电子商务安全复习题doc.docx
《电子商务安全复习题doc.docx》由会员分享，可在线阅读，更多相关《电子商务安全复习题doc.docx（15页珍藏版）》请在冰点文库上搜索。
电子商务安全复习题doc
电子商务安全复习题整理
第1章、概论
1•电子商务安全问题主要涉及哪些方面？
P5~6
（1）信息的安全问题：
冒名偷窃、篡改数据、信息丢失、信息传递出现问题
（2）信用的安全问题：
来自买方的信用安全问题、来自卖方的信用安全问题、买卖双方都存在抵赖的情况。
（3）安全的管理问题：
忖前现有的信息系统绝大多数都缺少安全管理人员、缺少信息系统安全管理的技术规范、缺少定期的安全测试与检查、更缺少安全监控。
（4）安全的法律保障问题
2•电子商务系统安全由系统有哪些部分组成？
P7〜15
（1）实体安全：
所谓实体安全，是指保护计算机设备、设施（含网络）以及其他媒体免遭地震、水灾、火灾、有害气体和其他环境事故（如电磁污染等）破坏的措施、过程。
包括环境、设备和媒体安全
（2）系统运行安全：
运行安全是指为保障系统功能的安全实现，提供一套安全措施來保护信息处理过程的安全。
系统运行安全的组成：
风险分析、审计跟踪、备份与恢复、应急措施
（3）系统信息安全：
所谓信息安全，是指防止信息财产被故意地或偶然地非授权泄漏、更改、破坏或使信息被非法的系统辨识、控制，即信息安全要确保信息的完整性、保密性、可用性和可控性。
3•电子商务安全的基本需求包括哪些？
P16
术语定义
保密性保护机密信息不被非法存取以及信息在传输过程中不被非法窃取完整性防止信息在传输过程屮丢失、重复及非法用户对信息的恶意篡改认证性确保交易信息的真实性和交易双方身份的合法性
可控性保证系统、数据和服务能由合法人员访问，保证数据的合法使用不可否认性有效防止通信或交易双方对己进行的业务的否认
4
•电子商务安全依靠哪些方面支持？
P17〜22
造选择
维护制度，数据容灾制度，病毒防范制度，应急措施。
（3）法律环境
5•什么是身份鉴别，什么是信息鉴别？
P15
身份鉴别是提供对信息收发方（包括用户、设备和进程）真实身份的鉴别。
信息鉴别则是提供对信息的正确性、完整性和不可否认性的鉴别。
第2章、信息安全技术
1•信息传输中的加密方式主要有哪些？
P27〜32
（1）链路•链路加密保护网络节点之间的链路信息安全。
此加密方法仅限于节点内部，所以要求节点本身必须是安全的。
其优点如下：
加密对用户是透明的，通过链路发送的任何信息在发送前都先被加密;每个链路只需一对密钥；
提供了信息流的安全机制。
缺点是数据在屮间节点以明文形式出现，维护节点的安全性代价较髙。
孕点［曲点2孕点？
结占1占结占3
加怎读备E“为加族轧6摆解密芟挟煎淤备
石为加密更挟，6为辭密爻挟
（2）节点加密目的是对源节点和目的节点之间的传输链路提供加密保护。
与链路加密类似，节点加密方法的特点在于：
•在节点处采用一个与节点相连的密码装置
•密码在该装置中被解密并被重新加密
•明文不通过节点机，避免了链路加密节点处易受攻击的缺点。
（3）端•端加密H的是对源端用户和忖的端用户的数据提供加密保护又称脱线加密或包加密，建立在OSI参考模型的网络层和传输层。
这种方法要求传输的数据从源端到口的端一直保持密文状态，数据在发送端被加密，在接收端被解密，中间节点处不以明文形式出现。
优点：
端到端加密与链路加密相比，可以减少密码设备的数量。
端到端加密系统的价格便宜一些，并且与链路加密和节点加密相比更可靠，更容易设计、实现和维护。
避免了具他加密系统所固有的同步问题
从用户对安全需求的直觉上來讲，端到端加密更自然一些。
缺点：
允许进行通信量分析。
主要是上面三种，此外还有
⑷ATM网络加密
在ATM网络环境下使用的加密方法主要有以下三种：
——链路加密，建立在物理协议上。
