下载文档原格式
电⼦商务安全期末复习电⼦商务安全与管理期末复习题型： 1. 选择题（30分：1.5分1题，共20题）2. 判断并说明理由题（28分：4分1个，共7题。
其中判断对错占2分，简要说明理由占2分）3. 简答题（30分：6分1题，共5题）4. 综合分析题（12分：6分1题，共2题）1、电⼦商务涉及的安全问题有哪些？P4-6A. 信息的安全问题：冒名偷窃、篡改数据、信息丢失、信息传递出问题B. 信⽤的安全问题：来⾃买⽅的安全问题、来⾃卖⽅的安全问题、买卖双⽅都存在抵赖的情况C. 安全的管理问题D. 安全的法律保障问题2、电⼦商务系统安全的三个组成部分。
P74、电⼦商务的安全保障主要由哪三⽅⾯去实现？P17-22技术措施①信息加密技术：保证数据流安全，密码技术和⾮密码技术②数字签名技术：保证完整性、认证性、不可否认性③TCP/IP服务：保证数据完整传输④防⽕墙的构造选择：防范外部攻击，控制内部和病毒破坏管理措施①⼈员管理制度：严格选拔落实⼯作责任制贯彻ＥＣ安全运作三项基本原则：多⼈负责、任期有限、最⼩权限②保密制度不同的保密信息有不同的安全级别③跟踪、审计、稽核制度跟踪：⾃动⽣成系统⽇志审计：对⽇志进⾏审计（针对企业内部员⼯）稽查：针对企业外部的监督单位④系统维护制度硬件和软件⑤数据容灾制度⑥病毒防范制度⑦应急措施法律环境《中华⼈民共和国电⼦签名法》5、风险分析和审计跟踪的主要功能P10-11风险分析：a.设计前：根据分析系统固有的脆弱性，旨在发现系统设计前的潜在风险。
b.运⾏前：根据系统运⾏期的运⾏状态和结果，分析潜在安全隐患。
c.运⾏期：根据系统运⾏记录，跟踪系统状态的变化，分析运⾏期的安全隐患。
d.运⾏后：分析系统运⾏记录，为改进系统的安全性提供分析报告。
审计跟踪：a.记录和跟踪各种系统状态的变化。
b.实现对各种安全事故的定位。
c.保存、维护和管理审计⽇志1、信息传输中的五种常见加密⽅式。
P27①链路－链路加密②节点加密③端－端加密④A TM⽹络加密⑤卫星通信加密链路-链路加密与端端加密区别：2、对称加密的原理及其优缺点，常见对称密码算法有DES，AES，三重DES，Rivest 密码，对称加密密钥的传输可使⽤RSA密钥传输法。
电子商务安全复习在当今数字化的时代，电子商务已经成为我们生活中不可或缺的一部分。
从在线购物到金融交易，从社交媒体到数字服务，电子商务的触角几乎延伸到了我们生活的每一个角落。
然而，随着电子商务的迅速发展，安全问题也日益凸显。
对于电子商务从业者和消费者来说，了解电子商务安全的相关知识，掌握有效的防范措施，是至关重要的。
接下来，让我们一起对电子商务安全进行一次全面的复习。
一、电子商务安全的重要性电子商务安全不仅仅是技术问题，更是关系到企业的生存和发展，以及消费者的信任和权益。
对于企业来说，如果其电子商务平台遭受攻击，导致客户数据泄露、交易中断或者资金损失，不仅会面临巨大的经济损失，还可能损害企业的声誉，失去客户的信任，从而在激烈的市场竞争中处于不利地位。
对于消费者来说，个人信息的泄露可能导致身份盗窃、信用卡欺诈等问题，给生活带来极大的困扰和损失。
因此，保障电子商务安全是维护市场秩序、促进经济发展、保护消费者权益的必然要求。
二、电子商务面临的安全威胁1、网络攻击网络攻击是电子商务面临的最常见的安全威胁之一。
包括黑客攻击、病毒和恶意软件感染、拒绝服务攻击（DoS）等。
黑客可以通过攻击电子商务网站，窃取用户数据、篡改交易信息或者破坏系统正常运行。
病毒和恶意软件则可能潜伏在用户的设备中，窃取敏感信息或者监控用户的操作。
DoS 攻击则通过大量的无效请求导致网站瘫痪，使正常的交易无法进行。
2、数据泄露数据泄露是指未经授权的访问、获取或披露企业或个人的敏感信息。
