台灣網路認證機構TWCA憑證亂數長度不足 兩日內必換新以防安全風險

數位發展部於10月30日接獲通報，指出台灣網路認證公司（TWCA）所核發之部分憑證，其「序號隨機亂數長度」未達國際標準之64位元以上密碼學安全亂數要求。此舉揭露了憑證產製過程中隨機數生成機制的漏洞，可能降低憑證之抗破解能力，對整體網路安全構成潛在風險。數位發展部隨即要求TWCA於兩日內完成符合規定之新憑證產製，並呼籲各機關儘速更新使用，以免因舊憑證被利用而造成安全事件。

TWCA作為台灣主要的網路認證機構，負責發行數位憑證以確保網路交易、電子簽章與身分驗證之安全。根據國際通行的TLS/SSL憑證標準，序號隨機亂數必須具備足夠的熵值，64位元以上為最低安全門檻，能確保序號不可被預測或重複。若序號長度不足，攻擊者可透過暴力破解或重複利用相同序號，進而冒充合法憑證，對金融交易、政府資料交換等關鍵領域造成嚴重威脅。

為確保合規與追究責任，數位發展部已啟動違約調查程序。調查將針對TWCA在憑證產製過程中之違規行為，並依約定條款處以罰款及賠償。此舉不僅彰顯政府對網路安全的重視，也為業界樹立嚴格的合規標準。若調查結果顯示TWCA有重大疏失，相關罰金可能達數百萬新台幣，並要求其公開改進計畫，以恢復公眾信任。

對於金融機構、電商平台與各級政府機關而言，憑證安全是維持交易正當性與資訊保密的基礎。若使用舊憑證，將面臨資料外洩、交易被攔截或身份冒充等風險。許多銀行與證券公司已在內部資訊安全系統中設置自動更新機制，須即時將TWCA新憑證納入使用，避免因憑證失效造成服務中斷。此事件亦提醒企業加強對憑證供應鏈的風險評估，避免單一供應商之技術缺陷影響整體業務。

從宏觀層面看，台灣正積極推動「數位經濟」與「智慧城市」發展，網路安全成為核心基礎設施之一。此類事件若被外部攻擊者利用，可能削弱國家對數位基礎設施的信任，進而影響投資者對台灣科技產業的評價。政府透過強化憑證安全與監管，顯示其對維護國家網路安全與推動數位轉型的決心，也為國際投資者提供更穩定的營商環境。

(事實來源:中央社)