國際電子身分辨識標準出爐　全球電子護照推行邁大步

ICAO架構  

ICAO已定義非接觸式晶片的使用，其中內嵌於護照的生物辨識是根據目前智慧卡產業內經過驗證的技術標準。2005年5月採用符合ICAO/PKI/基本存取控制(BAC)的最終規格，2006年6月則採用符合ICAO/公開金鑰基礎架構(PKI)/延伸存取控制(EAC)的規格。  

ICAO技術諮詢組(TAG)/機器可判讀旅行檔(MRTD)草案採用ICAO在9303號文件發布的規格來設計，ICAO TAG/MRTD規格符合國際標準組織 (ISO)標準。最新版的9303號檔三部分(圖 1)包含第一部分為第六版提供機器可判讀護照(MRP)的規格，第二部分為提供機器可判讀簽證(MRV)的規格--未修訂晶片，第三部分則針對各種官方旅行身分辨識檔的卡格式類型，如身分證提供規格。

圖1　ICAO DOC 9303概觀

為因應在MRTD中部署生物辨識技術上的挑戰，ICAO在選擇技術以及考量交互作業能力時，評估如手冊、資料格式、內容和儲存需求；耐久性和可靠度規格以及效能(速度、準確性和相關屬性)；電子護照讀取器規格和資料擷取標準；資料保護協定；生物辨識資料標準；與MRTD註冊、更新、邊境管制、自動辨識系統的相容性；備援(能夠回復到類似手動的方式，以便在機器輔助技術失效時，支援辨識文件持有者的身分檢查作業)；向下相容性(可應用於沒有電子護照讀取器的環境)等技術因素。  

ICAO已將臉部辨識列為必要的生物辨識標準，並允許會員國使用指紋及/或虹膜辨識作為選用的生物辨識標準，必須以最佳方式壓縮那些生物辨識資料的儲存格式。使用JPEG、JPEG2000或WSQ格式壓縮影像，下列最小尺寸可獲得最佳比對率，包括採用15K～20KB，標準格式的壓縮臉部影像；以及10KB，標準格式的壓縮指紋影像；還有30KB，標準格式的壓縮虹膜影像。  

一般認為生物辨識資料的影像格式是可交互作業的儲存格式，而相貌特徵格式比較不可靠。因此，只有在影像資料之外，「由核發國家決定」，方得儲存和使用相貌特徵資料格式。  

從護照移轉至電子護照  

從護照移轉至電子護照，因各地區的策略而異。因此，採取特定區域的觀點是很重要的。  

主流的安全機制是ICAO/PKI/BAC再加上臉部資料。只有新加坡在2006年4月發布標準時選擇ICAO/PKI/EAC結合生物辨識臉部和大拇指指紋。「主動式認證(AA)」目前在下列10個特定國家使用：比利時、奧地利、芬蘭、荷蘭、捷克共和國、愛爾蘭、列支敦士登、香港、德國(第二代電子護照)和愛沙尼亞。  

生物辨識的主要做法是在電子護照中儲存正面照片。只有下列國家在其電子護照中儲存指紋資料：泰國(2005年6月)、新加坡(2006年4月)和德國(2007年11月)。此外，僅德國與針對所有歐盟國家指定的新 EAC安全架構一致。  

在電子護照中內嵌IC、封裝和嵌片的三種方式包括日本、澳洲採用中間頁面，愛爾蘭、英國、芬蘭、荷蘭、丹麥、挪威選擇持有者頁面，而美國、德國、西班牙、香港、義大利和許多其他國家則使用封面頁面。  

歐洲電子護照實施情況  

歐盟在2004年12月13日，針對護照和旅遊檔的安全功能及生物辨識標準發布歐盟執委會(EC)規章(Council Regulation 2252/2004)時，通過讓所有會員國採用電子護照的條款。推行此項規定的最新日期是2006年8月，這些電子護照需要將護照持有者的數位照片、姓名、出生年月日以及國籍等其他資料儲存在旅遊文件內的晶片中。保護這項電子資料的是稱為BAC的安全協定，也就是由ICAO規定，並透過「被動式認證(PA)」進行的協定。透過檢測系統將BAC套用到第一代電子護照，BAC會從資料頁面讀取機器可判讀區(MRZ)資訊，此為存取晶片資料的關鍵。與此同時，儲存的資料不可更改，因為發行機構確認資料確實性所發出的數位簽章只有一個(被動式認證)。  

2006年6月，在這項歐盟委員會規章發布後，歐盟決定在會員國的護照中採用兩個指紋作為額外的生物識別碼，此須在 2009年6月之前實施。透過進階資料保護協定EAC，未獲授權者就無法存取更為機密的生物辨識資料--指紋。此外，從幾個方面來看，EAC符合採用指紋辨識方法的其他資料保護需求。首先，EAC機制執行 BAC協定，並在非對稱金鑰上執行最新版的PKI協定，藉此檢查晶片和檢測系統的確實性。其次，為了檢驗之便，各個邊境管制區的系統均須備有發行國家所提供的憑證，作為存取晶片中之指紋的先決條件。EAC也在資料傳輸期間建立強大的階段作業金鑰，以提供最安全的資料加密。因此，歐盟人民可以確信，其旅遊檔可防止遭到更改，而且儲存在檔案中的機密資料將擁有最高的安全性和隱私權。  

