文/郭慧姿
任何一種交易（Transaction）都包括了交易之保密（Confidentiality）、身分認證（Authentication）、交易資料完整（Integrity）、交易的不可否認性（Non-repudiation）在內的四種安全需求；尤其是透過誰也不認識誰的網路要進行電子商務，在缺乏信任的機制下，這四種安全需求益形重要。
不僅是在Internet上進行的電子商務須思考這些問題，銀行的金融轉帳與未來醫療病歷透過網路進行交換，以及企業內部公文傳送交換、流程簽核與ERP、SCM等應用，都不離身分認證、權限、加解密、資料完整與交易的不可否認性等範疇，而這也正是PKI架構中所能達到的功能；當網際網路已經成為生活的一部份時，資訊安全格外重要，或許我們也可以說：未來將無須特別強調PKI這一個名詞，因為我們就生活在PKI的架構下。
PKI的運作方式與原理PKI（Public Key Infrastructure，公開金鑰基礎建設架構）是以公鑰密碼學為基礎衍生出來的架構，其基礎建置包含憑證機構（Certification Authority ,CA）、註冊中心（Register Authority, RA）、目錄服務（Directory Service ,DS）伺服器。由RA統籌、審核用戶的憑證申請，將憑證申請送至CA處理後發出憑證，並將憑證公告至DS中。在使用憑證的過程中，除了對憑證的信任關係與憑證本身的正確性做檢查外，並透過憑證廢止清冊（Certificate Revocation List ,CRL）對憑證的狀態做確認檢查，了解憑證是否因某種原因而遭廢棄。憑證就像是個人的身分證，其內容包括憑證序號、用戶名稱、公開金鑰（Public Key）、憑證有效期限等。
|
欣領航科技行銷副總林永修動
|
CA必須同時為傳送者與接收者所信任，而由具公信力的第三者來擔任；由CA經過認證，簽發公開金鑰憑證，以作為檢驗私密金鑰的憑證。PKI包含一支公開金鑰（Public Key）與一支私密金鑰（Private Key），前者公開給大眾知道，後者由持有者保管。這一組金鑰為一組電子密碼，可作為檢驗身分之用，且具有相對應的關係，其中一支金鑰將訊息進行加密，另一支金鑰則可進行解密而得到原來的訊息。
私密金鑰應如何保管才能兼顧安全、便利性以及成本考量？私鑰儲存設備包含電腦之硬碟或軟碟、加解密運算卡、Smart Card（智慧卡）或Token（權杖）等相關儲存元件。欣領航科技行銷副總林永修指出，由於Smart Card具有硬體保護機制，安全性較高，因此資金移轉或轉帳等金流交換以Smart Card較合適，惟目前一張Smart Card加上讀卡機成本超過新台幣1700元以上，對一般企業來說負擔不小，因此資訊流交換為主的企業內部多選擇將私鑰存放在電腦軟碟或硬碟裡；較之Smart Card，其他方式雖然安全度較低，但他強調，要不要選擇Smart Card端視企業對安全的需求而定。
以公鑰與私鑰進行加解密有何好處？例如A君（傳送者）要傳送資料給B君（接收者）時，A君先到CA取得B君的公開金鑰以進行資料加密，再將資料傳送給B君，由B君用自己的私鑰進行解密；如此一來，除了A君與B君，不會有第三者看到資料的內容。至於A君送資料給B君時，如何讓B君在收到資料時，確認是A君寄出的呢？ A君可先用自己的私鑰對所傳送的資料進行加簽，再傳送給B君，B君到CA取得A君的公開金鑰，確認這一組公鑰/私鑰是否可以比對，若比對無誤，即可確定資料的傳送者的確是A君。至於資料是否被竄改就要經過訊息摘要（Message Digest）的比對。
|
普華資安副總經理包化富
|
從以上B君確認A君是資料傳送者、資料加密、資料未被竄改，再加上只有A君知道自己的私鑰，當B君收到的資料含有A君的私鑰，A君就無法否認傳送的事實，再加上CA具有舉證的義務，當交易糾紛發生時，其必須提供相關證據資料，以協助仲裁單位處理糾紛；如此一來，也就達到了交易之保密、身分認證、交易資料完整、交易的不可否認性四大需求。
