10电子商务安全期末复习资料.docx

1、10电子商务安全期末复习资料电子商务安全期末复习题1一、单项选择题 在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填写在题后的括号内。错选、多选或未选均无分。1.TCP/IP 协议安全隐患不包括( )A.拒绝服务 B.顺序号预测攻击C.TCP 协议劫持入侵 D.设备的复杂性2.IDEA 密钥的长度为( )A.56 B.64C.124 D.1283.在防火墙技术中，内网这一概念通常指的是( )A.受信网络 B.非受信网络C.防火墙内的网络 D.互联网4.计算机场、地、站安全要求的国家标准代码是( )A.GB57104-93 B.GB9361-88C.GB50174-88 D.GB

2、9361-935.在Kerberos 中，Client 向本Kerberos 的认证域以内的Server 申请服务的过程分为几个阶段?( )A.三个 B.四个C.五个 D.六个6.信息安全技术的核心是( )A.PKI B.SETC.SSL D.ECC7.Internet 接入控制不能对付以下哪类入侵者? ( )A.伪装者 B.违法者C.内部用户 D.地下用户8.CA 不能提供以下哪种证书? ( )A.个人数字证书 B.SSL服务器证书C.安全电子邮件证书 D.SET服务器证书9.我国电子商务走向成熟的重要里程碑是( )A.CFCA B.CTCAC.SHECA D.RCA10.通常为保证商务对象

3、的认证性采用的手段是( )A.信息加密和解密 B.信息隐匿C.数字签名和身份认证技术 D.数字水印11.关于Diffie-Hellman 算法描述正确的是( )A.它是一个安全的接入控制协议 B.它是一个安全的密钥分配协议C.中间人看不到任何交换的信息 D.它是由第三方来保证安全的12.以下哪一项不在证书数据的组成中? ( )A.版本信息 B.有效使用期限C.签名算法 D.版权信息13.计算机病毒的特征之一是( )A.非授权不可执行性 B.非授权可执行性C.授权不可执行性 D.授权可执行性14.在Kerberos 中，Client 向本Kerberos 认证域外的Server 申请服务包含几个

4、步骤? ( )A.6 B.7C.8 D.915.属于PKI 的功能是( )A.PAA，PAB，CA B.PAA，PAB，DRAC.PAA，CA，ORA D.PAB，CA，ORA16.MD-4 散列算法中输入消息可以任意长度，但要进行分组，其分组的位数是( )A.64 B.128C.256 D.51217.SHA 的含义是( )A.加密密钥 B.数字水印C.安全散列算法 D.消息摘要二、多项选择题在每小题列出的五个备选项中至少有两个是符合题目要求的，请将其代码填写在题后的括号内。错选、多选、少选或未选均无分。21.电子商务系统可能遭受的攻击有( )A.系统穿透 B.植入 C.违反授权原则D.通信

5、监视 E.计算机病毒22.属于公钥加密体制的算法包括( )A.DES B.二重DES C.RSAD.ECC E.ELGamal23.签名可以解决的鉴别问题有( )A.发送者伪造 B.发送者否认 C.接收方篡改D.第三方冒充 E.接收方伪造24.公钥证书的类型有( )A.客户证书 B.服务器证书 C.安全邮件证书D.密钥证书 E.机密证书25.在SET 中规范了商家服务器的核心功能是( )A.联系客户端的电子钱包 B.联系支付网关 C.处理SET 的错误信息D.处理客户的付款信息 E.查询客户帐号信息三、填空题26.美国的可信任的计算机安全评估标准为计算机安全制定了_ _级标准，其中_ _级是最

6、安全的。27.网关业务规则根据其使用的证书以及在网上交易是否遵循SET 标准分为_ _业务规则和_ _业务规则。28.通常通信中涉及两类基本成员，即发信者和接收者。相应地引出两个不可否认性的基本类型，即_ _和_ _。29.网络备份系统目前有_ _备份系统，_ _备份系统和使用专用的备份服务器。30.无可争辩签名是为了防止所签文件被_ _，有利于_ _控制产品的散发。四、名词解释题 31.自主式接入控制32.计算机病毒33.身份证明系统34.PKI35.单钥密码体制五、简答题36.简述双钥密码体制的基本概念及特点。37.简述数据交换时如何利用数字信封来确保接收者的身份。38.电子商务安全的中心

