电子商务安全(补充作业3及答案)(共9页).doc

《电子商务安全(补充作业3及答案)(共9页).doc》由会员分享，可在线阅读，更多相关《电子商务安全(补充作业3及答案)(共9页).doc（9页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、精选优质文档-倾情为你奉上电子商务安全 作业3一、选择题1. CA的中文含义是( D )。 A. 电子中心B. 金融中心C. 银行中心D. 认证中心2. 以下关于身份鉴别叙述不正确的是（B ）。 A. 身份鉴别是授权控制的基础 B. 身份鉴别一般不用提供双向的认证 C. 目前一般采用基于对称密钥加密或公开密钥加密的方法 D. 数字签名机制是实现身份鉴别的重要机制3. KDC的中文含义是（D ）。 A. 共享密钥B. 公钥基础设施 C. 会话密钥 D. 密钥分配中心4（C ）是一个对称DES加密系统，它使用一个集中式的专钥密码功能，系统的核心是KDC。A. Ticket B. Grant C.

2、Kerberos D. PKI5. （B ）负责签发证书、验证证书、管理已颁发证书，以及制定政策和具体步骤来验证、识别用户身份。A. RAB. CA C. PKI D. LDAP6. MAC的中文含义是（B ）。A. 消息鉴别码B. 消息认证码 C. 消息摘要 D. 媒体存取码7. PIN的中文含义是（B）。A. 消息信息码B. 身份识别码 C. 个人信息码 D. 身份证号码8. （D）是通信双方判定消息完整性的参数依据，散列函数是计算的重要函数，该函数的输入与输出能够反应消息的特征。A. 消息信息码B. 消息验证码 C. 消息加密 D. 消息摘要9. （C ）是标志网络用户身份信息的一系列数

3、据，用来在网络通信中识别通信对象的身份。A. 消息验证B. 身份认证 C. 数字证书 D. 消息摘要10.“公钥基础设施”的英文缩写是（C）。A. RAB. CA C. PKI D. MD11. PKI支持的服务不包括（D ）。 A. 非对称密钥技术及证书管理 B. 目录服务 C. 对称密钥的产生和分发 D. 访问控制服务12. PKI的主要组成不包括（ B ）。 A. 证书授权CA B. SSL C. 注册授权RA D. 证书存储库CR13. PKI管理对象不包括（A ）。 A. ID和口令 B. 证书 C. 密钥 D. 证书撤消14. 下面不属于PKI组成部分的是（D ）。 A. 证书主体

4、 B. 使用证书的应用和系统 C. 证书权威机构 D. Kerberos15. PKI能够执行的功能是（A ）。A. 鉴别计算机消息的始发者 B. 确认计算机的物理位置C. 访问控制 D. 确认用户具有的安全性特权16. 对输入消息长度有限制，输出消息摘要是160Bit的算法是（B ）。A. RSAB. SHA-1 C. MD5 D. DES17. 确定用户的身份称为（C ）。 A. 访问控制 B. 识别技术 C. 身份认证 D. 审计技术18. 某些网站的用户登录界面要求输入系统随机产生的验证码，这是为了对付（C ）。 A. 窃听攻击 B. 危及验证码的攻击 C. 选择明文攻击 D. 重放攻

5、击19. 密钥交换的最终方案是使用（ A）。 A. 公钥 B. 数字信封 C.数字证书 D. 消息摘要20. （ C ）算法输入可以是任意长度的消息，输出是固定长度的 128 bit 消息，所输出消息就是消息摘要。A. RSAB. SHA C. MD5 D. DES21. （ A）负责证书申请者的信息录入、审核以及证书发放等工作，同时对发放的证书完成相应的管理功能。A. RAB. CA C. CRL D. LDAP23. CA用（A ）签名数字证书。A. 用户的公钥B. 用户的私钥 C. 自己的公钥 D. 自己的私钥24. 我国正式实施电子签名法及电子认证服务管理办法的时间是（A ）A. 20

