全国2005年10月高等教育自学考试

33．通行字有效期是指限定通行字的使用期限。

34.不可否认业务在数字环境下可看做是通信中的一种属性，用来防止通信参与者对已进行的业务的否认。 35. SSL记录协议，定义了信息交换中所有数据项的格式。 五、36.电子商务系统可能遭受哪些攻击？ 电子商务系统可能遭受的攻击有以下几种：

(1)系统穿透。 (2)违反授权原则。 (3)植入。 (4)通信监视。(5)通信窜扰。 (6)中断。 (7)拒绝服务。 (8)否认。 (9)病毒。

37.简述分布式密钥分配的概念。

集中式分配是指利用网络中的“密钥管理中心(KMC)”来集中管理系统中的密钥，“密钥管理中心”接受系统中用户的请求，为用户提供安全分配密钥的服务。分布式分配方案是指网络中各主机具有相同的地位，它们之间的密钥分配取决了它们自己的协商，不受任何其他方面的限制。 38.数据完整性被破坏会带来哪些严重的后果？

(1)造成直接的经济损失。 (2)影响一个供应链上许多厂商的经济活动。 (3)可能造成过不了“关”。 (4)会牵涉到经济案件中。 (5)造成电子商务经营的混乱与不信任。 39.简述防火墙不能解决的问题。

网络管理员不能及时响应报警并审查常规记录，防火墙就形同虚设。 防火墙无法防范通过防火墙以外的其他途径的攻击。

防火墙不能防止来自内部变节者和不经心的用户带来的威胁。

防火墙也不能防止传送已感染病毒的软件或文件。 防火墙无法防范数据驱动型的攻击。 40.简述加密桥技术的优点。

加密桥技术的优点是，加密桥与DBMS是分离的，可以解决加密桥特有的安全性： (1)解决了数据库加密数据没有非密旁路漏洞的问题。

(2)便于解决“数据库加密应用群件系统”在不同DBMS之间的通用性。

(3)便于解决系统在DBMS不同版本之间的通用性。 (4)不必去分析DBMS的原代码。 (5)加密桥用C++写成的，便于在不同的操作系统之间移植。

(6)加密桥与DBMS是分离的，可以解决嵌入各种自主知识产权加密方法的问题。 41．简述认证机构的功能。

(1)证书申请（新证书的发放） (2)证书更新。 (3)证书吊销或撤销。 (4)证书的公布和查询。 六、42.试述RSA加密算法中．密钥的算法。 RSA密码体制可以描述如下：

(1)独立选取两个大素数：p和q。 (2)计算n=pq，

(3)然后计算小于n并且与n互质的整数的个数，即欧拉函数φ(n)=（p-1）（q-l）。

(4)随机选择加密密钥e；要求e满足1≤e≤φ(n)，并且和≠(n)互质。即gcd(e，φ(n))=1． (5)最后，利用Euclid算法计算解密密钥d，满足ed=1(modφ(n)）

其中n和d也要互质。数e和n是公钥，d是私钥。两个素数p和q不再需要，应该丢弃。

加密时，首先把明文m分成等长数据块m1，m2，?，mi，块长s，其中2ss<=n，s尽可能的大。对应的密文是： ci=(mi)e（mod n） 解密时，作计算： mi=(ci)d( mod n)

全国高等教育自学考试

电子商务安全导论标准预测试卷（三）

（考试时间150分钟）

第一部分 选择题

一、单项选择题（本大题共20小题，每小题1分，共20分）在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填写在题后的括号内。

1．电子商务，在相当长的时间里，不能少了政府在一定范围和一定程度上的介入，这种模式表示为 ( ) A．B-G B．B-C C．B-B D．C-C

2．在电子商务的安全需求中，交易过程中必须保证信息不会泄露给非授权的人或实体指的是( ) A．可靠性 B．真实性 C．机密性 D．完整性

3．通过一个密钥和加密算法可将明文变换成一种伪装的信息，称为 ( ) A．密钥 B．密文 C．解密 D．加密算法

4．与散列值的概念不同的是 ( )A．哈希值 B．密钥值 C．杂凑值 D．消息摘要 5．SHA的含义是 ( )A．安全散列算法B．密钥C．数字签名D．消息摘要

6．《电子计算机房设计规范》的国家标准代码是 ( )A. GB50174-93 B.GB9361- 88 C. GB2887-89 D.GB50169- 92 7．外网指的是 ( ) A.非受信网络 B．受信网络 C．防火墙内的网络 D．局域网 8．IPSec提供的安全服务不包括 ( ) A．公有性 B．真实性 C．完整性 D．重传保护

9．组织非法用户进入系统使用 ( )A．数据加密技术 B．接入控制 C．病毒防御技术 D．数字签名技术 10. SWIFT网中采用了一次性通行字，系统中可将通行字表划分成_______部分，每部分仅含半个通行字，分两次送给用户，以减少暴露的危险性。 ( ) A．2 B．3 C．4 D．5

