三级网络技术考前辅导 第七章网络管理与网络安全

三级网络技术考前辅导第七章网络管理与网络安全,主讲：张旭仟2009年9月,网络管理,【例题】网络管理的任务有二：对网络的运行状态进行和对网络的运行状态进行控制【答案】监测网络管理的任务有二：对网络的运行状态进行监测对网络的运行状态进行控制,网络管理,【例题】故障管理包括故障检测、和纠正三方面。【答案】隔离【解析】网络故障管理包括故障检测、隔离和纠正三方面，应包括以下典型功能：维护并检查错误日志接受错误检测报告并作出响应跟踪、辨认错误执行诊断测试纠正错误,网络管理模型,【例题】在网络管理中，一般采用管理者-代理模型，管理者和代理之间的信息交换方式有两种：从管理者到代理的管理操作，从代理到管理者的事件。【答案】通知【解析】网络管理的基本模型在网络管理中，一般采用管理者-代理模型管理者和代理网络管理者是一组运行在计算机操作系统之上的应用程序，负责从各代理处收集管理信息，获取有价值的管理信息，进行处理，达到管理的目的。代理位于被管理的设备内部，是被管对象的管理程序。管理者向代理传达管理指令，代理则直接管理被管设备。委托代理还可以提供系统和其他设备的信息。通常，一个管理者可以和多个代理进行信息交换。管理者和代理之间的信息交换方式有两种：从管理者到代理的管理操作从代理到管理者的事件通知。,网络管理协议,【例题】下面哪个不是Internet网络管理协议（2009年3月）A）SNMPv1B）SNMPv2C）SNMPv3D）SNMPv4【答案】D）【解析】IETF开发的SNMP(简单网络管理协议）最大的特点是简单性，容易实现且成本低。很快为众多网络厂商接受和采纳，成为事实上的标准。由于SNMP存在一些不足，提出的改进版本有SNMPv2，SNMPv3，在多个方面进行了改进和强化。,网络管理协议,【例题】SNMP协议处于OSI参考模型的（2008年4月）A）网络层B）传输层C）会话层D）应用层【答案】D）【解析】SNMP是最常用的计算机网络管理协议，可用于大多数组网设备和能力有限的网络互联设备。SNMP位于ISOOSI参考模型的应用层，遵循ISO的管理者-代理管理模型,网络管理协议,【例题】SNMP从被管理设备收集数据有两种方法：基于方法和基于中断方法（2009年3月）。【答案】轮询【解析】SNMP位于ISOOSI参考模型的应用层，遵循ISO的管理者-代理模型的管理模型SNMP的体系结构由SNMP管理者和SNMP代理者两部分组成。SNMP从被管理设备中收集数据有两种方法：一种是轮询（polling-only）的方法，另一种是基于中断（interrupt-based）的方法。轮询（polling-only）方法：网络管理员通过向代理的MIB发出查询信号可以得到相关信息，这个过程称为轮询。基于中断（interrupt-based）的方法：如果只使用只轮询的方法，轮询间隔太小或太大都违背了积极主动的网络管理原则。当有异常事件发生时，基于中断的方法可以立即通知网络管理工作站，具有很强的实时性。,网络管理协议,【例题】电信管理网中，管理者和代理间的管理信息交换是通过CMIP和实现的（2008年9月）。【答案】CMIS【解析】CMIS/CMIP公共管理信息服务/公共管理信息协议，是OSI提供的网络管理协议簇。CIMS主要定义了每个网络组成部分提供的网络管理服务。而CMIP是具体实现CIMS服务的协议。优点是安全性高、功能强大，缺点是对系统要求过高，操作复杂。CMIP也采用管理者-代理模型，采用的监控代理方式是委托监控，优点是通信开销小、反应及时，缺点是对代理的要求高。