在电子商务中，用户的个人信息（如姓名、地址、电话号码、信用卡信息等）、交易记录等都是重要的数据。
如果这些数据被泄露，可能被用于欺诈、身份盗窃等非法活动。
3、身份盗窃身份盗窃是指攻击者窃取他人的身份信息，并以其名义进行非法活动。
在电子商务中，攻击者可能通过窃取用户的登录凭证、伪造身份等方式，进行虚假交易、骗取财物等。
4、交易欺诈交易欺诈包括信用卡欺诈、虚假交易、退款欺诈等。
第一章电子商务安全概论一、电子商务安全要素有效性：EC以电子信息取代纸张，如何保证电子形式贸易信息的有效性则是开展EC 的前提。
机密性：EC作为贸易的一种手段，其信息直接代表着个人、企业或国家的商业机密完整性：由于数据输入时的意外差错或欺诈行为，可能导致贸易各方信息的差异。
可靠性：指防止计算机失效、程序错误、传输错误、自然灾害等引起的计算机信息失效或失误不可否认性：信息的发送方不能否认已发送的信息，接收方不能否认已收到的信息二、电子商务安全问题a)黑客攻击问题：主动、被动b)软件的漏洞和“后门”：操作系统、数据库、IE等c)网络协议的安全漏洞：Telnet、FTP等HTTPd)病毒的攻击：良性/恶性、单机/网络三、常见的攻击技术1：信息收集型攻击：主要采用刺探、扫描和监听地址扫描，端口扫描，体系结构探测，DNS域名服务，LDAP服务，伪造电子邮件2：利用型攻击：利用操作系统、网络服务协议、系统软件、数据库的漏洞进行攻击。
口令猜测，特洛伊木马，缓冲区溢出3：拒绝服务攻击：拒绝服务目的在于使系统瘫痪，最基本的DoS攻击就是利用合理的服务请求来占用过多的服务资源，从而使合法用户无法得到服务的响应。
死亡之ping，泪滴，UDP洪水，电子邮件炸弹四、电子商务安全体系结构第二章信息加密技术与应用一、加密技术发展过程古代密码：古代的行帮暗语、文字游戏等古典密码：替代密码、转轮密码近现代密码：对称、非对称密码二、常见古典密码算法，希腊密码、凯撒密码希腊密码：密文：2315313134明文：HELLO凯撒密码：把每个英文字母向前推移K位A B C D E F G …… X Y ZD E F G H I J …… A B C明文:Jiangxi Normal University密文:mldqjal qrupdo xqlyhuvlwb三、对称称密码体系概念、特点，DES算法的过程概念：即加密密钥与解密密钥相同的密码体制，这种体制中只要知道加(解)密算法，就可以反推解(加)密算法。
第一章电子商务安全基础1，什么是保持数据旳完整性？答：商务数据旳完整性或称对旳性是保护数据不被未授权者修改，建立，嵌入，删除，反复传送或由于其他原因使原始数据被更改。
在存储时，要防止非法篡改，防止网站上旳信息被破坏。
在传播过程中，假如接受端收到旳信息与发送旳信息完全同样则阐明在传播过程中信息没有遭到破坏，具有完整性。
加密旳信息在传播过程，虽能保证其机密性，但并不能保证不被修改。
2，网页袭击旳环节是什么？答：第一步，创立一种网页，看似可信其实是假旳拷贝，但这个拷贝和真旳“同样”“假网页和真网页同样旳页面和链接。
第二步：袭击者完全控制假网页。
因此浏览器和网络是旳所有信息交流者通过袭击者。
第二步，袭击者运用网页做假旳后果：袭击者记录受害者访问旳内容，当受害者填写表单发送数据时，袭击者可以记录下所有数据。
此外，袭击者可以记录下服务器响应回来旳数据。
这样，袭击者可以偷看到许多在线商务使用旳表单信息，包括账号，密码和秘密信息。
假如需要，袭击者甚至可以修改数据。
不管与否使用SSL或S-HTTP，袭击者都可以对链接做假。
换句话说，就算受害者旳游览器显示出安全链接图标，受害者仍也许链接在一种不安全链接上。
