A2.4 網路安全
網路安全（Network security）說明網路面臨哪些威脅，以及如何用防火牆、加密、驗證與數位憑證保護資料。本頁涵蓋常見攻擊、對稱與非對稱加密、雜湊、數位簽章與 HTTPS，並標出 HL 加深內容。
常見的網路威脅有哪些？
| 威脅 | 說明 | 防範 |
|---|---|---|
| 惡意軟體（malware） | 病毒、蠕蟲、木馬、勒索軟體（ransomware） | 防毒軟體、更新修補、備份 |
| 網路釣魚（phishing） | 偽裝成可信來源騙取帳密 | 使用者教育、多因素驗證、郵件過濾 |
| 中間人攻擊（Man-in-the-Middle, MITM） | 攔截並竄改雙方通訊 | 加密（HTTPS）、憑證驗證 |
| 阻斷服務（DoS／DDoS） | 用大量流量癱瘓服務 | 流量過濾、CDN、頻寬擴充 |
| SQL 注入（SQL injection） | 在輸入欄位塞入惡意 SQL | 參數化查詢、輸入驗證 |
| 暴力破解（brute force） | 嘗試大量密碼組合 | 強密碼、登入次數限制、多因素驗證 |
防火牆與其他防護措施
- 防火牆（firewall）：依規則檢查進出流量，例如只允許 443 埠的 HTTPS，阻擋其他連線。可以是硬體或軟體。
- 代理伺服器（proxy server）：代替用戶端連線，可隱藏內部 IP、過濾內容、快取網頁。
- 多因素驗證（Multi-Factor Authentication, MFA）：結合「你知道的」（密碼）、「你擁有的」（手機驗證碼）、「你本身的」（指紋）。
- MAC 位址過濾：只允許特定裝置連上 Wi-Fi，但 MAC 位址可被偽造，只能當輔助。
對稱加密和非對稱加密有什麼不同？
加密（encryption）把明文（plaintext）轉成密文（ciphertext），只有持有正確金鑰的人能解密。
| 比較 | 對稱加密（symmetric） | 非對稱加密（asymmetric） |
|---|---|---|
| 金鑰 | 加密與解密用同一把金鑰 | 公鑰（public key）加密、私鑰（private key）解密 |
| 速度 | 快，適合大量資料 | 慢，運算量大 |
| 問題 | 如何安全地把金鑰交給對方？ | 公鑰可以公開發布，解決金鑰交換問題 |
| 例子 | AES | RSA、ECC |
實務上兩者 一起用：HTTPS 先用非對稱加密安全地交換一把隨機的對稱金鑰（session key），之後的大量資料再用對稱加密傳送。
雜湊與數位簽章
HL 延伸：本節僅 HL 需要
SL 學生了解「雜湊是單向函式」即可，其餘可略過。
- 雜湊函式（hash function）：把任意長度的資料轉成固定長度的值，例如 SHA-256。特性是 單向（無法從雜湊值還原原文）且 原文改一點，雜湊值就完全不同。網站儲存的是密碼的雜湊值（加上 salt），而不是明文密碼。
- 數位簽章（digital signature）：寄件者用自己的 私鑰 加密訊息的雜湊值；收件者用寄件者的 公鑰 解開並比對雜湊值，可確認訊息確實來自寄件者（驗證身分）且未被竄改（完整性）。
- 數位憑證（digital certificate）：由 憑證授權中心（Certificate Authority, CA） 簽發，證明「這把公鑰屬於這個網站」。瀏覽器內建受信任 CA 的清單，可驗證網站憑證，防止中間人冒充。
HTTPS 怎麼保護瀏覽？
HTTPS 是 HTTP 加上 TLS（Transport Layer Security）加密：
- 瀏覽器連線，伺服器送出數位憑證（含公鑰）。
- 瀏覽器驗證憑證是否由受信任 CA 簽發、網域是否相符、是否過期。
- 雙方用非對稱加密協商出對稱的 session key。
- 之後的 HTTP 請求與回應都以 session key 對稱加密傳送。
推薦影音
加密與公鑰
簡述：Code.org 系列從凱撒密碼講到公鑰加密，用淺顯例子說明為什麼公鑰可以公開，適合第一次接觸加密的學生。
網路安全與犯罪
簡述：介紹病毒、DDoS、網路釣魚等常見攻擊，以及個人與組織的防護方法，對應本頁威脅一覽表。
密碼學
簡述：Crash Course 介紹對稱加密、金鑰交換（Diffie–Hellman）與非對稱加密的原理，深度適中。
公鑰密碼學（Computerphile）
簡述：Computerphile 用信箱與鎖的比喻說明公鑰與私鑰如何運作，並帶到數位簽章，適合 HL 學生加深理解。
練習題
練習 1：辨識威脅
員工收到一封「IT 部門」來信，要求點連結重新輸入公司密碼。這是哪種攻擊？請提出兩個防範方法。
參考答案
網路釣魚（phishing）。防範：(1) 員工資安教育，檢查寄件網域與連結網址；(2) 啟用多因素驗證，即使密碼外洩也無法直接登入。
練習 2：為什麼 HTTPS 同時用兩種加密？
說明 HTTPS 為什麼不只用非對稱加密傳送所有資料。
參考答案
非對稱加密運算慢，不適合大量資料。HTTPS 只用它來安全交換對稱金鑰，之後改用速度快的對稱加密傳送資料，兼顧安全與效能。
練習 3：防火牆規則
一台網頁伺服器只應提供 HTTPS 服務。防火牆應如何設定？
參考答案
預設拒絕所有進入連線，只允許目的埠 443（HTTPS）的 TCP 流量；必要時另外允許管理者 IP 使用 SSH（22 埠）。
HL 練習：數位簽章
Alice 要寄一份合約給 Bob，並讓 Bob 確認合約確實是 Alice 寄的且沒被改過。說明數位簽章的流程。
參考答案
Alice 計算合約的雜湊值，用 Alice 的私鑰 加密雜湊值形成簽章，附在合約上。Bob 用 Alice 的公鑰 解開簽章得到雜湊值，再自己計算合約的雜湊值比對。相同就代表合約來自 Alice（只有她有私鑰）且內容未被竄改。