114 身心障礙特考三等 資訊處理類科 資通網路與安全 考古題詳解
第 一 題25 分
近年來金融科技發展迅速，民眾除了可以使用多元化電子支付平台外，還有數位銀行、數位券等便民服務。民眾可透過銀行官網進入網路銀行（web），或是行動網路銀行（App）形式，使用金融服務。
說明上述兩種方式（web 和 App）使用方式之相似與差異性，以及使用者在使用這兩種方式所需注意的安全性之相似與差異性。
登入後即可作答並保存紀錄。
核心觀念
本題比較網路銀行的兩種使用介面：透過瀏覽器存取的 web，以及安裝在行動裝置上的 App。答題要分別說明使用方式的相似與差異，以及共同與個別的安全注意事項。
兩者都是透過網際網路連接金融機構的服務，使用者須經身分驗證，才能查詢帳戶或辦理交易；實際可用功能則依銀行提供的服務而定。本題屬資訊安全與金融服務使用觀念題，不涉及特定法條或計算。
解題方法
可依「使用流程 → 介面與裝置差異 → 共通安全 → 各自安全」整理：
- 先指出兩種方式都需連線、登入及驗證身分，也都能使用網路銀行服務。
- 再比較存取入口、使用裝置、介面與功能，以及更新方式等差異。
- 最後分成共通風險與個別風險，提出相對應的防護措施。
使用方式的相似與差異
相似處
- 都是透過網路使用銀行提供的電子金融服務。
- 通常都需輸入帳號、密碼，並可能搭配簡訊驗證碼、一次性密碼（OTP）、憑證、生物辨識或其他多因子驗證。
- 都可依銀行開放的功能進行帳戶查詢、轉帳、繳費等操作；交易功能及限額依銀行規定而異。
差異處
| 比較項目 | Web 網路銀行 | App 行動網路銀行 |
|---|---|---|
| 進入方式 | 使用瀏覽器連至銀行官方網站 | 安裝並開啟銀行官方 App |
| 使用裝置 | 常見為桌上型或筆記型電腦，也可用手機瀏覽器 | 主要使用智慧型手機或平板 |
| 介面與功能 | 依瀏覽器頁面操作，畫面較大，適合多項資訊並列；功能依網站設計 | 針對觸控與行動裝置設計，常整合推播、生物辨識或行動裝置功能；實際功能依銀行 App 而定 |
| 更新方式 | 銀行更新網站服務，使用者需維持瀏覽器及作業系統安全更新 | 使用者需透過官方應用程式商店更新 App，並維持行動作業系統更新 |
| 常見使用情境 | 透過電腦處理帳務或較多資料的操作 | 隨身查詢、接收通知及即時辦理行動金融服務 |
安全性注意事項的相似與差異
共同注意事項
- 確認官方入口：Web 應自行輸入或使用可信任的銀行官方網址，確認網域名稱與 TLS 憑證；App 應從官方應用程式商店下載，確認開發者為銀行官方。
- 防範釣魚與社交工程：不點擊簡訊、電子郵件或社群訊息中的可疑連結，不依陌生來電指示操作；銀行不會要求使用者透露完整密碼、OTP 或交出驗證工具。
- 妥善保管驗證資料：設定不易猜測且不重複使用的密碼；
第 二 題25 分
網路威脅持續演進，Open Web Application Security Project（簡稱 OWASP），針對不同的軟體安全問題提出分析報告。針對物聯網設備，OWASP 提出 IoT Top 10 Vulnerabilities，統計與分析物聯網設備常見的弱點。
請舉例說明兩項常見的物聯網弱點，並提出防範措施。
登入後即可作答並保存紀錄。
核心觀念
OWASP IoT Top 10 彙整物聯網設備與其服務生態系常見的安全弱點。答題時可從弱點類型、可能造成的風險，以及對應的防範措施三方面說明。防護措施應直接針對弱點成因，例如弱密碼要改善身分驗證，未加密傳輸則要保護資料傳輸與儲存。
解題方法
挑選兩項常見弱點，分別說明其形成原因、攻擊者可造成的影響，再提出可實際落地的防範措施。弱點與措施須相互對應，才能完整呈現風險分析與防護思路。
常見弱點與防範措施
一、弱、可猜測或硬編碼的密碼
