电子商务安全与管理思考题.docx
- 文档编号:28843604
- 上传时间:2023-07-20
- 格式:DOCX
- 页数:17
- 大小:89.73KB
电子商务安全与管理思考题.docx
《电子商务安全与管理思考题.docx》由会员分享,可在线阅读,更多相关《电子商务安全与管理思考题.docx(17页珍藏版)》请在冰豆网上搜索。
电子商务安全与管理思考题
电子商务安全与管理思考题
电子商务安全与管理思考题第一章
1、电子商务的安全设计哪些问题?
(1)信息的安全问题。
主要包括:
①冒名顶替②篡改数据③信息丢失④信息传递出问题
(2)信用的安全问题。
包括:
①来自买方的信用安全问题②来自卖方的信用安全问题③买卖双方都存在抵赖的情况
(3)安全的管理问题
(4)安全的法律保障问题
2、什么是实体安全?
具体由哪些部分组成?
所谓实体安全,是指保护计算机设备、设施(含网络)以及其他媒体免遭地震、水灾、火灾、有害气体和其他环境事故(如电磁污染等)破坏的措施、过程。
由以下三方面组成:
(1)环境安全
(2)设备安全(3)媒体安全
3、什么是媒体数据安全?
媒体数据安全涉及哪些安全功能?
媒体数据的安全主要是提供对媒体数据的保护,实施对媒体数据的安全删除和媒体的安全销毁,目的是为了防止被删除或者被销毁的敏感数据被他人恢复,主要涉及三个方面的功能
(1)媒体数据的防盗,如防止媒体数据被非法拷贝。
(2)媒体数据的销毁,包括媒体的物理销毁(如媒体粉碎等)和媒体数据的彻底销毁(如消磁等),防止媒体数据删除或销毁后被他人恢复而泄露信息。
(3)媒体数据的防毁,防止意外或故意的破坏而使媒体数据丢失。
4、什么是运行安全?
具体由哪几部分组成?
运行安全是指为保障系统功能的安全实现,提供一套安全措施来保护信息处理过程的安全。
由以下四方面组成:
(1)风险分析
(2)审计跟踪(3)备份与恢复(4)应急
5、什么是风险分析?
风险分析涉及哪些安全功能?
风险分析就是要对电子商务安全系统进行人工或自动的风险分析。
风险分析主要涉及四个方面的安全功能:
(1)系统设计前的风险分析
(2)系统试运行前的风险分析
(3)系统运行期的风险分析(4)系统运行后的风险分析
6、什么是信息安全?
具体包括哪些安全内容?
所谓信息安全,是指防止信息财产被故意地或偶然地非授权泄露、更改、破坏或使信息被非法的系统辨识、控制,即信息安全要确保信息的完整性、保密性、可用性和可控性。
信息安全具体由下面七个部分组成:
(1)操作系统安全
(2)数据库安全(3)网络安全(4)病毒防护安全(5)访问控制安全(6)加密(7)鉴别
7、什么是身份鉴别?
什么是信息鉴别?
所谓身份鉴别,是提供对用户的身份鉴别,主要用于阻止非授权用户对系统资源的访问。
身份鉴别是提供对信息收发方(包括用户、设备和进程)真实身份的鉴别。
信息鉴别则是提供对信息的正确性、完整性和不可否认性的鉴别。
8、电子商务的安全应当从哪几个方面来综合考虑?
电子商务的安全需要依靠三个方面的支持:
一、信息技术方面的措施,如防火墙、网络防毒、信息加密、身份认证、授权等,但只有技术措施并不能保证百分之百的安全;二是信息安全管理制
度的保障;三是社会的法律政策与法律保障。
只有三管齐下,才能最终保证电子商务的安全。
第二章:
1、信息安全的五种服务是什么?
各需要采用什么安全技术来实现?
机密性;信息完整性;对信息的验证;信息的不可否认性;对信息的访问控制。
加密;数字摘要;数字签名,提问—应答,口令,生物测定法;数字签名,数字证书,时间戳;防火墙,口令,生物测定法。
2、什么是对称加密?
对称加密是如何进行的?
