If you have question Message me!

1. IT346 Information System Security
Week 5-1: PKI
อ.พงษ์ศกดิ์ ไผ่แดง
ั
Faculty of Information Technology
Page

2. Digital Certificate
 ในการใช้ Secret Key นัน การแจกจ่าย Key เป็ นส่วนสาคัญมาก ดังนันจึง
้
้
มีระบบที่ใช้สาหรับการแจก Key เรียกว่า KDC (Key Distribution Center)
 ในการใช้ Public Key ก็จะใช้ Certificate Authority (CA) เป็ นตัวกลาง
การแจกจ่ายพับ Public Key โดยที่ CA จะรับรองว่า Public Key นี้ เป็ นของ
ใคร
 หน้าที่ของ CA
‣ ตรวจสอบความมีตวตนของบุคคลหรือระบบนันๆ
ั
้
‣ เมื่อ CA ตรวจสอบว่ามีตวตนแล้ว CA ก็จะสร้างใบรับรองอีเล็กทรอนิกส์
ั
(Digital Certificate) ให้กบผูรองขอ
ั ้้
Faculty of Information Technology
Page
2

3. Digital Certificate
 Digital Certificate ประกอบด้วย Public Key ของบุคคลนันๆ พร้อม
้
หมายเลขเฉพาะที่ใช้ระบุบุคคลหรือระบบนันๆ (เช่น ชื่อ-นามสกุลและ
้
หน่ วยงาน หรือชื่อเว็บไซต์) แล้วข้อมูลดังกล่าวนี้ จะถูกเข้าเซ็นด้วย
Digital Certificate
Digital Signature ของ CA
Owner’s Info
 เมื่อมีการสื่ อสารกัน แทนที่ค่สนทนาจะ
ู
Owner’s public key
แลกเปลี่ ยน Public Key กัน ทังสองก็จะ
้
แลกเปลี่ ยน Digital Certificate แทน
ซึ่งเมื่อฝ่ ายใดฝ่ ายหนึ่ งได้รบ Digital
ั
Certificate ของอีกฝ่ ายหนึ่ งมา ก็จะตรวจสอบ Digital Certificate นันโดย
้
ใช้ Public Key ของ CA เพื่อตรวจสอบว่าเป็ นคียท่ีได้มาเป็ นของคู่สนทนา
์
จริง
Issuer’s Info
Issuer’s signature
Faculty of Information Technology
Page
3

4. Public Key Infrastructure (PKI)
 ระบบ public key cryptosystem จะเชื่ อถื อได้ก็ต่อเมื่อเราสามารถผูก
public/private key pair เข้ากับตัวบุคคลที่ถกต้องได้
ู
 เราใช้ certificate ซึ่งออกโดย Trusted Third Party (TTP) เป็ นเครื่องมือ
ในการผูก public/private key pair เข้ากับ identity ของตัวบุคคล โดยใน
certificate จะระบุขอมูลเกี่ยวกับเจ้าของ certificate พร้อมทัง public key
้
้
ของเจ้าจอง certificate นันๆ
้
 จากนัน TTP ทาการ sign ตัว certificate ด้วย private key ของ TTP เอง
้
เพื่อรับรองข้อมูลดังกล่าว
 เราสามารถหา public key ของบุคคลต่างๆได้จาก public directory หรือ
บุคคลนันๆอาจส่ง certificate ของตนมาให้โดยตรง
้
Subject ID Public Key Expiration Date Issuer (TTP ID)
Certificate Structure
Faculty of Information Technology
…
TTP Signature
Page
4