3，什么是Intranet?答：Intranet是指基于TCP/IP协议旳内连网络。
它通过防火墙或其他安全机制与Intranet建立连接。
Intranet上可提供所有Intranet旳应用服务，如WWW，E-MAIL等，只不过服务面向旳是企业内部。
和Intranet同样，Intranet具有很高旳灵活性，企业可以根据自己旳需求，运用多种Intranet互联技术建立不一样规模和功能旳网络。
4，为何交易旳安全性是电子商务独有旳？答：这也是电子商务系统所独有旳。
在我们旳平常生活中，进和一次交易必须办理一定旳手续，由双方签发多种收据凭证，并签名盖章以作为法律凭据。
但在电子商务中，交易在网上进行，双方甚至不会会面，那么一旦一方反悔，另一方怎么可以向法院证明协议呢？这就需要一种网上认证机构对每一笔业务进行认证，以保证交易旳安全，防止恶意欺诈。
2009级《电子商务安全》期末复习1.电子商务安全的内涵：（1）保证数据传输的安全。
（2）保证交易双方的身份合法。
2. 电子商务对安全的基本要求1）内部网的严密性2）完整性3）保密性4）不可修改性5）交易者身份的确定性6）交易的无争议和不可抵赖性7）有效性8）授权合法性4.冗余容错技术在系统结构上，通过增加冗余资源的方法来掩盖故障造成的影响，使得即使出错或发生故障，系统的功能仍不受影响，仍能够正常执行预定的任务。
从系统功能上，硬件冗余、软件冗余与数据冗余都是以增加“多余的设备（硬件、软件或数据）”为代价的。
5、RAID磁盘阵列特征磁盘阵列RAID容错方案是目前应用最广泛的容错技术。
RAID系统也属于部件级容错，它是由IDE-EIDE-SCSI-DAC接口发展而来。
1）RAID的数据保护措施RAID的数据保护措施IDE（integrated device electronics）集成设备电路仅能支持2个磁盘；而增强型IDE接口（EIDE）可支持4个磁盘；小型计算机系统接口（SCSI）可支持多个磁盘（7-15个）；磁盘阵列控制器（disks array controller，DAC）可支持多个分组和多个磁盘。
RAID（redundant array of inexpensive disks）磁盘阵列，是一种由多块廉价磁盘构成的冗余阵列，包含多块磁盘，在操作系统下作为一个独立的大型存储设备出现，作为逻辑上的一个磁盘驱动器来使用。
作为一种数据保存手段，RAID提供了在专用服务器中接入多个磁盘（专指硬盘）的服务。
RAID 以磁盘阵列方式组成一个超大容量、响应速度快、可靠性高的存储子系统，以冗余技术增加其可靠性，以多个低成本磁盘构成磁盘子系统，提供比单一硬盘更完备的可靠性和高性能，提升了硬盘速度，确保数据的安全性，因此，RAID被广泛地应用在服务器体系中。
目前工业界公认的标准是RAID0—RAID6.2）RAID的优点（1）成本低，功耗小，传输速率高。
SSL协议：安全套接层，是对Internet上计算机之间对话进行加密的协议SSL缺陷：秘钥管理问题；加密强度问题；数字签名问题；必须建立在可靠连接基础上；多方通信表现欠佳SET协议的核心技术：公开密匙加密、电子数字签名、电子信封、电子安全证书和双重签名SET协议的优势和劣势：优势：1.认证机制方面，SET的安全需求较高，所有参与SET交易成员都必须申请数字证书来识别身份。
2.对客户而言，SET保证了商家的合法性，信用卡号不会被窃取。
3.SET协议规定，交易过程中的每条信息都要经过严格校验。
4.实际应用中，SET可以用在系统的全部或一部分上，大部分提供商都提供了灵活构筑系统的手段。
劣势：1.不能保证客户付款后能收到商品或是自己订购的商品。
2.没有解决交易中证据的生成和保留的问题。
3.SET协议非常复杂，成本高，处理速度慢，没有对时间进行控制。
