1、信息安全知识练习试卷 3及答案与解析 一、问答题 1 简述加密支付系统模型。 2 电子商务信息安全要求用哪四种技术进行解决 ? 3 电子商务信息安全要求中的信息完整性指的是什么 ? 4 试列举电子商务系统所面临的安全威胁。 5 举例说明公钥密码技术。 6 简述 RSA数字签名算法。 7 简述认证机构的管理功能。 8 简述防火墙的优点。 9 分析 SSL协议的运行过程。 10 简述计算机犯罪的类型与防范。 11 简述信息安全的保密性、完整性、可用性和可控性。 12 简述 数字签名的作用。 13 简述两种安全协议： SSL与 SET。 14 简述几种常用的病毒防治方法。 15 简述防火墙的构成。
2、信息安全知识练习试卷 3答案与解析 一、问答题 1 【正确答案】 简单加密支付系统模型是一种比较常用的支付模型。用户只需在银行开立一个普通的信用卡账户，在支付时，用户提供信用卡号码，但传输时要进行加密。采用的加密技术有 SHTTP、 SSL等。这种加密的信息只有业务提供商或第三方付费处理系统能够识别。由于用户进行网上购物时只需提供信用卡，这种支付方式带给用户很多方便。但是 ，一系列的加密、授权、认证及相关信息传达，使交易成本增高，所以这种方式不适于小额交易。 (1)流程 用户在银行开立一个信用卡账户，获得信用卡号。用户在商家订货后，把信用卡信息加密后传给商家服务器。商家服务器验证接收到的信息的
3、有效性和完整性后，将用户加密的信用卡信息传给业务服务器，商家服务器无法看到用户的信用卡信息。业务服务器验证商家身份后，将用户加密的信用卡信息转移到安全的地方解密，然后，将用户信用卡信息通过安全专用网传送到商家银行。商家银行通过普通电子通道与用户信用卡发卡行联系，确认信用卡信息 的有效性。得到证实后，将结果传送给业务服务器，业务服务器通知商家服务器交易完成或拒绝，商家再通知用户。整个过程只要经历很短的时间，交易过程的每一步都需要交易方以数字签名来确认身份，用户和商家都必须使用支持此种业务的软件。数字签名是用户、商家在注册系统时产生的，不能修改。用户信用卡加密后的信息一般都存储在用户的家用计算机上
4、。 (2)特点 简单加密支付模型的特点： 信用卡等关键信息加密。 使用对称和非对称加密技术。 可能要启用身份认证。 以数字签名确认信息的真实性。 需要业务服务器和服务软件的支持。 【知识模块】 信息安全知识 2 【正确答案】 信息的保密性使用信息加密技术。 信息的完整性采用的是数字摘要技术。 信息的不可否认性采用的是数字签名技术。 交易者身份的真实性采用的是数字证书。 【知识模块】 信息安全知识 3 【正确答案】 信息的完整性要求从信息传输和存储两个方面体现出来。在存储时，要防止非法篡改和破坏网站上的信息；在传输过程中，接收端接收到的信息与发送的信息完全一样。 【知识模块】 信息安全知识 4
5、【正确答案】 身份窃取，用户身份被他人非法窃取。 非授权访问，对数据和信息超越应有的权限进行操作和使用。 冒充合法用户，非法获取合法用户信息，这样可以拥有其相应的使用权限，占用其相应的使用资源。 数据窃取。 破坏网络的完整性。 拒绝服务。 【知识模块】 信息安全知识 5 【正确答案】 发送方 A用不公开的解密密钥 XYZ对报文 ABC进行运算，得到结果 D(ABC, XYZ)将结果传给接收方 B。 B用己知的加密密钥对接收到的内容进行运算，得出结果 E(D(ABC， XYZ)， XYZ)=ABC。只有 A拥有 A的解密密钥，除了 A以外无人能产生密文 D(ABC， XYZ)。这样，表示报文 A
6、BC被电子签名了。 如果 A抵赖曾发报文给 B， B就可将 ABC及 D(ABC， XYZ)发给仲裁方，仲裁方可以利用密钥 XYZ验证 A确实发送报文 ABC给 B，如果 B将 ABC伪造成 M，则B不可能给仲裁方出示 D(M， XYZ)，从而说明了 B伪造报文。 这样，数字签名也能起到验证信息完整性的作用。 【知识模块】 信息安全知识 6 【正确答案】 RSA算法的理论基础是一种特殊的可逆模幂运算， RSA数字签名算法的过程为： A对明文 m用解密变换如 s Dk (m)=md mod n，其中 d， n为 A的私人密钥，只有 A才知道它。 B收到 A的签名后，用 A的公钥和加密变换得到明文
