密码应用测评要求和测评方法测试卷附答案

密码应用测评要求和测评方法测试卷附答案1、GM/T0115-2021《信息系统密码应用测评要求》从密码算法、密码技术、密码产品和密码服务的合规性方面，以及密钥管理安全性等方面提出了从第一级到第()级的密码应用通用要求。（）A、二B、三C、四D、五(正确答案)2、GM/T0115-2021《信息系统密码应用测评要求》从信息系统的物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全等四个技术层面提出了第一级到第()级的密码应用技术测评要求。（）A、二B、三C、四(正确答案)D、五3、GM/T0115-2021《信息系统密码应用测评要求》从管理制度、人员管理、建设运行和应急处置等四个管理方面提出了第一级到第()级的密码应用管理测评要求。（）A、二B、三C、四(正确答案)D、五4、GB/T39786-2021中的密码应用等级一般根据网络安全等级保护的级别确定，对于未定级的关键信息基础设施或其它重要信息系统，其密码应用等级至少为第()级。（）A、二B、三(正确答案)C、四D、由测评人员视系统重要情况判定5、信息系统中使用的密码算法应当符合法律、法规的规定和相关国家标准、行业标准的有关要求，以下类型的密码算法中不满足此项要求的是:（）A、以国家标准或国家密码行业标准形式公开发布的密码算法B、经国家密码管理部门许可，尚未公开发布的国产密码算法C、经国家密码管理部门许可，为特定行业、特定需求设计的专用算法D、经国家密码管理部门许可，由于国际互联互通等需要优先选用的国际密码算法(正确答案)6、以下情况需要对其实现的安全机制进行分析测评的是（）A、密码算法是由经商用密码检测认证通过的密码产品提供B、国密局认可在特定行业的专用算法C、使用OpenSSL进行开发实现密码功能(正确答案)D、自实现密码算法且未提供安全性证据7、以下不属于密码服务的是:（）A、证书认证系统集成B、智能电卡(正确答案)C、增值税发票防伪税控系统运营D、电子认证服务8、密评人员针对某信息系统进行物理和环境安全层面测评时，以下说法不正确的是（）A、该层面测评对象为被测信息系统所在的物理机房，具体为物理机房的电子门禁系统和视频监控系统。B、如果信息系统物理机房部署在运营商机房，则物理和环境安全层面不适用，其主体责任归管辖方所属。(正确答案)C、如果信息系统物理机房部署在运营商机房，测评人员需核查该运营商机房是否通过密评。D、若信息系统部署的运营商机房未通过密评，测评人员需现场取证。条件不允许时，可以要求机房运维方提供相关说明文件和证据以支撑测评结论。9、网络和通信安全层面测评可采用的测评方法不包括（）A、针对“身份鉴别”测评指标，了解是否采用密码技术对登录网络设备和安全设备的用户进行身份标识和鉴别，查看所采用的密码算法、技术、产品、服务是否合规，密钥管理是否安全，确认相关密码功能是否正确、有效(正确答案)B、针对“通信数据完整性”测评指标，了解是否采用密码技术对通信数据进行完整性保护，查看所采用的密码算法、技术、产品、服务是否合规，密钥管理是否安全，确认相关密码功能是否正确、有效C、针对“通信数据机密性”测评指标，了解是否采用密码技术对敏感信息或通信报文进行机密性保护，查看所采用的密码算法、技术、产品、服务是否合规，密钥管理是否安全，确认相关密码功能是否正确、有效D、针对“安全接入认证”测评指标，了解是否采用密码技术对从外部连接到内部网络的设备进行接入认证，查看所采用的密码算法、技术、产品、服务是否合规，密钥管理是否安全，确认相关密码功能是否正确、有效10、基于SM3的SM2签名算法Oid标识为:（）A、1.2.156.10197.1.301B、1.2.840.10045.2.1C、1.2.840.10045.5.1D、1.2.156.10197.1.501(正确答案)11、IPSec协议中，SM4算法标识为:（）A、129(正确答案)B、20C、2D、12812、如果一个测评对象涉及多个密码算法/产品/服务/密钥，D/A/K按照()分值给分。（）A、最低(正确答案)B、平均C、最高13、下列说法正确的是（）A、设备和计算安全层面，“采用密码技术对登录的用户进行身份鉴别”要求中的用户指的是登录设备的用户，同时也指登录设备中应用的用户B、当前大部分通用设备（如台式机、服务器）在登录时对人员的身份鉴别为口令，无法满足登录时使用密码技术的要求，可将设备登录口令设置的足够复杂，定期更新口令，能满足《信息系统密码应用基本要求》中设备登录时身份鉴别的要求C、为满足应用和数据安全层面的身份鉴别要求，通常可以利用智能密码钥匙、智能IC卡、动态令牌等密码产品，作为用户登录应用的身份凭证(正确答案)D、“网络和通信安全”的“通信过程中重要数据的机密性”指标与“应用和数据安全”的“重要数据传输机密性”指标都是保护重要数据在传输过程中的机密性，因此在测评时只需要对其中一个进行测评即可，另一个可直接复用其结果14、对于电子签章系统应用测评，可使用()验证电子印章格式的正确性。