电子商务安全2唐四薪课后参考答案

电子商务安全第2版习题答案第一章关于电子商务安全，下列说法中错误的是 A．电子商务安全包括计算机网络安全和电子交易安全B.电子商务安全是制约电子商务发展的重要因素C.电子商务安全与网络安全的区别在于其有不可否认性的要求D.决定电子商务安全级别的最重要因素是技术2.网上交易中，如果定单在传输过程中订货数量发生了变化，则破坏了安全需求中的 A.可用性 B.机密性 C.完整性 D.不可抵赖性3． 原则保证只有发送方和接收方才能访问消息内容。 A.机密性B.完整性 C.身份认证 D.访问控制4.电子商务安全涉及的三种因素中，没有 。 A.人 B.过程 C.设备 D.技术5.在PDRR模型中， 是静态防护转化为动态的关键，是动态响应的依据。A.保护 B.检测 C.响应 D.恢复6.在电子商务交易中，消费者面临的威胁不包括 A.虚假订单 B.付款后不能收到商品C.客户资料机密性丧失 D.非授权访问7. 截获 攻击与保密性相关； 伪造 攻击与认证相关； 篡改 攻击与完整性相关； 中断 攻击与可用性相关。（供选择的答案：篡改、截获、伪造、中断）8.如果电子商务系统无法访问了，则破坏了电子商务安全的 可用性 需求。9.电子商务安全的目标是：保证交易的真实性、机密性、完整性、 不可抵赖性和 可用性 。10.为什么说人是电子商务安全中最重要的因素？电子商务交易的主体仍然是人，因此人的因素是最重要的。人作为一种实体在电子商务的运行和交易过程中存在，其必然对电子商务的安全产生重要影响。11.电子商务安全应从哪几个方面来综合考虑？答;（1）人：（2）过程：（3）技术：第二章1.棋盘密码是将26个英文字母放在5×5的表格中，每个字母对应的密文由行号和列号对应的数字组成，如图2.23所示。如h对应的密文是23，e对应15等。123451abcde2fghijk3lmnop4qrstu5vwxyz图2.23棋盘密码请问它是属于 （ A ）A.单表替代密码 B.多表替代密码 C.置换密码 D.以上都不是2. 攻击不修改消息的内容。 （ A ）A.被动 B.主动 C.都是 D.都不是3.在RSA中，若取两个质数p=7、q=13，则其欧拉函数φ(n)的值是（ B ）A.84 B.72 C.91 D.1124.RSA算法建立的理论基础是 ( B )A.替代和置换 B.大数分解 C.离散对数 D.散列函数5.数字信封技术是结合了对称密码技术和公钥密码技术优点的一种加密技术，它克服了（D）A、对称密码技术密钥管理困难 B、公钥密码技术分发密钥困难C、对称密码技术无法进行数字签名 D、公钥密码技术加密速度慢6.生成数字信封时，我们用 加密 。 ( D )A、一次性会话密钥，发送方的私钥 B、一次性会话密钥，接收方的私钥C、发送方的公钥，一次性会话密钥 D、接收方的公钥，一次性会话密钥7.如果发送方用自己的私钥加密消息，则可以实现 。 ( D )A.保密性 B.保密与鉴别 C.保密而非鉴别 D.鉴别8.如果A要和B安全通信，则B不需要知道 。 ( A )A.A的私钥 B.A的公钥 C.B的公钥 D.B的私钥9.通常使用 验证消息的完整性。 ( A )A.消息摘要 B.数字信封 C.对称解密算法 D.公钥解密算法10.两个不同的消息摘要具有相同散列值时，称为 （ B ）A.攻击 B.冲突 C.散列 D.签名11. 可以保证信息的完整性和用户身份的确定性。 （ C ）A.消息摘要 B.对称密钥 C.数字签名 D.时间戳12.与对称密钥加密技术相比，公钥加密技术的特点是 （ D ）A.密钥分配复杂 B.密钥的保存数量多C.加密和解密速度快 D.可以实现数字签名13.正整数n的 欧拉函数 是指小于n并与n互素的非负整数的个数。14.时间戳是一个经加密后形成的凭证文档，它包括需加 时间戳 的文件的摘要（Digest）、DTS收到文件的日期和时间和 时间戳权威的签名 三个部分。15.请将下列常见密码算法按照其类型填入相应单元格中。①RSA②MD5③AES ④IDEA⑤DES⑥Diffie-Hellman⑦DSA⑧SHA-1⑨ECC⑩SEAL对称（分组）密码算法流密码公钥密码算法Hash算法3451016972816.对于自同步流密码，如果密钥流不是与密文相关，而是与明文相关（例如先用种子密钥作为密钥流的前几个密钥字符，再用明文序列作为密钥流接下来的密钥字符），会产生什么问题？