台湾某专业学校信息安全管理与个人信息安全防护分析研究课件.pptVIP

大葉大學 網路安全實驗室 信息安全管理与个人信息安全防护 大纲 信息安全到底有多重要？ 密码系统 系统安全 网络安全 信息安全迷思 常见之网络攻击模式 信息安全防护技术导入 成就高乘武功的第一步,就是先练好无趣的蹲马步与索然无味的内功(信息安全碁盘) 多采多姿与千变万化的外功法门(进阶信息安全技术) 网络运作所需之安全机制 善用网络安全工具(Open Source) 网络安全工具简介与展示 总结 信息安全到底有多重要？ It’s a long time ago… 从历史小故事谈起 罗马帝国凯撒大帝 伟大的军事家、政治家?密码学之父 召集前线指挥官及传令兵彼此认识（身分识别） 秘密书写命令，只有指挥官才看得懂（加解密） 命令弥封及签印，以防止传令兵偷窥（数位签章） 派遣不同传令兵经由不同路径传送命令，避免遭受敌方伏击或捕获（通信风险分担） 我国应用密码学或信息安全之稗官野史 隐形墨水或无字天书 凤游禾荫鸟飞去，马走芦边草不生(清朝纪晓岚，文字猜谜) 曹操在其宰相邸大门口写了一个「活」(三国演义) 信息安全四大核心 一知半解的安全迷思↓无法弥补的安全漏洞 信息安全迷思 迷思之一 我已经设定了使用通行码(password)，别人应该无法假冒我的身分吧！ 迷思之二 我已经架设了防火墙(firewall)，应该可以高枕无忧吧！ 迷思之三 我已经安装了防毒软件(anti-virus)，下载资料或接收讯息应该可以无牵无挂吧！ 迷思之四 我已经设定了使用通行密码、架设了防火墙，也安装了防毒软件，这样应该可以安全地发展电子商务应用了吧！ 常见之网络攻击模式 网络攻击的种类 暴力入侵(Brute force attack) 拒绝服务(Denial of service) 网络监听(Sniffing) 离线猜测(off-line guessing) 主机扫瞄(Host scanning) 主机假冒(Spoofing) 木马屠城(Trojan horse program) 常见之网络攻击 未经授权者（黑客）侵入计算机系统，窃取或更改资料甚至更动原系统设定。 个人计算机感染殭尸病毒广发mail。 误植后门程序使磁碟开放共享。 感染计算机病毒，瘫痪计算机及网络系统 。 中钓鱼mail诡计泄漏账号、密码。 利用「关键字广告」网络搜寻以连结恶意网頁。 社交工程(Social Engineering) 专门指不用程序即可获取账号、密码、信用卡密码、身分证号码、姓名、地址或其他可确认身分或机密资料的方法。这些方法多半是使用与人互动的技巧，并且针对您的账号。 疆尸计算机(Zombie) 黑客利用各种手法在个人计算机中植入 恶意程序 后，使该计算机可被远端控制在使用者不知的状况下发送垃圾邮件、提供色情图片甚至发动阻绝式服务的攻击。 间谍软件 通常包括两种不受欢迎的行为模式，第一种一如其名，偷看使用者如何使用系统﹙如测录敲击键盘的习惯﹚； 第二种是「回传」偷偷摸摸收集而来的机密资料。许多客户成为间谍软件宰割的祭品，完全不知自己的信用卡资料已被在远端操控间谍软件的不肖人士窃取。 网络钓鱼（Phishing） 利用垃圾邮件的管道发送仿效知名网站的电子邮件，引诱无知的使用者进入伪装的知名网站，藉此骗取使用者账号、密码或姓名、地址、电话及信用卡资料，然后再利用这些资料获取不当利益。 信息安全防护之整体架构 成就高乘武功的第一步就是先练好无趣的蹲马步与索然无味的内功—信息安全碁盘 信息安全碁盘 加解密系统 数位签章系统 公开金钥基础建设 加解密模式 密码系统之分类 对称(symmetric)密码系统 仅使用一把金钥，该金钥必须秘密保存，又称为密钥(secret key) 大多为加解密系统，又称为私密金钥系统(private key system)或单钥系统(one-key system) 速度较快，适合大量资料处理 以排列或组合难题作为设计原理 非对称(asymmetric)密码系统 使用两把金钥，可公开的金钥称为公钥(public key)，必须秘密保存的金钥称为私钥(private key)，公钥与私钥必须存在唯一成对关系 大多为数位签章系统，亦可为加解密系统，又称为公开金钥系统(public key system)或双钥系统(two-key system) 公钥可作为验证签章或保护密钥之用，私钥可作为签署讯息或还原密钥之用 速度较慢，适合少量资料处理，但适合开放式网络系统环境 以计算难题（因子分解、离散对数、椭圆曲线）作为设计原理 数位签章模式 传统签章 VS. 数位签章(凭证) 公开金钥基础建设 在认证部分可分为两种方式： 简单认证（Simple Certificate），即仅有I