在电信管理网（TMN）中，管理者和代理之间的所有的管理信息交换普遍采用CMIS和CMIP实现,信息安全性等级,【例题】由美国国家计算机安全中心提出的网络安全性标准可信任计算机标准评估准则中，A1安全等级最高，安全等级最低【答案】D1【解析】由美国国防部所属的国家计算机安全中心(NCSC）在20世纪90年代提出的网络安全性标准(Dod5200.28_STD），即可信任计算机标准评估准则也称橘皮书，将网络安全性等级划分为共4类7个安全级别。其中A类安全等级最高，D类安全等级最低,信息安全性等级,【例题】根据计算机信息系统安全保护等级划分准则，安全要求最高的防护等级是（2009年3月）A）指导保护级B）强制保护级C）监督保护级D）专控保护级【答案】D）【解析】计算机信息系统安全保护等级划分准则(GB17859-1999），根据我国的具体情况将信息和信息系统安全保护分为5个等级：自主保护级。适用于公民、法人和社会组织的一般性信息系统。指导保护级。适用于一定程度上涉及到国家安全、社会秩序、经济建设和公共利益的信息系统。监督保护级。适用于涉及国家安全、社会秩序、经济建设和公共利益等的信息系统强制保护级。适用于涉及国家安全、社会秩序、经济建设和公共利益等的重要信息系统专控保护级。适用于涉及国家安全、社会秩序、经济建设和公共利益等的重要信息系统的核心子系统。,信息安全性等级,【例题】下面操作系统能够到达C2安全级别的是（2008年9月）、System7.x、Windows98、WindowsNT、NetWare4.xA）和B）和C）和D）和【答案】C【解析】可信计算机系统评估准则TCSEC共定义了4类7个安全级别：,OSI安全框架,【例题】国际电信联盟(ITU-T）推荐方案X.800即OSI安全框架，主要关注、安全机制和安全服务3部分【答案】安全攻击【解析】为了有效评价一个机构的安全需求，以及对各个安全产品和政策进行评价和选择，负责安全的管理员需要以某种系统的方法来定义对安全的要求并刻画满足这些要求的措施。在集中式数据处理环境下做到这一点非常困难。随着局域网和广域网的使用，问题变得更加复杂。国际电信联盟(ITU-T）推荐方案X.800即OSI安全框架，主要关注安全攻击、安全机制和安全服务3部分。,安全性攻击,【例题】安全攻击可分为被动攻击和。【答案】【解析】任何危及企业信息系统安全的活动都是安全性攻击。安全攻击可分为被动攻击和主动攻击。,安全性攻击,【例题】下面那种攻击属于被动攻击（2009年3月）A）流量分析B）数据伪装C）消息重放D）消息篡改【答案】A）【解析】被动攻击的特性是对传输进行窃听和监测。攻击者的目标是获得传输的信息。消息的泄露和流量分析就是两种被动攻击。消息泄露。电话、电子邮件消息和传输的文件都可能含有秘密的信息。流量分析。加密是隐藏内容的常用技巧。但即使我们恰当地进行了加密保护，攻击者仍可能获得这些消息模式。攻击者可以判定通信主机的身份和位置，观察传输消息的频率和长度。这些信息可以用于判断通信的性质。被动攻击由于不涉及对数据的更改，所以很难觉察。然而，通过加密的手段阻止这种攻击却是可行的。因此，处理被动攻击的重点是预防，而不是检测,安全性攻击,【例题】主动攻击可分四类：伪装、消息修改、拒绝服务(DoS）。【答案】重放【解析】主动攻击包括对数据流进行修改或伪造数据流，可分四类：伪装。是指某实体假装别的实体。重放。是指获得的信息再次发送以产生非授权的效果。消息修改。指修改合法消息的一部分或延迟消息的传输或改变消息的顺序。拒绝服务(DoS）。阻止或禁止对通信设施的正常使用或管理。比如，某实体可能会查禁所有发向某目的地的消息。拒绝服务的另一种形式是破坏整个网络，它或者是使网络失效，或者是使其过载以降低其性能。分布式拒绝服务(DDoS）。