【开放银行特别报导】金融个资存取如何更安全？开放银行将引进OAuth 2委任授权架构

“开放银行的挑战是第二、第三阶段。”政大金融科技研究中心副主任陈恭再三强调。尽管API是跨产业间合作的利器，有助于资讯和流程整合的自动化，但是他指出，必须先厘清，Open API是一个技术上的专有名词，指的是使用开放标准来制订的API。在实作上，Open API的“Open”一词，是“开放”之意，而非“公开”。所以，Open API不只包括了“公开的API”，也可以包括那些指在特定合作伙伴间、特定成员间，利用这些以开放标准订定的API来串接的行为。

要考虑到这些不同类型的应用场景，陈恭表示，Open API就必须考虑到认证、授权、威胁侦测、资料保密和讯息正确性，以上要素缺一不可。

开放银行的资安必需要考虑两大议题，身份辨识与权限控管。对银行端而言，不只需要辨识出使用者的身份，也要辨识第三方业者的应用程序来控管其权限。不过，在台湾开放银行发展的Open API三阶段开放中，第一阶段只涉及已经公开的商品资料，因此不用考虑消费者辨识和认证的议题。目前作法是第三方服务业者事先注册，第三方应用程序经过审查（或取得银行授权）后，以API Key来辨识身份。但是到了第二阶段，就得进一步考虑更完整的Open API安全规范。

陈恭表示，涉及消费者账户与交易资料，除了辨识第三方程式，也不能将消费者的账号与密码交给第三方，“目前，国际间惯用的作法是采取OAuth 2委任存取授权方式，让TSP来存取客户资料。”

消费者先登入原本银行的网银，来进行对第三方程式授权，第三方程式就可以用授权后的Token通行证来存取银行的API，并且这类Token还需限制API存取范围和时间，甚至要提供随时可撤销授权的机制。授权过程中，还需要让消费者清楚知道，第三方的程式要求读取哪些权限。

简单来说，OAuth 2授权可分成四个流程，首先，TSP的App得先向银行注册，银行会提供一个特殊代号给TSP业者。第二，当使用者打开TSP业者的App来连结银行时，这个App就可以用这个代号来告知银行，自己的身份。第三，银行的验证服务器透过白名单确认App的身份后，允许使用者进行网银登入程序，来对App进行授权，并提供一个授权码（Auth code）给App。第四，使用者不用再次登入银行的系统，App可用这个Auth Code来换取特定服务的存取金钥（Access Token），日后用这个存取金钥来取得需要的金融资讯。

OAuth 2.0委任存取管理示意图（图片来源_陈恭)

“OAuth 2是电商、网络科技业者惯用的授权方式，但银行圈对此技术不清楚，趁著（这次机会）推动Open API，可以让银行熟悉这项主流作法。”陈恭表示。

不过，OAuth 2主要聚焦授权机制，陈恭指出，在认证机制上较不足，没有在网络通讯协定中采取更严谨的防范措施。所以，后来又发展出了OpenID Connect （OIDC），增加了ID Token，可以提供部分使用者资讯给授权者比对，避免中间人冒用。另外，API安全标准上，还有最新一套考量更多安全机制和风险控管功能的FAPI（Financial-Grade API，金融等级API）设计。目前，台湾开放银行发展上，初步看法是第二阶段考虑引进OAuth 2的作法，其他更高标准安全规范，则看日后需求和风险考量时再考虑。

OAuth 2是针对Open API的安全标准，陈恭认为，也可以借镜台湾医疗资料交换的最新MyData应用，利用区块链来进行涉及敏感性个资的授权管理。

陈恭刚与台北市立联合医院资安长许世欣联手，完成了一套照护资讯整合平台，采用以太坊区块链，来提供不可否认的电子签章，可供病人将自身的敏感性医疗资料，授权给其他医院的医生、长照人员等调阅，甚至可以由子女代理年迈父母病患远端授权，让医生取得病患过去医疗记录，来辅助现场的诊疗。“目前这项区块链授权，可以精细到每一笔资料的授权控制。”

陈恭表示，这一波开放银行浪潮，有机会带动API经济的发展，不只是银行，现在其他产业包括证券、保险，也开始想要了解Open API的可能性，甚至，他观察：“开放银行发展若有成果，未来，有机会扩大到台湾所有持有资料的产业，都可能加入这波Open API的行列。”

不论是医疗资料和金融资料或其他民众自己的个人资料，从资料角度来看，Open API可以打通了跨产业间的串连，让使用者自己的资料得以流通，也都得面对个资法合规的挑战，陈恭指出：“这正是MyData趋势的课题。”甚至，-手上的民众资料也可以成为MyData的一环，透过合规安全的验证和授权机制，成为Open API可以串接的来源之一。文⊙王宏仁