电子商务安全导论分析

电子商务安全导论

一、单项选择题

1．病毒按破坏性划分可以分为 (良性病毒和恶性病毒)

2．在进行身份证明时，用个人特征识别的方法是(指纹)

3．下列选项中，属于电子邮件的安全问题的是(传输到错误地址)

4．RC-5加密算法中的可变参数不包括

．．．(校验位)

5．一个明文可能有多个数字签名的算法是(ELGamal )

6．数字信封技术中加密消息密钥形成信封的加密方法是(对称加密和非对称加密)

7．防火墙的组成中不包括

．．．的是(网络管理员)

8．下列选项中，属于加密桥技术的优点的是(加密桥与DBMS是分离的)

9．在不可否认业务中保护收信人的是(提交的不可否认性)

10．为了在因特网上有一种统一的SSL标准版本，IETF标准化的传输层协议是(TLS)

11．能够全面支持电子商务安全支付业务的第三方网上专业信任服务机构是(CFCA )

12．下列选项中，属于中国电信CA安全认证系统结构的是(省RA中心系统) 13．美国的橘黄皮书中为计算机安全的不同级别制定了D，Cl，C2，Bl，B2，B3，A标准，其中称为结构化防护的级别是(Cl级)

14．下列选项中，属于提高数据完整性的预防性措施的是(奇偶校验)

15．一系列保护IP通信的规则的集合称为( IPSec )

16．由系统管理员来分配接入权限和实施控制的接入控制方式是(DAC)

17．在Kerberos认证中，把对Client向本Kerberos的认证域以外的Server 申请服务称为(域间认证)

18．下列关于数字证书的说法中不正确

．．．的是(在各种不同用途的数字证书类型中最重要的是私钥证书，它将公开密钥与特定的人联系起来)

19．认证机构最核心的组成部分是(数据库服务器)

20．PKI中支持的公证服务是指( 数据认证)

21.对身份证明系统的要求之一是(验证者正确识别示证者的概率极大化)

22.Kerberos中最重要的问题是它严重依赖于(时钟)

23.公钥体制用于大规模电子商务安全的基本要素是(公钥证书)

24.身份认证中的证书由（认证授权机构发行）

25.属于PKI的功能是(PAA，CA，ORA)

26.HTTPS是使用以下哪种协议的HTTP?( SSL )

27.CTCA目前提供的安全电子证书，其密钥的长度为(512位)

28.中国金融认证中心的英文缩写是（CFCA）。

29.下列选项中不属于

．．．SHECA证书管理器的操作范围的是（对服务器证书的操作）。

30.安装在客户端的电子钱包一般是一个(浏览器的一个插件)。

31.密钥备份与恢复只能针对(解密密钥),签名私钥为确保其唯一性而不能作备份.

32.SET协议是通过(数字化签名)确保数据的完整性。

33.消息经过散列函数处理后得到的是(消息摘要 )

34.美国的橘黄皮书中为计算机安全的不同级别制定了4个标准，从高到低依次是（ABCD）

35.关于Diffie-Hellman算法描述正确的是(它是一个安全的密钥分配协议)

36.计算机病毒的特征之一是(非授权可执行性)

37.MD-4散列算法中输入消息可以任意长度，但要进行分组，其分组的位数是(512 )

38.不涉及

．．．PKI技术应用的是(视频压缩)

39.以下哪一项是密钥托管技术?( EES)

40.由于协议标准得到了IBM、Microsoft等大公司的支持，已成为事实上的工作标准的安全议是(SET)

41.CFCA认证系统采用国际领先的PKI技术，总体为(三层CA结构 )

42.互联网协议安全IPSec是属于第几层的隧道协议?（第三层）

43.在双密钥体制的加密和解密过程中要使用公共密钥和个人密钥，它们的作用是（公共密钥用于加密，个人密钥用于解密）

44.在一次信息传送过程中，为实现传送的安全性、完整性、可鉴别性和不可否

认性，这个过程采用的安全手段是（混合加密系统）

45.一个密码系统的安全性取决于对（密钥的保护）

46.收发双发持有不同密钥的是（公钥）体制。

47.称为访问控制保护级别的是（C2）

48.下列属于良性病毒的是（扬基病毒）

49.目前发展很快的基于PKI的安全电子邮件协议是（S／MIME）

50.建立计算机及其网络设备的物理环境，必须要满足《建筑与建筑群综合布系

统工程设计规范》的要求，计算机机房的室温应保持在（10℃至25℃之间）51.如果要保证多厂商在电子商务交易中建立信任关系，PKI必须具备的最关键的通信特性是（互操作性）