是在传统拒绝服务基础上产生的一种攻击方式，它使许多分布的主机攻击一个目标，从而导致目标瘫痪。被动攻击难以检测但可以防止；主动攻击难以绝对预防，但容易检测。,安全性攻击,【例题】下面哪个（些）攻击属于非服务攻击（2008年9月）、邮件炸弹、源路由攻击、地址欺骗A）和B）仅C）和D）和【答案】C）【解析】从网络高层角度可以把攻击方法概括为服务攻击和非服务攻击两大类。服务攻击。针对某种特定网络服务的攻击。例如：针对E-mail服务、Telnet、FTP、HTTP等服务的专门攻击。原因：TCP/IP协议缺乏认证、保密措施。非服务攻击。非服务攻击不针对某项具体应用服务，而是基于网络层等低层协议而进行。原因是TCP/IP协议（尤其是IPv4）自身的安全机制不足，如NetXray等。非服务攻击更为隐蔽，是一种更为有效的攻击方式。,加密技术,【例题】下面哪种破译类型的破译难度最大（2008年9月）A）唯密文B）已知明文C）选择明文D）选择密文【答案】A）【解析】基于密钥分析者所掌握的信息，可将密码攻击划分成若干类型。其中唯密文的攻击难度最大。与已知明文攻击紧密相关的是“可能词攻击”。如果处理的是一些特殊的信息，攻击者就可能知道其中的部分内容，这就是“已知明文”。如果分析者能够通过某种方法让发送者在发送的消息中插入一段由他选择的信息，“选择明文”的攻击就有可能实现。一般来说，加密算法起码要能经受“已知明文”的攻击。,加密技术,【例题】关于加密技术的说法，那一项是不正确的A）所有的加密算法都应该是无条件安全的B）一次一密是无条件安全的C）如果破译密码的代价超出了密文信息的价值则在计算上是安全的D）如果破译密码的时间超出了密文信息的有效生命期则在计算上是安全的【答案】A）【解析】如果无论有多少可以使用的密文，都不足以唯一地确定由该体制产生密文所对应的明文，则加密体制是无条件安全的。也就是说，无论花多长时间，攻击者都无法将密文解密。除了一次一密之外，所有的加密算法都不是无条件安全的。所以，加密算法的使用者应尽量满足如下条件：破译密码的代价超出了密文信息的价值；破译密码的时间超出了密文信息的有效生命期。如果满足以上两个条件，就可以说该加密体制在计算上是安全的。,密码学,【例题】凯撒密码是一种置换密码，对其破译的最多尝试次数是（2008年4月）A）2次B）13次C）25次D）26次【答案】C）【解析】Caesar密码原理如下：对于明文中的每一个字母都用字母表中该字母后的第k个字母来代换(允许循环，也就是说可以认为a在z的后面）。其中k就是密钥。例如使加密字母向右移4个字母，即，a换成E、b换成F、c换成G、z换成D。这样，如果对明文attack进行加密，密钥为4，则加密后形成的密文就是EXXEGO。由于恺撒密码的密钥空间只有26个，破译者只需尝试25次就可以破译密码,密码学,【例题】“单表置换加密”是对Caesar密码的一种改进，密钥有个，对付蛮力攻击有一定效果。【答案】26！【解析】“单表置换加密”是对Caesar密码的一种改进。“单表置换加密”也是字母表中的一个字母代换原明文中的另一个字母，但并不是按照规则模式（比如偏移）进行替换的，而是任意字母都可以替换为其他任一个字母。“单表置换加密”的密钥有26！种可能的配对方案，对付蛮力攻击虽然有一定效果，但也是不可靠的。如果通过对明文语言的统计分析，可以知道某些字母（如英文中的e和t）在典型的英文文本中出现的频率最高（分别占13%和9%），而且特定的两个或三个字母同时出现的情况也非常普遍（例如:in、it、the、ion、ing等），这使得破译单表置换加密密文变得相对简单。