信息安全技術(shù)試題a

綜合習(xí)題

—＞填空題

密碼系統(tǒng)包括以下4個方面：明文空間、密文空間、密鑰空間和密碼算法。

解密算法D是加密算法E的逆運算。

常規(guī)密鑰密碼體制又稱為對稱密鑰密碼體制，是在公開密鑰密碼體制以前使用的密碼體

制。

如果加密密鑰和解密密鑰相同，這種密碼體制稱為對稱密碼體制。

DES算法密鑰是64位，其中密鑰有效位是56位。

RSA算法的安全是基于分解兩個大素數(shù)的積的困難。

公開密鑰加密算法的用途主要包括兩個方面：密鑰分配、數(shù)字簽名。

消息認證是驗證信息的完整性，即驗證數(shù)據(jù)在傳送和存儲過程中是否被篡改、重放或延遲

等。

MAC函數(shù)類似于加密，它于加密的區(qū)別是MAC函數(shù)不可逆。

10.Hash函數(shù)是可接受變長數(shù)據(jù)輸入，并生成定長數(shù)據(jù)輸出的函數(shù)。

二、選擇題

1.計算機網(wǎng)絡(luò)是地理上分散的多臺（C）遵循約定的通信協(xié)議，通過軟硬件互聯(lián)的系統(tǒng)。

A.計算機B.主從計算機

C.自主計算機D.數(shù)字設(shè)備

2.密碼學(xué)的目的是（C）。

A.研究數(shù)據(jù)加密B.研究數(shù)據(jù)解密

C.研究數(shù)據(jù)保密D.研究信息安全

3.假設(shè)使用一種加密算法，它的加密方法很簡單：將每一個字母加5,即a加密成f。這種

算法的密鑰就是5,那么它屬于（A）。

A.對稱加密技術(shù)B.分組密碼技術(shù)

C.公鑰加密技術(shù)D.單向函數(shù)密碼技術(shù)

4.網(wǎng)絡(luò)安全最終是一個折衷的方案，即安全強度和安全操作代價的折衷，除增加安全設(shè)施

投資外，還應(yīng)考慮（D）。

A.用戶的方便性B.管理的復(fù)雜性

C.對現(xiàn)有系統(tǒng)的影響及對不同平臺的支持

D.上面3項都是

5.A方有一對密鑰（KA公開，KA秘密），B方有一對密鑰（KB公開，KB秘密,A方向

B方發(fā)送

數(shù)字簽名M,對信息M加密為：M'=KB公開（KA秘密（M））。B方收到密文的解密方

案是

（C）o

A.KB公開（KA秘密（M'））B.KA公開（KA公開（M'））

C.KA公開（KB秘密（M'））D.KB秘密（KA秘密（M'））

6.“公開密鑰密碼體制”的含義是（C）。

A.將所有密鑰公開B.將私有密鑰公開，公開密鑰保密

C.將公開密鑰公開，私有密鑰保密D.兩個密鑰相同

三、問答題

1.簡述主動攻擊與被動攻擊的特點，并列舉主動攻擊與被動攻擊現(xiàn)象。

主動攻擊是攻擊者通過網(wǎng)絡(luò)線路將虛假信息或計算機病毒傳入信息系統(tǒng)內(nèi)部，破壞信息的真

實性、完整性及系統(tǒng)服務(wù)的可用性，即通過中斷、偽造、篡改和重排信息內(nèi)容造成信息破壞，

使系統(tǒng)無法正常運行。被動攻擊是攻擊者非常截獲、竊取通信線路中的信息，使信息保密性

遭到破壞，信息泄露而無法察覺，給用戶帶來巨大的損失。

2.簡述對稱密鑰密碼體制的原理和特點。

對稱密鑰密碼體制，對于大多數(shù)算法，解密算法是加密算法的逆運算，加密密鑰和解密密鑰

相同，同屬一類的加密體制。它保密強度高但開放性差，要求發(fā)送者和接收者在安全通信之

前，需要有可靠的密鑰信道傳遞密鑰，而此密鑰也必須妥善保管。

3.具有N個節(jié)點的網(wǎng)絡(luò)如果使用公開密鑰密碼算法，每個節(jié)點的密鑰有多少？網(wǎng)絡(luò)中的密

鑰共有多少？

每個節(jié)點的密鑰是2個，網(wǎng)絡(luò)中的密鑰共有2N個。

對稱密碼算法存在哪些問題？

適用于封閉系統(tǒng)，其中的用戶是彼此相關(guān)并相互信任的，所要防范的是系統(tǒng)外攻擊。隨

著開放網(wǎng)絡(luò)環(huán)境的安全問題FI娛樂城開戶益突出,而傳統(tǒng)的對稱密碼遇到很多困難：密鑰使

用一段時間后需要更換，而密鑰傳送需要可靠的通道；在通信網(wǎng)絡(luò)中，若所有用戶使用相同

密鑰，則失去保密意義；若使用不同密鑰N個人之間就需要N（N-l）/2個密鑰，密鑰管理困

難。無法滿足不相識的人之間私人談話的保密性要求。對稱輜鑰至少是兩人共享，不帶有個

人的特征，因此不能進行數(shù)字簽名。

IDEA是對稱加密算法還是非對稱加密算法？加密密鑰是多少位？

IDEA是一種對稱密鑰算法，加密密鑰是128位。

什么是序列密碼和分組密碼？

序列密碼是一種對明文中的單個位（有時對字節(jié)）運算的算法。分組密碼是把明文信息

分割成塊結(jié)構(gòu)，逐塊予以加密和解密。塊的長度由算法設(shè)計者預(yù)先確定。

簡述公開密鑰密碼機制的原理和特點？

公開密鑰密碼體制是使用具有兩個密鑰的編碼解碼算法，加密和解密的能力是分開的；

這兩個密鑰一個保密，另一個公開。根據(jù)應(yīng)用的需要，發(fā)送方可以使用接收方的公開密鑰加

密消息，或使用發(fā)送方的私有密鑰簽名消息，或兩個都使用，以完成某種類型的密碼編碼解

碼功能。

什么是MD5?

MD消息摘要算法是由Rivest提出，是當前最為普遍的Hash算法，MD5是第5個版本，

該算法以?個任意長度的消息作為輸入，生成128位的消息摘要作為輸出，輸入消息是按

512位的分組處理的。

安全問題概述

一、選擇題

1.信息安全的基本屬性是（D）。

A.機密性B.可用性

C.完整性D.上面3項都是

2.“會話偵聽和劫持技術(shù)”是屬于（B）的技術(shù)。

A.密碼分析還原B.協(xié)議漏洞滲透

C.應(yīng)用漏洞分析與滲透D.DOS攻擊

3.對攻擊可能性的分析在很大程度上帶有（B）。

A.客觀性B.主觀性

C.盲目性D.上面3項都不是

4.從安全屬性對各種網(wǎng)絡(luò)攻擊進行分類，阻斷攻擊是針對（B）的攻擊。

A.機密性B.可用性C.完整性D.真實性

5.從安全屬性對各種網(wǎng)絡(luò)攻擊進行分類，截獲攻擊是針對（A）的攻擊。

A,機密性B.可用性C.完整性D.真實性

6.從攻擊方式區(qū)分攻擊類型，可分為被動攻擊和主動攻擊。被動攻擊難以（C）,然而（C）

這些攻擊是可行的；主動攻擊難以（C）,然而（C）這些攻擊是可行的。

A.阻止，檢測，阻止，檢測B.檢測，阻止，檢測，阻止

C.檢測，阻止，阻止，檢測D.上面3項都不是

7.竊聽是一種（A）攻擊，攻擊者（A）將自己的系統(tǒng)插入到發(fā)送站和接收站之間。截獲是

一種（A）攻擊，攻擊者（A）將自己的系統(tǒng)插入到發(fā)送站和接受站之間。

A.被動，無須，主動，必須B.主動，必須，被動，無須

C.主動，無須，被動，必須D.被動，必須，主動，無須

8.拒絕服務(wù)攻擊的后果是（E）。

A.信息不可用B.應(yīng)用程序不可用

C.系統(tǒng)宕機D.阻止通信E.上面幾項都是

9.機密性服務(wù)提供信息的保密，機密性服務(wù)包括（D）。

A.文件機密性B.信息傳輸機密性

C.通信流的機密性D.以上3項都是

10.最新的研究和統(tǒng)計表明，安全攻擊主要來自（B）。

A.接入網(wǎng)B.企業(yè)內(nèi)部網(wǎng)C.公用IP網(wǎng)D.個人網(wǎng)

11.攻擊者用傳輸數(shù)據(jù)來沖擊網(wǎng)絡(luò)百家樂接口,使服務(wù)器過于繁忙以至于不能應(yīng)答請求的

攻擊方

式是（A）?