52.下列不能说明身份证明系统质量指标的名词为（传递率）

53.通行字认证系统中通行字的安全存储方法一般有（2种）

54.使用专用软件加密数据库数据的加密方法特点是（将加密方法嵌入DBMS 的源代码）

55.在大量的密钥分配协议中，最早提出的公开的密钥交换协议是（Diffie—Hellman协议）

56.实现数据完整性的主要手段是（散列函数算法）

57.计算机病毒可分为引导型病毒、文件型病毒和复合型病毒，这种分类方式是按（寄生方式分类）

58.通信中涉及两类基本成员，即发送者和接收者，相应地有两个不可否认的基本类型：源的不可否认性和（递送的不可否认）

59.一个典型的CA系统包括安全服务器、注册机构RA、CA服务器、数据库服务器和（LDAP目录服务器）

60.为了电子商务系统的安全，在设计防火墙时，考虑内网中需要向外提供服务的服务器常常放在一个单独的网段，这个网段区域称为（DMZ ）

二、多项选择题

1.电子商务安全的中心内容( ABDE )

A.机密性

B.完整性

C.不可访问性

D.不可拒绝性

E.访问控制性

2.保证商务数据机密性的手段主要是( AD )

A.数据加密

B.身份认证

C.数字签名

D.信息隐匿

E.数字水印

3.散列值也称为( ABD )

A.哈希值

B.杂凑值

C.密钥

D.消息摘要

4.防地雷接地设置接地体时,不应大于( AB )Ω

A.1

B.2

C.3

D.4

5.对Internet的攻击有多种类型，包括( ACE )

A.截断信息

B.中断

C.伪造

D.病毒

E.介入

6.关于仲裁方案实现的描述以下哪些是正确的?( ABCD )

A.申请方生成文件的单向杂凑函数值

B.申请方将杂凑函数值及原文一并传递给加戳方

C.加戳方在杂凑函数值后附上时间与日期，并进行数字签名

D.加戳方将签名的杂凑函数值，时戳一并发给申请者

E.加戳方生成文件的单向杂凑函数

7.防火墙的基本组成有( ABCD )

A.全操作系统

B.过滤器

C.网关

D.域名服务和E-mail处理

E.网络管理员

8.接入控制的实现方法有( AC )

A.DAC

B.DCA

C.MAC

D.CAM

9.公钥证书的类型有（ ACDE ）

A.客户证书

B.密钥证书

C.服务器证书

D.安全邮件证书

E.CA证书

10.公钥证书的申请方式有( BCE )

A.电话申请

B.Web申请

C.E-Mail申请

D.邮寄申请

E.到认证机构申请

11.PKI技术能有效的解决电子商务应用中的哪些问题?（ ABCDE ）

A.机密性

B.完整性

C.不可否认性

D.存取控制

E.真实性

12.对SSL提供支持的服务器有( ABCD )

https://www.360docs.net/doc/3a15180772.html,scape communicator

B.Mircrosoft Internet Explore

C.Microsoft IIS

D.Lotus Notes Server

E.MS-DOS

13.SHECA数字证书根据应用对象可将其分为（ ABE ）

A.个人用户证书

B.服务器证书

C.安全电子邮件证书

D.手机证书

E.企业用户证书

14.认证机构应提供以下( ABCE )方面的服务。

A.证书颁发

B.证书更新

C.证书申请

D.证书的公布和查询

E.证书吊销

15.PKI的RA提供( AD )功能。

A.验证申请者身份

B.生成密钥对

C. 密钥的备份

D.批准证书

E.签发证书

电子商务：是建立在电子技术基础上的商业运作，是利用电子技术加强、加快、扩展、增强、改变了其有关过程的商务。

EDI：电子数据交换，是第一代电子商务技术，实现BTOB方式交易。

NCSC：美国国家计算机安全中心，是美国国家安全局NSA的一个分支机构，NCSC 为政府购买的计算机设立了安全等级。

Intranet：是指基于TCP/IP协议的企业内部网络，它通过防火墙或其他安全机制与intranet建立连接。intranet上提供的服务主要是面向的是企业内部。Extranet：是指基于TCP/IP协议的企业处域网，它是一种合作性网络。

HTTP协议的“有无记忆状态”：即服务器在发送给客户机的应答后便遗忘了些次交互。TLENET等协议是“有记忆状态”的，它们需记住许多关于协议双方的信息，请求与应答。

