網(wǎng)絡(luò)安全導(dǎo)論（王繼林）習(xí)題及解答

PAGEPAGE27《網(wǎng)絡(luò)安全導(dǎo)論》習(xí)題解答第一章思考題1．你發(fā)給媽媽的信息是否發(fā)給了身邊同學(xué)？答：如果是用Wi-Fi發(fā)送，因?yàn)槭怯脧V播發(fā)送，AP都收到了。如果是在實(shí)驗(yàn)室用以太網(wǎng)發(fā)，在同一網(wǎng)段的同學(xué)也都能收到。你一般不接收，可以安裝諸如Wireshark.的抓包軟件來(lái)接收。2．QQ服務(wù)器是否保留了你的聊天信息？答：QQ服務(wù)器完全能夠保留，至于是否保留，以及保留后是否用于他處，不能妄加猜測(cè)。3．描述在即時(shí)通信中，間接通信帶來(lái)的好處。答：間接通信的好處如下：(1)如果直接通信，收發(fā)雙方必須同時(shí)在線，而間接通信收方可以離線。接收方不在線時(shí)，發(fā)送的消息被緩存在消息服務(wù)器中，接收方上線后由服務(wù)器推送給接收方或接收方自取。(2)如果直接移動(dòng)通信，由于收發(fā)雙方頻繁更換IP地址，會(huì)非常嚴(yán)重的影響效率。4．網(wǎng)絡(luò)視頻會(huì)議用的是什么協(xié)議？在哪一層？答：網(wǎng)絡(luò)視頻會(huì)議屬于應(yīng)用層協(xié)議，三類協(xié)議分別是H.320、H.323、SIP。(1)H.320：基于電路交換的網(wǎng)絡(luò)多媒體通信協(xié)議。(2)H.323：基于包交換的網(wǎng)絡(luò)多媒體通信協(xié)議。(3)SIP：H.323和SIP都是實(shí)現(xiàn)VoIP和多媒體應(yīng)用的通信協(xié)議，SIP更適合互聯(lián)網(wǎng)應(yīng)用。H.323是ITU-T提出的一個(gè)建議書。它是一個(gè)協(xié)議族，用來(lái)在IP分組交換網(wǎng)上實(shí)現(xiàn)語(yǔ)音通信、視頻通信和數(shù)據(jù)會(huì)議。H.323當(dāng)前已發(fā)展到了第6個(gè)版本。SIP是基于IP網(wǎng)絡(luò)，在Internet網(wǎng)絡(luò)環(huán)境中，實(shí)現(xiàn)實(shí)時(shí)通信應(yīng)用的一種信令協(xié)議。在基于SIP的應(yīng)用中，每一個(gè)會(huì)話可以是各種不同類型的內(nèi)容(如普通的文本數(shù)據(jù)、音視頻數(shù)據(jù)、游戲數(shù)據(jù)等)，應(yīng)用具有巨大的靈活性。目前，H.323協(xié)議集已經(jīng)比較成熟，并在VoIP、視訊會(huì)議領(lǐng)域得到廣泛應(yīng)用；而SIP制訂較晚，吸取了H.323在實(shí)際應(yīng)用中的一些得失經(jīng)驗(yàn)并結(jié)合了當(dāng)前應(yīng)用的發(fā)展，在北美地區(qū)使用較多。5．以太網(wǎng)的幀格式是什么樣子的？答：1983年提出的IEEE802.3格式如下：IEEE802.3幀長(zhǎng)度字段值小于等于1500(0x05DC)。IEEE802.3幀格式類似于Ethernet_II幀，只是Ethernet_II幀的Type域被802.3幀的Length域取代，并且占用了Data字段的8個(gè)字節(jié)作為L(zhǎng)LC和SNAP字段。Length字段定義了Data字段包含的字節(jié)數(shù)。邏輯鏈路控制(LogicalLinkControl，LLC)由目的服務(wù)訪問點(diǎn)(DestinationServiceAccessPoint，DSAP)、源服務(wù)訪問點(diǎn)(SourceServiceAccessPoint，SSAP)和Control字段組成。SNAP(Sub-NetworkAccessProtocol)由機(jī)構(gòu)代碼(OrgCode)和類型(Type)字段組成。Orgcode三個(gè)字節(jié)都為0。Type字段的含義與Ethernet_II幀中的Type字段相同。IEEE802.3幀根據(jù)DSAP和SSAP字段的取值又可分為以下幾類：當(dāng)DSAP和SSAP都取特定值0xff時(shí)，802.3幀就變成了Netware-ETHERNET幀，用來(lái)承載NetWare類型的數(shù)據(jù)。當(dāng)DSAP和SSAP都取特定值0xaa時(shí)，802.3幀就變成了ETHERNET_SNAP幀。ETHERNET_SNAP幀可以用于傳輸多種協(xié)議。DSAP和SSAP其他的取值均為純IEEE802.3幀。6．如何從域名地址獲得IP地址？答：可以使用Ping命令獲得對(duì)應(yīng)的IP地址，然后在瀏覽器輸入IP地址核對(duì)。這一過(guò)程由域名解析系統(tǒng)完成，域名解析就是將域名重新轉(zhuǎn)換為IP地址的過(guò)程。一個(gè)域名對(duì)應(yīng)一個(gè)IP地址，一個(gè)IP地址可以對(duì)應(yīng)多個(gè)域名。當(dāng)應(yīng)用過(guò)程需要將一個(gè)主機(jī)域名映射為IP地址時(shí)，就調(diào)用域名解析函數(shù)，解析函數(shù)將待轉(zhuǎn)換的域名放在DNS請(qǐng)求中，以UDP報(bào)文方式發(fā)給本地域名服務(wù)器。本地的域名服務(wù)器查到域名后，將對(duì)應(yīng)的IP地址放在應(yīng)答報(bào)文中返回。同時(shí)域名服務(wù)器還必須具有連向其他服務(wù)器的信息以支持不能解析時(shí)的轉(zhuǎn)發(fā)。若域名服務(wù)器不能回答該請(qǐng)求，則此域名服務(wù)器就暫成為DNS中的另一個(gè)客戶，向根域名服務(wù)器發(fā)出請(qǐng)求解析，根域名服務(wù)器一定能找到下面的所有二級(jí)域名的域名服務(wù)器，這樣以此類推，一直向下解析，直到查詢到所請(qǐng)求的域名。第二章思考題1．如何理解網(wǎng)絡(luò)安全？一個(gè)組織如何做好網(wǎng)絡(luò)安全工作？答：《中華人民共和國(guó)網(wǎng)絡(luò)安全法》對(duì)網(wǎng)絡(luò)安全的定義是通過(guò)采取必要措施，防范對(duì)網(wǎng)絡(luò)的攻擊、入侵、干擾、破壞和非法使用以及意外事故，使網(wǎng)絡(luò)處于穩(wěn)定可靠運(yùn)行的狀態(tài)，以及保障網(wǎng)絡(luò)存儲(chǔ)、傳輸、處理信息的完整性、保密性、可用性的能力。一個(gè)組織要做好網(wǎng)絡(luò)安全工作，應(yīng)當(dāng)按照我國(guó)網(wǎng)絡(luò)安全等級(jí)保護(hù)制度的要求進(jìn)行方案設(shè)計(jì)，建立以計(jì)算環(huán)境安全為基礎(chǔ)，以區(qū)域邊界安全、通信網(wǎng)絡(luò)安全為保障，以安全管理中心為核心的網(wǎng)絡(luò)安全整體保障體系。做好網(wǎng)絡(luò)安全工作關(guān)鍵要落實(shí)責(zé)任。組織的網(wǎng)絡(luò)安全靠策略來(lái)定義安全需求，靠規(guī)范來(lái)詳細(xì)描述安全的具體含義，靠機(jī)制來(lái)實(shí)現(xiàn)安全要求，靠循環(huán)質(zhì)量管理來(lái)評(píng)判和改進(jìn)網(wǎng)絡(luò)安全過(guò)程。2．網(wǎng)絡(luò)安全保障體系的建設(shè)內(nèi)容有哪些？