信息系統(tǒng)安全離線作業(yè)

1、浙江大學遠程教育學院信息系統(tǒng)安全課程作業(yè)姓名：學 號：年級：14春學習中心：浙大西溪第一次作業(yè)一、判斷題提示：此題為客觀題，進入“在線”完成。 二、選擇題提示：此題為客觀題，進入“在線”完成。 三、簡答題1、 SIM卡是（Subscriber Identity Model 客戶識別模塊）的縮寫，也稱為智能卡、用戶身份識別卡, GSM數(shù)字移動電話機必須裝上此卡方能使用。一般SIM卡的IC芯片中，有8kB的存儲容量，可供儲存以下信息: (1) 100組電話號碼及其對應的姓名文字。(2) 15組短信息(Short Message)。(3) 5組以上最近撥出的號碼。(4) 4位SIM卡密碼(PIN)。

2、SIM卡有兩個PIN碼:PIN1碼和PIN2碼。通常講的PIN碼就是指PIN1碼，它用來保護SIM卡的安全，加密SIM卡中的數(shù)據(jù)，是屬于SIM卡的密碼。PIN2碼跟網(wǎng)絡的計費（如儲值卡的扣費等）和SIM卡內部資料的修改有關。某間諜被國家安全部門抓獲，將手機SIM卡咬碎成幾個部分。國家安全部門將SIM卡的各部分數(shù)據(jù)恢復整合，獲得部分聯(lián)系人信息。問國家安全部門需要進行哪些流程。（視頻教學內容第13、14章）1） SIM被咬碎成幾個部分，首先需要把每個部分存儲的IC芯片中的數(shù)據(jù)讀出2） 根據(jù)咬碎幾個部分的幾何位置，恢復原SIM卡中8KB數(shù)據(jù)3） 恢復的8KB數(shù)據(jù)是加密過的數(shù)據(jù)，屬于密文4） 需要破解

3、PIN1碼，PIN碼只有4位，可以窮舉從0000到9999。5） 用PIN1碼解密獲得電話號碼、短信、最近撥出的號碼。6） 容易出錯地方：a) PIN2可以不解密。根據(jù)題意，PIN2與計費有關和SIM卡內部資料的修改，不用來加密數(shù)據(jù)2、 銀行卡復制器是一種金融入侵工具，安裝在銀行的柜員機的磁卡入口處，只要卡插入后賬戶資料就被磁卡采集器讀取，同時需要偷看用戶的密碼。然后可以將竊取到的信息寫入空白磁卡。之后在提款機上利用假卡與密碼，將賬戶內存款全數(shù)提走。問如何防范。（視頻教學內容第13、14章）1） 防止信用卡信息被盜用，需要防止磁卡刷卡處增加安裝設備2） 輸入密碼時加遮擋，以免后面的其他人員查看

4、，或被對面街道的高清攝像機拍攝3） 還可以將信用卡從磁卡改成IC卡3、 張三的網(wǎng)游被黑，其道具被盜走，張三向網(wǎng)管投訴。網(wǎng)管調查發(fā)現(xiàn)，張三的賬戶密碼為123456。該密碼屬于世界上最常見密碼之一，包括：123456、12345、123456789、Password、iloveyou、princess、rockyou、1234567、12345678、abc123。密碼強度指一個密碼被非認證的用戶或計算機破譯的難度。 密碼強度通常用“弱”或“強”來形容。高強度的密碼應該是：包括大小寫字母、數(shù)字和符號，且長度不宜過短，最好不少于10位；不包含生日、手機號碼等易被猜出的信息。請問在該事件中，能吸取哪些

5、教訓。（教材第3、4章）1)低強度的密碼，容易被字典共計2)張三應該設置一個高強度的密碼，同時網(wǎng)游應該檢測用戶的密碼強度是否夠強3)張三應該定期修改密碼，同時網(wǎng)游應該提醒用戶定期修改四、設計題1、 閱讀以下材料：（教材第3章）網(wǎng)絡數(shù)據(jù)流竊聽(Sniffer) 由于認證信息要通過網(wǎng)絡傳遞，并且很多認證系統(tǒng)的口令是未經(jīng)加密的明文，攻擊者通過竊聽網(wǎng)絡數(shù)據(jù)，就很容易分辨出某種特定系統(tǒng)的認證數(shù)據(jù)，并提取出用戶名和口令。認證信息截取/重放(Record/Replay) 有的系統(tǒng)會將認證信息進行簡單加密后進行傳輸，如果攻擊者無法用第一種方式推算出密碼，可以使用截取/重放方式。 一次性口令（OTP：One T

