電子身份認證

甚麼是電子認證？

電子認證是指透過電子方式，確認使用者、組織、裝置或數碼訊息是否與其聲稱的身份或來源相關聯的過程。在電子商務及物流中，電子認證有助確認誰正在存取商戶帳戶、提交運輸指示、連接商業系統或批准電子交易。認證可提供有關身份或來源的證據；但認證本身並不能確立訂單是否合法、貨物是否符合描述，或貨件是否已送達。

這個術語在資訊保安及電子商務法中具有相關但不同的含義。在數碼身份系統中，認證通常是指核實聲稱身份者是否控制與某個帳戶相關聯的認證器。在電子文件工作流程中，這個術語也可能較廣泛地指確立記錄的來源或真實性，有時會使用電子簽署或密碼學方法。因此，實際含義取決於所要認證的對象，以及適用的技術或法律框架。

在電子商務及物流中的作用

電子認證在各方及系統交換指示、存取資料或批准行動的環節運作。它支援圍繞訂單建立的信任關係，而不是貨物本身的實體運輸。同一宗交易中，商戶、倉庫營運商、承運商、報關代理及客戶可能各自使用不同的認證系統。

例如，倉庫員工在存取庫存應用程式前，可能需要先進行認證。商戶軟件在透過應用程式介面（API）要求運輸標籤時，可能需要進行認證。企業代表在批准貿易文件時，可能會使用電子簽署。雖然這些活動都可以成為電子認證工作流程的一部分，但它們涉及的證據及控制措施各不相同。

以上只是說明性應用，並非普遍適用的要求清單。適當的方法取決於未經授權存取所造成的後果、涉及的各方，以及任何適用的合約或監管要求。

電子認證如何運作

1. 建立帳戶或信任關係

在認證事件具有意義之前，系統需要有依據去識別聲稱身份者。這可能包括建立帳戶、核查身份證據、註冊組織，或向軟件應用程式發出憑證。身份驗證及認證是兩項獨立活動：身份驗證評估申請人的身份，而認證則在其後檢查該人是否控制與該身份或帳戶相關聯的認證器。

並非每個商業帳戶都與已驗證的法律身份相關聯。系統可能只能確立同一帳戶持有人再次返回。當企業需要取得某人的身份或代表公司行事的權限證據，而不只是確認其持續存取帳戶時，這項區分便十分重要。

2. 綁定認證器

認證器會與帳戶或身份相關聯。例子包括密碼、密碼學金鑰，或用來產生認證回應的裝置。註冊及綁定程序十分重要，因為如果攻擊者可以將自己的認證器註冊到他人的帳戶，強大的認證機制也只能提供有限保障。

3. 提交及核查證據

當有人要求存取或批准時，聲稱身份者會透過所選的認證協議提供證據。驗證方會核查該證據。視乎所採用的方法，這可能包括檢查由密碼衍生的數值、驗證一次性回應，或核實對挑戰內容作出的密碼學簽署。設計完善的挑戰—回應協議可以在不傳送秘密金鑰本身的情況下，證明某人控制該金鑰。

4. 應用授權規則

認證成功後，系統會另外決定權限。倉庫員工可能獲准查看揀貨任務，但不能修改付款資料。運輸整合可能獲准建立標籤，但不能管理使用者。認證識別所涉及的帳戶或主體；授權則決定該主體可以執行哪些行動。

5. 管理工作階段及變更

完成認證後，系統可能會維持工作階段，而不要求每次執行行動時重新登入。工作階段保護、撤銷憑證、帳戶復原及更換認證器，仍然是整體流程的重要部分。即使工作階段已經啟用，變更退款目的地等敏感行動也可能需要重新進行認證。

認證因素及機制

對人類使用者而言，認證因素通常被描述為某人知道、擁有或本身具備的事物。這些分類描述所使用的證據；它們不會自動決定完整實施方案的保安程度。機器對機器的連接會使用共享秘密、密碼學金鑰及憑證等機制，但不應視為與人類登入工作流程完全相同。

多重因素認證結合不同的認證因素。兩個密碼並不構成兩種不同因素。同樣地，包含多個畫面的工作流程也不一定屬於多重因素認證。關鍵在於流程是否要求獨立形式的證據，而不是使用者看到多少個步驟。

