《电子商务安全》期末考试题-旗舰版

《电子商务安全》期末考试题—旗舰版电子商务安全期末考试A卷一、选择题（单选）.下列选项中属于双密钥体制算法特点的是（C）A.算法速度快B.适合大量数据的加密C.适合密钥的分配与管理D.算法的效率高.实现数据完整性的主要手段是（D）A.对称加密算法B.非对称加密算法C.混合加密算法D.散列算法【哈希函数压缩函数消息摘要杂凑函数数字指纹】3.数字签名技术不能解决的安全问题是（C）A.第三方冒充B.接收方篡改C.传输安全.病毒的重要特征是（B）A.隐蔽性B.传染性C.破坏性D.可触发性.在双密钥体制的加密和解密过程中，要使用公共密钥和个人密钥，它们的作用是（A）A.公共密钥用于加密，个人密钥用于解密B.公共密钥用于解密，个人密钥用于加密C.两个密钥都用于加密D.两个密钥都用于解密.在一次信息传递过程中，为实现传送的安全性、完整性、可鉴别性和不可否认性，这个过程采用的安全手段是（B）A.双密钥机制B.数字信封C.双联签名D.混合加密系统.一个密码系统的安全性取决于对（A）A.密钥的保护B.加密算法的保护C.明文的保护D.密文的保护.在防火墙使用的存取控制技术中对所有进出防火墙的包标头内容进行检查的防火墙属于（A）A.包过滤型B.包检检型C.应用层网关型D.代理服务型.电子商务的安全需求不包括（B）［机密性、完整性、认证性、有效性、匿名性、不可抵赖］A.可靠性B.稳定性C.真实性D.完整性.551握手协议包含四个主要步骤，其中第二个步骤为（B）A.客户机HelloB.服务器HelloC.HTTP数据流D.加密解密.SET安全协议要达到的目标主要有（C）【机密性、保护隐私、完整性、多方认证、标准性】A.三个B.四个C.五个D.六个.下面不属于SET交易成员的是（B）A.持卡人B.电子钱包C.支付网关D.发卡银行.某205证书包含许多具体内容，下列选项中不包含在其中的是（C）A.版本号B.公钥信息C.私钥信息D.签名算法.身份认证中的证书由（D）A.政府机构B.银行发行C.企业团体或行业协会D.认证授权机构发行.目前发展很快的基于PKI的安全电子邮件协议是（A）A.S/MIMEB．POPC．SMTPD.IMAP二、选择题（多选）.下列属于单密钥体制算法的有（AC）A.DESB.RSAC.AESD.SHA17.下列公钥——私钥对的生成途径合理的有（BCD）A.网络管理员生成B.CA生成C.用户依赖的、可信的中心机构生成D.密钥对的持有者生成18.防火墙不能解决的问题包括（BCE）A.非法用户进入网络B.传送已感染病毒的文件或软件C.数据驱动型的攻击D.对进出网络的信息进行过滤E.通过防火墙以外的其它途径的攻击19.PKI技术能有效的解决电子商务应用中的哪些问题（ABC）全选A.机密性B.完整性C.不可否认性D.存取控制E.真实性20.SET要达到的主要目标有（ACDE）A.信息的安全传输B.证书的安全发放C.信息的相互隔离D.交易的实时性E.多方认证的解决三、填空：1.SSL可用于保护正常运行于TCP上的任何应用协议，如_HTTP__、__FTP_、SMTP或Telnet的通信。2.VPN利用—隧道—协议在网络之间建立一个—虚拟—通道，以完成数据信息的安全传输。3.PKI提供电子商务的基本—安全.需求，是基于.数字证书__的。4.密码技术是保证网络、信息安全的核心技术。信息在网络中传输时，通常不是以_明文_而是以__密文_的方式进行通讯传输的。5.现在广为人们知晓的—传输控制—协议(TCP)和—网际—协议(IP),常写为TCP/IP。6.数字签名分为确定和随机两种，其中RSA签名属于确定性签名，ELGamal签名属于随机签名。四、简答：.电子商务系统可能受到的攻击类型【粗体字为推荐答案】答：(1)系统穿透：未经授权人同意，冒充合法用户接入系统，对文件进行篡改、窃取机密信息非法使用资源等。(2)违反授权原则：一个被授权进入系统做一件事的用户，在系统中做未经授权的其他事情。(3)植入：在系统穿透成功后，入侵者在系统中植入一种能力，为其以后攻击系统提供方便条件。如注入病毒、蛀虫、特洛伊木马、陷阱等来破坏系统正常工作。