【資安周報第20期】愛沙尼亞的網路居留證類似臺灣自然人憑證，20分鐘就可設立一間公司

隨著5月1日個人綜合所得稅的報稅季節即將到來，許多人開始為了報稅這件事情傷腦筋，根據統計，在2015年大約600萬名報稅人口中，超過250萬人使用網路報稅，其中，使用內政部核發的自然人憑證報稅人數則超過115萬人。今年的網路報稅，除了原本的自然人憑證、金融憑證外，也首度新增健保卡作為網路報稅的工具，便利更多民眾願意採用網路報稅。

不過，號稱安全的自然人憑證，除了報稅還可以做什麼？臺灣政府或許可以參考位於波羅的海三小國中的愛沙尼亞（Estonia）的作法，該國也是全球第一個，透過核發網路居留證（e-Residency ），讓全世界的人都可以在愛沙尼亞設立公司、簽署官方文件，真正做到世界公民，也讓世界一流的人才，願意到愛沙尼亞設公司、做生意。

愛沙尼亞則表示，透過開放網路居留證的申請方式，將可以壯大愛沙尼亞在網路與科技世界的影響力，他們的長期目標則是：希望可以在2025年，全球可以有高達1千萬名愛沙尼亞的網路公民，而這些網路公民的人數，將遠遠超過現在只有130萬實際人口，成為另外一種科技國力的展現。

愛沙尼亞政府核發的eID，就類似臺灣的自然人憑證

由愛沙尼亞政府核發的網路居留證就類似臺灣內政部核發的自然人憑證，同樣是採用2048位元加密的公鑰基礎建設（PKI），全世界公民只要連上愛沙尼亞網路居留證官方網站（https ://apply.e-estonia.com/）申請，只要4個步驟，最晚不超過一個月的時間，加上100歐元的申辦費用（今年2月1日才從50歐元的申辦費用漲價成100歐元），就可以選擇愛沙尼亞在全球35個國家的大使館或辦事處，親自領取（因為需要做指紋建檔）這張網路居留證eID（e-Residency ID Card），也會同時提供申辦者一個讀卡機，就可以隨時上網申辦所需要的業務。

根據立勤法律事務所主持律師黃沛聲的部落格文章，他已經有朋友成功申請愛沙尼亞網路居留證，並在中國上海愛沙尼亞的大使館取得相關的實體卡片和讀卡機；至於黃沛聲本人也完成申請流程，等候愛沙尼亞政府的回覆。但是，查看愛沙尼亞相關的統計數據，並沒有來自臺灣申請者的統計資料，極可能併入中國154名申請者的資料中，但香港則有1人申請的資料。

另外，有一個具有臺灣背景，專門做比特幣扣帳卡（Debit Card，也有人翻譯成金融簽帳卡，帳戶裡面必須有錢才能扣款使用，歐美國家使用相當普遍，臺灣也有銀行稱之為支票卡或借記卡）的公司WageCan，也是透過使用愛沙尼亞推出的網路居留證，作為他們在全球比特幣電子錢包和跨境支付等業務的加密服務使用。

只要4步驟，簡單申請愛沙尼亞網路公民虛擬居留證

愛沙尼亞自從1991年正式獨立後，因為本身並不是一個具有充足天然資源的國家，人民相較歐洲其他國家也不夠富裕，當時政府便決定大力推廣資通訊產業（ICT），迄今，愛沙尼亞已經是一個公認推動電子化政府非常成功的國家，許多政府提供的服務，老早就可以透過網路申辦，不僅是無紙化政府的先鋒，也是全球很早就提供免費無線網路服務的國家，更是Skype網路通訊軟體的誕生國。

根據世界銀行2016年的報告統計，愛沙尼亞已經有超過3千多個政府和銀行的服務可以透過網路提供；可以在20分鐘內成立一間公司；可以在5分鐘內，自行在網路申報95 ％的收入，不需要透過會計師提供服務；透過電子化服務，每一年則幫每個民眾節省5.4個工作天數，而且只需要花費民眾淨稅收收入的0.3％，作為相關的稅收徵收成本。

早在2000年，愛沙尼亞便已經引進具備電子數位簽章功能的數位身分證（ID-card），15年後，包括投票和各種政府與民間服務，都可以透過數位身分證搭配讀卡機在網路執行。

有了充沛的數位政府提供服務的經驗，愛沙尼亞在2014年9月正式啟動「e-Residency Program」網路居留證專案計畫，並在2014年11月獲得國會同意，2014年12月核准第一個網路居留證的申請，只不過此時的申請仍需要有實際面談的經驗才能核發；一直到2015年5月13日推出e-Residency 公開測試版（Public Beta）後，才正式提供可以透過網路，申請全世界的民眾申請愛沙尼亞網路居留證的服務。

截至2016年3月28日為止，來來自全球128個國家、9,700多人申請，有9,200人獲得該國政府核發網路居留證，其中，有485位網路公民選擇在愛沙尼亞成立新公司，也有1千間公司的創辦人或董事會成員是網路居留證申辦人。

