信息安全期末考試題庫及答案

1、題庫研究數(shù)據(jù)解密研究信息安全一、選擇1. 密碼學(xué)的目的是（ C）。A. 研究數(shù)據(jù)加密 B. C. 研究數(shù)據(jù)保密 D.2. 從攻擊方式區(qū)分攻擊類型，可分為被動攻擊和主動攻擊。被動攻擊難以（C）,然而（C）這些攻擊是可行的；主動攻擊難以（A. 阻止,檢測,阻止, 檢測 B.C.檢測,阻止,阻止, 檢測 D.3. 數(shù)據(jù)保密性安全服務(wù)的基礎(chǔ)是（A. 數(shù)據(jù)完整性機(jī)制B.C.訪問控制機(jī)制D.C）,然而（C）這些攻擊是可行的 檢測, 阻止,檢測,阻止上面 3 項(xiàng)都不是D）。 數(shù)字簽名機(jī)制 加密機(jī)制4. 數(shù)字簽名要預(yù)先使用單向Hash函數(shù)進(jìn)行處理的原因是（C）A. 多一道加密工序使密文更難破譯B. 提高密文的

2、計算速度C. 縮小簽名密文的長度,加快數(shù)字簽名和驗(yàn)證簽名的運(yùn)算速度D. 保證密文能正確還原成明文5. 基于通信雙方共同擁有的但是不為別人知道的秘密,利用計算機(jī)強(qiáng)大的計算能力,以該秘 密作為加密和解密的密鑰的認(rèn)證是（ C）。A.公鑰認(rèn)證B.零知識認(rèn)證C.共享密鑰認(rèn)證D.口令認(rèn)證6. 為了簡化管理,通常對訪問者（A）,以避免訪問控制表過于龐大A.分類組織成組B.嚴(yán)格限制數(shù)量C.按訪問時間排序,刪除長期沒有訪問的用戶D.不作任何限制7. PKI管理對象不包括（A)。A. ID和口令B.證書C.密鑰 D.證書撤消8. 下面不屬于 PKI 組成部分的是（ D）A.證書主體B使用證書的應(yīng)用和系統(tǒng)C.證書權(quán)

3、威機(jī)構(gòu)D. AS9. IKE協(xié)商的第一階段可以采用( C)。A.主模式、快速模式B.快速模式、積極模式C.主模式、積極模式D.新組模式10. AH協(xié)議和ESP協(xié)議有（A）種工作模式。A. 二 B. 三 C. 四 D. 五11. （C）屬于Web中使用的安全協(xié)議。A. PEM 、SSLB. S-HTTP 、 S/MIMEC. SSL 、S-HTTPD. S/MIME 、SSL12. 包過濾型防火墻原理上是基于（C）進(jìn)行分析的技術(shù)。A. 物理層 B.數(shù)據(jù)鏈路層C. 網(wǎng)絡(luò)層 D. 應(yīng)用層13. VPN 的加密手段為( C)。A. 具有加密功能的防火墻B. 具有加密功能的路由器C. VPN 內(nèi)的各臺主

4、機(jī)對各自的信息進(jìn)行相應(yīng)的加密D. 單獨(dú)的加密設(shè)備14. ( B)通過一個使用專用連接的共享基礎(chǔ)設(shè)施，連接企業(yè)總部、遠(yuǎn)程辦事處和分支機(jī)構(gòu)A. Access VPN B. Intranet VPN C. Extranet VPN D. Internet VPN15. (C)通過一個使用專用連接的共享基礎(chǔ)設(shè)施，將客戶、供應(yīng)商、合作伙伴或感興趣的 群體連接到企業(yè)內(nèi)部網(wǎng)。A. Access VPN B. Intranet VPN C. Extranet VPN D. Internet VPN16. 計算機(jī)病毒是計算機(jī)系統(tǒng)中一類隱藏在(C)上蓄意破壞的搗亂程序。A. 內(nèi)存 B. 軟盤 C. 存儲介質(zhì) D.

5、 網(wǎng)絡(luò)17. “公開密鑰密碼體制”的含義是(A. 將所有密鑰公開B.C. 將公開密鑰公開，私有密鑰保密18. “會話偵聽和劫持技術(shù)”是屬于(C)。將私有密鑰公開，公開密鑰保密D. 兩個密鑰相同B)的技術(shù)。A. 密碼分析還原B.協(xié)議漏洞滲透19 .攻擊者截獲并記錄了從 重新發(fā)往 B 稱為( D)。A. 中間人攻擊 B.C. 強(qiáng)力攻擊D.C. 應(yīng)用漏洞分析與滲透 D. DOS 攻擊A到B的數(shù)據(jù)，然后又從早些時候所截獲的數(shù)據(jù)中提取出信息口令猜測器和字典攻擊回放攻擊20.在ISO/OSI定義的安全體系結(jié)構(gòu)中，沒有規(guī)定(E)A.對象認(rèn)證服務(wù)B.數(shù)據(jù)保密性安全服務(wù)C.訪問控制安全服務(wù)D.數(shù)據(jù)完整性安全服務(wù)

6、E.數(shù)據(jù)可用性安全服務(wù)21. Kerberos 在請求訪問應(yīng)用服務(wù)器之前，必須( A)。A. 向 Ticket Granting 服務(wù)器請求應(yīng)用服務(wù)器 ticketB. 向認(rèn)證服務(wù)器發(fā)送要求獲得“證書”的請求C. 請求獲得會話密鑰D. 直接與應(yīng)用服務(wù)器協(xié)商會話密鑰22. 下列對訪問控制影響不大的是( D)A.主體身份B.客體身份C.訪問類型D.主體與客體的類型23. PKI的主要組成不包括(B）。A.證書授權(quán) CAB.SSLC.注冊授權(quán) RAD.證書存儲庫 CR24. (A)協(xié)議必須提供驗(yàn)證服務(wù)。A. AH B. ESP C. GRE D.以上皆是25. 下列選項(xiàng)中能夠用在網(wǎng)絡(luò)層的協(xié)議是( D

7、)。A. SSL B. PGP C. PPTP D. IPSec26、( A)協(xié)議是一個用于提供IP數(shù)據(jù)報完整性、身份認(rèn)證和可選的抗重播保護(hù)的機(jī)制，但不 提供數(shù)據(jù)機(jī)密性保護(hù)。A. AH 協(xié)議 B. ESP 協(xié)議 C. IPSec 協(xié)議 D. PPTP 協(xié)議27. IPSec 協(xié)議中負(fù)責(zé)對 IP 數(shù)據(jù)報加密的部分是( A)A. 封裝安全負(fù)載( ESP)B. 鑒別包頭( AH)C. Internet 密鑰交換（ IKE ） D. 以上都不是28. SSL 產(chǎn)生會話密鑰的方式是（ C）。A. 從密鑰管理數(shù)據(jù)庫中請求獲得B. 每一臺客戶機(jī)分配一個密鑰的方式C. 隨機(jī)由客戶機(jī)產(chǎn)生并加密后通知服務(wù)器D.