A.拒絕服務(wù)攻擊B.地址欺騙攻擊

C.會話劫持D.信號包探測程序攻擊

12.攻擊者截獲并記錄了從A到B的數(shù)據(jù)，然后又從早些時候所截獲的數(shù)據(jù)中提取出信息

重新發(fā)往B稱為（D）。

A.中間人攻擊B.口令猜測器和字典攻擊

C.強力攻擊D.回放攻擊

二、問答題

請解釋5種“竊取機密攻擊”方式的含義。

I）網(wǎng)絡(luò)踩點（Footprinting）

攻擊者事先匯集目標的信息，通常采用Whois、Finger、Nslookup,Ping等工具獲得目

標的?些信息，如域名、IP地址、網(wǎng)絡(luò)拓撲結(jié)構(gòu)、相關(guān)的用戶信息等，這往往是黑客入侵

所做的第一步工作。

2）掃描攻擊（Scanning）

這里的掃描主要指端口掃描，通常采用Nmap等各種端口掃描工具，可以獲得目標計算

機的?些有用信息，比如機器上打開了哪些端口，這樣就知道開設(shè)了哪些網(wǎng)絡(luò)服務(wù)。黑客

就可以利用這些服務(wù)的漏洞，進行進一步的入侵。這往往是黑客入侵所做的第二步工作。

3）協(xié)議棧指紋（StackFingerprinting）鑒別（也稱操作系統(tǒng)探測）

黑客對目標主機發(fā)出探測包，由于不同OS廠商的IP協(xié)議棧實現(xiàn)之間存在許多細微差

別，

因此每種OS都有其獨特的響應(yīng)方法，黑客經(jīng)常能夠確定目標主機所運行的OS。這往往也

可

以看作是掃描階段的一部分工作。

4）信息流嗅探（Sniffering）

通過在共享局域網(wǎng)中將某主機網(wǎng)卡設(shè)置成混雜（Promiscuous）模式，或在各種局域網(wǎng)

中某主機使用ARP欺騙，該主機就會接收所有經(jīng)過的數(shù)據(jù)包?；谶@樣的原理，黑客可以

使用一個嗅探器（軟件或硬件）對網(wǎng)絡(luò)信息流進行監(jiān)視，從而收集到帳號和口令等信息。

這是黑客入侵的第三步工作。

5）會話劫持（SessionHijacking）

所謂會話劫持，就是在一次正常的通信過程中，黑客作為第三方參與到其中，或者是

在數(shù)據(jù)流里注射額外的信息，或者是將雙方的通信模式暗中改變，即從直接聯(lián)系變成交由

黑客中轉(zhuǎn)。這種攻擊方式可認為是黑客入侵的第四步工作——真正的攻擊中的一種。

請解釋5種“非法訪問”攻擊方式的含義。

1）口令破解

攻擊者可以通過獲取口令文件然后運用口令破解工具進行字典攻擊或暴力攻擊來獲得

口令，也可通過猜測或竊聽等方式獲取口令，從而進入系統(tǒng)進行非法訪問，選擇安全的口

令非常重要。這也是黑客入侵中真正攻擊方式的一種。

2）IP欺騙

攻擊者可通過偽裝成被信任源IP地址等方式來騙取目標主機的信任,這主要針對Linux

UNIX下建立起IP地址信任皇冠網(wǎng)關(guān)系的主機實施欺騙。這也是黑客入侵中真正攻擊方式

的一種。

3）DNS欺騙

當DNS服務(wù)器向另一個DNS服務(wù)器發(fā)送某個解析請求（由域名解析出IP地址）時，

因

為不進行身份驗證，這樣黑客就可以冒充被請求方，向請求方返回一個被篡改了的應(yīng)答（IP

地址），將用戶引向黑客設(shè)定的主機。這也是黑客入侵中真正攻擊方式的一種。

4）重放（Replay）攻擊

在消息沒有時間戳的情況下，攻擊者利用身份認證機制中的漏洞先把別人有用的消息

記錄下來，過一段時間后再發(fā)送出去。

5）特洛伊木馬（TrojanHorse）

把一個能幫助黑客完成某一特定動作的程序依附在某一合法用戶的正常程序中，而一

旦用戶觸發(fā)正常程序，黑客代碼同時被激活，這些代碼往往能完成黑客早已指定的任務(wù)（如

監(jiān)聽某個不常用端口，假冒登錄界面獲取帳號和口令等）。

請解釋下列網(wǎng)絡(luò)信息安全的要素：

保密性、完整性、可用性、可存活性

保密性指網(wǎng)絡(luò)中的數(shù)據(jù)必須按照數(shù)據(jù)的擁有者的要求保證一定的秘密性，不會被未

授權(quán)的第三方非法獲知。具有敏感性的秘密信息，只有得到擁有者的許可，其他人才能

夠獲得該信息，網(wǎng)絡(luò)系統(tǒng)必須能夠防止信息的非授權(quán)訪問或泄露。

完整性指網(wǎng)絡(luò)中的信息安全、精確與有效，不因人為的因素而改變信息原有的內(nèi)容、

形式與流向，即不能為未授權(quán)的第三方修改。它包含數(shù)據(jù)完整性的內(nèi)涵，即保證數(shù)據(jù)不

被非法地改動和銷毀，同樣還包含系統(tǒng)完整性的內(nèi)涵，即保證系統(tǒng)以無害的方式按照預(yù)

定的功能運行，不受有意的或者意外的羋法操作所破壞.信息的完整性是信息安全的基

本要求，破壞信息的完整性是影響信息安全的常用手段。當前，運行于因特網(wǎng)上的協(xié)議

（如TCP/IP）等，能夠確保信息在數(shù)據(jù)包級別的完整性,即做到了傳輸過程中不丟信息

包，不重復(fù)接收信息包，但卻無法制止未授權(quán)第三方對信息包內(nèi)部的修改。

可用性就是要保障網(wǎng)絡(luò)資源無論在何時，無論經(jīng)過何種處理，只要需要即可使用，而

不因系統(tǒng)故障或誤操作等使資源丟失或妨礙對資源的使用，使得嚴格時間要求的服務(wù)不

能得到及時的響應(yīng)。另外，網(wǎng)絡(luò)可用性還包括具有在某些不正常條件下繼續(xù)運行的能力。

病毒就常常破次信息的可用性，使系統(tǒng)不能正常運行，數(shù)據(jù)文件面目全非.

