电子商务安全导论的重要知识点

电子商务安全导论的重要知识点

1.电子商务涉案主客体关系

B2B模式：这些经电子商务系统关系的企业、机构一般是确定和可信的，数量也较有限。随着网络商务，尤其是因特网上的商务发展，这些介入

电子商务的企业数量剧增，理论上是无限的，因此也增加了不确定性。

B2C模式：零售商在网上开设店面、陈列商品、标出价格、说明服务，消费者在网上选择商品、提出要求、支付贷款、快递送货或上门取货等。

C2C模式：个人用户之间可以使用个人网站等来交换数据，或进行二手商品的拍卖，这也是广义电子商务的一种，可能以后会多起来。

B2G模式：政府有关部门直接或间接影响电子商务的操作，如认证、鉴权机构的管理，海关、税收的处理，标准的制订和修改等，更不用说政

府在法规、政策推动方面的重要作用。

2.电子商务技术要素组成

网络

应用软件

硬件

3.几种常见的电子商务模式

大字报/告示牌模式

在线黄页簿模式

电脑空间上的小册子模式

虚拟百货店模式

预订/订购模式

广告推销模式

4.为什么数据的安全是自身独有的？

一个电子商务系统必然要存储大量的商务数据，这是其运转的核心。一旦发生数据丢失或损坏，后果不堪设想。尤其这些数据大部分是商业秘密，一旦泄露，将造成不可挽回的损失。

5.为什么交易的安全是自身独有的？

在我们的日常生活中，进行一次交易必须办理一定的手续，由双方签发各种收据凭证，并签名盖章以作为法律凭据。但在电子商务中，交易在网上进行，双方甚至不会见面，那么一旦一方反悔，另一方怎样能够向法院证明合同呢？这就需要一个网上认证机构对每一笔业务进行认证，以确保交易的安全，避免恶意欺

诈。

6.电子商务系统可能遭受的几种攻击

系统穿透：未经授权人通过一定手段假冒合法用户接入系统，对文件进行篡改、窃取机密信息，非法使用资源等。（名词解释）

违反授权原则：一个被授权进入系统做某件事的用户，在系统中做未经授权的其他事情。表面看来这是系统内部误用或滥用的问题，但这种威胁与外部穿透有关联。（名词解释）

植入：在系统穿透或违反授权攻击成功后，入侵者常要在系统中植入一种能力，为其以后攻击系统提供方便条件。（名词解释） 通信监视：这是一种在通信过程中从信道进行搭线窃听的方式。

通信窜扰：攻击者对通信数据或通信过程进行干预，对完整性进行攻击，篡改系统中的数据内容，修改消息次序、时间（延时或重放），注入伪造信息。（名词解释）

中断：对可用性进行攻击，破坏系统中的硬件、硬盘、线路、文件系统等，使系统不能正常工作，破坏信息和网络资源。

拒绝服务：指合法接入信息、业务或其他资源受阻。（名词解释）

否认：一个实体进行某种通信或交易活动，稍后否认曾进行过这一活动，不管这种行为是有意的还是无意的，一旦出现再要解决双方的争执就不太容易了。

病毒：由于Internet的开放性，病毒在网络上的传播比以前快了许多，而且Internet的出现又促进了病毒制造者间的交流，使新病毒层出不穷，杀伤力也大有提高。

7.电子商务安全的中心内容

（1）商务数据的机密性：是指信息在网络上传送或存储的过程中不被他人窃取、不被泄露或披露给未经授权的人或组织，或者经过加密伪装后，

使未经授权者无法了解其内容。

（2）商务数据的完整性：是保护数据不被未授权者修改、建立、嵌入、删除、重复传送或由于其他原因使原始数据被更改。

（3）商务对象的认证性：是指网络两端的使用者在沟通之前相互确认对方的身份，保证身份的正确性，分辨参与者所声称身份的真伪，防止伪

装攻击。

（4）商务服务的不可否认性：是指信息的发送方不能否认已发送的信息，接受方不能否认已收到的信息，这是一种法律有效性要求。

（5）商务服务的不可拒绝性：保证授权用户在正常访问信息和资源时不被拒绝，即保证为用户提供稳定的服务。

（6）访问的控制性：是指在网络上限制和控制通信链路对主机系统和应用

的访问：用于保护计算机系统的资源（信息、计算和通信资源）不被

未经授权人或以未授权方式接入、使用、修改、破坏、发出指令或植

入程序等。

8.产生电子商务安全威胁的原因

（1）在因特网上传输的信息，从起始结点到目标结点之间的路径是随机选择的，此信息在到达最终目标之前会通过许多中间结点，在任一结点，

信息都可能被窃取、篡改或删除。

（2）Internet的安全漏洞

（a）Internet各环节的安全漏洞

（b）外界攻击，Internet安全的类型

截断信息：破坏A与B的计算机网络系统部分资源（包括切断通信线路、毁坏硬件等），达到截断（中断）A与B信息联系。

伪造：伪造信息源A的信息，制造假身份，发送伪造信息给B，即以伪造、假冒身份发送信息。

篡改：截取A到B的信息，经篡改后，再发至B。

接入：是一种被动攻击，利用软件提取Internet上的数据，其目的是：

①非法直接获取信息或破解机密信息

②进行流量分析，不是直接获得信息内容，而且对信息的流动情

况进行分析：信息的方向与频率、发送地点等，可得到间接情

报。

（c）局域网服务和相互信任的主机的安全漏洞

（d）设备或软件的复杂性带来的安全隐患

（3）TCP/IP协议及其不安全性

IP协议的安全隐患

①针对IP的“拒绝服务”攻击

②IP地址的顺序号预测攻击

③TCP协议劫持入侵

④嗅探入侵

Http和web的不安全性

E-mail、Telnet及网页的不安全性

①E-mail的不安全性

②入侵Telnet

③网页造假

④电子邮件炸弹和电子邮件列表链接

（4）我国的计算机主机、网络交换机、路由器和网络操作系统都来自国外。

（5）美国政府对计算机和网络安全技术的出口限制，使得进入我国的电子商务和网络安全产品均只能提供较短密钥长度的若加密算法。

9.攻击Web站点大致有以下几种方式：

（1）安全信息被破译：Web服务器的安全信息，如口令、密钥等被破译，导致攻击者进入web服务器。

（2）非法访问：未授权者非法访问了web上的文件，损害了电子商务中的隐私性、机密性和完整性。

（3）交易信息被截获：当用户向服务器传输交易信息时被截获。

（4）软件漏洞被攻击者利用：系统中的软件错误，使得攻击者可以对web 服务器发出指令，致使系统被修改和损坏，甚至引起整个系统的崩溃。

（5）当用CGI脚本编写的程序或其他涉及到远程用户从浏览器中输入表格并进行像检索之类在主机上直接操作命令时，会给web主机系统造成

危险。

10.网页攻击的步骤是什么？

（1）创建一个网页，看似可信其实是假的拷贝，但这个拷贝和真的“一样”：假网页有与真网页一样的页面和链接

（2）攻击者完全控制假网页，所以浏览器和网络间的所有信息交流都经过攻击者。

（3）攻击者利用网页做假的后果：攻击者记录受害者访问的内容，当受害者填写表单发送数据时，攻击者可以记录下所有数据。此外，攻击者

可以记录下服务器响应回来的数据。这样，攻击者可以偷看到许多在

线商务使用的表单信息，包括账号，密码和秘密信息。

如果需要，攻击者甚至可以修改数据。不论是否使用SSL或S-HTTP，攻击者都可以对链接做假。换句话说，就算受害者的浏览器显示出安全运行链接图标，受害者仍可能链接在一个不安全的链接上。

