全国2005年10月高等教育自学考试《电子商务安全导论》试题
课程代码：00997
一、单项选择题(本大题共20小题，每小题1分，共20分)
1.TCP/IP协议安全隐患不包括( )
A.拒绝服务
B.顺序号预测攻击
C.TCP协议劫持入侵
D.设备的复杂性
2.IDEA密钥的长度为( ) A.56 B.64 C.124 D.128
3.在防火墙技术中，内网这一概念通常指的是( )
A.受信网络
B.非受信网络
C.防火墙内的网络
D.互联网
4.《计算机场、地、站安全要求》的国家标准代码是( )
A.GB57104-93
B.GB9361-88
C.GB50174-88
D.GB9361-93
5.在Kerberos中，Client向本Kerberos的认证域以内的Server申请服务的过程分为几个阶段?
( ) A.三个 B.四个 C.五个 D.六个
6.信息安全技术的核心是( ) A.PKI B.SET C.SSL D.ECC
7.Internet接入控制不能对付以下哪类入侵者? ( )
A.伪装者
B.违法者
C.内部用户
D.地下用户
8.CA不能提供以下哪种证书? ( )
A.个人数字证书
B.SSL服务器证书
C.安全电子邮件证书
D.SET服务器证书
9.我国电子商务走向成熟的重要里程碑是( )A.CFCA B.CTCA C.SHECA D.RCA
10.通常为保证商务对象的认证性采用的手段是( )
A.信息加密和解密
B.信息隐匿
C.数字签名和身份认证技术
D.数字水印
11.关于Diffie-Hellman算法描述正确的是( )
A.它是一个安全的接入控制协议
B.它是一个安全的密钥分配协议
C.中间人看不到任何交换的信息
D.它是由第三方来保证安全的
12.以下哪一项不在证书数据的组成中? ( )A.版本信息 B.有效使用期限C.签名算法 D.版权信息
13.计算机病毒的特征之一是( )
A.非授权不可执行性
B.非授权可执行性
C.授权不可执行性
D.授权可执行性
14.在Kerberos中，Client向本Kerberos认证域外的Server申请服务包含几个步骤? ( )
A.6
B.7
C.8
D.9
15.属于PKI的功能是( )A.PAA，PAB，CA B.PAA，PAB，DRA C.PAA，CA，OR A D.PAB，CA，OR A
16.MD-4散列算法中输入消息可以任意长度，但要进行分组，其分组的位数是( )
A.64
B.128
C.256
D.512
17.SHA的含义是( ) A.加密密钥 B.数字水印 C.安全散列算法 D.消息摘要
18.对身份证明系统的要求之一是( )
A.具有可传递性
B.具有可重用性
C.示证者能够识别验证者
D.验证者正确识别示证者的概率极大化
19.阻止非法用户进入系统使用( )A.病毒防御技术 B.数据加密技术C.接入控制技术 D.数字签名技术
20.以下不是数据库加密方法的是( )A.使用加密软件加密数据 B.使用专门软件加密数据C.信息隐藏 D.用加密桥技术
二、多项选择题(本大题共5小题，每小题2分，共10分)
21.电子商务系统可能遭受的攻击有( )A.系统穿透 B.植入 C.违反授权原则D.通信监视 E.计算机病毒
22.属于公钥加密体制的算法包括( )A.DES B.二重DES C.RSA D.ECC E.ELGamal
23.签名可以解决的鉴别问题有( )
A.发送者伪造
B.发送者否认
C.接收方篡改
D.第三方冒充
E.接收方伪造
24.公钥证书的类型有( )A.客户证书 B.服务器证书 C.安全邮件证书 D.密钥证书 E.机密证书
25.在SET中规范了商家服务器的核心功能是( )
A.联系客户端的电子钱包
B.联系支付网关
C.处理SET的错误信息
D.处理客户的付款信息
E.查询客户帐号信息
三、填空题(本大题共10空，每空1分，共10分)
26.美国的《可信任的计算机安全评估标准》为计算机安全制定了____级标准，其中____级是最安全的。
27.网关业务规则根据其使用的证书以及在网上交易是否遵循SET标准分为______业务规则和_____业务规则。
28.通常通信中涉及两类基本成员，即发信者和接收者。相应地引出两个不可否认性的基本类型，即______和__。
29.网络备份系统目前有____备份系统，____备份系统和使用专用的备份服务器。
30.无可争辩签名是为了防止所签文件被______，有利于_____控制产品的散发。
四、名词解释题(本大题共5小题，每小题3分，共15分)
31.自主式接入控制 32.计算机病毒 33.身份证明系统34.PKI 35.单钥密码体制
五、简答题(本大题共6小题，每小题5分，共30分)
36.简述双钥密码体制的基本概念及特点。37.简述数据交换时如何利用数字信封来确保接收者的身份。
38.电子商务安全的中心内容是什么? 39.简述SSL的体系结构。
40.简述防火墙设计原则。 41.简述IPSec的两种工作模式。
六、论述题(本大题共1小题，15分)
42.试述公钥证书的申请和吊销的过程。
全国2005年10月高等教育自学考试《电子商务安全导论》试题参考答案
一、单选题1、D 2、D 3、A 4、B 5、A6、A 7、C 8、D 9、A 10、C
11、B 12、D 13、B 14、C 15、C16、D 17、C 18、D 19、C 20、C
二、多项选择题21、ABCDE 22、CDE 23、BCDE 24、ABC 25、ABC
三、填空题26、4 A 27、SET标准支付网关NON-SET标准银行28、源的不可否认性递送的不可否认性29、简单的网络服务器到服务器30、复制产权拥有者
四、名词解释31、P/9432、P/7433、P/9934、P/12735、P/25
五、简答题36、P/4737、P/68-6938、P/11-1239、P/13940、P/8041、P/85
六、论述题42、P/114-115
全国2006年1月高等教育自学考试《电子商务安全导论》试题
课程代码：00997
一、单项选择题（本大题共20小题，每小题1分，共20分）
1．保证商业服务不可否认的手段主要是( )A．数字水印 B．数据加密C．身份认证 D．数字签名
2．DES加密算法所采用的密钥的有效长度为( )A．32 B．56 C．64 D．128
3．在防火墙技术中，我们所说的外网通常指的是( )A．受信网络 B非受信网络C防火墙内的网络 D局域网
4．《电子计算机房设计规范》的国家标准代码是( )A．GB50174—93 B．GB50174—88 C．GB57169—93 D．GB57169—88 5．通行字也称为( )A．用户名 B．用户口令C．密钥 D．公钥
6．不涉及PKI技术应用的是( )A．VPN B．安全E-mail C．Web安全 D．视频压缩
7．多级安全策略属于( )A．最小权益策略 B．最大权益策略C．接入控制策略 D．数据加密策略
8．商户业务根据其使用的证书以及在网上交易是否遵循SETCo标准分为( )
A．SET标准商户业务规则与SSL标准商户业务规则B．SET标准商户业务规则与Non-SSL标准商户业务规则
C．SET标准商户业务规则与Non-SET标准商户业务规D。Non-SET标准商户业务规则与SSL标准商户业务规则
9．SHECA指的是( ) A．上海市电子商务安全证书管理中心B．深圳市电子商务安全证书管理中心
C．上海市电子商务中心D．深圳市电子商务中心
10．以下哪一项是密钥托管技术?( )A．EES B．SKIPJACK C．Diffie-Hellman D．RSA
11．公钥体制用于大规模电子商务安全的基本要素是( )
A．哈希算法 B．公钥证书C．非对称加密算法 D．对称加密算法
12．文件型病毒是寄生在以下哪类文件中的病毒?( )
A．仅可执行文件 B．可执行文件或数据文件C．仅数据文件 D．主引导区
13．身份证明系统应该由几方构成?( ) A．2 B．3 C．4 D．5
14．不属于PKI基础技术的是( )A．加密技术 B．数字签名技术C．数字信封技术 D．数字水印技术
15．HTTPS是使用以下哪种协议的HTTP?( )A．SSL B．SSH C．Security D．TCP
16．消息经过散列函数处理后得到的是( )A．公钥 B．私钥C．消息摘要 D．数字签名
17．关于双联签名描述正确的是( )A．一个用户对同一消息做两次签名 B．两个用户分别对同一消息签名
C．对两个有联系的消息分别签名 D．对两个有联系的消息同时签名
18．Kerberos中最重要的问题是它严重依赖于( )A．服务器 B．口令C．时钟 D．密钥
19．网络安全的最后一道防线是( )A．数据加密 B．访问控制C．接入控制 D．身份识别
20．关于加密桥技术实现的描述正确的是( )
A．与密码设备无关，与密码算法无关 B．与密码设备有关，与密码算法无关
C．与密码设备无关，与密码算法有关 D．与密码设备有关，与密码算法有关
二、多项选择题（本大题共5小题，每小题2分，共10分）。
21．对Internet的攻击有多种类型，包括( )A．截断信息 B．中断 C．伪造D．病毒 E．介入
22．单钥密码体制的算法包括( )
A．DES加密算法 B．二重DES加密算法 C．ECC加密算法D．RSA加密算法 E．SHA加密算法
23．关于仲裁方案实现的描述以下哪些是正确的?( )
A．申请方生成文件的单向杂凑函数值B．申请方将杂凑函数值及原文一并传递给加戳方
C．加戳方在杂凑函数值后附上时间与日期，并进行数字签名
D．加戳方将签名的杂凑函数值，时戳一并发给申请者E．加戳方生成文件的单向杂凑函数
24．属于构成CA系统的服务器有( )
A．安全服务器 B．CA服务器 C．加密服务器D．LDAP服务器 E．数据库服务器
25．对SSL提供支持的服务器有( )A．Netscape communicator B．Mircrosoft Internet Explore C．Microsoft IIS D．Lotus Notes Server E．MS-DOS
三、填空题（本大题共10空，每空1分，共10分）
26．电子商务安全的中心内容包括机密性，______，认证性，______，不可拒绝性和访问控制性。
27．CFCA是由______牵头的、联合14家全国性商业银行共同建立的______机构。
28．实现不可否认性从机制上应当完成业务需求分析，证据生成，证据传送，______，______ 等业务活动。
29．按寄生方式计算机病毒可分为______，______和复合型病毒。
30．数字信封是用______的公钥加密DES的密钥，该DES密钥是______随机产生的用来加密消息的密钥。
四、名词解释题（本大题共5小题，每小题3分，共15分）
31．接入控制32．镜像技术33．Kerberos 34．密钥管理35．双钥密码体制
五、简答题（本大题共6小题，每小题5分，共30分）
36．电子商务的安全需求包含哪些方面? 37．简述数字签名的基本原理。
38．简述美国《可信任的计算机安全评估标准》中C1级和C2级的要求。
39．简述认证机构提供的四个方面的服务。40．简述VPN的优点。41．简述数据完整性。
六、论述题（本大题共1小题，15分）
42．试述SET实际操作的全过程。
全国2006年1月高等教育自学考试《电子商务安全导论》试题参考答案
一、单选题1、D 2、C 3、B 4、A 5、B6、D 7、C 8、C 9、A 10、C
11、B 12、B 13、B 14、D 15、A16、C 17、D 18、C 19、A 20、A
二、多项选择题21、ACE 22、AB 23、 24、25、
三、填空题26、完整性不可否认性27、中国人民银行国家级权威金融论证28、证据证实证据保存
29、引导型文件型30、接收方发送方
四、名词解释31、P/9332、P/7433、P/10334、P/13235、P/47
五、简答题36、P/2137、P/6638、P/2039、P/12540、P/8341、P/53
六、论述题42、P/150
全国2006年10月高等教育自学考试
电子商务安全导论试题
课程代码：00997
一、单项选择题（本大题共20小题，每小题1分，共20分）
1.计算机病毒最重要的特征是( )A.隐蔽性 B.传染性 C.潜伏性 D.破坏性
2.在防火墙使用的存取控制技术中对所有进出防火墙的包标头内容进行检查的防火墙属于( )
A.包过滤型
B.包检验型
C.应用层网关型
D.代理服务型
3.在接入控制的实现方式中，MAC的含义是( )
A.自主式接入控制
B.授权式接入控制
C.选择式接入控制
D.强制式接入控制
4.电子商务的安全需求不包括( )A.可靠性 B.稳定性 C.真实性 D.完整性
5.Kerberos的局限性从攻击的角度来看，大致有几个方面的问题( )A.4 B.5 C.6 D.7
6.通行字的最小长度至少为( )A.4～8字节以上 B.6～8字节以上 C.4～12字节以上 D.6～12字节以上
7.不属于公钥证书的类型有( )A.密钥证书 B.客户证书 C.安全邮件证书 D.CA证书
8.PKI作为安全基础设施，能为不同的用户提供不同安全需要下的多种安全服务，这些服务主要有( )
A.4种
B.5种
C.6种
D.7种
9.由于协议标准得到了IBM、Microsoft等大公司的支持，已成为事实上的工作标准的安全
议是( ) A.SSL B.SET C.HTTPS D.TLS
10.CFCA认证系统采用国际领先的PKI技术，总体为( )
A.一层CA结构
B.二层CA结构
C.三层CA结构
D.四层CA结构
11.CTCA目前提供的安全电子证书，其密钥的长度为( )A.64位 B.128位 C.256位 D.512位
12.SET协议中用来鉴别信息的完整性的是( )A.RSA算法 B.数字签名 C.散列函数算法 D.DES算法
13.PKI是公钥的一种管理机制，在宏观上呈现为域结构，在PKI的构成模型中，制定整个体系结构的安全政策的是( )
A.PMA
B.PAA
C.CA
D.OPA
14.SET软件组件中安装在客户端的电子钱包一般是一个( )
A.独立运行的程序
B.浏览器的一个插件
C.客户端程序
D.单独的浏览器
15.在不可否认业务中，用来保护收信人的业务是( )
A.源的不可否认性
B.递送的不可否认性
C.提交的不可否认性
D.专递的不可否认性
16.一个典型的CA系统一般由几个部分组成( ) A.3 B.4 C.5 D.6
17.以下不是接入控制的功能的是( )A.阻止非法用户进入系统 B.允许合法用户进入系统
C.使合法人按其权限进行各种信息活动
D.阻止非合法人浏览信息
18.以下的电子商务模式中最先出现的是( )A.B—B B.B—C C.C—C D.B—G
19.目前信息安全传送的标准模式是( )A.数字签名 B.消息加密 C.混合加密 D.数字信封
20.《计算机房场、地、站技术要求》的国家标准代码是( )
A.GB9361—88
B.GB50174—93
C.GB2887—89
D.GB50169—92
二、多项选择题(本大题共5小题，每小题2分，共10分)
21.认证机构是通过电子证书机制来保证网上通信的合法身份的，在运作过程中，认证机构应提供的服务有( )
A.证书格式的制订
B.证书的颁发
C.证书更新
D.证书废除
E.证书的公布和查询
22.在信息摘要上应用较多的散列函数有( )
A.MD—4
B.MD—5
C.SHA
D.GOST
E.HAVAL
23.对Internet的攻击手段中伪造会威胁电子商务安全内容中的( )
A.商务数据的机密性
B.商务数据的完整性
C.商务对象的认证性
D.商务服务的不可否认性
E.商务服务的不可拒绝性
24.密钥管理在密码学中有着重大的作用，在密钥管理中最棘手的问题可能是( )
A.密钥的设置
B.密钥的产生
C.密钥的分配
D.密钥的存储
E.密钥的装入
25.公钥证书的申请方式有( )
A.电话申请
B.Web申请
C.E-Mail申请
D.邮寄申请
E.到认证机构申请
三、填空题(本大题共5小题，每空1分，共10分)
26.身份证明可以分为______和______两大类。
27.美国的橘黄皮书中为计算机安全的不同级别制定了______个标准，其中C2级又称为。
28.常用的对数据库的加密方法有______种，其中与DBMS分离的加密方法是______ 。
29.SHECA数字证书根据应用对象可将其分为______ 和______ 。
30.计算机病毒按破坏性分为______ 和______。
四、名词解释题（本大题共5小题，每小题3分，共15分）
31.计算上安全 32.冗余系统 33.双联签名 34.SSL协议 35.域内认证
五、简答题（本大题共6小题，每小题5分，共30分）
36.简述三重DES加密方法的概念及其算法步骤。
37.在交易双方的通信过程中如何实现源的不可否认性？ 38.简述对密钥进行安全保护应该采取的措施。
39.电子商务中数据的完整性被破坏后会产生什么样的后果？
40.简述我国减低电子商务安全威胁可以采取的对策。 41.试比较SSL协议和SET协议之间的差别。
六、论述题（本大题共1小题，15分）
42.试述按接入方式虚拟专用网VPN解决方案的种类，并说明选择VPN解决方案时需考虑的要点。
全国2007年10月高等教育自学考试
电子商务安全导论试题
课程代码：00997
一、单项选择题(本大题共20小题，每小题1分，共20分)
在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填写在题后的括号内。错选、多选或未选均无分。1．IDEA算法将明文分为（）A．8位的数据块B．1 6位的数据块C．3 2位的数据块D．6 4位的数据块
2．互联网协议安全IPSec是属于第几层的隧道协议?（）A．第一层B．第二层C．第三层D．第四层
3．在双密钥体制的加密和解密过程中要使用公共密钥和个人密钥，它们的作用是（）
A．公共密钥用于加密，个人密钥用于解密B．公共密钥用于解密，个人密钥用于加密
C．两个密钥都用于加密D．两个密钥都用于解密
4．在一次信息传送过程中，为实现传送的安全性、完整性、可鉴别性和不可否认性，这个过程采用的安全手段是（）A．双密
钥机制B．数字信封C．双联签名D．混合加密系统
5．在Kerberos中，Client向本Kerberos的认证域以内的Server申请服务的过程分为3个阶段共（）
A．四个步骤B．五个步骤C．六个步骤D．七个步骤
6．一个密码系统的安全性取决于对（）A．密钥的保护B．加密算法的保护C．明文的保护D密文的保护
7．在数字信封中，先用来打开数字信封的是（）A．公钥B．私钥C．DES密钥D．RSA密钥
8．身份认证中的证书由（）A．政府机构发行B．银行发行C企业团体或行业协会发行D．认证授权机构发行
9．称为访问控制保护级别的是（）A．C1 B．B1 C．C2 D．B2
10．EDI应是下列哪种电子商务方式的代表?（）
A．B—B电子商务方式B．B—C电子商务方式C．C—C电子商务方式D．C—B电子商务方式
11．PKI的性能中，电子商务通信的关键是（）A．透明性B．易用性C．互操作性D．跨平台性
12．下列属于良性病毒的是（）A．黑色星期五病毒B．火炬病毒C．米开朗基罗病毒D．扬基病毒
13．目前发展很快的基于PKI的安全电子邮件协议是（）A．S／MIME B．POP C．SMTP D．IMAP
14．建立计算机及其网络设备的物理环境，必须要满足《建筑与建筑群综合布线系统工程设计规范》的要求，计算机机房的室温应保持在（）A10℃至25℃之间B．15℃至30℃之间C．8℃至20℃之间D．10℃至28℃之间
15．SSL握手协议的主要步骤有（）A．三个B．四个C．五个D．六个
16．SET安全协议要达到的目标主要有（）A．三个B．四个C．五个D．六个
17．下面不属于SET交易成员的是（）A．持卡人B．电子钱包C．支付网关D．发卡银行
18．使用加密软件加密数据时，往往使用数据库系统自带的加密方法加密数据，实施
（）A．DAC B．DCA C．MAC D．CAM
19．CTCA指的是（）A．中国金融认证中心B中国电信认证中心C．中国技术认证中心D．中国移动认证中心
20．下列选项中不属于SHECA证书管理器的操作范围的是（）
A．对根证书的操作B．对个人证书的操作C．对服务器证书的操作D．对他人证书的操作
二、多项选择题(本大题共5小题，每小题2分，共l0分)
21．防火墙不能解决的问题包括（）A．非法用户进入网络B．传送已感染病毒的文件或软件
C.数据驱动型的攻击D．对进出网络的信息进行过滤E．通过防火墙以外的其它途径的攻击
22．PKI技术能有效的解决电子商务应用中的哪些问题?（）
A．机密性B．完整性C．不可否认性D．存取控制E．真实性
23．常见的电子商务模式的有（）A．大字报／告示牌模式B．在线黄页薄模式C．电脑空间上的小册子模式D．虚拟百货店模式E．广告推销模式
24．使用两个密钥的算法是（）A．双密钥加密B．单密钥加密C．双重DES D．三重DES E．双重RSA
25．SHECA数字证书根据应用对象可将其分为（）
A．个人用户证书B．服务器证书C．安全电子邮件证书D．手机证书E．企业用户证书
三、填空题(本大题共5小题，每小题2分，共10分)
26．散列函数是将一个长度不确定的___________串转换成一个长度确定的______串。
27．Kerberos服务任务被分配到两个相对独立的服务器：_________服务器和_________服务器，它同时应该连接并维护一个中央数据库存放用户口令、标识等重要信息。
28．要保证证书是有效的，必须要满足这样一些条件：一是证书没有超过_____，二是密
钥没有被______，三是证书不在CA发行的无效证书清单中。
29．复合型病毒是指具有_____和_____寄生方式的计算机病毒。
30．接入控制的功能有三个：________、_______和使合法人按其权限进行各种信息活动。
四、名词解释题（本大题共5小题，每小题3分，共15分）
31．Access VPN 32．域间认证33．Intranet34．归档35．支付网关
五、简答题（本大题共6小题，每小题5分，共30分）
36．简述DAC方式易受到攻击的原因。37．在我国制约VPN的发展、普及的因素有哪些？
38．双钥密码体制加密为什么可以保证数据的机密性和不可否认性？
39．请列出公钥证书的类型并简述其作用。40．简述SET的购物过程。