8、由服務(wù)器產(chǎn)生并分配給客戶機(jī)29. 為了降低風(fēng)險，不建議使用的 Internet 服務(wù)是（ D）。A. Web 服務(wù) B. 外部訪問內(nèi)部系統(tǒng)C. 內(nèi)部訪問 Internet D. FTP 服務(wù)30. 火墻用于將 Internet 和內(nèi)部網(wǎng)絡(luò)隔離，（ B）。A. 是防止 Internet 火災(zāi)的硬件設(shè)施B. 是網(wǎng)絡(luò)安全和信息安全的軟件和硬件設(shè)施C. 是保護(hù)線路不受破壞的軟件和硬件設(shè)施D. 是起抗電磁干擾作用的硬件設(shè)施31. 屬于第二層的VPN!道協(xié)議有（B）。A. IPSec B. PPTP C.GRE D.以上皆不是32不屬于隧道協(xié)議的是（ C）。A. PPTP B. L2TP C. TCP/I

9、P D. IPSec33. PPTP和L2TP最適合于（D）。A. 局域網(wǎng)B.企業(yè)內(nèi)部虛擬網(wǎng)C. 企業(yè)擴(kuò)展虛擬網(wǎng)D.遠(yuǎn)程訪問虛擬專用網(wǎng)34. A方有一對密鑰（KA公開，KA秘密），B方有一對密鑰（KB公開，KB秘密），A方向B方 發(fā)送數(shù)字簽名M對信息M加密為：M = KB公開（KA秘密（M）o B方收到密文的解密方案是（ C）。A. KB公開（KA秘密（M ） ）B. KA公開（KA公開（M ）C. KA公開（KB秘密（M ） ）D. KB秘密（KA秘密（M ）35. 從安全屬性對各種網(wǎng)絡(luò)攻擊進(jìn)行分類，阻斷攻擊是針對（B）的攻擊。A. 機(jī)密性 B. 可用性 C. 完整性 D. 真實(shí)性11.攻擊

10、者用傳輸數(shù)據(jù)來沖擊網(wǎng)絡(luò)接口，使服務(wù)器過于繁忙以至于不能應(yīng)答請求的攻擊方式是（ A）oA. 拒絕服務(wù)攻擊 B. 地址欺騙攻擊C. 會話劫持D.信號包探測程序攻擊36. （D）不屬于ISO/OSI安全體系結(jié)構(gòu)的安全機(jī)制。A. 通信業(yè)務(wù)填充機(jī)制B.訪問控制機(jī)制C. 數(shù)字簽名機(jī)制 D. 審計機(jī)制 E. 公證機(jī)制37. CA屬于ISO安全體系結(jié)構(gòu)中定義的（D）。A. 認(rèn)證交換機(jī)制B.通信業(yè)務(wù)填充機(jī)制C. 路由控制機(jī)制D.公證機(jī)制38. 訪問控制是指確定（A）以及實(shí)施訪問權(quán)限的過程。A.用戶權(quán)限B.可給予哪些主體訪問權(quán)利C.可被用戶訪問的資源 D.系統(tǒng)是否遭受入侵39. PKI支持的服務(wù)不包括（ D）oA

11、.非對稱密鑰技術(shù)及證書管理B.目錄服務(wù)C.對稱密鑰的產(chǎn)生和分發(fā)D.訪問控制服務(wù)40. AH 協(xié)議中必須實(shí)現(xiàn)的驗(yàn)證算法是（A)oA. HMAC-MD5 和 HMAC-SHA1 B. NULLC. HMAC-RIPEMD-160D.以上皆是41. 對動態(tài)網(wǎng)絡(luò)地址交換（NAT,不正確的說法是（B）。A. 將很多內(nèi)部地址映射到單個真實(shí)地址B. 外部網(wǎng)絡(luò)地址和內(nèi)部地址一對一的映射C. 最多可有64000個同時的動態(tài)NAT連接D. 每個連接使用一個端口42. GRE協(xié)議的乘客協(xié)議是（D）。A. IP B. IPX C. AppleTalk D.上述皆可43目前，VPN使用了（ A）技術(shù)保證了通信的安全性。

12、 隧道協(xié)議、身份認(rèn)證和數(shù)據(jù)加密 身份認(rèn)證、數(shù)據(jù)加密 隧道協(xié)議、身份認(rèn)證 隧道協(xié)議、數(shù)據(jù)加密44. IPSec VPN不太適合用于（C）。 已知范圍的 IP 地址的網(wǎng)絡(luò) 固定范圍的 IP 地址的網(wǎng)絡(luò) 動態(tài)分配 IP 地址的網(wǎng)絡(luò)TCP/IP 協(xié)議的網(wǎng)絡(luò)45. 假設(shè)使用一種加密算法，它的加密方法很簡單：將每一個字母加5,即a加密成f。這種算法的密鑰就是 5，那么它屬于（ A）。A.對稱加密技術(shù)B.分組密碼技術(shù)C.公鑰加密技術(shù)D.單向函數(shù)密碼技術(shù)46. 從安全屬性對各種網(wǎng)絡(luò)攻擊進(jìn)行分類，截獲攻擊是針對（A）的攻擊 A. 機(jī)密性 B. 可用性 C. 完整性 D. 真實(shí)性47. 最新的研究和統(tǒng)計表明，安全

13、攻擊主要來自（B）。A. 接入網(wǎng) B. 企業(yè)內(nèi)部網(wǎng) C. 公用 IP 網(wǎng) D. 個人網(wǎng)48. 用于實(shí)現(xiàn)身份鑒別的安全機(jī)制是（ A）。A. 加密機(jī)制和數(shù)字簽名機(jī)制B. 加密機(jī)制和訪問控制機(jī)制C. 數(shù)字簽名機(jī)制和路由控制機(jī)制D. 訪問控制機(jī)制和路由控制機(jī)制49. 身份鑒別是安全服務(wù)中的重要一環(huán)，以下關(guān)于身份鑒別敘述不正確的是（ B）A. 身份鑒別是授權(quán)控制的基礎(chǔ)B. 身份鑒別一般不用提供雙向的認(rèn)證C. 目前一般采用基于對稱密鑰加密或公開密鑰加密的方法D. 數(shù)字簽名機(jī)制是實(shí)現(xiàn)身份鑒別的重要機(jī)制50. PKI能夠執(zhí)行的功能是（人）和（C）確認(rèn)計算機(jī)的物理位置確認(rèn)用戶具有的安全性特權(quán)B. AH 、ESP

14、以上皆不是A. 鑒別計算機(jī)消息的始發(fā)者B.C. 保守消息的機(jī)密D.51. IKE協(xié)議由（A）協(xié)議混合而成。A. ISAKMP 、Oakley、SKEMEC. L2TP 、GRED.52. 一般而言， Internet 防火墻建立在一個網(wǎng)絡(luò)的（ C）A. 內(nèi)部子網(wǎng)之間傳送信息的中樞B. 每個子網(wǎng)的內(nèi)部C. 內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)的交叉點(diǎn)D. 部分內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)的結(jié)合處53. VPN 的英文全稱是（ B）A. Visual Protocol NetworkB. Virtual Private NetworkC. Virtual Protocol NetworkD. Visual Private N

