电子商务安全导论名词解释简答题doc.docx

1、电子商务安全导论名词解释简答题doc名词解释1，电子商务是建立在电子技术基础上的商业运作，是利用电子技术加强，加快，扩展，增强，改变了其有关过程的商务。2，EDI电子数据交换是第一代电子商务技术，实现BTOB方式交易。3，BTOB企业机构间的电子商务活动。4，BTOC企业机构和消费者之间的电子商务活动。5，intranet是指基于TCP/IP协议的企业内部网络，它通过防火墙或其他安全机制与intranet建立连接。intranet上提供的服务主要是面向的是企业内部。6，Extranet是指基于TCP/IP协议的企业处域网，它是一种合作性网络。7，商务数据的机密性商务数据的机密性或称保密性是指信

2、息在网络上传送或存储的过程中不被他人窃取，不被泄露或披露给XX的人或组织，或者经过加密伪装后，使XX者无法了解其内容。8，邮件炸弹是攻击者向同一个邮件信箱发送大量的垃圾邮件，以堵塞该邮箱。10，TCP劫持入侵是对服务器的最大威胁之一，其基本思想是控制一台连接于入侵目标网的计算机，然后从网上断开，让网络服务器误以为黑客就是实际的客户端。被动攻击是攻击者不介入Internet中的信息流动，只是窃听其中的信息。被动攻击后，被攻击的双方往往无法发现攻击的存在。11，HTTP协议的“有无记忆状态”即服务器在发送给客户机的应答后便遗忘了些次交互。TELNET等协议是“有记忆状态”的，它们需记住许多关于协议

3、双方的信息，请求与应答。1，明文原始的，未被伪装的消息称做明文，也称信源。通常用M表示。2，密文通过一个密钥和加密算法将明文变换成一种伪信息，称为密文。通常用C表示。3，加密就是用基于数学算法的程序和加密的密钥对信息进行编码，生成别人难以理解的符号，即把明文变成密文的过程。通常用E表示。4，解密由密文恢复成明文的过程，称为解密。通常用D表示。5，加密算法对明文进行加密所采用的一组规则，即加密程序的逻辑称做加密算法。6，解密算法消息传送给接收者后，要对密文进行解密时所采用的一组规则称做解密算法。7，密钥加密和解密算法的操作通常都是在一组密钥的控制下进行的，分别称作加密密钥和解密密钥。通常用K表示

4、。主密钥多层次密钥系统中，最高层的密钥也叫作主密钥。无条件安全若它对于拥有无限计算资源的破译者来说是安全的，则称这样的密码体制是无条件安全的。计算上安全如若一个密码体制对于拥有有限资源的破译者来说是安全的，则称这样的密码体制是计算上安全的，计算上安全的密码表明破译的难度很大。多字母加密是使用密钥进行加密。密钥是一组信息（一串字符）。同一个明文进过不同的密钥加密后，其密文也会不同。8，单钥密码体制是加密和解密使用相同或实质上等同的密钥的加密体制。使用单钥密码体制时，通信双方AB必须相互交换密钥，当A发信息给B时，A用自己的加密密钥进行加密，而B在接收到数据后，用A的密钥进行解密。单钥密码体制又称

5、为秘密密钥体制或对称密钥体制。9，双钥密码体制 又称作公共密钥体制或非对称加密体制，这种加密法在加密和解密过程中要使用一对密钥，一 个用与加密，另一上用于解密。即通过一个密钥加密的信息，只有使用另一个密钥才能够解密。这样每个用户都拥有两个密钥公共密钥和个人密钥，公共密钥用于加密钥，个人密钥用于解密。用户将公共密钥交给发送方或公开，信息发送者使用接收人的公共密钥加密的信息只有接收人才能解密。1，数据的完整性数据的完整性是指数据处于“一种未受损的状态”和“保持完整或未被分割的品质或状态”。散列函数是将一个长度不确定的输入串转换成一个确定的输出串称为散列值2，数字签名是利用数字技术实现在网络传送文件

