Please enable JavaScript.

Coggle requires JavaScript to display documents.

密碼學與應用, 網路攻擊 - Coggle Diagram

- - - - 釐定憑證機構的階層架構
      - 制訂憑證格式(x.509)、建置憑證機構與橋接憑證機構
      - 制訂配套法律(電子簽章法、個人資料保護法)
      - 制訂憑證政策與憑證作業基準
    - - 註冊中心(RA)審核申請
      - 憑證機構(CA)發佈憑證
      - 目錄服務(DS)公告憑證
  - - - 最大弱點是偽造
    - - 公用目錄註冊金鑰，較高安全性，但仍可能受到竊聽或偽裝的威脅
      - 特性
        
        保存姓名、公開金鑰項目
        
        使用者可以安全地向目錄註冊
        
        使用者可在任何時間更換金鑰
        
        可以電子方式存取此目錄
        
        週期性地公佈整個目錄
    - - 具有公用目錄的特性，但由管理中心來驗證使用者，加強對目錄的控管
      - 使用者需要金鑰時，可透過目錄即時且安全的取得所需的公開金鑰
    - - 數位憑證將使用者與公開金鑰連結在一起，由憑證機構簽屬
      - 憑證提供不需即時存取公開金鑰管理中心交換金鑰
      - 任何知道CA公開金鑰的人都可以驗證此憑證
  - - - 適用分散式網路自動化方式的金鑰分配
      - 秘密金鑰會隨著通訊點增加而成指數成長，KDC需要保管n(n-1)/2個秘密金鑰
      - 若KDC遭破解，則所有的傳輸都變為不安全
  - - - 階層式架構(我國)
      - 網狀式架構(互簽憑證)
    - - 憑證申請
      - 憑證查詢
      - 憑證延期
      - 憑證註銷
      - 憑證註銷表
  - - - 有效期限
      - 憑證持有人
      - 憑證發行者
      - 持有人公開金鑰
      - 簽章演算法
      - 序號
      - 上述各資料簽章
      - 版本
    - - 伺服器數位憑證
      - 物件數位憑證
      - 個人數位憑證
  - - - 傳送端產生臨時非對稱金鑰
      - 傳送端將身分及公開金鑰傳給接收端
      - 接收端產生一把會議金鑰，用傳送端的公開金鑰加密
      - 傳送端以私密金鑰解密取得會議金鑰
    - - 演算法步驟
      - 安全性(離散對數問題，數字越大越難算出結果)
      - 限制(中間人攻擊)
        
        缺乏身分認證性
  - - - 將金鑰加密存放LEAF
      - 由內部晶片產生執法存取欄位
      - 法院授權下，執法單位可解密LEAF欄位進行監聽
      - 使用者通訊設備取得會議金鑰
    - - 單向監聽(只能監聽發出之訊息)
      - 隱私權問題
      - 系統缺失(演算法未公開)
    - - 私密金鑰經分割由兩個託管單位託管，執法單位在法院授權下重組
- - - - 費斯妥結構
      - 混淆和擴散
    - - Triple DES(3DES、TDES)
        
        3把金鑰進行加解密
        
        3把獨立金鑰，金鑰長度為168位元，可使用中途相遇攻擊，因此NIST認定只有80位元的安全性
        
        中途相遇攻擊
        
        取得大量明文、密文組合
        
        測試明文以不同Key加密成temp
        
        測試密文以不同Key解密成temp
        
        若兩temp相等，則不需要真實金鑰亦可破解
      - AES
        高等資料加密標準
        
        128位元區段
        
        金鑰128、192或256位元
        
        依據原文區塊大小和金鑰長度
        循環10到14次
        
        特色
        
        比TDES速度快，可用Java、C語言實作
        
        仍然沒有暴力破解金鑰長度的計算方法
        
        為迭代式加密法
- - - - 本文雜湊產生訊息摘要後以私鑰加密
  - - - 使用接收者公鑰加密
    - - 雙方必須有數位憑證
      - 不同PGP產生的公鑰，憑證會過期，必須不斷更新與付費
  - - - 握手協定
      - 變更加密規格協定
      - 警告協定
      - 記錄協定
    - - 機密性
        
