eIDAS 是電子身份認證和信任服務條例的縮寫，是為管理電子交易所用電子身份和而制定的一項。該規章 2014 年獲得透過，規定於 2016 年至 2018 年間逐步生效。 在 2023 年，擬定的修改准許任何歐盟內的政府進行中間人攻擊和深入監視加密通訊在內的網際網路資訊。網路安全研究人員、非政府組織和民間社會團體譴責該提案，指其侵害人權、隱私和尊嚴。 介紹 eIDAS 監管歐盟內部市場的電子交易的電子識別和信任服務。其規範了電子簽名、電子交易、當事機構及嵌入過程，從而為使用者提供安全的線上業務，例如電子金融轉帳和公共服務交易，使簽名人和接收人更加便利和安全。使用者得以透過技術實現跨境交易，而無需依賴郵件、傳真等傳統方法或親自提交紙質檔案。 eIDAS 制定了相關標準，使電子簽名、、、時間戳和其他身份驗證機制促成電子交易的證明，使其具有與紙質交易同等的法律地位。 該規章於 2015 年 7 月生效，以促進歐盟內部安全、無縫的電子交易。成員國必須認可符合 eIDAS 標準的電子簽名。 時間線 該規定 2014 年 7 月 23 日由關於電子識別的歐盟規章 9102014 所制定，並廢止了 1999 年 12 月 13 日的 199993EC。 規章在 2014 年 9 月 17 日生效，2016 年 7 月 1 日起適用，除非符合第 52 條中列出的特定豁免條款。2018 年 9 月 29 日起，在任一歐盟成員國提供公共數字服務的組織都須認可所有歐盟成員國的電子身份。這適用於歐洲單一市場的所有國家。Info on eIDAS Connectis 預見 eIDAS 是歐盟委員會著眼的成果，在委員會的監督下實現 eIDAS 以刺激歐盟內的數字增長。 eIDAS 的主旨是推動創新。遵守 eIDAS 中為技術制定的準則是為推動組織採用更高水平的資訊安全和創新成果。除此之外，eIDAS 重點關注如下方面： 互操作性：成員國需建立一個通用框架，以識別其他成員國的 eID（數字身份）並確保其真實性和安全性。這使使用者可以輕鬆開展跨境業務。 ：eIDAS 提供一個清晰易得的適合用於集中式簽名框架的可信服務列表，促使安全利益相關者就保護數字簽名的最佳技術和工具開展對話。 電子交易監管 規定為與電子交易相關的下列重要方面提供監管環境： 數字身份：全歐洲範圍內的具有法律效力的公民數字身份驗證框架。定義了歐盟數字身份的九項原則：使用者選擇、隱私、互操作性和安全性、信任、便利性、使用者同意和控制比例、相應知識和全球可擴充套件性。 （AdES）：滿足某些要求的電子簽名被視為高階電子簽名： 提供了與簽名者相連的唯一性識別資訊。 簽名者對建立電子簽名所需的資料有唯一控制權。 須能識別訊息附帶的資料在簽名後是否曾被篡改。簽名的資料如果發生改變，簽名應屬無效。 具有電子簽名證書，即是確認簽名者身份並將電子簽名驗證資料關聯該人的電子證據。 高階電子簽名在技術上可按照歐洲電信標準協會（ETSI）指定的數字簽名、、或 ASiC Baseline Profile標準實現。 ，由基於合格電子簽名證書建立的高階電子簽名。 ，由合格信任服務商簽發的證明合格電子簽名真實性的證書。 ，eIDAS 規章定義的信任服務下的合格數字證書。 ，建立、驗證和核實電子簽名、時間戳、和的電子服務。信任服務也可能提供網站身份認證，以及其所建立的電子簽名、證書和印章的儲存。由完成。 （EUTL） 演變和法律影響 eIDAS 規章源自歐盟指令 199993EC，其中定義了歐盟成員國在電子簽名方面應實現的目標。歐洲小國較早開始採用數字簽名和身份識別，例如愛沙尼亞於 2002 年就提供首個數字簽名，拉脫維亞於 2006 年提供首個數字簽名。這些國家的經驗現在被用來制定覆蓋全歐盟的規章，該規章自 2016 年 7 月 1 日起在全歐盟範圍內成為有約束力的法律。199993EC 指令要求歐盟成員國負責制定法律，以實現在歐盟內部建立一個電子簽名系統的目標。該指令還允許每個成員國解釋法律並施加限制，這阻礙了實際場景中的互操作性並導致碎片化局面。與 1999 年的指令相比，eIDAS 確保成員國間對 eID 身份驗證有相互認可，以實現數位單一市場的目標。 eIDAS 提供一個具法律價值的分層舉措。它要求任何電子簽名都不能僅因不是高階或合格的電子簽名而被否認法庭上的法律效力或可受理性。Articles 25 1 and definitions in article 3 10 to 3 12 合格的電子簽名必須有與手寫簽名同等的法律效力。