2026年商用密码应用实务考试试题及答案

2026年商用密码应用实务考试试题及答案一、单项选择题（每题1.5分，共30分）1.《中华人民共和国密码法》正式施行的日期是（）。A.2019年10月26日B.2020年1月1日C.2020年7月1日D.2021年1月1日答案B解析《中华人民共和国密码法》于2019年10月26日由第十三届全国人民代表大会常务委员会第十四次会议通过，自2020年1月1日起施行。2.根据《商用密码管理条例》，商用密码的科研、生产、销售、服务、进出口等活动适用（）管理。A.分类分级B.统一归口C.行业自律D.属地负责答案A解析《商用密码管理条例》规定，国家鼓励商用密码技术的研究开发和应用，对商用密码实行分类分级管理。3.我国商用密码算法体系中，SM2算法属于（）。A.对称密码算法B.非对称密码算法C.哈希算法D.序列密码算法答案B解析SM2是基于椭圆曲线密码体制（ECC）的公钥密码算法，用于数字签名、密钥交换和公钥加密，属于非对称密码算法。4.SM4算法的分组长度和密钥长度分别为（）。A.64比特、128比特B.128比特、128比特C.128比特、256比特D.256比特、256比特答案B解析SM4分组密码算法的分组长度和密钥长度均为128比特，轮数为32轮。5.SM3密码杂凑算法的输出摘要长度为（）。A.128比特B.160比特C.256比特D.512比特答案C解析SM3算法是我国自主设计的密码杂凑算法，对输入消息经过填充、迭代压缩后输出长度为256比特的杂凑值。6.在密评（商用密码应用安全性评估）中，信息系统使用密码技术实现实体身份的真实性鉴别，该测评点属于（）。A.物理和环境安全B.网络和通信安全C.设备和计算安全D.应用和数据安全答案C解析设备和计算安全层面涉及身份鉴别、远程管理通道安全、可信验证等测评点，实体身份真实性鉴别属于该层面。7.以下关于密码算法和密钥的说法，正确的是（）。A.密码算法的安全性完全依赖于算法的保密B.密钥越长，算法一定越安全C.密码算法的安全性应仅依赖于密钥的保密性D.对称密码和非对称密码使用相同的密钥管理方式答案C解析现代密码学遵循Kerckhoffs原则，即密码体制的安全性应仅依赖于密钥的保密，而不依赖于算法的保密。8.商用密码应用安全性评估中，"合规性"测评是指（）。A.密码算法是否满足性能要求B.密码技术应用是否符合GB/T39786等相关标准C.密码产品是否具有软件著作权D.密码管理人员是否持有从业资格证书答案B解析密评的"合规性"主要指密码应用的算法合规、技术合规和管理合规，即是否满足GB/T39786—2021《信息安全技术信息系统密码应用基本要求》等标准。9.在密钥全生命周期管理中，密钥销毁的正确做法是（）。A.直接删除密钥文件B.将密钥文件移动到回收站C.使用安全手段彻底清除密钥材料及其所有副本D.将密钥文件重命名后保留答案C解析密钥销毁应确保密钥材料无法被恢复，包括清除所有备份和副本。直接删除或移入回收站均可能残留可恢复数据。10.以下哪项属于密码模块的物理安全要求？（）A.密码算法符合国家密码管理局发布的算法标准B.密码模块具有防拆封、防侧信道攻击的防护机制C.密码模块具有完善的日志审计功能D.密码模块支持远程密钥备份答案B解析物理安全关注密码模块硬件层面的防护能力，包括防篡改、防侧信道攻击、安全封装等，确保密码模块物理边界内的安全。11.《信息安全技术信息系统密码应用基本要求》（GB/T39786—2021）将信息系统密码应用安全等级划分为（）。A.一级、二级、三级、四级B.一级、二级、三级C.基础级、增强级D.一般级、重要级、关键级答案B解析GB/T39786—2021将密码应用安全等级划分为一级、二级、三级三个级别，分别对应信息系统的不同安全保护等级。12.某政务信息系统通过VPN设备建立安全传输通道，采用IPSec协议实现数据机密性和完整性保护。该场景主要属于密评中（）层面的测评内容。A.物理和环境安全B.网络和通信安全C.设备和计算安全D.应用和数据安全答案B解析网络和通信安全层面要求对通信实体进行身份鉴别、保护通信数据机密性、完整性和抗抵赖性。VPN安全通道属于该层面的典型应用。13.关于密码产品的商用密码检测认证，下列说法正确的是（）。A.所有商用密码产品必须实行强制性认证B.商用密码产品检测认证采用自愿性认证与强制性认证相结合的方式C.