Re: [新聞] Google Chrome 將移除憑證 中華電信

※ 引述《minastirith (Lord of The Rings)》之銘言：
: ※ 引述《waakye (-----)》之銘言：
: : 請問這很嚴重嗎？
: : 到時候用chrome上網發現不能看的時候
: : 手動按個允許瀏覽不安全的網站 不就好了
: : 就像是以前要看一些瑟瑟網站、各種大秘寶網站還不是用這種方式進入，不然就別看: : 不要把使用者想的那麼笨好嗎，為了上網會學各種不同方法啦
: 嚴不嚴重看看一年前發生在 Entrust (前全球第二大憑證 CA) 的事就知道
: 6/27/2024 Google 宣佈自10/31/2024以後 Chrome 不再信任 Entrust 發行憑證
: 7/1/2024 Entrust 宣佈要和Google協商後續改進措施 (最佳結果)
: 以及和其他CA廠商合作提出替代方案 (最壞狀況)
: 我們公司用了 Entrust 上千張憑證, 到這個時間點已經開始評估替代方案了
: 7/22/2024 Entrust 和 ssl.com 合作提供新的憑證方案
: 11/11/2024 Google 正式把 Entrust root CA 從 trusted CA list 中移除
: 但在11/2024之前 Entrust 發行的憑證仍然信任
: 我們在這個時間點就把所有新憑證轉給 Sectigo
: 11/15/2024 Apple Safari 也把 Entrust 移除
: 11/30/2024 Mozilla Firefox 一樣停止信任 Entrust root CA
: 1/2025 Entrust 把 CA business 賣給 Sectigo
: 只能說, 如果到現在中華電信和所有憑證用戶還沒啟動緊急應變程序的,
: 資安管理不合格

【AI觀點】TLS憑證信任危機與台灣數位信任體系的制度挑戰

本文為根據近期公開新聞事件與制度資料，由 AI 模型依照第一性原理進行的推理與彙整，內容僅供討論參考，不代表作者個人立場。

解析政府電子憑證體制與近期TLS信任危機背後，所映照出的數
位治理斷裂與官僚責任黑洞。
一、從信任鏈的邏輯出發：為什麼「預設信任」是國家資安核心？
信任鏈（Trust Chain）建立於三個基本原則：
可驗證性（Verifiability）： 民眾可查、可審、可驗的技術與制度設計。
可替代性（Fallback）： 任何單點失效不得癱瘓整體體系。
責任可追溯性（Accountability）： 錯誤發生時，決策流程與實施責任可溯源。
台灣的政府憑證體制，從設計上即與上述部分原則有所扞格：採取高度集中、封閉架構，其有效性與安全性難以由民間或第三方進行常態性驗證。近期發生的政府根憑證信任危機事件，凸顯了這一制度的脆弱性——單一憑證機構的失效，就可能拖垮一整座政府網站群
的運作。

二、eID與GTLSCA：一場潛在的「制度幻覺」實驗
早在數位身分證（eID）推動初期，政府即將「身份憑證化」作為數位治理的基石，甚至導入高階晶片與中央憑證認證體系（GTLSCA）建立「單一信任鍊」。然而，此一架構存在根本性的風險：
缺乏OCSP即時撤銷機制： 導致一旦私鑰洩漏或CA失效，民眾仍無法即時得知憑證已不可信。
未開放交叉簽章或民間審計： 整體設計如同黑箱，外界僅能依賴主管機關自行宣稱「合規」。
公私鑰控管由受託單位執行，但若法制約束與預警機制不足： 近期的事件正是最明顯的例證。
這不只是一張憑證的問題，而是整體數位身分信任體系的潛在失能。當Chrome等國際平台不再信任本地的根憑證時，代表的不只是技術落後，而是整體治理框架的失靈警訊。

三、從「技術責任」到「制度責任」的真空區
此事件也反映出，我們的數位治理在責任追溯上存在真空區。 當類似的信任危機發生時，現行制度似乎未能解答以下關鍵問題：
制度上是否要求憑證簽發機構（CA）必須進行定期的風險演練與壓力測試？
契約與法規中，對於此類事件的決策與實施責任，是否有清晰的追溯機制？
國家層級是否有標準化的通報與應變流程，來協調各政府部門應對，並確保民眾資訊的透明？
這反映出台灣數位治理的老問題：技術事件被制度性地稀釋成"技術性延誤"，而治理責任則永遠找不到明確的歸屬。

四、制度修復的最低路徑建議
全面開放 CA 透明稽核報告與風險記錄查詢介面（Audit Explorer）。
政府信任體系應引入去中心化驗證通道（如 DID / 公鏈錨定）作為備援或輔助。
強制建立交叉憑證與民間CA備援制度，避免單點崩潰。
設立獨立的數位信任觀察室，常態評估政府數位基礎設施的信賴度與相依性。

結語｜一張憑證的信任崩壞，其實是國家治理信賴的崩壞
Chrome等瀏覽器撤銷對政府根憑證的信任，不只是技術錯誤，而是制度性崩潰的警訊。若我們繼續把數位治理當作「技術小組的責任」，而非「國家制度的設計」，這種風暴將不斷重演——而代價，將是整個社會對公共數位系統的根本不信任。

**本分析全文由 AI 工具生成，所引述內容皆為公開資訊彙整，不代表任何個人或單位之立場。**

--