1 / 48

資訊安全

資訊安全. 詹進科 教授主講 國立中興大學資訊科學與工程學系. 資訊安全 前言. 0 -1 ：導論 0 -2 ：資訊安全基本需求 0 -3 ：資訊安全的範疇 0 -4 ：資訊安全的威脅 0 -5 ：資訊安全架構. 0 -1 ：導論. 資訊世界：新大陸的誕生. 資訊世界：新大陸的誕生. 美國社會思想家艾文 ‧ 托佛勒 (Alvin Toffler) 於 一九八○年 出版未來學三部曲之二： 《 第三波 》 。他於書中預言未來世界，勾勒出未來人類的文明、政治、經濟、社會、工業等不同面貌。

lynton
Download Presentation

資訊安全

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript

  1. 資訊安全 詹進科 教授主講 國立中興大學資訊科學與工程學系

  2. 資訊安全 前言 • 0-1：導論 • 0-2：資訊安全基本需求 • 0-3：資訊安全的範疇 • 0-4：資訊安全的威脅 • 0-5：資訊安全架構

  3. 0-1：導論 • 資訊世界：新大陸的誕生

  4. 資訊世界：新大陸的誕生 • 美國社會思想家艾文‧托佛勒(Alvin Toffler)於一九八○年出版未來學三部曲之二：《第三波》。他於書中預言未來世界，勾勒出未來人類的文明、政治、經濟、社會、工業等不同面貌。 • 第三波革命指的是：人類生產力經過三個重要階段的解放，分別是農業革命、工業革命與資訊革命。

  5. 資訊世界：新大陸的誕生 • 電腦的發明是資訊革命中的一項重要代表，它於一九五○年左右問世，讓人類得以在「資訊儲存」、「資訊傳遞」、「資訊處理」各方面有了劃時代的進步。 • 二十世紀早期電腦的角色單純僅是用於科學計算、軍事用途、或大型企業資料處理。 • 隨科技進步，人性化、便利化的技術與設備相繼面世，使得資訊科技普遍進入人類生活各層面，正式開啟資訊生活的序幕。

  6. 資訊世界：新大陸的誕生

  7. 資訊世界：新大陸的誕生 資訊世界帶給我們新視野 雖有新契機但也有新威脅 你已經準備充分來面對？

  8. 0-2：資訊安全基本需求 • 資訊安全真實案例 • 基本需求簡介 • 研討基本需求之特性

  9. 資訊安全真實案例 Anthony Babington(謀反主角) (一) 蘇格蘭 瑪麗女王的密碼 Gilbert Gifford(雙面間諜) Elisabeth. I. Walsingham(國務大臣) Mary Stuart 1586 AD. 10/15(審判日) Philip van Marnix (解密專家)

  10. 這場審判之勝負取決於編碼專家與解碼專家之能力;這場審判之勝負取決於編碼專家與解碼專家之能力; 瑪麗女王既是蘇格蘭女王 法國王后,也是覬覦英國王位的人,而一張紙條之能否被解開秘密,決定她的命運!

  11. another story • 1894年6月22日日本外務大臣陸奧宗光致函清朝駐日公使汪鳳藻，商討事宜。次日汪氏以密電碼通信向國內總理衙門拍發長篇電文。 • 負責監督中方通訊的日本電信課長佐藤愛磨截獲此電報經反覆研究，以明文攻擊法成功破解中方的密電碼。 • 中方軍事通信之密碼失去了保密性，因此日方在甲午戰爭期間對清廷內部實虛及軍隊行蹤了若指掌。 取材自:“密碼學在業界應用之近況”單懷靈 博士 shanhl@cht.com.tw

  12. 層出不窮的資訊安全事件 • 1988年，美國康乃爾大學學生施放Network Warm，造成Internet上近6000部電腦系統當機。 • 1994年，俄國電腦專家利用網路進入美國花旗銀行自動轉帳電腦系統，竊取40多筆總額一千多萬美元的客戶存款，轉存到國外帳戶中。 • 1996年，港商愛普生(EPSON)公司電腦上的積體電路佈局資料，遭離職員工經由網路入侵篡改，而生產出錯誤晶片。 • 1999年，電腦駭客控制一枚英國軍事通信衛星，更改衛星路線，並發出勒索金錢的威脅。 • 1999年八月，國內監察院、營建署、勞委會、工研院…等多個政府網站遭駭客入侵。

