今天才收到新聞說google在選舉期間，不登政治廣告，還好你沒有營業模式的問題。

我有聽說政府有找像FB、google討論。

他們都有簽自律原則，但是你們沒有這一塊業務，所以這個部分不用找你們談。

真的。

省很多力氣。

對，他們在討論這一些會議，我們不用去，很棒。

因為中間我的帳號有換過，所以我新的帳號終於累積到1,500了，同仁都說終於有一項贏過唐鳳，因為換帳號不能累加登入次數（笑）。

為什麼換帳號？

因為我改名字，2005年的時候換過帳號，英文名字改了，所以英文的帳號洗掉重來。

據說我們今天是要討論如何解決這個問題？

對，我剛剛有寄信了。我介紹一下，我叫Teemo，現在是找來協助處理要驗證身分這一塊。

我知道。

我們現在有想了幾個方法，看是不是使用自然人作為驗證的方法，但是有遇到一些問題。我有寄連結……

我已經看完了，沒有問題。所以你們的目的是從使用者體驗的角度來看，其實不需要從你們的介面本身，你們的介面只是輸入驗證碼，從Out-of-Band去拿到這個驗證碼？

對。

所以其實你本身不用改太多的程式？

對。

這個是你們設計的目的？

對。不確定的是，自然人憑證究竟可不可以做民間使用？

你們是算學術使用或是商業使用？這個是不同的用途（笑）。

現在的問題是，因為我們好像不是一個立案的法人。

對，你們就是你們。

對，所以現在的問題是，如果要申請一些像這樣服務的話，可能會需要立案，但如果不要走那一步，也就是維持現況的話，有沒有可能使用這一些……

就是找一個已經立案，能夠用這個服務，然後就專門放這個代碼，你去承認他的代碼。

比如假設有一個社團法人，我們相信這個社團法人的認證服務？

是。一般都是這樣子的模式，他提供的服務，看你要怎麼跟他談，一般他提供的服務是他專門幫你確認這個人的自然人憑證，他當然要充分告知，這個只專門登錄在你的用途上，當這個完成之後，你們會透過共享秘密鑰匙等等方式，自己先Out-of-Band告訴你，然後這時再送一封簡訊給他，這個簡訊輸入到你這邊，你就同時完成了對他手機的號碼跟對他自然人憑證的雙重認證，但是這等於是有一個第三方的認證服務提供者合作的，這是最常見的解決做法。

目前這樣的架構是可行的。

找一個可以做的。

其中裡面有提到，我們有用一個API，那個API目前看起來是政府的domain的，是不是可以不用作什麼申請，然後直接使用？但是我又找不到相關的權責單位，所以……

應該這樣講，你做的是簽章驗證的部分，是不是？

對。

就是GPKI的API，以我的理解，我可能錯，是你要先讓他知道你在針對哪一個網站，大部分是針對一個特定的網站，像我們之前有幫忙過的報稅的網站。

但是報稅是官方的網站。

當然。針對這個網站的需求，好比像報稅是特定的目的，做API等於是一次性的驗證，你們現在的意思只是說這個驗證的API，你們想要使用，但這個使用授權是要誰發出的這個問題，是不是？

對。

不過如果你們是找一個第三方單位的話，那個第三方單位本來就會幫你處理掉這個事情，所以你要問這個，其實是你要自己當第一方的時候，你才需要用這個API？

如果我們自己當第一方的話。

OK，如果你們當第一方的話，那你就要等自然人憑證的官方以外應用的辦法出來，目前以我瞭解，他們正在研究這個方法，初期是以金融跟醫療來作為兩個白名單的列表，你似乎兩個都不是。

對。

在金融跟醫療釋出認證的邊界之前，一下子就開放到民間的，等於是把供給表面打開，金融跟醫療是特許，他們本來就有各自保密的事情。

之前像民間有疑慮，如果OCSP是每一次認證都回去問一次，時間戳記就會造成再識別的可能性，但是如果透過每天固定把所有失效的下載下來，當然就沒有這個問題，因為只下載失效憑證。

