Security of data

ICT 0417 學習筆記：數據安全 (第 8.3 節)

各位未來的 ICT 專家，大家好！歡迎來到課程中最關鍵的章節之一：數據安全 (Security of Data)。請把你的數據——那些照片、文章和銀行帳戶資料——想像成珍貴的寶藏。本章將教你如何打造最堅固的保險庫，防止數碼竊賊盜取你的寶藏。讓我們一起來了解各種威脅及應對方案吧！

快速重溫：為什麼數據安全很重要？

數據安全旨在確保資訊的保密性 (Confidentiality)（只有獲授權的人士可以查看）以及完整性 (Integrity)（確保資料未被篡改）。若缺乏強大的安全防護，企業會蒙受金錢損失，個人亦可能面臨身分被盜用的風險。

第一部分：數據威脅（數碼世界的危險）

防禦的第一步是認識你的對手。以下是可能威脅數據安全的主要危險：

1. 黑客入侵 (Hacking / 未經授權的存取)

定義： 黑客入侵 (Hacking) 是指個人在未經授權的情況下，存取電腦系統或網絡，通常帶有惡意（旨在竊取、破壞或濫用數據）。

比喻：黑客就像闖入你家鎖好的房子（網絡）偷竊物品（數據）的盜賊。

針對黑客入侵的防護措施：

• 使用強密碼 (Strong Passwords) 並定期更改。
• 安裝防火牆 (Firewall)（參見第二部分）。
• 使用加密 (Encryption)，確保即便數據被盜，竊賊也無法解讀（參見第二部分）。
• 安裝防惡意軟件 (Anti-malware)。

2. 惡意軟件 (Malware / 病毒)

定義： 惡意軟件 (Malware) 是一個廣義的術語，指旨在破壞系統運作、竊取資訊或進行未經授權存取的程式。病毒 (Virus) 是惡意軟件的一種，它會自我複製並附著在其他檔案上。

針對下載檔案中病毒的預防措施：

從互聯網下載任何內容或使用流動儲存媒體（如 USB 隨身碟）傳輸檔案時，務必格外小心。

1. 下載時掃描： 務必運行最新的防惡意軟件/防毒軟件。該軟件會在下載檔案時進行實時掃描，並阻截已知的威脅。
2. 掃描儲存媒體： 當你插入 USB 隨身碟時，請確保防毒軟件在開啟檔案前先掃描儲存媒體。
3. 移除/隔離： 一旦發現惡意軟件，軟件會將可疑檔案隔離 (Quarantine) 或直接移除 (Delete/刪除)。

3. 社交工程威脅 (Social Engineering / 「網絡釣魚」系列)

這類威脅並非直接入侵系統，而是透過欺騙用戶來獲取個人資料。

1. 網絡釣魚 (Phishing)： 詐騙者假冒成值得信賴的機構（如銀行或社交媒體網站）發送偽造訊息（通常是電郵），以竊取敏感數據（用戶名稱、密碼、信用卡資料）。比喻：漁夫（罪犯）撒下大網（大量電郵），期望釣到受害者。
2. 域名欺騙 (Pharming)： 將用戶重新導向至欺詐網站，即使輸入了正確的網址。這是透過污染 DNS 記錄來實現的。
3. 短訊釣魚 (Smishing)： 透過短訊 (SMS) 進行的網絡釣魚。
4. 語音釣魚 (Vishing)： 透過語音通話進行的網絡釣魚，通常使用自動化系統提示你輸入信用卡詳情。

如何預防社交工程攻擊：

• 切勿點擊未知寄件者的連結或開啟附件。
• 若電郵看起來可疑，請仔細檢查寄件者地址。
• 若被要求輸入登入詳情，請直接前往該公司的官方網站（不要使用電郵中的連結）。
• 使用最新的防間諜軟件 (Anti-spyware)。

4. 信用卡詐騙

這涉及非法使用付款卡（信用卡/提款卡）。

• 肩窺 (Shoulder Surfing)： 在 ATM 或結帳櫃檯物理性地偷看別人的 PIN 碼或密碼。預防：保持警惕，遮擋輸入鍵盤。
• 側錄/複製卡片 (Card Cloning/Skimming)： 使用秘密安裝在 ATM 或銷售終端 (POS) 上的設備，複製卡上的磁條數據。預防：檢查 ATM 是否有異常附件，盡可能使用晶片感應或 PIN 碼功能。
• 按鍵記錄 (Key Logging)： 使用軟件或硬件記錄電腦上的每一次按鍵，從而截獲密碼、信用卡號碼及其他敏感資訊。預防：輸入敏感數據時使用虛擬鍵盤，並保持防惡意軟件更新。

