《计算机系统安全》期末复习题

1．可用性技术是保护计算机系统内软件和数据不被偶然或人为蓄意地破坏、篡改、伪造等的一种技术手段。（×）  

2．对称加密算法加密信息时需要用保密的方法向对方提供密钥。（√）

3．AES算法中加法运算与两个十进制数相加规则相同。 （×）

4．通过修改某种已知计算机病毒的代码，使其能够躲过现有计算机病毒检测程序时，可以称这种新出现的计算机病毒是原来计算机病毒的变形。（√）

5．数字水印的鲁棒性是指水印信息能够容纳机密信息的程度。（×）

6．DES算法的最核心部分是初始置换。（×）

7．RSA算法的安全性取决于p、q保密性和已知r=p·q分解出p、q的困难性。（√）

8．在证实中hash函数h能从明文中抽取反映明文特征的字符串，即消息文摘。（√）

9．从技术上说，网络容易受到攻击的原因主要是由于网络软件不完善和网络协议本身存在安全缺陷造成的。（√）

10．生物特征识别技术是目前身份识别技术中最常见、成本最低、最安全的技术。（×）

11．软件保护技术是软件开发者为了维护自己的知识产权和经济利益，不断地寻找各种有效方法和技术来维护自身的软件版权，增加其盗版的难度，或延长软件破解的时间，尽可能有效地防止软件在没有授权的情况下被非法使用。（  √  ）

12．分布式防火墙把Internet和内部网络都视为不可靠的，它对每个用户、每台服务器都进行保护。（√）

13．计算机病毒破坏性、隐蔽性、传染性是计算机病毒基本特征。（√）

14．黑客可利用一些工具产生畸形或碎片数据包，这些数据包不能被计算机正确合成，从而导致系统崩溃。（√）

15．在计算机外部安全中，计算机防电磁波辐射也是一个重要的问题。它包括两个方面的内容：一是计算机系统受到外界电磁场的干扰，使得计算机系统不能正常工作；二是计算机系统本身产生的电磁波包含有用信号，造成信息泄露，为攻击者提供了信息窃取的可能性。（  √  ）

16．与RSA算法相比，DES算法能实现数字签名和数字认证。（  ×  ）

17．用户认证可以分为单向和双向认证。（  √  ）

18．特洛伊木马可以分为主动型、被动型和反弹型三类。（  ×  ）

19． IP协议数据流采用的是密文传输，所以信息很容易被在线窃听、篡改和伪造。（  ×  ）

20．DoS是一种既简单又有效地进攻方式，它的目的就是拒绝用户的服务访问，破坏系统的正常运行，最终使用户的部分Internet连接和网络系统失效，甚至系统完全瘫痪。（  √  ）

