#行业资讯 台湾网路认证公司 TWCA 准备紧急吊销多个 CA 证书，研究人员发现其证书使用有规律的算法。好消息是此次 TWCA 的问题不涉及私钥泄露，没印度草台公司那么糟糕。坏消息是由于 6 张中间证书、2 张交叉证书和 2 张 S/MIME 证书有问题要被吊销，所有使用这些中间证书签发的叶证书都必须更换。TWCA 将在 11 月 6 日 0 时前完成吊销，所以所有使用这些问题 CA 证书签发叶证书的网站，都必须立即更换新证书。查看全文：https://ourl.co/127949
台湾网路认证股份有限公司 (TWCA) 日前被安全研究人员爆出其多张 CA 证书的序列号随机部分不足，不满足 CA / 浏览器论坛要求的规范。该公司在收到通报后承认问题并决定在 11 月 6 日前完成证书更换，已经使用问题证书签发的叶证书 (子证书) 将被吊销。
此次 CA (证书颁发机构) 事件目前并未造成安全问题，因为存在随机性不足的是证书序列号部分，TWCA 的根证书和中间证书的私钥不存在泄露问题，不像之前印度公司私钥只有单个字符 4 这种低级错误。
但因为中间证书的序列号随机性不足导致其无法达到 CA / 浏览器论坛的要求，TWCA 决定紧急更换证书。涉事中间证书和交叉证书都将被吊销，使用这些证书签发的叶证书也将失效，所以使用 TWCA 证书的网站或服务必须立即联系该公司签发新证书。
所有问题中间证书和交叉证书签发的叶证书将在 11 月 6 日 0 时起吊销，到时候浏览器将无法信任这些证书，因此网站或服务在连接时会被浏览器自动拦截，将严重影响网站或服务的用户访问。
CA / 浏览器论坛的相关规范自 2016 年起就要求证书序列号包含至少 64 位密码学安全伪随机数生成器输出，而 TWCA 使用自己的根证书签发的 24 张中间证书里，至少有 10 张序列号采用固定结构：包含日期、固定字段、计数器，以及看起来最多只有 24 位随机内容部分。
涉及的证书包括：6 张用于签发 TLS 网站证书的中间 CA 证书、2 张用于交叉签名的数字证书、2 张用于 S/MIME 的 CA 证书。这些证书序列号都不符合行业要求因此将被吊销和取消信任。
研究人员要求 TWCA 尽快发布时间调查并公布完整的调查报告，将其中的经验教训分享出来供行业参考。报告应披露经验教训、问题出在哪里、怎么解决的问题等等。
在收到通报后 TWCA 已经在 Mozilla Bugzilla 中确认收到相关信息并正在调查，该公司计划在 11 月 12 日前更新完整的事件报告，当前 TWCA 已经在其官网发布紧急通知要求使用该公司证书的用户立即检查证书并申请新证书。
PS：在台湾不少网站使用 TWCA 的证书，如果接下来用户访问某些网站时出现证书问题那不要惊慌，多半是这些网站并未注意到通知导致未能及时更换证书。
消息源：Mozilla Bugzilla