6、05年4月 B. 2006年4月 C. 2007年4月 D. 2008年4月25. 数字证书不包含以下哪项内容（D ）A. 序列号B. 颁发机构 C. 主体名 D. 主体的私钥二、判断题1. 基于口令的认证方案以人体惟一的、可靠的、稳定的特征为依据，采用计算机的强大功能和网络技术进行图像处理和模式识别方式实现认证功能。2. X.509是以可信任的第三方为基础的身份验证协议，采用对称密码体制实现。3. 消息摘要是连接密码技术和认证技术的桥梁。4. 消息验证码是指根据消息推导出来的能反应消息特征、且具有固定长度的特定信息。5. 数字签名是目前电子商务中技术最成熟，应用最广泛的一种电子签名方法。V6

7、. 以 CA 为核心的 PKI 安全体系结构是电子商务的基础设施，它为电子商务的参与方提供了安全保障的应用环境。V7. 中国金融认证中心全国用户提供数字证书服务，可发放 SET证书和 Non-SET PKI 证书，所发放的证书可支持网上银行、网上购物等应用。V8. 数字时间戳最主要的用途是实现电子现金的匿名性。9. Kerberos协议把对称密钥体制和公开密钥体制完美地结合在一起，充分利用了 DES 效率高速度快和 RSA 安全性高且密钥管理简便的优点。X10. 认证技术的实现通常需要借助于加密和数字签名等密码学的技术。 1X 2X 5V 6V 7V 9X 三、填空题1 数据库管理系统要求提供

8、严格的用户验证，它可以通过_以及时间日期鉴别用户。2 电子商务交易的前提是_双方的身份认证_，对实体的身份认证是电子商务开展的基础。3 认证是保证在公共的网络环境下通信信息真实性的一个手段，主要包括_身份认证_和_报文验证_。4 RSA 算法在加密与签名时对密钥的使用是不同的：加密时，发送方使用_对方的公钥_通过加密算法计算得到密文，而签名时，是使用_自己的私钥_通过加密算法得到签名。5 电子商务中的身份认证方案主要有三类：基于_口令_的身份认证方案、基于智能卡的身份认证方案和基于_生物特征_的身份认证方案。6 完整的 Kerberos验证系统包括_验证服务器_、授予许可证服务器，_网络应用服

9、务器_以及网络用户。其中_验证服务器_的作用是负责鉴别用户，并为用户提供访问 TGS 的许可证；_授予许可证服务器_ 的作用是负责授权用户，为用户发放访问应用服务器的许可证。7 _数字证书_是由权威公正的第三方机构即认证中心 CA 签发的，以其为核心的加密技术可以对网络上传输的信息进行_加密和解密_、_数字签名_和签名验证，确保网上传递信息的_保密性_、_完整性_以及交易实体身份的真实性，签名信息的_不可否认性_，从而保障网络应用的安全性。8 PKI 系统的组成包括_认证中心CA_、注册机构 RA、_数字签名_、密钥备份及恢复系统、_证书撤销系统_等。9 _综合利用了对称密码体制和公钥密码技术

10、。其具体过程是：信息发送方首先利用随机产生的_加密信息，再利用接收方B的_加密_。10 在对称密码系统中，若有n个人需要安全通信，n个人中两两之间需要一个密钥，则密钥总数为_。四、简述题1. 说明身份认证的特点及使用口令进行身份认证的优缺点。2. 身份认证的三种基本方式是什么？*3. Kerberos系统的优点有哪些？4. 为什么说在PKI中采用公钥技术的关键是如何确认某个人真正的公钥？如何确认？5. 什么是数字证书？现有的数字证书由谁颁发，遵循的标准有什么特点？数字证书的原理是什么？*6. 叙述基于X.509数字证书在PKI中的作用。7. CA有哪些具体的职责？*8. 数字签名有什么作用？画

