IC 立 立 路 料 料 (Secure Campus-wide Website System) 料 料 來 理 IC 識 料 不 漏 料 料 兩 零 Windows 便 更 類 IC 讀 RSA AES 料 IC WWW AES RSA PHP 1. 例 1 利 漏洞 易 易 料 都 理 易 不 類 路 數 (World Wide Web, WWW) Web-based 率
來 易 路 利 料 離 來 料 理 (DBMS Database Managerment System) 金 來 金 料 理 IC 來 2 -- 料 理 來 金 來 讀 ( 金 料 ) 來 了 理 來 理 不 料 IC 來 利 IC 數 2. ( ) 路 路 理 理 漏洞 數 念 立 更 易 不 ( ) 路 易 量 (1) 料 (2) 便 不 (3) (4) ( ) 量 行 更 2.1 (HyperText Transfer Protocol, HTTP) 利 路 易 SSL(Secure Sockets Layer) 利
讀 HTTP 都 料 2.2 IC 來 利 利 來 ID IC 識 率 料 立 識 來 IC 了 IC 讀 不 便 ( ) ( IC 理 IC ) 路 3 2.3 料 不 ( ) (Server-side Webpage Language) 料 料 ( ) 行 金 料 見 Perl, PHP, ASP, JSP DBMS Oracle, Sybase, MS-SQL, MySQL, PostgreSQL 行 良 2.4 數 行 Unix-like Windows 來 來 省 來 便 理 量 省 來 :Apache PHP MySQL OpenSSL
行 行 行 IC IC 易 暴力 IC IC HTTP / HTTPS HTTP 料 料 HTTP 若 料 數 若 料不 3. (3-tier model) 來 料 ( ) 料 金 料 (Key Database) 料 (Content Database) 料 (User Database) 金 料 錄 金 (encryption key) 料 來 料 識 料 金 Web Server 理 Web Server 來 金 理 IC 行 料 立 金
利 IC 立 料 讀 不論 理 來 料 4. 不 路 良 料 良 度 金 (Secret-key cryptosystem) 金 (Public-key cryptosystem) 兩 4 金 Rijndael ---AES(Advanced Encryption Standard) 5 金 RSA 6 兩 都 了 了 SHA-256 7 來 料 金 見 MD5 SHA-1 來 度 金 AES(Rjindael) 128 bit 料 料 金 RSA 1024 bit 金 SHA-256 256 bit 5.IC IC Simems SLE 4428 量 1 KB 料 金 6. 行流 IC 行 ( 理 ) 料 料 行 流 說 6.1 IC 理 立 理 料 亂數 識 (ID)(8 bytes Server ) RSA 金 (key pair) 料 IC ( 金 金 ) 料 識 金
料 料 料 料 6.2 料 流 流 亂數 金 (session key) server 識 (session ID) 料 利 讀 讀 IC 識 (user ID) Server 料 session key (AES ) 料 session key SHA-256 id id 金 料 識 料 session key 料 料 亂數 128 bits AES 金 金 料 利 金 金 料 ( 金 料 料 連 金 欄 金 欄 欄 行 料 ) 6.3
流 料 流 行 料 讀 讀 讀 IC 識 識 連 料 料 金 連 讀 IC 金 金 利 金 ( ) 7. 料 理 料 了 理 數 Windows 便 說 7.1 料 了 Apache 8 PHP 9 MySQL 10 ] OpenSSL 11 Linux 良 都 PHP Rijndael(AES) Libmcrypt 12 了 了 Turck MMCache for PHP 13 不 PHP 行 率
Apache 1.3.29 PHP 4.3.4 料 (DBMS) MySQL 3.23.49 金 OpenSSL 0.9.x RSA AES Libmcrypt 2.5.7 [ ] Turck MMCache 理 Borland C++ Builder 6.0 金 RSA AES IC OpenSSL 0.9.x TSM Rijndael (AES) Component IC 讀 (EZ100PU) API 7.2 理 數 Windows IC 讀 Windows 理 Windows Borland C++ Builder 6.0 API IC 7.3 料 料 連 料 料 料 金 料 料 欄 ( ) 料 欄 料 金 料 料 識 (ID) 料 金 ( ) ( ) 金 ( ) 金 ( ) ( ) 讀 ( + 金 + ) 金 7.4 行 六 讀 IC 讀 若 IC 讀 ( ) 讀 若 ( ) ( ) 六 行 (IC )
行 ( 料 ) 8. 行 ( 料 ) 8.1 HTTP (header) (body) 兩 來 錄 良 HTTP 金 HTML (tag) BASE64 復 HTML HTTP 良 良 8.2 (1) 料 料 都 金 RSA IC 讀 RSA 金 讀
(2) 漏洞 漏洞 了 料 更 了 料 了 料 料 金 了金 料 ( 都 AES 金 ) 率 (3) HTTP 不 讀 (4) IC IC 數 ( IC ) IC 勞 率 9. 論 利 HTTP 路 了 料 不 料 不 ( ) 路 來 量 了 (RSA AES) IC 不 零 更 易 理 PHP ( IIS) 料 ( Oracle, MS-SQL, Sybase ) 理 讀 API 易 讀 IC 兩 (1) 料 路 來 路 連 IP (2) 更 PKI(Public Key Infrastructure) (smart card) RSA 金 行 金 IC 陸 行了 IC 料 ( 識 金 ) IC 便
更 更 10. 參 1. IPA (IPA/ISEC) http://www.ipa.go.jp/security/crack-report/20020201/01a11.pdf 2. IC 理 論 1999 年 6 pp. 614-618 3. 葉 2000 年 北 4. William Stallings, Cryptography and Network Security: Principles and Practice, 2nd edition, Prentice-Hall, Inc. 1999. 5. National Institude of Standards and Technology, Advanced Encryption Standard(AES), Federal Information Processing Standard, FIPS PUB 197, November 26, 2001. http://csrc.nist.gov/publications//fips/fips197/fips-197.pdf 6. R. L. Rivest, A. Shamir, and L. Adleman, A Method for Obtaining Digital Signatures and Public-Key Cryptosystems, Communications of the ACM,Feb. 1978, Vol. 21, No. 2, pp. 120-126; Cryptographic Communications System and Method, U.S. Patend #4, 405, 829, Sep. 1983. 7. SHA-256 http://www.nist.gov/sha 8. Apache http://www.apache.org 9. PHP http://www.php.net 10. MySQL http://www.mysql.com 11. OpenSSL http://www.openssl.org 12. Libmcrypt http://mcrypt.sourceforge.net/ 13. Turck MMCache for PHP http://turck-mmcache.sourceforge.net/ 14. 劉良 ( ) IPSec-VPN 2002 年 羅 北 15. 龍 Linux AES SHA-256 VPN 理 2002 年 5 pp. 541-548