(最终)电子商务安全复习题(本科)

电子商务安全复习题第1章、概论1.电子商务安全问题主要涉及哪些方面?p5(信息的安全问题、信用的安全问题、安全的管理问题、安全的法律问题)2.电子商务系统安全由系统有哪些部分组成? p7(实体安全、系统运行安全、系统信息安全)3.电子商务安全的基本需求包括哪些?P16(保密性、完整性、认证性、可控性、不可否认性)4.电子商务安全依靠哪些方面支持?P17(技术措施、管理措施、法律环境)5.什么是身份鉴别，什么是信息鉴别？p15答：身份鉴别是提供对信息收发方（包括用户、设备和进程）真实身份的鉴别。

所谓身份鉴别，是提供对用户身份鉴别，主要用于阻止非授权用户对系统资源的访问。

信息鉴别则是提供对信息的正确性完整性和不可否认性的鉴别。

第2章、信息安全技术1.信息传输中的加密方式主要有哪些? P27(链路-链路加密、节点加密、端-端加密)2.简述对称加密和不对称加密的优缺点。

P35 p40答：对称加密优点：由于加密算法相同，从而计算机速度非常快，且使用方便计算量小加密与解密效率高。

缺点：1.密钥管理较困难；2.新密钥发送给接收方也是件较困难的事情，因为需对新密钥进行加密；3.其规模很难适应互联网这样的大环境。

不对称加密优点：由于公开密钥加密必须由两个密钥的配合使用才能完成加密和解密的全过程，因此有助于加强数据的安全性；缺点：加密和解密的速度很慢，不适合对大量的文件信息进行加密。

3.常见的对称加密算法有哪些?P35(DES、AES、三重DES)4.什么是信息验证码，有哪两种生成方法？P36答:信息验证码（MAC）也称为完整性校验值或信息完整校验。

MAC是附加的数据段，是由信息的发送方发出，与明文一起传送并与明文有一定的逻辑联系。

两种生成方式:1)基于散列函数的方法；2）基于对称加密的方法。

5.如何通过公开密钥加密同时实现信息的验证和加密？P39答：1）发送方用自己的私有密钥对要发送的信息进行加密，得到一次加密信息。

2）发送方用接收方的公开密钥对已经加密的信息再次加密；3）发送方将两次加密后的信息通过网络传送给接收方；4）接收方用自己的私有密钥对接收到的两次加密信息进行解密，得到一次加密信息；5）接收方用发送方的公开密钥对一次加密信息进行解密，得到信息明文。

6.信息验证码与数字签名有何区别？P42答：数字签名类似于信息验证码，但它们也有不同之处。

主要的不同在于，数字签名可以支持不可否认服务，也就是说，信息的接收方可以用数字签名来证明作为发送方第三方的身份。

如果数字签名来解决电子商务交易中发送方与接收方在交易信息上的争端，则最可能得到伪造信息的一般是接收方，所以对接收方来说，应该不能生成与发送方所生成的签名信息一样的数字签名。

但信息验证码不具有进行数字签名的功能，因为接收方知道用于生成信息验证码的密钥。

7.如何通过两种加密方法联合实现低耗费的信息的验证和加密？p40答1）发送方生成一个秘密密钥，并对要发送的信息用秘密密钥进行加密；2）发送方用接收方的公开密钥对秘密密钥进行加密；3）发送方吧加密后的信息和加密后的秘密密钥通过网络传输到接收方；4）接收方用自己的私有密钥对发送方传送过来的秘密密钥进行解密，得到秘密密钥。

5）接收方用秘密密钥对接受到的加密信息进行解密，得到信息的明文。

8.什么是数字签名?与手写签名有何区别？P46答：数字签名其实是伴随着数字化编码的信息一起发送并与发送的信息有一定逻辑关联的数据项，借助数字签名可以确定消息的发送方，同时还可以确定信息自发送后未被修改过。

区别：手写签名是模拟的，且因人而异。

数字签名是0 和1 的数字串，因消息而异。

9.电子商务应用中的特殊数字签名包括哪些? P51(盲签名、多重签名、代理签名、定向签名、双联签名、团体签名、不可争辩签名)10.密钥的生命周期包括哪几个阶段?P56(密钥建立、密钥备份/恢复、密钥替换/更新、密钥吊销、密钥期满/终止)11.简述双联签名的过程和作用。

P54答：过程：1）持卡人将发给商家的信息M1和发给第三方的信息M2分别生成保报文摘要MD1和报文摘要MD2；2）持卡人将MD1和MD2合在一起生成MD，并签名；3）将M1、MD2和MD发送给商家，将M2、MD1和MD发送给第三方。

接收者根据收到的报文生成报文摘要，再与收到的报文摘要合在一起，比较结合后的报文摘要和收到的MD，确定持卡人的身份和信息是否被修改过。

作用：双联签名解决了参加电子商务贸易过程中的安全通信问题。

12.常用的数字签名算法有哪些?(RSA、DSA、ECDSA)13.信息安全的五种服务是什么？采用什么技术实现？P27答：1）信息的保密----加密；2）探测信息是否被篡改------数字摘要；3）验证身份---数字签名，提问—应答，口令，生物测定法；4）不能否认信息的发送接收及信息内容-----数字签名，数字证书，时间戳；5）只有授权用户才能访问----防火墙，口令，生物测定法。