由于用明文作为密钥流，则可多尝试几次（每次在明文前插入不同长度的任意密钥），就能猜测出密钥的长度，进而能破解出密钥。17.利用扩展的欧几里德算法求28mod75的乘法逆元。表2求gcd(28,75)时扩展欧几里得算法运行表循环次数QX1X2X3Y1Y2Y3赋初值-107501281201281-219211-219-13932-2593-81因为，Y2=-8，所以，28mod75的乘法逆元是6718.求253mod11=？ ②求模43的所有本原根。253mod11=23mod11=8因为43是素数，而43-1=2×21（2是素数），21不是素数，故模43没有本原根。在一个使用RSA的公钥密码系统中，如果截获了发给一个其公开密钥是e=5，n=35的用户的密文是c=10。则明文m是什么？解题方法：P55页，RSA共模攻击，计算公式如下：19.公钥密码体制的加密变换和解密变换应满足哪些条件？公钥密码体制用两个密钥中任何一个密钥加密内容，都能且只能用对应的另一个密钥解密，同时，要想由一个密钥推知出另一个密钥，在计算上是不可能的。20.在电子商务活动中为什么需要公钥密码体制。主要是解决电子商务活动中密钥分配、数字签名和身份认证的问题21.小明想出了一种公钥加密的新方案，他用自己的公钥加密信息，然后将自己的私钥传给接收方，供接收方解密用，请问这种方案存在什么缺陷吗？私钥在传输途中可能被攻击者窃取。这相当于把公钥密码体制当做对称密码体制在用，因此无法解决密钥分配过程中被窃取的问题。22.小强想出了一种数字签名的新方案，他用一个随机的对称密钥加密要签名的明文得到密文，再用自己的私钥加密该对称密钥（签名），然后把密文和加密后的对称密钥一起发送给接收方，接收方如果能解密得到明文，就表明验证签名成功。请问用该方案能够对明文签名吗，为什么？签名无法和消息绑定在一起。23.MAC与消息摘要有什么区别？MAC是掺入了对称密钥的消息摘要24．对称密钥密码体制和公钥密码体制的密钥分配各有哪些方法？公钥密码体制的密钥分配有4种方法：公开发布，通过公钥目录发布，通过公钥管理机构发布，通过数字证书发布。第三章1.确定用户的身份称为 （ A ）A.身份认证 B.访问控制 C.授权 D.审计2.下列哪项技术不能对付重放攻击 （ A ）A.线路加密 B.一次性口令机制 C.挑战—应答机制 D.往认证消息中添加随机数3.有些网站的用户登录界面要求用户输入用户名、密码的同时，还要输入系统随机产生的验证码，这是为了对付 (D)A.窃听攻击 B.危及验证者的攻击 C.选择明文攻击 D.重放攻击4.关于SAML协议，以下说法错误的是 （ C ）A.SAML不是一个完整的身份认证协议B.SAML协议主要用来传递用户的认证信息C.SAML是一个认证权威机构D.SAML协议定义了一套交换认证信息的标准5.Kerberos实现单点登录的关键是引入了 票据许可服务器 ，实现双向认证的关键是引入了会话密钥 。6.认证主要包括 消息认证 和身份认证两种。7．Kerberos认证系统中，客户要使用其提供的任何一项服务必须依次获取 票据许可票据和服务许可票据。8.如果认证双方共享一个口令（验证密钥），声称者有哪几种方法可以让验证者相信他确实知道该口令。三种方法：①出示口令方式。申请者直接将口令提交给验证者，验证者检查口令是否正确。该方式的缺点是口令存在被线路窃听、被重放且不能双向认证（申请者无法判断验证者是否确实知道口令）的缺点。②不出示口令方式。申请者用口令加密一个消息，将加密的消息发给验证者，验证者用口令解密，如果得到消息明文则验证通过。该方式解决了口令被窃听和不能双向认证的缺陷，但仍存在被重放的缺点。③挑战—应答方式。验证者发一个随机数给申请者，申请者用口令加密该随机数给验证者。该方式解决了以上所有三个问题，但增加了一次通信。9.身份认证的依据一般有哪些？1）用户所知道的某种信息（Somethingtheuserknows），如口令或某个秘密。2）用户拥有的某种物品（Somethingtheuserpossesses），如身份证、银行卡、密钥盘、IP地址等。3）用户具有的某种特征（Somethingtheuserisorhowhe/shebehaves）10.在使用口令机制时，如何对付外部泄露和口令猜测？11.采用挑战—应答机制对付重放攻击，与一般的对付重放攻击的方法相比，优点和缺点是什么？不需要保存随机数和增加时间戳，但增加了一次通信。12.