11、出示意图说明数字签名的主要流程。9. 列表比较对称密钥与公钥加密的优缺点。*10. 简述单向散列函数的基本性质。*1说明身份认证的特点及使用口令进行身份认证的优缺点。答：身份认证：是指用户必须提供他是谁的证明，这种证实客户的真实身份与其所声称的身份是否相符的过程是为了限制非法用户访问网络资源，它是其他安全机制的基础。 身份认证特点：身份认证是安全系统中的第一道关卡，识别身份后，由访问监视器根据用户的身份和授权数据库决定是否能够访问某个资源。一旦身份认证系统被攻破，系统的所有安全措施将形同虚设，黑客攻击的目标往往就是身份认证系统。优点：在于黑客即使得到了口令文件，通过散列值想要计算出原始口令在计

12、算上也是不可能的，这就相对增加了安全性。 缺点：严重的安全问题，安全性仅依赖于口令，而且用户往往选择容易记忆、容易被猜测的口令，口令文件也可被进行离线的字典式攻击。身份认证的三种基本方式是什么？答：身份认证的三种基本方式是：（1）用户所知道的东西：如口令、密码。（2）用户所拥有的东西：如智能卡、身份证。（3）用户所具有的生物特征：如指纹、声音、视网膜扫描、DNA等。2身份认证的三种基本方式：(1)用户所知道的某个秘密信息，例如用户知道自己的口令。(2)用户所持有的某个秘密信息(硬件)，即用户必须持有合法的随身携带的物理介质，例如智能卡中存储用户的个人化参数，以及访问系统资源时必须要有的智能卡。

13、(3)用户所具有的某些生物学特征，如指纹、声音、DNA图案、视网膜扫描等等，这种认证方案一般造价较高，多半适用于保密程度很高的场合。3Kerberos系统的优点有哪些？答：Kerberos系统的主要优点有：(1) 安全：网络窃听者不能获得必要信息以假冒其他用户，Kerberos应足够强壮以致于潜在的敌人无法找到它的弱点连接。(2) 可靠：Kerberos应高度可靠并且应借助于个分布式服务器体系结构，使得一个系统能够备份另一个系统。(3) 透明：理想情况下用户除了要求输入口令以外应感觉不到认证的发生。(4) 可伸缩：系统应能够支持大数量的客户和服务器，这意味着需要一个模块化的分布式结构。4为什么

14、说在PKI中采用公钥技术的关键是如何确认某个人真正的公钥？如何确认？答：信息的可认证性是信息安全的一个重要方面。认证的目的有两个：一个是验证信息发送者的真实性，确认他没有被冒充；另一个是验证信息的完整性，确认被验证的信息在传递或存储过程中没有被篡改、重组或延迟。在认证体制中，通常存在一个可信的第三方，用于仲裁、颁发证书和管理某些机密信息。公钥密码技术可以提供网络中信息安全的全面解决方案。采用公钥技术的关键是如何确认某个人真正的公钥。在PKI中，为了确保用户及他所持有密钥的正确性，公开密钥系统需要一个值得信赖而且独立的第三方机构充当认证中心(CA)，来确认声称拥有公开密钥的人的真正身份。要确认一

15、个公共密钥，CA首先制作一张“数字证书”，它包含用户身份的部分信息及用户所持有的公开密钥，然后CA利用本身的私钥为数字证书加上数字签名。任何想发放自己公钥的用户，可以去认证中心(CA)申请自己的证书。CA中心在认证该人的真实身份后，颁发包含用户公钥的数字证书，它包含用户的真实身份、并证实用户公钥的有效期和作用范围(用于交换密钥还是数字签名)。其他用户只要能验证证书是真实的，并且信任颁发证书的CA，就可以确认用户的公钥。什么是数字证书？现有的数字证书由谁颁发，遵循的标准有什么特点？数字证书的原理是什么？答：数字证书是一个经证书认证中心(CA)数字签名的包含公开密钥拥有者信息以及公开密钥的文件。认