但這個事情，就要倚賴於這個單位用這一種我們叫做「最佳實踐」的方法做。如果你又不是特許行業的話，其實目前沒有任何方法可以規管，你還是可以每5秒鐘或者是有人登入就拿OCSP，這樣的情況下，這一整套系統的社會信任度，等於就會跟裡面最差的那個綁在一起。

瞭解。那未來新式身分證上路之後，自然人憑證會廢除嗎？

以我的理解，未來的新式身分證裡面，你可以選擇也把它當作一張數位身分識別證用，或者是如果你不開卡，你不開裡面的自然憑證的部分，這樣就只是一張身分識別證，這個是可以去選的。

現在各界還在討論的題目是，我如果覺得不想把PKI的卡帶出門，只想放在家裡，用家裡的NFC或者是什麼方法來作認證，我覺得帶出門太危險了，我還是想要一張像自然人憑證的、沒有實體的卡面，只有數位的部分，等於是數位身分識別證的一張附卡。這個附卡放家裡，帶出門是停用的狀態。這是各界正在討論的，還沒有定案，但我想確實很多人會因此比較放心，因為身分證大家隨時帶著用，但是在內含電子簽章功能的情況下，如果密碼設得又比較弱……

對，他拿走就認證這個人。

所以這一種分離的狀態也是正在討論。無論如何，未來需要附卡的人，確實是有一個可能性，就是還是要專門拿那一張出來才行，而不是用他的身分證來直接登入。

有沒有一種可能是我擁有憑證或是擁有自然人身分，我可以部分授權，不管我用自然人或者是用新式身分證，像我對你，我只想給他知道我是一個真的自然人，但是我不要提供我的個資給他，但我對政府的時候，比如是像保險局或是健保之類的，我可以開放個資？

可以啊！目前在「Join」平台的參與式預算的部分，這個部分就是這樣做的，只是要確保你的年紀有到，以及你是這個地區的人，這樣你就可以加入參與式預算，但是「Join」平台也不想知道你的身分證字號、名字，或者是實際的年齡，因為如果你有出生年月日再加居住區域、投票傾向，其實這樣子逆推就沒剩幾個人了。

所以以我的理解，他們跟內政部要的API，只是一個單純說這是這樣的一個人，他的身分證字號是這樣子，但是他不會去存，我這邊想要問的只是說，他的戶籍是不是在這一個市，或者是如果一區的參與式預算是到這個區，是不是年滿18歲，內政部只回是或不是，這樣就沒有太多的資訊揭露。

就是告訴他資格符合或者是不符合。

這個也有必要是因為你們對於未成年人的註冊等等，你可能會想要知道有年滿一定的歲數，也許你們用法跟國發會的平台是差不多的。

類似這樣。

對，這樣的話，目前是有API在做這一件事。你登入有在抓年紀嗎？

假設還可以註冊的狀態，就註冊系統他會問你的年齡，如果不到法定年齡，某些看板是沒有辦法開放你進去。

所以是18歲？

對。

就跟web版問你是否要分流是一樣的道理？

對。

也許你們需要這個資訊，如果是18歲以上是無所謂，如果18歲以下的話，因為假設有新式身分證，14歲以上就必須要有了，14歲以下當然是他的父母或者是監護人可以幫忙他，等到他終於滿18歲了，等於再重新刷一次驗證，然後說18歲就說功能要解鎖，他可以19至21歲再來刷這個，這個時候你們是不會知道他的真實生日，假設他不想被人家知道真實生日。

