中華電信被Google撤信任憑證　數發部稱已超前部署　黃士修列時序批「無恥」

Google日前宣布，將自8月1日起在新版Chrome瀏覽器停止預設信任中華電信所簽發的TLS憑證，而先前發行的網站憑證不會受到影響。數發部於3日召開記者會，部長黃彥男表示，數發部早在今年年初即掌握相關訊息，並提前採用雙憑證備援機制加以因應。他強調，這次事件的主因在於中華電信在管理與作業機制上處理不當，並非技術標準方面出現問題。然而，核能流言終結者創辦人黃士修在臉書貼文列出時間軸，痛批「數發部是超前部署黑洞，時間過得比外界慢1年是不是！」

中華電信宣稱，Google移除憑證信任的原因僅是「部分程序未能在Chrome新政策要求的時限內調整完成」。黃士修表示，請注意，被從Google Chrome的「根憑證」信任清單中移除，絕非中華電信官方聲明中那種輕描淡寫的程度。Google的公告明確指出，移除信任的原因是「patterns of concerning behavior observed over the past year」（過去1年觀察到的令人擔憂的行為模式），以及「loss of integrity and fall short of expectations, eroding trust」（誠信喪失且未達預期，侵蝕了信任），這遠遠超出了「部分程序未能及時調整」的範圍，且沒有具體說明是哪些「部分程序」出現問題，也未解釋調整包含什麼內容。

黃士修提出疑問表示，如果已經「全數符合Chrome新政策要求」，為何Google仍堅持移除預設信任？中華電信又說「發行憑證安全無虞」，但Google的移除信任並非因為憑證本身存在「漏洞」或「私鑰洩漏」，問題核心在於Google作為一個主要的瀏覽器廠商，對其憑證機構的「信任」基礎產生動搖。這不像單一憑證過期或有漏洞那麼簡單，而是對該CA作為「憑證發行者」資格的根本性否定。中華電信表示，「仍會積極爭取Chrome的預設信任，並預期在2026年3月完成」，迴避了Google公告中核心的「誠信喪失」和「行為模式問題」等關鍵指控，聲明根本是公關災難。數發部就更無恥了，強調政府「超前部署」已啟動「雙憑證機制」。

黃士修列出時間軸：

●2023年9月，中華電信旗下的Government TLS CA （GTLSCA）在BR 2.0生效後，仍持續錯誤地簽發EKU標記為critical的憑證，公然違反新標準。Root CA團隊（包括Google和Mozilla）首次催促中華電信提交2023年度的自我評估報告給Common CA Database（CCADB），這是CA必須定期提交的透明度報告。 （相關報導： 「核能不是真正的敵人！」醫界斥中火空污禍延下一代：台灣平均壽命少1~2年 ｜ 更多文章 ）

●2024年3月，中華電信才「自己」發現EKU錯誤並停止， 相關問題被提交至Mozilla的公開技術論壇（Bugzilla #1887096），問題開始在國際社群中曝光，中華電信在溝通中顯得被動，資訊擠牙膏。Root CA團隊再次催促中華電信提交2023年自評報告。

●2024年6月，中華電信因延遲撤銷誤發憑證（並提出「服務會掛掉」等理由）在Mozilla Bugzilla （Bugzilla #1903066）上遭到嚴厲批評。 這種行為被視為公然違反CA操守，將客戶便利置於網路安全之上。Mozilla和其他根憑證計畫參與者明確警告中華電信，若不徹底改進，將面臨從Mozilla CA Store中除名的嚴峻風險，這是一個強烈的國際警告。 OID誤用問題（Bugzilla #1899466）也在此期間被揭露。

●2025年1月，Root CA團隊第3次催促中華電信提交2023年自評報告，中華電信才敷衍地提交了2024年報告，並很瞎地以「負責人職位調動未交接」的理由來解釋長期延遲，還詢問「是否能用新格式補交舊報告」。

●2025年5月30日，Google正式宣判，預設不再信任中華電信新發的TLS憑證。

●2025年6月3日，數發部才宣稱已於「今年3月起啟動雙憑證機制」作為「超前部署」。

從以上的時間軸，黃士修表示：「你們數發部是超前部署黑洞，時間過得比外界慢1年是不是！順帶一提，最近大家繳稅用的財政部國稅局網站，憑證就是中華電信發的。稅金真的是好大好大的黑洞喔。」

更多風傳媒獨家內幕：

‧ 「核能不是真正的敵人！」醫界斥中火空污禍延下一代：台灣平均壽命少1~2年 （相關報導： 「核能不是真正的敵人！」醫界斥中火空污禍延下一代：台灣平均壽命少1~2年 ｜ 更多文章 ）

‧ 「民進黨廢監院立場早變調」　林濁水：柯建銘領導走到這步真是荒謬與悲哀