(4)通信监视：这是一种在通信过程中从信道进行搭线窃听的方式。通过搭线和电磁泄漏等对机密性进行攻击，造成泄密。(5)通信干扰：攻击者对通信数据或通信数据进行干预，对完整性进行攻击，篡改系统中数据的内容，修正消息次序、时间，注入伪造信息。（6）中断：对可用性进行攻击，破坏系统中的硬盘、硬件、线路等，使系统不能正常工作，破译信息和网络资源。（7）拒绝服务：指合法接入信息、业务或其他资源受阻。（8）否认：一个实体进行某种通信或交易活动，稍后否认曾进行过这一活动，不管这种行为是有意还是无意，一旦出现，再解决双方的争执就不容易了。（9）病毒：由于Internet的开放性，病毒在网络上的传播比以前快了许多，而Internet的出现又促进了病毒复制者间的交流，使新病毒层出不穷，杀伤力也大有提高。（10）钓鱼网站。.PKI作为安全基础设施，能为用户提供哪些服务？答：（1）认证；（1分）（2）数据完整性服务；（1分）（3）数据保密性服务；（1分）（4）不可否认性服务；（1分）（5）公证服务。五.论述：.双钥密码体制加密为什么可以保证数据的机密性和不可否认性？答：（1）双钥密码体制加密时有一对公钥和私钥，公钥公开，私钥由持有者保存；（2）公钥加密后的数据只有持有者的私钥能解开，这样保证了数据的机密性；（3）经私钥加密后的数据可被所有具有公钥的人解开，由于私钥只有持有者一人保存，这样就证明信息发自私钥持有者，具有不可否认性。.论述数字签名的必要性（对比传统签名，数字签名解决了什么问题）答：（1）传统手书签名仪式要专门预定日期时间，契约各方到指定地点共同签署一个合同文件，短时间的签名工作需要很长时间的前期准备工作。（3分）这种状况对于管理者是延误时机，对于合作伙伴是丢失商机，对于政府机关是办事效率低下。（2分）（2）电子商务时代各种单据的管理必须实现网络化的传递。（2分）保障传递文件的机密性应使用加密技术，保障其完整性则用信息摘要技术，而保障认证性和不可否认性则应使用数字签名技术。（3分）（3）数字签名可做到高效而快速的响应，任意时刻，在任何地点，只要有Internet就可以完成签署工作。（3分）（4）数字签名除了可用于电子商务中的签署外，还可用于电子办公、电子转帐及电子邮递等系统。（2分）.公钥证书包括的具体内容：答：（1）版本信息；（2）证书序列号；（3）CA使用的签名算法；（4）有效期；（5）发证者的识别码；（6）证书主题名；（7）公钥信息；（8）使用者Subject；（9）使用者识别码；（10）额外的特别扩展信息；电子商务安全期末考试B卷一、选择题：.电子商务的技术组成要素中不包括（D）A.网络B、用户C、应用软件D、硬件.在中国制约VPN发展、普及的客观因素是（D）A、客户自身的应用B、网络规模C、客户担心传输安全D、网络带宽【思路点拨：在我国，制约VPN的发展、普及的因素大致可分为客观因素和主观因素两方面；客观因素包括因特网带宽和服务质量QoS问题；主观因素之一是用户总害怕自己内部的数据在Internet上传输不安全；主观因素之二客户自身的应用跟不上。】.在单公钥证书系统中，签发CA证书的机构是（C）儿国家主管部门B、用户C、仅CA自己D、其他CA.CA系统中一般由多个部分组成，其核心部分为（B）A.安全服务器B、CA服务器C、注册机构RAD、LDAP服务器.得到IBM、微软公司的支持已经成为事实上的工业标准的安全协议是⑻A.SSLB、SETC、HTTPSD、TLS.SET协议中用来鉴别信息完整性的是（C）A、RSA算法B、数字签名C、散列函数算法D、DES算法.SET软件组件中安装在客户端的电子钱包一般是一个（B）A.独立运行的程序B、浏览器的一个插件C、客户端程序D、单独的浏览器.在不可否认业务中，用来保护收信人的业务是（A）A.源的不可否认性B、传递的不可否认性C、提交的不可否认性D、专递的不可否认性.不属于公钥证书类型的有（A）A.密钥证书B、客户证书C、安全邮件证书D、CA证书.PKI是公钥的一种管理体制，在宏观上呈现一种域结构，在PKI的构成模型中，制定整个体系结构的安全政策是（B）A.PMAB、PAC、CAD、OPA.在数字信封证，先用来打开数字信封的是（B）A.