6、ime Password）的密碼體制，在登錄過程中加入不確定因素，使每次登錄過程中傳送的信息都不相同，以提高登錄過程安全性。這些不確定因子選擇方式可以是：挑戰(zhàn)/回答(CRYPTOCard)：用戶要求登錄時，系統(tǒng)產(chǎn)生一個隨機數(shù)發(fā)送給用戶。用戶用某種單向算法將自己的秘密口令和隨機數(shù)混合起來發(fā)送給系統(tǒng)，系統(tǒng)用同樣的方法做驗算即可驗證用戶身份。 問題：已知需要設計一個網(wǎng)上登錄界面，依據(jù)上述資料，需要防止竊聽攻擊、重放攻擊，已知每個用戶有一個手機且不會丟失，請設計一個安全的登錄方法。1、 登錄界面包括：用戶名，密碼2、 密碼輸入驗證是正確用戶，如果不是，退出3、 計算機系統(tǒng)將動態(tài)生成的密碼，通過短信發(fā)給

7、用戶4、 用戶使用接收的短信中的密碼登錄。5、 如果輸入錯誤，則密碼失效，需要重復第二步。第二次作業(yè)一、判斷題提示：此題為客觀題，進入“在線”完成。 二、選擇題提示：此題為客觀題，進入“在線”完成。 三、簡答題1、 木馬和病毒的區(qū)別在哪里。（教材第5、6章）最基本的區(qū)別就在于病毒有很強的傳染性及寄生性，而木馬程序則不同，現(xiàn)在木馬技術和病毒的發(fā)展相互借鑒，也使得木馬具有了更好的傳播性，病毒具有了遠程控制能力，這同樣使得木馬程序和病毒的區(qū)別日益模糊2、 簡述木馬的特點（教材第5章）a) 常常偽裝或者隱藏在合法程序中，這些代碼或者執(zhí)行特定的惡意行為，或者為非授權訪問系統(tǒng)的特權功能提供后門。

8、 b) 他們的最大的特征是隱秘性，偷偷混入對方的主機里面，但是卻沒有被對方發(fā)現(xiàn)，系統(tǒng)表現(xiàn)也正常。木馬最大的特點是在系統(tǒng)中潛伏、隱藏，不易發(fā)現(xiàn)，伺機對系統(tǒng)或用戶造成一定的危害3、 簡述計算機病毒的特點（教材第6章）a) 常常偽裝或者隱藏在合法程序中，這些代碼或者執(zhí)行特定的惡意行為，或者為非授權訪問系統(tǒng)的特權功能提供后門。 b) 他們的最大的特征是隱秘性，偷偷混入對方的主機里面，但是卻沒有被對方發(fā)現(xiàn)，系統(tǒng)表現(xiàn)也正常。木馬最大的特點是在系統(tǒng)中潛伏、隱藏，不易發(fā)現(xiàn)，伺機對系統(tǒng)或用戶造成一定的危害4、 為了測試一個軟件中的錯誤，部門經(jīng)理張三有意放入100

9、個錯誤，測試部門經(jīng)過一段時間查出了30個，其中25個錯誤為張三放入的錯誤。請估算該軟件的錯誤總量（包括張三有意放入的錯誤），還有多少錯誤（不包括張三有意放入的錯誤）未檢出。（教材第6章）放入100個錯誤，查出25個，查出率為1/4。 反推上去，30個錯誤，檢出率為1/4，軟件中共120個錯誤，技術該軟件的錯誤總量（包括張三有意放入的錯誤） 這120個錯誤，其中100個是有意放入，5個被檢出，還余下15錯誤（不包括張三有意放入的錯誤）未檢出。四、設計題 （網(wǎng)絡視頻教學內容第13、14章）1、 閱讀下述材料，請設計一套安全機制防御、查出、刪除即時通訊軟件木馬。現(xiàn)在，國內即時通訊

10、軟件百花齊放。QQ、新浪UC、網(wǎng)易泡泡、盛大圈圈網(wǎng)上聊天的用戶群十分龐大。常見的即時通訊類木馬一般有3種：a、發(fā)送消息型。通過即時通訊軟件自動發(fā)送含有惡意網(wǎng)址的消息，目的在于讓收到消息的用戶點擊網(wǎng)址中毒，用戶中毒后又會向更多好友發(fā)送病毒消息。此類病毒常用技術是搜索聊天窗口，進而控制該窗口自動發(fā)送文本內容。發(fā)送消息型木馬常常充當網(wǎng)游木馬的廣告，如“武漢男生2005”木馬，可以通過MSN、QQ、UC等多種聊天軟件發(fā)送帶毒網(wǎng)址，其主要功能是盜取傳奇游戲的帳號和密碼。 b、盜號型。主要目標在于即時通訊軟件的登錄帳號和密碼。工作原理和網(wǎng)游木馬類似。病毒作者盜得他人帳號后，可能偷窺聊天記錄等隱私內容，或將