,对称密钥密码体制,【例题】以下不属于对称加密算法的是A）DES及三重DESB）高级加密标准AESC）Blowfish算法D）MD5算法【答案】D）【解析】典型的对称密钥密码体制是数据加密标准DES。其他常见的对称加密算法三重DES。使用多个密钥对DES进行3次加密。已在有些基于Internet的应用中得到使用高级加密标准AES。密钥长度128、129或256位，分组长度128位。使用了基于有限域GF(28）的不可约多项式。Blowfish算法。分组长度64位，密钥长度可变。算法由密钥扩展和数据加密两部分组成。密钥扩展可把长度可达448位的密钥转变成共4168字节的几个子密钥。至今为止，Blowfish算法的安全性尚未受到挑战。RC5算法。这是一种参数可变的加密算法。3个可变的参数分别是：分组大小、密钥大小、加密轮数。使用了异或、加和循环三种运算。,对称密钥密码体制,【例题】典型的对称密钥密码体制是数据加密标准。【答案】DES【解析】典型的对称密钥密码体制是数据加密标准DES。这个算法本身被称为数据加密算法DEA。DES标准采用64位的分组长度和56位的密钥长度，将64位的输入进行一系列的变化得到64位的输出。解密采用相同的步骤和相同的密钥。三重DES使用多个密钥对DES进行3次加密，已在有些基于Internet的应用中得到使用,对称密钥密码体制,【例题】AES加密算法处理的分组长度是（2009年3月）A）56位B）64位C）128位D）256位【答案】A）【解析】高级加密标准AES的密钥长度128、129或256位，分组长度128位。使用了基于有限域GF(28）的不可约多项式。,对称密钥密码体制,【例题】RC5加密算法没有采用的基本操作是（2009年3月）A）异或B）循环C）置换D）加【答案】C）【解析】RC5算法是一种参数可变的加密算法。3个可变的参数分别是：分组大小、密钥大小、加密轮数。RC5算法使用了异或、加和循环三种运算。,公钥密码体制,【例题】关于RSA密码体制的描述中，正确的是（2009年3月）A）安全性基于椭圆曲线问题B）是一种对称的密码体制C）加密速度很快D）常用于数字签名【答案】D）【解析】RSA的安全性依赖于大数的因子分解RSA是一种非对称的公钥密码体制RSA算法是第一个既能用于数据加密也能用于数字签名的算法。虽然RSA算法具有安全方便的特点，但由于RSA处理的都是很大的数，计算开销很大，速度很慢，所以一般仅用来加密少量的数据，如用于鉴别、数字签名或发送一次性的秘密密钥等。RSA是一种分组密码,公钥密码体制,【例题】RSA算法加密时,已知公钥是（e=7,n=20）,私钥是（d=3,n=20）,用公钥对消息M=3加密,得到的密文是（2009年3月）：A）19B）13C）12D）7【答案】D）【解析】RSA算法选取密钥的过程如下：选择两个大素数p和q（p和q的值越大，破解RSA就越困难。典型值为大于10100）；计算npq和z(p-1）(q-1）；选择小于n的数e，并且和z为互质数；找到数d，满足ed-1可以被z整除（即无余数）；(那么公共密钥对为(n,e），秘密密钥对为(n,d）。计算了以上密钥后，就可以开始加密了。RSA加密解密过程：假设甲想向乙发送数据m，其中mn。为了加密，甲进行指数运算me，接着计算me被n除的模余数，即为密文c。为了解密接收到的密文消息c，乙计算m=cdmodn。RSA加密解密过程举例：假设乙选取的素数p5，q7，则n35，z24。乙可以选取e5。因为5小于n(35），而且和z(24）没有公约数，于是公钥对为（35,5）。下一步是要找到数d，且满足ed-1可以被z整除。这里我们取d的值为29。于是私钥对为（35,29）。假设要加密的明文为M23，则密文CMe%n18，于是对应的密文为C18。