网络安全基础应用与标准(第3版)复习题答案

1、网络安全基础 应用与标准书后思考题答案第一章：1、什么是osi安全体系结构？(p6) 一、2安全攻击 安全机制 安全服务2、被动和主动安全威胁之间有什么不同？(p6)被动攻击的本质是窃听或监视数据传输；主动攻击包含数据流的改写和错误数据流的添加3列出并简要定义被动和主动安全攻击的分类？(p6)被动攻击：内容泄漏和流量分析；主动攻击：假冒，重放，改写消息，拒绝服务4、列出并简要定义安全服务的分类？(p9)认证，访问控制，数据机密性，数据完成性，不可抵赖性5、列出并简要定义安全机制的分类？(p11-12)加密，数字签名，访问控制，数据完整性，可信功能，安全标签，事件检测，安全审计跟踪，认证交换，流

2、量填充，路由控制，公证，安全恢复。第二章：1、对称密码的基本因素是什么？(p23)明文，加密算法，秘密密钥，密文，解密算法2、加密算法使用的两个基本功能是什么？(p24)替换和重排3、两个人通过对称密码通信需要多少个密钥？(p24) 一、31个4、分组密码和流密码的区别是什么？(p33)流密码是一个比特一个比特的加密，分组密码是若干比特（定长）同时加密。比如des是64比特的明文一次性加密成密文。密码分析方面有很多不同。比如流密码中，比特流的很多统计特性影响到算法的安全性。密码实现方面有很多不同。比如流密码通常是在特定硬件设备上实现。分组密码既可以在硬件实现，也方便在计算机上软件实现。5、攻击

3、密码的两个通用方法是什么？密钥搜索和穷举方法7、什么是三重加密？(p28)在这种方式里，使用三个不同的密钥对数据块进行三次加密，三重des的强度大约和112-bit的密钥强度相当。三重des有四种模型。（a）使用三个不同密钥，顺序进行三次加密变换（b）使用三个不同密钥，依次进行加密-解密-加密变换（c）其中密钥k1=k3,顺序进行三次加密变换（d）其中密钥k1=k3，依次进行加密-解密-加密变换8、为什么3des的中间部分是解密而不是加密？(p29)3des加密过程中的第二步使用的解密没有密码方面的意义。它的唯一好处是让3des的使用者能够解密原来单重des使用者加密的数据9、链路层加密和端到

4、端加密的区别是什么？(p41)对于链路层加密，每条易受攻击的通信链路都在其两端装备加密设备。所以通信链路的所有通信都受到保护，提供了较高的安全性。对于端到端加密，加密过程在两个端系统上实现。源主机和终端加密数据，该数据以加密过的形式，通过网络不可变更地传输到目的地终端或者主机。10、列出将密钥分发给通信双方的方法。(p42)1.通过物理方法传递。2.依靠第三方通过物理方式传递给通信双方。3.一方用旧密钥加密新密钥传递给另一方。4.采用“密钥分发中心kdc”通过加密链路传递给通信双方。11、会话密钥和主密钥的区别是什么？(p42,p312)主密钥（master key）是被客户机和服务器用于产生

5、会话密钥的一个密钥。这个主密钥被用于产生客户端读密钥，客户端写密钥，服务器读密钥，服务器写密钥。主密钥能够被作为一个简单密钥块输出会话密钥是指：当两个端系统希望通信，他们建立一条逻辑连接。在逻辑连接持续过程中，所以用户数据都使用一个一次性的会话密钥加密。在会话和连接结束时，会话密钥被销毁。12、什么是密钥分发中心？(p43)密钥分发中心判断那些系统允许相互通信。当两个系统被允许建立连接时，密钥分发中心就为这条连接提供一个一次会话密钥。第三章：1、列举消息认证的三种方法：(p48)单向散列函数，消息认证码mac，利用常规加密的消息认证2、什么是mac：(p49)一种认证技术。利用私钥产出一小块数

6、据，并将其附到消息上。这种技术称为消息验证码。3、简述图3.2所示的三种方案：(p50) 一、6a使用传统加密。b.使用公钥加密。c.使用秘密值。4、对于消息认证，散列函数h必须具有什么性质才可以用：(p51)1 h可使用于任意长度的数据块2 h能生成固定长度的输出3 对于任意长度的x，计算h（x）相对容易，并且可以用软/硬件方式实现4对于任意给定值h,找到满足h(x)=h的x在计算机上不可行。5对于任意给定的数据块x,找到满足h（y）=h(x)，的y=!x在计算机上是不可行的。6找到满足h（x）=h(y)的任意一对（x,y）在计算机上是不可行的。5、对于散列函数的内容，压缩函数是什么：(p5