6、时，附加个人标记，完成系统上手书签名盖章的作用，以表示确认，负责，经手等。3，双钥密码加密它是一对匹配使用的密钥。一个是公钥，是公开的，其他人可以得到；另一个是私钥，为个人所有。这对密钥经常一个用来加密，一个用来解密。4，数字信封发送方用一个随机产生的DES密钥加密消息，然后用接收方的公钥加密DES密钥，称为消息的“数字信封”，将数字信封与DES加密后的消息一起发给接收方。接收者收到消息后，先用其私钥找开数字信封，得到发送方的DES密钥，再用此密钥去解密消息。只有用接收方的RSA私钥才能够找开此数字信封，确保了接收者的身份。5，混合加密系统综合利用消息加密，数字信封，散列函数和数字签名实现安全

7、性，完整性，可鉴别和不可否认。成为目前信息安全传送的标准模式，一般把它叫作“混合加密系统”，被广泛采用。6，数字时间戳如何对文件加盖不可篡改的数字时间戳是一项重要的安全技术。数字时间戳应当保证：（1）数据文件加盖的时间戳与存储数据的物理媒体无关。（2）对已加盖时间戳的文件不可能做丝毫改动。（3）要想对某个文件加盖与当前日期和时间不同时间戳是不可能的。7，无可争辩签名是在没有签名者自己的合作下不可能验证签名的签名。无可争辩签名是为了防止所签文件被复制，有利于产权拥有者控制产品的散发。8，消息认证是使接收方能验证消息发送者及所发信息内容是否被篡改过。9，确定性数字签名其明文与密文一一对应，它对一特

8、定消息的签名不变化。10，随机式数字签名根据签名算法中的随机参值，对同一消息的签名也有对应的变化。11，盲签名一般数字签名中，总是要先知道文件内容而后才签署，这正是通常所需要的。但有时需要某人对一个文件签名，但又不让他知道文件内容，称为盲签名。12，完全盲签名设1是一位仲裁人，2要1签署一个文件，但不想让他知道所签的文件内容是什么，而1并不关心所签的内容，他只是确保在需要时可以对此进行仲裁，这时便可通过完全盲签名协议实现。完全盲签名就是当前对所签署的文件内容不关心，不知道，只是以后需要时，可以作证进行仲裁。13，双联签名在一次电子商务活动过程中可能同时有两个联系的消息M1和M2，要对它们同时进

9、行数字签名。1，备份是恢复出错系统的办法之一，可以用备份系统将最近的一次系统备份恢复到机器上去。2，归档是指将文件从计算机的存储介质中转移到其他永久性的介质上的，以便长期保存的过程。3，计算机病毒是指编制者在计算机程序中插入的破坏计算机功能的程序，或者毁灭数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。4，镜像技术是数据备份技术的一种，主要有网络数据镜像，远程镜像磁盘等。5，网络物理安全指物理设备可靠，稳定运行环境，容错，备份，归档和数据完整性预防。6，奇偶校验也是服务器的一个特性。它提供一种机器机制来保证对内存错误的检测，因此，不会引起由于服务器出错而造成数据完整性的丧失。7

10、，引导型病毒是指寄生在磁盘引导区或主引导区的计算机病毒。8，文件型病毒是指能够寄存在文件中的计算机病毒。这类病毒程序感染可执行文件或数据文件。9，良性病毒是指那些只是为了表现自身，并不彻底破坏系统和数据，但会大量占用CPU时间，增加系统开销，降低系统工作效率的一类计算机病毒。10，恶性病毒是指那些一旦发作后，就会破坏系统或数据，造成计算机系统瘫痪的一类计算机病毒。1，防火墙是一类防范措施的总称，它使得内部网络与Internet之间或者与其他外部网络相互隔离、限制网络互访，用来保护内部网络。2，非受信网络一般指的是外部网络。3，扼制点提供内、外两个网络间的访问控制，使得只有被安全策略明确授权的信