商务数据的机密性（保密性）：信息在网络上传送或存储的过程中不被他人窃取，不被泄露或披露给未经授

访问的控制性：在网络上限制和控制通信链路对主机系统的访问。

主动攻击：攻击者直接介入internet中的信息流动，攻击后，被攻击的通信双方可以发现攻击的存在。

被动攻击：攻击者不直接介入internet中的信息流动，只是窃听其中信息，被

动攻击后，被攻击的通信双方往往无法发现攻击的存在。

TCP劫持入侵：是对服务器的最大威胁之一，其基本思想是控制一台连接于入侵目标网的计算机，然后从网上断开，让网络服务器误以为黑客就是实际的客户端。电子邮件炸弹：是攻击者向同一个邮箱发送大量的垃圾邮件，以堵塞该邮箱。电商安全需求的可靠性：电商传统的可靠性，为防止由于计算机失效，程序错误，传输错误，硬件故障，系统软件错误，计算机病毒和自然灾害等所产生的潜在威胁加以控制和预防，确保系统的安全可靠。

电商安全需求的真实性：商务活动中交易者身份的真实性。

电商安全需求的机密性：交易过程中必须保证信息不会泄露给非授权的人或实体。

电商安全需求的完整性：数据在输入和传输过程中，要求保证数据的一致性，防止数据被非授权者建立、修改和破坏。

明文：也称信源。原始的，未被伪装的信息（简称M）。

密文：通过一个密钥和加密算法将明文变成一种伪装信息。（简称C）。

加密：就是用基于数学算法的程序和加密的密钥对信息进行编码。生成别人难以理解的符号，即把明文变成密文的过程。（简称E）。

解密：由密文恢复明文的过程，称为解密。（简称D）。

密钥：加密和解密算法通常都是在一组密钥的控制下进行的分别称作加密密钥和解密密钥（简称K）。

主密钥：多层次密钥系统中，最高层的密钥也叫作主密钥。

加密算法：对明文进行加密多采用的一组规则。即加密程序的逻辑。

解密算法：消息传给接受者后要对密文进行解密时采用的一组规则。

单钥密码体制：又秘密密钥体制，对称密钥体制。加密和解密使用相同或实际上等同的密钥的加密体制。

集中式分配：利用网络中密钥管理中心（KMC）来集中管理系统中的密钥，“密钥管理中心”接受系统用户的请求，为用户提供安全分配密钥的服务。

分布式分配：网络中各主机具有相同的地位，它们之间的密钥分配取决于它们自己的协商不受任何其它方面的限制。

无条件安全：若它对于拥有无限计算资源的破译者来说是安全的则该密码体制无

条件安全是理论上安全的。

计算上安全：若一个密码体制对于拥有优先计算资源的破译者来说是安全的则该密码体制计算上安全表明破译的难度很大是实用的安全性。

多级安全：这种安全防护安装在不同的网络，应用程序工作站等方面对敏感信息提供更高的保护，让每个对象都有一个敏感标签而每个用户都有个许可级别。数据完整性:又真确性，是数据处于“一种未受损的状态”和保持完整或被分割的品质或状态。

散列函数：又哈希函数，杂凑函数，压缩函数，收缩函数，消息摘要，数字指纹，是将一个长度不同的输入串转换成一个长度确定的输出串散列值（哈希值，杂凑值，消息摘要）输出串比输入串短。h=H(M)。

数字签名：利用数字技术实现在网络传送文件时附加个人标记完成传统上手书签名签章作用以表确定，负责，经手等。

双钥密码加密：是一对匹配使用的密钥。一个是公钥，是公开的，其他人可以得到；另一个是私钥，为个人所有。这对密钥经常一个用来加密，一个用来解密。网络物理安全：指物理设备可靠，稳定运行环境，容错，备份，归档和数据完整性预防。