——ATM信元加密，是ATM网络系统传输数据的载体。
其特点是以分时、分组的方式来传送数据。
在ATM信元级加密，最简单的方法就是对所有信元都使用同一个密钥。
——密钥灵活的信元加密，密钥灵活是指加密单元拥有动态变换密钥的能力。
在密钥灵活加密方式中，对fl的地不同的信元分别使用不同的密钥，有效地提高了信元的保密安全程度。
（5）一卫星通信加密卫星通信加密方法可分为：
终端加密、信道加密、群路加密
加密方式的选择策略
——多个网络互联环境2端一端加密
——链路数不多、要求实时通信、不支持端一端加密远程调用通信场合：
链路一链路加密
——链路较多，文件保护、邮件保护、支持端一端加密的远程调用、实时性要求不高：
端一端加密
——需要防止流量分析的场合：
链路一链路加密和端一端加密组合
所谓加密，就是用基于数学方法的程序和保密的密钥对信息进行编码，把计算机数据变成一堆杂乱无章难以理解的字符串，也就是把明文变成密文。
加密系统有两种基木形式：
对称加密系统、非对称加密系统。
对称加密，乂叫秘密密钥加密。
特点:
数据的发送方和接受方使用的是同一把密钥
过程：
发送方对信息加密
发送方将加密后的信息传送给接收方
接收方对收到信息解密，得到信息明文
不对称加密系统——公开密钥P37
加密模式过程
发送方用接收方的公开密钥对要发送的信息进行加密
发送方将加密后的信息通过网络传送给接收方
接收方用自己的私有密钥对接收到的加密信息进行解密，得到信息明文
发送方接收方
公开密钥加密系统有两种基本的模式：
加密模式和验证模式
既能以加密模式又能以验证模式运作的公开密钥加密系统被称为可逆的公开密钥加密系统。
如RSA算法。
加密与验证模式的结合：
保障信息机密性&验证发送方的身份
2.简述对称加密和不对称加密的优缺点。
P33~
优点
缺点
对称加密
计算速度非常迅速且使用方便、计算量小、加密效率高
密钥的管理比较困难、其规模很难适应互联网这样的大环境
不对称加密
有助于加强数据的安全性
加密和解密的速度慢、不适合对大量文件信息进行加密。
3•常见的对称加密算法有哪些？
P35
（1）数据加密标准（DES）
（2）高级加密标准（AES）
（3）三重DES
（4）Rivest密码
4•什么是信息验证码，有哪两种生成方法？
P36
信息验证码（MAC）也称为完整性校验值或信息完整校验。
MAC是附加的数据段,是由信息的发送方发出，与明文一起传送并与明文有一定的逻辑联系。
常用生成MAC的方法：
基于散列函数的方法，基于对称加密的方法
5•如何通过公开密钥加密同时实现信息的验证和加密？
P39~40
（1）发送方用自己的私有密钥对要发送的信息进行加密，得到一次加密密文
（2）发送方用接收方的公开密钥对已加密的信息再次加密
（3）发送方将两次加密后的信息通过网络传送给接收方
（4）接收方用白己的私有密钥对接收到的两次加密信息进行解密，得到一次加密信息
（5）接收方用发送方的公开密钥对一次加密信息进行解密，得到信息明文。
发送方接吹方
6•信息验证码与数字签名有何区别？
P42
从某些方面来说，数字签名类似于信息验证码（MAC）,但它们也有不同Z处。
最主要的不同在于，数字签名可以支持不可否认服务，也就是说，信息的接收方可以用数字签名来证明作为发送方的第三方身份。
如果用数字签名来解决电子商务交易屮发送方与接收方在交易信息上的争端，则最可能得到伪造信息的一般是接收方，所以对于接收方来说，应该不能生成与发送方所生成的签名信息一样的数字签名。
但是MAC不具有进行具有数字签名的功能，因为接收方知道用于生成MAC的密钥。
7•如何通过两种加密方法联合实现低耗费的信息的验证和加密？
P41
（1）发送方生成一个秘密密钥，并对要发送的信息用秘密密钥进行加密
（2）发送方用接收方的公开密钥对秘密密钥进行加密
（3）发送方把加密后的信息和加密后的秘密密仞通过网络传输到接收方
