电子商务安全

《电子商务平安》习题答案第一章1．关于电子商务平安，以下说法中错误的选项是 〔 D 〕A．电子商务平安包括计算机网络平安和电子交易平安B.电子商务平安是制约电子商务开展的重要因素C.电子商务平安与网络平安的区别在于其有不可否认性的要求D.决定电子商务平安级别的最重要因素是技术2.网上交易中，如果定单在传输过程中订货数量发生了变化，则破坏了平安需求中的 ( C)。A.可用性 B.机密性 C.完整性 D.不可抵赖性3． 原则保证只有发送方和接收方才能访问消息内容。 〔 A 〕A.机密性B.完整性 C.身份认证 D.访问控制4.电子商务平安涉及的三种因素中，没有 。 〔 C 〕A.人 B.过程 C.设备 D.技术5.在PDRR模型中， 是静态防护转化为动态的关键，是动态响应的依据。〔 B〕A.保护 B.检测 C.响应 D.恢复6.在电子商务交易中，消费者面临的威胁不包括 〔 A 〕A.虚假订单 B.付款后不能收到商品C.客户资料机密性丧失 D.非授权访问7. 截获 攻击与保密性相关； 伪造 攻击与认证相关； 篡改 攻击与完整性相关； 中断 攻击与可用性相关。〔供选择的答案：篡改、截获、伪造、中断〕8.如果电子商务系统无法访问了，则破坏了电子商务平安的 可用性 需求。9.电子商务平安的目标是：保证交易的真实性、机密性、完整性、 不可抵赖性和 可用性 。10.为什么说人是电子商务平安中最重要的因素？电子商务交易的主体仍然是人，因此人的因素是最重要的。人作为一种实体在电子商务的运行和交易过程中存在，其必然对电子商务的平安产生重要影响。11.电子商务平安应从哪几个方面来综合考虑？〔1〕人：〔2〕过程：〔3〕技术：第二章1.棋盘密码是将26个英文字母放在5×5的表格中，每个字母对应的密文由行号和列号对应的数字组成，如图2.23所示。如h对应的密文是23，e对应15等。123451abcde2fghijk3lmnop4qrstu5vwxyz图2.23棋盘密码请问它是属于 〔 A 〕A.单表替代密码 B.多表替代密码 C.置换密码 D.以上都不是2. 攻击不修改消息的内容。 〔 A 〕A.被动 B.主动 C.都是 D.都不是3.在RSA中，假设取两个质数p=7、q=13，则其欧拉函数φ(n)的值是〔 B 〕A.84 B.72 C.91 D.1124.RSA算法建立的理论根底是 ( B )A.替代和置换 B.大数分解 C.离散对数 D.散列函数5.数字信封技术是结合了对称密码技术和公钥密码技术优点的一种加密技术，它克服了〔D〕A、对称密码技术密钥管理困难 B、公钥密码技术分发密钥困难C、对称密码技术无法进行数字签名 D、公钥密码技术加密速度慢6.生成数字信封时，我们用 加密 。 ( D )A、一次性会话密钥，发送方的私钥 B、一次性会话密钥，接收方的私钥C、发送方的公钥，一次性会话密钥 D、接收方的公钥，一次性会话密钥7.如果发送方用自己的私钥加密消息，则可以实现 。 ( D )A.保密性 B.保密与鉴别 C.保密而非鉴别 D.鉴别8.如果A要和B平安通信，则B不需要知道 。 ( A )A.A的私钥 B.A的公钥 C.B的公钥 D.B的私钥9.通常使用 验证消息的完整性。 ( A )A.消息摘要 B.数字信封 C.对称解密算法 D.公钥解密算法10.两个不同的消息摘要具有相同散列值时，称为 〔 B 〕A.攻击 B.冲突 C.散列 D.签名11. 可以保证信息的完整性和用户身份确实定性。 〔 C 〕A.消息摘要 B.对称密钥 C.数字签名 D.时间戳12.与对称密钥加密技术相比，公钥加密技术的特点是 〔 D 〕A.密钥分配复杂 B.密钥的保存数量多C.加密和解密速度快 D.可以实现数字签名13.正整数n的 欧拉函数 是指小于n并与n互素的非负整数的个数。14.时间戳是一个经加密后形成的凭证文档，它包括需加 时间戳 的文件的摘要〔Digest〕、DTS收到文件的日期和时间和 时间戳权威的签名 三个局部。15.请将以下常见密码算法按照其类型填入相应单元格中。①RSA②MD5③AES ④IDEA⑤DES⑥Diffie-Hellman⑦DSA⑧SHA-1⑨ECC⑩SEAL对称〔分组〕密码算法流密码公钥密码算法Hash算法3451016972816.公钥密码体制的加密变换和解密变换应满足哪些条件？