［記者胡永承立法院報導］憑證又出事！政府去年才轉向 TWCA　今年又要在 11/6 前緊急換證　葛如鈞：建立跨 CA 備援與自動化，別再出事才換 政府網站的「數位身分證」又出問題！臺灣網路認證（TWCA） 10 月 31 日緊急公告，部分 SSL 網站憑證必須在 11 月 6 日凌晨前完成更換，否則網站、APP可能出現連線失敗。立法委員葛如鈞今（2）日痛批，去年中華電信才因憑證管理問題遭 Google Chrome 停止信任新憑證，政府急忙改用 TWCA ，沒想到今年又出包！ 什麼是 SSL 憑證？簡單來說，就是網站的「數位身分證」。 當你打開政府網站、使用 APP 或線上付款時，瀏覽器會透過憑證確認網站身分、建立加密連線。一旦憑證失效，就像商店明明開著門，卻因為安全識別證被判無效，顧客可能連門都進不去。 葛如鈞指出，這不只是工程師加班換證的小事，而是可能直接影響民眾生活與企業生意。假設民眾要線上繳費、申辦政府服務，卻因憑證問題無法登入，若多家企業同時受波及，衝擊更可能擴大。 葛如鈞質疑，這些錢、這些時間，難道要由民眾和企業自己吸收？目前究竟有多少政府網站、企業、金融服務及跨機關系統受影響？可能造成多少經濟損失？數發部不能讓社會在資訊不透明的情況下承擔風險。 更離譜的是，這次問題竟然不是 TWCA 自己發現！外部研究人員在 Mozilla 憑證事件系統揭露，TWCA有 10 張CA憑證的序號疑似未符合國際規範，其中 6 張涉及網站憑證簽發；國際標準自 2016 年起就要求至少 64 位元的安全隨機數，這些憑證卻疑似最多只有 24 位元。規範已經實施 10 年，問題卻要靠外部研究人員抓包，內部管理和第三方稽核究竟在做什麼？ 雖然目前沒有證據顯示憑證遭偽造或金鑰外洩，但管理制度的漏洞不容忽視。 葛如鈞強調，去年中華電信承諾 2026 年 3 月底前重回 Google Chrome 信任名單，如今已經 11 月，究竟恢復了沒有？數發部與中華電信應公開說明。國家資安不能靠一再換廠商、換憑證來交差。 對此，葛如鈞要求政府立即推動四項改革：第一，公開受影響政府網站與企業數量， 11 月 6 日前每日公布換證進度；第二，建立跨憑證機構（CA）備援，避免一家出問題、所有服務一起停擺；第三，導入 AI 輔助監測、短效憑證與自動化更新，不要每次都靠工程師熬夜人工救火；第四，全面檢討 TWCA 及中華電信的合規與稽核制度，釐清責任。 葛如鈞強調，政府去年才因中華電信憑證信任事件大規模換證，今年 TWCA 又發生合規問題，這不代表兩次事件的技術原因相同，卻再次凸顯憑證治理、監督稽核及應變制度的重要性。葛如鈞表示，不可能保證任何一家憑證機構永遠不會出事，但政府有責任確保，任何一家供應商出問題，都不會讓民眾使用政府服務的權益跟著受到影響。 葛如鈞呼籲行政院、數發部與相關單位，儘速公布換證進度、釐清履約稽核責任，並提出跨 CA 備援、自動化憑證管理及實際切換演練的具體時程。葛如鈞強調，前車之鑑，不能一再重演。唯有未雨綢繆，才能讓國家更安全，人民更安心。