部分 IoT 設備出廠時使用簡單的預設密碼，例如常見字串或設備型號相關密碼；也有設備無法讓使用者更改管理密碼，或將共用密碼直接寫入程式。攻擊者可利用字典攻擊、暴力猜測或公開流傳的預設密碼登入設備，進而竊取資料、變更設定、控制設備，甚至將設備納入殭屍網路發動攻擊。
防範措施包括：
- 初次使用時要求更改預設密碼，並禁止使用常見或過短的密碼。
- 為每台設備設定不同的初始憑證，避免大量設備共用同一組密碼。
- 採用安全的密碼儲存方式，例如加鹽雜湊，避免以明碼儲存密碼。
- 對管理介面啟用多因素驗證、登入錯誤次數限制及異常登入告警。
- 避免在韌體或程式碼中硬編碼共用密碼，並提供安全的憑證更新機制。
第 三 題25 分
說明 Internet 通訊協定疊（protocol stack），並分別說明各層提供的服務。除最底的第一層外，其他每一層請列舉一個通訊協定。
登入後即可作答並保存紀錄。
核心觀念
Internet 通訊協定疊（Internet protocol stack）是將網路通訊所需的功能分層，各層透過明確的介面向上一層提供服務，並使用同層的通訊協定與遠端主機對應層交換資訊。資料向下傳送時逐層加上控制資訊（封裝）；接收端則逐層移除（解封裝）。
常見的 Internet 五層模型由上而下為：應用層、傳輸層、網路層、鏈結層、實體層。題目要求說明各層服務，並為除第一層外的每層舉出一個通訊協定。
解題方法與各層服務
以下由上而下說明，並列出各層代表性協定：
| 層級 | 提供的服務 | 通訊協定例子 |
|---|---|---|
| 第五層：應用層（Application Layer） | 提供應用程式使用的網路服務，例如網頁存取、電子郵件、名稱解析與檔案傳輸；定義應用程式交換訊息的格式及規則。 | HTTP：支援網頁用戶端與伺服器交換請求及回應。 |
| 第四層：傳輸層（Transport Layer） | 提供主機上不同應用程序之間的端對端資料傳送，透過埠號識別應用程序。可依協定提供可靠傳輸、流量控制與壅塞控制，或提供較精簡的資料傳送。 | TCP：提供可靠、有序的位元組串流傳輸，並具備重傳及流量控制等機制。 |
第 四 題25 分
企業官網採用 HTTPS 通訊協定，確保資料的隱私性。請說明在使用 SSL/TLS 通訊協定進行資料傳輸時，如何確保資料的安全性？並說明對稱和非對稱式加密演算法在此過程中的角色與功能。
登入後即可作答並保存紀錄。
核心觀念
本題考查 HTTPS 如何透過 SSL/TLS 提供傳輸安全，以及非對稱式與對稱式加密在連線中的分工。
SSL/TLS 的安全性主要包含：
- 機密性：以對稱式加密保護傳輸資料，避免第三人讀取。
- 完整性：以訊息驗證碼（MAC）或 AEAD 加密模式，確認資料未遭竄改。
- 身分鑑別：伺服器以數位憑證證明身分；用戶端驗證憑證鏈、有效期限及網域名稱，確認連線對象是預期的網站。
HTTPS 是 HTTP 經由 TLS 保護後的通訊方式。TLS 並非全程使用非對稱式加密，而是先安全建立連線所需的金鑰，再以效率較高的對稱式加密傳送大量資料。
解題方法
依照「握手建立信任與金鑰、資料傳輸保護內容」的順序說明，即可呈現兩類演算法如何協同工作：
- 伺服器出示憑證：TLS 握手時，伺服器傳送數位憑證，憑證包含伺服器公開金鑰及身分資訊，並由憑證機構（CA）簽章。
- 用戶端驗證身分：瀏覽器檢查憑證是否由可信任的憑證鏈簽發、是否仍有效，以及憑證中的網域名稱是否符合連線網址。驗證成功後，才能合理確認對方是該網站。
- 協商工作金鑰：用戶端與伺服器透過金鑰交換程序，安全地建立共同的工作階段金鑰。採用 RSA 金鑰交換時，可由伺服器公開金鑰保護預備主密鑰；採用 ECDHE 等臨時 Diffie–Hellman 金鑰交換時，雙方各自運算出共同秘密，再導出工作階段金鑰。現代 TLS 常採用具前向保密性的 ECDHE。