答：我國(guó)網(wǎng)絡(luò)安全保障體系由四部分構(gòu)成：以網(wǎng)絡(luò)安全等級(jí)保護(hù)和風(fēng)險(xiǎn)評(píng)估為手段的等級(jí)化安全管理體系，以密碼技術(shù)為基礎(chǔ)的網(wǎng)絡(luò)信任體系，以縱橫協(xié)調(diào)、部門協(xié)同為保障的網(wǎng)絡(luò)安全監(jiān)控體系和以提高響應(yīng)力、處置力為目標(biāo)的網(wǎng)絡(luò)安全應(yīng)急保障體系。3．美國(guó)國(guó)家網(wǎng)絡(luò)戰(zhàn)略的主要內(nèi)容是什么？答：2018年(1)保護(hù)美國(guó)人民、國(guó)土及美國(guó)人的生活方式：主要目標(biāo)是管控網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，提升國(guó)家信息與信息系統(tǒng)的安全與韌性。(2)促(3)以實(shí)力求和平：主要目標(biāo)是識(shí)別、反擊、破壞、降級(jí)和制止網(wǎng)絡(luò)空間中破壞穩(wěn)定和違背國(guó)家利益的行為，同時(shí)保持美國(guó)在網(wǎng)絡(luò)空間中的優(yōu)勢(shì)。(4)4．拍賣網(wǎng)站有哪些安全性需求？答：電子拍賣系統(tǒng)概括起來(lái)有下列安全性需求：(1)投標(biāo)者匿名。投標(biāo)參與者的個(gè)人材料保密，包括中標(biāo)者的個(gè)人材料和未中標(biāo)者的個(gè)人材料。(2)不可否認(rèn)性。投標(biāo)者投標(biāo)后不能否認(rèn)其投標(biāo)。(3)不可偽造性。投標(biāo)者的投標(biāo)不能被偽造。(4)可證實(shí)性?？晒_證明最終的中標(biāo)者的合法性。(5)投標(biāo)價(jià)保密。投標(biāo)者的投標(biāo)價(jià)保密。(6)時(shí)限性。確保在投標(biāo)結(jié)束后，才能打開投標(biāo)。(7)不可跟蹤性。其他參與者無(wú)法斷定哪些投標(biāo)是同一個(gè)投標(biāo)者投的。(8)公平性。指投標(biāo)者地位一樣，系統(tǒng)設(shè)計(jì)無(wú)偏向性，有辦法解決爭(zhēng)議和違約。5．信息使用者有哪些責(zé)任與義務(wù)?答：信息的使用者是被信息的擁有者許可使用信息的個(gè)人或組織。信息的使用者應(yīng)嚴(yán)格按照擁有者的授權(quán)使用信息，應(yīng)承擔(dān)因自身原因(如故意泄露給第三方、賬號(hào)或密碼泄露等)導(dǎo)致的違反擁有者意圖的后果，應(yīng)防止利用算法和掌握的數(shù)據(jù)干擾社會(huì)輿論、打壓競(jìng)爭(zhēng)對(duì)手、侵害網(wǎng)民權(quán)益等行為。6．我國(guó)新出臺(tái)的網(wǎng)絡(luò)安全法規(guī)有哪些?答：我國(guó)新出臺(tái)的網(wǎng)絡(luò)安全法規(guī)有：(1)《網(wǎng)絡(luò)安全審查辦法》(以下簡(jiǎn)稱《辦法》)，自2022年(2)《互聯(lián)網(wǎng)信息服務(wù)算法推薦管理規(guī)定》，2022年(3)《國(guó)家互聯(lián)網(wǎng)信息辦公室關(guān)于開展境內(nèi)金融信息服務(wù)報(bào)備工作的通知》2022-01-28(4)《中華人民共和國(guó)個(gè)人信息保護(hù)法》2021-08-20(5)《汽車數(shù)據(jù)安全管理若干規(guī)定(試行)》2021-08-20(6)《關(guān)鍵信息基礎(chǔ)設(shè)施安全保護(hù)條例》2021-08-17(7)《中華人民共和國(guó)數(shù)據(jù)安全法》2021-06-11(8)關(guān)于印發(fā)《常見類型移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序必要個(gè)人信息范圍規(guī)定》的通知，2021-03-22(9)關(guān)于印發(fā)《關(guān)于加強(qiáng)網(wǎng)絡(luò)直播規(guī)范管理工作的指導(dǎo)意見》的通知，2021-02-09(10)《互聯(lián)網(wǎng)用戶公眾賬號(hào)信息服務(wù)管理規(guī)定》，2021-01-22(11)關(guān)于印發(fā)《App違法違規(guī)收集使用個(gè)人信息行為認(rèn)定方法》的通知，2019-12-30(12)關(guān)于印發(fā)《網(wǎng)絡(luò)音視頻信息服務(wù)管理規(guī)定》的通知。第三章思考題1．說(shuō)明網(wǎng)絡(luò)安全與數(shù)據(jù)安全的區(qū)別與聯(lián)系。答：網(wǎng)絡(luò)安全不僅包含數(shù)據(jù)安全，還包含網(wǎng)絡(luò)基礎(chǔ)設(shè)施安全。數(shù)據(jù)安全是網(wǎng)絡(luò)安全中最核心的一塊，因?yàn)閿?shù)據(jù)是信息的載體，網(wǎng)絡(luò)攻防基本上都是圍繞信息展開的，防守者意圖保護(hù)信息(數(shù)據(jù))，攻擊者意圖破壞信息或制造假的信息。2．什么是進(jìn)程？進(jìn)程控制塊中的主要信息有哪些？答：進(jìn)程(Process)是計(jì)算機(jī)中的程序關(guān)于某數(shù)據(jù)集合上的一次運(yùn)行活動(dòng)，是系統(tǒng)進(jìn)行資源分配和調(diào)度的基本單位。進(jìn)程控制塊是進(jìn)程中的一個(gè)數(shù)據(jù)結(jié)構(gòu)，主要用來(lái)表示進(jìn)程的狀態(tài)。其主要信息包括進(jìn)程標(biāo)識(shí)符、處理機(jī)上下文、進(jìn)程調(diào)度信息、進(jìn)程控制信息。3．簡(jiǎn)述緩沖區(qū)溢出攻擊的基本原理。答：繪沖區(qū)溢出攻擊的原理是：通過(guò)往程序的緩沖區(qū)寫超出其長(zhǎng)度的內(nèi)容，造成緩沖區(qū)的溢出，從而破壞程序的堆棧，使程序轉(zhuǎn)而執(zhí)行其他指令，以達(dá)到攻擊的目的。造成緩沖區(qū)溢出的原因是程序中沒有仔細(xì)檢查用戶輸入的參數(shù)。4．說(shuō)明數(shù)據(jù)庫(kù)存儲(chǔ)和文件存儲(chǔ)的區(qū)別與聯(lián)系。答：數(shù)據(jù)庫(kù)系統(tǒng)主要管理數(shù)據(jù)庫(kù)的存儲(chǔ)、事務(wù)以及對(duì)數(shù)據(jù)庫(kù)的操作。文件系統(tǒng)是操作系統(tǒng)管理文件和存儲(chǔ)空間的子系統(tǒng)，主要是分配文件所占的簇、盤塊或者建立FAT、管理空間等。一般來(lái)說(shuō)數(shù)據(jù)庫(kù)系統(tǒng)會(huì)調(diào)用文件系統(tǒng)來(lái)管理自己的數(shù)據(jù)文件，但也有些數(shù)據(jù)庫(kù)系統(tǒng)能夠自己管理數(shù)據(jù)文件，甚至在裸設(shè)備上。文件系統(tǒng)是操作系統(tǒng)必須的，而數(shù)據(jù)庫(kù)系統(tǒng)只是數(shù)據(jù)庫(kù)管理和應(yīng)用所必需的。其區(qū)別在于：(1)文件系統(tǒng)用文件將數(shù)據(jù)長(zhǎng)期保存在外存上，數(shù)據(jù)庫(kù)系統(tǒng)用數(shù)據(jù)庫(kù)統(tǒng)一存儲(chǔ)數(shù)據(jù)。(2)文件系統(tǒng)中的程序和數(shù)據(jù)有一定的聯(lián)系，數(shù)據(jù)庫(kù)系統(tǒng)中的程序和數(shù)據(jù)分離。