11.电子邮件的安全问题主要有两个方面：

（1）电子邮件在网上传送时随时可能被人窃取到，而邮件是用ASCII字符写的，所以谁都可以读懂内容。

（2）可以冒用别人的身份发信，因为邮件的发送地址等信息通常由用户自己填写，并且整个信头都是可以伪造的。使用一个“探测程序”就可

以阅读电子邮件信息。

12.攻击者在一个已存在的或新运行的TCP连接上实施各种入侵，其中之一是用

Telnet会话以截获方式实施：

在入侵前，攻击者通常先观察网上的传送，而不进行任何干预。

然后攻击者向服务器发送一大批空数据，在被截获的Telnet会话上，攻击者发送一个含扩展字号“IAC NOP IAC NOP的ATK_SVR_OFFSET”字；在

Telnet协议中NOP是“空操作”命令，因此服务器的Telnet的后台驻留

程序将把每个字都解释为空数值，这样后台驻留程序将删除数据流中的

每个对，而服务器对扩展空传送的接收扰乱了正进行的Telnet会话。此

后，向服务器发出以下命令：SVR_ACK=CLT_SEQ+ATK_SVR_OPPSET

服务器接收该命令，将创建一个非同步Telnet的连接

为了迫使客户机转换到非同步状态，攻击者向客户端实施一个与服务器相同的步骤。

为完成Telnet会话入侵，攻击者实施前面的步骤，直到攻击者成为Telnet 会话连接的中间人。

13.可以采取的相应对策

（1）保密业务：保护信息不被泄露或披露给未经授权的人或组织。

（2）认证业务：保证身份的精确性，分辨参与者所声称身份的真伪，防止伪装攻击。

（3）接入控制业务：保护系统资源（信息、计算和通信资源）不被未经授权人或以未授权方式接入、使用、披露、修改、毁坏和发出指令等。

（4）数据完整性业务：保护数据不会被未授权者建立、嵌入、删除、篡改、重放。

（5）不可否认业务：主要用于保护通信用户对付来自其他合法用户的威胁，如发送用户对他所发消息的否认，接收用户对他已收消息的否认等，

而不是对付来自未知的攻击者。

（6）加快我国自主知识产权的计算机网络和电子商务安全产品的研制和开发，摆脱我国计算机网络和电子商务安全产品完全依赖进口的局面，

将主动权掌握在自己手里。

（7）严格执行《计算机信息系统安全专用产品检测和销售许可证管理办法》，按照此规定规范企业电子商务设施的建设和管理。

14.美国的橘黄皮书制定的计算机安全等级内容

（1）制定了4个标准，由低到高D，C，B，A

（2）D级暂时不分子级，B级和C级是常见的级别。每个级别后面都跟一个数字，表明它的用户敏感程度，其中2是常见的级别。

（3）C级分C1和C2两个子级，C2比C1提供更多的保护，C2要求又一个登录过程，用户控制指定资源，并检查数据追踪。

C1：酌情安全保护级，它要求系统硬件有一定的安全保护（如硬件有带锁装置），用户在使用前必须在系统中注册。另外，作为C1

级保护的一部分，允许系统管理员为一些程序或数据设立访问许

可权限。

C2又称访问控制保护级，它针对C1级的不足增加了几个特性：

①增加用户权限级别

②采用了系统审计

（4）B级分B1、B2、B3三个子级，由低到高，B2要求有访问控制，不允许用户为自己的文件设定安全级别。

B1：标识安全保护

B2：结构保护级别，要求访问控制的所有对象都有安全标签以实现低级别的用户不能访问敏感信息，对于设备、端口等也应标注

安全级别。

B3：安全域保护级别，这个级别使用安装硬件的方式来加强域的安全，比如用内存管理硬件来防止无授权访问。

（5）A级为最高级，暂时不分子级，是用户定制的。

（6）每级包括它下级的所有特性，这样从从低到高是D，C1，C2，B1，B2，B3，A

15.使用电子商务的过程中会涉及到以下几个有关安全方面的因素。

（1）可靠性：指为防止由于计算机失效、程序错误、传输错误、硬件故障、系统软件错误、计算机病毒和自然灾害等所产生的潜在威胁，加以控

制和预防，确保系统安全可靠性。

（2）真实性：指商务活动中交易者身份的真实性，亦即是交易双方确实是存在的，不是假冒的。

（3）机密性：是指交易过程中必须保证信息不会泄露给非授权的人或实体。

（4）完整性：是指数据在输入和传输过程中，要求能保证数据的一致性，防止数据被非授权建立、修改和破坏。

（5）有效性

（6）不可抵赖性

（7）内部网的严密性

16.替换加密和转换加密区别

在替换加密法中，原文的顺序没被改变，而是通过各种字母映射关系把原文隐藏了起来。转换加密法是将原字母的顺序，将其重新排列。

17.单钥密码体制的特点：

（1）加密和解密的速度快、效率高。

（2）单钥密码体制的加密和解密过程使用同一个密钥。发送者和接收者都需要知道密钥，需要安全渠道进行密钥的传递，不适合密钥的管理。

单钥密码体制无法适应互联网大环境—许多人相互通信的要求。

18.双重DES算法步骤

（1）用密钥K1进行DES加密。

（2）用K2对步骤1的结果进行DES解密。

19.三重DES算法步骤

（1）用密钥K1进行DES加密。

（2）用K2对步骤1的结果进行DES解密。

（3）用步骤2的结果使用密钥K1进行DES加密。

20.双钥密码体制算法的特点：

（1）适合密钥的分配和管理

（2）算法速度慢，只适合加密小数量的信息。

21.RSA密码算法的原理：

（1）独立选取两个大素数：p和q。

（2）计算n=pq

（3）然后计算小于n并且与n互质的整数的个数，即欧拉函数φ（n）=（p-1）（q-1）。

（4）随机选择加密密钥e；要求e满足1≤e≤φ（n），并且和φ（n）互质。

即gcd（e，φ（n））=1

（5）最后，利用Euclid算法计算解密密钥d，满足ed=1mod（φ（n））

22.ELGamal密码体制的原理：

（1）首先每个使用者（用A、B表示）按下法生成自己的一对公开密钥和相应的私钥：

生成一个大的随机素数p和整数模p的乘法群Z*p的一个生成元α

选取一个随机整数a，1≤k≤p-2，计算ααmod p

A的公开密钥是（p，α，αα）

（2）假设B加密消息m给A，A解密，用ELGamal密码体制的加解密过程如下：

获取A的公开密钥（p，α，αα）

将消息m表示成{0，1，...，p-1}范围内的整数。

选取随机整数k，1≤k≤p-2

计算γ=αk mod和δ=m×（αα）k mod p。

发送密文c=（γ，δ）给A

为从c中恢复出明文m，A执行如下步骤：

使用私钥a计算γp-1-a mod p

通过计算（γ-a）×δmod p恢复出m

23.椭圆曲线密码体制系统建立和密钥生成

（1）系统建立

选取一个基域Fq，一个定义在Fq上的椭圆曲线E和E上的一个为素数阶n的点p。点p的坐标用（xp，yp）表示。

有限域Fq，椭圆曲线参数，亦即域元素a和b（定义椭圆曲线的参数），点p和阶n是公开信息。

（2）密钥的生成

系统建成后，每个使用者进行下列计算：

a.在区间[1，n-1]中随机选取一个整数K

b.计算点Q=dP

c.实体的公开密钥包含点Q，实体的私钥是整数d。

加密过程：

当实体B发送消息M给实体A时，实体B执行下列步骤：

a.查找A的公开密钥Q

b.将消息M表示成一个域元素M∈Fq

c.在区间[1，n-1]中随机选取一个整数K

d.计算点(x1，y1)=kP。

e.计算点(x2，y2)=KQ，如果X2=0，则回到第3步。

f.计算c=mx2

g.传送加密收据（x1,y1,c）给A。

解密过程：

当实体A解密从B收到的密文(x1,y1,c)时，A执行下列步骤：

a.使用他的私钥d，计算点（x2，y2）=d（x1，y1）.

b.通过计算M=c×x2-1，恢复出数据M。

24.Shamir密钥分存解决方案

存储在系统中的所有密钥的安全性可能最终取决于一个主密钥。这样做存在两个明显的缺陷：一是若主密钥偶然地有意地被暴露，整个系统易被攻击；二是若主密钥丢失或损坏，系统中的所有信息就不能用了。关于这个问题，Shamir 于1979年提出了一种解决方案，该方案是基于有限域上的多项式的拉格朗日插值公式，它的基本思想是：将一个密钥K破成n个小片K1、K2….Kn，满足：（1）已知任意t个ki的值易于计算出K。

（2）已知任意t-1个或更少个Ki，则由于信息短缺而不能确定出K。

将n个小片分给n个用户。由于要重构密钥需要t个小片，故暴露一个小片或达到t-1个小片不会危及密钥，且少于t-1个用户不可能共谋得到密钥。同时，若一个小片被丢失或损坏，仍可恢复密钥（只要至少有t个有效的小片）。

25.EES主要有两个特点：一个新的加密算法（Skipjack算法）和一个密钥托管系

统。其中最新特色就是它的密钥托管功能，当一个Clipper芯片被用来进行加解密时，一个LEAF信息必须被提供，否则由防窜扰芯片拒绝解密，其中

26.密码系统的理论安全性和实用安全性

由于计算机技术的发展，人们借助于计算机进行分析处理，密码的破译能力也不断提高。

一个密码体制的安全性取决于破译者具备的计算能力，如若它对于拥有无限计算资源的破译者来说是安全的，则称这样的密码体制是无条件安全的，它意味着不论破译者拥有多大的计算资源，都不可能破译；如若一个密码体制对于拥有计算资源的破译者来说是安全的，则称这样的密码体制是计算上安全的，计算上安全的密码表明破译的难度很大。

无条件安全的密码体制是理论上安全的；计算上安全的密码体制是实用的安全性。但目前已知的无条件安全的密码体制都是不实用的；同时还没有一个实用的密码体制被证明是计算上安全的。

27.保持数据完整性的目的和数据完整性被破坏所造成的严重后果

（1）保持数据完整性的目的：保证计算机系统上的数据和信息处于一种完整和未受损害的状态。这意味着数据不会由于有意或无意的事件而被

改变或丢失。

（2）破坏数据完整性的严重后果

造成直接的经济损失

影响一个供应链上许多厂商的经济活动

可能造成过不了“关”

会牵涉到经济案件中

造成电子商务经营的混乱与不信任

28.散列函数应用于数据的完整性。

可用多种技术的组合来认证消息的完整性。为消除因消息被更改而导致的欺诈和滥用行为，可将两个算法同时应用到消息上。首先用散列算法，由散列函数计算出散列值后，就将此值—消息摘要附加到这条消息上。当接收者收到消息及附加的消息摘要后，就此消息独自再计算出一个消息摘要。如果接收者所计算出的消息摘要同消息所附的消息摘要一致，接收者就知道此消息没有被篡改。

29.数字签名使用双钥密码加密和散列函数

使用方法是：消息M用散列函数H得到的消息摘要h1=H(M)，然后发送方再用自己的双钥密码体制的私钥对这个散列值进行加密h’=E KSA(h1)，形成发送方的数字签名。然后，这个数字签名将作为消息M的附件和消息一起发送给消息的接收方。消息的接收方首先从接收到的原始消息M中计算出散列值h2=H(M)，接着再用发送方的双钥密码体制的公钥来对消息的数字签名进出解密DKPA(h’)得h1,。如果这两个散列值h1=h2，那么接收方就能确认数字签名是发送方的，而且还可以确定此消息没有被修改过。

30.数字签名与消息的真实性认证的不同：消息认证是使接收方能验证消息发送

者及所发信息内容是否被篡改过。当收发者之间没有利害冲突时，这对于防止第三者的破坏来说是足够了。但当接收者和发送者之间相互有利害冲突时，单纯用消息认证技术就无法解决他们之间的纠纷，此时需借助数字签名技术。

31.数字签名满足以下的要求：

（1）接收方B能确认或证实发送方A的签名，但不能由B或第三方C伪造；

（2）发送方A发出签名的消息给接收方B后，A就不能再否认自己所签发的消息；

（3）接收者B对已收到的签名消息不能否认，即有收报认证；

（4）第三者C可以确认收发双方之间的消息传送，但不能伪造这一过程。

32.数字签名和手书签名的不同

手写签名（包括盖章）是模拟的，因人而异，即使同一个人也有细微差别，比较容易伪造，是区别是否伪造，往往需要特殊的专家。而数字签名是0和1的数字串，极难伪造，要区别是否为伪造，不需专家。对不同的信息摘要，即使是同一人，其数字签名也是不同的。这样就实现了文件与签署的最紧密的“捆绑”。

33.数字签名可证明

（1）如果他人可以用公钥正确地解开数字签名，则表示数字签名的确是由签名者产生的。

（2）如果消息M是用散列函数H得到的消息摘要H（M），和消息的接收方从接收的消息M’计算出散列值H（M`），这两种信息摘要相同表

示文件具有完整性。

34.数字签名可以解决下述安全鉴别问题：

（1）接收方伪造：接收方伪造一份文件，并声称这是发送方发送的；

（2）发送者或接收者否认：发送者或接收者事后不承认自己曾经发送或接收过文件；

（3）第三方冒充：网上的第三方用户冒充发送或接收文件

（4）接收方篡改：接收方对收到的文件进行改动。

35.无可争辩签名的优缺点

（1）优点：为了防止所签文件被复制，有利于产权拥有者控制产品的散发。

适用于某些应用，如电子出版系统，以利于对知识产权的保护。

（2）缺点：在签名人合作下才能验证签名，又会给签名者一种机会，在不利于他时可拒绝合作，因而不具有“不可否认性”。无可争辩签名除了

一般签名体制中的签名算法和验证算法外，还需要第三个组成部分，

即否认协议：签名者利用无可争辩签名可向法庭或公众证明一个伪造

的签名的确是假的；但如果签名者拒绝参与执行否认协议，就表明签

名真的由他签署。

36.Chaum利用盲变换实现盲签名的基本原理

（1）A取一文件并以一随机值乘之，称此随机值为盲因子。

（2）A将此盲文件送给B

（3）B对盲文件签名

（4）A以盲因子除之，得到B对原文件的签名

37.混合加密系统具体过程

（1）发送方A

求明文消息的消息散列值：hA=H’(M)

