中小企業廣泛使用 Windows 2000/NT + IIS 架站，卻常忽略 HTTP 明文傳輸風險。本文實戰演示：在 Windows 2000 Server 上部署憑證服務 (CA)、申請/匯出伺服器憑證、綁定 IIS 網站啟用 HTTPS，構建端到端加密通道。
一、SSL/TLS 加密原理速覽
- 位於 HTTP (應用層) 與 TCP (傳輸層) 之間。
- 非對稱加密交換對稱會話金鑰：Server 公鑰加密 Pre-Master Secret → Client 傳送 → Server 私鑰解密 → 雙方推導 Session Key。
- 所有後續 HTTP 流量以 Session Key 對稱加密（AES/ChaCha20），竊聽者僅見亂碼。
- 數位憑證 (X.509) 綁定「域名/組織 ↔ 公鑰」，由 CA 簽署防止偽造。
二、Windows 2000 Server 部署步驟實錄
- 安裝憑證服務 (Enterprise CA)：
- 控制台 → 新增/移除 Windows 元件 → 憑證服務 → 選「企業根憑證授權單位」。
- 預設名稱/加密長度 (1024/2048 bit) → 完成，CA 自動簽發自身根憑證。
- 申請 Web 伺服器憑證：
- IIS 管理員 → 網站右鍵 → 內容 → 目錄安全性 → 伺服器憑證 → 建立新憑證。
- 選「立即準備要求」，輸入網站名稱、組織、國家、通用名稱 (CN) 必須 = 完整域名 (如 www.example.com)。
- 產生 `certreq.txt` (CSR)，提交給內部 CA 或外部公信 CA (VeriSign/GlobalSign/Let's Encrypt)。
- 安裝已簽發憑證：
- 收到 `.cer`/`.crt` → IIS 伺服器憑證精靈 → 「處理擱置要求」 → 匯入憑證檔。
- 綁定：網站內容 → 目錄安全性 → 安全通訊 → 編輯 → 指派此憑證 → 埠號 443。
- 匯出含私鑰的 PFX (備份/遷移)：
- MMC → 憑證嵌入式管理單元 (電腦帳戶) → 個人 → 憑證 → 右鍵所有工作 → 匯出 → 是，匯出私鑰 → PFX 格式 → 設定強密碼 → 存檔 `iis_backup.pfx`。
- 強制 HTTPS / 重導 HTTP → HTTPS：
- IIS → 網站內容 → 目錄安全性 → 安全通訊 → 編輯 → 勾選「要求安全通道 (SSL)」。
- 或自訂錯誤頁 403.4 → 導向 `https://$SERVER_NAME$URL` 實現自動跳轉。
三、企業內網 HUB 環境的特殊風險
- 共享媒介：任一節點開啟混雜模式即可竊聽全網明文流量（HTTP/POP3/FTP/Telnet）。
- 交換機環境：雖隔離碰撞域，但 MAC 溢位、ARP 欺騙、監聽埠 (SPAN/RSPAN) 仍可旁路竊聽。
- 全網 SSL/TLS 加密 = 將竊聽成本提升至「破解 AES-256 或竊取私鑰」級別，經濟上不可行。
四、進階加固清單
- 停用 SSLv2/SSLv3/TLS 1.0/1.1，僅啟用 TLS 1.2/1.3。
- 優先密碼套件：`TLS_AES_256_GCM_SHA384`、`TLS_CHACHA20_POLY1305_SHA256`、`ECDHE_RSA_AES_256_GCM`。
- 啟用 HSTS (`Strict-Transport-Security: max-age=31536000; includeSubDomains; preload`)。
- OCSP Stapling 減少用戶端驗證延遲，防範 OCSP 攻擊。
- 定期輪換私鑰 (建議 1 年)，吊銷舊憑證 (CRL/OCSP)。
HTTPS 不是可選項，是基線。從 CA 部署到密碼套件優化，每一步都在為資料機密性與完整性加碼。