21．SSL是介于传输层协议和应用程序协议层之间的一种可选的协议层。（  ×  ）

22．在IEEE802.11b协议中包含了一些基本的安全措施：无线局域网络设备的MAC地址访问控制、服务区域认证ESSID以及WEP加密技术。（  √  ）

23．网络层防火墙是作用于应用层，一般根据源地址、目的地址做出决策，输入单个IP包。（  ×  ）

单选题：

1．下列叙述中，（   A   ）是不正确的

    A．“黑客”是指黑色的病毒    B．计算机病毒是一种程序

    C．“熊猫烧香”是一种病毒    D．防火墙是一种被动式防卫技术

2．下述（   C   ）不属于计算机病毒的特征    

A．传染性、隐蔽性            B．侵略性、破坏性

C．免疫性、自灭性            D．寄生性、传染性

3．目前常用的保护计算机网络安全的技术措施是（   A   ）。

    A．防火墙                    B．防透水墙

    C．各种杀毒软件                B．使用不带病毒的程序

4．为了防止计算机病毒的传染，以下说法正确的是（   D   ）。

    A．使用最新的计算机            B．尽量不开计算机

    C．不使用自己不熟悉的软件    D．不使用来历不明的软件

5．下列关于计算机软件版权的叙述中，不正确的是（   A   ）。 

A．盗版软件是一种免费软件       B．计算机软件是享有著作保护权的作品 

C．使用盗版软件是一种违法行为 D．未经软件著作人的同意，复制其软件是侵权行为

6．《计算机软件保护条例》保护的是软件的（   C   ）权。

A．使用     B．复制         C．著作         D．发行

7．以下关于加密的说法不正确的是（   C   ）。

A．密钥密码体系的加密密钥与解密密钥使用相同的算法

B．密钥密码体系的加密密钥与解密密钥使用不同的算法

C．公钥密钥体系又称为对称密钥体系

D．公钥密钥体系又称为不对称密钥体系

8．目前常用的加密方法有两种（   A   ）。

A．密钥密码体系和公钥密码体系     B．DES和密钥密码体系

C．RES和公钥密码体系              D．加密密钥和解密密钥

9．数字签名通常使用（   C   ）方式。

A．公钥密码体系中的公开密钥与Hash相结合    B．密钥密码体系

C．公钥密码体系中的私人密钥与Hash相结合    D．公钥密码体系中的私人密钥

10．电子商务的安全保障问题主要涉及（   C   ）等。

    Ａ．加密                                                 Ｂ．防火墙是否有效

    Ｃ．数据被泄露或篡改、冒名发送、未经授权者擅自访问网络     Ｄ．身份认证

11．数字签名的方式通过第三方权威中心在网上认证身份，认证中心通常简称为（   A   ）。

    A．CA            B．SET            C．CD            D．DES

12．以下信息中（   D   ）不是数字证书申请者的信息。

    A．版本信息        B．证书序列号    C．签名算法        D．申请者的年龄姓名

13．数字签名是解决（   C   ）问题的方法。

    A．未经授权擅自访问网络                B．数据被泄露或修改

    C．冒名发送数据或发送数据后不认帐     D．以上都是

14．使用公钥密码体系，每个用户只需妥善保存着（   C   ）密钥

A．一个        B．N个            C．一对            D．N对

15．PGP可以对电子邮件进行认证，认证机制是用MD5算法产生（   C   ）位的报文摘要，发送方用自己的RSA 私钥对报文摘要进行加密，附加在邮件中进行传送。

