39.列举计算机病毒的主要来源。
40.密钥对生成的途径有哪些？
41.基于SET协议的电子商务系统的业务过程有哪几步？
六、论述题（本大题共1小题，15分） 42.试述组建VPN应该遵循的设计原则。
2011年1月
四、名词解释(本大题共5小题，每小题3分，共15分) 31.多字母加密
答：多字母加密是使用密钥进行加密。密钥是一组信息（一串字符）。同一个明文经过不同的密钥加密后，其密文也会不同。 32.复合型病毒
答：复合型病毒是指具有引导型病毒和文件型病毒寄生方式的计算机病毒。 33.Intranet VPN
答：即企业的总部与分支机构间通过公网构筑的虚拟网。 34.接入控制
答：接入或访问控制是保证网络安全的重要手段，它通过一组机制控制不同级别的主体对目标资源的不同授权访问，在对主体认证之后实施网络资源安全管理使用。 35.证书政策
答：证书政策是一组规则；指出一个证书对一组特定用户或应用的可适用性，表明它对于一个特定的应用和目的是否是可用的，它构成了交叉验证的基础。 五、简答题(本大题共6小题，每小题5分，共30分) 36.电子商务的真实性的含义是什么？
答：真实性是指商务活动中交易者身份的真实性，亦即是交易双方确实是存在的，不是假冒的。网上交易的双方相隔很远，互不了解，要使交易成功，必须互相信任，确认对方是真实的，对商家要考虑客户是不是骗子，发货后会不会收不回货款；对客户要考虑商家是不是黑店，付款后会不会收不到货，或者收到货后质量是否能有保证。因此，能否方便而又可靠地确认交易双方身份的真实性，是顺利进行电子商务交易的前提。
37.数字签名的作用是什么？ 答：一、数字签名可以证明：
1、如果他人可以用公钥正确地解开数字签名，则表示数字签名的确是由签名者产生的。 2、如果消息M是用散列函数H得到的消息摘要H(M)，和消息的接收方从接收到 的消息M’计算出散列值H(M’)，这两种信息摘要相同表示文件具有完整性。 二、数字签名机制提供了一种数字鉴别方法，普遍用于银行、电子商务、电子办公等。 三、数字签名可以解决下述安全鉴别问题：
1、接收方伪造：接收方伪造一份文件，并声称这是发送方发送的；
2、发送者或接收者否认：发送者或接收者事后不承认自己曾经发送或接收过文件； 3、第三方冒充：网上的第三方用户冒充发送或接收文件； 4、接收方篡改：接收方对收到的文件进行改动。 38.防火墙与VPN之间的本质区别是什么？
答：防火墙与VPN之间的本质区别是：堵／通；或防范别人／保护自己。
（1）防火墙的主要作用是防止发生网络安全事件引起的损害，使入侵更难实现，来防止非法用户，比如防止黑客、网络破坏者等进入内部网络。。
（2）虚拟专用网VPN（Virtual Private Network）通常被定义为通过一个公共网络(通常是Intemet)建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道，它是对企业内部网的扩展。 39.简述身份证明系统普遍应该达到的要求。 答：（1）验证者正确识别合法示证者的概率极大化。
（2）不具可传递性，验证者B不可能重用示证者A提供给他的信息，伪装示证者A成功地骗取其他人的验证，得到信任。
（3）攻击者伪装示证者欺骗验证者成功的概率小到可以忽略，特别是耍能抗已知密文攻击，即攻击者在截获到示证者和验证者多次（多次式表示）通信下，伪装示证者欺骗验证者。
（4）计算有效性，为实现身份证明所需的计算量要小。 （5）通信有效性，为实现身份证明所需通信次数和数据量要小。 （6）秘密参数安全存储。
（7）交互识别，有些应用中要求双方互相进行身份认证。 （8）第三方的实时参与，如在线公钥检索服务。 （9）第三方的可信赖性。 （10）可证明安全性。
后4条是某些身份识别系统提出的要求。 40.简述认证机构的证书吊销功能。
答：证书是网上交易各方在交易进行前对各自身份进行确认的一种手段。当证书持有者违反证书使用政策、证书丢失或受到攻击、证书过期或服务提供者停止服务等情况下，应吊销其证书并予以公布。吊销有主动申请吊销和被动强制性吊销两种形式。 （1）证书持有者申请吊销
