110 高普考高考三級 資訊處理 資通網路 考古題詳解

核心觀念

本題考查虛擬私人網路（VPN）使用 IPsec 保護遠端連線的原理，以及企業如何管理 VPN，降低未授權存取與網路攻擊風險。

IPsec 是在網際網路協定（IP）層提供安全服務的一組協定。其主要安全功能包括：

• 機密性：加密資料，防止傳輸途中遭竊聽。
• 完整性：確認資料未遭竄改。
• 來源認證：確認封包來自經驗證的端點。
• 防重送：辨識並拒絕攻擊者重複傳送的舊封包。

IPsec 常見的兩種封裝協定為：

• AH（Authentication Header）：提供來源認證、完整性及防重送，不提供加密，因此不具機密性。
• ESP（Encapsulating Security Payload）：可提供加密、完整性、來源認證及防重送，是 VPN 常用的封裝方式。

解題方法：先說明 IPsec 如何建立安全通道，再分別說明兩種模式與封裝功能，最後從帳號、設備、權限、監控及更新等面向說明 VPN 管理。

IPsec 的運作原理

1. 建立安全關聯（Security Association, SA）

通訊雙方先協商安全參數，建立 SA。SA 是單向的安全通訊關係，包含所使用的協定、加密與驗證演算法、金鑰、有效期限及防重送參數等。雙向通訊通常需要各自建立一個 SA。

2. 使用 IKE 協商與交換金鑰

IKE（Internet Key Exchange）負責協商安全參數、驗證通訊雙方，以及建立或更新 IPsec 所需的金鑰與 SA。驗證方式可使用預先共享金鑰、數位憑證等。實際資料封包則依協商結果，由 AH 或 ESP 保護。

3. 以 AH 或 ESP 保護 IP 封包

• 使用 AH 時，封包附加驗證資訊，用以檢查來源及資料完整性，並透過序號等機制防止重送；AH 不加密資料內容。
• 使用 ESP 時，封包中的資料負載可加密，並可搭配完整性驗證、來源認證及防重送機制。實務上常以 ESP 同時提供機密性與完整性保護。

4. 依模式封裝與傳送

• 傳輸模式（Transport Mode）：保護原始 IP 封包的負載，保留原始 IP 標頭，常用於兩端主機間的直接通訊。
• 通道模式（Tunnel Mode）：將整個原始 IP 封包封裝並保護，再加上新的外層 IP 標頭，常用於遠端使用者或網路閘道連入企業網路。

核心觀念

DNSSEC（Domain Name System Security Extensions）是 DNS 的安全擴充，核心做法是以數位簽章驗證 DNS 資料來源及完整性。它不加密 DNS 查詢或回應，因此不提供查詢內容的機密性，也不會改變 DNS 的階層式名稱解析架構。

本題要掌握四件事：DNSSEC 如何建立信任鏈、提供哪些安全服務、能防禦哪些攻擊，以及它的防護界線。

解題方法：由信任鏈理解運作原理

1. 區域產生金鑰並簽署資料 每個啟用 DNSSEC 的 DNS 區域，使用私鑰為區域內的 DNS 資源紀錄集（RRset）產生數位簽章，並發布公鑰及簽章等 DNSSEC 紀錄。常見紀錄包括：

• DNSKEY：公布區域公鑰。
• RRSIG：保存 RRset 的數位簽章及相關驗證資訊。
• DS：由父區域保存子區域 DNSKEY 的摘要，用來建立父子區域間的信任連結。
• NSEC／NSEC3：提供經簽署的資料，用以證明特定名稱或紀錄不存在。

2. 驗證者由根區域往下建立信任鏈 驗證解析器以預先信任的根區域信任錨點為起點，驗證根區域的資料，再逐層驗證父區域提供的 DS、子區域的 DNSKEY，以及各 RRset 的 RRSIG。每一層驗證成功，才信任下一層的 DNS 資料。

3. 解析器驗證 DNS 回應 驗證者檢查簽章是否能由相應公鑰驗證，並確認簽章適用的名稱、紀錄類型及有效期間等資訊。驗證通過代表資料可確認來自相應區域，且傳輸過程中未遭竄改。若驗證失敗，解析器會將資料視為不可信；實際處理方式依解析器設定而定。