发送者用自己的私钥Ksa对散列值进行数字签名：h’=Eksa(Ha)

将明文M和数字签名h’合并为M’，M’=【M h’】

随机产生一个DES密钥Kdes

用des密钥Kdes加密M’，C1=Ekdes（M’）

用接收方B的公钥加密DES密钥，C2=Ekpb（Kdes）。

A将C1和C2发送给接收方B

（2）接收方B

B用其私钥打开数字信封，得到发送方的DES密钥，Kdes=Dksb（C2）

再用此密钥去解密消息C1，M’=Dkdes（C1）

从M’中分离出M和h’

求明文消息的消息散列值，hb=H（M）

对A的数字签名h’进行身份验证，hA=DKpa（h’）；

比较hA和hB，如Ha=Hb，则说明M确是A发送的消息，如Ha ≠Hb，则收到的M是不可信的。这就是数据完整性检验。

38.机房设计的依据文件有：

（1）《电子计算机房设计规范》（GB50174-93）

（2）《计算机场、地、站安全要求》（GB3961-88）

（3）《计算机房场、地、站、技术要求》（GB2887-89）

（4）《电气装置安装工程、接地装置施工及验收规范》（GB50169-92）

（5）《建筑内部装修设计防火规范》（GB50222-95）

（6）《气体灭火系统施工、验收规范》

（7）《闭路监控工程设计、施工规范》

（8）《高层建筑电气设计手册》

39.机房环境、电源及防雷接地应满足《建筑与建筑群综合布线系统工程设计规

范》（CECS 72：97）的要求。计算机机房的设计应符合下列规定：

（1）设备间内所有设备应有足够的安装空间，其中包括计算机主机，网络连接设备等。

（2）设备间的地面面层材料应能防静电

（3）设备间至少提供离地板255cm高度的空间，门的高度应大于210cm，门宽应大于90cm，地板的平均荷载应大于5kN/㎡。凡是安装综合布

线硬件的地方，墙壁和天棚应涂阻燃漆。

（4）设备间应采用全封闭房间，防止有害气体（如SO2、H2S、NH3、NO2等）侵入，并应有良好的防尘措施。

（5）设备间室温应保持在10℃至25℃之间，相对湿度应保持60%至80%。

（6）设备间应安装符合法规要求的消防系统，应使用防火防盗门，至少能耐火1小时的防火墙。

（7）机房内的尘埃要求低于0.5μm；对于开机时机房内的噪声，在中央控制台处测量时应小于70dB。

40.容错技术的目的及其常用的容错技术

容错技术的目的是当系统发生某些错误或故障时，在不排除错误和故障的条件下使系统能够继续正常工作或者进入应急工作状态。

容错技术最实用的一种是组成冗余系统。冗余系统是系统中除了配置正

常的部件以外，还配制出的备份部件。当正常的部件出现故障时，备份部件能够立即替代它继续工作。当然系统中必须另有冗余系统的管理机制和设备。

另有一种容错技术是使用双系统。用两个相同的系统共同承担同一项人物，当一个系统出现故障时，另一系统承担全部任务。

41.现在网络系统的备份工作变得越来越困难原因：网络系统的复杂性随着不同

的操作系统和网络应用软件的增加而增加。此外，各种操作系统，都自带内置软件的备份，但自动备份和文件管理上都是很基本的，功能不足。

42.简述三种基本的备份系统

（1）简单的网络备份系统：在网络上的服务器直接把数据通过总线备份到设备中也可把数据通过对网络经过专用的工作站备份到工作站的设备

中。

（2）服务器到服务器的备份：在网络上的一个服务器除了把数据通过总线备份到自己设备中以外，同时又备份到另一个服务器上。

（3）使用专用的备份服务器。不同于上面（2）中所说的另一类服务器，它主要的任务是为网络服务的服务器，使用专用服务器可以使备份工作

更加可靠。

43.简述数据备份与传统的数据备份的概念。

（1）数据备份：为防止系统出现操作失误或系统故障导致数据丢失，而将全系统或部分数据集合从应用主机的硬盘或阵列复制到其他的存储介

质的过程。

（2）传统的数据备份：采用数据内置或外置的磁带机进行冷备份。

44.比较常见的备份方式

（1）定期磁带备份数据

（2）远程磁带库、光盘库备份。

（3）远程关键数据并兼有磁带备份

（4）远程数据库备份

（5）网络数据镜像

（6）远程镜像磁盘

45.提高数据完整的预防性措施。

（1）镜像技术：将数据原样地从一台设备机器拷贝到另一台设备机器上。

（2）故障前兆分析：有些部件不是一下子完全坏了，例如磁盘驱动器，在出故障之前往往有些征兆，进行故障前兆分析有利于系统的安全。

（3）奇偶校验：奇偶校验也是服务器的一个特性。它提供一种机器机制来保证对内存错误的检测，因此，不会引起由于服务器出错而造成数据

完整性的丧失。

（4）隔离不安全的人员。对本系统有不安全的潜在威胁人员，应设法与本系统隔离。

（5）电源保障：使用不间断电源是组成一个完整的服务器系统的良好方案。

46.病毒的特征

（1）非授权可执行性

（2）隐蔽性

（3）传染性

（4）潜伏性

（5）表现性或破坏性

（6）可触发性

47.计算机病毒的主要来源

（1）引进的计算机系统和软件中带有病毒

（2）各类出国人员带回的机器和软件染有病毒

（3）一些染有病毒的游戏软件

（4）非法拷贝中毒

（5）计算机生产、经营单位销售的机器和软件染有病毒。

（6）维修部门交叉感染

（7）有人研制、改造病毒

（8）敌对分子以病毒进行宣传和破坏

（9）通过互联网络传入

48.计算机病毒的防治策略

（1）依法治毒

（2）建立一套行之有效的病毒防治体系

（3）制定严格的病毒防治技术规范

49.防火墙的设置目的和主要作用

（1）设置目的：为了在内部网与外部网之间设立惟一的通道，允许网络管理员定义一个中心“扼制点”提供两个网络间的访问控制，使得只有

被安全策略明确授权的信息流才被允许通过，对两个方向的信息流都

能控制。

（2）主要作用：防止发生网络安全事件引起的损害，使入侵更难实现，来防止非法用户，比如防止黑客、网络破坏者等进入内部网络。

50.防火墙的设计原则

（1）由内到外和由外到内的业务流必须经过防火墙。

（2）只允许本地安全政策认可的业务流通过防火墙。

（3）尽可能控制外部用户访问内域网，应严格限制外部用户进入内域网。

（4）具有足够的透明性，保证正常业务的流通。

51.防火墙的分类及分别在安全性或效率上的优点

（1）包过滤型：其控制方式会检查所有进出防火墙的包标头内容，如来源及目的地，使用协定等信息。现在的路由器、交换式路由器以及某些

操作系统已经具有用包过滤控制的能力。包过滤型的控制方式最好的

好处是效率最高，但却有几个严重缺点：管理复杂、无法对连线作完

全的控制、规则设置的先后顺序会严重影响结果、不易维护以及记录

功能少。

（2）包检验型：其控制机制是通过一个检验模组对包中的各个层次作检验。

包检验型可谓是包过滤型的加强版，目的在增加包过滤型的安全性，

增加控制“连线”的能力。但由于包检验的主要检查对象仍是个别的

包，不同的包检验方式可能会产生极大的差异。其检查层面越广越安

全，但其相对效率也越低。包检验型防火墙在检查不完全的情况下，

可能会造成原来以为只有特定的服务可以通过，通过精心设计的数据

包，可在到达目的地时因重组而被转变成原来并不允许通过的连线请

求。这个为了增加效率的设计反而成了安全弱点。

（3）应用层网关型：采用将连线动作拦截，由一个特殊的代理程序来处理两端间的连线的方式，并分析其连线内容是否符合应用协定的标准。

这种方式的控制机制可以从头到尾有效的控制整个连线的动作，而不

会被客户或服务器端欺骗，在管理上也不会像包过滤型那么复杂，但

可能必须针对每一种应用写一个专属的代理程序，或用一个一般用途

的代理程序来处理大部分连线。这种运作方式是最安全的方式，但也

是效率最低的一种方式。

52.防火墙不能解决的问题

（1）如果网络管理员不能及时响应报警并审查常规记录，防火墙就形同虚设。在这种情况下，网络管理员永远不会知道防火墙是否受到攻击。

（2）防火墙无法防范通过防火墙以外的其他途径的攻击。

（3）防火墙不能防止来自内部变节者和不经心的用户带来的威胁。

（4）防火墙也不能防止传送已感染病毒的软件或文件。

（5）防火墙无法防范数据驱动型的攻击。

53.VPN的功能

（1）加密数据：以保证通过公网传输的信息即使被他人截获也不会泄露。

（2）信息认证和身份认证：保证信息的完整性、合法性，并能鉴别用户的身份。

（3）提供访问控制：不同的用户有不同的访问权限。

54.VPN的优点

（1）成本较低：VPN在设备的使用量及广域网络的频宽使用上，均比专线式的架构节省，故能使企业网络的总成本降低。根据分析，在LAN to

LAN连接时，用VPN比使用专线的成本节省20%~40%；而就远程访问

而言，用VPN更能比直接拨接至企业内部网络节省60%~80%的成本。

（2）络结构灵活：VPN比专线式的架构有弹性，当有必要将网络扩充或是变更网络架构时，VPN可以轻易地达到目的；相对而言，传统的专线

式架构便需大费脑筋了。

（3）管理方便：VPN较少的网络设备及物理线路，使网络的管理较为轻松；

不论分公司或是远程访问用户再多，均只需通过互联网的路径进入企

业网络。

55.常用的隧道协议

（1）互联网协议安全IPSec：它位于第3层，是一个与互联网密钥交换IKE 有关的框架协议，由IETFRFCs 2401-2409定义，主要用于基于防火墙

的VPN系统。

（2）第2层转发协议L2F：它由Cisco系统公司提出，可以在多种媒介，如ATM、帧中继、IP网上建立多协议的安全VPN通信方式。综合了PPTP

和L2F的优点，并提交IETF进行标准化操作。

（3）点对点隧道协议PPTP：它由3Com、Access、As-cend、Microsoft和ECI Telematics公司共同制定，用于PPTP客户机和PPTP服务器之间的安全