北美/亞洲電子護照實施情況  

根據美國移民政策，身為免簽證計畫(VWP)會員國的所有國家都必須在2006 年10月以前實施電子護照，否則就會喪失免簽證待遇。大多數歐盟會員國和日本、新加坡、澳洲、紐西蘭以及汶萊已及時達到目標。  

除了免簽證計畫之外，非歐盟會員國和非美國免簽證計畫成員的其他一些國家已經實施電子護照，如泰國、俄羅斯聯邦、香港和馬來西亞。美國國務院已經在 2006年8月開始其發行程式。在歐盟之外，只有新加坡已實施類似的EAC安全機制並且採用左右拇指作為識別碼，大部分國家已經實施BAC安全機制。  

四十個國家已採行電子護照  

對這項全球計畫所採取的一個合理觀點是，計算已轉換到電子護照計畫的國家數目。根據這個觀點，可發現如表1資訊。

採用此計畫的第一個國家是比利時，時間是2004年11月。2005年，則有泰國(5月)、瑞典、挪威和澳洲(10月)、德國和紐西蘭(11月)加入此計畫。2006 年，英國和日本(3月)、法國和新加坡(4月)、冰島(5月)、奧地利(6月)、葡萄牙(7月)，美國、丹麥、西班牙、芬蘭、荷蘭、希臘、立陶宛、盧森堡、斯洛維尼亞和波蘭(8月)，捷克共和國、俄羅斯聯邦、安道耳和瑞士(9月)，聖馬利諾、愛爾蘭、列支敦士登和義大利(10月)也陸續加入此計畫。2007年初，包括香港(2月)和愛沙尼亞在內的其他國家開始發行電子護照。此四十個國家代表大約十億的總人口。  

ICAO目前有一百八十九個會員國，但其中只有一百零八個已發行「機器可判讀旅行檔」。預計在2010年底之前，此一百零八個國家中有70%將擁有電子護照。  

2007年發行電子護照晶片達七億顆  

在2004年第四季開始的擴充時期，已發行的電子護照數目低於IC數目。表2僅反映已發行電子護照晶片的市場。

市場供應鏈漸具雛形  

發行電子護照的四十個國家支援價值鏈上的不同供應商。目前的觀點如表3、4所示。

附註：關於OS和IC的觀點提供二十多個組合，因為某些作業系統/應用程式供應商必須在多個IC平台上移轉軟體。 表4　電子護照的安全機制和生物辨識

歐美現階段正實施電子身分辨識系統，執行的模式有些許的不同，以下將概略介紹：

歐洲安全旅遊計畫  

除了發行新一代電子護照(2006年8月是歐盟所有會員國的正式截止期限)，在 2007～2009年間，所有會員國都會進行在「申根」邊境實施以新技術為基礎的邊境管制系統以及在發行辦公室實施指紋技術以收集資料兩項額外的計畫。  

使用生物辨識程式實施以新技術為基礎的邊境管制系統，可提高身分辨識和驗證程式的安全性。各國必須先實施用來收集資料的指紋技術，之後才能發行第二代電子護照。  

許多歐盟會員國認為，應該要先發行第二代電子護照，之後再實施電子國民身分證(eID)，因為電子國民身分證會使用到類似電子護照的技術。此方法有兩個關鍵理由：其一為重複使用基礎架構，例如資料擷取、PKI、IT網路、邊境管制系統，將更有效率和符合成本效益；另一則是電子國民身分證將更難偽造，所以可以提高申根地區內的邊境管制安全。  

在歐洲，大約20%的居民擁有電子護照，大約80～90%的居民擁有國民身分證。大多數會員國中規定一定要有身分證。要在歐洲境內旅遊，身分證是最典型和最普遍的旅遊證件。因此，為加強邊境安全，若需要實施新邊境管制程式時，歐盟居民就必須同時擁有電子護照和電子身分證。  

2005年秋天，歐盟在其14351/2005號規章中發布一項建議，要求會員國在國民身分證等方案中提供最低限度的安全性。這些旅遊計畫一般是由各會員國的內政部(MoI)控管(表5)，其中的三大主軸是：

表5　歐洲的安全旅遊計畫

除了現行針對具有電子護照的美國居民實施的美國計畫，對於來自免簽證計畫國家且具有護照/電子護照的外國人，以及來自非免簽證計畫國家、具有護照和生物辨識資料的外國人，目前正在測試階段的新經常性旅客計畫(表6)，將可以記錄旅客的簽證以及擷取旅客資料。這項測試計畫的名稱是旅客出入安全系統卡(Pass-Card)，使用者是在西半球旅行計畫(WHTI)內跨越邊界旅遊的美國公民。該項計畫以美國標準為主，包括生物辨識資料在內的資訊全都儲存在主系統中，加上電子國民身分證，就成為主系統中的資料集指標。

表6　美國的安全旅遊計畫