5. Public Key Infrastructure (PKI)
 Certificate Authority (CA) คือ TTP ที่ออก certificate ให้กบบุคคลหรือ
ั
องค์กรต่างๆ
 เนื่ องจากจานวน certificate มีมากเกินกว่าที่ CA 1 หน่ วยงานจะให้บริการ
ได้ และหากมี CA จานวนมาก ผูท่ีตองการ verify certificate ที่ได้รบมา
้ ้
ั
จะต้องมี public key ของ CA แต่ละอัน ทาให้ยากต่อการจัดการ เราจึง
จัดการ CA ให้มีโครงสร้างแบบลาดับชัน (hierarchy) เรียกว่า Public Key
้
Infrastructure (PKI)
‣ ส่วนบนสุดคือ Root CA ทาหน้าที่ออก certificate ให้กบ CA อื่นๆในระบบ
ั
‣ ผูใช้ในระบบต้องการแค่ถือ public key ของ Root CA แล้วเมื่อต้องการมอบ
้
certificate ของตนให้คนอื่น ก็ส่ง certificate ของ CA ทังหมดที่อยู่ใน path
้
ระหว่าง CA ที่ออก certificate ของตนขึ้นไปถึง Root CA ไปด้วย
Faculty of Information Technology
Page
5

6. Public Key Infrastructure (PKI)
Root CA
CertCA1
CA1 PKCA1 Sigroot
CA1
CertAlice
Alice PKAlice SigCA1
CA2
CA2.1
CertCA2
CA2 PKCA2 Sigroot
CA2.2
CertCA2.2
CA2.2 PKCA2.2 SigCA2
CertBob
Bob PKBob SigCA2.2
 Alice  Bob: message || CertAlice || CertCA1
 Bob  Alice: message || CertBob || CertCA2.2 || CertCA2
 หาก tree สูง การส่งรายการ certificate ของ CA ระหว่างทางทังหมดอาจทาได้ยาก อาจแก้ปัญหา
้
โดยในแต่ละฝ่ ายเก็บ copy ของ certificate ของ CA ที่เคยได้รบแล้วไว้ ดังนันคนส่งก็ส่งแต่ hash
ั
้
ของ certificate ของ CA แล้วให้ผรบหา certificate ที่ match เอง ผูรบจะขอ certificate ของ CA
ู้ ั
้ั
เพิ่มจากผูส่งก็ต่อเมื่อพบว่าตนเองไม่เคยมี certificate ดังกล่าวมาก่อน
้
Faculty of Information Technology
Page
6

7. การใช้งาน Certificate
 โดยปกติแล้ว เราใช้ Certificate ในการรับรองตัวตนของผูถือ และใช้เป็ น
้
องค์ประกอบสาคัญในการพิสจน์ตวตน (Authentication) และการ
ู ั
เข้ารหัส (Encryption) เพื่อสร้างช่องทางการสื่ อสารที่ปลอดภัย
่
‣ Web Site Certificate: หากผูให้บริการเว็บไซต์ตองการสร้างความมันใจให้กบ
้
้
ั
ผูใช้ ว่าเว็บไซต์นนๆ เป็ นเว็บจริงและมาจากโดเมนดังกล่าวจริง และต้องการ
้
ั้
สร้าง secure connection สาหรับสื่อสารกับผูเ้ ข้าชม ทางผูให้บริการเว็บไซต์
้
่
สามารถขอ Certificate รับรองตัวตนของเว็บไซต์ โดยติดตังลงทางฝัง Server
้
ของผูให้บริการ
้
่
‣ Personal Certificate: หากบุคคลใด ต้องการสร้างความมันใจให้กบผูติดต่อ
ั ้
สามารถขอ Certificate รับรองตัวตนของตนเอง และใช้ Certificate – Private
Key ในการเข้าระบบ หรือสร้าง Digital Signature เพื่อรับรองเอกสารต่างๆ
เช่น E-Mail ที่ส่งจากตนเอง
Faculty of Information Technology
Page

8. การจัดการ Certificates ใน Windows
 Internet Explorer (IE) เก็บและจัดการ Certificates สาหรับ Microsoft
Applications ทังหลาย
้
‣ สามารถตรวจสอบ Certificates ที่
เครื่องเราเก็บอยู่ โดยเปิ ด IE ไปที่
Tools  Internet Options
Faculty of Information Technology
Page