(3)文件系統(tǒng)用\t"/xiaonan153/article/details/_blank"操作系統(tǒng)中的存取方法對(duì)數(shù)據(jù)進(jìn)行管理，數(shù)據(jù)庫(kù)系統(tǒng)用DBMS統(tǒng)一管理和控制數(shù)據(jù)。(4)文件系統(tǒng)實(shí)現(xiàn)以文件為單位的數(shù)據(jù)共享，數(shù)據(jù)庫(kù)系統(tǒng)實(shí)現(xiàn)以記錄和字段為單位的共享。其聯(lián)系在于：(1)兩者均為數(shù)據(jù)組織的管理技術(shù)。(2)兩者均由數(shù)據(jù)管理軟件管理數(shù)據(jù)，程序與數(shù)據(jù)之間用存取方法進(jìn)行轉(zhuǎn)換。(3)數(shù)據(jù)庫(kù)系統(tǒng)是在文件系統(tǒng)的基礎(chǔ)上發(fā)展而來(lái)的。5．計(jì)算機(jī)系統(tǒng)中的數(shù)據(jù)主要面臨哪些攻擊？傳輸中的數(shù)據(jù)主要面臨哪些攻擊？答：計(jì)算機(jī)系統(tǒng)中的數(shù)據(jù)面臨的攻擊主要包括非法訪問和破壞。越權(quán)訪問是非法訪問的一種，病毒和蠕蟲等是典型的破環(huán)程序。傳輸中的數(shù)據(jù)面臨的攻擊主要包括竊聽、篡改、偽造、重放、延遲、阻斷等。6．什么是安全機(jī)制？什么是安全服務(wù)？什么是可信計(jì)算？答：防護(hù)者采用的方法和手段稱為安全機(jī)制。系統(tǒng)提供的能夠?qū)崿F(xiàn)對(duì)系統(tǒng)資源進(jìn)行一種特殊保護(hù)的通信或加工處理服務(wù)稱為安全服務(wù)?？尚庞?jì)算的基本思想是：在計(jì)算平臺(tái)中，首先創(chuàng)建一個(gè)安全信任根，再建立從硬件平臺(tái)、操作系統(tǒng)到應(yīng)用系統(tǒng)的信任鏈，在這條信任鏈上從根開始一級(jí)測(cè)量認(rèn)證一級(jí)，一級(jí)信任一級(jí)，以此實(shí)現(xiàn)信任的逐級(jí)擴(kuò)展，從而構(gòu)建一個(gè)安全可信的計(jì)算環(huán)境。第四章思考題1．請(qǐng)列舉對(duì)手常用的攻擊方法。答：網(wǎng)絡(luò)攻擊最基本的方法可以分為信息的偵察與竊取、信息欺騙和信息封鎖與破壞三個(gè)大類。2.掃描器有很多實(shí)現(xiàn)方式，你能說(shuō)出幾種？答：掃描器的實(shí)現(xiàn)方式主要有以下幾種：(1)向目標(biāo)主機(jī)發(fā)送一個(gè)ICMPECHO(Type8)數(shù)據(jù)包，如果接收到反饋的ICMPECHOReply(ICMPType0)數(shù)據(jù)包，說(shuō)明主機(jī)是存活狀態(tài)。如果沒有ECHOREPLY返回就可以初步判斷主機(jī)沒有在線或者使用了某些過(guò)濾設(shè)備過(guò)濾了ICMP的REPLY消息。(2)向目標(biāo)主機(jī)發(fā)送包頭錯(cuò)誤的IP包，目標(biāo)主機(jī)或過(guò)濾設(shè)備會(huì)反饋ICMPParameterProblemError信息。常見的偽造錯(cuò)誤字段為HeaderLength和IPOptions。(3)向目標(biāo)主機(jī)發(fā)送的IP包中填充錯(cuò)誤的字段值，目標(biāo)主機(jī)或過(guò)濾設(shè)備會(huì)反饋ICMPDestinationUnreachable信息。(4)向目的端口發(fā)送一個(gè)SYN分組。如果收到一個(gè)來(lái)自目標(biāo)端口的SYN/ACK分組，那么可以推斷該端口處于監(jiān)聽狀態(tài)。如果收到一個(gè)RST/ACK分組，那么通常說(shuō)明該端口不在監(jiān)聽。執(zhí)行端口的系統(tǒng)隨后發(fā)送一個(gè)RST/ACK分組，這樣并未建立一個(gè)完整的連接。這種技巧的優(yōu)勢(shì)比完整的TCP連接隱蔽，目標(biāo)系統(tǒng)的日志中一般不記錄未完成的TCP連接。(5)向目標(biāo)主機(jī)特定端口發(fā)送一個(gè)0字節(jié)數(shù)據(jù)的UDP包，關(guān)閉端口會(huì)反饋ICMPPortUnreachable錯(cuò)誤報(bào)文，而開放的端口則沒有任何反饋。通過(guò)多個(gè)端口的掃描，還可以探測(cè)到目標(biāo)系統(tǒng)。3．請(qǐng)描述BackTrack5軟件的功能和使用方法。Backtrack5是處于世界領(lǐng)先地位的滲透測(cè)試和信息安全審計(jì)平臺(tái)。有著上百種預(yù)先安裝好的工具軟件，提供了一個(gè)強(qiáng)大的滲透測(cè)試平臺(tái)，從Webhack的應(yīng)用程序到RFID審查，都可由Backtrack來(lái)完成。BackTrack因可以方便的破解無(wú)線網(wǎng)絡(luò)而出名。其具體使用方法見/v_show/id_XMzg3ODg0MjIw.html。4．什么是病毒？什么是惡意軟件？答：病毒指編制或者在計(jì)算機(jī)程序中插入的破壞計(jì)算機(jī)功能或者破壞數(shù)據(jù)，影響計(jì)算機(jī)使用并且能夠自我復(fù)制的一組計(jì)算機(jī)指令或者程序代碼。惡意軟件是指在未明確提示用戶或未經(jīng)用戶許可的情況下，在用戶計(jì)算機(jī)或其他終端上安裝運(yùn)行，侵害用戶合法權(quán)益的軟件。5．如何防范ARP攻擊？答：防范ARP攻擊的方法有：(1)交換設(shè)備端防御方法：采用動(dòng)態(tài)ARP檢測(cè)技術(shù)，即局域網(wǎng)交換機(jī)記錄每個(gè)接口對(duì)應(yīng)的IP地址和MAC，生成檢查表，然后檢測(cè)每個(gè)ARP回應(yīng)包，根據(jù)檢查表判斷是否違規(guī)，違規(guī)丟棄并采取懲罰措施。能夠支持這種檢測(cè)的交換機(jī)或路由器都是企業(yè)級(jí)產(chǎn)品。(2)用戶端防護(hù)方法：采用ARP防火墻或靜態(tài)雙向綁定法。Windows下ARP綁定方法為arp–sip地址mac地址，無(wú)線路由器要通過(guò)web頁(yè)面設(shè)置。6．如何防范拒絕服務(wù)攻擊？答：防范拒絕服務(wù)攻擊的方法有：(1)蜜罐引流：將攻擊流量引流到蜜罐，進(jìn)行攻擊溯源和誘捕。(2)客戶端挑戰(zhàn)：返回js來(lái)檢測(cè)是正常的客戶端還是攻擊腳本。(3)人機(jī)識(shí)別：返回驗(yàn)證碼來(lái)檢測(cè)是正常用戶還是偽裝成用戶的BOT。(4)請(qǐng)求限流限速或徹底阻斷。第五章思考題1．為什么有人把Hash函數(shù)說(shuō)成是摘要函數(shù)或指紋？答：把Hash函數(shù)說(shuō)成是摘要函數(shù)或指紋的原因有兩個(gè)：(1)函數(shù)值短：無(wú)論輸入的消息有多長(zhǎng)，計(jì)算出來(lái)消息摘要的長(zhǎng)度總是固定的，計(jì)算出的結(jié)果越長(zhǎng)，一般認(rèn)為該摘要算法越安全，SHA-256是256位。(2)抗碰撞：輸入的消息不同，產(chǎn)生的消息摘要必不同。2．為什么說(shuō)Hash函數(shù)一定存在碰撞？答：從映射的角度看，原像空間是無(wú)限大的，像空間只有2～256個(gè)元素，所以一定存在碰撞，但由于設(shè)計(jì)巧妙，這種碰撞在規(guī)定時(shí)間內(nèi)很難找到。3．什么是生日攻擊？答：概率論中的生日問題告訴我們，只需要很少的人數(shù)(23人左右)，就會(huì)有很大的可能性(概率)有至少兩個(gè)人生日相同。