報稅系統 IE only 的問題,根本不是在「憑證」

只能用IE惹民怨 財政部:已跟內政部反應了4年
報稅季又得打開落後的 IE,為什麼政府無法做出便民的報稅系統?
看了內容都在怪「憑證」,身為資訊宅宅,不得不出來說說話,以正視聽。
其實,問題根本不是在「憑證」,而是在「處理憑證」的工具上面。
但不懂技術的記者大人的很會,硬要說這是「憑證」的問題;
大人啊,如果今天真的是「憑證」的問題,我看您連臉書也別玩了吧,因為臉書預設會用 SSL 加密,也要用到「憑證」啊。


(對技術沒興趣可以跳過此段)
好,那我們就來聊聊為什麼報稅系統會 IE only。
早年在 IE 席捲整個瀏覽器市場的時候,政府在順應潮流的情況下,
就順勢的使用了 Microsoft ActiveX 技術來發展憑證的處理工具。
在那個 Windows 獨大、IE 獨大的時代裡,
只要用 Microsoft ActiveX 就可以解決 99% 網站讀取本機端使用者的憑證(可能是自然人憑證、可能是金融晶片卡)問題,
這對於軟體開發商來說,當然是一件趨之若鶩的事情。
或許你會問,為什麼網站讀取本機端使用者憑證是個問題?
這當然是一個問題,而且是一個很嚴重的資安問題。
試想,如果有一個網站,可以在不需要經過你允許的情況底下,只要你一打開 IE 進入這個網站,
他就可以隨意的讀取你正在使用的電腦上的資訊,你會不會感到害怕?
所以這世界上的作業系統(Windows、MacOS)原則上都不同意在未經使用者同意的情況底下,
任何網際網路上的伺服器可以存取你正在使用的電腦上的資訊。
否則,這世界上也就沒有駭客了對嗎?(因為隨隨便便就可以入侵啦,何必要駭客?)
所以 Microsoft ActiveX 就提供了一個便利的介面,讓網站可以透過這個技術,在你同意的情況底下,可以存取「特定」的裝置(好比說讀卡機)。
然而,隨著 Google Chrome、Firefox、Safari 等瀏覽器的使用者越來越多,
Microsoft ActiveX 這個只針對 IE 所發展出來的技術,就漸漸的無法滿足那 99% 的使用者了,
所以開發者便利用了 Java 作為這三種瀏覽器與本端電腦讀卡機的介面,技術名稱是 Java Applet。
說穿了作法與 Microsoft ActiveX 一樣,
只是這個技術本身並不綁定 IE only(所以很多會處理卡片憑證的網站,最後都是改採這項技術,因為 IE 也支援)。
但這件事情卻因為 Google 在 2015 年 9 月開始,在 Chrome 45 的版本中,
不再支援 NPAPI(也就是前述 Java 為什麼可以透過瀏覽器與作業系統互動的底層技術)的緣故,
使得所有透過 Java Applet 與作業系統互動的網站,一夕之間武功盡廢;
目前大多數網站的作法都是建議使用者改用 IE 或 Firefox(但是 Firefox 也已經宣布在 2017 年開始不支援 NPAPI)。
至於 Google 為什麼會做這樣的決定,我個人認為當然和這些年來 Java 在 Applet 上面的資安處理進度並不是太好,
也有可能跟 Google 長期以來跟 Oracle 在吵 Android 與 Java 的侵權問題脫不了關係。


(結論)
所以,其實是「處理憑證」的工具問題,而非「憑證」這件事情有問題,不懂技術就不要亂寫。
所以,如果真的是「憑證」有問題,政府用的憑證,以及銀行用的晶片金融卡憑證也毫無關係,不懂技術就不要亂寫。
所以,「以微軟 ActiveX 發出憑證」這句話實在是令人啼笑皆非,不懂技術就不要亂寫。
或許你會問,難道我們就這樣任技術領導廠商宰割嗎?
非也,對技術人員來說,技術問題都是可以被解決的,所以前述的那些技術雖然被停止支援了,但是還是有相對應的新技術推出來滿足這些需求。
那你肯定接著問,這樣為什麼財政部說已經跟內政部反應了四年?
先談報稅的部分,也就是我們報稅的時候會使用到的那個「自然人憑證」。
我個人認為,財政部選擇自然人憑證作為身份驗證工具這個作法是對的,因為原則上自然人憑證在申辦時都需要透過政府部門(好比說區公所)進行身份驗證,
因此自然人憑證在台灣的數位世界裡面跟自然人的概念綁定,我覺得很好。
然而,自然人憑證是由「內政部憑證管理中心」在管理的,然後內政部又將這件事情又外包給中華電信;再來,經濟部的「政府憑證管理中心」也遭遇到相同的問題(反正都是透過瀏覽器去讀卡),而這部分是由國發會負責的,同樣也是外包給中華電信。
所以,這些事情的問題根源就在,我們的政府部與部之間的溝通協調非常緩慢,然後又有可能因為四年後變天了一切重來;然後再加上一個外包給中華電信。
至於期望政府做出什麼便民的系統?你是被雷打到了嗎?

Leave a Reply

Your email address will not be published. Required fields are marked *

This site uses Akismet to reduce spam. Learn how your comment data is processed.