目前我看自然人憑證的內容。

只有末4碼。

並沒有生日的資料。

確實。這個API是要回去跟戶役政系統問「你成年了沒有」，然後再回來，那個是另外一個API，並不是自然人憑證的API，而是戶役政的API。

如果需要知道年紀的話……

你一定需要年紀嗎？

目前軟蕊（soft core）是讓使用者決定，這樣法規上沒有到很必要去瞭解是真的還是假的。

所以你們已經考慮到自己不要儲存，甚至不要知道那麼多個資的方法，這個非常好，個資蒐集最小化，這是目前的趨勢。

我看一下有沒有漏問什麼。如果我們做AOTP的驗證，以一般的使用者會不會擔心我們知道他的手機相關的資料，因為是有手機發回訊息，即使系統不存，使用者讓我們知道這裡有一個手機的門號或者是會擔心……

會，這個的使用者體驗確實是。

因為有門號，一定可以有法規系統，也就是原來對應法定上登記的那個人。

是。如果你要避過這個……這個要看你的目的是什麼，像在「Join」平台，因為5,000人連署就成案了，我們不希望非常容易做到5,000個帳號，所以我們採用SMS的目的是要請5,000個SIM卡非常昂貴，也一定會被發現，所以才會說一定要有臺灣這邊的手機門號，但是這個簡訊驗證，從「Join」平台的角度來看，真的不需要你的手機號碼，也不需要存這個。

但是對於使用者來講，在當時總是有發信過來，即使不存，怎麼不知道你不存，國發會會說所有連署成案的機關，就會說絕對不透露當時簡訊的號碼給這個機關，所以即使是要提一些公務同仁爭取自己權益的，也不會被事後算帳，這個有列明，事實上我們做成辦法，但是這一件事還是要相信你，如果不相信你的話，否則技術上還是要過手機；所以你剛剛問的是感受，這個感受很難避免的，確實是這樣子。

公關公司如果用大量的手機門號，或者是有什麼方法可以得到自然人類似的身分，這樣我們的註冊系統會被大規模註冊，或者是產生公關公司可以帶風向的問題。

但這並不是自然人憑證或者是AOTP可以徹底解決的。如果我要借這個人頭出去的話，我不一定要拿自然人憑證給你，只要刷過一次，給你密碼就好了。這些技術都沒有辦法抵擋「密碼給你就好了」這個攻擊表面。

只能增加難度。

等到確定從頭到尾都是這個人了，像遠距考試跟教學，像對著鏡頭或者是什麼之類的都沒有用的，完成這個之後，密碼就給你，對不對？除非是附近某個管轄領域，每次上網就要重新再刷一次臉、重新插一次卡。臺灣當然可能這樣子做。

所以我覺得在這邊的技術投入到一個程度就適可而止，這樣比較不會麻煩，因為後面有這樣的一條路，太麻煩的話，只是找好人麻煩，壞人一點都不麻煩。

所以有新式身分證之後，自然人憑證不會馬上就取消或者是Sunset……

這個還沒有確定，而且會經過一些就像剛剛講的金融機構、醫療機構來做類似像滲透測試的做法，也就是先確定攻擊表面是穩定的，我們才會決定這一件事。

除了要有很好的法律辦法之外，民間還有很強的聲音是，我就是有時身分證會借給我的家人，但是希望和線上的功能脫勾，所以如果有附卡的這個設計，我是很贊成的，也就是從一開始覺得隨身攜帶自然人憑證這一件事……因為對一些朋友來講沒有關係，他本來就沒有自然人憑證，數位身分證也不開卡，根本就沒有在用自然人憑證的功能，這樣當然沒有問題，也不用給他一張附卡。但是當他有一天要用的時候，有一個選擇，也就是用一張附卡的方式拿到，或是用開卡的方式拿到。

我看目前政府現在有推兩個可以認證實名的，一個是有一個APP，叫做「TWID」的APP，另外一個是P什麼O的，也是做身分驗證，也就是用APP綁自然人，然後讓那個APP認證其他的身分，這個有可能開放給民間使用？

目前TWID是mobile主推的，那個主要是跟電信公司一開始就有使用的人，像報稅就是非常好的例子，你剛剛講P什麼O的，其實我不知道。

我剛沒講清楚，查一下應該是叫 FidO，TAIWAN FidO行動身分識別。 像有兩個目前可以認證作驗證做身分驗證的方法，T-FidO行動身分識別。這一套跟「TWID」都是政府推的？

