整理／鄭宜芬
國際社群 Bugzilla 於 10 月 30 日通報，臺灣網路認證公司（TWCA）所核發的部分憑證中的「序號隨機亂數長度（Serial Number Entropy）」，未達國際標準規範 64 bits 以上密碼學安全亂數要求。TWCA 雖將憑證序號長度設計為128 bits，但實際僅首尾各 12 bits 為有效隨機數、中間皆填補為定值，實際隨機亂數僅 24 bits。數位發展部立即要求業者於兩日內產製符合規定的新憑證，並同步啟動跨機關聯繫通知作業，加速各機關完成憑證更換，避免影響網站正常瀏覽。
[ 加入 CIO Taiwan 官方 LINE、Facebook 與 LinkedIn，與全球 CIO 同步獲取精華見解 ]
數發部說明，TLS 憑證（Transport Layer Security Certificate）用於建立安全通訊，TWCA 所核發的網站 TLS 憑證，除了提供個民間作為網站憑證之外，也經由數發部採購提供各政府機關申請使用。經盤點，此次事件共涉及 962 個政府機關、9,772 張網站憑證，若相關網站未於 11 月 6 日前完成憑證更新，瀏覽時可能出現安全性警示訊息。
在數發部要求之下，TWCA 已於 11 月 1 日完成政府機關 9,772 張 TLS 憑證重新產製，新憑證符合國際標準所要求的序號隨機亂數長度。並透過主動補發機制，由系統直接以電子郵件將新憑證檔寄送予原申請機關承辦人。數發部同步啟動資訊主管聯繫機制，請各機關資訊主管協助督促並啟動更新憑證作業。截至 11月 2 日晚間，已有 926 張憑證完成更新。數發部表示，將持續追蹤，確保所有機關盡速完成更新。
數發部表示，雖然此事目前並未造成具體資安危害，仍籲請各機關及其他 TWCA憑證的使用者，盡速於 11 月 6 日前完成憑證更新作業，避免影響網站正常瀏覽。為進一步確保憑證服務安全，數發部已委託獨立第三方專業機構，後續針對 TWCA 進行深入檢測，全面檢視相關憑證產製及管理機制，並將依檢測結果要求 TWCA 改善，確保憑證的服務合規與安全。另將針對違約情事進行調查，並依約罰款及求償。
(本文授權非營利轉載，請註明出處：CIO Taiwan)
