密码学习题集参考答案

1.请举例说明什么是保密原则？诚信原则？认证原则？不可否认原则？访问控制原则？可用性原则？为了实现这六个安全原则，主要使用哪些加密技术？回答：(1)保密原则意味着未经授权，不得获取或使用信息。只有发送者和接收者可以访问信息内容，信息不能被截取。(2)完整性原则是指信息在传输过程中不能被擅自修改，即不能被意外或故意修改、删除或插入，即不能被篡改的特性；(3)认证原则是指信息需要明确的身份证明，通过认证过程确保信息的正确来源，并与信息接收者建立信任关系。缺乏认证机制可能导致伪造。(4)不可否认原则意味着信息的发送者不能否认已经发送的信息。(5)访问控制原则是指定和控制用户可以访问哪些信息以及他们可以进行哪些操作，通常包括角色管理和规则管理；(6)可用性原则是指信息能够被授权实体访问并按照要求使用，不会因中断等攻击而停止服务或降低服务标准的特性。信息的保密性可以通过信息加密、信息隐藏、信息夹带等手段来实现。信息的完整性可以通过特定的安全协议、信息摘要、密码校验和等来实现。信息的认证可以通过密码认证、认证令牌、数字证书、消息认证码、公钥算法等手段来实现。信息的完整性和不可否认性可以通过数字签名来实现，访问控制和可用性原则可以通过用户角色认证、防火墙、入侵检测系统等来实现。2.常见病毒、蠕虫和特洛伊木马的主要区别是什么？回答：病毒可以将自己的代码嵌入其他合法程序，对计算机系统或网络造成损害；蠕虫通常不会篡改程序，而是不断地自我复制，这最终会导致计算机资源或网络的大量消耗，从而使它们变得不可用。蠕虫不会执行任何破坏性操作，只会耗尽系统，导致系统停滞不前。特洛伊木马和病毒一样隐蔽，但通常不会像病毒和蠕虫一样自我复制。它们的主要目的是为入侵者获取某些用户的机密信息。简而言之，病毒破坏你的信息，特洛伊木马窃取你的信息，蠕虫攻击系统和网络服务能力。3.什么是密码技术？替换加密和替换加密有什么区别？请分别给出替换加密和替换加密的示例。回答：密码学是加密和解密技术的结合。加密是将信息从可读明文转换为不可读密文以获得信息安全性的过程，解密是通过信息解码将信息从不可读密文转换为可读明文的过程。替换加密方法是用另一个字符、数字或符号替换明文消息的字符。例如，凯撒加密方法是用三个向前的字母来替换每个字母，例如A用X，B用Y，C用Z，D用A，E用B，等等。置换加密方法不同于置换加密方法。明文字母不是简单地用其他字母或字母块替换字母或字母块，而是以某种方式进行替换和组合，例如屏障加密技术。简单对角序列用于明文消息，即奇数序列字母写在第1行，偶数序列字母写在第2行，然后逐行生成密文。例如，这里的密文是Cmhroeee。4.机密通信中混淆和扩散的区别是什么？请举出两个加密算法的例子来说明它们使用混淆和扩散技术。回答：混淆是为了确保明文线索不会反映在密文中，并防止密码学家从密文中发现模式，从而找到相应的明文。扩散是通过扩展行和列来增强明文的冗余例如，DES算法在S盒替换步骤中使用混淆技术，将6位中间密文分别合并为行和列号，然后在S盒中找到对应于行和列的4位密文来完成替换过程。在P盒替换中，使用扩展技术，并且根据P表中指定的替换规则改变输入的32位中间密文的位置。IDE算法使用向左循环移位25位的密钥移位技术来生成第二轮和后续子密钥，这是典型的扩展技术，而它使用多轮输入明文和密钥乘法、加法、模运算和异或运算来执行替换操作，这是典型的混淆技术。5.请举例说明什么是流加密和块(或包)加密？回答：流加密用于一次加密一位或一个字节的明文，解密也是逐位进行的。例如，RC4是一种流加密方法，它的加密是逐字节进行的。块加密是一次加密一个明文文本块。例如，DES是一种块加密方法，它加密每个块大小的64位数据，即每次使用64位(8字节)明文作为DES算法的输入，以获得64位输出。流加密只能使用混淆，而块加密可以使用混淆或扩散。6.中间人攻击的概念是什么？本文试图用Diffie-Hellman密钥交换协议/算法来分析公钥交换过程中可能出现的中间人攻击，并要求用一个例子来说明中间人攻击的整个过程。