        對稱性加密技術
      - 完整性
        
        訊息驗證碼
      - 身分認證性(單向)
        
        數位簽章
    - - 使用對稱加密法對大量文字加密
        再用較安全的PKI對對稱金鑰加密
      - 兼顧效率與安全性
    - - 二次驗證
  - - - 先DES加密，再透過RSA建立數位信封傳遞
  - - - 傳輸模式
      - 通道模式
- - - - 數學攻擊法
      - 計時攻擊法
      - 暴力搜尋金鑰法
  - - - 使用更小密鑰卻能提供相當或更高等級安全
      - 加解密時間較長
- - - - 很難由輸出的摘要反推取得輸入的資料內容
      - 輸入資料的任一位元異動都會改變輸出摘要內容
      - 很難找到可以產生相同摘要的不同輸入資料
    - - 128位元
        
        MD2、MD4、MD5
      - 160位元
        
        SHA-1
- - - - 目的
      - 強度
        
        金鑰保護機制
        
        金鑰長度
        
        演算法強度
  - - - 只知道密文
      - 已知明文
      - 自選明文
      - 自選密文
      - 自選文字
- - - - 重送攻擊
        
        竊聽資訊，向交談對象送出憑證，偽裝合法使用者
      - 中繼攻擊
        
        與中間人攻擊類似，但不對訊息進行修改
      - 連線劫奪
        
        入侵者讓合法使用者跟主機斷線，並取得權限
      - 中間人攻擊
    - - 使用靜態ARP table
      - 使用DHCP snooping，保留電腦MAC位址
  - - - 假冒寄件者
      - 惡意程式附件或連結郵件
      - 利用應用程式弱點
      - 直接攻擊:垃圾翻找、偷窺強記、尾隨
    - - 建立組織資訊安全政策
      - 教育訓練
      - 落實安全防護與管理
  - - - 初步入侵
      - 建立立足點
      - 取得管理者權限
      - 內部偵查與平行擴散
      - 持續監控並完成任務
    - - 觀察
      - 偵測
      - 阻擋
      - 30%觀察與偵測70%阻擋
    - - 持續
        
        緩慢而低調，透過長時間收集資訊
      - 威脅
        
        採任務編制並有豐富資源與技術的駭客團隊
      - 進階
        
        客製化攻擊工具或手法
  - - - 上層儲存下層電子憑證
      - DNS伺服器對RR(資源紀錄)做數位簽章
      - 使用者收到RR與RRSIG後，向上層DNS驗證是否為目的伺服器送出
      - 此網域不存在無法加上數位簽章，因此插入虛擬NSEC紀錄，回傳簽章過的NSEC紀錄
  - - - 使用ARP欺騙被攻擊電腦
      - 防範
        
        防禦ARP Spoofing
        
        直接透過IP連線避免使用DNS
    - - 攻擊者送出大量請求再傳送假冒回覆，使區域網路伺服器快取錯誤的IP對照表
      - 防範
        
        向上層查詢時使用動態Port，避免假冒回覆
        
        經常使用網站使用對照表紀錄，不使用查詢
        
        阻擋瞬間大量的DNS回覆封包
  - - - 穿透防火牆防禦設備過濾
      - 入侵主機隱藏攻擊真實來源
      - 配合惡意網站或釣魚網站，在合法網站傳回包含惡意程式碼封包
    - - 停用信任IP
      - 路由器設定
      - 使用加密傳輸驗證
  - - - 過濾器規避
      - 網站偽造
      - 鏈接操控
    - - 法規政策
      - 管理面
      - 技術面
- - - - 靜態溢出
      - 堆積溢出
    - - StackGuard
        
