1信任式保全(Trust-BasedSecurity).pptVIP

第二十三章 電子商務安全機制 一、網路不安全？ 二、網路的保全方式 三、網路安全標準作業─網路安全政策 四、Internet服務的安全問題 五、企業間的網路安全解決方案 六、防火牆 七、資料加密與驗證 八、結論 23.1　網路不安全？ 23.1.1　需要保護的東西為何？ 23.1.2　破壞方式 23.1.1　需要保護的東西為何？ 1. 資料 資料是網際網路上最容易遭駭客覬覦的東西，而資料依據其被保護的特性可以分為三類： (1) 機密性：機密的文件，內容有不能被公布及窺 知的重要性 (2) 完整性：不能遭人篡改之資料 (3) 獨佔性：屬於個人使用的資料 2. 資源 網路資源也是需要保護的一部分。如CPU時間、磁碟空間等。倘若未對電腦進行安全控制，其他使用者很可能進入你的電腦，執行一些程式或軟體，耗去你的CPU時間，造成系統速度變慢甚至當機 3. 身分 隨著網路普遍後，在網路上的行為逐漸具有商業的意義以及信用，一旦你的身分被別具居心的他人冒用，可能會有相當嚴重的後果 23.1.2　破壞方式 1. 系統入侵 系統入侵是最常見到的破壞型態。入侵者可能先以UNIX上之RUSERS等指令或是BBS中之使用者列表，找到使用者之ID，再以辭典比較法來猜出使用者的密碼；另一種獲取密碼的方式稱為木馬，駭客常常用一種掩人耳目的方法侵入您的系統，首先他會設計一種程式可以幫忙檢驗你的密碼是否容易被別人猜測，然後放在Internet上免費讓人下載 2. 惡意破壞 這是以不需侵入他人的電腦來進行破壞，較不需高度的技巧，也較不是注重技術及難度的駭客所願意為之，因此會進行此種惡意破壞者多是不遵從網路禮節者。而且此種破壞較易留下線索，易被發現 3. 資訊竊取 Sniffer即是一種資料竊取的技術。駭客可以攔截網路上傳輸的封包，然後破解這些加密的封包後獲知裡面的資訊 23.2　網路的保全方式 1. 信任式保全(Trust-Based Security) 信任式保全是最簡單的安全防護措施，即是不做任何的防護措施 2. 隱藏式保全(Security Through Obscurity) 系統管理者只要將帳戶的密碼檔或程式以二進位檔案格式隱藏起來，或是將系統程式檔案以隱藏的方式放置在不醒目的地方，讓使用者無法發現即達到了安全的目的 3. 密碼設定(Password Schemes) 密碼設定是最常見的安全措施，也是第一線的安全措施。使用者必須在使用者帳號與使用者的密碼兩者能同時符合的情況下，才能被接受 4. 生物特徵辨識系統(Biometric Systems) 生物特徵辨識系統是最精密、準確也最昂貴的安全認證方式，包括視網膜掃瞄辨識系統、掌紋及聲紋辨識系統、電子簽字系統等等 5. 主機保全 主機保全即是單機的保全措施，儘可能的保護每一部主機，使其不受到外界的攻擊、破壞。但在現在的網路環境中由於使用不同作業系統的複雜性及多樣性，使得要做到主機保全變得相當不容易 6. 網路保全 一方面必須讓企業的內部網路連接上Internet，讓Internet為企業帶來最大的效益；另一方面更必須謹慎的保護好企業的內部網路，使其不受外來攻擊的威脅 23.3　網路安全標準作業－－網路安全政策 網路安全，決不是單靠軟硬體的技術控制，而是一套完整的網路安全政策，此政策包含了下列三個部分： (1) 實體安全，對於網路及電腦實體的保護 (2) 程序控制，使用者的安全使用程序 (3) 技術控制，網路安全軟硬體技術的使用 第一部分：實體安全 實體安全措施能夠達成的三個主要功能： (1) 避免環境的問題：防止因外界環境的 因素影響電腦安全 (2) 避免人為意外：防止因未受訓練或不 經意的人員破壞 (3) 防止竊取及蓄意破壞 1. 環境安全 環境安全考慮到了放置電腦主機設備的場所的安全與否，以及當發生天然或人為的災害時是否能將對電腦主機的傷害降至最低 環境安全應考量之要點包括： (1) 隔離的存放地點 (2) 監視設備 (3) 地理位置 (4) 電力供應 (5) 溫度、濕度控制 2. 人員控制 必須對能夠進出電腦主機機房的人員進行控制。控制的方法如下 ： (1) 身分辨識系統： 身分辨識系統是利用如卡片等徽章來