11．Kerberos的域内认证的第一个步骤是 ( )A. Client →AS B. Client ←AS C．Client AS D．AS Client 12．_______可以作为鉴别个人身份的证明：证明在网络上具体的公钥拥有者就是证书上记载的使用者。 ( ) A．公钥对 B．私钥对 C．数字证书 D．数字签名

13.在公钥证书数据的组成中不包括 ( ) A．版本信息 B．证书序列号 C．有效使用期限 D．授权可执行性 14.既是信息安全技术的核心，又是电子商务的关键和基础技术的是 ( ) A．PKI B．SET C．SSL D．ECC 15．基于PKI技术的_______协议现在已经成为架构VPN的基础。 ( )A．IPSec B．SET C．SSL D．TCP/IP 16.以下不可否认业务中为了保护收信人的是 ( )

A．源的不可否认性B．递送的不可否认性C．提交的不可否认性D．专递的不可否认性 17. SSL更改密码规格协议由单个消息组成，值为 ( ) A．0 B．1 C．2 D．3 18．SET认证中心的管理结构层次中，最高层的管理单位是 ( )

A. RCA- Root CA B.BCA-Brand CA C. GCA- Geo - Political CA D.CCA-CardHoider CA 19. TruePass是_______新推出的一套保障网上信息安全传递的完整解决方案。 ( ) A．CFCA B．CTCA C．SHECA D．RCA 20. SHECA数字证书根据应用对象的分类不包括 ( )

A．个人用户证书 B．手机证书 C．企业用户证书 D．代码证书

二、多项选择题f本大题共5小题，每小题2分，共10分）在每小题列出的五个备选项中至少有两个是符合题目要求的，请将其代码填写在题后的括号内。错选、多选、少选或未选均无分。 21. Web客户机的任务是 ( )

A．为客户提出一个服务请求 B．接收请求 C．将客户的请求发送给服务器

D．检查请求的合法性 E．解释服务器传送的HTML等格式文档，通过浏览器显示给客户 22.单钥密码体制的算法有 ( )

A．DES B．IDEA C．RC-5 D．AES E．RSA 23. h=H(M)，其中H为散列函数，H应该具有的特性包括 ( ) A．给定M，很容易计算h B．给定h，很容易计算M C．给定M，不能计算h D．给定h，不能计算M

E．给定M，要找到另一个输入串M'并满足H(M＇)＝H(M)很难

24．网络系统物理设备的可靠、稳定、安全包括 ( )A．运行环境 B．容错 C．备份 D归档 E．数据完整性预防 25. VPN隧道协议包括 ( ) A．PPTP B．L2F C．L2TP D．GRE E．IPSec 第二部分 非选择题

三、填空题（本大题共5小题，每空1分，共10分）请在每小题的空格中填上正确答案。错填、不填均无分。 26.多层次的密钥系统中的密钥分成两大类：_______加密密钥(DK)和_______加密密钥(KK)。 27.病毒的特征包括非授权可执行性、_______ 、_______、潜伏性、表现性或破坏性、可触发性。 28. VPN解决方案一般分为VPN _______和VPN_______。 29.身份证明技术，又称_______、_______、身份证实等。

30.密钥备份与恢复只能针对_______ ，_______为确保其唯一性而不能够作备份。 四、名词解释题（本大题共5小题，每小题3分，共15分） 31．C1级 32．RSA密码算法 33．接人权限 34．拒绝率 35．SSL 五、简答题(本大题共6小题，每小题5分，共30分)

36．简述数字签名的实际使用原理。 37.简述归档与备份的区别。38．简述防火墙的设计原则。39.简述公钥证书使用有效性条件。40. PKI的性能是什么? 41．简述CFCA时间戳服务的工作流程。 六、论述题（本大题共1小题，共15分）42．试述组建VPN应遵循的设计原则。 电子商务安全导论标准预测试卷（三）参考答案

一、1. A 2.C 3.B 4.B 5.A 6.A 7.A 8.A 9.B 10. A 11. A 12. C 13. D 14. A 15. A 16. A 17. B 18. A 19. A 20.B 二、21. ACE 22. ABCD 23. ADE 24. ABCDE 25. ABCDE

三、26.数据 密钥 27.隐蔽性 传染性 28.服务器 客户端 29．识别 实体认证 30．解密密钥签名私钥

四、31． C1级，有时也叫做酌情安全保护级，它要求系统硬件有一定的安全保护，用户在使用前必须在系统中注册。

32. RSA密码算法是第一个既能用于数据加密也能用于数字签名的算法。RSA密码体制是基于群Zn中大整数因子分解的困难性。

33．接入权限：表示主体对客体访问时可拥有的权利，接人权要按每一对主体客体分别限定，权利包括读、写、执行等，读写含义明确，而执行权指目标为一个程序时它对文件的查找和执行。 34．拒绝率是指身份证明系统的质量指标为合法用户遭拒绝的概率。

35． SSL即安全套接层（或叫安全套接口层）协议是用于到购物网站上交易的，并保障交易的安全性。通俗地说，SSL就是客户和商家在通信之前，在Internet上建立一个―秘密传输信息的信道‖，保障了传输信息的机密性、完整性和认证性。

