前面幾篇介紹了:自然人憑證、工商憑證、金融 XML 憑證及軟體憑證,它們有一個共同特色,都能透過私鑰進行數位簽章。然而,在金融業實務當中,還存在另一種大家天天看到,卻很少人認真研究的安全工具:晶片金融卡。
對大部分人來說,它的用途很單純:ATM 提款、查詢餘額、轉帳、Web ATM 等。它沒有憑證序號、憑證機構簽發資訊,也不屬於 PKI 架構中的數位憑證。因此從技術定義來看,晶片金融卡並不是憑證(Certificate)。
但事實上,自從晶片金融卡取代磁條金融卡之後,它就不再只是一張提款卡而已,它不是憑證,卻有很高的信賴程度。早期磁條金融卡最大的問題在於容易被複製,只要透過側錄設備,就可能將磁條資料完整複製到另一張卡片。因此當時出現大量偽卡、側錄及ATM 詐騙等金融犯罪。為了解決這個問題,金融業開始全面導入晶片金融卡。
金融業真正相信的是什麼?
因此金融業真正相信的並不是卡片外觀,而是只有持有這張晶片金融卡的人,才能完成特定金融操作。晶片內部通常包含金融交易資料、金鑰資訊、安全運算機制、交易驗證機制等。而且許多敏感資訊只能運算,不能讀取。
也就是說即使取得卡片,也不代表能直接讀取或複製其中的關鍵資料。即便現在已經有越來越多的身分驗證機制逐漸普及,晶片金融卡仍然是金融業最重要的基礎安全工具之一。因為它同時具備高普及率、高接受度及成熟的安全機制,而且數十年來已經建立起完整的金融基礎設施。
更有趣的是,金融業在評估晶片金融卡的信任程度時,不僅看卡片本身,也會回頭檢視這張卡所對應帳戶的開戶方式與身分驗證流程。對於金融業而言,晶片金融卡有好幾種不同的信賴等級。原因在於晶片金融卡所代表的信任程度,很大程度取決於其對應帳戶的開戶方式與身分確認強度:
光是我們一般人可以申辦的帳戶類型就有7種,還不包含大家常見的信用卡戶、貸款戶等等。因此上圖並非代表金融業相信晶片金融卡本身,而是金融業相信「晶片金融卡背後所對應之開戶程序與身分確認強度」。
所以同樣持有晶片金融卡,不同帳戶類型所能使用的金融服務仍可能有所差異。換句話說,金融業真正信任的從來不只是那張卡片,而是卡片背後所建立的身分驗證機制,以及完整的開戶與管理流程。