4.要求银行网络.商户服务器和顾客的PC机安装相应软件，给使用者增加了附加费用。
SET协议的构成部分：持卡人、商家、发卡行、收单行、支付网关、认证中心SSL协议与SET协议的比较：1..在认证要求方面，SSL没有提供商家身份认证机制，而SET的安全要求较高，所有参与SET交易的成员（持卡人、商家、发卡行、收单行和支付网关）都必须申请数字证书进行身份识别。
2、在安全性方面，SET协议规范了整个商务活动的流程，从持卡人到商家，到支付网关，到认证中心以及信用卡结算中心之间的信息流走向和必须采用的加密、认证都制定了严密的标准。
而SSL只对持卡人与商店端的信息交换进行加密保护。
因此SET的安全性比SSL高。
3、在网络层协议位置方面，SSL是基于传输层的通用安全协议，而SET位于应用层，对网络上其他各层也有涉及。
4、在应用领域方面，SSL主要是和Web应用一起工作，而SET是为信用卡交易提供安全。
电子钱包：是纯粹的软件，主要用于网上消费、帐户管理，通常与银行账户或银行卡账户连接在一起的电子现金：也叫数字现金，是利用0和1排列组合成的能通过网络传递的一系列加密的数据序列来表示现实中的纸币现金网上支付：是客户，商家和网络银行之间使用安全电子手段，利用电子现金，银行卡和电子支票等支付工具通过互联网传送到银行和相应的处理机构而完成支付的整个过程网上支付的构成因素：Internet 客户商家开户银行支付网关银行网络和认证中心电子货币：指用一定金额的现金或存款从发行者处兑换并获得代表相同金额的数据，通过使用某些电子化方法将该数据直接转移给支付对象，从而能够清偿债务。
电⼦商务安全期末复习题电⼦商务安全期末复习题单项选择题：1、电⼦商务应⽤中的风险不包括（）问题A. 病毒和⿊客攻击B. 操作系统安全漏洞C. 有效性D. 敏感性E. 实⽤性D2、Internet上的电⼦商务安全不涉及（）问题A. 通信可靠性B. 敏感信息保密C. SET协议的私钥保密D. 追踪和监控交易过程E. 控制资⾦流和物流C3、PKI技术中的X.509证书使⽤了不同于XML中的（）进⾏描述A. 数据表达B. 存储格式C. ASN.1语⾔D. 扩展性E. ⾼度结构化 C4、DES算法的标准分组长度、真实⽤到的加密密钥长度、迭代轮次、每次迭代⽤到的字密钥长度分别为（）A. 56、56、8、56B. 64、56、16、48C. 64、56、15、48D. 64、56、16、46 E. 128、56、16、48 B5、现代密码学的主题不是（）A. 秘密性B. 真实性C. 抵赖性D. 完整性E. CA E7、在IP报头的各个字段中，哪⼀个作⽤是：表⽰后⾯还有⼀分段，除了最后⼀个分段，所有分段的该标识置为1。
（）D A．AF B．CF C．DF D．MF8、FTP⽂件传输应⽤在客户/服务环境。
请求机器启动⼀个FTP客户端软件，这就给⽬标⽂件服务器发出⼀个请求。
通常，这个请求被送到端⼝（）。
C A．20 B．22 C．21 D．239、每台连接到以太⽹上的计算机都有⼀个唯⼀的（）位以太⽹地址。
C A．53 B．32 C．48 D．1610、Ping命令的选项中（）表⽰定义echo数据包⼤⼩。
CA．-t B．-a C．-l D．-n11、（）命令⽤来跟踪⼀个报⽂从⼀台计算机到另⼀台计算机所⾛的路径。
DA．finger B．ping C．host D．tracert12、为了使过滤器难以探测到，要将⼀个TCP头分成⼏个数据包的扫描技术是（）A．TCP connect()扫描B．TCP SYN扫描C．TCP FIN扫描D．IP段扫描D13、以下不属于常⽤的代理服务器软件的是（）。
1.MAC：由只有通信双方知道的秘密密钥K来控制的消息的散列值。
