因素 範圍 鑑別參考值
開採花費時間 小於一天 0
小於一週 1
小於一個月 4
小於三個月 13
大於三個月 26
一切實際 *
專業技術層次 門外漢 0
熟練者 2
專家 5
需具有之評估標的相關知識 公開 0
內部資訊 1
敏感資訊 4
關鍵資訊 10
機會之窗 不需要/存取不受限制 0
容易 1
適度 4
困難 12
無 **
所需之相關設備 標準的 0
特殊的 3
特製的 7
1. 說明：潛在脆弱性開採類別(Attempted Exploitation of Potential Vulnerabilities，簡稱 PAV) 之屬別(Families)與組件(Components)：
1.1. 開採花費時間(Time taken to identity and exploit，簡稱 PAV_TTE)：6 組件。
1.2. 專業技能需求(Specialist technical expertise required，簡稱 PAV_STE)：3 組件。
1.3. 評估標的設計與操作之知識(Knowledge of the TOE design and operation，簡稱 PAV_KNO)：4 組件。
1.4. 機會之窗(Window of opportunity，簡稱 PAV_WOP)：5 組件。
1.5. 開採所需之資訊技術硬體與軟體或其他設備(IT hardware/software or other equipment required for exploitation，簡稱 PAV_HSW)：3 組件。
2. 資料來源：ISO/IEC JTC 1/SC 27 WG 3 (2005) ISO/IEC WD 18045：2005(E) p.293。
表 6. 4：脆弱性評比(Rating of Vulnerabilities)
評估值範圍 0~2 3~5 6~9 10~14 15~26 * (Beyond High) 資料來源：ISO/IEC JTC 1/SC27 WG 3 (2005) ISO/IEC WD 18045：2005(E), p294。
2002 年 9 月 1 日，英國泰晤士報報導，中國政府已在國務院信息產業部旗下成立 秘密部門，統轄一支稱為「網路戰士」的精英小組，對美國等國際強權從事 21 世紀數 位戰爭之準備【67】。要求匿名的一位中國「網路戰士」描述中國持續尋找愛國情操 與才能兼備的人才，希望促使中國資訊安全策略更上一層樓，比美在 1941 年，藉助破 解「奇謎(Enigma)」的優勢，實力較弱的英國扭轉歐洲第 2 次世界大戰局勢之柏雷屈 里園(Bletchely Park)工作小組【89】。
綜觀前述報導，中國「網路戰士」的工作於操控網路監督網友活動、破解密碼、
潛 入 銀 行 帳 戶 等 工 作 ， 屬 於 資 訊 技 術 安 全 評 估 工 作 中 之 攻 擊 樹 方 法(Attack Tree Methodology，簡稱 ATM) 滲透測試方法；其冀求標的之破解奇謎的工作則屬瑕疵假設 方法(Flaw-Hythesis Methodology，簡稱 FHM)，ATM 與 FHM 是滲透測試(Penetration Testing， 簡 稱 PT) 中之兩大分支。在資訊技術安全保證(Information Technology Security Assurance)方法中，PT 已是樞紐方法之一，我國僅密碼模組安全保證作之規 劃自 1998 年 10 月 15 日正式開始，成本已逾千萬，訖今尚未論及相關之滲透測試工
圖 6.4：資訊安全管理系統之控制類別關連示意
圖 6.5：資訊系統作業環境與評估準則之關連示意
評估準則與方法(ISO/IEC 15408、18045)
評估報告
(系統安全標的、風險評鑑、程序、安全政策模型、
指引/設計文件集等)
發展、交付與安裝安全產品
整合、作業與維護安全系統 安全產品與系統之指導綱要 (ISO/IEC 13335、17799、21827) 評
估
作 業
資料來源：ISO/IEC JTC1/SC27 (2004) Information technology-Security techniques- Security assessment of operational systems, ISO/IEC 19791, ISO/IEC JTC1/SC27 N4001, P.10, Figure 3。
資料來源：ISO/IEC JTC1/SC27 (2005) Information technology - Security techniques - Security assessment of operational systems, ISO/IEC DTR 19791, page 17, Figure 5。