安全體系結(jié)構(gòu)與模型

一、選擇題

1.網(wǎng)絡(luò)安全是在分布網(wǎng)絡(luò)環(huán)境中對（D）提供安全保護。

A.信息載體B.信息的處理、傳輸

C.信息的存儲、訪問D.上面3項都是

2.ISO7498-2從體系結(jié)構(gòu)觀點描述了5種安全服務(wù)，以下不屬于這5種安全服務(wù)的是（B）。

A.身份鑒別B.數(shù)據(jù)報過濾

C.授權(quán)控制D.數(shù)據(jù)完整性

3.ISO7498-2描述了8種特定的安全機制，以下不屬于這8種安全機制的是（A）。

A.安全標記機制B.加密機制

C.數(shù)字簽名機制D.訪問控制機制

4.用于實現(xiàn)身份鑒別的安全機制是（A）。

A.加密機制和數(shù)字簽名機制

B.加密機制和訪問控制機制

C.數(shù)字簽名機制和路由控制機制

D.訪問控制機制和路由控制機制

5.在ISO/OSI定義的安全體系結(jié)構(gòu)中，沒有規(guī)定（E）。

A.對象認證服務(wù)B.數(shù)據(jù)保密性安全服務(wù)

C.訪問控制安全服務(wù)D.數(shù)據(jù)完整性安全服務(wù)

E.數(shù)據(jù)可用性安全服務(wù)