第3章、Internet安全1.从技术上说，Internet安全的保护可分哪几类? P70(网络层安全、应用层安全、系统安全)2.典型的网络层安全服务包括哪几部分?P70(认证和完整性、保密性、访问控制)3.一般地说，防火墙包括哪几种类型? P74(包过滤型、应用网关型、代理服务器型)4.根据服务类型，可将VPN分为哪几类? P80(远程访问VPN、企业内部VPN、扩展的企业内部VPN)5.VPN主要采用来哪些技术保证通信安全? P82(隧道技术、加解密技术、密钥管理技术、身份认证技术)6.网络入侵检测的主要方法有哪两种?P86(异常检测和误用检测)7.简述IPsec两种模式的作用和区别？P答：隧道模式(Tunneling Mode)和传送模式(Transport Mode)（1）隧道模式可以在两个Security Gateway间建立一个安全"隧道"，经由这两个Gateway Proxy的传送均在这个隧道中进行。

隧道模式下的IPSec报文要进行分段和重组操作，并且可能要再经过多个安全网关才能到达安全网关后面的目的主机。

隧道模式下，除了源主机和目的地主机之外，特殊的网关也将执行密码操作。

在这种模式里，许多隧道在网关之间是以系列的形式生成的，从而可以实现网关对网关安全。

+————————————————————+| 新IP头| IPsec头| IP头| TCP头| 数据| +————————————————————+（2）传送模式加密的部份较少，没有额外的IP报头，工作效率相对更好，但安全性相对于隧道模式会有所降低。

传送模式下，源主机和目的地主机必须直接执行所有密码操作。

加密数据是通过使用L2TP （第二层隧道协议）而生成的单一隧道来发送的。

数据（密码文件）则是由源主机生成并由目的地主机检索的。

+————————————————+| IP头| IPsec头| TCP头| 数据|+————————————————+8.IPsec提供AH和ESP两种安全协议有何区别? P93---P97答：IPsec使用两种协议来提供通信安全――认证头标（AH）和封装安全净载（ESP）。

两种安全协议都分为隧道模式和传输模式。

传输模式用在主机到主机的IPsec通信，隧道模式用在其它任何方式的通信。

（1）认证头标（AH）提供：数据源鉴别认证：联合数据完整性保护及在发送接收端使用共享密钥来保证身份的真实性。

数据完整性保护：通过对数据包长度进行单向散列算法计算进行保护，使用MD5或SHA-1算法。

在AH的传输模式下，AH散列算法计算范围是整个数据包（包括IP报头）中在传输过程中不改变的所有域。

AH包头被插入在IP报头之后，ESP报头（如果有）和其它高层协议之前。

在AH的隧道模式下，AH散列算法计算整个原始数据包，并产生一个新的IP报头（新IP报头也在计算范围内，除易变字段）。

AH包头被插入在新IP报头之后。

（2）封装安全净载（ESP）提供：有限的数据源鉴别认证：联合数据完整性保护及在发送接收端使用共享密钥来保证身份的真实性。

（只有在ESP的隧道模式下可以对加密后的IP报头进行鉴别）数据完整性保护：ESP通过可选的鉴别域来提供数据包鉴别服务（HMAC），使用MD5和SHA-1算法。

私密性（加密）：在IP层通过对数据包进行加密来提供私密性。

缺省使用DES，Cisco 还提供3DES加密。

3DES加密强度是DES的2倍。

在ESP中，先进行加密后进行鉴别。

（防止DOS攻击时更快）在ESP传输模式下，只有IP净载被加密（不包括IP报头、ESP报头），ESP报头被插入在IP报头之后、上层协议报头之前。

在ESP隧道模式下，整个IP数据包被加密（不包括ESP报头），并产生一个新的IP报头，ESP报头被插入在新IP报头之后。

9.AH格式中的序列号有什么作用？P94答：用于ＩＰ数据包的重放检查，防止重放攻击。

10.从电子商务应用方面比较SET和SSL？Ｐ113答：1）在认证方面.SET的安全需求较高。

所有参与SET交易的成员都必须先申请数字证书来识别身份，而在SSL中，只有商户端的服务器需要认证，客户认证则是由选择性的；2）对消费者而言，SET保证了商户的合法性，并且用户的信用卡号不会被窃取，SET 替消费者保守了更多的秘密使其在线购物更加轻松；3）在安全性方面，一般公认SET的安全性较SSL高，主要原因是在整个交易过程中，包括持卡人到商家商家到支付网关再到银行网络，都受到严密的保护，而SSL的安全范围只限于持卡人到商家的信息交流；4）SET对于参与交易的各方定义了互操作接口，一个系统可以由不同厂商的产品构筑；5）在采用比率方面，由于SET的设置成本较SSL高很多，并且进入国内市场的时间尚短，因此目前还是SET的普及率高。

但是，由于网上交易的安全性需求不断提高。

SET 的市场占有率会增加。

11.支付网关在SET购物流程中的作用。

P108答：支付网关具有确认商户身份，解密持卡人的支付指令，验证持卡人的证书与在购物中所使用的账号是否匹配，验证持卡人和商户信息的完整性，签署数字响应等功能。

12.SET交易的参与方包括哪些?P108(持卡人、商户、支付网关、收单行、发卡行、认证机构)13.SSL握手协议数据是按照SSL记录协议封的吗? P105答：正确。

SSL握手协议是位于SSL记录协议之上的最重要的子协议，被SSL记录协议所封装。

14. SSL握手协议有什么作用? P105答：1）向客户机认证服务器；2）允许客户机于服务器选择它们都支持的加密算法或密码；3）可由选择地向服务器认证客户；4）使用公钥加密技术生成共享密码；5）建立加密SSL连接。

第4章、数字证书1.什么是数字证书？P118答：在电子商务中，数字证书是一个由使用数字证书的用户群所公认和信任的权威机构（CA）签署了其数字签名的信息集合。