7、内容是什么?39.简述SSL 的体系结构。40.简述防火墙设计原则。41.简述IPSec 的两种工作模式。电子商务安全期末复习题1参考答案一、单项选择题 1.D 2. D 3. A 4. B 5. A 6.A 7. C 8. D 9. A 10.C 11.B 12.D 13.B 14.C 15.C 16.D 17.C 二、多项选择题 21.ABCDE 22.CDE 23.BCDE 24.ABC 25.ABC三、填空题 264；A 27SET标准支付网关；Xon-SET 标准银行 28源的不可否认性；递送的不可否认性 29简单的网络；服务器到服务器30复制；产权拥有者四、名词解释题 31自主式接

8、入控制简记DAC，它是由资源拥有者接入权，在辨别各用户的基础上实现接入控制。每个用户的接入权由数据的拥有者来建立，常以接入控制表或权限表实现。 32计算机病毒是指编制者在计算机程序中插入的破坏计算机功能，或者毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。 33.身份证明系统由3方组成，一方是出示证件的人，称做示证者，又称申请者，提出某种要求；另一方为验证者，检验示证者提出的证件的正确性和合法性，决定是否满足其要求；第三方是可信赖者，用以调解纠纷。 34.PKI即“公钥基础设施”，是一种遵循既定标准的利用公钥密码技术为电子商务的开展提供一套安全基础平台的技术和规范，它能够为

9、所有网络应用提供加密和数字签名等密码服务及所有需的密钥和证书管理体系。 35单钥密码体制是加密和解密使用相同或实质上等同的密钥的加密体制，使用单钥密码体制时，通信双方A，B必须相互交换密钥，当A的发送信息给B时，A用自己的加密密钥进行加密，而B在接收到数据后，用A的密钥进行解密。单钥密码体制又称做密密钥体制或称密钥体制。五、简答题 36.双钥密码体制又称作公共密钥体制或非称加密体制，这种加密法和解密过程中要使用一对密钥，一个用于加密，一个用于解密。（2分）既通过一个密钥加密的信息，只有使用另一个密钥才能解密。这样每个用户都拥有两个密钥：公共密钥和个人密钥，公共密钥用于加密，个人密钥用于解密。用

10、户将公共密钥叫给发送方或公开，信息发送者使用接收人的公共密钥加密的信息只有接收人才能解密。（1） 适合密钥的分配和管理。（2） 算法速度慢，只适合加密小数量的信息。37.发送方用一个随机产生的DES密钥加密信息，然后用接收方的公钥加密DES密钥，形成消息的“数字信封”。发送方将数字信封与DES加密后的消息一起发给接收方。接收者手的袄消息后，先用其私钥打开数字信封，得到发送方的DES密钥后，再用此密钥去解密消息。只有用接收方的RSA私钥才能打开此数字信封，确保了接受者的身份38 （1）商务数据的机密性（2）商务数据的完整（3） 商务对象的人证性（4） 商务服务的不可否认性（5） 商务数据的不可拒

11、绝性（6） 访问的控制性 39.SSL协议共由4个协议组成，它们是SSL记录协议，SSL更改密码规格协议，SSL警报协议，SSL握手协议。1 SSL记录协议，定义了信息交换中所有数据项的格式。其中，MAC是一个定长数据，用于信息的完整性；信息内容是网络的上一层应用层传来的数据；附加数据是加密所产生的附加数据。2 SSL更改密码规格协议由单个消息组成，只有一个值为1的单字节。其目的是使为决状态拷贝为当前状态，更新用于当前连接的密码组。3 SSL警报协议用于传送SSL的有关警报。4 SSL握手协议用于客户/服务器之间相互人证，协商加密和MAC算法，传送所需的公钥证书，建立SSL记录协议处理完整性校

12、验和加密所需的会话密钥 40. 由内到外和由外到内的业务流必须经过防火墙； 只允许本地安全政策认可的业务流通过防火墙； 尽可能控制外部用户访问内域网，应严格限制外部用户进入内域网； 具有足够的透明性，保证正常业务的流通； 具有抗穿透攻击能力、强化记录、审记和报警。41. 一是传输模式，为源到目的之间已存在的IP包提供安全性；IPSee传输模式被用于在端到端的两个通信实体仔肩提供IP传输的安全性，如为TCP连接或UDP数据报连接提供安全性。传输模式也保护了IP包 内容，特别是用于两个主机之间的端对端通讯二是隧道模式，它把一个IP包放到一个新的IP包中，并以IPSee格式发往目的终点：IP包在添加