15、etwork54. L2TP隧道在兩端的VPNIK務(wù)器之間采用（A）來驗(yàn)證對方的身份。A. 口令握手協(xié)議 CHAP B. SSLC. KerberosD.數(shù)字證書55. 信息安全的基本屬性是（ D）。A.機(jī)密性B.可用性C.完整性D.上面 3 項(xiàng)都是56. ISO安全體系結(jié)構(gòu)中的對象認(rèn)證服務(wù)，使用（B）完成。A. 加密機(jī)制B.數(shù)字簽名機(jī)制C. 訪問控制機(jī)制D.數(shù)據(jù)完整性機(jī)制57. Kerberos 的設(shè)計目標(biāo)不包括（ B）。A. 認(rèn)證 B. 授權(quán) C. 記賬 D. 審計58. IPSec協(xié)議和（C） VPN隧道協(xié)議處于同一層。A. PPTP B. L2TP C. GRE D.以上皆是59. 傳

16、輸層保護(hù)的網(wǎng)絡(luò)采用的主要技術(shù)是建立在（A）基礎(chǔ)上的（A）。A. 可靠的傳輸服務(wù)，安全套接字層 SSL協(xié)議B. 不可靠的傳輸服務(wù)，S-HTTP協(xié)議C. 可靠的傳輸服務(wù)，S-HTTP協(xié)議D. 不可靠的傳輸服務(wù)，安全套接字層 SSL協(xié)議60. 以下（D）不是包過濾防火墻主要過濾的信息？A. 源 IP 地址 B. 目的 IP 地址 C. TCP 源端口和目的端口 D. 時間61. 將公司與外部供應(yīng)商、客戶及其他利益相關(guān)群體相連接的是（B）。A. 內(nèi)聯(lián)網(wǎng) VPN B. 外聯(lián)網(wǎng) VPN C. 遠(yuǎn)程接入 VPN D. 無線 VPN62. 竊聽是一種（A）攻擊，攻擊者（A）將自己的系統(tǒng)插入到發(fā)送站和接收站之間

17、。截獲是 種（A）攻擊，攻擊者（A）將自己的系統(tǒng)插入到發(fā)送站和接受站之間。A.被動,無須,主動, 必須 B. 主動, 必須,被動,無須C.主動,無須,被動, 必須 D. 被動, 必須,主動,無須63. （C）是一個對稱DES加密系統(tǒng)，它使用一個集中式的專鑰密碼功能，系統(tǒng)的核心是KDC。A. TACACS B. RADIUS C. Kerberos D. PKI64. 下列協(xié)議中，（A）協(xié)議的數(shù)據(jù)可以受到IPSec的保護(hù)。A. TCP 、UDP、IPB. ARPC. RARPD.以上皆可以65. （ D）協(xié)議主要由AH ESP和IKE協(xié)議組成。A. PPTP B. L2TP C. L2F D.

18、IPSec66. PPTP、L2TP和L2F隧道協(xié)議屬于（B）協(xié)議。A. 第一層隧道 B. 第二層隧道 C. 第三層隧道 D. 第四層隧道67. 機(jī)密性服務(wù)提供信息的保密，機(jī)密性服務(wù)包括（ D）。A. 文件機(jī)密性B.信息傳輸機(jī)密性C. 通信流的機(jī)密性 D. 以上 3項(xiàng)都是68. 不屬于VPN勺核心技術(shù)是（C）。A. 隧道技術(shù) B. 身份認(rèn)證 C. 日志記錄 D. 訪問控制69. （A）通過一個擁有與專用網(wǎng)絡(luò)相同策略的共享基礎(chǔ)設(shè)施，提供對企業(yè)內(nèi)部網(wǎng)或外部 網(wǎng)的遠(yuǎn)程訪問。A. Access VPN B. Intranet VPN C. Extranet VPN D. Internet VPN70.

19、 拒絕服務(wù)攻擊的后果是（ E）。A. 信息不可用B.應(yīng)用程序不可用C. 系統(tǒng)宕機(jī)D.阻止通信E.上面幾項(xiàng)都是71. 通常所說的移動VPN是指（A）。A. Access VPN B. I ntranet VPNC. Extra net VPND.以上皆不是二、填空1 .密碼系統(tǒng)包括以下4個方面：明文空間、密文空間、密鑰空間和密碼算法。2 .解密算法D是加密算法E的 二逆運(yùn)算）。3 .如果加密密鑰和解密密鑰 相同），這種密碼體制稱為對稱密碼體制。4. DES算法密鑰是（64丄位，其中密鑰有效位是56 ）位。5. RSA算法的安全是基于分解兩個大素數(shù)的積的困難。6 .公開密鑰加密算法的用途主要包括兩

20、個方面：密鑰分配、數(shù)字簽名。7 .消息認(rèn)證是驗(yàn)證信息的完整性亠即驗(yàn)證數(shù)據(jù)在傳送和存儲過程中是否被篡改、重放或延遲等。8 . Hash函數(shù)是可接受變長數(shù)據(jù)輸入，并生成一定長數(shù)據(jù)輸出的函數(shù)。9.密鑰管理的主要內(nèi)容包括密鑰的 生成、分配、使用、存儲、備份、恢復(fù)和銷毀 。10 .密鑰生成形式有兩種：一種是由中心集中 生成，另一種是由個人分散一生成。11.密鑰的分配是指產(chǎn)生并使使用者獲得 密鑰一的過程。12 .密鑰分配中心的英文縮寫是 KDC。13 .數(shù)字簽名 是筆跡簽名的模擬，是一種包括防止源點(diǎn)或終點(diǎn)否認(rèn)的認(rèn)證技術(shù)。14 .身份認(rèn)證是驗(yàn)證信息發(fā)送者是真的，而不是冒充的，包括信源、信宿等的認(rèn)證和識別。1

21、5 .訪問控制的目的是為了限制訪問主體對訪問客體的訪問權(quán)限。16 .防火墻是位于兩個_網(wǎng)絡(luò)之間_，一端是 內(nèi)部網(wǎng)絡(luò)_，另一端是 外部網(wǎng)絡(luò)_。仃.防火墻系統(tǒng)的體系結(jié)構(gòu)分為雙宿主機(jī)體系結(jié)構(gòu)亠屏蔽主機(jī)體系結(jié)構(gòu)亠屏蔽子網(wǎng)體系結(jié)構(gòu)。18 .IDS的物理實(shí)現(xiàn)不同，按檢測的監(jiān)控位置劃分，入侵檢測系統(tǒng)可分為基于主機(jī)的入侵檢測系統(tǒng)、基于_網(wǎng)絡(luò)的入侵檢測系統(tǒng) 和 分布式入侵檢測系統(tǒng)。19 .計算機(jī)病毒的5個特征是：主動傳染性、破壞性、寄生性（隱蔽性）、潛伏性、多態(tài)性。20 .惡意代碼的基本形式還有 后門、邏輯炸彈、特洛伊木馬、蠕蟲、細(xì)菌 。21 .蠕蟲是通過 網(wǎng)絡(luò) 進(jìn)行傳播的。22 .計算機(jī)病毒的工作機(jī)制有 潛伏

22、機(jī)制、傳染機(jī)制、表現(xiàn)機(jī)制。三、問答題1 .簡述主動攻擊與被動攻擊的特點(diǎn)，并列舉主動攻擊與被動攻擊現(xiàn)象。主動攻擊是攻擊者通過網(wǎng)絡(luò)線路將虛假信息或計算機(jī)病毒傳入信息系統(tǒng)內(nèi)部，破壞信息的真實(shí)性、完整性及系統(tǒng)服務(wù)的可用性，即通過中斷、偽造、篡改和重排信息內(nèi)容造成信息破壞， 使系統(tǒng)無法正常運(yùn)行。被動攻擊是攻擊者非常截獲、竊取通信線路中的信息，使信息保密性遭 到破壞，信息泄露而無法察覺，給用戶帶來巨大的損失。2. 簡述對稱密鑰密碼體制的原理和特點(diǎn)。對稱密鑰密碼體制，對于大多數(shù)算法， 解密算法是加密算法的逆運(yùn)算， 加密密鑰和解密密 鑰相同，同屬一類的加密體制。它保密強(qiáng)度高但開放性差，要求發(fā)送者和接收者在安全

