111 一般警察特考三等 警察資訊管理人員 網路安全與資訊倫理 考古題詳解

核心觀念

本題考查兩類密碼學機制：以共享祕密金鑰搭配雜湊函數計算的訊息鑑別碼，以及以公私鑰搭配簽章演算法製作的數位簽章。比較時要分辨它們提供的安全性質：兩者都能協助驗證訊息是否遭竄改、來源是否持有相應金鑰；但驗證所需的金鑰、信任基礎與不可否認性不同。

（一）HMAC 與 SHA-256 的意義

SHA-256

SHA-256 是 SHA-2 雜湊函數家族中的一種密碼雜湊函數。它將任意長度的輸入訊息映射為固定長度的 256 位元摘要：

其中 $M$ 是輸入訊息，$H$ 是 256 位元的雜湊值，通常以 64 個十六進位字元表示。

SHA-256 的重要特性包括：

• 固定長度輸出：不論輸入多長，輸出皆為 256 位元。
• 單向性：由摘要反推出原始訊息，在計算上不可行。
• 抗碰撞性：難以找到兩個不同訊息 $M_1\ne M_2$，使其摘要相同。
• 抗原像與第二原像性：難以由指定摘要找出對應訊息，或為指定訊息找出另一個摘要相同的訊息。
• 雪崩效應：輸入只要有微小變化，輸出通常就會大幅改變。

SHA-256 本身不使用祕密金鑰。因此，單獨傳送「訊息加上 SHA-256 摘要」只能讓收件者在取得可信摘要的前提下檢查資料完整性；攻擊者若能同時改寫訊息與摘要，就能重新計算摘要。單獨的 SHA-256 也不能證明訊息來自特定傳送者。

HMAC

HMAC 是以雜湊函數為基礎的訊息鑑別碼（Hash-based Message Authentication Code）。它使用傳送者與接收者共享的祕密金鑰 $K$，以及雜湊函數 $H$，對訊息 $M$ 計算鑑別標記：

其中：

• $K'$ 是依雜湊函數區塊長度處理後的金鑰。
• $ipad$ 與 $opad$ 是 HMAC 規定的內、外層填充值。
• $\oplus$ 表示 XOR。
• $\|$ 表示串接。
• $H$ 可以選用 SHA-256，因此常見選項 HMAC+SHA256 指的是使用 SHA-256 作為 HMAC 內部的雜湊函數。

傳送端以共享金鑰計算 HMAC，並將訊息與標記送給接收端。接收端用相同金鑰重新計算，再比較標記是否相同。吻合時，表示訊息在傳送後未遭竄改，且產生標記的一方持有共享金鑰。

HMAC 通常提供訊息完整性與來源鑑別。但因為雙方都持有同一把金鑰，任一方都能製作有效的 HMAC，所以它不提供能向第三方證明「一定是某一方製作」的不可否認性。

（二）HMAC 與數位簽章的原理比較

共同點

HMAC 與數位簽章都能將訊息與密碼學運算產生的驗證值結合，使接收者得以檢查：

1. 訊息內容是否遭到竄改。
2. 產生驗證值的一方是否具備相應的金鑰。

核心觀念

網際網路可概分為表層網路（Surface Web）、深網（Deep Web）與暗網（Dark Web）：

• 表層網路：搜尋引擎可索引，使用者透過一般瀏覽器即可存取的公開網站。
• 深網：未被搜尋引擎索引的網路內容，例如需登入的電子郵件、網路銀行、資料庫及私人雲端檔案。未被索引不代表具有匿名性或違法性。
• 暗網：深網的一部分，通常須使用特定軟體、設定或授權才能連線；網站服務與使用者的網路位置會以特殊路由機制隱藏。以 Tor 網路及其 onion service 為常見例子。

暗網本身是網路存取與匿名通訊技術，並非違法內容的同義詞；其用途同時包括隱私保護、資訊交流與犯罪活動。

解題方法：分「技術特性」與「網路影響」申論

先說明暗網如何提供較高的匿名性與特殊存取方式，再分別從正面用途、負面用途及整體網路治理影響作答，避免將「暗網」直接等同犯罪網路。

暗網的主要特性

1. 需透過特定工具或網路存取 暗網服務通常不以一般瀏覽器直接連線，而須使用 Tor 等匿名網路用戶端，並透過特定網域與路由機制存取。

2. 具位置隱匿與匿名通訊能力 暗網網路透過多個中繼節點轉送流量，並以分層加密降低單一節點同時掌握通訊兩端及完整內容的機會。因此，外部觀察者較難直接由一般網路連線資訊辨識使用者與服務的位置。 但匿名性是相對的；使用者行為、端點遭入侵、設定錯誤或流量關聯分析，仍可能造成身分暴露。

3. 服務位置與使用者位置均可隱藏 一般網站通常由使用者連線至可辨識的伺服器位置；洋蔥服務則可讓服務端也透過匿名網路提供服務，使連線雙方不必直接揭露各自的實體網路位置。

