电子商务安全认证期末复习

电子商务安全认证 期末复习 题型 填空题 30 分 1 分 1 空 判断并说明理由题 20 分 5 分 1 个 简答 30 分 6 分 1 个 综合分析题 20 分 第 1 小题 8 分 第 2 和 3 小题各 6 分 第 1 章 电子商务安全导论 1 电子商务涉及的安全问题有哪些 电子商务涉及的安全问题有哪些 P4 6 1 信息的安全问题 冒名偷窃 篡改数据 信息丢失 信息传递出问题 2 信用的安全问题 来自买方的安全问题 来自卖方的安全问题 买卖双方都存在抵赖的情况 3 安全的管理问题 4 安全的法律保障问题 2 电子商务系统安全的三个组成部分 电子商务系统安全的三个组成部分 P7 实体安全 运行安全 信息安全 3 电子商务安全的五方面基本需求 电子商务安全的五方面基本需求 P16 保密性 完整性 认证性 可控性 不可否认性 4 电子商务的安全保障主要由哪三方面去实现 电子商务的安全保障主要由哪三方面去实现 P17 22 1 技术措施信技术措施信 息加密技术 保证数据流安全 密码技术和非密码技术 数字签名技术 保证完整性 认证性 不可否认性 TCP IP 服务 保证数据完整传输 防火墙的构造选择 防范外部攻击 控制内部和病毒破坏 2 管理措施管理措施 人员管理制度 严格选拔 落实工作责任制 贯彻 安全运作三项基本原则 多人负责 任期有限 最小权限 保密制度 不同的保密信息有不同的安全级别 跟踪 审计 稽核制度 跟踪 自动生成系统日志 审计 对日志进行审计 针对企业内部员工 稽查 针对企业外部的监督单位 系统维护制度 硬件和软件 数据容灾制度 病毒防范制度 应急措施 3 法律环境法律环境 第 2 章 信息安全技术 1 信息传输中的五种常见加密方式 信息传输中的五种常见加密方式 P27 链路 链路加密 节点加密 端 端加密 ATM 网络加密 卫星通信加密 2 对称加密的原理及其优缺点 常见对称密码算法有 DES AES 三重 三重 DES Rivest 密密 码码 1 对称加密对称加密 特点特点 数据的发送方和接受方使用的是同一把密钥同一把密钥 过程过程 发送方对信息加密 发送方将加密后的信息传送给接收方 接收方对收到信息解密 得到信息明文 答 对称加密 在对称密钥体制中 它的加密密钥与解密密钥的密码体制是相同的 且收 发双方必须共享密钥 对称密码的密钥是保密的 没有密钥 解密就不可行 知道算法和 若干密文不足以确定密钥 优点 优点 由于加密算法相同 从而计算机速度非常快 且使用方便 计算量小 加密与解密 效率高 缺点 缺点 1 密钥管理较困难 2 新密钥发送给接收方也是件较困难的事情 因为需对新密钥 进行加密 3 其规模很难适应互联网这样的大环境 3 什么是信息验证码 数字签名与信息验证码的区别 P36 信息验证码 MAC 也称为完整性校验值或信息完整校验 MAC 是附加的数据段 是由 信息的发送方发出 与明文一起传送并与明文有一定的逻辑关系 信息验证码与数字签名有何区别信息验证码与数字签名有何区别 P42 答 数字签名类似于信息验证码 但它们也有不同之处 主要的不同在于 数字签名可以 支持不可否认服务 也就是说 信息的接收方可以用数字签名来证明作为发送方第三方的 身份 如果数字签名来解决电子商务交易中发送方与接收方在交易信息上的争端 则最可 能得到伪造信息的一般是接收方 所以对接收方来说 应该不能生成与发送方所生成的签 名信息一样的数字签名 但信息验证码不具有进行数字签名的功能 因为接收方知道用于 生成信息验证码的密钥 4 非对称加密的原理及其优缺点 答 不对称加密 非对称式加密就是加密和解密所使用的不是同一个密钥 通常有两个 密钥 称为 公钥 和 私钥 它们两个必需配对使用 否则不能打开加密文件 优点 优点 由于公开密钥加密必须由两个密钥的配合使用才能完成加密和解密的全过程 因此 有助于加强数据的安全性 缺点 缺点 加密和解密的速度很慢 不适合对大量的文件信息进行加密 基本原理基本原理 加密模式过程 加密模式过程 发送方用接收方的公开密钥对要发送的信息进行加密 发送方将加密后的信息通过网络传送给接收方 接收方用自己的私有密钥对接收到的加密信息进行解密 得到信息明文 非对称密码算法的优缺点 