TWCA憑證不符國際標準！962個政府機關受影響 數發部公布最新進度

數發部2日晚間發布最新公告表示，已督促TWCA完成符合國際標準的新憑證產製，並呼籲各機關儘速完成更新作業。（記者邱巧貞攝）

〔記者邱巧貞／台北報導〕台灣網路認證公司（TWCA）被爆出部分網站安全憑證不符國際標準，必須在11月6日前完成更換。對此，有立委2日呼籲，政府應儘速公開受影響的政府網站與企業數量，並公布換證進度，數位發展部也於今晚發出公告指出，此次事件共涉及962個政府機關、9,772張網站憑證，截至11月2日晚間，已有926張完成更新。

國際社群Bugzilla於10月30日通報，臺灣網路認證公司（TWCA）所核發的部分憑證中的「序號隨機亂數長度（Serial Number Entropy）」，未達國際標準規範64 bits以上密碼學安全亂數要求。TWCA雖將憑證序號長度設計為128bits，但實際僅首尾各12bits為有效隨機數、中間皆填補為定值，實際隨機亂數僅24bits。

對此，數位發展部今（2）日晚間發出最新公告表示，於10月30日接獲通報之後，已立即要求業者於兩日內產製符合規定的新憑證，並同步啟動跨機關聯繫通知作業，加速各機關完成憑證更換，避免影響網站正常瀏覽。

數發部說明，TLS憑證（Transport Layer Security Certificate）用於建立安全通訊，TWCA所核發的網站TLS憑證，除了提供【給】民間作為網站憑證之外，也經由數發部採購提供各政府機關申請使用。經盤點，此次事件共涉及962個政府機關、9,772張網站憑證，若相關網站未於11月6日前完成更新，民眾瀏覽時可能出現安全性警示訊息。

在數發部要求之下，TWCA已於11月1日完成政府機關9,772張TLS憑證重新產製，新憑證符合國際標準所要求的序號隨機亂數長度，並透過主動補發機制，由系統直接以電子郵件將新憑證檔寄送予原申請機關承辦人。

數發部同步啟動資訊主管聯繫機制，請各機關資訊主管協助督促並啟動更新憑證作業。截至11月2日晚間，已有926張憑證完成更新，數發部將持續追蹤，確保所有機關盡速完成更新。

數發部表示，雖然此事目前並未造成具體資安危害，仍籲請各機關及其他TWCA憑證的使用者，盡速於11月6日前完成憑證更新作業，避免影響網站正常瀏覽。

為進一步確保憑證服務安全，數發部已委託獨立第三方專業機構，後續針對TWCA進行深入檢測，全面檢視相關憑證產製及管理機制，並將依檢測結果要求TWCA改善，確保憑證的服務合規與安全。另將針對違約情事進行調查，並依約罰款及求償。