資訊安全從連線加密開始 workshop 2020/01
•
6 likes•443 views
從網路連線學習資訊安全 實作內容為，學習使⽤用web proxy 軟體監測觀察傳輸的資料，並怎麼偽造和竄改資料 接著如何透過 Hash(雜湊)做到訊息鑑別碼 MAC ，保護傳輸資料驗證使⽤用者 ⼜又如何透過對稱式⾦金金鑰（AES），和非對稱⾦金金鑰(RSA)做到訊息隱蔽性訊息不可否認性
Recommended
More Related Content
Similar to 資訊安全從連線加密開始 workshop 2020/01
Similar to 資訊安全從連線加密開始 workshop 2020/01 (20)
More from 羊 小咩 (lamb-mei)
資訊安全從連線加密開始 workshop 2020/01
- 2. Blog : lamb-mei.com 羊小咩 E-mail : lamb@lamb-mei.com FB : https://www.facebook.com/lamb.mei GitHub：https://github.com/lamb-mei/ Lamb Mei
- 4. 有做到嗎? • 連線採⽤用https • 資料進⾏行行加密 • 傳輸資料簽名
- 6. 何謂中間⼈人攻擊
- 16. Charles GUI Web Application Debug Proxy https://www.charlesproxy.com/
- 17. Burp Suite GUI Web Application Debug Proxy https://portswigger.net/burp
- 18. Fiddler GUI Web Application Debug Proxy https://www.telerik.com/fiddler
- 32. 舉個栗⼦子
- 33. http://httpbin.org/get?num=10&str=This%20is%20String https://qrgo.page.link/mPqhy 栗⼦子1: http 資料攔截
- 35. 栗⼦子1: http 資料攔截
- 40. 舉個栗⼦子 x2
- 44. / 4144 Charles 攔截 https 導覽列列 help -> ssl proxy
- 45. / 4145 Charles 攔截 https
- 46. / 4146 Charles 攔截 https
- 48. 攔截⼿手機流量量
- 49. ⼿手機電腦同 WIFE WIFI 查詢電腦 IP
- 50. ⼿手機電腦同 WIFE WIFI 設定經過 Proxy
- 51. 電腦共享網路路 啟⽤用網路路共享
- 53. 實體⼿手機https資料攔截 Help ➔ SSL Proxying ➔ Install Charles Root Certificate on a Mobile Device
- 55. 實體⼿手機https資料攔截 安裝憑證檔 設定 ➔ ⼀一般 ➔ 描述檔與裝置管理理
- 56. 實體⼿手機https資料攔截 IOS 10+ 需要額外設定憑證信任設定 設定 ➔ ⼀一般 ➔ 關於本機 ➔ 憑證信任設定
- 57. 如何防範
- 58. 網路路通訊安全 • 訊息隱密性（Confidentiality） • 訊息完整性（Integrity） • 訊息來來源辨識性（Authentication） • 訊息不可重複性（Non-duplication） • 訊息不可否認性（Non-repudiation） 指訊息不會遭截取、窺竊⽽而洩漏資料內容致損害其秘密性 指訊息內容不會遭篡改⽽而造成資料不正確，即訊息如遭篡改時，該筆訊息無效 指傳送⽅方無法冒名傳送資料，資料進⾏行行數位簽章 指訊息內容不得重複，應採⽤用序號、⼀一次性亂數、時間戳記 指無法否認其傳送或接收訊息⾏行行為 電⼦子⽀支付專法 訊息防護措施
- 59. https://github.com/TakeScoop/SwiftyRSA https://github.com/krzyzanowskim/CryptoSwift Swift cryptographic algorithms library pod 'SwiftyRSA' pod 'CryptoSwift'
- 60. 雜湊 Hash • 雜湊不是加密 • 雜湊無法還原 • 產⽣生出來來長度固定 • 只差⼀一bit產出也完全不同 Algorithm • md5 • sha • sah0 • sha1 • sha256 • sha512 • 校驗碼（Checksum） • 產⽣生不可還原資料
- 61. 訊息鑑別碼 ⾦金金鑰雜湊訊息鑑別碼（Keyed-hash message authentication code） ⼜又稱雜湊訊息鑑別碼 (Hash-based message authentication code)，縮寫為HMAC） Message authentication code (MAC)
- 62. 舉個栗⼦子 x3
- 63. 栗⼦子3: 使⽤用 HMAC 簽名 https://github.com/lamb-mei/InformationSecurityConnectWorkshop.git https://qrgo.page.link/nyYx2
- 64. 栗⼦子3: 使⽤用 HMAC 簽名 取得傳送出去的Body 資料 計算簽名 放入 headers
- 65. • RSA加密演算法 • 橢圓曲線密碼學ECC (Elliptic Curve Cryptography) 密碼學 Cryptography 對稱式加密 (Symmetric Encryption) 非對稱式加密 (Asymmetric Encryption) • 進階加密演算法AES • 三重資料加密演算法3DES （Advanced Encryption Standard） （Triple Data Encryption Standard）
- 66. 舉個栗⼦子 x4
- 67. 栗⼦子4: 使⽤用 AES 加密 https://github.com/lamb-mei/InformationSecurityConnectWorkshop.git https://qrgo.page.link/nyYx2
- 68. 栗⼦子4: 使⽤用 AES 加密 加密資料
- 69. 舉個栗⼦子 x5
- 70. 栗⼦子5: 使⽤用 RSA 加密 https://github.com/lamb-mei/InformationSecurityConnectWorkshop.git https://qrgo.page.link/nyYx2
- 71. 栗⼦子5: 使⽤用 RSA 加密 加密資料
- 72. 舉個栗⼦子 x6
- 73. 栗⼦子6: 使⽤用 RSA +AES https://github.com/lamb-mei/InformationSecurityConnectWorkshop.git https://qrgo.page.link/nyYx2
- 74. 栗⼦子6: 使⽤用 RSA +AES 將AES ⾦金金鑰資料使⽤用RSA加密 (Server 公鑰) 傳送資料使⽤用AES加密 (AES 可隨機⼀一直產⽣生) 加密後的資料使⽤用RSA 簽名證明是你傳送 (Client 私鑰簽名)
- 75. 憑證綁定 Certificate Pinning 正常進⾏行行 https 連線狀狀況
- 77. 憑證綁定 Certificate Pinning 在 App 嵌入 SSL 公鑰，進⾏行行驗證 缺點：要注意公鑰過期，或server 更更換⾦金金鑰