通信。

（4）通用路由封装协议GRE：在RFC1701/RFC1702中定义，它规定了怎样用一种网络层协议去封装另一种网络层方法，GRE的隧道由其两端的

源IP地址和目的IP地址来定义。

56.隧道的基本组成

（1）一个隧道启动器

（2）一个路由网络

（3）一个可选的隧道交换机

（4）一个或多个隧道终结器

57.IPSec提供的安全服务：包括私有性（加密）、真实性（验证发送者的身份）、

完整性（防数据篡改）和重传保护（防止未经授权的数据重新发送）等，并指定了密钥管理的方法。

58.IPSec的两种工作模式

（1）传输模式：为源到目的之间已存在的IP包提供安全性：IPSec传输模式被用于在端到端的两个通信实体之间提供IP传输的安全性，如为

TCP连接或UDP数据包连接提供安全性。

（2）隧道模式：它把一个IP包到一个新的IP包中，并以IPSec格式发往目的终点：IP包在添加了ESP字段后，整个包以及包的安全字段被认为

是新的IP包外层内容，附有新的IP外层包头。

59.选择VPN解决方案时需要考虑的几个要点

（1）认证方法。

（2）支持的加密算法

（3）支持的认证算法

（4）支持的IP压缩算法

（5）易于部署

（6）兼容分布式或个人防火墙的可用性

60.VPN分类（按部署方式分类）：端到端模式、供应商—企业模式、内部供应商

模式。

61.VPN的分类

（1）Intranet VPN：即企业的总部与分支机构通过公网构筑的虚拟网

（2）Access VPN：即企业员工或企业的小分支机构通过公网远程拨号的方式构筑的虚拟网

（3）Extranet VPN：即企业间发生收购、兼并或企业间建立战略联盟后，使不同企业网通过公网来构筑的虚拟网

62.Intranet VPN对用户的吸引力

（1）减少WAN带宽的费用。

（2）能使用灵活的拓补结构，包括全网络连接。

（3）新的站点能更快、更容易地被连接。

63.Access VPN对用户的吸引力

（1）减少用于相关的调制解调器和终端服务设备的资金及费用，简化网络

（2）实现本地拨号接入的功能来取代远距离接入或800电话接入，这样能显著降低远距离通信的费用

（3）极大的可扩展性，简便地对加入网络的新用户进行调度

（4）远端验证拨入用户服务（RADIUS）基于标准，基于策略功能的安全服务；

（5）将工作重心从管理和保留运作拨号网络的工作人员转到公司的核心业

64.Extranet VPN对用户的吸引力：能容易地对外部网进行部署和管理，外部网

的连接可以使用与部署内部网和远端访问VPN相同的架构和协议进行部署。

主要的不同是接入许可，外部网的用户被许可只有一次机会链接到其合作人的网络。

65.VPN具体实现即解决方案

（1）虚拟专用拨号网络（VPDN），用户利用拨号网络访问企业数据中心，用户从企业数据中心获得一个私有地址，但用户数据可跨公共数据网

络传输。

（2）虚拟专用路由网络（VPRN）：它是基于路由的VPN接入方式。

（3）虚拟租用线路（VLL），是基于虚拟专线的一种VPN，它在公网上开出各种隧道，模拟专线来建立VPN。

（4）虚拟专用LAN子网段（VPLS），是在公网上用隧道协议仿真出来一个局域网，透明地提供跨越公网的LAN服务。

66.组建VPN应该遵循的设计原则

（1）安全性：由于VPN直接构建在公用网上，实现简单、方便、灵活，但同时其安全问题也更为突出

（2）网络优化：构建VPN的另一重要需求是充分有效地利用有限的广域网资源，为重要数据提供可靠的带宽。

（3）VPN管理：VPN要求企业将其网络管理功能从局域网无缝地延伸到公用网，甚至是客户和合作伙伴。

67.VPN应用前景

（1）客观因素

因特网带宽：无论因特网是远程接入还是专线接入，以及骨干传输的带宽很小。

服务质量：无法保障，造成企业用户宁愿花费大量的金钱去投资自己的专线网络或是宁愿花费巨额的长途花费来提供远程接入。

（2）主观因素

用户总害怕自己内部的数据在Internet上传输不安全。

客户自身的应用跟不上，只有企业将自己的业务完全和网络联系上，VPN才会有真正的用武之地。

68.Internet的接入控制主要对付三类入侵者

（1）伪装者：为非法用户，乔装合法用户渗透进入系统，他来自外部；

（2）违法者：为合法用户，他非法访问未授权数据、程序或资源，一般来

（3）地下用户：为掌握系统的管理控制；并利用它来逃避审计和接入控制或抑制审计作用的人，系统外部、内部都有。

69.接入控制功能有以下三个：

（1）阻止非法用户进入系统

（2）允许合法用户进入系统

（3）使合法人按其权限进行各种信息活动。

70.接入控制机构的建立主要根据三种类型信息：

（1）主体：是对目标进行访问的实体，它可为用户、用户组、终端、主机或一个应用程序

（2）客体：是一个可接受访问和受控的实体，它可以是一个数据文件、一个程序组或一个数据库

（3）接入权限：表示主体对客体访问时可拥有的权利，接入权要按每一对主体客体分别限定，权利包括读、写、执行等，读写含义明确，而执

行权指目标为一个程序时它对文件查找和执行。

71.接入控制策略包括3种

（1）最小权益策略：按主体执行任务所需权利最小化分配权力

（2）最小泄露策略：按主体执行任务所知道的信息最小化分配权力

（3）多级安全策略：主体和客体按普通、秘密、机密、绝密级划分，进行权限和流向控制

72.数据加密作用

（1）解决外部黑客侵入网络后盗窃计算机数据的问题

（2）解决外部黑客侵入网络后篡改数据的问题

（3）解决内部黑客在内部网上盗窃计算机数据的问题

（4）解决内部黑客在内部网上篡改数据的问题

（5）解决CPU、操作系统等预先安置了黑客软件或无线发射装置的问题

73.数据加密方法

（1）使用加密软件加密数据

（2）使用专用软件加密数据库数据

（3）加密桥技术

74.身份证明系统的组成：一方是出示证件的人，称做示证者，又称申请者，提

出某种要求；另一方为验证者，检验示证者提出的证件的正确性和合法性，

决定是否满足其要求。第三方是可信赖者，用以调解纠纷。它的对立面是攻击者，可以窃听和伪装示证者骗取验证者的信任。

75.实体认证与消息认证的差别：消息认证本身不提供时间性，而实体认证一般

都是实时的。另一方面，实体认证通常证实实体本身，而消息认证除了证实消息的合法性和完整性外，还要知道消息的含义。

76.对身份证明系统的要求：

（1）验证者正确识别合法示证者的概率极大化

（2）不具可传递性，验证者B不可能重用示证者A提供给他的信息，伪装示证者A成功地骗取其他人的验证，得到信任

（3）攻击者伪装示证者欺骗验证者成功的概率小到可以忽略，特别是要能抗已知密文供给，即攻击者在截获到示证者和验证者多次（多次式表

示）通信下，伪装示证者欺骗验证者。

（4）计算有效性，为实现身份证明所需的计算量要小

（5）通信有效性，为实现身份证明所需通信次数和数据量要小。

（6）秘密参数安全存储

（7）交互识别，有些应用中要求双方互相进行身份认证。

（8）第三方的实时参与，如在线公钥检索服务。

（9）第三方的可信赖性。

（10）可证明安全性。

77.身份证明的基本分类

（1）身份证实：对个人身份进行肯定或否定。一般方法是将输入的个人信息（经公式和算法运算所得的结果）与卡上或库存中的信息（经公式

和算法运算所得结果）进行比较，得出结论。

（2）身份识别：一般方法是输入个人信息，经处理提取成模板信息，试着在存储数据库中搜索找出一个与之匹配的模板，而后给出结论。

78.实现身份证明的基本途径

（1）所知

（2）所有

（3）个人特征

79.通行字的选择原则为

（1）易记

（2）难于被别人猜中或发现

（3）抗分析能力强

自考电子商务安全导论押密试题及答案(3)

自考电子商务安全导论押密试题及答案（3）第一部分选择题 一、单项选择题（本大题共20小题，每小题1分，共20分）在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填写在题后的括号内。 1．电子商务，在相当长的时间里，不能少了政府在一定范围和一定程度上的介入，这种模式表示为 ( ) A．B-G B．B-C C．B-B D．C-C 2．在电子商务的安全需求中，交易过程中必须保证信息不会泄露给非授权的人或实体指的是( ) A．可靠性 B．真实性 C．机密性 D．完整性 3．通过一个密钥和加密算法可将明文变换成一种伪装的信息，称为 ( ) A．密钥 B．密文 C．解密 D．加密算法 4．与散列值的概念不同的是 ( ) A．哈希值

B．密钥值 C．杂凑值 D．消息摘要 5．SHA的含义是 ( ) A．安全散列算法 B．密钥 C．数字签名 D．消息摘要 6．《电子计算机房设计规范》的国家标准代码是 ( ) A. GB50174-93 B.GB9361- 88 C. GB2887-89 D.GB50169- 92 7．外网指的是 ( ) A.非受信网络 B．受信网络 C．防火墙内的网络 D．局域网 8．IPSec提供的安全服务不包括 ( ) A．公有性 B．真实性 C．完整性

D．重传保护 9．组织非法用户进入系统使用 ( ) A．数据加密技术 B．接入控制 C．病毒防御技术 D．数字签名技术 10. SWIFT网中采用了一次性通行字，系统中可将通行字表划分成_______部分，每部分仅含半个通行字，分两次送给用户，以减少暴露的危险性。 ( ) A．2 B．3 C．4 D．5 11．Kerberos的域内认证的第一个步骤是 ( ) A. Client →AS B. Client ←AS C．Client AS D．AS Client 12．_______可以作为鉴别个人身份的证明：证明在网络上具体的公钥拥有者就是证书上记载的使用者。 ( ) A．公钥对 B．私钥对 C．数字证书