11、息流才被允许通过，对两个方向的信息流都能控制。6，VPN（虚拟专用网）是指通过一个公共网络（通常是internet）建立一个临时的、安全的连接，是一条穿越混乱的公用网络的安全、稳定的隧道，它是对企业内部网的扩展。虚拟专用拨号网络VPDN用户利用拨号网络访问企业数据中心，用户从企业数据中心获得一个私有地址，但用户数据可跨公共数据网络传输。虚拟租用线路VLL是基于虚拟专线的一种VPN，它在公网上开出各种隧道，模拟专线来建立VPN。虚拟专用LAN子网段VPLS，是在公网上用隧道协议仿真出来一个局域网，透明地提供跨越公网的LAN服务。DMZ为了配置管理方便，内网中需要向外提供服务的服务器往往放在一个单

12、独的网段，这个网段便是非军事化区DMZ区。IPsec是一系列保护IP规则的集合，制定了通过公有网络传输私有加密信息的途径和方式。它提供的安全服务包括私有性、真实性、完整性和重传保护。Intranet VPN即企业的总部与分支机构间通过公网构筑的虚拟网。Access VPN又称拨号VPN，是指企业员工或企业的小分支机构通过公网远程拨号的方式构筑的虚拟网。Extranet VPN及企业间发生收购、兼并或企业间建立战略联盟后，使不同企业网通过公网来构筑的虚拟网。接入控制接入或访问控制是保证网络安全的重要手段，它通过一组机制控制不同级别的主体对目标资源的不同授权访问，在对主体认证之后实施网络资源安全管

13、理使用。 自主式接入控制简记为DAC。它由资源拥有者分配接入权，在辨别各用户的基础上实现接入控制。每个用户的接入权由数据的拥有者来建立，常以接入控制表或权限表实现。强制式接入控制简记为MAC。它由系统管理员来分配接入权限和实施控制，易于与网络的安全策略协调，常用敏感标记实现多级安全控制。加密桥技术一种在加/解密卡的基础上开发加密桥的技术，可实现在不降低加密安全强度旁路条件下，为数据库加密字段的存储、检索、索引、运算、删除、修改等功能的实现提供接口，并且它的实现是与密码算法、密码设备无关的（可使用任何加密手段）接入权限表示主体对客体访问时可拥有的权利。接入权要按每一对主体客体分别限定，权利包括读

14、，写，执行等，读写含义明确，而执行权指目标为一个程序时它对文件的查找和执行。1，拒绝率或虚报率（型错误率）是指身份证明系统的质量指标为合法用户遭拒绝的概率。2，漏报率（型错误率）是指非法用户伪造身份成功的概率。3，通行字通行字是一种根据已知事物验证身份的方法，也是一种研究和使用最广的身份验证法。Kerberos是一种典型的用于客户机和服务器认证的认证体系协议，它是一种基于对称密码体制的安全认证服务系统。4，域内认证是指CLIENT向本KERBEROS的认证域以内的SERVER申请服务的过程。5，域间认证是指CLIENT向本KERBEROS的认证域以外的SERVER申请服务的过程。验证者身份证明

15、系统中检验示证者提出的证件的正确性和合法性并决定是否满足其要求的一方。1，数字认证是指用数字办法确认、鉴定、认证网络上参与信息交流者或服务器的身份。数字证书是一个担保个人、计算机系统或者组织的身份和密钥所有权的电子文档。2，公钥证书它将公开密钥与特定的人，器件或其他实体联系起来。公钥证书是由证书机构签署的，其中包含有持证者的确切身份。3，公钥数字证书网络上的证明文件，证明双钥体制中的公钥所有者就是证书上所记录的使用者。4，单公钥证书系统一个系统中所有的用户公用同一个CA。5，多公钥证书系统用于不同证书的用户的互相认证。6，客户证书证实客户身份和密钥所有权。7，服务器证书证实服务器的身份和公钥。