攻擊者試圖利用生日問題的\t"/item/%E7%94%9F%E6%97%A5%E6%94%BB%E5%87%BB/_blank"數(shù)學(xué)原理來(lái)找到Hash\t"/item/%E7%94%9F%E6%97%A5%E6%94%BB%E5%87%BB/_blank"碰撞，這種方法就叫生日攻擊。4．如何生成指定范圍內(nèi)不重復(fù)隨機(jī)數(shù)？答：例如，在Python中，使用rs=random.sample(range(0，100)，8)。5．在生成隨機(jī)數(shù)時(shí)，種子有什么作用？答：種子的作用就像種田一樣，種子種進(jìn)田里，能產(chǎn)生很多作物。隨機(jī)數(shù)產(chǎn)生器中的種子有類似效果，種子作為隨機(jī)數(shù)生成器的初始值，經(jīng)過(guò)變換和迭代，能產(chǎn)生很多隨機(jī)數(shù)。6．n位線性反饋移位寄存器的最大周期為什么是2n－1？答：每一位寄存器有兩個(gè)狀態(tài)，去掉全0狀態(tài)的最大可能只有2n－1。第六章思考題1．密碼學(xué)主要包含哪些內(nèi)容？密碼技術(shù)能提供哪些安全服務(wù)?答：密碼學(xué)的主要內(nèi)容見下圖：其有關(guān)技術(shù)能夠直接用來(lái)實(shí)現(xiàn)保密性、數(shù)據(jù)完整性、可認(rèn)證性和不可否認(rèn)性服務(wù)：2．古典密碼體制的主要思想是什么？如何理解密碼算法的安全性？答：置換與擴(kuò)散是古典密碼的精髓?，F(xiàn)代密碼體制中對(duì)安全的定義一般基于兩種方法：信息論和計(jì)算復(fù)雜性理論。理論上，只有一次一密(每個(gè)密碼只使用一次)的密碼系統(tǒng)才是不可破解的，沒有絕對(duì)安全的密碼算法。在實(shí)際應(yīng)用中，如果一個(gè)密碼算法用實(shí)際可得到的資源，在相對(duì)有限的時(shí)間內(nèi)不能破解，則稱該算法是計(jì)算上安全的，可證明安全性是目前密碼學(xué)領(lǐng)域的一個(gè)重要研究方向。3．分組密碼有哪些使用模式？答：分組密碼主要有ECB、CBC、CFB和OFB等多種模式。4．對(duì)稱密碼體制和公鑰密碼體制的主要區(qū)別是什么？答：密鑰是否一樣。5．簡(jiǎn)述公鑰密碼算法RSA的基本原理。答：RSA算法包括密鑰生成算法和加解密算法兩部分，密鑰生成算法如下：(1)選擇不同的大素?cái)?shù)p和q，計(jì)算n=p·q，φ(n)=(p－1)(q－1)。(2)選擇e，滿足1<e<φ(n)，且gcd(e,φ(n))=1，(n,e)作為公鑰。(3)通過(guò)ed≡1modφ(n)計(jì)算d，且e≠d，(n,d)作為私鑰。RSA加解密算法如下：RSA加密：c≡me(modn)RSA解密：m≡cd(modn)加密時(shí)首先對(duì)明文比特串分組，使得每個(gè)分組對(duì)應(yīng)的十進(jìn)制數(shù)小于n，即分組長(zhǎng)度小于log2n。6.簡(jiǎn)述AES算法的加、解密過(guò)程。AES為分組密碼，分組長(zhǎng)度只能是128位，密鑰的長(zhǎng)度可以使用128位、192位或256位。密鑰的長(zhǎng)度不同，加密輪數(shù)也不同，分別是10輪、12輪和14輪。AES-128即密鑰的長(zhǎng)度為128位，加密的輪數(shù)為10輪的加解密流程如下：AES加密首先將明文和原始密鑰進(jìn)行一次異或(密鑰加)，然后是第1輪到第9輪的輪變換，每次輪變換包括4個(gè)操作：字節(jié)代換、行位移、列混合和輪密鑰加。最后的第10輪迭代不執(zhí)行列混合運(yùn)算。由于AES每輪的4個(gè)操作都是可逆的，因此，解密操作就是逆序依次執(zhí)行逆運(yùn)算(見下圖)。第七章思考題1．用戶一般可用哪些證據(jù)證明自己的身份?哪些生物特征可用于身份認(rèn)證?答：證明身份的證據(jù)：所知、所有、所是、所在?？捎糜谏矸菡J(rèn)證的生物特征：DNA、指紋、聲音、臉、視網(wǎng)膜等。2．挑戰(zhàn)-應(yīng)答協(xié)議在認(rèn)證系統(tǒng)的作用是什么?驗(yàn)證碼的作用是什么？答：挑戰(zhàn)應(yīng)答協(xié)議在認(rèn)證系統(tǒng)的作用是抗擊重放攻擊，驗(yàn)證碼的作用是抗擊機(jī)器自動(dòng)化應(yīng)答。3．例7-1中的Salt有什么作用？答：Salt的作用是增加口令猜測(cè)的難度。4．說(shuō)明NTLM協(xié)議的優(yōu)缺點(diǎn)。答：優(yōu)點(diǎn)：使用了挑戰(zhàn)應(yīng)答協(xié)議，能夠抗擊重放攻擊；密鑰的存放使用了散列函數(shù)，不泄露口令。缺點(diǎn)：認(rèn)證服務(wù)器可能造成瓶頸，方案不適合大型系統(tǒng)的認(rèn)證。5．描述Kerberos協(xié)議的特點(diǎn)。答：Kerberos協(xié)議的特點(diǎn)是相互認(rèn)證、單點(diǎn)登錄、適合大型系統(tǒng)。6．什么是零知識(shí)證明？答：零知識(shí)證明指的是證明者能夠在不向驗(yàn)證者提供任何有用的信息的情況下，使驗(yàn)證者相信某個(gè)論斷是正確的。第八章思考題1．假設(shè)M=(X1||X2||…||Xm)，Delta(M)=X1xorX2xor…xorXm，C(k,M)=E(k,delta(M))，E是一公開單向函數(shù)，這種方案的消息認(rèn)證碼安全嗎？答：不安全，攻擊者可采用如下攻擊：ReplacingX1throughXm-1withanydesiredvalueY1throughYm-1ReplaceXmwithYmYm=Y1xorY2xor…xorYm-1xordelta(M)ThesameMACisproduced.2．消息認(rèn)證碼和對(duì)稱加密算法在實(shí)現(xiàn)消息認(rèn)證方面有何不同？答：消息認(rèn)證碼的計(jì)算不可逆，對(duì)稱加密算法可逆(可解密)，消息認(rèn)證碼的計(jì)算要容易。3．比較傳統(tǒng)簽名和數(shù)字簽名的異同，說(shuō)明數(shù)字簽名能提供的安全服務(wù)。答：相同點(diǎn)：傳統(tǒng)簽名和手寫簽名的簽名效果等效。最關(guān)鍵的不同點(diǎn)：電子簽名不依賴于紙張等物理介質(zhì)，只綁定于內(nèi)容。數(shù)字簽名提供的服務(wù)：不可否認(rèn)性、可認(rèn)證性、完整性等。4．列舉一些特殊簽名并說(shuō)明其用途。答：盲簽名技術(shù)：世界上第一個(gè)電子現(xiàn)金方案就是利用盲簽名技術(shù)設(shè)計(jì)的。群簽名技術(shù)：在公共資源的管理，重要軍事情報(bào)的簽發(fā)，重要領(lǐng)導(dǎo)人的選舉，電子商務(wù)重要新聞的發(fā)布，金融合同的簽署等事務(wù)中，群簽名都可以發(fā)揮重要作用。代理簽名：在需要保護(hù)原始簽名者的隱私時(shí)，可以使用代理簽名。例如，在云計(jì)算平臺(tái)上，客戶可以把自己的數(shù)據(jù)委托給云服務(wù)器進(jìn)行存儲(chǔ)和維護(hù)，云服務(wù)器可以作為一個(gè)代理簽名者，代表客戶簽署數(shù)據(jù)的加密和完整性校驗(yàn)值等。5．PGP軟件中用公鑰加密對(duì)稱密鑰的好處是什么？答：對(duì)稱鑰匙是臨時(shí)密鑰，公鑰是長(zhǎng)期密鑰，臨時(shí)密鑰隨時(shí)更換，對(duì)稱加密速度快。6．PGP軟件中有哪些重要的思想值得借鑒？答：PGP軟件有很多地方值得借鑒。如公鑰加密對(duì)稱鑰，然后用對(duì)稱鑰加密消息；再如在同時(shí)需要保密性和不可抵賴性的環(huán)境下要先簽名后加密等等。第九章思考題1．密鑰管理的目的是什么？密鑰管理涉及到哪些問題？答：密鑰管理的本質(zhì)和目的就是確保密鑰是安全的，防止密鑰泄漏。