1 / 70

CH9 資 通 安全

CH9 資 通 安全. 系統安全與網路安全及其重要性 加、解密技術 訊息鑑別與雜湊函數 數位簽章法 憑證與公開金鑰基礎架構 確保網站安全技術 虛擬私有網路技術運作模式 防火牆機制 電腦病毒與防治方式 系統與網路危安事件處裡程序. 9-1 電腦系統與網路的安全問題. 電腦與網路資料安全的重要性. 庫吉 (Kugel) 教授研究成果顯示，資料缺乏情況下， 金融業最多只能營運二天 商業可以維持三天左右的運作 工業能維持五天營運 保險業則可運作不到六天 百分之二十五的企業將因資料遭受嚴重毀損立即破產 百分之四十的企業也因此將在二年後逐步走向破產

wren
Download Presentation

CH9 資 通 安全

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript

  1. CH9資通安全 • 系統安全與網路安全及其重要性 • 加、解密技術 • 訊息鑑別與雜湊函數 • 數位簽章法 • 憑證與公開金鑰基礎架構 • 確保網站安全技術 • 虛擬私有網路技術運作模式 • 防火牆機制 • 電腦病毒與防治方式 • 系統與網路危安事件處裡程序

  2. 9-1電腦系統與網路的安全問題 CH09 資通安全

  3. 電腦與網路資料安全的重要性 CH09 資通安全 • 庫吉(Kugel)教授研究成果顯示，資料缺乏情況下， • 金融業最多只能營運二天 • 商業可以維持三天左右的運作 • 工業能維持五天營運 • 保險業則可運作不到六天 • 百分之二十五的企業將因資料遭受嚴重毀損立即破產 • 百分之四十的企業也因此將在二年後逐步走向破產 • 百分之七不到的企業在資料遭受嚴重毀損後能繼續存活到五年以上 • 資料在電腦系統中儲存與網路傳遞的安全已成為企業與組織永續經營的重要關鍵。

  4. 電腦系統與網路安全的主要目的 CH9資通安全 保護電腦與網路中記錄、處理、儲存、共用、傳送和接受的數位資訊不被遺失、濫用、洩露、竄改或損害 數位資訊必須能被有效保護，不會因為各種不同類型的弱點或設施的缺失而遭受損害 數位資訊承受的威脅包括錯誤、遺漏、欺詐、意外和故意損害

  5. 資訊危安事件 CH09 資通安全 • 比較常見的方式 • 電腦病毒破壞。 • 未經授權者入侵電腦系統，竊取或竄改資料甚至更動系統設定參數。 • 合法使用者有意或無心地造成資料的毀損、竊取、竄改資料或系統破壞。 • 不法份子偽冒成合法使用者進行各種工作。 • 資料在傳輸過程被截取、偷窺或竄改。 • 電腦或網路資源如主記憶體或頻寬被不當的佔用，降低效能。 • 釣魚網站竊取使用者機敏資料。

  6. 電腦系統與網路存在的威脅型態 CH09 資通安全 • 電腦系統或網路通訊中所承受之威脅與攻擊 • 阻斷威脅 • 偷窺威脅 • 竄改威脅 • 偽冒威脅

  7. 阻斷（interruption）威脅 CH09 資通安全

  8. 偷窺（interception）威脅 CH09 資通安全

  9. 竄改（modification）威脅 CH09 資通安全

  10. 偽冒（fabrication）威脅 CH09 資通安全

  11. 資訊安全的三大基本安全需求 機密性 資訊安全 完整性 可用性 CH09 資通安全

  12. 9-2傳統密碼系統 CH09 資通安全

  13. 傳統密碼系統的示意圖 CH09 資通安全 傳統密碼系統又稱單金鑰密碼系統(Single-Key Cryptosystems)、對稱式密碼系統(Symmetric Cryptosystems)、秘密金鑰密碼系統(Private-key Cryptosystems)

  14. 設計傳統密碼系統的基本技術 CH09 資通安全 • 取代加密器(Substitution Ciphers)：一個明文字元會被另一個明文字元所取代。 • 凱薩加密器。 • 換位加密器(Transposition Ciphers)：改變每個明文字元的原來位置。

  15. 凱薩加密器 CH09 資通安全 取代加密器的一種，採用位移加密器的作法。 明文”THIS IS A CIPHER”加密後，密文就會變成”wklv lv d flskhu” 凱薩加密器的變形：加密規則變更成將任一個英文字元，以它的後k個英文字元所取代。k有25種選擇。

  16. 換位加密器 CH09 資通安全 明文以”THISISACIPHER”當例子。 填寫的順序是列為主的填寫方式，輸出時，每一行有一個輸出順序的代號，輸出的順序是行為主的輸出方式。 密文如：”ICRHAETSHSIIP”。