电子商务安全导论复习资料

电子商务安全导论电子商务：顾名思义，是建立在电子技术基础上的商业运作，是利用民子技术加强，加快，扩展，增强，改变了其有关过程的商务。Intranet：是指基于TCP/IP协议的企业内部网络，它通过防火墙或其他安全机制与intranet建立连接。intranet上提供的服务主要是面向的是企业内部。 Extranet：是指基于TCP/IP协议的企业处域网，它是一种合作性网络。 商务数据的机密性：商务数据的机密性或称保密性是指信息在网络上传送或存储的过程中不被他人窃取，不被泄露或披露给未经授权的人或组织，或者经过加密伪装后，使未经授权者无法了解其内容。 邮件炸弹：是攻击者向同一个邮件信箱发送大量的垃圾邮件，以堵塞该邮箱。 TCP劫持入侵：是对服务器的最大威胁之一，其基本思想是控制一台连接于入侵目标网的计算机，然后从网上断开，让网络服务器误以为黑客就是实际的客户端。HTTP协议的“有无记忆状态”：即服务器在发送给客户机的应答后便遗忘了些次交互。TLENET等协议是“有记忆状态”的，它们需记住许多关于协议双方的信息，请求与应答。 电子商务的模式1)大字报／告示牌模式。2)在线黄页簿模式。3)电脑空间上的小册子模式。4)虚拟百货店模式。5)预订／订购模式。6)广告推销模式。什么是保持数据的完整性？商务数据的完整性或称正确性是保护数据不被未授权者修改，建立，嵌入，删除，重复传送或由于其他原因使原始数据被更改。在存储时，要防止非法篡改，防止网站上的信息被破坏。在传输过程中，如果接收端收到的信息与发送的信息完全一样则说明在传输过程中信息没有遭到破坏，具有完整性。加密的信息在传输过程，虽能保证其机密性，但并不能保证不被修改。 网页攻击的步骤是什么？第一步，创建一个网页第二步：攻击者完全控制假网页。第三步，攻击者利用网页做假的后果：攻击者记录受害者访问的内容，当受害者填写表单发送数据时，攻击者可以记录下所有数据。此外，攻击者可以记录下服务器响应回来的数据。这样，攻击者可以偷看到许多在线商务使用的表单信息，包括账号，密码和秘密信息。 什么是Intranet?Intranet是指基于TCP/IP协议的内连网络。它通过防火墙或其他安全机制与Intranet建立连接。Intranet上可提供所有Intranet 的应用服务，如WWW，E-MAIL等，只不过服务面向的是企业内部。和Intranet一样，Intranet具有很高的灵活性，企业可以根据自己的需求，利用各种Intranet互联技术建立不同规模和功能的网络。 为什么交易的安全性是电子商务独有的？这也是电子商务系统所独有的。在我们的日常生活中，进和一次交易必须办理一定的手续，由双方签发各种收据凭证，并签名盖章以作为法律凭据。但在电子商务中，交易在网上进行，双方甚至不会见面，那么一旦一方反悔，另一方怎么能够向法院证明合同呢？这就需要一个网上认证机构对每一笔业务进行认证，以确保交易的安全，避免恶意欺诈。 攻击WEB站点有哪几种方式？安全信息被破译非法访问：交易信息被截获：软件漏洞被攻击者利用：当用CGI脚本编写的程序或其他涉及到远程用户从浏览中输入表格并进行像检索之类在主机上直接操作命令时，会给WEB主机系统造成危险。 WEB客户机和WEB服务器的任务分别是什么？ WEB客户机的任务是： 1）为客户提出一个服务请求——超链时启动2）将客户的请求发送给服务器3）解释服务器传送的HTML等格式文档，通过浏览器显示给客户。 WEB服务器的任务是：1）接收客户机来的请求2）检查请求的合法性3）针对请求，获取并制作数据，包括使用CGI脚本等程序，为文件设置适当的MIME类型来对数据进行前期处理和后期处理4）把信息发送给提出请求的客户机。 电子商务安全的六项中心内容是什么？ 1）商务数据的机密性或称保密性2）商务数据的完整性或称正确性3）商务对象的认证性4）商务服务的不可否认性5）商务服务的不可拒绝性或称可用性6）访问的控制性 Internet(因特网)、Intranet(内连网)和Extranet(外连网)的特点(1)Internet(因特网)因特网的最大优势，是它的广袤覆盖及开放结构。由于它是开放结构，许多企业及用户可以按统一的技术标准和较合理的费用连接上网，使网上的主机服务器和终端用户以滚雪球的速度增加，也使其覆盖增长至几乎无限。但它的优点也是它的缺点。因特网的管理松散，网上内容难以控制，私密性难以保障。从电子商务等应用看，安全性差是因特网的又一大缺点，这已成为企业及用户上网交易的重要顾虑。(2)Intranet(内连网)Intranet(内连网)本书中选译为企业内域网。企业内域网是为企业内部运作服务的，自然有它安全保密的要求，当它与公网Internet连接时，就要采取措施，防止公网上未授权的无关人员进入，防止企业内部敏感资料的外泄。这些保障内域网安全的硬件、软件措施，通常称为防火墙(Firewall)。防火墙常常是一个介乎内域网和因特网其他部分之间的安全服务器。 (3)Extranet(外连网)一般译为企业外域网，它是一种合作性网络。一个企业除利用因特网的技术和标准或直接在因特网上构建企业内域网，满足企业内部运作之外，还经常需要与某些业务关系较密切的本企业集团以外的单位通过网络进行联系，为达成某一共同目标而共享某些资源。 明文：原始的，未被伪装的消息称做明文，也称信源。通常用M表示。 密文：通过一个密钥和加密算法将明文变换成一种伪信息，称为密文。通常用C表示。 加密：就是用基于数学算法的程序和加密的密钥对信息进行编码，生成别人难以理解的符号，即把明文变成密文的过程。通常用E表示。 解密：由密文恢复成明文的过程，称为解密。通常用D表示。 加密算法：对明文进行加密所采用的一组规则，即加密程序的逻辑称做加密算法。

电子商务安全导论知识点整理

第一章电子商务安全基础 商务：是经济领域特别是市场经济环境下的一种社会活动，它涉及货品、服务、金融、知识信息等的交易。 电子商务：是建立在电子技术基础上的商业运作，是利用电子技术加强、加快、扩展、增强、改变了其有关过程的商务。 电子商务主客体关系分为： 1、B2B企业、机构之间 2、B2C企业与消费者之间 3、C2C个人用户之间 4、B2G企业政府之间。 电子商务的技术要素组成： 1、网络 2、应用软件 3、硬件。 电子商务的常见模式： 1、大字报或告示牌模式 2、在线黄页簿模式 3、电脑空间上的小册子模式 4、虚拟百货店模式 5、预定或订购模式 6、广告推销模式。 因特网的优劣势： 1、优势：广袤覆盖及开放结构，由于它是开放结构，许多企业及用户可以按统一的技术标准和较合理的费用连接上网，使网上的主机服务器和终端用户以滚雪球的速度增加，也使其覆盖率增长至几乎无限 2、劣势：因特网的管理松散，网上容难以控制，私密性难以保障，从电子商务等应用看，安全性差也是因特网的又一大缺点。 域网（Intranet）：是由某一企业或机构利用因特网的技术，即因特网的标准和协议等，建立起来的该企业专用的计算机网络。 防火墙：是一个介乎域网和因特网其他部分之间的安全服务器。 外域网（Extranet）：用域网同样的办法建立的一个连接相关企业、单位、机构的专用网络。 EDI的信息传输方式：存储-转发。 电子商务的驱动力：1、信息产品硬件制造商2、信息产品软件厂商3、大型网上服务厂商4、银行及金融机构5、大企业6、政府。 电子商务的安全隐患： 1、数据的安全 2、交易的安全。 电子商务系统可能遭受的攻击： 1、系统穿透 2、违反授权原则 3、植入 4、通信监视 5、通信窜扰 6、中断 7、拒绝服务 8、否认 9、病毒。电子商务安全的中心容： 1、商务数据的性 2、完整性 3、商务对象的认证性 4、商务服务的不可否认性 5、商务服务的不可拒绝性 6、访问的控制性等。 产生电子商务安全威胁的原因： 1、internet在安全方面的缺陷 2、Internet的安全漏洞 3、TCP/IP协议极其不安全性 4、E-mail，Telnet及网页的不安全性。

2006年1月电子商务安全导论试题

2006年1月 一、单项选择题（本大题共20小题，每小题1分，共20分） 1．保证商业服务不可否认的手段主要是( ) A．数字水印B．数据加密 C．身份认证D．数字签名 2．DES加密算法所采用的密钥的有效长度为( ) A．32 B．56 C．64 D．128 3．在防火墙技术中，我们所说的外网通常指的是( ) A．受信网络B．非受信网络 C．防火墙内的网络D．局域网 4．《电子计算机房设计规范》的国家标准代码是( ) A．GB50174—93 B．GB50174—88 C．GB57169—93 D．GB57169—88 5．通行字也称为( ) A．用户名B．用户口令 C．密钥D．公钥 6．不涉及 ．．．PKI技术应用的是( ) A．VPN B．安全E-mail C．Web安全D．视频压缩 7．多级安全策略属于( ) A．最小权益策略B．最大权益策略 C．接入控制策略D．数据加密策略 8．商户业务根据其使用的证书以及在网上交易是否遵循SETCo标准分为( ) A．SET标准商户业务规则与SSL标准商户业务规则 B．SET标准商户业务规则与Non-SSL标准商户业务规则 C．SET标准商户业务规则与Non-SET标准商户业务规则 D．Non-SET标准商户业务规则与SSL标准商户业务规则 9．SHECA指的是( ) A．上海市电子商务安全证书管理中心 B．深圳市电子商务安全证书管理中心 C．上海市电子商务中心 D．深圳市电子商务中心 10．以下哪一项是密钥托管技术?( ) A．EES B．SKIPJACK C．Diffie-Hellman D．RSA 11．公钥体制用于大规模电子商务安全的基本要素是( ) A．哈希算法B．公钥证书 C．非对称加密算法D．对称加密算法 1

2019年10月全国自考电子商务安全导论试题

2019年10月全国自考电子商务安全导论试题 一、单项选择题: 1.美国的橘皮书中为计算机安全的不同级别制定了4个标准:A、B、C、D级,其中B级又分为B1、B2、B3三个子级,C级又分为C1、C2两个子级。以下按照安全等级由低到高排列正确的是 A.A、B1、B2、B3、C1、C2、D B.A、B3、B2、B1、C2、C1、D C.D、C1、C2、B1、B2、B3、A D.D、C2、C1、B3、B2、B1、A 2.以下不属于电子商务遭受的攻击是 A.病毒 B.植入 C.加密

D.中断 3.第一个既能用于数据加密、又能用于数字签名的算法是 A. DES B.EES C.IDEA D. RSA 4.下列属于单钥密码体制算法的是 A.RC-5加密算法 B.rs密码算法 C. ELGamal密码体制 D.椭圆曲线密码体制

5.MD5散列算法的分组长度是 A.16比特 B.64比特 C.128比特 D.512比特 6.充分发挥了DES和RSA两种加密体制的优点,妥善解决了密钥传送过程中的安全问题的技术是 A.数字签名 B.数字指纹 C.数字信封 D.数字时间戳 7.《电气装置安装工程、接地装置施工及验收规范》的国家标准代码

是 A.GB50174-93 B.GB9361-88 C.GB2887-89 D.GB50169-92 8.按照《建筑与建筑群综合布线系统工程设计规范》(CECS72:97)的要求,设备间室温应保持的温度范围是 A.0℃-10℃ B.10℃-25℃ C.0℃-25℃ D.25℃-50℃ 9.内网是指

A.受信网络 B.非受信网络 C.防火墙外的网络 D.互联网 10.检查所有进出防火墙的包标头内容的控制方式是 A.包过滤型 B.包检验型 C.应用层网关型 D.代理型 11.对数据库的加密方法通常有多种,以下软件中,属于使用专用加密软件加密数据库数据的软件是 A. Microsoft Access B. Microsoft Excel

电子商务安全导论-结课论文.

