title: 當數位信任瓦解：中華電信憑證危機來龍去脈，揭開台灣基礎建設的數位隱憂 --- **Category** - [新聞](https://www.soft4fun.net/category/tech/news) - [科技](https://www.soft4fun.net/category/tech) **Tag** - [PKI](https://www.soft4fun.net/tag/pki) - [中華電信](https://www.soft4fun.net/tag/%e4%b8%ad%e8%8f%af%e9%9b%bb%e4%bf%a1) **圖片清單** - ![chatgtp-ssl-website](https://cf.img.soft4fun.net/2025/06/chatgtp-ssl-website.jpg "chatgtp-ssl-website") - ![當數位信任瓦解：中華電信憑證危機來龍去脈，揭開台灣基礎建設的數位隱憂 image-3-1500x844](https://cf.img.soft4fun.net/2025/06/image-3-1500x844.png "當數位信任瓦解：中華電信憑證危機來龍去脈，揭開台灣基礎建設的數位隱憂 image-3-1500x844") - ![當數位信任瓦解：中華電信憑證危機來龍去脈，揭開台灣基礎建設的數位隱憂 image-4](https://cf.img.soft4fun.net/2025/06/image-4.png "當數位信任瓦解：中華電信憑證危機來龍去脈，揭開台灣基礎建設的數位隱憂 image-4") --- 2024 年，一場起初僅存在於技術社群中的憑證瑕疵，最終演變成台灣數位基礎建設的重大信任危機。中華電信（CHT）因未能依照國際憑證政策在規定期限內撤銷違規憑證，接連遭到 Mozilla 和 Google 兩大瀏覽器平台出手制裁。這不僅動搖了數千個政府與民間網站的基礎安全，更讓台灣在全球網路信任體系中，暴露出治理結構的脆弱與缺陷。 **👉 [Google 不再信任中華電信簽發的憑證，這代表什麼？該怎麼辦？](https://www.soft4fun.net/tech/news/google-remove-root-store.htm)** ![當數位信任瓦解：中華電信憑證危機來龍去脈，揭開台灣基礎建設的數位隱憂 image-3-1500x844](https://cf.img.soft4fun.net/2025/06/image-3-1500x844.png "當數位信任瓦解：中華電信憑證危機來龍去脈，揭開台灣基礎建設的數位隱憂 image-3-1500x844") ## 憑證瑕疵，成為信任風暴的導火線 2024 年 5 月，中華電信主動通報其簽發的 12,911 張 TLS 憑證中，意外包含了不被允許的憑證欄位「2.5.29.9（Subject Directory Attributes）」。根據 CA/Browser Forum 制定的《Baseline Requirements（BR）》規範，這類擴展欄位不得用於網站憑證，屬於明確的技術違規。 按照規定，一旦發現違規憑證，CA（憑證機構）必須於五日內完成撤銷。但中華電信卻未能在此期限內完成作業。理由很簡單，也很沉重：受影響的用戶多為公家單位與中小企業，他們普遍缺乏 IT 能力，無法快速更新憑證；更困難的是，許多政府機構必須經過多層級的公文核定程序，才得以更換網站憑證。在這樣的結構限制下，即使中華電信積極主動，也無法有效控管整體進度。 這場延誤，被 Mozilla 解讀為對信任體系的嚴重破壞。 ## Mozilla 問責：信任不是可以等待的權利 Mozilla 的立場始終如一：憑證機構的職責，是保障整體網路信任體系的正確與一致性，而非配合特定用戶流程或行政障礙。Mozilla 在 Bugzilla 公開討論中多次表明，中華電信違反了 BR 中對撤銷時效與通報流程的要求，並未於第一時間提出完整事件報告。 更令人不安的是，Mozilla 要求中華電信詳細說明每一張未能如期撤銷的憑證背後原因時，發現部分用戶甚至提供了不實用途描述，誤導了中華電信的風險評估與撤銷決策。這些情況更加深了外界對中華電信內部流程與用戶審查機制的疑慮。 ## Google 宣判：「撤信」成為壓垮信任的最後一根稻草 若 Mozilla 的警告仍屬「社群內部壓力」，那麼 Google 的公告就是正式制裁的到來。 