PKI的應用PKI的概念可廣泛應用到各種領域，在公共領域方面，包括報稅、環保通報系統、健保、軍方行政相關應用、Smart Card（例如捷運悠遊卡、高速公路收費自動化）相關領域等皆是PKI可應用的範圍；在私人企業方面，例如企業流程（Work Flow）管理、ERP、 SCM 等相關應用、B2B/B2C應用程式等，網際威信協理姚禹平即指出，PKI的應用範圍包括：員工差勤門禁系統、企業員工網路資料傳輸的加密及數位簽名、企業內部網路安控與使用權限機制、企業內部安全電子郵件及電子公文系統環境，以及電子供應商採購系統、電子經銷商訂貨系統、客戶分級與使用權限、安全電子交易加密與數位簽名、安全電子交易市集平台、跨國網路交易認證、交易認證國際漫遊功能等；企業皆可透過PKI以支持網路企業經營模式發展，並依其不同需求進行規劃。
|
網際威信協理姚禹平
|
PKI的應用的確多元，聯傳科技行銷經理孫志弘就以晶圓廠為例指出，PKI的市場是以特殊需求的產業為起點向外擴展：電路設計圖是晶圓的命脈，晶圓廠與上下游供應鏈透過e-mail傳送設計圖時的保密性以及內容完整性就相當重要；晶圓廠的PKI架構就可結合差勤管理、遠端存取的身分與權限控管等。他進一步指出，社區式大樓住戶既多且雜，發送通知單或收取管理費很難挨家挨戶進行，發e-mail就是一個很方便的方式，當用戶收到通知即可透過網路進行繳費，這就運用了身分認證、交易的不可否認性等PKI的概念；此外，PKI對於網路上進行的招標/投標的安全性也有很大效益，並確保過程中的公平與公正。
由於對資訊安全的需求度相對較高，政府機構、軍事單位、金融與電信等行業是目前對PKI需求較大的對象，普華資安副總經理包化富即指出，這幾個對象都是普華資安規劃過的主要PKI應用對象，尤其證管會要求所有在台灣的證券商在2001年5月1日前，線上證券交易服務必須有電子簽章以確保認證和不可否認性，因此目前券商在網路下單對PKI需求相當大。
|
聯傳科技行銷經理孫志弘（右），圖左則為顧問劉一強
|
當許許多多的資料都透過網路進行傳輸時，網路安全就格外受到重視，網路安全包含了很多不同的層面，林永修指出，目前市面上推出的PKI產品分別針對IP、TCP、AP這三層的安全需求進行身分認證與權限控管。在IP是利用VPN；TCP則是以SSL或TLS之類的網路通訊協定；在AP（企業公文系統/進銷存系統/ERP/SCM都在這一層）則利用SET或SMIME等；不同層次的安全與保密問題，有賴PKI架構的促成。
必須強調的是，PKI的應用是不分行業與領域的，端視使用單位對資訊安全需求的程度，只要具有身分認證、保密、交易資料完整、交易的不可否認性四種安全需求的對象都可適用PKI，尤其PKI若應用在企業內部的公文簽核、B2B等方面，除進行身分確認，尚須根據使用者的憑證（身分）與權限進行控管；身分認證、權限控管二者是截然不同的兩件事。
市場現況
在目前全球的PKI產品技術市場，主要的專業廠商有Entrust，Verisign、Baltimore與RSA。在台灣，PKI市場則呈現百家爭鳴的現象，除了代理上述產品外，亦有業者自行研發PKI架構下的應用軟體或系統。
|
采鴻科技亞太地區區域經理林金保
|
博訊科技電子商務事業群副總經理裴兆旭指出，在1999年，由於美國政府、企業、銀行等機構紛紛採取PKI技術解決安全問題，因此美國各大資訊雜誌乃稱1999年為美國的PKI年；過去在台灣PKI並未引起廣泛重視，但隨著網路駭客日益猖獗，資訊安全議題已引起廣泛討論，再加上電子商務未如預期中如火如荼發展，今年政府、金融機構、一般企業逐漸意識到在防火牆、防毒軟體、入侵偵測系統之外，尚須完整的PKI技術加以整合，因此裴兆旭預估2001年將是台灣的PKI年。他進一步指出，亦有其他看法認為2002年才是PKI的發展之年，不過，「電子簽章法」於今年五月底在立法院一讀通過，而PKI的概念在台灣其實已醞釀多時；隨著PKI意識逐漸成熟且受到重視，他認為至少今年對PKI來說是一個很大的發展點。