第一部分重點總結： 威脅包括黑客入侵（系統漏洞）、惡意軟件（有害程式）、社交工程（欺騙用戶）及信用卡詐騙（盜取卡片資料）。防禦需要兼顧技術工具與用戶意識。

第二部分：數據保護（建造數碼保險庫）

我們通常會層層疊加多種方法，以確保只有獲授權的用戶才能存取數據，並確保即使數據落入壞人手中，依然能保持安全。

1. 認證方法 (Authentication)

用戶 ID 和密碼

目的與功能： 這是最基本的安全形式。用戶 ID (User ID) 用於識別用戶身分，而密碼 (Password) 則用於核實該用戶身分是否屬實。它們透過限制只有知悉密碼的人才能存取系統，從而提升安全性。

為增強安全性，密碼必須是強密碼（長度足夠、包含大小寫字母、數字及符號），並應定期更改。

生物特徵 (Biometrics)

特徵與用途： 生物特徵使用人類獨有的身體特徵（生物數據）來驗證身分。

例子包括：指紋辨識、虹膜/視網膜掃描、臉部辨識及語音辨識。
由於它們比密碼更難偽造，因此常被用於高安全性存取控制或解鎖流動設備。

雙重認證 (2FA)

目的與功能： 雙重認證 (Two-Factor Authentication, 2FA) 要求用戶在獲取存取權限前，提供兩種類型的驗證。

例子：要登入銀行帳戶，你可能需要輸入：
1. 你知道的資訊（密碼）
2. 你擁有的物品（發送到你手機的一次性驗證碼）。
功能： 這大大提升了安全性，因為即使黑客竊取了你的密碼（第一要素），若沒有你的手機（第二要素），他們仍無法登入帳戶。

2. 數據安全措施

加密 (Encryption)

目的： 加密是透過複雜的密鑰，將數據擾亂成無法解讀格式（稱為密文 (Ciphertext)）的過程。只有持有正確密鑰的人才能進行解密，讀取原始數據（明文 (Plaintext)）。

加密對於以下地方的數據保護至關重要：

• 硬碟： 防止設備遺失或被竊時，內存檔案外洩。
• 電郵： 確保電郵內容在傳輸過程中不會被攔截者讀取。
• 雲端儲存： 保護儲存在遠端伺服器上的數據。
• HTTPS 網站： 確保數據在互聯網上傳輸的安全（請參考下方的 SSL）。

防火牆 (Firewall)

目的與功能： 防火牆在私人網絡（如你的家用電腦或學校網絡）與外部網絡（如互聯網）之間充當屏障（數碼圍牆）。

功能： 它根據預設的規則檢查所有傳入和傳出的網絡流量。它能阻截未經授權的存取，並防止有害的數據包進出系統。

安全通訊協定 (SSL) 與數碼憑證

當你安全地瀏覽網頁時，你會看到「HTTPS」和鎖頭圖示，這代表安全措施已啟動。

1. 安全通訊協定 (Secure Socket Layer, SSL)： 這是一種在伺服器（網站主機）與客戶端（你的瀏覽器）之間提供加密連結的協定。它確保兩者之間傳遞的所有數據保持私密且完整。
2. 數碼憑證 (Digital Certificate)： 在 SSL 建立加密連結前，伺服器會出示一份數碼憑證。

數碼憑證的用途與內容： 憑證就像是一本數碼護照，確認該網站合法可靠。

數碼憑證的內容包括：

• 憑證持有者的公開密鑰。
• 憑證持有者的名稱及所屬機構。
• 憑證的序號及有效期。
• 發證機構（憑證授權中心, CA）的數碼簽章。

你知道嗎？ SSL 大多已被其繼任者 TLS (傳輸層安全性協定) 取代，但「SSL」這個名稱仍被廣泛用於描述整個安全程序。

恭喜！你現在已經掌握了數據面臨的主要威脅，以及用來保護資訊的強大策略。記得在你的數碼生活中靈活運用這些安全措施！