2026年商用密码检测员理论知识考核试卷

2026年商用密码检测员理论知识考核试卷一、单项选择题（每题1.5分，共30分）1.根据《中华人民共和国密码法》，商用密码的用途是保护不属于（）的信息。A.国家秘密B.商业秘密C.个人隐私D.工作秘密答案：A2.《商用密码管理条例》最新修订版施行的时间是（）。A.2020年1月1日B.2023年7月1日C.2024年1月1日D.2025年1月1日答案：B3.SM4算法是一种（）。A.杂凑算法B.分组密码算法C.椭圆曲线公钥密码算法D.序列密码算法答案：B4.SM3密码杂凑算法输出的杂凑值长度为（）位。A.128B.160C.256D.512答案：C5.SM2椭圆曲线公钥密码算法推荐的曲线参数为（）位素域曲线。A.128B.192C.256D.384答案：C6.SM9标识密码算法中，用户标识即为（）。A.随机数B.公钥C.私钥D.证书序列号答案：B7.祖冲之（ZUC）序列密码算法主要用于（）。A.数字签名B.密钥协商C.通信数据加密D.身份认证答案：C8.SM2数字签名的标准编号是（）。A.GM/T0003B.GM/T0004C.GM/T0009D.GM/T0028答案：A9.商用密码检测机构取得资质的许可部门是（）。A.市场监督管理部门B.国家密码管理部门C.工业和信息化部门D.网信部门答案：B10.依据GM/T0115《密码检测规范应用软件密码模块》，应用软件密码模块的安全等级最高为（）。A.一级B.二级C.三级D.四级答案：B11.密码模块检测中，自测试（Self-Test）属于以下哪类检测内容？（）A.算法正确性检测B.随机数质量检测C.安全管理检测D.物理安全检测答案：C12.密码算法随机性检测依据的标准是（）。A.GM/T0005B.GM/T0006C.GM/T0018D.GB/T39786答案：A13.GM/T0005规定的随机性检测中，产生一个随机序列的二元序列长度通常不少于（）比特。A.10^4B.10^6C.10^8D.10^9答案：B14.依据GM/T0116《信息系统密码应用测评要求》，信息系统密码应用测评的结论分为（）。A.符合、基本符合、不符合B.优、良、合格、不合格C.通过、不通过D.A、B、C、D四级答案：A15.GB/T39786《信息安全技术信息系统密码应用基本要求》中，物理和环境安全层面要求采用密码技术保证的物理访问控制对象是（）。A.网络设备B.信息系统所在机房等重要区域C.应用系统登录D.数据库存储答案：B16.《商用密码管理条例》规定，涉及商用密码的网络产品、服务不符合要求的，由（）依法处置。A.公安机关B.网信、电信、公安等有关部门C.人民法院D.行业协会答案：B17.商用密码产品认证依据的基本制度模式是（）。A.强制性产品认证（CCC）B.自愿性认证与强制性认证相结合，对特定产品实施强制性认证C.完全自愿认证D.企业自我声明答案：B18.密钥管理中，密钥生命周期的正确顺序是（）。A.产生—分发—使用—更换—归档—销毁B.产生—使用—分发—更换—销毁—归档C.分发—产生—使用—销毁—更换—归档D.产生—分发—更换—使用—归档—销毁答案：A19.密码算法正确性检测通常采用的方法是（）。A.黑盒渗透测试B.使用标准测试向量进行符合性验证C.代码覆盖率分析D.压力测试答案：B20.依据GB/T39786，第三级信息系统要求密钥管理具备（）。A.密钥明文允许直接存储在普通文件中B.密钥由使用部门自行随意保管C.密钥生成、分发、更换、销毁等全生命周期的安全管理制度和技术措施D.无需密钥管理措施答案：C二、多项选择题（每题2分，共20分。多选、少选、错选均不得分）1.我国发布的常用商用密码算法包括（）。A.SM2B.SM3C.SM4D.SM9答案：ABCD2.商用密码应用安全性评估（密评）的对象通常包括（）。A.关键信息基础设施B.网络安全等级保护第三级以上信息系统C.使用商用密码进行保护的网络D.家庭个人娱乐终端答案：ABC3.密码模块检测的主要内容包括（）。A.算法正确性B.随机数质量C.物理安全与环境安全D.敏感信息保护（如密钥明文不出模块）答案：ABCD4.GM/T0005随机性检测包含的检测项目有（）。A.单比特频数检测B.游程总数检测C.近似熵检测D.线性复杂度检测答案：ABCD5.商用密码检测机构应当具备的条件包括（）。A.具有与检测业务相适应的专业技术人员B.具有必要的检测仪器设备和场所C.具有健全的质量管理体系D.具备商业化营销推广能力答案：ABC6.依据GB/T39786，信息系统密码应用层面包括（）。A.物理和环境安全B.网络和通信安全C.设备和计算安全D.应用和数据安全答案：ABCD7.SM2算法可以支持的功能包括（）。A.数字签名B.密钥交换C.公钥加密D.标识认证答案：ABC解析：SM2标准包括数字签名、密钥交换协议和公钥加密三部分；标识认证是SM9的功能。8.商用密码产品检测中，环境适应性测试通常包括（）。