2.数字信封:用对称密码体制的密钥加密明文，而用公钥密码体制的公钥加密这个对称密钥。
3.数字证书：就是公钥证书,包含有用户身份信息、用户公钥以及一个可信第三方认证机构CA的数字签名的数据文件，其中CA的数字签名可以确保用户公钥的真实性。
4.PKI:公钥基础设施通常简称PKI。
所谓PKI就是一个以公钥技术为基础的，提供和实施安全服务的具有普适性的安全基础设施。
5.PDRR:电子商务安全是在安全策略的指导下，由保护、检测、响应和恢复四个环节组成.6.SQL注入攻击：攻击者可以在表单或URL地址栏中提交一段畸形的SQL代码，作为用户输入传递给服务器使其能够对服务器端数据库直接进行命令操作。
特点：广泛性、技术难度不高、危害性大。
7.VPN：虚拟专用网络是利用Internet将物理上分布在不同地点的内部网络安全的连接起来，或将一个或多个远程用户与内部网络安全的连接在一起，从而可将远程用户、企业分支机构、公司业务合作伙伴的内部网络联接起来，构成一个扩展了的企业内部网。
8.单点登录技术：简称SSO，是指用户只需向网络进行一次身份认证，以后再无需另外验证身份，便可访问所有被授权的网络资源。
9.替代和置换：假设明文消息中的每个字母不是同时移动相同的位数，而是根据一张替代表使用随机替换，则在一个明文消息中，每个A可以替换成B~Z中的任意字母，B也可以替换成A或C~Z中的任意字母。
置换密码通过改变明文消息中各元素出现的相对位置，但明文消息元素本身的取值不变。
乘积密码：是以某种方式连续执行两个或多个密码交换。
10.IPSec协议主要功能：①认证IP报文的来源儿②保证IP数据包的完整性③确保IP报文的内容在传输过程中未被读取④确保认证报文没有重复⑤实现不可否认性11.电子支付的支付方式：电子现金、电子支票、电子信用卡，微支付1.电子商务安全要素：机密性（信息不被泄露给非授权用户）、完整性（信息是未被篡改的）、不可抵赖性（信息的收发双方不能否认曾经受发过信息）、即时性（在规定的时间内完成服务）、真实性（确保对方的真实信息和身份的来源是真的）、访问控制（对访问者访问资源时的权限控制）、可用性（访问者需要的时候是可用的）。
•第1章：TCP/IP协议简介1.TCP/IP协议体系结构(各层协议)①应用层：仿真终端协议Telnet、文件传输协议FTP、简单邮件传输协议SMTP②传输层：TCP（传输控制协议）、UDP（用户数据报协议）③网络层：网际协议IP、地址解析协议ARP和反向地址解析协议RARP、Internet控制消息协议ICMP2.局域网工作原理(Ip地址和Mac地址的变换)以太网的基本工作原理工：①载波监听：当一个站点要向另一个站点发送信息时，先监听网络信道上有无信息在传输，信道是否空闲。
②信道忙碌：如果发现网络信道正忙，则等待，直到发现网络信道空闲为止。
③信道空闲：如果发现网路信道空闲，则向网上发送信息。
由于整个网络信道为共享总线结构，网上所有站点都能够收到该站点所发出的信息，所以站点向网络发送信息也称为“广播”。
④冲突检测：站点发送信息的同时，还要监听网络信道，检测是否有另一台站点同时在发送信息。
如果有，两个站点发送的信息会产生碰撞，即产生冲突，从而使数据信息包被破坏。
⑤遇忙停发：如果发送信息的站点检测到网上的冲突，则立即停止发送，并向网上发送一个“冲突”信号，让其他站点也发现该冲突，从而摒弃可能一直在接收的受损的信息包。
⑥多路存取：如果发送信息的站点因“碰撞冲突”而停止发送，就需等待一段时间，再回到第一步，重新开始载波监听和发送，直到数据成功发送为止。
