中央消息

（中央社记者 赵敏雅 台北2日电）数发部今天表示，10月30日接获通报，台湾网络认证公司（TWCA）核发的部分凭证中「序号随机乱数长度」，未达国际标准规范64 bits以上密码学安全乱数要求，已要求业者于2日内产制符合规定的新凭证，也呼吁各机关尽速更新。另将针对违约情事进行调查，依约罚款及求偿。

数发部晚间发布新闻稿说明，国际社群Bugzilla于10月30日通报，TWCA所核发的部分凭证中「序号随机乱数长度（Serial Number Entropy）」，未达国际标准规范64 bits以上密码学安全乱数要求。TWCA虽将凭证序号长度设计为128 bits，但实际仅首尾各12 bits为有效随机数、中间皆填补为定值，实际随机乱数仅24 bits。

数发部表示，10月30日接获通报后，已立即要求业者于2日内产制符合规定的新凭证，并同步启动跨机关联系通知作业，加速各机关完成凭证更换，避免影响网站正常浏览。

数发部说明，TLS凭证用于创建安全通信，TWCA所核发的网站TLS凭证，除了提供民间作为网站凭证之外，也经由数发部采购提供各政府机关申请使用。经盘点，这次事件共涉及962个政府机关、9772张网站凭证，若相关网站未于11月6日前完成凭证更新，民众浏览时可能出现安全性警示消息。

数发部指出，TWCA已于11月1日完成政府机关9772张TLS凭证重新产制，新凭证符合国际标准所要求的序号随机乱数长度。同时，通过主动补发机制，由系统直接以电子邮件将新凭证档寄送予原申请机关承办人。

数发部表示，同步启动信息主管联系机制，请各机关信息主管协助督促并启动更新凭证作业，截至11月2日晚间，已有926张凭证完成更新，数发部将持续追踪，确保所有机关尽速完成更新。

数发部说明，虽然此事目前未造成具体资安危害，仍呼吁各机关及其他TWCA凭证的用户，尽速于11月6日前完成凭证更新作业，避免影响网站正常浏览。

数发部表示，为进一步确保凭证服务安全，已委托独立第三方专业机构，后续针对TWCA进行深入检测，全面查看相关凭证产制及管理机制，并将依检测结果要求TWCA改善，确保凭证的服务合规与安全，另将针对违约情事进行调查，并依约罚款及求偿。（编辑：陈正健）1151102

选择与事实站在一起，您的每一份赞助，都是守护新闻自由的力量

下载中央社「一手新闻」APP，即时掌握最新消息

本网站之文本、图片及影音，非经授权，不得转载、公开播送或公开传输及利用。