為何需要 SSL？

HTTP 明文傳輸，經由 Hub 即可全網段竊聽；Switch 雖較難，但未改預設密碼、配置鏡像端口同樣可被監聽。全通道加密是根本對策。

SSL/TLS 運作原理

1. 用戶端連線伺服器
2. 伺服器傳送數位憑證（含公開金鑰）
3. 用戶端驗證憑證（CA 信任鏈、有效期、CN 比對、撤銷狀態）
4. 用戶端產生對稱會話金鑰，用公開金鑰加密傳給伺服器
5. 伺服器用私鑰解密取得會話金鑰
6. 雙方以會話金鑰進行對稱加密通訊（效能最佳）

結果：https:// 取代 https://，建立唯一安全通道。

Windows 2000 Server 實作步驟

1. 安裝憑證服務 (CA)

控制台 → 新增/移除程式 → Windows 元件 → 憑證服務 → 選「獨立根 CA」 → 命名完成安裝。

2. IIS 申請伺服器憑證

Internet 服務管理員 → 選擇網站 → 內容 → 目錄安全性 → 安全通訊 → 伺服器憑證 → 建立新憑證 → 使用預設網站名稱與加密長度 → 產生 certreq.txt。

3. 提交至本機 CA

1. 瀏覽器開啟 https://localhost/certsrv（安裝 CA 後自動建立虛擬目錄）
2. 選「申請憑證」 → 「進階申請」 → 「Base64 PKCS#10」
3. 貼上 certreq.txt 內容 → 送出 → 狀態顯示「擱置中」

4. CA 核發憑證

管理工具 → 憑證核發機構 → 擱置要求 → 右鍵「核發」。

5. IIS 匯入憑證

伺服器憑證精靈 → 「處理擱置的要求並安裝憑證」 → 完成綁定。

驗證與後續

• 以 https://伺服器/ 存取，瀏覽器應顯示鎖圖示、無警告
• 目錄安全性 → 安全通訊 → 編輯 → 可設定「要求 SSL」、「要求 128-bit 加密」、「接受/要求用戶憑證」
• 下集將詳細說明用戶端憑證雙向驗證與憑證信任鏈部署

結語

SSL 部署核心在於「CA 信任鏈完整」與「私鑰妥善保管」。Windows 2000 內建 CA 讓中小企業零成本擁有企業級 PKI，善用之。