41．PKI作为安全基础设施，能为用户提供哪些服务？
六、论述题（本大题15分）
42．对比传统手写签名来论述数字签名的必要性。
全国2008年10月高等教育自学考试
电子商务安全导论试题
课程代码：00997
一、单项选择题(本大题共20小题，每小题1分，共20分)
1.电子商务的技术要素组成中不包含( ) A.网络 B.用户 C.应用软件D.硬件
2.电子商务的发展分成很多阶段，其第一阶段是( )
A.网络基础设施大量兴建
B.应用软件与服务兴起
C.网址与内容管理的建设发展
D.网上零售业的发展
3.下列选项中属于双密钥体制算法特点的是( )
A.算法速度快
B.适合大量数据的加密
C.适合密钥的分配与管理
D.算法的效率高
4.美国政府在1993年公布的EES技术所属的密钥管理技术是( )
A.密钥设置
B.密钥的分配
C.密钥的分存
D.密钥的托管
5.实现数据完整性的主要手段的是( )A.对称加密算法 B.非对称加密算法 C.混合加密算法D.散列算法
6.数字签名技术不能解决的安全问题是( )A.第三方冒充 B.接收方篡改 C.传输安全D.接收方伪造
7.根据《建筑与建筑群综合布线系统工程设计规范》(CECS 72∶97)的要求，计算机机房室温应该保持的温度范围为( )A.0℃—25℃
B.10℃—25℃
C.0℃—35℃
D.10℃—35℃
8.判断一段程序代码是否为计算机病毒，其依据是看这段代码是否具有( )A.隐蔽性B.传染性C.破坏性D.可触发性
9.下列隧道协议中，基于防火墙的VPN系统的议是( )A.IPSec B.L2F C.PPTP D.GRE
10.在中国，制约VPN发展、普及的客观因素是( )A.客户自身的应用B.网络规模C.客户担心传输安全D.网络带宽11.由资源拥有者分配接人权的接入控制方式是( )
A.自主式接入控制
B.强制式接入控制
C.随机式接入控制
D.半强制式接入控制
12.在加密／解密卡的基础上开发的数据库加密应用设计平台是( )
A.使用加密软件加密数据
B.使用专用软件加密数据
C.使用加密桥技术
D.使用Domino加密技术
13.以下关于通行字的选取原则错误的是( )A.易记 B.易理解 C.难以被猜中 D.抗分析能力强
14.Kerberos系统的四个组成部分中不包含( )A.BS B.TGS C.Client D.Server
15.在单公钥证书系统中，签发根CA证书的机构是( )A.国家主管部门 B.用户 C.根CA自己 D.其它CA
16.CA系统一般由多个部分构成，其核心部分为( )A.安全服务器 B.CA服务器 C.注册机构RA D.LDAP服务器17.推出SET的两个组织是( )
A.Visa和Mastercard
B.Visa和Microsoft
C.Mastercard和Microsoft
D.Visa和RSA
18.SSL握手协议包含四个主要步骤，其中第三个步骤为( )
A.客户机Hello
B.服务器Hello
C.HTTP数据流
D.加密解密数据
19.CTCA安全认证系统所属的机构是( )A.中国银行 B.招商银行 C.中国移动 D.中国电信
20.SHECA证书包含许多具体内容，下列选项中不包含在其中的是( )
A.版本号
B.公钥信息
C.私钥信息
D.签名算法
二、多项选择题(本大题共5小题，每小题2分，共10分)
21.下列属于单密钥体制算法的有( )A.DES B.RSA C.AES D.SHA E.IDEA
22.下列属于接入控制策略的有( )
A.最小权益策略
B.最小泄露策略
C.多级安全策略
D.强制安全策略
E.最少用户策略
23.下列公钥—私钥对的生成途径合理的有( )A.网络管理员生成 B.CA生成 C.用户依赖的、可信的中心机构生成 D.密钥对的持有者生成 E.网络管理员与用户共同生成
24.属于数据通信的不可否认性业务的有( )
A.签名的不可否认性
B.递送的不可否认性
C.提交的不可否认性
D.传递的不可否认性
E.源的不可否认性
25.SET要达到的主要目标有( )
A.信息的安全传输
B.证书的安全发放
C.信息的相互隔离
D.交易的实时性
E.多方认证的解决
三、填空题(本大题共5小题，每小题2分，共10分)
26.美国橘黄皮书中为计算机安全的不同级别制定了4个共_________级标准，其中_________级为最低级别。
27.数字签名分为两种，其中RSA和Rabin签名属于_________签名，ELGamal签名属于_________签名。
28.IPSec是一系列保护IP通信的规则的集合，它包含_________与_________两种工作模式。
29.证书申请包括了用户证书的申请与商家证书的申请，其申请方式包括_________和_________。
30.中国金融认证中心的英文简写为_________，它是由_________牵头，联合多家商业银行共同建立的国家级权威金融认证机构。
四、名词解释题（本大题共5小题，每小题3分，共15分）
31.容错技术32.奇偶校验33.身份识别34.域间认证35.认证服务
五、简答题（本大题共6小题，每小题5分，共30分）
36.简述电子商务系统可能遭受攻击的类型。37.简述使用Diffie—Hellman密钥交换协议交换密钥的步骤。
38.简述使用MD5算法的基本过程。39.简述防火墙的基本组成部分。40.简述公钥证书包含的具体内容。
41.简述电子钱包的功能。
六、论述题（本大题15分）
42.试述RSA加密算法中密钥的计算方法；并根据该方法计算：（为计算方便）取p=3，q=5，e=3时的一组公钥—私钥对；如果明文为7，计算密文。
2009年10月自学考试电子商务安全导论试题
一、单项选择题（本大题共20小题，每小题1分，共20分）
1．电子商务安全的中心内容中，用来保证为用户提供稳定的服务的是（）
A．商务数据的完整性B．商务对象的认证性C．商务服务的不可否认性D．商务服务的不可拒绝性
2．使用DES加密算法，需要对明文进行的循环加密运算次数是（）
A．4次B．8次C．16次D．32次
3．在密钥管理系统中最核心、最重要的部分是（）
A．工作密钥B．数据加密密钥C．密钥加密密钥D．主密钥
4．MD-4的输入消息可以为任意长，压缩后的输出长度为（）
A．64比特B．128比特C．256比特D．512比特
5．充分发挥了DES和RSA两种加密体制的优点，妥善解决了密钥传送过程中的安全问题的技术是（）
A．数字签名B．数字指纹C．数字信封D．数字时间戳
6．在电子商务中，保证认证性和不可否认性的电子商务安全技术是（）
A．数字签名B．数字摘要C．数字指纹D．数字信封
7．《电气装置安装工程、接地装置施工及验收规范》的国家标准代码是（）
A．GB50174—93 B．GB9361—88 C．GB2887—89 D．GB50169—92
8．下列提高数据完整性的安全措施中，不属于预防性措施的是（）A．归档B．镜像C．RAID D网络备份
9．系统将通行字表划分成两部分，每部分包含几个通行字来减少暴露的危险性?（）
A．半个B．一个C．两个D．四个
10．Kerberos是一种网络认证协议，它采用的加密算法是（）A．RSA B．PGP C．DES D．MD5
11．数字证书采用公钥体制，即利用一对互相匹配的密钥进行（）A．加密B加密、解密C解密D安全认证
12．通常PKI的最高管理是通过（）
A．政策管理机构来体现的B．证书作废系统来体现的C．应用接口来体现的D．证书中心CA来体现的
13．实现递送的不可否认性的方式是（）
A．收信人利用持证认可B．可信赖第三方的持证C．源的数字签名D．证据生成
14．SET协议用来确保数据的完整性所采用的技术是（）A单密钥加密B双密钥加密C密钥分配D数字化签名15．安装在客户端的电子钱包一般是一个（）
A．独立运行的程序B．浏览器的插件C．客户端程序D．单独的浏览器
16．CFCA认证系统采用国际领先的PKI技术，总体为几层的CA结构?（）A．一层B．二层C．三层D四层
17．下列防火墙类型中处理效率最高的是（）A．包过滤型B．包检验型C应用层网关型D代理服务器型
18．点对点隧道协议PPTP是第几层的隧道协议?（）A．第一层B．第二层C．第三层D．第四层
19．在Internet接入控制对付的入侵者中，属于合法用户的是（）A．黑客B伪装者C违法者D地下用户
20．下列选项中不属于数据加密可以解决的问题的是（）A．看不懂B．改不了C．盗不走D．用不了
二、多项选择题(本大题共5小题，每小题2分，共10分)
21．将自然语言格式转换成密文的基本加密方法有（）
A．替换加密B．转换加密C．DES加密D．RSA加密E．IDEA加密
22．在下列计算机病毒中，属于良性病毒的有（）
A．小球病毒B．扬基病毒C．黑色星期五病毒D．救护车病毒E．火炬病毒
23．从攻击角度来看，Kerberos的局限性体现出的问题有（）
A．时间同步B．认证域之间的信任C．口令猜测攻击D．密钥的存储E．重放攻击
24．SET协议的安全保障措施的技术基础包括（）
A．通过加密方式确保信息机密性B．通过数字化签名确保数据的完整性
C．通过数字化签名确保数据传输的可靠性D．通过数字化签名和商家认证确保交易各方身份的真实性
E．通过特殊的协议和消息形式确保动态交互系统的可操作性
25．数据加密的作用在于解决（）
A．外部黑客侵入网络后盗窃计算机数据的问题B．外部黑客侵入网络后修改计算机数据的问题
C．外部黑客非法入侵计算机内部网络的问题D．内部黑客在内部网上盗窃计算机数据的问题
E．内部黑客在内部网上修改计算机数据的问题
三、填空题(本大题共5小题，每小题2分，共10分)
请在每小题的空格中填上正确答案。填错、不填均无分。
26．根据电子商务的发展过程，可以将电子商务分为以建立在______基础上的EDI为代表的传统电子商务和以______为基础的现代电子商务。
27．我国计算机应急体系在进行计算机病毒的防范时，遵循的工作原则是：“______、及时发现、快速反应、______”。28．VPN是一种架构在公用通信基础设施上的专用数据通信网络，利用______和建立在PKI上的______来获得机密性保护。29．CFCA手机证书支持无线______，提供基于______和短信息两种方式的手机证书，实现在移动商务中的身份验证、信息加
密、数字签名，确保使用者能在任何地点、任何时间，方便、及时、交互地进行安全接入信息与服务。
30．VPN的设计应该遵循以下原则：______、______、VPN管理等。
四、名词解释题（本大题共5小题，每小题3分，共15分）
31．无条件安全32．非军事化区33．公证服务34．TLS协议35．加密桥技术
五、简答题（本大题共6小题，每小题5分，共30分）
36．简述目前密钥的自动分配途径。37．简述散列函数的概念及其特性。
38．目前比较常见的备份方式有哪些？39．按照接入方式的不同，VPN的具体实现方式有哪几种？
40．通行字的安全存储有哪些方法？41．SSL如何来保证Internet上浏览器/服务器会话中的认证性？
六、论述题（本大题共1小题，共15分）
42．由于RSA的公钥/私钥对具有不同的功能，在对公钥/私钥对的要求上要考虑哪些不一致的情况？
电子商务安全导论标准预测试卷（二）
第一部分选择题
1．以下厂商为电子商务提供信息产品硬件的是( ) A. AOL B．YAHOO C．IBM D．MICROSOFT
2．把明文变成密文的过程，叫作( ) A.加密B．密文C．解密D．加密算法
3．以下加密法中属于双钥密码体制的是( ) A．DES B．AES C．IDEA D．ECC
4．MD-4散列算法，输入消息可为任意长，按_______比特分组( ) A．512 B．64 C．32 D．128
5．SHA算法中，输入的消息长度小于264比特，输出压缩值为_______比特。( ) A．120 B．140 C．160 D．264
6.计算机病毒最重要的特征是( ) A．隐蔽性B．传染性C．潜伏性D．表现性
7．主要用于防火墙的VPN系统，与互联网密钥交换IKE有关的框架协议是( ) A．IPSec B．L2F C．PPTP D．GRE 8．Access VPN又称为( ) A．VPDN B．XDSL C．ISDN D．SVPN
9．以下不是接入控制的功能的是( ) A．阻止非法用户进入系统B．组织非合法人浏览信息
C．允许合法用户人进入系统D．使合法人按其权限进行各种信息活动
10.在通行字的控制措施中，限制通行字至少为_______字节以上。( )
A．3～6 B．6～8 C．3～8 D．4～6
11.用数字办法确认、鉴定、认证网络上参与信息交流者或服务器的身份是指( )
A．接入控制B．数字认证C．数字签名D．防火墙
12．关于密钥的安全保护下列说法不正确的是( )
A．私钥送给CA B．公钥送给CA C．密钥加密后存人计算机的文件中D．定期更换密钥
13. _______在CA体系中提供目录浏览服务。( )
A．安全服务器B．CA服务器C．注册机构RA D．LDAP服务器
14. Internet上很多软件的签名认证都来自_______公司。( ) A．Baltimore B．Entrust C．Sun D．VeriSign
15.目前发展很快的安全电子邮件协议是_______ ，这是一个允许发送加密和有签名邮件的
协议。( ) A．IPSec B．SMTP C．S/MIME D．TCP/1P
16.实现源的不可否认业务中，第三方既看不到原数据，又节省了通信资源的是( )
A.源的数字签字B．可信赖第三方的数字签字C．可信赖第三方对消息的杂凑值进行签字
D．可信赖第三方的持证
17. SET的含义是( ) A．安全电子支付协议B．安全数据交换协议C．安全电子邮件协议D．安全套接层协议
18. 对SET软件建立了一套测试的准则。( ) A．SETCo B．SSL C．SET Toolkit D．电子钱包
19．CFCA认证系统的第二层为( ) A．根CA B．政策CA C．运营CA D．审批CA
20. SHECA提供了_______种证书系统。( ) A．2 B．4 C．5 D．7二、多项选择题（本大题共5小题，每小题2分，共10分）21．以下描述正确的是( )
A．数据加密是保证安全通信的手段B．无条件安全的密码体制是理论上安全的
C．计算上安全的密码体制是实用的安全性D．目前已知的无条件安全的密码体制都是不实用的
E．目前还没有一个实用的密码体制被证明是计算上安全的
22.机房环境、电源及防雷接地应满足CECS72：79的要求，也就是说机房设计应符合的规定是( )
A．设备间的地面面层材料应能防静电B．设备间室温应保持在10℃到20℃之间
C．机房内的尘埃要求低于0.5μm D设备间应采用UPS不间断电源E防雷接地可单独接地或同大楼共用接地体
23. SVPN包含的特性有( )
A．可控性B．安全设备自身的安全性C．连接的完整性D．连接机密性E．报警功能
24.对身份证明系统的要求包括( )
A．验证者正确识别合法示证者的概率极大化B．可传递性C．计算有效性D．通信有效性E秘密参数安全存储
25. SET的技术范围包括( ) A．加密算法的应用B．证书信息和对象格式C．购买信息和对象格式
D．认可信息和对象格式E．划账信息和对象格式
第二部分非选择题
三、填空题26.最早的电子商务模式出现在_______、_______之间，即B-B。
27.目前有三种基本的备份系统：简单的网络备份系统、_______和_______。
28.身份证明系统的质量指标之一为合法用户遭拒绝的概率，即_______或_______。
29.基于SET协议电子商务系统的业务过程可分为_______、_______和商业机构的处理。
30．CTCA系统由_______、_______、地市级业务受理点组成。
四、名词解释题（本大题共5小题，每小题3分，共15分）
31. C2级32.无条件安全33.防火墙34．单公钥证书系统35.数据完整性服务
五、简答题（本大题共6小题，每小题5分，共30分）
36.简述数字信封的概念。37．简述数据加密的作用。38．从攻击的角度看，Kerberos存在哪些问题？
39.密钥管理的目的是什么？40.简述SSL提供的安全内容。41．简述SHECA证书管理器的特点。
六、论述题（本大题共1小题，共15分）
42.试述提高数据完整性的预防性措施。
电子商务安全导论标准预测试卷（二）参考答案
一、1. C 2.A 3.D 4.A 5.C 6.B 7.A 8.A 9.B 10. B 11. B 12. A 13. D 14. D 15. C 16. C 17. B 18. A 19. B 20. A
二、21. ABCDE 22. ACDE 23. ABCDE 24. ACDE 25. ABCDE
三、26.企业机构27.服务器到服务器的备份使用专用的备份服务器
28.拒绝率虚报率29.注册登记申请数字证书动态认证30.全国CA中心省RA中心系统
四、31．C2级，又称访问控制保护级。
32.无条件安全：一个密码体制的安全性取决于破译者具备的计算能力，如若它对于拥有无限计算资源的破译者来说是安全的，则称这样的密码体制是无条件安全的。
33．防火墙是一类防范措施的总称，它使得内部网络与Internet之间或者与其他外部网络互相隔离、限制网络互访，用来保护内部网络。
34.单公钥证书系统是指一个系统中所有的用户共用同一个CA。
35.数据完整性服务就是确认数据没有被修改。
五、36.简述数字信封的概念。
发送方用一个随机产生的DES密钥加密消息，然后用接受方的公钥加密DES密钥，称为消息的―数字信封‖，将数字信封与DES 加密后的消息一起发给接受方。接受者收到消息后，先用其私钥打开数字信封，得到发送方的DES密钥，再用此密钥去解密消息。只有用接受方的RSA私钥才能够打开此数字信封，确保了接受者的身份。
37.简述数据加密的作用。
数据加密的作用在于：
(1)解决外部黑客侵入网络后盗窃计算机数据的问题；(2)解决外部黑客侵入网络后篡改数据的问题；
(3)解决内部黑客在内部网上盗窃计算机数据的问题；(4)解决内部黑客在内部网上篡改数据的问题；
(5)解决CPU、操作系统等预先安置了黑客软件或无线发射装置的问题。
38.从攻击的角度看，Kerberos存在哪些问题？
从攻击的角度来看，大致有以下几个方面的问题：
(1)时间同步。(2)重放攻击。(3)认证域之间的信任。
(4)系统程序的安全性和完整性。(5)口令猜测攻击。(6)密钥的存储。
39.密钥管理的目的是什么？
密钥管理的目的是维持系统中各实体之间的密钥关系，以抗击各种可能的威胁，如：
(1)密钥的泄露。(2)密钥或公钥的确证性的丧失，确证性包括共享或有关一个密钥的实体身份的知识或可证实性。
(3)密钥或公钥未经授权使用，如使用失效的密钥或违例使用密钥。
40.简述SSL提供的安全内容。
SSL保证了Internet上浏览器／服务器会话中三大安全中心内容：机密性、完整性和认证性。
(1) SSL把客户机和服务器之间的所有通信都进行加密，保证了机密性。
(2) SSL提供完整性检验，可防止数据在通信过程中被改动。
(3) SSL提供认证性——使用数字证书——用以正确识别对方。
41.简述SHECA证书管理器的特点。
(1)方便管理用户个人及他人证书，存储介质多样化。(2)同时支持SET证书和通用证书。
(3)支持多种加密技术（如对称加密，数字签名，等等）。(4)支持版本的自动升级（或提醒）。
(5)具有良好的使用及安装界面。
六、42.试述提高数据完整性的预防性措施。
预防性措施是用来防止危及到数据完整性事情的发生。可采用以下措施：
(1)镜像技术。镜橡技术是指将数据原样地从一台设备机器拷贝到另一台设备机器上。
(2)故障前兆分析。有些部件不是一下子完全坏了，例如磁盘驱动器，在出故障之前往往有些征兆，进行故障前兆分析有利于系统的安全。
(3)奇偶校验。奇偶校验也是服务器的一个特性。它提供一种机器机制来保证对内存错误的检测，因此，不会引起由于服务器出错而造成数据完整性的丧失。
(4)隔离不安全的人员。对本系统有不安全的潜在威胁人员，应设法与本系统隔离。
(5)电源保障。使用不间断电源是组成一个完整的服务器系统的良好方案。电子商务安全导论标准预测试卷（七）
第一部分选择题
1．零售商是面向消费者的，他们采用的电子商务模式主要是 ( ) A. B-G B．B-C C．B-B D．C-C
2．以下加密法中最古老的是 ( ) A．恺撒密码 B．单表置换密码 C．多字母加密法 D．转换加密法
3．IDEA的密钥长度为 ( ) A．32 B．64 C．128 D．256
4．下列不是散列函数的名字的是 ( ) A.哈希函数 B．数字指纹 C．消息摘要 D．数字签名
5．数字签名可以解决的安全鉴别问题不包括 ( )
A.发送者伪造 B．发送者或接受者否认 C．第三方冒充 D．接收方篡改
6．《计算机场、地、站安全要求》的国家标准代码是 ( ) A. GB50174-93 B.GB9361-88 C. GB2887-89 D.GB50169-92
7．以下描述不正确的是 ( )
A．在没有防火墙的环境中，网络安全性完全依赖于主系统安全性 B．只有经过选择的协议才能通过防火墙
C．防火墙不能控制对网点系统的访问 D．防火墙是提供实施和执行网络访问安全策略的工具
8．AES支持的密钥长度不可能是 ( ) A．64 B．128 C．192 D．256
9．接入控制策略包括种。 ( ) A．2 B．3 C．4 D．5
10.非法用户伪造身份成功的概率，即 ( ) A．拒绝率 B．虚报率 C．漏报率 D．I型错误率
11. Client向本Kerberos的认证域以内的Server申请服务的过程分为个阶段。( ) A．3 B．4 C．6 D．8
12. 是网络上的证明文件：证明双钥体制中的公钥所有者就是证书上所记录的使用者。 ( )
A．公钥数字证书 B．数字证书 C．密钥 D．公钥对
13. 用于创建和发布证书，通常为一个称为安全域的有限群体发放证书。 ( ) A．CRL B．LRA C．CA D．RSA
14. PKI的功能不包括 ( ) A．PAA B．CA C．CRA D．ORA
15.对PKI的最基本要求是 ( ) A.支持多政策 B．透明性和易用性 C．互操作性 D．支持多平台
16.关于密钥管理以下说法不正确的是 ( )
A．系统用户首先要进行初始化工作 B．密钥是加密算法中的可变部分
C．密码体制不可以公开 D．安全性取决于对密钥的保护，而不是对算法或硬件本身的保护
