TWCA 中繼憑證序號熵不足遭外部通報，11 月 6 日前須完成換證，政府 9,772 張網站憑證受影響

憑證機構 TWCA（臺灣網路認證）日前發布 TWCA SSL更換憑證公告，表示依 CA/Browser Forum 國際規範要求調整中繼憑證規格，以新中繼憑證重新簽署用戶憑證，原中繼憑證須於 2026 年 11 月 6 日 00:00 前廢止。公告措辭看似例行，實際起因是前一天 Mozilla Bugzilla 上的一份外部通報，指出 TWCA 核發的 CA 憑證序號隨機性遠低於規範要求。這並非瀏覽器撤銷對 TWCA 的信任，也沒有金鑰外洩，而是一起必須在 7 天內處理完畢的合規事件，所有採用 TWCA 憑證的網站維運者都必須在期限前完成換證，否則使用 TWCA 憑證的網站會直接驗證失敗。

事件起因，外部研究者在 Bugzilla 提出序號結構問題

2026 年 10 月 30 日，研究者 Prasanth Sundararajan 與 Dr. Angelique Faye Loe 在 Mozilla Bugzilla 提出 Bug 2087236，指出 TWCA 以公開信任根金鑰簽發的 CA 憑證，序號採固定結構，其中看起來隨機的部分最多只有 24 位元。CA/Browser Forum Baseline Requirements（BR）自 2016 年 9 月 30 日起即要求憑證序號須為非連續、大於零，且含至少 64 位元來自密碼學安全亂數產生器（CSPRNG）的輸出。研究者查核了 73 個 BR 版本，確認這項要求從未間斷。

研究者解析出的 16 位元組序號結構為「40 | 年月日 | 12 個零 | 2 位元組計數器 | 3 位元組亂數」。以序號 400134b04f0000000000000004aa7b0a 為例，0134b04f 是憑證 notBefore 日期 2023 年 2 月 23 日，0004 是計數器，只有最後的 aa7b0a 這 24 位元看起來隨機。研究者在 24 張可透過簽章驗證歸屬於 TWCA 根金鑰的 CA 憑證中全部發現此結構，簽發時間從 2011 年 6 月橫跨到 2024 年 9 月。其中 10 張仍有效未廢止，包含 6 張簽發 TLS 憑證的中繼 CA、2 張交叉憑證與 2 張 S/MIME CA，另有 TWCA CYBER Root CA 與 TWCA Global Root CA G2 兩張自簽根憑證也是同樣結構。

研究者同時明確界定了影響範圍。報告指出沒有金鑰外洩、憑證濫用或任何遭利用的證據，序號過短本身並不足以在 SHA-256 簽章下偽造憑證。TWCA 的用戶憑證（subscriber certificates）採用不同的序號格式，128 個位元位置中有 90 個會變動，研究者對用戶憑證並未提出問題。

研究者另指出，TWCA 曾於 2021 年 11 月在 dev-security-policy 聲明序號末 8 位元組由 HSM 隨機產生、符合 64 位元要求，但那是針對用戶憑證的說明，CA 憑證並未採用該格式。同樣的序號結構在 2011 年與 2024 年簽發的 CA 憑證中都存在，顯示 CA 憑證的序號產生方式在規範生效後並未改變。

TWCA 已在 Bugzilla 承認此事件並展開調查，承諾於 2026 年 11 月 12 日前提出完整事件報告。

數發部新聞稿描述 TWCA 序號設計為 128 位元，實際只有首尾各 12 位元為有效隨機數，中間皆為定值，這與研究者描述的「末 3 位元組為亂數」不完全一致。本文以 Bugzilla 原始報告為準。

為何必須在 7 天內廢止中繼憑證

研究者在報告中引用 BR 第 4.9.1.2 條第 5 項，次級 CA 憑證若未依 BR 或 CP/CPS 核發，憑證機構必須在 7 天內廢止。這解釋了 TWCA 10 月 31 日公告為何將期限訂在 11 月 6 日 00:00。

TWCA 公告的四項說明分別是，依國際規範調整中繼憑證規格並以新中繼憑證重新簽署用戶憑證，原中繼憑證須於期限前廢止，此次以原金鑰重新核發、收到新憑證後直接安裝即可，以及因更換憑證鏈、安裝時務必包含完整憑證鏈。

這與一般的憑證鏈升級不同。這次是中繼 CA 憑證本身將被廢止，任何仍鏈到舊中繼憑證的站台，在廢止後會直接驗證失敗，而非只是可能出現警告。對外提供 API 的服務、綁定憑證鏈的行動 APP、以及未納入自動化更新流程的舊系統，風險最高。

政府機關受影響規模與數發部的處置

TWCA 核發的網站 TLS 憑證除了提供民間使用，也經由數發部採購提供各政府機關申請。數發部盤點，此事件共涉及 962 個政府機關、9,772 張網站憑證，若未在 11 月 6 日前完成更新，民眾瀏覽時可能出現安全性警示訊息。

數發部表示 10 月 30 日接獲通報後，已要求 TWCA 於 2 日內產製符合規定的新憑證。TWCA 已於 11 月 1 日完成這 9,772 張 TLS 憑證的重新產製，並由系統以電子郵件將新憑證檔寄給原申請機關承辦人。截至 11 月 2 日晚間，已有 926 張憑證完成更新，數發部將持續追蹤。

