電子身分證 (eID) 推動箭在弦上， 來多講一些 eID 的事
文長，請先看結論跟重點摘要：
1) 人民應能有權力選擇，有晶片或無晶片的身分證。
2) 相關的基礎驅動程式或讀取程式，應採開放原始碼授權，讓大眾使用並檢視。
3) 人民使用政府網站所產生的數位足跡，應能查詢並刪除。
2017 年，政府開始準備合併身分證和自然人憑證，不跟健保卡合併，當時準備修法，看起來有保留紙本身分證的選項，但於 2018 年之後，似乎又推翻了之前身分證不合併健保卡的規劃，並保留 eID 的擴充能力, 偷偷的再次邁向多卡合一，完全放棄保留紙本身分證的選項，更放棄了修法。大家最喜歡參考的愛沙尼亞 eID 案例中，也並非一開始就強制全民更換晶片身分證，而是在 15 年內慢慢推動，第一年也只有有 10 萬人持有，為何台灣目前無法保留持有紙本身分證的選項呢 ?
自然人憑證
我大概是從 2015 開始追自然人憑證，當初原本只是想測試電子公文而開始研究，結果竟然發現密碼（PIN）是加密過才傳入卡片裡面，而且中華電信拒絕釋出加密金鑰（AES KEY），所以最終我們無法做出開放原始碼的讀取程式。實在無法想像一個國家級的基礎建設會掌握在私人公司手裡（雖然交通部是中華電信最大的股東），而當初跟中華電信的同仁抱怨這個狀況時，被嗆：「都是照規格與合約執行的」，我只好回嗆：「少來這套，國家的招標細節，也都是你們廠商提供的。」
由於追自然人憑證的不好經驗，所以也開始關注身分證和自然人憑證合併的事。
歷史回顧
1998年，行政院研考會在八月十日宣佈國民卡決標完成，待議約程序在三個月內完成後，第一張「國民卡」將在1999年底發出﹐1999年六月底前則全面完成國民卡換發程序
當時有個「要求政府暫停推動國民卡計畫」連署 :
發起單位：立法院永續發展促進會、台灣教授協會、澄社
發起個人：柯建銘、范巽綠、蕭裕珍、蘇煥智、蕭秋德、林子儀、張清溪、瞿海源、陳少廷、高成炎、黃宗樂、許清琦、劉俊秀、何建明、莊庭瑞、王大為、黃世昆、劉靜怡、陳正然
之後 2005 年有個釋憲案 (釋字603號解釋)
宣告戶籍法第 8 條第2、3項 ”強制按捺指紋錄存，否則不發給國民身分證” 這個規定違憲，立即失效。聲請人是 85 位民進黨團立法委員，由賴清德提案。
現況 (2017 ~ 2019)
接著快轉來到 2017 年，政府開始準備合併身分證和自然人憑證，不跟健保卡合併，有準備修法，看起來有保留紙本身分證的選項，但於 2018 年之後，似乎又推翻了之前身分證不合併健保卡的規劃，保留 eID 的擴充能力, 偷偷的再次邁向多卡合一，完全放棄保留紙本身分證的選項，也放棄了修法，以下是相關資訊與報導:
“葉俊榮提及，若要結合健保卡、護照，牽涉各機關權責及資安問題，也影響民眾使用習慣，牽涉面向龐雜，目前僅規劃晶片身分證結合自然人憑證。”https://news.ltn.com.tw/news/life/paper/1144852
陳恭(政大資訊科學系特聘教授兼電算中心主任) :
"所以我做了一點功課，我們看愛沙尼亞，他們另外一份文獻提到，為了推 eID 至少修了至少十個法規，個資法、國家檔案法、國家機密法都牽涉在內，"
摘自 "晶片國民身分證研討會" 文字記錄
媒體報導:
"因此，參考他國晶片身分證法令，戶政司也計畫修訂《戶籍法》，以及《國民身分證及戶口名簿製發相片影像檔建置管理辦法》，並公布了增修要點，修正重點在於加強臺灣民眾對於該卡的使用自主權，例如，晶片身分證的存取、儲存使用必須經過該持卡人的同意。而服務提供者提供之服務，不得強制讀取晶片身分證，未經過法院、當事人同意，服務提供者亦不能對外提供當事人的使用紀錄。
"https://www.ithome.com.tw/news/116946
2017-09-09「晶片國民身分證？」開放決策工作坊 議題手冊https://drive.google.com/open?id=1M5BwL49AUj-XkDHM7itUYM5hPIwyUuLi
Q:如果要換發國民身分證，只能換發晶片國民身分證(eID)嗎?