对于机密性、完整性、认证、抗抵赖性和可用性五种安全需求，通过密码技术不能提供的安全需求是 可用性 。第四章1.关于认证机构CA，下列哪种说法是错误的。 （ B）A.CA可以通过颁发证书证明密钥的有效性B.CA有着严格的层次结构，其中根CA要求在线并被严格保护C.CA的核心职能是发放和管理用户的数字证书D.CA是参与交易的各方都信任的且独立的第三方机构组织。2.密钥交换的最终方案是使用 。 （ C ）A.公钥 B.数字信封 C.数字证书 D.消息摘要3.CA用 签名数字证书。 （ D ）A.用户的公钥 B.用户的私钥 C.自己的公钥 D.自己的私钥4.以下哪几种设施通常处于在线状态（多选） （ BC ）A.根CA B.OCSP C.RA D.CRL5.数字证书是将用户的公钥与其 相联系。 （ C ）A.私钥 B.CA C.身份 D.序列号6.证书中不含有以下哪项内容 ( D )A序列号 B颁发机构 C主体名 D主体的私钥7.为了验证CA（非根CA）的证书，需要使用： （ B ）A.该CA的公钥 B.上级CA的公钥 C.用户的公钥 D.该CA的私钥8. 标准定义了数字证书的结构。 （ C ）A.X.500 B.S/MIME C.X.509 D.ASN.19．pfx是以下哪一种文件的扩展名？ （ C ）A.数字证书文件 B.数字证书加密文件 C.证书和私钥打包存储的文件 D.加密私钥的文件10.一个典型的PKI应用系统包括五个部分： CA 、 RA 、证书作废系统、密钥备份及恢复系统、应用程序接口。11．RA 不可以 签发数字证书。（填可以或不可以）。12．数字证书是怎样生成的？主体将其身份信息和公钥以安全的方式提交给CA认证中心，CA用自己的私钥对主体的公钥和身份信息等的混合体进行签名，将签名信息附在公钥和主体名等信息后，这样就生成了一张证书，它主要由公钥、主体名和CA的签名三部分组成。13．验证数字证书路径是如何进行的？（1）验证该数字证书是否是真实有效的。（2）检查颁发该证书的CA是否可以信任。14．假设攻击者A自己创建了一个证书，放置了一个真实的组织名（假设为银行B）及攻击者自己的公钥。若用户不知该证书是攻击者发送的，得到了该证书，误认为证书来自于银行B，问如何防止该问题的产生？用CA的公钥去验证该证书的签名，就可检测出该证书被篡改过。15.简述银行网银盾、密码器、一次性密码表这些设备使用的是哪种身份认证方式。网银盾一般采用内置的数字证书进行身份认证。密码器采用一次一密的身份认证方式，一次性密码表采用散列链的身份认证方式。第五章1.网页篡改是针对_________进行的攻击。 （ B ）A．传输层 B．应用层 C．网络层D．表示层2.对宿主程序进行修改，使自己成为合法程序的一部分并与目标程序成为一体的病毒是（ C ）A源码型病毒 B操作系统型病毒C外壳型病毒 D入侵型病毒3.下面关于病毒的叙述正确的是 （D）A．病毒可以是一个程序B．病毒可以是一段可执行代码C．病毒能够自我复制D．ABC都正确4.DDoS攻击破坏了_________。 （A ）A．可用性B．保密性C．完整性D．真实性5.网络加密方式有三种，分别是链路-链路加密、节点加密、 端-端加密。6.解释互联网安全体系结构中定义的安全服务。P189表5.47.在TCP/IP的不同层次实现安全分别有什么特点？（1）应用级安全：必须在终端主机上实施，以用户为背景执行，便于实施强大的基于用户的身份认证和访问控制。（2）端系统级安全：在传输层实现的安全机制，不会强制要求每个应用都在安全方面做出相应改进，缺点是为了提供由具体用户决定的服务，通常假定只有一名用户使用系统，与应用级安全类似，只能在终端系统实现，应用程序仍需要修改，才能要求传输层提供安全服务。传输层的安全协议有SSL/TLS。（3）子网络级安全：网络层安全的优点是密钥协商的开销被大大削减了，因为只需要在网络节点之间协商密钥，其上的多种传输协议和应用程序可共享网络层提供的密钥管理架构，对应用程序的改动要少得多，能很容易地构建VPN。缺点是因为缺乏用户参与背景，很难解决“抗抵赖”之类的需求。第六章1.从系统结构上来看，入侵检测系统可以不包括 ( C ) A.数据源 B.分析引擎 C.审计 D.响应2.通用入侵检测框架（CIDF）模型中， 的目的是从整个计算环境中获得事件，并向系统的其他部分提供此事件。 （ A ） A.事件产生器 B.事件分析器 C.事件数据库 D.