第一节网路安全防护

主辦：台中市政府教育局承辦：台中市西屯國小台中市九十學年度國民中小學教師個人網路安全資訊知能研習第一節：網路安全防護資訊安全清除郵件炸彈與過濾郵件防毒軟體安裝與使用安裝個人防火牆第二節：網路犯罪防治案例管理要點檢舉第三節：不當資訊防治的觀念與作法現象與防治之道2■第一節：網路安全防護.1-1資訊安全資訊安全文件要保密，除了避免被偷看之外，更重要的是設法做到即使文件被偷看了，對方也看不懂，這就有賴「加密」技術。文件加密，簡單的說，就是把文件裡的每一個字元（包括字母、數字、標點符號等）替換成別的字元，甚至還變更字元的次序，使整份文件變成不知所云。最簡單也最原始的加密技術是把字元移位，例如“FHFIJRNFXNSNHF”乍看之下毫無意義，其實是把原文“ACADEMIASINICA”裡的每一個字母往後移五個字母位置，使得A變成F、C變為H，依此類推，所得出來的加密文字。解密時，只需反向將“FHFIJRNFXNSNHF”的每一個字母往前移五個字母位置即可。這種加密技術，因為原始字元和加密字元之間只運用了簡單的移位規則，只需人工多試幾次就可以輕易破解。另一種比較高明的加密技術則是將原始字元，混雜的變更為別的字元，例如A變為X、B變為逗點…等。混雜加密技術，有如把所有字元放在摸彩箱裡，首先從箱子裡摸出一個字元（例如X）做為原始字元A的加密字元，接著就箱子裡剩餘的字元（扣除X）摸出原始字元B的加密字元，依此類推，直到所有原始字元都有一個加密字元為止。很顯然，原始字元與加密字元之間的對應關係是隨意的，因此很難直接破解。就英文而言，原始字元至少46個（包括26個字母、10個阿拉伯數字，加上假設10個各式符號），使用混雜加密技術時，原始字元和加密字元之間的可能對應多達45×44×43×…×2≒1.14×10組。想從近乎天文數字的可能組合中，猜對真正用來加密的那一組對應關係，將加密文件還原為原始文件（即解密），要比樂透中獎難上許多。換言之，文件的加密和解密工作都必須倚賴密碼表，因而如何保管好密碼表以免被偷，就成為重要課題。此外，如果長期使用同一份密碼表，將造成每個原始字元都固定轉換成某個加密字元（例如所有A都變成X、所有B都變成逗點…），截收者只要收集足夠的加密文件，就可以利用語言特性猜出原始字元和加密字元間的對應關係。例如在英文文件裡，空白、字母E和T、句點等的出現率最高，只要從加密文件裡找出最高出現率的幾個字元，嘗試替換成這些原始字元，慢慢摸索還是有可能破解密碼。利用語言特性破解混雜加密文件，對人而言是件極為艱辛的工作，必須藉助於電腦才可能完成，二次世界大戰期間英國人就為了破解德軍的電報密碼而發明了真空管電腦Colossus。時至今日，電腦科技和語言學知識足以讓破解混雜加密文件不再是難事，因此除了少數軍事用途之外（例如下令給潛水艦），幾乎已經不用這種加密技術了。進入電腦時代之後，文件加密和解密的工作變的簡單許多。位元邏輯運算EOR（ExclusiveOR，運算符號為⊕）具有一種特性：給相同長度的兩個字元串(bitstring)T和K，T⊕K⊕K＝T。EOR運算應用於文件加密時，T代表文件片段，而K則稱為Key。假設我們把原始文件的電子檔每16bit一切（相當於T），分別和一個16bit的任意位元串K（但每個bit都為0者除外）做EOR運算，所產生的新電子檔就成為加密文件。解密時，只要再把加密文件電子檔每16bit一切，分別和K做EOR運算，即可還原成原始文件。16bit的Key只有216－1＝65535種組合，使用電腦窮舉測試，很容易就能破解。所以，實用上Key越長越好，如果Key夠長的話，3電腦甚至要花上數年的時間才能破解密碼。不論多長，只要有Key，電腦就能輕易做好加密和解密的工作。除了方法簡單、保密性高之外，EOR加密技術還有另一項優點：不論是文字、語音或圖像，只要數位化之後都變成字元串，都能加密。被廣泛使用的DES(DataEncryptionStandard)就是以這種技術為基礎所發展出來的。