电子商务安全问题初探 随着电子信息技术的迅速普及和广泛应用，电子商务以其快捷、便利等优点越来越受到社会的认可。电子商务的发展前景十分诱人，但商业信息的安全依然是电子商务的首要问题。本文从实现电子商务安全性的基本框架出发，对电子商务中的各种安全技术进行了分析，以探讨一种有效、安全的实现电子商务的途径。 一、电子商务的安全问题 电子商务安全问题主要有： 1?信息的截获和窃取：如果采用加密措施不够，攻击者通过互联网、公共电话网在电磁波辐射范围内安装截获装置或在数据包通过网关和路由器上截获数据，获取 机密信息或通过对信息流量、流向、通信频度和长度分析，推测出有用信息。 2.信息的篡改:当攻击者熟悉网络信息格式后，通过技术手段对网络传输信息中途修改并发往目的地，破坏信息完整性。 3.信息假冒：当攻击者掌握网络信息数据规律或解密商务信息后，假冒合法用户或发送假冒信息欺骗其他用户。 4.交易抵赖:交易抵赖包括多方面，如发信者事后否认曾发送信息、收信者事后否认曾收到消息、购买者做了定货单不承认等。 二、电子商务的安全性要求 要使电子商务健康、顺利发展，必须解决好以下六种关键的安全性要求： (1可靠性要求：可靠性要求是指为了防止计算机的软件错误、硬件故障、网络中断、计算机病毒和自然灾害等突发事件，采取的一系列控制和预防措施来防止数据信息资源部受破坏的可靠程度。

(2保密性要求：信息的存取时在安全的环境中进行，不能被非法窃取、泄露；信息的发送和接收是在安全的网络中进行，交易双方在信息交换过程中没有被窃听的危险，非参与方不能获取交易的信息，保证交易双方的信息安全。 (3完整性要求：完整性是指数据在发送、接收和传递过程中，要求保证数据的一致性，防止非法用户对数据的随意生成、修改和删除，同时还要保证数据传递次序的统一。信息的完整性是从事电子商务交易双方的经营基础。 (4真实性要求：从事电子商务的交易双方的身份不能被假冒或伪装，能够有效鉴别、确定交易双份的真实身份。能否方便而有可靠地确认交易双方身份的真实性，是顺利进行电子商务交易的前提。 (5不可抵赖性要求:在电子商务环境下，通过手写签名和个人印章进行交易双方的鉴别已是不可能的了，必须在交易信息的传递过程中参与交易的个人、企业、商家或其他部门提供可靠的标识，有第三方提供有效的数字化过程记录，使交易各方不能事后抵赖。 (6有效性要求：在网络交易中，交易双方的信息交流(如双方的购销合同、签名、时间等都是以数字化的形式出现的，数字化的文件取代了原有的纸张，那么保证这种数字信息的有效性并为交易双方共同认可，就显得格外重要。一旦签订交易合同后，这项交易就受到法律保护，并防止被篡改或伪造。 三、电子商务信息安全技术 1.防火墙技术。防火墙在网络间建立安全屏障，根据指定策略对数据过滤、分析和审计，并对各种攻击提供防范。安全策略有两条：一是凡是未被准许就是禁止”。防火墙先封闭所有信息流，再审查要求通过信息，符合条件就通过；二是凡是未被禁止就是允许”。防火墙先转发所有信息，然后逐项剔除有害内容。 防火墙技术主要有：(1包过滤技术：在网络层根据系统设定的安全策略决定是否让数据包通过，核心是安全策略即过滤算法设计。(2代理服务技术:提供应用层服务控制，起

电子商务安全导论实践试题及答案

电子商务安全导论实践试题及答案 1.简单的加密算法的代码编写（凯撒密码） 2.电子商务安全认证证书的网上申请以及使用说明 3.你使用的机器上本地安全设置中的密码策略如何 4.说明你所使用的机器上的公钥策略基本情况 5.本机IP安全策略中的安全服务器（要求安全设置）属性以及基本情况 6.本机IP安全策略中的客户端（只响应）属性的基本情况 7.本机IP安全策略中的服务器（请求安全设置）属性和基本情况如何（编辑规则常规高级方法） 8.说明智能卡是是如何进行用户鉴别的 9.本机上证书的使用情况 10.上网查询江苏省电子商务安全证书的基本情况 11.说明木马在win.ini条件下的症状如何 12.举例说明你所使用的个人防火墙的功能项目以及使用方法 13.介绍一种你所熟悉的黑客攻击技术 14.你的手头没有什么专用安全软件工具如何手动检查系统出现的安全问题 15.查阅有关资料分析极速波I-WORM/ZOBOT 的技术方法 解答 《一》简单的加密算法的代码编写（凯撒密码） 凯撒密文的破解编程实现 凯撒密文的破解编程实现 近来安全的发展，对密码学的研究越来越重要，虽然我们现在大多采用的是 非对称密码体制，但是同时由于处理及其它的一些重要原因，对传统密码仍然 是在大量的使用，如移位，替代的基本思想仍然没有改变，我个人认为，将来 的很长时间内，我们必将会花大量的时间对密码学进行研究，从而才能促进我

们的电子政务，电子商务的健康发展，下面我要谈的是对一个古典密码----- 凯撒（kaiser)密码的的解密，也就是找出它的加密密钥，从而进行解密，由于 它是一种对称密码体制，加解密的密钥是一样的，下边简单说明一下加解密 加密过程： 密文：C=M+K (mod 26) 解密过程： 明文：M=C-K (mod 26) 详细过程请参考相关资料 破解时主要利用了概率统计的特性，E字母出现的概率最大。 加密的程序实现我就不说了， 下面重点说一下解密的程序实现：我是用C写的，在VC6.0下调试运行正确 #include"stdio.h" #include"ctype.h" #include"stdlib.h" main(int argc ,char *argv[]) { FILE *fp_ciper,*fp_plain; //密文与明文的文件指针 char ch_ciper,ch_plain; int i,temp=0; //i用来存最多次数的下标 //temp用在求最多次数时用 int key; //密钥 int j; int num[26]; //保存密文中字母出现次数 for(i = 0;i < 26; i++) num = 0; //进行对num[]数组的初始化 printf("======================================================\n"); printf("------------------BY 安美洪design--------------------\n"); printf("======================================================\n"); if(argc!=3) { printf("此为KAISER解密用法：[文件名] [密文路径] [明文路径]\n"); printf("如：decryption F:\ciper_2_1.txt F:\plain.txt\n"); } //判断程序输入参数是否正确

00997电子商务安全导论试题

绝密★考试结束前 全国2013年10月高等教育自学考试 电子商务安全导论试题 课程代码：00997 请考生按规定用笔将所有试题的答案涂、写在答题纸上。 选择题部分 注意事项： 1．答题前，考生务必将自己的考试课程名称、姓名、准考证号用黑色字迹的签字笔或钢笔填写在答题纸规定的位置上。 2．每小题选出答案后，用2B铅笔把答题纸上对应题目的答案标号涂黑。如需改动，用橡皮擦干净后，再选涂其他答案标号。不能答在试题卷上。 一、单项选择题（本大题共20小题，每小题1分，共20分） 在每小题列出的四个备选项中只有一个是符合题目要求的，请将其选出并将“答题纸” 的相应代码涂黑。错涂、多涂或未涂均无分。 1．病毒按破坏性划分可以分为 A．良性病毒和恶性病毒B．引导型病毒和复合型病毒 C．文件型病毒和引导型病毒D．复合型病毒和文件病毒 2．在进行身份证明时，用个人特征识别的方法是 A．指纹B．密码 C．身份证D．密钥 3．下列选项中，属于电子邮件的安全问题的是 A．传输到错误地址B．传输错误 C．传输丢失D．网上传送时随时可能被人窃取到 4．RC-5加密算法中的可变参数不包括 ．．． A．校验位B．分组长 C．密钥长D．迭代轮数 5．一个明文可能有多个数字签名的算法是 00997# 电子商务安全导论试题第1页共5页

A．RSA B．DES C．Rabin D．ELGamal 6．数字信封技术中，加密消息密钥形成信封的加密方法是 A．对称加密B．非对称加密 C．对称加密和非对称加密D．对称加密或非对称加密 7．防火墙的组成中不包括 ．．．的是 A．安全操作系统B．域名服务 C．网络管理员D．网关 8．下列选项中，属于加密桥技术的优点的是 A．加密桥与DBMS是不可分离的B．加密桥与DBMS是分离的 C．加密桥与一般数据文件是不可分离的D．加密桥与数据库无关 9．在不可否认业务中保护收信人的是 A．源的不可否认性B．提交的不可否认性 C．递送的不可否认性D．A和B 10．为了在因特网上有一种统一的SSL标准版本，IETF标准化的传输层协议是 A．SSL B．TLS C．SET D．PKI 11．能够全面支持电子商务安全支付业务的第三方网上专业信任服务机构是 A．CFCA B．CTCA C．SHECA D．PKI 12．下列选项中，属于中国电信CA安全认证系统结构的是 A．地市级CA中心B．地市级RA中心系统 C．省CA中心D．省RA中心系统 13．美国的橘黄皮书中为计算机安全的不同级别制定了D，Cl，C2，Bl，B2，B3，A标准，其中称为结构化防护的级别是 A．B1级B．Cl级 C．B2级D．C2级 14．下列选项中，属于提高数据完整性的预防性措施的是 A．加权平均B．信息认证 C．身份认证D．奇偶校验 00997# 电子商务安全导论试题第2页共5页