答：P158中间人攻击的思想是在一端加密，在另一端解密，在中间匹配结果，即甲方模拟乙方，乙方模拟甲方，这样甲乙双方都可以认为他们在相互通信，实际上是在与中间人通信。假设发送方A、接收方B和中间攻击者C的公钥分别为5、7和11，当采用Diffie-Hellman密钥交换协议时，中间人攻击过程如下：(1)甲向乙发送消息，通知乙自己的公钥为5，并请求乙的公钥；(2)攻击者C截取A的消息，将A的消息中的5改变为其自己的公钥11，然后将该消息转发给B；(3) B回复A的消息并发出它自己的公钥7；(4) C截取B的消息，然后公钥变成11，然后将消息转发给A；(5)甲认为乙的公钥是11，所以用11加密并向乙发送消息；(6) C截取消息，用它自己的密钥解密它，读取或修改它，用B的密钥7重新加密它，并把它发送给B；(7) B接收消息，用自己的私钥解密，并回答说它使用11作为A的公钥进行加密，这实际上是C的公钥；(8) C截取消息，用自己的私钥解密，在读取或修改后用A的公钥5重新加密，然后发送给A；(9) A用私钥解密后得到由C读取或处理的消息。6.尝试分析对称和非对称密钥加密系统之间的主要区别。假设A是发送者，B是接收者，他们想进行安全通信，请使用对称和非对称密钥加密系统的组合来给出一个有效的安全方案。答：参见P128。对称加密使用相同的密钥进行加密和解密，而非对称加密使用不同的密钥进行加密和解密，公开公钥并保留私钥。对称加密速度更快，加密后的密文长度小于或等于明文，但密钥交换成为通信安全问题，两者之间的密钥数量会随着通信参与者数量的增加而按照平方级数增加。然而，非对称加密速度较慢，而且获得的密文长度大于明文长度。然而，更好地解决了要交换的密钥数量的可伸缩性问题。要交换的密钥数量等于通信参与者的数量，这不会随着通信参与者数量的增加而变得不可控制，并且密钥交换相对容易。对称密钥加密和非对称密钥都可用于信息的机密性，但只有非对称密钥可用于数字签名，以确保信息的完整性和不可否认性。利用数字包络技术，对称和非对称密钥的优点(1)信息发送者A，即通信前的教师，形成一次性密钥(K1)，并使用对称加密方法(例如DES)加密明文PT，以形成密文CT1；一次性密钥仅在一次通信的生命周期内有效，之后会被丢弃。(2)然后A用B的公钥(K2)对一次性密钥(K1)进行非对称加密，形成加密密钥包密文CT2；(3) A将CT1和CT2以及所使用的算法类型封装在一起，并在所谓的数字信封中将它们一起发送给B。(4)在数字信封到达B之后，B使用其私钥(K3)解密信封中的CT2(密钥封装的密文)以获得密钥K1；(5) B然后使用密钥K1用对称密钥解密密文CT1以获得明文信息pt。在这个过程中，只有长度较短的密钥K1被不对称地加密和解密，而长度较长的明文PT被对称地加密和解密，从而节省了大量的计算资源和网络带宽资源，达到了更好的安全和通信性能效果。(想法是不对称地加密共享密钥，然后对称地加密通信内容)7.RSA的真正关键是什么？为什么SHA比MD5更安全？回答：P125-127，P144-146RSA的关键在于选择合适的密钥，因为RSA主要基于这样一个数学事实，即两个大素数容易相乘，但很难根据乘积找到因子。RSA中的私钥和公钥基于大素数(超过100位)。与对称密钥相比，该算法本身相对简单，但实际困难在于私钥和公钥是由RSA选择和生成的。MD5和SHA都是从MD4发展而来的。它们有许多相似之处，但SHA比MD5更安全。因为.(1)SHA生成的摘要长度大于MD5，MD5为128位，SHA至少为160位(SHA-1)；(2)对于强制攻击，很难生成任何消息来使其摘要等于给定的消息摘要：MD5是2的128阶的运算，SHA-1是2的160阶的运算。(3)生成具有相同摘要的两条消息的困难：MD5是64/2的运算，而SHA-1是80/2的运算。因此，SHA-1对武力攻击更具侵略性。(4)因为SHA-1比MD5 (80333664)有更多的循环步骤，并且有更大的缓存要处理(160位3336128位)，所以SHA-1比MD5运行得慢。事实上，已经有一些针对MD5的攻击，但是针对SHA的攻击仍然相对较少，这也表明从实用的角度来看，SHA更安全。