臺灣首度引爆憑證信任危機（一）：中華電信憑證失效，連自家網站的憑證都要跟別人買

近期，中華電信旗下兩個重要的商用憑證（CA），包括「ePKI Root CA」與的「HiPKI Root CA」，遭到全球主要瀏覽器Chrome的公司Google撤銷其兩張根憑證（Root CA）的信任。

Chrome根憑證庫決定啟動SCT時間戳（Signed Certificate Timestamp）條件式撤信機制，在2025年7月底之前，中華電信已簽發的有效憑證可繼續使用至到期，但該公司8月1日之後簽發的TLS憑證，Chrome 139版之後的瀏覽器一律給予不信任處理，中華電信也公開表示，自8月1日將暫停簽發TLS憑證。

這項變更影響Windows、macOS、ChromeOS、Android和Linux等平臺上的Chrome 瀏覽器（iOS 版Chrome因使用Apple的憑證庫而不受影響）。現有的中華電信TLS舊憑證（於今年8月1日期限之前簽發者）在有效期內則暫不受影響，網站仍可正常運作且使用者不會看到警告提示。

對中華電信而言，不僅是該公司商用憑證首次面臨此類重大信任危機，更讓人無言的是，中華電信身為臺灣僅有的兩家憑證管理中心（CA），在此次撤信事件發生後，從今年8月1日，所有中華電信維運的網站、各種網路服務和App等，只要原先使用中華電信自家簽發的TLS憑證到期後，都必須向其他業者購買憑證才行，這也成為業界的笑話。

此外，中華電信簽發的SSL/TLS憑證因廣泛使用在政府機關網站、金融交易平臺、公共服務入口及企業內部系統等。此舉不僅在資訊安全界引起軒然大波，更牽動了政府機關、金融機構、醫療院所乃至廣大企業與終端用戶的數位信任神經。

根據Google security blog公告，Google將在Chrome瀏覽器139版本後，對於中華電信於今年8月1日之後到期的TLS憑證，視為不安全的憑證，中華電信被撤銷信任的兩個商用根憑證中心為：ePKI與HiPKI。

為臺灣的數位信任環境投下震撼彈

對此事件的影響範圍遠超外界想像，表面上，這似乎是一場因憑證過期導致的技術性問題，然而，此事件的核心並非單純的技術層面資安風險，而是中華電信在內部管理、誠信態度與應對問題時所暴露出的深層課題，連帶地逐漸浮現出更深層的數位信任危機、企業韌性挑戰，甚至是國家關鍵基礎設施的治理困境。

KPMG安侯企業管理數位安全顧問服務執行副總經理邱述琛強調，中華電信此次事件雖然在技術面上並沒有太大的資安風險，但是作業面的輕忽和態度上的鬆懈，有時會帶來很大的作業風險。

他表示，這場風波影響的範圍，遠不止表面上的政府網站，而是觸及了金融機構、醫院、交通等眾多仰賴TLS憑證確保網路安全的產業。「更關鍵的是，許多企業和網站主可能尚未意識到潛藏的『延遲性發作』風險，必須等到現有憑證到期時，才發現網站服務因為憑證到期，出現『這是不安全網站』警示或服務中斷的窘境。」他說。

對目前使用中華電信TLS憑證的網站或相關網路應用服務，雖然沒有立即風險，但邱述琛指出，若不注意，不排除部分網站會在明年TLS憑證到期時措手不及，發生延遲性風險的狀況。他認為，這次事件揭示了數位信任機制的重要性，以及維護此信任機制所需付出的努力與代價。

從憑證機制的運作核心，看被撤銷的信任根基

要理解中華電信憑證失效的嚴重性，首先必須了解憑證機制的運作原理。在全球網路世界中，數位憑證扮演著確保網路連線安全與身份驗證的關鍵角色。這個複雜的信任體系主要由三個參與者組成：憑證發行機構（CA）、瀏覽器供應商（Browser），以及廣大的終端用戶（End User）。

首先，關於憑證發行機構（CA），像中華電信憑證管理中心（CA）這樣的機構，其核心職責是發行數位憑證，就像數位世界的「身分證」。這些憑證用於驗證網站、應用程式或其他網路服務的身份，確保使用者連線到的是正確的、值得信任的對象，而非惡意網站或詐騙服務。