抗網絡釣魚能力是另一項獨立特性。某種方法即使涉及多個因素，仍可能讓攻擊者轉發或擷取認證證據。NIST 的數碼身份指引根據認證方法的特性及保障要求區分方法，而不是把所有多重因素方法視為可互換。

相關術語及重要區分

電子簽署及電子認證事件可以同時發生，但兩者用途不同。簽署可以表達對特定文件或交易的批准。登入帳戶則根據該帳戶的認證規則建立存取權。單純登入並不一定證明使用者批准了某份特定文件。

數碼簽署也需要在信任框架內作出解讀。成功的密碼學核查顯示簽署與特定金鑰及已簽署資料相符。要將該金鑰連繫到具名人士、組織或權限，則需要額外證據，例如受信任的憑證及適當的註冊程序。

跨境文件及法律意義

在跨境商貿中，電子認證可以支援採購批准、運輸指示、海關提交及其他電子記錄。然而，技術核查及法律認可屬於兩個不同問題。文件即使通過技術簽署核查，也不代表符合適用於該特定交易的所有要求。

《UNCITRAL 電子商務示範法》處理電子記錄及紙本要求的功能等同。《UNCITRAL 電子簽署示範法》則就電子簽署及其可靠性提供框架。這些示範法旨在協助立法發展；它們並非自動適用於每宗國際交易的具約束力規則。

對於特定貿易文件，相關問題包括接收機關是否接受該電子格式、簽署人是否有權行事、適用哪些簽署要求，以及記錄能否按要求保存及重現。認證不能取代海關審查、確立關稅分類，或證明發票資料準確。

實際評估及證據界限

評估認證工作流程不只是檢查是否存在密碼或驗證碼。以下問題有助界定該流程實際提供的證據：

• 正在認證誰或甚麼？ 區分人士、帳戶、組織、應用程式、裝置及文件來源。
• 所聲稱的身份如何確立？ 以電郵註冊的帳戶與已完成身份驗證的企業代表，所提供的證據並不相同。
• 涵蓋哪項行動？ 存取追蹤頁面不應與批准更改派送地址或付款目的地混為一談。
• 該機制能抵禦甚麼？ 應考慮網絡釣魚、重播攻擊、憑證被竊及未經授權註冊，而不只是依賴登入步驟的數量。
• 憑證如何復原或更換？ 薄弱的復原途徑可能削弱日常認證的較強保障。
• 能否撤銷存取權？ 離職員工及已停止使用的整合不應保留不必要的存取權。
• 保留了甚麼證據？ 記錄應區分認證、授權、文件批准及其後的商業行動。

認證記錄可以支援調查，但不會自動證明某項行動由特定人士執行。共享帳戶、受入侵裝置、被竊的工作階段及委派存取權都可能令歸屬判定變得複雜。同樣地，客戶輸入派送代碼，只能提供由該派送工作流程界定的證據，並不能無限度地保證收件人的法律身份或貨物狀況。

常見問題

電子認證在電子商務中是甚麼意思？

它是指核查與聲稱身份或來源相關聯的電子證據，例如驗證商戶登入或應用程式的憑證。它支援受控存取，但不能獨立驗證相關購買或貨件的真實性。

電子認證是否等同於電子簽署？

不是。認證核查聲稱的身份或來源。電子簽署則與簽署記錄相關，並可能表示批准。一宗交易可以同時使用兩者，但其中一項不會自動確立另一項。

認證是否證明貨件已送達？

不是。它可能提供有關派送互動中所涉及帳戶、裝置或人士的證據。要證明派送完成，仍需要與貨件及適用派送流程相關的證據。

電子認證是否令貿易文件在任何地方都具法律效力？

不是。法律認可取決於適用法律、文件要求、接收機關及交易情況。單靠技術認證不能解決這些問題。

資料來源

• NIST SP 800-63B-4：數碼身份指引——認證及認證器管理 — 認證概念、因素、認證器管理、抗網絡釣魚能力及工作階段考慮因素。
• NIST SP 800-63A-4：數碼身份指引——身份驗證及註冊 — 確立身份與其後認證帳戶之間的區分。
• UNCITRAL 電子商務示範法 — 電子記錄、功能等同及電子商務的立法背景。
• UNCITRAL 電子簽署示範法 — 電子簽署概念、可靠性，以及示範立法框架與適用國家法律之間的區分。