【成人自考】【电子商务安全导论】【00997】高频考点(21)

(1).企业、个人如何获得CFCA证书？

用户可以到所有CFCA授权的证书审批机构(RA)申请证书，申请者一般需提供有关开户账号、身份证／组织机构代码、邮件地址等有效信息，RA审核通过后给用户参考号、授权码作为获得证书的凭据。用户在得到参考号授权码后，可以自行登录CFCA网站获得证书，也可以使用RA提供的其他更为简便的方式获得证书。证书的存储介质可以是软盘、硬盘，但更为安全的方式是使用智能卡或USB--KEY存放。

(2).试述SET的缺陷。

SET良好的发展趋势，但它本身也存在一些问题和缺陷： (1)协议没有说明收单银行给在线商店付款前，是否必须收到消费者的货物接受证书，否则，一旦在线商店提供的货物不符合质量标准，消费者提出疑义或要求退货，责任由谁来承担。 (2)协议没有担保“非拒绝行为”，这意味着在线商店没有办法证明订购是不是由签署证书的消费者发出的。 (3)SET技术规范没有提及在事务处理完成后，如何安全的保有或销毁此类证据，是否应当将数据保存在消费者、在线商店或收单银行的计算机里。这种漏洞可能使这些数据以后受到潜在的攻击。 (4) SET安全协议大部分操作依赖CA认证中心的认证，但SET无法确认认证中心是否被攻击、被假冒，也无法确认认证中心的密钥是否已经泄漏或被修改。

(3).简述IP协议的安全隐患。

(1)针对IP的“拒绝服务”攻击。 (2)IP地址的顺序号预测攻击。 (3)TCP协议劫持入侵。 (4)嗅探入侵。

(4).简述集中式密钥分配的概念。

集中式分配是指利用网络中的“密钥管理中心(KMC)”来集中管理系统中的密钥，“密钥管理中心”接受系统中用户的请求，为用户提供安全分配密钥的服务。分布式分配方案是指网络中各主机具有相同的地位，它们之间的密钥分配取决了它们自己的协商，不受任何其他方面的限制。

(5).简述三种基本的备份系统。

目前有三种基本的备份系统： (1)简单的网络备份系统。在网络上的服务器直接把数据通过总线备份到设备中，也可把数据通过对网络经过专用的工作站备份到工作站的设备中。 (2)服务器到服务器的备份。在网络上的一个服务器除了把数据通过总线备份到自己设备中以外，同时又备份到另一个服务器上。 (3)使用专用的备份服务器。不同于上面(2)中所说的另一类服务器，它主要的任务是为网络服务的服务器，使用专用服务器可以使备份工作更加可靠。

(6).简述VPN可以提供的功能。

加密数据：以保证通过公网传输的信息即使被他人截获也不会泄露。信息认证和身份证证：保证信息的完整性、合法性，并能鉴别用户的身份。 提供访问控制：不同的用户有不同的访问权限。

(7).简述通行字的安全存储办法。

(1)对于用户的通行字多以加密形式存储，入侵者要得到通行字，必须知道加密算法和密钥，算法可能是公开的，但密钥应当只有管理者才知道。 (2)许多系统可以存储通行字的单向杂凑值，入侵者即使得到此杂凑值也难于推出通行字。

(8).简述SET的主要安全保障。

目前SET的主要安全保障来自以下三个方面： (1)将所有消息文本用双钥密码体制加密； (2)将上述密钥的公钥和私钥的字长增加到512B～2048B; (3)采用联机动态的授权和认证检查，以确保交易过程的安全可靠。

(9).试述从机制上如何实现电子商务的不可否认性。

实现源的不可否认业务有下述几种方法： (1)源的数字签字。 (2)可信赖第三方的数字签字。 (3)可信赖第三方对消息的杂凑值进行签字。 (4)可信赖第三方的持证。 (5)线内可信赖第三方。 (6)组合。为了强化这类不可否认性，实用中可以对上述方法进行适当组合。

(10).简述电子商务的安全隐患。

电子商务系统的安全问题不仅包括了计算机系统的隐患，还包括了一些自身独有的问题。 (1)数据的安全。一个电子商务系统必然要存储大量的商务数据，这是其运转的核心。一旦发生数据丢失或损坏，后果不堪设想。 (2)交易的安全。这也是电子商务系统所独有的。

(11).简述双钥密码体制的概念。

双钥密码体制又称作公共密钥体制或非对称加密体制，这种加密法在加密和解密过程中要使用一对（两个）密钥，一个用于加密，另一个用于解密。即通过一个密钥加密的信息，只有使用另一个密钥才能够解密。

(12).简述VPN的适用范围。

在满足基本应用要求后，有四类用户比较适合采用VPN: (1)位置众多，特别是单个用户和远程办公室站点多，例如企业用户、远程教育用户； (2)用户／站点分布范围广，彼此之间的距离远，遍布全球各地，需通过长途电信，甚至国际长途手段联系的用户； (3)带宽和时延要求相对适中的用户； (4)对线路保密性和可用性有一定要求的用户。