A．256         B. 160          C. 128             D. 96

16. 基于数论原理的RSA算法的安全性建立在（  A  ）的基础上。

       A．大数难以分解因子     B. 大数容易分解因子    

C. 容易获得公钥     D. 私钥容易保密

17. 为了防止会话劫持，Kerberos提供了(  D  )机制，另外还加入了时间标记，用于防止重发攻击。

       A．连续加密             B. 报文认证       C. 数字签名        D. 密钥分发

18. X.509标准规定，数字证书由(  B  )发放，将其放入公共目录中，以供用户访问。

       A．密钥分布中心        B. 证书授权中心    C. 国际电信联盟     D. 当地

19. 关于口令的安全描述错误的是（  C  ）。

       A．口令要定期更换                   B. 口令越长越安全   

C. 容易记忆的口令不安全             D.口令中使用的字符越多越不容易被猜中

20. 防火墙的安全角度，最好的防火墙结构类型是（  D  ）。

       A．路由器型       B. 服务器型     C. 屏蔽主机结构      D. 屏蔽子网结构

21. 在分布式环境中实现身份认证可以有多种方案，以下选项中最不安全的身份人证方案是（  B  ）。

A. 用户从KDC获取会话密钥           B. 用户发送口令，由智能卡产生解密密钥

C.用户发送口令，由通信对方指定共享密钥          D. 用户从KDC获取会话密钥

22. 鲍伯从CA出获得了爱丽丝的数字证书，鲍伯可以从该数字证书中得到爱丽丝的( D )。

      A. 公钥           B. 数字签名          C. 口令           D. 电子邮件地址

23. 我们说公钥加密比常规加密更先进，这是因为(  A  )。

      A. 公钥是建立在数学函数基础上的，而不是建立在位方式的操作上的

      B. 公钥加密比常规加密更具有安全性

      C. 公钥加密是一种通用机制，常规加密已经过时了

      D. 公钥加密算法的额外开销少

24. 一个路由器的路由表通常包含（  C  ）。

      A. 目的网络和到达目的网络的主机的完整路径

      B. 所有的目的主机和到达该木司主机的完整路径

      C. 目的网络和到达该目的网络路径上的下一个路由器IP的地址

      D. 互联网中所有路由器IP的地址

25． 对照ISO/OSI参考模型各个层中的网络安全服务，在物理层可以采用（  A  ）加强通信线路的安全。

    A.防窃听技术       B.防火墙技术         C.防病毒技术          D.防拒认技术

26．在传输层主要解决进程到进程间的加密，最常见的传输层安全技术有(  D  )。

    A.  SET            B.IPsec                 C.S-HTTP            D.SSL

27. 基于数论原理的RSA算法的安全建立在(  A  )的基础上。

    A.大数难以分解因子  B. 大数容易分解因子  C.容易获得公钥      D.私钥容易保密

28．电子商务交易必须具备抗抵赖性，目的在于防止(  B  )。

    A．一个实体假装成另一个实体        B.参与交易的一方否认曾经发生过此次交易

    C.他人对数据进行非授权的修改、破坏     D.信息从被监视的通信过程中泄漏出去

29. 数字证书采用公钥进行加密盒解密。每个用户有一个私钥，用它进行(  B  )；同时每个用户还有一个公钥，用于加密和验证。

    A．解密和验证       B.解密和签名         C.加密和签名       D.加密和验证

30. 甲通过计算机网络给已发消息，表示甲已同意与乙签订合同，不久后甲不承认发过该消息。为了防止这种情况的出现，应该在在计算机网络中采用(  D  )技术。

    A. 数据压缩         B. 数据加密          C. 数据备份         D. 数据签名

31. 常规的数据加密标准DES采用(  A  )位有效密钥对位的数据块进行加密。

    A. 56               B.                 C. 112              D. 128

32. 为了保证网络的安全，常常使用防火墙技术。防火墙是(  C  )。

A.为控制网络访问而配置的硬件设置       

B.为防止病毒攻击而编制的软件

C.指建立在内络边界上的过滤封锁机制

D.为了避免发生火灾专门为网络机房建造的隔离墙

33．在开始进入一轮DES时先要对密钥进行分组、移位。 56位密钥被分成左右两个部分，每部分为28位。根据轮数，这两部分分别循环左移（  A  ）。

 ．1位或2位     B．2位或3位      C．3位或4位         D．4位或5位

34． AES算法利用外部输入字数为Nk的密钥串K，通过扩展密钥程序得到共（  A  ）字的扩展密钥串。

A．Nb*（Nr + l）   B．Nb * Nr       C．Nb * （Nk + l）     D．Nb * Nk

35．DES算法中扩展置换后的E(R)与子密钥k异或后输入（ ）到S盒代替。

A． 位 B．54位 C． 48位  D． 32位

36．求乘逆时可以利用欧几里德算法，即重复使用带余数除法，每次的余数为除数除上一次的除数，直到余数为（ ）时为止。

A．0．1．2．

37．Softice软件是一种（ ）软件。

A．游戏 B．动态分析程序 C．字处理 D．静态分析程序

38．主动型木马是一种基于远程控制的黑客工具，黑客使用的程序和在你电脑上安装的程序分别是（ ）。

A．服务程序/控制程序 ．木马程序/驱动程序

C．驱动程序/木马程序 ．控制程序/服务程序

39．在防火墙双穴网关中，堡垒机充当网关，装有（ ）块网卡。

A．1． ． ．  4

40．（   C  ）攻击是指借助于客户机/服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DoS攻击，从而成倍地提高拒绝服务攻击的威力。 

A．缓冲区溢出攻击    B．拒绝服务      C．分布式拒绝服务　 ．口令攻击

41．（ ）就是要确定你的IP地址是否可以到达，运行哪种操作系统，运行哪些服务器程序，是否有后门存在。

A．对各种软件漏洞的攻击 ．缓冲区溢出攻击

C．IP 地址和端口扫描 ．服务型攻击

42.不属于VPN的核心技术是（  C  ）。

  A.  隧道技术    B.  身份认证    C.  日志记录    D.  访问控制

43．有一种称为嗅探器（ ）的软件，它是通过捕获网络上传送的数据包来收集敏感数据，这些数据可能是用户的账号和密码，或者一些机密数据等等。

 ．sＢ．UＣ．W32Dasm   Ｄ．Sniffer

44．对等实体鉴别服务是数据传输阶段对（   A   ）合法性进行判断。

A．对方实体　　 ．对本系统用户 ．系统之间　 ．发送实体 

45. 信息安全的基本属性是（D）。

    A. 机密性      B. 可用性      C. 完整性      D. 上面3项都是

46．在为计算机设置使用密码时，下面（ ）的最安全。

A．1．6．2．720915

47. 身份鉴别是安全服务中的重要一环，以下关于身份鉴别叙述不正确的是（  B  ）。

    A. 身份鉴别是授权控制的基础

    B. 身份鉴别一般不用提供双向的认证

    C. 目前一般采用基于对称密钥加密或公开密钥加密的方法

    D. 数字签名机制是实现身份鉴别的重要机制

48．下面不属于计算机信息安全的是（  A  ）。

（A）安全法规    （B）信息载体的安全保护    （C）安全技术    （D）安全管理

49．在计算机密码技术中，通信双方使用一对密钥，即一个私人密钥和一个公开密钥，密钥对中的一个必须保持秘密状态，而另一个则被广泛发布，这种密码技术是（  C  ）。