（）A、制章人公钥证书(正确答案)B、制章人私钥C、签章人公钥证书D、签章人私钥15、对于电子签章系统应用测评，可使用()验证电子签章格式的正确性。（）A、制章人公钥证书B、制章人私钥C、签章人公钥证书(正确答案)D、签章人私钥16、以下关于密钥管理的说法中，错误的是:（）A、密钥都应在核准的密码产品内部产生B、密钥可以加密存储在数据库中C、密钥生命周期结束后，需要对密钥进行销毁，即删除原始密钥和备份、归档的密钥副本(正确答案)D、数字信封、知识拆分等手段可保证密钥分发过程中密钥的安全性17、对于第三级信息系统，其密码安全管理要求不包括:（）A、制定密码建设、运维、人员、设备、密钥等密码安全管理制度及操作规范B、密钥管理员、密码操作员从本机构在编的正式员工中选拔，并进行背景调查(正确答案)C、系统相关人员了解并遵守密码相关法律法规，能够正确使用密码产品D、制定密码安全应急预案，明确事件发生后和事件处置完成后的上报机制18、测评方对信息系统开展密评时，应遵循以下原则:（）A、客观公正性原则(正确答案)B、可重用性原则(正确答案)C、可重复性和可再现性原则(正确答案)D、结果完善性原则(正确答案)19、对于“宜“条款，以下可以作为不适用的理由是:（）A、条款所对应的保护对象不存在(正确答案)B、条款所对应的安全需求不存在(正确答案)C、对于限于技术、管理、业务、环境上的条件约束，难以甚至无法采用密码技术。(正确答案)D、对于约束程度为“宜”的条款要求，信息系统责任单位随意选择不遵循该条款，即“不适用”20、下列选项中，可能为通用要求测评对象的是:（）A、整个信息系统B、应用系统身份鉴别技术实现(正确答案)C、服务器密码机(正确答案)D、电子认证服务(正确答案)21、在进行密码应用安全性评估时，测评人员需要对()进行核查。（）A、密码算法(正确答案)B、密码技术(正确答案)C、密码产品(正确答案)D、密码服务(正确答案)E、密钥管理(正确答案)22、以下关于密码产品的核查，说法正确的是（）A、需要测评人员确认所有实现密码算法、密码协议或密钥管理的部件或设备是否获得了国家密码管理部门颁发的商用密码产品型号证书;B、对于具有密码产品认证证书的密码产品，测评人员应当评估该密码产品内部的密码算法和密码技术等的实现机制;C、对于采用有认证证书的密码产品，但使用未经认可的密码算法或密码协议，需要与密码算法、密码技术核查一并进行;(正确答案)D、密码产品在实际系统中是否被正确使用，需要测评人员通过配置检查、工具检测等方式综合判定。(正确答案)23、以下关于通用要求中密钥管理安全性测评的说法，错误的是:（）A、本单元测评对象重点关注信息系统涉及的业务密钥，同时也要关注密码产品、密码服务内部与业务系统无关的密钥。(正确答案)B、某信息系统使用了经认证合格的密码产品提供密钥管理，密钥安全性判定为符合。(正确答案)C、某信息系统采用未经认证合格的密码产品，其密钥的安全性一定不符合。D、某信息系统使用经认证合格的密码产品提供密钥管理，该密码产品正确部署和使用，其安全等级满足GB/T39786相应等级要求，业务密钥不存在外部管理，信息系统的密钥管理制度能够保证该密码产品被正确地部署和使用，密钥的安全性可判定为符合。24、以下对密钥管理安全性的测评方法，正确的是:（）A、核查实际部署的密码产品是否获得商密产品认证证书;(正确答案)B、核查密码产品安全级别是否满足GB/T39786相应等级的要求;(正确答案)C、核查密钥在密码产品外部进行管理时，是否进行相应保护;(正确答案)D、核查密码产品是否根据安全策略文档进行部署和使用;(正确答案)E、核查信息系统密钥管理制度是否能够保证该密码产品被正确使用;(正确答案)25、密码应用技术测评中每个单元的实施是通过以下哪几个方面开展测评实施:（）A、密码使用合规性（密码算法、密码技术合规）(正确答案)B、密码产品、密码服务和密钥管理的安全性(正确答案)C、验证密码功能实现的正确、有效性(正确答案)26、以下密码技术中，能用于物理访问身份鉴别的有:（）A、动态口令机制(正确答案)B、基于对称密码算法消息鉴别码（MAC）机制(正确答案)C、基于密码杂凑算法的消息鉴别码（MAC）机制(正确答案)D、基于公钥密码算法的数字签名机制(正确答案)27、以下密码技术，可以用于实现网络和通信安全层面身份鉴别的是（）A、动态口令机制B、基于对称密码算法消息鉴别码（MAC）机制(正确答案)C、基于密码杂凑算法的消息鉴别码（MAC）机制(正确答案)D、基于公钥密码算法的数字签名机制(正确答案)28、