2023年电子商务安全题库

一、单项选择题(每题１分,共３０分)1.按密钥类型划分,加密算法分为对称密钥加密算法和非对称密钥加密算法。2．电子商务的安全风险重要来自于。A．信息传输风险B.信用风险Ｃ.管理风险D.以上都是3.对信息传递的袭击重要表现为。A.中断（干扰)B.截取(窃听)Ｃ.篡改D.伪造Ｅ.以上都是4.袭击破坏信息的机密性。A.中断（干扰)Ｂ．截取（窃听)Ｃ.篡改Ｄ.伪造5.袭击破坏信息的完整性。Ａ．中断（干扰）B.截取（窃听）C．篡改Ｄ．伪造6.袭击破坏信息的可用性。A.中断（干扰）B.截取(窃听）Ｃ.篡改D.伪造7.袭击破坏信息的真实性。A．中断(干扰)B.截取(窃听）C.篡改D．伪造8．现代加密技术的算法是。Ａ.公开的B.保密的C.对用户保密D.只有加密系统知道。9.对称密钥算法加密和解密使用。A．一把密钥B．密钥对，一个加密则用另一个解密C.相同密钥或实质相同的密钥D．两把密钥１0．非对称密钥算法加密和解密使用。A.一把密钥Ｂ.密钥对,一个加密则用另一个解密C.相同密钥或实质相同的密钥D.两把密钥１1.ＤEＳ是算法。A.对称密钥加密B.非对称密钥加密Ｃ．公开密钥加密D．私有密钥加密12.RAS是算法。A.对称密钥加密B.非对称密钥加密Ｃ.单一密钥加密Ｄ.私有密钥加密1３．DES算法是分组加密算法，分组长度为6４ｂiｔ,密钥长度为。A.５６ｂitB．６4ｂｉtC．１28bitD．64Bｙte14.DES算法是分组加密算法，分组长度为。Ａ.５６bitB.６４ｂｉtＣ.12８bitＤ.6４Byte1５.RAS算法加密模式用①加密,用②解密。A．发送方私钥B.发送方公钥C．接受方私钥D.接受方公钥１6．RAS算法验证模式用①加密，用②解密。A.发送方私钥B.发送方公钥Ｃ.接受方私钥D．接受方公钥17.多层密钥系统中密钥系统的核心是。A．工作密钥B.密钥加密密钥C.主密钥D.公开密钥。1８.多层密钥系统中对数据进行加密解密的是。A.工作密钥B.密钥加密密钥C．主密钥D.公开密钥。１9.多层密钥系统中对下层密钥加密的是。A.工作密钥Ｂ．密钥加密密钥Ｃ.主密钥Ｄ.公开密钥。２0.密钥产生的方法有①和②。A．顺序产生B.随机产生C.密钥使用系统产生D．密钥管理中心系统产生。2１.目前最常用的数字证书格式是。A．Ｘ.50９v3Ｂ.Ｘ.５09v2C.Ｘ.5０９v22.认证的类型有消息认证和身份认证,消息认证的目的是证实消息的。A.来源Ｂ.完整性C.含义D.以上都是23.认证的类型有消息认证和身份认证,身份认证的目的是证实通信方的。A.访问目的B.身份C.现实中的身份D.身份证24．MD5对于任意长度的报文都输出ｂit的摘要。A.160B.128Ｃ25.ＳＨA1对于任意长度的报文都输出ｂit的摘要。A.160Ｂ．1２8C26.口令易受重放袭击,目前的防范措施是。A．保护好密码B.不泄露真实身份C.加密D.实时验证码27.防止口令在传输过程中被截获泄露密码的措施是。A.加密B.数字署名C．验证码D．传输摘要２8.PMI是指。Ａ．公钥基础设施Ｂ.公钥管理中心C.私钥管理中心D.特权管理基础设施29.数字证书撤消表的作用是。A.收回证书B．宣布证书作废Ｃ.宣布证书过期D.私钥泄露30.撤消证书的因素有。A.私钥泄露Ｂ.持有者身份变动C.证书非正常使用D.以上都是31．实现访问控制的工具有。A.访问控制矩阵B.访问控制列表ACLC.访问能力表ＣLD.以上都是32.访问控制策略有。A.基于身份的策略Ｂ.基于规则的策略Ｃ.基于角色的策略D.