962個政府機關憑證不符標準 數發部呼籲：11／6前須換證

962個政府機關憑證不符標準　數發部呼籲：11／6前須換證


TWCA部分憑證不符國際標準　未及時更新可能出現瀏覽安全警示

https://news.nextapple.com/aitech/20261103/9B6FAB6B8AC866254CE0CD465C2D3434


上網查資料、使用政府線上服務，卻可能跳出安全性警示！數位發展部指出，台灣網路認證公司（TWCA）核發的部分網站憑證不符國際標準，涉及962個政府機關、9,772張憑證，若未於11月6日前完成更新，民眾瀏覽相關網站時，可能出現安全性警示訊息。目前新憑證已全數重新產製，但截至11月2日晚間，僅926張完成更新，數發部已要求各機關加速處理。

為什麼網站會跳警示？問題出在安全憑證

這次事件的關鍵，是網站用來建立安全通訊的TLS憑證。數發部說明，國際社群Bugzilla於10月30日通報，TWCA核發的部分憑證，其「序號隨機亂數長度」未達國際標準要求的64 bits以上。

TWCA雖將憑證序號設計為128 bits，但實際只有開頭、結尾各12 bits是有效隨機數，中間皆填入固定值，實際隨機亂數只有24 bits。也就是說，序號看起來夠長，實際隨機性卻沒有達標。

TWCA核發的網站憑證除了供民間使用，也經由數發部採購，提供各政府機關申請。經盤點，此次共涉及962個政府機關、9,772張網站憑證。
11月6日前要換好！新憑證寄出不等於更新完成

數發部於10月30日接獲通報後，立即要求TWCA在兩日內產製符合規範的新憑證，並同步啟動跨機關通知，加速更換作業。

TWCA已於11月1日完成政府機關9,772張TLS憑證重新產製，新憑證符合國際標準，並由系統直接透過電子郵件，將檔案寄送給原申請機關承辦人。

不過，新憑證寄到信箱，還得由各機關完成網站端更新，才算處理完畢。截至11月2日晚間，已有926張完成更新。數發部也已聯繫各機關資訊主管，要求協助督促，避免錯過11月6日前的更新期限，影響民眾正常瀏覽網站。
目前未造成具體資安危害　數發部將查違約、求償

網站憑證出問題，是否代表網站已遭駭？依數發部說明，此次事件目前尚未造成具體資安危害，但仍呼籲各機關及其他使用TWCA憑證的使用者，儘速於11月6日前完成更新，避免瀏覽時出現安全性警示訊息。

除了要求換發憑證，數發部已委託獨立第三方專業機構，後續將深入檢測TWCA，全面檢視憑證產製與管理機制，並依結果要求改善。另外，也將針對違約情事展開調查，依約罰款及求償。


.....................................................................................

數位發展部（數發部）並未公開這 962 個受影響政府機關的完整具體名單。

根據數發部公告與媒體報導，此事件是因台灣網路認證公司（TWCA）核發的網站 TLS 安全憑證「序號隨機亂數長度」未達國際標準，進而影響經

由數發部共同供應契約採購該憑證的 962 個政府機關，共計 9,772 張網站憑證。

                               
登錄/註冊後可看大圖