17. SEPP的含义是 ( )A．安全电子支付协议 B．安全数字交换协议 C．安全电子邮件协议 D．安全套接层协议
18. SET通过确保数据的完整性。 ( ) A.加密方式 B．数字化签名 C．商家认证 D．特殊的协议和消息
19. CFCA认证系统采用国际领先的PKI技术，总体为层CA结构。 ( ) A．2 B．3 C．4 D．5
20. SHECA证书管理器对证书的分类不包括 ( ) A．个人证书 B．他人证书C．服务器证书 D．根证书二、多项选择题（本大题共5小题，每小题2分，共10分）
21.攻击Web站点的方式有 ( )
A．安全信息被破译 B．非法访问 C．交易信息被截获 D．软件漏洞被攻击者利用
E．当用CGI脚本编写的程序或其他涉及到远程用户从浏览器中输入表格并进行像检索之类在主机上直接操作命令时，会给Web
主机系统造成危险
22．数字时间戳利用单向杂凑函数和数字签名协议实现（A为发送方，B为接受方） ( )
A．A产生文件的单向杂凑函数值 B．B产生文件的单向杂凑函数值 C．A将杂凑函数值传送给B
D．B将杂凑函数值传送给A E．B在收到的杂凑函数值的后面附加上日期和时间，并对它进行数字签名
23．数据文件和系统的备份应注意 ( )
A．日常的定时、定期备份 B．定期检查备份的质量 C．重要的备份最好存在一个固定介质上
D．注意备份本身的防窃、防盗 E．多重备份，分散存放，由一个人保管
24.关于VPN的描述不正确的是 ( ) A．成本较高 B．网络结构灵活 C．管理方便
D．VPN是一种连接，从表面上看它类似一种专用连接，但实际上是在共享网络上实现的
E．VPN可将业务发往指定的目的地，但是不能接受指定等级的服务
25. Kerberos系统从攻击的角度来看，存在的问题有 ( )
A．时间同步 B．重放攻击 C．认证域之间的信任 D．系统程序的安全性和完整性 E．口令猜测攻击
第二部分非选择题
三、填空题26.密码技术是保证网络、信息安全的核心技术。信息在网络中传输时，通常不是以而是以的方式进行通讯传输的。
27.在接入控制机构中，客体可以是一个、一个或一个数据库。 28. CA证书证实CA和CA的。
29. PKI提供电子商务的基本需求，是基于的。
30. CTCA目前主要提供的证书有：、个人数字证书、、服务器数字证书和SSL服务器数字证书。
四、名词解释题（本大题共5小题，每小题3分，共15分）
31.电子商务 32．恶性病毒 33.通行字有效期 34.不可否认业务 35．SSL记录协议
五、简答题（本大题共6小题，每小题5分，共30分）
36.电子商务系统可能遭受哪些攻击？ 37.简述分布式密钥分配的概念。
38.数据完整性被破坏会带来哪些严重的后果？ 39．简述防火墙不能解决的问题。
40.简述加密桥技术的优点。 41．简述认证机构的功能。
六、论述题（本大题共1小题，共15分）
42.试述RSA加密算法中密钥的算法。电子商务安全导论标准预测试卷（七）参考答案
一、1. B 2.A 3.C 4.D 5.A 6.B 7.C 8.A 9.B 10. C 11. A 12. A 13. C 14. C 15. B 16. C 17. A 18. B 19.B 20. C 二、21. ABCDE 22. ADE 23. ABD 24. AE 25. ABCDE
三、26．明文密文 27．数据文件程序组 28.身份签名密钥 29.安全数字证书
30．安全电子邮件证书企业数字证书
四、31．电子商务，顾名思义，是建立在电子技术基础上的商业运作，是利用电子技术加强、加快、扩展、增强、改变了其有关过程的商务。
32.恶性病毒是指那些一旦发作后，就会破坏系统或数据，造成计算机系统瘫痪的一类计算机病毒。
33．通行字有效期是指限定通行字的使用期限。
34.不可否认业务在数字环境下可看做是通信中的一种属性，用来防止通信参与者对已进行的业务的否认。
35. SSL记录协议，定义了信息交换中所有数据项的格式。
五、36.电子商务系统可能遭受哪些攻击？
电子商务系统可能遭受的攻击有以下几种： (1)系统穿透。 (2)违反授权原则。 (3)植入。 (4)通信监视。(5)通信窜扰。 (6)中断。 (7)拒绝服务。 (8)否认。 (9)病毒。
37.简述分布式密钥分配的概念。
集中式分配是指利用网络中的“密钥管理中心(KMC)”来集中管理系统中的密钥，“密钥管理中心”接受系统中用户的请求，为用户提供安全分配密钥的服务。分布式分配方案是指网络中各主机具有相同的地位，它们之间的密钥分配取决了它们自己的协商，不受任何其他方面的限制。
38.数据完整性被破坏会带来哪些严重的后果？
(1)造成直接的经济损失。 (2)影响一个供应链上许多厂商的经济活动。 (3)可能造成过不了“关”。
(4)会牵涉到经济案件中。 (5)造成电子商务经营的混乱与不信任。
39.简述防火墙不能解决的问题。
网络管理员不能及时响应报警并审查常规记录，防火墙就形同虚设。
防火墙无法防范通过防火墙以外的其他途径的攻击。
防火墙不能防止来自内部变节者和不经心的用户带来的威胁。
防火墙也不能防止传送已感染病毒的软件或文件。防火墙无法防范数据驱动型的攻击。
40.简述加密桥技术的优点。
加密桥技术的优点是，加密桥与DBMS是分离的，可以解决加密桥特有的安全性：
(1)解决了数据库加密数据没有非密旁路漏洞的问题。
(2)便于解决“数据库加密应用群件系统”在不同DBMS之间的通用性。
(3)便于解决系统在DBMS不同版本之间的通用性。 (4)不必去分析DBMS的原代码。
(5)加密桥用C++写成的，便于在不同的操作系统之间移植。
(6)加密桥与DBMS是分离的，可以解决嵌入各种自主知识产权加密方法的问题。
41．简述认证机构的功能。
(1)证书申请（新证书的发放） (2)证书更新。 (3)证书吊销或撤销。 (4)证书的公布和查询。
六、42.试述RSA加密算法中．密钥的算法。
RSA密码体制可以描述如下：
(1)独立选取两个大素数：p和q。
(2)计算n=pq，
(3)然后计算小于n并且与n互质的整数的个数，即欧拉函数φ(n)=（p-1）（q-l）。
(4)随机选择加密密钥e；要求e满足1≤e≤φ(n)，并且和≠(n)互质。即gcd(e，φ(n))=1．
(5)最后，利用Euclid算法计算解密密钥d，满足ed=1(modφ(n)）
其中n和d也要互质。数e和n是公钥，d是私钥。两个素数p和q不再需要，应该丢弃。
加密时，首先把明文m分成等长数据块m1，m2，…，mi，块长s，其中2ss<=n，s尽可能的大。对应的密文是：
ci=(mi)e（mod n）
解密时，作计算：
mi=(ci)d( mod n)电子商务安全导论标准预测试卷（三）
第一部分选择题
1．电子商务，在相当长的时间里，不能少了政府在一定范围和一定程度上的介入，这种模式表示为( )
A．B-G B．B-C C．B-B D．C-C
2．在电子商务的安全需求中，交易过程中必须保证信息不会泄露给非授权的人或实体指的是( )
A．可靠性B．真实性C．机密性D．完整性
3．通过一个密钥和加密算法可将明文变换成一种伪装的信息，称为( )
A．密钥B．密文C．解密D．加密算法
4．与散列值的概念不同的是( )A．哈希值B．密钥值C．杂凑值D．消息摘要
5．SHA的含义是( )A．安全散列算法B．密钥C．数字签名D．消息摘要
6．《电子计算机房设计规范》的国家标准代码是( )A. GB50174-93 B.GB9361- 88 C. GB2887-89 D.GB50169- 92
7．外网指的是( ) A.非受信网络B．受信网络C．防火墙内的网络D．局域网
8．IPSec提供的安全服务不包括( ) A．公有性B．真实性C．完整性D．重传保护
9．组织非法用户进入系统使用( )A．数据加密技术B．接入控制C．病毒防御技术D．数字签名技术
10. SWIFT网中采用了一次性通行字，系统中可将通行字表划分成_______部分，每部分仅含半个通行字，分两次送给用户，以减少暴露的危险性。( ) A．2 B．3 C．4 D．5
11．Kerberos的域内认证的第一个步骤是( )A. Client →AS B. Client ←AS C．Client AS D．AS Client
12．_______可以作为鉴别个人身份的证明：证明在网络上具体的公钥拥有者就是证书上记载的使用者。( )
A．公钥对B．私钥对C．数字证书D．数字签名
13.在公钥证书数据的组成中不包括( ) A．版本信息B．证书序列号C．有效使用期限D．授权可执行性
14.既是信息安全技术的核心，又是电子商务的关键和基础技术的是( ) A．PKI B．SET C．SSL D．ECC
15．基于PKI技术的_______协议现在已经成为架构VPN的基础。( )A．IPSec B．SET C．SSL D．TCP/IP
16.以下不可否认业务中为了保护收信人的是( )
A．源的不可否认性B．递送的不可否认性C．提交的不可否认性D．专递的不可否认性
17. SSL更改密码规格协议由单个消息组成，值为( ) A．0 B．1 C．2 D．3
18．SET认证中心的管理结构层次中，最高层的管理单位是( )
A. RCA- Root CA
B.BCA-Brand CA
C. GCA- Geo - Political CA
https://www.doczj.com/doc/a66768331.html,A-CardHoider CA
19. TruePass是_______新推出的一套保障网上信息安全传递的完整解决方案。( )
A．CFCA B．CTCA C．SHECA D．RCA
20. SHECA数字证书根据应用对象的分类不包括( )
A．个人用户证书B．手机证书C．企业用户证书D．代码证书
二、多项选择题f本大题共5小题，每小题2分，共10分）21. Web客户机的任务是( )
A．为客户提出一个服务请求B．接收请求C．将客户的请求发送给服务器
D．检查请求的合法性E．解释服务器传送的HTML等格式文档，通过浏览器显示给客户
22.单钥密码体制的算法有( )A．DES B．IDEA C．RC-5 D．AES E．RSA
23. h=H(M)，其中H为散列函数，H应该具有的特性包括( )
A．给定M，很容易计算h B．给定h，很容易计算M
C．给定M，不能计算h D．给定h，不能计算M
E．给定M，要找到另一个输入串M'并满足H(M＇)＝H(M)很难
24．网络系统物理设备的可靠、稳定、安全包括( )A．运行环境B．容错C．备份D归档E．数据完整性预防
25. VPN隧道协议包括( ) A．PPTP B．L2F C．L2TP D．GRE E．IPSec
第二部分非选择题
三、填空题（本大题共5小题，每空1分，共10分）请在每小题的空格中填上正确答案。错填、不填均无分。
26.多层次的密钥系统中的密钥分成两大类：_______加密密钥(DK)和_______加密密钥(KK)。
27.病毒的特征包括非授权可执行性、_______ 、_______、潜伏性、表现性或破坏性、可触发性。
28. VPN解决方案一般分为VPN _______和VPN_______。
29.身份证明技术，又称_______、_______、身份证实等。
30.密钥备份与恢复只能针对_______ ，_______为确保其唯一性而不能够作备份。
四、名词解释题（本大题共5小题，每小题3分，共15分）
31．C1级32．RSA密码算法33．接人权限34．拒绝率35．SSL
五、简答题(本大题共6小题，每小题5分，共30分)
36．简述数字签名的实际使用原理。37.简述归档与备份的区别。38．简述防火墙的设计原则。39.简述公钥证书使用有效性条件。
40. PKI的性能是什么? 41．简述CFCA时间戳服务的工作流程。
六、论述题（本大题共1小题，共15分）42．试述组建VPN应遵循的设计原则。
电子商务安全导论标准预测试卷（三）参考答案
一、1. A 2.C 3.B 4.B 5.A 6.A 7.A 8.A 9.B 10. A 11. A 12. C 13. D 14. A 15. A 16. A 17. B 18. A 19. A 20.B
二、21. ACE 22. ABCD 23. ADE 24. ABCDE 25. ABCDE
三、26.数据密钥27.隐蔽性传染性28.服务器客户端29．识别实体认证30．解密密钥签名私钥
四、31．C1级，有时也叫做酌情安全保护级，它要求系统硬件有一定的安全保护，用户在使用前必须在系统中注册。
32. RSA密码算法是第一个既能用于数据加密也能用于数字签名的算法。RSA密码体制是基于群Zn中大整数因子分解的困难性。33．接入权限：表示主体对客体访问时可拥有的权利，接人权要按每一对主体客体分别限定，权利包括读、写、执行等，读写含义明确，而执行权指目标为一个程序时它对文件的查找和执行。
34．拒绝率是指身份证明系统的质量指标为合法用户遭拒绝的概率。
35．SSL即安全套接层（或叫安全套接口层）协议是用于到购物网站上交易的，并保障交易的安全性。通俗地说，SSL就是客户和商家在通信之前，在Internet上建立一个―秘密传输信息的信道‖，保障了传输信息的机密性、完整性和认证性。
五、36．简述数字签名的实际使用原理。
数字签名实际使用原理是：消息M用散列函数H得到消息摘要h1=H(M)，然后发送方A用自己的双钥密码体制的私钥KSA对这个散列值进行加密得EKAS(h1)，来形成发送方A的数字签名。然后，这个数字签名将作为消息M的附件和消息M一起发送给消息接收方B。消息的接收方B首先把接收到的原始消息分成M＇和EKSA(h1)。从M＇中计算出散列值h2=H(M＇)，接着再用发送方的双钥密码体制的公钥KPA来对消息的数字签名进行解密DKPA( EKSA(h1))得h1。如果散列值h1=h2，那么接收方就能确认陵数字签名是发送方A的，而且还可以确定此消息没有被修改过。
37.简述归档与备份的区别。
归档是指将文件从计算机的存储介质中转移到其他永久性的介质上，以便长期保存的过程。归档不同于备份。备份的目的是从灾难中恢复。归档是把需要的数据拷贝或打包，用于长时问的历史性的存放，归档可以清理和整理服务器中的数据。归档也是提高数据完整性的一种预防性措施。
38．简述防火墙的设计原则。
防火墙的设计须遵循以下基本原则：
(1)由内到外和由外到内的业务流必须经过防火墙。(2)只允许本地安全政策认可的业务流通过防火墙。
(3)尽可能控制外部用户访问内域网，应严格限制外部用户进入内域网。
(4)具有足够的透明性，保证正常业务的流通。(5)具有抗穿透攻击能力、强化记录、审计和告警。
39.简述公钥证书使用有效性条件
证书要有效，必须满足下列条件：
(1)证书没有超过有效。(2)密钥没有被修改。(3)证书不在CA发行的无效证书清单中。
40. PKI的性能是什么？(1)支持多政策。(2)透明性和易用性。(3)互操作性。
(4)简单的风险管理。(5)支持多平台。(6)支持多应用。
41．简述CFCA时间戳服务的工作流程。
工作流程：
用户对文件数据进行哈希摘要处理。
用户提出时间戳的请求，哈希值被传递给时间戳服务器；时间戳服在对哈希值和一个日期／时间记录进行签名，生成时间戳。六、42.试述组建VPN应遵循的设计原则。
VPN的设计应该遵循以下原则：安全性、网络优化、VPN管理等。
在安全性方面，由于VPN直接构建在公用网上，实现简单、方便、灵活，但同时其安全问题也更为突出。企业必须确保其VPN 上传送的数据不被攻击者窥视和篡改，并且要防止非法用户对网络资源或私有信息的访问。Extranet VPN将企业网扩展到合作伙伴和客户，对安全性提出了更高的要求。安全问题是VPN的核心问题。目前，VPN的安全保证主要是通过防火墙技术、路由器配以隧道技术、加密协议和安全密钥来实现的，可以保证企业员工安全地访问公司网络。
在网络优化方面，构建VPN的另一重要需求是充分有效地利用有限的广域网资源，为重要数据提供可靠的带宽。广域网流量的不确定性使其带宽的利用率很低，在流量高峰时引起网络阻塞，产生网络瓶颈，使实时性要求高的数据得不到及时发送；而在流量低谷时又造成大量的网络带宽空闲。QoS通过流量预测与流量控制策略，可以按照优先级分配带宽资源，实现带宽管理，使得各类数据能够被合理地先后发送，并预防阻塞的发生。
在VPN管理方面，VPN要求企业将其网络管理功能从局域网无缝地延伸到公用网，甚至是客户和合作伙伴。虽然可以将一些次要的网络管理任务交给服务提供商去完成，企业自己仍需要完成许多网络管理任务。所以，一个完善的VPN管理系统是必不可少的。VPN管理的目标为：减小网络风险、具有高扩展性、经济性、高可靠性等优点。事实上，VPN管理主要包括安全管理、设备管理、配置管理、访问控制列表管理、QoS服务质量管理等内容。
全国高等教育自学考试
电子商务安全导论标准预测试卷（四）
（考试时间150分钟）
第一部分选择题
1．电子商务安全的中心内容共有几项？( ) A．4 B．5 C．6 D．7
2．由密文恢复成明文的过程，称为( ) A．加密B．密文C．解密D．解密算法
3．最早提出的公开的密钥交换协议是( )A. Diffie – Hellman B.ELGamal C．IDEA D．TCP/IP
4．在MD-5算法中，消息压缩后输出为_______比特。( ) A．32 B．64 C．128 D．256
5．数字签名有时需要某人对一个文件签名，而又不让他知道文件内容，称为( )
A. RSA签名B．盲签名C．ELGamal签名D．无可争辩签名
6．《电气装置安装工程、接地装置施工及验收规范》的国家标准代码是( )
A. GB50174- 93
B.GB9361-88
C. GB2887-89
D.GB50169 - 92
7．VPN的协议中，PPTP和L2TP同时限制最多只能连接_______个用户。( )
A．135 B．255 C．275 D．290
8．由四川川大能士公司提出的，构建在x．25、桢中继或ATM网上，更强调VPN的安全性的，对安全要求更高的是( ) A．VPDN B．XDSL C．ISDN D．SVPN
9．接入控制的实现方式有_______种。( ) A．2 B．3 C．4 D．5
10．在通行字的控制措施中，重复输入口令一般限制为_______次。A．3～6 B．6～8 C．3～8 D．4～6
11．Kerberos的域间认证的第三个阶段是A. Client AS B. Client TGS～ C. Client TGS～ D. Client SERVER～
12.不属于公钥证书类型的有( ) A．客户证书B．服务器证书C．密钥证书D．安全邮件证书
13．CA中面向普通用户的是( ) A．安全服务器B．CA服务器C．注册机构RA D．LDAP服务器
14．以下说法不正确的是( ) A. Baltimore和Entrust是国外开发的比较有影响力的PKI产品
B．VPN作为PKI的一种应用，是基于PKI的
C．基于PKI的应用包括了很多内容，如安全的电子邮件、电子数据交换等
D．Internet上很多软件的签名认证都来自Entrust
15. CA的含义是( ) A．证书使用规定B．证书中心C．交叉证书D．证书政策
16．_______定义了如何使用协议，并为上层应用提供PKI服务。( )A．SET B．AP1 C．SSL D．TCP/IP
17. SSL是由公司开发的。( ) A. Microsoft https://www.doczj.com/doc/a66768331.html,scape C．Sun D．Cisco
18．SET是以为基础的。( )A．信用卡B．借记卡C．金穗卡D．IC卡
19.负责处理商店端的交易信息的SET专用服务器是A．支付网关B．商店服务器C．电子钱包D．用户服务器
20. CTCA的含义是( )A．中国金融认证中心B中国电信CA安全认证系统C上海市电子商务安全证书管理中心二、多项选择题（本大题共5小题，每小题2分，共10分）
21.以下算法属于双钥密码体制的是( ) A．RC-5 B．AES C．RSA D．ELGamal E．ECC
22.关于数字签名的描述，正确的有( )
A．数字签名在电子商务系统中是不可缺少的
B．在电子商务中，为了保证电子商务安全中的认证性和不可否认性，必须具有数字签名技术
C．数字签名与消息的真实性认证是不同的E．数字签名可用于电子商务中的签署
D．数字签名可做到高效而快速的响应，任一时刻，在地球任何地方——只要有Internet，就可以完成签署工作
23.证书吊销表CRL应该包括( ) A.名称B．发布时间C．已吊销证书号D．吊销时戳E．CA签名
24. PKI的构成包括( )A.政策审批机构B．证书使用规定C．证书政策D．证书中心E．单位注册机构
25.以下浏览器支持SSL的有( )
A. Netscape Communicator
B.Microsoft Interner Exploer
C. Microsoft IIS
D.Lotus Domino Server
E．Lotus Notes Server
第二部分非选择题三、填空题（本大题共5小题，每空1分，共10分）请在每小题的空格中填上正确答案。错填、不填均无分。
26.现在广为人们知晓的_______协议(TCP)和_______协议(IP)，常写为TCP/IP。
27.计算机病毒具有正常程序的一切特征：_______、_______。
28. VPN利用_______协议在网络之间建立一个_______通道，以完成数据信息的安全传输。
29．接入控制机构由_______的认证与识别、对_______进行授权两部分组成。
30.实现身份证明的基本途径有_______、_______、个人特征。
四、名词解释题（本大题共5小题，每小题3分，共15分）
31．计算机上安全32．数据完整性33.容错技术34．加密桥技术35．公钥数字证书
五、简答题（本大题共6小题，每小题5分，共30分）
36．简述对Internet攻击的四种类型。37.简述防火墙的分类。38．简述实体认证与消息认证的差别。
39．简述密钥对生成的途径。40．在不可否认业务中，一旦出现纠纷，应采取哪些步骤解决7
41．企业、个人如何获得CFCA证书？
六、论述题（本大题共1小题，共15分）42.试述SET的缺陷。
电子商务安全导论标准预测试卷（四）参考答案
一、1. C 2.C 3.A 4.C 5.B 6.D 7.B 8.D 9.A 10. A 11. C 12. C 13.A 14. D 15. B 16. B 17. B 18. A 19. B 20.
