SSL 憑證突然不被信任怎麼辦？從一起根憑證封鎖事件，看企業憑證管理的 5 個步驟

 

這起事件的起因是一家國際憑證業者的中繼憑證私鑰強度不足，研究人員發現其中 8 張中繼憑證的私鑰可以從公開憑證輕易還原。中繼憑證位於根憑證與網站憑證之間，負責替網站簽發 SSL 憑證；私鑰一旦能被還原，攻擊者就可能偽造 HTTPS 憑證、冒充合法網站。

 

這 8 張中繼憑證中，有 6 張可以用來簽發網站使用的 TLS（傳輸層安全協定）憑證。業者初步調查認為，問題可能出在金鑰產生指令碼的錯誤，導致較弱的金鑰被誤用。業者也表示只有 1 張曾部署到正式環境，而且沒有核發過網站憑證，根憑證私鑰也未受影響，但瀏覽器業者仍決定採取防護措施。

 

各方的處理方式如下，影響範圍從瀏覽器延伸到企業自行開發的應用程式：

 

• Google：透過 Chrome 的憑證封鎖機制封鎖受影響的中繼憑證，並計畫在 10 月 27 日把簽發這批憑證的根憑證「emSign ECC Root CA - G3」從 Chrome 信任清單移除。
   
• Mozilla：透過 Firefox 的憑證封鎖機制封鎖相關憑證，並發布安全更新。
   
• Go 程式語言專案：發布新版本，不再信任受影響的中繼憑證；使用舊版建置的應用程式需要更新並重新建置。
   

 

根憑證被移除後，凡是由這個根憑證簽發的 SSL 憑證，在瀏覽器上都會變成不受信任。這次事件特別值得注意的是，即使網站使用的不是出問題的那幾張中繼憑證，只要憑證鏈最上層是同一個根憑證「emSign ECC Root CA - G3」，仍須改用其他憑證業者重新簽發，否則網站連線可能受到影響。

 

對企業來說，最難的一步往往是找出自己到底有哪些憑證。常見的情況有三種：

 

• 憑證散落各處：網站、應用程式介面、負載平衡器、內部系統各自申請憑證，沒有一份完整清單，出事時無法立刻知道哪些服務受影響。
   
• 靠人工與試算表管理：憑證的到期日、發行機構記在試算表裡，換證要一台一台登入伺服器操作，數量一多就容易漏掉。
   
• 內部系統的驗證方式不一致：資安服務業者 Cloudflare 提醒，企業應用程式可能採用與瀏覽器不同的憑證驗證機制，瀏覽器已封鎖，內部軟體卻可能仍信任這些憑證，需要另外檢查。
   

面對根憑證被移除這類突發事件，企業應先找出受影響的憑證，再盡快更換，最後建立長期的自動化機制。以下 5 項建議依處理順序排列，適合負責網站維運、資訊安全與系統架構的主管參考。
 

• 建議一：先盤點所有 SSL 憑證，找出受影響的憑證鏈

換證的第一步是知道自己有哪些憑證、分別由哪一家憑證業者簽發、掛在哪些服務上。盤點範圍要包含對外網站、應用程式介面、負載平衡器與內部系統，並逐一檢查憑證鏈的根憑證是否為這次被移除的「emSign ECC Root CA - G3」。完成盤點後，才能判斷要換多少張、優先處理哪些服務。
 

• 建議二：受影響的憑證，改用其他憑證業者重新簽發

如果憑證鏈的根憑證即將被瀏覽器移除，就要在移除生效前，改向其他受信任的憑證業者申請新憑證，並部署到所有使用中的伺服器。部署完成後，要確認網域名稱、憑證鏈與有效期限都正確，避免換了憑證卻因為設定錯誤導致網站中斷。
 

• 建議三：檢查內部應用程式的憑證驗證機制

瀏覽器的封鎖不會自動套用到企業自行開發的系統。企業應檢查內部應用程式採用哪一種憑證驗證方式，例如以 Go 語言開發的程式需要更新版本並重新建置，才不會繼續信任受影響的憑證。這一步容易被忽略，卻可能讓攻擊者有機會利用偽造憑證冒充內部服務。
 

• 建議四：憑證私鑰放進硬體安全模組保護

這起事件的根源是私鑰強度不足、可以被還原，顯示金鑰的產生與保存方式和憑證本身一樣重要。企業的憑證私鑰應在通過國際認證的硬體安全模組（HSM，Hardware Security Module）中保存，避免以檔案形式存放在伺服器上，降低私鑰外洩或被竊取的風險。
 