6.ISO定義的安全體系結(jié)構(gòu)中包含（B）種安全服務(wù)。

A.4B.5C.6D.7

7.（D）不屬于ISO/OSI安全體系結(jié)構(gòu)的安全機制。

A.通信業(yè)務(wù)填充機制B.訪問控制機制

C.數(shù)字簽名機制D.審計機制E.公證機制

8.ISO安全體系結(jié)構(gòu)中的對象認證服務(wù)，使用（B）完成。

A.加密機制B.數(shù)字簽名機制

C.訪問控制機制D.數(shù)據(jù)完整性機制

9.CA屬于ISO安全體系結(jié)構(gòu)中定義的（D）。

A.認證交換機制B.通信業(yè)務(wù)填充機制

C.路由控制機制D.公證機制

10.數(shù)據(jù)保密性安全服務(wù)的基礎(chǔ)是（D）。

A.數(shù)據(jù)完整性機制B.數(shù)字簽名機制

C.訪問控制機制D.加密機制

11.可以被數(shù)據(jù)完整性機制防止的攻擊方式是（D）。

A.假冒源地址或用戶的地址欺騙攻擊

B.抵賴做過信息的遞交行為

C.數(shù)據(jù)中途被攻擊者竊聽獲取

D.數(shù)據(jù)在途中被攻擊者篡改或破壞

二、填空題

GB/T9387.2-1995定義了5大類安全服務(wù)，提供這些服務(wù)的8種安全機制以及相應(yīng)的開

放系統(tǒng)互連的安全管理，并可根據(jù)具體系統(tǒng)適當?shù)嘏渲糜贠SI模型的七層協(xié)議中。

P2DR的含義是：策略、保護、探測、反應(yīng)。

三、問答題

列舉并解釋ISO/OSI中定義的5種標準的安全服務(wù)。

（1）鑒別

用于鑒別實體的身份和對身份的證實，包括對等實體鑒別和數(shù)據(jù)原發(fā)鑒別兩種。

（2）訪問控制

提供對越權(quán)使用資源的防御措施。

（3）數(shù)據(jù)機密性

針對信息泄露而采取的防御措施。分為連接機密性、無連接機密性、選擇字段機密性、

通信業(yè)務(wù)流機密性四種。

（4）數(shù)據(jù)完整性

防止非法篡改信息，如修改、復(fù)制、插入和刪除等。分為帶恢復(fù)的連接完整性、無恢復(fù)的連

接完整性、選擇字段的連接完整性、無連接完整性、選擇字段無連接完整性五種。

（5）抗否認

是針對對方否認的防范措施，用來證實發(fā)生過的操作。包括有數(shù)據(jù)原發(fā)證明的抗否認和有交

付證明的抗否認兩種。

8.TCP/IP協(xié)議的網(wǎng)絡(luò)安全體系結(jié)構(gòu)的基礎(chǔ)框架是什么？

由于OSI參考模型與TCP/IP參考模型之間存在對應(yīng)關(guān)系，因此可根據(jù)GB/T9387.2-1995的

安全體系框架，將各種安全機制和安全服務(wù)映射到TCP/IP的協(xié)議集中，從而形成一個基于

TCP/IP協(xié)議層次的網(wǎng)絡(luò)安全體系結(jié)構(gòu)。

密鑰分配與管理

一、填空題

I.密鑰管理的主要內(nèi)容包括密鑰的生成、分配、使用、存儲、備份、恢復(fù)和銷毀。

2.密鑰生成形式有兩種：一種是由中心集中生成，另一種是由個人分散生成。

密鑰的分配是指產(chǎn)生并使使用者獲得密鑰的過程。

密鑰分配中心的英文縮寫是KDC。

二、問答題

1.常規(guī)加密密鑰的分配有幾種方案，請對比一下它們的優(yōu)缺點。

1.集中式密鑰分配方案

由一個中心節(jié)點或者由一組節(jié)點組成層次結(jié)構(gòu)負責(zé)密鑰的產(chǎn)生并分配給通信的雙方，在

這種方式下，用戶不需要保存大量的會話密鑰，只需要保存同中心節(jié)點的加密密鑰，用于安

全傳送由中心節(jié)點產(chǎn)生的即將用于與第三方通信的會話密鑰。這種方式缺點是通信量大，同

時需要較好的鑒別功能以鑒別中心節(jié)點和通信方。目前這方面主流技術(shù)是密鑰分配中心

KDC技術(shù)。我們假定每個通信方與密鑰分配中心KDC之間都共享一個惟一的主密鑰，并且

這個惟一的主密鑰是通過其他安全的途徑傳遞。

2.分散式密鑰分配方案

使用密鑰分配中心進行密鑰的分配要求密鑰分配中心是可信任的并且應(yīng)該保護它免于

被破壞。如果密鑰分配中心被第三方破壞，那么所有依靠該密鑰分配中心分配會話密鑰進行

通信的所有通信方將不能進行正常的安全通信。如果密鑰分配中心被第三方控制，那么所有

依靠該密鑰分配中心分配會話密鑰進行進信的所有通信方之間的通信信息將被第三方竊聽

到

4.密鑰的產(chǎn)生需要注意哪些問題？

算法的安全性依賴于密鑰，如果用一個弱的密鑰產(chǎn)生方法，那么整個系統(tǒng)都將是弱的。DES

有56位的密鑰，正常情況下任何一個56位的數(shù)據(jù)串都能成為密鑰，所以共有256種可能的

密鑰。在某些實現(xiàn)中，僅允許用ASCII碼的密鑰，并強制每一字節(jié)的最高位為零。有的實

現(xiàn)甚至將大寫字母轉(zhuǎn)換成小寫字母。這些密鑰產(chǎn)生程序都使得DES的攻擊難度比正常情況

下低幾千倍。因此，對于任何種加密方法，其密鑰產(chǎn)生方法都不容忽視。

大部分密鑰生成算法采用隨機過程或者偽隨機過程來生成密鑰。隨機過程i般采用一個隨機

數(shù)發(fā)生器，它的輸出是一個不確定的值。偽隨機過程一般采用噪聲源技術(shù)，通過噪聲源的功

能產(chǎn)生二進制的隨機序列或與之對應(yīng)的隨機數(shù)。

5.KDC在密鑰分配過程中充當何種角色？

KDC在密鑰分配過程中充當可信任的第三方。KDC保存有每個用戶和KDC之間共享的唯

-密鑰，以便進行分配。在密鑰分配過程中，KDC按照需要生成各對端用戶之間的會話密

鑰，并由用戶和KDC共享的密鑰進行加密，通過安全協(xié)議將會話密鑰安全地傳送給需要進

行通信的雙方。

數(shù)字簽名與鑒別協(xié)議

一、選擇題

I.數(shù)字簽名要預(yù)先使用單向Hash函數(shù)進行處理的原因是(C)。

A.多一道加密工序使密文更難破譯

B.提高密文的計算速度

C.縮小簽名密文的長度，加快數(shù)字簽名和驗證簽名的運算速度

D.保證密文能正確還原成明文

二、填空題

數(shù)字簽名是筆跡簽名的模擬，是一種包括防止源點或終點否認的認證技術(shù)。

三、問答題

1.數(shù)字簽名有什么作用？

當通信雙方發(fā)生了下列情況時，數(shù)字簽名技術(shù)必須能夠解決引發(fā)的爭端：

否認，發(fā)送方不承認自己發(fā)送過某一報文。

偽造，接收方自己偽造一份報文，并聲稱它來自發(fā)送方。

冒充，網(wǎng)絡(luò)上的某個用戶冒充另一個用戶接收或發(fā)送報文。

篡改，接收方時收到的信息進行篡改。

2.請說明數(shù)字簽名的主要流程。

數(shù)字簽名通過如下的流程進行：

(1)采用散列算法對原始報文進行運算，得到一個固定長度的數(shù)字串，稱為報文摘要(Message

Digest),不同的報文所得到的報文摘要各異，但對相同的報文它的報文摘要卻是惟一的。在

數(shù)學(xué)上保證，只要改動報文中任何一位，重新計算出的報文摘要值就會與原先的值不相符，

這樣就保證了報文的不可更改性。

(2)發(fā)送方用目己的私有密鑰對摘要進行加密來形成數(shù)字簽名。

(3)這個數(shù)字簽名將作為報文的附件和報文一起發(fā)送給接收方。

(4)接收方首先對接收到的原始報文用同樣的算法計算出新的報文摘要，再用發(fā)送方的公開

密鑰對報文附件的數(shù)字簽名進行解密，比較兩個報文摘要，如果值相同，接收方就能確認該

數(shù)字簽名是發(fā)送方的，否則就認為收到的報文是偽造的或者中途被篡改。

3.數(shù)字證書的原理是什么？

數(shù)字證書采用公開密鑰體制(例如RSA)。每個用戶設(shè)定一僅為本人所知的私有密鑰，用它

進行解密和簽名；同時設(shè)定一公開密鑰，為一組用戶所共享，用于加密和驗證簽名。

采用數(shù)字證書，能夠確認以下兩點：

(1)保證信息是由簽名者自己簽名發(fā)送的，簽名者不能否認或難以否認。

(2)保證信息自簽發(fā)后到收到為止未曾做過任何修改，簽發(fā)的信息是真實信息。

身份認證

一、選擇題

1.Kerberos的設(shè)計目標不包括（B）。

A.認證B.授權(quán)C.記賬D.審計

2.身份鑒別是安全服務(wù)中的重要一環(huán)，以下關(guān)于身份鑒別敘述不正確的是（B）。

A.身份鑒別是授權(quán)控制的基礎(chǔ)

B.身份鑒別一般不用提供雙向的認證

C.目前一般采用基于對稱密鑰加密或公開密鑰加密的方法

D.數(shù)字簽名機制是實現(xiàn)身份鑒別的重要機制

3.基于通信雙方共同擁有的但是不為別人知道的秘密，利用計算機強大的計算能力，以該

秘密作為加密和解密的密鑰的認證是（C）。

A.公鑰認證B,零知識認證

C.共享密鑰認證D.口令認證

5.（C）是一個對稱DES加密系統(tǒng)，它使用一個集中式的專鑰密碼功能，系統(tǒng)的核心是KDC=

A.TACACSB.RADIUSC.KerberosD.PKI

二、填空題

身份認證是驗證信息發(fā)送者是真的，而不是冒充的，包括信源、信宿等的認證和識別。

三、問答題

解釋身份認證的基本概念。

身份認證是指用戶必須提供他是誰的證明，這種證實客戶的真實身份與其所聲稱的身份是否

相符的過程是為了限制非法用戶訪問網(wǎng)絡(luò)資源，它是其他安全機制的基礎(chǔ)。

身份認證是安全系統(tǒng)中的第一道關(guān)卡，識別身份后，由訪問監(jiān)視器根據(jù)用戶的身份和授

權(quán)數(shù)據(jù)庫決定是否能夠訪問某個資源。一旦身份認證系統(tǒng)被攻破，系統(tǒng)的所有安全措施將形

同虛設(shè)，黑客攻擊的目標往往就是身份認證系統(tǒng)。

2.單機狀態(tài)下驗證用戶身份的一種因素是什么？

（1）用戶所知道的東西：如口令、密碼。

（2）用戶所擁有的東西：如智能卡、身份證。

（3）用戶所具有的生物特征：如指紋、聲音、視網(wǎng)膜掃描、DNA等。

3.有哪兩種主要的存儲口令的方式，各是如何實現(xiàn)口令驗證的？

1.直接明文存儲口令

有很大風(fēng)險，只要得到了存儲口令的數(shù)據(jù)庫，就可以得到全體人員的口令。比如攻擊者

可以設(shè)法得到一個低優(yōu)先級的帳號和口令，進入系統(tǒng)后得到明文存儲口令的文件，這樣他就

可以得到全體人員的口令。

2.Hash散列存儲口令

散列函數(shù)的目的是為文件、報文或其他分組數(shù)據(jù)產(chǎn)生“指紋”。對于每一個用戶，系統(tǒng)

