「你知道星期四有什麼大事嗎？是TWCA憑證爆炸日！」近期包括多家電商、金融機構出現資安問題，今（5）日又出現多家公司推播訊息要求用戶「更新APP」，導致各界恐慌是否出現大規模駭客事件，金管會和數發部連忙跳出來解釋，是台灣網路認證公司（TWCA）所核發的部分憑證中「序號隨機亂數長度」需要更新，改完就沒問題，但多位軟體工程師抱怨，這整件事都非常荒謬，先前已出事過，卻只粉飾太平，包括最近的資安事件已門戶大開，未來還有多個未爆彈。
「你知道星期四有什麼大事嗎？是TWCA憑證爆炸日！」近期包括多家電商、金融機構出現資安問題，今（5）日又出現多家公司推播訊息要求用戶「更新APP」，導致各界恐慌是否出現大規模駭客事件，金管會和數發部連忙跳出來解釋，是台灣網路認證公司（TWCA）所核發的部分憑證中「序號隨機亂數長度」需要更新，改完就沒問題，但多位軟體工程師抱怨，這整件事都非常荒謬，先前已出事過，卻只粉飾太平，包括最近的資安事件已門戶大開，未來還有多個未爆彈。
國際社群Bugzilla於10月30日通報，TWCA核發的部分憑證中，序號長度不夠，隱含資安疑慮，要求TWCA更新，否則會無法正常進行連線作業。
TWCA官網今日刊登「TWCA SSL憑證更新進度暨憑證廢止公告」，表示已於11月1日晚間完成網站憑證客戶的電子郵件通知作業，提供更新所需資訊及新憑證鏈，協助客戶換發與部署，11月6日零時起，網站憑證序號未符合亂數規範要求的憑證，會進行廢止作業。也就是說，留給業者的處理時間只有4個工作日。
數發部表示，本次事件共涉及962個政府機關、9,772張網站憑證，若相關網站未於6日前完成憑證更新，民眾瀏覽網頁時，會出現安全性警示訊息，截至今日下午5點前，憑證更新進度已達85%。
金管會資訊服務處副處長王明德表示，金融機構共向TWCA申請4,190筆憑證，如果金融機構完成憑證更新，網站即可正常連線，但APP仍需民眾自行更新後才能使用。
有媒體追問金管會，為何TWCA這麼晚才通知，且馬上就要在「11月6日」失效，王明德表示，非職權部分不代為回答。
但其實在資訊圈，前兩天就已經炸開，多位軟體工作者都在網路上抱怨最近在加班憑證一事，明明憑證格式與規範的落差長期存在，一般來說會提早90天告知，但這次卻是在外部通報時才被發現。
資安專家表示，這源於去年中華電信所簽發的TLS（傳輸層安全）網站憑證遭Google撤銷信任，導致國際信任崩壞，儘管政府找來TWCA接手，從「備援」變核心憑證提供者，但這次TWCA卻也沒有被提早通知，拖到最後一刻才「被別人告知」。
印度憑證機構eMudhra才剛發生8張中繼CA，被研究者發現金鑰生成存在亂數缺陷，被廢止所有受影響的中繼憑證，Mozilla、Chrome、Apple 與 Microsoft於10月21日全面撤銷對其根憑證的信任，eMudhra隨後宣布退出全球公開TLS業務。
接下來就出現台灣TWCA的序號問題，Bugzilla上已有其他研究者留言，表示正在檢視 TWCA，雖然嚴重程度不同，但很明顯面子掛不住。也有軟體開發者提到，中繼憑證過去很少會被提及，但當初到底為什麼不使用早就成熟的系統，只有鬼才知道。
國民黨立委葛如鈞其實在2日就在臉書提到此事，但當時沒受到太多關注。他說，去年5月30日，Google宣布Chrome自8月起，不再預設信任中華電信在特定根憑證體系下新簽發的網站憑證，當時數發部信誓旦旦，說已經「超前部署」雙憑證機制，請民眾「無須擔憂」，但他7月時實際測試政府網站，發現雙憑證自動切換根本沒有落實。
中華電信當時承諾要力拚今年3月底前重新取得Google Chrome的預設信任，但目前仍未看到新進度，而接手的TWCA「未符合國際規範至少64位元的要求」，該國際規範早在2016年9月就已生效。
葛如鈞表示，去年才經歷過一次信任危機，為什麼今年還在擔心同樣的服務中斷問題？且違規多年未被及時發現，稽核機制形同虛設？這次不是TWCA主動揭露，而是外部研究人員發現，部分年度WebTrust稽核報告已列出這些憑證序號，卻未見相關缺失獲得及時糾正，審計部在今年8月才指出，數發部與TWCA的新合約已納入國際合規要求、罰則及機關主動稽核權利，所以究竟有沒有查？查了，又為什麼沒發現？
葛如鈞表示，建議政府立即盤點受影響的政府機關、重要公共服務、官股企業與跨機關 API，建立跨CA備援，避免單點故障，推動短效憑證與自動化管理，以及強化技術稽核，追究履約責任，善用先進AI，建立主動資安防禦。
相關文章