密鑰管理需要對(duì)密鑰的產(chǎn)生、密鑰的分發(fā)、密鑰的儲(chǔ)存、密鑰的使用和銷毀等各個(gè)環(huán)節(jié)進(jìn)行精心設(shè)計(jì)。2．列出在兩個(gè)實(shí)體之間建立起共享密鑰的方法。答：(1)一方產(chǎn)生，然后安全的傳給另一方。(2)兩方協(xié)商產(chǎn)生。(3)通過(guò)可信賴第三方的參與產(chǎn)生。3．如何對(duì)Diffie-Hellman密鑰交換協(xié)議實(shí)施“中間人攻擊”？答：一個(gè)主動(dòng)攻擊者Eve處在Alice和Bob之間，截獲Alice發(fā)給Bob的消息然后扮演Bob，而同樣又對(duì)Bob扮演Alice，則Eve能成功實(shí)施所謂的“中間人攻擊”。因此，在實(shí)際應(yīng)用中，Diffie-Hellman密鑰協(xié)商必須結(jié)合認(rèn)證技術(shù)使用，如下圖所示。4．什么是數(shù)字證書？簡(jiǎn)述X.509證書的結(jié)構(gòu)。答：數(shù)字證書也稱公鑰證書，是由一個(gè)可信機(jī)構(gòu)頒發(fā)的、證明公鑰持有者身份的一個(gè)電子憑據(jù)，是我們?cè)诰W(wǎng)絡(luò)空間中的身份證。X.509證書示意圖如下：5．你家的Wi-Fi安全還是學(xué)校的Wi-Fi安全？答：Wi-Fi5的密鑰如下(Wi-Fi6技術(shù)還沒仔細(xì)研究)家：即WPA2-PSK模式下，TK的產(chǎn)生過(guò)程為：無(wú)線網(wǎng)絡(luò)密碼(PSK)--PMK--PTK-TK。學(xué)校：WPA2-Enterprise模式下，TK的產(chǎn)生過(guò)程為：802.1X認(rèn)證協(xié)商--PMK--PTK-TK。家：Pmk=hash(pskIIssid)學(xué)校：pmk=hash(masterkey,snonce,anonce)從pmk產(chǎn)生的方式看，學(xué)校的更安全。6．什么是秘密分享？什么是可驗(yàn)證秘密分享？答：秘密分享就是把一個(gè)秘密給多個(gè)人分享，并盡可能減少秘密的泄露?？沈?yàn)證秘密分享就是每個(gè)成員能夠在不重構(gòu)秘密的情況下證實(shí)所得的秘密份額是否有效。第十章思考題1．IPsec協(xié)議和TLS協(xié)議在安全服務(wù)方面有何不同？答：首先，實(shí)現(xiàn)的層次不同，一個(gè)是IP層，一個(gè)是傳輸層。其次，TLS中沒有AH這種只認(rèn)證不加密的協(xié)議。TLS協(xié)議需要有證書支持，IPSEC可以使用預(yù)共享密鑰，也可以使用數(shù)字證書。2．兩臺(tái)計(jì)算機(jī)能夠直接使用隧道模式進(jìn)行IPSEC通信？答：能，這種方式下所有路由器都是普通路由器，但這種方式一方面給用戶帶來(lái)麻煩，另一方面，IP地址加密沒有意義，失去了隧道隱藏內(nèi)部網(wǎng)絡(luò)結(jié)構(gòu)的優(yōu)勢(shì)。3．列出IPsec協(xié)議所提供的安全服務(wù)。答：IPSec中AH和ESP提供的安全服務(wù)如下表：安全服務(wù)AHESP(只加密)ESP(加密并鑒別)訪問控制YYY無(wú)連接完整性YY數(shù)據(jù)源鑒別YY拒絕重放YYY保密性YY流量保密YY4．什么是SA?IKEv2是如何抗擊利用SA發(fā)起的DDOS攻擊的？答：SA即安全關(guān)聯(lián)，SA規(guī)定了雙方安全通信的技術(shù)參數(shù)，如算法、密鑰等。安全關(guān)聯(lián)是一個(gè)單向連接，如果雙向通信，則需要建立兩個(gè)安全關(guān)聯(lián)。一個(gè)安全關(guān)聯(lián)由一個(gè)三元組組成：(1)安全協(xié)議標(biāo)識(shí)符(用來(lái)標(biāo)識(shí)使用AH或ESP)。(2)此單向連接的目的IP。(3)一個(gè)32bit的連接標(biāo)識(shí)符，稱為安全參數(shù)索引SPI(SecurityParameterIndex)。在IKEv2中，SA的協(xié)商分兩階段，先協(xié)商出來(lái)一個(gè)IKESA，然后在IKESA的基礎(chǔ)上協(xié)商出來(lái)一個(gè)IPSecSA，這樣做可以提高效率，這也是對(duì)IKEv1的一個(gè)重要改進(jìn)。若只有一個(gè)協(xié)商階段，直接協(xié)商出IPSecSA，那么每一次協(xié)商可能都需要6個(gè)MainMode消息和3個(gè)QuickMode消息。這樣會(huì)產(chǎn)生大量的協(xié)商消息，降低了網(wǎng)絡(luò)的利用率。IKESA負(fù)責(zé)IPSecSA的建立和維護(hù)，起控制作用；IPSecSA負(fù)責(zé)具體的數(shù)據(jù)流加密。IKEv2使用cookie-challenge機(jī)制來(lái)解決這類DoS攻擊問題。當(dāng)響應(yīng)方發(fā)現(xiàn)存在的半開IKESA超過(guò)指定的數(shù)目時(shí)，就啟用cookie-challenge機(jī)制。響應(yīng)方收到IKE_SA_INIT請(qǐng)求后，構(gòu)造一個(gè)Cookie通知載荷并響應(yīng)發(fā)起方，若發(fā)起方能夠正確攜帶收到的Cookie通知載荷向響應(yīng)方重新發(fā)起IKE_SA_INIT請(qǐng)求，則可以繼續(xù)后續(xù)的協(xié)商過(guò)程。半開狀態(tài)的IKEv2SA是指那些正在協(xié)商過(guò)程中的IKEv2SA。若半開狀態(tài)的IKEv2SA數(shù)目減少到閾值以下，則cookie-challenge功能將會(huì)停止工作。5．如何在Chrome瀏覽器(客戶端)中手動(dòng)開啟TLS1.3支持？答：Chrome瀏覽器中配置1.3版本的TLS的步驟為：(1)在Chrome瀏覽器的地址欄中加載chrome://flags/，打開Web瀏覽器的實(shí)驗(yàn)頁(yè)面。(2)在搜索區(qū)域搜索TLS或者tls，找到TLS1.3選項(xiàng)，默認(rèn)為Default。(3)需要將TLS1.3改為Enabled。6．描述使用HTTP訪問secureWeb的連接過(guò)程。答：使用HTTP訪問secureWeb的連接過(guò)程如下圖所示：第十一章思考題1．什么是訪問控制？基于角色的訪問控制策略有何特點(diǎn)？答：用戶在對(duì)資源(如計(jì)算資源、通信資源或信息資源)進(jìn)行訪問時(shí)，會(huì)受到系統(tǒng)監(jiān)視器的檢查，只有獲得授權(quán)的用戶才能訪問資源，這就是訪問控制。比較而言，自主訪問控制配置的粒度小、配置的工作量大、效率低，強(qiáng)制訪問控制配置的粒度大、缺乏靈活性，而基于角色的訪問控制策略是與現(xiàn)代的商業(yè)環(huán)境相結(jié)合的產(chǎn)物，具有靈活、方便和安全的特點(diǎn)，是實(shí)施面向企業(yè)的安全策略的一種有效的訪問控制方式，目前常用于大型數(shù)據(jù)庫(kù)系統(tǒng)的權(quán)限管理。2．什么是訪問控制列表？什么是訪問能力表？答：將訪問控制矩陣按行或按列的方式來(lái)實(shí)現(xiàn)，其中按行的實(shí)現(xiàn)方法稱為訪問控制能力表，按列的實(shí)現(xiàn)方法稱為訪問控制列表。3．分析Windows系列產(chǎn)品在訪問控制方面的設(shè)計(jì)特點(diǎn)。答：Windows提供如下組件用于訪問控制。(1)安全標(biāo)識(shí)符(sid)。(2)訪問令牌(Accesstoken)。(3)安全描述符。(4)訪問控制列表(ACL)。(5)訪問控制條目(ACE)。