电子商务安全威胁.pptVIP

第二章電子商務安全威脅 摘要 本章就網路入侵之動機、攻擊型態及網路犯罪案例做一概述，以瞭解電腦駭客入侵的方式，並介紹安全防護的基本觀念。 目錄 10.1　動機 10.2　攻擊型態 10.3　電腦病毒與電腦犯罪 10.4　入侵與防護 10.1　動機 入侵網路的理由多變且複雜，駭客的動機從金融利益到企業間諜都有，一旦駭客入侵了網路，可能偷取資訊、資源、或是金錢。 企業間諜活動 企業間諜透過網際網路，入侵企業私有網路，突破電腦安全防護系統，神不知鬼不覺的搜尋重要機密。 金融利益 駭客取得未經認證的權限，然後入侵網路偷取金錢或是偷取資源以換取金錢。 報復或揭發隱私 1996年國內爆發了第一宗電腦駭客入侵EPSON公司案，EPSON公司的電腦系統被離職員工侵入，並更改積體電路的佈局設計。 10.2　攻擊型態 任何系統不可能毫無漏洞，系統上的漏洞可以分為兩種： 先天設計上的缺失 包括通訊協定，從應用層至實體層皆有可能成為漏洞，加上網際網路屬於分封交換式網路，傳統的FTP、TELNET、SMTP等服務皆未對封包加密，故使用者的密碼可能被竊取。 後天人為管理不當 系統資源或使用者權限分配不當，許多系統設定的預設值通常不是很安全，系統管理者若沒有變更參數，網路駭客便有機可趁。 2.2.1　密碼破解(Cryptanalysis) 一、密文攻擊法 破密者蒐集所有他能攔截到的密文，將所有攔截到的密文加以分類，試圖從同一類的許多密文中推論出明文的意義。 二、已知明文攻擊法 此攻擊法是假設破密者已擁有一些密文與明文，並瞭解密文與明文的相對應關係，再藉由解密金鑰解出由同一把金鑰加密而成的其它密文。 三、選擇明文攻擊法 破密者將所選擇的明文送給密碼系統加密，加密所得的密文將被送還給破密者，破密者再根據密文-明文配對進行解密。 四、選擇密文攻擊法 破密者將所選擇的密文送給密碼系統解密，但解出來的明文可能不具有任何意義，之後破密者再根據此密文-明文對進行攻擊 2.2.2　暴力攻擊法(Brute-Force Attacks) 暴力攻擊法即是利用電腦猜測所有可能的金鑰或密碼。 暴力攻擊法通常是可行的，只是付出的時間與金錢代價都太大了。 2.2.3　資源竊取(Resource Theft) 這裡的資源可以是機密要件，或其他使用者的密碼。 企業間諜偷取機密要件，將機密要件轉賣給企業的競爭對手，藉此賺取佣金的行為，屬於資源竊取的一種。 2.2.4 網路服務的否認（Denial of service） 駭客為了某些特定的目的，利用網路服務否認的攻擊，讓網路功能停止服務。 網路功能停止服務時將導致資料被修改或服務的時間延遲，可能會影響到金錢的流失或是部分網路的罷工。 2.3　電腦病毒與電腦犯罪 定義： 電腦病毒是一組會自我複製的程式碼，而且是一組對使用者有害而無用的程式碼。 當電腦感染上病毒時，電腦將受到不同程度的損害。 一般的電腦病毒具有： 啟動性。 傳播性。 傳染性。 寄居性。 2.3　電腦病毒與電腦犯罪 除了電腦病毒外，還有許多種程式也會對電腦產生破壞： 一、寄生蟲（Worms） 寄生蟲屬於電腦病毒的一種，此型的病毒不會攻擊其他程式，它只會不停的複製自己。 再利用網路傳播到其他伺服器，最後所有的伺服器將忙著複製、傳播病毒，沒空服務其他合法的使用者。 2.3　電腦病毒與電腦犯罪 二、暗門程式（Trapdoor） 暗門程式指的是程式或伺服器中未公開的秘密通口，利用暗門程式可以自由進出系統，而不被別人發現。 若電腦系統的管理者發現了漏洞，將漏洞補好了，駭客仍可利用早就安插好的暗門程式，繼續入侵此系統。 2.3　電腦病毒與電腦犯罪 三、木馬藏兵（Trojan Horse） 特洛依木馬指的是類似電腦病毒的指令組合，暗藏在普通程式中，藉著普通程式的執行，偷偷的作自己的事。 特洛依木馬程式會記載該使用者做了哪些動作，當然包括使用者所按下的密碼。 2.3　電腦病毒與電腦犯罪 四、邏輯炸彈（Logical Bomb） 邏輯炸彈屬於特洛依木馬的一種，它需隱藏在其他的程式中，當某個被預先設定的條件吻合時，它便會啟動。 如被公司開除的員工因心中不滿，離職前便在公司電腦裡擺置了一個邏輯炸彈，若干時日以後，炸彈啟動，自動將電腦中的資料全數銷毀。 2.4　入侵與防護 電腦網路犯罪的特性是犯者不需在現場，有些犯者只是為了測試自己的功力而入侵電腦網路，在這種情況下，犯者與被害人間可能毫無關係，造成追查的困難。 2.4.1　入侵的偵測 監聽網路可能偵測到網路入侵的行為，例如當某些伺服器的服務效率變差時，監聽網路的網路管理人員應稍加注意。 最簡單的網路入侵偵測方法就是注意每一個系統上重要的變化，一旦在系統上偵測到不尋常的變化，就