二、21. CDE 22. ABCDE 23. ABCDE 24. ABCDE 25. ABCDE
三、26.传输控制网际27．可存储性可执行性28．隧道虚拟
29.用户认证的用户30．所知所有
四、31．计算机上安全是指一个密码体制对于拥有有限计算资源的破译者来说是安全的，计算上安全的密码表明破译的难度很大。
32.数据完整性或称真确性是指数据处于―一种未受损的状态‖和―保持完整或未被分割的品质或状态‖。
33.容错技术是指当系统发生某些错误或故障时，在不排除错误和故障的条件下使系统能够继续正常工作或者进入应急工作状态。
34.加密桥技术是一个数据库加密应用设计平台，根据应用系统开发环境不同，提供不同接口，实现对不同环境下（不同主机、不同操作系统、不同数据库管理系统、不同国家语言）数据库数据加密以后的数据操作。
35.公钥数字证书是网络上的证明文件：证明双钥体制中的公钥所有者就是证书上所记录的使用者。
五、36.简述对Internet攻击的四种类型。
对Internet的攻击有四种类型：
(1)截断信息：破坏A与B的计算机网络系统部分资源（包括切断通信线路、毁坏硬件等），达到截断（中断）A与B信息联系。这是对服务可用性的攻击。
(2)伪造：伪造信息源(A)的信息，制造假身份，发送伪造信息(给B)，即以伪造、假冒身份发送信息。
(3)篡改：截取A到B的信息，经篡改后，再发至B。
(4)介入：这是一种被动攻击，利用软件提取Internet上的数据。
37.简述防火墙的分类。
(1)包过滤型。包过滤型的控制方式会检查所有进出防火墙的包标头内容。
(2)包检验型。包检验型的控制机制是通过一个检验模组对包中的各个层次作检验。
(3)应用层网关型。应用层网关型的防火墙采用将连线动作拦截，由一个特殊的代理程序来处理两端间的连线的方式，并分析其连线内容是否符合应用协定的标准。
38.简述实体认证与消息认证的差别。
实体认证与消息认证的差别在于，消息认证本身不提供时间性，而实体认证一般都是实时的。另一方面，实体认证通常证实实体本身，而消息认证除了证实消息的合法性和完整性外，还要知道消息的含义。
39.简述密钥对生成的途径。
(1)密钥对持有者自己生成：用户自己用硬件或软件生成密钥对。
(2)密钥对由通用系统生成：由用户依赖的、可信赖的某一中心机构（如CA）生成，然后要安全地送到特定用户的设备中。
40.在不可否认业务中，一旦出现纠纷，应采取哪些步骤解决？
解决纠纷的步骤有：
(1)检索不可否认证据；(2)向对方出示证据；(3)向解决纠纷的仲裁人出示证据；(4)裁决。
41．企业、个人如何获得CFCA证书？
用户可以到所有CFCA授权的证书审批机构(RA)申请证书，申请者一般需提供有关开户账号、身份证／组织机构代码、邮件地址等有效信息，RA审核通过后给用户参考号、授权码作为获得证书的凭据。用户在得到参考号授权码后，可以自行登录CFCA网站获得证书，也可以使用RA提供的其他更为简便的方式获得证书。证书的存储介质可以是软盘、硬盘，但更为安全的方式是使用智能卡或USB--KEY存放。
六、42.试述SET的缺陷。
SET良好的发展趋势，但它本身也存在一些问题和缺陷：
(1)协议没有说明收单银行给在线商店付款前，是否必须收到消费者的货物接受证书，否则，一旦在线商店提供的货物不符合质量标准，消费者提出疑义或要求退货，责任由谁来承担。
(2)协议没有担保―非拒绝行为‖，这意味着在线商店没有办法证明订购是不是由签署证书的消费者发出的。
(3)SET技术规范没有提及在事务处理完成后，如何安全的保有或销毁此类证据，是否应当将数据保存在消费者、在线商店或收单银行的计算机里。这种漏洞可能使这些数据以后受到潜在的攻击。
(4) SET安全协议大部分操作依赖CA认证中心的认证，但SET无法确认认证中心是否被攻击、被假冒，也无法确认认证中心的密钥是否已经泄漏或被修改。
全国高等教育自学考试
电子商务安全导论标准预测试卷（五）
（考试时间150分钟）
第一部分选择题
一、单项选择题（本大题共20小题，每小题1分，共20分）在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填写在题后的括号内。
1．美国的橘黄皮书中为计算机安全的不同级别制定了4个标准：D，C，B，A级，其中最底层是( )
A.A级B．B级C．C级D．D级
2．以下加密法中将原字母的顺序打乱，然后将其重新排列的是( )
A．替换加密法B．转换加密法C．单表置换密码D．多字母加密法
3. 2000年9月，美国国家标准技术局将Rijndael密码算法制定为高级加密标准，即( )
A．DES B．AES C．IDEA D．RD-5
4．MD-5的C语言代码文件中，不包括( ) A. global．H B．global．c C．md5．h D．md5．c
5．只是为了表现自身，并不彻底破坏系统和数据，但会大量占用CPU时间，增加系统开销，降低系统工作效率的一类计算机病毒称为( ) A.引导型病毒B．文件型病毒C．恶性病毒D．良性病毒
6．作为IPSec的密钥管理协议，定义了一系列的方法和步骤来建立用于加密和解密的密钥，并定义了双方通信的公用语言和标识的是( ) A．L2F B．IKE C．PPTP D．GRE
7．企业间发生收购、兼并或企业间建立战略联盟后，使不同企业网通过公网来构筑的虚拟网是( )
A. Internet VPN
B. Access VPN
C. Extranet VPN
D. Intranet VPN
8．对数据库的加密方法有_______种。( ) A．2 B．3 C．4 D．5
9．Kerberos的系统组成包括_______个部分。( ) A．3 B．4 C．5 D．6
10. Kerberos最头疼的问题源自整个Kerberos协议都严重的依赖于( )A．服务器B．密钥C．时钟D．用户
11. _______是CA认证机构中的核心部分，用于认证机构数据、日志和统计信息的存储和管理( )
A. CA服务器B．注册机构RA C．LDAP服务器D．数据库服务器
12.公钥证书的申请方式不包括( )A．电话申请B．Web申请C．E- Mail申请D．到认证机构申请
13. _______比证书政策更详细，综合描述了CA对证书政策的各项要求的实现方法。( )
A．政策审批机构B．证书使用规定C．单位注册机构D．交叉证书
14．_______通常也作为根证书管理中心，它向下一级证书中心发放证书。( )
A．政策审批机构B．证书使用规定C．单位注册机构D．交叉证书
15. PKI的保密性服务采用了_______机制。( ) A．数字信封B．时间戳C．数字签名D．混合加密系统
16.在SET系统中，电子钱包被存在_______的计算机中。( )
A.持卡人B．网上商店C．银行D．认证中心
17．SET通过数字化签名和_______确保交易各方身份的真实性。A.加密方式B．商家认证C．协议D．消息
18.安装在客户端的电子钱包一般是一个( )
A．独立运行的程序B．客户端程序C．浏览器的一个插件D．单独的浏览器
19.运营CA位于CFCA认证系统的第_______层。( ) A．1 B．2 C．3 D．4
20.受理点的功能不包括( )A．管理所辖受理点用户资料B．受理用户证书业务
C．管理本地用户资料D．向受理中心或RA中心申请签发证书
二、多项选择题（本大题共5小题，每小题2分，共10分）在每小题列出的五个备选项中至少有两个是符合题目要求的，请将其代码填写在题后的括号内。错选、多选、少选或未选均无分。
21．以下系统允许审计日制写成隐藏文件的是( )
A．UNIX B．WMS C．XENIX D．Novell3．x E．Windows NT
22.电子商务的安全需求包括( )A．不可抵赖性B．真实性C．机密性D．完整性E．有效性
23.实现数字签名的方法有( )
A．RSA签名体制B．ELGamal签名体制C．无可争辩签名D．盲签名E．双联签名
24. CFCA证书种类包括( )
A．企业普通证书B．个人高级证书C．手机证书D．代码签名证书E．服务器证书
25. SHECA证书结构编码严格遵从X．509标准，应该包含的内容是( )
A．版本号B．序列号C．签名算法D．证书有效期信息E．证书中公钥信息
第二部分非选择题
三、填空题（本大题共5小题，每空1分，共10分）请在每小题的空格中填上正确答案。错填、不填均无分。
26.数字签名分为_______数字签名和_______数字签名。
27.接入控制机构的建立主要根据三种类型信息：_______、客体、_______。
28.通行字可由用户个人选择，也可由_______选定或_______。
29.公钥证书系统按用户群所需的CA个数，可分为_______证书系统和_______证书系统。
30. PK1不可否认业务的类型分为_______、_______和提交的不可否认性。
四、名词解释题（本大题共5小题，每小题3分，共15分）
31．加密算法32．RSA签名体制33．PPTP 34．电子钱包35.安全电子邮件证书
五、简答题（本大题共6小题，每小题5分，共30分）
36.简述IP协议的安全隐患。37.简述集中式密钥分配的概念。
38．简述三种基本的备份系统。39.简述VPN可以提供的功能。40．简述通行字的安全存储办法。
41．简述SET的主要安全保障。
六、论述题（本大题共1小题，共15分）42．试述从机制上如何实现电子商务的不可否认性。
电子商务安全导论标准预测试卷（五）参考答案
一、1. D 2.B 3.B 4.B 5.D 6.B 7.C 8.B 9.B 10. C 11. D 12. A 13. B 14. A 15. A 16. A 17. B 18. C 19.C 20.C
二、21. ABCDE 22. ABCDE 23. ABCDE 24. ABCDE 25. ABCDE
三、26.确定性随机化式27．主体接入权限28.系统管理人员由系统自动产生
29.单公钥多公钥30.源的不可否认性递送的不可否认性
四、31．加密算法即加密程序的逻辑是指对明文进行加密所采用的一组规则。
32．RSA签名体制是利用双钥密码体制的RSA加密算法实现数字签名。
33. PPTP即点对点隧道协议它是用于PPTP客户机和PPTP服务器之间的安全通信。
34．电子钱包是安装在客户端（消费者）计算机上，并符合SET规格的软件，电子钱包处理客户端的所有SET信息。
35．安全电子邮件证书是指个人用户收发电子邮件时采用证书机制保证安全所必须具备的证书。
五、36.简述IP协议的安全隐患。
(1)针对IP的―拒绝服务‖攻击。(2)IP地址的顺序号预测攻击。
(3)TCP协议劫持入侵。(4)嗅探入侵。
37.简述集中式密钥分配的概念。
集中式分配是指利用网络中的―密钥管理中心(KMC)‖来集中管理系统中的密钥，―密钥管理中心‖接受系统中用户的请求，为用户提供安全分配密钥的服务。分布式分配方案是指网络中各主机具有相同的地位，它们之间的密钥分配取决了它们自己的协商，不受任何其他方面的限制。
38.简述三种基本的备份系统。
目前有三种基本的备份系统：
(1)简单的网络备份系统。在网络上的服务器直接把数据通过总线备份到设备中，也可把数据通过对网络经过专用的工作站备份到工作站的设备中。
(2)服务器到服务器的备份。在网络上的一个服务器除了把数据通过总线备份到自己设备中以外，同时又备份到另一个服务器上。
(3)使用专用的备份服务器。不同于上面(2)中所说的另一类服务器，它主要的任务是为网络服务的服务器，使用专用服务器可以使备份工作更加可靠。
39.简述VPN可以提供的功能。
加密数据：以保证通过公网传输的信息即使被他人截获也不会泄露。
信息认证和身份证证：保证信息的完整性、合法性，并能鉴别用户的身份。
提供访问控制：不同的用户有不同的访问权限。
40.简述通行字的安全存储办法。
(1)对于用户的通行字多以加密形式存储，入侵者要得到通行字，必须知道加密算法和密钥，算法可能是公开的，但密钥应当只有管理者才知道。
(2)许多系统可以存储通行字的单向杂凑值，入侵者即使得到此杂凑值也难于推出通行字。
41．简述SET的主要安全保障。
目前SET的主要安全保障来自以下三个方面：
(1)将所有消息文本用双钥密码体制加密；(2)将上述密钥的公钥和私钥的字长增加到512B～2048B;
(3)采用联机动态的授权和认证检查，以确保交易过程的安全可靠。
六、42.试述从机制上如何实现电子商务的不可否认性。
实现源的不可否认业务有下述几种方法：
(1)源的数字签字。(2)可信赖第三方的数字签字。(3)可信赖第三方对消息的杂凑值进行签字。
(4)可信赖第三方的持证。(5)线内可信赖第三方。
(6)组合。为了强化这类不可否认性，实用中可以对上述方法进行适当组合。
全国高等教育自学考试
电子商务安全导论标准预测试卷（六）
（考试时间150分钟）
第一部分选择题
一、单项选择题（本大题共20小题，每小题1分，共20分）在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填写在题后的括号内。
1．在以下电子商务的模式中，对电子商务的新进者费用较低的是( )
A．大字报／告示牌模式B．在线黄页簿模式C．电脑空间上的小册子模式D．虚拟百货模式
2．加密的表示方法为( ) A. C=EK (M) B．M=EK (M) C．C=DK (C) D．M=DK (C)
3．IDEA采用的三种基本运算中不包括( ) A．异或B．模加C．模减D．模乘
4．SHA用于数字签名标准算法_______，亦可用于其他需要散列算法的场合，具有较高的安全性。( )
A．NITS B．NSA C．DSS D．DSA
5．以下哪个选项可以证明某个文件创建的日期( )A．数字信封B．数字签名C．数字时间戳D．散列函数
6．UPS应提供不低于_______小时后备供电能力。( ) A.1 B．2 C．3 D．4
7．内网指的是( ) A．非受信网络B．受信网络C．防火墙外的网络D．互联网
8．规定了怎样用一种网络层协议去封装另一种网络层协议的方法的协议是( )
A. IPSec B．L2F C．PPTP D．GRE
9．在接人控制中，对目标进行访问的实体是( ) A．主体B．客体C．数据库D．程序组
10. Bell的UNIX系统对通行字采用加密方式，以用户个人通行字的前_______个字符作为DES体制的密钥。( )
A.8 B．16 C．32 D．64
11. Client向本Kerberos的认证域以外的Server～申请服务的过程分为_______个阶段。( )
A.3 B．4 C．6 D．8
12.证实服务器的身份和公钥的是( ) A.客户证书B．服务器证书C．CA证书D．安全邮件证书
13.在CA体系结构中起承上启下作用的是( )
A．安全服务器B．CA服务器C．注册机构RA D．LDAP服务器
14. _______是一组规则：指出一个证书对一组特定用户或应用的可适用性，表明它对于一个特定的应用和目的是否是可用的，它构成了交叉验证的基础。( )
A．政策审批机构B．证书使用规定C．单位注册机构D．证书政策
15.密钥备份与恢复只能针对( ) A．签名私钥B．解密密钥C．密钥对D．公钥
16.密钥管理中最棘手的问题是( ) A．系统的初始化B．分配和存储C．备份／恢复D．吊销和销毁
17．_______是对IETF的标准化，制定的目的是为了在因特网上有一种统一的SSL标准版本。( )
A．TLS B．SET C．SEPP D．SMTP
18.在BCA和基层CA之间还可能有个信用卡公司的分支认证单位，被称为( )
A．RCA B．GCA C．MCA D．PCA
19. CFCA的含义是( ) A．中国金融认证中心B．中国电信CA安全认证系统
C．上海市电子商务安全证书管理中心D．以上说法都不对
20. CTCA目前主要提供的安全电子邮件证书密钥位长为( ) A．64 B．128 C．256 D．512
二、多项选择题（本大题共5小题，每小题2分，共10分）在每小题列出的五个备选项中至少有两个是符合题目要求的，请将其代码填写在题后的括号内。错选、多选、少选或未选均无分。
21. Internet系统包含的组成构件有( )
A．客户端软件（也就是Web浏览器）B．客户端的操作系统C．客户端的局域网
D．服务器端的局域网E．服务器上的Web服务器软件
22.密钥管理包括密钥的( ) A．设置B．产生C．分配D．存储E．装入
23．MD5的算法包含的步骤有( )
A．附加填充比特B．附加长度C．初始化缓冲区D．按每块32个字对数据进行4轮规定算法处理E．输出
24．PKI的基础技术包括( )
A．加密B．数字签名C．数据完整性机制D．数字信封E．双重数字签名
25．CA中心能够签发以下哪些服务器的证书( ) A. Netscape Web Serer B.Microsoft IIS server
C. Java Web Server
D.IBM Go Web Server
E. Lotus Notes Server4.5
第二部分非选择题
三、填空题（本大题共5小题，每空1分，共10分）请在每小题的空格中填上正确答案。错填、不填均无分。
26．计算机病毒的_______是指其具有依附于其他媒体而寄生的能力，这种媒体我们称之为计算机病毒的_______。
27. IPSec的_______模式，为源到目的之间已存在的_______提供安全性。
28. Kerberos的认证服务主要包括_______和_______这两种最典型的认证模式。
29.双钥密码体制加密时有一对_______和_______。
30. SSL可用于保护正常运行于TCP上的任何应用协议，如_______、_______SMTP或Telnet的通信。
四、名词解释题（本大题共5小题，每小题3分，共15分）
31.散列函数32.归档33.数字签名34. PKI中的公证服务35．个人数字证书
