前面文章介紹過存款帳戶資訊驗證、信用卡資訊驗證等身分驗證機制。這些驗證資料大多來自銀行體系，因此最常應用的場景仍然是銀行業務，例如數位帳戶開戶、信用卡申辦等。雖然部分證券、期貨業務也會使用存款帳戶驗證，但本質上仍是透過銀行所建立的客戶資料進行身分核驗。

但如果今天的情境是不同金融業(如銀行、保險、證券、期貨、投信等)間跨業別認識客戶呢?此時便會遇到一個問題，銀行已經驗證過客戶身分，保險公司可以直接相信嗎？如果每家金融業都重新要求客戶進行身分驗證，不但流程繁瑣，也無法發揮數位金融的便利性。

能否建立一套跨銀行、證券、期貨、保險業等業別都能共同信任的身分驗證機制？這就是金融 Fast-ID 誕生的原因。金融 Fast-ID 是由金融 FIDO 聯盟所推動的跨金融機構快速身分識別機制，希望建立一套共通的信任基礎設施，讓不同金融業者可以在符合法規及風險控管前提下，共享身分驗證結果。

金融 Fast-ID 的核心概念其實不複雜，並不是把你的身分資料分享給其他金融業，而是把「已完成驗證的信任關係」分享出去。

例如：客戶已先在某家金融業完成身分確認(如臨櫃驗證、晶片自然人憑證或高風險晶片金融卡認證)，完成驗證後，在客戶的手機綁定金融 Fast-ID。此時手機會產生一組公私鑰，私鑰存放於客戶裝置內，公鑰註冊於金融 Fast-ID 體系。

未來當其他金融業需要確認這位客戶身分時，只需透過金融 Fast-ID 驗證流程，例如裝置綁定的生物辨識、PIN 碼等驗證方式，即可確認客戶為當初完成身分驗證的本人。

實際案例：假設小明已經在 A 銀行完成金融 Fast-ID 註冊，某天他想向 B 保險公司申請線上服務。流程如下：

1. 小明選擇使用金融 Fast-ID。
2. B 保險公司向金融 Fast-ID 平台發出驗證請求。
3. 小明手機跳出指紋或臉部辨識或其他身分驗證機制確認畫面。
4. 驗證成功後，由裝置內私鑰完成簽章。
5. B 保險公司驗證簽章結果。
6. 確認此金鑰確實來自先前已完成身分驗證的客戶。

整個過程中，私鑰不會離開手機、生物特徵不會傳送給B保險公司，A 銀行也不會將客戶個人資料提供給 B 保險公司。真正被傳遞的是「這位客戶現在仍持有當初完成身分驗證時所建立的那把金鑰」。

• 金融 Fast-ID 的風險

-裝置遭竊風險

金融 Fast-ID 的信任基礎建立在客戶指定裝置上，若手機遺失、遭竊或落入他人手中，就可能成為攻擊目標。

-裝置遭 Root 或 Jailbreak

若行動裝置遭破解，安全晶片保護能力就會下降，惡意程式風險就會提高，導致驗證可信度下降。

-跨機構信任風險

金融 Fast-ID 的本質是信任移轉，因此一旦某個參與機構的身分驗證程序出現缺失，可能影響整體信任鏈。

• 金融業如何控管這些風險？
  為了讓金融業願意彼此信任，其背後還建立了相當完整的安全控管機制：

-註冊前必須先完成高強度身分驗證

金融 Fast-ID 並不能直接註冊，客戶必須先經過臨櫃驗證、晶片自然人憑證或高風險晶片金融卡驗證等安全機制，完成身分核驗後才能建立金融 Fast-ID。

-私鑰不得離開客戶裝置

金融 Fast-ID 採用 FIDO 標準架構，私鑰保留於客戶設備內。金融業只能驗證簽章結果，無法取得私鑰本身。

-生物特徵不存放於金融機構

許多人誤以為金融業保存客戶指紋或臉部資訊，事實上金融 FIDO 指引明確要求系統不得儲存客戶生物特徵資料。金融業接收的僅是驗證成功或失敗的結果，而非客戶的指紋、臉部影像等生物特徵資料。

-依業務風險決定是否需要額外驗證

很多人以為只要有金融 Fast-ID，就能直接辦理所有金融業務，其實並非如此。指引中明確規範各類金融業務所需的安全強度。部分業務僅使用金融 Fast-ID 即可，但較高風險業務仍可能需要搭配額外身分確認機制。

前面介紹過的存款帳戶驗證、信用卡驗證，本質上都是利用既有金融資料來確認客戶身分。而金融 Fast-ID 更進一步解決了如何讓不同金融業共同信任同一位客戶。因此金融 Fast-ID 真正的價值，不在於刷臉或按指紋本身，而是在建立一套跨銀行、證券、期貨與保險業都能共同採信的信任基礎建設。換句話說，金融 Fast-ID 共享的不是客戶個資，而是「這個人已完成可信身分驗證」的信任關係。這也是金融 Fast-ID 能夠串聯銀行、證券、期貨與保險等不同金融業的重要價值。

金融機構辦理快速身分識別機制安全控管作業指引(金融FIDO安控指引)