16、8，安全邮件证书证实电子邮件用户的身份和公钥。9，CA证书证实CA身份和CA的签名密钥。10，证书机构CA用于创建和发布证书，它通常为一个称为安全域的有限群体发放证书。11，安全服务器面向普通用户，用于提供证书申请、浏览、证书吊销表以及证书下载等安全服务。12，CA服务器是整个证书机构的核心，负责证书的签发。是整个CA体系结构中最为重要的部分，存有CA的私钥以及发行证书的脚本文件。注册机构RA服务器登记中心服务器面向中心操作员，在CA体系结构中起承上启下的作用，一方面向CA转发安全服务器传输过来的证书申请请求，另一方面向LDAP服务器和安全服务器转发CA颁发的数字证书和证书撤销列表。13，LD

17、AP服务器提供目录浏览服务，负责将注册机构服务器传输过来的用户信息以及数字证书加入到服务器上。14，数据库服务器是认证机构的核心部分，用于认证机构数据，日志和统计信息的存储和管理。PKI即公钥基础设施，是一种遵循既定标准的利用公钥密码技术为电子商务的开展提供一套安全基础平台的技术和规范，它能够为所有网络应用提供加密和数字签名等密码服务及所需的密钥和证书管理体系。证书政策是一组规则，指出一个证书对一组特定用户或应用的可适用性，表明它对于一个特定的应用和目的是否可用的，它构成了交叉验证的基础。政策审批机构PAA制定整个体系结构的安全策略，并制定所有下级机构都要遵循的规章制度，主要是证书政策和证书使

18、用规定。证书使用规定综合描述了CA对证书政策的各项要求的实现方法。认证服务身份鉴别和识别，就是确认实体即为自己所声明的实体，鉴别身份的真伪。不可否认性服务是指从技术上保证实体对其行为的认可。公证服务是指数据认证，即公证人要证明的是数据的有效性和正确性，这种公证取决于数据验证的方式。源的不可否认性用于防止或解决出现有关是否一个特定实体发了一个特定的数据、源在某个特定时刻出现、或者两者都有的分歧。递送的不可否认性用于防止或解决出现有关是否一个特定实体收到了一个特定的数据项、递送在特定时刻出现、或者两者都有的分歧，目的是保护发信人。提交的不可否认性用于防止或解决出现有关是否一个特定参与者传送或提交了

19、一个数据项、提交出现的时刻、或者两者都有的分歧，目的是保护发信人。单位注册机构帮助远离CA的端实体在CA处注册并获得证书。密钥管理处理密钥自产生到最终销毁的整个过程中的有关问题，包括系统的初始化、密钥的产生、存储、备份/恢复、装入、分配、保护、更新、控制、丢失、吊销和销毁等内容。证书更新当证书持有者的证书过期、证书被窃取、受到攻击时通过更新证书的方法，使其新的证书继续参与网上认证。证书的更新包括证书的更换和证书的延期两种情况。SSL协议P71是基于TCP/IP的安全套接层协议，由Netscape开发，是服务器与客户机之间安全通信的加密机制，用一个密钥加密在SSL连接上传输的数据。TLS协议传输

20、层安全协议，是在传输层对IETF安全协议的标准化，制定的目的是为了在因特网上有一种统一的SSL标准版本。目前的TLS标准协议与SSL的Version 3很接近，由TLS记录协议和TLS握手协议组成。SET协议安全数据交换协议，是一种以信用卡为基础的、在Internet上交易的付款协议，是授权业务信息传输的安全标准，它采用RSA密码算法，利用公钥体系对通信双方进行认证，用DES等标准加密算法对信息进行加密传输，并用散列函数算法来鉴别信息的完整性。电子钱包是安装在消费者客户端计算机上，并符合SET规格的软件，电子钱包处理客户端的所有SET信息。支付网关是Internet电子商务网站上的一个站点，负