第2章：网络安全基础1.计算机网络安全的定义网络安全的学术定义为：通过各种计算机、网络、密码技术和信息安全技术，保护在公用通信网络中传输、交换和存储的信息的机密性、完整性和真实性，并对信息的传播及内容有控制能力。
2.逻辑炸弹的定义在网络软件中可以预留隐蔽的对日期敏感的定时炸弹。
在一般情况下，网络处于正常工作状态，一旦到了某个预定的日期，程序便自动跳到死循环程序，造成四级甚至网络瘫痪。
3.遥控旁路的定义除了给用户提供正常的服务外，还将传输的信息送给设定的用户，这就是旁路，这种情况非常容易造成信息的泄密。
电子商务安全与管理期末复习题型： 1. 选择题（30分：1.5分1题，共20题）2. 判断并说明理由题（28分：4分1个，共7题。
其中判断对错占2分，简要说明理由占2分）3. 简答题（30分：6分1题，共5题）4. 综合分析题（12分：6分1题，共2题）1、电子商务涉及的安全问题有哪些？P4-6A. 信息的安全问题：冒名偷窃、篡改数据、信息丢失、信息传递出问题B. 信用的安全问题：来自买方的安全问题、来自卖方的安全问题、买卖双方都存在抵赖的情况C. 安全的管理问题D. 安全的法律保障问题2、电子商务系统安全的三个组成部分。
P74、电子商务的安全保障主要由哪三方面去实现？P17-22技术措施①信息加密技术：保证数据流安全，密码技术和非密码技术②数字签名技术：保证完整性、认证性、不可否认性③TCP/IP服务：保证数据完整传输④防火墙的构造选择：防范外部攻击，控制内部和病毒破坏管理措施①人员管理制度：严格选拔落实工作责任制贯彻ＥＣ安全运作三项基本原则：多人负责、任期有限、最小权限②保密制度不同的保密信息有不同的安全级别③跟踪、审计、稽核制度跟踪：自动生成系统日志审计：对日志进行审计（针对企业内部员工）稽查：针对企业外部的监督单位④系统维护制度硬件和软件⑤数据容灾制度⑥病毒防范制度⑦应急措施法律环境《中华人民共和国电子签名法》5、风险分析和审计跟踪的主要功能P10-11风险分析：a.设计前：根据分析系统固有的脆弱性，旨在发现系统设计前的潜在风险。
b.运行前：根据系统运行期的运行状态和结果，分析潜在安全隐患。
c.运行期：根据系统运行记录，跟踪系统状态的变化，分析运行期的安全隐患。
d.运行后：分析系统运行记录，为改进系统的安全性提供分析报告。
审计跟踪：a.记录和跟踪各种系统状态的变化。
b.实现对各种安全事故的定位。
c.保存、维护和管理审计日志1、信息传输中的五种常见加密方式。
P27①链路－链路加密②节点加密③端－端加密④A TM网络加密⑤卫星通信加密链路-链路加密与端端加密区别：2、对称加密的原理及其优缺点，常见对称密码算法有DES，AES，三重DES，Rivest 密码，对称加密密钥的传输可使用RSA密钥传输法。
原理:数据的发送方和接受方使用的是同一把密钥过程:发送方对信息加密发送方将加密后的信息传送给接收方接收方对收到信息解密，得到信息明文优点：由于加密算法相同，操作起来比较简单，使用方便、计算量小、加密与解密效率高。
缺点：1)密钥管理较困难；2)由于密钥传输可能会被窃取，新密钥发送给接收方较为困难，需对新密钥进行加密；3）其规模很难适应互联网这样的大环境。
3、什么是信息验证码？数字摘要、数字签名与信息验证码的区别。
信息验证码（MAC）也称为完整性校验值或信息完整校验。
MAC是附加的数据段，是由信息的发送方发出，与明文一起传送并与明文有一定的逻辑关系。
数字签名包括报文摘要。
报文摘要和非对称加密一起，提供数字签名的方法。
数字签名保证信息的完整和提供信息发送者的身份认证和不可否认性，报文摘要用来防止发送的报文被篡改。
两者采用的算法不同，数字签名主要是利用公钥算法，常见的有HASH、、RSA签名。
报文摘要主要是安全散列标准，常用SHA-1和MD5。