13、了ESP字段后，整个包以及包的安全字段被认为是新的IP包外层内容，附有新的IP外层包头。原来的包通过“隧道“从一个IP网络起点传输到另一个IP网点，中途的路由器可以检查IP的外层包头，并根据外层包头发往目的端点。因为原来的包已被打包，新的包可能有不同的源地址及目的地址，以达到安全目的。电子商务安全期末复习题2一、单项选择题 在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填写在题后的括号内。错选、多选或未选均无分。 1.计算机病毒最重要的特征是( ) A.隐蔽性 B.传染性 C.潜伏性 D.破坏性 2.在防火墙使用的存取控制技术中对所有进出防火墙的包标头内容进行检查的防火墙属于(

14、 ) A.包过滤型 B.包检验型 C.应用层网关型 D.代理服务型 3.在接入控制的实现方式中，MAC的含义是( ) A.自主式接入控制 B.授权式接入控制 C.选择式接入控制 D.强制式接入控制 4.电子商务的安全需求不包括( ) A.可靠性 B.稳定性 C.真实性 D.完整性 5.Kerberos的局限性从攻击的角度来看，大致有几个方面的问题?( ) A.4 B.5 C.6 D.7 6.通行字的最小长度至少为( ) A.48字节以上 B.68字节以上 C.412字节以上 D.612字节以上 7.不属于公钥证书的类型有( ) A.密钥证书 B.客户证书 C.安全邮件证书 D.CA证书 8.P

15、KI作为安全基础设施，能为不同的用户提供不同安全需要下的多种安全服务，这些服务主要有( ) A.4种 B.5种 C.6种 D.7种 9.由于协议标准得到了IBM、Microsoft等大公司的支持，已成为事实上的工作标准的安全 议是( ) A.SSL B.SET C.HTTPS D.TLS 10.CFCA认证系统采用国际领先的PKI技术，总体为( ) A.一层CA结构 B.二层CA结构 C.三层CA结构 D.四层CA结构 11.CTCA目前提供的安全电子证书，其密钥的长度为( ) A.64位 B.128位 C.256位 D.512位 12.SET协议中用来鉴别信息的完整性的是( ) A.RSA算

16、法 B.数字签名 C.散列函数算法 D.DES算法 13.PKI是公钥的一种管理机制，在宏观上呈现为域结构，在PKI的构成模型中，制定整个体系结构的安全政策的是( ) A.PMA B.PAA C.CA D.OPA 14.SET软件组件中安装在客户端的电子钱包一般是一个( ) A.独立运行的程序 B.浏览器的一个插件 C.客户端程序 D.单独的浏览器 15.在不可否认业务中，用来保护收信人的业务是( ) A.源的不可否认性 B.递送的不可否认性 C.提交的不可否认性 D.专递的不可否认性 16.一个典型的CA系统一般由几个部分组成?( ) A.3 B.4 C.5 D.6 17.以下不是接入控制的

17、功能的是( ) A.阻止非法用户进入系统 B.允许合法用户进入系统 C.使合法人按其权限进行各种信息活动 D.阻止非合法人浏览信息 二、多项选择题在每小题列出的五个备选项中至少有两个是符合题目要求的，请将其代码填写在题后的括号内。错选、多选、少选或未选均无分。 21.认证机构是通过电子证书机制来保证网上通信的合法身份的，在运作过程中，认证机构应提供的服务有( ) A.证书格式的制订 B.证书的颁发 C.证书更新 D.证书废除 E.证书的公布和查询 22.在信息摘要上应用较多的散列函数有( ) A.MD4 B.MD5 C.SHA D.GOST E.HAVAL 23.对Internet的攻击手段中

18、伪造会威胁电子商务安全内容中的( ) A.商务数据的机密性 B.商务数据的完整性 C.商务对象的认证性 D.商务服务的不可否认性 E.商务服务的不可拒绝性 24.密钥管理在密码学中有着重大的作用，在密钥管理中最棘手的问题可能是( ) A.密钥的设置 B.密钥的产生 C.密钥的分配 D.密钥的存储 E.密钥的装入 25.公钥证书的申请方式有( ) A.电话申请 B.Web申请 C.E-Mail申请 D.邮寄申请 E.到认证机构申请 三、填空题请在每小题的空格中填上正确答案。错填、不填均无分。 26.身份证明可以分为 和 两大类。 27.美国的橘黄皮书中为计算机安全的不同级别制定了 个标准，其中C

