109 鐵路人員升資考試佐級晉員級 技術類(選試資訊管理與資通安全概要) 資訊管理與資通安全概要 考古題詳解

核心觀念

本題考查雲端服務的安全使用方式，須依威脅發生的位置，分別採取傳輸保護、資料保護、完整性驗證及身分驗證措施。判斷時可先區分「傳輸中的資料」與「儲存中的資料」，再確認要維護的是機密性、完整性或身分驗證。

解題方法與各小題分析

（一）避免傳輸資料遭竊聽或竄改

選擇使用支援 HTTPS／TLS 的雲端服務，並確認瀏覽器連線憑證有效、網域名稱正確。TLS 可加密用戶端與伺服器間的傳輸內容，降低竊聽風險；其訊息完整性保護則可偵測傳輸內容遭竄改。

使用公共 Wi‑Fi 時，應避免連線到仿冒的服務網站，也不應忽略憑證錯誤警告；必要時改用可信任網路或 VPN。VPN 可保護裝置到 VPN 閘道間的通道，但不能取代對雲端服務本身 HTTPS 憑證的確認。

（二）避免儲存在雲端的機密內容遭竊取

對敏感資料進行加密，並妥善管理金鑰。若服務支援用戶端加密，應在上傳前於自己的裝置加密，且由使用者保管解密金鑰；如此即使雲端儲存資料遭未授權存取，攻擊者仍難以直接讀取明文。

另應選擇具備存取控制、權限管理與安全紀錄的服務，只將資料分享給必要對象，並避免公開分享連結或設定過寬的存取權限。雲端服務的伺服器端加密可降低儲存媒體遭直接竊取時的風險，但金鑰若由服務提供者管理，仍須一併評估帳戶遭入侵及服務端權限遭濫用的風險。

（三）避免儲存在雲端的資料遭竄改

選擇具備版本控制、異動紀錄及資料完整性檢查功能的服務，定期檢查重要資料，並保留獨立備份。雜湊值可用來比對資料是否改變：對同一資料計算雜湊值，若事後結果不同，即表示資料內容已變動；

核心觀念

本題考查 HTTP 與 HTTPS 的差異、HTTPS 的安全機制，以及伺服器端建立 HTTPS 所需的憑證。HTTPS 是以 TLS（舊稱 SSL）保護 HTTP 通訊的方式，常見連線使用 TCP 443 埠。

瀏覽器警告不支援 HTTPS 的網站，主要是提醒使用者：該連線缺乏 TLS 提供的傳輸保護。使用 HTTP 時，資料通常以明文傳送，可能遭第三方竊聽或竄改；使用者也較難確認連線對象是否為預期網站。

解題方法

作答時可分成三部分：先說明瀏覽器警告的原因，再列出 HTTPS 提供的保護，最後回答伺服器除軟體外所需的材料。

一、瀏覽器為何警告

HTTP 本身不會加密傳輸內容，也不提供訊息完整性保護。使用者輸入的帳號、密碼、表單內容或瀏覽資料，可能被同一網路中的攻擊者截取；傳輸內容也可能遭到插入或修改。若網站未使用 HTTPS，使用者亦缺少可靠的伺服器身分驗證，容易受到中間人攻擊或連到仿冒網站。

因此，警告的核心理由是：HTTP 連線無法充分保障資料機密性、完整性與伺服器身分可信度。這不表示每個 HTTP 網站都在竊取資料，而是代表連線本身沒有 HTTPS 所提供的保護。

二、HTTPS 如何保護使用者

HTTPS 透過 TLS 建立安全通道，主要提供：

• 機密性：利用加密保護傳輸內容，降低遭竊聽後直接讀取資料的風險。
• 完整性：利用訊息驗證機制偵測資料在傳輸途中是否遭竄改。

核心觀念

**邊緣運算（edge computing）**是將資料處理、分析或部分儲存工作，從集中式雲端或大型資料中心移近資料產生端，例如感測器、攝影機、工廠設備、車載系統或基地台。靠近資料來源的設備可先處理資料，再視需要將摘要、警示或結果傳送至雲端。