(13).简述对数据库加密的方法。

对数据库的加密方法有以下三种： (1)使用加密软件加密数据。 (2)使用专用软件加密数据库数据。 (3)加密桥技术。

(14).简述身份证明系统的组成。

一个身份证明系统一般由3方组成，一方是出示证件的人，称做示证者，又称申请者，提出某种要求；另一方为验证者，检验示证者提出的证件的正确性和合法性，决定是否满足其要求。第三方是可信赖者，用以调解纠纷。

(15).网上信用卡交易的安全需求是什么？

(1)商家希望有一套简单的、符合经济效益的方法来完成网上交易； (2)客户希望有一套安全的、方便的、能够放心地到网上购物的机制； (3)银行以及信用卡机构需要以现有的信用卡机制为基础的、变动较少的修改就能够在未来支持电子付款的方式。

(16).试述混合加密系统的实施过程

在一次信息传送过程中，可以综合利用消息加密、数字信封、散列函数和数字签名实现安全性、完整性、可鉴别和不可否认。具体过程如下： (1)发送方A ①求明文消息的消息散列值：hA=H＇(M)； ②发送方用自己的私钥KSA对散列值进行数字签名：h＇=EKSA (hA)； ③将明文M和数字签名h＇合并为M＇，M＇＝【M h＇】； ④随机产牛—个DES密钥KDES； ⑤用DES密钥KDES加密M＇，C1=EKDES( M＇)； ⑥用接受方B的公钥加密DES密钥，C2=EKPB（KDES）。 A将C1和C2发送给接受方B。 (2)接受方B 接受方B收到消息后： ①B用其私钥打开数字信封，得到发送方的DES密钥，KDES=DKSB( C2)； ②再用此密钥去解密消息C1，M＇＝DKDES( C1)； ③从M’中分离出M和h’； ④求明文消息的消息散列值，hB=H(M)； ⑤对A的数字签名h’进行身份验证，hA=DKPA (h’)； ⑥比较hA和hB，如hA=hB，则说明M确是A发送的消息，如hA≠hB，则收到的M是不可信的。这就是数据完整性检验。

(17).电子商务系统可能遭受哪些攻击？

电子商务系统可能遭受的攻击有以下几种： (1)系统穿透。 (2)违反授权原则。 (3)植入。 (4)通信监视。 (5)通信窜扰。 (6)中断。 (7)拒绝服务。 (8)否认。 (9)病毒。

(18).简述分布式密钥分配的概念。

集中式分配是指利用网络中的“密钥管理中心(KMC)”来集中管理系统中的密钥，“密钥管理中心”接受系统中用户的请求，为用户提供安全分配密钥的服务。分布式分配方案是指网络中各主机具有相同的地位，它们之间的密钥分配取决了它们自己的协商，不受任何其他方面的限制。

(19).数据完整性被破坏会带来哪些严重的后果？

(1)造成直接的经济损失。 (2)影响一个供应链上许多厂商的经济活动。 (3)可能造成过不了“关”。 (4)会牵涉到经济案件中。 (5)造成电子商务经营的混乱与不信任。

(20).简述防火墙不能解决的问题。

网络管理员不能及时响应报警并审查常规记录，防火墙就形同虚设。 防火墙无法防范通过防火墙以外的其他途径的攻击。 防火墙不能防止来自内部变节者和不经心的用户带来的威胁。 防火墙也不能防止传送已感染病毒的软件或文件。 防火墙无法防范数据驱动型的攻击。

(21).简述加密桥技术的优点。

加密桥技术的优点是，加密桥与DBMS是分离的，可以解决加密桥特有的安全性： (1)解决了数据库加密数据没有非密旁路漏洞的问题。 (2)便于解决“数据库加密应用群件系统”在不同DBMS之间的通用性。 (3)便于解决系统在DBMS不同版本之间的通用性。 (4)不必去分析DBMS的原代码。 (5)加密桥用C++写成的，便于在不同的操作系统之间移植。 (6)加密桥与DBMS是分离的，可以解决嵌入各种自主知识产权加密方法的问题。

(22).简述认证机构的功能。

(1)证书申请（新证书的发放） (2)证书更新。 (3)证书吊销或撤销。 (4)证书的公布和查询。

(23).试述RSA加密算法中密钥的算法

RSA密码体制可以描述如下： (1)独立选取两个大素数：p和q。 (2)计算n=pq， (3)然后计算小于n并且与n互质的整数的个数，即欧拉函数φ(n)=（p-1）（q-l）。 (4)随机选择加密密钥e；要求e满足1≤e≤φ(n)，并且和≠(n)互质。即gcd(e，φ(n))=1. (5)最后，利用Euclid算法计算解密密钥d，满足ed=1(modφ(n)） 其中n和d也要互质。数e和n是公钥，d是私钥。两个素数p和q不再需要，应该丢弃。 加密时，首先把明文m分成等长数据块m1，m2，…，mi，块长s，其中2ss<=n，s尽可能的大。对应的密文是： ci=(mi)e（mod n） 解密时，作计算： mi=(ci)d( mod n)

(24).虚拟专用LAN子网段（VPLS），是在公网上用隧道协议仿真出来一个___，透明地提供跨越公网的___。

局域网；LAN服务

(25).强制式接入控制由系统管理员来分配___和___，易于与网络的安全策略协调，常用敏感标记实现多级安全控制。

接入权限；实施控制

此题目数据由翰林刷题小程序免费提供