五、简答题（本大题共6小题，每小题5分，共30分）
36．简述电子商务的安全隐患。37．简述双钥密码体制的概念。38．简述VPN的适用范围。
39．简述对数据库加密的方法。40.简述身份证明系统的组成。41．网上信用卡交易的安全需求是什么？
六、论述题（本大题共1小题，共15分）
42．试述混合加密系统的实施过程。
电子商务安全导论标准预测试卷（六）参考答案
一、1. A 2.A 3.C 4.C 5.C 6.B 7.B 8.D 9.A 10. A 11. B 12. B 13. C 14. D 15. B 16. B 17.A 18. B 19. A 20. D
二、21. ABCDE 22. ABCDE 23. ABCE 24. ABCDE 25. ABCD
三、26．潜伏性宿主27.传输IP包28.域内认证域间认证29.公钥密钥30. HTTP FTP
四、31.散列函数是将一个长度不确定的输入串转换成一个长度确定的输出串称为散列值。
32．归档是指将文件从计算机的存储介质中转移到其他永久性的介质上，以便长期保存的过程。
33．数字签名（也称数字签字、电子签名）在信息安全方面有重要应用，是实现认证的重要工具，在电子商务系统中是不可缺少的。
34．PKI中的公证服务与一般社会公证人提供的服务有所不同，PKI中支持的公证服务是指―数据认证‖，也就是说，公证人要证明的是数据的有效性和正确性，这种公证取决于数据验证的方法。
35．个人数字证书是指人个使用电子商务应用系统应具备的证书。
五、36.简述电子商务的安全隐患。
电子商务系统的安全问题不仅包括了计算机系统的隐患，还包括了一些自身独有的问题。
(1)数据的安全。一个电子商务系统必然要存储大量的商务数据，这是其运转的核心。一旦发生数据丢失或损坏，后果不堪设想。
(2)交易的安全。这也是电子商务系统所独有的。
37.简述双钥密码体制的概念。
双钥密码体制又称作公共密钥体制或非对称加密体制，这种加密法在加密和解密过程中要使用一对（两个）密钥，一个用于加密，另一个用于解密。即通过一个密钥加密的信息，只有使用另一个密钥才能够解密。
38.简述VPN的适用范围。
在满足基本应用要求后，有四类用户比较适合采用VPN:
(1)位置众多，特别是单个用户和远程办公室站点多，例如企业用户、远程教育用户；
(2)用户／站点分布范围广，彼此之间的距离远，遍布全球各地，需通过长途电信，甚至国际长途手段联系的用户；(3)带宽和时延要求相对适中的用户；(4)对线路保密性和可用性有一定要求的用户。
39.简述对数据库加密的方法。
对数据库的加密方法有以下三种：
(1)使用加密软件加密数据。(2)使用专用软件加密数据库数据。(3)加密桥技术。
40.简述身份证明系统的组成。
一个身份证明系统一般由3方组成，一方是出示证件的人，称做示证者，又称申请者，提出某种要求；另一方为验证者，检验示证者提出的证件的正确性和合法性，决定是否满足其要求。第三方是可信赖者，用以调解纠纷。
41.网上信用卡交易的安全需求是什么？
网上信用卡交易的安全需求是：
(1)商家希望有一套简单的、符合经济效益的方法来完成网上交易；
(2)客户希望有一套安全的、方便的、能够放心地到网上购物的机制；
(3)银行以及信用卡机构需要以现有的信用卡机制为基础的、变动较少的修改就能够在未来支持电子付款的方式。
六、42．试述混合加密系统的实施过程。
在一次信息传送过程中，可以综合利用消息加密、数字信封、散列函数和数字签名实现安全性、完整性、可鉴别和不可否认。具体过程如下：
(1)发送方A
①求明文消息的消息散列值：hA=H＇(M)；
②发送方用自己的私钥KSA对散列值进行数字签名：h＇=EKSA (hA)；
③将明文M和数字签名h＇合并为M＇，M＇＝【M h＇】；
④随机产牛—个DES密钥KDES；
⑤用DES密钥KDES加密M＇，C1=EKDES( M＇)；
⑥用接受方B的公钥加密DES密钥，C2=EKPB（KDES）。
A将C1和C2发送给接受方B。
(2)接受方B
接受方B收到消息后：
①B用其私钥打开数字信封，得到发送方的DES密钥，KDES=DKSB( C2)；
②再用此密钥去解密消息C1，M＇＝DKDES( C1)；
③从M’中分离出M和h’；
④求明文消息的消息散列值，hB=H(M)；
⑤对A的数字签名h’进行身份验证，hA=DKPA (h’)；
⑥比较hA和hB，如hA=hB，则说明M确是A发送的消息，如hA≠hB，则收到的M是不可信的。这就是数据完整性检验。【自考复习指导】自学考试电子商务专业“电子商务安全导论”课程统一
高等教育自学考试是应考者获得高等教育学历的国家考试，命题是确保考试质量的核心工作。为做好电子商务专业（独立本科段）―电子商务安全导论‖课程全国统一命题工作，特制定本命题大纲。
一、课程性质和考试目标
（一）课程性质―电子商务安全导论‖课程是全国高等教育自学考试电子商务专业（独立本科段）的专业课程之一。本课程比较深入地探讨了电子商务安全中的信息安全、网络安全和网络环境中交易者的身份确认以及安全电子支付协议等重要课题。目的是使该专业的学生对电子商务安全有一个比较全面和深入的认识，具备电子商务安全技术应用的基本能力。
（二）考试目标通过学习本课程，要求考生：
1.了解电子商务安全的需求；
2.了解产生电子商务安全隐患的原因；
3.掌握密码理论及其应用的原理与方法；
4.掌握网络系统安全技术的原理与方法；
5.掌握公钥证书的基本概念和使用方法；
6.掌握电子商务安全协议的内容、作用及使用方法；
7.理解PKI的基本概念及应用。
二、考试内容（各章节的重点内容）
本课程的考试内容及考核要求以本课程的自学考试大纲为标准，其重点内容为：
第一章，电子商务安全基础、计算机安全等级；
第二章，电子商务的安全需求、单密钥与双密钥密码体制、密钥的管理技术；
第三章，数据的完整性安全性、数字签名、数字信封、混合加密系统、数字时间戳；
第四章，网络系统的物理安全、容错、冗余与系统备份、计算机病毒的防范；
第五章，计算机网络防火墙、VPN技术；
第六章，接入控制与数据库加密技术；
第七章，认证与身份证明、Kerberos认证；
第八章，公钥证书、证书机构；
第九章，公钥基础设施、密钥管理、不可否认业务；
第十章，SSL协议、SET协议及应用、SET与SSL的对比及SET的缺陷；
第十一章，中国金融认证中心及金融认证服务相关业务规则、中国电信的CA安全认证系统、上海市电子商务安全证书管理中心。
三、考试命题的原则
（一）命题标准本课程是电子商务专业的一门专业课。本课程的命题以自学考试大纲为依据，参照全日制普通高校同专业、同层次、同课程的结业水平，并体现自学考试以培养应用型人才的主要目标的特点。在题量上保证中等水平的考生能够在规定的考试时间内完成全部试题的回答，并有适当时间对答案进行检查。
（二）考试依据和范围以全国高等教育自学考试指导委员会制定与颁发的《电子商务安全导论自学考试大纲》为考核依据，以《电子商务安全导论》（全国高等教育自学考试指导委员会组编，蒋汉生主编2005年5月第一版）教材内容为命题范围。试题及参考答案按指定教材中相关的提法来编制。
（三）知识与能力的关系学习本课程要求考生了解电子商务安全的需求、电子商务安全隐患的原因、PKI的基本概念及应用；掌握密码理论及其应用的原理与方法、网络系统安全技术的原理与方法、公钥证书的基本概念和使用方法、电子商务安全协议的内容、作用及使用方法。在试卷中既要考核考生对基本概念、基本理论和基本方法的掌握情况，又要考核考生运用基础知识解决实际问题的能力。
（四）重点与覆盖面的关系试题将覆盖教材各章，重点章节的权重比例大一些，次重点章节的权重比例少一些。单章考核的分数不超过20%。
四、考试形式与试卷结构
（一）考试形式电子商务安全导论课程的考试形式为闭卷考试方式、考试时间为150分钟，评分采用百分制，60分为及格线。
（二）考试内容结构试卷内容以教材第1、2、3、5、8、10章为重点考核章节，第4、7、9章为次重点考核章节，第6、11章为一般考核章节，重点内容占考核的70%，次重点占考核的20%，一般内容不超过10%。（三）试卷能力结构能力考核分为―识记‖、―领会‖和―应用‖三个层次，考核不同能力层次的试题在试卷中的分数比例为：―识记‖占30%左右，―领会‖占45%左右、―应用‖占25%左右。
（四）试卷的难度结构试题难度分为―容易‖、―中等偏易‖、―中等偏难‖和―难‖四个层次，不同难度的试题在试卷中的分数比例为：―容易‖占20%左右，―中等偏易‖占35%左右、―中等偏难‖占30%左右，―难‖占15%左右。
（五）试卷的题型结构本课程考试采用的题型为单项选择题、多项选择题、填空题、名词解释、简答题、论述题等六种。
简答题与论述题：
简答
1，简述保护数据完整性的目的，以有被破坏会带来的严重后果。
答：保护数据完整性的目的就是保证计算机系统上的数据和信息处于一种完整和未受损害的状态。这意味着数据不会由于有意或无意的事件而被改变和丢失。
数据完整性被破坏会带来严重的后果：
（1）造成直接的经济损失，如价格，订单数量等被改变。（2）影响一个供应链上许多厂商的经济活动。一个环节上数据完整性被破坏将使供应链上一连串厂商的经济活动受到影响。（3）可能造成过不了―关‖。有的电子商务是与海关，商检，卫检联系的，错误的数据将使一批贷物挡在―关口‖之外。（4）会牵涉到经济案件中。与税务，银行，保险等贸易链路相联的电子商务，则会因数据完整性被破坏牵连到漏税，诈骗等经济案件中。（5）造成电子商务经营的混乱与不信任。
2，简述散列函数应用于数据的完整性。
答：可用多种技术的组合来认证消息的完整性。为消除因消息被更改而导致的欺诈和滥用行为，可将两个算法同时应用到消息上。首先用散列算法，由散列函数计算机出散列值后，就将此值——消息摘要附加到这条消息上。当接收者收到消息及附加的消息摘要后，就用此消息独自再计算出一个消息摘要。如果接收者所计算出的消息摘要同消息所附的消息摘要一致，接收者就知道此消息没有被篡改。
3，数字签名与消息的真实性认证有什么不同？
答：数字签名与消息的真实性认证是不同的。消息认证是使接收方能验证消息发送者及所发信息内容是否被篡改过。当收发者之间没有利害冲突时，这对于防止第三者的破坏来说是足够了。但当接收者和发送者之间相互有利害冲突时，单纯用消息认证技术就无法解决他们之间的纠纷，此是需借助数字签名技术。
4，数字签名和手书签名有什么不同？
答：数字签名和手书签名的区别在于：手书签名是模拟的，因人而异，即使同一个人也有细微差别，比较容易伪造，要区别是否是伪造，往往需要特殊专家。而数字签名是0和1的数字串，极难伪造，不需专家。对不同的信息摘要，即使是同一人，其数字签名也是不同的。这样就实现了文件与签署的最紧密的―捆绑‖。
5，数字签名可以解决哪些安全鉴别问题？答：数字签名可以解决下述安全鉴别问题：（1）接收方伪造：接收方伪造一份文件，并声称这是发送方发送的；（2）发送者或收者否认：发送者或接收者事后不承认自己曾经发送或接收过文件；（3）第三方冒充：网上的第三方用户冒充发送或接收文件；（4）接收方篡改：接收方对收到的文件进行改动。
6，无可争辩签名有何优缺点？
答：无可争辩签名是在没有签名者自己的合作下不可能验证签名的签名。
无可争辩签名是为了防止所签文件被复制，有利于产权拥有者控制产品的散发。适用于某些应用，如电子出版系统，以利于对知识产权的保护。
在签名人合作下才能验证签名，又会给签名者一种机会，在不利于他时可拒绝合作，因而不具有―不可否认性‖。无可争辩签名除了一般签名体制中的签名算法和验证算法外，还需要第三个组成部分，即否认协议：签名者利用无可争辩签名可向法庭或公众证明一个伪造的签名的确是假的；但如果签名者拒绝参与执行否认协议，就表明签名真的由他签署。
7，UPS的作用是防止突然停电造成网络通讯中断。
8，计算机病毒是如何产生的？
答：计算机病毒是人为产生的，是编制者在计算机程序中插入的破坏计算机功能，或进毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。
9，计算机恶性病毒的危害是破坏系统或数据，造成计算机系统瘫痪。
10，简述容错技术的目的及其常用的容错技术。
答：容错技术的目的是当系统发生某些错误或故障时，在不排除错误和故障的条件下使系统能够继续正常工作或者进入应急工作状态。
容错技术最实用的一种技术是组成冗余系统。冗余系统是系统中除了配置正常的部件以外，还配制出的备份部件。当正常的部件出现故障时，备份部件能够立即取代它继续工作。当然系统中必须另有冗余系统的管理机制和设备。另有一种容错技术是使
用双系统。用两个相同的系统共同承担同一项任务，当一个系统出现故障时，另一系统承担全部任务。
11，现在网络系统的备份工作变得越来越困难，其原因是什么？
答：其原因是网络系统的复杂性随着不同的操作系统和网络应用软件的增加而增加。此外，各种操作系统，都自带内置软件的备份，但自动备份和文件管理上都是很基本的，功能不足。
12，简述三种基本的备份系统。
答：（1）简单的网络备份系统：在网络上的服务器直接把数据通过总线备份到设备中。也可把数据通过对网络经过专用的工作站备份到工作站的设备中。（2）服务器到服务器的备份：在网络上的一个服务器除了把数据通过总线备份到自己设备中以外，同时又备份到另一个服务器上。（3）使用专用的备份服务器：不同于第二种中所说的另一类服务器，它主要的任务是为网络服务的服务器，使用专用服务器可以使备份工作更加可靠。
13，简述数据备份与传统的数据备份的概念。答：数据备份，是指为防止系统出现操作失误或系统故障导致数据丢失，而将全系统或部分数据集合从应用主机的硬盘或阵列复制到其他的存储介质的过程。传统的数据备份主要是采用数据内置或外置的磁带机进行冷备份。
14，列举计算机病毒的主要来源。答：1，引进的计算机病毒和软件中带有的病毒。2，各类出国人员带回的机器和软件染有病毒。3，一些染有病毒的游戏软件。4，非法拷贝引起的病毒。5，计算机生产，经营单位销售的机器和软件染有病毒。6，维修部门交叉感染。7，有人研制，改造病毒。8，敌对份子以病毒进行宣传和破坏。9，通过互联网络传入。
15，数据文件和系统的备份要注意什么？答：日常的定时，定期备份；定期检查备份的质量；重要的备份最好存放在不同介质上；注意备份本身的防窃和防盗；多重备份，分散存放，由不同人员分别保管。
16，一套完整的容灾方案应该包括本地容灾和异地容灾两套系统。
17，简述归档与备份的区别。答：归档是指将文件从计算机的存储介质中转移到其他永久性的介质上的，以便长期保存的过程。备份的目的是从灾难中恢复。归档是把需要的数据拷贝或打包，用于长时间的历史性的存放，归档可以清理和整理服务器中的数据。归档也是提高数据完整性的一种预防性措施。
18，病毒有哪些特征？
答：非授权可执行性；隐藏性；传染性；潜伏性；表现性或破坏性；可触发性。
19，简述计算机病毒的分类方法。
答：按寄生方式分为，引导型，病毒文件型和复合型病毒。按破坏性分为，良性病毒和恶性病毒
20，简述计算机病毒的防治策略？答：依法治毒，建立一套行之有效的病毒防治体系，制定严格的病毒防治技术规范。
21，保证数据完整性的措施有：有效防毒，及时备份，充分考虑系统的容错和冗余。
22，扼制点的作用是控制访问。
23，防火墙不能防止的安全隐患有：不能阻止已感染病毒的软件或文件的传输；内部人员的工作失误。
24，防火墙与VPN之间的本质区别是：堵/通；或防范别人/保护自己。
25，设置防火墙的目的及主要作用是什么？答：设置防火墙的目的是为了在内部网与外部网之间设立惟一通道，允许网络管理员定义一个中心―扼制点‖提供两个网络间的访问的控制，使得只有被安全策略明确授权的信息流才被允许通过，对两个方向的信息流都能控制。它的主要作用是防止发生网络安全事件引起的损害，使入侵更难实现，来防止非法用户，比如防止黑客，网络破坏者等进入内部网络。禁止存在安全脆弱性的服务进出网络，并抗击来自各种路线的攻击。
26．简述防火墙的设计须遵循的基本原则。答：（1）由内到外和由外到内的业务流必须经过防火墙。（2）只允许本地安全政策认可的业务流必须经过防火墙。（3）尽可能控制外部用户访问内域网，应严格限制外部用户进入内域网。（4）具有足够的透明性，保证正常业务的流通。（5）具有抗穿透性攻击能力，强化记录，审计和告警。
27．目前防火墙的控制技术可分为：包过滤型，包检验型以及应用层网关型三种。
28．防火墙不能解决的问题有哪些？
答：（1）如果网络管理员不能及时响应报警并审查常规记录，防火墙就形同虚设。在这种情况下，网络管理员永远不会知道防火墙是否受到攻击。（2）防火墙无法防范通过防火墙以外的其他途径的攻击。（3）防火墙不能防止来自内部变节者和不经心的用户带来的威胁。（4）防火墙也不能防止传送已感染病毒的软件或文件。（5）防火墙无法防范数据驱动型的攻击。
29．VPN提供哪些功能？
答：加密数据：以保证通过公网传输的信息即使被他人截获也不会泄露。
信息认证和身份认证：保证信息的完整性，合法性，并能鉴用户的身份。
提供访问控制：不同的用户有不同的访问权限。
30．简述隧道的基本组成。
答：一个隧道启动器，一个路由网络，一个可选的隧道交换机，一个或多个隧道终结器。
31．IPSec提供的安全服务包括：私有性（加密），真实性（验证发送者的身份），完整性（防数据篡改）和重传保护（防止未经授权的数据重新发送）等，并制定了密钥管理的方法。
32．选择VPN（虚拟专用网）解决方案时需要考虑哪几个要点？
答：（1）认证方法；（2）支持的加密算法。（3）支持的认证算法。（4）支持IP压缩算法。（5）易于部署。（6）兼容分布式或个人防火墙的可用性。
33．简述VPN的分类。
答：按VPN的部署模式分，VPN的部署模式从本质上描述了VPN的通道是如何建立和终止的，一般有三种VPN部署模式：端到端模式；供应商到企业模式；内部供应商模式。
按VPN的服务类型分，VPN业务大致可分为三类：internetVPN AccessVPN和ExtranetVPN.