7、6)压缩函数也具有散列函数的特征，具有抗碰撞能力的压缩函数可以被用来设计成消息认证方法。whirlpool算法就是采用aes分组加密方法使用于压缩函数。6、公钥加密系统的基本组成元素是什么？(p59)明文，加密算法，公钥和私钥，密文，解密算法7、列举并简要说明公钥加密系统的三种应用：(p60) 一、7加密/解密，数字签名，密钥交换8、私钥和密钥之间有什么区别：(p60)传统加密算法中使用的密钥被特别地称为密钥，用于公钥加密的两个密钥被称为公钥和私钥。私钥总是保密的，但仍然被称作私钥而不是密钥，这是为了避免与传统加密混淆。9、什么是数字签名：(p67)a想给b发送消息，b收到密文时，她能够用a的

8、公钥进行解密，从而证明这条消息确实是a加密的，因为没有其他人拥有a的私钥，所以其任何人都不能创建由a的公钥能够解密的密文。因此，整个加密的消息就成为一个数字签名。10、什么是公钥证书：(p67) 一、9公钥证书由公钥加上所有者的用户id以及可信的第三方签名的整个数据块组成。11、公钥加密如何用来分发密钥：(p69)1准备消息2利用一次性传统会话密钥，使用传统加密方法加密消息3利用对方的公钥，使用公钥加密的方法加密会话密钥4把加密的会话密钥附在消息上，并且把他发送给对方第四章：1、设计kerberos是为了解决什么问题？(p78) 一、11假设在一个开放的分布式环境中，工作站的用户希望访问分布在

9、网络各处的服务器的服务。我们希望服务器能够将访问权限限制在授权用户范围内，并且能够认证服务请求。2、在网络或互联网上，与用户认证有关的三个威胁是什么？(p78)1）、一个用户可能进入一个特定的工作站，并冒充使用那个工作站的其他用户2）、一个用户可能改变一个工作站的网络地址，使得从此工作站发出的请求好像是从被伪装的工作站发出的3）、一个用户可能窃听信息交换，并使用重放攻击来获取连接服务器，或者是破坏正常操作。3、列出在分布式环境下进行安全用户认证的三种方式：(p79)1.依靠每个用户工作站来确认用户或用户组，并依靠每个服务器通过给予每个用户身份的方法来强制实施安全方案2.要求服务器对用户系统进行

10、认证，在用户身份方面信任用户系统3.需要用户对每个调用的服务证明自己的身份，也需要服务器向用户证明他们的身份4、对kerberos提出的四点要求是什么？(p79)安全，可靠，透明，可伸缩5、一个提供全套kerberos服务的环境由那些实体组成？(p86)一台kerberos服务器，若干客户端和若干应用服务器6、在kerberos环境下，域指什么？(p86)一个提供全套服务的kerberos 环境，包括一台kerberos 服务器、若干台客户端和若干应用服务器的这种环境被称为kerberos域。7.kerberos版本4和版本5的主要区别由那些？(p88)版本5要解决版本4在两方面的局限：环境上

11、有6个方面的不足和技术上有5个方面的缺陷。(请例举)。8、x.509标准的目的是什么？(p93)1、x.509定义了一个使用x.500目录向其用户提供认证服务的框架2、x.509是一个重要的标准，因为、x.509中定义的证书结构和认证协议在很大环境下都会使用。3、x.509最初发布于、1988年4、x.509基于公钥加密体制和数字签名的使用。9、什么叫证书链？（p95-p96）在多个ca认证中心之间需要相互认证各自的用户时，由各个ca认证中心相互认证的证书，形成一个证书链，通信双方通过这个证书链取得相互信任。10怎样撤销x.509证书？(p97)每一个存放在目录中的证书撤销列表都由证书发放者签

12、名，并且包括：发放者的名称，列表创建日期，下一个crl计划发放日期和每一个被撤销证书的入口。当用户从消息中得到证书时，必须要确定证书是否被撤销。用户可以在每次收到证书时检查目录。为了避免由目录搜索带来的延迟，用户可以维护一个记录证书和被撤销证书列表的本地缓存。第五章：1、pgp提供的5种主要服务是什么？(p109) 一、12 认证(数字签名)，保密(消息加密)，压缩，电子邮件兼容和分段。2、分离签名的用途是什么？(p110)分离签名可以与其签名的消息分开存储和传送，这在许多情况下都有用：1用户的要求；2防止病毒；3可以多方签名。3、pgp为什么在压缩前生成签名？(p111)1.对未压缩的消息进