目前台灣的PKI市場是以公家單位為最大宗嗎？凌群電腦市場處資深產品工程師李振杰認為，軍方等單位之資料的確有其保密性，但企業或一般使用者亦有其對資訊安全需求；根據林永修觀察，目前大部分的企業其實比政府單位或軍方對資訊安全更為敏感，只是在不景氣的環境下，企業對此部份的投資明顯保守許多，因此目前PKI市場還是以預算較充裕的政府與軍事單位為主；不過，他認為，政府本應扮演推廣的角色，當政府或軍方採用PKI架構，將會加強企業對PKI的信任。
未來發展趨勢
孫志弘表示，PKI的應用範圍廣泛，未來三年業者應有其發展舞台，他認為，大約一年後PKI觀念將會更普及，建置環境也會更成熟，加簽/加密軟體等過渡產品即會被淘汰；未來隨著PKI的應用日趨成熟，將會有更多用戶提出需要，相信PKI技術會更成熟，價錢亦會降低，屆時對大眾來說PKI架構已是再自然不過的事，采鴻科技亞太地區區域經理林金保即指出，未來將是一個PKI的世界。
|
博訊科技電子商務事業群副總經理裴兆旭
|
在PKI概念應用範圍廣泛的情況下，Smart Card不僅可結合使用電腦權限、資料加密等功能，亦加入差勤功能，不啻是PKI業者與門禁業者結合的新契機。裴兆旭認為，大規模PKI整合以金融、電信、政府為主，對經費較不足的中小企業來說，還是以數位憑證等價位較低的過渡產品較合適，他預期，未來委外（Outsourcing）建置PKI的情況將會相當普遍，將會出現提供PKI服務、管理的公司，而在後PC時代裡，PKI架構除了與Smart Card結合，未來與手機或是PDA結合亦是可以預期的。
PKI觀念有待推廣PKI技術已經成熟，但是對PKI有深切了解的個人或企業等使用單位卻相當有限，此外，安全警覺不足、資訊安全相關技術與管理人員缺乏、政府法令及獎勵企業推廣措施尚待加強皆是PKI在推行上的障礙，因此資訊安全相關立法、企業資訊安全政策之分析建立與風險評估、使用習慣建立與推廣、建置經驗之培養等配套措施相當重要。
|
凌群電腦市場處資深產品工程師李振杰
|
李振杰指出，馬來西亞、新加坡、韓國、香港、日本等亞洲地區，以及歐美國等國已相繼完成電子簽章相關立法，台灣若儘速通過電子簽章法，亞洲PKI市場很快會起來；林金保也認為，PKI是一個完整的產業，日本、韓國與新加坡之所以能在亞洲PKI論壇佔有舉足輕重地位的主要原因即在於這三個國家已通過電子簽章相關立法，韓國政府甚至投入資金支持產業發展，反觀台灣的電子簽章法經過漫長的等待，今年五月底才剛在立法院一讀通過，希望透過各方努力促進電子簽章立法，為PKI提供法源依據。
安全到底重不重要？相信答案在企業主心目中的經營天平有一定的份量，不過在企業經營的過程中，安全通常不是企業主重視的第一順位，尤其在經濟不景氣的困境中，企業會降低對資訊設備之投資，林永修就建議政府應先行建立資訊安全基礎建設，並獎勵民間推廣資訊運用，促進網路交易以加速經濟發展，在目前個人或企業等使用單位缺乏對PKI的使用經驗的情況下，政府應通過相關法令並予以獎勵。他以美國密西根大學、英國Exeter大學推動PKI與Smart Card的專案為例，在政府、學校與銀行的支持下，持卡學生透過註冊、影印、便利商店購物等方式熟悉PKI機制，有助於PKI使用經驗的累積。
當資料透過網路傳輸已是不可避免的趨勢，電子商務又成為新興商業模式，PKI架構足以發揮資訊安全功能的共識已建立，其應用範圍也昭然若揭；下一步應該加強對PKI的了解並建立法源的基礎，透過政府與業者的力量累積用戶對PKI的使用經驗。