11、帳號賣掉。 c、傳播自身型。2005年初，“MSN性感雞”等通過MSN傳播的蠕蟲泛濫了一陣之后，MSN推出新版本，禁止用戶傳送可執(zhí)行文件。2005年上半年，“QQ龜”和“QQ愛蟲”這兩個國產(chǎn)病毒通過QQ聊天軟件發(fā)送自身進行傳播，感染用戶數(shù)量極大，在江民公司統(tǒng)計的2005年上半年十大病毒排行榜上分列第一和第四名。從技術角度分析，發(fā)送文件類的QQ蠕蟲是以前發(fā)送消息類QQ木馬的進化，采用的基本技術都是搜尋到聊天窗口后，對聊天窗口進行控制，來達到發(fā)送文件或消息的目的。只不過發(fā)送文件的操作比發(fā)送消息復雜很多。1、 防御木馬病毒a) 木馬查殺（查殺軟件很多，有些病毒軟件都能殺木馬）b) 防火墻（分硬件和軟

12、件），微軟的軟件防火墻c) 不隨便訪問來歷不明的網(wǎng)站，使用來歷不明的軟件2、 查出木馬a) 檢測網(wǎng)絡連接：使用Windows自帶的網(wǎng)絡命令來看看誰在連接你的計算機。b) 禁用不明服務。使用Windows自帶的服務看看哪些服務啟動中。c) 檢查賬戶：檢查默認賬戶，賬戶權限d) 檢查系統(tǒng)啟動運行的程序3、 刪除木馬病毒a) 禁用系統(tǒng)還原b) 將計算機重啟到安全模式c) 掃描和刪除受感染文件啟動防病毒程序，并確保已將其配置為掃描所有文件。第三次作業(yè)一、判斷題提示：此題為客觀題，進入“在線”完成。 二、選擇題提示：此題為客觀題，進入“在線”完成。 三、簡答題1、北京街頭出現(xiàn)一種新型騙錢手段，讓人防不勝

13、防。不法者通過安裝假的ATM機，套取持卡人的卡號和密碼，進而復制銀行卡竊取錢財。宣武區(qū)廣安門外西街街邊一煙酒店門口就出現(xiàn)了一臺假ATM機。6月15日，市民馬先生在此機上插卡查詢，僅得到“無法提供服務”的提示，前天他則發(fā)現(xiàn)卡內5000元金額不翼而飛。請分析其中使用的計算機安全技術。（網(wǎng)絡視頻教學內容第13、14章）1） 欺騙技術，或者是偽裝技術，偽裝成ATM機，獲得卡號和密碼2） 信用卡復制技術2、張三收到李四發(fā)的消息及其數(shù)字簽名，可是李四否認發(fā)送過該消息與簽名，且李四聲稱私鑰未失竊，如果認定？（網(wǎng)絡視頻教學內容第8章）1） 讓李四用其私鑰對消息進行簽名，獲得簽名A2） 從張三處獲得收到的前面B

14、3） 對比兩個簽名A與Ba) 如果一致，則消息是李四發(fā)的b) 如果不一致，則消息是張三偽造的3、簡述數(shù)字信封的實現(xiàn)步驟（網(wǎng)絡視頻教學內容第13、14章）1、使用會話密鑰加密明文；需要會話密鑰，加密函數(shù)；2、從CA得到接收方的證書，并用證書的公鑰對會話密鑰加密；3、讀取接收方證書的ID，把密文，加密的會話密鑰，ID以一定的格式壓縮打包發(fā)送；4、這個包就稱為數(shù)字信封；5、數(shù)字信封拆解是使用私鑰將加密過的數(shù)據(jù)解密的過程。4、一個典型、完整、有效的PKI應用系統(tǒng)包括哪些部分？（教材第14章）完整的PKI系統(tǒng)必須具有權威認證機構(CA)、數(shù)字證書庫、密鑰備份及恢復系統(tǒng)、證書作廢系統(tǒng)、應用接口（API）等