以上都是33．SＳL协议工作在TCＰ/IP协议的。Ａ．应用层B.传输层C.网络层D.数据链路层34．SET协议工作在ＴCＰ/IP协议的。A.应用层B.传输层C.网络层D.数据链路层35．IＰSec协议工作在TCP/IＰ协议的。A.应用层B.传输层C.网络层D.数据链路层36．SET协议支持的电子商务模式是。A.B2BＢ.C2ＣC.B2ＣD.都支持3７．ＶPN的实现需要支持。A.互换机B．路由器Ｃ．服务器D.网关3８.协议不能实现VPN功能Ａ.SSLB.IＰSecC．SHTTＰＤ.L2TP３9.不是防火墙应提供的功能。A.NATB.ＶPNC．内容过滤Ｄ．防范病毒４0.不是网络操作系统。A.WindowsSｅｒveｒ2023Ｂ.Windｏｗｓ7C.UＮＩXD.Ｌiｎux4１．蠕虫不具有病毒的。A.寄生性Ｂ．自我繁殖能力C．自我传播能力Ｄ.潜伏性42．木马的重要能力是。A.信息收集能力B.自我繁殖能力C．自我传播能力D.传染性４3.协议是用于开放网络进行信用卡电子支付的安全协议。A．ＳSLB．TCP/IPC.ＳＥTD．HTTP44.就是要减少由于人为的或自然的威胁因素也许对内部网络导致的危害及由此也许带来的损失。A.信息安全B．运营安全C.风险管理Ｄ．安全人事管理45.DDOS袭击破坏的是。A.机密性B.完整性C.可用性D.验证性4６.PＧＰ（PrｅttyＧoｏdPriｖａcy）是一个重要基于___密码算法的供大众使用的加密软件。A．ＤESB.ＩDＥＡC.RSAD.MD５47.RＳA是一种算法。Ａ.非对称加密B.对称加密Ｃ.数字署名D.数字证书4８．ＤＥS是一种算法。A.非对称加密Ｂ.对称加密C.数字署名Ｄ．数字证书49.DSA是一种算法。A．非对称加密Ｂ.对称加密C.数字署名D.数字证书５0．SSL协议使用的加密算法是（）。A.仅使用对称密钥算法B.仅使用公钥加密算法C.同时使用对称密钥和公钥加密算法D.同时使用DES加密算法和散列密码51.认证中心的核心职责是()。A.签发和管理数字证书B.验证信息Ｃ.公布黑名单Ｄ.撤消用户的证书52．假如你认为已经落入网络钓鱼的圈套,则应采用措施。A.向电子邮件地址或网站被伪造的公司报告该情形B.更改帐户的密码C.立即检查财务报表D.以上所有都是5３.数字摘要可用于验证通过网络传输收到的文献是否是原始的,未被篡改的文献原文,产生数字摘要采用。A．HashB.RＳAC.ＰIＮD．DＥS54．为了保证时间戳的可信度,商用时间戳的时间应与时间保持一致。A.服务器时间Ｂ.客户机时间C.网络时间D．国家时间中心标准实验室时间5５.用散列函数对明文进行解决后,生成,用来保证数据的完整性。A.数字署名Ｂ.数字证书Ｃ.数字摘要D．密文５6.不是目前对网络加密的重要方式。A．节点对节点加密;B．端对端加密;C.链路加密；Ｄ.终端加密5７.RSA加密算法的基本原理是。Ａ.DＥS;Ｂ.替代相组合；C.大数分解和素数检测；Ｄ．哈希函数５8.包过滤防火墙一般在上实现。Ａ.网关;Ｂ.互换机;C．服务器；D．路由器59．保证用户和进程完毕自己的工作而又没有从事其他操作也许，这样可以使失误犯错或蓄意袭击导致的危害减少,这通常被称为。A.适度安全原则;B.授权最小化原则;Ｃ.分权原则;D.木桶原则6０.电子署名法所讲的电子署名。A.就是数字署名B．不是数字署名Ｃ．涉及数字署名Ｄ.与数字署名无关61.防火墙的功能是保障网络用户访问公共网络时具有①;与此同时,也保护专用网络②。Ａ．①最低风险②免遭外部袭击B.①防火作用②免遭盗窃C.