公钥密码体制用两个密钥中任何一个密钥加密内容，都能且只能用对应的另一个密钥解密，同时，要想由一个密钥推知出另一个密钥，在计算上是不可能的。17.在电子商务活动中为什么需要公钥密码体制。主要是解决电子商务活动中密钥分配、数字签名和身份认证的问题18.小明想出了一种公钥加密的新方案，他用自己的公钥加密信息，然后将自己的私钥传给接收方，供接收方解密用，请问这种方案存在什么缺陷吗？私钥在传输途中可能被攻击者窃取。这相当于把公钥密码体制当做对称密码体制在用，因此无法解决密钥分配过程中被窃取的问题。19.小强想出了一种数字签名的新方案，他用一个随机的对称密钥加密要签名的明文得到密文，再用自己的私钥加密该对称密钥〔签名〕，然后把密文和加密后的对称密钥一起发送给接收方，接收方如果能解密得到明文，就说明验证签名成功。请问用该方案能够对明文签名吗，为什么？签名无法和消息绑定在一起。20.MAC与消息摘要有什么区别？MAC是参入了对称密钥的消息摘要第三章1.确定用户的身份称为 〔 A 〕A.身份认证 B.访问控制 C.授权 D.审计2.以下哪项技术不能对付重放攻击 〔 A 〕A.线路加密 B.一次性口令机制 C.挑战—应答机制 D.往认证消息中添加随机数3.有些网站的用户登录界面要求用户输入用户名、密码的同时，还要输入系统随机产生的验证码，这是为了对付 (D)A.窃听攻击 B.危及验证者的攻击 C.选择明文攻击 D.重放攻击4.关于SAML协议，以下说法错误的选项是 〔 C 〕A.SAML不是一个完整的身份认证协议B.SAML协议主要用来传递用户的认证信息C.SAML是一个认证权威机构D.SAML协议定义了一套交换认证信息的标准5.Kerberos实现单点登录的关键是引入了 票据许可效劳器 ，实现双向认证的关键是引入了会话密钥 。6.认证主要包括 消息认证 和身份认证两种。7．Kerberos认证系统中，客户要使用其提供的任何一项效劳必须依次获取 票据许可票据和效劳许可票据。8.如果认证双方共享一个口令〔验证密钥〕，声称者有哪几种方法可以让验证者相信他确实知道该口令。三种方法：①出示口令方式。申请者直接将口令提交给验证者，验证者检查口令是否正确。该方式的缺点是口令存在被线路窃听、被重放且不能双向认证〔申请者无法判断验证者是否确实知道口令〕的缺点。②不出示口令方式。申请者用口令加密一个消息，将加密的消息发给验证者，验证者用口令解密，如果得到消息明文则验证通过。该方式解决了口令被窃听和不能双向认证的缺陷，但仍存在被重放的缺点。③挑战—应答方式。验证者发一个随机数给申请者，申请者用口令加密该随机数给验证者。该方式解决了以上所有三个问题，但增加了一次通信。9.身份认证的依据一般有哪些？1〕用户所知道的某种信息〔Somethingtheuserknows〕，如口令或某个秘密。2〕用户拥有的某种物品〔Somethingtheuserpossesses〕，如身份证、银行卡、密钥盘、IP地址等。3〕用户具有的某种特征〔Somethingtheuserisorhowhe/shebehaves〕10.在使用口令机制时，如何对付外部泄露和口令猜想？11.采用挑战—应答机制对付重放攻击，与一般的对付重放攻击的方法相比，优点和缺点是什么？不需要保存随机数和增加时间戳，但增加了一次通信。第四章1.关于认证机构CA，以下哪种说法是错误的。 〔 B〕A.CA可以通过颁发证书证明密钥的有效性B.CA有着严格的层次结构，其中根CA要求在线并被严格保护C.CA的核心职能是发放和管理用户的数字证书D.CA是参与交易的各方都信任的且独立的第三方机构组织。2.密钥交换的最终方案是使用 。 〔 C 〕A.公钥 B.数字信封 C.数字证书 D.消息摘要3.CA用 签名数字证书。 〔 D 〕A.用户的公钥 B.用户的私钥 C.自己的公钥 D.自己的私钥4.以下哪几种设施通常处于在线状态〔多项选择〕 〔 BC 〕A.根CA B.OCSP C.RA D.CRL5.数字证书是将用户的公钥与其 相联系。 〔 C 〕A.私钥 B.CA C.身份6.证书中不含有以下哪项内容 ( D )A序列号 B颁发机构 C主体名 D主体的私钥7.为了验证CA〔非根CA〕的证书，需要使用： 〔 B 〕A.该CA的公钥 B.上级CA的公钥 C.用户的公钥 D.