目錄服務整合

• Outlook 2000「網際網路郵件」模式與 Outlook Express 5.0 支援 LDAP，可從任何相容目錄下載憑證至個人通訊錄。
• Outlook 2000「公司/工作群組」模式透過 MAPI 從 Exchange 目錄下載憑證，不支援 LDAP 下載憑證。
• Win2K 自動發布企業 CA 使用者憑證至 AD；NT 4.0 僅發布已登錄進階安全的用戶憑證至 Exchange 目錄。
• Outlook 2000「網際網路郵件」需建立連接埠 3268 (全域類別) 的 LDAP 目錄服務帳戶以瀏覽 AD。

私鑰保護機制

• Outlook 2000/OE 5.0 使用「保護儲存區」 (DPAPI) 以軟體方式保護硬碟上的私鑰。
• 更佳方案：硬體安全模組 (HSM，如 Compaq Atalla) 或智慧卡 (如 Gemplus GemSAFE，約 50 美元)。HSM 遭竄改可自毀資料。
• Syskey (128 位) 進一步保護硬碟上的密碼衍生金鑰：可選開機手動輸入、軟碟儲存或複合演算法加密存硬碟 (預設)。

S/MIME 憑證標準

• 基於 X.509 v3 (ITU-T) 開放標準。全系產品支援 v3；為相容 Outlook 97/Exchange 4.0/5.0，KMS 可設定發布 v1 (v3 子集)。
• Win2K CA 僅核發 v3；KMS 可配置雙發布。透過 MMC 憑證嵌入檢視匯出 .cer，再用 Certutil (需 Win2K CA) 分析內容。

互通性挑戰與解決

• RFC 822 名稱缺失：KMS 發布憑證僅含 X.500 DN，缺 RFC 822 名稱與替代主體名稱，導致 Netscape Messenger 驗證失敗。解決：Win2K CA 應發布包含此兩欄位的憑證。
• 多層 CA 驗證：NT 4.0 環境下跨 CA 驗證存問題；IE 5.0/OE 5.0/Outlook 2000/Win2K Pro 增強 CA 層驗證支援。
• Netscape Messenger 現狀：Communicator 4.7 不支援 CDP；CMS 4.1 已具備發布 CDP 能力，新版將內建。支援雙金鑰與資料復原 (Data Recovery Manager)。預設發送明文簽名，不支援不透明簽名選擇。
• PKCS#12 交換：雙方可交換憑證與私鑰。Outlook 需勾選「標記金鑰可匯出」；注意金鑰過期帶來的安全風險。

結論

用戶端 Outlook 2000/OE 5.0 搭配伺服器端 Exchange 2000，建構成熟 S/MIME 平台，受惠於 Win2K PKI 強化安全並擴展非微軟客戶端互通能力。