  13. 層出不窮的資訊安全事件 • 2000年八月， Yahoo網站當機，攻擊發起後48小時內，包括Buy.com、eBay.com、Amazon.com、CNN.com、Zdnet.com、E*Trade.com等網站受影響無法提供正常服務。 • 2000年十月， 微軟被入侵，“Qaz Trojan”入侵，FBI介入調查。 • 2001年三月， 亞馬遜網路書店旗下Bibliofind網站遭入侵，大約9.8萬筆顧客信用卡資料遭竊，網站關閉 • 2001年四月，中美駭客大戰，已知者與無知者知識競賽。 • 2001年九月， Nimda肆虐，全球220萬台電腦癱瘓，全球損失約花費美金5億元復原。

  14. 資訊安全基本需求簡介 (廣義資訊安全) • 機密性：保障資訊不外洩。 • 完整性：確保資訊的完整性，未被篡改。 • 可用性：使合法使用者得以正常使用資源。 • 不可否認性：確保使用者不可抵賴已做的事，例如網路下單買賣股票。 • 鑑別性：確認與你通訊的對方身份。 • 存取控制：控制使用權限的範圍，避免未授權者使用資源。

  15. 加密 解密 機密性(Confidentiality) • 確保資訊的機密，防止機密資訊洩漏給未經授權的使用者。 • 確保資料傳輸的隱私，可透過資料加密的程序以達到此目標。 • 資料一旦經過轉傳的動作，就存在著訊息內容被外人得知的風險。例：決策文件或國家機密。 2a4gybf768 849d5xf948 2a4gybf768 849d5xf948 I Love You I Love You

  16. 完整性(Integrity) • 資料內容僅能被合法授權者所更改，不能被未經授權者所篡改或偽造。 • 為了確保資料能正確無誤的傳送到接收者 • 雜湊函數 • 資料透過雜湊函數產生一訊息傳給接收者，讓接收者能用相同的雜湊函數來驗證接收到資料的正確性 • 將訊息加密 • 為避免擁有相同雜湊函數的第三者竄改資料，可先將訊息加密後傳給接收者，讓第三者無法更動訊息

  17. 可用性(Availability) • 確保資訊與系統持續運轉無誤，以防止惡意行為導致資訊系統毀壞。 • 當合法使用者要求使用資訊系統時，例如：收/送電子郵件、遠端存取資訊等，使用者均可在適當的時間內獲得回應，並完成服務需求。

  18. 不可否認性(Non-repudiation) • 對於傳送方或接收方，都不能否認前進行資料傳輸或接收。 • 可以利用數位簽章及公開金鑰基礎架構(Public Key Infrastructure, PKI)對使用者身份及訊息來源做身份驗證及資料來源驗證。

  19. 鑑別性(Authentication) • 包括身份驗證及資料來源驗證。 • 要能確認資料訊息之傳輸來源，以避免有惡意的傳送者假冒原始傳送者傳送不安全的訊息內容。(解決方式：數位簽章或資料加密) • 系統必須透過快速且正確的驗證身份方式執行驗講動作，以預防暴力攻擊者的惡意侵犯。

  20. 存取控制(Access Control) • 根據系統的授權策略，對使用者作授權驗證，以確認是否為合法授權者，防止未授權者來存取電腦系統及網路資源。

  21. 0-3：資訊安全的範疇 • 資訊安全涵蓋範圍 • 涵蓋範圍簡介

  22. 資訊安全涵蓋範圍 • 國際資訊系統安全認證聯盟(International Infor-mation Systems Security Certification Consortium (ISC)2)所核定的國際資訊安全管理師認證(Certified Information Systems Security Professional，CISSP)中，將資訊安全範圍界定於十項領域。 按上圖可連結至國際資訊系統安全認證聯盟網址

  23. 資訊安全涵蓋範圍 • 簡介CISSP 所涵蓋的十大領域，表列如下 • 存取控制安全(Access Control) • 程序應用安全(Application Security) • 企業永續計畫(Business Continuity and Disaster Recovery Planning) • 密碼學(Cryptography) • 安全與風險管理(Information Security and Risk Management) • 資訊法規(Legal, Regulations, Compliance and Investigations) • 操作安全(Operations Security) • 實體環境安全(Physical (Environmental) Security) • 安全架構與設計(Security Architecture and Design) • 通訊與網路安全(Telecommunications and Network Security)

  24. 0-4：資訊安全威脅 • 資訊安全的種類 • 硬體安全、軟體安全、網路安全…等。 • 資訊安全的威脅有多大 • 潛在的威脅 • 結論

  25. 資訊安全的種類 • 硬體安全：遭遇天災人禍，如：硬體毀損、遭竊、遭破壞、停電、水災、風災、地震、炸彈等。 • 軟體安全：病毒感染、軟體缺陷等。 • 網路及通訊安全：內部網路故障、對外線路故障、資料在傳輸時外洩。