都是政府支持的，但是T-FidO是內政部自己在經營，「TWID」是TWCA在經營，當然它的使用情境不完全一樣，就像剛剛講的，「TWID」是以有手機門號要作金融服務很明確的案例，但是T-FidO的話，基本上是政府服務，但是不限服務項目、類別。

就是任何政府的服務。

隨便什麼政府服務，好比像地價查詢、繳稅，未來放在「我的e政府」上面需要身分驗證的，大概就是T-FidO的守備範圍。這兩個你可以看到，他提供的一個是透過電信商、一個是自然人憑證為主，另外一個是服務本身，一個是金融為主、這邊是以公共服務為主，所以其實不是非常衝突，硬要想的話，當然在繳費什麼的，可能有一點重疊，但是幾乎不重疊。

但這也不會開放給民間使用？

剛剛講的一個是金融、另外一個是醫療，在醫療的時候，可能你也會需要確認，好比像計畫生育或者家庭諮商，你確定來的這兩個人的關係之類的，說不定有這樣的用法。

但是同樣的，那是因為能夠做的這個醫療機構，他本身已經在特許的過程中，特別是個資、包含一般個資有基本的方法，當放大這個的時候，理論上攻擊表面並沒有放大太多，因為所有資安相關的都存在，但要放大到一個沒有資安專責人員或是攻擊表面還沒有被滲透測試確認的時候，這個時候角度確實還沒有辦法變很快。

瞭解。其實我們會有使用者看到政府有推像「TWID」跟「T-FidO」的服務使用者，會反過來問我們為何不合作。

會問說為何不讓我刷10元的虛擬幣，就完成實名認證？

對。

技術上好像也沒有不行？

對，其實技術上可以做到，比如刷1元不請款，我們也知道這個卡片是真的卡款，就不請款，所以1元會退給你。

對。不然就是刷10元，這也是一種營利模式，我知道你們是非營利為目的，但是不表示中間的必要成本，你不能多少回收一點，這本來就要行政機關來判斷了。

因為機器開著是會有成本的。

對啊！沒事還要換硬碟（笑）。

這樣子聽起來是沒有辦法原本使用自然人的API？

目前還沒有辦法，除非你界定你提供的是公共服務，當然台大要主張提供公共服務，也不是做不到，但是要說服你們的校長，這個有一點難度。

或者你主張你提供某些金融上的服務或者是產品，說不定真的刷10元買虛擬幣，就可以用這一側的東西，或者是主張上你可以提供精神衛生醫療之類的，或者是主張自己是診所，但是這個機率不大。

在這個範圍裡面，除非提供這三種服務，不然目前確實沒有一個很快速的方法來運用這一套，主要是還在習慣這個過程。

因為現在沒有看到法規不能直接使用，像剛剛看到的。

即使沒有法規禁止，但是有在接的人，也要願意來承受如果搞錯了的社會風險。即使技術上找到某種方式，我想內政部不會出來幫這個應用背書。

瞭解。如果目標是要重新開放註冊，可能還是要走向法人化，就是社團法人之類的，由那個單位……

就找有在做的人跟你們合作。

或者這個法人也要金融、醫療相關的。

大部分都是金融的有在提供這個服務。其實如果是一般的，不管是商業公司或者是非營利組織要賣服務，最簡單是有服務或者是產品，然後跟他合作的那一家電商去合作，這個是最自然的，當你第一次要買服務或者是產品的時候，順便做一下，因為這個對使用者來講最不奇怪，本來要買一個服務或者是產品的時候，證明我真的是一個真人，這個大家在電商的過程中，尤其是需要儲值的，像第三方支付等等，大家會覺得跟錢有關係，像臨櫃驗證一樣，驗一下自己的身分。

