為 IIS 6.0 配置 SSL 加密：從憑證申請到強制 HTTPS 完整實作

互聯網傳輸明文極易被竊聽，SSL/TLS 為工業標準加密方案，廣泛用於電子商務/支付。本文以 Windows Server 2003 IIS 6.0 為例，示範完整 SSL 部署流程。

1. 產生憑證要求 (CSR)

1. IIS 管理員 → 網站右鍵「屬性」→「目錄安全性」→「伺服器憑證」。
2. 精靈選「建立新憑證」→「準備要求，稍後送出」。
3. 命名、選擇金鑰長度（建議 1024/2048 位元，過大影響效能）、填寫單位/部門/地理資訊。
4. 關鍵：通用名稱 (CN) 必須填寫網站完整網域名（如 www.example.com）。
5. 指定儲存路徑（如 d:\certreq.txt），完成 CSR 產生。

2. 安裝憑證服務 (CA)

Win2003 預設未裝，需手動添加：

1. 控制台 → 新增/移除程式 → Windows 元件 → 勾選「憑證服務」。
2. 選「獨立根 CA」，命名 CA、設定有效期（建議預設 5 年）、指定資料庫/日誌路徑。

3. 送出要求並核發憑證

1. IE 開啟 https://localhost/CertSrv/default.asp →「要求憑證」→「進階要求」→「使用 Base64 編碼的 CMC/PKCS#10 檔案送出」。
2. 將 certreq.txt 內容貼上送出，狀態變「掛起」。
3. 開啟「憑證授權單位」MMC →「掛起的要求」→ 右鍵該要求 →「所有工作」→「核發」。
4. 進入「已核發的憑證」→ 開啟剛核發項 →「詳細資料」→「複製到檔案」→ 匯出為 .cer（如 d:\cce.cer）。

4. 匯入憑證至 IIS

1. 回到 IIS「伺服器憑證」精靈 → 選「處理掛起的要求並安裝憑證」。
2. 指定 .cer 路徑、SSL 埠（預設 443），完成。

5. 強制目錄/網站使用 SSL

1. 選擇需加密的網站/虛擬目錄 → 右鍵「屬性」→「目錄安全性」→「安全通訊」區域「編輯」。
2. 勾選「要求安全通道 (SSL)」與「要求 128 位元加密」。
3. 可選：要求用戶端憑證、將特定憑證對應 Windows 帳號。

SSL 運作原理速覽

1. 客戶端連線 → 伺服器傳送數位憑證含公鑰。
2. 客戶端驗證憑證可信度，產生會話金鑰，用公鑰加密傳回。
3. 伺服器用私鑰解密取得會話金鑰。
4. 雙方建立加密通道，後續傳輸皆以會話金鑰對稱加密。

僅受信任客戶端能與伺服器通訊，確保資料機密性與完整性。