Regulations Governing the Standards for Information System and Security Management of Electronic Payment Institutions Article 7
An electronic payment institution shall carry out identity verification for executing transactions provided in the preceding article, and the security designs for different types of transactions shall comply with the following requirements:1. Type A transaction security design means a security design that uses a fixed password, pattern lock or gesture lock. In the case of a fixed password, the security design shall meet the requirements set forth in paragraph 2 of Article 5 herein; in the case of a pattern lock or gesture lock, the security design shall meet the requirements set forth in paragraph 3 of Article 5 herein.2. Type B transaction security design means the security design that uses OTP sent via short message to user's mobile device with an expiration time for the password set and measures taken to prevent the short message from being stolen or forwarded.3. Type C transaction security design means any of the following security designs:(1) For security design that uses FISC-II card, an unpredictable check code of terminal equipment should be dynamically generated for each transaction. For each transaction, the user must input his/her card password to generate a transaction authentication code (TAC) for authentication by the card issuing bank; the security design should also include the prevention of third-party access.(2) For security design that uses OTP, a physical equipment which is not for transaction execution should be used. The OTP has an expiration time set, and the device will be locked if wrong password is inputted three consecutive times and unlocked after proper identity verification. If the physical equipment and the equipment for transaction execution are the same equipment, transaction will be executed only after manual confirmation of transaction content at user end.(3) If two factors authentication is used, the security design should have any two of the components below:a. Information agreed between the user and the electronic payment institution, which is not known to any third party (e.g. fixed password, pattern lock or gesture lock).b. A physical device in the possession of user (e.g. password generator, password card, IC card, computer, mobile device, and hardware cryptopattern module): The electronic payment institution should verify that such equipment is the physical equipment held by the user as agreed between the user and the electronic payment institution.c. Biometric Characteristics of the Users (e.g. fingerprints, face, iris, voice, palm print, veins, and signature): The electronic payment institution shall directly or indirectly verify such biometric characteristics, and adjust the false acceptance rate of biometric characteristics based on its risk tolerance in order to effectively authenticate the user’s identity, and shall allow additional ID verification mechanisms (such as a password) if necessary. Indirect verification will be processed on the user’s device (such as a mobile device). The electronic payment institution will only read the verification result, and shall allow additional source verification if necessary. If indirect verification is adopted, the effectiveness of the user ID verification mechanism shall be assessed in advance.4. Type D transaction security design means any of the following security designs:(1) When accepting in-person user transaction, electronic payment institution should check user's identity document and seal or signature.(2) Security design that complies with the requirements set forth in the Electronic Signature Act.After logging onto the electronic payment platform with the account number and the Type A, Type B, Type C or Type D transaction security design in the foregoing paragraph, under the connectivity control and during the webpage session time limit under item 2, subparagraph 1 of Article 10, the user may process the transaction of that type security design, and the transaction of alternative transaction security design permitted under paragraph 2 of the foregoing Article.Security design provided in Item (2), Subparagraph 4 of the preceding paragraph that complies with the requirements set forth in the Electronic Signature Act may use the certificate mechanism in compliance with the following requirements:1. Comply with the relevant operating rules of the certificate authority (CA);2. Verify the legality, accuracy, validity, assurance level and use restrictions of the certificate; the certificate must be issued by a third-party certificate authority approved by the competent authority governing certificates;3. When serving as the certificate registration authority to accept certificate registration or data change from users, the counter operation should add two factors authentication security design or have another staff at the counter to review the registration or change data;4. For online update of certificate, user must use the existing, valid private key to sign for the certificate update information and send the information to the registration authority to apply for online update;5. For certificates used in non-repudiation of the transaction, choose a certificate authority that agrees to be held liable and the certificate application allows the user to generate their own private key;6. Any certificate issued by a government agency shall be used only for identity verification at the time of registration;7. Each transaction must be signed to confirm the payment content and authenticate the validity of the certificate; and8. Private keys for the certificate shall be stored in a hardware security module that complies with Common Criteria EAL 4+ (including at least AVA_VLA.4 or AVA_VAN.5), or FIPS 140-1 Level 2 or above, or other modules having the same security strength to prevent the private keys from being exported or duplicated. If the chip hardware and payment instruction generation use the same equipment, the transaction should be confirmed manually by user before it is completed, or two or more additional security features are added in the transaction process.