現在主要的問題是，你們雖然有虛擬幣，但是並不是賣這個的，如果是真的賣這個的，反而就容易了，因為還有反洗錢，但是虛擬幣並不是真的用來做，好處是你沒有洗錢貢獻，當然你也沒有辦法用反洗錢作為理由來要求提供個人資料給你的金融夥伴。

找一個組織，舉例譬如說非營利組織……據我所知，比方說申請中華電信的自然人API，其實是不限營利項目的，也就是不需要在登記的營業項目上列是跟金融有關才可以申請那個服務。也許可行的做法是，我們申請的那個服務，但是我們並沒有用他來營利，然後那個借我們申請的組織，他本身也沒有跟營利事業相關，就是單純去幫我們申請這個服務，我們一樣是做這樣的運作。

這個可能是短期內的簡單方法。

因為我們停止註冊已經有好一陣子，很多新的學生都沒有辦法加入這個平台。

如果你們找電子支付機構，假設是電子支付機構好了，這個會有什麼問題嗎？對大部分的使用者來講，他們年紀至少可以辦學生卡的年紀，還是你們很希望爭取更年輕的客群？

我們希望避開（笑），我們希望有一些區隔啦！

所以你們的客層至少要可以辦學生卡的，其實跟電子支付機構是最簡單的，跟他收1元，就像你剛剛講的，1元也不用退了，這個很麻煩。

過去沒有朝這邊想的原因是因為我們並不營利，所以當我們突然間要跟哪幾個金融機構合作時，會有質疑我們營利的聲浪出現。

但是你們是以非營利為目的，所以只要刷了這一筆錢，不要大於處理這個帳務或者是板務或者是交易所，這個大家可以接受的，像1元或者是10元，我覺得不可能不接受，而且這樣子可以對抗一個大家最質疑的，也就是境外的，也就是當你完成一個電子支付的時候，你人在哪裡就一清二楚，所以至少在註冊的當下，你透過現有的反洗錢的管道，你可以很清楚知道。

這個比IP的位置要可靠多了，不需要跟大家解釋說什麼是跳板，或者是為何在彰化租一個機房，一下子就「（臺灣）」了，因為電子支付本來就會連到你的銀行或者是信用卡的銀行，那本來就對你有一個自然人的國際確認義務在，所以至少自然人這就沒有太大的問題。

串金流技術沒有問題，寫那一些，其實我之前有經驗、有寫過，但是因為我們沒有對那些金融單位有好處，他們沒有什麼一定要跟我們合作的理由。

你這麼大的平台，就像某些便利商店還只能用某些行動支付，光這個曝光，應該就有好處。

對金融單位曝光是有好處，但他們刷1元就拿不到手續費。

我想重點不是手續費，而是可以用CSR的主張，像「我們正在支持臺灣更好的言論環境」之類的，你們不是有公關部門嗎？可以試著論述一下。

我只是說這個技術上可能阻力最小的，因為很多人都已經這樣做了，只是你們在公共關係上，確實需要講一套論述出來，其他不管你要主張是公共服務或者是醫療服務，真的就更遠了。在這三條路裡面，金融還是比較簡單。

政府對於網路消息資訊查核之類的，有沒有一些補助的方案？或者是提供什麼樣的協助或獎助打擊假訊息？

目前大概有兩個，一個是確保來事實查核的朋友，可以很快速獲得澄清，讓澄清的圖卡本身有梗、好笑，這樣子至少查核的速度不會慢於謠言傳播的速度太多，這個很具體有在做的。

第二個有請教育部做「媒體素養教學資源網」，應該是下個月會上線，因為新課綱的關係，本來就要研發教材教法，這一些教材教法裡面就有教大家來做查核的工作，把事實查核者的成本，稍微降低，讓各地的小學、中學，或者是樂齡學習都有相應的教材教法可以用，如果是事實查核者的話，不管是群眾式的，像真的、假的，或者是機構式的，像臺灣事實查核中心，你在找願意來的人，培訓的成本可以降低。