该CA的私钥8.一个典型的PKI应用系统包括五个局部： CA 、 RA 、数字证书库、证书作废系统、密钥备份及恢复系统、应用程序接口。9．RA 不可以 签发数字证书。〔填可以或不可以〕。10．写出证书是怎样生成的？书89页11．验证证书路径是如何进行的？书91页第五章1.网页篡改是针对_________进行的攻击。 〔 B 〕A．传输层 B．应用层 C．网络层D．表示层2.对宿主程序进行修改，使自己成为合法程序的一局部并与目标程序成为一体的病毒是〔 A 〕A源码型病毒 B操作系统型病毒C外壳型病毒 D入侵型病毒3.下面关于病毒的表达正确的选项是 〔D〕A．病毒可以是一个程序B．病毒可以是一段可执行代码C．病毒能够自我复制D．ABC都正确4.DDoS攻击破坏了_________。 〔A 〕A．可用性B．保密性C．完整性D．真实性5.解释互联网平安体系结构中定义的平安效劳。6.在TCP/IP的不同层次实现平安分别有什么特点？第六章1.从系统结构上来看，入侵检测系统可以不包括 ( C ) A.数据源 B.分析引擎 C.审计 D.响应2.通用入侵检测框架〔CIDF〕模型中， 的目的是从整个计算环境中获得事件，并向系统的其他局部提供此事件。 〔 A 〕 A.事件产生器 B.事件分析器 C.事件数据库 D.响应单元3.基于网络的入侵检测系统的数据来源主要是 〔 D 〕 A.系统的审计日志 B.系统的行为数据 C.应用程序的事务日志文件 D.网络中的数据包4.误用入侵检测技术的核心问题是 的建立以及后期的维护和更新。〔 C 〕 A.异常模型 B.规则集处理引擎去 C.网络攻击特征库 D.审计日志5.防火墙的局限性不包括以下哪项 〔 C 〕A.防火墙不能防御绕过了它的攻击B.防火墙不能消除来自内部的威胁C.防火墙不能对用户进行强身份认证D.防火墙不能阻止病毒感染过的程序和文件迸出网络6.仅利用交换机上的访问控制列表ACL实现的防火墙是属于 (A)A.包过滤防火墙 B.双重宿主主机防火墙C.屏蔽主机防火墙 D.屏蔽子网防火墙7.以下哪项不属于访问控制策略 〔 B 〕A.基于身份的策略 B.基于任务的策略 C.多等级策略 D.组策略8.屏蔽子网防火墙是既有_包过滤路由器___的功能，又能在_应用层__进行代理，能从链路层到应用层进行全方位平安处理。9.根据检测原理，入侵检测系统分为异常检测和误用检测。10.简述内部网络、外部网络和DMZ之间的关系。第七章电子商务平安协议1．SSL中的 是可选的。 〔 D 〕A.效劳器鉴别 B.数据库鉴别 C.应用程序鉴别 D.客户机鉴别2．SSL层位于 与 之间 〔 B 〕A.传输层，网络层 B.应用层，传输层C.数据链路层，物理层 D.网络层，数据链路层3．SSL用于客户机—效劳器之间相互认证的协议是 〔 B 〕A.SSL警告协议 B.SSL握手协议 C.SSL更改密码标准协议 D.SSL记录协议4．SET提出的数字签名新应用是 〔 A 〕A．双重签名 B．盲签名 C．数字时间戳 D．门限签名5．SSL协议提供的根本平安效劳不包括 〔B〕A.加密效劳B.效劳器证书 C.认证效劳D.保证数据完整6．SET的主要目的与 有关。 〔 C 〕A.浏览器与效劳器之间的平安通信 B.数字签名C.Internet上的平安信用卡付款 D.消息摘要7．SET中的 不知道付款信用卡的细节。 〔 A 〕A.商家 B.客户 C.付款网关 D.签发人8．基于SET协议的电子商务系统中对商家和持卡人进行认证的是〔B〕A．收单银行B．支付网关C．认证中心D．发卡银行9．关于SSL协议与SET协议的表达，正确的选项是 (C)A．SSL是基于应用层的协议，SET是基于传输层的协议B．SET和SSL均采用RSA算法实现相同的平安目标C．SSL在建立双方的平安通信信道后，所有传输的信息都被加密，而SET则有选择地加密一局部敏感信息D．SSL是一个多方的报文协议，它定义了银行、商家、持卡人之间必需的报文标准，而SET只是简单地在通信双方之间建立平安连接10．下面关于ESP传输模式的表达不正确的选项是〔A〕A．并没有暴露子网内部拓扑 B．主机到主机平安C．IPSec的处理负荷被主机分担 D．两端的主机需使用公网IP11．IPSec提供 网络 层的平安性。12．在SET中使用随机产生的 对称密钥 加密数据