只要有網站或網頁相關應用程式需要透過瀏覽器執行，就需要CA簽發的憑證，CA會將憑證發給不同的用戶，涵蓋各種擁有網站或網頁相關應用的實體。

其次，就是各種瀏覽器供應商（Browser），包括 Google、Apple、Mozilla 和微軟等主要瀏覽器供應商等，是終端用戶連接網路世界的「入口」，是這個生態系統中另一個重要的組成部分。

這些業者主要是肩負著保護終端用戶網路安全的重責大任，確保他們所瀏覽的網站是安全、可信賴的。為了實現這一目標，瀏覽器內部必須建立一個「信賴的起源（Trust Root）」機制。

這意味著，瀏覽器會預先在他們的信賴根目錄中，植入那些被認為是「保險且可靠」的CA根憑證。當終端用戶使用瀏覽器連線到某個網站時，瀏覽器會自動檢查該網站所使用的憑證，是否由其信賴根目錄中的CA所發行。

如果網站憑證來自於這個信賴列表中的CA，瀏覽器就會判斷該網站是安全的，並允許用戶正常連線；反之，如果網站的憑證不被信任，瀏覽器就會跳出告警或直接阻擋連線。

最後則是終端用戶（End User），即我們日常使用網路的廣大群眾，作為最終的使用者，高度依賴瀏覽器的信任機制來確保上網安全。當用戶連上一個網站時，瀏覽器會自動檢查該網站的憑證是否由其「信賴的根憑證」所簽發。

如果憑證來自於信賴的根憑證，瀏覽器就會認為該網站是安全的，不會跳出警告；如果網站的憑證不被信任或有問題，瀏覽器就會發出警告，甚至阻止用戶訪問，因為瀏覽器認為手動安裝憑證對大多數使用者來說不安全。

雖然技術上，使用者可以手動安裝不被信任的憑證，但瀏覽器供應商認為，這對大多數使用者而言並非安全的做法，且可能帶來額外的風險。因此，信賴根目錄的存在，正是為了讓使用者無需手動干預，能享受到自動化的安全保障。

邱述琛解釋道，「網路使用者瀏覽網站，必須先開啓瀏覧器，再連結網站，對使用者而言，他們的基本期望就是：瀏覽的網站必須要是真實而且是正確的。」這正是瀏覽器社群，尤其是像Google這樣的業者，對CA有著極高期望與要求的原因，因為他們期待透過與CA合作，共同打造一個使用者友善且安全的數位信任環境。

中華電信被撤銷的兩張憑證：ePKI和HiPKI

根據Netcraft 2025年5月的數據顯示，臺灣的SSL/TLS憑證總數約為39萬6千張；其中，近38萬張為免費的DV（Domain Validation）憑證。

針對企業與組織常使用的OV（Organization Validation）和EV（Extended Validation）憑證，總數約1萬6千張，其分佈則顯示，中華電信的商用憑證佔比約14%，臺灣網路認證公司（TWCA）約佔44%，政府憑證約占22%，其他憑證則佔約20%。這意味著，此次中華電信憑證的信任撤銷，對這些高度依賴付費憑證的關鍵產業和大型組織，衝擊「不小」。

檢視此次中華電信面臨的危機，是其兩張商用的根憑證遭到Google撤銷信任。第一張憑證是：ePKI Root CA，這張是中華電信的商用憑證，而其旗下的次級（下屬）憑證管理中心GTLSCA，則是中華電信接受數位發展部委託，發行政府機關官網TLS憑證的單位；另外第二張憑證則是：HiPKI Root CA，也是中華電信自行營運的商用憑證管理中心。

根憑證（Root CA）是信任的源頭，起初，外界對於中華電信的「商用憑證」ePKI沒問題，但幫政府維運的「次級憑證」GTLSCA卻有問題感到費解，這顯示中華電信內部管理結構、內稽內控都可能存在問題，導致商用根憑證與提供政府服務的次級憑證在管理上脫節。

中華電信代為維運的GTLSCA之前多次爆發問題，早已引發瀏覽器業者不滿，但該公司的相關應對一直沒有妥善因應。而其根憑證管理中心是ePKI Root CA，或許中華電信也心存僥倖的認為，即便ePKI因為GTLSCA出包遭到Google撤信，但該公司還有HiPKI Root CA可以提供憑證使用，問題不大。這也或許是中華電信對其GTLSCA出包的應對，如此敷衍的原因之一。

