為什麼需要 SSL？
預設 HTTP 協定明文傳輸，數據在網路上「裸奔」。無論是集線器還是交換機環境，只要攻擊者控制節點或竄改交換機配置（如開啟鏡像埠），即可竊聽帳號密碼、商業機密。SSL/TLS 在 HTTP 與 TCP 之間建立加密隧道，採用非對稱加密交換會話金鑰，再以對稱加密傳輸數據，確保機密性、完整性與身分驗證。
SSL 工作流程簡述
- 客戶端發起 HTTPS 連線請求。
- 伺服器回傳數位憑證（含公開金鑰）。
- 客戶端驗證憑證信任鏈、有效期、主體名稱匹配。
- 客戶端生成隨機「預主密鑰」，用伺服器公開金鑰加密送出。
- 雙方獨立推導對稱「會話金鑰」，後續通訊採用對稱加密（AES/ChaCha20 等）。
Windows 2000 Server 部署步驟實錄
- 安裝憑證服務：控制台 → 「新增/移除 Windows 元件」 → 勾選「憑證服務」，需安裝光碟。
- 建立企業根 CA：選「企業根憑證授權單位」，使用預設站點名稱與加密長度（建議 2048 位元以上）。
- 匯出 CA 憑證：在「已發行憑證」中找到根憑證 → 右鍵「所有工作」→「匯出」→ 選「否，不匯出私密金鑰」→ 格式選
.cer（Base-64 編碼） → 存為 C:\ca.cer。
- 客戶端信任：將
ca.cer 部署至所有客戶端「信任的根憑證授權單位」存儲區（可透過群組原則批量推送）。
- 申請伺服器憑證：IIS 管理員 → 目標網站 → 「目錄安全性」→「伺服器憑證」→「建立新憑證」→ 選「立即準備要求」→ 填寫主體資訊 → 產生
.req 檔。
- CA 簽署：在 CA 主機用
certreq -submit 簽署，取得 .cer。
- 安裝伺服器憑證：回到 IIS 精靈 →「處理擱置要求」→ 匯入簽署好的憑證。
- 啟用 HTTPS：網站屬性 →「目錄安全性」→「安全通訊」→「編輯」→ 勾選「要求安全通道 (SSL)」→ 可選「要求 128 位元加密」。
驗證與維運要點
- 瀏覽器訪問
https://server/，鎖圖示正常、無憑證警告即成功。
- 定期檢查憑證到期日，建立到期提醒機制（建議提前 30 天換發）。
- 啟用 HSTS、OCSP Stapling、TLS 1.2/1.3 僅支援現代加密套件，停用 SSL 3.0、TLS 1.0/1.1。
- 內網同樣建議全站 HTTPS，防範內部威脅與 ARP 欺騙竊聽。
本文以 Windows 2000/IIS 5.0 為例，Windows 2003/IIS 6.0 流程大同小異，核心邏輯皆為「CA 建立 → 憑證申請/簽署/安裝 → 強制 HTTPS」。
