PKI技术课后复习题_讲解课件

1、PKI技术 课后复习题 讲解2选择题(1)关于CA，下面说法那些是正确的（AC）nA、CA负责签发订户的数字证书nB、CA没有自己的数字证书nC、CA是PKI的核心部件nD、CA和CA之间不能相互认证、相互签发证书3选择题(2)CA交叉认证的结果是(B)nA、产生订户证书nB、产生交叉证书nC、产生CRLnD、产生OCSP4选择题(3)哪些证书的序列号应该出现在CRL上(D)nA、有效期内的正常证书nB、过期的证书nC、尚未生效的证书nD、相应私钥泄漏的、有效期内的CA证书5选择题(4)nIETF PKIX的模型中，包括了如下的部件（ABCDEF）nA、终端实体nB、CAnC、RAnD、CRL

2、 IssuernE、资料库nF、PKI User6选择题(5)n资料库的形式可以是（ABCDEFG）nA、HTTPnB、FTPnC、电子邮件nD、OCSPnE、X.500nF、LDAPnG、关系数据库7选择题(6)nPKI中，哪个部件负责审核订户提交信息的真实性（D）nA、CA -签发证书、CRLnB、OCSP-在线证书状态查询nC、End Entity-PKI SubscribernD、RA-审核订户提交信息nE、密钥管理机构-管理密钥（生成、保存）8选择题(7)n在PKI中，以下哪些信息是可以公开的（ABCDEG）nA、最新的CRLnB、过期的订户证书nC、CA的公钥nD、订户的公钥nE、

3、签发证书时，所用的HASH算法nF、订户私钥nG、交叉证书9选择题(8)nX.500目录中，Entry是以 方式组织的(BD)A.二叉树B.有结构的C.网状D.树状10选择题(9)nOID可以用来表示如下(ABCDEFG)A .人类B. 公钥密码算法C. 对称密码算法D. RSA算法E. 课程PKI技术F. 数字证书G. 证书策略nOID用来表示OBJECT，任意的事物：抽象的事物，或者具体的事物11选择题(10)n以下哪些是ASN.1中的基本数据类型(ACDEG)nINTEGERnOPTIONALnOBJECT IDENTIFIERnOCTET STRINGnBIT STRINGnDEFAU

4、LTnBOOLEANOPTIONAL, DEFAULT：关键字12选择题(11)n数字证书中，签发者Issuer和主体Subject是以(BD)方式来表示的nIP地址nRDNSequencenEmail地址A.X.500 DN13选择题(12)n完整的PKI系统，可包括了如下组件(ABCDE)nCAnRAnRepository（中文：资料库）nCRL IssuerA.OCSP服务器14选择题(13)n对于X.500 DN，应该使用ASN.1中的(D)来表示A. SETB. SET OFC. SEQUENCE OF SEQUENCED.SEQUENCE OF SET OFE. SEQUENCE

5、OFF. OCTET STRING15选择题(14)nASN.1有如下的编码规则(BCD)nAERnBERBasic Encoding RulesnCERCanonical Encoding RulesnDERDistinguished Encoding Rules16选择题(15)n在Issuer Alternative Name中，可以包括(ABDE)nCA的EmailnCA的网站n订户的Email -Subject Alternative NamenCA的营业执照号码A.CA的IP地址17选择题(16)n命名限制Name Constraints扩展同时对证书的(BC)对起作用nIssue

6、rnSubjectnSubject Alternative NamenIssuer Alternative Name18选择题(17)nX.500目录中，Attribute Type是用(A)表示的nOBJECT IDENTIFIERnINTEGERnBIT STRINGnASCII19选择题(18)n在CRL中，每个Entry表示了(A)个被撤销的证书n1个n单证书PKI系统是1个、双证书PKI系统是2个n任意个A.个数由CA在扩展中确定20选择题(19)n如果证书中有Private Key Usage Period扩展，其Key Usage扩展必须包括(B)用法ndataEncipherm

