HQY 一个和谐有爱的空间

    现在有些玩怀旧系统或怀旧游戏的朋友，安装了WinXP系统后，发现自带的浏览器IE不论如何都打不开网站，IE6会直接报错，如果是IE8则只能艰难打开少量网站比如百度，但大部分网站都打不开，其实这个问题一句话就能说清楚，是WinXP系统自己的数字签名根证书过期了，毕竟是2001年发布的操作系统，就算是SP3版本，自带的根证书也是2008年的，有些根证书10年左右过期，2018年后就不能使用，而大部分根证书因为更新了SHA-1或SHA-256加密算法，导致旧的证书即使没到期也提前作废了，而目前大部分网站都是用HTTPS加密链接，需要使用数字证书，所以WinXP在不更新根证书的情况下，基本上啥网站也打不开了。其实可以试试访问一些不需要HTTPS的网址，一般是没问题的，比如本站：P

    有些朋友可能也注意到这个问题原因，尝试更新系统补丁来解决这个问题，但很多朋友发现，即使安装了2008至2014年XP停止服务前的全部补丁，仍然无法解决问题。其实原因也简单，因为数字签名根证书的更新程序，并不包括在一般的安全补丁里，不更新数字签名的话，系统默认的签名很多都是过期状态，无法打开HTTPS加密的网站。我们可以单独下载KB931125，我能找到的最后的根证书更新程序是一个2014年发布的版本，另外还有一个KB968730，用于支持SHA-256加密算法，这两个补丁一并安装，可以解决绝大部分问题。如果有哪位朋友安装有Windows XP Embedded或POS Ready系统，可以使用系统自带的Windows Update的话，再帮忙看看还有没有新的根证书更新，如果有，可以解决更多HTTPS加密网页打不开问题。

解决WinXP/2003系统https网页打不开KB968730-KB931125.rar

    我这里提供的是WinXP、Win2003和XP x64的补丁，测试了都有效。如果需要其他版本自行百度吧。安装后就可以使用IE8打开大部分网站了，IE6则放弃吧！当然了，IE8现在来看也仍然太老了，很多网站都显示不正常，建议最好安装Chrome 49.0或FireFox 52.90版本，这都是支持XP的最后一个版本，就可以兼容大部分现在流行的网页了。

Google Chrome 49.0：

32位版离线安装包下载地址：
https://dl.google.com/release2/h8vnfiy7pvn3lxy9ehfsaxlrnnukgff8jnodrp0y21vrlem4x71lor5zzkliyh8fv3sryayu5uk5zi20ep7dwfnwr143dzxqijv/49.0.2623.112_chrome_installer.exe

64位版离线安装包下载地址：
https://dl.google.com/release2/va5qxmf7d3oalefqdjoubnamxboyf9zt3o6zj33pzo2r3adq2cjea9an8hhc6tje8y4jiieqsruld9oyajv9i6atj40utl3hpl2/49.0.2623.112_chrome_installer_win64.exe

Firefox 52.9.0：

32位安装包下载地址：

http://ftp.mozilla.org/pub/firefox/releases/52.9.0esr/win32/zh-CN/

64位安装包下载地址：

http://ftp.mozilla.org/pub/firefox/releases/52.9.0esr/win64/zh-CN/

    上述两个浏览器需要注意，虽然可能是XP系统可以使用的最后版本，但如果你的其他硬件不符合要求，可能也安装不了，因为Firefox必须在具备SSE2指令集的CPU上运行，也就是说至少P4或AMD K7以上CPU。在我的P3处理器只能运行更老的版本，比如48.0.2，这是在P3 CPU上可以运行的最后的版本。

http://ftp.mozilla.org/pub/firefox/releases/48.0.2/win32/zh-CN/

    另外在查资料的过程中发现，因为WinXP这类老系统默认不支持TLS 1.2加密方式，而部分网站在使用HTTPS的同时，还弃用了老的TLS 1.0加密方式，所以使用IE8浏览网页时会出现更新了补丁和根证书也打不开部分网站，或者部分微软的应用程序仍然会联网报错，这个的解决方案，是需要让WinXP系统安装PosReady补丁里的KB4019276和KB4467770，为XP系统增加TLS 1.2加密方式，但因为影响范围有限，而解决操作略麻烦，遇到的朋友可以参考这个链接解决：让Windows XP支援TLS 1.2以可以使用Outlook访问ExchangeOnline

KB4019276：这一补丁为 Windows XP 增加 TLS 1.1，1.2 协议的支持。

KB4467770：这一补丁允许某些软件使用新版协议来建立安全连接。

KB3081320：这一补丁为 Windows XP 提供 256 位加密算法支持。

安装好上述补丁，然后设置注册表，启用TLS1.2的注册表：

Windows Registry Editor Version 5.00[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Client]"DisabledByDefault"=dword:00000000[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.1\Server]"DisabledByDefault"=dword:00000000[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client]"DisabledByDefault"=dword:00000000[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server]"DisabledByDefault"=dword:00000000

    以上内容保存在文本文档，然后另存为.REG文件，双击导入注册表即可。

    最后多说一句，XP这类系统实在太老了，如果不是特殊需要，还是不要费劲安装来用了，在新硬件上并不能发挥全部性能，并且也很不安全。很多新软件不兼容老系统了，甚至连WinRAR 6.02以上的新版本都不再支持XP了，可想而知其他软件的情况了哦。

    不过，就算是更新到Win7这样的“较新”的系统，且不说在这些老硬件上能否工作吧，全新安装的Win7如果不更新数字证书更新和几个必要的补丁，也会面临和XP一样的问题，打不开网页。相当的尴尬。而且，2018年3月之后的Win7补丁，也放弃了P3这些老硬件，安装时会报错。如果尝试在老硬件上安装Ghost版Win7，切记不要包含2018年3月之后的补丁，会无法启动的。算是友情提醒吧。