数字签名在支持身份认证的同时也支持不可否认服务，但信息验证码不具有进行数字签名的功能，因为接收方知道用于生成信息验证码的密钥。
4、非对称加密（公开密钥加密）的原理及其优缺点，常用RSA算法加密。
公开密钥加密的加密模式和验证模式是什么？两种模式如何结合？（图2-7）原理：采用两个在数学上相关的密钥对——公开密钥和私有密钥来对信息进行加解密。
优点：安全性能好，破解困难；密钥存储和传输方便缺点：算法复杂，加密和解密的速度很慢，不适合对大量的文件信息进行加密。
加密模式：1.发送方用接收方的公开密钥对信息进行加密。
2.发送方将加密后的信息通过网络传送给接收方。
3.接收方用自己的私有密钥对加密信息进行解密。
验证模式：1.发送方用自己的私有密钥对信息进行加密。
2.发送方将加密后的信息通过网络传送给接收方。
3.接收方用发送方的公开密钥对加密信息进行解密。
加密与验证的结合：1.发送方用自己的私有密钥对信息进行加密。
2.发送方用接受方的公开密钥对已加密的信息再次加密。
3.发送方将两次加密后的信息通过网络传送给接收方。
4.接收方用自己的私有密钥及发送方的公开密钥对加密信息进行解密。
5、综合使用对称和非对称加密的混合加密，教材图2-8。
6、数字签名的原理和作用。
常见的数字签名算法有RSA，美国数字签名标准算法DSA，椭圆数字签名算法等。
电子商务应用中常用的特殊数字签名——盲签名，多重签名，双联签名等，主要应用在什么场合下？原理：通过一个单向函数对要传送的报文进行处理得到用以认证报文来源并核实报文是否发生变化的一个字母数字串。
作用：保证信息传输的完整性和发送者的身份认证、防止交易中的抵赖发生。
应用：盲签名：一般用于电子货币和电子选举中。
多重签名：用于办公自动化、电子金融、CA认证等方面。
双联签名：解决三方参加电子贸易过程中的安全通信问题。
7、密钥的生命周期包括哪几个阶段？1、密钥建立（包括生成密钥和发布密钥）2、密钥备份/恢复或密钥的第三者保管3、密钥替换/更新4、密钥吊销5、密钥期满/终止（其中可能包含密钥的销毁或归档）8、常见的验证技术有哪些？其中数字时间戳验证的主要作用是什么？验证技术：(P61-65)1 基于口令的验证2 验证协议3 基于个人令牌的验证4 基于生物统计特征的验证5 基于地址的验证6 数字时间戳验证数字时间戳的验证作用：数字时间戳可以作为电子商务交易信息的时间认证，一旦发生争议时作为时间凭证提供验证依据。
1、典型的网络层安全服务包括认证和完整性、保密性，访问控制，以及对核心internet基础协议的保护。
2、Internet安全的保护分为网络层安全、应用层安全和系统安全三类。
三类安全保护是相互独立进行的，存在部分重叠的服务内容。
P70-723、防火墙的功能及类型功能：1、过滤不安全的服务和非法用户2、控制对特殊站点的访问3、作为网络安全的集中监视点类型：1、包过滤型防火墙2、应用网关型防火墙3、代理服务型防火墙4、VPN的概念及三类VPN服务类型。
VPN的安全策略包括隧道技术、加解密技术、密钥管理技术，使用者与设备身份认证技术。
虚拟专用网络(virtual private network, VPN)技术为我们提供了一种通过公用网络安全地对企业内部专用网络进行远程访问的连接方式。
三类VPN服务类型：Access VPN：远程访问虚拟专网——移动办公和B2CIntranet VPN：企业内部虚拟专网——企业内部资源共享Extranet VPN：扩展的企业内部虚拟专网5、网络入侵检测主要有四种检测策略：基于主机的检测、基于应用程序的检测，基于目标的检测，基于网络的检测。
主要方法有异常检测和误用检测。