存儲帳號和散列值對在一個口令文件中，當用戶登錄時，用戶輸入口令x,系統(tǒng)計算F（x）,

然后與口令文件中相應(yīng)的散列值進行比對，成功即允許登錄。

5.使用口令進行身份認證的優(yōu)缺點？

優(yōu)點在于黑客即使得到了口令文件，通過散列值想要計算出原始口令在計算上也是不可能

的，這就相對增加了安全性。

嚴重的安全問題（單因素的認證），安全性僅依賴于口令，而且用戶往往選擇容易記憶、

容易被猜測的口令（安全系統(tǒng)最薄弱的突破口），口令文件也可被進行離線的字典式攻擊。

6.利用智能卡進行的雙因素的認證方式的原理是什么？

智能卡具有硬件加密功能，有較高的安全性。每個用戶持有?張智能卡，智能卡存儲用戶個

性化的秘密信息，同時在驗證服務(wù)器中也存放該秘密信息。進行認證時，用戶輸入PIN（個

人身份識別碼），智能卡認證PIN,成功后，即可讀出智能卡中的秘密信息，進而利用該秘

密信息與主機之間進行認證。

雙因素的認證方式（PIN+智能卡），即使PIN或智能卡被竊取，用戶仍不會被冒充。智

能卡提供硬件保護措施和加密算法，可以利用這些功能加強安全性能。

7.有哪些生物特征可以作為身份認證的依據(jù)，這種認證的過程是怎樣的？

以人體唯一的、可靠的、穩(wěn)定的生物特征（如指紋、虹膜、臉部、掌紋等）為依據(jù)，采用計

算機強大的計算功能和網(wǎng)絡(luò)技術(shù)進行圖象處理和模式識別。該技術(shù)具有很好的安全性、可靠

性和有效性。

所有的工作有4個步驟：抓圖、抽取特征、比較和匹配。生物捕捉系統(tǒng)捕捉到生物特征

的樣品，唯?的特征將會被提取并且被轉(zhuǎn)化成數(shù)字符號，這些符號被存成那個人的特征摸板，

人們同識別系統(tǒng)交互進行身份認證，以確定匹配或不匹配

授權(quán)與訪問控制

一、選擇題

1.訪問控制是指確定（A）以及實施訪問權(quán)限的過程。

A.用戶權(quán)限B.可給予哪些主體訪問權(quán)利

C.可被用戶訪問的資源D.系統(tǒng)是否遭受入侵

2.下列對訪問控制影響不大的是（D）。

A.主體身份B.客體身份

C.訪問類型D.主體與客體的類型

3.為了簡化管理，通常對訪問者（A）,以避免訪問控制表過于龐大。

A.分類組織成組B.嚴格限制數(shù)量

C.按訪問時間排序，刪除長期沒有訪問的用戶

D.不作任何限制

二、填空題

訪問控制的目的是為了限制訪問主體對訪問客體的訪問權(quán)限。

三、問答題

解釋訪問控制的基本概念。

訪問控制是建立在身份認證基礎(chǔ)上的，通過限制對關(guān)鍵資源的訪問，防止非法用戶的侵入或

因為合法用戶的不慎操作而造成的破壞。

訪問控制的目的：限制主體對訪問客體的訪問權(quán)限（安全訪問策略），從而使計算機系

統(tǒng)在合法范圍內(nèi)使用。

2.訪問控制有幾種常用的實現(xiàn)方法？它們各有什么特點？

1訪問控制矩陣

行表示客體（各種資源），列表示主體（通常為用戶），行和列的交叉點表示某個主體對

某個客體的訪問權(quán)限。通常一個文件的Own權(quán)限表示可以授予（Authorize）里撤消（Revoke）

其他用戶對該文件的訪問控制權(quán)限。

2訪問能力表

實際的系統(tǒng)中雖然可能有很多的主體與客體，但兩者之間的權(quán)限關(guān)系可能并不多。為了

減輕系統(tǒng)的開銷與浪費，我們可以從主體（行）出發(fā)，表達矩陣某一行的信息，這就是訪問

能力表（Capabilities）（.

只有當一個主體對某個客體擁有訪問的能力時.，它才能訪問這個客體。但是要從訪問能

力表獲得對某一特定客體有特定權(quán)限的所有主體就比較困難。在一個安全系統(tǒng)中，正是客體

本身需要得到可靠的保護，訪問控制服務(wù)也應(yīng)該能夠控制可訪問某一客體的主體集合，于是

出現(xiàn)了以客體為出發(fā)點的實現(xiàn)方式——ACL。

3訪問控制表

也可以從客體（列）出發(fā)，表達矩陣某一列的信息，這就是訪問控制表（AccessControl

List）。它可以對某一特定資源指定任意一個用戶的訪問權(quán)限，還可以將有相同權(quán)限的用戶

分組，并授予組的訪問權(quán)。

4授權(quán)關(guān)系表

授權(quán)關(guān)系表（AuthorizationRelations）的每一行表示了主體和客體的,個授權(quán)關(guān)系。對

表按客體進行排序，可以得到訪問控制表的優(yōu)勢；對表按主體進行排序，可以得到訪問能力

表的優(yōu)勢。適合采用關(guān)系數(shù)據(jù)庫來實現(xiàn)。

3.訪問控制表ACL有什么優(yōu)缺點？

ACL的優(yōu)點：表述直觀、易于理解，比較容易查出對某一特定資源擁有訪問權(quán)限的所

有用戶，有效地實施授權(quán)管理。

ACL應(yīng)用到規(guī)模大的企業(yè)內(nèi)部網(wǎng)時，有問題：

（1）網(wǎng)絡(luò)資源很多，ACL需要設(shè)定大量的表項，而且修改起來比較困難，實現(xiàn)整個組織

范圍內(nèi)一致的控制政策也比較困難。

（2）單純使用ACL,不易實現(xiàn)最小權(quán)限原則及復(fù)雜的安全政策。

4.有哪兒種訪問控制策略？

三種不同的訪問控制策略：自主訪問控制（DAC）、強制訪問控制（MAC）和基于角色的訪

問控制（RBAC）,前兩種屬于傳統(tǒng)的訪問控制策略，而RBAC是90年代后期出現(xiàn)的，有很

大的優(yōu)勢，所以發(fā)展很快。

每種策略并非是絕對互斥的，我們可以把幾種策略綜合起來應(yīng)用從而獲得更好、更安全的系

統(tǒng)保護——多重的訪問控制策略。

PKI技術(shù)

一、選擇題

1.PKI支持的服務(wù)不包括（D）。

A.非對稱密鑰技術(shù)及證書管理B.目錄服務(wù)

C.對稱密鑰的產(chǎn)生和分發(fā)D.訪問控制服務(wù)

2.PKI的主要組成不包括（B）。

A.證書授權(quán)CAB.SSL

C.注冊授權(quán)RAD.證書存儲庫CR

3.PKI管理對象不包括（A）。

A.ID和口令B.證書

C.密鑰D.證書撤消

4.下面不屬于PKI組成部分的是（D）。

A.證書主體B.使用證書的應(yīng)用和系統(tǒng)

C.證書權(quán)威機構(gòu)D.AS

PKI能夠執(zhí)行的功能是（A）和（C）。

A.鑒別計算機消息的始發(fā)者B.確認計算機的物理位置

C.保守消息的機密D.確認用戶具有的安全性特權(quán)

二、問答題

1.為什么說在PKI中采用公鑰技術(shù)的關(guān)鍵是如何確認某個人真正的公鑰？如何確認？

信息的可認證性是信息安全的一個重要方面。認證的目的有兩個：?個是驗證信息發(fā)送者的

真實性，確認他沒有被冒充；另一個是驗證信息的完整性，確認被驗證的信息在傳遞或存儲

過程中沒有被篡改、重組或延遲。

在認證體制中，通常存在一個可信的第三方，用于仲裁、頒發(fā)證書和管理某些機密信息。公

鑰密碼技術(shù)可以提供網(wǎng)絡(luò)中信息安全的全面解決方案。采用公鑰技術(shù)的關(guān)鍵是如何確認某個

人真正的公鑰。在PKI中，為了確保用戶及他所持有密鑰的正確性，公開密鑰系統(tǒng)需要一

個值得信賴而且獨立的第三方機構(gòu)充當認證中心（CA）,來確認聲稱擁有公開密鑰的人的真

正身份。

要確認一個公共密鑰，CA首先制作一張“數(shù)字證書”，它包含用戶身份的部分信息及用戶

所持有的公開密鑰，然后CA利用本身的私鑰為數(shù)字證書加上數(shù)字簽名。

任何想發(fā)放自己公鑰的用戶，可以去認證中心（CA）申請自己的證書。CA中心在認證該

人的真實身份后，頒發(fā)包含用戶公鑰的數(shù)字證書，它包含用戶的真實身份、并證實用戶公鑰

的有效期和作用范圍（用于交換密鑰還是數(shù)字簽名）。其他用戶只要能驗證證書是真實的，并

且信任頒發(fā)證書的CA,就可以確認用戶的公鑰。

2.什么是數(shù)字證書？現(xiàn)有的數(shù)字證書由誰頒發(fā)，遵循什么標準，有什么特點？

數(shù)字證書是一個經(jīng)證書認證中心（CA）數(shù)字簽名的包含公開密鑰擁有者信息以及公開密鑰的

文件。認證中心（CA）作為權(quán)威的、可信賴的、公正的第三方機構(gòu)，專門負責(zé)為各種認證需

求提供數(shù)字證書服務(wù)。認證中心頒發(fā)的數(shù)字證書均遵循X.509V3標準。X.509標準在編排

公共密鑰密碼格式方面已被廣為接受。X.509證書已應(yīng)用于許多網(wǎng)絡(luò)安全，其中包括IPSec（IP

安全）、SSL,SET、S/MIMEo

3.X.509規(guī)范中是如何定義實體A信任實體B的？在PKI中信任又是什么具體含義？

X.509規(guī)范中給出了適用于我們目標的定義：

當實體A假定實體B嚴格地按A所期望的那樣行動，則A信任B。在PKI中，我們可以把

這個定

義具體化為：如果一個用戶假定CA可以把任一公鑰綁定到某個實體上，則他信任該CA。

5.簡述認證機構(gòu)的嚴格層次結(jié)構(gòu)模型的性質(zhì)？

層次結(jié)構(gòu)中的所有實體都信任惟?的根CA。在認證機構(gòu)的嚴格層次結(jié)構(gòu)中，每個實體（包括

中介CA和終端實體）都必須擁有根CA的公鑰，該公鑰的安裝是在這個模型中為隨后進行

的所有通信進行證書處理的基礎(chǔ)，因此，它必須通過一種安全（帶外）的方式來完成。

值得注意的是，在一個多層的嚴格層次結(jié)構(gòu)中.終端實體直接被其上層的CA認證（也

就是頒發(fā)證書），但是它們的信任錨是另一個不同的CA"/CA）o

6.Web信任模型有哪些安全隱患？

Web模型在方便性和簡單互操作性方面有明顯的優(yōu)勢，但是也存在許多安全隱患。例如，

因為瀏覽器的用戶自動地信任預(yù)安裝的所有公鑰，所以即使這些根CA中有一個是“壞的”