23、通信之 前，需要有可靠的密鑰信道傳遞密鑰，而此密鑰也必須妥善保管。4. 什么是序列密碼和分組密碼？序列密碼是一種對明文中的單個位（有時對字節(jié)）運(yùn)算的算法。分組密碼是把明文信息 分割成塊結(jié)構(gòu)，逐塊予以加密和解密。塊的長度由算法設(shè)計者預(yù)先確定。5. 簡述公開密鑰密碼機(jī)制的原理和特點(diǎn)？ 公開密鑰密碼體制是使用具有兩個密鑰的編碼解碼算法，加密和解密的能力是分開的； 這兩個密鑰一個保密， 另一個公開。根據(jù)應(yīng)用的需要，發(fā)送方可以使用接收方的公開密鑰加密 消息，或使用發(fā)送方的私有密鑰簽名消息，或兩個都使用，以完成某種類型的密碼編碼解碼功 能。6. 什么是 MD5？MD消息摘要算法是由Rivest提出，是當(dāng)前

24、最為普遍的Hash算法，MD5是第5個版本， 該算法以一個任意長度的消息作為輸入，生成 128 位的消息摘要作為輸出，輸入消息是按 512 位的分組處理的。第二章 安全問題概述一、選擇題二、問答題1. 請解釋 5 種“竊取機(jī)密攻擊 ”方式的含義。1）網(wǎng)絡(luò)踩點(diǎn)（ Footprinting）攻擊者事先匯集目標(biāo)的信息，通常采用 Whois、Finger、Nslookup、Ping 等工具獲得目標(biāo) 的一些信息，如域名、 IP 地址、網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、相關(guān)的用戶信息等，這往往是黑客入侵所做的 第一步工作。2）掃描攻擊（ Scanning）這里的掃描主要指端口掃描，通常采用 Nmap 等各種端口掃描工具，可以

25、獲得目標(biāo)計算 機(jī)的一些有用信息，比如機(jī)器上打開了哪些端口，這樣就知道開設(shè)了哪些網(wǎng)絡(luò)服務(wù)。黑客 就可以利用這些服務(wù)的漏洞，進(jìn)行進(jìn)一步的入侵。這往往是黑客入侵所做的第二步工作。3）協(xié)議棧指紋（Stack Fingerprinting鑒別（也稱操作系統(tǒng)探測）黑客對目標(biāo)主機(jī)發(fā)出探測包，由于不同 OS廠商的IP協(xié)議棧實(shí)現(xiàn)之間存在許多細(xì)微差別， 因此每種OS都有其獨(dú)特的響應(yīng)方法，黑客經(jīng)常能夠確定目標(biāo)主機(jī)所運(yùn)行的 OS這往往也可 以看作是掃描階段的一部分工作。4）信息流嗅探（ Sniffering）通過在共享局域網(wǎng)中將某主機(jī)網(wǎng)卡設(shè)置成混雜（Promiscuous）模式，或在各種局域網(wǎng) 中某主機(jī)使用ARP欺騙

26、，該主機(jī)就會接收所有經(jīng)過的數(shù)據(jù)包?；谶@樣的原理，黑客可以 使用一個嗅探器（軟件或硬件）對網(wǎng)絡(luò)信息流進(jìn)行監(jiān)視，從而收集到帳號和口令等信息。 這是黑客入侵的第三步工作。5）會話劫持（ Session Hijacking）所謂會話劫持，就是在一次正常的通信過程中，黑客作為第三方參與到其中，或者是在數(shù)據(jù)流里注射額外的信息，或者是將雙方的通信模式暗中改變，即從直接聯(lián)系變成交由 黑客中轉(zhuǎn)。這種攻擊方式可認(rèn)為是黑客入侵的第四步工作 真正的攻擊中的一種。2. 請解釋 5 種“非法訪問 ”攻擊方式的含義。1）口令破解 攻擊者可以通過獲取口令文件然后運(yùn)用口令破解工具進(jìn)行字典攻擊或暴力攻擊來獲得 口令，也可通過猜

27、測或竊聽等方式獲取口令，從而進(jìn)入系統(tǒng)進(jìn)行非法訪問，選擇安全的口 令非常重要。這也是黑客入侵中真正攻擊方式的一種。2）IP欺騙攻擊者可通過偽裝成被信任源IP地址等方式來騙取目標(biāo)主機(jī)的信任，這主要針對 Lin ux UNIX下建立起IP地址信任關(guān)系的主機(jī)實(shí)施欺騙。這也是黑客入侵中真正攻擊方式的一種。3）DNS欺騙當(dāng)DNS服務(wù)器向另一個DNS服務(wù)器發(fā)送某個解析請求（由域名解析出 IP地址）時，因IP為不進(jìn)行身份驗(yàn)證，這樣黑客就可以冒充被請求方，向請求方返回一個被篡改了的應(yīng)答（ 地址），將用戶引向黑客設(shè)定的主機(jī)。這也是黑客入侵中真正攻擊方式的一種。4）重放（Replay攻擊在消息沒有時間戳的情況下，攻

28、擊者利用身份認(rèn)證機(jī)制中的漏洞先把別人有用的消息 記錄下來，過一段時間后再發(fā)送出去。5）特洛伊木馬（ Trojan Horse） 把一個能幫助黑客完成某一特定動作的程序依附在某一合法用戶的正常程序中，而一旦用戶觸發(fā)正常程序，黑客代碼同時被激活，這些代碼往往能完成黑客早已指定的任務(wù)（如 監(jiān)聽某個不常用端口，假冒登錄界面獲取帳號和口令等） 。4. 了解下列各種攻擊方式：UDP Flood Fraggle Attack電子郵件炸彈、緩沖區(qū)溢出攻擊、社交工 程1）UDP Flood有些系統(tǒng)在安裝后， 沒有對缺省配置進(jìn)行必要的修改， 使得一些容易遭受攻擊的服務(wù)端口 對外敞開著。Echo服務(wù)（TCP7和UD

29、P7）對接收到的每個字符進(jìn)行回送；Chargen （TCP19和 UDP19）對每個接收到的數(shù)據(jù)包都返回一些隨機(jī)生成的字符（如果是與Chargen服務(wù)在TCP19端口建立了連接，它會不斷返回亂字符直到連接中斷） 。黑客一般會選擇兩個遠(yuǎn)程目標(biāo)，生成偽造的 UDP數(shù)據(jù)包，目的地是一臺主機(jī)的 Chargen 服務(wù)端口，來源地假冒為另一臺主機(jī)的 Echo服務(wù)端口。這樣，第一臺主機(jī)上的 Charge n服務(wù) 返回的隨機(jī)字符就發(fā)送給第二臺主機(jī)的 Echo服務(wù)了，第二臺主機(jī)再回送收到的字符，如此反 復(fù)，最終導(dǎo)致這兩臺主機(jī)應(yīng)接不暇而拒絕服務(wù)，同時 造成網(wǎng)絡(luò)帶寬的損耗。2）Fraggle Attack它對Smu