34．简述VPN的具体实现即解决方案有哪几种？答：（1）虚拟专用拨号网络，用户利用拨号网络访问企业数据中心，用户从企业数据中心获得一个私有地址，但用户数据可跨公共数据网络传输。（2）虚拟专用路由网络，它是基于路由的VPN接入方式。（3）虚拟租用线路，是基于虚拟专线的一种VPN，它在公网上开出各种隧道，模拟专线来建立VPN. （4）虚拟专用LAN子网段，是在公网上用隧道协议仿真出来一个局域网，透明地提供跨越公网的LAN服务。
35．实体认证与消息认证的主要差别是什么？答：实体认证与消息认证的差别在于，消息认证本身不提供时间性，而实体认证一般都是实时的。另一方面，实体认证通常证实实体本身，而消息认证除了证实消息的合法性和完整性外，还要知道消息的含义。
36．通行字的选择原则是什么？
答：易记；难于被别人猜中或发现；抗分析能力强。在实际系统中，需要考虑和规定选择方法，使用期限，字符长度，分配和管理以及在计算机系统内的保护等。根据系统对安全水平的要求可有不同的选取。
37．通行字的安全存储有哪二种方法？
答：（1）用户的通行字多以加密形式存储，入侵者要得到通行字，必须知道加密算法和密钥。（2）许多系统可以存储通行字的单向杂凑值，入侵者即使行到此杂凑也难于推出通行字。
38．有效证书应满足的条件有哪些？
答：（1）证书没有超过有效期。（2）密钥没有被修改。如果密钥被修改后，原证书就应当收回，不再使用。如果雇员离开了其公司，对应的证书就可收回，如果不收回，且密钥没被修改，则可继续使用该证书；（3）证书不在CA发行的无效证书清单中。CA负责回收证书，并发行无效证书清单。用户一旦发现密钥泄露就应及时将证书吊销。并由CA通知停用并存档备案。
39．密钥对生成的两种途径是什么？
答：（1）密钥对持有者自己生成：用户自己用硬件或软件生成密钥对。如果该密钥对用于数字签名时，应支持不可否认性。
（2）密钥对由通用系统生成：由用户依赖，可信赖的某一中心机构生成，然后安全地送到特定用户的设备中。利用这类中心的资源，可产生高质量密钥对，易于备份和管理。
40．证书有哪些类型？
答：（1）个人证书：证实客户身份和密钥所有权。在一些情况下，服务器会在建立SSL边接时要求用个人证书来证实客户身份。用户可以向一个CA申请，经审查后获得个人证书。（2）服务器证书：证实服务器的身份和公钥。当客户请求建立SSL连接时，服务器把服务器证书传给客户。客户收到证书后，可以检查发行该证书的CA是否应该信任。对于不信任的CA，浏览器会提示用户接受或拒绝这个证书。（3）邮件证书：证实电子邮件用户的身份和公钥。一些有安全功能的电了邮件应用程序能使用邮件证书来验证用户身份和加密解密信息。（4）CA证书：证实CA身份和CA的签名密钥。在Netscape浏览器里，服务器管理员可以看到服务受接受的CA证书，并选择是否信任这些证书。CA证书允许CA发行其他类型的证书。
41．如何对密钥进行安全保护？
答：密钥按算法产生后，首先将私钥送给用户，如需备份，应保证安全性，将公钥送给CA，用以生成相应证书，为了防止未授权用户对密钥的访问，应将密钥存入防窜扰硬件或卡中，或加密后存入计算机的文件中。此处，定期更换密码对是保证安全的重要措施。
42．CA认证申请者的身份后，生成证书的步骤有哪些？
答：（1）CA检索所需的证书内容信息；（2）CA证实这些信息的正确性；（3）回CA用其签名密钥对证书签名；（4）将证书的一个拷贝送给注册者，需要时要求注册者回送证书的收据；（5）CA将证书送入证书数据库，向公用检索业务机构颂；（6）通常，CA将证书存档；（7）CA将证书生成过程中的一些细节记入审记记录中。
43．公钥证书的基本作用？
答：将公钥与个人的身份，个人信息件或其他实体的有关身份信息联系起来，在用公钥证实数字签名时，在确信签名之前，有时还需要有关签名人的其他信息，特别是要知道签名者是否已被授权为对某特定目的的签名人。
授权信息的分配也需用证书实现，可以通过发放证书宣布某人或实体具有特定权限或权威，使别人可以鉴别和承认。
44．双钥密码体制加密为什么可以保证数据的机密性？
答：双钥密码体制加密时有一对公钥和私钥，公钥可以公开，私钥由持有者保存，公钥加密过的数据中有持有者的私钥能解开，这样就保证了数据的机密性。经私钥加密过的数据——数字签名可被所具有公钥的人解开，由于私钥只有持有者一人保存，就样就证明信息发自私钥持有者，具有不可否认证和完整性。
45．电子商务安全的中心内容
1商务数据的机密性2商务数据的完整性3商务对象的认证性4商务服务的不可否认性5商务服务的不可拒绝性6访问的控制性
46．电子邮件的安全问题主要有两个方面：（1）电子邮件在网上传送时随时可能别人窃取到（2）可以冒用别人的身份发信47．数字签名的使用方法：
数字签名使用双钥密码加密和散列函数。消息M用散列函数H得到的消息摘要h=H（M），然后发送方再用自己的双钥密码体制的私钥对这个散列值进行加密h=E （h），形成发送方的数字签名。然后，这个数字签名将作为消息M的附件和消息一起发送给消息的接受方。消息的接受方首先从接受到的原始消息M中计算出散列值h=H（M），接着再用发送方的双钥密码体制的公钥来对消息的数字签名进行解密D （h）得h 如果这两个散列值h = h那么接收方就能确认该数字签名是发送方的，而且还可以确定此消息没有被修改过。
48．提高数据完整性的预防性措施
（1）镜像技术：是指将数据原样地从一台设备机器拷贝到另一台设备机器上（2）故障前兆分析（3）奇偶效验（4）隔离不安全的人员（5）电源保障
49．病毒的分类
1 按寄生方式分为：（1）引导型病毒（2）文件型病毒（3）复合型病毒
2 按破坏性分为：（1）良性病毒（2）恶性病毒
50．防火墙的设计原则：
①由内到外和由外到内的业务流必须经过防火墙②只允许本地安全政策认可的业务流通过防火墙③尽可能的控制外部用户访问内域网，应严格限制外部用户进入内域网④具有足够的透明性，保证正常业务的流通⑤具有抗穿透攻击能力，强化记录，审计和告警。
论述题
1，对比传统手书签名来论述数字签名的必要性。
答：商业中的契约，合同文件，公司指令和条约，以及商务书信等，传统采用手书签名或印章，以便在法律上能认证，核准，生效。传统手书签名仪式要专门预定日期时间，契约各方到指定地点共同签署一个合同文件，短时间的签名工作量需要很长时间的前期准备工作。由于某个人不在要签署文件的当地，于是要等待，再等待。这种状况对于管理者，是延误时机；对于合作伙伴，是丢失商机；对于政府机关，是办事效率低下。电子商务的发展大大地加快了商务的流程，已经不能容忍这种―慢条斯理‖的传统手书签名方式。在电子商务时代，为了使商，贸，政府机构和直接消费者各方交流商务信息更快，更准确和更便于自动化处理，各种凭证，文件，契约，合同，指令，条约，书信，订单，企业内部的管理等必须实现网络化的传递。保障传递文件的机密性应使用加密技术，保障其完整性则用信息摘要要技术，而保障认证性和不可否认性则应使用数字签名技术。数字签名可做到高效而快速的响应，任意时刻，在地球任何地方——只要有internet，就可完成签署工作。数字签名除了可用于电子商务中的签署外，还可用于电子办公，电子转账及电子邮递等系统。
2，对于公钥/私钥对的不同功能，在要求上要考虑不一致的情况有哪些？
答：（1）需要采用两个不同的密钥对分别作为加密/解密和数字签名/验证签名用。（2）一般公钥体制的加密用密钥的长度要比签名用的密钥短，有的国家对出口加密用算法的密钥的长度有限制，而对签名用密钥无限制。（3）由于实际商务的需要或其他原因，需要用不同的密钥和证书，例如，一般消息加密用的密钥比较短，加密时间可快一些；而对短消息加密用的密钥可以长一些，有利于防止攻击。（4）密钥对的使用期限不同：加密密钥使用频度比签名用密钥的使用频度大得多，因此更换周期要短。（5）并非所有公钥算法都具有RSA的特点，例如DSA算法可以做签名，但无须建立密钥。未来系统要能支持多种算法，因而应支持采用不同签名密钥对和不同密钥的建立。（6）加密算法可能支持密钥托管和密钥恢复，以及可能的法律监听。但数字签名的密钥则不允许泄露给他人，其中包括法律机构。
3，试述提高数据完整性的预防性措施有哪些？答：预防性措施是用来防止危及到数据完整性事情的发生。可采用以下措施―
镜像技术：是指将数据原样地从一台设备机器拷贝到另一台设备机器上。
故障前兆分析：有些部件不是一下子完全坏了，例如磁盘驱动器，在出故障之前往往有些征兆，进行故障前兆分析有利于系统的安全。
奇偶校验：是服务器的一个特征。它提供一种机器机制来保证对内存错误的检测，因此，不会引起由于服务器出错而造成数据完整性的丧失。
隔离不安全的人员：对本系统有不安全的潜在威胁人员，应设法与本系统隔离。
电源保障：使用不间断电源是组成一个完整的服务器系统的良好方案。
4，试述防火墙的分类有及它们分别在安全性或效率上有其特别的优点。答：目前防火墙的控制技术大概可分为：包过滤型，
包检验型以及应用层网关型三种。（1）包过滤型：包过滤型的控制方式会检查所有进出防火墙的包标头内容，如来源及目的地，使用协定等信息。现在的路由器，交换式路由器以及某些操作系统已经具有用包过滤控制的能力。包过滤型的控制方式最大的好处是效率最高，但却有几个严重缺点：管理复杂，无法对连线作完全的控制，规则设置的先后顺序会严重影响结果，不易维护以及记录功能少。（2）包检验型：包检验型的控制机制是通过一个检验模组对包中的各个层次作检验。包检验型可谓是包过滤型的加强版，目的在增加包过滤型的安全性，增加控制―连线‖的能力。但由于包检验的主要对象仍是个别的包，不同的包检验方式可能会产生极大的差异。其检查层面越广越安全，但其相对效率也越低。包检验型防火墙在检查不完全的情况下，可难会造成原来以为只有特定的服务可以通过，通过精心设计的数据包，可在到达目的地时因重组而被转变杨原来并不允许通过的连线请求。这个为了增加效率的设计反而成了安全弱点。（3）应用层网关型：应用层网关型的防火墙采用将连线动作拦截，由一个特殊的代理程序来处理两端间的边线方式，并分析其边线内容是否符合应用协定的标准。这种方式的控制机制可以从头到尾有效地控制整个连线的动作，而不会被客户或服务器端欺骗，在管理上也不会般用途的代理程序来处理大部分连线。这种运作方式是最安全的方式，但也是效率最低的一种方式。
5，试述VPN的优点有哪些？
答：成本较低：VPN在设备的使用量及广域网络的频宽使用上，均比专线式的架构节省，故能使企业网络的总成本降低。网络结构灵活：VPN比专线式的架构有弹性，当有必要将网络扩充或是变更网络架构时，VPN可以轻易地达到目的；相对而言，传统的专线式架构便需大费脑筋了。管理方便：VPN较少的网络设备及物理线路，使网络的管理较为轻松；不论分公司或是远程访问用户再多，均只需要通过互联网的路径进入企业网络VPN是一种连接，从表面上看它类似一种专用连接，但实际上是在共享网络上实现的。它往往使用一种被称作―隧道‖的技术，数据包在公共网络上专用的―隧道‖内传输，专用―隧道‖用于建立点对点的连接。来自不同数据的网络业务经由不同的隧道在相同的体系结构上传输，并允许网络协议穿越不兼容的体系结构，还可区分来自不同数据源的业务，因而可将该业务发往指定的目的地，并接收指定等级的服务。
6，组建VPN应该遵循的设计原则。
答：VPN的设计应遵循以下原则：安全性，网络优化，VPN管理等。
在安全性方面，由于VPN直接构建在公用网上，实现简单，方便，灵活，但同时其安全问题也更为突出，由于VPN直接构建在公用网上，实现简单，方便，灵活，但同时其安全问题也更为突出。企业必须确保其VPN上传送的数据不被攻击者窥视和篡改，并且在防止非法用户对网络资源或私有信息的访问。ExtrantVPN将企业网扩展到合作伙伴和客户，对安全性提出了更高的要求。安全问题是VPN的核心问题。目前，VPN的安全保证主要是通过防火墙技术，路由器配以隧道技术，加密协议和安全密钥来实现的，可以保证企业员工安全地访问公司网络。
在网络优化方面，构建VPN的另一重要需求是充分有效地利用有限的广域网资源，为重要数据提供可靠的带宽。广域网流量的不确定性使其带宽的利用率很低，在流量高峰时引起网络阻塞，产生网络瓶颈，使实时性要求高的数据得不到及时发送；而在流量低谷时又造成大量的网络带宽空闲。QOS通过流量预测与流量控制策略，可以按照优先级分配带宽资源，实现带宽管理，使得各类数据能够被合理地先后发送，并预防阻塞的发生。
在VPN管理方面，VPN要求企业将其网络管理功能从局域网无缝地延伸到公用网，甚至是客户和合作伙伴。虽然可以将一些次要的网络管理任务交给服务提供商去完成，企业自己仍需要完成许多网络管理任务。所以，一个完善的VPN管理系统是必不可少的。VPN管理的目标为：减小网络风险，具有高扩展性，经济性，高可靠性等优点。事实上，VPN管理主要包括安全管理，设备管理，配置管理，访问控制列表管理，服务质量管理等内容。
7，试述数据加密的必要性。
答：由于网络技术，网络协议，主要技术是公开的，所有的网络安全技术出是基于这些公开的技术，黑客利用这些公开技术中的漏洞，对网络和数据进行攻击；任何操作系统无论其技术是否公开，都是有漏洞的，因为安全与运行效率是一个要综合平衡的矛盾。网络安全是一个解决不了的问题，黑客技术已是某些国家控制和监督别国网络的有力武器，黑客已是窃取政治经济情服务的最安全，最有效，最快捷的手段。在我国的网络技术远远落后国际先进水平的情况下外部和内部黑客进入我国计算机网络窃取有用情报，更如入无人之境，其中主要原因是网络被攻破以后计算机文件数据和数据库中的数据是可以看懂的明文。
目前技术可达到―几分钟，一块活动硬盘可盗走300亿字的数据‖，一旦黑客攻破网络，如果数据未加密，计算机数据是可读的，则数据即盗即用。黑客还可以针对性地盗窃和篡改黑客关心的文件和数据库记录（破坏数据的完整性）。而且黑客一旦掌握了攻破方法以后，会不断地继续盗走和篡改数据，而用户很难察觉。
数据加密的作用：（1）解决外部黑客侵入网络后盗窃计算机数据的问题；（2）解决外啊黑客侵入网络后篡改数据的问题；（3）解决内部黑客在内部网上盗窃计算机数据的问题；（4）解决内部黑客在内部网上篡改数据的问题；（5）解决CPU，操作系统等预先安置了黑客软件或无线发射装置的问题。
数据加密可以解决网络内部信息―看不懂，改不了，盗走也没用‖的问题，是网络安全最后一道防线，也是价格性能比最好的网络安全问题的根本解决手段。
8，试述一下身份证明系统的相关要求。
答：对身份证明系统的相关要求：（1）验证者正确认别合法示证者的概率极大化。（2）不具可传递性，验证者B不可能重用示证者A提供给他的信息，伪装示证者A成功地骗取其他人的验证，得到信任。（3）攻击者伪装示证者欺骗验证者成功的概率小到可以忽略，特别是要能抗已知密文攻击，即攻击者在截获到示证者和验证者多次通信下，伪装示证者欺骗验证者。（4）计算有效性，为实现身份证明所需的计算量要小。（5）通信有效性，为实现身份证明所需通信次数和数据量要小。（6）秘密参数安全存储。（7）交互识别，有些应用中要求双方互相进行身份认证。（8）第三方实时参与，如在线公钥检索服务。（9）第三方的可信赖性。（10）可证明安全性。
后四条是有些身份误用别系统提出的要求。身份识别与数字签字密切相关，数字签名是实现身份识别的一个途径，但在身份识别消息的语义基本上是固定的，是当前时刻的申请者的身份验证者根据规定或接受或拒绝申请。一般签字不是―终生‖的，但应是长期有效的，未来仍可启用的。
9，论述证书机构的管理功能。
答：证书机构用于创建和发布证书，它通常为一个称为安全域的有限群体发放证书。创建证书的时候。CA系统首先获取用户的请求信息，其中包括用户公钥，CA将根据用户的请求信息产生证书，并用自己的私钥对证书进行签名。其他用户，应用程序或实体将使用CA的公钥对证书进行验证。如果一个CA系统是可信的，则验证证书的用户可以确信，他所验证的证书中的公钥属于证书所代表的那个实体。
CA还负责维护和发布证书吊销表。当一个证书，特别是其中的公钥因为其他原因无效时，CRL提供了一种通知用户的中心管理方式。CA系统生成CRL以后，要么是放到LDAP服务器中供用户直接查询或下载，要么是放置在WEB服务器的合适位置，以页面超级连接的方式供用户直接查询或下载。
自考电子商务安全导论押密试题及答案（3）第一部分选择题 一、单项选择题（本大题共20小题，每小题1分，共20分）在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填写在题后的括号内。 1．电子商务，在相当长的时间里，不能少了政府在一定范围和一定程度上的介入，这种模式表示为 ( ) A．B-G B．B-C C．B-B D．C-C 2．在电子商务的安全需求中，交易过程中必须保证信息不会泄露给非授权的人或实体指的是( ) A．可靠性 B．真实性 C．机密性 D．完整性 3．通过一个密钥和加密算法可将明文变换成一种伪装的信息，称为 ( ) A．密钥 B．密文 C．解密 D．加密算法 4．与散列值的概念不同的是 ( ) A．哈希值
B．密钥值 C．杂凑值 D．消息摘要 5．SHA的含义是 ( ) A．安全散列算法 B．密钥 C．数字签名 D．消息摘要 6．《电子计算机房设计规范》的国家标准代码是 ( ) A. GB50174-93 B.GB9361- 88 C. GB2887-89 D.GB50169- 92 7．外网指的是 ( ) A.非受信网络 B．受信网络 C．防火墙内的网络 D．局域网 8．IPSec提供的安全服务不包括 ( ) A．公有性 B．真实性 C．完整性
D．重传保护 9．组织非法用户进入系统使用 ( ) A．数据加密技术 B．接入控制 C．病毒防御技术 D．数字签名技术 10. SWIFT网中采用了一次性通行字，系统中可将通行字表划分成_______部分，每部分仅含半个通行字，分两次送给用户，以减少暴露的危险性。 ( ) A．2 B．3 C．4 D．5 11．Kerberos的域内认证的第一个步骤是 ( ) A. Client →AS B. Client ←AS C．Client AS D．AS Client 12．_______可以作为鉴别个人身份的证明：证明在网络上具体的公钥拥有者就是证书上记载的使用者。 ( ) A．公钥对 B．私钥对 C．数字证书
