# 數位發展部導入自然人憑證無密碼驗證與零信任 / 周詳

{%hackmd @ModernWeb/SyA2U6SmT %}

> 共筆請從這開始

## 關於講者

- [部落格](https://medium.com/chouhsiang)

## 數位發展部部內員工身分驗證機制

### 身份驗證的選擇

- AD: 透過 LDAP、Kerberos 驗證
- 優點：傳統
- 缺點：不好整合雲端、安全性
- 行動 / 實體自然人憑證
- 優點：無密碼驗證
- 缺點：每個應用程式獨立開發介接
- 單一登入 SSO：透過 OAuth、SAML 驗證
- 優點：中央統一管理與稽核、二階段驗證、開發容易
- 缺點：無法以行動自然人憑證驗證

- 登入流程 應用程式 -> 單一登入(MS ID SSO) -> 同盟驗證 -> 二階段驗證.
- Demo 在windows登入-> 跑出一個app (email) -> 輸入身分證 -> 手機自然人憑證-> 手機輸入MS auth -> 登入成功.

## 自然人憑證
2003 開始簽發
可簽章、加解密
- 2003 年開始, 可以用於政府上服務
- 外國人也可以申請
- 效展5年,展期3年, 最長8年.

自然人憑證可以做什麼
- 身份驗證
- 數位簽章
- >> 原文->私key加密->公key解密->原文
- 資料加密
- >> 原文->公key加密->私key加密->原文.

## 行動自然人憑證 TW Fido
### 自然人憑證的app
需要用自然人憑證卡來註冊app
- 生物識別驗證
- 有效期限1年，展期1年
- 外國人也可以申請
### 行動自然人憑證功能

## Entra ID (Azure AD)
什麼是 AzureAD ? 要先介紹 SSO
### 單一登入SSO
微軟提供雲端版的SSO=>Entra ID(原名Azure AD)

### AD和Azure AD
### Azure AD流程
應用程式 → 單一登入 → 密碼驗證 → MFA
## 同盟驗證
允許使用者使用單一組憑證在不同服務和應用程式間進行單一簽入

## Azure AD 同盟驗證

## 政府零信任

## 數位發展部零信任

結語
透過同盟驗證，可以自行開發驗證方法，並整合 Azure AD 原本的優勢

------
> 聊天區

講者不是網軍，正規軍

弱弱的問一下，AD 是甚麼呀？
> [Azure ad](https://azure.microsoft.com/zh-tw/products/active-directory-ds)
Azure Active Directory
>> 現在叫做 Microsoft Entra ID（沒有人在乎）

講師剛剛說ad 不能走雲端 然後又用azure ad . . .
> 講者：補充說明，是指應用程式與AD驗證需要把彼此連線的網路打通，但走SSO不需要

都說走內網還用手機驗證 手機連哪裡網路.....
wifi?
有些公司不給連wifi說
> 敝公司也是用 Azure AD，二段認證是可以 offline 的，使用與 Google Authenticator 相同的 TOTP

但很多金融和科技業公司很多限制 連google 雲端都不給連..
> 員工的電腦不能連，不代表串 SSO 的 server 不能連阿

出自己的規格拿出來吹?
> 有提到網路走cloudflare zerotrust 類似VPN環境
那限制很多....
請問一下目前自然人憑證期限32依然是5年嗎?

這加密部分算是 drm?
> 講者：不是DRM，自然人憑證卡的加解密是使用卡內的公私鑰

UI依然很政府
> 講者：持續改進

sso 跟第三方登入不一樣吧? 可能是我認知錯誤。。。
他那一張圖是第三方登入吧。。我做電商登入的。。。

那麼相信微軟喔.....
> 講者：與微軟整合是身份鑑別部分，要訪問服務還要通過Cloudflare Zero trust規則與設備鑑別規則

數位發展部=> 還是數位整合部?? 整合別人的產品沒有一個是自己做的。。。
> 有自己實作過的就知道後續維護的困難，有時候基礎設施/服務不如直接買廠商更成熟的 solution，還有後續維護保證（+1）
> 敝公司曾經自行實作 API Management，最後還是買了 Google Apigee 省事

> 講者：我們也是考慮到基礎建設的維運難易度，與Azure AD上完善的稽核、第三方整合功能，才整合行動自然人憑證在Azure AD上。
> 講者：另外考慮到後續整合雲端零信任解決方案，完全自行開發會導致後續整合難度變大

問一下 那AD與第三方登入有甚麼差異?
差異在使用者資料是建在那邊。 是自己的系統 還是第三方
登入後使用者名稱是顯示你第三方的名字 還是系統建立的名字。

同盟驗證，轉到自己的驗證，
為什麼不是整套都自己做，而是還要先到微軟在轉？
沒有做自己的Oauth。所以他沒辦法驗證。。。
沒有出自己的公私鑰。沒辦法加解密。

> 講者：補充說明，在做身份驗證的時候，會使用到自然人憑證卡的公私鑰；行動自然人憑證APP則是透過WebAuthn(iOS鑰匙圈), Fido2 API(Android)做身份驗證，也會使用的手機內的公私鑰。

> 自然人憑證不算嗎？
原來重點是免費！
(笑死)

> 講者：Azure AD有分為免費版與付費版的P1, P2，數位部目前使用P1加強安全性

講者是不是開著共筆
> 感覺被問過很多次了

> 講者：演講的時候沒辦法看共筆QQ