容错技术：当系统发生某些错误或故障时，在不排除错误和故障的条件下使系统能够继续正常工作或进入应急工作状态

冗余系统：系统除配置正常部件外还配置备件部件

数据备份：为防止系统出现操作失误或系统故障导致数据丢失而将全系统或部分数据集合冲应用用主机的硬盘或阵列复制到其他的存储介质的过程

备份：恢复出错系统的办法之一，可用备份系统将最近一次系统备份恢复到机器上去

归档：将文件从计算机的存储介质中转移到其他永久性的介质上，以便长期保存的过程

镜像技术：将数据原样地从一台设备机器拷贝到另一台设备机器上

奇偶效验:是服务器的一个特性，提供一种机器机制来保证检测，因此不会引起因服务器出错而造成的数据完整性丧失

计算机病毒：编制者在计算机程序中插入的破坏计算机的功能或破坏数据影响计

算机使用并能自我复制的一组计算机指令或程序代码

引导性病毒：寄生在磁盘引导区或引导区的计算机病毒（主引导记录病毒、分区引导记录病毒）（2708、火炬、大麻、小球、Girl）

文件性病毒：能够寄生在文件中的计算机病毒（157511591、848、com/cept）复合型病毒：具有引导型病毒和文件型病毒寄生方式的计算机病毒。（Flip,One_half,新世纪）

良性病毒：只为表现自身，并不彻底破坏系统和数据，当会大量占用CPU时间，增加系统开销降低系统工作效率的一类计算机病毒（小球、157511591、救护车、扬基、Dabi）

恶性病毒：一旦发作后就会破坏系统或数据，造成计算机系统瘫痪的一类计算机病毒（火炬、黑色星期五、米开朗基罗）

防火墙：一类防范措施的总称，使内部网络在Znternrt之间或与其他外部网络互相隔离限制网咯互访用来保护内部网络

非军事化区（DMZ）:为配置管理方便，内网中需要向外提供服务的服务器常放在一个单独的网段该网段便是非军事化区

扼制点：提供内、外两个网络间的访问控制。

VPN(虚拟专用网)：通过一个公共网络建立一个临时的、安全连接。

IPSec(互联网协议安全)：一系列保护IP通信规则的集合，制定了通过共有网络传输私有加密信息的途径和方式。

Intranet VPN：即企业的总部与分支机构通过公网构成的虚拟网。

Access VPN：又拨号VPN（VPDN），企业员工或企业小分支机构通过公网远程拨号方式构成虚拟网。

Extranet VPN：企业间发生收购兼并或企业间建立战略联盟后使不同企业网通过公网构成的虚拟网。

接入控制：接入或访问控制是保证网络安全的重要手段，它通过一组机制不同级别的主体对目标资源的。不同授权访问在对主体认证后实施网络资源安全管理使用。

接入控制的主体：是对目标进行访问的实体（用户，用户组，终端主机或应用程序）

接入控制的客体：是一个可接受访问的实体（数据文件程序组或数据库）

接入权限：表示主体对客体访问时可拥有的权利。接入权要按每一对主体客体分别限定权利包括读，写，执行。读写含义明确，而执行权指目标为一个程序时它对文件的查找和执行

多级安全策略：主体和客体按普通秘密、机密、绝密级划分，进行权限和流向控制

自主式接入控制（DAC）：它由资源拥有者分配接入权，在分辨各用户的基础上实现接入控制。每个用户的接入权由数据的拥有者建立，常以接入控制表或权限表实现。

强制式接入控制（MAC）：由系统管理员来分配接入权限和实施控制易于网络安全策略协调常用敏感标记实现多级安全控制。

加密桥技术：一种在加/解密卡的基础上开发加密桥的技术可实现在不存在降低加密安全强度旁路条件下，为数据库加密字段的存储、检索、索引、运算、删除、修改、等功能的实现提供接口，并且它的实现与密码算、密码法设备无关。

身份识别：输入个人信息经处理提取成末班信息试着在存储数据库中搜索找出个与之匹配的模板而后给出定论。

通行字：又称口令，护字符。是一种根据已知事物验证身份的方法，也是一种研究一种是用最广的身份验证法。

Kerbcros:是一种典型的用于客户机和服务器认证体系协议，它是一种基于对称密码体制的安全认证服务系统。

域内认证：是指Client向本Kerberos的认证域以内的Server申请服务。

拒绝率或虚报率：是指身份证明系统的质量指标为合法用户遭拒绝的概率。

漏报率：是指非法用户伪造身份成功的概率。

域间认证：是指Client向本Kerberos的认证域以外的Server申请服务。

客户证书：证明客户身份和密钥所有权。

服务器证书：证实服务器的身份和公钥。

安全邮件证书：证实电子邮件用户的身份和公钥。

CA证书：证实CA身份和CA的签名密钥。

数据库服务器：是认证机构的核心部分，用于认证机构数据，日志和统计信息的

存储和管理。

公钥用户：公钥用户需要知道公钥的实体为公钥用户。

数字认证：用数字办法确认、鉴定、认证网络上参与信息交流者货服务器的身份，是一个担保个人，计算机系统或组织的身份和密钥所有权的电子文档。

公钥证书：将公开密钥与特定的人，器件或其他实体联系起来，是有证书机构签置的，其中包含持证者的确切身份。

公钥数字证书：是网络上的证明文件，证明双钥体制中的公钥所有者就是证书上所记录的使用者。

单公钥证书系统：一个系统中所有用户共同一个CA.