16、证中心(CA)作为权威的、可信赖的、公正的第三方机构，专门负责为各种认证需求提供数字证书服务。认证中心颁发的数字证书均遵循X.509 V3标准。X.509标准在编排公共密钥密码格式方面已被广为接受。X.509证书已应用于许多网络安全，其中包括IPSec、SSL、SET、S/MIME。数字证书采用公开密钥体制，如RSA。每个用户设定一仅为本人所知的私有密钥，用它进行解密和签名；同时设定一公开密钥，为一组用户所共享，用于加密和验证签名。 采用数字证书，能够确认以下两点：(1) 保证信息是由签名者自己签名发送的，签名者不能否认或难以否认。(2) 保证信息自签发后到收到为止未曾做过任何修改，签发的信息

17、是真实信息。5由于Internet网电子商务系统技术使在网上购物的顾客能够极其方便轻松地获得商家和企业的信息,但同时也增加了对某些敏感或有价值的数据被滥用的风险. 为了保证互联网上电子交易及支付的安全性,保密性等，防范交易及支付过程中的欺诈行为，必须在网上建立一种信任机制。这就要求参加电子商务的买方和卖方都必须拥有合法的身份，并且在网上能够有效无误的被进行验证。数字证书是一种权威性的电子文档。它提供了一种在Internet上验证您身份的方式，其作用类似于司机的驾驶执照或日常生活中的身份证。它是由一个由权威机构-CA证书授权(Certificate Authority)中心发行的，人们可以在互联

18、网交往中用它来识别对方的身份。当然在数字证书认证的过程中，证书认证中心（CA）作为权威的、公正的、可信赖的第三方，其作用是至关重要的。 数字证书也必须具有唯一性和可靠性。为了达到这一目的，需要采用很多技术来实现。通常，数字证书采用公钥体制，即利用一对互相匹配的密钥进行加密、解密。每个用户自己设定一把特定的仅为本人所有的私有密钥（私钥），用它进行解密和签名；同时设定一把公共密钥（公钥）并由本人公开，为一组用户所共享，用于加密和验证签名。当发送一份保密文件时，发送方使用接收方的公钥对数据加密，而接收方则使用自己的私钥解密，这样信息就可以安全无误地到达目的地了。通过数字的手段保证加密过程是一个不可逆

19、过程，即只有用私有密钥才能解密。公开密钥技术解决了密钥发布的管理问题，用户可以公开其公开密钥，而保留其私有密钥。 一个数字证书的内容一般包括： 所有者的公钥 所有者的名字 公钥的失效期 发放机构的名称（发放数字证书的 CA） 数字证书的序列号 发放机构的数字签名 被广泛接受的数字证书格式由 CCITT X.509 国际标准定义；因此任何符合 X.509 的应用程序都可读写证书。在 PKCS 标准和 PEM 标准中有更进一步的明确表达。数字证书颁发过程一般为：用户首先产生自己的密钥对，并将公共密钥及部分个人身份信息传送给认证中心。认证中心在核实身份后，将执行一些必要的步骤，以确信请求确实由用户发

20、送而来，然后，认证中心将发给用户一个数字证书，该证书内包含用户的个人信息和他的公钥信息，同时还附有认证中心的签名信息。用户就可以使用自己的数字证书进行相关的各种活动。数字证书由独立的证书发行机构发布。数字证书各不相同，每种证书可提供不同级别的可信度。可以从证书发行机构获得您自己的数字证书。 目前的数字证书类型主要包括：个人数字证书、单位数字证书、单位员工数字证书、服务器证书、VPN证书、WAP证书、代码签名证书和表单签名证书。 随着Internet的普及、各种电子商务活动和电子政务活动的飞速发展，数字证书开始广泛地应用到各个领域之中，目前主要包括：发送安全电子邮件、访问安全站点、网上招标投标、

21、网上签约、网上订购、安全网上公文传送、网上缴费、网上缴税、网上炒股、网上购物和网上报关等工作原理：数字证书认证中心（Certficate Authority,CA）就是一个负责发放和管理数字证书的权威机构。对于一个大型的应用环境，认证中心往往采用一种多层次的分级结构，各级的认证中心类似于各级行政机关，上级认证中心负责签发和管理下级认证中心的证书，最下一级的认证中心直接面向最终用户。 数字安全证书利用一对互相匹配的密钥进行加密、解密。每个用户自己设定一把特定的仅为本人所知的私有密钥（私钥），用它进行解密和签名；同时设定一把公共密钥（公钥）并由本人公开，为一组用户所共享，用于加密和验证签名。当发送