資訊系統
顧客資料 存取控制功能
使用者屬性登錄
技術控制
技術控制之管理控制
使用者角色之作 業控制指定規則
使用者角色之管 理程序
作業控制 作業控制之管理控制
文件集
資訊系統之評估標的
表 6. 5：美國 C&A 過程計畫之安全控制選擇與實作的攻擊者等資源分類示意
低 中 高
攻擊者 個體戶 有組織的團體 涉及國家之組織與
團體（例：網軍）
預算 ≦U.S. $1,000,000 ≦U.S. $10,000,000 ＞U.S. $10,000,000
技能 自學 有計畫之訓練 有計畫與控制之訓練
表 6. 6：1998 年 5 月印度巴琵原子研究中心事件
1. 1998 年 5 月綽號「t3k.9」的 15 歲美國少年，因在電視上看到了印度與中國、巴 基斯坦進行核武競賽的新聞，基於「人道」還是「第三世界的普羅大眾的貧窮」
等未知原因而氣憤不已。
2. t3k.9 撥入 Infoseed 的搜尋引擎，接通「in atomic」，出現了印度巴琵原子研究中 心(Bhabha Atomic Research Center，簡稱 BARC)，點選 BARC 使用(John Ripper DES Encryption Cracker)進行攻擊，45 秒後，t3k.9 發現已成為 BARC 的 合法用者。
3. 幾天後，t3k.9 將整個 BARC 的通行碼檔案(約 800 個合法使用者)公佈在駭客頻 道，BARC 遭到上百次之駭客攻擊。
表 6. 7：抵抗中度(Moderate)潛在入侵之滲透測試例─神鬼尖兵(Sneaker)真實版例
1 Source ： Behar, R. (1997) Who’s reading your e-mail?, FORTURE, Feb. 1997,pp.36~46.
2 WheelGroup Corp. 總裁在1996 年 10 月宣稱面對：
2.1 擁有大型網路的公司(例：財星 500 大)，我們一個下午即可以侵入。
2.2 小型公司，僅需 2 個小時就可以侵入。
3 財星雜誌徵得排名 500 大之內的 XYZ 跨國企業參加測試，並由著名的 Coopers
&Lybrand 會計師事務所(全球六大會計師事務所之一，首創電腦稽核業務)協 防。
4 WheelGroup Corp. 五人小組於D 日凌晨 1:10 開始作業。
5 經過 16 個小時，於 1500 次的撥號測試後過濾出 55 個可能有機會的數據機專用 號碼。
6 D 日晚上 21:13，使用字典攻擊法，WheelGroup Corp 五人小組獲得賓果大獎。
7 D + 1 日凌晨 0:01，WheelGroup Corp 五人小組再度以字典攻擊法成功的控制了 XYZ 公司稅務(Tax)部門的資訊系統。
8 D + 1 日凌晨 2:02，WheelGroup Corp 五人小組再一次以字典攻擊法成功的控制 了XYZ 公司技術 (Technology )部門的資訊系統。
9 WheelGroup Corp 五人小組使用偽造的 XYZ 公司員工帳號發出一封致批准此次 實驗計畫的主管，請求核准獎勵參加此次「財星試驗 (FORTUNE’s experiment) 計畫」的員工5,000 元美金聖誕節獎金的電子郵件。
10 XYZ 批准此次實驗計畫的主管立刻裁示：「Okey, fine」，實驗結束。
11 結論：
11.1 因資訊安全系統役於人，所以符記卡(例: IC 卡)於資訊安全系統的使用 上非常重要。
11.2 使用者的行為必須配合安全控管的要求，方能確保資訊系統的安全。
在 ISO 之主導下，資訊安全保證分成發展保證(Development Assurance，簡稱 DA)、整合保證(Integration Assurance，簡稱 IA)與作業保證(Operation Assurance，
簡稱 OA)3 個構面，無論是 DA、IA 還是 OA，我國均少有人涉獵；舉例而言，「密碼 技術及其應用」中，對抗網軍攻擊應執行的「正規分析」與「密碼協定安全性分析」
於我國密碼學研發領域中仍屬罕見，即可見一斑【4, 68, 75】。
沒有人會懷疑中國大陸具有犯台的決心、企圖與準備，「人無遠慮，必有近 憂」，鑑於「不分平時、戰時，任何用來影響對方資訊與通資訊系統，同時防護我方 資訊與通資訊系統的行動。」均屬資訊戰，及其首戰即是決戰的特性。在我國通資訊 基礎建設對「密碼技術及其應用」的依賴性逐漸昇高之時，如何因應資訊與通信、財 務與金融、重要民生服務、實體配送以及能源等之通資訊基礎建設的安全保護工作亦 日益重要。我國在邁向數位化生活之時，應慎密、深沈的考慮面對台灣之機會與威 脅，建立能提供海峽對岸網軍攻擊的「密碼技術及其應用」資訊安全保證之研發能量 的策略與執行計畫，實為當務之急。