4. 內容不易由一般搜尋引擎索引 暗網網站通常不在一般搜尋引擎的索引範圍內，服務入口多透過特定網域、目錄或社群管道取得；但「搜尋不到」不代表無法遭執法機關調查。

5. 缺乏單一中心管理，且服務存續不穩定 暗網服務可能迅速更換位置、停止營運或採取封閉式存取。其分散式特性使管理、監督及取證較一般集中式網站困難。

對網際網路的影響

正面影響：

• 保障隱私及降低監控風險：在監控、審查或人身安全風險較高的環境中，暗網可協助使用者保護通訊來源與網路位置。
• 提供匿名表達及安全通報管道：新聞工作者、吹哨者、人權工作者及受壓迫群體可藉此傳遞資訊、聯繫外界或提供線索。
• 促進隱私保護技術發展：匿名路由、分層加密及去中心化通訊等概念，也帶動網路隱私與資訊安全技術的討論與發展。

負面影響：

• 成為犯罪交易與犯罪服務的媒介：暗網可能被用來販售毒品、武器、被竊資料及非法商品，或提供勒索軟體、惡意程式、駭客攻擊等犯罪服務。
• 增加資安事件與個資外洩風險：遭竊帳密、金融資料或企業機密可能在暗網流通，助長詐欺、身分冒用與後續攻擊。
• 提高執法、監管與數位鑑識難度：服務位置隱匿、身分匿名、交易跨境且可能使用加密貨幣，使追查使用者、蒐證及跨國合作更加困難。
• 加劇違法內容傳播與信任問題：匿名環境可能降低行為者承擔責任的感受，增加非法內容散布、詐騙及惡意軟體傳播的風險。

解題技巧

作答時用「匿名路由、隱藏位置、需特定工具、非必然違法」整理技術特性，再以「隱私與言論自由的助益」及「犯罪、資安與執法挑戰」分述影響。特別要指出暗網技術具有雙重用途，避免把暗網與深網混為一談，或直接寫成「暗網就是犯罪網路」。

（二）洋蔥協定的運作原理

核心觀念

洋蔥協定常用來說明 Tor 的洋蔥路由（Onion Routing）。其核心是：傳送端事先選定一條由多個中繼節點構成的路徑，將資料以多層加密包裝；每個中繼節點只解開屬於自己的一層，再將資料轉送至下一節點。

核心觀念

本題考查入侵偵測系統的監控位置與資料來源，以及從 IDS 偵測告警走向端點調查、處置與持續應變的 EDR、MDR 服務模式。IDS 的主要任務是蒐集事件資料、判斷可疑行為並產生告警；EDR 著重端點上的偵測與回應能力，MDR 則由外部專業團隊提供託管式偵測及應變服務。

（一）HIDS、NIDS 的意義與差異

1. 主機型入侵偵測系統（HIDS）

HIDS（Host-based Intrusion Detection System）部署在個別主機或端點上，監控該主機內部的活動與狀態，例如：

• 作業系統及應用程式日誌。
• 檔案完整性、系統設定及登錄檔異動。
• 使用者登入、權限變更、程序執行與系統呼叫。
• 惡意程式或未經授權的本機操作。

HIDS 能觀察主機內部的細節，適合偵測檔案遭竄改、異常登入或可疑程序等事件；但通常需要在各主機安裝代理程式，並消耗端點資源，且其可見範圍以該主機為主。

2. 網路型入侵偵測系統（NIDS）

NIDS（Network-based Intrusion Detection System）設置於網路流量可被觀察的位置，例如網路邊界、交換器鏡像埠或網路感測器所在的區段，分析封包或連線資料，以偵測網路攻擊與異常流量，例如掃描、已知攻擊特徵或可疑連線。

NIDS 可集中監控網路區段，通常不必逐台主機安裝代理程式；但它主要看見網路傳輸內容與流量特徵，難以直接得知主機內部程序、檔案或使用者權限狀態。加密流量也會限制其對封包內容的檢查能力。

3. 比較

**比較原則：**HIDS 的關鍵是「看主機內部」，NIDS 的關鍵是「看網路傳輸」。兩者監控資料與視角不同，實務上可互補使用。

（二）EDR 與 MDR 的意義

1. 端點偵測及回應（EDR）

EDR（Endpoint Detection and Response）是部署於端點，或以端點遙測資料為核心的安全技術與平台。它持續蒐集端點活動資料，例如程序執行、檔案變更、網路連線與登入紀錄，並進行威脅偵測、事件調查及回應。

EDR 的核心能力包括：

• **持續監控與蒐集資料：**建立端點活動紀錄，供即時偵測及事後調查。
• **威脅偵測與關聯分析：**透過特徵、行為分析或事件關聯，發現可疑活動。

核心觀念

資訊倫理是探討資訊的蒐集、處理、儲存、傳遞與使用過程中，個人、組織及社會應遵守的道德原則與行為規範。它關注資訊科技如何影響個人權利、社會公平與公共利益，並協助判斷資訊行為是否正當、負責且尊重他人權益。