數發部說明此事目前未造成具體資安危害，但已委託獨立第三方專業機構對 TWCA 進行深入檢測，全面檢視憑證產製及管理機制，並將針對違約情事進行調查，依約罰款及求償。

2026 年第二起、近三年第三起同類合規事件

CyberQ 分析，這次序號事件並非孤立個案，TWCA 近三年已有三起與憑證格式不符規範有關的 Bugzilla 事件。

第一起在 2024 年 3 月。TWCA 於 2024 年 3 月 13 日通報 Bug 1885132，TLS 憑證的 basicConstraints 延伸欄位未標記為 critical。TWCA 同日發布的 SSL更換憑證公告標題與這次幾乎相同，內容是將 Basic Constraints 屬性由 non-critical 改為 critical，原憑證須於規定日期前廢止。事後 TWCA 於 2024 年 6 月將 pkilint 納入簽發前檢查。

第二起在 2026 年 10 月 9 日。TWCA 收到第三方通報，OCSP 回應者憑證同樣含有未標記 critical 的 basicConstraints 延伸欄位，違反 TLS BR 第 7.1.2.8.2 條，詳見 Bug 2080273。TWCA 盤點後發現自 2012 年開始提供 OCSP 服務以來，所有 OCSP 回應者憑證都是這樣設定，共 26 張受影響，其中 11 張仍有效，已於 10 月 14 日全數換發。此事件僅涉及 OCSP 回應者憑證，TLS 用戶憑證的簽發並未暫停。

OCSP 事件的根因分析揭露了更深層的問題。TWCA 自承在 2024 年事件後，以及 2026 年 4 月評估 CFCA 類似事件時，兩度把 linting 工具通過當作合規依據，而未逐條對照規範檢查，但當時 pkilint 並未涵蓋 OCSP 回應者憑證延伸欄位 criticality 的檢查。TWCA 承諾在 2026 年 11 月 30 日前開發一套三方比對工具，將 BR 要求、CP/CPS 揭露內容與實際簽發的憑證逐項比對，並已向 pkilint 專案提交 Issue #209 與 Pull Request #210。

第三起就是本次的序號事件。三起事件的共同點是憑證格式與規範的落差長期存在，直到外部通報才被發現。

同時期的 Web PKI 背景

2026 年 10 月，印度憑證機構 eMudhra（emSign）的 8 張中繼 CA 被研究者發現金鑰生成存在亂數缺陷，私鑰可直接從公開憑證推算出來。eMudhra 於 10 月 18 日廢止所有受影響中繼憑證，Mozilla、Chrome、Apple 與 Microsoft 於 10 月 21 日全面撤銷對其根憑證的信任，eMudhra 隨後宣布退出全球公開 TLS 業務。

TWCA 的序號問題在時間上緊接其後，Bugzilla 上也有其他研究者留言表示正在檢視 TWCA，但兩者是否有直接關聯，公開資料未明確說明。兩起事件的性質也必須區分。eMudhra 是私鑰可被推算的實質安全事故，TWCA 則是序號熵不足的合規違規，研究者明確表示沒有偽造或濫用的證據，嚴重程度不同。

維運者應採取的因應動作

採用 TWCA 憑證的網站維運者，應在 11 月 6 日 00:00 前完成以下動作。

第一，確認站台目前使用的中繼憑證是否在受影響清單中。Bugzilla 報告列出的 6 張有效 TLS 中繼 CA 分別是 TWCA SSL Certification Authority（2023 年 2 月 23 日與 2024 年 9 月 6 日簽發）、TWCA EVSSL Certification Authority（同兩個日期）、以及 TWCA Secure SSL Certification Authority（2023 年 8 月 18 日與 2023 年 10 月 16 日簽發）。可用 openssl s_client 連線站台後比對中繼憑證的 SHA-256 指紋。

第二，安裝 TWCA 派送的新憑證時，務必連同完整憑證鏈一併安裝。TWCA 公告特別強調此點，只換站台憑證而未更新中繼憑證，廢止後仍會驗證失敗。

第三，檢查是否有 APP 或主機端綁定了憑證鏈（certificate pinning）。TWCA 在 2025 年 7 月與 2026 年 5 月兩次憑證鏈更新公告中都反覆提醒，有綁定需求者必須提早佈署新憑證鏈並安排更新，這次的時程更短，風險更高。

第四，在測試環境先行驗證，確認各類瀏覽器、API 用戶端與行動裝置都能正常建立連線，再上線正式環境。

第五，對仰賴大量對外服務的企業而言，建立憑證盤點清單、自動化更新機制與跨憑證機構的備援方案，是避免單一 CA 事件造成全面中斷的長期做法。

合規體質比單次公告更值得關注

TWCA 作為台灣主要的公開信任憑證機構，同時承接政府機關的 TLS 憑證採購，其合規狀態直接影響數百個政府網站與大量民間服務。這次事件沒有造成實質安全危害，但從 2024 年至今三起同類事件來看，問題出在憑證格式的長期檢查機制，而非單一設定錯誤。TWCA 承諾的三方比對工具與數發部委託的第三方檢測結果，以及 11 月 12 日前應提出的完整事件報告，將是後續觀察的重點。