IE 瀏覽器無法開啟 HTTPS？KB2661254 更新導致的憑證金鑰長度限制解決方案

許多 Windows 7 + IE9 使用者回報：存取 HTTPS 網站（如企業 SSL VPN）時跳出「此網站的安全證書有問題」，點選「繼續瀏覽」仍無法載入頁面；同環境下 Windows XP + IE8 卻正常。罪魁禍首往往是微軟更新 KB2661254 —— 它將 SSL/TLS 憑證最小金鑰長度提升至 1024 位元，導致使用 512 或 768 位元舊憑證的舊式設備（VPN 閘道、舊版防火牆、嵌入式裝置）瞬間「被封鎖」。

問題根因

KB2661254 屬於安全性更新，旨在淘汰弱金鑰。安裝後，Schannel 安全通道拒絕握手金鑰 < 1024 bits 的連線。企業內部若仍有舊版 SSL VPN、IPMI、舊印表機管理介面等使用 512/768 bits 自簽憑證，IE9/10/11 將直接中斷連線，不再提供「繼續」選項。

兩種解決路徑

方案一：移除更新（快速、臨時、推薦測試用）

1. 控制台 → 程式和功能 → 檢視已安裝的更新
2. 搜尋 KB2661254 → 以滑鼠右鍵解除安裝
3. 重新開機後 IE 即可存取舊憑證網站

⚠️ 缺點：降低系統安全基線，微軟後續累積更新可能再次推送該補丁，需配合 WSUS/群組原則封鎖。

方案二：升級裝置憑證至 ≥1024 bits（根治、合規）

• 聯繫 VPN/防火牆/裝置廠商取得支援 SHA-256 + RSA 2048 bits 的新韌體或憑證匯入教學。
• 自簽憑證環境：用 OpenSSL 產生新金鑰對 openssl req -newkey rsa:2048 -nodes -keyout new.key -x509 -days 3650 -out new.crt，替換裝置舊憑證。
• 若裝置太老無法升級，建議隔離於獨立 VLAN，僅允許特定管理電腦（可保留舊 IE 或改用 Firefox ESR 舊版）存取。

驗證與預防

瀏覽器輸入 about:security 或線上工具（如 SSL Labs Server Test）檢查目標站台憑證金鑰長度。長期維運建議：建立憑證資產清單，於到期前 90 天啟動換發流程，避免再次遭遇「補丁日驚魂」。