以我的理解，這些做成本降低的公民科技朋友，有些人會申請一些相關的補助案，也就是美國政府的GEC “Region Two propaganda and disinformation”計劃。

可以理解。

你們現在說只能做公益的條款，內容是什麼？

我們在創站時對使用者的一個承諾。

所以有一點像是使命鎖定，也就是創立的時候有這個使命？

因為我們是在學術網路上，所以我們有對非商業化還有政治中立相關的東西。

這個當然非常重要，這是公益的性質。其實像在香港翻成「非牟利」，我們這邊是叫做「非以營利為目的」，意思是到最後不能賺錢，而不是說中間的成本不能稍微貼補。

我想，不能有股東因為這個原因而分配到錢，但是並不是你造成業務的支出不能用一些服務或者是產品來補貼，但是我瞭解這個在學術網路裡面比這個更嚴格一點，比一般的NPO更嚴格。像喜憨兒也有很多產品跟服務，不是不能去回收他們為了照顧這一些喜憨兒們必要的開銷，這個我們是叫做社會企業。

我覺得你們一開始的使命鎖定，原意只是不要把這個變成很像言論會被廣告利益，或者是被其他商業利益操縱，主要是要保持言論本身的公正性，每個人都一視同仁收1元或者是0元在註冊，這個好像還好，似乎沒有大幅更改衡平性，因為也不可能真的除了註冊之後來賣虛擬幣，這個說服力還算……

一般社會大眾應該是可以，但做這樣的事情，會不會被教育部趕出去，不知道。

這個就要問一下教育部了。而且就像你講的，至不濟有刷0元的做法，這樣沒有錢進入你的帳戶，這樣應該不會被趕出去，我滿確定這樣子不會被趕出去的，0元真的不太可能趕你們出去。

現在是0元的手續費還是0，所以跟一般合作的……

合作的那個成本就要全部吃掉（笑）。

為什麼要全部吃掉？因為是CSR，對臺灣的良善言論環境有期待，認為透過精準廣告干預言論是公害之類的，所以要培植這一種完全非營利為目的，刷0元的，要跟電子支付業者談好對他的形象大幅提升，所以還是做得到，不一定做不到。

現在不知道要去哪裡找這樣的。

臺灣電支業就那幾家。像我們這邊也有柑仔店，剛開張的時候，因為我們還沒有拿到仁愛路三段99號的門牌，因為本來是軍營，軍營不可能賣東西，那個時候有去找一家電支業者是叫做歐付寶。

他們的主張是因為掃QR code購買，然後送到你家，完全是展示用的，然後在當場也承諾在這一段期間，直到拿到這個門牌之前，都不收手續費，所以當然就沒有營利之事實，他也沒有在這邊賺錢，所以就躲開了這個，當然因為有一些CSR，所以沒有好處，可以幫忙所有來這邊的商家，導入他們真的在營業的據點，既然都已經設定他的帳號了，為何其他都不繼續用，這是他推廣的時機；所以我覺得還是可以談，並不是不能談。

那就問問看。

我們其實有想說刷1元，然後退，前期有遇到兩個，因為我們不知道是不是法人身分，我們現在不是。

無所謂啊！你只要找一個是法人身分的，然後願意給你憑證就好了。

第二個是，當時覺得沒有金融機構會願意吃手續費。

如果不是那麼有名氣的話，確實很困難，好比像登入畫面，如果真的就需要這個驗證的話，你合作的電支機構一定會出現，所以免費曝光，這個曝光也是很多，他要打廣告可能還沒有這個效益。

我覺得甚至可以讓他們去競標，會有很多對這個感興趣，就看你們公關部怎麼打包，只是這樣子不免犧牲掉18歲以下或者是還沒有辦法辦學生卡的人，但你們剛剛說這本來不是你們的客群，所以好像也還好。

大致上都有提到了。

好，那就期待《電子支付機構管理條例》適用在你的平台上的一天。

謝謝。

試試看，如果需要我們幫忙出什麼意見之類的，隨時歡迎找我，謝謝。

謝謝。