30、rf Attack做了簡單的修改，使用的是 UDP應(yīng)答消息而非ICMP。3）電子郵件炸彈黑客利用某個 “無辜”的郵件服務(wù)器，持續(xù)不斷地向攻擊目標(biāo)（郵件地址）發(fā)送垃圾郵件， 很可能 “撐破”用戶的信箱，導(dǎo)致正常郵件的丟失。 4）緩沖區(qū)溢出攻擊十多年來應(yīng)用非常廣泛的一種攻擊手段， 近年來，許多著名的安全漏洞都與緩沖區(qū)溢出有 關(guān)。所謂緩沖區(qū)溢出， 就是由于填充數(shù)據(jù)越界而導(dǎo)致程序原有流程的改變， 黑客借此精心構(gòu)造 填充數(shù)據(jù)，讓程序轉(zhuǎn)而執(zhí)行特殊的代碼，最終獲得系統(tǒng)的控制權(quán)。5）社交工程（Social Engineering 一種低技術(shù)含量破壞網(wǎng)絡(luò)安全的有效方法， 但它其實(shí)是高級黑客技術(shù)的一種， 往往使得

31、處 在看似嚴(yán)密防護(hù)下的網(wǎng)絡(luò)系統(tǒng)出現(xiàn)致命的突破口。 這種技術(shù)是利用說服或欺騙的方式， 讓網(wǎng)絡(luò) 內(nèi)部的人（安全意識薄弱的職員）來提供必要的信息，從而獲得對信息系統(tǒng)的訪問。 6. 請解 釋下列網(wǎng)絡(luò)信息安全的要素：保密性、完整性、可用性、可存活性近年來，學(xué)術(shù)界只開始提出一牛新的安全槪戀一可療活性CSurbllky4驚來的 果毓井浚有保征擋施來祇抗各甘揍址錯誤和安全傷書*叫存活的網(wǎng)端聚貌戦持設(shè)計耒在 面對這些風(fēng)阻的時悔仍林旌夠存溶.芳虹可樣活性楷的就是網(wǎng)路;I算機(jī)鏡統(tǒng)的迖樣H 能力.它18在面背各種坡?lián)艋蛞粽n的情猊F罐續(xù)提供梳心的血務(wù).lftfdJE及時地恢復(fù) 金部的.逹姥一個新的融合計算機(jī)主全和曲土風(fēng)

32、險管理的課絹它創(chuàng)矗點(diǎn)不儀是對 疏計算機(jī)人楂者，還曼佚證在各種岡緒攻缶的悄撫下謝業(yè)目悚稈以實(shí)漱 戔強(qiáng)的囪業(yè)功 能側(cè)詆快持*搾髙対関需攻擊的系軌可特活牲，同時也提高了商業(yè)條統(tǒng)在而対姿井菲 懸童的事裁與故障的可存活性，兇密性指網(wǎng)絡(luò)中的數(shù)據(jù)必須按照數(shù)克的擁有者的要求保證一定的秘密性不會被未 授權(quán)的第二方非袪獲知具有敏感性的林密信息，只有得到擁有者的許可其他人才能 夠獲得該信息，網(wǎng)絡(luò)系統(tǒng)必須噩敬防止信息的非授杈訪問或泄露完整性指網(wǎng)絡(luò)中的信息安全、精確與有效”不因人為的I大:素而改變信息原有的內(nèi)容、 形式與流向，即不能為未授權(quán)的第三方修改。它包含數(shù)據(jù)完整性的內(nèi)涵 即保證數(shù)據(jù)不 嫂非法地改動和銷毀、同樣還包

33、含系統(tǒng)完整性的內(nèi)涵歩印保證系統(tǒng)以無害的方式按照預(yù) 定的功能運(yùn)行，不受有意的或者意外的非法操作所破壞信息的完整性是信息安仝的基 本要求，破據(jù)信息的完整性是影響唁息妥全的常用手段當(dāng)前，運(yùn)行于因掙網(wǎng)土的協(xié)議 （如TCP/IP等，能夠確保倍息在數(shù)據(jù)包級別的完整性.即做到了傳輸過程中不丟信息 包，不重復(fù)接收信息包，但蘋無法制止未授權(quán)第三方對信息包內(nèi)部的修改。可用性就是要保障網(wǎng)絡(luò)資源無i侖在何時，無論經(jīng)過何種處理，只要需要即可使用，而 末因系統(tǒng)故障或誤操作等使資源丟失或妨礙對資源的使用，使得嚴(yán)格時間耍求的服務(wù)不 能得到及時的響應(yīng)。另外，網(wǎng)絡(luò)可用性還包括具有在某些不正常條件下繼續(xù)運(yùn)與的能力匸 病毒就常常破壞

34、信息的可用性，使系統(tǒng)不能正常運(yùn)行，數(shù)據(jù)文件面目全非口 第三章安全體系結(jié)構(gòu)與模型一、選擇題三、問答題1.列舉并解釋ISO/OSI中定義的5種標(biāo)準(zhǔn)的安全服務(wù)。（1）鑒別用于鑒別實(shí)體的身份和對身份的證實(shí)，包括對等實(shí)體鑒別和數(shù)據(jù)原發(fā)鑒別兩種。（2）訪問控制提供對越權(quán)使用資源的防御措施。（3）數(shù)據(jù)機(jī)密性針對信息泄露而采取的防御措施。分為連接機(jī)密性、無連接機(jī)密性、選擇字段機(jī)密性、通 信業(yè)務(wù)流機(jī)密性四種。（4）數(shù)據(jù)完整性防止非法篡改信息，如修改、復(fù)制、插入和刪除等。分為帶恢復(fù)的連接完整性、無恢復(fù)的連接完整性、選擇字段的連接完整性、無連接完整性、選擇字段無連接完整性五種。（5）抗否認(rèn)是針對對方否認(rèn)的防范措施，

35、 用來證實(shí)發(fā)生過的操作。 包括有數(shù)據(jù)原發(fā)證明的抗否認(rèn)和有 交付證明的抗否認(rèn)兩種。2. 解釋六層網(wǎng)絡(luò)安全體系中各層安全性的含義。1. 物理安全防止物理通路的損壞、竊聽和攻擊（干擾等） ，保證物理安全是整個網(wǎng)絡(luò)安全的前提，包 括環(huán)境安全、設(shè)備安全和媒體安全三個方面。2. 鏈路安全保證通過網(wǎng)絡(luò)鏈路傳送的數(shù)據(jù)不被竊聽， 主要針對公用信道的傳輸安全。 在公共鏈路上采 用一定的安全手段可以保證信息傳輸?shù)陌踩瑢雇ㄐ沛溌飞系母`聽、篡改、重放、流量分析 等攻擊。3. 網(wǎng)絡(luò)級安全需要從網(wǎng)絡(luò)架構(gòu)（路由正確）、網(wǎng)絡(luò)訪問控制（防火墻、安全網(wǎng)關(guān)、 VPN）、漏洞掃描、 網(wǎng)絡(luò)監(jiān)控與入侵檢測等多方面加以保證，形成主動性的

