資訊安全
This presentation is the property of its rightful owner.
Sponsored Links
1 / 48

資訊安全 PowerPoint PPT Presentation


  • 76 Views
  • Uploaded on
  • Presentation posted in: General

資訊安全. 詹進科 教授主講 國立中興大學資訊科學與工程學系. 資訊安全 前言. 0 -1 :導論 0 -2 :資訊安全基本需求 0 -3 :資訊安全的範疇 0 -4 :資訊安全的威脅 0 -5 :資訊安全架構. 0 -1 :導論. 資訊世界:新大陸的誕生. 資訊世界:新大陸的誕生. 美國社會思想家艾文 ‧ 托佛勒 (Alvin Toffler) 於 一九八○年 出版未來學三部曲之二: 《 第三波 》 。他於書中預言未來世界,勾勒出未來人類的文明、政治、經濟、社會、工業等不同面貌。

Download Presentation

資訊安全

An Image/Link below is provided (as is) to download presentation

Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author.While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server.


- - - - - - - - - - - - - - - - - - - - - - - - - - E N D - - - - - - - - - - - - - - - - - - - - - - - - - -

Presentation Transcript


5413767

資訊安全

詹進科 教授主講

國立中興大學資訊科學與工程學系


5413767

資訊安全 前言

  • 0-1:導論

  • 0-2:資訊安全基本需求

  • 0-3:資訊安全的範疇

  • 0-4:資訊安全的威脅

  • 0-5:資訊安全架構


5413767

0-1:導論

  • 資訊世界:新大陸的誕生


5413767

資訊世界:新大陸的誕生

  • 美國社會思想家艾文‧托佛勒(Alvin Toffler)於一九八○年出版未來學三部曲之二:《第三波》。他於書中預言未來世界,勾勒出未來人類的文明、政治、經濟、社會、工業等不同面貌。

  • 第三波革命指的是:人類生產力經過三個重要階段的解放,分別是農業革命、工業革命與資訊革命。


5413767

資訊世界:新大陸的誕生

  • 電腦的發明是資訊革命中的一項重要代表,它於一九五○年左右問世,讓人類得以在「資訊儲存」、「資訊傳遞」、「資訊處理」各方面有了劃時代的進步。

  • 二十世紀早期電腦的角色單純僅是用於科學計算、軍事用途、或大型企業資料處理。

  • 隨科技進步,人性化、便利化的技術與設備相繼面世,使得資訊科技普遍進入人類生活各層面,正式開啟資訊生活的序幕。


5413767

資訊世界:新大陸的誕生


5413767

資訊世界:新大陸的誕生

資訊世界帶給我們新視野

雖有新契機但也有新威脅

你已經準備充分來面對?


5413767

0-2:資訊安全基本需求

  • 資訊安全真實案例

  • 基本需求簡介

  • 研討基本需求之特性


5413767

資訊安全真實案例

Anthony Babington(謀反主角)

(一) 蘇格蘭 瑪麗女王的密碼

Gilbert Gifford(雙面間諜)

Elisabeth. I.

Walsingham(國務大臣)

Mary Stuart

1586 AD. 10/15(審判日)

Philip van Marnix

(解密專家)


5413767

這場審判之勝負取決於編碼專家與解碼專家之能力;

瑪麗女王既是蘇格蘭女王 法國王后,也是覬覦英國王位的人,而一張紙條之能否被解開秘密,決定她的命運!


5413767

another story

  • 1894年6月22日日本外務大臣陸奧宗光致函清朝駐日公使汪鳳藻,商討事宜。次日汪氏以密電碼通信向國內總理衙門拍發長篇電文。

  • 負責監督中方通訊的日本電信課長佐藤愛磨截獲此電報經反覆研究,以明文攻擊法成功破解中方的密電碼。

  • 中方軍事通信之密碼失去了保密性,因此日方在甲午戰爭期間對清廷內部實虛及軍隊行蹤了若指掌。

取材自:“密碼學在業界應用之近況”單懷靈 博士

[email protected]


5413767

層出不窮的資訊安全事件

  • 1988年,美國康乃爾大學學生施放Network Warm,造成Internet上近6000部電腦系統當機。

  • 1994年,俄國電腦專家利用網路進入美國花旗銀行自動轉帳電腦系統,竊取40多筆總額一千多萬美元的客戶存款,轉存到國外帳戶中。

  • 1996年,港商愛普生(EPSON)公司電腦上的積體電路佈局資料,遭離職員工經由網路入侵篡改,而生產出錯誤晶片。

  • 1999年,電腦駭客控制一枚英國軍事通信衛星,更改衛星路線,並發出勒索金錢的威脅。

  • 1999年八月,國內監察院、營建署、勞委會、工研院…等多個政府網站遭駭客入侵。


5413767

層出不窮的資訊安全事件

  • 2000年八月, Yahoo網站當機,攻擊發起後48小時內,包括Buy.com、eBay.com、Amazon.com、CNN.com、Zdnet.com、E*Trade.com等網站受影響無法提供正常服務。

