信息系統(tǒng)安全離線作業(yè)

1、浙江大學(xué)遠(yuǎn)程教育學(xué)院信息系統(tǒng)安全課程作業(yè)姓名：學(xué) 號：年級：14春學(xué)習(xí)中心：浙大西溪第一次作業(yè)一、判斷題提示：此題為客觀題，進(jìn)入“在線”完成。 二、選擇題提示：此題為客觀題，進(jìn)入“在線”完成。 三、簡答題1、 SIM卡是（Subscriber Identity Model 客戶識別模塊）的縮寫，也稱為智能卡、用戶身份識別卡, GSM數(shù)字移動電話機必須裝上此卡方能使用。一般SIM卡的IC芯片中，有8kB的存儲容量，可供儲存以下信息: (1) 100組電話號碼及其對應(yīng)的姓名文字。(2) 15組短信息(Short Message)。(3) 5組以上最近撥出的號碼。(4) 4位SIM卡密碼(PIN)。

2、SIM卡有兩個PIN碼:PIN1碼和PIN2碼。通常講的PIN碼就是指PIN1碼，它用來保護(hù)SIM卡的安全，加密SIM卡中的數(shù)據(jù)，是屬于SIM卡的密碼。PIN2碼跟網(wǎng)絡(luò)的計費（如儲值卡的扣費等）和SIM卡內(nèi)部資料的修改有關(guān)。某間諜被國家安全部門抓獲，將手機SIM卡咬碎成幾個部分。國家安全部門將SIM卡的各部分?jǐn)?shù)據(jù)恢復(fù)整合，獲得部分聯(lián)系人信息。問國家安全部門需要進(jìn)行哪些流程。（視頻教學(xué)內(nèi)容第13、14章）1） SIM被咬碎成幾個部分，首先需要把每個部分存儲的IC芯片中的數(shù)據(jù)讀出2） 根據(jù)咬碎幾個部分的幾何位置，恢復(fù)原SIM卡中8KB數(shù)據(jù)3） 恢復(fù)的8KB數(shù)據(jù)是加密過的數(shù)據(jù)，屬于密文4） 需要破解

3、PIN1碼，PIN碼只有4位，可以窮舉從0000到9999。5） 用PIN1碼解密獲得電話號碼、短信、最近撥出的號碼。6） 容易出錯地方：a) PIN2可以不解密。根據(jù)題意，PIN2與計費有關(guān)和SIM卡內(nèi)部資料的修改，不用來加密數(shù)據(jù)2、 銀行卡復(fù)制器是一種金融入侵工具，安裝在銀行的柜員機的磁卡入口處，只要卡插入后賬戶資料就被磁卡采集器讀取，同時需要偷看用戶的密碼。然后可以將竊取到的信息寫入空白磁卡。之后在提款機上利用假卡與密碼，將賬戶內(nèi)存款全數(shù)提走。問如何防范。（視頻教學(xué)內(nèi)容第13、14章）1） 防止信用卡信息被盜用，需要防止磁卡刷卡處增加安裝設(shè)備2） 輸入密碼時加遮擋，以免后面的其他人員查看

4、，或被對面街道的高清攝像機拍攝3） 還可以將信用卡從磁卡改成IC卡3、 張三的網(wǎng)游被黑，其道具被盜走，張三向網(wǎng)管投訴。網(wǎng)管調(diào)查發(fā)現(xiàn)，張三的賬戶密碼為123456。該密碼屬于世界上最常見密碼之一，包括：123456、12345、123456789、Password、iloveyou、princess、rockyou、1234567、12345678、abc123。密碼強度指一個密碼被非認(rèn)證的用戶或計算機破譯的難度。 密碼強度通常用“弱”或“強”來形容。高強度的密碼應(yīng)該是：包括大小寫字母、數(shù)字和符號，且長度不宜過短，最好不少于10位；不包含生日、手機號碼等易被猜出的信息。請問在該事件中，能吸取哪些

