【FIDO先行者经验：中国信托银行】银行要发挥FIDO 4大好处，得先克服3项挑战

“金融行动身份识别联盟F-FIDO，将是金融业打通数位金融任督二脉的关键。”中国信托银行作业暨资讯处资讯二部部长陈晞涵强调。他更进一步分享自家导入FIDO的经验、FIDO目前的优缺点，以及对于未来F-FIDO发展的期待与建议。

金融服务行动身份识别，是消费者进入数位金融的第一关，因此，金管会规划研究发展金融行动身份识别标准化机制，由金融机构共同筹组金融行动身份识别联盟F-FIDO，研拟规划导入国际FIDO标准，初期将针对中低风险的金融服务，提供通用的行动身份识别与签署功能。

中国信托银行（简称中信银）在2017年便开始导入FIDO进行开发，是台湾最早导入国际FIDO标准的金融机构，隔年4月，连带新一代行动银行Home Bank App上线之际，也正式将FIDO导入，目前功能包括简易登入如人脸辨识、指纹辨识，以及转账类交易认证，都有使用FIDO的机制。

陈晞涵揭露，中信银共有360万名行动银行App顾客，每天登入大约有100万人，其中有75%的顾客，是使用FIDO机制登入。中信银之所以导入FIDO，共有4大考量。首先是，使用者体验良好，由于FIDO验证器是是与中信的行动银行App一同安装，所以，使用者只要下载App便可开通使用。

第二，也是中信银认为最重要的关键，陈晞涵表示，那就是开放标准的支持，目前主流设备厂商都有支援FIDO，所以中信银可以简化各个平台相容性的建置。“建置同一套机制，便能通吃全部的生物认证或简易认证。”第三，FIDO认证规格多元，现今主流的人脸辨识、指纹辨识都囊括，这也是中信银选择导入的原因之一。

第四是架构端的考量，陈晞涵提到，可以快速导入产品标准，对于中信银来说是技术架构端的优势，各式装置的认证端，比如Face ID、Touch ID，都可以透过同样一套通用认证框架（UAF）导入，减少每次不同设备、不同的认证机制，需要重复开发的过程。所以，面对顾客使用的不同的手机机型与型号，中信银IT都能快速在FIDO框架进行生物辨识认证，不用各别进行技术的介接。

目前，中信银在个人金融的应用，是导入UAF标准；陈晞涵透露，中信银下一代法金行动银行也正在导入FIDO，以及，中小企业网银与行动银行，这两者都会考虑导入FIDO通用第二因素框架（U2F）的认证，预计在未来会陆续上线。甚至，中信银也评估，未来导入FIDO2的可能性，不过，还需考量FIDO相关产品厂商在FIDO2的认证进度，中信银计划等到市场成熟时再导入，或许在法人交易签章等地方可使用。

不只导入FIDO的诸多好处，陈晞涵也点出目前FIDO的3大挑战。第一，没有设备合法的认证；所以，中信银在导入时，就多加了设备绑定的功能，让转账交易应用更为安全。

第三是，FIDO框架上并没有“生物验证辨识率的标准”。不同手机装置的生物辨识强度并不一致，比如有一些白牌手机的指纹辨识，可能很容易破解，陈晞涵表示，更多是这些白牌手机的生物验证辨识率，如错误辨识率（FAR）、拒绝识别率（FRR）的标准不合格。他直言：“这是资安上很大的挑战”。目前，中信银的作法是与资安情报厂商合作，借由黑名单来管控哪些设备的生物辨识已被破解，如果有顾客使用黑名单中某个厂牌的型号，该名顾客就不能够使用中信银的FIDO机制。第二大挑战是，现在的FIDO框架，并没有说明私钥保护的机制；这部分，中信银选择自己做资料保护的机制，比如动态加密金钥、白箱加密保护金钥等。不过，陈晞涵坦言，倘若未来主管机关或银行公会有新的要求，对于中信银来说就会是一个挑战，可能得要重新开发一套新的金钥保存方式。

一旦导入国际FIDO标准，建置F-FIDO这样的机制，各家金融机构包括银行、保险、证券，就可以遵循同一套行动身份识别共通标准，来降低应用上的困难度与开发成本。未来，各家金融机构身份识别强度提升到同一水准时，便可做跨机构行动身份识别互通。陈晞涵表示，在第三方场景的申请类应用，如数位存款开户、信用卡开户这类，是金融机构可以做的事。

甚至，陈晞涵认为，F-FIDO将成为打通数位金融任督二脉的关键。他解释，许多金融机构在推动数位金融时，有个使用上的瓶颈，消费者要开立银行的第一类数位存款账户的第一个关卡，就必须使用自然人凭证开户。

“如果能够透过 F-FIDO，取代自然人凭证或是其它硬件凭证的使用，中信银认为，对金融机构在推动数位金融，将是非常有利的开始。”陈晞涵建议，或许让消费者使用金融卡来开通FIDO，方便性就会变得非常高，在推动数位金融就会更加快速，因为，大部分的民众至少都会有一张金融卡。

不过，不管未来F-FIDO的开通是采用自然人凭证、金融卡，乃至未来要推出的数位身份证（eID）或是其他作法，陈晞涵强调，中信银都会就主管机关的公告，来配合政策走向。

然而，打通身份验证只是第一步，中信银更为期待下一步，“F-FIDO能做到资料的授权。”陈晞涵提到，未来，或许在主管机关的开放下，F-FIDO能与开放银行第二阶段，或是国发会的My Data平台接轨，如此一来，金融机构就可以在业务上有其他新的应用变化。

他举例，若能串接如财团法人保险事业发展中心，取得顾客在其他保险公司的保单资料，便能帮顾客做保单健检。另一项中信银认为可能的应用是，透过F-FIDO跨金融机构认证，在顾客的授权下，从其他金融机构取得顾客的财富管理资料，替顾客做财富管理健康检查。

亦或是，透过F-FIDO，到内政部的相关单位取得顾客的收入资料，银行端便可以更快核准顾客的信贷、房贷申请，这部分是消费金融的应用。不过，陈晞涵表示，这一切的前提，还是得依照金管会后续的政策方向，以及各个金融机构释出资料的意愿。