对称加密又叫秘密密钥加密,其特点是数据的发送方和接收方使用的是同一把密钥,即把明文加密成密文和把密文解密成明文用的同一把钥钥。
利用秘密密钥进行加密的过程是:
(1)自己的秘密密钥对要发送的信息进行加密。
(2)发送方将加密后的信息通过网络传送给接收方。
(3)接收方用发送方进行加密的那把秘密密钥
对接到的加密信息进行解密,得到信息明文。
3、什么是信息验证码?
其使用过程是怎样的?
信息验证码也称为完整性校验值或信息完整校验。
MAC是附加的数据段,是由信息的发送方发出,与明文一起传送并与明文有一定的逻辑联系。
MAC的值与输入信息的每一位都有关系,如果在信息中的任何一位MAC生成后发生了改变,则就会发生出不同的MAC值,接收方就能知道该信息的完整性已遭到了破坏。
基于收到的信息,接收方利用信息内容重新计算MAC,并比较两个MAC值。
这类似于通讯系统的普通错误校验过程,例如,在信息上附加一个成为循环冗余校验值(CRC数)据字段。
不过这里有一个组要的不同,即必须考虑到可能会发生的蓄意攻击。
如果某个主动的攻击者重新计算机和替换附加在信息中的CRC,接收方也就不可能觉察出数据已被篡改。
为防止这类攻击,生成MAC是需要使用一个信息接收方也知道的密钥。
接收方拥有可以生成的MAC的密钥,在接收信息时可以对信息内容与MAC是否一致进行确认。
这样,如果信息被改了,就肯定能检查出来。
4、什么是公开密钥加密?
什么是RSA?
不对称密钥又叫公开迷失,需要釆用两个在数学上相关的密钥对一一公开密钥和私有密钥来对信息进行加密。
RSA算法是一种可逆的公开密钥加密系统。
它是通过一个称为公共模数的数字来形成的公开密钥,公共模数是通过形成私人密钥的两个质数的乘数了获得的。
说明公开密钥加密的加密模式和验证模式。
5、说明公开密钥加密的加密模式和验证模式。
6、为什么要把公开密钥加密的两种模式结合起来使用?
如何结合?
对于公开密钥加密系统的两种模式来说,如果只是单独使用其中一种模式,那就无法保障信息机密性的同时又验证发送方的身份,但在电子商务的安全中又需要同时实现两个目的。
为此,需要把这两种模式结合起来。
两种模式结合使用过程为:
(1)发送方用自己的私有密钥对要发送的信息进行加密,使得一次加密信息。
(2)发送方用结婚搜方的公开密钥对已加密的信息再次加密。
(3)发送方用自己的私有密钥对接收到的两次加密信息进行解密,得到一次加密信息。
(4)接收方用发送方的公开密钥对一次加密信息信息进行解密,得到信息明文。
7、密钥的生命周期由哪几个阶段组成?
(1)密钥建立,包括生成密钥和发布密钥。
(2)
密钥备份/恢复或密钥的第三者保管。
(3)密钥替换/更新。
(4)密钥吊销。
(5)密钥
期满/终止,其中包括迷失的销毁和归档。
8、RSA密钥传输是如何保护电子邮件的。
(1)发送方生成随机对称密钥K。
(2)发送方对对称密钥K信息内容进行加密。
(3)发送方用接收方的公开密钥对加密用的对称密钥K进行加密。
(4)发送方把加密后发密钥附加在加密后的信息上一并发送。
(5)接收方用自己的私有密钥解密加密后的密钥,得到对称密钥K。
(6)接收方用对称密钥K对加密的内容进行解密,得到明文的内容。
9、验证可以根据哪些因素来进行?
(1)申请人表示所知道的某些事物,如口令。
(2)申请人出示一些所有物,如实际的密钥或卡。
(3)申请人展示一些不可改变的特征,如指纹
(4)需要证明申请人身份的一方接受已经对申请人进行了验证的其他可信任方。
第三章:
1、什么是网络层安全?
典型的网络层安全服务包含哪些内容?