  17. 有名的傳統密碼系統 CH09 資通安全 • DES(Data Encryption Standard的簡稱) • AES (Advanced Encryption Standard的簡稱) • 比利時Rijmen與Daemen所設計的 Rijndael ，於2000年成為AES。 • 每次加密128位元的明文區塊(Block)，變成128位元的密文區塊。 • 秘密金鑰的長度有三種：128位元、192位元和256位元。 • 適用於32位元與8位元處理器的硬體平台。

  18. 傳統密碼系統與使用者鑑別 CH09 資通安全 通訊雙方共同分享同一把的秘密金鑰。 收方使用分享同的秘密金鑰，解密出正確的明文，就可以確認送方也是擁有相同秘密金鑰的人。

  19. 傳統密碼系統的安全議題 CH09 資通安全 • 秘密金鑰分配問題(Key Distribution Problems)。 • 系統有n個使用者，整個系統就需要n(n-1)/2把秘密金鑰。 • 改為臨時安全地讓雙方獲得相同秘密金鑰。 • 數位簽章(Digital Signatures)。

  20. 公開金鑰密碼系統(Public-Key Cryptosystems)的緣起 CH09 資通安全 • 1976年Diffie與Hellman提出公開金鑰密碼系統)的觀念。 • 動機：解決傳統密碼系統的 • 秘密金鑰分配問題。 • 數位簽章問題。 • 1978年Rivest、Shamir和Addleman提出知名的RSA公開金鑰密碼系統。

  21. 公開金鑰密碼系統的示意圖 CH09 資通安全

  22. 實現公開金鑰密碼系統的兩個函數 CH09 資通安全 • 單向函數 • 函數對電腦計算而言，是計算上容易完成的。 • 反函數對電腦計算而言，是計算上難以完成的。 • 單向暗門函數 • 是單向函數 • 當知道秘密暗門的時候，反函數對電腦計算而言，也是計算上容易完成的。

  23. 因數分解難題 CH09 資通安全 難的是因數分解方法要花費多少電腦的計算時間。 MIPS年=一個每秒執行一百萬個指令的處理器，執行一年的計算量。 Intel的一個1 GHz Pentium處理器約是250MIPS年的機器。 在1999年八月，分解155位數 (約512位元)的正整數，需要8000MIPS年的計算量。 2005年，正整數的因數分解位數只延長到200位數(約664位元)。

  24. RSA公開金鑰密碼系統 CH09 資通安全 • 安全性架構在因數分解計算的難題上。 • 金鑰產生： • 選兩質數p= 13和 q=17。 • 計算n= pq= 1317= 221與(n)= (p-1)(q-1)= 1216= 192。 • 選與(n)= 192互質的正整數e= 7。 • 計算出一個正整數d= 55滿足ed mod (n)= 1。 • 公開金鑰為(e, n)= (7, 221)，或是單獨 e = 7; 而秘密金鑰是(d, n)= (55, 221)或是單獨 d = 55。

  25. RSA公開金鑰密碼系統 CH09 資通安全 • 加密函數c= me mod n。 • 明文m= 3， 則密文為c= 37 mod 221= 198。 • 解密函數m= cd mod n • 解密過程為m= 3=19855 mod 221。 • RSA計算難題 • 在沒有秘密金鑰(d, n)前提下，從密文c = me mod n反推明文m是一件困難的問題。

  26. 9-3訊息鑑別與雜湊函數 CH09 資通安全

  27. 訊息鑑別(Message Authentication) CH09 資通安全 • 訊息鑑別 • 訊息鑑別：確認資料完整性。 • 使用者鑑別：確認資料的來源。 • 兩種常用的函數 • 訊息驗證(Message Authentication Codes，簡稱MAC)函數。 • 雜湊函數(Hash Functions)。

  28. 訊息驗證函數用於訊息鑑別 CH09 資通安全 事先擁有一把共同的秘密金鑰。 訊息驗證碼位元長度固定且遠短於輸入資料的位元長度。

  29. 雜湊函數 CH09 資通安全 • 輸入為不限位元長度，輸出為一固定位元長度的訊息摘要(Message Digests)。 • 系統公開共用的函數。 • 安全特性 • 單向函數(One-way Functions) 。 • 弱防止碰撞(Weak Collision Resistant)：給一組資料與摘要，難以找到另外不同的資料可以產生相同的摘要。 • 強防止碰撞(Collision Resistant)：難以找到兩個不同的資料會產生相同的摘要。

