【资安周报第20期】爱沙尼亚的网络居留证类似台湾自然人凭证，20分钟就可设立一间公司

随着5月1日个人综合所得税的报税季节即将到来，许多人开始为了报税这件事情伤脑筋，根据统计，在2015年大约600万名报税人口中，超过250万人使用网络报税，其中，使用内政部核发的自然人凭证报税人数则超过115万人。今年的网络报税，除了原本的自然人凭证、金融凭证外，也首度新增健保卡作为网络报税的工具，便利更多民众愿意采用网络报税。

不过，号称安全的自然人凭证，除了报税还可以做什么？台湾政府或许可以参考位于波罗的海三小国中的爱沙尼亚（Estonia）的作法，该国也是全球第一个，透过核发网络居留证（e-Residency ），让全世界的人都可以在爱沙尼亚设立公司、签署官方文件，真正做到世界公民，也让世界一流的人才，愿意到爱沙尼亚设公司、做生意。

爱沙尼亚则表示，透过开放网络居留证的申请方式，将可以壮大爱沙尼亚在网络与科技世界的影响力，他们的长期目标则是：希望可以在2025年，全球可以有高达1千万名爱沙尼亚的网络公民，而这些网络公民的人数，将远远超过现在只有130万实际人口，成为另外一种科技国力的展现。

爱沙尼亚政府核发的eID，就类似台湾的自然人凭证

由爱沙尼亚政府核发的网络居留证就类似台湾内政部核发的自然人凭证，同样是采用2048位元加密的公钥基础建设（PKI），全世界公民只要连上爱沙尼亚网络居留证官方网站（https ://apply.e-estonia.com/）申请，只要4个步骤，最晚不超过一个月的时间，加上100欧元的申办费用（今年2月1日才从50欧元的申办费用涨价成100欧元），就可以选择爱沙尼亚在全球35个国家的大使馆或办事处，亲自领取（因为需要做指纹建档）这张网络居留证eID（e-Residency ID Card），也会同时提供申办者一个读卡机，就可以随时上网申办所需要的业务。

根据立勤法律事务所主持律师黄沛声的部落格文章，他已经有朋友成功申请爱沙尼亚网络居留证，并在中国上海爱沙尼亚的大使馆取得相关的实体卡片和读卡机；至于黄沛声本人也完成申请流程，等候爱沙尼亚政府的回复。但是，查看爱沙尼亚相关的统计数据，并没有来自台湾申请者的统计资料，极可能并入中国154名申请者的资料中，但香港则有1人申请的资料。

另外，有一个具有台湾背景，专门做比特币扣帐卡（Debit Card，也有人翻译成金融签账卡，账户里面必须有钱才能扣款使用，欧美国家使用相当普遍，台湾也有银行称之为支票卡或借记卡）的公司WageCan，也是透过使用爱沙尼亚推出的网络居留证，作为他们在全球比特币电子钱包和跨境支付等业务的加密服务使用。

只要4步骤，简单申请爱沙尼亚网络公民虚拟居留证

爱沙尼亚自从1991年正式独立后，因为本身并不是一个具有充足天然资源的国家，人民相较欧洲其他国家也不够富裕，当时政府便决定大力推广资通讯产业（ICT），迄今，爱沙尼亚已经是一个公认推动电子化政府非常成功的国家，许多政府提供的服务，老早就可以透过网络申办，不仅是无纸化政府的先锋，也是全球很早就提供免费无线网络服务的国家，更是Skype网络通讯软件的诞生国。

根据世界银行2016年的报告统计，爱沙尼亚已经有超过3千多个政府和银行的服务可以透过网络提供；可以在20分钟内成立一间公司；可以在5分钟内，自行在网络申报95 ％的收入，不需要透过会计师提供服务；透过电子化服务，每一年则帮每个民众节省5.4个工作天数，而且只需要花费民众净税收收入的0.3％，作为相关的税收征收成本。

早在2000年，爱沙尼亚便已经引进具备电子数位签章功能的数位身份证（ID-card），15年后，包括投票和各种政府与民间服务，都可以透过数位身份证搭配读卡机在网络执行。

有了充沛的数位政府提供服务的经验，爱沙尼亚在2014年9月正式启动“e-Residency Program”网络居留证专案计划，并在2014年11月获得国会同意，2014年12月核准第一个网络居留证的申请，只不过此时的申请仍需要有实际面谈的经验才能核发；一直到2015年5月13日推出e-Residency 公开测试版（Public Beta）后，才正式提供可以透过网络，申请全世界的民众申请爱沙尼亚网络居留证的服务。

截至2016年3月28日为止，来来自全球128个国家、9,700多人申请，有9,200人获得该国政府核发网络居留证，其中，有485位网络公民选择在爱沙尼亚成立新公司，也有1千间公司的创办人或董事会成员是网络居留证申办人。

