电子商务安全复习题答案.doc

《电子商务安全复习题答案.doc》由会员分享，可在线阅读，更多相关《电子商务安全复习题答案.doc（8页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。

1、【精品文档】如有侵权，请联系网站删除，仅供学习与交流电子商务安全复习题答案.精品文档.第1章 概论1、电子商务安全问题主要涉及哪些方面? p5答：信息的安全问题、信用的安全问题、安全的管理问题、安全的法律问题。2、电子商务系统安全由系统有哪些部分组成? p7答：实体安全、系统运行安全、系统信息安全。3、电子商务安全的基本需求包括哪些? P16答：保密性、完整性、认证性、可控性、不可否认性。4、电子商务安全依靠哪些方面支持? P17答：技术措施、管理措施、法律环境。5、什么是身份鉴别，什么是信息鉴别？ p15答：所谓身份鉴别，是提供对用户身份鉴别，主要用于阻止非授权用户对系统资源的访问。信息鉴别

2、则是提供对信息的正确性、完整性和不可否认性的鉴别。第2章 信息安全技术1、信息传输中的加密方式主要有哪些? P27答：链路-链路加密、节点加密、端-端加密。2、简述对称加密和不对称加密的优缺点。 P35 p40答：（1）对称加密 优点：由于加密算法相同，从而计算机速度非常快，且使用方便、 计算量小 、加密与解密效率高。缺点：1)密钥管理较困难；2)新密钥发送给接收方也是件较困难的事情，因为需对新密钥进行加密；3）其规模很难适应互联网这样的大环境。（2）不对称加密 优点：由于公开密钥加密必须由两个密钥的配合使用才能完成加密和解密的全过程，因此有助于加强数据的安全性。缺点：加密和解密的速度很慢，不

3、适合对大量的文件信息进行加密。3、常见的对称加密算法有哪些? P35答：DES、AES、三重DES。4、什么是信息验证码，有哪两种生成方法？ P36答：信息验证码（MAC）校验值和信息完整校验。MAC是附加的数据段，是由信息的发送方发出，与明文一起传送并与明文有一定的逻辑联系。两种生成方式:1)j基于散列函数的方法；2）基于对称加密的方法。5、如何通过公开密钥加密同时实现信息的验证和加密？P39答：1）发送方用自己的私有密钥对要发送的信息进行加密，得到一次加密信息。2）发送方用接收方的 公开密钥对已经加密的信息再次加密；3）发送方将两次加密后的信息通过 网络传送给接收方；4）接收方用自己的私有

4、密钥对接收到的两次加密信息进行解密，得到一次加密信息；5）接收方用发送方的公开密钥对一次加密信息进行解密，得到信息明文。6、信息验证码与数字签名有何区别？ P42答：数字签名类似于信息验证码，但它们也有不同之处。主要的不同在于，数字签名可以支持不可否认服务，也就是说，信息的接收方可以用数字签名来证明作为发送方第三方的身份。如果数字签名来解决电子商务交易中发送方与接收方在交易信息上的争端，则最可能得到伪造信息的一般是接收方，所以对接收方来说，应该不能生成与发送方所生成的签名信息一样的数字签名。但信息验证码不具有进行数字签名的功能，因为接收方知道用于生成信息验证码的密钥。7、如何通过两种加密方法联

5、合实现低耗费的信息的验证和加密？p40答：1）发送方生成一个秘密密钥，并对要发送的信息用秘密密钥进行加密；2）发送方用接收方的公开密钥对秘密密钥进行加密；3）发送方吧加密后的信息和加密后的秘密密钥通过网络传输到接收方；4）接收方用自己的私有密钥对发送方传送过来的秘密密钥进行解密，得到秘密密钥。5）接收方用秘密密钥对接受到的加密信息进行解密，得到信息的明文。8、什么是数字签名?与手写签名有何区别？P46答：数字签名其实是伴随着数字化编码的信息一起发送并与发送的信息有一定逻辑关联的数据项。区别：手写签名是模拟的，且因人而异。数字签名是0 和1 的数字串，因消息而异。9、电子商务应用中的特殊数字签名