电子商务安全导论电子商务：顾名思义，是建立在电子技术基础上的商业运作，是利用民子技术加强，加快，扩展，增强，改变了其有关过程的商务。Intranet：是指基于TCP/IP协议的企业内部网络，它通过防火墙或其他安全机制与intranet建立连接。intranet上提供的服务主要是面向的是企业内部。 Extranet：是指基于TCP/IP协议的企业处域网，它是一种合作性网络。 商务数据的机密性：商务数据的机密性或称保密性是指信息在网络上传送或存储的过程中不被他人窃取，不被泄露或披露给未经授权的人或组织，或者经过加密伪装后，使未经授权者无法了解其内容。 邮件炸弹：是攻击者向同一个邮件信箱发送大量的垃圾邮件，以堵塞该邮箱。 TCP劫持入侵：是对服务器的最大威胁之一，其基本思想是控制一台连接于入侵目标网的计算机，然后从网上断开，让网络服务器误以为黑客就是实际的客户端。HTTP协议的“有无记忆状态”：即服务器在发送给客户机的应答后便遗忘了些次交互。TLENET等协议是“有记忆状态”的，它们需记住许多关于协议双方的信息，请求与应答。 电子商务的模式1)大字报／告示牌模式。2)在线黄页簿模式。3)电脑空间上的小册子模式。4)虚拟百货店模式。5)预订／订购模式。6)广告推销模式。什么是保持数据的完整性？商务数据的完整性或称正确性是保护数据不被未授权者修改，建立，嵌入，删除，重复传送或由于其他原因使原始数据被更改。在存储时，要防止非法篡改，防止网站上的信息被破坏。在传输过程中，如果接收端收到的信息与发送的信息完全一样则说明在传输过程中信息没有遭到破坏，具有完整性。加密的信息在传输过程，虽能保证其机密性，但并不能保证不被修改。 网页攻击的步骤是什么？第一步，创建一个网页第二步：攻击者完全控制假网页。第三步，攻击者利用网页做假的后果：攻击者记录受害者访问的内容，当受害者填写表单发送数据时，攻击者可以记录下所有数据。此外，攻击者可以记录下服务器响应回来的数据。这样，攻击者可以偷看到许多在线商务使用的表单信息，包括账号，密码和秘密信息。 什么是Intranet?Intranet是指基于TCP/IP协议的内连网络。它通过防火墙或其他安全机制与Intranet建立连接。Intranet上可提供所有Intranet 的应用服务，如WWW，E-MAIL等，只不过服务面向的是企业内部。和Intranet一样，Intranet具有很高的灵活性，企业可以根据自己的需求，利用各种Intranet互联技术建立不同规模和功能的网络。 为什么交易的安全性是电子商务独有的？这也是电子商务系统所独有的。在我们的日常生活中，进和一次交易必须办理一定的手续，由双方签发各种收据凭证，并签名盖章以作为法律凭据。但在电子商务中，交易在网上进行，双方甚至不会见面，那么一旦一方反悔，另一方怎么能够向法院证明合同呢？这就需要一个网上认证机构对每一笔业务进行认证，以确保交易的安全，避免恶意欺诈。 攻击WEB站点有哪几种方式？安全信息被破译非法访问：交易信息被截获：软件漏洞被攻击者利用：当用CGI脚本编写的程序或其他涉及到远程用户从浏览中输入表格并进行像检索之类在主机上直接操作命令时，会给WEB主机系统造成危险。 WEB客户机和WEB服务器的任务分别是什么？ WEB客户机的任务是： 1）为客户提出一个服务请求——超链时启动2）将客户的请求发送给服务器3）解释服务器传送的HTML等格式文档，通过浏览器显示给客户。 WEB服务器的任务是：1）接收客户机来的请求2）检查请求的合法性3）针对请求，获取并制作数据，包括使用CGI脚本等程序，为文件设置适当的MIME类型来对数据进行前期处理和后期处理4）把信息发送给提出请求的客户机。 电子商务安全的六项中心内容是什么？ 1）商务数据的机密性或称保密性2）商务数据的完整性或称正确性3）商务对象的认证性4）商务服务的不可否认性5）商务服务的不可拒绝性或称可用性6）访问的控制性 Internet(因特网)、Intranet(内连网)和Extranet(外连网)的特点(1)Internet(因特网)因特网的最大优势，是它的广袤覆盖及开放结构。由于它是开放结构，许多企业及用户可以按统一的技术标准和较合理的费用连接上网，使网上的主机服务器和终端用户以滚雪球的速度增加，也使其覆盖增长至几乎无限。但它的优点也是它的缺点。因特网的管理松散，网上内容难以控制，私密性难以保障。从电子商务等应用看，安全性差是因特网的又一大缺点，这已成为企业及用户上网交易的重要顾虑。(2)Intranet(内连网)Intranet(内连网)本书中选译为企业内域网。企业内域网是为企业内部运作服务的，自然有它安全保密的要求，当它与公网Internet连接时，就要采取措施，防止公网上未授权的无关人员进入，防止企业内部敏感资料的外泄。这些保障内域网安全的硬件、软件措施，通常称为防火墙(Firewall)。防火墙常常是一个介乎内域网和因特网其他部分之间的安全服务器。 (3)Extranet(外连网)一般译为企业外域网，它是一种合作性网络。一个企业除利用因特网的技术和标准或直接在因特网上构建企业内域网，满足企业内部运作之外，还经常需要与某些业务关系较密切的本企业集团以外的单位通过网络进行联系，为达成某一共同目标而共享某些资源。 明文：原始的，未被伪装的消息称做明文，也称信源。通常用M表示。 密文：通过一个密钥和加密算法将明文变换成一种伪信息，称为密文。通常用C表示。 加密：就是用基于数学算法的程序和加密的密钥对信息进行编码，生成别人难以理解的符号，即把明文变成密文的过程。通常用E表示。 解密：由密文恢复成明文的过程，称为解密。通常用D表示。 加密算法：对明文进行加密所采用的一组规则，即加密程序的逻辑称做加密算法。
第一章电子商务安全基础 商务：是经济领域特别是市场经济环境下的一种社会活动，它涉及货品、服务、金融、知识信息等的交易。 电子商务：是建立在电子技术基础上的商业运作，是利用电子技术加强、加快、扩展、增强、改变了其有关过程的商务。 电子商务主客体关系分为： 1、B2B企业、机构之间 2、B2C企业与消费者之间 3、C2C个人用户之间 4、B2G企业政府之间。 电子商务的技术要素组成： 1、网络 2、应用软件 3、硬件。 电子商务的常见模式： 1、大字报或告示牌模式 2、在线黄页簿模式 3、电脑空间上的小册子模式 4、虚拟百货店模式 5、预定或订购模式 6、广告推销模式。 因特网的优劣势： 1、优势：广袤覆盖及开放结构，由于它是开放结构，许多企业及用户可以按统一的技术标准和较合理的费用连接上网，使网上的主机服务器和终端用户以滚雪球的速度增加，也使其覆盖率增长至几乎无限 2、劣势：因特网的管理松散，网上容难以控制，私密性难以保障，从电子商务等应用看，安全性差也是因特网的又一大缺点。 域网（Intranet）：是由某一企业或机构利用因特网的技术，即因特网的标准和协议等，建立起来的该企业专用的计算机网络。 防火墙：是一个介乎域网和因特网其他部分之间的安全服务器。 外域网（Extranet）：用域网同样的办法建立的一个连接相关企业、单位、机构的专用网络。 EDI的信息传输方式：存储-转发。 电子商务的驱动力：1、信息产品硬件制造商2、信息产品软件厂商3、大型网上服务厂商4、银行及金融机构5、大企业6、政府。 电子商务的安全隐患： 1、数据的安全 2、交易的安全。 电子商务系统可能遭受的攻击： 1、系统穿透 2、违反授权原则 3、植入 4、通信监视 5、通信窜扰 6、中断 7、拒绝服务 8、否认 9、病毒。电子商务安全的中心容： 1、商务数据的性 2、完整性 3、商务对象的认证性 4、商务服务的不可否认性 5、商务服务的不可拒绝性 6、访问的控制性等。 产生电子商务安全威胁的原因： 1、internet在安全方面的缺陷 2、Internet的安全漏洞 3、TCP/IP协议极其不安全性 4、E-mail，Telnet及网页的不安全性。
2006年1月 一、单项选择题（本大题共20小题，每小题1分，共20分） 1．保证商业服务不可否认的手段主要是( ) A．数字水印B．数据加密 C．身份认证D．数字签名 2．DES加密算法所采用的密钥的有效长度为( ) A．32 B．56 C．64 D．128 3．在防火墙技术中，我们所说的外网通常指的是( ) A．受信网络B．非受信网络 C．防火墙内的网络D．局域网 4．《电子计算机房设计规范》的国家标准代码是( ) A．GB50174—93 B．GB50174—88 C．GB57169—93 D．GB57169—88 5．通行字也称为( ) A．用户名B．用户口令 C．密钥D．公钥 6．不涉及 ．．．PKI技术应用的是( ) A．VPN B．安全E-mail C．Web安全D．视频压缩 7．多级安全策略属于( ) A．最小权益策略B．最大权益策略 C．接入控制策略D．数据加密策略 8．商户业务根据其使用的证书以及在网上交易是否遵循SETCo标准分为( ) A．SET标准商户业务规则与SSL标准商户业务规则 B．SET标准商户业务规则与Non-SSL标准商户业务规则 C．SET标准商户业务规则与Non-SET标准商户业务规则 D．Non-SET标准商户业务规则与SSL标准商户业务规则 9．SHECA指的是( ) A．上海市电子商务安全证书管理中心 B．深圳市电子商务安全证书管理中心 C．上海市电子商务中心 D．深圳市电子商务中心 10．以下哪一项是密钥托管技术?( ) A．EES B．SKIPJACK C．Diffie-Hellman D．RSA 11．公钥体制用于大规模电子商务安全的基本要素是( ) A．哈希算法B．公钥证书 C．非对称加密算法D．对称加密算法 1
2019年10月全国自考电子商务安全导论试题 一、单项选择题: 1.美国的橘皮书中为计算机安全的不同级别制定了4个标准:A、B、C、D级,其中B级又分为B1、B2、B3三个子级,C级又分为C1、C2两个子级。以下按照安全等级由低到高排列正确的是 A.A、B1、B2、B3、C1、C2、D B.A、B3、B2、B1、C2、C1、D C.D、C1、C2、B1、B2、B3、A D.D、C2、C1、B3、B2、B1、A 2.以下不属于电子商务遭受的攻击是 A.病毒 B.植入 C.加密
D.中断 3.第一个既能用于数据加密、又能用于数字签名的算法是 A. DES B.EES C.IDEA D. RSA 4.下列属于单钥密码体制算法的是 A.RC-5加密算法 B.rs密码算法 C. ELGamal密码体制 D.椭圆曲线密码体制
5.MD5散列算法的分组长度是 A.16比特 B.64比特 C.128比特 D.512比特 6.充分发挥了DES和RSA两种加密体制的优点,妥善解决了密钥传送过程中的安全问题的技术是 A.数字签名 B.数字指纹 C.数字信封 D.数字时间戳 7.《电气装置安装工程、接地装置施工及验收规范》的国家标准代码
是 A.GB50174-93 B.GB9361-88 C.GB2887-89 D.GB50169-92 8.按照《建筑与建筑群综合布线系统工程设计规范》(CECS72:97)的要求,设备间室温应保持的温度范围是 A.0℃-10℃ B.10℃-25℃ C.0℃-25℃ D.25℃-50℃ 9.内网是指
A.受信网络 B.非受信网络 C.防火墙外的网络 D.互联网 10.检查所有进出防火墙的包标头内容的控制方式是 A.包过滤型 B.包检验型 C.应用层网关型 D.代理型 11.对数据库的加密方法通常有多种,以下软件中,属于使用专用加密软件加密数据库数据的软件是 A. Microsoft Access B. Microsoft Excel
电子商务安全问题初探 随着电子信息技术的迅速普及和广泛应用，电子商务以其快捷、便利等优点越来越受到社会的认可。电子商务的发展前景十分诱人，但商业信息的安全依然是电子商务的首要问题。本文从实现电子商务安全性的基本框架出发，对电子商务中的各种安全技术进行了分析，以探讨一种有效、安全的实现电子商务的途径。 一、电子商务的安全问题 电子商务安全问题主要有： 1?信息的截获和窃取：如果采用加密措施不够，攻击者通过互联网、公共电话网在电磁波辐射范围内安装截获装置或在数据包通过网关和路由器上截获数据，获取 机密信息或通过对信息流量、流向、通信频度和长度分析，推测出有用信息。 2.信息的篡改:当攻击者熟悉网络信息格式后，通过技术手段对网络传输信息中途修改并发往目的地，破坏信息完整性。 3.信息假冒：当攻击者掌握网络信息数据规律或解密商务信息后，假冒合法用户或发送假冒信息欺骗其他用户。 4.交易抵赖:交易抵赖包括多方面，如发信者事后否认曾发送信息、收信者事后否认曾收到消息、购买者做了定货单不承认等。 二、电子商务的安全性要求 要使电子商务健康、顺利发展，必须解决好以下六种关键的安全性要求： (1可靠性要求：可靠性要求是指为了防止计算机的软件错误、硬件故障、网络中断、计算机病毒和自然灾害等突发事件，采取的一系列控制和预防措施来防止数据信息资源部受破坏的可靠程度。
(2保密性要求：信息的存取时在安全的环境中进行，不能被非法窃取、泄露；信息的发送和接收是在安全的网络中进行，交易双方在信息交换过程中没有被窃听的危险，非参与方不能获取交易的信息，保证交易双方的信息安全。 (3完整性要求：完整性是指数据在发送、接收和传递过程中，要求保证数据的一致性，防止非法用户对数据的随意生成、修改和删除，同时还要保证数据传递次序的统一。信息的完整性是从事电子商务交易双方的经营基础。 (4真实性要求：从事电子商务的交易双方的身份不能被假冒或伪装，能够有效鉴别、确定交易双份的真实身份。能否方便而有可靠地确认交易双方身份的真实性，是顺利进行电子商务交易的前提。 (5不可抵赖性要求:在电子商务环境下，通过手写签名和个人印章进行交易双方的鉴别已是不可能的了，必须在交易信息的传递过程中参与交易的个人、企业、商家或其他部门提供可靠的标识，有第三方提供有效的数字化过程记录，使交易各方不能事后抵赖。 (6有效性要求：在网络交易中，交易双方的信息交流(如双方的购销合同、签名、时间等都是以数字化的形式出现的，数字化的文件取代了原有的纸张，那么保证这种数字信息的有效性并为交易双方共同认可，就显得格外重要。一旦签订交易合同后，这项交易就受到法律保护，并防止被篡改或伪造。 三、电子商务信息安全技术 1.防火墙技术。防火墙在网络间建立安全屏障，根据指定策略对数据过滤、分析和审计，并对各种攻击提供防范。安全策略有两条：一是凡是未被准许就是禁止”。防火墙先封闭所有信息流，再审查要求通过信息，符合条件就通过；二是凡是未被禁止就是允许”。防火墙先转发所有信息，然后逐项剔除有害内容。 防火墙技术主要有：(1包过滤技术：在网络层根据系统设定的安全策略决定是否让数据包通过，核心是安全策略即过滤算法设计。(2代理服务技术:提供应用层服务控制，起
电子商务安全导论实践试题及答案 1.简单的加密算法的代码编写（凯撒密码） 2.电子商务安全认证证书的网上申请以及使用说明 3.你使用的机器上本地安全设置中的密码策略如何 4.说明你所使用的机器上的公钥策略基本情况 5.本机IP安全策略中的安全服务器（要求安全设置）属性以及基本情况 6.本机IP安全策略中的客户端（只响应）属性的基本情况 7.本机IP安全策略中的服务器（请求安全设置）属性和基本情况如何（编辑规则常规高级方法） 8.说明智能卡是是如何进行用户鉴别的 9.本机上证书的使用情况 10.上网查询江苏省电子商务安全证书的基本情况 11.说明木马在win.ini条件下的症状如何 12.举例说明你所使用的个人防火墙的功能项目以及使用方法 13.介绍一种你所熟悉的黑客攻击技术 14.你的手头没有什么专用安全软件工具如何手动检查系统出现的安全问题 15.查阅有关资料分析极速波I-WORM/ZOBOT 的技术方法 解答 《一》简单的加密算法的代码编写（凯撒密码） 凯撒密文的破解编程实现 凯撒密文的破解编程实现 近来安全的发展，对密码学的研究越来越重要，虽然我们现在大多采用的是 非对称密码体制，但是同时由于处理及其它的一些重要原因，对传统密码仍然 是在大量的使用，如移位，替代的基本思想仍然没有改变，我个人认为，将来 的很长时间内，我们必将会花大量的时间对密码学进行研究，从而才能促进我
们的电子政务，电子商务的健康发展，下面我要谈的是对一个古典密码----- 凯撒（kaiser)密码的的解密，也就是找出它的加密密钥，从而进行解密，由于 它是一种对称密码体制，加解密的密钥是一样的，下边简单说明一下加解密 加密过程： 密文：C=M+K (mod 26) 解密过程： 明文：M=C-K (mod 26) 详细过程请参考相关资料 破解时主要利用了概率统计的特性，E字母出现的概率最大。 加密的程序实现我就不说了， 下面重点说一下解密的程序实现：我是用C写的，在VC6.0下调试运行正确 #include"stdio.h" #include"ctype.h" #include"stdlib.h" main(int argc ,char *argv[]) { FILE *fp_ciper,*fp_plain; //密文与明文的文件指针 char ch_ciper,ch_plain; int i,temp=0; //i用来存最多次数的下标 //temp用在求最多次数时用 int key; //密钥 int j; int num[26]; //保存密文中字母出现次数 for(i = 0;i < 26; i++) num = 0; //进行对num[]数组的初始化 printf("======================================================\n"); printf("------------------BY 安美洪design--------------------\n"); printf("======================================================\n"); if(argc!=3) { printf("此为KAISER解密用法：[文件名] [密文路径] [明文路径]\n"); printf("如：decryption F:\ciper_2_1.txt F:\plain.txt\n"); } //判断程序输入参数是否正确
绝密★考试结束前 全国2013年10月高等教育自学考试 电子商务安全导论试题 课程代码：00997 请考生按规定用笔将所有试题的答案涂、写在答题纸上。 选择题部分 注意事项： 1．答题前，考生务必将自己的考试课程名称、姓名、准考证号用黑色字迹的签字笔或钢笔填写在答题纸规定的位置上。 2．每小题选出答案后，用2B铅笔把答题纸上对应题目的答案标号涂黑。如需改动，用橡皮擦干净后，再选涂其他答案标号。不能答在试题卷上。 一、单项选择题（本大题共20小题，每小题1分，共20分） 在每小题列出的四个备选项中只有一个是符合题目要求的，请将其选出并将“答题纸” 的相应代码涂黑。错涂、多涂或未涂均无分。 1．病毒按破坏性划分可以分为 A．良性病毒和恶性病毒B．引导型病毒和复合型病毒 C．文件型病毒和引导型病毒D．复合型病毒和文件病毒 2．在进行身份证明时，用个人特征识别的方法是 A．指纹B．密码 C．身份证D．密钥 3．下列选项中，属于电子邮件的安全问题的是 A．传输到错误地址B．传输错误 C．传输丢失D．网上传送时随时可能被人窃取到 4．RC-5加密算法中的可变参数不包括 ．．． A．校验位B．分组长 C．密钥长D．迭代轮数 5．一个明文可能有多个数字签名的算法是 00997# 电子商务安全导论试题第1页共5页
A．RSA B．DES C．Rabin D．ELGamal 6．数字信封技术中，加密消息密钥形成信封的加密方法是 A．对称加密B．非对称加密 C．对称加密和非对称加密D．对称加密或非对称加密 7．防火墙的组成中不包括 ．．．的是 A．安全操作系统B．域名服务 C．网络管理员D．网关 8．下列选项中，属于加密桥技术的优点的是 A．加密桥与DBMS是不可分离的B．加密桥与DBMS是分离的 C．加密桥与一般数据文件是不可分离的D．加密桥与数据库无关 9．在不可否认业务中保护收信人的是 A．源的不可否认性B．提交的不可否认性 C．递送的不可否认性D．A和B 10．为了在因特网上有一种统一的SSL标准版本，IETF标准化的传输层协议是 A．SSL B．TLS C．SET D．PKI 11．能够全面支持电子商务安全支付业务的第三方网上专业信任服务机构是 A．CFCA B．CTCA C．SHECA D．PKI 12．下列选项中，属于中国电信CA安全认证系统结构的是 A．地市级CA中心B．地市级RA中心系统 C．省CA中心D．省RA中心系统 13．美国的橘黄皮书中为计算机安全的不同级别制定了D，Cl，C2，Bl，B2，B3，A标准，其中称为结构化防护的级别是 A．B1级B．Cl级 C．B2级D．C2级 14．下列选项中，属于提高数据完整性的预防性措施的是 A．加权平均B．信息认证 C．身份认证D．奇偶校验 00997# 电子商务安全导论试题第2页共5页
