摘 要：当今社会由于网络的普及，越来越多信息网络通过网络传递，网络是一个公开的环境，不法分子可能会拦截、偷听网络封包，组织信息网络安全因而变得越来越需要被重视，本文期待经由对信息安全基本观念的阐述，能让读者对信息网络安全及加密方式有进一步的了解。

关键词：网络科技发展 信息 安全管理

1 网络科技安全发展现状与概念解析

1.1 现状

21世纪是电脑网络科技的世纪，信息借助网络传输既快速且无远弗届的流通与交换，孕育出全球化社会。进入信息化社会，国与国之间的信息战也越演越烈，随着网络的普及化，信息安全的重要性更加凸显。提升政府单位信息安全防御能力，便成当务之急的工作。信息安全维护旨在确保信息的机密性、完整性与可用性，我们应当落实最佳安全实务准则及纵深防御策略，以因应信息网络安全的威胁。有鉴余此，无论是防护机制建立、法令规范修订、教育培训与人才培养，均须落实执行。近期目标式攻击越来越盛行，黑客不直接攻击目标组织而采用迂回的“水坑式”攻击，从目标对象常去的网站着手，所有合法网站都有可能因为漏洞成为攻击跳板，网站被黑原因很多，SQL injection，XSS网页安全问题就可以让黑客一再得逞。而DDoS攻击威胁存在已久，近年来的变化速度也越来越快，黑客利用网络协定所存在的漏洞，将各种网络设备变成尸电脑的一份子，例如：打印机、路由器、网络摄像头，再利用它们发动大规模DDoS攻击，或是窃取里面的资料。日前韩国攻击事件以及美联社Twitter账号被盗等信息安全事件对当地造成股市大跌、影响金融社会秩序等重大冲击。随着APT攻击的盛行，对于未知威胁的侦测能力也受到重视。因此，RSA信息安全厂商的SIEM将由原本的enVision平台转换为收购来的NetWitness平台，名为Security Analytics，除了将log收录之外其全封包深度分析与鉴别功能是为最大特色。

1.2 概念

三个概念构筑着信息网络安全最基本的基石。分别是机密性、完整性、可使用性。一是机密性。主张信息网络只能提供予有权取用的人或组织，无论通过语音、文件、E-mail、复制等任一种形式，只要信息网络揭露给未授权的人员组织，就破坏了机密性。二是完整性，也即主张信息网络必须可被信任为是正确且完整的。这包含了三个重要的信息：“正确”代表信息没有被更动过，也没有错误；“完整”代表信息没有遗漏或被裁剪；“可被信任”代表取得信息者可以被信任。若信息遭到非属授权的更动，无论有意或无意，即破坏信息网络的完整性。三是可使用性，也即主张负责信息网络的系统或组织，必须在授权使用者需要时，提供正确无误的需求信息。在信息网络系统中，例如资料储存媒体损毁、阻断服务攻击，都属破坏可使用性。其中，阻断服务攻击就是使服务中断的攻击行动。例如，传送大量的封包造成提供信息主机超过负荷而当机或损毁等。

2 组织信息网络安全设计的完整性

一是信息网络安全与风险管理。信息安全管理的目标，在于厘清界定组织中的信息资产，并且建立及实行政策、准则、程序、指引，以确保信息网络的可用性、完整性及机密性。实行时，可借助适当的管理工具或方法，例如风险评估、信息安全观念的培训等，协助找出潜在威胁、分类信息安全资产及评估各资产的弱点。

二是安全架构与设计。建立一个安全的系统架构及模型，可以增进信息网络的可用性、完整性及机密性。包括整体的网络环境、应用系统、设备、软硬件、作业系统等，都应该要构筑在一个安全架构之下。

三是存取控制。存取控制包含实体环境的出入管制及信息网络系统的存取管控。须先了解有哪些存取管控的方法，以及了解整体系统的可能存取途径及可能借以入侵的渠道，才能设计良好的存取控制。

四是应用程序安全。在设计及开发应用系统时，就应当妥适地纳入信息网络安全的考量。即充分了解运用在各式应用系统上重要的信息安全观念，从而设计出符合信息安全原则的应用系统。

五是操作安全。这个安全管控机制，首要目标除了确保信息能在需要的时刻提供给授权者，还必须确保信息网络不会被未经授权者使用或更动。

六是实体安全。实体环境中，除了整个设施机构的周边外，包括办公室环境、信息储放设备所在及机房空间等，都要考量到如何维护信息网络安全。

七是通讯及网络安全。网络是个开放的资料交换环境，随时都有人可能通过各种手法监听或接触到在上面流通的信息。当系统必须通过这个开放渠道传递或交换信息时，必须要考量到安全的问题。

八是业务持续性与灾害复原。为建立良好的信息网络安全，组织必须建立持续的改善与应变计划。这个计划应至少包含信息安全问题的持续监测、回应及改善的方针，以使组织的信息安全环境能日趋成长完备。

九是法律、规章、遵循性与调查。了解电脑及网络犯罪的相关法律知识，有助于在遭受信息安全相关威胁及侵害时，可以较迅速的反应。故要导入信息网络安全时，对于相关的法律或规范，应当也要有足够的认识。

3 系统应用对称与非对称式加密

加密过程至少包含以下元素：明文、加密演算法、加密钥匙及密文。明文代表未加密内容，密文代表加密后内容，演算法代表加密规则、钥匙代表加密时所要定义的参数。以替代加密法的例子为例，选定凯撒加密法为演算法，而决定字母要位移几位，就是钥匙，加解密双方都必须知道这钥匙，才能顺利加解密。在加密法强固到难以破解后，钥匙的交换与保护，便成为重要课题。无论资料如何加密保护，钥匙的传递，除了双方面交之外，都必须曝露在相对公开的环境下传送，非对称式加密，即是为了解决这样的困境而诞生的。

非对称式加密的原理，即为加密与解密使用一组不同且配对的钥匙。先以两个人―― 甲跟乙来说明。在非对称式加密中，每个人都有两把钥匙，一把称为私密金钥（private key），须留在自己身边，不可透露给任何人，另一把称为公开金钥（public key），可公开散布，不须保密，因此，非对称式加密又称为公开金钥加密。假设甲要写信给乙，首先须取得乙的公开金钥，由于公钥不是秘密，乙大可通过网络寄给甲，甲用乙的公钥对信件加密，再寄给乙，这封加密信即使被偷看，也因偷窥者没有乙的私钥，而无法解读，乙收到信后用私钥解密，即可看到信件内容。

当然，非对称式加密虽然安全，但由于演算法复杂，与对称式加密相较，加密所费时间拉长许多，为顾及效率，实际上加密作业会综合这两种技术。以对称式加密，加密本文，再以非对称的公钥，加密对称式钥匙，该方法即可加快文件加密的效率，也可解决钥匙传递的安全问题，著名的RSA，以及DH、Elgamal、DSA等，均属目前较常见的非对称式加密法。