本題重點是梅森（Richard O. Mason）提出的資訊倫理四大議題，通常以 PAPA 作為記憶縮寫：Privacy（隱私）、Accuracy（正確性）、Property（財產）、Accessibility（可及性）。

解題方法

作答時先用一至兩句界定資訊倫理，再依 PAPA 順序說明四項議題。每項均交代核心問題、涉及的權利或責任，並以資訊系統情境舉例，便能完整呈現概念，而非只列出英文名稱。

梅森提出的四個資訊倫理議題

一、隱私（Privacy）

探討個人或團體的哪些資訊必須揭露、可以在何種條件下蒐集與使用，以及應採取哪些保障措施。個人資料即使已由本人提供，也不代表蒐集者可以不受限制地挪作他用或任意轉交第三人。

例如，警察機關蒐集民眾資料，應有明確目的並限制利用範圍；若將資料提供給無關單位，或未妥善保護而遭到外洩，就涉及隱私倫理問題。核心在於尊重當事人對個人資訊的控制，避免過度蒐集、未經授權使用及不當揭露。

二、正確性（Accuracy）

探討資訊是否正確、完整、即時，以及錯誤資訊造成損害時，誰應負責更正或賠償。資料庫中的錯誤紀錄可能影響個人的權益，因此資訊的建立者、維護者與使用者都應注意資料品質，並建立查證、更新及更正機制。

例如，系統誤將某人列為通緝對象，或未及時更新已撤銷的紀錄，可能造成錯誤盤查或其他不利處置。此議題關心的不只是資料「有沒有」，也包括資料是否忠實反映事實、是否在適當時間更新，以及錯誤如何補救。

三、財產（Property）

核心觀念

本題考查數位證據的證物監管鏈，以及如何證明庭呈資料與原始數位證據具有同一性與完整性。數位資料容易複製、修改，且呈現內容可能受作業系統、軟體版本、檔案格式及設定影響；因此不能只說「檔案看起來一樣」，而要以可重複檢驗的程序和紀錄，說明證據從取得到法庭呈現的每個環節。

以命題當年（民國 111 年）法規為準。刑事訴訟法第 155 條第 2 項規定，無證據能力、未經合法調查的證據，不得作為判斷依據；同法第 165 條之 1 規範錄音、錄影、電磁紀錄等證據的調查方式。數位證據是否能作為裁判基礎，除須注意取得程序，也須能說明其來源、保管經過及內容可信性。

解題方法

作答時分成兩層：第一小題先說明監管鏈「記錄證物歷程、維持證據可追溯」的意義；第二小題再按「原始證物保全、鑑識複製、雜湊驗證、環境差異處理、程序紀錄與法庭說明」逐步回答。核心是證明：分析與呈現所依據的資料，能追溯到合法取得且妥善保管的原始證物；處理過程沒有未記錄的變更；庭呈結果的產生方式可重現、可驗證。

（一）證物監管鏈的意義（5 分）

證物監管鏈（Chain of Custody），是指自證物發現、取得或扣押開始，到封存、移交、保管、檢驗、分析，直至法庭提出為止，對證物的持有人、時間、地點、處理行為及保管狀態所作的連續紀錄與控制制度。

其目的在於：

1. 確認證物同一性：證明送交鑑識、實際分析及庭呈的證物，是同一來源的證物。
2. 維持證物完整性：降低證物遭替換、增刪、毀損或未經授權存取的風險。
3. 使證據歷程可追溯：可查明每一時點由誰保管、如何移交、做過何種操作。
4. 供法院評價證據可信性：若監管紀錄有缺漏，法院可能降低對證據真實性或可靠性的信賴。

數位證物的監管鏈通常須記錄證物編號、來源與取得方式、日期時間、封存狀態、移交人及接收人、存取或分析紀錄，以及相關雜湊值等資訊。

（二）如何消除軟硬體環境不同所生的質疑（15 分）

1. 從取得時就保存原始狀態

到場蒐證時，應記錄設備及其狀態，例如設備型號、序號、儲存媒體、連接狀況、系統狀態與現場畫面。對會因操作而改變資料的裝置，應依其狀態選擇適當蒐證方式，並記錄採取該方式的理由及操作步驟。

對儲存媒體進行鑑識時，原則上先使用寫入阻斷器，避免檢驗設備回寫資料至原始媒體。應保留原始證物，並以鑑識工具製作逐位元映像檔；後續分析以工作副本進行，避免直接操作原始證物。

2. 以雜湊值比對證明資料未變

對原始媒體或鑑識映像檔計算密碼學雜湊值，例如 SHA-256，並將演算法、計算時間、工具與結果記錄在案。製作映像檔後，對映像檔再計算雜湊值；後續移交、複製或分析前後，也可重新計算並比對。