2025密码应用安全性评估题库（含答案解析）

2025密码应用安全性评估题库（含答案解析）一、单项选择题（每题2分，共40分）1.《中华人民共和国密码法》自下列哪一日期起施行？A.2019年10月26日B.2020年1月1日C.2020年10月26日D.2021年1月1日答案：B解析：该法于2019年10月26日通过，自2020年1月1日起施行。2.当前开展商用密码应用安全性评估的核心测评依据标准是？A.GB/T39786-2021《信息安全技术信息系统密码应用基本要求》B.GM/T0054-2018《信息系统密码应用基本要求》C.GB/T22239-2019《信息安全技术网络安全等级保护基本要求》D.GM/T0003-2012《SM2椭圆曲线公钥密码算法》答案：A解析：GB/T39786-2021是商用密码应用安全性评估的直接依据，GB/T22239-2019是网络安全等级保护测评依据，不能替代前者。3.SM4算法的分组长度和密钥长度分别是？A.64位和64位B.128位和128位C.128位和256位D.256位和256位答案：B解析：SM4分组长度和密钥长度均为128位，共32轮迭代。4.SM3算法输出的摘要长度是？A.128位B.160位C.256位D.512位答案：C5.SM2签名算法的安全基础基于下列哪一数学难题？A.大整数分解问题B.离散对数问题C.椭圆曲线离散对数问题D.背包问题答案：C解析：SM2属于椭圆曲线公钥密码算法，其安全性基于椭圆曲线离散对数问题。6.数字信封技术中，通常使用下列哪类密码算法加密会话密钥？A.对称密码B.非对称密码C.哈希函数D.消息认证码答案：B解析：数字信封使用接收方公钥加密会话密钥，接收方再使用私钥解密得到会话密钥。7.下列哪项是用于验证数据完整性并防止未授权篡改的密码技术？A.数字证书B.消息鉴别码（如HMAC-SM3）C.公钥加密D.时间戳答案：B8.在基于PKI/CA的数字证书身份认证中，验证方验签时主要依赖下列哪项？A.用户口令B.动态验证码C.根证书与证书链验证D.系统时间答案：C解析：验签需要从信任根开始逐级验证证书链，并确认证书未被篡改、未过期、未被吊销。9.数字证书通常采用下列哪种格式标准？A.X.400B.X.509C.RFC1918D.ISO8583答案：B10.下列关于商用密码应用安全性评估的说法，正确的是？A.属于自愿性认证，运营者可自行决定是否参与B.仅适用于政务信息系统C.重要网络和信息系统的运营者应当依法开展商用密码应用安全性评估D.可以由网络安全等级保护测评直接替代答案：C11.依据《密码法》，商用密码主要用于保护下列哪类信息？A.国家秘密信息B.不属于国家秘密的信息C.国防科技信息D.机关内部涉密文件答案：B12.下列密码算法中，属于我国自主设计的商用密码算法是？A.AESB.RSAC.SM2D.SHA-256答案：C13.下列哪项不属于密码技术？A.对称加密B.非对称加密C.访问控制D.数字签名答案：C解析：访问控制属于安全机制，但不属于密码算法或密码协议范畴。14.SM2算法可以用于下列哪项应用？A.数据对称加密B.数字签名与密钥协商C.消息摘要D.随机数生成答案：B15.在SSL/TLS协议中，服务端数字证书的主要作用是？A.加密传输数据B.验证服务端身份并传递公钥C.对数据做摘要D.生成会话密钥答案：B16.商用密码应用安全性评估工作的实施主体是？A.信息系统运营者B.密码管理部门C.商用密码应用安全性评估机构D.网络设备厂商答案：C17.密评中要求对安全审计日志进行完整性保护，通常采用下列哪种技术？A.对称加密B.数字签名或消息鉴别码C.数字证书D.虚拟专用网络答案：B18.涉及重要数据存储机密性保护时，下列哪种算法最适用？A.SM2B.SM3C.SM4D.X.509答案：C解析：SM4是对称分组密码，适合对存储数据进行加密；SM2用于签名或密钥协商，SM3用于摘要。19.对称密钥的分发通常采用的方式是？A.通过公开信道明文传输B.使用非对称密码加密会话密钥后进行分发C.随密文一起明文存储D.写入系统源码常量答案：B20.信息系统采用密码技术时，下列哪种做法符合密评要求？A.使用SHA-1保护关键数据完整性B.将RSA1024用于业务签名C.优先采用SM2、SM3、SM4并通过认证的密码产品D.在数据库中以明文存储用户口令答案：C二、多项选择题（每题3分，共30分）1.下列属于我国SM系列商用密码算法的有？A.SM2B.SM3C.SM4D.SHA-256E.AES答案：ABC2.数字签名可以提供的安全属性包括？A.真实性B.完整性C.不可否认性D.机密性E.可用性答案：ABC解析：数字签名主要用于身份认证、完整性保护和抗抵赖，不能提供机密性。3.可用于保障网络传输数据机密性的措施包括？A.使用TLS/SSL协议建立加密通道B.使用IPSecVPN隧道C.在应用层使用SM4对报文加密D.使用SM3对报文计算摘要E.