22、一份保密文件时，发送方使用接收方的公钥对数据加密，而接收方则使用自己的私钥解密，这样信息就可以安全无误地到达目的地了。通过数字的手段保证加密过程是一个不可逆过程，即只有用私有密钥才能解密。在公开密钥密码体制中，常用的一种是RSA体制。其数学原理是将一个大数分解成两个质数的乘积，加密和解密用的是两个不同的密钥。即使已知明文、密文和加密密钥（公开密钥），想要推导出解密密钥（私密密钥），在计算上是不可能的。按现在的计算机技术水平，要破解目前采用的1024位RSA密钥，需要上千年的计算时间。公开密钥技术解决了密钥发布的管理问题，商户可以公开其公开密钥，而保留其私有密钥。购物者可以用人人皆知的公开密钥对

23、发送的信息进行加密，安全地传送以商户，然后由商户用自己的私有密钥进行解密。 用户也可以采用自己的私钥对信息加以处理，由于密钥仅为本人所有，这样就产生了别人无法生成的文件，也就形成了数字签名。采用数字签名，能够确认以下两点： (1) 保证信息是由签名者自己签名发送的，签名者不能否认或难以否认； (2) 保证信息自签发后到收到为止未曾作过任何修改，签发的文件是真实文件。6叙述基于X.509数字证书在PKI中的作用。答：X.509数字证书是各实体在网络中的身份证明，它证书了实体所声明的身份与其公钥的匹配关系。从公钥管理的机制讲，数字证书是非对称密码体制中密钥管理的媒介。即在非对称密码体制中，公钥的分

24、发、传送是通过数字证书来实现的。通过数字证书，可以提供身份的认证与识别，完整性、保密性和不可否认等安全服务。CA有哪些具体的职责？答：CA具体的职责有：1）验证并标识证书申请者的身份。2）确保CA用于签名证书的非对称密钥的质量。3）确保整个签证过程的安全性，确保签名私钥的安全性。4）证书材料信息(包括公钥证书序列号、CA标识等)的管理。5）确定并检查证书的有效期限。6）确保证书主体标识的惟一性，防止重名。7）发布并维护作废证书表（CRL）。8）对整个证书签发过程做日志记录。 其中最为重要的是CA自己的一对密钥的管理，它必须确保高度的机密性，防止他方伪造证书。8数字签名有什么作用？请说明数字签名

25、的主要流程。答：1）数字签名的作用是：当通信双方发生了下列情况时，数字签名技术必须能够解决引发的争端：（1） 否认，发送方不承认自己发送过某一报文。（2）伪造，接收方自己伪造一份报文，并声称它来自发送方。（3）冒充，网络上的某个用户冒充另一个用户接收或发送报文。（4）篡改，接收方对收到的信息进行篡改。2）数字签名通过如下的流程进行：(1) 采用散列算法对原始报文进行运算，得到一个固定长度的数字串，称为报文摘要(Message Digest)，不同的报文所得到的报文摘要各异，但对相同的报文它的报文摘要却是惟一的。在数学上保证，只要改动报文中任何一位，重新计算出的报文摘要值就会与原先的值不相符，这样就保证了报文的不可更改性。(2) 发送方用目己的私有密钥对摘要进行加密来形成数字签名。(3) 这个数字签名将作为报文的附件和报文一起发送给接收方。(4) 接收方首先对接收到的原始报文用同样的算法计算出新的报文摘要，再用发送方的公开密钥对报文附件的数字签名进行解密，比较两个报文摘要，如果值相同，接收方就能确认该数字签名是发送方的，否则就认为收到的报文是伪造的或者中途被篡改。专心-专注-专业