响应单元3.基于网络的入侵检测系统的数据来源主要是 （ D ） A.系统的审计日志 B.系统的行为数据 C.应用程序的事务日志文件 D.网络中的数据包4.误用入侵检测技术的核心问题是 的建立以及后期的维护和更新。（ C ） A.异常模型 B.规则集处理引擎去 C.网络攻击特征库 D.审计日志5.防火墙的局限性不包括以下哪项 （ C ）A.防火墙不能防御绕过了它的攻击B.防火墙不能消除来自内部的威胁C.防火墙不能对用户进行强身份认证D.防火墙不能阻止病毒感染过的程序和文件迸出网络6.仅利用交换机上的访问控制列表ACL实现的防火墙是属于 (A)A.包过滤防火墙 B.双重宿主主机防火墙C.屏蔽主机防火墙 D.屏蔽子网防火墙7.下列哪项不属于访问控制策略 （ B ）A.基于身份的策略 B.基于任务的策略 C.多等级策略 D.组策略8.动态包过滤防火墙工作于OSI模型的 网络层上，它对数据包的某些特定域进行检查，这些特定域包括： 数据源地址 、 目的地址、 应用或协议、源端口号、 目的端口号 。9.屏蔽子网防火墙是既有___包过滤__的功能，又能在__应用层__进行代理，能从链路层到应用层进行全方位安全处理。10.根据检测原理，IDS分为异常检测和误用检测。根据数据的来源不同，IDS可分为 基于主机 、 基于网络、 分布式3种类型。11.入侵检测一般分为3个步骤，分别是 信息收集、 数据分析、 响应 。12.简述内部网络、外部网络和DMZ区之间的关系。内部网络位于防火墙内部，外部网络位于防火墙外部，DMZ区位于内部和外部网络之间。13.防火墙一般有几个接口？至少三个，分别连接内网、外网和DMZ区。第七章电子商务安全协议1．SSL中的 是可选的。 （ D ）A.服务器鉴别 B.数据库鉴别 C.应用程序鉴别 D.客户机鉴别2．SSL层位于 与 之间 （ B ）A.传输层，网络层 B.应用层，传输层C.数据链路层，物理层 D.网络层，数据链路层3．SSL用于客户机—服务器之间相互认证的协议是 （ B ）A.SSL警告协议 B.SSL握手协议 C.SSL更改密码规范协议 D.SSL记录协议4．SET提出的数字签名新应用是 （ A ）A．双重签名 B．盲签名 C．数字时间戳 D．门限签名5．SSL协议提供的基本安全服务不包括 （B）A.加密服务B.服务器证书 C.认证服务D.保证数据完整6．SET的主要目的与 有关。 （ C ）A.浏览器与服务器之间的安全通信 B.数字签名C.Internet上的安全信用卡付款 D.消息摘要7．SET中的 不知道付款信用卡的细节。 （ A ）A.商家 B.客户 C.付款网关 D.签发人8．基于SET协议的电子商务系统中对商家和持卡人进行认证的是（B）A．收单银行B．支付网关C．认证中心D．发卡银行9．关于SSL协议与SET协议的叙述，正确的是 (C)A．SSL是基于应用层的协议，SET是基于传输层的协议B．SET和SSL均采用RSA算法实现相同的安全目标C．SSL在建立双方的安全通信信道后，所有传输的信息都被加密，而SET则有选择地加密一部分敏感信息D．SSL是一个多方的报文协议，它定义了银行、商家、持卡人之间必需的报文规范，而SET只是简单地在通信双方之间建立安全连接10．下面关于ESP传输模式的叙述不正确的是（A）A．并没有暴露子网内部拓扑 B．主机到主机安全C．IPSec的处理负荷被主机分担 D．两端的主机需使用公网IP11．IPSec提供 网络 层的安全性。12．在SET中使用随机产生的 对称密钥 加密数据，然后将此 对称密钥 用接收者的 公开密钥加密，称为数字信封。（填对称密钥、公开密钥或私有密钥）13．SET是如何对商家隐藏付款信息的？使用双重签名技术，付款信息用支付网关的公钥进行了加密，商家看不到。第八章电子支付系统及其安全1.下列哪些电子现金协议完全没有使用公钥技术（多选） ( C D )A.E-cash B.Payword C.MicroMint D.Millicent2.盲签名和分割选择协议主要用来实现电子现金的哪种特性 （ D ）A.不可重用性 B.可分性 C.独立性 D.匿名性3.条件匿名的电子现金方案需要使用的盲签名技术是 （ C ）A.部分盲签名 B.完全盲签名 C.公平盲签名 D.限制性盲签名4.电子现金的不可伪造性是通过 银行 对电子现金的数字签名实现的。5.电子现金必须具有的基本特性包括 独立性、不可重用性 、 匿名性