当证书持有者认为不再用此证书参与网上事务，主动上网申请吊销或亲自到认证机构 吊销此证书。证书持有者通过WWW或E- Mail的方式通过网络申请吊销。证书吊销后， 认证机构必须更新证书吊销表，将吊销证书放人证书吊销表，并在网上及时公布。以证机 构以正式的信函或E - Mail通知证书持有者此证书已作废。 （2）认证机构强制吊销证书
这是一种强制性的吊销方式。认证机构吊销证书持有者的证书，将其放人证书吊销 表，并在网上予以公布。
当认证机构认为证书持有者的证书过期或违反证书使用政策时，主动吊销证书持有者 的证书 证书吊销后，认证机构更新证书吊销表，并在网上及时公布。认证机构以正式信 函或E - Mail通知证书持有者该证书已作废。 41.简述数字证书中公钥—私钥对应满足的要求。
答：RSA的公钥一私钥对既可用于加密，又可用于签名，但实际上公钥一私钥对的功能 是不一样的。因此在要求上要考虑不一致的情况：
（1）需要采用两个不同的密钥对分别作为加密一解密和数字签名一验证签名用。
（2）一般公钥体制的加密用密钥的长度要比签名用的密钥短，有的国家对出口加密用算法的密钥的长度有限制，而对签名用密钥无限制。
（3）由于实际商务的需要或其他原因，需要用不同的密钥和证书（如有多个信用卡一样），例如一般消息加密用的密钥比较短，加密时间可快一些；而对短消息（如单钥密码体制的加密密码）加密用的密钥可以长一些，有利于防止攻击。
（4）密钥对的使用期限不同：加密密钥使用频度比签名用密钥的使用频度大得多，因此更换周期要短。 （5）并非所有公钥算法都具有RSA的特点，例如DSA算法可以用做签名，但无须建立密钥。未来系统要能支持多种算法，因而应支持采用不同签名密钥对和不同密钥的建立。
（6）加密算法可能支持密钥托管和密钥恢复，以及可能的法律监听。但数字签名的密钥则不允许泄露给他人，其中也包括法律机构。
六、论述题(本大题共1小题，15分)
42.试述在网上书店遵循SET协议进行购物的动态认证过程。
双方都获得数字证书后就开始购书。以持卡人A到网上书店B购买书X为例说明SET的运作过程。 （1）持卡人订货：A进入购物网站B高店里面选择了货物X，填写了在线商店名称、 购买物品名称及订购数量、送货地址和日期时间等订单信息。
（2）通过电子商务服务器与有关在线商店联系，在线商店做出应答，告诉消费者所 填写的订货单的货物单价、应付款数、交货方式等信息是否准确，是否有变化。
（3）持卡人选择付款方式，确认订单，签发付款指令，此时SET介入；这时“电子 钱包”软件自动打开；在SET中，消费者必须对订单和付款指令进行数字签名，同时利 用双重签名技术以保证商家看不到消费者的账号信息；并将信用卡信息以及订单信息分别 加密传送给商店B。
（4）商店B通过收单银行检查信用卡的有效性：商店B接收到加密后的订单与信用 卡数据后，将信用卡数据原封不动地通过支付网关传送给收单银行，再到电子货币发行公 司确认，请其检查信用卡的有效性。注意：当商店B虽然收到信用卡信息，但是无法解 密时，也就看不到信用卡信息。
（5）收单银行的确认：收单银行向发卡银行确认信用卡数据无误后，发出信息通知 商店，商店就可以安全地接下这笔订单了。
（6）在线商店发送订单确认信息给持卡人，持卡人端的软件可以记录交易日志，以 备将来查询。
（7）结账。A会接到发卡银行的信用卡账单，而商店发送货物成提供服务给持卡人， 并通知收单银行将钱从持卡人的账号转移到商店账号，或通知发卡银行请求支付。
2011年10月
四、名词解释（本大题共5小题，每小题3分，共15分） 31．Extranet
32．容错技术
33．Extranet VPN
34．拒绝率
35．多公钥证书系统
五、简答题（本大题共6小题，每小题5分，共30分） 36．简述双重DES加密算法的步骤。
37．简述防火墙设计必须遵循的基本原则。
38．密钥对生成的两种途径是什么？
39．简述证书政策的作用和意义。
40．如果要安全地进行网上购物，怎样认准“SET”商业网站？
41．简述SSL协议的概念及其提供的安全内容。
六、论述题（本大题共1小题，15分）
42．从混合加密系统的实施过程分析来看，如何实现电子商务的保密性、完整性、可鉴别性和不可否认性？
电子商务安全导论历年真题名词解释、解答题、论述题及答案汇总 - 图文