5、教訓(xùn)。（教材第3、4章）1)低強度的密碼，容易被字典共計2)張三應(yīng)該設(shè)置一個高強度的密碼，同時網(wǎng)游應(yīng)該檢測用戶的密碼強度是否夠強3)張三應(yīng)該定期修改密碼，同時網(wǎng)游應(yīng)該提醒用戶定期修改四、設(shè)計題1、 閱讀以下材料：（教材第3章）網(wǎng)絡(luò)數(shù)據(jù)流竊聽(Sniffer) 由于認(rèn)證信息要通過網(wǎng)絡(luò)傳遞，并且很多認(rèn)證系統(tǒng)的口令是未經(jīng)加密的明文，攻擊者通過竊聽網(wǎng)絡(luò)數(shù)據(jù)，就很容易分辨出某種特定系統(tǒng)的認(rèn)證數(shù)據(jù)，并提取出用戶名和口令。認(rèn)證信息截取/重放(Record/Replay) 有的系統(tǒng)會將認(rèn)證信息進(jìn)行簡單加密后進(jìn)行傳輸，如果攻擊者無法用第一種方式推算出密碼，可以使用截取/重放方式。 一次性口令（OTP：One T

6、ime Password）的密碼體制，在登錄過程中加入不確定因素，使每次登錄過程中傳送的信息都不相同，以提高登錄過程安全性。這些不確定因子選擇方式可以是：挑戰(zhàn)/回答(CRYPTOCard)：用戶要求登錄時，系統(tǒng)產(chǎn)生一個隨機數(shù)發(fā)送給用戶。用戶用某種單向算法將自己的秘密口令和隨機數(shù)混合起來發(fā)送給系統(tǒng)，系統(tǒng)用同樣的方法做驗算即可驗證用戶身份。 問題：已知需要設(shè)計一個網(wǎng)上登錄界面，依據(jù)上述資料，需要防止竊聽攻擊、重放攻擊，已知每個用戶有一個手機且不會丟失，請設(shè)計一個安全的登錄方法。1、 登錄界面包括：用戶名，密碼2、 密碼輸入驗證是正確用戶，如果不是，退出3、 計算機系統(tǒng)將動態(tài)生成的密碼，通過短信發(fā)給

7、用戶4、 用戶使用接收的短信中的密碼登錄。5、 如果輸入錯誤，則密碼失效，需要重復(fù)第二步。第二次作業(yè)一、判斷題提示：此題為客觀題，進(jìn)入“在線”完成。 二、選擇題提示：此題為客觀題，進(jìn)入“在線”完成。 三、簡答題1、 木馬和病毒的區(qū)別在哪里。（教材第5、6章）最基本的區(qū)別就在于病毒有很強的傳染性及寄生性，而木馬程序則不同，現(xiàn)在木馬技術(shù)和病毒的發(fā)展相互借鑒，也使得木馬具有了更好的傳播性，病毒具有了遠(yuǎn)程控制能力，這同樣使得木馬程序和病毒的區(qū)別日益模糊2、 簡述木馬的特點（教材第5章）a)常常偽裝或者隱藏在合法程序中，這些代碼或者執(zhí)行特定的惡意行為，或者為非授權(quán)訪問系統(tǒng)的特權(quán)功能提供后門。b)他們的最

8、大的特征是隱秘性，偷偷混入對方的主機里面，但是卻沒有被對方發(fā)現(xiàn)，系統(tǒng)表現(xiàn)也正常。木馬最大的特點是在系統(tǒng)中潛伏、隱藏，不易發(fā)現(xiàn)，伺機對系統(tǒng)或用戶造成一定的危害3、 簡述計算機病毒的特點（教材第6章）a)常常偽裝或者隱藏在合法程序中，這些代碼或者執(zhí)行特定的惡意行為，或者為非授權(quán)訪問系統(tǒng)的特權(quán)功能提供后門。b)他們的最大的特征是隱秘性，偷偷混入對方的主機里面，但是卻沒有被對方發(fā)現(xiàn)，系統(tǒng)表現(xiàn)也正常。木馬最大的特點是在系統(tǒng)中潛伏、隱藏，不易發(fā)現(xiàn)，伺機對系統(tǒng)或用戶造成一定的危害4、 為了測試一個軟件中的錯誤，部門經(jīng)理張三有意放入100個錯誤，測試部門經(jīng)過一段時間查出了30個，其中25個錯誤為張三放入的錯誤