4．什么是安全操作系統(tǒng)?答：安全的操作系統(tǒng)，意思是對(duì)系統(tǒng)的訪問不會(huì)因?yàn)椴僮飨到y(tǒng)而出現(xiàn)安全問題，其實(shí)現(xiàn)一般要有模型依據(jù)。由于安全概念的相對(duì)性，一般對(duì)安全操作系統(tǒng)的安全性按照等級(jí)進(jìn)行劃分。5．TCSEC的主要內(nèi)容是什么？答：TCSEC標(biāo)準(zhǔn)把安全級(jí)別從低到高分成4個(gè)類別，分別是A類、B類、C類、D類，每個(gè)類別又分為幾個(gè)級(jí)別。TCSEC定義的大致內(nèi)容如下：(1)A：校驗(yàn)級(jí)保護(hù)，提供低級(jí)別手段。(2)B3：安全域，數(shù)據(jù)隱藏與分層、屏蔽。(3)B2：結(jié)構(gòu)化內(nèi)容保護(hù)，支持硬件保護(hù)。(4)B1：標(biāo)記安全保護(hù)，例如SystemV等。(5)C2：有自主的訪問安全性，區(qū)分用戶。(6)C1：不區(qū)分用戶，基本的訪問控制。(7)D：沒有安全性可言，例如MSDOS。6．你知道中國(guó)墻模型嗎？答：中國(guó)墻模型最早提出于1989年，這是一個(gè)商業(yè)系統(tǒng)的訪問控制模型，其構(gòu)想最早出現(xiàn)在證券交易上，其主要用于解決各種商業(yè)活動(dòng)中的利益沖突問題。中國(guó)墻模型主要由兩個(gè)特征：(1)基于訪問歷史的訪問控制方式。(2)主題可以訪問任意想訪問的客體，但是否執(zhí)行會(huì)受到中國(guó)墻安全策略的限制。第十二章思考題1．防火墻有哪些局限性?選購(gòu)防火墻產(chǎn)品需要考慮哪些因素？答：局限性：(1)為了提高安全性，限制或關(guān)閉了一些有用但存在安全缺陷的網(wǎng)絡(luò)服務(wù)，給用戶帶來(lái)使用的不便。(2)防火墻不能對(duì)繞過(guò)防火墻的攻擊提供保護(hù)，如撥號(hào)上網(wǎng)等。(3)不能對(duì)內(nèi)部威脅提供防護(hù)支持。(4)受性能限制，防火墻對(duì)病毒傳輸保護(hù)能力弱。(5)防火墻對(duì)用戶不完全透明，可能帶來(lái)傳輸延遲、性能瓶頸及單點(diǎn)失效。(6)防火墻不能有效防范數(shù)據(jù)內(nèi)容驅(qū)動(dòng)式攻擊。(7)作為一種被動(dòng)的防護(hù)手段，防火墻不能自動(dòng)防范因特網(wǎng)上不斷出現(xiàn)的新的威脅和攻擊。選購(gòu)考慮的因素：要綜合考慮防火墻自身性能、系統(tǒng)的穩(wěn)定性和可靠性、配置的方便性和可擴(kuò)展性等因素。2．我國(guó)相關(guān)防火墻的標(biāo)準(zhǔn)有哪些？寫出構(gòu)建防火墻系統(tǒng)的步驟。答：我國(guó)相關(guān)防火墻的標(biāo)準(zhǔn)有：(1)YD/T2384-2011《Web應(yīng)用防火墻技術(shù)要求》。(2)GB/T20281-2020《信息安全技術(shù)防火墻安全技術(shù)要求和測(cè)試評(píng)價(jià)方法》。構(gòu)建防火墻的步驟：制定安全策略、搭建安全體系結(jié)構(gòu)、制定規(guī)則順序、落實(shí)規(guī)則集、更換控制和測(cè)試工作。3．什么是多檢測(cè)機(jī)制融合防火墻？答：為保證系統(tǒng)的安全性和防護(hù)水平，第四代防火墻采用了三級(jí)過(guò)濾措施，并輔以鑒別手段。在分組過(guò)濾一級(jí)，能過(guò)濾掉所有的源路由分組和假冒的IP源地址；在應(yīng)用級(jí)網(wǎng)關(guān)一級(jí)，能利用FTP、SMTP等各種網(wǎng)關(guān)，控制和監(jiān)測(cè)Internet提供的所用通用服務(wù)；在電路網(wǎng)關(guān)一級(jí)，實(shí)現(xiàn)內(nèi)部主機(jī)與外部站點(diǎn)的透明連接，并對(duì)服務(wù)的通行實(shí)行嚴(yán)格控制。4．防火墻是否可以防止拒絕服務(wù)攻擊？可以使用哪些其他方法對(duì)付拒絕服務(wù)攻擊？答：防火墻可以防止拒絕服務(wù)攻擊，可采用以下三種防護(hù)方式對(duì)付拒絕服務(wù)攻擊：SYN網(wǎng)關(guān)、被動(dòng)式SYN網(wǎng)關(guān)和SYN中繼。(1)SYN網(wǎng)關(guān)：防火墻收到客戶端的SYN包時(shí)，直接轉(zhuǎn)發(fā)給服務(wù)器；防火墻收到服務(wù)器的SYN/ACK包后，一方面將SYN/ACK包轉(zhuǎn)發(fā)給客戶端，另一方面以客戶端的名義給服務(wù)器回送一個(gè)ACK包，完成TCP的三次握手，讓服務(wù)器端由半連接狀態(tài)進(jìn)入連接狀態(tài)。當(dāng)客戶端真正的ACK包到達(dá)時(shí)，有數(shù)據(jù)則轉(zhuǎn)發(fā)給服務(wù)器，否則丟棄該包。由于服務(wù)器能承受連接狀態(tài)要比半連接狀態(tài)高得多，所以這種方法能有效地減輕對(duì)服務(wù)器的攻擊。(2)被動(dòng)式SYN網(wǎng)關(guān)：設(shè)置防火墻的SYN請(qǐng)求超時(shí)參數(shù)，讓它遠(yuǎn)小于服務(wù)器的超時(shí)期限。防火墻負(fù)責(zé)轉(zhuǎn)發(fā)客戶端發(fā)往服務(wù)器的SYN包，服務(wù)器發(fā)往客戶端的SYN/ACK包、以及客戶端發(fā)往服務(wù)器的ACK包。這樣，如果客戶端在防火墻計(jì)時(shí)器到期時(shí)還沒發(fā)送ACK包，防火墻則往服務(wù)器發(fā)送RST包，以使服務(wù)器從隊(duì)列中刪去該半連接。由于防火墻的超時(shí)參數(shù)遠(yuǎn)小于服務(wù)器的超時(shí)期限，因此這樣能有效防止SYNFlood攻擊。(3)SYN中繼：防火墻在收到客戶端的SYN包后，并不向服務(wù)器轉(zhuǎn)發(fā)而是記錄該狀態(tài)信息，然后主動(dòng)給客戶端回送SYN/ACK包，如果收到客戶端的ACK包，表明是正常訪問，由防火墻向服務(wù)器發(fā)送SYN包并完成三次握手。這樣由防火墻作為代理來(lái)實(shí)現(xiàn)客戶端和服務(wù)器端的連接，可以完全過(guò)濾不可用連接發(fā)往服務(wù)器。5．一個(gè)防火墻通常由工作在不同協(xié)議層上的多個(gè)進(jìn)程組成。假如讓路由器來(lái)執(zhí)行包過(guò)濾防火墻的功能，則該路由器運(yùn)行的進(jìn)程有哪些？答：路由器至少要運(yùn)行一個(gè)RIP進(jìn)程和一個(gè)IP數(shù)據(jù)包過(guò)濾進(jìn)程。6．雙宿主堡壘主機(jī)與單宿主堡壘主機(jī)的區(qū)別是什么?答：?jiǎn)嗡拗鞅局鳈C(jī)(屏蔽主機(jī)防火墻)模型由包過(guò)濾路由器和堡壘主機(jī)組成，該模型只允許外部機(jī)器與堡壘機(jī)通信。該防火墻系統(tǒng)提供的安全等級(jí)要比包過(guò)濾防火墻系統(tǒng)高，因?yàn)樗鼘?shí)現(xiàn)了網(wǎng)絡(luò)層安全(包過(guò)濾)和應(yīng)用層安全(代理服務(wù))，所以入侵者在破壞內(nèi)部網(wǎng)絡(luò)的安全性之前，必須首先滲透兩種不同的安全系統(tǒng)。雙宿主堡壘主機(jī)模型(屏蔽防火墻系統(tǒng))可以構(gòu)造更加安全的防火墻系統(tǒng)。雙宿主堡壘主機(jī)有兩種網(wǎng)絡(luò)接口但是主機(jī)在兩個(gè)端口之間直接轉(zhuǎn)發(fā)信息的功能被關(guān)掉了。