五、36．简述数字签名的实际使用原理。

数字签名实际使用原理是：消息M用散列函数H得到消息摘要h1=H(M)，然后发送方A用自己的双钥密码体制的私钥KSA对这个散列值进行加密得EKAS(h1)，来形成发送方A的数字签名。然后，这个数字签名将作为消息M的附件和消息M一起发送给消息接收方B。消息的接收方B首先把接收到的原始消息分成M＇和EKSA(h1)。从M＇中计算出散列值h2=H(M＇)，接着再用发送方的双钥密码体制的公钥KPA来对消息的数字签名进行解密DKPA( EKSA(h1))得h1。如果散列值h1=h2，那么接收方就能确认陵数字签名是发送方A的，而且还可以确定此消息没有被修改过。 37.简述归档与备份的区别。

归档是指将文件从计算机的存储介质中转移到其他永久性的介质上，以便长期保存的过程。归档不同于备份。备份的目的是从灾难中恢复。归档是把需要的数据拷贝或打包，用于长时问的历史性的存放，归档可以清理和整理服务器中的数据。归档也是提高数据完整性的一种预防性措施。 38．简述防火墙的设计原则。 防火墙的设计须遵循以下基本原则：

(1)由内到外和由外到内的业务流必须经过防火墙。(2)只允许本地安全政策认可的业务流通过防火墙。

(3)尽可能控制外部用户访问内域网，应严格限制外部用户进入内域网。

(4)具有足够的透明性，保证正常业务的流通。(5)具有抗穿透攻击能力、强化记录、审计和告警。 39.简述公钥证书使用有效性条件 证书要有效，必须满足下列条件：

(1)证书没有超过有效。(2)密钥没有被修改。(3)证书不在CA发行的无效证书清单中。 40. PKI的性能是什么？(1)支持多政策。(2)透明性和易用性。(3)互操作性。 (4)简单的风险管理。(5)支持多平台。(6)支持多应用。 41．简述CFCA时间戳服务的工作流程。 工作流程：

用户对文件数据进行哈希摘要处理。

用户提出时间戳的请求，哈希值被传递给时间戳服务器；时间戳服在对哈希值和一个日期／时间记录进行签名，生成时间戳。

六、42.试述组建VPN应遵循的设计原则。

VPN的设计应该遵循以下原则：安全性、网络优化、VPN管理等。

在安全性方面，由于VPN直接构建在公用网上，实现简单、方便、灵活，但同时其安全问题也更为突出。企业必须确保其VPN上传送的数据不被攻击者窥视和篡改，并且要防止非法用户对网络资源或私有信息的访问。Extranet VPN将企业网扩展到合作伙伴和客户，对安全性提出了更高的要求。安全问题是VPN的核心问题。目前，VPN的安全保证主要是通过防火墙技术、路由器配以隧道技术、加密协议和安全密钥来实现的，可以保证企业员工安全地访问公司网络。

在网络优化方面，构建VPN的另一重要需求是充分有效地利用有限的广域网资源，为重要数据提供可靠的带宽。广域网流量的不确定性使其带宽的利用率很低，在流量高峰时引起网络阻塞，产生网络瓶颈，使实时性要求高的数据得不到及时发送；而在流量低谷时又造成大量的网络带宽空闲。QoS通过流量预测与流量控制策略，可以按照优先级分配带宽资源，实现带宽管理，使得各类数据能够被合理地先后发送，并预防阻塞的发生。

在VPN管理方面，VPN要求企业将其网络管理功能从局域网无缝地延伸到公用网，甚至是客户和合作伙伴。虽然可以将一些次要的网络管理任务交给服务提供商去完成，企业自己仍需要完成许多网络管理任务。所以，一个完善的VPN管理系统是必不可少的。VPN管理的目标为：减小网络风险、具有高扩展性、经济性、高可靠性等优点。事实上，VPN管理主要包括安全管理、设备管理、配置管理、访问控制列表管理、QoS服务质量管理等内容。

全国高等教育自学考试

电子商务安全导论标准预测试卷（四）

（考试时间150分钟）

第一部分选择题

一、单项选择题（本大题共20小题，每小题1分，共20分）在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填写在题后的括号内。

1．电子商务安全的中心内容共有几项？ ( ) A．4 B．5 C．6 D．7

2．由密文恢复成明文的过程，称为 ( ) A．加密 B．密文 C．解密 D．解密算法

3．最早提出的公开的密钥交换协议是 ( )A. Diffie – Hellman B.ELGamal C．IDEA D．TCP/IP 4．在MD-5算法中，消息压缩后输出为_______比特。 ( ) A．32 B．64 C．128 D．256 5．数字签名有时需要某人对一个文件签名，而又不让他知道文件内容，称为 ( ) A. RSA签名 B．盲签名 C．ELGamal签名 D．无可争辩签名

6．《电气装置安装工程、接地装置施工及验收规范》的国家标准代码是 ( ) A. GB50174- 93 B.GB9361-88 C. GB2887-89 D.GB50169 - 92