网络层安全指的是对从一个网络的终端系统传送到另一个网络的终端系统的通信数据的保护。
典型的典型的网络层安全服务包括:
(1)认证和完整性:
向接收系统提供可靠的数据包来源,确保数据包没有被修改。
(2)保密性:
保证数据包的内容除预期的接受者外,不泄露给其他的任何人。
(3)访问控制:
限制特定的终端系统仅与特定的应用程序或特定的远程数据包来源地或目的地进行通信。
2、什么是应用层安全?
应用层安全措施有哪些?
应用层安全指的是建立在某个特定的应用程序内部,不依赖于任何网络层安全措施而独立运行的安全措施。
应用层安全措施包括认证、访问控制、保密性、数据完整性和不可否认性,此外还包括与web、与信息传送有关的安全措施。
3、什么是系统安全?
系统安全包含哪些措施?
系统安全是指对特定终端系统及其局部环境的保护,而不考虑对网络层安全或应用层安全措施所承担的通信保护。
系统安全包含如下措施:
(1)确保在安装的软件中没有已知的安全陷阱。
如必须确保及时安装所有与安全有关的软件补丁,确保没有安装可能会包含特洛伊木马等病毒的那些有问题的软件。
(2)确保系统的配置能使入侵风险将至最低。
如系统应该配置成仅在分配给本系统中活动应用程序的端口上监听Internet数据包。
一般来讲,不要将调制解调气设置成允许拨入的形式。
(3)确保所下载的软件其来源是可信任的和可靠的。
(4)确保系统能得到适当管理以使侵入风险最小。
如应定期保存所有访问控制数据,定期修改口令,并避免使用容易被猜到的口令;应删除已废弃的用户账户,因为黑客若使用这样的账户入侵系统可能难以被觉察到。
(5)确保采用合适的审计机制,以便能防止对系统的成功入侵和采取新的合适的防御性措施。
4、什么是包过滤型防火墙?
说明其实现原理。
包过滤防火墙是指在Internet连接处安装包过滤路由器,在路由器中配置包过滤规则来阻塞或过滤报文的协议和地址。
其具体是的实现原理是:
通过协议类型控制特定的协议;
通过IP地址控制特定的源和目的主机;通过控制源和目的端口控制特定的网络服务;通过源/目的控制入网信息和出网信息,即控制信息方向。
5、什么是应用网关型防火墙?
说明其实现原理。
应用级网关(applicationlevelgateways)是在网络应用层上建立协议过滤和转发功能。
它针对特定的网络应用服务协议使用指定的数据过滤逻辑,并在过滤的同时,虽数据包进行必要的分析,登记和统计,形成报告。
实现原理如下图
6、什么是IPsec?
IPsec有哪些功能?
IPsec是指IETF以RF(CInternet标准,requestforcommen)t形式公布的一组IP安全协议集。
功能:
在IP层提供安全服务;选择需要的安全协议;决定使用的算法;保存加密使用的密钥。
7、IPsec的密钥管理有哪两种方式?
IPsec在应用中有哪些优点?
一个是由协议的头部,即认证头(AH)指明的认证协议;另一个是由协议的分组格式,即分装安全有效载荷(ESP)指明的加密/认证混合协议。
优点:
访问控制;无连接完整性;数据源的鉴别;拒绝重放的分组(部分序号完整性的一种形式);机密性(加密);有限的通行量机密性。
8、什么是SSL?
SSL的体系结构是怎样的?
在支持安全通信方面SSL有那些基本功能?
安全套接层协议(securesocketlayer,SSL)最初是由Netscape公司研究制定的安全通信协议,是在因特网基础上提供的一种保证机密性的安全协议。
SSL的体系结构:
应用层
握手协议
SSL更改密码规程协议
SSL报警协议
SSL服务器认证;
(2)确认用户身份;(3)
保证数据传输的机密性和完整性。
第四章
1、X.509数字证书格式有哪几种版本?
ITUX.509标准又称为什么标准?
X.509数字证书格式有三个不同的版本:
(1)版本1格式,在1988年的第一版中定义;
(2)版本2格式,在1993年的第二版中定义;
(3)版本3格式,在1997年的第三版中定义,并在2000年的第四版中对其进行了改进。
ITUX.509标准也称ISO/IEC9594-8标准。
2、在X.509版本3的数字证书格式中,每个扩展字段由哪三部分组成?
