962個政府機關憑證不符標準　數發部呼籲：11／6前須換證

為什麼網站會跳警示？問題出在安全憑證

這次事件的關鍵，是網站用來建立安全通訊的TLS憑證。數發部說明，國際社群Bugzilla於10月30日通報，TWCA核發的部分憑證，其「序號隨機亂數長度」未達國際標準要求的64 bits以上。

TWCA雖將憑證序號設計為128 bits，但實際只有開頭、結尾各12 bits是有效隨機數，中間皆填入固定值，實際隨機亂數只有24 bits。也就是說，序號看起來夠長，實際隨機性卻沒有達標。

TWCA核發的網站憑證除了供民間使用，也經由數發部採購，提供各政府機關申請。經盤點，此次共涉及962個政府機關、9,772張網站憑證。

11月6日前要換好！新憑證寄出不等於更新完成

數發部於10月30日接獲通報後，立即要求TWCA在兩日內產製符合規範的新憑證，並同步啟動跨機關通知，加速更換作業。

TWCA已於11月1日完成政府機關9,772張TLS憑證重新產製，新憑證符合國際標準，並由系統直接透過電子郵件，將檔案寄送給原申請機關承辦人。

不過，新憑證寄到信箱，還得由各機關完成網站端更新，才算處理完畢。截至11月2日晚間，已有926張完成更新。數發部也已聯繫各機關資訊主管，要求協助督促，避免錯過11月6日前的更新期限，影響民眾正常瀏覽網站。

目前未造成具體資安危害　數發部將查違約、求償

網站憑證出問題，是否代表網站已遭駭？依數發部說明，此次事件目前尚未造成具體資安危害，但仍呼籲各機關及其他使用TWCA憑證的使用者，儘速於11月6日前完成更新，避免瀏覽時出現安全性警示訊息。

除了要求換發憑證，數發部已委託獨立第三方專業機構，後續將深入檢測TWCA，全面檢視憑證產製與管理機制，並依結果要求改善。另外，也將針對違約情事展開調查，依約罰款及求償。