非对称密码算法的优缺点 优点安全性能好 破解困难 密钥存储和传输方便 每个通信方至少一对公私密钥 缺点算法复杂 运算速度很慢 5 常见的数字签名算法有 RSA 美国数字签名标准算法 椭圆数字签名算法 美国数字签名标准算法 椭圆数字签名算法等 第二章 PPT34 页 6 电子商务应用中的特殊数字签名有盲签名 多重签名 代理签名 定向签名 双联签名 盲签名 多重签名 代理签名 定向签名 双联签名 团体签名 不可争签名团体签名 不可争签名等 7 密钥的生命周期包括哪几个阶段 密钥的生命周期密钥的生命周期 1 密钥建立 包括生成密钥和发布密钥 2 密钥备份 恢复或密钥的第三者保管 3 密钥替换 更新 4 密钥吊销 5 密钥期满 终止 其中可能包含密钥的销毁或归档 第 3 章 Internet 安全 1 典型的网络层安全服务包括认证和完整性 保密性 访问控制认证和完整性 保密性 访问控制 以及对核心对核心 internet 基基 础协议的保护 础协议的保护 2 Internet 安全的保护分为网络层安全 应用层安全和系统安全网络层安全 应用层安全和系统安全三类 3 防火墙的功能及类型 防火墙的功能 防火墙的功能 1 过滤不安全的服务和非法用户 2 控制对特殊站点的访问 3 作为网络安全的集中监视点 类型 类型 1 包过滤型防火墙包过滤型防火墙 处理对象是 IP 包 网络层数据 功能 处理通过网络的 IP 包的信息 实现进出网络的安全控制 2 应用网关型防火墙应用网关型防火墙 处理对象是应用服务 应用层数据 功能 通过对网络服务的代理 检查进出网络的各种服务 安装在专用工作站系统上 3 代理服务型防火墙代理服务型防火墙 4 VPN 的概念及三类 VPN 服务类型 VPN 的安全策略包括隧道技术 加解密技术 密钥隧道技术 加解密技术 密钥 管理技术 使用者与设备身份认证技术 管理技术 使用者与设备身份认证技术 虚拟专用网络虚拟专用网络 virtual private network VPN 技术为我们提供了一种通过公用网络安全地对企 业内部专用网络进行远程访问的连接方式 三类三类 VPN 服务类型 服务类型 Access VPN 远程访问虚拟专网 移动办公和 B2C Intranet VPN 企业内部虚拟专网 企业内部资源共享 Extranet VPN 扩展的企业内部虚拟专网 5 网络入侵检测主要有四种检测策略 基于主机的检测 基于应用程序的检测 基于目标基于主机的检测 基于应用程序的检测 基于目标 的检测 基于网络的检测 的检测 基于网络的检测 6 Ipsec 的两个重要的协议 认证头协议认证头协议 AH 和分组加密协议分组加密协议 ESP AH 协议的两种模式 传输模式传输模式和隧道模式隧道模式 7 S MIME 协议是什么 答 多用途网际邮件扩充协议 MIME 是 Multipurpose Internet Mail Extensions 的缩 写 说明了如何安排消息格式使消息在不同的邮件系统内进行交换 MIME 的格式灵活 允许邮件中包含任意类型的文件 8 SSL 协议是什么 能够实现什么功能 SSL 握手协议握手协议和记录协议记录协议是最重要的两个子协议 安全套接层协议安全套接层协议 Secure Sockets Layer SSL 建立在 TCP 协议之上 它的优势在于与应用层 协议独立无关 应用层协议能透明地建立于 SSL 协议之上 SSL 协议的功能协议的功能 1 SSL 服务器认证 2 确认用户身份 3 保证数据传输的机密性和完整性 SSL 握手协议数据是按照 SSL 记录协议封的吗 P105 答 正确 SSLSSL 握手协议是位于握手协议是位于 SSLSSL 记录协议之上的最重要的子协议记录协议之上的最重要的子协议 被 SSL 记录协议所封装 9 SET 协议是什么 SET 交易的参与方参与方包括持卡人 商户 发卡银行 收单银行 支付网持卡人 商户 发卡银行 收单银行 支付网 关 认证中心 关 认证中心 安全电子交易协议安全电子交易协议 Secure Electronic Transaction SET 是一种应用于因特网环境下 以信 用卡为基础的安全电子支付协议 10 SSL 与 SET 的对比 