（A）对称算法 （B）保密密钥算法 （C）公开密钥算法 （D）数字签名

50. 认证使用的技术不包括（  C  ）。

（A）消息认证 （B） 身份认证 （C）水印技术 （D） 数字签名

51. （  A  ）是采用综合的网络技术设置在被保护网络和外部网络之间的一道屏障，用以分隔被保护网络与外部网络系统防止发生不可预测的、潜在破坏性的侵入，它是不同网络或网络安全域之间信息的唯一出入口。

（A）防火墙技术 （B）密码技术 （C）访问控制技术 （D）VPN

52．计算机病毒通常是（  D  ）。

（A）一条命令 （B）一个文件 （C）一个标记 （D）一段程序代码

53．信息安全需求不包括（  D  ）。

（A）保密性、完整性  （B）可用性、可控性 （C）不可否认性  （D）语义正确性

54．下面属于被动攻击的手段是（  C  ）。

（A）假冒 （B）修改信息 （C）窃听 （D） 拒绝服务

55. 下面关于系统更新说法正确的是（  A  ）。

（A）系统需要更新是因为操作系统存在着漏洞

（B）系统更新后，可以不再受病毒的攻击

（C）系统更新只能从微软网站下载补丁包

（D）所有的更新应及时下载安装，否则系统会立即崩溃

56．宏病毒可以感染（  C  ）。

（A）可执行文件  （B）引导扇区/分区表  （C）Word/Excel文档  （D）数据库文件

57. 用于实现身份鉴别的安全机制是（  A  ）。

    A. 加密机制和数字签名机制        B. 加密机制和访问控制机制

    C. 数字签名机制和路由控制机制    D. 访问控制机制和路由控制机制

58．在开始进入一轮DES时先要对密钥进行分组、移位。 56位密钥被分成左右两个部分，每部分为28位。根据轮数，这两部分分别循环左移（  A  ）。

（A）1位或2位    （B）2位或3位     （C）3位或4位      （D）4位或5位

59．在防火墙双穴网关中，堡垒机充当网关，装有（  B  ）块网卡。

（A）1           （B） 2                （C） 3          （D）  4

60. 从安全属性对各种网络攻击进行分类，截获攻击是针对（  A  ）的攻击。

    A. 机密性   B. 可用性   C. 完整性   D. 真实性

61. 假设使用一种加密算法，它的加密方法很简单：将每一个字母加5，即a加密成f。这种算法的密钥就是5，那么它属于（  A  ）。

    A.对称加密技术     B.分组密码技术    C.公钥加密技术     D.单向函数密码技术

62.在为计算机设置使用密码时，下面（  D  ）是最安全。

（A）12345678     （B）66666666         （C）20061001     （D）720915

63. 密码学的目的是（  C  ）。

    A. 研究数据加密     B. 研究数据解密    C. 研究数据保密     D. 研究信息安全

. 从攻击方式区分攻击类型，可分为被动攻击和主动攻击。被动攻击难以（  C  ），然而（  C  ）这些攻击是可行的；主动攻击难以（  C  ），然而（  C  ）这些攻击是可行的。

    A. 阻止,检测,阻止,检测      B. 检测,阻止,检测,阻止

    C. 检测,阻止,阻止,检测      D. 上面3项都不是

65. 数据保密性安全服务的基础是（  D  ）。

    A. 数据完整性机制      B. 数字签名机制    C. 访问控制机制       D. 加密机制

66. PKI管理对象不包括（  A  ）。

    A. ID和口令       B. 证书        C. 密钥           D. 证书撤消

67. 下面不属于PKI组成部分的是（  D  ）。

    A. 证书主体     B. 使用证书的应用和系统    C. 证书权威机构        D. AS

68. 包过滤型防火墙原理上是基于（  C  ）进行分析的技术。

    A. 物理层           B. 数据链路层      C. 网络层           D. 应用层

69．（  B  ）通过一个使用专用连接的共享基础设施，连接企业总部、远程办事处和分支机构。

A.  Access VPN    B.  Intranet VPN    C.  Extranet VPN    D.  Internet VPN

70．攻击者截获并记录了从A到B的数据，然后又从早些时候所截获的数据中提取出信息

重新发往B称为（  D  ）。

A.中间人攻击      B.口令猜测器和字典攻击       C.强力攻击       D.回放攻击

71．下列选项中能够用在网络层的协议是（  D  ）。

A.  SSL     B.  PGP     C.  PPTP    D.  IPSec

72、（  A  ）协议是一个用于提供IP数据报完整性、身份认证和可选的抗重播保护的机制，但不提供数据机密性保护。

A.  AH协议    B.  ESP协议    C.  IPSec协议    D.  PPTP协议

73.  IPSec协议中负责对IP数据报加密的部分是（  A  ）。

   A.封装安全负载（ESP）B.鉴别包头（AH） C. Internet密钥交换（IKE）D.以上都不是

74. 属于第二层的VPN隧道协议有（  B  ）。

    A. IPSec     B. PPTP     C.GRE     D. 以上皆不是

75.  PPTP和L2TP最适合于（  D  ）。

    A.局域网     B.企业内部虚拟网    C.企业扩展虚拟网      D.远程访问虚拟专用网

76．A方有一对密钥（KA公开，KA秘密），B方有一对密钥（KB公开，KB秘密），A方向B方发送数字签名M，对信息M加密为：M’= KB公开（KA秘密（M））。B方收到密文的解密方案是（  C  ）。

