Google 近日宣布，自 2025 年 8 月起，將在 Chrome 瀏覽器中取消對中華電信與匈牙利憑證機構 Netlock 所簽發憑證的預設信任，此變更將適用於 Windows、macOS、ChromeOS、Android 與 Linux 平台的 Chrome 139 版本以上。Google 強調，這項措施是為了維護使用者安全與憑證體系的整體信任基礎。
據 Google 官方說明，中華電信與 Netlock 過去一年內被觀察到有多次合規失誤與未能履行改進承諾的紀錄，缺乏持續且具體的改善進展，導致其做為公開受信任憑證簽發機構（CA）的資格遭到質疑。為此，Google 根據其 Chrome 根憑證政策決定，撤除對這兩家機構新簽發憑證的預設信任。
8 月起新憑證不再被信任，舊憑證暫不受影響
自 2025 年 7 月 31 日 23:59:59（UTC）之後所簽發、並由以下根憑證鏈結而來的 TLS 憑證，將不再被 Chrome 預設信任：
- Chunghwa Telecom ePKI Root Certification Authority
- Chunghwa Telecom HiPKI Root CA – G1
- NetLock Arany (Class Gold) Root Certificate
對於 7 月底前簽發的憑證則不受影響；網站仍可正常運作，使用者不會看到安全性警告。
Google 強調，企業或個人若透過系統設定明確信任上述憑證（例如透過 Windows 群組原則手動安裝），仍可繼續使用這些憑證，不受預設限制影響。
Google 建議使用中華電信或 Netlock 憑證的網站營運商，儘速轉換至其他公開受信任的憑證機構，並於目前憑證到期前完成切換。雖然仍可於封鎖前申請新憑證延後影響，但長期仍須更換 CA，以確保網站正常運作與用戶瀏覽體驗不受干擾。
網站營運商可透過 Chrome 憑證檢視工具確認自身網站是否受影響，只要憑證簽發單位欄位中出現「Chunghwa Telecom」、「行政院」、「NETLOCK Ltd.」或「NETLOCK Kft.」，即須採取行動。
非針對特定國家
Google 表示，憑證機構在網際網路安全中扮演關鍵角色，必須遵守國際共識標準（如 CA/Browser Forum 所訂定的 TLS 基準要求）。Chrome 根憑證庫的管理原則是確保每一位使用者連線安全不受破壞，此次決策為「基於綜合考量的信任撤除」，並非針對特定國家或地區。
Google 亦指出，未來將持續審查其他憑證機構的表現，並保留針對不符合信任標準之機構採取相同行動的權利。
中華電信：發行之憑證安全無虞
對於 Google 官方部落格的公告，中華電信也做出回應：
中華電信經營及其受委託營運的公開服務的憑證管理中心，完全遵守且符合電子簽章法的規範，並皆通過 WebTrust for CA 及 ISO 27001 等國際標準外部稽核與驗證，所提供的數位簽章都具有法律效力，請所有客戶及使用者安心。
此次 Google Chrome 發布自 Chrome 139 版起將移除預設信任中華電信於 2025 年 7 月 31 日後簽發的新憑證，原因是部分程序未能在 Chrome 新政策要求的時限內調整完成，雖日前中華電信已完成所有調整且全數符合 Chrome 新政策要求，遺憾的是，Google Chrome 仍決定先移除預設信任，移除的原因絕非是因憑證存在漏洞或私鑰洩漏，中華電信仍會積極爭取 Chrome 的預設信任，並預期在 2026 年 3 月完成。
中華電信表示，所有於 2025 年 7 月 31 日之前發行的憑證均不受影響；2025 年 7 月 31 日之後發行的憑證，受影響範圍限於用於 Chrome 瀏覽器時，至於使用微軟、蘋果等其他瀏覽器，則完全不受影響。
中華電信強調，因中華電信簽發的憑證完全合法合規，故客戶持憑證在政府、金融、證券、數位簽章等應用時，皆維持正常使用，不受任何影響，敬請民眾放心。
（首圖來源：中華電信粉絲團）
科技新報粉絲團
加入好友
訂閱免費電子報
