5月30日 AddTrust 根證書過期事件說明

有關本次根證書過期的完整技術說明及應對方案，請查閱我們的知識庫文章及配套的常見問題解答（FAQ）。此外，我們也整理了本次過期事件相關常見問題的解答如下。

問：為甚麼會發生此次根證書過期事件？

根據公鑰基礎設施（PKI）的固有機制，所有證書都會過期，包括根證書和中繼證書。證書過期是保障密碼系統健康運作的核心環節，可確保系統內所有組件最終會被採用當時最佳安全實務的新版本取代。公開公鑰基礎設施（PKI）系統從設計之初就採用了這一機制，任何證書頒發機構（CA）都無權更改證書會過期的既定規則，也無法阻止或推遲即將到來的證書過期時間。

本次涉及的根證書於2000年簽發，有效期為二十年，其將於2020年5月30日到期的資訊在整個生命週期內均為公開可查的記錄。

問：明明知道根證書會過期，為甚麼還要提供該根證書？

所有根證書都會過期。就 AddTrust 根證書而言，我們多年來持續維護對它的支援，是為了盡可能為老舊系統提供最廣泛的兼容。如果在到期前就終止對該根證書的信任，可能會給確實依賴該根證書的應用場景造成服務中斷和故障。為盡可能降低影響，我們早在2019年就開始向已知使用該舊根證書的用戶同步即將到期的相關資訊。

問：哪些系統會受到影響？

我們無法逐一統計所有受影響的系統，但所有（或幾乎所有）受影響的系統都是版本過舊、不支援現代根證書更新機制的裝置。卡內基梅隆大學提供了這份已知受影響場景的實用清單:

• Apple Mac OS X 10.11（El Capitan）及更早版本
• Apple iOS 9 及更早版本
• Google Android 5.0 及更早版本
• 若自2010年6月前就已停用「更新根證書」功能的 Microsoft Windows Vista 和 Windows 7
• 若自2010年6月起從未接收過自動根證書更新的 Microsoft Windows XP
• Mozilla Firefox 35 及更早版本
• Oracle Java 8u50 及更早版本
• 自2015年年中以來未安裝過韌體更新的嵌入式裝置（尤其是影印機）
• 使用1.1.1之前版本程式庫的基於OpenSSL的客戶端軟件
• Red Hat Enterprise Linux 6及7上的OpenLDAP客戶端

問：如果我仍需要舊版支援，該怎麼辦？

對於依賴極舊系統的業務流程，Sectigo已提供一個用於交叉簽名的新舊版根證書，即「AAA Certificate Services」根。但請對任何依賴極舊舊版系統的流程保持高度謹慎。未獲得支援Sectigo COMODO根等新根證書所需更新的系統，必然缺失其他必要安全更新，應被視為不安全。

問：我為何沒收到有關這件事的通知？

Sectigo已聯絡所有已知客戶的可用聯絡人，告知此次到期相關資訊，同時透過客戶通知、網誌、播客以及社交媒體帳戶的多個接觸點向市場廣泛傳達相關內容。

如果您認為未收到Sectigo發送的通知，請發送電郵至我們的電郵地址以確認正確員工的聯絡資訊已登記在我們的電郵分發列表中。如果未告知供應商崗位和職責的變動，可能會導致溝通脫節。

問：我本應採取哪些不同措施，才能避免此次故障或應急事件？

我們的知識庫文章及配套的常見問題（FAQ）包含如何處理此類根證書到期問題的詳細資訊。請查閱這些文件，獲取實用指引，幫助您的機構防範未來因根證書到期導致的故障。

通用原則層面請謹記，數碼證書是所有現代電腦系統的安全基石之一。請確保對您的數碼證書給予足夠重視。Sectigo與多家主動為此次到期做準備的企業有過對接。那些了解自身所用系統的信任庫、提前準備以識別並解決問題的企業，在此次根證書到期過程中未出現問題。

問：Sectigo下一次根證書到期是甚麼時候？

Sectigo在2028年之前不會再有其他公開信任的舊版根證書到期。Sectigo當前的主力現代根證書即COMODO根，獲得所有現代瀏覽器和基礎設施的支援，到期時間為2038年。