9、。請估算該軟件的錯誤總量（包括張三有意放入的錯誤），還有多少錯誤（不包括張三有意放入的錯誤）未檢出。（教材第6章）放入100個錯誤，查出25個，查出率為1/4。反推上去，30個錯誤，檢出率為1/4，軟件中共120個錯誤，技術(shù)該軟件的錯誤總量（包括張三有意放入的錯誤）這120個錯誤，其中100個是有意放入，5個被檢出，還余下15錯誤（不包括張三有意放入的錯誤）未檢出。四、設(shè)計題 （網(wǎng)絡(luò)視頻教學(xué)內(nèi)容第13、14章）1、 閱讀下述材料，請設(shè)計一套安全機制防御、查出、刪除即時通訊軟件木馬?，F(xiàn)在，國內(nèi)即時通訊軟件百花齊放。QQ、新浪UC、網(wǎng)易泡泡、盛大圈圈網(wǎng)上聊天的用戶群十分龐大。常見的即時通訊類木馬一

10、般有3種：a、發(fā)送消息型。通過即時通訊軟件自動發(fā)送含有惡意網(wǎng)址的消息，目的在于讓收到消息的用戶點擊網(wǎng)址中毒，用戶中毒后又會向更多好友發(fā)送病毒消息。此類病毒常用技術(shù)是搜索聊天窗口，進(jìn)而控制該窗口自動發(fā)送文本內(nèi)容。發(fā)送消息型木馬常常充當(dāng)網(wǎng)游木馬的廣告，如“武漢男生2005”木馬，可以通過MSN、QQ、UC等多種聊天軟件發(fā)送帶毒網(wǎng)址，其主要功能是盜取傳奇游戲的帳號和密碼。 b、盜號型。主要目標(biāo)在于即時通訊軟件的登錄帳號和密碼。工作原理和網(wǎng)游木馬類似。病毒作者盜得他人帳號后，可能偷窺聊天記錄等隱私內(nèi)容，或?qū)ぬ栙u掉。 c、傳播自身型。2005年初，“MSN性感雞”等通過MSN傳播的蠕蟲泛濫了一陣之后，

11、MSN推出新版本，禁止用戶傳送可執(zhí)行文件。2005年上半年，“QQ龜”和“QQ愛蟲”這兩個國產(chǎn)病毒通過QQ聊天軟件發(fā)送自身進(jìn)行傳播，感染用戶數(shù)量極大，在江民公司統(tǒng)計的2005年上半年十大病毒排行榜上分列第一和第四名。從技術(shù)角度分析，發(fā)送文件類的QQ蠕蟲是以前發(fā)送消息類QQ木馬的進(jìn)化，采用的基本技術(shù)都是搜尋到聊天窗口后，對聊天窗口進(jìn)行控制，來達(dá)到發(fā)送文件或消息的目的。只不過發(fā)送文件的操作比發(fā)送消息復(fù)雜很多。1、 防御木馬病毒a) 木馬查殺（查殺軟件很多，有些病毒軟件都能殺木馬）b) 防火墻（分硬件和軟件），微軟的軟件防火墻c) 不隨便訪問來歷不明的網(wǎng)站，使用來歷不明的軟件2、 查出木馬a) 檢測

12、網(wǎng)絡(luò)連接：使用Windows自帶的網(wǎng)絡(luò)命令來看看誰在連接你的計算機。b) 禁用不明服務(wù)。使用Windows自帶的服務(wù)看看哪些服務(wù)啟動中。c) 檢查賬戶：檢查默認(rèn)賬戶，賬戶權(quán)限d) 檢查系統(tǒng)啟動運行的程序3、 刪除木馬病毒a) 禁用系統(tǒng)還原b) 將計算機重啟到安全模式c) 掃描和刪除受感染文件啟動防病毒程序，并確保已將其配置為掃描所有文件。第三次作業(yè)一、判斷題提示：此題為客觀題，進(jìn)入“在線”完成。 二、選擇題提示：此題為客觀題，進(jìn)入“在線”完成。 三、簡答題1、北京街頭出現(xiàn)一種新型騙錢手段，讓人防不勝防。不法者通過安裝假的ATM機，套取持卡人的卡號和密碼，進(jìn)而復(fù)制銀行卡竊取錢財。宣武區(qū)廣安門外西