21、责接收来自商店服务器送来的Set付款数据，再转换成银行网络的格式，传送给收到银行处理。它是一个SET付款信息与现有银行网络的转接处，是必不可少的机构。SSL记录协议定义了信息交换中所有数据项的格式，包括MAC、信息内容、附加数据。MAC是一个定长数据，用于信息的完整性；信息内容是网络的上一层-应用层传来的数据，如HTTP信息；附加数据是加密后所产生的附加数据。SSL握手协议用于客户机/服务器之间的相互认证，协商加密和MAC算法，传送所需的公钥证书，建立SSL记录协议处理完整性校验和加密所需的会话密钥。持卡人持信用卡购买商品的人，包括个人消费者和团体消费者，按照网上商店的表单填写，通过由发卡银行

22、发行的信用卡进行付费。网上商店在网上的符合SET规格的电子商店，提供商品或服务，它必须是具备相应电子货币使用的条件，从事商业交易的公司组织。收单银行通过支付网关处理持卡人和商店之间的交易付款问题事务。接受来自商店端送来的交易付款数据，向发卡银行验证无误后，取得信用卡付款授权以供商店清算。发卡银行电子货币发行公司或兼有电子货币发行的银行。在交易过程前，发卡银行负责查验持卡人的数据，如果查验有效，整个交易才能成立。在交易过程中负责处理电子货币的审核和支付工作。认证中心CA可信赖、公正的认证组织。接受持卡人、商店、银行以及支付网关的数字认证申请，并管理数字证书的相关事宜，如制定核发准则、发行和注销数

23、字证书等。负责对交易双方的身份确认，对厂商的信誉度和消费者的支付手段和支付能力进行认证。HTTPS协议是使用SSL的HTTP，目的是在SSL连接上安全地传送单个消息。商店服务器是商店提供SET服务的软件。负责处理商店端的交易信息，包括与客户端的电子钱包软件沟通，取得客户的信用卡相关数据，另外也必须与支付网关联系取得银行端来的付款信息。CFCA是由中国人民银行牵头，联合十四家全国性商业银行共同建立的国家级权威金融认证机构，是国内唯一一家能够全面支持电子商务安全支付业务的第三方网上专业信任服务机构。CTCA中国电信CA安全认证系统，于2000年5月12日正式向社会发放CA证书，并向社会免费公布CT

24、CA安全认证系统的接口标准。目前可以在全国范围内向用户提供CA证书服务。SHECA上海市电子商务安全证书管理中心，是信任服务和安全认证服务的专业提供商，通过提供在线的信任服务，为电子商务和网上作业保驾护航。是国内较早建立的CA认证中心，创建于1998年，经过国家批准并被列为信息产业部全国示范工程。目前已经成为中国互联网网络安全和信任服务的骨干。CFCA的体系结构采用国际领先的PKI技术，总体为三层CA结构，第一层为跟CA，第二层为政策CA，可向不同行业、领域扩展信用范围，第三层为运营CA，根据证书运作规范CPS发放证书。运营CA由CA系统和证书注册审批机构RA两大部分组成。网上银行是指商业银行

25、将其传统的柜台业务拓展到Internet上，用户访问其Web Server进行在线的实时查询、转账、汇款、开户等业务。网上证券可分为网上炒股和网上银证转账，网上炒股是股民和证券公司之间发生的交易。网上银证转账是指股民通过Internet将资金在银行股民账户和证券公司账户之间划入或划出，是涉及股民、证券公司、银行的三方交易。历年考题SET的技术范围 P142090136.简述电子商务发展的四个阶段。37.简述DES加密算法的加密运算法则。38.数字签名可以解决哪些安全鉴别问题？39.设置防火墙的目的及主要作用是什么？40.简述有效证书应满足的条件。41.简述实现递送的不可否认性机制的方法。081