X.509版本3的数字证书格式中,每个扩展字段由三部分组成:
(1)一个表示扩展类型的对象标识符值;
(2)一个关键程度指示器;(3)一个扩展字段值;其中,扩展类型规定了值的数据类型(字符串、日期或复杂数据结构)以及与值相关联的语义。
3、数字证书的扩展标准主要涉及哪几部分内容?
(1)密钥信息扩展;
(2)政策信息扩展;(3)主体与发放者的属性扩展;(4)认证路径约束扩展;(5)与数字证书撤销表(CRLs)相关的扩展。
4、私钥的保护可以采取哪些方法?
将私钥存储在不可写的硬件模块或标记中,如智能卡中。
将私钥存储在计算机硬盘或其他数据存储媒介上的加密数据文件中。
将私钥存储在数字证书服务器上,当用户通过了服务器的鉴定,并在服务器上使用了一段时间后,改服务器会将私钥传送给用户。
5、什么是注册机构(RA)?
注册机构有把哪些功能?
注册机构本身并不发放数字证书,但注册机构可以确认,批准或拒绝数字证书申请人的申请,随后由认证机构给经过批准的申请人发放数字证
书。
注册机构的主要功能:
(1)注册、注销、批准或是拒绝对用户数字证书属性的变更要求;
(2)对数字证书申请人进行合法性确认;
(3)批准生成密钥对和数字证书的请求及恢复备份密钥的请求;
(4)接受和批准撤销或暂停数字证书的请求(需要相应认证机构的支持);
(5)向有权拥有身份标记的人当面分发标记或恢复旧标记。
6、数字证书的生成有哪些步骤?
数字证书的生成通过下列步骤实现:
(1)数字证书申请人将申请数字证书所需要的数字证书内容信息提供给认证机构。
(2)认证机构确认申请人所提交信息的正确性,这些信息将包含在数字证书中。
(3)有持有认证机构私钥的签证设备给数字证书加上数字签名。
(4)将数字证书的一个副本传送给用户,如果需要,用户在收到数字证书后返回一条确认信
息。
(5)将数字证书的一个副本传送到数字证书数据库如目录服务,以便公布。
(6)作为一种可供选择的服务,数字证书的一个副本可以由认证机构或其他实体存档,以加强档案服务,提供数据服务以及不可否认性服务。
(7)认证机构将数字证书生成过程中的相关细节,以及其他在数字证书发放过程中的原始活动都记录在审计日志中。
7、撤销数字证书可以有哪些方法?
(1)定期公布数字证书撤销表;
(2)广播数字证书撤销表;(3)进行数字证书的在线状态检查;(4)发放短期数字证书;(5)其他撤销方法:
①从数字证书数据库中删除数字证书;②可信的数字证书服务器或目录;③间隔时间更短的周期性数字证书撤销表;④建立数字证书撤销树。
8、撤销原因代码主要对应哪几种撤销原因?
撤销原因代码对应下面几种撤销原因:
(1)密钥泄露:
最终实体数字证书被撤销的原因是已知或怀疑密钥被泄露
(2)CA泄露:
认证机构数字证书被撤销的原因是已知或怀疑密钥被泄露
(3)从属关系改变:
数字证书主体得名称或其他主体信息发生了变化
(4)淘汰:
数字证书已被淘汰
(5)停止操作:
数字证书不再需要用于发放数字证书时的原始目的
(6)从数字数字证书撤销表中移走:
由于某一暂停的数字证书已被释放,所以出现在基本数字证书撤销表或相应Dalta-数字证书撤销表中的该数字证书的条目现在应该移走了。
(7)数字证书暂停:
暂停而不是撤销数字证书撤销表的一个条目。
第五章
1、什么是PKI?
PKI应用系统具有哪些功能?
PKI,又称公钥基础设施或公钥体系,是一种利用公钥加密技术为电子商务的开展提供一套安全基础平台的技术和规范,用户可利用PKI平台提供的服务进行安全通信。
PKI应用系统具有功能:
(1)公钥数字证书的管理
(2)证书撤销表的发布和管理(3)密钥的备份和恢复(4)自动更新密钥(5)自动管理历史密钥(6)支持交叉认证
2、什么是交叉认证?