只有国产密码产品需要检测认证D.密码产品的检测认证一次通过终身有效答案B解析根据《密码法》和《商用密码管理条例》，商用密码产品检测认证实行自愿性检测认证与强制性检测认证相结合的制度，列入网络关键设备和网络安全专用产品目录的产品实行强制性检测认证。14.数字签名技术主要提供以下哪种安全服务？（）A.机密性B.完整性、真实性和抗抵赖性C.可用性D.可控性答案B解析数字签名通过私钥签名、公钥验签的机制，能够提供数据完整性保护、签名者身份真实性验证和抗抵赖服务。15.在PKI体系中，负责签发和管理数字证书的机构是（）。A.RAB.KMCC.CAD.TSA答案C解析CA（CertificateAuthority，证书认证机构）是PKI体系的核心，负责数字证书的签发、更新、吊销等全生命周期管理。RA为注册机构，KMC为密钥管理中心，TSA为时间戳机构。16.以下关于SM9算法的描述，正确的是（）。A.SM9是基于RSA问题的标识密码算法B.SM9是基于椭圆曲线对的标识密码算法，用户的公钥可以从用户的标识中直接派生C.SM9是对称密码算法D.SM9仅支持数字签名，不支持密钥交换答案B解析SM9是我国自主设计的基于双线性对的标识密码算法，用户公钥可从身份证号、手机号等标识中直接派生，无需证书管理。SM9支持数字签名、密钥交换和密钥封装。17.密评工作中，评估机构出具的信息系统商用密码应用安全性评估报告有效期为（）。A.6个月B.1年C.2年D.3年答案C解析根据相关规定，商用密码应用安全性评估报告的有效期为两年。运营者应在评估报告到期前重新开展评估。18.在密码应用方案设计中，为保障信息系统数据存储的机密性，应优先采用（）。A.SM2公钥加密B.SM4对称加密C.SM3杂凑运算D.随机数发生器答案B解析数据存储加密通常数据量大、实时性要求高，对称密码算法在加解密效率上具有显著优势。SM4是国密对称分组密码算法，适用于存储数据加密。19.以下哪项不是密码应用安全性评估中"安全管理"层面的评估内容？（）A.密码管理制度B.密钥管理C.密码应用安全应急预案D.网络入侵检测答案D解析安全管理层面主要包括密码管理制度、密钥管理制度、安全应急处置等方面。网络入侵检测不属于密码应用安全管理的特定评估内容。20.根据《网络安全法》和《密码法》要求，关键信息基础设施运营者使用密码进行保护时，应当（）。A.自行选择任意密码算法B.使用商用密码进行保护并开展安全性评估C.仅向主管部门备案即可D.只需使用杀毒软件进行防护答案B解析《密码法》第二十七条规定，关键信息基础设施的运营者应当使用商用密码进行保护，并自行或者委托商用密码检测机构开展商用密码应用安全性评估。二、多项选择题（每题2分，共20分）1.下列属于我国商用密码算法标准的有（）。A.SM2B.SM3C.SM4D.AES答案ABC解析SM2、SM3、SM4均为国家密码管理局发布的商用密码算法标准。AES是国际高级加密标准，不属于我国商用密码算法体系。2.商用密码应用安全性评估的主要内容包括（）。A.密码算法合规性B.密码技术应用合规性C.密钥管理安全性D.密码产品性能测试答案ABC解析密评主要从密码算法合规性、密码技术应用合规性、密钥管理安全性和密码产品合规性四个方面进行综合评估。密码产品性能不属于密评的必评内容。3.信息系统密码应用基本要求（GB/T39786—2021）中，密码技术应用层面包括（）。A.物理和环境安全B.网络和通信安全C.设备和计算安全D.应用和数据安全答案ABCD解析GB/T39786—2021从物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全四个技术层面，以及管理制度、人员管理、建设运行、应急处置四个管理层面提出密码应用要求。4.以下属于密钥管理内容的有（）。A.密钥生成B.密钥分发C.密钥存储D.密钥备份与销毁答案ABCD解析密钥管理涵盖密钥的全生命周期，包括生成、分发、存储、使用、更新、备份、归档、销毁等环节。5.数字证书中通常包含以下哪些信息？（）A.证书持有者的公钥B.证书持有者的私钥C.证书颁发机构的数字签名D.证书有效期答案ACD解析数字证书包含持有者公钥、CA的数字签名、证书有效期、证书序列号、持有者标识等信息。私钥由持有者自行保管，绝不包含在证书中。6.以下关于SM2算法和RSA算法的比较，正确的有（）。