①防病毒作用②防止黑客入侵D．①防系统破坏作用②防止信息丢失62.CＡ指的是()A.证书授权;B.加密认证；C.虚拟专用网;Ｄ.认证机构63.CＰS是指（)。A．证书策略B.中央解决器C.证书策略实行说明D.认证系统6４.CRL是（）。A.统一资源定位符B．数字证书管理机构C.数字证书撤消表D．都不对6５.MD5是一种(）算法。A.摘要算法B.对称加密C.数字署名D．数字证书66.SＨＡ1是一种（）算法。A.摘要算法B.对称加密C.数字署名Ｄ.数字证书67.ＩPｓec是指(）。A.第二代IＰ协议B．ＩP地址C.IP层安全标准D.IP协议68.PKI是（）。A.公钥基础设施B．公开密钥系统C．公开密钥算法D.公共密钥证书69.VPN是指()。Ａ．高级用户网络B.虚拟专用网络C.虚拟用户D．网络漏洞70．不属于PKI基础技术的是()Ａ.加密技术B.数字署名技术C.数字信封技术D.数字水印技术71.关于防火墙,以下哪种说法是错误的?（)A.防火墙能阻止来自内部的威胁；Ｂ.防火墙能控制进出内网的信息流向和信息包;C.防火墙能提供ＶPN功能;Ｄ．防火墙能隐藏内部IＰ地址7２．基于网络的入侵检测系统的信息源是()Ａ.系统的审计日记B．系统的行为数据C.应用程序的事务日记文献D.网络中的数据包７3.密钥的长度是指密钥的位数，一般来说()。A.密钥位数越长,被破译的也许就越小B.密钥位数越短，被破译的也许就越小C.密钥位数越长，被破译的也许就越大D.以上说法都对的７4.目前最安全的身份认证机制是（）。Ａ．一次性口令机制B．双因素法Ｃ.基于智能卡的用户身份认证D．身份认证的单因素法75.可以在网络通信中寻找符合网络入侵模式的数据包而发现袭击特性的入侵检测方式是()A．基于网络的入侵检测方式；Ｂ．基于文献的入侵检测方式；Ｃ.基于主机的入侵检测方式;Ｄ.基于系统的入侵检测方式76.容灾的目的和实质是()A.数据备份B．心理安慰C.保持信息系统的业务连续性D．系统的有益补充7７.入侵检测系统提供的基本服务功能涉及()Ａ.异常检测和入侵检测;B.入侵检测和袭击告警；C.异常检测和袭击告警;D.异常检测、入侵检测和袭击告警78.入侵检测系统在进行信号分析时,一般通过三种常用的技术手段,以下哪一种不属于通常的三种技术手段（)Ａ．模式匹配;B.记录分析;C.完整性分析；Ｄ．密文分析79.身份认证的重要目的涉及：保证交易者是交易者本人、避免与超过权限的交易者进行交易和()Ａ.可信性;B.访问控制；C．完整性；D．保密性80．使网络服务器中充斥着大量规定回复的信息，消耗带宽,导致网络或系统停止正常服务，这属于(）袭击类型。Ａ、拒绝服务Ｂ、文献共享C、BＩND漏洞D、远程过程调用81.数字署名采用的是(）。A.传统加密算法B．DＥS加密算法C．恺撒编码算法D.散列编码法和RＳＡ加密算法82.数字署名技术的重要功能是(）、发送者的身份认证、防止交易中的抵赖发生A.验证信息传输过程中的完整性;B.验证信息传输过程中的安全性；C．接受者的身份验证；Ｄ.以上都是83.数字信封技术是结合了对称密钥加密技术和公开密钥加密技术优点的一种加密技术,它克服了()。A.加密中对称密钥效率低和公开密钥加密中密钥分发困难的问题B．对称密钥加密中密钥分发困难和公开密钥加密中加密效率低的问题C.对称密钥加密中数字过长的问题Ｄ．公开密钥加密中加密技术困难的问题8４.数字证书的作用是()。A．保证信息传输的保密性B．保证交易文献的完整性C.保证交易文献的不可否认性D.证明交易者的真实身份85.