13、街街邊一煙酒店門口就出現(xiàn)了一臺假ATM機。6月15日，市民馬先生在此機上插卡查詢，僅得到“無法提供服務(wù)”的提示，前天他則發(fā)現(xiàn)卡內(nèi)5000元金額不翼而飛。請分析其中使用的計算機安全技術(shù)。（網(wǎng)絡(luò)視頻教學(xué)內(nèi)容第13、14章）1） 欺騙技術(shù)，或者是偽裝技術(shù)，偽裝成ATM機，獲得卡號和密碼2） 信用卡復(fù)制技術(shù)2、張三收到李四發(fā)的消息及其數(shù)字簽名，可是李四否認(rèn)發(fā)送過該消息與簽名，且李四聲稱私鑰未失竊，如果認(rèn)定？（網(wǎng)絡(luò)視頻教學(xué)內(nèi)容第8章）1） 讓李四用其私鑰對消息進(jìn)行簽名，獲得簽名A2） 從張三處獲得收到的前面B3） 對比兩個簽名A與Ba) 如果一致，則消息是李四發(fā)的b) 如果不一致，則消息是張三偽造的3、

14、簡述數(shù)字信封的實現(xiàn)步驟（網(wǎng)絡(luò)視頻教學(xué)內(nèi)容第13、14章）1、使用會話密鑰加密明文；需要會話密鑰，加密函數(shù)；2、從CA得到接收方的證書，并用證書的公鑰對會話密鑰加密；3、讀取接收方證書的ID，把密文，加密的會話密鑰，ID以一定的格式壓縮打包發(fā)送；4、這個包就稱為數(shù)字信封；5、數(shù)字信封拆解是使用私鑰將加密過的數(shù)據(jù)解密的過程。4、一個典型、完整、有效的PKI應(yīng)用系統(tǒng)包括哪些部分？（教材第14章）完整的PKI系統(tǒng)必須具有權(quán)威認(rèn)證機構(gòu)(CA)、數(shù)字證書庫、密鑰備份及恢復(fù)系統(tǒng)、證書作廢系統(tǒng)、應(yīng)用接口（API）等基本構(gòu)成部分。功能包括：1） 公鑰密碼證書管理。 2） 黑名單的發(fā)布和管理。 3） 密鑰的備份和

15、恢復(fù)。 4） 自動更新密鑰。 5） 自動管理歷史密鑰。 6） 支持交叉認(rèn)證。5、防火墻技術(shù)和VPN技術(shù)有何不同（教材第10章與第8章）防火墻建在你和Internet之間，用于保護(hù)你自己的電腦和網(wǎng)絡(luò)不被外人侵入和破壞。 VPN是在Internet上建立一個加密通道，用于保護(hù)你在網(wǎng)上進(jìn)行通信時不會被其他人截取或者竊聽。VPN需要通信雙方的配合。6、防火墻能否防止病毒的攻擊？給出理由。（教材第8章）防火墻不能有效地防范像病毒這類東西的入侵。1） 在網(wǎng)絡(luò)上傳輸二進(jìn)制文件的編碼方式太多了，并且有太多的不同的結(jié)構(gòu)和病毒，因此不可能查找所有的病毒。2） 防火墻不能防止數(shù)據(jù)驅(qū)動的攻擊：即通過將某種東西郵寄或拷