DES雖然好用，卻有個嚴重缺點：加密和解密都使用相同的Key。換句話說，當你把加密文件的電子檔傳送給收件人時，必須同時給他Key，否則無法解密。如何安全無虞的把Key送交對方，於是成為DES的一大難題。1976年，Diffie和Hellman提出公鑰加密系統(PublicKeyCryptosystems)的構想：讓文件加密和解密用的Key變的不同，一舉解決了多年來Key保管與傳送的難題。PK加密系統需要兩個經過特別計算所得出的字元串，稱為公鑰和私鑰。資料經過公鑰加密之後必須用私鑰才能解密，反之亦然。1978年，Rivest、Shamir和Adleman共同發表了第一個實現PK加密系統的數學方程式，稱為RSA密碼。PKI(PublicKeyInfrastructure)的作用包括資料保密和身份認證兩方面。當你需要寄送加密檔案給某人（假設為A君）時，需先向PK伺服器查詢A君的公鑰，再以取得的公鑰進行資料加密。由於檔案是用A君的公鑰加密的，因此只有A君的私鑰才能解密。只要A君妥善保管好自己的私鑰，就能確保檔案的隱密性。至於身份確認方面，你需要事先透過適當的安全管道把代表自己身份的電子簽章檔送給A君，電子簽章檔可以是文字檔或簽名、印章的影像檔。當你把利用A君公鑰加密的資料檔Email給對方時，可以附加上利用自己私鑰加密的電子簽章檔。A君收到你寄送去的資料檔和電子簽章檔之後，可以使用他自己的私鑰對資料檔解密，同時向PK伺服器查詢你的公鑰，再利用取得的公鑰對電子簽章檔解密。比對解密後的電子簽章檔和你事先交付的電子簽章檔無誤之後，A君就能確認資料檔確實是你寄送給他的。PK登記手續只需辦理一次，之後就可以透過網路隨時更換寄存在PK伺服器裡的公鑰。使用者只要勤於更換公鑰和私鑰，甚至每一對公鑰和私鑰只用一次，用過即換，即可保障通訊內容安全無虞。PK加密機制可說是有史以來最安全可靠的資料加密技術，其重要性與需求必將隨著網路的發展而日增。未來的發展趨勢將是由各業務主管機構（例如金融資訊中心、證券交易中心、網路主管機構等）各自依業務需求設置PK伺服器，並透過協議簽約彼此提供公鑰查詢服務。總之，為了達成資訊安全上的隱密性，只讓特定的人能夠讀取敏感資訊，資訊應先經過加密的程序使其他人無法讀取。解密時則必須使用特定的機密資訊--金鑰，才能進行密文的復原作業。根據不同的金鑰加密機制，可分為對稱型保密演算(或稱秘密金鑰演算法)和非對稱型保密演算(或稱公開金鑰演算法)兩種形式。前者如DES具有執行快速的優點但卻較易被破解，而如何安全地把秘密金鑰傳送到收文者手中，則是對稱型保密演算法的弱點。後者的非對稱型保密演算如RSA則因加密與解密所用的金鑰並非同一把，就可以避開此傳送金鑰的問題，並且賦與整個保密系統一種數位簽章的功能。但也因為此類演算法的數學運算較複雜，所以其執行速率比較慢。資訊安全（圖解）4One-keycryptosystem:加密與解密使用相同鑰匙。Two-keycryptosystem:每個用戶均擁有一組公開-私密金鑰對，此金鑰對為一組電子密碼，可作為驗證個人身分之用。其中，私密金鑰(privatekey)須由用戶妥善保管，不可洩漏他人，而公開金鑰(publickey)經過憑證管理中心認證後，可作為驗證私密金鑰的憑據。5憑證管理中心(CertificationAuthority，CA)為具公信力第三者(TrustedThirdParty)，對個人及機關團體提供認證及憑證簽發管理等服務，以建立具有機密性、鑑別、完整性、不可否認性、接取控制及可用性而的資訊通信安全環境與機制。在建置營運憑證管理中心時，須依憑證管理中心之營運政策及策略，制訂憑證政策與憑證實作準則，規範其運作規定與作法，一方面讓用戶瞭解在使用上的作業規定，另一方面則藉此表明其在安全及公證性上的信賴度。資料保密：（如下圖）當你需要寄送加密檔案給某人（假設為B君）時，需先向PK伺服器查詢Ｂ君的公鑰，再以取得的公鑰進行資料加密。