在物理結(jié)構(gòu)上強(qiáng)行將所有去往內(nèi)部網(wǎng)絡(luò)的信息經(jīng)過(guò)堡壘主機(jī)，即雙宿主式內(nèi)網(wǎng)不可見，單宿主內(nèi)網(wǎng)可見，但不允許訪問。第十三章思考題1．簡(jiǎn)述網(wǎng)絡(luò)抓包軟件的工作原理。答：網(wǎng)絡(luò)數(shù)據(jù)收發(fā)是一個(gè)數(shù)據(jù)流，抓包的一般的方法是，在發(fā)送端和接收端之間進(jìn)行截獲。一般有如下兩種方式：(1)設(shè)置代理抓取HTTP包，比如Charles、Mitmproxy這些軟件。(2)直接抓取經(jīng)過(guò)網(wǎng)卡的所有協(xié)議包，其代表十Wireshark以及Linux自帶的抓包軟件Tcpdump。Fiddler是以代理WEB服務(wù)器的形式抓包的，它默認(rèn)使用代理地址：，端口:8888。Wireshark是按照把網(wǎng)卡設(shè)置成混雜模式抓包的。局域網(wǎng)中某臺(tái)機(jī)器的網(wǎng)絡(luò)接口處于混雜(Promiscuous)模式(即網(wǎng)卡可以接收其收到的所有數(shù)據(jù)包)。2．請(qǐng)給出一個(gè)模式匹配算法。答：例如KMP算法。具體步驟如下：publicclassKMP{publicstaticvoidmain(Stringagrs[]){Strings="abbabbbbcab";//主串Stringt="bbcab";//模式串char[]ss=s.toCharArray();char[]tt=t.toCharArray();System.out.println(KMP_Index(ss,tt));//KMP匹配字符串}publicstaticint[]next(char[]t){int[]next=newint[t.length];next[0]=-1;inti=0;intj=-1;while(i<t.length-1){if(j==-1||t[i]==t[j]){i++;j++;if(t[i]!=t[j]){next[i]=j;}else{next[i]=next[j];}}else{j=next[j];}}returnnext;}publicstaticintKMP_Index(char[]s,char[]t){int[]next=next(t);inti=0;intj=0;while(i<=s.length-1&&j<=t.length-1){if(j==-1||s[i]==t[j]){i++;j++;}else{j=next[j];}}if(j<t.length){return-1;}elsereturni-t.length;//返回模式串在主串中的頭下標(biāo)}}3．哪些人工智能技術(shù)可用于入侵檢測(cè)系統(tǒng)？答：人工智能主要用于非簽名式入侵檢測(cè)。聚類、專家系統(tǒng)、人工神經(jīng)網(wǎng)絡(luò)、數(shù)據(jù)挖掘技術(shù)、人工免疫技術(shù)、自治Agent等技術(shù)都可用于這類入侵檢測(cè)。4．你所知道的入侵檢測(cè)數(shù)據(jù)集有哪些？答：(1)MITLLDARPA。該數(shù)據(jù)集研究共模擬了5大類網(wǎng)絡(luò)攻擊：①Denial-Of-Service(DOS)：非法企圖中斷或干擾主機(jī)或網(wǎng)絡(luò)的正常運(yùn)行。②RemotetoLocal(R2L)：遠(yuǎn)程非授權(quán)用戶非法獲得本地主機(jī)的用戶特權(quán)。③UsertoRoot(U2R)：本地非授權(quán)用戶非法獲取本地超級(jí)用戶或管理員的特權(quán)。④Surveillanceorprobe(Probe)：非法掃描主機(jī)或網(wǎng)絡(luò)，尋找漏洞、搜索系統(tǒng)配置或網(wǎng)絡(luò)拓?fù)?。⑤DateCompromise(data)：非法訪問或修改本地或遠(yuǎn)程主機(jī)的數(shù)據(jù)。(2)NSL-KDD、KDD99。KDD99數(shù)據(jù)集有dos，u2r，r21，probe等類型的攻擊和普通的正常流量。(3)CIC-IDS-2017和CIC-IDS-2018。加拿大通信安全機(jī)構(gòu)(CSE)和網(wǎng)絡(luò)安全研究院(CIC)合作并公布了入侵檢測(cè)數(shù)據(jù)集CIC-IDS-2017和CIC-IDS-2018。CIC-IDS-2017和CIC-IDS-2018使用CICFlowMeter提取80多個(gè)網(wǎng)絡(luò)流特征。其中包含了6個(gè)基本特征和70多個(gè)功能特征。但由于特征提取的工具CICFlowMeter版本不同，CIC-IDS-2017比CIC-IDS-2018少了一個(gè)功能特征。數(shù)據(jù)集的數(shù)據(jù)極度不平衡，使用時(shí)還得對(duì)數(shù)據(jù)進(jìn)行不平衡處理。5．攻擊容忍的含義是什么？這種系統(tǒng)采用的技術(shù)有哪些？答：攻擊容忍的概念最早見于1985年，這一理念改變傳統(tǒng)的以隔離、防御、檢測(cè)、響應(yīng)和恢復(fù)為主的思想，假定系統(tǒng)中存在一些受攻擊點(diǎn)，在系統(tǒng)的可容忍的限度內(nèi)，這些受攻擊點(diǎn)并不會(huì)對(duì)系統(tǒng)的服務(wù)造成災(zāi)難性影響，系統(tǒng)本身仍能保證最低質(zhì)量的服務(wù)。攻擊容忍系統(tǒng)的主要實(shí)現(xiàn)機(jī)制有入侵檢測(cè)機(jī)制、攻擊遏制機(jī)制、安全通信機(jī)制、錯(cuò)誤處理機(jī)制和數(shù)據(jù)轉(zhuǎn)移機(jī)制。6．什么是可生存網(wǎng)絡(luò)和系統(tǒng)？答：可生存網(wǎng)絡(luò)和系統(tǒng)是指遭到攻擊后能“劫后余生”的網(wǎng)絡(luò)及信息系統(tǒng)。第十四章思考題1．安全計(jì)算要解決什么問題？答：安全計(jì)算研究如何讓人們放心地使用計(jì)算機(jī)進(jìn)行計(jì)算的有關(guān)技術(shù)，即要保證計(jì)算的環(huán)境、計(jì)算的代碼和計(jì)算的結(jié)果都是可信的。誠(chéng)實(shí)的參與方不能因?yàn)閰⑴c了計(jì)算而給自己帶來(lái)不必要的麻煩和損失(主要指隱私泄露)，不誠(chéng)實(shí)的參與方不應(yīng)該額外獲利，計(jì)算的過(guò)程應(yīng)該對(duì)攻擊者免疫等。2．請(qǐng)描述Chrome瀏覽器的架構(gòu)。Chromium是多進(jìn)程架構(gòu)，瀏覽器前端界面由Browser進(jìn)程管理，各個(gè)Webpage的Tab屬于Renderer進(jìn)程管理。Chromium的Sandbox是將Renderer進(jìn)程作為防護(hù)對(duì)象。Browser進(jìn)程會(huì)給每個(gè)Renderer進(jìn)程分配資源，但這些Renderer進(jìn)程只能訪問被分配的資源，不能訪問未被分配的資源。這里資源的概念比較廣泛，具體到可訪問的DOM(對(duì)應(yīng)內(nèi)存中的對(duì)象)，或抽象到OriginScope等。3．組成Java虛擬機(jī)沙箱的組件有哪些？組成Java虛擬機(jī)沙箱的一共有四個(gè)組件，分別有：(1)類裝載器。(2)Class文件檢驗(yàn)器。(3)Java虛擬機(jī)內(nèi)置的安全特性。(4)安全管理器。4．什么是隱私計(jì)算？答：隱私計(jì)算是面向隱私信息全生命周期保護(hù)的計(jì)算理論和方法，是隱私信息的所有權(quán)、管理權(quán)和使用權(quán)分離時(shí)隱私度量、隱私泄漏代價(jià)、隱私保護(hù)與隱私分析復(fù)雜性的可計(jì)算模型與公理化系統(tǒng)。