「密碼技術及其應用」之工作，非常講究基本功，一定要經過長期的努力經營，
方能有實實在在之成果；除前述營建與厚植我國「密碼技術及其應用」能量的策略面 建議外，考量國內外之環境與海峽對岸的威脅，在密碼督導機關之組織架構下，於立 即可操作的面向，提案如下：
(1). 參照美國之要求與 ISO 的標準(含 NP、WD、CD、PDTR、DIS 及 DTR)，
規 劃 分 成 管 理(Manage) 、 籌 獲 (Acquire) 、 設 計 與 發 展 (Design and Development)、實作與作業(Implementation and Operation)、審核與評估 (Review and Evaluation)之「密碼技術及其應用」的基礎(Beginning)、中級 (Intermediate)及進階(Advanced)課程。
(2). 就 我 國 已 有 基 礎 之 公 開 金 鑰 基 礎 建 設 (Public Key Infrastructure ， 簡 稱 PKI)，檢討其資訊安全保證的符合性及其改進方案。
(3). 建置我國如圖
3.6
所示之電子化政府的金鑰管理基礎建設(Key Management Infrastructure，簡稱 KMI)。(4). 建立我國如圖
6.6「密碼技術及其應用」之資訊安全保證鑑測機制。
(5). 研發能對抗網軍攻擊之可信賴平台模組。
圖 6.6：密碼技術及其應用鑑測之組成(Composition)示意
次系統之保護需求
應用系統之保證需求
已評估產品構成之產品的
［指定：保證套件
（例：評估保證等級4）］
應用程式
商用元件產品之 組成（例：資料 庫管理系統＋作 業系統＋可信賴
平台模組）
伺服器系統
6.3、實作機制：
2005 年 11 月 9 日，總統正式公布 2005 年 10 月 25 日立法院第六屆第二會期第 七次會議通過之「國家通訊傳播委員會組織法」，其中第三條律定「國家通訊傳播委 員會」掌理「資通安全技術規範及管制」；換言之，本文提出的「密碼技術及其應用 宜遵循之規範」應由「國家通訊傳播委員會」主責，執行 2005~2008 年度「建立我國 通資訊基礎建設安全機制計畫」要求的「設立資通安全軟、硬體產品驗證機構及建立 認證／驗證程序」之重要措施，實作「推廣民間機構落實資通安全產品驗證規範」與
「建立資通安全產品驗證體系」兩項行動方案【71】。
「建立能提供海峽對岸網軍攻擊之密碼技術及應用的資訊安全保證之研發能 量」，建議由經濟部主責，先行納入 2005~2008 年度「建立我國通資訊基礎建設安全 機制計畫」要求之「研發資通安全技術，推廣研發成果，移轉民間應用發展」行動方 案中實作；為求完備，宜比照「密碼技術及其應用宜遵循之規範」將其層級提昇至 2005~2008 年度「建立我國通資訊基礎建設安全機制計畫」要求之重要措施，就提案 的全景強化諸如：程式安全(Writing Secure Code)、強化 PKI 資訊安全保證能量
【84】、KMI 之建置等項目納入國科會、教育部等已在進行中的行動方案【71】。
安全就像空氣，原本毫無價值，失去時才會痛苦覺察其存在。乙西歲末，回顧己 見成果之「密碼技術及其應用」的現今；展望未來，面對「密碼技術及其應用」普及 於電子化政府中之事實，宜正視的資訊安全保證議題仍所在多有；除提出「制定密碼 技術及其應用宜遵循之規範」與「建立能提供海峽對岸網軍攻擊之密碼技術及其應用 的資訊安全保證之研發能量」二項政策，並在可操作的前提下，提出「密碼技術及其 應 用 」 之 「 認 知 、 訓 練 與 教 育 」 、 「PKI 與 資 訊 安 全 保 證 」 、 「 電 子 化 政 府 之 KMI」、「資訊安全保證之密碼技術及其應用之鑑測」及「研發 TPM」等 5 項議題，
若能落實，對達成使用「密碼技術」時，「使用便捷、遺失不懼」的可信賴資訊應用 環境之願景，應有正面的助益。
參考文獻：
【1】 Bacon, J., K. Moody and W. Yao, (2002) A Model of OASIS Role-Based Access Control and its Support for Active Security, ACM Transactions on Information and Systems Security, Vol.5, No.4, pp492~540.