1.內政部並沒有預設立場是否一定要換 eID，但是基於應用的便利及負責的態度，需要研提適切的方案以利討論，所以目前有規劃將傳統身分證換發 eID版本。
2.不同利害關係人，對換發eID有不同的看法，藉由本次開放決策案之方式與民溝通活動， 提出換發eID版本進行溝通，蒐集溝通結果再進行政策建議方案。
2017「晶片國民身分證？」開放決策工作坊成果資料
https://drive.google.com/open?id=1dlJ1_clO7qymeEeB_wFqvuHYFDgHnsOm
（二）張琬宜司長回應：
目前身分證的換證方案是沒有定案的。也就是說未來到底要繼續換紙本身分證還是要換晶片身分證，我們希望透過跟各位意見的表達跟理性思辨討論，作為決策的參考。如果我們有晶片身分證的方案可以來跟大家討論的話，當然是有責任必須要先做一些規劃，跟各位做一些重點的說明。
但，上述開放決策工作坊的相關文件皆遭內政部網站移除，且多次經台灣人權促進會請求，依然不肯重新上網，公民審議儼然成為替政策擦脂抹粉的工具。
2017-09-08，賴清德就任行政院長，陳美伶就任行政院政務委員兼國家發展委員會主任委員
2018 二代健保卡的換發被陳美伶主委打回票
李伯璋 : “謝謝政委幫忙推二代健保卡，本來快要ok了，不過一下子就打回來了，不過沒有關係，主委的方向並不是不好。”
引自 《2018-05-07 健保卡行動憑證規劃討論會議》
2018-12-03 匿名高層突然開始放出身分證會合併健保卡的風聲
"行政院國發會預計2020年啟用晶片身分證，高層人士表示，健保IC卡確定和晶片身分證合併"
2019-08-22
內政部次長陳宗彥: "至於新式身分證結合健保卡與駕照的功能究竟何時開放？陳宗彥說，新式身分證是否結合健保卡與駕照的功能，下階段會繼續研議，包括資安的建構，目前還沒有確切的開放時間表。"
《新式數位身分證免費換發 第二階段綁定手機》
RFID 爭議
原本 2019-04「國巨管理顧問公司」標得「新一代國民身分證換發規劃案」之後, 大家都在等詳細的規畫報告, 但在規劃案完成之前，竟然發現 eID 已經完成委託給中央印製廠印製，且開始轉包出去，並引發了追蹤的爭議 :
作業系統之安全考量必須包含以下內容：
1.晶片內所有EF及DF資料欄位均可以設定各自安全存取權限。
2.作業系統必須具備支援「生命週期安全管理」機制。
3.具備支援Random UID功能，以保障持卡人之個人行蹤安全。
4.具備追蹤機制，此機制須經內政部授權，方可進行晶片之追蹤。
5.可追蹤之資料（UID）必須儲存於晶片唯讀記憶體（ROM或OTP）內，以確保資料確實無法遭任意竄改。
另外，聽說國巨看到公開的招標規範後很煩惱，因為跟他們規劃的差很多，還要大改規劃案的報告內容
根據招標規範，eID 的非接觸介面是採用 iso14443 工作頻率13.56MHz，雖然說是屬於 0~10cm 的近距離的讀取，但網路上早就有工具可以從 40~50 cm 的距離直接讀取，理論值應該(?)可以達到 1.5 m (超過 1.5m 需要用微波)
另外一個遠距讀取的方式是，讀取 RFID reader 發送給 RFID tag 的訊號，根據台大鄭振牟教授的論文 《MIFARE Classic: Practical Attacks and Defenses》兩公尺是一定有把握讀取到的距離，鄭教授並表示理論值應可以達到十幾公尺
也許有人說，包個錫箔紙就好了，但說實話，我真的不想教我的阿公阿嬤，身分證隨時都要包個錫箔紙，而且還要記兩個密碼(PIN)，如果再加一個PUK，就三個了，難道他們真的連拿一般的紙本身分證的權利都沒有嗎 ? 而且萬一 eID 有漏洞，如 2017 年愛沙尼亞 eID 被發現有漏洞，到時還要教他們上網更新韌體嗎 ?