为了保障网络安全,防止外部网对内部网的侵犯，多在内部网络与外部网络之间设立(）A.密码认证；B.时间戳；C.防火墙；D．数字署名8６.以下关于VPN说法对的的是：()A.VＰＮ指的是用户自己租用线路,和公共网络物理上完全隔离的、安全的线路；B.VPN指的是用户通过公用网络建立的临时的、安全的连接;C.VＰN不能做到信息认证和身份认证;D.VPN只能提供身份认证、不能提供加密数据的功能二、判断题（每题1分,共１0分）1.互联网自身的安全性足以支持电子商务的开展。2．互联网是不安全的，所以电子商务的开展必须有各种安全机制加以保护。3.信息加密后可以永远保证信息的机密性。4.加密的安全性取决于算法的强度、密钥的长度及其保密性。5．所有加密技术都依赖于密钥。6.密钥使用时间越长，泄露的机会越大,损失越大。７.认证就是确认实体是它所声明的。８.数据认证不规定期间性，身份认证必须实时认证。9.MD5被认为是易受袭击的，逐渐被SＨA－1和ＲIPEＭD-1６0替代10.基于对称密码算法的身份认证是通信双方共享一个密钥(通常存储在硬件中),该密钥在询问－应答协议中解决或加密信息互换。1１．基于公开密码的身份认证机制规定声称者使用他的秘密署名密钥签署某一消息来完毕。１2．ＰKＩ的重要任务是管理密钥和证书。１3.PＫI能为网络用户建立安全通信信任机制。14.ＣＡ是PKＩ的核心，是PKI应用中权威的、可信赖的、公正的第三方机构,是电子商务体系中的核心环节,是电子交易中信赖的基础。1５．根CA具有一个自署名的证书。并对它下层的ＣA进行署名。１6.访问控制建立在身份认证基础之上。１７.自主访问控制模型是指具有某种访问能力的主体可以自主地将访问权的某个子集授予其它主体。18.自主访问控制模型通过访问许可与访问模式描述了主体对客体所具有的控制权与访问权。１9.强制访问控制模型采用基于规则的访问控制策略，给出资源受到的限制和实体的安全级别，对资源的访问取决于实体的安全级别而非实体的身份。20．强制访问控制模型通过安全标签实现单向信息流通模式。2１.随着电子商务的发展,SET协议将取代SSL协议。22.VＰＮ就是在两个INTRANET之间建立专线连接。2３.防火墙可以解决电子商务安全的所有问题。24．防火墙就是一个包过滤设备。26.入侵检测系统的目的就是抓住入侵者。2７.蠕虫、木马、病毒特性的融合是现在病毒技术发展的重要趋势。三、名词解释（每题３分，共15分）1.机密性机密性是指存储的信息不被窃取或传输的信息不被非法截取。即使被截取也要保证信息的内容不会暴露。2.完整性完整性是指信息在存储和传输时不会被非授权的修改、破坏，信息可以保持一致性。当完整性被破坏时能及时发现。3.可用性可用性是指系统工作正常，能及时有效的为合法用户提供服务。4.数字证书数字证书由认证机构颁发，包含公开密钥持有者信息、公开密钥文献、认证机构的数字署名、密钥的有效时间、认证机构的名称及证书序列号等信息。５．PKIＰKI(PubicKｅｙInfraｓtｒｕｃturｅ),是一个运用公开密钥算法原理与技术实现的,并提供安全服务的,具有普适性的安全基础设施。６.CＡ认证机构(CA）在业界通常被称为认证中心,它是证书的签发机构,是一个严格按照证书策略管理机构制定的策略颁发证书的机构。７.ＣRLs数字证书撤消表。是一种包含撤消的证书列表的署名的数据结构。其完整性由数字署名保证。其署名者一般是证书的签发者。8.交叉认证使两个不同的CA层次结构之间建立对等信任关系。