【2】 Baker, S. A. and P. H. Hurst (1998), The Limits of Trust, Klawer Law International.
【3】 Bartion, E., B. Catania, E. Ferrari, and P. Perlasca, (2003) A Logical Framework for Reasoning about Access Control Models, ACM Transactions on Information and System Security, Vol.6, No.1, PP.71~127.
【4】 Boute, R. (2005) Formal Reasoning About Systems, Software and Hardware Using Functionals, Predicates and Relations, in Information Security edited by Reis, R., pp. 85~115, Kluwer Academic Press.
【5】 Burr, W. E. Etal. (2004) Electronic Authentication Guideline, NIST SP 800-63, NIST.
【6】 Calkin, A., (1995) Nine years of an ISO/IEC Secretariat on IT security, Computer Standards and Interface, Vol. 17, pp. 139~143.
【7】 Dam, W. K. and H. S. Lin, eds (1996) Cryptography’s Role in Securing the Information Society, National Academy Press.
【8】 Domingo- Ferrer,J. etal eds. (2000) Smart Card Research and Advanced Applications, Kluwer Academic Publishers.
【9】 Easter, R.J. etal. (2003) Text for ISO/IEC 2nd WD 19790, Information technology-Security techniques-Security requirements for cryptographic modules, ISO/IEC JTC1/SC 27/WG3 N637.
【10】 Ferraiolo, D.F., D.R. Kuhn and R. Chandramouli, (2003) Role-Based Access Control , Artech House.
【11】 Ferraiolo, D.F., S. Sandhu, D. Gavrila, D.R. Kuhn, and R. Chandramouli, (2001) A Proposed Standard for Role-Based Access Control, ACM Transactions on Information and Systems Security, Vol.4 , No.3 , pp224~274.
【12】 Frederick, Cynthia, etal. (2002), Information Assurance Technical Framework 3.1, National Security Agency (http://www.iatf.net).
【13】 Gennaro, R. etal. (1997) Two-Phase Cryptographic Key Recovery System, Computer and Security, Vol. 16, No. 6, pp. 481~506.
【14】 GmbH and IBM, (November 26, 2003) SuSE Linux Enterprise Server V8 with Service Pack 3, Security Target for CAPP Compliance.
【15】 Hamilton, B.A., (2002) Depart of Defense Public Key Infrastructure and Key Management Infrastructure Token Protection Profile (Medium Robustness), NSA (National Security Agency).
【16】 Handschuh, H. and P. Paillier (1998) Smart Card Crypto-Coprocessors for Public-Key Cryptography, CRYPTOBYTES, Vo1.4, No, 1, pp.6~11.
【17】 Hassler, V. etal. (2002) Java Card for E-Payment Applications, Artech House.
【18】 Hendry, M. (2001) Smart Card Security and Applications, 2nd ed., Artech House.
【19】 Housley, R. and T. Polk (2001) Planning, for PKI, Wiley.
【20】 Howard, M. and D. LeBlanc (2003) Writung Secure Code, 2nd ed. Microsoft Press.
【21】 http://grouper.ieee.org/groups/1667/ (2005-11-11)
【22】 http://issaa.org (2005-11-11)
【23】 http://siswg.org (2005-11-11)
【24】 http://tech.sina.com.cn/i/2005-04-01/1103568515.shtml (2005-10-29)
【25】 http://www.esign.org.tw
【26】 http://www.liberttimes.com.tw/2001/new/sep/30/today-t2.htm (2001-9-30)
【27】 http://www.nsa.gov/SE Linux (2004/7/29)
【28】 http://www.trustedcomputinggroup.org (2005-10-09)
【29】 http://www.telepolis.de/tp/english/special/enfo/6382/1.html (1999/8/3)
【30】 http://www.wassenaar.org/docs/ (2004-8-25)
【31】 ISO (1987), Banking - Approved algorisms for message authentication - Part
【31】 ISO (1987), Banking - Approved algorisms for message authentication - Part