接收方收到密文后进行解密，计算MCd%n23，恢复出原文。,密钥管理,【例题】对称密码体制通常使用的密钥分发技术就是密钥分发中心，简称。【答案】KDC【解析】对称密码体制的一个缺点就是需要通信双方事先对密钥达成一致的协议。因为通信双方往往只能通过网络彼此通信，故而无法提前协商密钥。通常使用的密钥分发技术就是：密钥分发中心KeyDistributionCenter,KDC密钥分发中心KDC是一个独立的网络实体，是一个服务器。它和每个注册用户共享不同的秘密对称密钥。这个密钥通常是用户在第一次注册时手工设定的，注册用户可以通过这个密钥和KDC进行安全通信。,密钥管理,【例题】非对称加密技术中通常要借助一个可信任的第三方安全认证中心来分发公钥并保证其真实性。【答案】CA【解析】在非对称加密中，公钥可以通过任何方式加以公开。然而公钥的真实性是必须得到确认的。非对称加密技术中通常要借助一个可信任的第三方CA安全认证中心来分发公钥并保证其真实性。CA安全认证中心负责将一个公共密钥与一个特定实体绑定在一起，从而达到证实实体的身份和分发公共密钥的目的。CA具有以下作用：CA验证实体（可以是一个人、服务器等）的身份；一旦CA验证了实体的身份，就可以生成一个证书。这个证书经过CA安全认证中心的数字签名，具有全球唯一的标识信息、关于实体身份的描述以及他的公共密钥。自动地，这个证书也将该实体和他的公共密钥绑定在了一起。,密钥管理,【例题】关于数字证书的描述中，错误的是（2008年4月）A）证书通常由CA安全认证中心发放B）证书携带持有者的公开密钥C）证书通常携带持有者的基本信息D）证书的有效性可以通过验证持有者的签名获知【答案】D）【解析】非对称加密技术中通常要借助一个可信任的第三方CA安全认证中心来分发公钥并保证其真实性。数字证书就是一条经过数字签名的消息，其作用通常是为了证明某个实体的公钥的有效性、完整性。CA安全认证中心负责将一个公共密钥与一个特定实体绑定在一起，从而达到证实实体的身份和分发公共密钥的目的。CA具有以下作用：CA验证实体（可以是一个人、服务器等）的身份；一旦CA验证了实体的身份，就可以生成一个证书。这个证书经过CA安全认证中心的数字签名，具有全球唯一的标识信息、关于实体身份的描述以及他的公共密钥。自动地，这个证书也将该实体和他的公共密钥绑定在了一起。,消息认证,【例题】消息认证又称校验。【答案】完整性【解析】消息认证就是意定的接收者能够检验收到的消息是否真实的方法，又称完整性校验。消息认证的内容包括：证实消息的信源和信宿；消息内容是否被偶然或有意篡改；消息的序号和时间性是否正确消息认证只在通信双方之间进行，不允许第三者进行上述认证。消息认证不一定是实时的。,消息认证,【例题】关于消息认证的描述中，错误的是（2009年3月）A）消息认证称为完整性校验B）用于识别信息源的真伪C）消息认证都是实时的D）消息认证可通过认证码实现【答案】C）【解析】消息认证就是意定的接收者能够检验收到的消息是否真实的方法，又称完整性校验。消息认证的内容包括：证实消息的信源和信宿；消息内容是否被偶然或有意篡改；消息的序号和时间性是否正确消息认证只在通信双方之间进行，不允许第三者进行上述认证。消息认证不一定是实时的。认证消息完整性的途径有两条采用消息认证码（MessageAuthenticationCode,MAC）。MAC利用函数f(x）和密钥k将要发送的明文m或密文c变换成r比特的消息认证码f(m,k），或称其为认证符，附加在m或c之后发出，通常将f选为hash函数（与加密函数的区别在于，其函数输出不需要可逆）。采用篡改检测码（ManipulationDetectionCode,MDC）。