（4）接收方用口己的私有密钥对发送方传送过来的秘密密钥进行解密，得到秘密密钥
（5）接收方用秘密密钥对接收到的加密信息进行解密，得到信息明文。
发送方
接收方
8.什么是数字签名？
与手写签名有何区别？
P42.46
数字签名，其实是伴随着数字化编码的信息一起发送并与发送的信息有一定逻辑关联的数据项。
与手写签名的区别：
手写签名是模拟的，且因人而异。
数字签名是0和1的数字串，因消息而异。
9•电子商务应用中的特殊数字签名包括哪些？
P51〜55
盲签名、多重签名、代理签名、定向签名、双联签名、团体签名、不可争辩签名
10・密钥的生命周期包括哪几个阶段？
P56
（1）密钥建立包括生成和发布密钥
（2）密钥备份/恢复或密钥的第三者保管
（3）密钥替换/更新
（4）密钥吊销
（5）密钥期满/终止，具中可能包含密钥的销毁核归档。
11•简述双联签名的过程和作用。
P54
（1）持卡人将发给商家的信息Ml和发送给第三方的信息M2分别生成报文摘要MD1和报文摘要MD2
（2）持卡人将MD1和MD2合在一起生成MD,并签名
（3）将M1,MD2和MD发给商家，将M2、MD1和MD发给第三方。
接收者根据收到的报文生成报文摘要，再与收到的报文摘要合在一起，比较结合后的报文摘要和收到的MD,确定持卡人的身份和信息是否被修改过。
作用：
解决了三方参与电子贸易过程中的安全通信问题。
12•常用的数字签名算法有哪些？
P47~51
RSA、DSA、ECDSA
13•信息安全的五种服务是什么？
采用什么技术实现？
P27
信息安全服务
技术实现
信息的保密
加密
探测信息是否被篡改
数字摘要
验证身份
数字签名，提问一应答，口令，生物测定法
不能否认信息的发送、接收以及信息的内容
数字签名、数字证书、时间戳
只有授权用户才能访问
防火墙、口令、生物测定法
第3章、Internet安全
1•从技术上说，Intemet安全的保护可分哪几类？
P70
（1）网络层安全指的是对从一个网络的终端系统传送到传送到另一个网络的终端系统的通信数据保护。
（2）应用层安全指的是建立在某个特定的应用程序内部，不依赖与任何
网络层安全措施而独立运行的安全抬施。
（3）系统安全指对特定终端系统及其局部环境的保护，而不考虑对网
络层安全或应用层安全措施所承担的通信保护。
（1）认证和完整性修改
（2）保密性
他任何人
（3）访问控制
2•典型的网络层安全服务包括哪几部分？
P70
向接收系统提供可靠的数据來源，确保数据包没有被
保证数据包的内容除预期的接收者之外，不泄霜给其
限制特定的终端系统仅与特定的应用程序或特定的远
程数据包来源地或M的地进行通信
3•—般地说，防火墙包括哪几种类型？
P74
（1）包过滤型处理对象是IP包，其功能是处理通过网络的IP包信
息，实现进出网络的安全控制。
对于用户来说是透明的。
（2）应用网关型是在网络应用层上建立协议过滤和转发功能。
（3）代理服务器型又称为链路级网关或者TCP通道。
是针对数据包过滤和应用网关技术存在的缺点而引入的防火墙技术，其特点是将所有跨越防火墙的网络通信链路分为两段。
4•根据服务类型，可将VPN分为哪几类？
P80
远程访问VPN、企业内部VPN、扩展的企业内部VPN
5.VPN主要采用来哪些技术保证通信安全？
P82隧道技术、加解密技术、密钥管理技术、身份认证技术
6•网络入侵检测的主要方法有哪两种？
P86-88
（1）异常检测指识别主机或网络中异常或不寻常的行为。
（2）误用检测
7•简述IPsec两种模式的作用和区别P94~
隧道模式（TunnelingMode）和传送模式（TransportMode）
（1）隧道模式：
对整个IP数据项提供认证保护，既可以用于主机，也可以用于安全网关，并且当AH在安全网关上实现时，必须采用隧道模式。