  • 2000年十月, 微軟被入侵,“Qaz Trojan”入侵,FBI介入調查。

  • 2001年三月, 亞馬遜網路書店旗下Bibliofind網站遭入侵,大約9.8萬筆顧客信用卡資料遭竊,網站關閉

  • 2001年四月,中美駭客大戰,已知者與無知者知識競賽。

  • 2001年九月, Nimda肆虐,全球220萬台電腦癱瘓,全球損失約花費美金5億元復原。


5413767

資訊安全基本需求簡介 (廣義資訊安全)

  • 機密性:保障資訊不外洩。

  • 完整性:確保資訊的完整性,未被篡改。

  • 可用性:使合法使用者得以正常使用資源。

  • 不可否認性:確保使用者不可抵賴已做的事,例如網路下單買賣股票。

  • 鑑別性:確認與你通訊的對方身份。

  • 存取控制:控制使用權限的範圍,避免未授權者使用資源。


Confidentiality

加密

解密

機密性(Confidentiality)

  • 確保資訊的機密,防止機密資訊洩漏給未經授權的使用者。

  • 確保資料傳輸的隱私,可透過資料加密的程序以達到此目標。

  • 資料一旦經過轉傳的動作,就存在著訊息內容被外人得知的風險。例:決策文件或國家機密。

2a4gybf768

849d5xf948

2a4gybf768

849d5xf948

I Love You

I Love You


Integrity

完整性(Integrity)

  • 資料內容僅能被合法授權者所更改,不能被未經授權者所篡改或偽造。

  • 為了確保資料能正確無誤的傳送到接收者

    • 雜湊函數

      • 資料透過雜湊函數產生一訊息傳給接收者,讓接收者能用相同的雜湊函數來驗證接收到資料的正確性

    • 將訊息加密

      • 為避免擁有相同雜湊函數的第三者竄改資料,可先將訊息加密後傳給接收者,讓第三者無法更動訊息


Availability

可用性(Availability)

  • 確保資訊與系統持續運轉無誤,以防止惡意行為導致資訊系統毀壞。

  • 當合法使用者要求使用資訊系統時,例如:收/送電子郵件、遠端存取資訊等,使用者均可在適當的時間內獲得回應,並完成服務需求。


Non repudiation

不可否認性(Non-repudiation)

  • 對於傳送方或接收方,都不能否認前進行資料傳輸或接收。

  • 可以利用數位簽章及公開金鑰基礎架構(Public Key Infrastructure, PKI)對使用者身份及訊息來源做身份驗證及資料來源驗證。


Authentication

鑑別性(Authentication)

  • 包括身份驗證及資料來源驗證。

  • 要能確認資料訊息之傳輸來源,以避免有惡意的傳送者假冒原始傳送者傳送不安全的訊息內容。(解決方式:數位簽章或資料加密)

  • 系統必須透過快速且正確的驗證身份方式執行驗講動作,以預防暴力攻擊者的惡意侵犯。


Access control

存取控制(Access Control)

  • 根據系統的授權策略,對使用者作授權驗證,以確認是否為合法授權者,防止未授權者來存取電腦系統及網路資源。


5413767

0-3:資訊安全的範疇

  • 資訊安全涵蓋範圍

  • 涵蓋範圍簡介


5413767

資訊安全涵蓋範圍

  • 國際資訊系統安全認證聯盟(International Infor-mation Systems Security Certification Consortium (ISC)2)所核定的國際資訊安全管理師認證(Certified Information Systems Security Professional,CISSP)中,將資訊安全範圍界定於十項領域。

按上圖可連結至國際資訊系統安全認證聯盟網址


5413767

資訊安全涵蓋範圍

  • 簡介CISSP 所涵蓋的十大領域,表列如下

    • 存取控制安全(Access Control)

    • 程序應用安全(Application Security)

    • 企業永續計畫(Business Continuity and Disaster Recovery Planning)

    • 密碼學(Cryptography)

    • 安全與風險管理(Information Security and Risk Management)

    • 資訊法規(Legal, Regulations, Compliance and Investigations)

    • 操作安全(Operations Security)

    • 實體環境安全(Physical (Environmental) Security)

    • 安全架構與設計(Security Architecture and Design)

    • 通訊與網路安全(Telecommunications and Network Security)


5413767

0-4:資訊安全威脅

  • 資訊安全的種類

    • 硬體安全、軟體安全、網路安全…等。

  • 資訊安全的威脅有多大

  • 潛在的威脅

  • 結論


5413767

資訊安全的種類

  • 硬體安全:遭遇天災人禍,如:硬體毀損、遭竊、遭破壞、停電、水災、風災、地震、炸彈等。

  • 軟體安全:病毒感染、軟體缺陷等。

  • 網路及通訊安全:內部網路故障、對外線路故障、資料在傳輸時外洩。


5413767

資訊安全的種類

  • 服務安全:網站遭阻絕服務攻擊。

  • 資料安全:書面資料遺留在桌面上、回收箱、影印機上、板書未清掃、於公共場所交談、電話交談太大聲、資料在機器中被竊取或傳輸時被攔截。

  • 個人安全:人身安全受威脅、個人隱私權侵犯等。


5413767

資訊安全的威脅有多大?

