國考資訊處理工作室(高考二級資訊處理/高考三級資訊處理/調查局三等/關務人員三等/地方特考三等)

111年警察人員特種考試資訊管理人員三等網路安全與資訊倫理

答：

(一)

1.HMAC：

(1)是一種通過特別計算方式之後產生的訊息驗證碼 (Message Authentication Code, MAC)，使用密碼雜湊函數，同時結合一個加密金鑰。它可以用來保證資料的完整性，同時可以用來作某個訊息的身份驗證。

(2)實作 HMAC 時，可以將雜湊演算法當成一個模組來實現，並且有許多現成的程式碼可以直接使用。

(3)當需要更換雜湊演算法時，只要更新模組，不會影響到其他程式架構。

  ※參考資料：https://zh.m.wikipedia.org/zh-hant/HMAC

2.SHA256：

  (1)SHA256 其實就是一個雜湊函數，也是比特幣區塊鏈所使用的雜湊函數。對於任意長度的訊息，都會產生一個 256 bit 長的雜湊值，稱作訊息摘要。

  (2)使用雜湊函數壓縮成摘要：

     a.雜湊函數把訊息或資料壓縮成摘要，使得資料量變小，並且將輸出為摘要的資料格式固定住。

     b.雜湊函數將資料打亂混合，重新建立一個叫做雜湊值的指紋。

     c雜湊值通常用一個短的隨機字母和數字組成的字串來表示。

  ※參考資料：

  1.https://zhuanlan.zhihu.com/p/278028577

  2.https://ithelp.ithome.com.tw/articles/10271904

  3.https://zhuanlan.zhihu.com/p/94619052

  4.https://zh.wikipedia.org/wiki/SHA-2

(二)

1.相同處：

  都使用雜湊函數將明文內容轉換成的訊息摘要 (Message Digest)。

2.不同處：

  HMAC 的金鑰是對稱金鑰，而數位簽章的金鑰是非對稱金鑰。對稱金鑰會面臨下列問題：

(1)金鑰配送：密鑰配送

   a.對稱金鑰加密法只使用一個金鑰，由參與安全通訊的各方共用。此秘密 金鑰用來加密和解密資訊。金鑰必須安全地配送到各方，並且由各方儲存，但是這很難保證。

   b.解決方式是採用公鑰加密。使用公開金鑰加密法時，公開金鑰不是密碼，但是它加密的訊息只能使用相關聯的私密金鑰才能解密。私密金鑰必須安全地儲存在金鑰資料庫中，或在電腦的硬碟上加密。

(2)密鑰被攻擊者盜取：

  接收端雖然可以識別出訊息的篡改和偽裝，但是傳送端可以否認自己沒有傳送訊息，說這是接收端的密鑰被攻擊者盜取，是攻擊者發送訊息。為了要防止傳送端不承認，可以使用數位簽章解決。