新IP头IIPsec头|IP头丨TCP头|数据
（2）传送模式：
加密的部份较少，没有额外的IP报头，工作效率相对更好，但安全性相对于隧道模式会有所降低。
只对上层协议提供的数据和选择的TP头字段提供认证保护，且仅适用于主机实现。
IP头丨TPsec头丨TCP头丨数据
8.IPsec提供AH和ESP两种安全协议有何区别？
P93〜97
（1）认证头协议AH是为IP数据项提供强认证的一种安全机制，它能为IP数据项提供无连接完整性、数据起源认证和抗重放攻击。
（2）分组加密协议ESP将需要保护的用户数据进行加密后再封装在IP包中，其主更是支持IP数据项的机密性，另外也可以提供认证服务。
与AH相比，二者认证范围不同，一般来说ESP值认证ESP头Z后的信息，比AH的认证范围窄。
9.AH格式中的序列号有什么作用？
P94用于IP数据包的重放检查，防止重放攻击
10•从电子商务应用方面比较SET和SSLP113
（1）在认证方面・SET的安全需求较高。
所有参与SET交易的成员都必须先中请数字证书来识别身份，而在SSL屮，只有商户端的服务器需要认证，客户认证则是由选择性的；
（2）对消费者而言，SET保证了商户的合法性，并且用户的信用卡号不会被窃取，SET替消费者保守了更多的秘密使其在线购物更加轻松；
（3）在安全性方面，一般公认SET的安全性较SSL高，主要原因是在整个交易过程中，包扌舌持卡人到商家商家到支付网关再到银行网络，都受到严密的保护,而SSL的安全范围只限于持卡人到商家的信息交流；
（4）SET对于参与交易的各方定义了互操作接口，一个系统可以由不同厂商的产品构筑；
（5）在采用比率方面，由于SET的设置成木较SSL高很多，并且进入国内市场的时间尚短，因此1=1前还是SET的普及率高。
但是，由于网上交易的安全性需求不断提高。
SET的市场占有率会增加。
11•支付网关在SET购物流程中的作用。
P108
支付网关具有确认商户身份，解密持卡人的支付指令，验证持卡人的证书与在购物中所使用的账号是否匹配，验证持卡人和商户信息的完整性，签署数字响应等功能。
12.SET交易的参与方包括哪些？
P108
持卡人、商户、支付网关、收单行、发卡行、认证机构
第4章、数字证书
1•什么是数字证书？
P118
在电子商务小，数字证书是一个由使用数字证书的用户群所公认和信任的权威机构（CA）签署了其数字签名的信息集合。
2•数字证书一般包括哪些种类？
P120
个人数字证书、单位数字证书.服务器证书.安全邮件证书、代码签名证书
3•数字证书中的数字签名是如何生成的？
？
？
4•简述数字证书密钥对生成的两种方法及优缺点
P130
通常，数字证书采用公钥体制，即利用一对互相匹配的密钥进行加密、解密。
每个用户自己设定一把特定的仅为本人所有的私有密钥（私钥），用它进行解密和签名；同时设定一•把公共密钥（公钥）并由本人公开，为一组用户所共享，用于加密和验证签名。
当发送一份保密文件时，发送方使用接收方的公钥对数据加密，而接收方则使用自己的私钥解密，这样信息就可以安全无误地到达冃的地了。
通过数字的手段保证加密过程是一个不可逆过程，即只有用私有密钥才能解密。
公开密钥技术解决了密钥发布的管理问题，用户可以公开其公开密钥，而保留其私有密钥。
（1）由密钥对持有者系统生成
优点：
利用这一方法来生成密钥，可以保证任何其他的通信方都不会获得该密钥。
（2）由密钥管理屮心系统生成
优点：
——对一些像智能卡那样的密钥对持有系统来说是很有必更的。
——密钥对在密钥管理屮心集屮生成在某些情况下也是非常有益的。
——如果密钥对屮的私钥需要在屮心系统进行备份或存档，密钥对的集中生成也是很便利的。
缺点：
生成密钥的这两种方法在实际的使用屮都需要适应环境的变化，它们在实际的数字证书生成和管理过程屮都都需要根据环境的变化而有所变通。
5•什么是CA?