DNSSEC 提供的安全服務

• 資料來源驗證：確認 DNS 資料是由對應區域的私鑰簽署，並可沿信任鏈回溯至信任錨點。
• 資料完整性驗證：偵測 DNS 資料遭到未授權修改。
• 經驗證的否定回答：藉由 NSEC 或 NSEC3 等簽署紀錄，驗證某網域名稱或紀錄確實不存在。

DNSSEC 不提供 DNS 查詢或回應的加密、使用者隱私、可用性保證，也不驗證網站內容或網站身分。

核心觀念

本題考查 DDoS 攻擊的分類，以及 Layer 7（應用層）攻擊如何耗用網站伺服器資源與如何防禦。應用層攻擊針對 HTTP、HTTPS 等應用服務，常以看似正常的網頁請求消耗伺服器的 CPU、記憶體、資料庫連線或應用程式執行資源。即使流量總量不大，仍可能使網站無法正常回應。

解題方法

作答時掌握「攻擊方式—耗用資源—防禦措施」三個環節：先舉出符合應用層特性的攻擊例子，再說明它如何造成服務負載，最後配對說明各層防禦措施。防禦重點是辨識並限制惡意請求，同時維持正常使用者的服務品質。

攻擊例子

HTTP GET／POST 洪水攻擊：​攻擊者控制大量遭入侵的電腦或裝置，持續向網站送出看似正常的 HTTP GET 或 POST 請求。例如反覆要求產生報表、搜尋大量資料，或送出需耗費大量運算的表單。伺服器必須逐一處理請求，可能耗盡 CPU、應用程式工作執行緒、資料庫連線或其他後端資源，導致正常使用者請求逾時或無法連線。

慢速 HTTP 攻擊：​攻擊者建立大量連線，刻意緩慢傳送 HTTP 標頭或請求內容，讓伺服器長時間保留連線與相關資源。這類攻擊不一定需要很大的網路頻寬，也可能使可用連線數或工作執行緒被占滿。

防禦方式

1. 流量清洗與反向代理：​將網站流量導向具備 DDoS 緩解能力的 CDN、雲端防護服務或反向代理，由其過濾異常請求，再轉送正常流量至網站伺服器。
2. 請求速率限制：​依來源 IP、帳號、工作階段或 API 金鑰設定請求頻率與併發連線上限；

核心觀念

HTTP 本身不提供加密、身分驗證或訊息完整性保護，傳輸內容可能遭竊聽、竄改或冒充。HTTPS 是在 HTTP 與傳輸層之間加入 TLS（較舊稱 SSL），利用憑證、公開金鑰密碼學及對稱式加密，保護用戶端與網站之間的連線。

本題考查 HTTPS 的 TLS 握手流程，以及它所提供的安全服務：機密性、完整性、伺服器身分鑑別。一般 HTTPS 可驗證伺服器身分；用戶端身分驗證則須另外採用用戶端憑證等機制。

解題方法：依連線建立與資料傳輸說明

1. 用戶端發起連線：瀏覽器連至 HTTPS 網站，開始 TLS 握手，並提出支援的 TLS 版本、密碼套件及隨機值等資訊。

2. 伺服器出示憑證：伺服器回覆協定參數，並傳送包含網站公開金鑰的數位憑證。用戶端檢查憑證是否由可信任的憑證機構簽發、是否在有效期限內，以及憑證中的網域名稱是否符合目前連線的網站。

3. 協商工作階段金鑰：雙方透過金鑰交換機制建立共同的工作階段金鑰。現代 TLS 常使用（橢圓曲線）Diffie–Hellman 金鑰交換；較舊的 TLS 作法則可能以伺服器公開金鑰加密預備主密鑰。握手完成後，雙方使用工作階段金鑰進行後續加密。

4. 安全傳送 HTTP 資料：瀏覽器與伺服器以協商出的對稱式金鑰及完整性保護機制，保護後續 HTTP 請求與回應。