全国2010年1月高等教育自学考试 电子商务安全导论试题 课程代码：00997 一、单项选择题（本大题共20小题，每小题1分，共20分） 在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填写在题后的括号内。错选、多选或未选均无分。 l.美国的橘皮书中计算机安全B级的子级中，从高到低依次是（） A.Bl B2 B.B2 B1 C.B1 B2 B3 D.B3 B2 B1 2.现在常用的密钥托管算法是（） A.DES算法 B.EES算法 C.RAS算法 D.SHA算法 3.SHA算法输出的哈希值长度为（） A.96比特 B.128比特 C.160比特 D.192比特 4.使用数字摘要和数字签名技术不．能．解决的电子商务安全问题是（） A.机密性 B.完整性 C.认证性 D.不可否认性 5.在服务器中经常使用偶数块硬盘，通过磁盘镜像技术来提升系统的安全性，这种磁盘冗余技术称为（） A.RAID 0 B.RAID 1 C.RAID 3 D.RAID 5 6.防火墙技术中处理效率最低的是（） A.包过滤型 B.包检验型 C.应用层网关型 D.状态检测型 7.目前，对数据库的加密方法主要有（） A.2种 B.3种 C.4种 D.5种 8.身份证明系统的质量指标中的II型错误率是（） A.通过率 B.拒绝率 C.漏报率 D.虚报率 9.在对公钥证书格式的定义中已被广泛接受的标准是（） A.X.500 B.X.502 C.X.509 D.X.600 10.使用者在更新自己的数字证书时不可以 ．．．采用的方式是（） A.电话申请 B.E-Mail申请 C.Web申请 D.当面申请 11.在PKI的构成模型中，其功能不包含 ．．．在PKI中的机构是（） A.CA B.ORA C.PAA D.PMA 12.用于客户——服务器之间相互认证的协议是（）
做试题,没答案?上自考365,网校名师为你详细解答! 全国2010年10月自学考试电子商务安全导论试题及答案 课程代码：00997 一、单项选择题（本大题共20小题，每小题1分，共20分） 在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填写在题后的括号内。错选、多选或未选均无分。 1.计算机安全等级中，C2级称为（） A.酌情安全保护级 B.访问控制保护级 C.结构化保护级 D.验证保护级 2.在电子商务的发展过程中，零售业上网成为电子商务发展的热点，这一现象发生在 （）A.1996年 B.1997年 C.1998年 D.1999年 3.电子商务的安全需求中，保证电子商务系统数据传输、数据存储的正确性的根基是 （）A.可靠性 B.完整性 C.真实性 D.有效性 4.最早提出的公开的密钥交换协议是（） A.Blom B.Diffie-Hellman C.ELGamal D.Shipjack 5.ISO/IEC9796和ANSI X9.30-199X建议的数字签名的标准算法是（） A.HA V AL B.MD-4 C.MD-5 D.RSA 6.发送方使用一个随机产生的DES密钥加密消息，然后用接受方的公钥加密DES密钥，这种技术称为（） A.双重加密 B.数字信封 C.双联签名 D.混合加密 7.在以下主要的隧道协议中，属于第二层协议的是（） 1 全国2010年10月自学考试电子商务安全导论试题
全国2010年10月自学考试电子商务安全导论试题 2 A.GRE B.IGRP C.IPSec D.PPTP 8.使用专有软件加密数据库数据的是（ ） A.Access B.Domino C.Exchange D.Oracle 9.在下列选项中，不是．．每一种身份证明系统都必须要求的是（ ） A.不具可传递性 B.计算有效性 C.通信有效性 D.可证明安全性 10.Kerberos 的局限性中，通过采用基于公钥体制的安全认证方式可以解决的是（ ） A.时间同步 B.重放攻击 C.口令字猜测攻击 D.密钥的存储 11.在下列选项中，不属于．．．公钥证书的证书数据的是（ ） A.CA 的数字签名 B.CA 的签名算法 C.CA 的识别码 D.使用者的识别码 12.在公钥证书发行时规定了失效期，决定失效期的值的是（ ） A.用户根据应用逻辑 B.CA 根据安全策略 C.用户根据CA 服务器 D.CA 根据数据库服务器 13.在PKI 的性能要求中，电子商务通信的关键是（ ） A.支持多政策 B.支持多应用 C.互操作性 D.透明性 14.主要用于购买信息的交流，传递电子商贸信息的协议是（ ） A.SET B.SSL C.TLS D.HTTP 15.在下列计算机系统安全隐患中，属于电子商务系统所独有的是（ ） A.硬件的安全 B.软件的安全 C.数据的安全 D.交易的安全 16.第一个既能用于数据加密、又能用于数字签名的算法是（ ） A.DES B.EES C.IDEA D.RSA 17.在下列安全鉴别问题中，数字签名技术不能．．解决的是（ ）
第一章电子商务安全基础 一、商务和电子商务的概念 1．电子商务的含义 【名词解释】电子商务：是建立在电子技术基础上的商业运作，是利用电子技术加强、加快、扩展、增强、改变了其有关过程的商务。 2．电子商务的技术要素 【多选】电子商务的技术要素组成包括：网络、应用软件和硬件。 3．电子商务的模式 (1)大字报／告示牌模式。 (2)在线黄页簿模式。 (3)电脑空间上的小册子模式。 (4)虚拟百货店模式。 (5)预订／订购模式。 (6)广告推销模式。 4．Internet(因特网)、Intranet(内连网)和Extranet(外连网)的特点(1)Internet(因特网)因特网的最大优势，是它的广袤覆盖及开放结构。 由于它是开放结构，许多企业及用户可以按统一的技术标准和较合理的费用连接上网，使网上的主机服务器和终端用户以滚雪球的速度增加，也使其覆盖增长至几乎无限。但它的优点也是它的缺点。因特网的管理松散，网上内容难以控制，私密性难以保障。从电子商务等应用看，安全性差是因特网的又一大缺点，这已成为企业及用户上网交易的重要顾虑。 (2)Intranet(内连网)Intranet(内连网)本书中选译为企业内域网。 企业内域网是为企业内部运作服务的，自然有它安全保密的要求，当它与公网Internet连接时，就要采取措施，防止公网上未授权的无关人员进入，防止企业内部敏感资料的外泄。这些保障内域网安全的硬件、软件措施，通常称为防火墙(Firewall)。防火墙常常是一个介乎内域网和因特网其他部分之间的安全服务器。 (3)Extranet(外连网)一般译为企业外域网，它是一种合作性网络。一个企业除利用因特网的技术和标准或直接在因特网上构建企业内域网，满足企业内部运作之外，还经常需要与某些业务关系较密切的本企业集团以外的单位通过网络进行联系，为达成某一共同目标而共享某些资源。 5．电子商务的发展历史 【单选】有人把现代电子商务的发展分成如下几个阶段，从中也可看出电子商务发展的轨迹、条件和基础： (1)1995年：网络基础设施大量兴建。 (2)1996年：应用软件及服务成为热点。 (3)1997年：网址及内容管理的建设发展，有关企业、业务的调整、重组及融合，所谓“人口门 户”(Portal)公司的出现。 (4)1998年：网上零售业及其他交易蓬勃发展。 二、电子商务安全基础
全国2018年10月高等教育自学考试 电子商务安全导论试题 课程代码：00997 一、单项选择题(本大题共20小题，每小题1分，共20分) 在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填写在题后的括号内。错选、多选或未选均无分。 1.TCP/IP协议安全隐患不包括 ．．．( ) A.拒绝服务 B.顺序号预测攻击 C.TCP协议劫持入侵 D.设备的复杂性 2.IDEA密钥的长度为( ) A.56 B.64 C.124 D.128 3.在防火墙技术中，内网这一概念通常指的是( ) A.受信网络 B.非受信网络 C.防火墙内的网络 D.互联网 4.《计算机场、地、站安全要求》的国家标准代码是( ) A.GB57104-93 B.GB9361-88 C.GB50174-88 D.GB9361-93 5.在Kerberos中，Client向本Kerberos的认证域以内的Server申请服务的过程分为几个阶段? ( ) A.三个 B.四个 C.五个 D.六个 6.信息安全技术的核心是( ) A.PKI B.SET C.SSL D.ECC 7.Internet接入控制不能 ．．对付以下哪类入侵者? ( ) A.伪装者 B.违法者 C.内部用户 D.地下用户 8.CA不能 ．．提供以下哪种证书? ( ) A.个人数字证书 B.SSL服务器证书 1
C.安全电子邮件证书 D.SET服务器证书 9.我国电子商务走向成熟的重要里程碑是( ) A.CFCA B.CTCA C.SHECA D.RCA 10.通常为保证商务对象的认证性采用的手段是( ) A.信息加密和解密 B.信息隐匿 C.数字签名和身份认证技术 D.数字水印 11.关于Diffie-Hellman算法描述正确的是( ) A.它是一个安全的接入控制协议 B.它是一个安全的密钥分配协议 C.中间人看不到任何交换的信息 D.它是由第三方来保证安全的 12.以下哪一项不在 ．．证书数据的组成中? ( ) A.版本信息 B.有效使用期限 C.签名算法 D.版权信息 13.计算机病毒的特征之一是( ) A.非授权不可执行性 B.非授权可执行性 C.授权不可执行性 D.授权可执行性 14.在Kerberos中，Client向本Kerberos认证域外的Server申请服务包含几个步骤? ( ) A.6 B.7 C.8 D.9 15.属于PKI的功能是( ) A.PAA，PAB，CA B.PAA，PAB，DRA C.PAA，CA，ORA D.PAB，CA，ORA 16.MD-4散列算法中输入消息可以任意长度，但要进行分组，其分组的位数是( ) A.64 B.128 C.256 D.512 17.SHA的含义是( ) A.加密密钥 B.数字水印 C.安全散列算法 D.消息摘要 18.对身份证明系统的要求之一是( ) A.具有可传递性 B.具有可重用性 2
2017年4月高等教育自学考试全国统一命题考试 电子商务安全导论试卷 (课程代码00997) 本试卷共4页。满分l00分，考试时间l50分钟。 考生答题注意事项： 1．本卷所有试题必须在答题卡上作答。答在试卷上无效，试卷空白处和背面均可作草稿纸。 2．第一部分为选择题。必须对应试卷上的题号使用2B铅笔将“答题卡”的相应代码涂黑。 3．第二部分为非选择题。必须注明大、小题号，使用0．5毫米黑色字迹签字笔作答。 4．合理安排答题空间。超出答题区域无效。 第一部分选择题(共30分) 一、单项选择题(本大题共20小题，每小题l分，共20分) 在每小题列出的四个备选项中只有一个是符合题目要求的，请将其选出并将“答题卡” 的相应代码涂黑。错涂、多涂或未涂均无分。 1．下列选项中不属于Internet系统构件的是 A．客户端的局域网 B．服务器的局域网 C．Internet网络 D．VPN网络 2．零售商面向消费者的这种电子商务模式是 A．B．G B．B．C C．B．B D．C．C 3．早期提出的密钥交换体制是用一个素数的指数运算来进行直接密钥交换，这种体制通常称为 A．Kerberos协议 B．LEAF协议 C．skipjack协议 D.Diffie-Hellman协议 4．收发双方持有不同密钥的体制是 A．对称密钥 B．数字签名 C．公钥 D．完整性 5．关于散列函数的概念，下列阐述中正确的是 A．散列函数中给定长度不确定的输入串，很难计算出散列值 B．散列函数的算法是保密的 C．散列函数的算法是公开的 D．散列函数中给定散列函数值，能计算出输入串 6．SHA的含义是 A。安全散列算法 B．密钥 C．数字签名 D．消息摘要 7．下列选项中属于病毒防治技术规范的是 A．严禁归档 B．严禁运行合法授权程序 C．严禁玩电子游戏 D．严禁UPS 8．《电子计算机房设计规范》的国家标准代码是 A．GB50174-93 B．GB9361．88 C．GB2887．89 D．GB50169-92 9．下列选项中，属于防火墙所涉及的概念是
电子商务安全导论 一、单项选择题 1．病毒按破坏性划分可以分为 (良性病毒和恶性病毒) 2．在进行身份证明时，用个人特征识别的方法是(指纹) 3．下列选项中，属于电子邮件的安全问题的是(传输到错误地址) 4．RC-5加密算法中的可变参数不包括 ．．．(校验位) 5．一个明文可能有多个数字签名的算法是(ELGamal ) 6．数字信封技术中加密消息密钥形成信封的加密方法是(对称加密和非对称加密) 7．防火墙的组成中不包括 ．．．的是(网络管理员) 8．下列选项中，属于加密桥技术的优点的是(加密桥与DBMS是分离的) 9．在不可否认业务中保护收信人的是(提交的不可否认性) 10．为了在因特网上有一种统一的SSL标准版本，IETF标准化的传输层协议是(TLS) 11．能够全面支持电子商务安全支付业务的第三方网上专业信任服务机构是(CFCA ) 12．下列选项中，属于中国电信CA安全认证系统结构的是(省RA中心系统) 13．美国的橘黄皮书中为计算机安全的不同级别制定了D，Cl，C2，Bl，B2，B3，A标准，其中称为结构化防护的级别是(Cl级) 14．下列选项中，属于提高数据完整性的预防性措施的是(奇偶校验) 15．一系列保护IP通信的规则的集合称为( IPSec ) 16．由系统管理员来分配接入权限和实施控制的接入控制方式是(DAC) 17．在Kerberos认证中，把对Client向本Kerberos的认证域以外的Server 申请服务称为(域间认证) 18．下列关于数字证书的说法中不正确 ．．．的是(在各种不同用途的数字证书类型中最重要的是私钥证书，它将公开密钥与特定的人联系起来) 19．认证机构最核心的组成部分是(数据库服务器) 20．PKI中支持的公证服务是指( 数据认证) 21.对身份证明系统的要求之一是(验证者正确识别示证者的概率极大化)
第一章电子商务的概念 1．电子商务的含义 【名词解释】电子商务：是建立在电子技术基础上的商业运作，是利用电子技术加强、加快、扩展、增强、改变了其有关过程的商务。 【单选】第一代或传统的电子商务为：数据交换（EDI）采用的信息传输方式是“存储---转发” 2．电子商务的构成 表现形式：【多选】B-B,B-C,C-C,B-G 技术要素：【多选】电子商务的技术要素组成包括：网络、应用软件和硬件。 技术要素组成的核心：【单选】应用软件 3．电子商务的模式 (1)大字报／告示牌模式。 (2)在线黄页簿模式。 (3)电脑空间上的小册子模式。 (4)虚拟百货店模式。 (5)预订／订购模式。 (6)广告推销模式。 4．【简答】Internet(因特网)、Intranet(内连网)和Extranet(外连网)的特点(1)Internet(因特网)因特网的最大优势，是它的广袤覆盖及开放结构。 由于它是开放结构，许多企业及用户可以按统一的技术标准和较合理的费用连接上网，使网上的主机服务器和终端用户以滚雪球的速度增加，也使其覆盖增长至几乎无限。但它的优点也是它的缺点。因特网的管理松散，网上内容难以控制，私密性难以保障。从电子商务等应用看，安全性差是因特网的又一大缺点，这已成为企业及用户上网交易的重要顾虑。 (2)Intranet(内连网)Intranet(内连网)本书中选译为企业内域网。 企业内域网是为企业内部运作服务的，自然有它安全保密的要求，当它与公网Internet连接时，就要采取措施，防止公网上未授权的无关人员进入，防止企业内部敏感资料的外泄。这些保障内域网安全的硬件、软件措施，通常称为防火墙(Firewall)。防火墙常常是一个介乎内域网和因特网其他部分之间的安全服务器。 (3)Extranet(外连网)一般译为企业外域网，它是一种合作性网络。一个企业除利用因特网的技术和标准或直接在因特网上构建企业内域网，满足企业内部运作之外，还经常需要与某些业务关系较密切的本企业集团以外的单位通过网络进行联系，为达成某一共同目标而共享某些资源。 5．电子商务的发展历史（设备---软件---推销产品---与客户相联系） 【单选】有人把现代电子商务的发展分成如下几个阶段，从中也可看出电子商务发展的轨迹、条件和基础： (1)1995年：网络基础设施大量兴建。 (2)1996年：应用软件及服务成为热点。 (3)1997年：网址及内容管理的建设发展，有关企业、业务的调整、重组及融合，所谓“人口门户”(Portal)公司的出现。 (4)1998年：网上零售业及其他交易蓬勃发展。 二、电子商务安全基础 1．电子商务的安全隐患 (1)硬件系统计算机是现代电子科技发展的结晶，是一个极其精密的系统，它的每一个零件都是由成千上万个电子元件构成的。这一方面使计算机的功能变得十分强大，另一方面又使它极易受到损坏。 (2)软件系统软件是用户与计算机硬件联系的桥梁。任何一个软件都有它自身的弱点，而大多数安全问题都是围绕着系统的软件部分发生的，既包括系统软件也包括应用软件。 电子商务系统的安全问题不仅包括了计算机系统的隐患，还包括了一些自身独有的问题。 (1)数据的安全。 (2)交易的安全。【简答】为什么说交易的安全是电子商务系统所独有的？ 2．【简答】简述电子商务所遭受的攻击。 (1)系统穿透。 【单选】未经授权人通过一定手段假冒合法用户接入系统，对文件进行篡改、窃取机密信息、非法使用资源的攻击行为是：系统穿透 (2)违反授权原则。 【单选】攻击者通过猜测口令接入一个非特许用户账号，取得接入系统权，从而严重危急系统的安全的攻击行为是：违反授权原则。 (3)植入。 【单选】在系统中植入病毒、蛀虫、木马来破坏系统的攻击行为是：植入。 (4)通信监视。 【单选】在通信过程中从信道搭线接听的方式称为：通信监视。 (5)通信窜扰。 【单选】攻击者对通信数据或通信过程进行干预，对完整性进行攻击，篡改系统中的数据内容，注入伪造信息的攻击行为：通信窜扰。 (6)中断。 【单选】破坏系统中的硬件、硬盘、线路、文件系统的攻击方式：中断。 (7)拒绝服务。 【单选】一个业务口被滥用而使其他用户不能正常接入的攻击行为：拒绝服务。 (8)否认。 【单选】一个实体进行某种通信或交易伙同，稍后否认曾进行过这一活动。 (9)病毒。 【单选】曾一度给我国造成巨大损失的病毒：CIH病毒。 3．电子商务安全的六性 多选，简答。名词解释 (1)商务数据的机密性。 【单选】信息在网络上传送或存储的过程不被他人窃取、不被泄露或披露给未经授权的人或组织，或经过加密伪装后，使未经授权者无法了解其内容。是商务数据的机密性。 【多选】保证数据机密性的手段：加密和信息隐匿技术。 (2)商务数据的完整性。
全国自考《电子商务安全导论》考前试题和答案00997 一、单项选择题（本大题共20小题，每小题1分，共20分）在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填写在题后的括号内。错选、多选或未选均无分。 第1题（）是加密和解密使用相同或实质上等同的加密体制。 A. 单钥密码体制 B. 公钥密码体制 C. 双钥密码体制 D. 不对称密码体制 【正确答案】 A 【你的答案】 本题分数1分 第2题下列选项中不属于实现身份证明的基本途径的是（） A. 所知 B. 所有 C. 个人特征 D. 属性 【正确答案】 D 【你的答案】 本题分数1分 第3题（）是Internet电子商务网络上的一个站点，负责接收来自商店服务器送来的SET付款数据，并转换成银行网络的格式，传送给收单银行处理。 A. 支付网关 B. 转换中心 C. CA中心 D. 服务中心 【正确答案】 A 【你的答案】 本题分数1分 第4题下列选项中（）不是散列函数的名字。 A. 压缩函数 B. 数字签名
C. 消息摘要 D. 数字指纹 【正确答案】 B 【你的答案】 本题分数1分 第5题 CA需要对注册者进行（），确保公钥的持有者身份和公钥数据的完整性。 A. 主体认证 B. 身份认证 C. 身份注册 D. 身份说明 【正确答案】 A 【你的答案】 本题分数1分 第6题计算机病毒最重要的特征是（） A. 传染性 B. 潜伏性 C. 可触发性 D. 破坏性 【正确答案】 A 【你的答案】 本题分数1分 第7题 Client向本Kerberos的认证域以内的Server申请服务的过程分为（） A. 4个阶段，共8个步骤 B. 3个阶段，共6个步骤 C. 3个阶段，共8个步骤 D. 4个阶段，共6个步骤 【正确答案】 B 【你的答案】 本题分数1分 第8题 Client 向本Kerberos的认证域以外的Server申请服务的过程分为（）A. 4个阶段，共6个步骤