9. การจัดการ Certificates ใน Windows
 ในส่วนของ Trusted Root CA จะเก็บ Certificate ของ Root CA ที่เรา
เชื่อถือ
‣ หาก Certificate ที่เราได้รบจาก
ั
Web Site ถูก Sign โดย Root CA
เหล่านี้ เป็ นการรับรองว่า Web Site
นัน เป็ น Web Site ที่เราต้องการ
้
เข้าถึงจริง
่
 CA ที่เป็ นที่ยอมรับโดยทัวไป เช่น
‣ Verisign
‣ GeoTrust
‣ Thawte Consulting
Faculty of Information Technology
Page
9

10. การจัดการ Certificates ใน Windows
 รายการ Certificate ที่เก็บอยู่ใน IE จะถูกใช้ในการตรวจสอบ Certificate
เมื่อในระหว่างการทางานของ IE นัน มีขนตอนที่ตองเกี่ยวข้องกับการใช้
้
ั้
้
Certificate เช่น เมื่อได้รบ Web Site Certificate จากเว็บที่ผูใช้กาลังจะ
ั
้
เข้าชม
‣ หาก Certificate ดังกล่าวออกหรือรับรองโดยหน่ วยงานที่มีอยู่ในรายการแล้ว
โปรแกรม IE ก็จะยอมรับ Certificate นันว่ามีความถูกต้อง และทางานต่อไป
้
(เช่น อนุญาติให้ผใช้เข้าชมได้)
ู้
‣ แต่หาก Certificate ออกโดยหน่ วยงานอื่น
ที่ไม่อยู่ในรายการ โปรแกรม IE จะฟองว่า CA
้
ที่รบรองนัน โปรแกรมไม่รจก และจะแจ้งให้
ั
้
ู้ ั
ผูใช้ตดสินใจว่าจะเชื่ อถือ Certificate นัน ๆ
้ ั
้
หรือไม่
Faculty of Information Technology
Page
10

11. Certificate Revocation List (CRL)
 ในการใช้งาน Certificate อาจต้องมีการยกเลิ ก (Revoke) Certificate อัน
เนื่ องมาจากสาเหตุต่างๆ
‣ Certificate หมดอายุ โดยที่ไม่มีการขอต่ออายุ
‣ การเลิกใช้ Certificate เช่น เมื่อพนักงานลาออกจากองค์กร
‣ ผูใช้ทา Private Key ที่ค่กบ Certificate นันๆหาย หรือ Private Key ถูกขโมย
้
ู ั
้
หรือถูกเปิ ดเผย ทาให้ตองยกเลิก Private Key และ Certificate ที่ค่กน เพื่อ
้
ู ั
ปองกันการแอบอ้างเป็ นผูใช้
้
้
 CA ต้องมีการจัดทา Certificate Revocation List (CRL) ซึ่งจะเก็บรายการ
Certificate ที่ถกยกเลิ กไว้ใน Directory และ Sign โดย CA
ู
‣ ผูท่ีตองการตรวจสอบ Certificate ว่าเป็ น Certificate ที่ไม่ใช้งานแล้วหรือไม่
้ ้
ต้องขอ CRL จาก CA
Faculty of Information Technology
Page

12. มาตรฐาน X.509
 X.509 เป็ นมาตรฐาน ITU-T (International Telecommunication Union
– Telecommunication Standardization Sector) สาหรับ Public Key
Infrastructure (PKI)
‣ ระบุรปแบบองค์ประกอบต่างๆของ PKI เช่น รูปแบบ Certificate, รูปแบบ
ู
Certificate Revocation List, และกระบวนการตรวจสอบ Certificate
Faculty of Information Technology
Page
12