2010年1月自学考试电子商务安全导论试题

全国2010年1月高等教育自学考试 电子商务安全导论试题 课程代码：00997 一、单项选择题（本大题共20小题，每小题1分，共20分） 在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填写在题后的括号内。错选、多选或未选均无分。 l.美国的橘皮书中计算机安全B级的子级中，从高到低依次是（） A.Bl B2 B.B2 B1 C.B1 B2 B3 D.B3 B2 B1 2.现在常用的密钥托管算法是（） A.DES算法 B.EES算法 C.RAS算法 D.SHA算法 3.SHA算法输出的哈希值长度为（） A.96比特 B.128比特 C.160比特 D.192比特 4.使用数字摘要和数字签名技术不．能．解决的电子商务安全问题是（） A.机密性 B.完整性 C.认证性 D.不可否认性 5.在服务器中经常使用偶数块硬盘，通过磁盘镜像技术来提升系统的安全性，这种磁盘冗余技术称为（） A.RAID 0 B.RAID 1 C.RAID 3 D.RAID 5 6.防火墙技术中处理效率最低的是（） A.包过滤型 B.包检验型 C.应用层网关型 D.状态检测型 7.目前，对数据库的加密方法主要有（） A.2种 B.3种 C.4种 D.5种 8.身份证明系统的质量指标中的II型错误率是（） A.通过率 B.拒绝率 C.漏报率 D.虚报率 9.在对公钥证书格式的定义中已被广泛接受的标准是（） A.X.500 B.X.502 C.X.509 D.X.600 10.使用者在更新自己的数字证书时不可以 ．．．采用的方式是（） A.电话申请 B.E-Mail申请 C.Web申请 D.当面申请 11.在PKI的构成模型中，其功能不包含 ．．．在PKI中的机构是（） A.CA B.ORA C.PAA D.PMA 12.用于客户——服务器之间相互认证的协议是（）

全国2010年10月自学考试电子商务安全导论试题及答案

做试题,没答案?上自考365,网校名师为你详细解答! 全国2010年10月自学考试电子商务安全导论试题及答案 课程代码：00997 一、单项选择题（本大题共20小题，每小题1分，共20分） 在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填写在题后的括号内。错选、多选或未选均无分。 1.计算机安全等级中，C2级称为（） A.酌情安全保护级 B.访问控制保护级 C.结构化保护级 D.验证保护级 2.在电子商务的发展过程中，零售业上网成为电子商务发展的热点，这一现象发生在 （）A.1996年 B.1997年 C.1998年 D.1999年 3.电子商务的安全需求中，保证电子商务系统数据传输、数据存储的正确性的根基是 （）A.可靠性 B.完整性 C.真实性 D.有效性 4.最早提出的公开的密钥交换协议是（） A.Blom B.Diffie-Hellman C.ELGamal D.Shipjack 5.ISO/IEC9796和ANSI X9.30-199X建议的数字签名的标准算法是（） A.HA V AL B.MD-4 C.MD-5 D.RSA 6.发送方使用一个随机产生的DES密钥加密消息，然后用接受方的公钥加密DES密钥，这种技术称为（） A.双重加密 B.数字信封 C.双联签名 D.混合加密 7.在以下主要的隧道协议中，属于第二层协议的是（） 1 全国2010年10月自学考试电子商务安全导论试题

全国2010年10月自学考试电子商务安全导论试题 2 A.GRE B.IGRP C.IPSec D.PPTP 8.使用专有软件加密数据库数据的是（ ） A.Access B.Domino C.Exchange D.Oracle 9.在下列选项中，不是．．每一种身份证明系统都必须要求的是（ ） A.不具可传递性 B.计算有效性 C.通信有效性 D.可证明安全性 10.Kerberos 的局限性中，通过采用基于公钥体制的安全认证方式可以解决的是（ ） A.时间同步 B.重放攻击 C.口令字猜测攻击 D.密钥的存储 11.在下列选项中，不属于．．．公钥证书的证书数据的是（ ） A.CA 的数字签名 B.CA 的签名算法 C.CA 的识别码 D.使用者的识别码 12.在公钥证书发行时规定了失效期，决定失效期的值的是（ ） A.用户根据应用逻辑 B.CA 根据安全策略 C.用户根据CA 服务器 D.CA 根据数据库服务器 13.在PKI 的性能要求中，电子商务通信的关键是（ ） A.支持多政策 B.支持多应用 C.互操作性 D.透明性 14.主要用于购买信息的交流，传递电子商贸信息的协议是（ ） A.SET B.SSL C.TLS D.HTTP 15.在下列计算机系统安全隐患中，属于电子商务系统所独有的是（ ） A.硬件的安全 B.软件的安全 C.数据的安全 D.交易的安全 16.第一个既能用于数据加密、又能用于数字签名的算法是（ ） A.DES B.EES C.IDEA D.RSA 17.在下列安全鉴别问题中，数字签名技术不能．．解决的是（ ）

2018年自考电子商务安全导论复习精讲要点

第一章电子商务安全基础 一、商务和电子商务的概念 1．电子商务的含义 【名词解释】电子商务：是建立在电子技术基础上的商业运作，是利用电子技术加强、加快、扩展、增强、改变了其有关过程的商务。 2．电子商务的技术要素 【多选】电子商务的技术要素组成包括：网络、应用软件和硬件。 3．电子商务的模式 (1)大字报／告示牌模式。 (2)在线黄页簿模式。 (3)电脑空间上的小册子模式。 (4)虚拟百货店模式。 (5)预订／订购模式。 (6)广告推销模式。 4．Internet(因特网)、Intranet(内连网)和Extranet(外连网)的特点(1)Internet(因特网)因特网的最大优势，是它的广袤覆盖及开放结构。 由于它是开放结构，许多企业及用户可以按统一的技术标准和较合理的费用连接上网，使网上的主机服务器和终端用户以滚雪球的速度增加，也使其覆盖增长至几乎无限。但它的优点也是它的缺点。因特网的管理松散，网上内容难以控制，私密性难以保障。从电子商务等应用看，安全性差是因特网的又一大缺点，这已成为企业及用户上网交易的重要顾虑。 (2)Intranet(内连网)Intranet(内连网)本书中选译为企业内域网。 企业内域网是为企业内部运作服务的，自然有它安全保密的要求，当它与公网Internet连接时，就要采取措施，防止公网上未授权的无关人员进入，防止企业内部敏感资料的外泄。这些保障内域网安全的硬件、软件措施，通常称为防火墙(Firewall)。防火墙常常是一个介乎内域网和因特网其他部分之间的安全服务器。 (3)Extranet(外连网)一般译为企业外域网，它是一种合作性网络。一个企业除利用因特网的技术和标准或直接在因特网上构建企业内域网，满足企业内部运作之外，还经常需要与某些业务关系较密切的本企业集团以外的单位通过网络进行联系，为达成某一共同目标而共享某些资源。 5．电子商务的发展历史 【单选】有人把现代电子商务的发展分成如下几个阶段，从中也可看出电子商务发展的轨迹、条件和基础： (1)1995年：网络基础设施大量兴建。 (2)1996年：应用软件及服务成为热点。 (3)1997年：网址及内容管理的建设发展，有关企业、业务的调整、重组及融合，所谓“人口门 户”(Portal)公司的出现。 (4)1998年：网上零售业及其他交易蓬勃发展。 二、电子商务安全基础

10月电子商务安全导论全国自考试题及答案解析

全国2018年10月高等教育自学考试 电子商务安全导论试题 课程代码：00997 一、单项选择题(本大题共20小题，每小题1分，共20分) 在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填写在题后的括号内。错选、多选或未选均无分。 1.TCP/IP协议安全隐患不包括 ．．．( ) A.拒绝服务 B.顺序号预测攻击 C.TCP协议劫持入侵 D.设备的复杂性 2.IDEA密钥的长度为( ) A.56 B.64 C.124 D.128 3.在防火墙技术中，内网这一概念通常指的是( ) A.受信网络 B.非受信网络 C.防火墙内的网络 D.互联网 4.《计算机场、地、站安全要求》的国家标准代码是( ) A.GB57104-93 B.GB9361-88 C.GB50174-88 D.GB9361-93 5.在Kerberos中，Client向本Kerberos的认证域以内的Server申请服务的过程分为几个阶段? ( ) A.三个 B.四个 C.五个 D.六个 6.信息安全技术的核心是( ) A.PKI B.SET C.SSL D.ECC 7.Internet接入控制不能 ．．对付以下哪类入侵者? ( ) A.伪装者 B.违法者 C.内部用户 D.地下用户 8.CA不能 ．．提供以下哪种证书? ( ) A.个人数字证书 B.SSL服务器证书 1

C.安全电子邮件证书 D.SET服务器证书 9.我国电子商务走向成熟的重要里程碑是( ) A.CFCA B.CTCA C.SHECA D.RCA 10.通常为保证商务对象的认证性采用的手段是( ) A.信息加密和解密 B.信息隐匿 C.数字签名和身份认证技术 D.数字水印 11.关于Diffie-Hellman算法描述正确的是( ) A.它是一个安全的接入控制协议 B.它是一个安全的密钥分配协议 C.中间人看不到任何交换的信息 D.它是由第三方来保证安全的 12.以下哪一项不在 ．．证书数据的组成中? ( ) A.版本信息 B.有效使用期限 C.签名算法 D.版权信息 13.计算机病毒的特征之一是( ) A.非授权不可执行性 B.非授权可执行性 C.授权不可执行性 D.授权可执行性 14.在Kerberos中，Client向本Kerberos认证域外的Server申请服务包含几个步骤? ( ) A.6 B.7 C.8 D.9 15.属于PKI的功能是( ) A.PAA，PAB，CA B.PAA，PAB，DRA C.PAA，CA，ORA D.PAB，CA，ORA 16.MD-4散列算法中输入消息可以任意长度，但要进行分组，其分组的位数是( ) A.64 B.128 C.256 D.512 17.SHA的含义是( ) A.加密密钥 B.数字水印 C.安全散列算法 D.消息摘要 18.对身份证明系统的要求之一是( ) A.具有可传递性 B.具有可重用性 2