7、，因Ek(s)=Ek(Dk(m)=(md)e mod n，又 del mod(n)即 de=l(n)+1，根据欧拉定理 m(n)=1 mod n，所以 Ek(s)=ml(n)+1=m(n)em=m mod n。若明文 m和签名 s一起送给用户B， B可以确信信息确实是 A发送的。同时 A也不能否认发送过这个信息，因为除了 A本人外 ，其他任何人都无法由明文 m产生 s。 【知识模块】 信息安全知识 7 【正确答案】 认证机构的管理功能包括以下几个方面： 证书的检索，数字证书包括有效证书和已撤销证书。 证书的撤销，在证书的有效期已到，或者用户的身份发生变化，用户的密钥遭到破坏或被非法使用等异常情
8、况下，认证机构可以撤销原有证书。 证书数据库的备份。 有效地保护证书和密钥服务器的安全。 【知识模块】 信息安全知识 8 【正确答案】 防火墙能增强机构内部网络的安全性。防火墙系统决定了哪些内部服务 可以被外界访问，外界的哪些人可以访问内部的服务以及哪些外部服务可以被内部人员访问。防火墙必须只允许授权的数据通过，而且防火墙本身也必须能够免于渗透。 防火墙有以下几大功能： 允许网络管理员定义一个中心点来防止非法用户进入内部网络。 可以很方便地监视网络的安全性，并报警。 可以作为部署 NAT(Network Address Translation，网络地址变换 )的地点，利用NAT技术，将有限的
9、IP地址动态或静态地与内部的 IP地址对应起来，用来缓解地址空间短缺的问题。 是审 计和记录 Internet使用费用的一个最佳地点。网络管理员可以在此向管理部门提供 Internet连接的费用情况，查出潜在的带宽瓶颈位置，并能够依据本机构的核算模式提供部门级的计费。 防火墙的优点可以概括为以下几点。 可以对网络安全进行集中控制和管理，防火墙系统在企业内部与外部网络之间构筑的屏蔽，将承担风险的范围从整个内部网络缩小到组成防火墙系统的一台或几台主机上，在结构上形成一个控制中心，并在这里将来自外部网络的非法攻击或末授权的用户挡在被保护的内部网络之外，加强了网络安全管理。由于防火墙在结 构上的特殊位
10、置，它能方便地提供监视、管理和审计网络的使用及预警。 为解决 IP地址危机提供了可行的解决方法，由于 Internet的日益发展及其 IP地址空间的有限，使得大量欲连入 Internet的企业机构无法获得足够的注册 IP地址来满足其用户总数的需要。防火墙系统则处于设置网络地址转换 (NAT)的最佳位置，NAT有助于缓和 IP地址空间的不足，并可使一个机构变换 Internet服务提供商时不必重新编址。 防火墙系统可作为 Internet信息服务器 (WWW、 FTP等服务器 )的安装地点，对外发布信息和 FTP等服务器的理想地点。防火墙可以配置外部用户访问这些服务器，而又禁止外部未授权的用户对
11、内部网络上的其他系统资源进行访问。 【知识模块】 信息安全知识 9 【正确答案】 建立连接阶段：客户通过网络向服务商打招呼，服务商回应。 交换密码阶段：客户与服务商之间交换双方认可的密码。 会谈密码阶段：客户与服务商之间产生彼此交谈的会谈密码。 检验阶段：检验服务商取得的密码。 客户认证阶段：验证客户的可信度。 结束阶段：客户与服务商之间相互交换结束信息。 【知 识模块】 信息安全知识 10 【正确答案】 按照刑法规定，结合当前实际情况，计算机犯罪可分为以下几种类型： 侵入计算机系统罪是指违反国家规定、侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统的行为。 破坏计算机系统罪，是指违反