（例如，該CA從沒有認真核實被認證的實體），安全性將被完全破壞。

另外一個潛在的安全隱患是沒有實用的機制來撤消嵌入到瀏覽器中的根密鑰。如果發(fā)現(xiàn)一個

根密鑰是“壞的”（就像前而所討論的那樣）或者與根的公鑰相應(yīng)的私鑰被泄密了，要使全世

界數(shù)百萬個瀏覽器都臼動地廢止該密鑰的使用是不可能的。

7.以用戶為中心的信任模型是怎樣實現(xiàn)信任關(guān)系的？哪個實際系統(tǒng)是使用這種模型的？

PGP最能說明以用戶為中心的信任模型，在PGP中，一個用戶通過擔(dān)當CA（簽署其他實

體的公鑰）并使其公鑰被其他人所認證來建立（或參加）所謂的信任網(wǎng)（WebofTrust）。

例如，當Alice收到一個據(jù)稱屬于Bob的證書時，她將發(fā)現(xiàn)這個證書是由她不認識的

David簽署的，但是David的證書是由她認識并且信任的Catherine簽署的。在這種情況下，

Alice可以決定信任Bob的密鑰（即信任從Catherine到David再到Bob的密鑰鏈），也可以

決定不信任Bob的密鑰（認為“未知的"Bob與“已知的"Catherine之間的“距離大遠”）。

因為要依賴于用戶自身的行為和決策能力，因此以用戶為中心的模型在技術(shù)水平較高和利害

關(guān)系高度一致的群體中是可行的，但是在一般的群體（它的許多用戶有極少或者沒有安全及

PKI的概念）中是不現(xiàn)實的。

10.構(gòu)造證書庫的最佳方法是什么？

證書庫是證書的集中存放地，是網(wǎng)上的一種公共信息庫，用戶可以從此處獲得其他用戶的證

書和公鑰。構(gòu)造證書庫的最佳方法是采用支持LDAP協(xié)議的目錄系統(tǒng)，用戶或相關(guān)的應(yīng)用

通過LDAP來訪問證書庫。系統(tǒng)必須確保證書庫的完整性，防止偽造、篡改證書。

11.掌握證書管理有哪3個階段組成，每個階段包括哪些具體內(nèi)容？

1證書管理

（1）初始化階段

I.終端實體注冊

終端實體注冊是單個用戶或進程的身份被建立和驗證的過程。注冊過程能夠通過不同的方法

來實現(xiàn)，圖示說明了一個實體初始化包括一個RA和一個CA的可能的方案（注意RA部件

根本不存在的其他可能方案也是可用的）。終端實體注冊是在線執(zhí)行的，是用注冊表格的交

換來說明的。注冊過程?般要求包括將一個或更多的共享秘密賦給終端實體以便后來在初始

化過程中CA確認那個個體。

2.密鑰對產(chǎn)生

密鑰資料可以在終端實體注冊過程之前或直接響應(yīng)終端實體注冊過程時產(chǎn)生。在RA中

或在CA中產(chǎn)生密鑰資料是可能的。每個終端實體多個密鑰可以被用做支持分離的和截然不

同的服務(wù)。例如，一個密鑰對可以被用作支持不可否認性服務(wù)而另一個密鑰對可以被用作支

持機密性或密鑰管理功能（雙密鑰對模型）。

3.證書創(chuàng)建和密鑰/證書分發(fā)

無論密鑰在哪里產(chǎn)生，證書創(chuàng)建的職責(zé)都將單獨地落在被授權(quán)的CA上。如果公鑰是被

終端實體而不是CA所產(chǎn)生的，那么該公鑰必須被安全地傳送到CA以便其能夠被放入證書。

一旦密鑰資料和相關(guān)的證書已經(jīng)被產(chǎn)生，它們必須被適當分發(fā)。請求證書和從可信實體（即

CA）取回證書（以及相關(guān)的密鑰，如果適用的話）的必要條件是要求一個安全協(xié)議機制。

4.證書分發(fā)

如果私鑰和相應(yīng)的公鑰證書已經(jīng)被分發(fā)，那么有一種或多種傳送給另?個實體的方法：

,帶外分發(fā)；

?在一個公眾的資料庫或數(shù)據(jù)庫中公布，以使查詢和在線檢索簡便；

?帶內(nèi)協(xié)議分發(fā)，例如，包括帶有安全E-mail報文的適用的驗證證書。

被用做數(shù)字簽名目的的證書可以僅需要分發(fā)給它們的所有者，被用做機密性目的的證書對于

發(fā)信方必須是容易獲得的。

5.密鑰備份和托管

?定比例的加密密鑰將因為許多原因（忘記密碼、磁盤被破壞、失常的智能卡或雇員被

解雇）使這些密鑰的所有者無法訪問，這就需要事先進行密鑰備份。

密鑰托管是指把一個秘密的密鑰或私鑰交由第三方保管，這樣做的問題是哪些密鑰應(yīng)委托保

管以及誰是可以信任的第三方（政府？）。

（2）頒布階段

1.證書檢索

證書檢索與訪問一個終端實體證書的能力有關(guān)。檢索一個終端實體證書的需求可能被兩

個不同的使用要求所驅(qū)動。

?加密發(fā)給其他實體的數(shù)據(jù)的需求；

?驗證一個從另一個實體收到的數(shù)字簽名的需求。

2.證書驗證

證書驗證與評估一個給定證書的合法性和證書頒發(fā)者的可信賴性有關(guān)。證書驗證是在基

于那個證書被準許加密操作之前進行的。

3.密鑰恢復(fù)

密鑰管理生命周期包括從遠程備份設(shè)施（如可信密鑰恢復(fù)中心或CA）中恢復(fù)私有加密

密鑰的能力。密鑰的恢復(fù)能使PKI管理員和終端用戶的負擔(dān)減至最小，這個過程必須盡可

能最大程度自動化。

4.密鑰更新

當證書被頒發(fā)時，其被賦與一個固定的生存期。當證書“接近”過期時，必須頒發(fā)一個

新的公/私鑰和相關(guān)證書，這被稱為密鑰更新。應(yīng)該允許一個合理的轉(zhuǎn)變時間使依托方取得

新證書，從而避免與過期證書所有有關(guān)的服務(wù)中斷。這個過程是自動的，并對終端用戶完全

透明。

（3）取消階段

1.證書過期

證書在頒布時被賦與一個固定的生存期，在其被建立的有效期結(jié)束后，證書將會過期。

當一個證書過期后，與該證書有關(guān)的終端實體可能發(fā)生三件事：

?沒有活動：終端實體不在參加PKI:

?證書恢復(fù)：相同的公鑰被加入新有效期的新證書（當與最初證書的頒布有關(guān)的環(huán)境沒有變

化時使用，并且它仍然認為是可靠的）；

?證書更新：一個新的公/私鑰對被產(chǎn)生，并且一個新的證書被頒發(fā)。

2.證書撤消

在證書自然過期之前對給定證書的即時取消（可疑的密鑰損害、作業(yè)狀態(tài)的變化或者雇

傭終止等）。

一個終端用戶個人可以親自初始化自己的證書撤消（例如由于相應(yīng)私有密鑰的可疑損害）。

RA可以代表終端用戶被用做初始化證書撤消。經(jīng)授權(quán)的管理者也可以有能力撤消終端實體

的證書。

3.密鑰歷史

由于機密性加密密鑰最后要過期，因此可靠安全地存儲用做解密的私有密鑰是必須的，

這被稱作密鑰歷史，否則無法恢復(fù)。

4.密鑰檔案

可靠地保存已經(jīng)過期的用于驗證數(shù)字簽名的公鑰，以便對歷史文檔的數(shù)字簽名進行驗證。

12.什么是X.500目錄服務(wù)？

X.500是一種CCITT針對已經(jīng)被ISO接受的目錄服務(wù)系統(tǒng)的建議，它定義了一個機構(gòu)如何

在一個企業(yè)的全局范圍內(nèi)共享名字和與它們相關(guān)的對象。

一個完整的X.500系統(tǒng)稱為一個“目錄”，X.500是層次性的，其中的管理性域（機構(gòu)、分

支、部門和工作組）可以提供這些域內(nèi)的用戶和資源的信息。它被認為是實現(xiàn)一個目錄服務(wù)

的最好途徑。

X.500目錄服務(wù)是一種用于開發(fā)一個單位內(nèi)部人員目錄的標準方法，這個目錄可以成為全球

目錄的一部分，任何人都可以查詢這個單位中人員的信息。這個目錄有一個樹型結(jié)構(gòu)：國家，

單位（或組織），部門和個人。一個知名和最大的X.500目錄是用于管理域名注冊的InterNIC。

X.500目錄服務(wù)可以向需要訪問網(wǎng)絡(luò)任何地方資源的電子函件系統(tǒng)和應(yīng)用，或需要知道

在網(wǎng)絡(luò)上的實體名字和地點的管理系統(tǒng)提供信息。這個目錄是一?個目錄信息數(shù)據(jù)庫（DIB）。

13.什么是X.509方案，它是如何實現(xiàn)數(shù)字簽名的？

X.509是一種行業(yè)標準或者行業(yè)解決方案——X.509公共密鑰證書，在X.509方案中，默認

的加密體制是公鑰密碼體制。

為進行身份認證，X.509標準及公共密鑰加密系統(tǒng)提供了數(shù)字簽名的方案。用戶可生成

一段信息及其摘要（指紋）。用戶用專用密鑰對摘要加密以形成簽名，接收者用發(fā)送者的公共

密鑰對簽名解密，并將之與收到的信息“指紋”進行比較，以確定其真實性。

15.X.500和LDAP有什么聯(lián)系和區(qū)別？

LDAP協(xié)議基于X.500標準，但是比較簡單，并且可以根據(jù)需要定制，LDAP支持TCP/IP。

在企業(yè)范圍內(nèi)實現(xiàn)LDAP可以讓運行在幾乎所有計算機平臺上的所有的應(yīng)用程序從LDAP

目錄中獲取信息（電子郵件地址、郵件路由信息、人力資源數(shù)據(jù)、公用密鑰、聯(lián)系人列表）。

16.實施PKI的過程中產(chǎn)生了哪些問題，如何解決？

首先是實施的問題，PKI定義了嚴格的操作協(xié)議和信任層次關(guān)系。任何向CA申請數(shù)字證書

的人必須經(jīng)過線下（offline）的身份驗證（通常由RA完成），這種身份驗證工作很難擴展到整個

Internet范圍，因此，現(xiàn)今構(gòu)建的PKI系統(tǒng)都局限在一定范圍內(nèi)，這造成了PKI系統(tǒng)擴展問

題。

由于不同PKI系統(tǒng)都定義了各自的信任策略，在進行互相認證的時候，為了避免由于

信任策略不同而產(chǎn)生的問題，普遍的做法是忽略信任策略。這樣，本質(zhì)上是管理Internet上

的信任關(guān)系的PKI就僅僅起到身份驗證的作用了。

提出用PMI解決。

17.什么是證書鏈？根CA證書由誰簽發(fā)？

由于?個公鑰用戶擁有的可信證書管理中心數(shù)量有限，要與大量不同管理域的用戶建立安全

通信需要CA建立信任關(guān)系，這樣就要構(gòu)造一個證書鏈。證書鏈是最常用的用于驗證實體它

的公鑰之間的綁定的方法。一個證書鏈?般是從根CA證書開始，前一個證書主體是后一個

證書的簽發(fā)者。也就是說，該主題對后一個證書進行了簽名。而根CA證書是由根自己簽發(fā)

的。

18.敘述基于X.509數(shù)字證書在PKI中的作用。

X.509數(shù)字證書是各實體在網(wǎng)絡(luò)中的身份證明，它證書了實體所聲明的身份與其公鑰的

匹配關(guān)系。從公鑰管理的機制講，數(shù)字證書是非對稱密碼體制中密鑰管理的媒介。即在非對

稱密碼體制中，公鑰的分發(fā)、傳送是通過數(shù)字證書來實現(xiàn)的。通過數(shù)字證書，可以提供身份

的認證與識別，完整性、保密性和不可否認等安全服務(wù)。

入侵檢測與安全審計

一、填空題

1.IDS的物理實現(xiàn)不同，按檢測的監(jiān)控位置劃分，入侵檢測系統(tǒng)可分為基于主機的入侵檢

測系統(tǒng)、基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)和分布式入侵檢測系統(tǒng)。

二、問答題

1.什么是IDS,它有哪些基本功能？

入侵檢測系統(tǒng)IDS,它從計算機網(wǎng)絡(luò)系統(tǒng)中的若干關(guān)鍵點收集信息，并分析這些信息，檢查

網(wǎng)絡(luò)中是否有違反安全策略的行為和遭到襲擊的跡象。入侵檢測被認為是防火墻之后的第二

道安全閘門。

1）監(jiān)測并分析用戶和系統(tǒng)的活動，查找非法用戶和合法用戶的越權(quán)操作；

2）核查系統(tǒng)配置和漏洞并提示管理員修補漏洞；

3）評估系統(tǒng)關(guān)鍵資源和數(shù)據(jù)文件的完整性；

4）識別己知的攻擊行為，統(tǒng)計分析異常行為；

5）操作系統(tǒng)日志管理，并識別違反安全策略的用戶活動等。

網(wǎng)絡(luò)病毒防范

一、選擇題

1.計算機病毒是計算機系統(tǒng)中一類隱藏在（C）上蓄意破壞的搗亂程序。

A.內(nèi)存B.軟盤C.存儲介質(zhì)D.網(wǎng)絡(luò)

二、填空題

1.計算機病毒的5個特征是：主動傳染性、破壞性、寄生性（隱蔽性）、潛伏性、多態(tài)性。

2.惡意代碼的基本形式還有后門、邏輯炸彈、特洛伊木馬、蠕蟲、細菌。

蠕蟲是通過網(wǎng)絡(luò)進行傳播的。

4.計算機病毒的工作機制有潛伏機制、傳染機制、表現(xiàn)機制。

三、問答題

了解基本的計算機病毒防范措施。

計算機病毒防范，是指通過建立合理的計算機病毒防范體系和制度，及時發(fā)現(xiàn)計算機病毒侵

入，并采取有效的手段阻止計算機病毒的傳播和破壞，恢復(fù)受影響的計算機系統(tǒng)和數(shù)據(jù)。

計算機病毒利用讀寫文件能進行感染，利用駐留內(nèi)存、截取中斷向量等方式能進行傳染

和破壞。預(yù)防計算機病毒就是要監(jiān)視、跟蹤系統(tǒng)內(nèi)類似的操作，提供對系統(tǒng)的保護，最大限

度地避免各種計算機病毒的傳染破壞。

9.什么是病毒的特征代碼？它有什么作用？

病毒的特征代碼是病毒程序編制者用來識別自己編寫程序的唯一代碼串。因此檢測病毒程序

可利用病毒的特征代碼來檢測病毒，以防止病毒程序感染。

10.什么是網(wǎng)絡(luò)蠕蟲？它的傳播途徑是什么？

網(wǎng)絡(luò)蠕蟲是一種可以通過網(wǎng)絡(luò)（永久連接網(wǎng)絡(luò)或撥號網(wǎng)絡(luò)）進行自身復(fù)制的病毒程序。