  30. 雜湊函數用於訊息鑑別 CH09 資通安全 雙方不須有共同的秘密金鑰。

  31. 常見攻擊雜湊函數的方法 CH09 資通安全 • 暴力攻擊法 • 嘗試輸入不同的資料輸入，看是否會產生相同的訊息摘要。 • 輸出位元長度為m的雜湊函數，需要嘗試輸入2m-1種可能的資料。

  32. 常見攻擊雜湊函數的方法 CH09 資通安全 • 生日攻擊法 • 「生日問題」-一年設為365天，需要多少人，才會有超過50%的可能性，會有兩人是同一天生日？ • 只要21人，這個人數大約是365的平方根的值。 • 輸出位元長度為m的雜湊函數，就如同有2m天生日。 • 只要試2m/2，就有超過50%的可能性，有兩個輸入的訊息摘要一樣。 • 輸出位元長度為m的雜湊函數，需要嘗試輸入2m/2種可能的資料。

  33. 常見的雜湊函數 CH09 資通安全 在1992年時，美國的IETF推出128位元雜湊函數MD5。 在1993年時，美國的NIST推出雜湊函數SHA-0。 在1995年，美國的NIST推出160位元的雜湊函數SHA-1。 在2002年，美國的NIST基於SHA-1 雜湊函數，又推出256位元的SHA-256、 384位元的SHA-384與512位元的SHA-512。

  34. 9-4數位簽章 CH09 資通安全

  35. 數位簽章法 CH09 資通安全 • 在1976年Diffie與Hellman也提出數位簽章法的觀念。 • 在1978年Rivest、Shamir和Addleman同時提出知名的RSA數位簽章法。 • 架構在因數分解的計算難題上。

  36. 數位簽章法的示意圖 CH09 資通安全

  37. 簽章函數 秘密金鑰SK 訊息摘要 加密函數 簽章 雜湊函數 訊息 CH09 資通安全

  38. 驗証函數 訊息 訊息摘要 雜湊函數 比較 公開金鑰PK 簽章 加密函數 訊息摘要 CH09 資通安全

  39. 9- 5憑證與公開金鑰基礎架構 CH09 資通安全

  40. 公開金鑰憑證(Certificates) CH09 資通安全 • 公開金鑰憑證可以建立公開金鑰與擁有者的”具公信力”關係。 • 公開金鑰憑證至少需要包含 • 公開金鑰 • 使用者身分相關的資料 • 註記憑證的用途與限制條件 • 有效期限

  41. 公開金鑰基礎架構(Public Key Infrastructure，簡稱PKI) CH09 資通安全

  42. 憑證管理中心的功能 CH09 資通安全 憑證的核發、更新和終止。 憑證的保管。 憑證的查詢與分送。 解決糾紛時的憑證查驗。

  43. 階層式憑證管理中心 CH09 資通安全 最上層的憑證管理中心，稱為根憑證管理中心(Root CA)。 發行下層憑證管理中心的金開金鑰憑證。 是所有公信力的起點。 討論問題：如何認證根憑證管理中心的公信力？

  44. 目錄伺服器 CH09 資通安全 負責存放憑證管理中心發行的憑證。 存放憑證註銷串列(Certificate Revocation List，簡稱CRL)，供使用者查詢使用。

  45. 政府公開金鑰基礎架構(Government Public Key Infrastructure, GPKI) CH09 資通安全 • 依據九十到九十三年度「電子化政府推動方案」設立的。 • 按照ITU-T X. 509標準建置的階層式公開金鑰基礎架構。 • 為International Telecommunication Union (ITU)制定的憑證規格。 • 屬於X.500的一部分。 • 最新的版本是第三版。 • 政府憑證總管理中心(Government Root Certification Authority，簡稱GRCA)

  46. 政府公開金鑰基礎架構(GPKI) CH09 資通安全

  47. 9.6網站安全 CH09 資通安全

  48. 網站伺服端面臨的安全性挑戰 CH09 資通安全 客戶端與網站伺服端在網際網路雙向交換資料，網站伺服端容易遭受攻擊 網站伺服端普遍被用來當作展示企業組織和產品資訊的窗口，若網站伺服端受到破壞，不但可能造成企業組織商譽損失，甚至衍生交易糾紛 網站伺服端也因有不同的軟體工具輔助與支援其架設與管理越來越簡單，但其內部的底層軟體卻越來越複雜，乃至於可能隱藏許多潛存的安全漏洞或缺陷

  49. 網站伺服端面臨的安全性挑戰(續) CH09 資通安全 網站伺服端若在安全性不足的情況下可能被用來作為攻擊的跳板，間接地攻擊整個企業組織的電腦系統與網路 企業組織提供以網站伺服端為基礎的服務，常見使用者忽視或無法意識到安全性的危機，且常常沒有足夠的知識或工具做為因應的對策，使得運用服務過程暴露在安全威脅中

More Related