|
網路上的身份驗證問題 黃世昆 中央研究院資訊科學研究所 摘要 網際網路身份的不確定性在以往學術環境中所引發之問題較為單純，更直接促成資訊的快速交換與流通。一旦網路大眾化，其正面的效益仍然存在，使得政府部門與民間企業各階層無不積極參與使用，但因其身份的不確定性所引發的負面影響將可能在未來形成嚴重的社會問題。在此將對網路冒名、破壞及兒童參與可能發生的問題提出探討，簡單說明在公眾網路上的身份驗證及隱私保護機制，並提出聯合驗證中心的想法。 緒 論 在現實社會裏有一套規範方式，並因多數人道德罪惡感的天性使然，使得秩序得以維繫。但在網路的虛擬環境中，一切由不可觸及的資訊所構成，可在彈指間悠遊於世界各地，也可能瞬間毀壞無數人心血，或阻斷眾人賴以維生的通路。現實社會是匿名的世界，但在必要的時後可隨時驗明正身。網路社會到處流通著不確定的身份，卻沒有一套身份確認辦法。目前的技術探討偏向於解決電子商務的交易問題，著重於商業交易的認證，解決交易的安全性與私密性，對於身份“不明”所造成的社會問題仍無一套確實有效的解決方案。特提出幾個身份確認值得思考的方向，以供 NII 法規標準環境建立之參考，並預期在台灣學術網路上的tw.bbs.*先行實施試驗性的聯合驗證制度。 一、網路社會與現實社會的身份確定性 網路流動著不確定身份？還是現實社會裡周遭的人事物更不確定？在日常生活裡，報章雜誌作者用的是“筆名”，在火車站來來往往誰也不認識誰，街上車水馬龍，大家都是“匿名”者，沒有人在講話時把身份證高舉胸前以驗明正身，只有成年的罪犯會被公開示眾，只有熟識者互相對話才知道誰是誰，只有想進一步了解對方才會互相交換名片，張貼告示的人們很少將地址加上。
原來的網路其實有更強的“確定身份”。若見發信地址“From：xxx@iis.sinica.edu.tw”，大家看到此一名號即心裡有數，知道這個人可能來自中研院。在現實社會裡，我不會掛著中研院的名牌上街說話。後來的台灣網際社會，有一種新興媒體“Internet
BBS”出現 （楊基載，1994）。起初有人對其極為反感，認為違反 Internet 使用的常規，對其“不確定身份”及“匿名”發表的方式極不表贊同，視之有如“黑函”，但事實上是它的出現，推翻網路常規，異軍突起，影響整個台灣學術網路的生態，甚至改變多數社會人士對網際社會的“不確定性”認同。Internet
BBS 的連線網路 tw.bbs.* 傳遞量約在世界前十幾名，佔全球總數的 4%（劉大川，1996），每天上萬封討論文章，數百萬文字在成千上萬個server之間傳遞，幾十萬人的心情隨之悸動，這是
Internet 生態的異象，是獨特的台灣經驗，間接促成 TANet 蓬渤發展，但事實上是“不確定”的流動性身份更合乎大眾“小眾媒體傳播”的特性。我們可以從言談舉止及穿著約略判定一個人，卻不能要求他人發表言論前必須高舉名牌。
二、網路社會與電子商業交易身份認證問題 電子商務（electronic commerce）建構在一個安全方便及隱密的電子商業環境上，消費者、商家及金融業者形成互動的交易網，由一套電子交易規格規範（如
SET, VISA/Master Card 1996），維繫可信賴的交易活動及秩序，網路社會的交流卻沒有明確的利益交換，所有文件傳輸可能建構於社交活動的日常往來，所有非商業的網路活動都屬於這類的交流。在商業網上以金錢論斷一切，因此可以強制規範，在非商業環境，不涉及利益，卻有危害社會秩序之虞，例如，電子公共論壇毀謗、污蔑、冒名，電子郵件匿名中傷，兒童不宜的
Web Page，惡意阻斷網路通路，著作權侵犯等等。這些違法情事應該都有法源論處，或者現在沒有，將來也許會立法，但最重要的問題是如何確認身份，並建立一套確認網路身份的機制與規格。電子商務由認證中心（Certificate
Authorities）確保每一筆交易的安全，將來是否也有一個公認的驗證中心來確保每一次的“網路往來”都有可確認的來源。 三．網路冒名及破壞與阻斷生計 1. 冒名 電子網路世界的冒名手法與現實世界的方法相去不遠，可能更簡單，所能達到的效果卻遠甚。冒名伴隨著網路的傳播速度及廣大流通率在未來將極具殺傷力（其實現在就已領教過）。