13、行签名可以保存未压缩的消息和签名供未来验证时使用；2.即使有人想动态地对消息重新压缩后进行验证，用pgp现有的压缩算法仍然会比较困难。4、什么是基-64转换？(p112)将一组三个8比特二进制数据映射为4个ascii码字符，同时加上crc校验以检测传送错误。5、电子邮件应用为什么使用基-64转换？(p112)使用pgp时，要对数据进行加密。加密得到的数据可能是由任意的8比特字节流组成。然而许多电子邮件系统仅仅允许使用由ascii码组成的数据块。为适应这个限制，pgp提供了将8比特二进制流转换为可打印的ascii码字符的功能。6、pgp为什么需要分段和重组？(p113)电子邮件工具通常限制消息的

14、最大长度。未来适应这个限制，pgp自动将长消息分段，使之可以通过电子邮件发送。分段在所以其他操作（包括基-64转换）治好进行。因此，会话密钥和签名部分仅在第一个分段的开始出现。7、pgp如何使用信任关系？(p119)pgp的信任关系由 “密钥合法性域”、“签名信任域”、“所有者信任域”这三个域构成。经过三步流程(写出三个流程的过程)，周期性的处理公钥获得一致性。8、rfc 822是什么？(p121) 一、13rfc 822定义了一种电子邮件传输的文本消息格式，这是一种被广泛使用的基于互联网传递的文本邮件标准。包括信封和内容两部分(写出这两部分内容)。9、mime是什么？(p122) 一、14是

15、指多用途网际邮件扩展是对rfc 822框架的扩展，用于解决关于电子邮件的smtp，简单邮件传输或其他邮件传输协议和rfc 822存在的一些问题和局限性。10、s/mime是什么？(p121)是基于rsa数据安全性，对互联网电子邮件格式标准mime的安全性增强。虽然pgp和s/mime都基于ietf标准，但s/mime侧重于适合商业和团体使用的工业标准.第六章：1、举出一个应用ipsec的例子：(p143)1.路由器广播；2.邻居广播；3.重定向报文；4.路由更新未被伪造。(详细写出一个即可)2、ipsec提供那些服务？(p145)访问控制，无连接完整性，数据源认证，拒绝重返包，保密性，受限制的

16、流量保密性3、那些参数表示了sa，那些参数表现了一个特定sa的本质？(p146)由安全参数索引、ip目的地址、安全协议标识三个参数确定一个sa。由“序列号计数器，序列计数器溢出，反重放窗口，ah信息，esp信息，此安全关联的生存期，ipsec 协议模式，最大传输单元路径”等参数表示一个特定的sa。4、传输模式与隧道模式有何区别？(p148) 传输模式是对ip数据包的载荷(上层协议)、ipv6报头的扩展部分进行保护和认证；隧道模式是对整个内部ip包、ipv6报头的扩展部分进行保护和认证。5、什么是重放攻击？(p149) 一、15重放攻击就是一个攻击者得到了一个经过认证的包的副本，稍后又将其传送到

17、其希望被传送到的目的的站点的攻击。6、为什么esp包括一个填充域？(p153)esp格式要求填充长度和邻接报头域为右对齐的32比特的字，同样，密文也是32比特的整数倍，填充域用来保证这样的排列。7、捆绑sa的基本方法是什么？(p156)1.传输邻接：这种方法指在没有激活隧道的情况下，对一个ip包使用多个安全协议。2.隧道迭代：指通过ip隧道应用多层安全协议。8、oakley密钥确定协议和isakmp在ipsec中起到什么作用？(p158)ipsec的密钥管理部分包括密钥的确定和分发。分手动密钥管理和自动密钥管理两种类型。oakley和isakmp就是ipsec的自动密钥管理协议。第七章：1、图

18、7.1给出的三种方法的各自优点是什么？(p177)采用ipsec方法的优势是在网络层上实现安全，对于终端用户和应用是透明的，用户和应用程序不必考虑安全机制。采用ssl/tls方式的优势是在传输层上实现安全传输，在web拂去其和web客户端嵌入该安全方法，就能够保证互联网上实现且安全的访问。而采用诸如pgp、set等方法的优势是可以针对特定的需求和应用，定制特别的安全机制。该机制是在应用层上实现安全访问。2、ssl由那些协议组成？(p178图7.2) 一、18ssl记录协议，ssl握手协议，ssl密码变更规格协议，ssl报警协议。(详细写出)3、ssl连接和ssl会话之间的区别是什么？(p178

19、)连接是一种能够提供合适服务类型的传输。会话：ssl会话是客户与服务器之间的一种关联。4、列出定义ssl会话状态的参数，并简要给出各参数的定义：(p179)会话标识符，对等证书，密码规格，主密钥，可恢复性。(要写出定义)5、列出定义ssl会话连接的参数，并简要给出各参数的定义：(p179)服务器和客户端随机数，服务器写mac密钥，客户端写mac密钥，服务器写密钥，客户端写密钥，初始化向量，序列号。(要写出定义)6、ssl记录协议提供了那些服务：(p179-180)机密性和消息完整性。(要写出定义)7、ssl记录协议执行过程中涉及到那些步骤？(p180)先将数据分段成可操作的块，然后选择压缩或不