因此，此次Google直接撤銷中華電信兩張商用根憑證ePKI和HiPKI的信任後，才發現事情超乎預期，最糟糕的情況就是，中華電信所有使用自家簽發憑證的各種網站服務、App等，於今年7月底到期後，只能跟競爭對手臺網購買TLS憑證，或是購買其他全球性憑證替代。

從政府到全民的數位中斷風險，影響範圍的廣度與深度

Google 撤銷信任的理由，直接指向中華電信先前存在的一些「違反合規（non-compliance）」的行為，這不僅是技術上的瑕疵，更關乎CA作為信任中心的「誠信」問題。

此次中華電信憑證被撤銷，其影響絕不僅限於政府部門，而是廣泛波及各行各業，尤其是那些高度依賴網際網路連線與憑證驗證的關鍵領域。

當然，政府部門是最早被影響的單位，因為首當其衝的是，使用由中華電信協助政府維運的CA，提供包括：政府入口網站、教育部、文化局等各種網站服務所需要的TLS憑證，其過往其實都曾發生過憑證過期導致申請資料無法處理、服務中斷的情況。

其次就是其他的關鍵基礎設施等相關產業，像是醫院、金融機構、交通運輸等與民生息息相關的產業，其網站和網頁相關應用可能受到影響。例如，金融機構的 API，若其TLS的憑證過期，可能導致APP登錄異常，會影響金融服務的順暢運作。

另外，受到影響範圍更大的就是大大小小的各種企業用戶，臺灣各行各業都可能使用中華電信的商用TLS憑證，因為有許多企業長年租用中華電信的網路，會順便就租用相關的網路憑證，這包含部分政府機關以及其外包廠商；而大型組織，例如金融業、政府機關，除了少數使用國外免費憑證服務，多半會選用臺灣在地的網路憑證業者，例如臺網或中華電信的憑證。

憑證失效的具體表現

憑證失效不一定會導致服務完全不能用，但會造成嚴重的「中斷」或「使用障礙」。首先面對的就是瀏覽器警示。當用戶使用瀏覽器連線到那些使用中華電信失效憑證的網站時，瀏覽器會跳出「紅色告警」，警告用戶該網站不安全，並勸阻使用者繼續訪問該不安全的網站。

再者，會發生瀏覽器的連線服務中斷與無法使用，尤其是在某些高嚴謹或安全要求高的服務（例如，APP或特定應用程式）中，若其設計會嚴格檢查憑證的「效期過期」或「信任鏈」狀態，那麼這些服務將會因憑證失效，導致連線服務中斷甚至無法使用的情況。資安專家表示，這與僅需手動切換的輕微影響不同，嚴重者，可能造成實質的營運衝擊。

第三，受影響範圍限縮於TLS憑證（Transport Layer Security），即主要用於網站和網路連線加密的憑證。這並不影響其他類型的憑證，如S/MIME（郵件憑證）、Host ID憑證、或文件簽章憑證（如Adobe信任的憑證）等，原則上，並不受此次撤銷信任的影響。

這主要是因為TLS憑證，主要應用於網際網路導向（Internet-facing）的服務，特別是那些對象不確定的網站或Web應用等。例如，金融憑證因為其交易對象是已知的，通常不需要透過瀏覽器植入信任根，因此不受影響。

第四，企業的VPN服務不受影響。企業的VPN服務若採用中華電信的企業憑證，理論上不會受到影響，因為VPN服務通常在「封閉環境」中運行，很少是網際網路導向，因此可以使用自發憑證，無需依賴瀏覽器來驗證其信任性。

憑證失效恐影響使用者體驗與服務持續

中華電信憑證失效帶來的衝擊，最終將傳導至廣大終端用戶，影響其上網體驗和服務使用。

首先，最直接的影響就是，中華電信發行憑證給「網站主」，而網站主的「顧客」才是那些終端用戶。因此，當憑證到期失效時，直接受影響的是網站主，他們必須更換憑證；如果網站主沒有即時更換，後果就是，當終端用戶透過瀏覽器連線時，就會看到「這個網站不能被信任」的警告，甚至網站無法開啟，這可能導致用戶流失，或網站服務無法連線、服務中斷。