15、基本構成部分。功能包括：1） 公鑰密碼證書管理。 2） 黑名單的發(fā)布和管理。 3） 密鑰的備份和恢復。 4） 自動更新密鑰。 5） 自動管理歷史密鑰。 6） 支持交叉認證。5、防火墻技術和VPN技術有何不同（教材第10章與第8章）防火墻建在你和Internet之間，用于保護你自己的電腦和網(wǎng)絡不被外人侵入和破壞。 VPN是在Internet上建立一個加密通道，用于保護你在網(wǎng)上進行通信時不會被其他人截取或者竊聽。VPN需要通信雙方的配合。6、防火墻能否防止病毒的攻擊？給出理由。（教材第8章）防火墻不能有效地防范像病毒這類東西的入侵。1） 在網(wǎng)絡上傳輸二進制文件的編碼方式太多了，并且有太多的不同的結

16、構和病毒，因此不可能查找所有的病毒。2） 防火墻不能防止數(shù)據(jù)驅動的攻擊：即通過將某種東西郵寄或拷貝到內部主機中，然后它再在內部主機中運行的攻擊。四、設計題（教材第4章以及網(wǎng)絡視頻教學內容第13、14章）1、請分析銀行卡消費欺詐的案例，給出信息安全的解決方案。 1）、 欺詐者首先利用手機向事主發(fā)送短信，稱其信用卡在某商場消費××元，同時告訴事主這筆錢會在月底從銀行卡中扣除，并向事主提供銀行客服電話。 2）、事主看到短信后會撥打所留電話詢問。對方稱自己是銀行的工作人員，告知事主銀行卡正在某商場消費。當事主否認時，該人會讓事主馬上到公安機關報案，立即將卡凍結，并留下報警電話。 3

17、）、事主接通所留下的“報警”電話后，對方自稱是某公安分局或金融犯罪調查科的“警察”，在接受事主報案的同時，告訴事主為減少損失，要立即將卡里所有的錢轉出，并向事主提供銀聯(lián)卡部客服電話，讓事主再次和所謂的銀行聯(lián)系。 4）、事主與所謂的“銀行銀聯(lián)卡中心”聯(lián)系時，對方以向事主提供“保險公司全額擔?！睘槊轮鲹呐c顧慮，讓事主利用銀行ATM機將銀行卡賬戶的錢全部轉移到指定賬戶上。事主按照對方的要求在柜員機上輸入銀行卡密碼，將錢全部轉到對方賬戶上。問題1：分析欺詐原因問題2：給出預防措施a) 不輕信他人b) 不要貪小便宜，踏實做人c) 永遠記住所有移動運營商和銀行的官方電話（比如10086，9558

18、8），而不是短信或其他人提供的電話。d) 要求對方認證2、網(wǎng)絡釣魚是通過大量發(fā)送聲稱來自于銀行或其他知名機構的欺騙性垃圾郵件，意圖引誘收信人給出敏感信息（如用戶名、口令、帳號 ID 、 ATM PIN 碼或信用卡詳細信息）的一種攻擊方式。最典型的網(wǎng)絡釣魚攻擊將收信人引誘到一個通過精心設計與目標組織的網(wǎng)站非常相似的釣魚網(wǎng)站上，并獲取收信人在此網(wǎng)站上輸入的個人敏感信息，通常這個攻擊過程不會讓受害者警覺。這些個人信息對黑客們具有非常大的吸引力，因為這些信息使得他們可以假冒受害者進行欺詐性金融交易，從而獲得經(jīng)濟利益。受害者經(jīng)常遭受顯著的經(jīng)濟損失或全部個人信息被竊取并用于犯罪的目的。請寫出如何防止網(wǎng)絡釣

19、魚的措施。(1)不要輕信天上掉餡餅(2)用好殺毒軟件的反釣魚功能(3)把常用網(wǎng)站放入收藏夾(4)不要打開陌生人給出的鏈接(5)切勿泄露身份資料(6)防火墻(7)最好禁止瀏覽器運行JavaScript和ActiveX代碼(8)安裝SSL證書 第四次作業(yè)（以下題目屬于教材第13章密碼學基礎）一、計算題1.使用DES加密，假設R為(0000 0001 0010 0011)，使用下面的擴展置換對R進行置換寫出擴展后的24位是多少？答：1000 0000 0010 1001 0000 01112.下面是DES的一個S盒, 如果輸入為011001，求輸出。

20、答：如果輸入為011001，則查S盒的行是01(十進制1，即S盒的第2行)，列1100(12，即S盒的第13列)，該處的值是1，那么輸出為00013.假設密鑰是cipher，使用Playfair算法加密Playfair cipher，求密文。（寫出詳細求解過程，直接寫出答案不給分。）由密鑰詞cipher可構建如下的密鑰矩陣：CIPHERABDFGKLMNOQSTUVWXYZ將明文按照兩個字母分組為 pl ay fa ir ci ph er 則密文為 BS DW RB CA IP HE CF 4. HILL加密，已知加密矩陣為，加密后的結果是UUQR，求明文。（寫出詳細求解過程，直接寫出答案不給