        編譯器的補釘，透過產生canary資料放到回傳位址前
      - Stackshield
        
        編譯器的補釘，在函數開頭將回傳位址複製到特殊表中
      - Formatguard
        
        函式庫的補釘，使用特殊巨集取代原有參數統計方式，若發現大於緩衝區就終止程式
      - 堆疊不可執行
        
        作業系統補釘，讓資料段程式碼無法執行，若回傳位址式資料區段，則被視為攻擊行為
  - - - 注入攻擊、XSS攻擊或ARP Spoofing
      - 透過瀏覽器緩衝區溢位，從遠端下載木馬程式
      - 針對瀏覽器或瀏覽器外掛元件漏洞
    - - 主動防禦 →→提示仍被允許
      - 檢查外掛程式的父行程是否為瀏覽器→→容易誤報
      - 特徵匹配→→檢測難度高
  - - - 避免瀏覽來路不明或資安防護較弱網站
      - 不隨意開分享，不使用網路時應關閉網路連線
      - 架設應用層閘道器或入侵防禦系統
      - 避免開啟來路不明應用程式
      - 執行作業系統更新並確保瀏覽器為最新版本
      - 僅在需要特殊權限時才用管理者帳號登入
      - 安裝防毒軟體
    - - 木馬程式
        
        利用合法程式掩護未經授權程式，不具自我複製與散播的特性
        
        善於隱藏，具遠端遙控目標主機能力
        
        獲取機密資料、盜用目標主機資源當作攻擊跳板
      - Rootkit
        
        隱藏程序的程式集
        
        攻擊者將程式安裝至目標主機系統並啟動
      - 蠕蟲:獨立運作的程式不用依附其他檔案，可自動複製癱瘓系統，破壞力更強
      - 間諜程式
        
        單獨程式或與應用軟體一起安裝在電腦上
        
        擷取個人隱私資料並洩漏給第三者
      - 電腦病毒:可執行程式碼，會自行複製、感染且破壞電腦運作
        
        複製性
        
        寄居性
        
        啟動性
      - 勒索病毒:阻斷服務攻擊
- - - - 失效的身分認證
      - 敏感資料暴露
      - XML外部處理漏洞
      - 失效的存取控制
      - 注入攻擊
      - 跨站腳本攻擊
      - 不安全的反序列化
      - 使用已知的漏洞原件
      - 紀錄與監控不足
      - 安全配置錯誤
  - - - 建立隱藏欄位儲存此操作的token，若沒有token或不符，刪除使用者登入資訊並發出警告
      - 重要操作請使用者再輸入一次密碼
      - 檢查操作是相同網站送出
    - - 連結中加入其他驗證參數，抓取轉址的上一頁來源或提示資訊
      - 禁止轉址網頁傳入其他參數
    - - 程式設計師通常會信任隱藏欄位的內容，預期使用者無法檢視或竄改他們的內容。攻擊者將會推翻這些假設。他們會檢查寫入隱藏欄位的值並加以修改，或以攻擊資料取代這些內容
  - - - 模擬攻擊者以評估系統安全性
      - 流程
        