公钥B、私钥C、DES密钥D、RSA密钥.SSL握手协议的主要步骤有（B）A.三个8、四个1五个口、六个13、计算机病毒最重要的特征是（B）.隐蔽性8、传染性C、潜伏性口、破坏性14、一个典型的CA系统主要由几个部分构成（C）A、3B、4C、5D、615目前信息安全传送的标准模式是（C）人、数字签名B、消息加密1混合加密口、数字信封二、多选题：1.电子商务系统可能遭受的攻击有（ABCDE）A.系统穿透D.通信监视8.植入C.违反授权原则E.计算机病毒2.目前比较常见的备份方式有(ABCDE)A.定期磁带备份数据B.远程磁带库备份C.远程数据库备份D.网络数据镜像E.远程镜像磁盘3.防火墙的基本组成有(ABCDE)A.安全操作系统B.过滤器C.网关D.域名服务E.E-mail处理4.在认证机构介入的网络商品销售的过程中，认证中心需要对参与网上交易的(ABD)进行身份认证。A.消费者B.商家C.邮政系统D.银行5.SET要达到的主要目标有(ACDE)A.信息的安全传输B.证书的安全发放C.信息的相互隔离D.交易的实时性E.多方认证的解决6.一个完整的商务活动，必须由(ABCD)几个流动过程有机构成。A.信息流B.商流C.货币流D.物流三、填空题(每个空格2分，共20分)1.散列函数是将一个长度不确定的输入串转换成一个长度确定的输出串。2.计算机病毒按破坏性分为良性病毒和恶性病毒3.对于商家和顾客的交易双方，SSL协议有利于商家而不利于顾客4.要保证证书是有效的，必须要满足这样一些条件：一是证书没有超过有效期，二是密钥没有被修改，三是证书不在CA发行的无效证书清单中。5.数字签名技术的主要功能是：保证信息传输过程中的完整性，对发送者的身份认证，防止交易中的抵赖发生。6.数字签名分为两种，其中RSA和Rabin签名属于确定性—签名，ELGamal签名属于—随机式—签名。三、简答题（每题10分，共20分）1.简述防火墙的基本组成部分。答：（1）安全操作系统；（2）过滤器；（3）网关；（4）域名服务器；（5）E-mail处理；2.简述对称密钥体制的基本概念。答：对称加密又叫秘密秘钥加密，其特点是数据的发送方和接收方使用的是同一把秘钥，即把明文加密成密文和把密文解密成明文用的是同一把秘钥。加密过程为：发送方用自己的秘密秘钥对要发送的信息进行加密。发送方将加密后的信息通过网络传送给接收方。接收方用发送方进行加密的那把秘钥对接收到的加密信息进行解密，得到信息明文。区别：1）SSL与SET两种协议在网络中的层次不一样，SSL是基于传输层的协议，SET则是基于应用层的协议。2）SSL加密所有的信息，而SET加密部分敏感信息，SET的安全性更高一些3）SSL主要应用在浏览器上，而SET则主要应用于信用卡。4）SSL速度快，成本低，SET速度慢，成本高。四、论述题（每小题15分，共30分）.论述对称加密和非对称密钥体制的原理及各自特点。解释在加密过程中为何常常将二者结合使用。答：对称加密（也称私钥加密）体制基本思想是，加密和解密均采用同一把秘密钥匙，在双方进行通信的时候，必须都要获得这把钥匙并保持钥匙的秘密，当给对刚发送信息的时，用自己的加密秘钥进行解锁，而在接收方收到数据后，用对方所给的密钥进行解密。【特点】算法简单、加解密速度快、算法公开、计算量小、加密速度快、加密效率高、安全性高、。缺点是密钥太多、密钥的产生、管理、分发都很复杂；不能实现数字签名；非对称密钥加密（也称公钥加密）过程：这种秘钥是成对使用的，每个用户都有一对选定的密钥，一个公开，另一个由用户安全拥有，当给对方发送信息的时候，用对方的公开密钥进行加密，而在接收方收到数据后，用自己的秘密密钥进行解密。具体过程；（1）用户生成一对密钥并将其中的一个作为公钥向其他用户公开；（2）发送方使用该用户的公钥对信息进行加密后发送给接收方；（3）接收方利用自己保存的私钥对加密信息进行解密，接收方只能用自己的私钥解密由其公钥加密后的任何信息。［特点］算法复杂、加解密速度慢、密钥管理简单、可用于数字签名。正因为公开、秘密秘钥加密各有所长，所以将两者结合起来，形成混合加密方法。