资讯安全技术规範简介

资讯安全技术规範简介内容摘要：

意 註： 1. RSA法可用 DSA法取代， MD5亦可由 SHA1取代。 2. 於簽章前使用收文方公鑰處理 RSA加密，是取代現行公文交換作業中拆驗步驟的 安全機制；在一般訊息交換的安全機制中，並不一定有這個步驟。 3. 公鑰均放於一由驗證中心負責之資料庫中。 4. 公鑰即為公開金鑰 (Public Key)，密鑰即為私密金鑰 (Private Key)。 簽體 RSA 加密 (發文方密鑰 ) 電子公文本文 簽章 安全雜湊函數 MD5 壓縮 電子公文本文 簽章 安全雜湊函數 MD5 壓縮 準簽體 簽體 比較 退回發文單位 RSA 解密 不一樣 一樣 RSA 加密 (收文方公鑰 ) RSA 解密 (收文方密鑰 ) (發文方公鑰 ) 將簽體視同電子公文本文回覆發 文單位後 ,電子公文交換作業完成 公鑰 資料庫 D:\KJ\ 第 24頁 工業技術研究院 電腦與通訊工業研究所 Industrial Technology Research Institute Computer amp。 Communication Research Laboratories 電子文件交換作業資料隱密性 及存證服務之數位信封應用示意 註： 1. 明文即為上圖中之電子文件本文及其簽章。 2. 密文 + 通信基碼視同上圖中之電子文件，本文執行電子文件交換作業；解密後之明。 文若簽章無誤 , 則將其文號、電子騎縫標識、防偽字組等 , ，視同電子文件回覆發文 單位後完成電子文件交換作業。 3. DES法可用 AES法取代。 產製 亂數 明 文 通信基碼 DES 加密 密 文 DES 解密 RSA 解密 通信基碼 明 文 RSA 加密 ( session key) ( 收方公鑰 ) RSA 加密 ( 發方專鑰 ) RSA 解密 ( 發方公鑰 ) ( 收方專鑰 ) 密 文 公鑰 資料庫 digital envelope，有如一個必須先拆封，才能看到文件內 容的信封。 D:\KJ\ 第 25頁 工業技術研究院 電腦與通訊工業研究所 Industrial Technology Research Institute Computer amp。 Communication Research Laboratories 公開金鑰系統密碼計算時間測量例 說明： 1. 載具： Motorola Dragon Ball chip(64K Family)at 16MHZ。 2. 資料來源： Daswani, N. and D. Boneh (1999) Experimenting with Electronic Commerce on the Palm Pilot, LNCS 1648, ~16, SpringerVerlag。 Alg o rithm T ime Co mm entDES enc ryp tio nSHA14 .9 m s/b lo ck2 .7 m s/b lo ck4 9 0 0 m s for 10 0 0 en cryp tion s2 7 8 0 m s for a 1 0 0 0 lo n g h ash chai n5 1 2 b it RSA k ey g en eratio n5 1 2 b it RSA sig . g en eratio n5 1 2 b it RSA sig . v erif y5 1 2 b it RSA sig . v erif y3 .4 m in u tes7 0 2 8 m s4 3 8 m s1 3 7 6 m se = 3e = 6 5 5 3 51 6 3 b it ECC DSA key g en er atio n1 6 3 b it ECC DSA sig . g en eratio n1 6 3 b it ECC DSA sig . v erif y5 9 7 m s7 7 6 m s2 4 4 8 m sD:\KJ\ 第 26頁 工業技術研究院 電腦與通訊工業研究所 Industrial Technology Research Institute Computer amp。 Communication Research Laboratories Netware Java及 ActiveX網路驗證架構示意 原程式、檔案 雜湊函數 產生雜湊值 密鑰 原程式、檔案 的數位簽章 服務端 原程式、檔案 原程式、檔案 的雜湊值 拒絕接受此 原程式、檔案 原程式、檔案 的數位簽章 是否相同 ? 否 雜湊函數 原程式、檔案 的數位簽章 公鑰 接受此原 程式、檔案 是 D:\KJ\ 第 27頁 工業技術研究院 電腦與通訊工業研究所 Industrial Technology Research Institute Computer amp。 Communication Research Laboratories 憑證機構作業架構示意 使用者 目錄 服務 應用 系統 符記卡 註冊 機構 憑證 機構 發卡者 金鑰 生成 識別 數位憑證 姓名 個人識別碼 公鑰 專鑰 Do(f,msg,PIN) F() F() 姓名 ? F(Kpub, Kca) 由 RA實體查證 CA 專鑰彌封 安全配送 安全配送 從憑證推論 抗竊取、竄改與偽造機制 2 3 1 Bindings CA(Certification Authority) RA(Registration Authority) TCI(Taken Card Issuer) KG(Key Generator) D:\KJ\ 第 28頁 工業技術研究院 電腦與通訊工業研究所 Industrial Technology Research Institute Computer amp。 