36、網(wǎng)絡(luò)防御體系。4. 信息安全包括信息傳輸安全（完整性、機(jī)密性、不可抵賴和可用性等） 、信息存儲安全（數(shù)據(jù)備份 和恢復(fù)、數(shù)據(jù)訪問控制措施、防病毒）和信息（內(nèi)容）審計。5. 應(yīng)用安全包括應(yīng)用平臺（OS數(shù)據(jù)庫服務(wù)器、Web服務(wù)器）的安全、應(yīng)用程序的安全。6. 用戶安全用戶合法性，即用戶的身份認(rèn)證和訪問控制。 9. Windows 2000 Server屬于哪個 安全級別，為什么？Windows 2000 Server屬于C2級。因?yàn)樗性L問控制、權(quán)限控制，可以避免非授權(quán)訪問， 并通過注冊提供對用戶事件的跟蹤和審計。第八章 密鑰分配與管理一、填空題二、問答題5. KDC在密鑰分配過程中充當(dāng)何種角色？K

37、DC在密鑰分配過程中充當(dāng)可信任的第三方。KDC保存有每個用戶和KDC之間共享的唯一 密鑰，以便進(jìn)行分配。在密鑰分配過程中， KDC按照需要生成各對端用戶之間的會話密鑰，并 由用戶和KDC共享的密鑰進(jìn)行加密，通過安全協(xié)議將會話密鑰安全地傳送給需要進(jìn)行通信的 雙方。第十章 數(shù)字簽名與鑒別協(xié)議三、問答題1. 數(shù)字簽名有什么作用？當(dāng)通信雙方發(fā)生了下列情況時，數(shù)字簽名技術(shù)必須能夠解決引發(fā)的爭端：? 否認(rèn)，發(fā)送方不承認(rèn)自己發(fā)送過某一報文。? 偽造，接收方自己偽造一份報文，并聲稱它來自發(fā)送方。? 冒充，網(wǎng)絡(luò)上的某個用戶冒充另一個用戶接收或發(fā)送報文。? 篡改，接收方對收到的信息進(jìn)行篡改。 2. 請說明數(shù)字簽名

38、的主要流程。 數(shù)字簽名通過如下的流程進(jìn)行：（1）采用散列算法對原始報文進(jìn)行運(yùn)算，得到一個固定長度的數(shù)字串，稱為報文摘要 （Message Digest，） 不同的報文所得到的報文摘要各異， 但對相同的報文它的報文摘要卻是惟一 的。在數(shù)學(xué)上保證，只要改動報文中任何一位，重新計算出的報文摘要值就會與原先的值不相 符，這樣就保證了報文的不可更改性。(2) 發(fā)送方用目己的私有密鑰對摘要進(jìn)行加密來形成數(shù)字簽名。(3) 這個數(shù)字簽名將作為報文的附件和報文一起發(fā)送給接收方。(4) 接收方首先對接收到的原始報文用同樣的算法計算出新的報文摘要，再用發(fā)送方的公 開密鑰對報文附件的數(shù)字簽名進(jìn)行解密， 比較兩個報文摘

39、要，如果值相同，接收方就能確認(rèn)該 數(shù)字簽名是發(fā)送方的，否則就認(rèn)為收到的報文是偽造的或者中途被篡改。3. 數(shù)字證書的原理是什么？數(shù)字證書采用公開密鑰體制(例如 RSA。每個用戶設(shè)定一僅為本人所知的私有密鑰，用 它進(jìn)行解密和簽名；同時設(shè)定一公開密鑰，為一組用戶所共享，用于加密和驗(yàn)證簽名。采用數(shù)字證書，能夠確認(rèn)以下兩點(diǎn)：(1) 保證信息是由簽名者自己簽名發(fā)送的，簽名者不能否認(rèn)或難以否認(rèn)。(2) 保證信息自簽發(fā)后到收到為止未曾做過任何修改，簽發(fā)的信息是真實(shí)信息。4. 報文鑒別有什么作用，公開密鑰加密算法相對于常規(guī)加密算法有什么優(yōu) 點(diǎn)？報文鑒別往往必須解決如下的問題：(1) 報文是由確認(rèn)的發(fā)送方產(chǎn)生的。

40、(2) 報文的內(nèi)容是沒有被修改過的。(3) 報文是按傳送時的相同順序收到的。(4) 報文傳送給確定的對方。一種方法是發(fā)送方用自己的私鑰對報文簽名， 簽名足以使任何人相信報文是可信的。 另一 種方法常規(guī)加密算法也提供了鑒別。 但有兩個問題，一是不容易進(jìn)行常規(guī)密鑰的分發(fā)，二是接 收方?jīng)]有辦法使第三方相信該報文就是從發(fā)送方送來的，而不是接收方自己偽造的。因此，一個完善的鑒別協(xié)議往往考慮到了報文源、 報文宿、報文內(nèi)容和報文時間性的鑒別。 第十二章 身份認(rèn)證 三、問答題1. 解釋身份認(rèn)證的基本概念。 身份認(rèn)證是指用戶必須提供他是誰的證明， 這種證實(shí)客戶的真實(shí)身份與其所聲稱的身份是否相 符的過程是為了限制

41、非法用戶訪問網(wǎng)絡(luò)資源，它是其他安全機(jī)制的基礎(chǔ)。身份認(rèn)證是安全系統(tǒng)中的第一道關(guān)卡， 識別身份后， 由訪問監(jiān)視器根據(jù)用戶的身份和授權(quán) 數(shù)據(jù)庫決定是否能夠訪問某個資源。 一旦身份認(rèn)證系統(tǒng)被攻破， 系統(tǒng)的所有安全措施將形同虛 設(shè)，黑客攻擊的目標(biāo)往往就是身份認(rèn)證系統(tǒng)。 2. 單機(jī)狀態(tài)下驗(yàn)證用戶身份的三種因 素是什么？( 1)用戶所知道的東西：如口令、密碼。( 2)用戶所擁有的東西：如智能卡、身份證。(3) 用戶所具有的生物特征：如指紋、聲音、視網(wǎng)膜掃描、 DNA等。4. 了解散列函數(shù)的基本性質(zhì)。散列函數(shù) H 必須具有性質(zhì)：?H能用于任何長度的數(shù)據(jù)分組；? H 產(chǎn)生定長的輸出；?對任何給定的x, H(x)

42、要相對容易計算；?對任何給定的碼h，尋找x使得H(x)=h在計算上 是不可行的，稱為單向性；?對任何給定的分組X，尋找不等于x的y，使得H(y)=H(x在計算上是不可行的，稱為弱抗沖 突( Weak Collision Resistanc)e；?尋找對任何的(x,y)對，使得H(y)=H(x在計算上是不可行的，稱為強(qiáng)抗沖突(Strong Collision Resistance)。12. 了解Kerberos系統(tǒng)的優(yōu)點(diǎn)。(1) 安全：網(wǎng)絡(luò)竊聽者不能獲得必要信息以假冒其他用戶，Kerberos應(yīng)足夠強(qiáng)壯以致于潛在的敵人無法找到它的弱點(diǎn)連接。(2) 可靠：Kerberos應(yīng)高度可靠并且應(yīng)借助于 一

