前面幾篇介紹了自然人憑證、工商憑證以及金融 XML 憑證。許多人對憑證的印象通常都是一張 IC 卡、一台讀卡機及一組 PIN 碼。彷彿只要談到數位簽章，就一定要把卡片插進電腦裡才能完成驗證。

然而，當金融服務逐漸從電腦走向手機之後，一個新的問題開始出現，如果客戶拿著手機操作網路下單、申購基金或辦理各種數位金融服務，金融業總不能要求客戶再外接一台讀卡機吧？為了兼顧安全與便利性，金融業開始思考：私鑰是否一定要放在一張實體卡片裡？於是，「軟體憑證」逐漸開始被廣泛應用於金融服務之中。

• 行動自然人憑證

如果說傳統自然人憑證是：把私鑰放在晶片卡裡，那麼行動自然人憑證則是：把憑證與私鑰放到手機裡。透過行動自然人憑證 APP，民眾可以利用手機完成政府服務登入、身分驗證、電子文件簽署及線上申辦業務等。使用時不再需要自然人憑證卡、讀卡機、電腦，大幅降低使用門檻。

從金融業角度來看，行動自然人憑證仍然保有：身分驗證、數位簽章、不可否認性等憑證特性。只是私鑰已從晶片卡移轉到受保護的行動裝置環境中。

• C3軟體憑證

如果說行動自然人憑證主要應用於政府服務，那麼證券業最具代表性的軟體憑證之一，就是C3軟體憑證。許多投資人在使用券商網路下單系統時，其實都曾經接觸過 C3 憑證。在證券交易中，券商非常在意這筆委託到底是不是客戶送出的？因此在早期網路下單環境中，許多券商會要求客戶安裝憑證，並利用憑證中的私鑰對下單指令進行數位簽章。藉此確認委託來源正確、委託內容未遭竄改、使用者事後不得否認等。

其運作流程大致如下圖所示：

當然，上述兩種軟體憑證的私鑰皆儲存於行動裝置之中，因此其安全性高度依賴於載具本身的保護能力。前面提到的 Android Keystore、Apple Secure Enclave、TEE（Trusted Execution Environment）及 Secure Element 等技術。雖然都能提供一定程度的私鑰保護，但仍會受到不同手機廠牌、作業系統版本及硬體規格的影響。

也因此，在金融業實務上，軟體憑證的信賴程度通常會低於採用實體安全載具的憑證機制，例如：晶片金融卡、自然人憑證 IC 卡、USB Token以及硬體密碼產生器（Hardware Token）等。原因在於實體載具通常具有較完善的實體防護能力，且私鑰較不易遭到複製或匯出，因此金融業在評估信任強度時，往往會給予較高的評價。

另外，前一篇提到自然人憑證雖然具備相當高的身分驗證能力與數位簽章效力，但在金融實務上，卻鮮少直接作為高風險交易的主要驗證機制。原因並不在於自然人憑證本身不夠安全，而是金融業在評估驗證機制時，除了技術強度之外，還會考量憑證失效、私鑰遭竊、憑證撤銷、責任歸屬及損失補償等議題。當涉及實際金融交易時，金融機構往往需要確認在驗證機制失效的情況下，風險究竟由誰承擔，以及相關損失是否具備完整的責任分擔機制。

相較之下，部分金融專用軟體憑證（例如證券業使用之 C3 軟體憑證等）在憑證政策、憑證實務作業規範（CPS）及責任歸屬設計上，會更貼近金融交易情境。部分發證機構亦會於憑證政策中訂定責任範圍、交易限額或損害賠償相關機制，使金融機構在評估整體風險時，有較明確的風險管理依據。

因此，金融業真正關心的往往不只是「這張憑證能不能簽章」而是「當這張憑證出了問題時，誰來負責」？這也是為什麼同樣都是憑證，同樣都具備數位簽章能力，但金融業對於不同憑證的信賴程度與應用場景仍會有所差異。

從自然人憑證到行動自然人憑證，從晶片卡到手機中的軟體憑證，金融業追求的其實都是同一件事：在便利性與安全性之間取得平衡。未來隨著行動裝置安全技術持續進步，軟體憑證的應用範圍也將越來越廣。然而對金融機構而言，除了驗證技術本身是否安全之外，背後的風險管理與責任機制，往往才是真正決定採用與否的關鍵。