2025 年 5 月 30 日，Google 透過其官方安全部落格宣布，將從 2025 年 8 月 1 日起，[停止信任中華電信（包括 HiPKI、ePKI）所簽發的新 TLS 憑證](https://www.soft4fun.net/tech/news/google-remove-root-store.htm)。這意味著從 Chrome 139 開始，若網站仍使用中華電信的憑證，使用者將會看到標準的 HTTPS 錯誤畫面：「您的連線不是私人連線」。 這樣的警告，對網站流量與品牌信任造成的損害，遠遠不只技術層面的問題。報稅、工商資訊申報、公部門服務、學術系統……一旦使用者無法順利進入網站，其背後不只是行政困擾，更可能是整個社會對「政府數位化可信度」的全面動搖。 ## 中華電信的立場：我們不是不配合，而是「無能為力」 在此次爭議中，中華電信代表 Leo Fang 的多次發言，呈現出一種兩難的處境。他表示，中華電信早已意識到問題，並且從 5 月下旬起全面停止爭議憑證的簽發，也主動協助用戶更新。 Leo Fang 嘗試為未能在 5 天內完成憑證撤銷解釋原因，以下是他的主要論點： - **使用 背景不 備 IT 能力**： - 很多憑證持有人是政府機關或中小企業， 須委託外部廠商協助憑證更換。 - 更換流程冗長，需要 1–2 週，難以在 5 天 完成。 - **政府機關需經層層核准**： - 比如使用 需要走正式 文流程，更換流程不 ，還涉及多層級組織決策。 - **與 前事件重疊導致資源緊繃**： - 同一時間中華電信已在處理另一批撤銷事件，難以同步應對。 但問題在於：**CA 被要求在規定時限內完成撤銷，是制度規範，不是配合意願的問題。** Leo 也坦承，中華電信過去在通報速度與內部決策上確實有所疏漏，並承諾未來會將 BR 要求明確列入與用戶的合約中，避免再次因行政流程而延誤撤銷。 ![當數位信任瓦解：中華電信憑證危機來龍去脈，揭開台灣基礎建設的數位隱憂 image-4](https://cf.img.soft4fun.net/2025/06/image-4.png "當數位信任瓦解：中華電信憑證危機來龍去脈，揭開台灣基礎建設的數位隱憂 image-4") ## 事件時間軸 | 時間 | 事件 | | --- | --- | | 2024/03–05 | 中華電信處理先前一波憑證撤銷案 | | 2024/05/23 | 停止簽發含 OID 2.5.29.9 的憑證 | | 2024/05/29 | 啟動替換作業，憑證總數約 1.3 萬 | | 2024/06 | Mozilla 啟動 Bugzilla 公開追查 | | 2024/06–08 | Leo Fang 回應並說明困難與承諾改善 | | 2024/09 前後 | Mozilla 完成評估，未立即移除但警告明確 | | 2025/05/30 | Google 宣布 2025/8 起不再信任 CHT 憑證 | ## 對台灣政府的警示：從三個面向重新檢討 CA 治理 此事件凸顯了台灣在數位基礎建設上的脆弱性與依賴性。為避免類似事件再次發生，台灣政府應從以下三個面向進行改革： ### 1️⃣ 建立獨立的國家級憑證管理中心 - 現行憑證機構多半由中華電信、TWCA 獨佔主導，政府應重新評估**是否要建立獨立、專責的國家級憑證管理中心**，降低單點失效風險。 - 推動更多國際信任 CA 在台設立節點，建立健康競爭市場。 ### 2️⃣ 強化法規與使用者義務明確化 - 強化法規，要求政府單位與承 廠商簽約時， 須 備緊急憑證更新機制。 - 將憑證過期／撤銷風險列 合約評估與績效指標中，**避 文流程成為拖延藉口**。 ### 3️⃣ 數位基礎建設主權與彈性提升 - 建立 國性「憑證自查與模擬撤銷」平台，定期測試政府網站是否能在突發狀況中自動切換憑證。 - 將「憑證撤銷容錯能力」納 資安演練 目，培養更多能即時處理數位憑證問題的技術團隊。 ## 信任，是數位時代的最脆弱資產 此次中華電信憑證事件，不只是中華電信的問題，也不是單一技術決策的疏忽。它所揭示的，是台灣整體數位治理結構的警訊：我們所賴以維生的數位服務、身份驗證、商業安全，其實架設在他人所定義的信任規則之上。 若我們不能主動建立制度、備援機制、並重建對內與對外的數位信任，那麼「連線錯誤」的警告，將成為我們無力主權的真實寫照。