  • 2002年電腦犯罪及安全調查

    • 90%電腦受過各種安全破壞

    • 40%偵測到系統外部入侵(2000年為25%)

    • 85%電腦偵測到病毒

  • 環境惡劣,如何自保?

來源:Computer Secrity Institute (CSI), Computer Crime and Security Survey 2002


5413767

潛在的威脅

  • 威脅資訊安全分類:

    • 天然或人為

    • 蓄意或無意

    • 主動或被動

    • 實體或邏輯

  • 對各項資料安全而言,人員操作疏失及故意誤用是最大的威脅。


5413767

駭客

特洛伊木馬行為分析

網際網路

它也可以暗地打開某些通訊埠(port),作為駭客自由進出你的電腦系統的後門,進而隨意存取你系統裡面各種重要的檔案

駭客工具通常會偽裝成一些有趣的小程式,然後由駭客送出或使用者自行從Internet下載

這些經過偽裝的程式可以取得使用者電腦系統中的重要資料,並偷偷的回傳給駭客

駭客工具是一種具有特殊目的惡性程式,它可以設計來做遠端遙控或挖掘某些系統的後門等等。


5413767

實體或邏輯

  • 實體的安全威脅,為實際存在的硬體設備。電腦硬體經過長期運算、使用,會造成硬體物理性的彈性疲乏及損壞。

  • 邏輯的安全威脅,為資訊系統上的資料。


5413767

圖1 網路入侵工具與入侵者所需具備之技術關係圖[1]

重要發現 令人擔憂的現象-入侵工具自動化


5413767

圖3 系統弱點與作業系統的關係[15 ][ ]


5413767

結論

  • 安全非常重要,但並非絕對

    • 必須瞭解風險和替代方案

  • 安全不一定「最」重要

    • 必須瞭解安全計畫的目的

  • 技術面只是「必要條件」

    • 所有技術方案都可能有管理面的破解方法

  • 配套的「制度」或「個人習慣」


5413767

其他資訊安全概念淺釋


5413767

紀曉嵐(清朝):

鳳遊禾蔭鳥飛去 馬走蘆邊草不生

資訊安全 ?


5413767

資訊系統元件之安全威脅

硬體:中斷(拒絕服務)、截聽(偷取)

軟體:中斷(刪除)、更改、截聽

資料:中斷(漏失)、截聽、更改、偽造


5413767

其他 . . .

Steganography(掩飾訊息存在性之保密通訊方法):

中國 絲蠟球

義大利 明礬 醋 隱形液

. . .

Cryptography(隱藏訊息意義之保密通訊方法):

傳統密碼法 VS. 公開金鑰密碼法

Microdot (1941, FBI)

微縮攝影成句點

從密碼技術 到 資訊安全


5413767

(1)加解密系統

※原文(plaintext)、明文(cleartext)

※密文(ciphertext)

※金鑰(key)

※加密程序(encryption)

※解密程序(decryption)

?


5413767

金鑰

加密

密文

解密

明文

明文


5413767

加密金鑰

解密金鑰


5413767

(以上五頁資料取自 台科大 吳宗成 教授之手稿)


5413767

(2)Authentication

身份認證 之方法計有:

1. 身份證 ( IC 卡或 磁卡)

2. 通行碼

3.筆跡

4. 聲音

5. 指紋

6. 視網膜

7. DNA

H/W

約定資訊

S/W

約定資訊

生理特徵

網路上之身份確認協定:

(1) Kerberos {對稱型}

(2) X.509 {非對稱型}

Remote log-in


5413767

(3)數位簽章

多重數位簽章


5413767

(4)機密共享


5413767

(5)Key Management

如何將 DES 之私鑰送到對方手上?

Key distribution is defined to be a mechanism whereby one party chooses a secret and then transmits it to another party or parties.

Key agreement denotes a protocol whereby two (or more) parties jointly establish a secret key by communicating over a public channel.

Kerboros is a popular key serving system based on private-key cryptography.


5413767

憑證管理中心

Certificate Authority


5413767

(PS)其他奧秘的應用

網路投票

電子貨幣

金鑰信託

無線通訊


  • Login