Article 25 2 法人的電子印章簽名的也獲解決，印章享有未受損害、所附資料來源正當的假定。Article 35 2 2021 年 6 月，委員會提出一項修正案併發布一份建議。Procedure 20210136COD on Procedure 20210136 COD on the Commission Recommendation EU 2021946 of 3 June 2021 on a common Union Toolbox for a coordinated approach towards a European Digital Identity Framework on 中間人攻擊和大規模監視 2023 年，對 eIDAS 的一項更改提案將允許任何歐盟政府監聽加密通訊在內的所有網際網路通訊。該提案的機制與 2019 年哈薩克嘗試過的大規模監控相同。 該提案將強制瀏覽器供應商在網路瀏覽器中置入 後門，以利執行中間人攻擊，使用者會認為正在與所請求的伺服器進行通訊，但實際上的對方可能為政府伺服器，而政府伺服器可以竊聽與篡改傳輸的訊息，並將訊息傳回原定的接收者。 若該提案透過，歐盟各國政府原則上可以攔截這些瀏覽器以加密方式傳輸的任何資訊，讀取敏感的加密內容和隨意修改資訊，而使用者不會感到異樣。法制化較弱的國家中這尤為令人擔心，國家或相關人士可以利用法律監視本國公民以實現政治鎮壓和個人利益，且有人擔心與國家相關的私人可濫用大規模監控權力實現個人目的。 提案的主要內容在最終草案中被保留，但也已做出規定，允許瀏覽器提供商在某些情形下繼續實施安全準則，降低此類隱蔽攻擊的可能性。其中指出： By way of derogation to paragraph 1 and only in case of substantiated concerns related to breaches of security or loss of integrity of an identified certificate or set of certificates webbrowsers may take precautionary measures in relation to that certificate or set of certificates 中譯： 作為對第 1 款的豁免，僅當對一份或一套證書的安全性或完整性有確鑿擔憂時，網路瀏覽器可對這些證書採取預防措施。 有解讀認為，這允許瀏覽器廠商繼續使用證書透明度等機制來保障瀏覽器安全。 身份號碼 資料庫資訊須與某種身份號碼相關聯。要證明一個人對某些個人資訊的訪問權，有幾個步驟。 關聯一個人與一個號碼，這可透過一個國家開發的例如數字證書體系來完成。 特定資訊關聯一個號碼。 對 eIDAS，擁有資訊的國家所用的號碼與頒發數字證書的國家所用的號碼需要關聯。 eIDAS 中最小的身份概念是姓名和出生日期。但訪問更敏感的資訊時，需要證明兩個不同國家頒發的身份號碼指向同一個人。Hur skapar du en koppling mellan svenska och utländska eIDn in Swedish Title translation How to connect Swedish and foreign eID 安全漏洞 2019 年 10 月，安全研究人員在 eIDASNode（歐盟委員會提供的 eID eIDAS Profile 的一個示例實現）中發現兩個安全漏洞。eIDASNode 231 版本中進行了修復。 歐洲自治身份框架 歐盟已開始建立相容 eIDAS 的歐洲自主主權身份框架（ESSIF）。但在許多國家，使用 eIDAS 服務需為 Google 或蘋果公司的客戶。 歐盟可信列表（EUTL） 歐盟可信列表（European Union Trusted Lists，EUTL）是一份公開列表，包含 200 多家活躍的、傳統的信任服務提供商（TSP），它們經過專門認證，能提供遵守歐盟 eIDAS 電子簽名規章的最高水平的合規性。 參見 和 多重要素驗證 數位單一市場 參考資料 外部連結 歐盟規章 eIDAS 內容 Category 簽名 Category 密碼學標準 Category 計算機法律 Category 認證方法 Category 歐盟法律