全国自考00997《电子商务安全导论》历年真题试题及答案 年份：201704

2017年4月高等教育自学考试全国统一命题考试 电子商务安全导论试卷 (课程代码00997) 本试卷共4页。满分l00分，考试时间l50分钟。 考生答题注意事项： 1．本卷所有试题必须在答题卡上作答。答在试卷上无效，试卷空白处和背面均可作草稿纸。 2．第一部分为选择题。必须对应试卷上的题号使用2B铅笔将“答题卡”的相应代码涂黑。 3．第二部分为非选择题。必须注明大、小题号，使用0．5毫米黑色字迹签字笔作答。 4．合理安排答题空间。超出答题区域无效。 第一部分选择题(共30分) 一、单项选择题(本大题共20小题，每小题l分，共20分) 在每小题列出的四个备选项中只有一个是符合题目要求的，请将其选出并将“答题卡” 的相应代码涂黑。错涂、多涂或未涂均无分。 1．下列选项中不属于Internet系统构件的是 A．客户端的局域网 B．服务器的局域网 C．Internet网络 D．VPN网络 2．零售商面向消费者的这种电子商务模式是 A．B．G B．B．C C．B．B D．C．C 3．早期提出的密钥交换体制是用一个素数的指数运算来进行直接密钥交换，这种体制通常称为 A．Kerberos协议 B．LEAF协议 C．skipjack协议 D.Diffie-Hellman协议 4．收发双方持有不同密钥的体制是 A．对称密钥 B．数字签名 C．公钥 D．完整性 5．关于散列函数的概念，下列阐述中正确的是 A．散列函数中给定长度不确定的输入串，很难计算出散列值 B．散列函数的算法是保密的 C．散列函数的算法是公开的 D．散列函数中给定散列函数值，能计算出输入串 6．SHA的含义是 A。安全散列算法 B．密钥 C．数字签名 D．消息摘要 7．下列选项中属于病毒防治技术规范的是 A．严禁归档 B．严禁运行合法授权程序 C．严禁玩电子游戏 D．严禁UPS 8．《电子计算机房设计规范》的国家标准代码是 A．GB50174-93 B．GB9361．88 C．GB2887．89 D．GB50169-92 9．下列选项中，属于防火墙所涉及的概念是

电子商务安全导论分析

电子商务安全导论 一、单项选择题 1．病毒按破坏性划分可以分为 (良性病毒和恶性病毒) 2．在进行身份证明时，用个人特征识别的方法是(指纹) 3．下列选项中，属于电子邮件的安全问题的是(传输到错误地址) 4．RC-5加密算法中的可变参数不包括 ．．．(校验位) 5．一个明文可能有多个数字签名的算法是(ELGamal ) 6．数字信封技术中加密消息密钥形成信封的加密方法是(对称加密和非对称加密) 7．防火墙的组成中不包括 ．．．的是(网络管理员) 8．下列选项中，属于加密桥技术的优点的是(加密桥与DBMS是分离的) 9．在不可否认业务中保护收信人的是(提交的不可否认性) 10．为了在因特网上有一种统一的SSL标准版本，IETF标准化的传输层协议是(TLS) 11．能够全面支持电子商务安全支付业务的第三方网上专业信任服务机构是(CFCA ) 12．下列选项中，属于中国电信CA安全认证系统结构的是(省RA中心系统) 13．美国的橘黄皮书中为计算机安全的不同级别制定了D，Cl，C2，Bl，B2，B3，A标准，其中称为结构化防护的级别是(Cl级) 14．下列选项中，属于提高数据完整性的预防性措施的是(奇偶校验) 15．一系列保护IP通信的规则的集合称为( IPSec ) 16．由系统管理员来分配接入权限和实施控制的接入控制方式是(DAC) 17．在Kerberos认证中，把对Client向本Kerberos的认证域以外的Server 申请服务称为(域间认证) 18．下列关于数字证书的说法中不正确 ．．．的是(在各种不同用途的数字证书类型中最重要的是私钥证书，它将公开密钥与特定的人联系起来) 19．认证机构最核心的组成部分是(数据库服务器) 20．PKI中支持的公证服务是指( 数据认证) 21.对身份证明系统的要求之一是(验证者正确识别示证者的概率极大化)

电子商务安全导论

第一章电子商务的概念 1．电子商务的含义 【名词解释】电子商务：是建立在电子技术基础上的商业运作，是利用电子技术加强、加快、扩展、增强、改变了其有关过程的商务。 【单选】第一代或传统的电子商务为：数据交换（EDI）采用的信息传输方式是“存储---转发” 2．电子商务的构成 表现形式：【多选】B-B,B-C,C-C,B-G 技术要素：【多选】电子商务的技术要素组成包括：网络、应用软件和硬件。 技术要素组成的核心：【单选】应用软件 3．电子商务的模式 (1)大字报／告示牌模式。 (2)在线黄页簿模式。 (3)电脑空间上的小册子模式。 (4)虚拟百货店模式。 (5)预订／订购模式。 (6)广告推销模式。 4．【简答】Internet(因特网)、Intranet(内连网)和Extranet(外连网)的特点(1)Internet(因特网)因特网的最大优势，是它的广袤覆盖及开放结构。 由于它是开放结构，许多企业及用户可以按统一的技术标准和较合理的费用连接上网，使网上的主机服务器和终端用户以滚雪球的速度增加，也使其覆盖增长至几乎无限。但它的优点也是它的缺点。因特网的管理松散，网上内容难以控制，私密性难以保障。从电子商务等应用看，安全性差是因特网的又一大缺点，这已成为企业及用户上网交易的重要顾虑。 (2)Intranet(内连网)Intranet(内连网)本书中选译为企业内域网。 企业内域网是为企业内部运作服务的，自然有它安全保密的要求，当它与公网Internet连接时，就要采取措施，防止公网上未授权的无关人员进入，防止企业内部敏感资料的外泄。这些保障内域网安全的硬件、软件措施，通常称为防火墙(Firewall)。防火墙常常是一个介乎内域网和因特网其他部分之间的安全服务器。 (3)Extranet(外连网)一般译为企业外域网，它是一种合作性网络。一个企业除利用因特网的技术和标准或直接在因特网上构建企业内域网，满足企业内部运作之外，还经常需要与某些业务关系较密切的本企业集团以外的单位通过网络进行联系，为达成某一共同目标而共享某些资源。 5．电子商务的发展历史（设备---软件---推销产品---与客户相联系） 【单选】有人把现代电子商务的发展分成如下几个阶段，从中也可看出电子商务发展的轨迹、条件和基础： (1)1995年：网络基础设施大量兴建。 (2)1996年：应用软件及服务成为热点。 (3)1997年：网址及内容管理的建设发展，有关企业、业务的调整、重组及融合，所谓“人口门户”(Portal)公司的出现。 (4)1998年：网上零售业及其他交易蓬勃发展。 二、电子商务安全基础 1．电子商务的安全隐患 (1)硬件系统计算机是现代电子科技发展的结晶，是一个极其精密的系统，它的每一个零件都是由成千上万个电子元件构成的。这一方面使计算机的功能变得十分强大，另一方面又使它极易受到损坏。 (2)软件系统软件是用户与计算机硬件联系的桥梁。任何一个软件都有它自身的弱点，而大多数安全问题都是围绕着系统的软件部分发生的，既包括系统软件也包括应用软件。 电子商务系统的安全问题不仅包括了计算机系统的隐患，还包括了一些自身独有的问题。 (1)数据的安全。 (2)交易的安全。【简答】为什么说交易的安全是电子商务系统所独有的？ 2．【简答】简述电子商务所遭受的攻击。 (1)系统穿透。 【单选】未经授权人通过一定手段假冒合法用户接入系统，对文件进行篡改、窃取机密信息、非法使用资源的攻击行为是：系统穿透 (2)违反授权原则。 【单选】攻击者通过猜测口令接入一个非特许用户账号，取得接入系统权，从而严重危急系统的安全的攻击行为是：违反授权原则。 (3)植入。 【单选】在系统中植入病毒、蛀虫、木马来破坏系统的攻击行为是：植入。 (4)通信监视。 【单选】在通信过程中从信道搭线接听的方式称为：通信监视。 (5)通信窜扰。 【单选】攻击者对通信数据或通信过程进行干预，对完整性进行攻击，篡改系统中的数据内容，注入伪造信息的攻击行为：通信窜扰。 (6)中断。 【单选】破坏系统中的硬件、硬盘、线路、文件系统的攻击方式：中断。 (7)拒绝服务。 【单选】一个业务口被滥用而使其他用户不能正常接入的攻击行为：拒绝服务。 (8)否认。 【单选】一个实体进行某种通信或交易伙同，稍后否认曾进行过这一活动。 (9)病毒。 【单选】曾一度给我国造成巨大损失的病毒：CIH病毒。 3．电子商务安全的六性 多选，简答。名词解释 (1)商务数据的机密性。 【单选】信息在网络上传送或存储的过程不被他人窃取、不被泄露或披露给未经授权的人或组织，或经过加密伪装后，使未经授权者无法了解其内容。是商务数据的机密性。 【多选】保证数据机密性的手段：加密和信息隐匿技术。 (2)商务数据的完整性。

2019年4月全国自考《电子商务安全导论》考前试题和答案00997

全国自考《电子商务安全导论》考前试题和答案00997 一、单项选择题（本大题共20小题，每小题1分，共20分）在每小题列出的四个备选项中只有一个是符合题目要求的，请将其代码填写在题后的括号内。错选、多选或未选均无分。 第1题（）是加密和解密使用相同或实质上等同的加密体制。 A. 单钥密码体制 B. 公钥密码体制 C. 双钥密码体制 D. 不对称密码体制 【正确答案】 A 【你的答案】 本题分数1分 第2题下列选项中不属于实现身份证明的基本途径的是（） A. 所知 B. 所有 C. 个人特征 D. 属性 【正确答案】 D 【你的答案】 本题分数1分 第3题（）是Internet电子商务网络上的一个站点，负责接收来自商店服务器送来的SET付款数据，并转换成银行网络的格式，传送给收单银行处理。 A. 支付网关 B. 转换中心 C. CA中心 D. 服务中心 【正确答案】 A 【你的答案】 本题分数1分 第4题下列选项中（）不是散列函数的名字。 A. 压缩函数 B. 数字签名

C. 消息摘要 D. 数字指纹 【正确答案】 B 【你的答案】 本题分数1分 第5题 CA需要对注册者进行（），确保公钥的持有者身份和公钥数据的完整性。 A. 主体认证 B. 身份认证 C. 身份注册 D. 身份说明 【正确答案】 A 【你的答案】 本题分数1分 第6题计算机病毒最重要的特征是（） A. 传染性 B. 潜伏性 C. 可触发性 D. 破坏性 【正确答案】 A 【你的答案】 本题分数1分 第7题 Client向本Kerberos的认证域以内的Server申请服务的过程分为（） A. 4个阶段，共8个步骤 B. 3个阶段，共6个步骤 C. 3个阶段，共8个步骤 D. 4个阶段，共6个步骤 【正确答案】 B 【你的答案】 本题分数1分 第8题 Client 向本Kerberos的认证域以外的Server申请服务的过程分为（）A. 4个阶段，共6个步骤