        執行滲透測試
        
        建立滲透途徑
        
        安全漏洞滲透
        
        弱點測試
        
        信任關係測試
        
        資料洩漏
        
        權限跳脫與提升
        
        滲透測試報告
        
        簡報與文件交付
        
        資訊蒐集與分析規劃
        
        確認專案需求
      - 特色
        
        不只掃描也會取得系統控制權
        
        真正進行入侵與弱點攻擊
        
        測試所有可能存在的安全弱點
      - 分類
        
        黑箱測試
        
        不提供系統任何資訊，僅使用公開資訊模擬攻擊
        
        白箱測試
        
        提供重要系統資訊，模擬惡意攻擊者(高級駭客、離職或惡意員工)已經知道許多系統的重要資訊
      - 效益
        
        找出潛在安全威脅
        
        減少花費在系統資訊安全的成本
        
        定義威脅系統安全的各種因素，評估可能面臨的風險
        
        避免被攻擊後所要花費的處理成本
    - - 自動化工具檢查系統的安全弱點，據此進行更正或防護，避免被攻擊，通常為滲透測試步驟之一
      - 工作
        
        只掃描弱點特徵資料庫有紀錄的安全弱點
        
        模擬惡意使用者行為，檢查並記錄受測程式回應狀態
        
        猜測所有隱藏目錄、管理後台、程式備份檔或資料庫檔案位置
        
        對於可登入頁面，進行密碼猜測
- - - - WPA個人版
      - WPA企業版
    - - 802.11i標準的認證形式
      - 機密性AES，完整性CCMP
    - - 偽裝合法使用者對AP攻擊，迫使AP中斷連線
      - 使用者進行重新連接時，擷取有效的交握封包，再使用彩虹表猜測密碼
      - 攻擊者必須在使用範圍內，很容易追查
  - - - 攻擊者開車刺探沿路AP，收集SSID、加密種類等資訊
    - - 利用雜訊干擾正常通訊，使正常通訊在這個頻道無法進行溝通
- - - - 尋找跳板系統
      - 攻佔跳板弱點
      - 尋找殭屍系統
      - 攻佔殭屍弱點
      - 使用跳板操控殭屍發動攻擊
    - - 反射式分散式阻斷服務(DrDoS)
        利用查詢結果比查詢命令資料量大的特性
        
        時間伺服器
        
        放大倍數約20到200倍
        
        域名伺服器
        
        回傳平均放大10倍
      - 複合式分散式阻斷服務(DDDoS)
        
        利用程式語言、協定漏洞或人為疏失，透過每次不同的攻擊來源與方式，躲避傳統防禦技術
        
        攻擊行為拆解到OSI各層都是無害內容，但組合起來影響力相當大
- - - - 取得初步權限，並提升權限再進行破壞
    - - 網路探勘
        
        網路服務或工具取得目標主機資訊
        
        Nslookup
        
        Whois
        
        Ping
        
        Google Hacking
      - 掃描
        
        常用工具或指令取得目標主機的作業系統、網路服務、帳號密碼等資訊
    - - 無法完成上一階段之攻擊，讓合法使用者不能使用目標主機之服務
  - - - 入侵偵測
        
        網路效能分析
        
        流量分析、錯誤分析
      - TCPDUMP、WinDump、Wireshark
      - 原理
        
        區域網路是共享式架構，攻擊者將網路介面卡設定為混亂模式，以紀錄並分析封包內容
- - - - 頻寬消耗型攻擊
        
        Smurf攻擊
        
        將偽造來源的ICMP封包送到IP廣播位址，造成被害者網路壅塞甚至中斷
        
        淚滴攻擊
        
        向目標機器發送損壞的IP封包，造成重組發生問題，機器當機或重新啟動
        
        死亡之聘
        
        發送過大的Ping請求，造成接收者緩衝區溢位而當機
        
        ICMP flooding
        
        UDP flooding
      - 資源占用型攻擊
        
        LAND attack
        
        與SYN floods類似，但攻擊封包的來源與目的位址都是受害者IP
        
        CC攻擊
        
        利用網路上免費的大量代理伺服器向受害伺服器發送請求
        
        SYN Flooding
        
        使用SCTP通訊協定四向交握建立連線防範
        
        應用層洪水攻擊
        
        針對應用軟體，以大量消耗系統資源為目的
  - - - 網路管理面
      - 使用防火牆、入侵偵測或入侵防禦系統
      - 系統管理面
    - - 找到攻擊者IP或離攻擊者最近的路由器，並加以記錄
    - - 進行流量控管，著重將攻擊衝擊減到最小，能提供一定的頻寬品質