13. X.509 Certificate
หมายเลข certificate ที่ตอง
้
ไม่ซ้ากันใน CA เดียวกัน
หมายเลขเวอร์ชนของมาตรฐาน X.509
ั่
ปั จจุบน เวอร์ชนล่าสุดเป็ น Version 3
ั
ั่
อัลกอริ ทึมที่ ใช้ในการ Sign Certificate
พร้อมด้วยพารามิเตอร์ที่ใช้
ชื่อของ CA ที่สร้างและ Sign
Certificate ใบนี้
ชื่อของบุคคลที่ Certificate
ใบนี้ อางถึง
้
ใช้ Certificate นี้
ตังแต่เมื่อไร ถึ งเมื่อไร
้
ข้อมูลเกี่ยวกับ Public Key
- อัลกอริทึมที่ ใช้ที่ใช้กบ Key
ั
- ค่าของ Pubic Key
ชื่อหรือข้อมูลอื่นที่ระบุถึง CA
ชื่อหรือข้อมูลอื่นที่ ระบุถึงบุคคล
ที่ Certificate ใบนี้ อางถึง
้
Hash ของข้อมูลในทุกฟิ ลด์ จากนัน
้
เข้ารหัสด้วย Private Key ของ CA
เพื่อเป็ นการยื นยันว่า Certificate นี้
สร้างมาจาก CA จริง ๆ โดยจะระบุวิธีการ Hash และ
วิธีการเข้ารหัสด้วย
Faculty of Information Technology
Page
13

14. X.509 PKI
Root CA
CertCA1 CA1
CertAlice
CA2
CA2.1
CertCA2
CA2.2 CertCA2.2
CertBob
 X.509 แนะนาโครงสร้าง PKI แบบเป็ นลาดับชัน โดยมี Root CA อยู่
้
ลาดับบนสุด แต่อย่างไรก็ตามโครงสร้าง PKI ไม่จาเป็ นต้องอยู่ในรูปแบบ
นี้ เสมอไป
‣ ทังระบบ อาจไม่ได้มี Root CA เดียว
้
‣ CA ต่างๆในระบบอาจเชื่ อถือกันและกัน โดยไม่ตองผ่าน Root CA
้
Faculty of Information Technology
Page
14

15. X.509 Certification Signature Chain
 แทนการออก Certificate ด้วยสัญลักษณ์ ต่อไปนี้
CA<<Subject>>
CA ออก Certificate ให้กบ Subject
ั
ตัวอย่าง
‣ Cathy<<Alice>> Cathy ออก Certificate ให้กบ Alice
ั
‣ Dan<<Bob>>
Dan ออก Certificate ให้กบ Bob
ั
 เราเรียกว่า CA 2 คน ได้ cross-certified (รับรองซึ่งกันและกัน) ก็ต่อเมื่อ
CA คู่นน ได้ออก certificate ให้กนและกัน
ั้
ั
จากตัวอย่างด้านบน
‣ ถ้า Cathy<<Dan>> และ Dan<<Cathy>> จะเรียกได้ว่า Cathy และ Dan ได้
cross-certify กัน ดังนัน ทังคู่เชื่ อถือ (trust) กันและกัน
้ ้
Faculty of Information Technology
Page
15

16. X.509 Certification Signature Chain
 เราสามารถใช้ Certification Signature Chain ในการอ้างอิง trust ระหว่าง
ผูใช้ ผ่าน cross-certified ของ CA ได้ ดังนี้
้
จากตัวอย่างที่ผ่านมา
‣ หาก Alice เชื่ อถือ Cathy แล้ว Alice สามารถสร้าง certificate signature
chain และเชื่ อในการรับรองตัวตน Bob ได้ ดังนี้
Cathy<<Dan>> Dan<<Bob>>
• Alice ตรวจสอบ Certificate ของ Bob และพบว่ารับรองโดย Dan จากนันจึ ง
้
ตรวจสอบ Certificate ของ Dan พบว่ารับรองโดย Cathy และ ถ้าหาก Alice
เชื่อถือ Cathy จึงถือว่า Bob ผ่านการตรวจสอบ
Faculty of Information Technology
Page
16

