AI 摘要
- GoDaddy 發行的 404,607 張 TLS/SSL 憑證因政策資訊與對外公布的 CP/CPS 不一致，須全數撤銷。
- 在 CA/Browser 論壇規定的 5 天限期屆滿時僅撤銷 170,566 張，約 42.2%。
- 截至 10 月 19 日清晨已撤銷 227,422 張，仍有逾 17.7 萬張未失效。
網域名稱註冊商兼憑證頒發機構 GoDaddy 爆發重大合規事故，旗下 404,607 張 TLS/SSL 網站憑證因內容與其公開發布的憑證政策與認證實踐聲明（CP/CPS）不符，被要求全數強制撤銷。這起 GoDaddy TLS/SSL 網站憑證撤銷事故並非金鑰外洩、網路攻擊，也不是 TLS 加密機制被破解，而是發行端的合規設定失誤；但在 WebPKI 生態系中，憑證發行必須嚴格符合自身規範，已流通的舊憑證無法原地修改，只能重新簽發並撤銷。
事件定位：合規失誤而非安全破口
根據 Mozilla Bugzilla 公開的事故報告（Bug 2082703 與 Bug 2083191），問題最初由第三方資安研究人員通報。研究人員發現，GoDaddy 旗下體系發行的部分 TLS 憑證，其內部記載的憑證政策（Certificate Policy）資訊，包括特定物件識別碼（OID）與 CPS URI 限定條件，與官方對外公開的 CP/CPS 規範文件存在歧異。
就技術層面而言，這些憑證仍可正常運作，連線加密不受影響；但憑證內容與 CA 自訂規範不一致，即構成基準規範的違反。依照 CA/Browser Forum《TLS 基準要求》（Baseline Requirements）第 4.9.1.1 條，當 CA 發現憑證未依據其 CP/CPS 正確發行時，必須於 5 天內全數撤銷。
受影響範圍：DV 憑證為絕大多數
在 404,607 張問題憑證中，絕大多數屬於基礎的網域名稱驗證（Domain Validation, DV）憑證，且高度集中在兩個中介 CA 體系，牽涉範圍極廣。
| 憑證組成 | 數量 | 說明 |
|---|---|---|
| Starfield R1 DV 與 Starfield G2 DV 中介 CA 體系 | 396,055 張 | 佔本次問題憑證的絕大多數 |
| 其餘 GoDaddy 體系憑證 | 其餘數量 | 同屬本次須撤銷範圍 |
| 合計 | 404,607 張 | 以 DV 憑證為主 |
撤銷進度落後：5 天限期內僅完成約 42.2%
由於數量龐大，GoDaddy 自 10 月 14 日起透過電子郵件、短訊及電話向受影響客戶發出通知，要求儘速替換憑證；然而在 5 天撤銷寬限期屆滿時，僅完成撤銷 170,566 張。截至 10 月 19 日清晨，撤銷數量推進至 227,422 張，仍有超過 17.7 萬張憑證尚未失效，GoDaddy 因此正式向 Mozilla 提交撤銷延誤的違規事故通報。
| 時間節點 | 已撤銷憑證數 | 進度 |
|---|---|---|
| 10 月 14 日 | 開始以電郵、短訊、電話通知客戶 | 啟動替換作業 |
| 5 天撤銷期限屆滿 | 170,566 張 | 約 42.2% |
| 10 月 19 日清晨 | 227,422 張 | 仍有逾 17.7 萬張未失效 |
對網站營運的實際衝擊
GoDaddy 已決定大規模強制撤銷餘下尚未更換的 SSL/TLS 憑證，外界評估恐衝擊政府與金融網站。若受影響的網站管理員未及時下載並部署替換憑證，訪客瀏覽網站時恐直接跳出「不安全連線」的全頁安全警告，導致服務信任度與流量同時受損。
當局呼籲所有採用 GoDaddy 及 Starfield 憑證的網站管理員與企業 IT 人員，應立即登入後台確認憑證狀態。若系統提示憑證已重新簽發，必須即刻將新憑證下載並安裝至反向代理、負載平衡器（Load Balancer）、CDN 及 Web 伺服器等所有端點，以避免因憑證失效導致網上服務中斷。
維運檢查清單
- 登入 GoDaddy 後台，逐一確認網域憑證狀態是否已被重新簽發。
- 下載新憑證後，同步更新反向代理、負載平衡器、CDN 與 Web 伺服器等所有端點。
- 檢查憑證鏈是否包含 Starfield R1 DV 或 Starfield G2 DV 中介 CA。
- 以外部監測工具驗證憑證有效期與 OCSP 狀態，確認未出現連線警告。
Reference Link : hkepc.com