7、entndigitalSignaturenencipherOnlynkeyAgreementnPrivate Key Usage Period扩展是因为数字签名的特殊性提出的A.一次签名、永远验证21选择题(20)n对于订户证书X，如何获取其所对应CRL的方法（也就是CRL Distribution Point扩展的信息），应该出现在(A)n订户证书X中n其所对应的CA证书中n其所对应的根CA证书中A.订户证书X的Issuer Alternative Name扩展中22选择题(21)n证书策略CP在证书中的表现形式是(A)A. OID B. 时间段C. URLD. X.500 DNE. 密码算

8、法F.CPS内容n在证书中，仅仅是列出了CP的OIDn还可以给出相应CPS的URL（可选的）23判断题(1)nIETF PKIX的PKI的标准和ITU-T X.509标准是截然不同、互不兼容的。 N。IETF PKIX将X.509定义的PKI用于Internetn订户要将自己的公钥和私钥都同时交给CA，CA才能签发数字证书。 N。公钥提交给CA，私钥自己保存。nCA使用ECC签名算法给订户签发了一张含有RSA算法公钥的证书。 Y。CA签名算法与订户公钥算法无关。24判断题(2)n订户证书对应的密钥对，只能由订户自己来生成。N。用户自己，或第三方权威机构(KMC, CA)都可以。n按证书Subj

9、ect的不同，可以将数字证书分为2种：CA证书、订户证书。Y.n证书策略CP说明了证书签发的详细流程。N。CP说明了证书安全使用等级（范围），CPS说明了为了达到相应的CP，有什么样的措施和要求25判断题(3)n证书认证路径Certification Path的多个证书中，最多包含了1个订户证书。Y。Certification Path：从Root CA证书到End Entity证书（或CA证书）。n按照目前的计算机处理能力，256 bit的RSA算法密钥是安全的。N。 512 bit、768 bit的RSA的密钥的安全性已经不能满足要求。按照RSA公司的估计：1024 bit的RSA密钥的可

10、以使用至2014年n按照目前的计算机处理能力，128 bit的IDEA算法密钥是安全的。Y。26判断题(4)nCA必须保持24小时在线服务，PKI才可能提供非否认服务。N。非否认性服务，需要公钥验证签名，从资料库获取证书。nCA必须公开自己的公钥，用户才能验证其他订户证书的真伪。Y。n一个实体A信任另一个实体B是指，A认为B的行为恰如A所预期的。Y。27判断题(5)n证书需要签发者进行数字签名，CRL不需要签发者进行数字签名。N。CRL也需要通过数字签名保证真实性和完整性。n检查证书撤销状态时，要同时进行OCSP和CRL检查，才是足够安全的。N。只需要其中一个。OCSP相当于帮助用户查询CRL

11、。nIE浏览器不支持PKI。N。支持。28判断题(6)n根据中华人民共和国电子签名法基于PKI的数字签名是唯一合法有效的电子签名。N。n在X.500目录中，每个Entry都至少应该属于1种Object Class。Y。Object Class说明了Entry可具有的Attribute，每个Entry都至少应该属于1种Object Classn“Object Class”是X.500目录中的Entry应该具有的一种Attribute。Y。“Object Class”也是Entry的属性，说明了它属于哪几种Object ClassnX.500目录中，Attribute Type是用OID表示的，A

12、ttribute Value也可以是OID。Y。例如，有个节点表示了中国科学院CA，那么，它就有属性“使用算法”，其Attribute Value就可以是OID29判断题(7)nRA一定要有自己的证书，才可以搭建PKI系统。N。如果RA没有自己的证书，可以使用其他的方式来保护CA和RA之间的通信安全，照样可以搭建PKI系统。nCRL Issuer可以同时签发完全CRL和增量CRL。Y。n间接CRL就必须支持CRL Entry扩展Certificate Issuer。Y。CRL里对于每个被撤销的证书，仅有其序列号和撤销时间。只有“签发者+序列号”才能唯一标识一张证书，因而间接CRL中需要有被撤销