20、压缩数据，再生成mac，加密，添加头并将最后的结构作为一个tcp分组送出。8、列出set的主要参与者，并简要给出他们的定义：(p194-195)持卡者：在待腻子环境下，消费者与公司客户是通过互联网上的个人计算机与商家发生联系的。商家：商家是能够售卖货物或服务给持卡者的个人或组织。发卡机构：发卡机构是能够为持卡者提供支付卡的金融机构。代理商：代理商是为了商家建立帐户并处理支付卡认证与支付事物的金融机构。支付网关：是代理商或指定第三方运作的专门处理商家支付信息的功能设施认证机构：是一个为持卡者，商家和支付网关签发x.509v3公钥证书的可信实体。9、什么是双重签名？其目的是什么？(p196)双重签

21、名是set协议中，保证发出的订单信息oi与相对应的致富信息pi是唯一对应的。消费者使用签名：ds=e（prc,h(h(pi)|h(oi)）；商家使用签名：h(pimd|hoi);d(puc,ds)；银行验证签名：h(hpi|oimd);d(puc,ds)。这样三方都可以证明该项交易真实性。第八章：1、把网络管理体系结构视为一个整体的意义是什么？(p205)网络管理系统将整个网络视为一个统一的体系结构，并为系统中的各个点分配地址和标签，为系统所知的每个部件和链路分配特定的属性。网络中的主动部件会定期的将其状态信息反馈给网络控制中心。2、snmp模型中的关键元素是什么? (p205-206) 一、

22、20管理站，管理代理，管理信息库，网络管理协议3、什么是mib？(p206)为了管理网络 中的资源，snmp使用客体来描述每个资源。客体的本质是数据变量，它描述管理代理在某一个方面的属性。科特的集合构成了mib,mib的功能是作为管理站在代理上的访问点集合。4、snmpv1提供那些基本功能和命令？(p206) 一、21get, set, notify5、snmp委托代理的功能是什么？(p207-208)对于没有安装snmp的设备进行网络管理，称之为“委托代理”。是采用“管理站查询”“委托代理转发”“代理设备应答”“委托代理设陷井告知管理站”的流程工作的。6、简要解释snmpv1的共同体概念？(

23、p211)是一个snmp代理和一组snmp管理器之间的关系，共同体定义了认证，访问控制和委托代理特性。7、snmpv1,snmpv2和snmpv3之间的关系是什么？(p205、p209、p213)snmpv1是具备网络管理的基本功能；snmpv2增强了v1版的功能，如可以管理分布式网络、支持用非tcp/ip协议簇的其他协议、支持本地代理协议关系等等；snmpv3则在安全性能上做了增强。8、usm模型用来预防什么威胁？(p221)信息更改，伪装，消息流更改，信息泄漏9、授权引擎与非授权引擎之间的区别是什么？(p222)能接受包含需要应答的载荷的snmp消息包的接受者为授权引擎；不能接受者为非授权

24、引擎；能发送不需要应答的载荷的snmp消息包的发送者为授权引擎；不能发送者为非授权引擎。10、什么是密钥本地化？(p225)为用户和授权的snmp引擎之间共享的秘密密钥。11、列出并简要定义构成vacm的元素？(p228)主体，安全级别，安全模型，客体实例，访问类型。第九章：1、列出并简要定义三类入侵者？(p237) 一、22假冒用户，违法用户，隐秘用户2、用于保护口令文件的两种通用技术是什么？(p239) 一、23单向函数，和访问控制3、入侵防御系统可以带来那三个好处？(p240)1、如果足够快地检测到入侵行为，就可以在入侵者危害系统或者危机数据安全之前将其鉴别并驱逐出系统。2有效的入侵检测

25、系统是一种威慑力量，能够起到防护入侵者的作用。3入侵检测可以收集入侵技术信息，这些信息可以用于增强入侵防护系统的防护能力。4、统计异常检测和基于规则的入侵检测之间有那些区别？(p243, p245)“统计异常检测”是依据对正常/合法的行为进行检测，当检测到超出正常范围时就认为发生了入侵行为；而“基于规则的检测”则是对非法行为进行检测，发现非法的行为即认为发生坏了入侵行为。5、对于基于行为曲线的入侵检测来说，采用什么尺度是有益的？(p243)可以按照“计数器”、“计量器”、“间隔计时器”、“资源使用情况”这几个尺度来衡量入侵行为。6、基于规则的异常检测和基于规则的渗透检测之间有什么不同？(p245)异常检测是建立一个用户过去的行为规则统计库，以这个数据库为标准，不满足该数据库的行为都是入侵行为。