MDC利用函数f(m）将要发送的明文m变换成r比特的篡改检测码f(m）附加在m之后一起加密；当然也可以只对篡改检测码加密。通常将f选为不带密钥的Hash函数。,消息认证,【例题】SHA是一种常用的摘要算法，它产生的消息摘要长度是（2008年9月）A）64位B）128位C）160位D）258位【答案】C【解析】安全散列算法SHA与MD5相似，用512位长的数据块经过复杂运算，产生的散列值是160位的消息摘要。SHA比MD5更安全，但计算速度要比MD5慢。,数字签名,【例题】数字签名是笔迹签名的模拟，用于确认发送者身份，是一个的消息摘要（2009年3月）。【答案】加密【解析】数字签名是一种模拟笔记签名的技术，它必须具有如下性质：必须能证实作者签名和签名的日期和时间；在签名时必须能对内容进行鉴别；签名必须能被第三方证实以解决争端。数字签名是一个加密的消息摘要，附加在消息的后面。如果甲要在他发给乙的消息中创建一个数字签名，需要遵循以下步骤：甲创建一个公钥/私钥对；甲把他的公钥给乙；甲把要发送给乙的消息作为一个单向散列函数的输入，生成一个消息摘要；甲用它的私钥加密消息摘要，就得到了数字签名。,数字签名,【例题】关于数字签名的描述中，错误的是（2008年4月）A）可以利用公钥密码体制B）可以利用对称密码体制C）可以保证消息内容的机密性D）可以进行验证【答案】C）【解析】数字签名是一个用于确认发送者身份和消息完整性的加密的消息摘要，作用与手写签名类似。数字签名的创建过程如下：首先是生成被签名的电子文件，然后对电子文件用哈希算法做数字摘要，再对数字摘要用签名私钥做非对称加密这个过程就是数字签名。之后将以上数字签名、电子文件原文以及签名者的公钥加在一起进行封装，发送给收方验证。接收方首先用发方公钥解密数字签名，导出一个消息摘要；再对电子文件原文作同样哈希算法得到一个新的消息摘要，最后将两个摘要进行比较，如果结果相同，说明签名得到验证，否则无效。,身份认证,【例题】身份认证常用的方法有口令认证、持证认证、生物识别。【答案】生物识别【解析】身份认证是指可靠地验证某个通信参与方的身份是否与他所声称的身份一致的过程。身份认证常用的方法：口令认证持证认证生物识别,身份认证协议,【例题】关于Kerberors认证系统的描述中，错误的是（2009年3月）A）有一个包含所有用户密钥的数据库B）用户密钥是一个加密口令C）加密算法必须使用DESD）Kerberos提供会话密钥【答案】C）【解析】Kerberos这一名词来源于希腊神话“三个头的狗地狱之门守护者”。Kerberos协议是20世纪80年代美国麻省理工学院（MIT）为TCP/IP网络设计的可信第三方鉴别协议，为分布式计算环境提供了一种对用户双方进行验证的认证方法。Kerberos基于对称密钥体制（一般采用DES），它与网络上的每个实体共享一个不同的密钥，通过是否知道秘密密钥来验证用户的身份。Kerberos模型中有一个存有所有用户秘密密钥的数据库。对于每个用户来说，秘密密钥是一个加密口令（加密以后的用户密码）。由于Kerberos知道每个人（实体）的秘密密钥，故而它能产生一个消息来证实实体的身份。Kerberos还可以产生会话密钥，只供一个客户机和一个服务器（或两个客户机）进行秘密通信。,身份认证协议,【例题】Kerberos是一种常用的身份认证协议，它采用的加密算法是（2008年9月）A）ElganalB）DESC）MDSD）RSA【答案】B）【解析】Kerberos协议是一种对称密码网络认证协议，建立在对称加密（DES）的基础上。Kerberos协议为分布式计算环境提供了一种对用户双方进行验证的认证方法。