根據未來流通研究所調研資料顯示，2024年下半年，臺灣前6大型綜合電商平臺月流量，已全數超越千萬人次量級，排名第7～12名平臺月流量則大幅降至百萬人次量級。若以此數據估算，臺灣前十二大的電商網站每日平均瀏覽人次為30萬～300萬之間。

若以此數據推估，臺灣前十二大電商中，有業者使用中華電信的TLS憑證，若其TLS憑證於今年8月1日後到期，若該電商網站沒有即時更新憑證的話，就會有30萬～300萬名終端用戶受到影響。

另外，還有「延遲性發作」的風險。中華電信表示，在7月31日前核發的憑證，仍然可以使用一年，最長可到明年7月30日或31日，因為Google的Chrome瀏覽器不會立刻讓這些憑證失效，會提供大約一年的緩衝期。

這便帶來了「延遲性發作」的風險，資安專家提醒，許多企業可能會因為目前「沒感覺」而忽略憑證更換的迫切性；一旦到了明年7月，屆時出現大量的TLS憑證同時需要更新，最糟糕的情況，恐導致憑證中心（如臺網）不堪負荷，或企業因時間過短而來不及處理，最終仍面臨網站中斷的風險。

技術與誠信的雙重失焦，才是憑證信任撤銷主因

Google 撤銷中華電信憑證信任的背後，並非單一事件，而是長期積累的「不合規」行為和「誠信」問題所導致的。進一步細究，可以歸類成五大原因。

原因1：憑證擴充欄位問題與內部管理失衡

首先，問題源於政府伺服器數位憑證管理中心（GTLSCA），它雖然掛著政府名義，但其實際營運維護，仍掛在中華電信公開金鑰基礎建設（ePKI）的下屬憑證機構。

中華電信「ePKI 商用憑證」本身沒問題，但其協助政府維運的GTLSCA卻出問題，關鍵在於GTLSCA憑證中的「擴充欄位（extension field）」設定錯誤。這項錯誤被認為，反映了中華電信內部管理結構的問題。

原因2：未依社群公約處理與誠信破產

其次，憑證發行機構（CA）必須遵守由主要瀏覽器供應商組成的社群合規規範（BRs），如 CA/Browser Forum（CABF）所制定的「社群公約」，特別是要求憑證問題必須在「五天」內完成廢止。

然而，中華電信在處理憑證問題時，卻屢次未能遵循此一時間規定，甚至用了一些「誇張的理由」來拖延，例如：中華電信還曾提出「用於塔臺」的理由，事後被揭穿與憑證使用的規定不符，才坦承是用於航班網站。

這種前後不一、甚至「自己打自己臉」的說詞，更讓 Google 認為中華電信是胡說八道、敷衍社群，這同時導致Google對中華電信的「誠信（integrity）」，產生了嚴重的質疑。

Google之所以憤怒，是因為中華電信的作為讓他們感到被欺騙，且中華電信未能認真面對問題。這種缺乏誠信的態度，並非是單純的技術問題，更深層的就是組織內部管理失當、遇事說謊且說詞前後不一造成的信任潰堤，才是導致中華電信憑證信任被Google撤銷的深層原因。

原因3：處理大規模憑證廢止作業時，違反憑證授權機制

第三個原因就是，憑證移轉過程中發生的CAA紀錄爭議，也是造成Google對中華電信憑證不信任的主因之一。

因為，政府伺服器數位憑證管理中心（GTLSCA）的問題並非單一事件，而是「多次」發生所導致的綜合性因素，過往曾有兩三波大規模的憑證廢止，每次都涉及「幾千張」憑證。

但是，中華電信在處理大規模憑證廢止作業時，又不斷產生新的問題，那就是違反憑證授權機構授權（CAA）紀錄爭議。CAA紀錄是一個：某網站可以告訴全世界，只有特定的CA才能為其簽發憑證，這樣的作法，可以防止惡意CA偽造憑證，確保網站的安全性。

資安專家也舉例，就像是全世界都知道，某甲對外宣稱，只能在A銀行開戶，但後來B銀行卻來幫某甲開戶，這樣的作法就違反CAA規定，會造成網站安全性的爭議。

儘管問題重複發生，中華電信卻「沒有任何矯正預防」措施，更令人憂心中華電信內部管理失控的原因在於，當稽核人員進行內部稽核審查時，中華電信甚至「沒有留下任何記錄」，無法證明，他們曾努力在五天內完成憑證廢止的相關處理程序，連事後補交的資料也「不敢寫日期」。