21、分。）解密矩陣的逆矩陣：，也就是，除5 的乘法逆元也就是乘以21，可以通過擴展的歐幾里德法計算。則可以得到解密矩陣為，則解密為：*=MEET5.在使用RSA的公鑰體制中，已截獲發(fā)給某用戶的密文為C=10，該用戶的公鑰e = 5, n =35，那么明文M等于多少？（寫出詳細求解過程，直接寫出答案不給分。）答：n=p*q (p和q都是素數(shù))，n=35故解出p=5 ，q=7 ；  （n）=（p-1）*(q-1)=24 ； 又因為e*d1 mod（n），而e=5故可解出d=5； m= cd mod

22、60;n=105 mod 35=56. 設密鑰字是cipher，使用維吉尼亞密碼加密明文串是this cryptosystem is not secure，求密文。（寫出詳細求解過程，直接寫出答案不給分。）答：在明文下面重復寫密鑰字，組成密鑰。 明文M:thiscryptosystemisnotsecure密鑰K:cipherciphercipherciphercip 將明文和密鑰轉化為數(shù)字M=(19,7,8,18,2,17,24,15,19,14,18,24,19,4,12,8,18,13,14,19,18,4,2,20,17,4） K=(2

23、,8,15,7,4,17,2,8,15,7,4,17,2,8,15,7,4,17,2,8,15,7,4,17,2,8,15) 對每個明文數(shù)字和對應的密鑰數(shù)字，使用i=(mi+ki)mod26加密得到的密文數(shù)字為： C=(21,15,23,25,6,8,0,23,8,21,22,15,21,1,19,19,12,9,15,22,8,25,8,19,22,25,19) 于是密文為：  VPXZGIAXIVWPUBTTMJPWIZITWZT7.使用Playfair密碼的加密明文good，密鑰關鍵詞是monarchy，計算加密后的密文。（寫出詳細求解過程，直接寫

24、出答案不給分。）答：構成的密鑰矩陣是：MONARCHYBDEFGI/JKLPQSTUVWXZ將明文按二個字母分組：go     od  密文是：FN   RH8. HILL加密，已知加密矩陣為，加密后的結果是CIBC，求明文。（寫出詳細求解過程，直接寫出答案不給分。）答：解密矩陣的逆矩陣：，也就是，除3 的乘法逆元也就是乘以9，可以通過擴展的歐幾里德法計算。則可以得到解密矩陣為則解密為：* =OURS   明文為：OURS9.利用RSA算法運算，如果p=11，q=13, e=

25、103,對明文3進行加密.求d及密文（寫出詳細求解過程，直接寫出答案不給分。）答：（1）將密鑰K經(jīng)置換選擇1，得  C0=11110000 11001100 10101010 0000   D0=10101010 11001100 11110000 0000    左移1位后經(jīng)置換選擇2輸出48為K1。 K1=00001010 00000010 01110111 10011011 01001000 1010

26、0101  （2）初始置換后，得到 L0=11001100 00000000 11001100 11111111   R0=11110000 10101010 11110000 1010101010.使用DES 加密，假設明文和密鑰都為 (0123456789ABCDEF)16 = (00000001 00100011 01000101 01100111 10001001 10101011 11001101 11101111)2求：(1) 推導出第一輪的子密鑰K1(2) 寫出

27、R0 和L0答：（1）將密鑰K經(jīng)置換選擇1，得  C0=11110000 11001100 10101010 0000   D0=10101010 11001100 11110000 0000    左移1位后經(jīng)置換選擇2輸出48為K1。 K1=00001010 00000010 01110111 10011011 01001000 10100101  （2）初始置換后，得到 

28、L0=11001100 00000000 11001100 11111111   R0=11110000 10101010 11110000 1010101011.設密鑰字是LOVE，使用維吉尼亞密碼加密明文串是JACKOZOO，求密文。（寫出詳細求解過程，直接寫出答案不給分。）答：J對應的密文我們查密鑰為L，則在第L行中。找到與第一行中的J對應的字母為U。A對應的密文我們查密鑰為O，則在第O行中。找到與第一行中的A對應的字母為O。C對應的密文我們查密鑰為V，則在第V行中。找到與第一行中的C對應的字母為X。K對應的密文我們查密鑰為E，則在第E行中。找到與第