要申請這張網路居留證的步驟其實很簡單，首先可以到https://apply.e-estonia.com填寫申請資料；其次，靜待愛沙尼亞政府針對申請者的背景審查；第三步，到選定的愛沙尼亞大使館或辦事處，做指紋建檔後，親自領取實體卡片和讀卡機；最後，就可以開始使用愛沙尼亞政府提供的各種數位化服務。一般而言，從申請到拿到這張網路公民虛擬居留證，平均花費14天～1個月，端看你選擇在那個地方領取實體卡片而定。

不過，這張網路居留證沒有照​​​​​​片，並不是實體的居留證，如果要去愛沙尼亞旅行或居住，都需要依照各國的規定，另外申請愛沙尼亞的旅行簽證（Visa），愛沙尼亞是歐盟成員，而臺灣民眾到歐盟不用另外申請旅行簽證，相對便利。

在20分鐘內，就可以完成符合歐盟規範的公司申請

有這張網路居留證則意味著，愛沙尼亞政府針對申請者提供類似長期居留在當地的外國人，提供某種程度的公民權力。

這張網路居留證具備的好處很多，對於創業者而言，因為愛沙尼亞是歐盟成員之一，所有的公司規範都必須符合歐盟標準，對於提供跨國服務的網路和科技公司而言，如果可以很便利的在愛沙尼亞的網路上，在20分鐘內申請成立一間愛沙尼亞的公司，即便人沒有居住在歐盟，也可以快速設立一間歐盟承認的公司。

因為符合歐盟的規範容易與人較高的信任感，對於業務拓展上，也具有很高的便利性。如果需要有一個愛沙尼亞實體位置的地址，該國政府也直接把可以提供服務的業者，公開在網路上任君選擇。

再者，對於其他的網路公民而言，有這張網路居留證就可以申辦各種銀行業務，並且使用各種國際支付業者提供的跨境支付服務，也可以直接透過網路申報稅務，更可以直接透過網路，從遠端驗證文件的真實性，簽訂各種合約文件，並且以加密的方式，安全傳輸文件等等。相較於以往，都必須本身親自簽署合約文件後才能生效，具備數位簽章功能的虛擬居留證，加快許多文件簽署生效的效率。

現在要在愛沙尼亞開辦銀行帳戶服務，還是需要親自到愛沙尼亞一趟，不過，愛沙尼亞政府宣布，到今年秋天之後，要開辦銀行業務的網路公民，則可以透過安全的影音聊天平臺，由銀行確認申辦者的身分並開設銀行帳號與服務。

選擇安全的公鑰基礎建設，作為虛擬居留證加密機制

但是，對於資安圈的人，最早對愛沙尼亞這個國家的認識，可能是來自於2007年4月27日，疑似來自俄羅斯所發動的DDoS（分散式阻斷式攻擊），癱瘓了該國包括議會、銀行、政府、媒體，以及重要的關鍵基礎設施，這也是第一個國家重要服務遭到DDoS攻擊導致癱瘓的案例，而愛沙尼亞政府當時毫無招架之力，甚至認為這樣的大規模網路攻擊行為，將引發更大規模的網路戰爭。

有了過往的慘痛經驗，也造就愛沙尼亞在資訊安全上的重視。因此，在推動網路居留證的專案時，愛沙尼亞選擇安全性較高的公鑰基礎建設（PKI）作為加密機制，加密金鑰則採用2048位元的加密方式，因為這張卡可以同時作為認證和數位簽章之用，分別提供最少4個數字、認證用的PIN1密碼，和最少5個數字、數位簽章用的PIN2密碼，供申辦者作為選擇使用哪一項服務之用。

愛沙尼亞政府也表示，未來也將持續提供這些申辦者各種更新的網路服務，如果有一些新的服務需要進行認證或者是數位簽章，該國政府也歡迎各國的開發工程師和網路服務業者，將他們的服務整合在網路公民虛擬居留證開放平臺中（Open ID-Platform）。

如同黃沛聲所言，愛沙尼亞推出這個網路居留證的服務，在意義上，類似網路業者在創業時，會先鎖定使用者後，再來想獲利方案的方式，來經營國家權力和世界影響力。對於同樣缺乏資源和亟需要擴大國際影響力的臺灣，是否可以參考愛沙尼亞經營網路公民的方式，重新打造臺灣在網路世界的另類影響力，相當值得關注。

本週（4/17～4/23）重要資安事件回顧：

※ 解鎖iPhone 5c代價高達130萬美元，FBI局長：值得！

※ Opera瀏覽器將內建VPN用戶端，不論瀏覽內網AP或翻牆都更方便

※ 跟進全程加密潮，行動通訊程式Viber啟用端對端加密機制

※ 甲骨文4月大更新修補漏洞史上第二多，涵蓋資料庫、MySQL和Java SE重大漏洞

※ 科技組織群起抵制反加密法案

※ 非官方App市集多危險？潛在惡意App中標率是Google Play的3倍

※ 蘋果：多次拒絕中國政府交出程式碼的要求

※ 醫療業勒贖案外案，爆出全球320萬臺JBoss伺服器有漏洞易遭植後門

※ MIT研發人工智慧平台AI2，可準確預測85%網路攻擊行動

※ Google強化Chrome線上商店用戶資料政策，7月中將強制移除不合格程式

※ 金融業提高警覺!新惡意程式GozNym幾天內從北美銀行盜走數百萬美元