A. KB公开（KA秘密（M’））                B.  KA公开（KA公开（M’））

C. KA公开（KB秘密（M’））                D.  KB秘密（KA秘密（M’））

77．攻击者用传输数据来冲击网络接口，使服务器过于繁忙以至于不能应答请求的攻击方

式是（  A  ）。

A.拒绝服务攻击       B.地址欺骗攻击     C.会话劫持      D.信号包探测程序攻击

名词解释：

1、访问控制的基本概念。

访问控制是建立在身份认证基础上的，通过对关键资源的访问，防止非法用户的侵入或因为合法用户的不慎操作而造成的破坏。

访问控制的目的：主体对访问客体的访问权限（安全访问策略），从而使计算机系统在合法范围内使用。

2、入侵检测系统：

3、数字证书：数字证书是由权威机构－－CA证书授权中心发行的，能提供在Internet上进行身份验证的一种权威性电子文档，人们可以在互联网交往中用它来证明自己的身份和识别对方的身份

4、防火墙：所谓防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的界面上构造的保护屏障.是一种获取安全性方法的形象说法，它是一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关，从而保护内部网免受非法用户的侵入。

5、代理服务：

6、什么是数字证书：数字证书是一个经证书认证中心(CA)数字签名的包含公开密钥拥有者信息以及公开密钥的文件。

7、VPN的基本概念。

VPN是Virtual Private Network的缩写，是将物理分布在不同地点的网络通过公用骨干网，尤其是Internet连接而成的逻辑上的虚拟子网。

Virtual是针对传统的企业“专用网络”而言的。VPN则是利用公共网络资源和设备建立一个逻辑上的专用通道，尽管没有自己的专用线路，但它却可提供和专用网络同样的功能。

Private表示VPN是被特定企业或用户私有的，公共网络上只有经过授权的用户才可以使用。在该通道内传输的数据经过了加密和认证，保证了传输内容的完整性和机密性。

8、入侵检测系统

9、计算机信息系统

10、信息量的定义

11、PKI

12、唯一解距离

13、数字水印

14、拒绝服务

15、计算机病毒

填空题：

1、没有加密的原始数据称为明文，将加密后的数据称为密文。加密和解密都需要有 （密钥）。

2、在给出的扩展名为exe、doc、bat等文件中，宏病毒可能感染的（ doc ）文件，文件型病毒可能感染其中（ exe、bat ）文件。

3、信息根据敏感性可分非保护的，( 加密的 )，受的，( 开放的 ) 。

4、( 数字签名 )是通过一个单向函数对要传送的报文进行处理得到的，用以认证报文来源并核实报文是否发生变化的一个字母数字串。

5、防火墙的基本类型包括过滤防火墙，( 应用层防火墙 )，代理服务防火墙，( 状态监视防火墙 )和自适应代理技术的防火墙。

6、( 入侵检测 )是用于检测任何损害或企图损害系统的机密性、完整性或可用性等行为的一种网络安全技术。

7、安全威胁是指对安全的一种潜在的侵害。目前计算机系统安全面临的威胁主要表现在：

信息泄露、 ( 资源耗尽 )和信息破坏。

8、影响计算机信息安全的因素大至可分为四个方面：（ 人为破坏 ）、自然灾害、人为疏忽、软件设计等不完善等。

9、代替密码是用另一个字母（ 代替 ）明文中的一个字母，明文中的字母位置不变。

10、现代密码学两个研究方向是对称密码和公开密钥加密，其中公开密钥加密典型代表是（ RSA ）算法。

11、（ 拒绝服务 ）是一种破坏网络服务的技术方式，其根本目的是使受害主机或网络失去及时接受处理外界请求，或无法及时回应外界请求的能力。

12、AES算法处理的基本单位是（ 字节 ）和字。

13、DES是对称算法，第一步是（ 初始变换 ）最后一步是逆初始变换IP。 

14、（ 补丁技术 ）主要是针对已发布的软件漏洞和软件功能更新所采取的软件更新技术，也是一种软件保护方式。

15、当网络攻击者向某个应用程序发送超出其（ 缓冲区 ）最大容量的数据，使数据量超出缓冲区的长度，多出来的数据溢出堆栈，引起应用程序或整个系统的崩溃，这种缓冲区溢出是最常见的拒绝服务攻击方法。