什么是交叉认证数字证书?
交叉认证,首先,两个CA建立信任关系。
双方安全交换签名公钥,利用自己的私钥为对方签发数字证书,从而双方都有了交叉证书。
其次,利用CA的交叉证书验证最终用户的证书。
对用户来说就是利用本方CA公钥来校验对方CA的交叉证书,从而决定对方CA是否可信;再利用对方CA的公钥来校验对方用户的证书,从而决定对方用户是否可信。
交叉认证数字证书,是由一个认证几个对另一个认证几个签发的包含了该CA的签名密钥的数字证书。
3、什么情况下会用到森林型层次结构?
(1)数字证书用户打算信任由某个外部机构给他们的内部团体签发数字证书,如给他们的雇员或是客户签发的数字证书。
(2)数字证书用户打算信任由多个独立的商业认证机构签发的数字证书。
4、采用通用层次结构模式,需要解决哪两个核心问题?
(1)如何找到合适的认证路径;
(2)找到认证路径后,如何使它生效。
5、确认路径的工作包括哪些步骤?
(1)验证每一个数字证书的数字签名,检查他们是否满足基本的条件。
(2)检查数字证书的主题应该就是下一份数字证书的签发者。
(3)检查所有数字证书的有效期在被检查时是否还有效
(4)确认每一份数字证书都没有失效,这是一个比较复杂的过程,需要查询、验证和检查正确的数字证书撤销表,或是进行在线状态的检查业务。
(5)确认数字证书中都有必须的数字证书策略。
(6)检查有关的命名是否符合约束条件。
6、什么是CP?
什么是CPS?
CP是证书策略,一套制定的规则,用于说明满足一般安全性要求的数字证书在某个特定的团体里和(或)某一类应用程序中的应用能力。
CPS是证书实施说明,规定了在认证过程中要遵循的操作程序。
证书实施说明的内容包括数字证书的复杂性及长度说明等,但主要的是公开说明了认证机构的运作方式。
7、美国FederalBridgeCA的证书策略把保证等级划分为怎样的4级?
(1)初级:
申请人可以通过Internet这样的开放网络来申请数字证书,申请人仅需提供E-mail地址。
(2)基本级:
申请人可以亲自或通过网络提出申请(通过比较数据库中的可信信息或通过其他可信的方法)。
(3)中级:
申请人必须亲自到注册机构、委托代理人或已被授权证实用户身份的州或联邦机构认证的办公室去,申请人必须出示一个由联邦政府发行的图片身份标识或至少两种非联邦政府发行的身份标识(其中至少有一个必须是图片身份标识)以证实其身份。
(4)高级:
申请人必须亲自到注册机构或委托代理人处去。
8、证书策略主要包括哪些主题?
(1)介绍;
(2)一般规定;(3)识别与数字证书策略;(4)操作要求;(5)物理、过程、与人员的安全控制;(6)技术安全控制;(7)数字证书及数字证书撤销表文件;(8)管理规范。
9、在提供不可否认机制服务方面,可信任的第三方起了什么作用?
在涉及电子商务安全中的不可否认机制方面,可信任的第三方可以帮助完成下述功能。
(1)公钥认证
(2)身份认证(3)时间戳(4)记录保存(5)送递中介(6)争议解决
10、影响时间戳可信度的因素主要有哪些?
影响时间戳可信度的因素有很多,最主要的因素包括:
(1)防伪性
(2)耐久性(3)可审核性(4)独立性(5)精确性(6)时隔
11、通过哪些方法可以实现来源的不可否认?
实现来源的不可否认,可以通过下述方法进行。
(1)由发送方进行数字签名
(2)由可信任的第三方进行数字签名(3)由可信任的第三方对摘要进行数字签名(4)内嵌可信任的第三方
第六章
1、我国的CA大致可以分为哪几类?
(1)行业性CA
(2)区域性CA(3)是商业性CA
2、什么是中国协卡认证体系?