使用X.509数字证书答案：ABC解析：SM3摘要是完整性保护手段，数字证书主要用于身份认证和密钥交换，均不能直接提供机密性。4.下列属于密钥生命周期管理环节的有？A.密钥生成B.密钥分发C.密钥使用D.密钥备份与恢复E.密钥销毁答案：ABCDE5.商用密码应用安全性评估工作通常包括下列哪些内容？A.确定测评对象与测评范围B.编制测评方案C.实施现场测评D.综合判定并出具评估报告E.为系统安装杀毒软件答案：ABCD6.下列属于常见商用密码产品的有？A.服务器密码机B.签名验签服务器C.VPN密码设备D.防火墙E.入侵检测系统答案：ABC7.下列不属于对称密码算法的有？A.SM2B.RSAC.SM4D.DESE.ECC答案：ABE解析：SM4和DES是对称分组密码；SM2、RSA、ECC属于公钥密码体制。8.在密码应用安全性评估中，对“应用和数据安全”层面的检查通常包括？A.应用层身份认证是否采用密码技术B.应用数据的机密性保护C.应用数据的完整性保护D.抗抵赖机制E.机房的物理门禁和温湿度监控答案：ABCD解析：E属于“物理和环境安全”层面，不属于“应用和数据安全”层面。9.下列关于密码算法与密钥管理的说法，正确的有？A.算法选择应与业务安全需求相匹配B.密钥长度应满足相应安全等级要求C.密码算法可以脱离密钥管理独立保证安全性D.应优先采用SM2、SM3、SM4等国产商用密码算法E.密钥一旦生成可永久使用，便于系统运维答案：ABD解析：密码安全强度同时依赖算法和密钥管理，密钥长期固定或永久使用会显著增加泄露风险。10.下列属于典型密码攻击方式的有？A.穷举攻击B.侧信道攻击C.中间人攻击D.SQL注入E.DDoS攻击答案：ABC解析：SQL注入属于Web应用攻击，DDoS属于拒绝服务攻击，均不属于典型的密码攻击方式。三、判断题（每题1分，共10分）1.SM4算法的密钥长度为256位。答案：错误解析：SM4密钥长度为128位。2.SM3算法输出256位摘要，可用于数字签名中的消息摘要生成。答案：正确3.商用密码应用安全性评估属于自愿行为，运营者可以自主决定是否开展。答案：错误4.数字签名可以替代加密算法实现数据机密性保护。答案：错误5.使用相同密钥和相同明文，SM4在ECB模式下每次加密输出的密文相同。答案：正确6.X.509数字证书一般包含公钥、主体身份信息、签发者、有效期和签名等信息。答案：正确7.为便于审计，密钥应当与加密数据一起以明文形式存储。答案：错误8.SM2算法既可用于数字签名，也可用于密钥协商和加密。答案：正确9.网络安全等级保护测评可以完全替代商用密码应用安全性评估。答案：错误10.列入商用密码产品目录的密码产品应当依法进行检测认证。答案：正确四、简答题（每题5分，共10分）1.简述SM2、SM3、SM4三种算法的主要用途。答案：(1)SM2：基于椭圆曲线的公钥密码算法，主要用于数字签名、密钥协商和公钥加密；(2)SM3：密码杂凑算法，输出256位摘要，主要用于完整性校验、消息认证和数字签名的摘要生成；(3)SM4：对称分组密码算法，分组长度和密钥长度均为128位，主要用于数据对称加密。2.简述商用密码应用安全性评估中“密钥管理”需要关注的主要内容。答案：应关注密钥的生成、分发、存储、使用、更新、备份与恢复、销毁等全生命周期环节。具体包括：密钥生成应使用符合要求的随机源；分发应通过安全通道进行；存储应使用密码模块或加密保护，不得明文存储；使用过程应实施权限控制和审计；密钥应定期更新并具备应急恢复机制；销毁应采用安全、可验证的方式，确保密钥无法恢复。五、综合分析题（每题10分，共10分）1.某三级等保信息系统的密评过程中发现如下情况：（1）业务系统通过HTTPS对外提供服务，但服务端证书仍使用RSA2048证书，未使用国密算法证书；（2）用户口令在数据库中以SHA-1不加盐方式存储；（3）敏感业务数据未进行加密存储，直接以明文存放在数据库中；（4）会话密钥通过管理人员的企业邮箱明文发送至各节点运维人员；（5）安全审计日志保存在本机，未采取任何完整性保护措施。请结合GB/T39786-2021的要求，指出该系统存在的主要问题，并逐项提出整改建议。答案：(1)网络和通信安全层面：HTTPS使用RSA证书，未优先使用SM2、SM3、SM4等国产商用密码算法。应使用支持国密算法的TLS证书和密码套件，证书采用SM2算法签发。(2)应用和数据安全层面：用户口令使用SHA-1且未加盐存储，安全强度不足。应采用SM3等安全杂凑算法，并结合随机盐和密钥拉伸机制存储口令，避免明文或弱哈希存储。(3)数据机密性保护缺失：敏感业务数据明文存储，未采用密码技术加密。应使用SM4等对称密码算法对敏感数据进行加密存储，密钥由服务器密码机等合规密码产品进行管理和调用。(4)密钥管理不符合要求：会话密钥通过明文邮件分发，存在重大泄露风险。应通过安全通道分发密钥，或采用SM2密钥协商机制在线协商会话密钥，并对密钥传输过程进行加密保护和审计。(5)审计日志完整性保护缺失：日志仅保存在本机且无完整性校验，存在被篡改