中文原文 電子支付機構資訊系統標準及安全控管作業基準辦法第7條
電子支付機構執行前條所列交易安全設計，應符合下列要求：
一、A類交易安全設計：指採用固定密碼、圖形鎖或手勢之安全設計，如為固定密碼，其安全設計應符合第五條第二項之規定；如為圖形鎖或手勢，其安全設計應符合第五條第三項之規定。
二、B類交易安全設計：指採用簡訊傳送一次性密碼至使用者行動裝置之安全設計，應設定密碼有效時間，並應避免簡訊遭竊取或轉發。
三、C類交易安全設計：指採用下列任一款之安全設計：
（一）採用晶片金融卡之安全設計，應依每筆交易動態產製不可預知之端末設備查核碼，每次需輸入卡片密碼產生交易驗證碼，並由原發卡銀行驗證交易驗證碼；應設計防止第三者存取。
（二）採用一次性密碼之安全設計，應採用實體設備且非同一執行交易之設備；設定密碼有效時間；設計密碼連續錯誤達三次時予以鎖定使用，經適當身分認證後才能解除。
如實體設備與執行交易之設備為同一設備，則應於使用者端經由人工確認交易內容後才能完成交易。
（三）採用二項（含）以上技術（TwoFactorsAuthentication），其安全設計應具有下列任二項以上技術：1.使用者與電子支付機構所約定之資訊，且無第三人知悉（如固定密碼、圖形鎖或手勢）。
2.使用者所持有之實體設備（如密碼產生器、密碼卡、晶片卡、電腦、行動裝置、憑證載具等）：電子支付機構應確認該設備為使用者與電子支付機構所約定持有之設備。
3.使用者所擁有之生物特徵（如指紋、臉部、虹膜、聲音、掌紋、靜脈、簽名等）：電子支付機構應直接或間接驗證該生物特徵，並依據其風險承擔能力調整生物特徵之錯誤接受度，以有效識別使用者身分，必要時應增加其他身分確認機制（如密碼）。
間接驗證由使用者端設備（如行動裝置）驗證，電子支付機構僅讀取驗證結果，必要時應增加驗證來源辨識；採用間接驗證者，應事先評估使用者身分驗證機制之有效性。
四、D類交易安全設計：指採用下列任一款之安全設計：
（一）臨櫃受理使用者交易，應核對身分證明文件及印鑑或簽名。
（二）採用符合電子簽章法之安全設計。
使用者依第五條規定以帳號及前項A類、B類、C類或D類交易安全設計登入電子支付平臺，於符合第十條第一款第二目規定之連線控制及網頁逾時中斷機制時限內，得直接進行該類交易安全設計及依前條第二項所定其得替代交易安全設計之交易。
第一項第四款第二目採用符合電子簽章法之安全設計得使用憑證機制，相關要求如下：
一、應遵循憑證機構之憑證作業辦法。
二、應確認憑證之合法性、正確性、有效性、保證等級及用途限制，該憑證應由憑證主管機關核定之第三方憑證機構所核發。
三、擔任憑證註冊中心，受理使用者憑證註冊或資料異動時，其臨櫃作業應額外增加具二項（含）以上技術之安全設計或經由另一位人員審核。
四、憑證線上更新時，須以原使用中有效私密金鑰對憑證更新訊息做成簽章傳送至註冊中心提出申請。
五、應用於交易不可否認之憑證，應選擇負賠償責任之憑證機構，且該憑證申請須由使用者自行產製私鑰。
六、政府機關核發之憑證限應用於註冊時之身分確認。
七、每筆交易須針對支付內容進行簽章並驗證該憑證之有效性。
八、應確認該憑證私鑰儲存於符合共同準則（CommonCriteria）EAL4+（至少包含增項AVA_VLA.4或AVA_VAN.5）或FIPS140-2Level3（含）以上或其他相同安全強度之認證等晶片硬體內，以防止該私鑰被匯出或複製。
如晶片硬體與產生支付指示為同一設備，則應於使用者端經由人工確認交易內容後才完成交易；或於交易過程額外增加具二項（含）以上安全設計。