Kerberos协议用于认证用户对网络资源的请求，采用可信任的第3方密钥分配中心（KDC）保存与所有密钥持有者通信的主密钥。主要目标是身份认证、计费和审计。,安全电子邮件,【例题】PGP（PrettyGoodPrivacy）是一个加密方案，已成为事实上的工业标准。【答案】安全电子邮件【解析】PGPPrettyGoodPrivacy，相当好的私密性，是一个安全电子邮件加密方案，已成为事实上的工业标准。PGP的实际操作由五部分组成：鉴别、机密性、压缩、电子邮件的兼容性和分段。PGP可以利用4种类型的密钥：一次性会话的常规密钥、公开密钥、私有密钥、基于口令短语（Password）的常规密钥。当PGP安装之后，为用户产生一个密钥对。这个密钥对可以公布在用户的个人网站上，也可以公布在一个公共密钥服务器上。秘密密钥用密码进行保护，用户每次访问都需要输入密码。PGP用户可以选择使用数字签名，或加密消息，或者两者都有。PGP也提供公共密钥认证机制，但并不依赖于任何权威组织。PGP公共密钥是通过委托网站进行认证的。,安全电子邮件,【例题】以下关于安全电子邮件加密方案的描述错误的是A）PGP的公共密钥认证机制不依赖于任何权威组织B）PGP的秘密密钥需要用密码进行保护C）S/MIME与PGP非常类似D）S/MIME基于RC5数据安全技术【答案】D）【解析】S/MIME是基于RSA数据安全技术的Internet电子邮件格式标准的安全扩充。其中MIME是多用途Internet邮件扩展协议，允许以标准化的格式在电子邮件消息中包含文本、音频、图形、视频和类似的信息。与PGP相比，PGP侧重于个人用户，而S/MIME更侧重于商业和组织的需要。从一般功能来说，S/MIME与PGP非常类似，两者都提供了对报文签名和或加密的功能。,IPSec,【例题】IP安全协议通常称IPSec，是工作在的一组安全协议。【答案】网络层【解析】IP安全协议通常称IPSec，是工作在网络层的一组安全协议。IPSec包括两个最主要的协议：身份认证头（AuthenticationHead，AH）协议，仅提供源身份认证和数据完整性封装安全负载（EncapsulationSecurityPayload，ESP）协议，提供身份认证、数据完整性以及秘密性。对于AH和ESP，源主机和网络主机通讯之前首先要进行握手并建立网络层的逻辑连接，这个逻辑连接被称为安全协定（SecurityAgreement，SA）。就是说，IPSec通过AH和ESP把面向无连接的Internet互联层改造成了有逻辑连接的层。SA是一个单工连接，如果通讯双方需要互发数据，则需要建立两个SA。对于给定的SA，每个IPSec数据报都具有一个相同的SPI特殊字段。,IPSec,【例题】关于安全套接层协议的描述中，错误的是（2008年9月）A）可保护传输层的安全B）可提供数据加密服务C）可提供消息完整性服务D）可提供数据源认证服务【答案】D）【解析】SSL（SecureSocketsLayer，安全套接层协议）是用于保护传输层安全的开放协议，在应用层协议和低层的TCPIP之间提供数据安全，为TCPIP连接提供数据加密、服务器认证、消息完整性和可选的客户机认证。,Web安全,【例题】Web流量安全性方法分为网络级、传输级、三个等级。【答案】应用级【解析】Web流量安全性方法分为：网络级。利用IP的安全性，使用IPSec（IP安全协议）是一种网络级的Web流量安全性方法。好处有二：对最终用户和应用程序都是透明的IPSec具有过滤功能，便于仅用IPSec来处理所选的Web流量传输级。传输级的Web流量安全性方法是在tcp上实现安全性。最早的例子是安全套接层SSL，接着是运输层安全TLS。在传输级实现安全性