6、包括哪些? P51答：盲签名、多重签名、代理签名、定向签名、双联签名、团体签名、不可争辩签名。10、密钥的生命周期包括哪几个阶段? P56答：密钥建立、密钥备份/恢复、密钥替换/更新、密钥吊销、密钥期满/终止。11、简述双联签名的过程和作用。P54答：1）持卡人将发给商家的信息M1和发给第三方的信息M2分别生成保温摘要MD1和报文摘要MD2；2）持卡人将MD1和MD2合在一起生成MD，并签名； 3）将M1、 MD2和MD发送给商家，将M2、 MD1和MD发送给第三方。接收者根据收到的报文生成报文摘要，再与收到的报文摘要合在一起，比较结合后的报文摘要和收到的MD，确定持卡人的身份和信息是否被修改

7、过。作用：双联签名解决了参加电子商务贸易过程中的安全通信问题。12、常用的数字签名算法有哪些?答：RSA、DSA、ECDSA。13、信息安全的五种服务是什么？采用什么技术实现？P27答：1）信息的保密-加密；2）探测信息是否被篡改-数字摘要； 3）验证身份-数字签名，提问应答，口令，生物测定法；4）不能否认信息的发送 接收及信息内容-数字签名，数字证书，时间戳； 5）只有授权用户才能访问-防火墙，口令，生物测定法。第3章 Internet安全1、从技术上说，Internet安全的保护可分哪几类? P70答：网络层安全、应用层安全、系统安全。2、典型的网络层安全服务包括哪几部分? P70答：认证

8、和完整性、保密性、访问控制。3、一般地说，防火墙包括哪几种类型? P74答：包过滤型、应用网关型、代理服务器型。4、根据服务类型，可将VPN分为哪几类? P80答：远程访问VPN、企业内部VPN、扩展的企业内部VPN。5、VPN主要采用来哪些技术保证通信安全? P82答：隧道技术、加解密技术、密钥管理技术、身份认证技术。6、网络入侵检测的主要方法有哪两种? P86答：异常检测和误用检测。7、简述IPsec两种模式的作用和区别？ P答：隧道模式(Tunneling Mode)和传送模式(Transport Mode)（1）隧道模式可以在两个Security Gateway间建立一个安全隧道，经由

9、这两个Gateway Proxy的传送均在这个隧道中进行。隧道模式下的IPSec报文要进行分段和重组操作，并且可能要再经过多个安全网关才能到达安全网关后面的目的主机。隧道模式下，除了源主机和目的地主机之外，特殊的网关也将执行密码操作。在这种模式里，许多隧道在网关之间是以系列的形式生成的，从而可以实现网关对网关安全。| 新IP头 | IPsec头 | IP头 | TCP头 | 数据 |（2）传送模式加密的部份较少，没有额外的IP报头，工作效率相对更好，但安全性相对于隧道模式会有所降低。 传送模式下，源主机和目的地主机必须直接执行所有密码操作。加密数据是通过使用L2TP（第二层隧道协议）而生成的单

10、一隧道来发送的。数据（密码文件）则是由源主机生成并由目的地主机检索的。| IP头 | IPsec头 | TCP头 | 数据 |8、IPsec提供AH和ESP两种安全协议有何区别? P93-P97答：IPsec使用两种协议来提供通信安全认证头标（AH）和封装安全净载（ESP）。两种安全协议都分为隧道模式和传输模式。传输模式用在主机到主机的IPsec通信，隧道模式用在其它任何方式的通信。（1）认证头标（AH）提供：数据源鉴别认证：联合数据完整性保护及在发送接收端使用共享密钥来保证身份的真实性。数据完整性保护：通过对数据包长度进行单向散列算法计算进行保护，使用MD5或SHA-1算法。在AH的传输模式

11、下，AH散列算法计算范围是整个数据包（包括IP报头）中在传输过程中不改变的所有域。AH包头被插入在IP报头之后，ESP报头（如果有）和其它高层协议之前。在AH的隧道模式下，AH散列算法计算整个原始数据包，并产生一个新的IP报头（新IP报头也在计算范围内，除易变字段）。AH包头被插入在新IP报头之后。（2）封装安全净载（ESP）提供：有限的数据源鉴别认证：联合数据完整性保护及在发送接收端使用共享密钥来保证身份的真实性。（只有在ESP的隧道模式下可以对加密后的IP报头进行鉴别）数据完整性保护：ESP通过可选的鉴别域来提供数据包鉴别服务（HMAC），使用MD5和SHA-1算法。私密性（加密）：在IP