12、国家规定，对计算机信息系统进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行的行为。 窃取计算机系统数据及应用程序罪是指违反国家规定，非法窃取计算机系统中的数据及应用程序的行为。 利用计算机进行经济犯罪是指利用计算机实施金融诈骗、盗窃、贪污、挪用公款的行为。 利用计算机实施的其他犯罪，包括利用计算机实施的窃取国家秘密的犯罪、利用计算机制作、复制、传播色情、淫秽物品的犯罪、侵犯公民人身权利和民主权利的犯罪、利用互联网危害国家安全的案件等。其实质是利用计算机实施的，违反刑法相关条文的行为。 计算机犯罪的防范有如下几种措施。 (1)加强技术性防范。 技术性防范计算机犯罪的主要措施有： 防火墙
13、 (Firewall)技术。 数据加密技术。 身份验证和设置访问控制权限。 数据源点认证、数字签名、防止数据的非法存取。 查明黑客来路的跟踪系统。 计算机病毒的检测和数据密码技术等。 相应的安全产品有防病毒、防火墙、 VPN、密码产品、入侵检测、漏洞扫描、加密器、安全认证等安全产品。 (2)构牢内部操作人员的思想道德防线。 (3)构牢安全操作防线。 (4)强化法律意识和责任。 (5)加强执法队伍建设。 (6)加强立法建设。 【知识模块】 信息安全知识 11 【正确答案】 信息安全 (Information security)是指信息的保密性(Confidentiality)、完整性 (Inte
14、grity)、可用性 (Availability)和可控性 (Controllability)的保持。 保密性需要保障信息仅仅为那些被授权使用的人获取。信息的保密性是针对信息被允许访问 (Access)对象的多少而不同，所有人员都可以访问的信息为公开信息，需要限制访问的信息一般为敏感信息或秘密，秘密可以根据信息的重要性及保密要求分为不同的密级。 完整性需要保护信息及其处理方法的准确性和完整性 。信息完整性一方面是指信息在利用、传输、储存等过程中不被篡改、丢失、缺损等，另一方面是指信息处理的方法的正确性。不正当的操作，如误删除文件，有可能造成重要文件的丢失。 可用性需要保障授权使用人在需要时可以
15、获取信息和使用相关的资产。信息的可用性是指信息及相关的信息资产在授权人需要的时候，可以立即获得。例如通信线路中断故障会造成信息的在一段时间内不可用，影响正常的商业运作，这是信息可用性的破坏。 可控性是指信息时刻处于所有者或使用者的有效掌握与控制之下，主要是指保证信息的等级和层次性，控制秘密信 息的传播范围。 【知识模块】 信息安全知识 12 【正确答案】 电子签名和数字签名的内涵并不一样，数字签名是电子签名技术中的一种，不过两者的关系也很密切， 目前电子签名法中提到的签名，一般指的就是 “数字签名 ”。数字签名是通过某种密码运算生成一系列符号及代码组成电子密码进行签名，来代替书写签名或印章。
16、数字签名在 ISO7498-2标准中定义为附加在数据单元上的一些数据，或是对数据单元所做的密码变换，这种数据和变换允许数据单元的接收者用以确认数据单元来源和数据单元的完整性，并保护数据，防止被人 (例如接收者 )伪造。普通数字签名算法有 RSA、 ElGamal、 Fiat-Shamir、 Guillou-Quisquarter、 Schnorr、 Ong-Schnorr-Shamir、 Des/DSA、椭圆曲线和有限自动机数字签名算法等。特殊数字签名有盲签名、代理签名、群签名、不可否认签名、公平盲签名、门限签名、具有消息恢复功能的签名等，与具体应用环境密切相关。 “数字签名 ”是目前电子商务
17、、电子政务中应用最普遍、技术最成熟的、可操作性最强的一种电子签名方法。它采用了规范化的程序和科学化的方法，用于鉴定签名人 的身份以及对一项电子数据内容的认可。它还能验证出文件的原文在传输过程中有无变动，确保传输电子文件的完整性、真实性和不可抵赖性。 【知识模块】 信息安全知识 13 【正确答案】 SSL是 Netscape公司提出的安全保密协议，在浏览器 (如 Internet Explorer、 Netscape Navigator)和 Web服务器 (如 Netscape的 Netscape Enterprise Server、 ColdFusion Server等 )之间构造安全通道来进