16、防止计算机系统中重要数据丢失的最简单、最有效的方法是（ 数据备份 ）。

17、密码系统包括以下4个方面：（明文空间）、（密文空间）、（密钥空间）和（密码算法）。

18、解密算法D是加密算法E的 （逆运算） 。

19、如果加密密钥和解密密钥（ 相同 ），这种密码称为对称密码。

20、DES算法密钥是 （） 位，其中密钥有效位是 （56） 位。

21.公开密钥加密算法的用途主要包括两个方面：（密钥分配）和（数字签名）。

22.消息认证是（ 验证信息的完整性 ），即验证数据在传送和存储过程中是否被篡改、重放或延迟等。

23.密钥管理的主要内容包括密钥的 （生成）、（分配）、（使用）、（存储）、（备份）、（恢复）和（销毁）。

24.（访问控制） 的目的是为了访问主体对访问客体的访问权限。

25.防火墙系统的体系结构分为 （双宿主机体系结构 ）、（屏蔽主机体系结构） 、（屏蔽子网体系结构）。

26.IDS的物理实现不同，按检测的监控位置划分，入侵检测系统可分为基于（ 主机的入侵检测系统）、基于（ 网络的入侵检测系统） 和（ 分布式入侵检测系统 ）。

27.计算机病毒的5个特征是：主动传染性、（破坏性）、（寄生性或隐蔽性）、（潜伏性）和多态性。

28.蠕虫是通过（ 网络 ）进行传播的。

29.防火墙技术主要有：（包过滤技术）、（代理服务技术）、（电路层网关）、（状态检测技术）。

30.计算机系统的安全策略可分为三个层次：（法规层）、（安全管理层）、（安全技术层）。

31.病毒检测的方法很多，典型的检测方法包括比较法、（特征字符串搜索法）、行为检测法和软件模拟法等。

32.计算机信息系统安全包括（实体安全）、（运行安全）和（信息安全）。

33.实施信息系统安全保护的措施包括（安全法规）、（安全管理）和（安全技术）三个方面。

34.香农提出的两项隐蔽明文消息中的多余度的技术包括（混乱）和（散布）。

35.数字签名的作用包括（否认）、（伪造）、（冒充）和（篡改）。

简答题：

1、写出RSA算法的全过程。

A）选择密钥

（1） 选择两个不同的素数p、q。

（2） 计算公开模数 r = p× q。                         

（3） 计算欧拉函数（r）=（p－1）·（q－1）。              

（4） 选择一个与（r）互质的量k， 即：保证（（r），k） = 1时， 选择k。 可以令sp=k或pk=k。

      （5）根据 sk · pk  1 mod （r），已知sk或pk，用乘逆算法求pk或sk。

B）加密      密文 C= P mod r    

密文序列C = C C… C…

C）解密      明文 P = C mod r         

 明文  P = P P… P…

2、教材P104思考题第3题（第四章课件第78页以及最后一页上有答案）

3、写出基于公开密钥的数字签名方案（10分）。

公开密钥可以用来设计数字签名方案。设用户Alice发送一个签了名的明文M给用户Bob的数字签名一般过程如下：

Alice用信息摘要函数hash从M抽取信息摘要M’；

Alice用自己的私人密钥对M’加密，得到签名文本S，即Alice在M上签了名；

Alice用Bob的公开密钥对S加密得到S’；

Alice将S’和M发送给Bob；

Bob收到S’和M后，用自己的私人密钥对S’解密，还原出S；

Bob用Alice的公开密钥对S解密，还原出信息摘要M’；

Bob用相同信息摘要函数从M抽取信息摘要M” ；

Bob比较M’与M”，当M’与M”相同时，可以断定Alice在M上签名。

4、简述主动攻击与被动攻击的特点，并列举主动攻击与被动攻击现象。

主动攻击是攻击者通过网络线路将虚假信息或计算机病毒传入信息系统内部，破坏信息的真实性、完整性及系统服务的可用性，即通过中断、伪造、篡改和重排信息内容造成信息破坏，使系统无法正常运行。

被动攻击是攻击者非常截获、窃取通信线路中的信息，使信息保密性遭到破坏，信息泄露而无法察觉，给用户带来巨大的损失。

5、解释六层网络安全体系中各层安全性的含义。

1）物理安全

 防止物理通路的损坏、窃听和攻击（干扰等），保证物理安全是整个网络安全的前提，包括环境安全、设备安全和媒体安全三个方面。

2）链路安全

 保证通过网络链路传送的数据不被窃听，主要针对公用信道的传输安全。在公共链路上采用一定的安全手段可以保证信息传输的安全，对抗通信链路上的窃听、篡改、重放、流量分析等攻击。

