中文（繁體）
中文（简体）
English
中六 ICT｜網絡保安與加密配套練習（第三份・雜湊、攻擊與風險管理）
中六 ICT｜網絡保安與加密配套練習（第三份・雜湊、攻擊與風險管理）
十題由 SHA-256 的 64 個十六進位字元，到 salt、MITM、DDoS 與備份 RPO，練完整一條「偵測—防禦—復原」的思路。
先做題，後對答案 建議三十至三十五分分鐘；每題先分類屬機密性、完整性還是可用性，再作答。
01 本卷資料（做完才看答案）
| 項目 | 內容 |
|---|---|
| 題數 | 10 題 |
| 建議時間 | 約 35 分鐘 |
| 難度分佈 | 基礎 4 · 進階 3 · 挑戰 2 · 錯題重練 1 |
| 對應章節 | 所屬章節：中六 ICT｜網絡保安與加密 |
| 適用年級 | 中六（S6）ICT |
02 題目（10 題）
- 基礎SHA-256 的輸出是 256 bit，寫成十六進位是多少個字元？
- 基礎雜湊（hashing）與加密（encryption）最關鍵的分別是甚麼？
- 基礎兩份文件只差一個字元，它們的 SHA-256 值會有甚麼關聯？
- 基礎HMAC 同時提供哪兩項保證？
- 進階每個用戶用不同的 salt 存密碼雜湊，為攻擊者帶來甚麼額外成本？
- 進階中間人攻擊（MITM）在未加密的公共 Wi-Fi 典型怎樣運作？
- 進階「假冒銀行發出電郵，誘使收件人輸入密碼」屬於哪一類威脅？
- 挑戰分散式阻斷服務（DDoS）攻擊主要破壞 CIA 三者中的哪一項？
- 挑戰備份策略：完整備份 100 GB，之後每日增量 5 GB，保留 7 日，共需多少 GB？若只用每日一次的備份，RPO 是多少？
- 錯題重練錯題重練：有同學說「買了最強的防火牆就夠，員工培訓可以省」。為甚麼錯？
03 答案與一句解說
| 題號 | 答案 | 一句解說 |
|---|---|---|
| 1 | 64 個字元 | 256 ÷ 4 = 64；每個十六進位字元代表 4 bit。 |
| 2 | 雜湊是不可逆的單向函數，加密有金鑰可以還原 | 所以密碼只存雜湊不存密文；系統只比對雜湊，永遠不需要知道原密碼。 |
| 3 | 幾乎完全不同，大部分位元都會改變（雪崩效應） | 好的雜湊函數令輸入任何微小改動都擴散成全盤改變，所以改一個字也逃不過完整性檢查。 |
| 4 | 訊息完整性，以及訊息來自持有金鑰的一方（認證） | HMAC 把金鑰混入雜湊，沒有金鑰就算不出同一個值，所以既防篡改也防冒充。 |
| 5 | 不能一次算表打全部帳戶，要針對每個 salt 重算，成本隨帳戶數倍增 | 共用 salt 等於一張表通殺；獨立 salt 令預先計算失效，只能逐個帳戶硬碰。 |
| 6 | 攻擊者冒充熱點或閘道，把雙方流量轉發並可讀取或修改 | 雙方以為在直接通訊；沒有憑證驗證或加密，就無從發現中間還有一個人。 |
| 7 | 釣魚（phishing），屬社交工程，不是惡意軟件 | 釣魚利用人的信任，技術上可能完全沒有惡意程式；所以培訓與核對網址比防毒軟件更關鍵。 |
| 8 | 可用性（Availability） | DDoS 不一定要偷或改資料，只要令服務無法回應就達到目的，所以對應可用性。 |
| 9 | 135 GB；RPO 為 24 小時 | 100 + 5 × 7 = 135 GB；每日一次即最壞情況損失一整日資料，RPO = 24 小時。 |
| 10 | 釣魚與弱密碼都繞過防火牆，人往往是最弱環節，所以權限最小化與培訓同樣必要 | 技術控制只擋已知渠道；憑證被騙、USB 帶入、內部誤操作都要靠制度與意識補上。 |
04 做完之後怎樣跟進
- 對完答案，只重做錯的那幾題，並在錯題旁寫出錯在哪一步（公式、單位還是抄錯數）。
- 同一題隔兩日再做一次；兩次都對才可以移到下一份練習。
- 家長只需看答案欄與解說欄，不必逐題講解。
本卷題目與答案由 TutorZone 團隊原創編寫，並非任何學校、出版社或考試局的試題；數值與答案均以程式核算。