台灣數位發展部（數發部）11月2日公布，台灣網路認證公司（TWCA）核發的部分網站TLS憑證未符合國際安全規範，涉及962個政府機關、9772張網站憑證。數發部要求相關機關於2026年11月6日前完成憑證更新，否則民眾瀏覽部分政府網站時，可能出現瀏覽器安全性警示。
這起事件於10月30日經國際社群Bugzilla通報後引發關注。數發部已要求TWCA重新產製符合標準的憑證，並啟動跨機關通知機制。根據官方公布的進度，截至11月2日晚間，已有926張憑證完成更新。換發工作已經展開，但政府機關的網站端部署仍須持續追蹤。
128位元憑證序號實際只有24位元亂數
根據數發部公告，問題出在憑證序號的隨機性，而非序號表面上的長度。TWCA部分憑證雖然採用128位元（bits）的序號設計，但實際上只有序號首尾各12位元具備有效隨機性，中間部分則填入固定值，因此真正的密碼學安全亂數僅有24位元。
Mozilla Bugzilla的公開事件紀錄指出，這項缺失涉及公開信任憑證的合規要求。CA／Browser Forum（CAB Forum）自2016年9月30日起，要求相關憑證序號至少包含64位元由密碼學安全偽隨機數產生器（CSPRNG）產生的輸出。
這項規範主要是降低憑證序號可預測性與碰撞風險。憑證序號是憑證識別機制的重要組成部分，隨機性不足可能削弱憑證管理與安全性保障。這次事件的核心在於憑證產製機制未符合國際標準，不能單憑序號長度判斷安全性。
數發部表示，這次受影響的TLS憑證除了供民間網站使用，也由政府採購提供各機關申請。官方已要求TWCA重新產製符合規範的憑證，並委託獨立第三方專業機構進行後續檢測。數發部官方公告與Mozilla Bugzilla事件紀錄均指出，相關憑證的亂數規格需要改善。
9772張新憑證已產製，網站更新仍是關鍵
數發部於10月30日接獲通報後，立即要求TWCA在兩日內完成符合規定的新憑證產製。TWCA已於11月1日完成政府機關所需的9772張TLS憑證重新產製，並透過電子郵件將新憑證寄送給原申請機關的承辦人員。
不過，重新產製憑證不等於所有網站已完成更新。各機關仍須將新憑證部署至網站伺服器，並完成必要的連線測試。數發部截至11月2日晚間公布的926張更新數量，反映的是已完成更換的憑證，而非已寄送或重新產製的總數。
根據中央社11月2日報導，若受影響網站未能在11月6日前完成更新，民眾瀏覽時可能遇到安全性警示訊息。這類警示可能影響使用者對網站的信任，也可能造成政府線上服務的使用障礙。
TWCA則於11月2日發布說明，表示已啟動網站憑證升級及更新作業，協助政府機關、金融機構與企業客戶完成憑證更換。該公司指出，此次調整是為符合國際憑證管理規範，並非因網站遭到入侵或憑證私鑰外洩所引發。TWCA官方說明亦提及相關更新時程。
數發部啟動第三方檢測，後續將調查違約責任
數發部表示，目前尚未發現這次事件造成具體資安危害，但仍要求各機關及其他TWCA憑證使用者儘速完成更新。官方將持續聯繫各機關資訊主管，督促網站端完成部署，避免因未及時換證而影響正常瀏覽。
除了換發憑證，數發部也已委託獨立第三方專業機構，全面檢視TWCA的憑證產製及管理機制。檢測結果將作為後續改善要求的依據，數發部並將針對相關違約情事進行調查，依契約規定採取罰款及求償措施。
從這起事件來看，憑證安全不僅取決於加密技術，也涉及憑證產製流程、合規審查及供應商管理。對政府機關而言，取得符合標準的憑證只是第一步，確保新憑證正確部署、網站連線正常，才是完成安全更新的必要條件。
目前最明確的後續時程是2026年11月6日。數發部要求受影響政府機關在期限前完成網站憑證更新，第三方檢測與TWCA違約調查則將持續進行。
資料來源：數位發展部、中央社、Mozilla Bugzilla、台灣網路認證公司（TWCA）。