3）网络级安全

 需要从网络架构（路由正确）、网络访问控制（防火墙、安全网关、VPN）、漏洞扫描、

网络监控与入侵检测等多方面加以保证，形成主动性的网络防御体系。

4）信息安全

 包括信息传输安全（完整性、机密性、不可抵赖和可用性等）、信息存储安全（数据备份和恢复、数据访问控制措施、防病毒）和信息（内容）审计。

5）应用安全

 包括应用平台（OS、数据库服务器、Web服务器）的安全、应用程序的安全。

6）用户安全

 用户合法性，即用户的身份认证和访问控制。

6、请说明数字签名的主要流程。

数字签名通过如下的流程进行：

(1) 采用散列算法对原始报文进行运算，得到一个固定长度的数字串，称为报文摘要(Message Digest)，不同的报文所得到的报文摘要各异，但对相同的报文它的报文摘要却是惟一的。在数学上保证，只要改动报文中任何一位，重新计算出的报文摘要值就会与原先的值不相符，这样就保证了报文的不可更改性。

(2) 发送方用目己的私有密钥对摘要进行加密来形成数字签名。

(3) 这个数字签名将作为报文的附件和报文一起发送给接收方。

(4) 接收方首先对接收到的原始报文用同样的算法计算出新的报文摘要，再用发送方的公开密钥对报文附件的数字签名进行解密，比较两个报文摘要，如果值相同，接收方就能确认该数字签名是发送方的，否则就认为收到的报文是伪造的或者中途被篡改。

7、访问控制有几种常用的实现方法？它们各有什么特点？

1）访问控制矩阵

    行表示客体（各种资源），列表示主体（通常为用户），行和列的交叉点表示某个主体对某个客体的访问权限。通常一个文件的Own权限表示可以授予（Authorize）或撤消（Revoke）其他用户对该文件的访问控制权限。

2）访问能力表

    实际的系统中虽然可能有很多的主体与客体，但两者之间的权限关系可能并不多。为了减轻系统的开销与浪费，我们可以从主体（行）出发，表达矩阵某一行的信息，这就是访问能力表（Capabilities）。

    只有当一个主体对某个客体拥有访问的能力时，它才能访问这个客体。但是要从访问能力表获得对某一特定客体有特定权限的所有主体就比较困难。在一个安全系统中，正是客体本身需要得到可靠的保护，访问控制服务也应该能够控制可访问某一客体的主体集合，于是出现了以客体为出发点的实现方式——ACL。

3）访问控制表

    也可以从客体（列）出发，表达矩阵某一列的信息，这就是访问控制表（Access Control 

List）。它可以对某一特定资源指定任意一个用户的访问权限，还可以将有相同权限的用户分组，并授予组的访问权。

4 ）授权关系表

    授权关系表（Authorization Relations）的每一行表示了主体和客体的一个授权关系。对表按客体进行排序，可以得到访问控制表的优势；对表按主体进行排序，可以得到访问能力表的优势。适合采用关系数据库来实现。

8、有哪4种常见的信任模型？

1）认证机构的严格层次结构模型

 认证机构(CA)的严格层次结构可以被描绘为一棵倒置的树，根代表一个对整个PKI系统的所有实体都有特别意义的CA——通常叫做根CA (Root CA)，它充当信任的根或“信任锚(Trust Anchor)”——也就是认证的起点或终点。

2）分布式信任结构模型

 分布式信任结构把信任分散在两个或多个CA上。也就是说，A把CA1作为他的信任锚，而B可以把CA2做为他的信任锚。因为这些CA都作为信任锚，因此相应的CA必须是整个PKI系统的一个子集所构成的严格层次结构的根CA。

3）Web模型

 模型依赖于流行的浏览器，许多CA的公钥被预装在标准的浏览器上。这些公钥确定了一组CA，浏览器用户最初信任这些CA并将它们作为证书检验的根。从根本上讲，它更类似于认证机构的严格层次结构模型，这是一种有隐含根的严格层次结构。