17. X.509 Certification Signature Chain
ในลักษณะเดียวกัน
‣ หาก Bob เชื่ อถือ Dan แล้ว Bob สามารถสร้าง certificate signature chain
และเชื่ อในการรับรองตัวตน Alice ได้ ดังนี้
Dan<<Cathy>> Cathy<<Alice>>
• Bob ตรวจสอบ Certificate ของ Alice และพบว่ารับรองโดย Cathy จากนันจึ ง
้
ตรวจสอบ Certificate ของ Cathy พบว่ารับรองโดย Dan และ ถ้าหาก Bobเชื่อถือ
Dan จึงถือว่า Alice ผ่านการตรวจสอบ
Faculty of Information Technology
Page
17

18. การพิสจน์ตวตนของผูใช้
ู ั
้
(User Authentication)
Faculty of Information Technology
Page
18

19. การพิสจน์ตวตนของผูใช้
ู ั
้
 การพิสจน์ตวตน (Authentication)
ู ั
‣ Authentication มาจากภาษากรีก คาว่า “authenticus (αὐθεντικός)”, ซึ่ง
แปลว่า จริง, ของแท้, ซึ่งมาจากผูสร้างจริง
้
‣ Authentication เป็ นการดาเนิ นการที่ประกอบไปด้วยการกระทาที่ยืนยันความ
แท้ของสิ่งต่างๆ เช่น ข้อมูล คุณสมบัติ บุคคล ฯลฯ
‣ Authentication เป็ นการดาเนินการทีส่งเสริม Security Goal(s) ใด?
่
 การพิสจน์ตวตนของผูใช้ (User Authentication):
ู ั
้
‣ กระบวนการที่ตรวจสอบ (verify) เอกลักษณ์ (identity)
ที่กล่าวอ้างโดยหรือสาหรับสิ่งหนึ่ งสิ่งใด (entity) ในระบบ
Faculty of Information Technology
Page

20. Authentication Process
่
 Authentication เป็ นองค์ประกอบพื้นฐานหลักของการรักษาความมันคง
และเป็ นแนวปองกันเบื้องต้นสาหรับระบบ
้
 Authentication เป็ นพื้นฐานสาหรับการควบคุมการเข้าถึง (access
control) และการสร้างรายงานการใช้งานเพื่อสร้างความรับผิ ดชอบของ
ผูใช้ (user accountability)
้
Faculty of Information Technology
Page
20

21. Authentication Process
ขันตอนของกระบวนการพิสจน์ตวตน:
้
ู ั
 Identification = การระบุเอกลักษณ์
่
‣ เสนอเอกลักษณ์ตวตน (identifier) ต่อระบบรักษาความมันคง
ั
‣ Identity ถือเป็ นข้อมูลพื้นฐานสาหรับ security service อื่นๆ เช่น access
control และควรกาหนดให้กบผูใช้ดวยความระมัดระวัง
ั ้ ้
 Verification = การตรวจสอบตัวตน
‣ การเสนอหรือสร้างข้อมูลเพื่อนการพิสจน์ตวตน (authentication
ู ั
information) ซึ่งสนับสนุ นการผูกโยงระหว่างสิ่งที่กาลังรับการพิสจน์ตวตนกับ
ู ั
identity ที่ให้มาในขันตอนแรก
้
Faculty of Information Technology
Page
21

22. User VS Message Authentication
 Message Authentication
‣ กระบวนการที่ทาให้บุคคลที่กาลังสื่อสารกันสามารถตรวจสอบได้ว่าเนื้ อหา
ข้อมูลที่ได้รบไม่ถกเปลี่ยนแปลง และตรวจสอบได้ว่าแหล่งที่มาเป็ น
ั
ู
แหล่งข้อมูลที่แท้จริง
 User Authentication
‣ ขันตอนวิธีการในการพิสจน์ความถูกต้องของ identity ที่กล่าวอ้าง ซึ่งผูใช้
้
ู
้
ให้กบระบบ
ั
Faculty of Information Technology
Page
22