12、层通过对数据包进行加密来提供私密性。缺省使用DES，Cisco还提供3DES加密。3DES加密强度是DES的2倍。在ESP中，先进行加密后进行鉴别。（防止DOS攻击时更快）在ESP传输模式下，只有IP净载被加密（不包括IP报头、ESP报头），ESP报头被插入在IP报头之后、上层协议报头之前。在ESP隧道模式下，整个IP数据包被加密（不包括ESP报头），并产生一个新的IP报头，ESP报头被插入在新IP报头之后。9、AH格式中的序列号有什么作用？P94答：用于数据包的重放检查，防止重放攻击。10、从电子商务应用方面比较SET和SSL？113答：1）在认证方面.SET的安全需求较高。所有参与SET交

13、易的成员都必须先申请数字证书来识别身份，而在SSL中，只有商户端的服务器需要认证，客户认证则是由选择性的；2）对消费者而言，SET保证了商户的合法性，并且用户的信用卡号不会被窃取，SET替消费者保守了更多的秘密使其在线购物更加轻松；3）在安全性方面，一般公认SET的安全性较SSL高，主要原因是在整个交易过程中，包括持卡人到商家 商家到支付网关再到银行网络，都受到严密的保护，而SSL的安全范围只限于持卡人到商家的信息交流；4）SET对于参与交易的各方定义了互操作接口，一个系统可以由不同厂商的产品构筑； 5）在采用比率方面，由于SET的设置成本较SSL高很多，并且进入国内市场的时间尚短，因此目前还

14、是SET的普及率高。但是，由于网上交易的安全性需求不断提高。SET的市场占有率会增加。11、支付网关在SET购物流程中的作用。P108答：支付网关具有确认商户身份，解密持卡人的支付指令，验证持卡人的证书与在购物中所使用的账号是否匹配，验证持卡人和商户信息的完整性，签署数字响应等功能。12、SET交易的参与方包括哪些? P108答：持卡人、商户、支付网关、收单行、发卡行、认证机构。13.SSL握手协议数据是按照SSL记录协议封的吗? P105答：正确。SSL握手协议是位于SSL记录协议之上的最重要的子协议，被SSL记录协议所封装。14、SSL握手协议有什么作用? P105答：1）向客户机认证服务

15、器； 2）允许客户机于服务器选择它们都支持的加密算法或密码； 3）可由选择地向服务器认证客户； 4）使用公钥加密技术生成共享密码； 5）建立加密SSL连接。第4章 数字证书1、什么是数字证书？ P118答：在电子商务中，数字证书是一个由使用数字证书的用户群所公认和信任的权威机构（CA）签署了其数字签名的信息集合。2、数字证书一般包括哪些种类? 120答：个人数字证书、单位数字证书、服务器证书、安全邮件证书、代码签名证书。3、数字证书中的数字签名是如何生成的?答：数字证书也必须具有唯一性和可靠性。为了达到这一目的，需要采用很多技术来实现。通常，数字证书采用公钥体制，即利用一对互相匹配的密钥进行加

16、密、解密。每个用户自己设定一把特定的仅为本人所有的私有密钥（私钥），用它进行解密和签名；同时设定一把公共密钥（公钥）并由本人公开，为一组用户所共享，用于加密和验证签名。当发送一份保密文件时，发送方使用接收方的公钥对数据加密，而接收方则使用自己的私钥解密，这样信息就可以安全无误地到达目的地了。通过数字的手段保证加密过程是一个不可逆过程，即只有用私有密钥才能解密。公开密钥技术解决了密钥发布的管理问题，用户可以公开其公开密钥，而保留其私有密钥。 4、简述数字证书密钥对生成的两种方法及优缺点 P130答：（1）由密钥对持有者系统生成；（2）由密钥管理中心系统生成；答：（1）由密钥对持有者系统生成优点：

