113 地方特考四等 資訊處理 資通網路與安全概要 考古題詳解

核心觀念

子網路遮罩用來劃分 IPv4 位址中的網路部分與主機部分。將 IP 位址與子網路遮罩逐位元進行 AND 運算，可得該主機所在網段的 Network ID。CIDR 前綴長度 /n 表示遮罩中有 $n$ 個連續的 1。

DHCP 與 NAT 都能減少組織對 public IP 位址的需求，但作用不同：DHCP 負責自動設定主機的網路參數；NAT 負責轉換封包中的 IP 位址。

解題方法

（一）子網路遮罩的用途

子網路遮罩指出 IP 位址中哪些位元屬於網路識別、哪些位元屬於主機識別。主機據此判斷目的 IP 是否在同一子網路：

• 若目的主機在同一子網路，直接在區域網路內傳送。
• 若目的主機不在同一子網路，將封包交給預設閘道器轉送。

遮罩也可用來計算網段的 Network ID、廣播位址及可用主機位址範圍。

（二）計算 Network ID 與網段最後一個 IP 位址

已知 IP 位址為 $168.199.170.82/27$。

/27 表示子網路遮罩前 27 位為 1，後 5 位為 0：

前三個八位元組不受主機部分影響，因此只需計算最後一個八位元組。遮罩最後一組為 224，對應的區塊大小為：

因此最後一個八位元組的網段依序為 $0$–$31$、$32$–$63$、$64$–$95$⋯。數值 $82$ 落在 $64$–$95$ 範圍，所以該網段的範圍為：

Network ID 是網段的起始位址，網段最後一個 IP 位址是該範圍的末位址：

• Network ID：$168.199.170.64$
• 網段最後一個 IP 位址：$168.199.170.95$

核心觀念

DNS（Domain Name System，網域名稱系統）是 TCP/IP 網路的分散式、階層式命名系統，主要負責把人容易記憶的網域名稱轉換成網路通訊所需的 IP 位址，也能依查詢類型提供郵件伺服器等資訊。

DNS 資料以資源紀錄（Resource Record, RR）表示，常見類型如下：

• A、AAAA：分別將主機名稱對應至 IPv4、IPv6 位址。
• CNAME：表示某名稱是另一個名稱的別名。
• MX：指出網域的郵件交換伺服器。
• NS：指出負責該網域的名稱伺服器。
• PTR：供反向查詢使用，將 IP 位址對應回名稱。

DNS 採階層式分散管理，主要包含根網域、頂層網域（如 .tw、.com）及各組織或主機所屬網域。這種設計可分散管理與查詢負載，不必由單一中央資料庫保存全世界的名稱資料。

解題方法：DNS 的工作原理

回答工作原理時，可依序說明「用戶端提出查詢、解析器尋找答案、伺服器逐層查詢、回傳並快取結果」。

1. 應用程式提出名稱解析需求 使用者輸入網域名稱後，應用程式透過作業系統的名稱解析機制，向設定的 DNS 解析器（通常是遞迴解析器）查詢所需紀錄，例如查詢某主機的 A 或 AAAA 紀錄。

2. 先查快取 遞迴解析器先檢查快取。若已有尚未逾期的紀錄，就直接回覆；快取有效時間由資源紀錄的 TTL（Time To Live）決定。

3. 逐層尋找權威資料 若快取沒有答案，解析器會從根名稱伺服器開始查詢。根伺服器通常提供下一層頂層網域伺服器的資訊；接著解析器詢問頂層網域伺服器，再依其回覆找到該網域的權威名稱伺服器。

4. 向權威名稱伺服器取得紀錄 解析器向權威名稱伺服器查詢目標紀錄。權威伺服器回覆該網域實際管理的資料，例如 IP 位址。

5. 回覆用戶端並快取 遞迴解析器將答案回傳給用戶端，並依 TTL 暫存結果，供後續查詢重用。

此處應區分兩種查詢方式：遞迴查詢要求被詢問的解析器負責取得最終答案或回報錯誤；迭代查詢則由伺服器提供可繼續查詢的轉介資訊，讓解析器逐站詢問。一般用戶端常向遞迴解析器提出遞迴查詢，而解析器向根、頂層及權威伺服器查詢時，常採迭代方式。

DNS 同時使用 UDP 與 TCP 的理由

DNS 使用 UDP 或 TCP，取決於查詢情境與訊息需求，兩者各有用途。

核心觀念

中間人攻擊（Man-in-the-Middle Attack, MITM）是指攻擊者介入兩個原本直接通訊的對象之間，讓雙方誤以為仍在彼此通訊。攻擊者可攔截、竊取、修改或轉送資料；若能冒充通訊雙方，還能取得帳號密碼、交易內容或其他敏感資訊。

MITM 的關鍵在於：通訊端點未能正確驗證對方身分，或通訊內容未受到足夠保護。攻擊者不一定會中斷連線，也可以保持雙方通訊正常，讓攔截不易被察覺。

解題方法

作答時先說明 MITM 的攻擊位置與目的，再分別舉出兩種不同的實施方法，最後依攻擊環節提出防範措施。攻擊方法可從「竊聽或冒充網路連線」與「操弄名稱解析或區域網路流量」兩個角度說明。

兩種中間人攻擊方法

一、偽造無線基地台（Evil Twin）

攻擊者架設與合法 Wi-Fi 名稱相同或相近的偽造基地台，誘使使用者連線。使用者透過該基地台上網時，攻擊者可轉送流量並攔截未加密的資料，也可導向仿冒網站，誘騙使用者輸入帳密。即使網站使用 HTTPS，若使用者忽略憑證錯誤警告而繼續連線，仍可能遭受攻擊。

二、ARP 欺騙（ARP Spoofing）

在區域網路中，攻擊者向受害者或閘道器送出偽造的 ARP 訊息，使其將攻擊者的 MAC 位址誤認為對方的 MAC 位址。如此一來，受害者與閘道器之間的流量會先經過攻擊者，攻擊者便能攔截、修改或轉送封包。若未妥善轉送流量，則可能造成連線中斷。

防範作法

核心觀念

本題考查兩種密碼系統的金鑰管理方式、加密與驗證用途，以及公鑰憑證與公開金鑰基礎建設（PKI）的角色。對稱式密碼使用同一把祕密金鑰進行加密與解密；非對稱式密碼則使用數學上相關的一對金鑰：公開金鑰與私密金鑰。

題目未涉及特定法條，無須援引法規。

解題方法

先比較兩種方法的金鑰數量、運算效率、金鑰交換與管理難度，再說明非對稱式密碼雖可公開公鑰，仍須確認公鑰確實屬於宣稱的對象。最後說明憑證如何建立身分與公鑰的可信連結，以及 PKI 如何管理憑證與信任關係。

對稱式與非對稱式密碼比較

對稱式密碼的優點是速度快、適合大量資料加解密；缺點是共用金鑰須先安全地交付給通訊雙方，且使用者增加時，金鑰分配、保管與更新都更複雜。

非對稱式密碼的優點是公鑰可公開散布，私鑰不需交給他人，較能解決金鑰交換與數位簽章的需求；缺點是運算速度較慢，而且公鑰本身的真實性仍須確認。實務上常採混合式加密：以非對稱式方法協商或傳送工作階段金鑰，再以對稱式方法加密大量資料。

非對稱式密碼為何需要公鑰憑證

公鑰雖可公開取得，但單有一把公鑰，無法證明它確實屬於某個人、組織或伺服器。