电子商务安全导论简答题

1，简述保护数据完整性的目的，以有被破坏会带来的严重后果。答：保护数据完整性的目的就是保证计算机系统上的数据和信息处于一种完整和未受损害的状态。这意味着数据不会由于有意或无意的事件而被改变和丢失。数据完整性被破坏会带来严重的后果：（1）造成直接的经济损失，如价格，订单数量等被改变。（2）影响一个供应链上许多厂商的经济活动。一个环节上数据完整性被破坏将使供应链上一连串厂商的经济活动受到影响。（3）可能造成过不了“关”。有的电子商务是与海关，商检，卫检联系的，错误的数据将使一批贷物挡在“关口”之外。（4）会牵涉到经济案件中。与税务，银行，保险等贸易链路相联的电子商务，则会因数据完整性被破坏牵连到漏税，诈骗等经济案件中。（5）造成电子商务经营的混乱与不信任。2，简述散列函数应用于数据的完整性。答：可用多种技术的组合来认证消息的完整性。为消除因消息被更改而导致的欺诈和滥用行为，可将两个算法同时应用到消息上。首先用散列算法，由散列函数计算机出散列值后，就将此值——消息摘要附加到这条消息上。当接收者收到消息及附加的消息摘要后，就用此消息独自再计算出一个消息摘要。如果接收者所计算出的消息摘要同消息所附的消息摘要一致，接收者就知道此消息没有被篡改。3，数字签名与消息的真实性认证有什么不同？答：数字签名与消息的真实性认证是不同的。消息认证是使接收方能验证消息发送者及所发信息内容是否被篡改过。当收发者之间没有利害冲突时，这对于防止第三者的破坏来说是足够了。但当接收者和发送者之间相互有利害冲突时，单纯用消息认证技术就无法解决他们之间的纠纷，此是需借助数字签名技术。4，数字签名和手书签名有什么不同？答：数字签名和手书签名的区别在于：手书签名是模拟的，因人而异，即使同一个人也有细微差别，比较容易伪造，要区别是否是伪造，往往需要特殊专家。而数字签名是0和1的数字串，极难伪造，不需专家。对不同的信息摘要，即使是同一人，其数字签名也是不同的。这样就实现了文件与签署的最紧密的“捆绑”。5，数字签名可以解决哪些安全鉴别问题？答：数字签名可以解决下述安全鉴别问题：（1）接收方伪造：接收方伪造一份文件，并声称这是发送方发送的；（2）发送者或收者否认：发送者或接收者事后不承认自己曾经发送或接收过文件；（3）第三方冒充：网上的第三方用户冒充发送或接收文件；（4）接收方篡改：接收方对收到的文件进行改动。6，无可争辩签名有何优缺点？答：无可争辩签名是在没有签名者自己的合作下不可能验证签名的签名。无可争辩签名是为了防止所签文件被复制，有利于产权拥有者控制产品的散发。适用于某些应用，如电子出版系统，以利于对知识产权的保护。在签名人合作下才能验证签名，又会给签名者一种机会，在不利于他时可拒绝合作，因而不具有“不可否认性”。无可争辩签名除了一般签名体制中的签名算法和验证算法外，还需要第三个组成部分，即否认协议：签名者利用无可争辩签名可向法庭或公众证明一个伪造的签名的确是假的；但如果签名者拒绝参与执行否认协议，就表明签名真的由他签署。7，UPS的作用是防止突然停电造成网络通讯中断。8，计算机病毒是如何产生的？答：计算机病毒是人为产生的，是编制者在计算机程序中插入的破坏计算机功能，或进毁坏数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。9，计算机恶性病毒的危害是破坏系统或数据，造成计算机系统瘫痪。10，简述容错技术的目的及其常用的容错技术。答：容错技术的目的是当系统发生某些错误或故障时，在不排除错误和故障的条件下使系统能够继续正常工作或者进入应急工作状态。