13、证书Issuer信息。30简答题(1)n简述一下PKI用户（PKI User）和PKI订户（PKI Subscriber）的不同。PKI Subscriber:有自己的证书和密钥对PKI User：使用证书。自己可能没有证书。31简答题(2)nAlice有1个证书，专门用于进行数字签名（在证书扩展中标明）。Alice不慎将该证书相应的私钥销毁了，Alice决定推迟数天再进行证书撤销，是否会有问题？如果是专门用于密钥协商的证书呢？n用于签名的可以。以前的签名照样可以验证，其他人不能假冒签名。n用于密钥协商的有问题。导致密钥协商进行不了。32简答题(3)n有个CA，在其系统运行的初始阶段，其所签发

14、的所有证书都没有出现问题（也就是，都不需要撤销），这时候，有没有必要签发CRL？为什么？n需要n即使是所有的证书都没有问题，也应该明确地告诉所有的PKI用户n没有被撤销的证书33简答题(4)4. 证书策略（Certificate Policies）扩展出现在订户证书和CA中，分别表示了什么意义？nCA证书：该CA所能够签发的订户证书级别n订户证书：订户证书的安全级别和使用范围34简答题(5)5.在Authority Key Identifier证书扩展中，可以有2种形式：（1）Key Identifier、（2）Authority Cert Issuer和Authority Cert Seri

15、al Number。但是，在Subject Key Identifier证书扩展中，却只有1种形式：Key Identifier。请说明其中的理由。n对于Authority Key Identifier，用形式（2）是有意义的。它通过CA证书的签发者+序列号，来区分CA用自己的哪一个证书来签发了该证书。如下图。35Authority Cert Issuer+Authority Cert Serial Number唯一的标识了CA证书36n对于Subject Key Identifier，用形式（2）是多余的。该扩展用来标识Subject的各个证书（对应的公私钥对）。证书中的Issuer和Ser

16、ial Number就已经可以区分主体的各个证书了，相当于Authority Key Identifier扩展之中的authority Cert Issuer和authority Cert Serial Number。所以没必要。37简答题(6)6.请使用ASN.1语法来描述“PKI技术课程”，至少应该包括：课程名称、课程编号、教师、学生等。PKILesson := SEQUENCE nameUTF8String, teacher UTF8String, studentsStudents, lessonTimeLessonTime, classroomUTF8StringStudents :=

17、 SET OF StudentStudent := SEQUENCE nameUTF8String,numberUTF8StringLessonTime := SET OF UTCTime38简答题(7)7.为什么CA也要有自己的数字证书？如果PKI系统只包括了CA，没有RA等组件，能否为PKI User提供安全服务？为什么？n因为CA发布订户的公钥，也有数据完整性、非否认、真实性的安全要求n如果只是CA，也是可以的，就是任务太集中39简答题(8)8. 整数0 x7的DER编码是什么？长度为0 x237字节的字节串，其DER编码中的Length域如何表示n02 01 07n82 02 3740

18、简答题(9)9. 任意列出你所知道的8种标准证书扩展（必须注明英文名称，中文名称可以不要）。nAuthority/ Subject Key IdentifiernKey Usage、Private Key Usage PeriodnCertificate Policies、Policy MappingsnIssuer/Subject Alternative NamenSubject Directory Attributes、Basic ConstraintsnName Constraints、Policy ConstraintsnExtended Key Usage、CRL Distribut

19、ion PointsnInhibit Any-Policy、Freshest CRL41简答题(10)10. 短周期证书的密钥出了问题，订户是否要向RA请求撤销？为什么？n订户需要向RA请求撤销，向RA说明该证书的密钥有问题。n如果不请求撤销，CA会继续签新的证书（但是，密钥不变）n请求撤销后， CA也会继续签证书（密钥变化了）42简答题(11)11. 为什么在X.500目录中，Alias节点必然是Leaf节点？n对于Alias节点的操作，会转到对真实节点的操作，所以，“增加下级节点”操作，对于Alias节点是没有意义的，不可能有下级节点n因为有Alias Dereferencing，如果有，其下面的节点也永远不可能被查询到43简答题(12)12. X.500目录中，节点的DN是如何得到的？为什么DSA Information Tree必然是从Root开始的？n从Root开始，各RDN顺序排列而成nDSA Information Tree如果不是从Root开始，就不知道节点的DN44简答题(13)13. 用图描述，在X.500目录中，Entry、Attribute、Attribute Type、Attribute Value的相互关系。nEntry多个AttributenAttr