A.高低温工作测试B.湿热测试C.振动测试D.代码结构审查答案：ABC9.密评测评报告中，单项测评结果判定包括（）。A.符合B.部分符合C.不符合D.不适用答案：ABCD10.下列属于违反《商用密码管理条例》的行为有（）。A.销售未经认证的强制性认证目录内商用密码产品B.使用未通过安全性评估的关键信息基础设施商用密码应用方案且拒不整改C.未经许可开展商用密码进出口管制物项贸易D.在内部办公系统中使用经认证的商用密码产品答案：ABC三、判断题（每题1分，共10分）1.密码法规定，商用密码用于保护非国家秘密的信息，公民、法人和其他组织可以依法使用商用密码保护网络与信息安全。答案：正确2.SM4算法的分组长度和密钥长度均为128位。答案：正确3.SM3算法的迭代结构与MD5完全相同。答案：错误解析：SM3采用类似Merkle-Damgård的结构但压缩函数设计独立，消息扩展方式与MD5不同。4.商用密码检测机构可以任意出具虚假检测报告而不承担法律责任。答案：错误5.随机性检测中，全部检测项目均通过即代表随机序列绝对安全。答案：错误解析：随机性检测只能证明序列在统计特性上未发现明显缺陷，不能证明绝对安全。6.密评报告中，若存在不符合项且整改后仍不符合，则整体结论为不符合。答案：正确7.商用密码进出口实行管制，列入管制清单的商用密码进出口需向国家密码管理部门申请许可。答案：正确8.对称密码算法的加密密钥和解密密钥完全不同且无法相互推导。答案：错误解析：这是非对称密码算法的特点；对称算法中加解密密钥相同或可相互推导。9.密码模块的安全等级越高，其抵御攻击的能力要求越强。答案：正确10.信息系统密码应用方案通过专家评审后即无需再进行密评。答案：错误解析：方案评审只是密评工作的前置环节，系统建设完成后仍须开展密码应用安全性评估。四、简答题（每题5分，共20分）1.简述商用密码检测机构开展检测活动应遵循的基本原则。答案：(1)客观独立、公平公正，不受利益相关方干扰；(2)严格依据国家标准、行业标准和检测规范实施检测；(3)检测过程规范、数据真实、记录完整、可追溯；(4)保守被检测方的商业秘密和技术秘密；(5)依法接受密码管理部门的监督检查，出具真实检测报告并承担相应法律责任。2.简述GM/T0005随机性检测的一般流程。答案：(1)从被测密码产品中采集足够的随机比特序列样本（一般不少于106(2)将序列转化为二元序列；(3)依次执行各项统计检测（如频数检测、块内频数检测、扑克检测、游程检测、近似熵检测等）；(4)各项检测计算统计值并与显著性水平下的判定门限比较，得出通过或不通过结论；(5)汇总各项结果，全部项目通过且无异常趋势方可判定随机性检测合格。3.简述商用密码产品检测中算法正确性检测的方法。答案：(1)依据对应算法标准（如GM/T0003、GM/T0004、GM/T0002等）构造标准测试向量；(2)通过检测接口调用被测产品中的密码算法；(3)将被测算法输出与标准测试向量的期望结果逐项比对；(4)覆盖正常输入、边界输入和典型异常输入等场景；(5)全部测试向量比对一致方可判定算法实现正确。4.简述信息系统密码应用安全性评估的主要工作流程。答案：(1)评估准备：了解被测系统基本情况，收集密码应用方案及评审意见；(2)方案编制：确定测评对象、指标和方法，编制测评方案；(3)现场测评：通过访谈、核查、测试等方式，对物理和环境、网络和通信、设备和计算、应用和数据四个层面及密钥管理、安全管理进行取证测评；(4)分析与报告编制：进行单项测评和整体测评，量化评分并给出符合/基本符合/不符合的结论，提出整改建议，形成测评报告。五、综合分析题（共20分）1.某三级信息系统在密评中被发现存在以下情况：①机房门禁系统采用自研的未检测算法进行身份鉴别；②应用系统与后台数据库之间采用明文HTTP协议传输鉴别信息；③用户登录口令以MD5摘要形式存储于数据库；④系统使用SM4加密敏感数据，但密钥硬编码在应用程序源代码中。请逐项分析上述做法存在的问题，并分别给出符合GB/T39786要求的整改措施。逐项分析与整改措施：①机房门禁使用未经检测的自研算法：不符合物理和环境安全层面“宜/应采用密码技术进行物理访问控制身份鉴别”及使用合规密码算法的要求。整改：更换为经商用密码认证的门禁产品，采用SM2/SM4等经检测认证的算法实现身份鉴别，并接入合规的身份认证机制。②明文HTTP传输鉴别信息：不符合网络和通信安全层面“应采用密码技术保证通信过程中数据的保密性”要求，鉴别信息可被窃听篡改。整改：启用基于国密算法（如支持SM2/SM3/SM4套件的HTTPS/TLCP安全协议）的加密传输通道，保证通信数据的机密性和完整性，并验证通信双方身份的真实性。③口令以MD5存储：MD5不属于合规商用密码杂凑算法，且无盐化处理，易受彩虹表和碰撞攻击。整改：采用SM3杂凑算法，并引入随机盐值和适当的迭代计算（如SM3加盐多轮迭代或基于SM3的口令散布机制）后存储口令鉴别信息。④SM4