资讯安全与线上付款机制课件

1、资讯安全与线上付款机制课件资讯安全与线上付款机制课件不確定性對購物意願之影響 9/14/20222不確定性對購物意願之影響 9/10/20224資訊安全特性目的在於達成：機密性 (Confidentiality)識別性 (Authentication)完整性 (Integrity)無法否認性 (Non-Repudiation) 資訊安全機制降低不確定性9/14/20223資訊安全特性目的在於達成：9/10/20225網路安全攻擊 常見的形式：中斷 (Interrupt)介入 (Interception)篡改 (Modification)假造 (Fabrication)9/14/20224網路安

2、全攻擊 常見的形式：9/10/20226中斷 (Interrupt) 訊息沒被收到！9/14/20225中斷 (Interrupt) 訊息沒被收到！9/10/202介入 (Interception) 資料被截取竊讀！9/14/20226介入 (Interception) 資料被截取竊讀！9/10篡改 (Modification) 收到錯誤訊息！9/14/20227篡改 (Modification) 收到錯誤訊息！9/10/假造 (Fabrication) 收到偽造訊息！9/14/20228假造 (Fabrication) 收到偽造訊息！9/10/2身份識別-1 為確認進行交易的是當事人本人現行

3、常見的身份識別機制資料詢問 (Ex:身份證上的個人資料)印章簽名密碼 (可能被破解盜用)數位簽章實體卡片 (Ex:自然人憑證)9/14/20229身份識別-1 為確認進行交易的是當事人本人9/10/2022身份識別-2新型的身份識別機制無需電子證書的數位簽章銀行直接從資料庫中取出客戶金鑰進行驗證，效率較高。避免PKI的複雜程序。省去建立CA的成本。能在對客戶原先習慣造成最少改變的情況下，提高識別效率的安全機制。生物特徵識別指紋、掌紋、視網膜、聲紋、臉部特徵識別。動態簽章識別參考簽章的速度與力道9/14/202210身份識別-2新型的身份識別機制9/10/202212加密技術 9/14/2022

4、11加密技術 9/10/202213加密技術加密技術的精神運用加解密技術，將訊息轉換為密文 (Cipher text)。所以即使訊息在中途遭到攔截，其也無法解讀。通訊雙方共享某機密資訊，例如加解密用的金鑰 (Key)。唯有擁有此資訊者，才能解讀加密過的訊息。公正第三者：擔任機密資訊 (如金鑰) 的保管與分配。當通訊雙方發生爭議時，則可扮演仲裁者的角色。負責認證通訊雙方的身份，並核發公開金鑰證書。訊息加解密的方式，又可分為兩大類：對稱式密碼系統 (Symmetric Key Cryptosystem)非對稱式密碼系統 (Asymmetric Key Cryptosystem)9/14/20221

5、2加密技術加密技術的精神9/10/202214對稱式密碼系統-1 Private Key Cryptosystem使用者必須產生一把自己的金鑰 (Key)，由數個位元 (Byte) 所組成並用這把金鑰與資料作數位運算，以產生密文 (Cipher text)9/14/202213對稱式密碼系統-1 Private Key Cryptosy對稱式密碼系統-2 解密 演算法 原文 原文 密文 加密 演算法 私鑰私鑰9/14/202214對稱式密碼系統-2 解密 演算法 原文 原文 密文 加密 演對稱式密碼系統-3資料加密標準Data Encryption Standard，簡稱 DES基本原理，就是

6、混淆 (Confusion) 及擴散 (Diffusion)。所謂混淆，就是將明文轉換成其它的樣子所謂擴散，則是指明文中的任何一個小地方的變更，都將之擴散到密文的各部分DES最主要的優點就在於加解密速度快，並且可以用硬體實作。主要的缺點，就在於金鑰的傳輸過程必須絕對地安全。9/14/202215對稱式密碼系統-3資料加密標準9/10/202217非對稱式密碼系統-1公開金鑰加密法Public Key Encryption其中一把可以向他人公開的，稱為公鑰 (Public Key)，另一把必須自己保存，且不可公開的稱為私鑰 (Private Key)非對稱式密碼系統具有下列工作項目：金鑰管理 (

7、Key Management)數位簽章 (Digital signature)資料真確性 (Integrity)無法否認性 (Non-repudiation)9/14/202216非對稱式密碼系統-1公開金鑰加密法9/10/202218非對稱式密碼系統-2 解密 演算法 原文 原文 密文 加密 演算法 以公鑰加密 以私鑰解密 9/14/202217非對稱式密碼系統-2 解密 演算法 原文 原文 密文 加密 非對稱式密碼系統-3非對稱式加密法的運作方式如下：假設B小姐想傳送機密資料給A先生。A先生必須先將自己的公鑰傳送給B小姐（不需任何保護即可，因為公鑰本身就是可以公開的）。接著B小姐將資料用A

8、先生的公鑰加密過後傳送過去。A先生接收到後，只要用自己的私鑰就可以解開這份資料即使中途被截取，也無法揭露訊息內容。RSA技術Rivest、Shamir、 Adleman三位學者發表的RSA原理，其運作主要來自以下數學原理：尤拉函數(Eulers Function)費碼定理(Fermats Theorem)尤拉定理(Eulers Theorem)有加密速度較慢的問題9/14/202218非對稱式密碼系統-3非對稱式加密法的運作方式如下：9/10/數位簽章 (Digital Signature)主要在確定兩件事情：這份文件到底是不是B先生的親筆簽名？如果檢查通過後，再確認文件在傳遞過程中有無被他人

9、竄改過。9/14/202219數位簽章 (Digital Signature)主要在確定兩數位簽章之產生 雜湊函數私鑰9/14/202220數位簽章之產生 雜湊函數私鑰9/10/202222數位簽章之解讀 雜湊函數公鑰9/14/202221數位簽章之解讀 雜湊函數公鑰9/10/202223電子憑證 電子憑證 (Digital Certificate) 又稱數位證書主要是用來證明公鑰效力的電子證書。相當於我們在網路上的證明文件，證明這一把公鑰的擁有者就是證書上所記載的使用者。電子憑證的內容包括以下欄位：版本 (Version) 序號 (Serial Version)演算法 (Algorithm

10、Identifier)發證者 (Issuer)發證者識別碼 (Issuer Unique Identifier)使用者 (Subject)使用者識別碼 (Subject Unique Identifier)公鑰資訊 (Public Key Information)有效日期 (Period of Validity)9/14/202222電子憑證 電子憑證 (Digital Certificate電子憑證認證中心 (Certification Authority，簡稱 CA)ITU-T的 X.509，可說是金鑰管理系統的始祖。TTP：可信賴之第三者 (Trusted Third Party) ; 公鑰之認證單位。若要讓這份電子憑證獲得信賴，則必須由一個可以信賴的來源為此份證書作背書，而此信賴的來源稱為認證中心，其乃負責發出公開金鑰的使用憑證。買賣雙方在獲得自己的憑證後，在未來進行電子交易時可用以表明自己身份並確認對方的身份，以防止交易雙方事後否