43、個分布式服務(wù)器體系結(jié)構(gòu)，使得一個系統(tǒng)能夠備份另一個系統(tǒng)。(3) 透明：理想情況下用戶除了要求輸入口令以外應(yīng)感覺不到認(rèn)證的發(fā)生。(4) 可伸縮：系統(tǒng)應(yīng)能夠支持大數(shù)量的客戶和服務(wù)器，這意味著需要一個模塊化的分布式結(jié)構(gòu)。第十三章 授權(quán)與訪問控制三、問答題1. 解釋訪問控制的基本概念。訪問控制是建立在身份認(rèn)證基礎(chǔ)上的， 通過限制對關(guān)鍵資源的訪問， 防止非法用戶的侵入或因 為合法用戶的不慎操作而造成的破壞。訪問控制的目的：限制主體對訪問客體的訪問權(quán)限(安全訪問策略) ，從而使計算機(jī)系統(tǒng) 在合法范圍內(nèi)使用。2. 訪問控制有幾種常用的實(shí)現(xiàn)方法？它們各有什么特點(diǎn)？1 訪問控制矩陣 行表示客體(各種資源) ，列

44、表示主體(通常為用戶)，行和列的交叉點(diǎn)表示某個主體對某 個客體的訪問權(quán)限。通常一個文件的 Own權(quán)限表示可以授予(Authorize)或撤消(Revoke 其他用戶對該文件的訪問控制權(quán)限。2 訪問能力表實(shí)際的系統(tǒng)中雖然可能有很多的主體與客體， 但兩者之間的權(quán)限關(guān)系可能并不多。 為了減 輕系統(tǒng)的開銷與浪費(fèi)，我們可以從主體(行)出發(fā)，表達(dá)矩陣某一行的信息，這就是訪問能力 表( Capabilities)。只有當(dāng)一個主體對某個客體擁有訪問的能力時， 它才能訪問這個客體。 但是要從訪問能力 表獲得對某一特定客體有特定權(quán)限的所有主體就比較困難。 在一個安全系統(tǒng)中， 正是客體本身 需要得到可靠的保護(hù)， 訪

45、問控制服務(wù)也應(yīng)該能夠控制可訪問某一客體的主體集合， 于是出現(xiàn)了 以客體為出發(fā)點(diǎn)的實(shí)現(xiàn)方式 ACL。3 訪問控制表也可以從客體(列)出發(fā)，表達(dá)矩陣某一列的信息，這就是訪問控制表( Access Control List)。它可以對某一特定資源指定任意一個用戶的訪問權(quán)限，還可以將有相同權(quán)限的用戶分組，并授予組的訪問權(quán)。4 授權(quán)關(guān)系表授權(quán)關(guān)系表(Authorization Relations)的每一行表示了主體和客體的一個授權(quán)關(guān)系。對表 按客體進(jìn)行排序，可以得到訪問控制表的優(yōu)勢；對表按主體進(jìn)行排序，可以得到訪問能力表的 優(yōu)勢。適合采用關(guān)系數(shù)據(jù)庫來實(shí)現(xiàn)。8. 為什么 MAC 能阻止特洛伊木馬？MAC能

46、夠阻止特洛伊木馬。一個特洛伊木馬是在一個執(zhí)行某些合法功能的程序中隱藏的 代碼，它利用運(yùn)行此程序的主體的權(quán)限違反安全策略， 通過偽裝成有用的程序在進(jìn)程中泄露信 息。阻止特洛伊木馬的策略是基于非循環(huán)信息流，由于 MAC策略是通過梯度安全標(biāo)簽實(shí)現(xiàn)信 息的單向流通，從而它可以很好地阻止特洛伊木馬的泄密。第十四章PKI技術(shù)二、問答題2. 什么是數(shù)字證書？現(xiàn)有的數(shù)字證書由誰頒發(fā)，遵循什么標(biāo)準(zhǔn)，有什么特 點(diǎn)？數(shù)字證書是一個經(jīng)證書認(rèn)證中心（CA數(shù)字簽名的包含公開密鑰擁有者信息以及公開密鑰 的文件。認(rèn)證中心（CA作為權(quán)威的、可信賴的、公正的第三方機(jī)構(gòu)，專門負(fù)責(zé)為各種認(rèn)證需求 提供數(shù)字證書服務(wù)。認(rèn)證中心頒發(fā)的數(shù)字

47、證書均遵循 X.509 V3標(biāo)準(zhǔn)。X.509標(biāo)準(zhǔn)在編排公共密 鑰密碼格式方面已被廣為接受。X.509證書已應(yīng)用于許多網(wǎng)絡(luò)安全，其中包括 IPSec（IF安全）、 SSL、 SET、 S/MIME。3. X.509規(guī)范中是如何定義實(shí)體 A信任實(shí)體B的？在PKI中信任又是什么具 體含義？X.509規(guī)范中給出了適用于我們目標(biāo)的定義： 當(dāng)實(shí)體A假定實(shí)體B嚴(yán)格地按A所期望的那樣行 動，則A信任B。在PKI中，我們可以把這個定 義具體化為：如果一個用戶假定 CA可以把任一 公鑰綁定到某個實(shí)體上，則他信任該 CA 4.有哪4種常見的信任模型？1. 認(rèn)證機(jī)構(gòu)的嚴(yán)格層次結(jié)構(gòu)模型認(rèn)證機(jī)構(gòu)（CA的嚴(yán)格層次結(jié)構(gòu)可以被

48、描繪為一棵倒置的樹，根代表一個對整個PKI系統(tǒng)的所有實(shí)體都有特別意義的 CA通常叫做根CA （Root CA）它充當(dāng)信任的根或 信任錨（Trust Anchor） ”也就是認(rèn)證的起點(diǎn)或終點(diǎn)。2. 分布式信任結(jié)構(gòu)模型分布式信任結(jié)構(gòu)把信任分散在兩個或多個 CA上。也就是說，A把CA1作為他的信任錨， 而B可以把CA2做為他的信任錨。因?yàn)檫@些CA都作為信任錨，因此相應(yīng)的CA必須是整個PKI 系統(tǒng)的一個子集所構(gòu)成的嚴(yán)格層次結(jié)構(gòu)的根 CA。3. Web 模型Web模型依賴于流行的瀏覽器，許多 CA的公鑰被預(yù)裝在標(biāo)準(zhǔn)的瀏覽器上。這些公鑰確 定了一組CA瀏覽器用戶最初信任這些CA并將它們作為證書檢驗(yàn)的根。從

49、根本上講，它更類 似于認(rèn)證機(jī)構(gòu)的嚴(yán)格層次結(jié)構(gòu)模型，這是一種有隱含根的嚴(yán)格層次結(jié)構(gòu)。4. 以用戶為中心的信任模型每個用戶自己決定信任哪些證書。通常， 用戶的最初信任對象包括用戶的朋友、 家人或同 事，但是否信任某證書則被許多因素所左右。9. CA有哪些具體的職責(zé)？? 驗(yàn)證并標(biāo)識證書申請者的身份。?確保CA用于簽名證書的非對稱密鑰的質(zhì)量。? 確保整個簽證過程的安全性，確保簽名私鑰的安全性。?證書材料信息（包括公鑰證書序列號、CA標(biāo)識等）的管理。? 確定并檢查證書的有效期限。? 確保證書主體標(biāo)識的惟一性，防止重名。? 發(fā)布并維護(hù)作廢證書表（ CRL）。? 對整個證書簽發(fā)過程做日志記錄。? 向申請人發(fā)