由於檔案是用Ｂ君的公鑰加密的，因此只有Ｂ君的私鑰才能解密。只要A君妥善保管好自己的私鑰，就能確保檔案的隱密性。6身份認證（數位簽章）：（如上圖）你需要事先透過適當的安全管道把代表自己身份的電子簽章檔送給對方。當你把資料檔寄送給對方（假設為Ｂ君）時，可以附加上利用自己私鑰加密的電子簽章檔。Ｂ君收到你寄送去的資料檔和電子簽章檔之後，同時向PK伺服器查詢Ａ君公鑰，再利用取得的公鑰對電子簽章檔解密。比對解密後的電子簽章檔和Ａ君事先交付的電子簽章檔無誤之後，Ｂ君就能確認資料檔確實是Ａ君寄送給他的。在公開金鑰基礎建設中，由Ａ君以私密金鑰加密的訊息，只能以Ａ君的公開金鑰才能解密。由此可知，若一密文能以Ａ君的公開金鑰解密，那此份訊息必然是以Ａ君的私密金鑰加密的。因此，以各人的私密金鑰加密後的訊息，具有不可否認的特性，稱為數位簽章(DigitalSignature)，可做為電子訊息簽章的方式。數位簽章的法定效力，將相等於一般的手簽章.某些情形下，數位簽章甚至比手寫簽名具有更大的法律效力。例如一份五頁的文件，只簽名在第一頁，沒有人敢保證其它頁沒被竄改過。但這份文件如果經過數位簽章，第三者可以驗證該文件是否有位元被修改過！資料保密與身份認證：（如下圖）當你把利用Ｂ君公鑰加密的資料檔Email給對方時，可以附加上利用自己私鑰加密的電子簽章檔。Ｂ君收到你寄送去的資料檔和電子簽章檔之後，可以使用他自己的私鑰對資料檔解密，同時向PK伺服器查詢你的公鑰，再利用取得的公鑰對電子簽章檔解密。比對解密後的電子簽章檔和你事先交付的電子簽章檔無誤之後，Ｂ君就能確認資料檔確實是你寄送給他的。7補充說明：向政府憑證管理中心申請憑證，以進行網路身份認證，是電子化政府提供網路服務的基礎。因此為了保障個人的權益，第一次申請憑證的程序就好像第一次到戶政事務所辦理印鑑證明，必須本人親自到場申請，經核對個人身份及基本資料無誤後，才發給證明。但是，這一次申請之後，爾後除了網路報稅外，任何政府所提供的網路服務，諸如戶役政、醫療、地政等均可適用。民眾申請憑證(Certificate)目前可分為個人申請、集體申請及HiNet用戶線上申請等三種方式。其申請流程說明如下：個人申請者以個人名義申請時，須先由網路下載憑證作業軟體並自行產生金鑰對到「私密金鑰磁片」以及將申請相關資料存入「憑證資料磁片」，爾後再攜帶本人身分證等證明文件與「憑證資料磁片」，前往中華電信服務窗口提出申請，於審核通過一個工作天內，客戶可自行上網將憑證下載至「憑證資料磁片」。中華電信提供台、澎、金、馬五十多個營業窗口(以後應該會移往政府戶政單位審驗)受理一般民眾（個人申請者）之憑證申請服務(以後應該會移往政府戶政單位審驗)另外在各地監理單位也設有公路監理服務窗口可以辦理申請。集體申請者集體申請目前適用在政府機關、公立學校等員工，先向參與此項服務之人事管理單位提出申請。該單位在進行憑證簽發相關作業後，會交給申請者一片「私密金鑰磁片」，申請者需妥為保存，請等待一個工作天後，再自行上網將憑證下載至「憑證資料磁片」。8HiNet用戶線上申請者目前只開放HiNet撥接用戶(不含HiNet易上網用戶)(研考會應該將會同意願意遵守相關權責規定,違法時將接受法律制裁,申請帳號時並有完整身分驗證程序以及同意客戶資料庫開放比對的ISP共同加入線上申請網路身分憑證的行列!不同的憑證申請程序將來也會分等級)，HiNet用戶可直接上網提出申請，身分認證工作由HiNet控管作業系統執行，一個工作天後會以E-mail通知審核結果，客戶可自行上網將憑證下載至「憑證資料磁片」。憑證，全名為公開金鑰憑證。內容包括：憑證序號、用戶名稱、公開金鑰、憑證有效期限及憑證管理中心之數位簽章等。憑證管理中心經必要流程，驗證用戶之身分與其公開金鑰後，發給憑證作為其公開金鑰之有效證明依據。數位簽章相當於個人之印鑑，憑證相當於此印鑑之印鑑證明，電子化網路環境下，可以憑證來驗證要個人身分之數位簽章，以確認個人身分。申請憑證是為