17、利用这一方法来生成密钥，可以保证任何其他的通信方都不会获得该密钥。（2）由密钥管理中心系统生成 优点：（1）对一些像智能卡那样的密钥对持有系统来说是很有必要的。（2）密钥对在密钥管理中心集中生成在某些情况下也是非常有益的。（3）如果密钥对中的私钥需要在中心系统进行备份或存档，密钥对的集中生成也是很便利的。缺点：生成密钥的这两种方法在实际的使用中都需要适应环境的变化，它们在实际的数字证书生成和管理过程中都都需要根据环境的变化而有所变通。5、什么是CA？什么是RA？133或P156答：CA 认证机构；注册机构答：CA 认证机构:又叫认证中心，是电子商务安全中的关键环节，也是电子交易中信赖的基础。认

18、证机构负责数字证书的管理。RA注册机构：RA是CA的证书发放、管理的延伸，是CA正常运营不可缺少的一部分。注册机构本身并不发放数字证书，但注册机构可以确认、批准或拒绝数字证书申请人的申请，随后由认证机构给经过批准的人发放数字证书。6、数字证书分发方式有哪些? P136答：利用数字签名分发、利用目录服务分发。7、数字证书的撤销方法有几种？P138答：1）定期公布数字证书撤销表； 2）广播数字证书撤销表； 3）进行数字证书的在线状态检查； 4）发放短期数字证书； 5）其他撤销方法。8、数字证书的生成有哪些步骤？135答：1）数字证书申请人将申请数字证书所需的数字证书内容信息提供给认证机构；2）认证

19、机构确认申请人所提交信息的正确性，这些信息将包含在数字证书中； 3）由持有认证机构私钥的签证设备给数字证书加上数字签名；4）将数字证书的一个副本传送给用户，如果需要，用户在收到数字证书以后返回一条确认信息；5）将数字证书的一个副本传送到数字证书数据库如目录服务，以便公布； 6）作为一种可供选择的服务，数字证书的一个副本可以由认证机构或其他实体存档，以加强档案服务，提供证据服务以及不可否认性服务； 7）认证机构将数字证书生成过程中相关细节，以及其他在数字证书发放过程中的原始活动都记录在 审计日志中。第5章 PKI1、PKI应用系统应具有哪些功能? 156答：1）公钥数字证书的管理；2）证书撤销表

20、的发布和管理；3）密钥的备份和恢复；4)自动更新密钥；5）自动管理历史密钥；6）支持交叉认证。2、什么是交叉认证数字证书? P159答：是由一个认证机构对另外一个认证机构签发的包含了该的签名密钥的数字证书。3、为什么在树型层次结构的CA中，对任意一个最终实体，只有唯一的认证路径?1614、简述PKI的三种不可否认机制。P174答：1）来源的不可否认机制；2）送递的不可否认机制；3）提交的不可否认机制。5、不可否认机制服务涉及哪些活动? P176答：不可否认的请求、记录的生成、记录的分发、记录的核实、记录的保存。6、影响时间戳可信度的主要因素有哪些?答：防伪性、耐久性、可审核性、独立性、精确性、

21、间隔。7、实现来源不可否认有哪些方法？ P175答：1）由发送方进行数字签名；2）由可信任的第三方进行数字签名；3）由可信任的第三方对摘要进行数字签名；4）内嵌可信任的第三方。8、实现送递不可否认有哪些方法？P175答：1）由接收方发送数字签名回执；2）利用可信任的送递代理；3）生产分地域送递报告。9、在提供不可否认机制服务方面，可信任的第三方起了什么作用？ P178答：1）公钥认证；2）身份确认；3）时间戳；4）记录保存；5）送递中介；6）争议解决。第6章 实例分析1、我国CA分为哪三类，各有何特点？P198答：1）行业性CA；特点：规模较大，由一个行业内的多家企业共同参与组建，为行业内的企业提供安全认证服务，同时也向非本行业的企业提供安全认证服务。2）区域性CA；特点：由政府授权建立，以公司机制运行，按照区域名称来命名的。它虽不是政府直接建立的，但仍有浓厚的政府背景。3）商业性CA；特点：它们没有政府色彩，完全是市场化的结果。一些商业机构看到了商机，筹资组建。