2. 網路的破壞事件 它給一般人的感覺是“道德罪惡感”不大。一位在學校舉止行為正常的小孩，不會去殺人放火，不會隨便拿起石頭砸破停在路邊車子的窗戶，更不會擅闖民宅。而網路上，武器的使用是經由鍵盤滑鼠的操作，所能引發的破壞事件決不亞於“擅闖民宅”，“砸破車窗”，或“殺人放火”（如入侵國防武器、網路維生系統）。但其道德罪惡感的約束力量甚為薄弱，幾乎不存在，又加上“身份”的不確定性，將來引發之社會問題將十分嚴重。教育有用嗎？道德罪惡感，似乎來自天性，血腥暴力使人厭惡，但是網路上彈指間毀壞無數人心血，卻難以使人產生絲毫不安。
最近系統被 crack 事件頻傳，大家可否接受這種事實？鄰居清純可愛的小男孩，可能是那毀人無數心血的元兇，彷彿在網路上，眼前到處是手握機槍的小孩。這些手握武器卻無技術的人們將是網路上最可怕的殺手。 3. 阻斷生計 現實社會中時有所聞圍堵抗爭行動，聚集群眾阻塞主要通道以達抗爭的目的。未來網路社會裡這種抗爭行為更容易達成，網路的恐怖事件將更加可怕。 四. 兒童不宜與成人不宜 現行網制，有著不確定身份者到處流竄，不限時間、地域，所有網路需求可說是“隨心所欲（on-demand）”，不限身份地位，隨手可得，這是
Internet 所帶來的好處，也是未來媒體的可能走向。商業化的 Internet 講求利益，只要付錢即可享受服務。現實社會裡，無法達到 Internet
所能達成的目標，但有一套維繫秩序的基本法規，例如電影分級制，電視有管制播放時間，或鎖碼，傳統郵件有大人把關。在網路社會裡，沒有確切的年齡性別等身份資訊，所有在現實社會發生的可怕事件，極有可能在網路社會產生相似的效應，前者有一套管制措施，後者卻尚未做到。舉例來說，網路色情暴力兒童不宜，小孩之間的對話是否也該管制成人不宜涉入？現行對管制兒童不宜的做法是在使用之
web browser 加上 client filter 以過濾不適當內容之 Web Page。又一旦小孩上 Internet，接收 Internet
E-mail，大人是否要負起過濾信件的責任？ 五. 身份確認與隱私保護 這是“身份確認”問題，何時何地“個人”真實身份該被“暴露“出來？在實際生活裡，只有違規犯法才會被要求明示身份，只有特定機關進出有門禁管制，與公家機關打交道辦事須用到身份證（如申請水電、選舉投票…等）。車行道路，是匿名行者，闖紅燈違規才會被要求出示證件。
美國政府有制定所謂“托管 key 法”（Key Escrow），除了預防 key 遺失了有補救方法，還能管制、監聽經過加密的電話通訊，因此將
encryption key 切割分開保管。為了保護隱私，使用者的個人資料非單一機關主觀認定即可調閱，將使用者資料分階段用各不同主管單位的
public key加密起來。 六. 著作權與資訊流通 這是長久以來困擾網路作者及 archive 管理者的問題：我如何做文章宣告，如“禁止商業轉載”、“允許非商業轉載”、“允許非商業
archive”、“允許編輯後放入精華區”，…，等等問題。有些作者將宣告加在簽名的位置，有些則在文章中說明，這種作法有幾個問題：
若有“聯合驗證”的機制存在，其目的之一就是將“著作權宣告”的格式標準化，並加上足以令人信服的電子簽章，使文章不管流到何處，都有“技術上的憑證”供人參考。此憑證當然不具法律效果，但其“參考性”顯然遠超過現今的人工手法，不但可避免一些紛爭，也能加速資訊的流通。
相關 BBS 程式可輕易支援此一作法，只要在 user 張貼之後，詢問一些轉載宣告問題，根據 yes/no
回應，將其轉為標準格式，蓋上“聯合驗證”中心的簽章，再轉發出去即可。News client 也能在修改後支援此一作法。 結 論 聯合驗證中心的建立是解決身份確認有效的方法。其角色類似於電子商業交易之認證中心。我條列目前 Internet Public Service 面臨的困境：
當然受質疑的是，驗證資料如何建立？其信任度如何？BBS不能再匿名，沒有隱私了？首先是如此之中心一旦存在，以後所有人都可更加安心的“匿名”，但是必須守法。此驗證中心的目的是在保護遵從規定者之權益及隱私，使搗蛋破壞者無所遁形。
參考書目
|
||||||||||||||||||||||||||||||