要申请这张网络居留证的步骤其实很简单，首先可以到https://apply.e-estonia.com填写申请资料；其次，静待爱沙尼亚政府针对申请者的背景审查；第三步，到选定的爱沙尼亚大使馆或办事处，做指纹建档后，亲自领取实体卡片和读卡机；最后，就可以开始使用爱沙尼亚政府提供的各种数字化服务。一般而言，从申请到拿到这张网络公民虚拟居留证，平均花费14天～1个月，端看你选择在那个地方领取实体卡片而定。

不过，这张网络居留证没有照​​​​​​片，并不是实体的居留证，如果要去爱沙尼亚旅行或居住，都需要依照各国的规定，另外申请爱沙尼亚的旅行签证（Visa），爱沙尼亚是欧盟成员，而台湾民众到欧盟不用另外申请旅行签证，相对便利。

在20分钟内，就可以完成符合欧盟规范的公司申请

有这张网络居留证则意味着，爱沙尼亚政府针对申请者提供类似长期居留在当地的外国人，提供某种程度的公民权力。

这张网络居留证具备的好处很多，对于创业者而言，因为爱沙尼亚是欧盟成员之一，所有的公司规范都必须符合欧盟标准，对于提供跨国服务的网络和科技公司而言，如果可以很便利的在爱沙尼亚的网络上，在20分钟内申请成立一间爱沙尼亚的公司，即便人没有居住在欧盟，也可以快速设立一间欧盟承认的公司。

因为符合欧盟的规范容易与人较高的信任感，对于业务拓展上，也具有很高的便利性。如果需要有一个爱沙尼亚实体位置的地址，该国政府也直接把可以提供服务的业者，公开在网络上任君选择。

再者，对于其他的网络公民而言，有这张网络居留证就可以申办各种银行业务，并且使用各种国际支付业者提供的跨境支付服务，也可以直接透过网络申报税务，更可以直接透过网络，从远端验证文件的真实性，签订各种合约文件，并且以加密的方式，安全传输文件等等。相较于以往，都必须本身亲自签署合约文件后才能生效，具备数位签章功能的虚拟居留证，加快许多文件签署生效的效率。

现在要在爱沙尼亚开办银行账户服务，还是需要亲自到爱沙尼亚一趟，不过，爱沙尼亚政府宣布，到今年秋天之后，要开办银行业务的网络公民，则可以透过安全的影音聊天平台，由银行确认申办者的身份并开设银行账号与服务。

选择安全的公钥基础建设，作为虚拟居留证加密机制

但是，对于资安圈的人，最早对爱沙尼亚这个国家的认识，可能是来自于2007年4月27日，疑似来自俄罗斯所发动的DDoS（分散式阻断式攻击），瘫痪了该国包括议会、银行、政府、媒体，以及重要的关键基础设施，这也是第一个国家重要服务遭到DDoS攻击导致瘫痪的案例，而爱沙尼亚政府当时毫无招架之力，甚至认为这样的大规模网络攻击行为，将引发更大规模的网络战争。

有了过往的惨痛经验，也造就爱沙尼亚在资讯安全上的重视。因此，在推动网络居留证的专案时，爱沙尼亚选择安全性较高的公钥基础建设（PKI）作为加密机制，加密金钥则采用2048位元的加密方式，因为这张卡可以同时作为认证和数位签章之用，分别提供最少4个数字、认证用的PIN1密码，和最少5个数字、数位签章用的PIN2密码，供申办者作为选择使用哪一项服务之用。

爱沙尼亚政府也表示，未来也将持续提供这些申办者各种更新的网络服务，如果有一些新的服务需要进行认证或者是数位签章，该国政府也欢迎各国的开发工程师和网络服务业者，将他们的服务整合在网络公民虚拟居留证开放平台中（Open ID-Platform）。

如同黄沛声所言，爱沙尼亚推出这个网络居留证的服务，在意义上，类似网络业者在创业时，会先锁定使用者后，再来想获利方案的方式，来经营国家权力和世界影响力。对于同样缺乏资源和亟需要扩大国际影响力的台湾，是否可以参考爱沙尼亚经营网络公民的方式，重新打造台湾在网络世界的另类影响力，相当值得关注。

 

本周（4/17～4/23）重要资安事件回顾：

※ 解锁iPhone 5c代价高达130万美元，FBI局长：值得！

※ Opera浏览器将内建VPN用户端，不论浏览内网AP或翻墙都更方便

※ 跟进全程加密潮，行动通讯程式Viber启用端对端加密机制

※ 甲骨文4月大更新修补漏洞史上第二多，涵盖数据库、MySQL和Java SE重大漏洞

※ 科技组织群起抵制反加密法案

※ 非官方App市集多危险？潜在恶意App中标率是Google Play的3倍

※ 苹果：多次拒绝中国政府交出程式码的要求

※ 医疗业勒赎案外案，爆出全球320万台JBoss服务器有漏洞易遭植后门

※ MIT研发人工智能平台AI2，可准确预测85%网络攻击行动

※ Google强化Chrome线上商店用户资料政策，7月中将强制移除不合格程式

※ 金融业提高警觉!新恶意程式GozNym几天内从北美银行盗走数百万美元