8.什么是公钥基础设施？请用你自己的语言解释这个缩写的意思。试举一个应用公钥基础设施技术的案例进行分析。回答：公钥基础设施是一个公钥基础设施，它是一个遵循既定标准的密钥管理平台。它可以为所有网络应用提供加密和数字签名等加密服务以及必要的密钥和证书管理系统。简而言之，公钥基础设施是一种基于公钥理论和技术提供安全服务的基础设施。公钥基础设施技术是信息安全技术的核心，也是电子商务的关键和基础技术。在公钥加密技术的基础上，实现了向公钥基础设施系统成员提供的所有必要的硬件、软件、人力资源、相关政策和操作程序以及所有用于证书生成、管理、存储、发布和撤销的安全服务。为了透明地解决网上商业交易的安全问题，必须在两个实体通信之前建立SSL连接，从而实现到应用层的透明和安全的通信。利用公钥基础设施技术，SSL协议允许浏览器和服务器之间的加密通信。此外，当服务器和浏览器通信时，双方可以通过数字证书确认对方的身份。PKI技术将SSL协议和数字证书相结合，可以保证网络交易各个方面的安全需求，使得网络交易和面对面交易一样安全。(/s/blog_09ojn.html)9.给出三种最常用的身份验证类型及其示例。回答：10.什么是安全套接层协议？它的主要功能是什么？回答：SSL协议位于TCP/IP协议和各种应用层协议之间，为数据通信提供安全支持。SSL协议可分为两层：SSL记录协议(SSL Record Protocol):它基于可靠的传输协议(如TCP)，并为高级协议提供数据封装、压缩和加密等基本功能支持。SSL握手协议(SSL Handshake Protocol):它建立在SSL记录协议之上，用于身份验证、加密算法协商、加密密钥交换等。在实际数据传输开始之前，在通信方之间。12.什么是PGP协议？它的主要功能是什么？请解释PGP的钥匙圈概念。答：P246，248PGP是一种基于公钥加密系统的邮件安全传输协议，包括数字签名、压缩、加密、数字信封和Base64编码。它可以用来为邮件保密，以防止未经授权的人阅读它。它还可以给邮件添加数字签名，以便收件人可以确认邮件的发件人，并可以确保邮件没有被篡改。PGP规定用户使用两组密钥环，一组密钥环维护他们自己的公钥和私钥；一组密钥环，用于维护其他PGP用户的公钥。当用户发送信息时，他们在公钥-私钥环中用自己的私钥进行加密和数字签名，然后创建一个一次性对称密钥，然后用其他接收用户的公钥对该一次性密钥进行加密；然后用一次性密钥对邮件内容和数字签名进行加密，然后将加密后的一次性密钥、邮件内容和数字签名发送给对方；另一方收到信息后，首先用自己的私钥解密一次性密钥，然后用获得的一次性密钥解密数字签名和邮件内容，并用发送方的公钥解密和验证数据签名。13.你认为Linux比Windows安全吗？为什么对操作系统有不安全的威胁？/link?URL=mf0vhlz8 czkQbfd _ rlvakuayvz4jk 7 qfk0tj4zrcfz _ imahjg9 kvi-imwqynfnza0 MMR 7t 4-uts5hfet 1 zlta-llmtbabam6nhvcpewu14.为什么对数据库有不安全的威胁？这个问题很难回答。我在网上找到了一些信息。请参见下面的链接。)数据库作为组织信息的集中存储中心，会引起入侵者更多的兴趣。从源头上看，数据库安全漏洞包括人为管理、开发或使用漏洞、数据库设计缺陷、默认安装漏洞、数据库产品缺陷等因素。黑客可以使用浏览器/服务器应用程序和网络服务器作为跳板，从数据库中窃取数据。例如，SQL注入是一种典型的数据库黑客攻击方法，因为在大多数情况下，应用程序可以在使用登录用户密码登录后继续使用用户权限，即终端应用程序看不到身份验证。此外，数据泄漏经常发生在内部，大量操作和维护人员直接接触到敏感数据。传统的基于预防的网络安全解决方案已经不再适用。内部人员错误：/link?URL=4po 2 uanj-1 _ Wipwsahn _ ah-VGsdpq5xVv 7-4e 8 nya 92 w8 jdjj7 fod 01 c 6 jkwjnhcirz _ 7 zaux7