گوگل اعلام کرد که دیگر به گواهی‌های دیجیتال صادر شده توسط Chunghwa Telecom و Netlock اعتماد نخواهد کرد. این تصمیم به دلیل رفتارهای نگران‌کننده‌ای است که طی سال گذشته از این دو شرکت مشاهده شده است.

این تغییرات در نسخه ۱۳۹ مرورگر کروم اعمال خواهد شد که برای انتشار عمومی در اوایل آگوست ۲۰۲۵ برنامه‌ریزی شده است. نسخه فعلی کروم، نسخه ۱۳۷ است.

این به‌روزرسانی بر تمام گواهی‌های احراز هویت سرور TLS که توسط این دو مرجع صدور گواهی (CA) پس از ۳۱ جولای ۲۰۲۵ ساعت ۲۳:۵۹:۵۹ به وقت UTC صادر شوند، تأثیر خواهد گذاشت. گواهی‌های صادر شده قبل از این تاریخ تحت تأثیر قرار نخواهند گرفت.

Chunghwa Telecom بزرگترین ارائه‌دهنده خدمات مخابراتی یکپارچه در تایوان است. Netlock نیز یک شرکت مجارستانی است که خدمات هویت دیجیتال، امضای الکترونیکی، مُهر زمانی و احراز هویت ارائه می‌دهد.

تیم امنیتی کروم گوگل اعلام کرد: “طی ماه‌ها و سال‌های گذشته، ما الگویی از نقض‌های مکرر قوانین، عدم انجام تعهدات بهبود و فقدان پیشرفت ملموس در پاسخ به گزارش‌های حوادث منتشر شده را مشاهده کرده‌ایم. با در نظر گرفتن مجموع این عوامل و خطرات ذاتی که هر CA برای اینترنت ایجاد می‌کند، ادامه اعتماد عمومی دیگر قابل توجیه نیست.”

در نتیجه این تغییر، کاربران مرورگر کروم در سیستم‌عامل‌های ویندوز، مک، کروم او اس، اندروید و لینوکس که به وب‌سایت‌هایی با گواهی صادر شده توسط این دو CA پس از ۳۱ جولای مراجعه کنند، با یک هشدار امنیتی تمام صفحه مواجه خواهند شد.

به اپراتورهای وب‌سایت‌هایی که به این دو CA متکی هستند، توصیه می‌شود از Chrome Certificate Viewer برای بررسی اعتبار گواهی‌های سایت خود استفاده کنند و در اسرع وقت به یک CA معتبر جدید منتقل شوند تا از اختلال در دسترسی کاربران جلوگیری شود.

سازمان‌ها می‌توانند با نصب گواهی Root CA مربوطه به عنوان یک ریشه محلی قابل اعتماد در پلتفرمی که کروم اجرا می‌شود، این محدودیت‌ها را دور بزنند.

قابل ذکر است که اپل نیز از ۱۵ نوامبر ۲۰۲۴ به گواهی Root CA با نام “NetLock Arany (Class Gold) Főtanúsítvány” اعتماد نمی‌کند.

این افشاگری پس از آن صورت می‌گیرد که گوگل کروم، اپل و موزیلا تصمیم گرفتند از نوامبر ۲۰۲۴ دیگر به گواهی‌های Root CA امضا شده توسط Entrust اعتماد نکنند. Entrust پس از آن کسب‌وکار گواهی خود را به Sectigo فروخت.

در مارس امسال، گوگل همچنین اعلام کرد که انجمن CA/Browser دو روش MPIC (تأیید صدور از چند منظر) و Linting را به عنوان الزامات اجباری در الزامات پایه پذیرفته است تا اعتبارسنجی کنترل دامنه را بهبود بخشد و شیوه‌های ناامن در گواهی‌های X.509 را شناسایی کند.