50、通知。其中最為重要的是CA自己的一對密鑰的管理，它必須確保高度的機(jī)密性，防止他方偽造 證書。第十五章 IP 的安全一、選擇題二、問答題1. IPSec和IP協(xié)議以及VPN的關(guān)系是什么？IPSec是一種由IETF設(shè)計的端到端的確保IP層通信安全的機(jī)制。不是一個單獨(dú)的協(xié)議，而 是一組協(xié)議。IPSec是隨著IPv6的制定而產(chǎn)生的，后來也增加了對IPv4的支持。在前者中是必 須支持的，在后者中是可選的。IPSecf乍為一個第三層隧道協(xié)議實(shí)現(xiàn)了 VPN通信，可以為IP網(wǎng)絡(luò)通信提供透明的安全服務(wù)， 免遭竊聽和篡改，保證數(shù)據(jù)的完整性和機(jī)密性，有效抵御網(wǎng)絡(luò)攻擊，同時保持易用性。2. IPSec包含了哪3個最重

51、要的協(xié)議？簡述這 3個協(xié)議的主要功能？IPSec眾多的RFC通過關(guān)系圖組織在一起，它包含了三個最重要的協(xié)議： AH、ESP IKE=（1）AH為IP數(shù)據(jù)包提供如下3種服務(wù)：無連接的數(shù)據(jù)完整性驗(yàn)證、數(shù)據(jù)源身份認(rèn)證和防重 放攻擊。數(shù)據(jù)完整性驗(yàn)證通過哈希函數(shù)（如 MD5）產(chǎn)生的校驗(yàn)來保證；數(shù)據(jù)源身份認(rèn)證通過 在計算驗(yàn)證碼時加入一個共享密鑰來實(shí)現(xiàn)； AH 報頭中的序列號可以防止重放攻擊。（2）ESP除了為IP數(shù)據(jù)包提供AH已有的3種服務(wù)外，還提供數(shù)據(jù)包加密和數(shù)據(jù)流加密。數(shù) 據(jù)包加密是指對一個IP包進(jìn)行加密（整個IP包或其載荷部分），一般用于客戶端計算機(jī)；數(shù)據(jù) 流加密一般用于支持IPSec的路由器，源端

52、路由器并不關(guān)心IP包的內(nèi)容，對整個IP包進(jìn)行加 密后傳輸，目的端路由器將該包解密后將原始數(shù)據(jù)包繼續(xù)轉(zhuǎn)發(fā)。AH和ESP可以單獨(dú)使用，也可以嵌套使用?？梢栽趦膳_主機(jī)、兩臺安全網(wǎng)關(guān)（防火墻和 路由器），或者主機(jī)與安全網(wǎng)關(guān)之間使用。（3）IKE負(fù)責(zé)密鑰管理，定義了通信實(shí)體間進(jìn)行身份認(rèn)證、協(xié)商加密算法以及生成共享的會話 密鑰的方法。IKE將密鑰協(xié)商的結(jié)果保留在安全聯(lián)盟（SA中，供AH和ESP以后通信時使用。解 釋域（DOI）為使用IKE進(jìn)行協(xié)商SA的協(xié)議統(tǒng)一分配標(biāo)識符。第十六章 電子郵件的安全一、問答題1. 電子郵件存在哪些安全性問題？1 ）垃圾郵件包括廣告郵件、騷擾郵件、連鎖郵件、反動郵件等。垃圾郵件

53、會增加網(wǎng)絡(luò)負(fù)荷， 影響網(wǎng)絡(luò)傳輸速度，占用郵件服務(wù)器的空間。2）詐騙郵件通常指那些帶有惡意的欺詐性郵件。利用電子郵件的快速、便宜，發(fā)信人能迅速 讓大量受害者上當(dāng)。3）郵件炸彈指在短時間內(nèi)向同一信箱發(fā)送大量電子郵件的行為， 信箱不能承受時就會崩潰。 4） 通過電子郵件傳播的病毒通常用 VBScript編寫，且大多數(shù)采用附件的形式夾帶在電子郵件中。 當(dāng)收信人打開附件后， 病毒會查詢他的通訊簿，給其上所有或部分人發(fā)信，并將自身放入附件 中，以此方式繼續(xù)傳播擴(kuò)散。2. 端到端的安全電子郵件技術(shù)，能夠保證郵件從發(fā)出到接收的整個過程中 的哪三種安全性？ 端到端的安全電子郵件技術(shù)，保證郵件從被發(fā)出到被接收的整

54、個過程中，內(nèi)容保密、 無法修改、并且不可否認(rèn)。目前的In ternet上，有兩套成型的端到端安全電子郵件標(biāo)準(zhǔn)： PGP和 S/MIME。它一般只對信體進(jìn)行加密和簽名，而信頭則由于郵件傳輸中尋址和路由的需要，必須保證原封不動。3. 畫圖說明PGP的工作原理。BfiRSA 仝開伽二、問答題1. 討論一下為什么CGI出現(xiàn)的漏洞對 Web服務(wù)器的安全威脅最大？相比前面提到的問題，CGI可能出現(xiàn)的漏洞很多，而被攻破后所能造成的威脅也很大。程 序設(shè)計人員的一個簡單的錯誤或不規(guī)范的編程就可能為系統(tǒng)增加一個安全漏洞。一個故意放置的有惡意的CGI程序能夠自由訪問系統(tǒng)資源，使系統(tǒng)失效、刪除文件或查看顧客的保密信息

55、（包 括用戶名和口令）。3. 說明SSL勺概念和功能。安全套接層協(xié)議SSL主要是使用公開密鑰體制和X.509數(shù)字證書技術(shù)保護(hù)信息傳輸?shù)臋C(jī)密 性和完整性，但它不能保證信息的不可抵賴性，主要適用于點(diǎn)對點(diǎn)之間的信息傳輸。它是 Netscape公司提出的基于 Web應(yīng)用的安全協(xié)議，它包括服務(wù)器認(rèn)證、客戶認(rèn)證 （可選）、SSL鏈 路上的數(shù)據(jù)完整性和SSL鏈路上的數(shù)據(jù)保密性。SSL通過在瀏覽器軟件和Web服務(wù)器之間建立 一條安全通道，實(shí)現(xiàn)信息在In ternet中傳送的保密性。在TCP/IP協(xié)議族中，SSL位于TCP層之上、應(yīng)用層之下。這使它可以獨(dú)立于應(yīng)用層，從而 使應(yīng)用層協(xié)議可以直接建立在 SSL之上。SSL協(xié)議包括以下一些子協(xié)議；SSL記錄協(xié)議、SSL握 手協(xié)議、SSL更改密碼說明協(xié)議和SSL警告協(xié)議。SSL記錄協(xié)議建立在可靠的傳輸協(xié)議（例如TCP） 上，用來封裝高層的協(xié)議。SSLS手協(xié)議準(zhǔn)許服務(wù)器端與客戶端在開始傳輸數(shù)據(jù)前，能夠通過 特定的加密算法相互鑒別。4. 什么是SET電子錢包？SET交易發(fā)生的先決條件是，每個持卡人（客戶）必須擁有一個惟一的電子（數(shù)字）證書，且由 客戶確定口令，并用這個口令對數(shù)字證書、私鑰、信用卡號碼及其他信息進(jìn)行加密存儲，這些 與符合SETW議的軟件一起組成了一個SET電子錢包。簡述SSL的記錄協(xié)議和握手協(xié)議。SSL記錄協(xié)議是建立在