在 IE9/IE10/IE11 中訪問 HTTPS 網站彈出「此網站的安全證書有問題」，點擊「繼續瀏覽 (不推薦)」仍無法進入，甚至直接白屏/報錯。根因多為微軟安全更新 KB2661254 強制要求 SSL/TLS 憑證金鑰長度 ≥ 1024 位，導致舊版憑證 (512 位/768 位) 的設備 (SSL VPN、舊款防火牆、舊版 Exchange、內部管理頁面) 徹底無法訪問。本文提供「卸載補丁」與「升級憑證」兩條路徑，並給出現代替代方案。

故障現象與根因

• 現象： IE 訪問 HTTPS 站點提示「安全證書有問題：吊鍵長度不足/憑證不可信/已過期/名稱不匹配」，點「繼續」無效或循環彈窗。
• 根因： KB2661254 (MS12-006) 更新了 schannel.dll，將 TLS/SSL 客戶端最小金鑰長度從 512 位提升至 1024 位。任何呈現 < 1024 位公鑰的伺服器憑證，將在 TLS 握手階段被客戶端直接拒絕 (Alert: insufficient_security / handshake_failure)。
• 影響範圍： 2012 年前部署的 SSL VPN (Juniper SA/ Pulse Secure 舊版)、Cisco ASA 早期固件、F5 BIG-IP 舊版、Exchange 2007/2010 自簽憑證、內部 Wiki/CRM/ERP 管理介面、舊款 IPMI/iDRAC/iLO 管理卡、舊版網銀 UKey 驅動頁面等。

方案一：卸載 KB2661254 (快速恢複、臨時過渡、降低安全態勢)

適用場景

• 臨時緊急訪問內部舊系統，無法立即升級伺服器憑證。
• 離線/隔離環境，無外網攻擊面，風險可控。

操作步驟

1. Win+R → appwiz.cpl → 左側「查看已安裝的更新」。
2. 搜索 KB2661254 (或按「安裝日期」排序找 2012 年 2 月前後的安全更新)。
3. 右鍵 → 解除安裝 → 確認 → 重啟電腦。
4. 重啟後再次訪問目標 HTTPS 頁面，應可正常載入 (仍會提示憑證不受信任，但可點「繼續」進入)。

方案二：升級伺服器端 SSL/TLS 憑證 (根治、合規、推薦)

操作路徑

1. 盤點資產： 列出所有出現錯誤的 HTTPS 服務 (IP/域名/端口/應用/負責人)。
2. 生成 CSR (Certificate Signing Request)： 在伺服器上生成 ≥2048 位 RSA 金鑰對 (推薦 2048/3072/4096)，或 ECC P-256/P-384 (更小更快)。
3. 申請/簽發憑證：
   • 公網站點：向受信 CA (DigiCert、Sectigo、GlobalSign、Let's Encrypt 免費、ZeroSSL、BuyPass、Google Trust Services) 申請 DV/OV/EV 憑證。
   • 內網設備：建立內部 PKI (AD CS / Smallstep / CFSSL / HashiCorp Vault) 簽發，或使用自簽但需將根憑證分發至所有客戶端信任存儲。
4. 部署憑證鏈： 伺服器安裝 server.crt + chain.crt (中間 CA) + private.key，配置 TLS 1.2/1.3、啟用 HSTS、OCSP Stapling、安全加密套件 (TLS_AES_256_GCM_SHA384 等)。
5. 驗證： openssl s_client -connect host:443 -servername host -tls1_2、nmap --script ssl-enum-ciphers -p 443 host、Qualys SSL Labs 測試 (公網) → 評級 A+。
6. 清理舊憑證： 吊銷/刪除所有 <1024 位舊憑證，避免誤用。

現代替代方案：不再依賴 IE

1. Edge IE 模式 (Enterprise Mode Site List)： 將舊系統 URL 加入企業模式站點清單，Edge 用 Chromium 內核渲染現代網站，僅對清單內 URL 啟用 IE 引擎 (需配置組策略/Intune)。注意：IE 模式同樣受 KB2661254 影響，根治仍需升級憑證。
2. 獨立舊版瀏覽器隔離環境： 虛擬機 (Win7/Win10 LTSC) + IE11 + 未安裝 KB2661254 + 無網絡隔離/僅內網訪問，專供舊系統維護用，嚴禁上外網。
3. 應用現代化改造： 將舊系統重寫/遷移至支持 TLS 1.2+、現代認證 (OIDC/SAML) 的架構，徹底擺脫 IE/舊憑證依賴。

驗證腳本 (PowerShell 一鍵檢測)

# 檢查 KB2661254 是否安裝
Get-HotFix -Id KB2661254 -ErrorAction SilentlyContinue

# 測試目標站點 TLS 握手最小金鑰長度接受情況
$target = "your-legacy-host:443"
try {
    $tcp = New-Object Net.Sockets.TcpClient
    $tcp.Connect("your-legacy-host", 443)
    $ssl = New-Object Net.Security.SslStream($tcp.GetStream())
    $ssl.AuthenticateAsClient("your-legacy-host")
    Write-Host "TLS 協商成功，協議: $($ssl.SslProtocol), 加密套件: $($ssl.CipherAlgorithm), 金鑰交換: $($ssl.KeyExchangeAlgorithm)"
    $cert = $ssl.RemoteCertificate
    if ($cert) { Write-Host "憑證公鑰長度: $($cert.PublicKey.Key.KeySize) 位" }
} catch { Write-Error "握手失敗: $_" } finally { $ssl.Dispose(); $tcp.Dispose() }

KB2661254 是微軟推動 TLS 生態向 ≥1024 位遷移的關鍵一招。對於仍依賴舊憑證的系統，「卸載補丁」只是止血，「升級憑證」才是治本，「現代化替代」才是出路。請根據資產價值與風險承受度，選擇正確路徑。