PKI公钥基础设施期末考试试题（含详细答案）

PKI公钥基础设施期末考试试题（含详细答案）适用场景：网络安全、信息安全专业考核、企业安全运维笔试考试时长：90分钟满分：100分一、单项选择题（共15题，每题2分，共30分）1.PKI的中文全称是（）A.私钥基础设施B.公钥基础设施C.密钥管理系统D.数字签名体系2.PKI体系中，负责签发和管理数字证书的核心机构是（）A.RAB.CAC.CRLD.OCSP3.RA的主要作用是（）A.签发数字证书B.审核用户证书申请信息、提交CA处理C.撤销证书D.验证证书状态4.数字证书的标准格式是（）A.X.500B.X.509C.TCP/IPD.ISO270015.以下不属于PKI核心组件的是（）A.CA认证中心B.RA注册机构C.证书库D.防火墙6.CRL指的是（）A.在线证书状态查询协议B.证书吊销列表C.数字证书模板D.密钥备份列表7.用于实时查询数字证书有效性的协议是（）A.HTTPB.FTPC.OCSPD.SMTP8.非对称加密算法中，用于公开分发的密钥是（）A.私钥B.公钥C.会话密钥D.主密钥9.在PKI通信中，用户发送加密数据使用对方的（）A.公钥加密，私钥解密B.私钥加密，公钥解密C.公钥加密，公钥解密D.私钥加密，私钥解密10.数字签名的核心作用不包括（）A.身份认证B.防篡改C.防抵赖D.数据高速传输11.根CA在PKI层级架构中的特点是（）A.层级最低，直接对接用户B.整个信任体系的源头，自签名证书C.仅负责审核申请D.定期更新用户密钥12.以下哪种情况不需要吊销数字证书（）A.用户私钥泄露B.证书到期C.用户身份信息变更D.设备正常更换13.PKI体系中证书库的主要作用是（）A.存储、查询公开数字证书B.备份用户私钥C.记录登录日志D.存储加密密钥14.常见的PKI非对称加密算法是（）A.AESB.DESC.RSAD.MD515.证书有效期届满后，正确的处理方式是（）A.继续使用B.自动失效，需重新申请换证C.手动修改有效期D.由RA直接延期二、判断题（共10题，每题1分，共10分，对的打√，错的打×）1.PKI依靠对称加密算法实现身份认证和数据加密。（）2.CA可以直接签发证书，无需RA审核。（）3.数字证书可以公开传播，无需保密。（）4.用户私钥可以随意共享给团队内部人员使用。（）5.OCSP相比CRL，能够实现实时证书状态查询，时效性更高。（）6.根CA证书是整个PKI信任链的基础，安全性要求最高。（）7.数字签名可以保证数据的绝对保密性。（）8.证书吊销列表（CRL）是由RA机构生成并发布的。（）9.X.509证书中包含用户公钥、身份信息、CA签名信息。（）10.PKI可以实现数据加密、身份认证、防篡改、防抵赖的安全能力。（）三、简答题（共4题，每题8分，共32分）1.简述PKI的核心定义和主要功能。2.简述CA、RA的区别与协同工作流程。3.对比CRL和OCSP两种证书状态校验方式的优缺点。4.简述数字证书的工作原理及核心作用。四、综合应用题（共2题，每题14分，共28分）1.某企业部署内部PKI系统，用于员工办公设备、业务系统身份认证。某日员工电脑私钥疑似泄露，请结合PKI体系，说明完整的应急处置流程。2.结合非对称加密和数字签名原理，详细说明「A向B发送加密且签名的安全文件」的完整交互过程。参考答案及详细解析一、单项选择题答案及解析1.B解析：PKI（PublicKeyInfrastructure）即公钥基础设施，是基于公钥密码技术的安全基础设施。2.B解析：CA认证中心是PKI核心，负责证书签发、更新、吊销、签名管理。3.B解析：RA是注册机构，仅负责用户身份审核、证书申请受理，无证书签发权限。4.B解析：行业通用数字证书标准为X.509v3，是PKI证书的统一格式规范。5.D解析：PKI核心组件包含CA、RA、证书库、CRL/OCSP服务、密钥管理系统，防火墙属于网络安全设备，不属于PKI组件。6.B解析：CRL（CertificateRevocationList）为证书吊销列表，用于批量公示已失效、吊销的证书。7.C解析：OCSP（在线证书状态协议）用于实时查询证书是否有效、吊销、过期。8.B解析：非对称密钥分为公钥和私钥，公钥公开分发，私钥用户个人保密。9.A解析：非对称加密通信原则：公钥加密、私钥解密，保障数据传输保密性。10.D解析：数字签名核心能力为身份认证、数据防篡改、行为防抵赖，与传输速度无关。11.B解析：根CA是PKI信任根，自签名证书，下级CA和用户均信任根CA背书。12.D解析：私钥泄露、身份变更、证书异常均需吊销证书，正常设备更换无需吊销。