Download
1 / 26
260 likes | 595 Views
資訊安全. 傅榮勝. 課本：中譯本. 密碼學與網路安全 第四版 譯者：賴榮樞 原著 : Cryptography and Network Security Principles and Practice William Stallings. 投影片下載位址. http://web.nuu.edu.tw/~jsfu/course.htm. 評分標準. 期中考 30% 期末考 30% 平時出缺勤之基本成績 每次上課全程參與得平時態度佔學期總績績 4 分，最多可得 44 分 每次上課會視情況點名，一次點名不在當次便無法加分
E N D
資訊安全 傅榮勝
課本：中譯本 • 密碼學與網路安全 第四版 • 譯者：賴榮樞 • 原著: • Cryptography and Network Security Principles and Practice • William Stallings
投影片下載位址 • http://web.nuu.edu.tw/~jsfu/course.htm
評分標準 • 期中考 30% • 期末考 30% • 平時出缺勤之基本成績 • 每次上課全程參與得平時態度佔學期總績績4分，最多可得44分 • 每次上課會視情況點名，一次點名不在當次便無法加分 • 上課態度與平時表現額外加分，加分無上限 • 找出老師的錯誤，包括課程內容、英文發音、拚字或文法錯誤等等(5~10分) • 回答問題 (2~10分) • 問了好問題(1~4分) • 其他 • 總成績計算方式：期中考*0.3+期末考*0.3+出缺狀況分數+加分*0.1
背景 • 在資料處理設備普及以前，對組織有價值的資訊，主要是以實體的工具(如保險箱)以及管理的方法(如衛兵看守、人力傳送)來達到資訊安全的要求 • 幾十年來，企業或政府等組織的資訊安全需求經歷了兩個主要的變化 • 隨著電腦的引進，用來保護這些儲存在電腦的檔案、資訊所需要的自動化工具便漸漸顯得重要 • 網路及通訊技術能夠讓資料在電腦及使用者間互相傳遞，此時便需要採取網路安全措施來保護傳遞的資料
定義 • 電腦安全-專門設計來保護資料並阻止駭客入侵的方法通稱為電腦安全 • 網路安全-網路及通訊技術能夠讓資料在電腦及使用者間互相傳遞，此時便需要網路安全來保護傳遞的資料 • internet安全– 網路安全容易讓人誤解，因為實際上所有商業、政府、學術的組織都是互連的網路，這樣的網路通常稱作internet ，因此或許使用internet安全更為合適
課程重點 • 我們的重點在網際網路的安全性 • 也就是能制止、預防、偵測、改正資料傳輸或儲存時的安全問題
攻擊手法和入侵者知識的趨勢 高 攻擊手法愈來愈複雜，但需要之知識反而減少，因為攻擊自動化 低
Attack Sophistication vs.Intruder Technical Knowledge Intruders Auto Coordinated Tools Cross site scripting “stealth” / advanced scanning techniques High Staged packet spoofing denial of service distributed attack tools sniffers Intruder Knowledge sweepers www attacks automated probes/scans GUI back doors network mgmt. diagnostics disabling audits hijacking sessions burglaries Attack Sophistication exploiting known vulnerabilities password cracking self-replicating code password guessing Low 2000 1980 1985 1990 1995
OSI安全架構(Security Architecture for Open Systems Interconnection) • ITU-T 的X.800建議書：OSI安全架構，提供了規劃安全作業的方法 • 這份架構是由國際標準組織所制訂 • 因此電腦及通訊廠商也已經為與此相關的產品及服務開發了安全功能 The International Telecommunication Union Telecommunication Standardization Sector
資訊安全的概念 • OSI安全架構包含了許多本書將會討論的概念了，其重點如下三項： • 安全攻擊 (security attack) • 安全機制 (security mechanism) • 安全服務 (security service)
安全攻擊 • 安全攻擊是任何洩漏(破壞)組織所擁有的資訊安全行動 • 威脅(threat)：有可能破壞系統安全之潛在因子。 • 攻擊(attack)：源自智慧型威脅的系統安全襲擊。「智慧型」意味其攻擊蓄意的。 • X.800和RFC 2828的安全攻擊分成 • 被動式攻擊 • 主動式攻擊
安全攻擊問題 • 如果達思法無讀取訊息(可能訊息已被加密)，但他可以分析網路流量(Traffic analysis)，也算是攻擊嗎？如果是，是那一種？ • 鮑伯沒有發訊息，達思假裝是鮑伯發訊息給愛麗斯，算是那一種攻擊？ • Masquerade(偽裝) • Replay(重送，不修改)是那種攻擊？ • DoS(Denial of Services，阻斷服務)是那種攻擊？
安全服務 • 強化資料處理系統以及資訊傳輸的安全性 • 目的是對抗安全攻擊 • 會使用一種以上的安全機制來提供安全服務。
安全服務 • X.800： 由通訊開放系統協定層所提供，目的是確保系統充分安全或資料送達 • RFC 2828: 安全服務是由系統提供給特定保護系統資源的處理機制或通訊服務
五大類安全服務（X.800） • 認證 (Authentication)－確保要通訊的實體是它自己所宣稱的身份 • 存取控制 (Access Control)－ 防止未授權卻使用資源（也就是說此項服務控管誰能存取資源、在何種情況可存取，以及允許存取哪些資源） • 資料機密性 (Data Confidentiality )－ 避免資料在未授權即洩漏 • 資料完整性(Data Integrity )－ 確保收到的資料和授權實體送出的內容完成一致（例如資料沒被更改、插入其他資料、刪除，或重播） • 不可否認性(Non-Repudiation)－ 使參與部分或整個通訊的實體不能否認其參與通訊的一種保護
安全機制 • 用來偵測、防止或者復原安全攻擊的機制 • 單一項安全機制無法滿足所有的安全服務需求 • 許多安全機制都會用到加密技術 • 因此加密技術也是本書的重點
安全機制（X.800） • 特定的安全機制： • 加密、數位簽章、存取控制、資料完整性、驗證交換、流量填充、路由控制、公證 • 一般安全機制： • 受信任的功能、安全標籤、事件偵測、安全稽核追蹤、安全復原
網路安全模型 • 這個一般模型顯示出在設計特定安全服務時有四個基本任務： • 為執行這個安全相關的轉換而設計演算法這個演算法應該能抵抗對手的攻擊 • 產生這個演算法使用的秘密資訊 • 發展散佈和分享秘密資訊的方法 • 指定由兩位當事人所使用的協定，利用安全演算法和秘密訊息完成特定的安全服務
網路存取安全模型 • 防止非法存取的安全機制可分成兩大類 • 守門人功能，包括了設計以密碼為基礎的登錄程式來拒絕非法使用者的存取，以及設計過濾機制來偵測和拒絕蠕蟲、病毒、和其它類似的攻擊 • 由許多內部控制組成，可以監控活動和分析存取的資訊，以嘗試偵測非法入侵者 • 可信任的電腦系統有助於實作出這種模型
總結 • 本章定義了： • 電腦安全 • 網路安全 • internet的安全 • X.800標準 • 安全攻擊、安全服務、安全機制 • 網路安全模型、網路存取安全模型
