（中央社記者趙敏雅台北2日電）數發部今天表示，10月30日接獲通報，台灣網路認證公司（TWCA）核發的部分憑證中「序號隨機亂數長度」，未達國際標準規範64 bits以上密碼學安全亂數要求，已要求業者於2日內產製符合規定的新憑證，也呼籲各機關儘速更新。另將針對違約情事進行調查，依約罰款及求償。
數發部晚間發布新聞稿說明，國際社群Bugzilla於10月30日通報，TWCA所核發的部分憑證中「序號隨機亂數長度（Serial Number Entropy）」，未達國際標準規範64 bits以上密碼學安全亂數要求。TWCA雖將憑證序號長度設計為128 bits，但實際僅首尾各12 bits為有效隨機數、中間皆填補為定值，實際隨機亂數僅24 bits。
數發部表示，10月30日接獲通報後，已立即要求業者於2日內產製符合規定的新憑證，並同步啟動跨機關聯繫通知作業，加速各機關完成憑證更換，避免影響網站正常瀏覽。
數發部說明，TLS憑證用於建立安全通訊，TWCA所核發的網站TLS憑證，除了提供民間作為網站憑證之外，也經由數發部採購提供各政府機關申請使用。經盤點，這次事件共涉及962個政府機關、9772張網站憑證，若相關網站未於11月6日前完成憑證更新，民眾瀏覽時可能出現安全性警示訊息。
數發部指出，TWCA已於11月1日完成政府機關9772張TLS憑證重新產製，新憑證符合國際標準所要求的序號隨機亂數長度。同時，透過主動補發機制，由系統直接以電子郵件將新憑證檔寄送予原申請機關承辦人。
數發部表示，同步啟動資訊主管聯繫機制，請各機關資訊主管協助督促並啟動更新憑證作業，截至11月2日晚間，已有926張憑證完成更新，數發部將持續追蹤，確保所有機關儘速完成更新。
數發部說明，雖然此事目前未造成具體資安危害，仍呼籲各機關及其他TWCA憑證的使用者，儘速於11月6日前完成憑證更新作業，避免影響網站正常瀏覽。
數發部表示，為進一步確保憑證服務安全，已委託獨立第三方專業機構，後續針對TWCA進行深入檢測，全面檢視相關憑證產製及管理機制，並將依檢測結果要求TWCA改善，確保憑證的服務合規與安全，另將針對違約情事進行調查，並依約罰款及求償。（編輯：陳正健）1151102
评论 (0)