放棄修法
如果保持目前不修法的狀態，那就是沒有要求政府網站一定要能接受 eID (愛沙尼亞有修法要求政府一定要接受電子簽章) 而台灣的電子簽章法也只是規定 "經相對人同意者，得以電子文件為表示方法。簽約的對方還是可以拒絕電子簽章，不像電子發票(雲端發票)有要求，廠商不能拒收電子發票(雲端發票)。
所以，不修法就是，政府花了錢，全民強迫發 eID ，全民有 RFID 的風險，晶片本身瑕疵的風險 (2017 年愛沙尼亞 eID 事件)，結果政府機關網站還是能夠拒收 eID，民間企業還是可以拒絕電子簽章，原地踏步。
愛沙尼亞也不是一開始就強制全民領取 eID，而是在 15 年內慢慢推動，在2002年推行晶片身分證政策時，於實施的第一年僅有10萬人持有，但是在推動15年下來，目前卡片持有率已經高達97％" 為何台灣目前無法有良好的轉換時程，而是全名老幼一併突然強制使用剛建置好的 eID 呢?
更不用說如法國,新加坡根本沒有晶片身分證
後端的軟體系統
最後講後端的軟體系統，說實話，這才是最弱的一環
台灣政府很多單位很多都沒有開資訊規格的能力，一般就是找廠商提供或東抄西抄，外包之後也沒辦法監督，看看自然人憑證的 PIN 被加密就是個例子，也親眼看過政府要求廠商 open source 的時候，竟然被廠商威脅，明年就不標這個維護案。也聽過資安廠商轉述，我們政府各大資料庫在對岸都已經有備份。雖然這些跟 eID 沒有直接關係，但是 eID 存在的目的，就是要開啟更多的政府網路服務，如果政府沒有能力開規格，監督外包廠商，實在很擔心這些數位足跡會流向中國。
綜上所述，有這三個結論，敬請批評指教
1) 人民應能選擇有晶片或無晶片的身分證
2) 相關的基礎驅動程式或讀取程式應採，開放原始碼授權讓大眾使用並檢視
3) 人民使用政府網站所產生的數位足跡，應能查詢並刪除
感謝您的耐心看完，也請您順手轉一下這篇，讓更多人知道 eID 政策二十多年的來龍去脈
~~~~~~
參考資料:
1998 「要求政府暫停推動國民卡計畫」連署https://www.iis.sinica.edu.tw/~hoho/bookmarks/ccard.html
身分證強制按指紋，為什麼違憲？
https://casebf.com/2017/09/25/fingerprint/
2015-11-19
行政院交議內政部「晶片國民身分證全面換發計畫（草案）」審議第2次會議記錄
http://media.academia.tw/u/trc/m/eid-2nd-review-meeting/
2017-06-14 "晶片國民身分證研討會" 文字記錄
https://docs.google.com/document/d/1YGBrqBgWNPQ1w5LmN3_jAaa9na2IPGa-ymTm5ic7wGY/edit#
2017-09-09「晶片國民身分證？」開放決策工作坊 議題手冊
https://drive.google.com/open?id=1M5BwL49AUj-XkDHM7itUYM5hPIwyUuLi
2017「晶片國民身分證？」開放決策工作坊成果資料
https://drive.google.com/open?id=1dlJ1_clO7qymeEeB_wFqvuHYFDgHnsOm
2018-05-07 健保卡行動憑證規劃討論會議
https://sayit.pdis.nat.gov.tw/2018-05-07-健保卡行動憑證規劃討論會議
2018-08-22 內政部：「數位身分識別證-新一代國民身分證換發計畫辦理情形」
https://www.slideshare.net/OpenMic1/1-1moi-a
2019 赴愛沙尼亞考察智慧政府數位服務
https://report.nat.gov.tw/ReportFront/PageSystem/reportFileDownload/C10801167/001
MIFARE Classic: Practical Attacks and Defenses
http://dx.doi.org/10.29615/CISC.201005.0126
2017-10-22
【國外eID實例：愛沙尼亞】技術、法源、開源三管齊下，2千項數位服務才能安心用eID
https://www.ithome.com.tw/news/117367
本文 web 版: https://blog.pofeng.org/2019/09/eID.html
本文 FB 版: https://www.facebook.com/notes/10151543979604949/