23. อภิปรายย่อย: User Authentication
วิธีการพิสจน์ identity ของผูใช้แบ่งได้รปแบบต่างๆ
ู
้
ู
จงยกตัวอย่างแนวทางการพิสจน์ตวตนในแต่ละรูปแบบ
ู ั
Faculty of Information Technology
Page
23

24. Password Authentication
 แนวทางการปองกันผูบุกรุกที่ได้รบการใช้งานอย่างแพร่หลาย
้
้
ั
‣ User ให้ name/login และ password เช่นในระบบที่รองรับผูใช้งานหลายคน
้
(multiuser systems), ระบบ network-based servers, และระบบ Web-based
e-commerce sites) เป็ นต้น
‣ ระบบเปรียบเทียบ password กับ password ที่บนทึกไว้สาหรับแต่ละ login
ั
 User ID:
‣ ใช้ในการพิจารณาว่าผูใช้นนๆได้รบสิทธิ์ (Authorized) ให้เข้าถึงระบบได้
้ ั้
ั
‣ ใช้ในการพิจารณา Privilege ของผูใช้ (root, superuser, anonymous)
้
‣ User ID ใช้ในการควบคุมการเข้าถึงแบบ discretionary access control (เช่น
การได้รบอนุ ญาตให้เข้าถึงทรัพยากรของผูใช้คนอื่นได้)
ั
้
Faculty of Information Technology
Page
24

25. Password Vulnerabilities
Offline
dictionary
attack
Popular
password
attack
Workstation
hijacking
Exploiting
multiple
password use
Specific
account
attack
Password
guessing
against single
user
Exploiting
user mistakes
Electronic
monitoring
Faculty of Information Technology
Page
25

26. Password Vulnerabilities
 Offline dictionary attack:
่
‣ นักโจมตีที่มุ่งมันมักจะสามารถผ่านกลไกการควบคุมการเข้าถึงที่แข็งแกร่งได้
และเข้าถึงระบบไฟล์ได้
‣ นักโจมตีเข้าถึง password file ของระบบและเปรียบเทียบ password hashes
กับ hash ของ password ที่มกได้รบการใช้งานบ่อยๆ หากพบการ match แล้ว
ั
ั
นักโจมตีก็จะสามารถเข้าถึงระบบผ่าน ID และ password นันๆได้
้
 Specific account attack:
‣ มุ่งเจาะ account เปาหมาย และเดาปอน password จนกว่าจะได้ password ที่
้
้
ถูกต้อง
 Popular password attack:
‣ ใช้ password ที่มกใช้งานบ่อยๆ และเดาใช้กบ user ID ต่างๆ
ั
ั
‣ อาศัยแนวโน้มที่ผูใช้จะใช้ password ที่จาง่าย
้
Faculty of Information Technology
Page
26

27. Password Vulnerabilities
 Password guessing against single user:
‣ Attacker ค้นหาข้อมูลเกี่ยวกับผูใช้นนๆ และ password policies ของระบบ
้ ั้
จากนันจึงใช้ขอมูลดังกล่าวในการช่วยเดา password.
้
้
 Workstation hijacking:
‣ Attacker รอจนกว่าเครื่องจะถูกปล่อย log-in ทิ้งไว้
 Exploiting multiple password use:
‣ Attack สามารถทางานได้อย่างมีประสิทธิภาพมากขึ้ นและก่อความเสียหาย
มากขึ้น เมื่อ network device ต่างๆใช้ password เดียวกันสาหรับแต่ละ user
Faculty of Information Technology
Page
27