一、A類交易安全設計：指採用固定密碼、圖形鎖或手勢之安全設計，如為固定密碼，其安全設計應符合第五條第二項之規定；如為圖形鎖或手勢，其安全設計應符合第五條第三項之規定。
二、B類交易安全設計：指採用簡訊傳送一次性密碼至使用者行動裝置之安全設計，應設定密碼有效時間，並應避免簡訊遭竊取或轉發。
三、C類交易安全設計：指採用下列任一款之安全設計：
（一）採用晶片金融卡之安全設計，應依每筆交易動態產製不可預知之端末設備查核碼，每次需輸入卡片密碼產生交易驗證碼，並由原發卡銀行驗證交易驗證碼；應設計防止第三者存取。
（二）採用一次性密碼之安全設計，應採用實體設備且非同一執行交易之設備；設定密碼有效時間；設計密碼連續錯誤達三次時予以鎖定使用，經適當身分認證後才能解除。
如實體設備與執行交易之設備為同一設備，則應於使用者端經由人工確認交易內容後才能完成交易。
（三）採用二項（含）以上技術（TwoFactorsAuthentication），其安全設計應具有下列任二項以上技術：1.使用者與電子支付機構所約定之資訊，且無第三人知悉（如固定密碼、圖形鎖或手勢）。
2.使用者所持有之實體設備（如密碼產生器、密碼卡、晶片卡、電腦、行動裝置、憑證載具等）：電子支付機構應確認該設備為使用者與電子支付機構所約定持有之設備。
3.使用者所擁有之生物特徵（如指紋、臉部、虹膜、聲音、掌紋、靜脈、簽名等）：電子支付機構應直接或間接驗證該生物特徵，並依據其風險承擔能力調整生物特徵之錯誤接受度，以有效識別使用者身分，必要時應增加其他身分確認機制（如密碼）。
間接驗證由使用者端設備（如行動裝置）驗證，電子支付機構僅讀取驗證結果，必要時應增加驗證來源辨識；採用間接驗證者，應事先評估使用者身分驗證機制之有效性。
四、D類交易安全設計：指採用下列任一款之安全設計：
（一）臨櫃受理使用者交易，應核對身分證明文件及印鑑或簽名。
（二）採用符合電子簽章法之安全設計。
使用者依第五條規定以帳號及前項A類、B類、C類或D類交易安全設計登入電子支付平臺，於符合第十條第一款第二目規定之連線控制及網頁逾時中斷機制時限內，得直接進行該類交易安全設計及依前條第二項所定其得替代交易安全設計之交易。
第一項第四款第二目採用符合電子簽章法之安全設計得使用憑證機制，相關要求如下：
一、應遵循憑證機構之憑證作業辦法。
二、應確認憑證之合法性、正確性、有效性、保證等級及用途限制，該憑證應由憑證主管機關核定之第三方憑證機構所核發。
三、擔任憑證註冊中心，受理使用者憑證註冊或資料異動時，其臨櫃作業應額外增加具二項（含）以上技術之安全設計或經由另一位人員審核。
四、憑證線上更新時，須以原使用中有效私密金鑰對憑證更新訊息做成簽章傳送至註冊中心提出申請。
五、應用於交易不可否認之憑證，應選擇負賠償責任之憑證機構，且該憑證申請須由使用者自行產製私鑰。
六、政府機關核發之憑證限應用於註冊時之身分確認。
七、每筆交易須針對支付內容進行簽章並驗證該憑證之有效性。
八、應確認該憑證私鑰儲存於符合共同準則（CommonCriteria）EAL4+（至少包含增項AVA_VLA.4或AVA_VAN.5）或FIPS140-2Level3（含）以上或其他相同安全強度之認證等晶片硬體內，以防止該私鑰被匯出或複製。
如晶片硬體與產生支付指示為同一設備，則應於使用者端經由人工確認交易內容後才完成交易；或於交易過程額外增加具二項（含）以上安全設計。