台湾网路认证(TWCA)紧急吊销多个CA证书 被安全研究人员发现使用有规律的算法
内容提要
台湾TWCA因多张CA证书序列号随机性不足，违反CA/浏览器论坛规范，将于11月6日前吊销6张中间证书、2张交叉证书和2张S/MIME证书，相关叶证书须立即更换，否则浏览器将不信任。此次不涉及私钥泄露。研究人员要求其公布调查报告，TWCA计划11月12日前提交完整报告。
延伸解读
序列号随机性不足的合规风险
TWCA 的中间证书序列号采用固定结构，包含日期、固定字段和计数器，随机部分最多仅 24 位，远低于 CA/浏览器论坛自 2016 年起要求的至少 64 位密码学安全伪随机数。这种可预测性虽未直接导致私钥泄露，但违反了行业基线要求，因此证书必须被吊销。这提醒 CA 机构，即使私钥安全，证书字段的生成也必须严格遵循规范，否则将面临信任危机。
叶证书连锁失效的紧迫性
此次吊销涉及 6 张中间证书、2 张交叉证书和 2 张 S/MIME 证书，所有由这些证书签发的叶证书都将失效。网站或服务若未在 11 月 6 日 0 时前更换证书，浏览器将不再信任其连接并自动拦截，直接影响用户访问。对于使用 TWCA 证书的台湾网站，需立即检查证书链并申请新证书，避免服务中断。
事件响应与行业透明度
TWCA 在收到通报后承认问题，计划在 11 月 12 日前提交完整事件报告，并已在官网发布紧急通知。安全研究人员要求其公开调查原因和解决过程，以供行业参考。这种透明度有助于其他 CA 排查类似问题，也提醒依赖证书的服务方关注 CA 的合规动态，及时应对证书变更。
Q&A
TWCA为什么紧急吊销CA证书？
因为安全研究人员发现TWCA的多张CA证书序列号随机性不足，不符合CA/浏览器论坛的规范要求。
这次TWCA证书问题涉及私钥泄露吗？
不涉及。此次问题仅在于证书序列号的随机性不足，TWCA的根证书和中间证书私钥并未泄露。
哪些证书会被吊销？
TWCA将吊销6张中间证书、2张交叉证书和2张S/MIME证书，这些证书签发的叶证书也将失效。
使用TWCA证书的网站需要做什么？
必须立即联系TWCA签发新证书，因为旧叶证书将在11月6日0时起被吊销，届时浏览器将不信任这些证书，导致网站访问被拦截。
TWCA证书序列号有什么问题？
TWCA的中间证书序列号采用固定结构，包含日期、固定字段、计数器，随机部分最多只有24位，而规范要求至少64位密码学安全伪随机数。
TWCA计划何时提交事件报告？
TWCA计划在11月12日前提交完整的事件调查报告，并已在官网发布紧急通知。