一旦在系統(tǒng)中激活，蠕蟲可以表現(xiàn)得象計算機病毒或細菌。可以向系統(tǒng)注入特洛伊木馬程序,

或者進行任何次數(shù)的破壞或毀滅行動。普通計算機病毒需要在計算機的硬件或文件系統(tǒng)中繁

殖，而典型的蠕蟲程序會在內(nèi)存中維持一個活動副本。蠕蟲是一個獨立運行的程序，自身不

改變其他的程序，但可以攜帶一個改變其他程序功能的病毒。

一、判斷題

1.根據(jù)ISO13335標準，信息是通過在數(shù)據(jù)上施加某些約定而賦予這些數(shù)據(jù)的特殊含義。正

確

2.信息安全保障階段中，安全策略是核心，對事先保護、事發(fā)檢測和響應(yīng)、事后恢復(fù)起到了

統(tǒng)一指導(dǎo)作用。錯誤

3.只要投資充足，技術(shù)措施完備，就能夠保證百分之百的信息安全。錯誤

4.我國在2006年提出的《2006?2020年國家信息化發(fā)展戰(zhàn)略》將“建設(shè)國家信息安全保

障體系”作為9大戰(zhàn)略發(fā)展方向之一。正確

5.2003年7月國家信息化領(lǐng)導(dǎo)小組第三次會議發(fā)布的27號文件，是指導(dǎo)我國信息安全保障

工作和加快推進信息化的綱領(lǐng)性文獻。正確

6.在我國，嚴重的網(wǎng)絡(luò)犯罪行為也不需要接受刑法的相關(guān)處罰。錯誤

7.安全管理的合規(guī)性，主要是指在有章可循的基礎(chǔ)之上，確保信息安全工作符合國家法律、

法規(guī)、行業(yè)標準、機構(gòu)內(nèi)部的方針和規(guī)定。正確

8.Windows2000/xp系統(tǒng)提供了口令安全策略，以對帳戶口令安全進行保護。正確

9.信息安全等同于網(wǎng)絡(luò)安全。錯誤

10.GB17859與目前等級保護所規(guī)定的安全等級的含義不同，GB17859中等級劃分為現(xiàn)在的

等級保護奠定了基礎(chǔ)。正確

11.口令認證機制的安全性弱點，可以使得攻擊者破解合法用戶帳戶信息，進而非法獲得系

統(tǒng)和資源訪問權(quán)限。正確

12.PKI系統(tǒng)所有的安全操作都是通過數(shù)字證書來實現(xiàn)的。正確

13.PKI系統(tǒng)使用了非對稱算法、對稱算法和散列算法。正確

14.一個完整的信息安全保障體系，應(yīng)當包括安全策略(Policy)、保護(Protection)、檢測

(Detection)響應(yīng)(Reaction)、恢復(fù)Restoration)五個主要環(huán)節(jié)。正確

15.信息安全的層次化特點決定了應(yīng)用系統(tǒng)的安全不僅取決于應(yīng)用層安全機制，同樣依賴于

底層的物理、網(wǎng)絡(luò)和系統(tǒng)等層面的安全狀況。正確

16.實現(xiàn)信息安全的途徑要借助兩方面的控制措施：技術(shù)措施和管理措施，從這里就能看出

技術(shù)和管理并重的基本思想，重技術(shù)輕管理，或者重管理輕技術(shù)，都是不科學(xué)，并且有局限

性的錯誤觀點。正確

17.按照BS7799標準，信息安全管理應(yīng)當是一個持續(xù)改進的周期性過程。正確

18.雖然在安全評估過程中采取定量評估能獲得準確的分析結(jié)果，但是由于參數(shù)確定較為困

難，往往實際評估多采取定性評估，或者定性和定量評估相結(jié)合的方法。正確

19.一旦發(fā)現(xiàn)計算機違法犯罪案件，信息系統(tǒng)所有者應(yīng)當在2天內(nèi)迅速向當?shù)毓矙C關(guān)報案,

并配合公安機關(guān)的取證和調(diào)查。錯誤

20.定性安全風(fēng)險評估結(jié)果中，級別較高的安全風(fēng)險應(yīng)當優(yōu)先采取控制措施予以應(yīng)對。正

確

21.網(wǎng)絡(luò)邊界保護中主要采用防火墻系統(tǒng)，為了保證其有效發(fā)揮作用，應(yīng)當避免在內(nèi)網(wǎng)和外

網(wǎng)之間存在不經(jīng)過防火墻控制的其他通信連接。正確

22.網(wǎng)絡(luò)邊統(tǒng)，在內(nèi)網(wǎng)和外網(wǎng)之間存在不經(jīng)過防火墻控制的其他通信連接，不會影響到防火

墻的有效保護作用。錯誤

23.防火墻雖然是網(wǎng)絡(luò)層重要的安全機制，但是它對于計算機病毒缺乏保護能力。正確

24.我國刑法中有關(guān)計算機犯罪的規(guī)定，定義了3種新的犯罪類型。錯誤

25.信息技術(shù)基礎(chǔ)設(shè)施庫（ITIL）,是由英國發(fā)布的關(guān)于IT服務(wù)管理最佳實踐的建議和指導(dǎo)

方針，旨在解決IT服務(wù)質(zhì)量不佳的情況。正確

26.美國國家標準技術(shù)協(xié)會NIST發(fā)布的《SP800-30》中詳細闡述了IT系統(tǒng)風(fēng)險管理內(nèi)容。正

確

27.防火墻在靜態(tài)包過濾技術(shù)的基礎(chǔ)上，通過會話狀態(tài)檢測技術(shù)將數(shù)據(jù)包的過濾處理效率大

幅提高。正確

28.通常在風(fēng)險評估的實踐中，綜合利用基線評估和詳細評估的優(yōu)點，將二者結(jié)合起來。正

確

29.脆弱性分析技術(shù)，也被通俗地稱為漏洞掃描技術(shù)。該技術(shù)是檢測遠程或本地系統(tǒng)安全脆

弱性的一種安全技術(shù)。正確

單項選擇題

30.下列關(guān)于信息的說法—是錯誤的。D

A信息是人類社會發(fā)展的重要支柱B信息本身是無形的

C信息具有價值，需要保護D信息可以以獨立形態(tài)存在

31.信息安全經(jīng)歷了三個發(fā)展階段，以下—不屬于這三個發(fā)展階段。B

A通信保密階段B加密機階段C信息安全階段D安全

保障階段

32.信息安全在通信保密階段對信息安全的關(guān)注局限在—安全屬性。C

A不可否認性B可用性C保密性D完整性

33.信息安全在通信保密階段中主要應(yīng)用于——領(lǐng)域。A

A軍事B商業(yè)C科研D教育

34.信息安全階段將研究領(lǐng)域擴展到三個基本屬性，下列不屬于這三個基本屬性。C

A保密性B完整性C不可否認性D可用性

35.安全保障階段中將信息安全體系歸結(jié)為四個主要環(huán)節(jié)，下列___是正確的。D

A策略、保護、響應(yīng)、恢復(fù)B加密、認證、保護、檢測

C策略、網(wǎng)絡(luò)攻防、密碼學(xué)、備份D保護、檢測、響應(yīng)、恢復(fù)

36.下面所列的——安全機制不屬于信息安全保障體系中的事先保護環(huán)節(jié)。A

A殺毒軟件B數(shù)字證書認證C防火墻1）數(shù)據(jù)庫加密

37.根據(jù)ISO的信息安全定義，下列選項中__是信息安全三個基本屬性之一。B

A真實性B可用性C可審計性D可靠性

38.為了數(shù)據(jù)傳