4）以用户为中心的信任模型

 每个用户自己决定信任哪些证书。通常，用户的最初信任对象包括用户的朋友、家人或同事，但是否信任某证书则被许多因素所左右。

9、防火墙应满足的基本条件是什么？

作为网络间实施网间访问控制的一组组件的集合，防火墙应满足的基本条件如下：

(1) 内部网络和外部网络之间的所有数据流必须经过防火墙。

(2) 只有符合安全策略的数据流才能通过防火墙。

(3) 防火墙自身具有高可靠性，应对渗透(Penetration)免疫，即它本身是不可被侵入的。

10、包过滤防火墙的过滤原理是什么？

包过滤防火墙也称分组过滤路由器，又叫网络层防火墙，因为它是工作在网络层。路由器便是一个网络层防火墙，因为包过滤是路由器的固有属性。它一般是通过检查单个包的地址、协议、端口等信息来决定是否允许此数据包通过，有静态和动态两种过滤方式。

这种防火墙可以提供内部信息以说明所通过的连接状态和一些数据流的内容，把判断的信息同规则表进行比较，在规则表中定义了各种规则来表明是否同意或拒绝包的通过。包过滤防火墙检查每一条规则直至发现包中的信息与某规则相符。如果没有一条规则能符合，防火墙就会使用默认规则（丢弃该包）。在制定数据包过滤规则时，一定要注意数据包是双向的。

11、边界防火墙有哪些缺陷？ 

首先是结构性。随着企业业务规模的扩大，数据信息的增长，使得企业网的边界已成为一个逻辑边界的概念，物理的边界日趋模糊，因此边界防火墙的应用受到越来越多的结构性。

其次是内部威胁。当攻击来自信任的地带时，边界防火墙无法抵御，被攻击在所难免。

最后是效率和故障。边界防火墙把检查机制集中在网络边界处的单点上，一旦被攻克，整个内部网络将完全暴露在外部攻击者面前。

12、IDS有哪两类分析方法，并对两者分析比较。

1）异常检测

假定所有入侵行为都是与正常行为不同的，如果建立系统正常行为的轨迹（特征文件Profiles），那么理论上可以通过统计那些不同于我们已建立的特征文件的所有系统状态的数量，来识别入侵企图，即把所有与正常轨迹不同的系统状态视为可疑企图。

例如，一个程序员的正常活动与一个打字员的正常活动肯定不同，打字员常用的是编辑/打印文件等命令；而程序员则更多地使用编辑/编译/调试/运行等命令。

这样，根据各自不同的正常活动建立起来的特征文件，便具有用户特性。入侵者使用正常用户的账号，但其行为并不会与正常用户的行为相吻合，从而可以被检测出来。对于异常阀值与特征的选择是异常发现技术的关键。比如，通过流量统计分析将异常时间的异常网络流量视为可疑。

异常检测指根据使用者的行为或资源使用状况来判断是否入侵，所以也被称为基于行为(Behave—based)的检测。

2）误用探测（基于知识(Knowledge—based)检测）

假定所有入侵行为和手段(及其变种)都能够表达为一种模式或特征，那么所有已知的入侵方法都可以用匹配的方法发现。因为很大一部分的入侵是利用了系统的脆弱性，通过分析入侵过程的特征、条件、排列以及事件间关系能具体描述入侵行为的迹象。

 误用检测系统的关键问题是如何从已知入侵中提取和编写特征，使得其能够覆盖该入侵的所有可能的变种，而同时不会匹配到非入侵活动（把真正入侵与正常行为区分开来）。

13、计算机病毒的定义和特征是什么？

计算机病毒，是指编制或者在计算机程序中插入的破坏计算机功能或者毁坏数据，影响计算机使用，并能够自我复制的一组计算机指令或者程序代码。

1）主动传染性

 病毒能够将自身代码主动复制到其他文件或扇区中，这个过程并不需要人为的干预。

2）破坏性

 这也是计算机病毒的一个基本特性，比如删除文件、毁坏主板BIOS、影响正常的使用等。近年来随着将特洛伊木马程序、蠕虫程序等纳入计算机病毒的范畴，将盗取信息、使用他人计算机的资源等也列入了破坏行为的范围。

3）寄生性（隐蔽性）

 早期的计算机病毒绝大多数都不是完整的程序，通常都是附着在其他程序中。病毒取得系统控制权后，可以在很短时间里传染大量其他程序，而且计算机系统通常仍能正常运行，用户不会感到任何异常（非常危险）。当然现在的某些病毒本身就是一个完整的程序。

4）潜伏性

 病毒进入系统之后一般不会马上发作，可以或长或短地潜伏在合法程序中，进行传染而不被人发现。潜伏的时间越长，传染范围越大。

5）多态性

 病毒试图在每一次感染时改变它的形态，使对它的检测变得更困难。一个多态病毒还是原来的病毒，但不能通过扫描特征字符串来发现。病毒代码的主要部分相同，但表达方式发生了变化，也就是同一程序由不同的字节序列表示。