16、貝到內(nèi)部主機中，然后它再在內(nèi)部主機中運行的攻擊。四、設(shè)計題（教材第4章以及網(wǎng)絡(luò)視頻教學(xué)內(nèi)容第13、14章）1、請分析銀行卡消費欺詐的案例，給出信息安全的解決方案。 1）、 欺詐者首先利用手機向事主發(fā)送短信，稱其信用卡在某商場消費元，同時告訴事主這筆錢會在月底從銀行卡中扣除，并向事主提供銀行客服電話。 2）、事主看到短信后會撥打所留電話詢問。對方稱自己是銀行的工作人員，告知事主銀行卡正在某商場消費。當(dāng)事主否認(rèn)時，該人會讓事主馬上到公安機關(guān)報案，立即將卡凍結(jié)，并留下報警電話。 3）、事主接通所留下的“報警”電話后，對方自稱是某公安分局或金融犯罪調(diào)查科的“警察”，在接受事主報案的同時，告訴事主為減少

17、損失，要立即將卡里所有的錢轉(zhuǎn)出，并向事主提供銀聯(lián)卡部客服電話，讓事主再次和所謂的銀行聯(lián)系。 4）、事主與所謂的“銀行銀聯(lián)卡中心”聯(lián)系時，對方以向事主提供“保險公司全額擔(dān)保”為名，消除事主擔(dān)心與顧慮，讓事主利用銀行ATM機將銀行卡賬戶的錢全部轉(zhuǎn)移到指定賬戶上。事主按照對方的要求在柜員機上輸入銀行卡密碼，將錢全部轉(zhuǎn)到對方賬戶上。問題1：分析欺詐原因問題2：給出預(yù)防措施a) 不輕信他人b) 不要貪小便宜，踏實做人c) 永遠(yuǎn)記住所有移動運營商和銀行的官方電話（比如10086，95588），而不是短信或其他人提供的電話。d) 要求對方認(rèn)證2、網(wǎng)絡(luò)釣魚是通過大量發(fā)送聲稱來自于銀行或其他知名機構(gòu)的欺騙性垃圾

18、郵件，意圖引誘收信人給出敏感信息（如用戶名、口令、帳號 ID 、 ATM PIN 碼或信用卡詳細(xì)信息）的一種攻擊方式。最典型的網(wǎng)絡(luò)釣魚攻擊將收信人引誘到一個通過精心設(shè)計與目標(biāo)組織的網(wǎng)站非常相似的釣魚網(wǎng)站上，并獲取收信人在此網(wǎng)站上輸入的個人敏感信息，通常這個攻擊過程不會讓受害者警覺。這些個人信息對黑客們具有非常大的吸引力，因為這些信息使得他們可以假冒受害者進(jìn)行欺詐性金融交易，從而獲得經(jīng)濟利益。受害者經(jīng)常遭受顯著的經(jīng)濟損失或全部個人信息被竊取并用于犯罪的目的。請寫出如何防止網(wǎng)絡(luò)釣魚的措施。(1)不要輕信天上掉餡餅(2)用好殺毒軟件的反釣魚功能(3)把常用網(wǎng)站放入收藏夾(4)不要打開陌生人給出的鏈接

19、(5)切勿泄露身份資料(6)防火墻(7)最好禁止瀏覽器運行JavaScript和ActiveX代碼(8)安裝SSL證書 第四次作業(yè)（以下題目屬于教材第13章密碼學(xué)基礎(chǔ)）一、計算題1.使用DES加密，假設(shè)R為(0000 0001 0010 0011)，使用下面的擴展置換對R進(jìn)行置換寫出擴展后的24位是多少？答：1000000000101001000001112.下面是DES的一個S盒, 如果輸入為011001，求輸出。答：如果輸入為011001，則查S盒的行是01(十進(jìn)制1，即S盒的第2行)，列1100(12，即S盒的第13列)，該處的值是1，那么輸出為00013.假設(shè)密鑰是cipher，使用P

20、layfair算法加密Playfair cipher，求密文。（寫出詳細(xì)求解過程，直接寫出答案不給分。）由密鑰詞cipher可構(gòu)建如下的密鑰矩陣：CIPHERABDFGKLMNOQSTUVWXYZ將明文按照兩個字母分組為 pl ay fa ir ci ph er 則密文為 BS DW RB CA IP HE CF 4. HILL加密，已知加密矩陣為，加密后的結(jié)果是UUQR，求明文。（寫出詳細(xì)求解過程，直接寫出答案不給分。）解密矩陣的逆矩陣：，也就是，除5 的乘法逆元也就是乘以21，可以通過擴展的歐幾里德法計算。則可以得到解密矩陣為，則解密為：*=MEET5.在使用RSA的公鑰體制中，已截獲發(fā)給