26、036.简述电子商务系统可能遭受攻击的类型。37.简述使用DiffieHellman密钥交换协议交换密钥的步骤。38.简述使用MD5算法的基本过程。39.简述防火墙的基本组成部分。40.简述公钥证书包含的具体内容。41.简述电子钱包的功能。080136.简述选择VPN解决方案时需要考虑的要点。37.电子商务可靠性的含义是什么？38.简述认证机构提供的新证书发放的过程。39.数字签名可以解决哪些安全鉴别问题？40.系统身份证明是如何实现的？41.简述计算机病毒的防治策略。071036简述DAC方式易受到攻击的原因。37在我国制约VPN的发展、普及的因素有哪些？38双钥密码体制加密为什么可以保证数

27、据的机密性和不可否认性？39请列出公钥证书的类型并简述其作用。40简述SET的购物过程。41PKI作为安全基础设施，能为用户提供哪些服务？070136.列举单钥密码体制的几种算法。37.简述PKI的服务。38.简述对Internet攻击的类型。39.简述证书机构（CA）的组成及各部分作用。40.简述防火墙不能解决的主要问题。41.简述SET安全协议要达到的目标。061036.简述三重DES加密方法的概念及其算法步骤。37.在交易双方的通信过程中如何实现源的不可否认性？38.简述对密钥进行安全保护应该采取的措施。39.电子商务中数据的完整性被破坏后会产生什么样的后果？40.简述我国减低电子商务安

28、全威胁可以采取的对策。41.试比较SSL协议和SET协议之间的差别。060136电子商务的安全需求包含哪些方面?37简述数字签名的基本原理。38简述美国可信任的计算机安全评估标准中C1级和C2级的要求。39简述认证机构提供的四个方面的服务。40简述VPN的优点。41简述数据完整性。051036.简述双钥密码体制的基本概念及特点。37.简述数据交换时如何利用数字信封来确保接收者的身份。38.电子商务安全的中心内容是什么?39.简述SSL的体系结构。40.简述防火墙设计原则。41.简述IPSec的两种工作模式。六、论述题（本大题共1小题，共15分）42.试述混合加密系统的实施过程。090142.试

29、述RSA加密算法中密钥的计算方法 081042.试比较SSL与SET的差异并论述在电子商务安全中的应用前景。080142对比传统手写签名来论述数字签名的必要性。071042.试述数字签名的实际使用原理。070142.试述按接入方式虚拟专用网VPN解决方案的种类 061042试述SET实际操作的全过程。060142.试述公钥证书的申请和吊销的过程。0510 简述橘黄皮书制定的计算机安全等级内容1) 制定了4个标准，由低到高为D，C，B，A2) D级暂时不分子级，B级和C级是常见的级别。每个级别后面都跟一个数字，表明它的用户敏感程度，其中2是常见的级别3) C级分C1和C2两个子级，C2比C1提供

30、更多的保护，C2要求又一个登录过程，用户控制指定资源，并检查数据追踪4) B级分B1、B2、B3三个子级，由低到高，B2要求有访问控制，不允许用户为自己的文件设定安全级别5) A级为最高级，暂时不分子级，是用户定制的6) 每级包括它下级的所有特性，这样从从低到高是D，C1，C2，C3，B1，B2，B3，A简述web站点可能遇到的安全威胁P167) 安全信息被破译8) 非法访问9) 交易信息被截获10) 软件漏洞被利用11) 当CGI脚本编写的程序或其他涉及远程用户从浏览器输入表格并进行像检索之类在主机上直接执行命令时，会给web主机系统造成危险论述产生电子商务安全威胁的原因P131) 在因特网上传输的信息，从起点到目标结点之间的路径是随机选择的，此信息在到达目标之前会通过许多中间结点，在任一结点，信息都有可能被窃取、篡改或删除。2) Internet在安全方面的缺陷，包括a) Internet各环节的安全漏洞b) 外界攻击，对Internet的攻击有截断信息、伪造、篡改、介入c) 局域网服务和相互信任的主机安全漏洞d) 设备或软件的复杂性带来的安全隐患3) TCP/IP协议及其不安全性，a) IP协议的安全隐患，存在针对IP的拒绝服务攻击、IP的顺序号预测攻击、TCP劫持入侵、嗅探入侵b) HTTP和web的不