（媒角抵加／林承志綜合報導）台灣網路認證公司（TWCA）部分憑證規格不符國際標準，舊中繼憑證須在11月6日零時前廢止。數位發展部盤點涉及962個政府機關、9,772張網站憑證，截至11月2日晚間已有926張完成更新。尚未換妥的網站可能出現瀏覽器安全警示；民眾遇到警示時，可先停止輸入帳密或個資，透過機關官方客服確認並稍後再試。

關鍵資訊

  • 更換期限：TWCA公告，原中繼憑證須於2026年11月6日零時前廢止，使用者須在此之前完成更換。
  • 政府範圍：數發部盤點涉及962個機關、9,772張網站憑證；張數不等於網站數。
  • 更新進度：截至11月2日晚間，926張已更新；其餘進度以後續公告為準。
  • 民眾遇警示：先停下登入或填資料，記下網址及錯誤畫面，透過官方管道聯絡網站管理單位。

為何要換？國際通報指出憑證序號隨機性不足

事件起於10月30日的國際通報。外部研究人員在Mozilla Bugzilla通報指出，TWCA部分憑證機構憑證的序號結構中，隨機部分最多約24位元，未達相關規範要求至少64位元密碼學安全亂數輸出。通報者表示，沒有發現金鑰遭洩漏、憑證遭濫用或漏洞遭利用的證據。

網站透過TLS憑證協助瀏覽器確認連線對象，並建立加密連線。憑證之間還有用來建立信任關係的「憑證鏈」；TWCA公告指出，公司將調整中繼憑證，以新中繼憑證重新簽署客戶憑證，舊中繼憑證必須在期限前廢止。

哪些網站受影響？政府和民間網站都可能需要換證

數發部11月2日公告說明，TWCA網站憑證除供民間使用，也由數發部採購提供政府機關申請。這次政府盤點涉及962個機關、9,772張網站憑證；公告未逐一列出受影響網址，也沒有公布本次民間客戶的完整網站數量。實際是否出現警示，取決於各站使用的憑證鏈、更新情況及瀏覽器等條件。

數發部表示，11月1日已完成上述政府憑證的重新產製，並將新憑證檔以電子郵件寄給原申請機關承辦人。截至11月2日晚間，已有926張完成更新，約占9.5%；換句話說，產出新憑證後，各網站管理單位仍要完成安裝與檢查。

數發部表示，目前未造成具體資安危害，並已委託獨立第三方檢視TWCA憑證產製及管理機制，同時調查是否有違約情形，後續依調查結果及契約辦理。

遇到網站安全警示時先暫停輸入資料並查證；AI生成情境示意。

網頁跳出安全警示，民眾怎麼做？

如果瀏覽器顯示連線不安全或憑證異常，先不要在該頁登入，也不要輸入身分證字號、信用卡資料或驗證碼。先確認網址是否正確，並記下警示內容，透過自己查得的機關電話、客服或其他既有正式管道確認；若網站正進行更新，可稍後重新連線。

Google Chrome說明指出，瀏覽器偵測到安全疑慮時會顯示警示。類似訊息也可能來自網站、網路或裝置的其他問題，不能只憑警示畫面就認定與本次TWCA換證有關。若涉及急辦業務，可向該機關詢問其他官方辦理方式。

這次換證的主要作業由網站管理者處理。一般民眾不需要因本事件自行下載或安裝來路不明的憑證；若收到要求點擊連結、安裝程式或提供帳密的通知，應先向網站或機關以既有官方管道查證。

網站管理者要確認什麼？

TWCA表示，這次憑證以原金鑰重新簽發，收到後由網站管理者安裝，且要一併安裝完整憑證鏈。其憑證鏈更新說明也提醒，有在應用程式或主機綁定憑證鏈的情況應提早安排；新憑證鏈不再支援clientAuth功能。

網站或系統管理者可依TWCA通知確認所屬憑證是否在更換範圍、安排安裝及測試，並留意不同入口、服務或設備的連線狀況。政府機關可由原申請承辦人與資訊單位確認新憑證通知及安裝進度。

資料來源與更新紀錄