该体系由谁发起?
有哪些参与方?
3、CFCA建立了哪两大CA体系,其结构如何?
(1)SETCA系统:
SEACA系统结构分为三层:
第一层为根CA(RCA),第二层为品牌CA(BCA),第三层根据证书使用者的不同分为CCA(持卡人
CA)、MCA(商户CA)、PCA(网关CA)。
另外,还可以根据今后的发展,在第二层CA和第三层CA之间扩展出GCA(地区CA)。
(2)Non-SET系统:
Non-SET系统结构分为三层:
第一层为根CA,第二层为政策CA,第三层为运营CA。
4、为什么CFCA要建立自身的安全保障?
CFCA建立自身的安全保障的主要目标是在于维护系统信息的保密性、有效性和完整性,具体包括系统安全、通信安全和数据安全。
CFCA必须能够抵抗来自外部和内部的攻击,保证系统不崩溃,要能够防止信息被窃取,严格保证CA私钥和用户账号信息的安全,还要有足够能力防止黑客的攻击,这一切都要求CFCA建立自身的安全保障。
5、CFCA的数字证书遵循什么标准?
主要包括哪些内容?
首先,遵循X.509V3标准。
其次,
(1)证书数据:
①版本信息,用来与X.509的将来版本兼容;②证书序列号,每一个由CA发行的证书必须有一个唯一的序列号;③CA所使用的签名算法;④发行证书的CA名称;⑤证书的有效期限⑥证书主体名称;⑦被证明的公钥信息,包括公钥算法、公钥的位字符串表示;⑧包含额外信息的特别扩展。
(2)发行证书的CA签名。
证书第二部分包括发行证书的CA签名和用来生成数字签名的签名算法。
6、CFCA提供哪几种类别的证书?
(1)企业普通证书
(2)个人普通证书(3)服务器证书(4)个人高级证书(5)企业高级证书(6)手机证书(7)安全E-mail证书(8)VPN设备证书(9)代码签名证书
7、作为金融认证中心,CFCA在证书实施说明中列出了哪些与金融认证服务相关的业务规则?
(1)网关(银行)业务规则;
(2)商户(企业)业务规则;(3)持卡人(个人)业务规则;(4)中介机构业务规则。
8、SHECA的数字证书遵循什么标准?
其数字证书可以存放在什么介质上?
(1)SHECA数字证书遵循ITU-TX.59
0标准
(2)可以存放在以下介质上:
银盘;软盘;I
C卡;加密卡加密机。
9、在申请SHECA的个人安全电子邮件证书时,为什么要首先下载根证书?
所谓根证书,是CA认证中心与用户建立信任关系的基础,用户的数字证书必须有一个受信任的根证书,用户的数字证书才是有效的。
根证书是一份特殊的证书,它的签发者是它本身,下载根证书就表明您对该根证书以下所签发的证书都表示信任,而技术上则是建立起一个验证证书信息的链条,证书的验证追溯至根证书即为结束。
所以说用户在使用自己的数字证书之前必须先下载根证书。
10、VeriSign提供哪四种类型的证书?
各有什
么用处?
(1)服务器数字证书
(2)针对软件开发商的开发者数字证书(3)SSL数字证书(4)个人安全电子邮件数据证书
用处:
服务器数字证书:
能够准确无误的鉴别、确认服务器并对服务器和浏览器之间传送的信息加密。
保证了网络服务器在安全模式下运行。
服务器证书对于无线网络的安全至关重要,它确保了客户和应用服务器之间进行信息交流时的隐私安全。
针对软件开发商的开发者数字证书:
借助开发者数字证书,软件开发者可以为软件做数字标识,从而在因特网进行安全的传送。
SSL数字证书:
为网站的机密数据提供加密传输功能,从而确保机密信息的机密性、完整性和不可否认性。
个人安全电子邮件数据证书:
在个人用户和其他用户交换信息或者使用在线服务时,验证用户的身份,确保信息的安全。
第七章
1、ISO的开放系统互联(OSI)参
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 电子商务 安全 管理 思考题
![提示](https://static.bdocx.com/images/bang_tan.gif)