将对称加密体制和非对称加密体制二者联合使用，可以解决电子商务所要求的机密性、真实性、不可否认性等安全要素，达到扬长避短的目的。.试述RSA加密算法中密钥的计算方法，并根据该方法计算：（为计算方便）取p=3,q=5,e=3时的一组公式一私钥对。如果明文为7,计算密文。答：（1）计算方法：①独立选取两个素数:p、q；②计算n二pq;③计算小于n并且与n互质的整数的个数（n）=（p—1）（q—1）；④随机选取加密密钥e；要求e满足1<0<(2,并且和5)互质;⑤最后利用Euclid算法计算解密密钥d,满足ed=1(mod((n)));其中n,d也要互质，e，n为公钥，d为私钥；(2)计算密钥对：n=3某5=15(n)=2某4=8e=3由ed=1(mod((n)))得d=3(3)计算密文：当明文为7时，密文为(7某7某7)mod15=13附录：一、不定项选择题：.在防火墙技术中，内网这一概念通常指的是(A)A.受信网络B.非受信网络C.防火墙内的网络D.互联网.在目前电子商务的模式之中，交易金额所占比例最大的是(C)。A.B-to-C电子商务B.B-to-A电子商务C.B-to-B电子商务D.C-to-A电子商务3.电子商务发展中存在的问题不包括(B)。A.网络基础设施建设问题B.网站种类过于繁多C.安全问题D.商家信誉问题4.以下哪一项不在证书数据的组成中(D)..A.版本信息C.签名算法.有效使用期限D.版权信息二、填空题(本大题共10空,每空1分,共10分)1.电子商务安全的中心内容包括机密性,_完整性_,认证性,_不可否认_,不可拒绝性和访问控制性。2.CFCA是由_中国人民银行—牵头的、联合14家全国性商业银行共同建立的_国家级权威性金融认证_机构。3．实现不可否认性从机制上应当完成业务需求分析，证据生成，证据传送，_证据证实_，_证据保存_等业务活动。4．按寄生方式计算机病毒可分为_文件型_，_引导型_和复合型病毒。.数字信封是用—接受方—的公钥加密DES的密钥，该DES密钥是.发送方_随机产生的用来加密消息的密钥。.身份证明可以分为身份识别和身份证实两大类。.美国的橘黄皮书中为计算机安全的不同级别制定了4个标准，其中C2级又称为访问控制保护级8.常用的对数据库的加密方法有3种，其中与DBMS分离的加密方法是加密桥一个身份证明系统一般由3方组成，一方是示证者，另一方是验证者，第三方是可信赖者。9.电子商务系统中，商务对象的认证性用数字签名和身份认证技术实现。10.Internet的接入控制主要对付三类入侵者，他们是地下用户、伪装者和违法者.提高数据完整性的预防性措施一般有：镜像技术、故障前兆分析、奇偶校验、隔离不安全的人员和电源保障。.CTCA目前提供如下几种证书：安全电子邮件证书、个人数字证书、企业数字证书、服务器数字证书和SSL服务器.Kerbero服务任务被分配到两个相对独立的服务器：—认证_服务器和__票据授权__服务器，它同时应该连接并维护一个中央数据库存放用户口令、标识等重要信息。.接入控制的功能有三个：阻止非法用户进入系统__、__允许合法用户进入系统_和使合法人按其权限进行各种信息活动。.IPSec有两种工作模式，分别是传输模式和—隧道模式 。16.商务数据的机密性可用 加密 和__信息隐匿 技术实现。.PKI是基于—数字ID—的，作用就象是一个电子护照，把用户的数字签名 绑接到其公钥上。18.通过一个密钥 和__加密算法 可将明文变换成一种伪装的信息。19.CTCA采用分级管理，由全国CA中心、省RA中心—和地市级 业务受理点 组成。美国橘黄皮书中为计算机安全的不同级别制定了4个共 7 级标准，其中D级为最低级别。28.IPSec是一系列保护IP通信的规则的集合，它包含__传输模式 与___隧道模式 两种工作模式。29.证书申请包括了用户证书的申请与商家证书的申请，其申请方式包括__网上申请__和__离线申请 。30.中国金融认证中心的英文简写为__CFCA ，它是由__中国人名银行___牵头，联合多家商业银行共同建立的国家级权威金融认证机构。6.在服务器面临的攻击威胁中，攻击者通过控制一台连接于入侵目标网的计算机，然后从网上断开，让网络服务器误以为___黑客