  26. 資訊安全的種類 • 服務安全：網站遭阻絕服務攻擊。 • 資料安全：書面資料遺留在桌面上、回收箱、影印機上、板書未清掃、於公共場所交談、電話交談太大聲、資料在機器中被竊取或傳輸時被攔截。 • 個人安全：人身安全受威脅、個人隱私權侵犯等。

  27. 資訊安全的威脅有多大？ • 2002年電腦犯罪及安全調查 • 90%電腦受過各種安全破壞 • 40%偵測到系統外部入侵(2000年為25%) • 85%電腦偵測到病毒 • 環境惡劣，如何自保？ 來源：Computer Secrity Institute (CSI), Computer Crime and Security Survey 2002

  28. 潛在的威脅 • 威脅資訊安全分類： • 天然或人為 • 蓄意或無意 • 主動或被動 • 實體或邏輯 • 對各項資料安全而言，人員操作疏失及故意誤用是最大的威脅。

  29. 駭客 特洛伊木馬行為分析 網際網路 它也可以暗地打開某些通訊埠(port)，作為駭客自由進出你的電腦系統的後門，進而隨意存取你系統裡面各種重要的檔案 駭客工具通常會偽裝成一些有趣的小程式，然後由駭客送出或使用者自行從Internet下載 這些經過偽裝的程式可以取得使用者電腦系統中的重要資料，並偷偷的回傳給駭客 駭客工具是一種具有特殊目的惡性程式，它可以設計來做遠端遙控或挖掘某些系統的後門等等。

  30. 實體或邏輯 • 實體的安全威脅，為實際存在的硬體設備。電腦硬體經過長期運算、使用，會造成硬體物理性的彈性疲乏及損壞。 • 邏輯的安全威脅，為資訊系統上的資料。

  31. 圖1 網路入侵工具與入侵者所需具備之技術關係圖[1] 重要發現 令人擔憂的現象-入侵工具自動化

  32. 圖3 系統弱點與作業系統的關係[15 ][ ]

  33. 結論 • 安全非常重要，但並非絕對 • 必須瞭解風險和替代方案 • 安全不一定「最」重要 • 必須瞭解安全計畫的目的 • 技術面只是「必要條件」 • 所有技術方案都可能有管理面的破解方法 • 配套的「制度」或「個人習慣」

  34. 其他資訊安全概念淺釋

  35. 紀曉嵐(清朝): 鳳遊禾蔭鳥飛去 馬走蘆邊草不生 資訊安全 ?

  36. 資訊系統元件之安全威脅 硬體：中斷（拒絕服務）、截聽（偷取） 軟體：中斷（刪除）、更改、截聽 資料：中斷（漏失）、截聽、更改、偽造

  37. 其他 . . . Steganography(掩飾訊息存在性之保密通訊方法): 中國 絲蠟球 義大利 明礬 醋 隱形液 . . . Cryptography(隱藏訊息意義之保密通訊方法): 傳統密碼法 VS. 公開金鑰密碼法 Microdot (1941, FBI) 微縮攝影成句點 從密碼技術 到 資訊安全

  38. (1)加解密系統 ※原文(plaintext)、明文(cleartext) ※密文(ciphertext) ※金鑰(key) ※加密程序(encryption) ※解密程序(decryption) ?

  39. 金鑰 加密 密文 解密 明文 明文

  40. 加密金鑰 解密金鑰

  41. (以上五頁資料取自 台科大 吳宗成 教授之手稿)

  42. (2)Authentication 身份認證 之方法計有: 1. 身份證 ( IC 卡或 磁卡) 2. 通行碼 3.筆跡 4. 聲音 5. 指紋 6. 視網膜 7. DNA H/W 約定資訊 S/W 約定資訊 生理特徵 網路上之身份確認協定: (1) Kerberos {對稱型} (2) X.509 {非對稱型} Remote log-in

  43. (3)數位簽章 多重數位簽章

  44. (4)機密共享

  45. (5)Key Management 如何將 DES 之私鑰送到對方手上? Key distribution is defined to be a mechanism whereby one party chooses a secret and then transmits it to another party or parties. Key agreement denotes a protocol whereby two (or more) parties jointly establish a secret key by communicating over a public channel. Kerboros is a popular key serving system based on private-key cryptography.

  46. 憑證管理中心 Certificate Authority

  47. (PS)其他奧秘的應用 網路投票 電子貨幣 金鑰信託 無線通訊

More Related