9.CP证书策略（CertifｉcatｅＰｏlicy,ＣP）是一组命名的规则,这些规则用来说明证书对某一特定团队的合用范围或遵循普通安全限制条件的应用分类。证书策略的定义、标记的分派由策略(管理）机构来决定，并作为对象标记符进行注册和公开发布。对象标记符在通信协议中进行传递，作为使用该证书的政策标记。由发证机构和证书用户共同认可。１0.CPＳ认证惯例声明CPS(CerｔifiｃａtionＰractｉｃesＳｔaｔemｅnｔ)又译作证书运作声明、证书运作规范或认证惯例陈述等。它是CA机构拟定的一个相称全面详尽的的技术化和程序化文档,对支持明确的服务提供描述，涵盖证书生命周期管理的具体过程。使申请者和证书用户确信该CＡ所确认的身份合用于自己的目的并且是可以信赖的。如业务流程,安全流程，证书服务约束，法律约束等。１１.访问控制访问控制建立在身份认证基础之上。控制和管理合法用户访问资源的范围和访问方式。防止非法用户的入侵或合法用户对资源的误用或滥用。保证资源受控的、合理的使用。是基于权限管理的一种非常重要的安全策略。1２．角色每个角色与一组用户和有关的动作互相关联，角色中所属的用户可以有权执行这些操作。13.支付网关支付网关是由银行或指定的第三方运作的专用系统,用于解决支付授权和完毕支付。隔离银行网络和互联网。１4.VPN虚拟专用网就是指运用公共网络的一部分来发送专用信息，形成逻辑上的专用网络。15.IＤS入侵检测系统对系统的运营状态进行监视,发现各种袭击企图、袭击行为或者袭击结果，以保证系统资源的机密性、完整性和可用性。进行入侵检测的软件与硬件的组合便是入侵检测系统。四、简答题（每题5分，共3０分)1．电子商务的安全需求有哪些?机密性完整性真实性(认证性）可控性不可否认性可用性2.网络安全服务涉及哪些内容？认证服务访问控制服务机密性服务数据完整性服务不可否认服务３．密钥管理的目的是什么？维持系统中各实体之间的密钥关系，以抗击各种也许的威胁：密钥的泄露秘密密钥或公开密钥的身份的真实性丧失未经授权使用4．密钥管理系统的规定是什么？应当尽量不依赖于人的因素：密钥难以被非法窃取;在一定条件下窃取了密钥也没有用；密钥的分派和更换过程对用户是透明的。5.对称密钥的分发方法有几种?(1)使用安全信道实现密钥分派:由于其成本高，只合用于高安全级密钥（如主机主密钥)的传递。（2)密钥分路传送:采用隐蔽方法实现，例如将密钥提成几个部分分别传送,该方法只合用于密钥量很小的情况下密钥(如主机主密钥、密钥加密密钥等)的分派。（3)会话密钥可在使用密钥加密密钥或者公钥密钥体制对其加密后,通过公用网来传送。（4）可通过可信赖密钥管理中心进行密钥分派。6.数字证书的分类。个人数字证书第一级提供个人电子邮件的认证,仅与电子邮件地址有关。第二级提供个人姓名、个人身份等信息的认证。服务器证书拥有数字证书的服务器可以自动与客户进行加密通信。开发者证书7.哈希函数的特性是什么？给定M，可算出h．给定ｈ,根据H(Ｍ)=h反推出Ｍ是非常困难的。给定M，要找到此外一个消息M＊,使其满足H（M*)=H（M)=h是非常困难的。8.简述数字署名及其验证过程。发送方对明文使用散列函数形成摘要h１发送方用自己的私钥加密ｈ1形成数字署名发送方将明文、署名、证书用接受公钥加密，发送给接受方。接受方用自己的私钥解密,得到明文、署名和发送方证书。对明文用相同的散列函数形成摘要ｈ2用发送方公钥解密署名得到h1比较h1和h２，相同,则完整性、信源得到验证。不同则删除收到的数据９.简述ＳＥT协议中双重署名及其验证过程。