邊緣運算與雲端運算不是互相取代，而是可以分工合作：邊緣端負責即時反應與初步處理，雲端負責跨場域資料整合、長期儲存、模型訓練或全域管理。

適用邊緣運算的情境，通常具有下列特性：

• 需要低延遲：資料若往返雲端才處理，反應時間可能過長。
• 資料量龐大：全部上傳會占用頻寬，增加傳輸成本。
• 網路連線不穩或中斷：設備仍須在現場維持基本運作。
• 涉及隱私或敏感資料：可在本地先分析，只傳送必要資訊。

解題方法

題目要求定義邊緣運算，並舉兩個例子說明適用的場域與情境。作答時可先寫出「運算位置靠近資料來源」這項核心定義，再選擇兩個能清楚呈現其效益的場域。每個例子依序交代：

1. 場域及資料來源；
2. 為何不適合只依賴雲端處理；
3. 邊緣端如何處理，以及帶來的效益。

這樣能同時回答「何謂邊緣運算」與「哪些場域、情境適用」，避免只列名詞而未說明理由。

例子一：智慧工廠設備監控

工廠中的機台感測器可持續產生振動、溫度、壓力等資料。若每筆資料都先傳到遠端雲端分析，再等待結果回傳，可能延誤異常處置；大量原始資料也會占用網路頻寬。

核心觀念

公開金鑰基礎建設（Public Key Infrastructure, PKI）是一套以非對稱式密碼技術為基礎，負責建立、簽發、管理、查驗及撤銷公開金鑰憑證的制度與技術架構。它把「某個身分」與「某把公開金鑰」可靠地連結起來，讓使用者能透過數位憑證確認對方身分及公鑰歸屬。

PKI 可支援下列安全服務：

• 身分鑑別：確認憑證主體的身分。
• 完整性與不可否認性：以私密金鑰產生數位簽章，接收者用憑證中的公開金鑰驗證簽章，確認文件未遭竄改及簽署者身分。
• 機密性：以接收者的公開金鑰加密資料，僅持有相對應私密金鑰者能解密。

憑證本身通常由憑證機構簽章，用以證明憑證主體與公開金鑰的關聯。實務上，驗證者除了檢查簽章，還要確認憑證鏈可信、憑證在有效期間內，且未被撤銷。PKI 提供信任與憑證管理機制；加密、簽章等功能則由相關密碼技術實際執行。

涉及法規部分，以下以命題當年（民國 109 年）法規為準。PKI 與電子憑證應用可參照當時的《電子簽章法》及相關子法；本題無須援引特定條文作為定義依據。

解題方法

本題是申論題，可依「定義 → 組成要素 → 政府應用實例」作答。先說明 PKI 如何把身分與公鑰建立可信連結，再逐一交代憑證生命週期所需的機構、資料、程序及查驗機制，最後以我國政府的 GPKI 與自然人憑證等應用作為例證。

PKI 的組成要素可說明如下：

1. 憑證機構（CA，Certification Authority）：負責簽發、更新、管理及撤銷憑證。政府 PKI 中，政府憑證總管理中心（GRCA）作為信賴起源，建立階層式信任架構，並與下層憑證機構建立信任關係。
2. 註冊機構（RA，Registration Authority）：受理憑證申請，查核申請者身分及申請資格，再將核准結果交由 CA 簽發憑證。RA 可與 CA 分設，也可由 CA 兼任。
3. 數位憑證：以標準格式記載憑證主體、公開金鑰、簽發者、序號及有效期間等資訊，並由 CA 簽章。憑證將身分與公開金鑰綁定，供他人查驗。
4. 憑證持有者與信賴憑證者：憑證持有者保管相對應的私密金鑰並使用憑證；信賴憑證者收到簽章或憑證後，負責驗證憑證鏈、用途、期限及狀態。