21、某用戶的密文為C=10，該用戶的公鑰e = 5, n =35，那么明文M等于多少？（寫出詳細(xì)求解過程，直接寫出答案不給分。）答：n=p*q(p和q都是素數(shù))，n=35故解出p=5，q=7； （n）=（p-1）*(q-1)=24；又因為e*d1mod（n），而e=5故可解出d=5；m=cdmodn=105mod35=56. 設(shè)密鑰字是cipher，使用維吉尼亞密碼加密明文串是this cryptosystem is not secure，求密文。（寫出詳細(xì)求解過程，直接寫出答案不給分。）答：在明文下面重復(fù)寫密鑰字，組成密鑰。明文M:thiscryptosystemisnotsecure密鑰K:c

22、ipherciphercipherciphercip將明文和密鑰轉(zhuǎn)化為數(shù)字M=(19,7,8,18,2,17,24,15,19,14,18,24,19,4,12,8,18,13,14,19,18,4,2,20,17,4）K=(2,8,15,7,4,17,2,8,15,7,4,17,2,8,15,7,4,17,2,8,15,7,4,17,2,8,15)對每個明文數(shù)字和對應(yīng)的密鑰數(shù)字，使用i=(mi+ki)mod26加密得到的密文數(shù)字為：C=(21,15,23,25,6,8,0,23,8,21,22,15,21,1,19,19,12,9,15,22,8,25,8,19,22,25,19)于是密文為

23、： VPXZGIAXIVWPUBTTMJPWIZITWZT7.使用Playfair密碼的加密明文good，密鑰關(guān)鍵詞是monarchy，計算加密后的密文。（寫出詳細(xì)求解過程，直接寫出答案不給分。）答：構(gòu)成的密鑰矩陣是：MONARCHYBDEFGI/JKLPQSTUVWXZ將明文按二個字母分組：good 密文是：FNRH8. HILL加密，已知加密矩陣為，加密后的結(jié)果是CIBC，求明文。（寫出詳細(xì)求解過程，直接寫出答案不給分。）答：解密矩陣的逆矩陣：，也就是，除3的乘法逆元也就是乘以9，可以通過擴展的歐幾里德法計算。則可以得到解密矩陣為則解密為：* =OURS 明文為：OURS9.利用RSA算法

24、運算，如果p=11，q=13, e=103,對明文3進(jìn)行加密.求d及密文（寫出詳細(xì)求解過程，直接寫出答案不給分。）答：（1）將密鑰K經(jīng)置換選擇1，得C0=1111000011001100101010100000D0=1010101011001100111100000000 左移1位后經(jīng)置換選擇2輸出48為K1。 K1=000010100000001001110111100110110100100010100101（2）初始置換后，得到L0=11001100000000001100110011111111R0=1111000010101010111100001010101010.使用DES 加密

25、，假設(shè)明文和密鑰都為 (0123456789ABCDEF)16 = (00000001 00100011 01000101 01100111 10001001 10101011 11001101 11101111)2求：(1) 推導(dǎo)出第一輪的子密鑰K1(2) 寫出R0 和L0答：（1）將密鑰K經(jīng)置換選擇1，得C0=1111000011001100101010100000D0=1010101011001100111100000000 左移1位后經(jīng)置換選擇2輸出48為K1。 K1=000010100000001001110111100110110100100010100101（2）初始置換后，得到L0=11001100000000001100110011111111R0=1111000010101010111100001010101011.設(shè)密鑰字是LOVE，使用維吉尼亞密碼加密明文串是JACKOZOO，求密文。（寫出詳細(xì)求解過程，直接寫出答案不給分。）答：J對應(yīng)的密文我們查密鑰為L，則在第L行中。找到與第一行中的J對應(yīng)的字母為U。A對應(yīng)的密