Communication Research Laboratories 數位簽章驗證體系架構示意 註冊 符記卡與 金鑰管理 使用者註冊 名稱登錄 目錄 金鑰產生 驗證中心 公鑰確認 憑證資料倉儲 私鑰封緘 符記卡管理系統 符記卡 符記卡資料寫入 符記卡製發 符記卡 使用符記卡 使用資訊存取 終端服務模組 安全模組 伺服機應用 伺服機處理 使用者 應用提出 終端應用 安全功能 安全模組 密碼功能 符記卡資料庫 終端處理 符記卡資料讀出 D:\KJ\ 第 29頁 工業技術研究院 電腦與通訊工業研究所 Industrial Technology Research Institute Computer amp。 Communication Research Laboratories 金鑰管理生命週期示意 使用者註冊 使用者啟用 金鑰生成 新使用者 金鑰安裝 金鑰更新 金鑰正常使用 金鑰註冊 啟始金鑰 新金鑰 現行使用者 金鑰建置協定 新金鑰 金鑰儲存與 備援 金鑰目錄 金鑰回復 回復金鑰 金鑰未被 破解之遺失 失效 建檔 舊金鑰 (過期 ) 密碼週期滿期 金鑰被破解 或提前終止 金鑰重新註冊與毀棄 金鑰移動 系統啟動 金鑰狀態 前作業 作業中 後作業 廢棄 D:\KJ\ 第 30頁 工業技術研究院 電腦與通訊工業研究所 Industrial Technology Research Institute Computer amp。 Communication Research Laboratories 金鑰管理之目的 1. 在使用者執行密碼運算時提供所需之金鑰。 2. 控制金鑰之使用。 3. 在金鑰的整個生命週期中提供適當的保護。 D:\KJ\ 第 31頁 工業技術研究院 電腦與通訊工業研究所 Industrial Technology Research Institute Computer amp。 Communication Research Laboratories 金鑰管理之原則 1. 金鑰應只以 ISO 11568所允許的形式存在。 2. 沒有人能接觸到未加密的金鑰。 3. 系統需保障曾使用的金鑰之安全。 4. 系統應能偵測金鑰是否已遭攻擊。 5. 系統應能預防 /偵測金鑰之不當使用。 6. 產生金鑰的方式應為不可預測的。 7. 系統應能偵測出不當使用金鑰的企圖。 8. 金鑰須定期更新。 9. 在字典攻擊法奏效前須更新金鑰。 10. 得知或懷疑金鑰已被瓦解時，必須立即停用。 11. 不同金鑰之安全性不得互相影響。 12. 已遭瓦解的金鑰不得用於更新作業。 13. 在使用金鑰 (load)前，密碼模組設備須證明其安全性。 D:\KJ\ 第 32頁 工業技術研究院 電腦與通訊工業研究所 Industrial Technology Research Institute Computer amp。 Communication Research Laboratories 金鑰之生命週期 1. 產生 (Generation) 2. 儲存 (Storage) 3. 備原 (Backup) 4. 分送與裝填 (Distribution and Loading) 5. 使用 (Use) 6. 更新 (Replacement) 7. 銷毀 (Destruction) 8. 刪除 (Deletion) 9. 建檔 (Archive) 10. 結束 (Termination) D:\KJ\ 第 33頁 工業技術研究院 電腦與通訊工業研究所 Industrial Technology Research Institute Computer amp。 Communication Research Laboratories ISO/IEC 95948： 1997(E)簡介 1. ISO/IES 95948 與 幾乎相同。 2. 的最初版本發表於 1988 年， 1993 年發表第二版，主 要針對 (安全 ) 碎映 (Hash) 函數的部份從新改寫， 1995年再 度修訂，主要是針對建置規範提出 37 頁的修正說明 (AMENDMENT 1： Certificate Extensions)， 1997年發表第三版，除訂正一些錯誤外，金鑰種類由第二版的七個增加為九 個。 3. ISO/IEC 95948 提供金鑰管理及鑑別簽證服務的協議標準。 4. ISO/IEC 95948 採用公開金鑰及數位簽章的技術。 5. ISO/IEC 95948 中的數位簽章需要碎映函數與其配合使用。 D:\KJ\ 第 34頁 工業技術研究院 電腦與通訊工業研究所 Industrial Technology Research Institute Computer amp。 Communication Research Laboratories 1. 使用者的密鑰被破解。 2. 驗證中心的密鑰被破解。 3. 驗證中心製作不正確的簽證 (certificate)。 4. 驗證中心與使用者共謀舞弊。 5. 偽造的簽證。 6. 偽造的符記 (token)。 7. 密碼攻擊。 ISO/IEC 95948： 1997(E)中的防護要項 D:\KJ\ 第 35頁 工業技術研究院 電腦與通訊工業研究所 Industrial Technology Research Institute Computer amp。 Communication Research Laboratories 驗證營業作業攻擊點示意 防火牆 驗證服務 工作站 安全模組 終端處理 工作站 使用者 網際網路 防火牆 安全模組 驗證服務 伺服機 憑證資料 倉儲 資料庫 管理系統 D。