前言：為什麼需要數位憑證？
網路詐騙頻傳：股民帳號被盜刷、留學錄取信被竄改撤銷……根因在於「帳號+密碼」單一因子無法確認真實身分。數位憑證由 CA (Certificate Authority) 簽署，綁定公開金鑰與身分資訊，提供機密性、完整性、不可抵賴性、身分驗證四大安全屬性，是網路世界的「電子身分證」。
一、數位憑證核心觀念
1. 什麼是數位憑證？
符合 X.509 v3 標準的數位文件，包含：
- 版本號、序號 (CA 唯一)
- 簽署演算法 (如 sha256RSA)
- 簽發者 (CA 名稱)
- 有效期限 (起/迄)
- 主體 (Subject: CN=姓名, O=單位, E=Email 等)
- 主體公開金鑰 (RSA 2048+ / ECC P-256+)
- 擴展屬性：Key Usage (數位簽章、金鑰加密)、Extended Key Usage (Client Auth, Email Protection, Code Signing)、CRL/OCSP 點
- CA 數位簽章 (保證內容未被竄改)
2. 公開金鑰基礎建設 (PKI) 運作
- 金鑰對： 私鑰 (用戶自管，簽名/解密) + 公鑰 (公開於憑證，驗證/加密)。
- 信任鏈： 根 CA → 中繼 CA → 使用者憑證。瀏覽器/OS 內建信任根 CA 清單 (Microsoft Root Program, Mozilla CA Certificate Program)。
- 撤銷機制： CRL (Certificate Revocation List) / OCSP (Online Certificate Status Protocol) 即時查詢憑證狀態。
二、申請免費測試憑證實戰 (以 NetCA 為例)
- 造訪 https://testca.netca.net/ → 「憑證申請」→「試用型個人數位憑證」。
- 先安裝根憑證鏈：下載並安裝試用 CA 憑證鏈，否則後續步驟會報錯。
- 填寫表單：姓名、Email、身分證字號、電話、地址等。加密服務提供者 (CSP) 選 Microsoft Enhanced RSA and AES Cryptographic Provider (支援 AES、SHA-2)。若使用 USB Token/IC 卡，選對應廠商 CSP。
- 送出申請 → 收到信件含「業務受理號」與「密碼」 → 點擊下載連結 → 輸入受理號/密碼 → 點選「安裝憑證」→ 完成。
三、在 IE/Edge 中查看與管理憑證
- IE：Alt+T → 網際網路選項 → 「內容」頁籤 → 「憑證」按鈕。
- Edge：
edge://settings/privacy → 「管理憑證」 (開啟同樣的 certmgr.msc)。
- 「個人」頁籤：查看已安裝的個人憑證，雙擊可看詳細資訊 (一般、詳細資料、憑證路徑)。
- 「受信任的根憑證授權單位」：系統信任的根 CA 清單，可匯入企業私有根 CA。
四、Outlook Express / Windows Mail / Outlook 設定 S/MIME 簽名與加密
1. 設定郵件帳號
工具 → 帳戶 → 新增 → 郵件 → 輸入顯示名稱、Email、收發信伺服器 (POP3/IMAP + SMTP)，完成基本收發測試。
2. 綁定憑證
- 工具 → 選項 → 「安全性」頁籤。
- 「加密通訊」區塊：點選「設定」→ 「簽署憑證」/「加密憑證」均選取剛安裝的個人憑證。
- 勾選「傳送訊息時加上數位簽章」、「將傳出訊息的內容加密」 (可按需單獨啟用)。
- 「加密演算法」建議選 AES-256 / 3DES；「雜湊演算法」選 SHA-256。
3. 實測寄信
- 寫新郵件 → 寄出。收件端若已信任根 CA 並安裝對方憑證，會顯示「已簽署」紅色絲帶圖示；加密郵件僅持有私鑰者可解密 (甚至寄件者自己若無私鑰備份也無法閱讀已寄出的加密郵件)。
- 關鍵： 憑證中的 Email 必須與郵件帳號完全一致，否則驗證失敗。
五、Word/Excel 文件數位簽章
- 檔案 → 資訊 → 保護文件 → 新增數位簽章。
- 選取個人憑證 → 輸入簽署目的 (如「核准版本」) → 簽署。
- 文件標記為「最終版」，任何後續修改會導致簽章失效，達到防竄改、不可抵賴。
六、憑證備份與攜帶：守護私鑰生命線
- 匯出 PFX (PKCS#12)：
certmgr.msc → 個人 → 憑證 → 右鍵「所有工作」→「匯出」→ 勾選「是，匯出私鑰」→ 設定強密碼 → 存為 .pfx。
- 儲存介質建議： 加密 USB 隨身碟 (BitLocker/VeraCrypt)、硬體 Token (Feitian ePass, YubiKey)、智慧卡、手機安全區 (Android Keystore / iOS Secure Enclave)。
- 嚴禁： 存於雲端硬碟、郵件附件、未加密桌面、程式碼倉庫。
結語 (上集)
數位憑證是零信任架構的基石。完成免費憑證申請、安裝、郵件/文件簽名加密實作後，下集將深入：企業自建 CA (AD CS / OpenSSL / Smallstep)、憑證生命週期自動化 (ACME/SCEP)、SSL/TLS 伺服器憑證部署、代碼簽署與 WHQL、雲端 PKI (AWS Private CA, Azure Key Vault) 等進階主題。