28. Password Vulnerabilities
 Exploiting user mistakes:
‣ เมื่อระบบเป็ นฝ่ ายกาหนด password, ผูใช้มกจะเขียนโน้ตไว้
้ ั
เนื่ องจากจาได้ยากในกรณี น้ ี เปิ ดโอกาสให้เกิดการโจมตีได้ง่าย
‣ ผูใช้ให้ password แก่เพื่อนร่วมงานเพื่อแชร์ไฟล์กน
้
ั
‣ Attacker มักจะประสบความสาเร็จในการล้วง passwords ด้วยเทคนิ ค social
engineering ซึ่งล่อลวงให้ user หรือ account manager เปิ ดเผย password
‣ ระบบคอมพิวเตอร์จานวนมากที่ขายออกไปพร้อม
passwords ที่ตงไว้ล่วงหน้าสาหรับ system
ั้
administrators หากไม่มีการเปลี่ยน password นี้
ก็จะทาให้เดาได้ง่าย
Faculty of Information Technology
Page
28

29. Password Vulnerabilities
 Electronic monitoring
‣ Password ที่ถกสื่อสารข้ามเครือข่ายระหว่างการ log on ไปยัง remote system
ู
นันเปราะบางต่อการถูกดักฟั ง (eavesdropping)
้
‣ Encryption ธรรมดาไม่แก้ปัญหาดังกล่าว เนื่ องจาก encrypted password ก็คือ
password ในอีกรูปหนึ่ ง และสามารถถูกดักฟั งและนาไปใช้โดย Attacker ได้
อีก
Faculty of Information Technology
Page
29

30. การปองกัน (Countermeasures)
้
 โดยปกติ แล้ว ระบบที่ใช้ password-based authentication จะมี password
file ที่จดลาดับข้อมูลโดยใช้ user ID.
ั
‣ ระบบไม่ควรบันทึก password แต่บนทึก one-way hash function ของ
ั
password
 Against offline dictionary attack
‣ เพิ่มการควบคุมการเข้าถึงเพื่อปองกันการเข้าถึง password file
้
‣ การเพิ่มมาตรการตรวจจับการบุกรุก (intrusion detection)
‣ การกาหนด password ใหม่ให้ผูใช้ได้อย่างรวดเร็วเมื่อพบ compromised
้
passwords
 Against specific account attack
‣ กลไกการทา account lockout
Faculty of Information Technology
Page
30

31. การปองกัน (Countermeasures)
้
 Against popular password attack
‣ Policies ที่หามไม่ให้ผูใช้เลือกใช้ password ที่นิยมใช้บ่อยๆ
้
้
‣ Scan ตรวจสอบ IP addresses ที่มาของ authentication requests และcookies
บนเครื่อง client เพื่อจับ pattern ของการปอน password
้
 Against password guessing against single user
‣ อบรมและบังคับใช้ password policies
‣ policies ที่ย้าการปิ ด password ให้เป็ นความลับ, ความยาวขันตาของ
้ ่
่
password, set ของอักขระที่ใช้, การห้ามใช้ขอมูลเกี่ยวกับผูใช้ที่รจกโดยทัวไป,
้
้ ู้ ั
และระยะเวลาที่ตองเปลี่ยน password
้
 Against workstation hijacking
‣ automatic workstation logout
‣ การตรวจจับการบุกรุก (Intrusion detection) ที่ตรวจจับพฤติกรรมของผูใช้ที่
้
เปลี่ยนไป
Faculty of Information Technology
Page
31

32. การปองกัน (Countermeasures)
้
 Against exploiting user mistakes
‣ การอบรม, กลไก intrusion detection
‣ การใช้ passwords ร่วมกับกลไกการทา authentication อื่น
 Against exploiting multiple password use
‣ policies ที่หามใช้ password ที่ใกล้เคียงกันบนหลาย network device
้
 Against electronic monitoring
‣ กลไกการปองการ Replay Attack
้
(nonce, timestamp)
Faculty of Information Technology
Page
32