A.SM2基于椭圆曲线离散对数问题，RSA基于大整数分解问题B.在相同安全强度下，SM2密钥长度短于RSAC.SM2加解密速度一定快于RSAD.SM2和RSA都是公钥密码算法答案ABD解析SM2基于椭圆曲线离散对数问题，RSA基于大整数分解问题，二者均为公钥密码算法。相同安全强度下，SM2的密钥长度（256比特）远短于RSA（3072比特）。加解密速度受具体实现、硬件环境等因素影响，不能简单断言SM2一定快于RSA。7.在密评中，发现以下哪些情况可判定为"不符合"？（）A.系统使用MD5算法进行口令存储B.密钥以明文形式存储在数据库中C.使用经过国家密码管理局认证的密码机D.密码管理员与系统管理员为同一人且无补偿措施答案ABD解析MD5已被证明不具备抗碰撞性，不适合用于口令存储；密钥明文存储严重违反密钥管理安全要求；密码管理员与系统管理员未分离且无补偿措施不符合管理要求。使用认证密码机是合规行为。8.以下属于密码应用方案设计原则的有（）。A.合规性原则B.安全性原则C.可靠性原则D.经济性原则答案ABCD解析密码应用方案设计应遵循合规性、安全性、可靠性、经济性等原则，在满足安全合规要求的前提下兼顾系统性能和建设成本。9.关于密码基础设施，以下属于典型密码基础设施的有（）。A.数字证书认证系统（CA）B.密钥管理系统（KMC）C.时间戳系统（TSA）D.入侵检测系统（IDS）答案ABC解析典型的密码基础设施包括CA认证系统、密钥管理系统、时间戳系统、电子签章系统等。入侵检测系统属于网络安全设备，不属于密码基础设施。10.下列场景中，需要使用密码技术实现"抗抵赖"的有（）。A.电子合同签署B.网上银行转账交易C.电子邮件内容加密存储D.电子政务公文流转答案ABD解析电子合同、金融交易、政务公文等场景要求参与方无法否认其行为，需要数字签名等密码技术提供抗抵赖服务。电子邮件加密存储主要解决机密性问题，不涉及抗抵赖。三、判断题（每题1分，共10分）1.《密码法》所称密码，是指使用特定变换对信息等进行加密保护或安全认证的产品、技术和服务。答案正确2.SM4算法是序列密码算法。答案错误解析SM4是分组密码算法，分组长度和密钥长度均为128比特。3.商用密码应用安全性评估中，一级系统要求最高，四级系统要求最低。答案错误解析GB/T39786—2021中密码应用安全等级分为一级、二级、三级，级别越高要求越严格，不存在四级。三级要求最高。4.只要使用了密码技术，信息系统的密码应用就一定是安全的。答案错误解析密码应用的安全性取决于算法合规性、技术应用正确性、密钥管理安全性等多方面因素。算法使用不当、密钥管理不善等都会导致安全隐患。5.数字信封技术结合了对称密码和非对称密码的优点。答案正确解析数字信封使用对称密钥加密数据，再使用接收方公钥加密对称密钥，兼顾了对称密码的高效性和非对称密码的密钥管理优势。6.商用密码产品必须全部实行强制性检测认证。答案错误解析商用密码产品实行自愿性检测认证与强制性检测认证相结合的管理方式，列入网络关键设备和网络安全专用产品目录的产品实行强制性检测认证。7.哈希函数的输入长度可变，输出长度固定。答案正确解析哈希函数接受任意长度的输入，产生固定长度的杂凑值，如SM3算法输出固定256比特。8.在密码应用中，随机数质量的好坏不影响密码系统的安全性。答案错误解析随机数在密钥生成、初始化向量、挑战应答等环节中起关键作用。弱随机数可能导致密钥可预测，严重威胁密码系统安全。9.云环境中，租户可以完全依赖云服务商来管理自己的密钥，无需任何自主控制措施。答案错误解析云环境中密钥管理应遵循"租户密钥自主可控"原则，重要密钥应由租户自行管理或使用专属密钥管理服务，避免密钥泄露风险。10.商用密码应用安全性评估中，对于第三级系统，要求采用密码技术保护通信过程中数据完整性的比例不低于99%。答案正确解析GB/T39786—2021对第三级系统提出了更高要求，通信过程中数据完整性的密码保护比例要求不低于99%。四、简答题（每题5分，共20分）1.简述商用密码应用安全性评估的基本流程。答案(1)评估准备：确定评估对象和评估范围，收集系统基本信息、密码应用方案、网络拓扑等资料；(2)方案编制：根据系统等级和保护要求编制评估实施方案，明确评估依据、评估指标和评估方法；(3)现场评估：通过访谈、文档审查、配置检查、实地查看和工具检测等方式，对密码算法合规性、密码技术应用、密钥管理和安全管理等进行逐项测评；(4)分析与判定：对测评结果进行汇总分析，对照标准要求判定各测评项的符合情况，形成评估结论；(5)报告编制：编制商用密码应用安全性评估报告，提出整改建议，并按规定报送主管部门。