底淘汰費時的紙本身份核驗系統。
與此同時，部分持份者認為 eIDAS 2.0 可能會威脅網站身份認證系統與用戶數據的安全，亦可能為政府監控和過度監管打開方便之門。
Sectigo 提供符合 eIDAS 要求的數碼證書，可協助個人和企業更高效地保障文件安全、使用數碼簽名。欲了解更多資訊，立即聯絡 Sectigo 。