• 建議五：用自動化取代人工，為頻繁換證做準備

憑證有效期限已從 398 天縮短到 200 天，未來還會再縮短到 47 天，等於企業平均每個月都要換一次證。加上這次這種突發的根憑證移除事件，靠人工追蹤到期日、手動部署的方式很難跟上。建議導入憑證生命週期管理，讓憑證的發現、申請、部署、續期與異常通報都自動完成。
 

普鴻 ProCLM 是一套憑證生命週期管理系統，把 SSL 憑證的發現、申請、部署、續期與金鑰防護全部自動化，讓企業面對根憑證移除或有效期限縮短時，不必再靠人工逐台處理。ProCLM 的核心能力對應上述 5 項建議如下，其中建議三的應用程式更新仍需由開發團隊執行，ProCLM 協助找出需要檢查的服務：

 

• 全局資產可視化：對應建議一、三

ProCLM 會自動掃描並彙整企業內外部的所有憑證，在單一儀表板上顯示到期日、發行機構與網域狀態。遇到這次的根憑證移除事件，管理者可以直接依發行機構篩選，馬上知道哪些服務受到影響，取代雜亂的試算表管理。掃描範圍涵蓋企業內部的憑證，也能協助開發團隊找出哪些內部服務使用了受影響的憑證鏈，作為檢查應用程式憑證驗證機制的起點。

 

• 零介入生命週期與智慧自動部署：對應建議二
   

ProCLM 與各大憑證業者整合，以「多 CA 單一中樞管理」的方式讓企業不被單一憑證業者綁住，遇到需要更換憑證業者的情況，可以在同一個平台上批次改向另一家憑證業者重新申請憑證，不必一張一張處理。ProCLM 能自動申請憑證，並透過安裝在伺服器上的代理程式自動下載、綁定與更新，支援 Apache、Nginx、IIS 等主流網頁伺服器。更新後自動生效，不需要手動重新啟動服務，並會自動驗證網域名稱、憑證鏈與有效期限。

 

• 金融級金鑰硬體防護：對應建議四
   

ProCLM 深度整合硬體安全模組，將憑證簽發與傳輸的關鍵金鑰保存在通過 NIST FIPS 140-3 Level 3 認證的加密模組中，杜絕私鑰外洩、竄改與非法竊取的風險。金鑰由普鴻 ProEKM 企業金鑰管理集中保管，ProEKM 是導入普鴻 ProTrust 系列產品的金鑰管理核心。

 

• 完備稽核軌跡與即時通報：對應建議五
   

ProCLM 完整記錄每一張憑證的申請、更新與部署日誌，協助企業應對資安稽核與合規審查。憑證會在到期前預先更新，代理程式離線或續期異常時，第一時間透過電子郵件或通訊軟體通報，避免憑證過期造成服務中斷。

 

 

Q：SSL 憑證的根憑證被瀏覽器移除，網站會怎樣？

A：根憑證被瀏覽器移除後，由它簽發的 SSL 憑證在該瀏覽器上就不再被信任，使用者連線時會看到安全警告，甚至無法進入網站。網站管理者需要改向其他受信任的憑證業者重新申請憑證，並在移除生效前完成部署。

 

Q：怎麼知道我的網站有沒有受到這次根憑證移除的影響？

 

A：可以在瀏覽器點選網址列的鎖頭圖示查看 SSL 憑證的憑證鏈，如果最上層的根憑證是「emSign ECC Root CA - G3」，就屬於這次 Google 移除的範圍，需要改向其他憑證業者重新申請憑證。如果企業的憑證數量多、分散在不同系統，建議用憑證管理工具自動掃描，一次找出所有使用相同根憑證的服務。
 

Q：SSL 憑證有效期限縮短到 47 天，企業要怎麼因應？

 

A：SSL 憑證有效期限已從 398 天縮短到 200 天，未來還會縮短到 47 天，企業平均每個月就要換一次證。因應方式是導入憑證生命週期管理，讓憑證的申請、部署與續期自動完成，並在到期前預先更新、異常時即時通報，避免靠人工追蹤而漏換。

 

Q：憑證生命週期管理是什麼？

 

A：憑證生命週期管理是把一張憑證從發現、申請、部署、續期到停用的整個過程，集中在一個平台上自動化管理的做法。它能讓企業隨時掌握所有憑證的狀態，在到期或發生安全事件時快速更換，並留下完整的稽核紀錄。

 

Q：憑證私鑰為什麼要放在硬體安全模組？

 

A：憑證私鑰是證明網站身分的關鍵，一旦外洩，攻擊者就能冒充網站。硬體安全模組是通過國際認證的專用設備，能在設備內部產生與保存金鑰，金鑰不會以檔案形式存在伺服器上，可以大幅降低私鑰被竊取或竄改的風險。

 

想盤點貴公司的 SSL 憑證、評估自動化換證方案？歡迎聯繫資褓儲存：Marketing@datasitter.com