這種處理流程的「不合理」和「沒有紀錄」的狀態，進一步證明其內部管理存在「沒有有效控制」的問題。

原因4：OID設定爭議與國格敏感性問題

第四點就是：OID爭議與國格敏感性問題。憑證問題中曾提及的「OID（Object Identifier）」設定錯誤，就是一個兼具複雜的技術與政治敏感議題。

OID是一個ISO國際標準，用於識別資訊物件，臺灣的OID在ISO標準中，被歸於中國下面。儘管這個問題在CA/Browser Forum中曾被討論過，但因涉及「國格」的敏感性，且CA/Browser Forum作為商業組織不願深究，所以未有定論。資安專家指出，儘管此問題「不需要特別討論」，但它反映出，中華電信在憑證技術細節上的「不周延」。

原因5：組織與人員異動影響

最後，就是中華電信內部「組織與人員異動」可能與此次問題的發生有關。公司內部不同部門（如商用與政府業務）之間溝通不良是一大問題，導致「商用沒問題，政府有問題」的弔詭情況。甚至於，在Google撤信事件發生後，中華電信內部是「救火」還是「提油救火」，其面對事情的態度受到質疑。

邱述琛直指，「這次事件突顯出Google期待憑證機構在發現重要問題的時候，必須要能夠迅速地處理，才能有效地控制影響範圍」。這便解釋了為何瀏覽器社群對中華電信的態度是如此嚴格，因為若CA無法在規定時間內及時廢止有問題的憑證，將對整個數位信任鏈造成潛在的資安漏洞。

凸顯數位信任、韌性與合規風險議題

針對中華電信憑證失效風波，政治大學法律系助理教授暨臺灣安永管理顧問公司總經理萬幼筠指出，作為科技治理研究人員，他認為中華電信憑證問題「絕不是小事」，一味地強調「安全合法」，卻「忘了事情的根源」。

他強調，此次事件的核心是兩個關鍵議題：首先是數位信任（Digital Trust）的問題。他指出，憑證的本質就是信任，Google之所以撤銷信任，正是因為中華電信的行為模式，包括未能遵守社群規範、提供不實理由以及缺乏內部控制，導致其作為信任鏈條中的CA失去了誠信。萬幼筠說：「這種信任的喪失，遠比單純的技術故障更為嚴重」。

其次是韌性（Resilience）的問題。萬幼筠表示，韌性是指系統在面對衝擊時，能夠抵抗、適應並快速恢復的能力。此次事件，暴露了中華電信在面對憑證管理問題時，其營運持續與應變能力的不足。

他認為，這是一個「營運持續管理（Business Continuity Management，BCM）」的問題，即便技術上，可以透過手動安裝或更換憑證來解決，但對於一個國家關鍵基礎設施提供者而言，這種可能導致大規模的服務中斷風險，凸顯了其在韌性建構上的挑戰。

萬幼筠進一步指出，Google撤銷信任的理由「不會突然發生」，這中間必定經歷了折衝的過程。他認為，中華電信作為臺灣最重要的關鍵基礎設施之一，應該接受「政府資安稽核」，以確保其內部控制和應變機制符合國家安全與關鍵基礎設施的要求。

此外，中華電信還是「美國ADR 公司」，其內部控制的課題也需要被深入探討，是否符合國際上市公司的治理標準。Google對中華電信的不信任，與外界認為中華電信的「老大心態」、「內部管理問題」不謀而合。

此外，ISACA外部專家委員暨科技風險量化專家楊博裕（Prometheus Yang）則從「合規風險」的角度提供了分析。

他強調，中華電信的法遵需要評估，Google 撤銷其TLS憑證信任事件，是否構成「財務上的重大影響」，這將決定中華電信是否需要向美國證券交易委員會（SEC）提交Form 6-K（即時揭露文件），或在Form 20-F（年度報告）中更新其「風險與財務影響」，以符合《1934 年證券交易法》及資安揭露要求。

楊博裕說，身為美國ADR公司，就必須承擔合規風險與財務揭露的義務。這便提醒，中華電信不僅要面對技術和營運層面的挑戰，還必須處理其作為國際上市公司在監管合規方面的責任。倘若未能及時或充分揭露潛在的重大風險，將可能導致進一步的法律與財務風險。