目前主流的隱私計(jì)算技術(shù)主要分為三大類：第一類是以多方安全計(jì)算為代表的基于密碼學(xué)的隱私計(jì)算技術(shù)。第二類是以聯(lián)邦學(xué)習(xí)為代表的人工智能與隱私保護(hù)技術(shù)融合衍生的技術(shù)。第三類是以可信執(zhí)行環(huán)境為代表的基于可信硬件的隱私計(jì)算技術(shù)。5．什么是比特幣挖礦？為什么國(guó)家打擊比特幣挖礦和交易行為？答：比特幣挖礦就是求出滿足條件的Hash值。挖礦成功可以獲得一定數(shù)量的比特幣。國(guó)家打擊比特幣挖礦和交易行為是因?yàn)椋罕忍貛挪⒉痪邆涑蔀榭煽控泿诺男庞没A(chǔ)，其他數(shù)字代幣可以模仿比特幣任意創(chuàng)設(shè)，會(huì)擾亂貨幣體系，影響實(shí)際有效貨幣供給，干擾政府通過(guò)貨幣手段對(duì)經(jīng)濟(jì)的干預(yù)。當(dāng)前比特幣的價(jià)格快速上升，已經(jīng)形成了投機(jī)性預(yù)期，如果不提前制止，最終會(huì)形成泡沫，帶來(lái)部分投資者和金融機(jī)構(gòu)的巨大損失，破壞金融體系的穩(wěn)定。比特幣挖礦還要浪費(fèi)大量電力，與碳中和政策相違。6．什么是智能合約?它與區(qū)塊鏈的關(guān)系是怎樣的？答：智能合約是一種旨在以信息化方式傳播、驗(yàn)證或執(zhí)行合同的計(jì)算機(jī)協(xié)議。智能合約允許在沒有第三方的情況下進(jìn)行可信交易，這些交易可追蹤且不可逆轉(zhuǎn)。智能合約誕生于區(qū)塊鏈之前，在傳統(tǒng)計(jì)算機(jī)技術(shù)環(huán)境中，代碼存在著被篡改和被黑客攻擊的風(fēng)險(xiǎn)，一旦篡改成功或者被黑客攻擊侵入，合約重要的交易信息將失效，想要舉證是非常困難的。智能合約利用傳統(tǒng)計(jì)算機(jī)技術(shù)很難實(shí)現(xiàn)，應(yīng)用面也非常有限，歸其原因主要還是安全及信任問題沒有解決。區(qū)塊鏈技術(shù)不但支持可編程合約，還能提供一個(gè)去中心化的、不可篡改以及高可靠性的生態(tài)系統(tǒng)，這些特性都與智能合約十分契合?；趨^(qū)塊鏈技術(shù)的智能合約不但可以發(fā)揮自身在成本效率方面的優(yōu)勢(shì)，還可以避免對(duì)合約正常執(zhí)行的惡意篡改及干擾。將智能合約寫入?yún)^(qū)塊鏈中，由區(qū)塊鏈技術(shù)的特性保障存儲(chǔ)、讀取、執(zhí)行整個(gè)過(guò)程的透明性、安全度和可追溯，讓智能合約能夠高效地運(yùn)行。因此，智能合約與區(qū)塊鏈相輔相成。第十五章思考題1．什么是數(shù)據(jù)備份?什么是容錯(cuò)？什么是磁盤陣列?答：數(shù)據(jù)備份就是創(chuàng)建數(shù)據(jù)的副本，以便災(zāi)后補(bǔ)救。備份是用來(lái)恢復(fù)出錯(cuò)系統(tǒng)或防止數(shù)據(jù)丟失的一種最常用的辦法。備份分兩個(gè)層次，一是重要系統(tǒng)數(shù)據(jù)的備份，用以保證系統(tǒng)正常運(yùn)行；二是用戶數(shù)據(jù)的備份，用以保護(hù)用戶各種類型的數(shù)據(jù)，防止數(shù)據(jù)丟失或破壞。容錯(cuò)是指當(dāng)系統(tǒng)出現(xiàn)某些指定的硬件或軟件的錯(cuò)誤時(shí)，系統(tǒng)仍能執(zhí)行規(guī)定的一組程序。實(shí)現(xiàn)存儲(chǔ)系統(tǒng)容錯(cuò)的最為流行的方法有RAID和分布式文件系統(tǒng)。RAID(冗余磁盤陣列)是一種能夠在不經(jīng)歷任何故障時(shí)間的情況下更換正在出錯(cuò)的磁盤或已發(fā)生故障的磁盤的存儲(chǔ)系統(tǒng)，它是保證磁盤子系統(tǒng)非故障時(shí)間的一條途徑。RAID的另一個(gè)優(yōu)點(diǎn)是在其上面?zhèn)鬏敂?shù)據(jù)的速度遠(yuǎn)遠(yuǎn)高于單獨(dú)一個(gè)磁盤上傳輸數(shù)據(jù)時(shí)的速度。即數(shù)據(jù)能夠從RAID上較快地讀出來(lái)。RAID技術(shù)包括6種級(jí)別，每一個(gè)級(jí)別都描述了一種不同的技術(shù)，其實(shí)質(zhì)就是對(duì)多個(gè)磁盤的控制采用不同的方法。2．什么是DAS、NAS和SAN?答：開放系統(tǒng)的存儲(chǔ)分為內(nèi)置存儲(chǔ)和外掛存儲(chǔ)，其中外掛存儲(chǔ)分為：(1)直接連接存儲(chǔ)(DirectAttachedStorage，DAS)：是指將存儲(chǔ)設(shè)備通過(guò)SCSI接口或FC接口直接連接到一臺(tái)計(jì)算機(jī)上。(2)網(wǎng)絡(luò)連接存儲(chǔ)(NetworkAttachedStorage，NAS)：是指將存儲(chǔ)設(shè)備通過(guò)標(biāo)準(zhǔn)的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)(例如以太網(wǎng))，連接到一群計(jì)算機(jī)上。NAS有文件系統(tǒng)和IP地址，可以類似的理解為網(wǎng)上鄰居的共享磁盤。(3)存儲(chǔ)區(qū)域網(wǎng)絡(luò)(StorageAreaNetwork，SAN)：目前的SAN存儲(chǔ)有2種：一是基于光纖通道的FCSAN，二是基于以太網(wǎng)的IPSAN(也就是常說(shuō)的iSCSI)。3．Windows操作系統(tǒng)提供了哪些安全存儲(chǔ)機(jī)制？答：Windows操作系統(tǒng)提供了以下安全存儲(chǔ)機(jī)制：(1)權(quán)限域繼承。通過(guò)對(duì)分區(qū)、文件/文件夾設(shè)置特定的權(quán)限來(lái)限制用戶的訪問。如果一個(gè)文件夾里有多個(gè)文件，在父文件夾上增加某個(gè)用戶的權(quán)限，該文件夾中的所有文件將會(huì)繼承該權(quán)限。(2)加密保護(hù)存儲(chǔ)。WindowsBitLocker驅(qū)動(dòng)器加密通過(guò)加密Windows操作系統(tǒng)卷上存儲(chǔ)的所有數(shù)據(jù)，可以保護(hù)計(jì)算機(jī)中數(shù)據(jù)的安全。(3)?NTFS文件系統(tǒng)有日志容錯(cuò)功能。(4)備份功能。4．?dāng)?shù)據(jù)庫(kù)系統(tǒng)提供了哪些安全存儲(chǔ)機(jī)制？答：數(shù)據(jù)庫(kù)系統(tǒng)提供了賬號(hào)與權(quán)限、數(shù)據(jù)庫(kù)日志與回滾技術(shù)、備份、鎖、repare等安全存儲(chǔ)機(jī)制。5．HDFS是如何通過(guò)冗余存儲(chǔ)來(lái)實(shí)現(xiàn)可靠性和可用性的？答：HDFS采用了多副本方式對(duì)數(shù)據(jù)進(jìn)行冗余存儲(chǔ)，通常一個(gè)數(shù)據(jù)塊的多個(gè)副本會(huì)被分布到不同的數(shù)據(jù)節(jié)點(diǎn)上(默認(rèn)為3個(gè))，這種多副本方式具有以下幾個(gè)優(yōu)點(diǎn)：(1)加快數(shù)據(jù)傳輸速度。(2)容易檢查數(shù)據(jù)錯(cuò)誤。(3)保證數(shù)據(jù)可靠性。6．計(jì)算機(jī)取證的流程是怎樣的？電子證據(jù)的表現(xiàn)形式有哪些？答：計(jì)算機(jī)取證的流程：確定、收集、保護(hù)、分析、歸檔以及法庭出示。電子證據(jù)的