多公钥证书系统：用于不同证书的用户的互相认证。

证书机构CA：用于创建和发布证书，通常为一个称为安全域的有限群体发放证书。

安全服务器：面向普通用户用于提供证书申请浏览。CRL以及证书下载等安全服务。

CA服务器：整个证书服机构的核心，负责证书的签发。

LDAP服务器:提供目录浏览服务、负责将注册机构服务器传输过来的用户信息及数只证书加到服务器上。

认证机构：一些不直接从电子商务中获利的受法律承认的可信任的权威机构负责发放和管理电子证书。使网上通信各方面能互相确认身份。

证书更新：当证书持有者的证书过期、证书被窃取、受到攻击时通过更新证书的方法，使用其新的证书继续参与网上认证。证书的更新包括证书的更换和证书的延期两种情况。

PKI:公钥基础设施，是一种遵循既定标准利用公钥密码技术为电子上网的开展提供一套安全基础评分的技术和规范。

政府审批机构PAA:制定整个体系结构的安全政策，并制定所有下级机构要遵循的规章制度主要是证书政策和证书使用规定。

证书政策：是一组规则，指出一个证书对一组特定用户或应用的可适用性，表明它对于一个特定应用和目的是否是可用的，构成了交叉验证的基础。

证书使用规定：综合描述了CA对证书政策的各项要求的实现方法。

认证服务：身份识别与鉴别。确认实体即为自己所声明的实体鉴别身份的真伪。不可否认性服务：从技术上保证实体对其行为的认可。

公证服务：“数据认证”，公证人要证明的是数据的有效性和正确性，这种公证取决于数据验证方式。

1.电商的技术要素组成：1.网络

2.应用软件

3.硬件。

2.常见的电商模式：1.大字机/告示牌模式 2.在线黄页簿模式

3.电脑空间上的小册子模式

4.虚拟百货店模式

5.预订/订购模式

6.广告推销模式。

3.电商的发展过程：1.95年，网络基础设施大量兴建 2.96年，应用软件及服务成为热点3.97年，网址及内容管理的建设发展

4.98年，网上零售业及其他交易蓬勃发展。

4.发展电商的驱动力:1.信息产品硬件制造商 2.信息产品软件厂商 3.大型网上服务厂商 4.银行及金融机构

5.大企业

6.政府。

5.电商存在的安全隐患：1.计算机系统（硬件系统，软件系统） 2. 数据的安全隐患（数据的安全，交易的安全）。

6.电商系统可能遭受的攻击：1.系统穿透2.违反授权原则3.植入4.通信监视5.通信串扰6.中断

7.拒绝服务

8.否认

9.病毒。

7.电商安全的中心内容：1.商务数据的机密性2.商务数据的完整性3.商务对象的认证性4.商务服务的不可否认性5.商务服务的不可拒绝性6.访问的控制性。Internet由以下构建组成：1.客户端软件（web浏览器）2.客户端的操作系统3.客户端的局域网（LAN）4.internet网络5.服务器端的局域网（LAN）6.服务器上的web服务器软件。

8.对Interhet的攻击类型:1.截断信息2.伪造3.篡改4.介入。

9.Internet在安全方面隐患：1.Internnet的安全漏洞2.外界攻击3.局域网服务和互相信任的主机的安全漏洞4.设备或软件的复杂性带来的安全隐患。

10.TCP/IP协议的安全隐患：1.针对IP的“拒绝服务”攻击2. IP地址的顺序号预测攻击3.TCP协议劫持入侵(最大威胁)4.嗅探入侵。

11.Web客户机的任务：1.为客户提出一个服务请求2.将客户的请求发送给服务器3.解释服务器传送的HTML格式文档通过浏览器显示恰客户。

12.Web服务器的任务：1.接受客户机来的请求2.检查请求的合法性3.针对请求

获取制作数据4.把信息发送给提出请求的客户机。

13.Web站点的安全隐患：1.机密信息被窃取2.数据及软硬件系统被破坏。