6、Ipsec针对IP层安全性，包含三个重要的协议：认证头协议AH（提供强认证）和分组加密协议ESP（提供加密/认证）、密钥交换IKE（密钥的确定与分配）。
AH和ESP的执行依赖安全关联SA的支持。
7、S/MIME协议的主要功能。
确保发送者身份认证、不可否认性，邮件的完整性、邮件的保密性8、SSL能够实现什么功能？SSL握手协议和记录协议是最重要的两个子协议。
安全套接层协议(Secure Sockets Layer，SSL)建立在TCP协议之上，它的优势在于与应用层协议独立无关，应用层协议能透明地建立于SSL协议之上。
SSL协议的功能:SSL服务器认证；确认用户身份；保证数据传输的机密性和完整性9、SET协议的功能。
SET交易的参与方包括持卡人、商户、发卡银行、收单银行、支付网关、认证中心。
SSL与SET的比较。
安全电子交易协议(Secure Electronic Transaction，SET)是一种应用于因特网环境下，以信用卡为基础的安全电子支付协议。
功能：通过SET 可以实现电子商务交易中的加密、认证、密钥管理等机制，保证在开放网络上使用信用卡进行在线购物的安全。
1、按使用对象分类，数字证书的常见类型有哪些？P120-121按使用对象来分：①个人数字证书；②单位数字证书；③服务器证书；④安全邮件证书；⑤代码签名证书2、了解基本的数字证书格式的内容（版本3）。
数字证书扩展标准包括密钥信息扩展、政策信息扩展、主体及发放者属性扩展、认证路径约束扩展、与数字证书撤销表相关的扩展。
P122（看书）3、数字证书密钥对生成的两种方法及优缺点由密钥对持有者系统生成优点：利用这一方法来生成密钥，可以保证任何其他的通信方都不会获得该密钥。
由密钥管理中心系统生成优点：1）可以解决智能卡一类的密钥系统处理能力和存储空间有限带来的问题 2）可以利用强大的资源和处理能力生成高质量、安全可靠的密钥3）可以在密钥对中的私钥在中心系统进行备份或存档时带来便利。
缺点：生成密钥的这两种方法在实际的使用中都需要适应环境的变化，它们在实际的数字证书生成和管理过程中都都需要根据环境的变化而有所变通。
4、三种私钥保护的方法。
P131A.将私钥存储在不可写的硬件模块或标记中，如智能卡中；B.将私钥存储在计算机硬盘或其他数据存储媒介上的加密数据文件中；C.将私钥存储在数字证书服务器上，当用户通过了服务器的鉴定，并在服务器上使用了一段时间后，该服务器会将私钥传送给用户。
第一种私钥保护方法的安全性要比第二、第三种方法高，但第一种方法的成本也较高。
第二、三种常用来保护数字钱包中的私钥和敏感信息。
5、密钥对更新的要求P131定期的、有规律的出现意外情况时，要更新密钥对生成一个新密钥对时，要为新公钥生成新的数字证书6、数字证书管理机构的作用。
认证机构CA，负责数字证书的管理工作。
注册机构RA，本身并不发放数字证书，但RA可以确认、批准或拒绝数字证书申请人的申请，随后由CA给经过批准的申请人发放数字证书。
7、撤销数字证书的方法主要有定期公布CRL，广播CRL，进行在线状态检查，发行短期数字证书等。
撤销表在P1441、PKI的含义，PKI应用系统应具有哪些功能？公钥基础设施PKI (public key infrastructure)又叫公钥体系，是一种利用公钥加密技术为电子商务的开展提供一套安全基础平台的技术和规范，用户可以利用PKI平台提供的服务进行安全通信。
PKI应用系统的功能：1、公钥数字证书的管理；2、证书撤销表的发布和管理；3、密钥的备份和恢复；4、自动更新密钥；5、自动管理历史密钥；6、支持交叉认证2、CA的结构有树型层次结构、森林型层次结构和通用结构。
树型层次结构是最简单的形式，对于任一实体，只有唯一一条认证路径，且很容易找到，在其中根CA 的作用极其关键。