19、2级又称为 。 28.常用的对数据库的加密方法有 种，其中与DBMS分离的加密方法是 。 29.SHECA数字证书根据应用对象可将其分为 和 。 30.计算机病毒按破坏性分为 和 。 四、名词解释题 31.计算上安全 32.冗余系统 33.双联签名 34.SSL协议 35.域内认证 五、简答题36.简述三重DES加密方法的概念及其算法步骤。 37.在交易双方的通信过程中如何实现源的不可否认性？38.简述对密钥进行安全保护应该采取的措施。 39.电子商务中数据的完整性被破坏后会产生什么样的后果？40.简述我国减低电子商务安全威胁可以采取的对策。 41.试比较SSL协议和SET协议之间的差别。 电

20、子商务安全期末复习题2参考答案一、单项选择题 1. B 2. A 3. D 4. B 5. C 6. D 7. A 8. B 9. B 10.C 11.D 12.C 13.B 14.B 15.A 16.C 17.D 二、多项选择题 21.BCDE 22.ABC 23.ABC 24.CD 25.BCE三、填空题 26身份证实，身份识别 274，访问控制保护级 283，加密桥技术 29个人用户证书，服务器证书30良性病毒，恶性病毒四、名词解释题 31.如果一个密码体制对于拥有有限资源的破译者来说是安全的，则称这样的密码体制是计算上安全的，计算上安全的密码表明破译的难度很大。32.冗余系统是系统中除

21、了正常的部件以外，还配制出的备份部件，当正常的部件出现故障时，备份部件能够立即代替它继续工作。33.在一次电子商务活动过程中可能同时有两个联系的消息M1 和M2 ,要对它们同时进行数字签名。34.SSL是基于TCP/IP的安全套接层（Secure Sockets Layer）协议，由Netscape开发，是服务器与客户机之间安全通信的加密机制，用一个密钥加密在SSL连接上传输的数据。35.是指Client向本Kerberos的认证域以内的Server申请服务的过程。五、简答题36.三重DES加密方法是在双重DES加密方法上的改进，是用两个密钥对明文进行三次加密。（1分）假设两个密钥是K1 和K

22、2 ，其算法步骤是：（1） 用密钥K1 进行DES加密；（2） 用K2 对步骤（1）的结果进行DES解密；（3） 用K1 对步骤（2）的结果进行DES加密。 37.（1）源的数字签名；（2）可信赖第三方的数字签名；（3）可信赖第三方对消息的杂凑值进行签字；（4）可信赖第三方持证；（5）线内可信赖第三方； （6）上述方法的适当组合。 38.（1）密钥按算法生成后，首先将私钥送给用户，如需备份，应保证其安全性，将公钥送给CA,用以生成相应的证书。（2）为防止未授权用户对密钥的访问，应将密钥存入防窜扰硬件中，或加密后存入计算机的文件中。（3）定期更换密钥对。 39.（1）造成直接的经济损失，如价格，

23、定单数量被改变等；（2）影响一个供应链上许多厂商的经济活动；（3）可能造成过不了“关”； （4）会牵涉到经济案件中； （5）造成电子商务经营的混乱与不信任。 40.（1）加快我国自主知识产权的计算机网络和电子商务安全产品的研制和开发；（2）严格执行我国关于计算机信息系统安全的相关规定来规范企业电子商务设施的建设和管理；（3）保密业务；（4）认证业务； （5）接入控制业务；（6）数据完整性业务；（7）不可否认业务。41.（1）在使用目的和场合上，SET主要用于信用卡交易，传递电子现金，SSL主要用于购买信息的交流，传递电子商贸信息；（2）在安全性方面，SET要求很高，SSL要求很低；（3）在交易

24、对象的资格方面，SET要求所有参与者必须先申请数字证书来识别身份。SSL通常只需要商家的服务认证；（4）在实施费用方面，SET较高，SSL较低；（5）在使用情况方面，SET普及率较低，SSL较高。 电子商务安全期末复习题3及参考答案1 简述保护数据完整性的目的，以及其被破坏会带来的严重后果。答：保护数据完整性的目的就是保证计算机系统上的数据和信息处于一种完整和未受损害的状态。这意味着数据不会由于有意或无意的事件而被改变和丢失。数据完整性被破坏会带来严重的后果：（1）造成直接的经济损失，如价格，订单数量等被改变。（2）影响一个供应链上许多厂商的经济活动。一个环节上数据完整性被破坏将使供应链上一连