2.简述密钥管理应遵循的基本原则。答案(1)密钥全生命周期管理原则：对密钥的生成、分发、存储、使用、更新、备份、归档和销毁的全过程进行管理；(2)密钥分级分类管理原则：根据密钥的用途和安全等级进行分类，采用不同的管理和保护措施；(3)最小权限原则：密钥的使用权限应严格限定在最小必要范围，不同角色使用不同密钥；(4)密钥与数据分离存储原则：密钥材料不应与加密数据一同存储，应使用密码设备或专用安全介质保护；(5)密钥备份与恢复原则：重要密钥应建立备份和恢复机制，备份密钥与在用密钥同等级保护；(6)密钥销毁安全原则：密钥销毁应确保密钥材料不可恢复，并记录销毁过程。3.简述GB/T39786—2021中"应用和数据安全"层面的主要密码应用要求。答案(1)身份鉴别：采用密码技术对应用系统用户进行身份鉴别，保证用户身份的真实性；(2)数据机密性：采用密码技术保护应用系统的重要数据在传输和存储过程中的机密性；(3)数据完整性：采用密码技术保护重要数据在传输和存储过程中的完整性，防止数据被篡改；(4)抗抵赖：采用密码技术实现原发抗抵赖和接收抗抵赖，为安全事件追溯和责任认定提供依据；(5)数据脱敏：在涉及个人信息等敏感数据时，采用密码技术进行脱敏处理。4.简述密码应用安全性评估中"高风险判定"的常见情形（列举至少三种）。答案(1)使用未经国家密码管理部门认可的密码算法或密码产品，如使用MD5、SHA-1等不安全算法处理敏感数据；(2)系统重要数据的传输或存储未采用密码技术保护，或保护比例未达到相应等级要求；(3)密钥管理存在严重安全隐患，如密钥明文存储、密钥未定期更换、密钥管理权限过度集中等；(4)密码产品未通过商用密码检测认证，或使用的密码产品存在已知安全漏洞；(5)采用密码技术进行身份鉴别时，口令等认证信息未使用密码技术进行保护，存在暴力破解或重放攻击风险。五、案例分析题（每题10分，共20分）1.某政务信息系统按照等级保护第三级要求建设，已通过密评。在近期检查中发现以下现象：（1）该系统的Web应用防火墙日志显示，曾有攻击者尝试使用暴力破解方式登录系统后台，但均未成功；（2）系统运维人员为方便维护，将密码机管理口令设置为"123456"，并张贴在机房服务器机柜上；（3）系统数据库中的用户口令字段使用SHA-1算法进行杂凑存储；（4）系统管理员在2025年3月对核心业务数据进行了全量备份，备份数据以明文形式存储在备份服务器上。请回答：（1）以上现象中，哪些存在密码应用安全隐患？请逐一分析。（2）针对发现的问题，提出整改建议。答案：（1）安全隐患分析：①现象（2）存在严重安全隐患。密码机管理口令属于密码设备的关键凭证，设置为弱口令"123456"且张贴在机柜上，极易导致密码机被非法控制，密钥材料面临泄露风险，违反密钥管理和密码设备安全管理的相关要求。②现象（3）存在安全隐患。SHA-1算法已被证明存在碰撞攻击，不再适用于口令存储。口令应使用SM3等安全杂凑算法加盐存储，或采用专门的密码算法进行保护。③现象（4）存在安全隐患。核心业务数据备份属于重要数据，以明文形式存储，一旦备份介质丢失或被窃取，将直接导致数据机密性丧失。备份数据应采用SM4等密码算法进行加密存储。④现象（1）不存在安全隐患。暴力破解尝试未成功，说明系统的身份鉴别机制（如登录失败锁定、验证码、密码复杂度策略等）发挥了有效作用，密码保护措施有效。（2）整改建议：①立即修改密码机管理口令，设置为符合复杂度要求的强口令，并由专人保管，落实"一人一密"和定期更换制度；②使用SM3杂凑算法（加盐）替代SHA-1对用户口令进行存储，并同步更新口令校验逻辑；③对备份数据采用SM4算法进行加密存储，备份密钥与备份数据分离保存，并定期开展备份恢复演练；④完善密码安全管理制度，加强运维人员安全意识培训，定期开展密码应用安全自查。解析：本题综合考查密码应用安全中身份鉴别、口令存储、数据机密性保护和密钥管理的综合运用能力。弱口令和明文备份属于典型的"高风险"问题，SHA-1存储口令不符合密码应用安全标准。2.某大型企业建设了一套面向员工的统一身份认证平台，计划采用密码技术实现员工登录认证和业务数据保护。该平台涉及的核心数据包括员工个人信息、薪