第 4 章 1 按使用对象分类 数字证书的常见类型有哪些 P120 121 按使用对象来分 主要包括 按使用对象来分 主要包括 个人数字证书 单位数字证书 服务器证书 安全 邮件证书 代码签名证书 2 了解基本的数字证书格式的内容 P122数字证书扩展标准包括密钥信息扩展 政策信密钥信息扩展 政策信 息扩展 主体及发放者属性扩展 认证路径约束扩展 与数字证书撤销表相关的扩展息扩展 主体及发放者属性扩展 认证路径约束扩展 与数字证书撤销表相关的扩展 3 数字证书密钥对生成的两种方法及优缺点 密钥对生成的两种方法 密钥对生成的两种方法 1 由密钥对持有者系统生成 2 由密钥管理中心系统生成 优点 优点 1 由密钥对持有者系统生成的优点 利用这一方法来生成密钥 可以保证任何其 他的通信方都不会获得该密钥 2 由密钥管理中心系统生成的优点 1 对一些像智能卡那样的密钥对持有系统来说 是很有必要的 2 密钥对在密钥管理中心集中生成在某些情况下也是非常有益的 3 如果密钥对中的私钥需要在中心系统进行备份或存档 密钥对的集中生成也是很便利 的 缺点 缺点 生成密钥的这两种方法在实际的使用中都需要适应环境的变化 它们在实际的数字 证书生成和管理过程中都都需要根据环境的变化而有所变通 4 三种私钥保护的方法 P131 保护方法 保护方法 1 将私钥存储在不可写的硬件模块或标记中 如智能卡中 2 将私钥存储在计算机硬盘或其他数据存储媒介上的加密数据文件中 3 将私钥存储在数字证书服务器上 当用户通过了服务器的鉴定 并在服务器上使用了一 段时间后 该服务器会将私钥传送给用户 第一种私钥保护方法的安全性要比第二 第三种方法高 但第一种方法的成本也较高 第 2 三种常用来保护数字钱包中的私钥和敏感信息 5 数字证书管理机构的作用 1 认证机构 CA 负责数字证书的管理工作 2 注册机构 RA 本身并不发放数字证书 但 RA 可以确认 批准或拒绝数字证书申 请人的申请 随后由 CA 给经过批准的申请人发放数字证书 6 撤销数字证书的方法主要有定期公布定期公布 CRL 广播 广播 CRL 进行在线状态检查 发行短期 进行在线状态检查 发行短期 数字证书数字证书等 第 5 章 公钥基础设施 PKI public key infrastructure 又叫公钥体系 1 PKI 应用系统应具有哪些功能 PKI 应用系统的功能 应用系统的功能 1 公钥数字证书的管理 2 证书撤销表的发布和管理 3 密钥的 备份和恢复 4 自动更新密钥 5 自动管理历史密钥 6 支持交叉认证 2 CA 的结构有树型层次结构 森林型层次结构和通用结构树型层次结构 森林型层次结构和通用结构 树型层次结构是最简单的形树型层次结构是最简单的形 式式 对于任一实体 只有唯一一条认证路径 且很容易找到 在其中根 CA 的作用极其关 键 通用结构通用结构使得任何团体都可以建立他们认为合适的各个认证机构与它们的 PKI 之间的 结构关系 但是却以增加应用系统实施的复杂程度为代价 通用结构中的两个核心问题是两个核心问题是 寻找认证路径和确认认证路径寻找认证路径和确认认证路径 3 PKI 的三种不可否认机制及其实施方法 p174 三种不可否认机制及实施方法 三种不可否认机制及实施方法 1 1 来源的不可否认机制 来源的不可否认机制 保护接收者 保护接收者 由发送方进行数字签名 由可信任的第三方进行 数字签名 由可信任的第三方对摘要进行数字签名 内嵌可信任的第三方 2 2 送递的不可否认机制 送递的不可否认机制 保护发送者 保护发送者 由接收方发送数字签名回执 利用可信任的送递 代理 生成分段送递报告 3 3 提交的不可否认机制 提交的不可否认机制 保护发送者 保护发送者 4 不可否认机制服务涉及哪五项活动 不可否认机制所涉及的活动 五项 不可否认机制所涉及的活动 五项 1 不可否认的请求 服务请求者是最重要的角色 不可否认的请求 服务请求者是最重要的角色 通信的一方或多方必须在信息的产生和送递之前同意使用不可否认机制服务 并生成必要 的记录 2 记录的生成 争议时能够充当证据 记录的生成 争议时能够充当证据 保存某次通信中生成或接收的数据 3 记录的分发 记录的分发 让最终可能需要使用的一方