甲对发给乙的信息M1生成摘要A1；甲对发给丙的信息Ｍ2生成摘要Ａ２;甲把A1和A2合起来生成摘要A3，并用私钥署名A3,Siｇ(A３);甲把M1、A2和Siｇ(Ａ３)发给乙；甲把M2、Ａ１和Siｇ(A3）发给丙;乙接受信息后，对Ｍ１生成信息摘要A1’，把A１’和收到的A2合在一起，并生成新的信息摘要,同时使用甲的公钥对A3的署名进行验证，以确认信息发送者的身份和信息是否被修改过；丙接受信息后,对M２生成信息摘要A２’，把Ａ2’和收到的Ａ1合在一起，并生成新的信息摘要,同时使用甲的公钥对A３的署名进行验证，以确认信息发送者的身份和信息是否被修改过。10．数字时间戳的性质是什么？(１)时戳必须包含在数据自身之中，与它存放的物理媒体无关;(2）对文献的丝毫改动都是不也许的，都将引起文献的显著变化。(3）想用不同于当前日期和时间的时戳来标记文献也是不也许的。11.简述可信的时间戳服务中心为用户B产生时间戳的过程。（1)B先计算ｚ＝h（x）和y=SigK（z）；（２)然后将（z,ｙ）发送给TSS；（３）ＴSS将级联日期D并对(z，y,Ｄ）进行署名。12.身份认证的基本方式是什么？所知(Ｋnoｗledｇe）:示证者所知道的或所掌握的知识，如密码、口令等。所有(Possesses）：示证者所具有的东西，如身份证、护照、信用卡、钥匙等。个人特性（Cｈaｒａcｔeｒｉstics）：如指纹、笔迹、声纹、手型、脸型、血型、视网膜、虹膜、DNA以及个人一些动作方面的特性等。示证者在某一特定场合（或某一特定期间)提供的证据。验证者认可某一可信方的认证结论。13．不可否认服务的类型有什么？源的不可否认服务：用于防止发送方出现否认或解决发送方已出现的否认。传递的不可否认服务:用于防止接受方出现否认或解决接受方已出现的否认。14.不可否认服务中可信赖第三方的作用是什么?密钥证明：发放公钥证书身份证实：证实消息源的身份时间戳：对消息附加可信赖的时间戳证据保存:安全地存档数据,以便在发生纠纷时提供可靠证据传递代理：作为收发之间传递消息的中介或代理纠纷解决：作为中介人参与纠纷解决。仲裁：仲裁服务可作为可信赖的第三方的扩充服务1５.PKI提供的基本服务是什么?认证:强鉴别采用数字署名技术,署名作用于相应的数据之上被认证的数据——数据源认证服务用户发送的远程请求——身份认证服务完整性：PKＩ采用了两种技术数字署名:既可以是实体认证，也可以是数据完整性MAＣ(消息认证码)：如DES-ＣBC－ＭAC或者HＭＡC-MＤ5机密性用公钥分发随机密钥,然后用随机密钥对数据加密——数字信封机制16.PＫI提供的支撑服务是什么？不可否认发送方的不可否认——数字署名接受方的不可否认——收条＋数字署名安全时戳:即TｉmｅSｔampAuthoritｙ[RFＣ31６2，Ｔime－SｔａmpＰrotoｃol],TSＡ是一个产生时间戳记号的可信第三方,该时间戳记号用以显示数据在特定期间前已存在。公证安全通信特权管理：ＰＭI,即PrivｉlegeManagemeｎtInfｒaｓtructｕｒe,在ＡＮSＩ,ITＵX．5０9和IＥＴFＰKIX中都有定义，特权管理服务依赖于策略。17.SSL的功能是什么？SSL提供四个基本功能Auｔhentiｃatiｏn身份验证Ｅｎcryｐtion机密性Ｉnｔegrity完整性ＫeｙExchange密钥互换采用两种加密技术非对称加密认证互换对称加密密钥对称加密:加密传输数据18.简述ＩPＳec的组成。两个通信协议：AＨ，ＥＳＰ两种操作模式:传输模式，隧道模式一个密钥互换管理协议:IKＥ两个数据库：安全策略数据库SPD,安全关联数据库SＡ