Chrome 撤銷中華電信憑證 8/1 生效，影響程度一次看

全球第一大瀏覽器 Google Chrome 宣布 8 月 1 日起撤銷中華電信簽發的傳輸層安全通訊協定憑證，在野黨立委稱為「核彈級數位信任大爆炸」，若無法及時補救，屆時民眾用 Chrome 瀏覽政府網站時可能會看到「不安全」警告，到底此事件影響為何？政府解決之道是什麼？

憑證是什麼？作用為何？

憑證就像網站「身分證」，證明這個網站是真的，不是詐騙網站，可被信任，所以成立網站就必須取得合法憑證。Google瀏覽器會發給網站憑證，但因全世界有好幾億個網站，Google便找了67家認證憑證認證機構（CA）代發，國內有中華電信和台灣網路認證公司（TWCA）做這件事，性質就像「戶政事務所」。

中華電信簽發TLS（Transport Layer Security）憑證是主流安全傳輸協定，取代早期SSL（Secure Sockets Layer）協定，憑證簽發後最少一年有效期。有憑證後就可證明某個網站、伺服器或設備的真實身分，確保你與正確對象互動，而非冒充者；同時也可加密資料，防止傳輸時被竊取或竄改，確保資料安全。

沒有憑證會發生什麼事？

資策會資安所副所長高傳凱受訪時指出，進入沒有安全憑證的網站，瀏覽器會顯示「不安全」警告，一般人看到警示圖應不會想繼續點進去，且對此公司產生不信任，再影響企業經營，「但不是資安問題」。

令人擔憂的是，若有不肖業者想魚目混珠、竊取金融個資，很可能會架設假網頁取代真網頁；或是假裝憑證失效，引導客戶去詐騙網頁重新輸入個資、帳號密碼等，民眾若真以為只是憑證失效，降低戒心，還是繼續進入網站，恐出現危機擴散效應。

中華電信憑證為何遭撤銷？

Google Chrome於5月30日宣布中華電信CA憑證授權單位未能在期限內完成必要措施，導致信任度下降，因此自Chrome 139版起，移除預設信任中華電信今年7月31日後簽發的TLS網站新憑證。

簡單說，Google Chrome會不斷更新憑證基準規範，CA業者需在新規範生效後立即依循落實，但中華電信憑證團隊沒有即時掌握並落實。

中華電信董事長簡志誠解釋，瀏覽器不斷改版，欄位會變更，中華電信團隊對改版敏感度不夠，配合動作沒那麼快，去年多次無法配合，故認為「行為不受信任」，他為此感到抱歉，但也強調「是行為不受信任，並非技術不受信任」。

有何影響？

Google公告，對8月1日後簽發新憑證才有影響，中華電信也承諾取得信任前不會再發憑證；之前由中華電信TLS憑證中心（GTLSCA）簽發的網站憑證一年效期內仍可正常使用。

中華電信指出，目前簽發TLS憑證的網站有萬餘個，政府單位網站有8,000多個、企業商業網站有2,000多個，中華電信已主動聯繫受影響客戶，免費協助憑證更新或轉移至其他受信任的憑證機構，7月底會全數完成。由於新發憑證有效期都是一年，等於明年3月中華電信取得新憑證前都不受影響。

解決之道為何？

數發部指出，3月啟動政府網站「雙憑證」機制，採台灣本土憑證機構、台灣網路認證公司簽發憑證，確保政府網站在各主流瀏覽器皆能安全運作。所以只要是政府網站以gov.tw結尾的網址、或App如健保快易通等，民眾8月1日後都還是能瀏覽，不會有問題。

中華電信董事長簡志誠表示，中華電信已開始申請列入信任清單，最樂觀時程會在明年3月，且「非達目標不可」。總經理林榮賜進一步指出，中華電信也列出八項執行改進，包括暫停簽發新憑證、協助客戶換發憑證、重整CA團隊、成立專責團隊、強化事件應變機制、建立合規監控制度、導入自動化檢查工具，以及重新申請Google信任。