25、串厂商的经济活动受到影响。（3）可能造成过不了“关”。有的电子商务是与海关，商检，卫检联系的，错误的数据将使一批贷物挡在“关口”之外。（4）会牵涉到经济案件中。与税务，银行，保险等贸易链路相联的电子商务，则会因数据完整性被破坏牵连到漏税，诈骗等经济案件中。（5）造成电子商务经营的混乱与不信任。2.简述散列函数应用于数据的完整性。答：可用多种技术的组合来认证消息的完整性。为消除因消息被更改而导致的欺诈和滥用行为，可将两个算法同时应用到消息上。首先用散列算法，由散列函数计算机出散列值后，就将此值消息摘要附加到这条消息上。当接收者收到消息及附加的消息摘要后，就用此消息独自再计算出一个消息摘要。如果接

26、收者所计算出的消息摘要同消息所附的消息摘要一致，接收者就知道此消息没有被篡改。3.数字签名与消息的真实性认证有什么不同？答：数字签名与消息的真实性认证是不同的。消息认证是使接收方能验证消息发送者及所发信息内容是否被篡改过。当收发者之间没有利害冲突时，这对于防止第三者的破坏来说是足够了。但当接收者和发送者之间相互有利害冲突时，单纯用消息认证技术就无法解决他们之间的纠纷，此是需借助数字签名技术。4.数字签名和手书签名有什么不同？答：数字签名和手书签名的区别在于：手书签名是模拟的，因人而异，即使同一个人也有细微差别，比较容易伪造，要区别是否是伪造，往往需要特殊专家。而数字签名是0和1的数字串，极难伪

27、造，不需专家。对不同的信息摘要，即使是同一人，其数字签名也是不同的。这样就实现了文件与签署的最紧密的“捆绑”。5.数字签名可以解决哪些安全鉴别问题？ 答：数字签名可以解决下述安全鉴别问题：（1）接收方伪造：接收方伪造一份文件，并声称这是发送方发送的；（2）发送者或收者否认：发送者或接收者事后不承认自己曾经发送或接收过文件；（3）第三方冒充：网上的第三方用户冒充发送或接收文件；（4）接收方篡改：接收方对收到的文件进行改动。6.无可争辩签名有何优缺点？答：无可争辩签名是在没有签名者自己的合作下不可能验证签名的签名。 无可争辩签名是为了防止所签文件被复制，有利于产权拥有者控制产品的散发。适用于某些应

28、用，如电子出版系统，以利于对知识产权的保护。在签名人合作下才能验证签名，又会给签名者一种机会，在不利于他时可拒绝合作，因而不具有“不可否认性”。无可争辩签名除了一般签名体制中的签名算法和验证算法外，还需要第三个组成部分，即否认协议：签名者利用无可争辩签名可向法庭或公众证明一个伪造的签名的确是假的；但如果签名者拒绝参与执行否认协议，就表明签名真的由他签署。8.计算机病毒是如何产生的？答：计算机病毒是人为产生的，是编制者在计算机程序中插入的破坏计算机功能，或进毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。10简述容错技术的目的及其常用的容错技术。答：容错技术的目的是当系统发生

29、某些错误或故障时，在不排除错误和故障的条件下使系统能够继续正常工作或者进入应急工作状态。容错技术最实用的一种技术是组成冗余系统。冗余系统是系统中除了配置正常的部件以外，还配制出的备份部件。当正常的部件出现故障时，备份部件能够立即取代它继续工作。当然系统中必须另有冗余系统的管理机制和设备。另有一种容错技术是使用双系统。用两个相同的系统共同承担同一项任务，当一个系统出现故障时，另一系统承担全部任务。11.现在网络系统的备份工作变得越来越困难，其原因是什么？答：其原因是网络系统的复杂性随着不同的操作系统和网络应用软件的增加而增加。此外，各种操作系统，都自带内置软件的备份，但自动备份和文件管理上都是很基本的，功能不足。12.简述三种基本的备份系统。答：（1）简单的网络备份系统：在网络上的服务器直接把数据通过总线备份到设备中。也可把数据通过对网络经过专用的工作站备份到工作站的设备中。（2）服务器到服务器的备份：在网络上的一个服务器除了把数据通过总线备份到自己设备中以外，同时又备份到另一个服务器上。（3）使用专用的备份服务器：不同于第二种中所说的另一类服务器，它主要的任务是为网络服务的服务器，使用专用服务器可以使备份工作更加可靠。三、名词解释 1. 电子商务