以下关于IPSEC协议测评验证，说法正确的是:（）A、访谈并查看IPSecVPN设备有关技术文档、《商用密码产品认证证书》(正确答案)B、利用端口扫描工具，探测IPSECVPN服务端所对应的端口(正确答案)C、利用通信协议分析工具，抓取IPSec协议IKE阶段的数据报文，解析密码算法标识是否属于已发布为标准的商用密码算法(正确答案)D、解析IPSec协议IKE阶段传输的证书内容，判断证书是否合规(正确答案)29、以下不属于设备和计算安全层面的测评对象的是:（）A、交换机(正确答案)B、网闸(正确答案)C、数据库管理系统D、堡垒机30、以下属于设备和计算安全层面的测评对象的是:（）A、应用服务器(正确答案)B、数据库管理系统(正确答案)C、数据库服务器(正确答案)D、整机类和系统类密码产品(正确答案)E、堡垒机(正确答案)31、某信息系统部署了5台厂商A、型号B、操作系统版本C的应用服务器，3台厂商D、型号E、操作系统版本F的数据库服务器，以下对设备和计算安全层面测评对象的选取，说法正确的是（）A、以“应用服务器A-B-C“、”数据库服务器D-E-F“作为2个测评对象(正确答案)B、5台应用服务器、3台数据库服务器分别作为8个测评对象C、因厂商、型号、操作系统版本相同，可以抽样选取其中1台应用服务器和1台数据库服务器作为2个测评对象D、实际测评的时候要对每一台服务器的密码应用情况进行评估(正确答案)32、密评人员在对设备和计算安全层面进行测评的时候，如果测评对象为合规的整机类密码产品，以下测评指标可以直接判定为符合的是（）A、身份鉴别B、系统资源访问控制信息完整性(正确答案)C、日志记录完整性(正确答案)D、重要可执行程序完整性、重要可执行程序来源真实性(正确答案)33、以下层面中，涉及真实性、机密性、完整性的测评的是（）A、物理和环境安全B、网络和通信安全(正确答案)C、设备和计算安全(正确答案)D、应用和数据安全(正确答案)34、设备和计算安全层面“宜采用密码技术保证日志记录的完整性”的测评要点包括:（）A、访谈并查看日志记录完整性保护有关技术文档、《商用密码产品认证证书》(正确答案)B、核查密码产品配置，确认完整性保护采用的密码算法、密码技术是否合规(正确答案)C、抓包并配合密码产品日志记录，确认密码产品是否真正被调用(正确答案)D、篡改历史日志记录，查看完整性保护机制是否有效(正确答案)35、某信息系统中，管理员在互联网通过SSLVPN接入系统内网后，登录堡垒机对设备进行远程管理。SSLVPN采取本地运维的方式，如下图。以下属于网络和通信安全层面的测评对象的是()()A(正确答案)B(正确答案)C36、上述例子中，属于设备和计算安全层面远程管理通道测评对象的是：()AB(正确答案)C(正确答案)37、应用和数据安全层面，某政务服务系统采用智能密码钥匙（产生“挑战-响应”中的数字签名）作为登录用户身份鉴别的凭证，调用签名验签服务器进行签名验证。该层面“身份鉴别”测评项测评方法正确的是（）A、核查密码产品认证证书（注意密码模块安全等级）(正确答案)B、进行错误尝试试验。验证在其未使用或错误使用（如使用他人介质）时，能不能完成身份鉴别;(正确答案)C、验证智能密码钥匙的口令长度不小于6个字符，错误口令登录验证次数不大于8次。D、条件允许时，安装监控软件，抓取和分析智能密码钥匙APDU指令，调用频率是否正常、调用指令是否正确(正确答案)E、导出数字证书，进行证书合规性检测(正确答案)38、某信息系统使用服务器密码机，采用数字签名技术实现业务应用系统鉴别数据、重要用户信息、重要业务数据的存储完整性保护，以下对应用和数据安全层面“数据存储完整性”的测评方法正确的是（）A、核查密码产品认证证书（注意密码模块安全等级）(正确答案)B、管理员登录密码机核查相关配置，检查内部存储的密钥是否对应合规的密码算法，密码计算时是否使用合规的密码算法等;(正确答案)C、管理员登录密码机查看与密钥管理、密码计算相关的日记文件，检查是否使用合规的算法。(正确答案)D、利用协议分析工具，抓取应用系统调用服务器密码机的指令报文，检查调用频率是否正常、调用指令是否正确;(正确答案)39、以下可以判为部分符合的是:（）A、使用了认证合格的密码产品、但使用的密码算法/技术不合规(正确答案)B、信息系统使用了比要求低级的、且认证合格的密码产品(正确答案)C、使用最新版本的OpenSSL进行SM2验签(正确答案)D、采用自实现、且未提供安全性证据的密码算法40、以下关于密码应用安全性评估测评结论的判定依据，不正确的是:（）A、信息系统中未发现安全问题，测评结果中所有单元测评结果中部分符合和不符合项的统计结果全为0，则测评结论为符合B、信息系统中存在安全问题，部分符合和不符合项的统计结果不全为0，综合得分不低于阈值，则测评结论为基本