18、行数据传输， SSL运行在TCP/IP层之上、 应用层之下，为应用程序提供加密数据通道，它采用了 RC4、MD5以及 RSA等加密算法，使用 40位的密钥，适用于商业信息的加密。同时，Netscape公司开发了相应 HTTPS协议并内置于其浏览器中。 HTTPS实际上就是SSL over HTTP，它使用默认端口 443，而不是像 HTTP那样使用端口 80和 TCP/IP进行通信。 HTTPS协议使用 SSL在发送方把原始数据进行加密，然后在接收方进行解密，加密和解密需要发送方和接收方通过交换共知的密钥来实现，因此，所传送的数据不容易被网络黑客截获和解密。 “安全电子 交易 ”(Secure
19、 Electronic Transaction， SET)。采用公钥密码体制和 X.509数字证书标准，主要应用于 B to C模式中保障网上购物信息的安全性。 SET协议本身比较复杂，设计比较严格，安全性高，能保证信息传输的机密性、真实性、完整性和不可否认性。 SET协议是 PKI框架下的一个典型实现，同时也在不断升级和完善。由于 SET提供了消费者、商家和银行之间的认证，确保了交易数据的安全性、完整可靠性和交易的不可否认性，特别是保证不将消费者银行卡号暴露给商家等优点，因此成为了目前公认的 信用卡 /借记卡网上交易的国际安全标准。 【知识模块】 信息安全知识 14 【正确答案】 蠕虫病毒防
20、治方法 它的传染机理是利用网络进行复制和传播，传染途径是通过网络和电子邮件。比如近几年危害很大的 “尼姆达 ”病毒就是蠕虫病毒的一种。防止系统漏洞类蠕虫病毒的侵害，最好的办法是打好相应的系统补丁。可以应用瑞星杀毒软件的 “漏洞扫描 ”工具，这款工具可以引导用户打好补丁并进行相应的安全设置，彻底杜绝病毒的感染。防范邮件蠕虫病毒的最好办法是提高安全意识，不要轻易打开带有附件的电子邮件。另外，启用瑞星杀毒软件 的 “邮件发送监控 ”和 “邮件接收监控 ”功能，也可以提高对病毒邮件的防护能力。 (2)“震荡波 ”病毒的防治方法 若用户没有感染该病毒，首先应迅速下载微软补丁程序，迅速升级杀毒软件到最新版
21、本，然后打开个人防火墙，将安全等级设置为中、高级，封堵病毒对该端口的攻击。若确定已经染毒，则应迅速下载免费的专杀工具。 (3)“冲击波 ”病毒的防治方法 被 “冲击波 ”病毒感染的计算机，最常见的现象是系统在启动 1分钟后反复重启，用户这时候没有时间上网去下载专杀工具或打补丁，防治方法如下。 i)使用启动盘 ，在 DOS环境下清除病毒 当用户计算机出现以上现象后，用 DOS系统启动盘启动进入 DOS环境下，进入 C盘的操作系统目录，操作命令集为 C:CD C:windows(或 CD c:winnt)。 查找目录中的 “msblast.exe”病毒文件。命令操作集为 dir msblast.e
22、xe/s/p。 找到后进入病毒所在的子目录，然后将该病毒文件删除。命令操作集为 Del msblast.exe。 ii)进入安全模式，手工清除病毒 如果用户没有 DOS启动盘，还有一个方法，就是启动系统 后进入安全模式，然后搜索 C盘，查找 msblast.exe文件，找到后将该文件删除，然后正常启动计算机即可。 iii)打补丁 当用户手工清除了病毒体后，应上网先进入微软网站，下载相应的系统补丁，给系统打上补丁。 iv)使用专杀工具 打完补丁后，用户应下载一个瑞星专杀工具，扫描一下系统，然后到瑞星网站将瑞星杀毒软件升级到最新版，打开实时监控。 (4)特洛伊木马防治方法 特洛伊木马，是一种基于远程控制的黑客工具。防治方法如下： 不要随便运行别人给你的程序，特别是 .exe可执行程序。 不要到不正规的站点下载软件，因为，许多黑客将木马隐藏在软件的安装程序里。 启用防御工具 LockDown，它能随时监视注册表等文件的变化，并且对删除木马有帮助。 养成经常查杀木马的良好习惯，并留心升级最新的查杀木马的工具或杀毒软件。 【知识模块】 信息安全知识 15 【正确答案】 防火墙的主要组成部分有： 网络政策。 先进的验证工具。 包过滤。 应用网关。 网络政策。 【知识模块】 信息安全知识