13.A解析：证书库用于集中存储、公开查询用户合法数字证书，不存储私钥。14.C解析：AES、DES为对称加密算法，MD5为哈希算法，RSA为经典非对称加密算法。15.B解析：证书到期自动失效，无法继续使用，必须重新申请、签发新证书。二、判断题答案及解析1.×解析：PKI核心基于非对称加密技术，而非对称加密。2.×解析：正规PKI流程中，证书申请需RA审核身份信息，审核通过后CA才会签发，防止非法申请。3.√解析：数字证书包含公开信息和公钥，可公开分发、查询，无需保密。4.×解析：私钥是用户唯一私密凭证，严禁共享，泄露将导致身份伪造、数据泄密。5.√解析：CRL为周期性更新，存在延迟；OCSP实时查询，时效性更强。6.√解析：根CA掌控整个信任体系，一旦被攻破，所有下级证书全部失效，安全等级最高。7.×解析：数字签名保障完整性、真实性、不可抵赖性，不保障保密性，签名数据可公开查看。8.×解析：CRL由核心CA生成、签名并发布，RA无生成和发布权限。9.√解析：标准X.509证书核心字段：用户身份信息、公钥、证书有效期、CA签名、序列号等。10.√解析：PKI是综合性安全基础设施，覆盖加密、认证、防篡改、防抵赖全能力。三、简答题详细答案1.简述PKI的核心定义和主要功能答：PKI即公钥基础设施，是一套基于非对称密码技术、遵循统一标准的安全基础设施，通过CA认证体系统一管理数字证书、密钥，为网络通信、业务系统提供标准化的安全服务。核心功能包含四点：（1）身份认证：通过数字证书确认通信双方的真实身份，杜绝伪造身份；（2）数据加密：利用公钥加密数据，保障传输和存储数据的保密性；（3）完整性校验：通过数字签名校验数据是否被篡改；（4）不可抵赖：签名行为可追溯，用户无法否认已发起的操作和数据发送行为。2.简述CA、RA的区别与协同工作流程答：（1）核心区别：CA（认证中心）：PKI核心权威机构，拥有证书签发、吊销、更新、签名的最高权限，是信任体系的源头；RA（注册机构）：辅助审核机构，无证书签发权限，仅负责受理用户申请、审核身份资料、信息录入。（2）协同工作流程：①用户提交数字证书申请材料；②RA审核用户身份、信息真实性，审核通过后将申请提交CA；③CA校验信息无误后，生成数字证书并签名；④CA将证书下发至RA，由RA分发至用户，同时同步至证书库。3.对比CRL和OCSP两种证书状态校验方式的优缺点答：（1）CRL（证书吊销列表）优点：无需实时联网请求，本地下载列表即可校验，服务器压力小、稳定性高；缺点：周期性更新，存在状态延迟，无法实时感知证书吊销；列表文件随证书增多变大，占用存储和带宽。（2）OCSP（在线证书状态协议）优点：实时查询证书最新状态，无时间延迟，安全性更高；无需下载完整列表，资源占用低；缺点：每次校验需联网请求服务器，高并发场景下服务器压力大；依赖网络，断网时无法校验状态。4.简述数字证书的工作原理及核心作用答：工作原理：数字证书由权威CA签发，将用户身份信息、用户公钥进行绑定，并由CA用自身私钥对证书内容签名。使用者通过CA公钥验证证书签名，即可确认证书真实有效、信息未被篡改，同时获取用户合法公钥。核心作用：解决非对称加密中的公钥信任问题。避免攻击者伪造公钥进行中间人攻击，为网络通信提供可信的身份凭证和密钥交换依据。四、综合应用题详细答案1.员工私钥泄露的PKI应急处置完整流程答：私钥泄露属于高危安全事件，需按照吊销、止损、整改、复盘的流程处置，具体如下：（1）紧急报备与风险阻断：员工第一时间上报运维/安全部门，立即冻结该账号对应的业务系统、设备登录权限，防止攻击者利用泄露私钥伪造身份、窃取数据。（2）申请证书吊销：安全人员向RA提交证书吊销申请，说明私钥泄露原因、证书序列号、用户信息。（3）CA执行吊销操作：CA审核通过后，将该数字证书加入CRL吊销列表，同步更新OCSP服务状态，全网标记该证书失效。（4）重新签发证书：待风险阻断完成后，员工重新提交申请，RA审核、CA签发全新数字证书，生成新的公私密钥对。（5）排查溯源与整改：排查私钥泄露原因（病毒、设备丢失、操作失误等），修复安全漏洞，对员工开展密钥安全培训。（6）日志审计复盘：核查该证书近期的登录、签名、加密操作日志，排查是否存在非法操作，留存应急记录。2.A向B发送加密且签名的安全文件完整交互过程答：该流程同时实现保密性、完整性、真实性、不可抵赖性，步骤如下：（1）预处理：A、B双方均持有CA签发的合法数字证书，各自保管自身私钥，公开对方公钥。（2）数据签名（防篡改、防抵赖、身份认证）：A使用自己的私钥对原始文件进行数字签名，生成签名值，绑定文件数据。