由于NT系統(tǒng)的易維護性，越來越多的中小企業(yè)在自己的網(wǎng)站上和內部辦公管理系統(tǒng)上采用它，而且很多都是用默認的IIS來做WEB服務器使用。當然不能否認近來威脅NT系統(tǒng)的幾個漏洞都是由于IIS配置不當造成的，而且可以預見，未來IIS還會被發(fā)現(xiàn)很多新的漏洞和安全問題，但只要我們做好合理的安全配置，還是可以避免很多安全隱患的。本文并沒有系統(tǒng)的去講如何全面安全的配置IIS，我只是從利用SSL加密HTTP通道來講如果加強IIS安全的。
一、建立SSL安全機制
IIS的身份認證除了匿名訪問、基本驗證和Windows NT請求/響應方式外，還有一種安全性更高的認證，就是通過SSL（Security Socket Layer）安全機制使用數(shù)字證書。SSL（加密套接字協(xié)議層）位于HTTP層和TCP層之間，建立用戶與服務器之間的加密通信，確保所傳遞信息的安全性。SSL是工作在公共密鑰和私人密鑰基礎上的，任何用戶都可以獲得公共密鑰來加密數(shù)據(jù)，但解密數(shù)據(jù)必須要通過相應的私人密鑰。使用SSL安全機制時，首先客戶端與服務器建立連接，服務器把它的數(shù)字證書與公共密鑰一并發(fā)送給客戶端，客戶端隨機生成會話密鑰，用從服務器得到的公共密鑰對會話密鑰進行加密，并把會話密鑰在網(wǎng)絡上傳遞給服務器，而會話密鑰只有在服務器端用私人密鑰才能解密，這樣，客戶端和服務器端就建立了一個惟一的安全通道。
建立了SSL安全機制后，只有SSL允許的客戶才能與SSL允許的Web站點進行通信，并且在使用URL資源定位器時，輸入https:// ，而不是http://。
簡單的說默認情況下我們所使用的HTTP協(xié)議是沒有任何加密措施的，所有的消息全部都是以明文形式在網(wǎng)絡上傳送的，惡意的攻擊者可以通過安裝監(jiān)聽程序來獲得我們和服務器之間的通訊內容。這點危害在一些企業(yè)內部網(wǎng)絡中尤其比較大，對于使用HUB的企業(yè)內網(wǎng)來說簡直就是沒有任何安全可講因為任何人都可以在一臺電腦上看到其他人在網(wǎng)絡中的活動，對于使用交換機來組網(wǎng)的網(wǎng)絡來說雖然安全威脅性要小很多，但很多時候還是會有安全突破口，比如沒有更改交換機的默認用戶和口令，被人上去把自己的網(wǎng)絡接口設置為偵聽口，依然可以監(jiān)視整個網(wǎng)絡的所有活動。
所以全面加密整個網(wǎng)絡傳輸隧道的確是個很好的安全措施，很可惜的是現(xiàn)在網(wǎng)絡上有關于具體給IIS配置SSL的文章并不是很多，我簡單的摸索了下把我的經(jīng)驗拿出來給大家分享。
二、操作辦法
以WIN2000服務器版本的來做例子講解的，我們首先需要在控制面板里的填加刪除WINDOWS組件中去安裝證書服務，這個服務在默認安裝中是沒有安裝在系統(tǒng)里的，需要安裝光盤來安裝。

然后選擇獨立根CA的安裝類型。然后在下一步中給自己的CA起一個名字來完成安裝就可以了。
安裝完成后，我們就可以啟動我們的IIS管理器來申請一個數(shù)字證書了，啟動INTERNET管理器選擇我們需要配置的WEB站點：

選擇站點屬性里的，目錄安全性-安全通信-服務器證書

由于我們是第一次配置，所以選擇創(chuàng)建一個新的證書。

用默認的站點名稱和加密位長設置就可以了。

其實上面的設置都是非常簡單的，看看我抓的幾個設置畫面就可以很簡單的設置好的，最好選擇一個地方把我們剛才生成的一個請求證書保存起來。

完成上面的設置后，我們就要把我們剛剛生成的服務器證書提交給我們剛剛在本地安裝的證書服務器。在默認情況下證書服務器完成安裝后會在本地的IIS里的WEB服務器里面生成幾個虛擬的目錄。
我們打開

選擇申請證書

在選擇申請類型的時候，選擇高級申請。

　選擇使用base64的編碼方式來提交我們的證書申請。

在證書申請的地方把我們剛剛生成的certreq.txt的內容拷備進去，然后選擇提交。

提交成功以后，會返回一個頁面給我們告訴我們證書已經(jīng)成功提交了，現(xiàn)在是掛起狀態(tài)就是等待CA中心來頒發(fā)這個證書了。
好接下來啟動管理工具里的證書頒發(fā)機構，在待定申請中找到我們剛剛的申請條目然后點擊鼠標右鍵選擇頒發(fā)就好了。

頒發(fā)成功以后我們在頒發(fā)的證書里找到剛才頒發(fā)的證書，雙擊其屬性欄目然后在詳細信息里選擇將證書復制到文件。

我們需要把證書導出到一個文件，這里我們把證書導出到c:\ sql.cer這個文件里。
重新回到IIS的WEB管理界面里重新選擇證書申請，這個時候出來的界面就是掛起的證書請求了。

選擇我們導處的sql.cer這個文件。

確定一切信息正確以后，就可以點擊下一步確定來完成SSL的安裝了。

默認安裝結束后，SSL并沒有啟動我們需要自己給我們的站點SSL的加密通道，并且確定HTTPS使用的端口是443 。

第一次通過HTTPS進入站點的時候，會有一個對話框讓我們確認是否同意當前證書，當然是同意啦~

好了，這個時候我們看這個網(wǎng)站的時候所有信息在網(wǎng)上就是以加密的方式來傳送的了，任何人都無法再輕易了解其中的內容了。
下面給各位看看加密前后加密后的兩幅IRIS的監(jiān)聽結果：
　加密前：

加密后：

加密過的SSL會比普通的沒有加密的WEB瀏覽的時候慢一點，主要是因為加密的隧道額外還要占用一點CPU的資源，對于那些沒有任何秘密可言的WEB站點沒有需要用加密的SSL通道。只要對于那些重要的目錄和站點才有這個必要性。