什么是RA?
P133,P156
CA-认证机构:
又叫认证中心，是电了商务安全中的关键环节，也是电了交易中信赖的基础。
认证机构负责数字证书的管理。
注册机构RA,本身并不发放数字证书，但RA可以确认、批准或拒绝数字证书申请人的申请，随后由CA给经过批准的申请人发放数字证书。
6•数字证书分发方式有哪些？
P136
利用数字签名分发、利用目录服务分发
7•数字证书的撤销方法有几种？
P138
&数字证书的生成有哪些步』
I?
P135
认证机构定期公布数字证书撤销表；广播数字证书撤销表；进行数字证书的在线状态检查；发放短期数字证书；其他撤销方法。
（1）数字证书巾请人将巾请数字证书所需的数字证书内容信息捉供给认证机构;
（2）认证机构确认申请人所提交信息的正确性，这些信息将包含在数字证书中;
（3）由持有认证机构私钥的签证设备给数字证书加上数字签名；
（4）将数字证书的一个副本传送给用户，如果需要，用户在收到数字证书以后返冋一条确认信息；
（5）将数字证书的一个副木传送到数字证书数据库如H录服务，以便公布；
（6）作为一种可供选择的服务，数字证书的一个副本可以出认证机构或其他实体存档，以加强档案服务，提供证据服务以及不可否认性服务；
（7）认证机构将数字证书生成过程中和关细节，以及其他在数字证书发放过程
中的原始活动都记录在审计日志中。
第5章、公钥基础设施PKI
1.PKI应用系统应具有哪些功能？
P156
（1）公钥数字证书的管理
（2）证书撤销表的发布和管理
（3）密钥的备份和恢复
（4）自动更新密钥
（5）自动管理历史密钥
（6）支持交叉认证
2•什么是交叉认证数字证书？
P159
是由一个认证机构对另一个认证机构签发的包含了该CA的签名密钥的数字证书。
3•为什么在树型层次结构的CA中，对任意一个最终实体，只有唯一的认证路径？
？
?
P161
4•简述PKI的三种不可否认机制。
P174
（1）来源的不可否认机制
主要解决是否某一方生成了特定消息、生成的时间如何等问题。
（2）送递的不可否认机制
主要解决是否某一方受到了特定的数据消息、收到的时间如何等问题。
（3）提交的不可否认机制
主要解决是否某一方传送或提交了特定数据消息，提交的时间如何等问题。
5•不可否认机制服务涉及哪些活动？
P176
不可否认的请求、记录的生成、记录的分发.记录的核实、记录的保存
防伪性、耐久性、可审核性、独立性、精确性、间隔
7•实现来源不可否认有哪些方法？
P175
1）由发送方进行数字签名；
2）由可信任的第三方进行数字签名；
3）由可信任的第三方对摘要进行数字签名;
4）内嵌由可信任的第三方；
&实现送递不可否认有哪些方法？
P175
1）由接收方发送数字签名冋执；
2）利用可信任的送递代理；
3）生产分地域送递报告；
9•在提供不可否认机制服务方面，可信任的第三方起了什么作用？
P178
公钥认证；身份确认；时间戳；记录保存；送递中介；争议解决。
第6章、实例分析
1•我国CA分为哪三类，各有何特点？
P198
（1）行业性CA建设分析
特点：
规模较大，出一个行业内的多家企业共同参与组建，为行业内的企业提供安全认证服务，同时也向非本行业的企业提供安全认证服务。
（2）区域性CA建设分析
特点：
由政府授权建立，以公司机制运行，按照区域名称来命名的。
它虽不是政府直接建立的，但仍有浓厚的政府背景。
（3）商业性CA
特点：
它们没有政府色彩，完全是市场化的结果。
一些商业机构看到了商机，筹资组建。
升级会员 