容错技术最实用的一种技术是组成冗余系统。冗余系统是系统中除了配置正常的部件以外，还配制出的备份部件。当正常的部件出现故障时，备份部件能够立即取代它继续工作。当然系统中必须另有冗余系统的管理机制和设备。另有一种容错技术是使用双系统。用两个相同的系统共同承担同一项任务，当一个系统出现故障时，另一系统承担全部任务。11，现在网络系统的备份工作变得越来越困难，其原因是什么？答：其原因是网络系统的复杂性随着不同的操作系统和网络应用软件的增加而增加。此外，各种操作系统，都自带内置软件的备份，但自动备份和文件管理上都是很基本的，功能不足。12，简述三种基本的备份系统。答：（1）简单的网络备份系统：在网络上的服务器直接把数据通过总线备份到设备中。也可把数据通过对网络经过专用的工作站备份到工作站的设备中。（2）服务器到服务器的备份：在网络上的一个服务器除了把数据通过总线备份到自己设备中以外，同时又备份到另一个服务器上。（3）使用专用的备份服务器：不同于第二种中所说的另一类服务器，它主要的任务是为网络服务的服务器，使用专用服务器可以使备份工作更加可靠。13，简述数据备份与传统的数据备份的概念。答：数据备份，是指为防止系统出现操作失误或系统故障导致数据丢失，而将全系统或部分数据集合从应用主机的硬盘或阵列复制到其他的存储介质的过程。传统的数据备份主要是采用数据内置或外置的磁带机进行冷备份。14，列举计算机病毒的主要来源。答：1，引进的计算机病毒和软件中带有的病毒。2，各类出国人员带回的机器和软件染有病毒。3，一些染有病毒的游戏软件。4，非法拷贝引起的病毒。5，计算机生产，经营单位销售的机器和软件染有病毒。6，维修部门交叉感染。7，有人研制，改造病毒。8，敌对份子以病毒进行宣传和破坏。9，通过互联网络传入。15，数据文件和系统的备份要注意什么？答：日常的定时，定期备份；定期检查备份的质量；重要的备份最好存放在不同介质上；注意备份本身的防窃和防盗；多重备份，分散存放，由不同人员分别保管。16，一套完整的容灾方案应该包括本地容灾和异地容灾两套系统。17，简述归档与备份的区别。答：归档是指将文件从计算机的存储介质中转移到其他永久性的介质上的，以便长期保存的过程。备份的目的是从灾难中恢复。归档是把需要的数据拷贝或打包，用于长时间的历史性的存放，归档可以清理和整理服务器中的数据。归档也是提高数据完整性的一种预防性措施。18，病毒有哪些特征？答：非授权可执行性；隐藏性；传染性；潜伏性；表现性或破坏性；可触发性。19，简述计算机病毒的分类方法。答：按寄生方式分为，引导型，病毒文件型和复合型病毒。按破坏性分为，良性病毒和恶性病毒20，简述计算机病毒的防治策略？答：依法治毒，建立一套行之有效的病毒防治体系，制定严格的病毒防治技术规范。21，保证数据完整性的措施有：有效防毒，及时备份，充分考虑系统的容错和冗余。22，扼制点的作用是控制访问。23，防火墙不能防止的安全隐患有：不能阻止已感染病毒的软件或文件的传输；内部人员的工作失误。24，防火墙与VPN之间的本质区别是：堵/通；或防范别人/保护自己。25，设置防火墙的目的及主要作用是什么？答：设置防火墙的目的是为了在内部网与外部网之间设立惟一通道，允许网络管理员定义一个中心“扼制点”提供两个网络间的访问的控制，使得只有被安全策略明确授权的信息流才被允许通过，对两个方向的信息流都能控制。它的主要作用是防止发生网络安全事件引起的损害，使入侵更难实现，来防止非法用户，比如防止黑客，网络破坏者等进入内部网络。禁止存在安全脆弱性的服务进出网络，并抗击来自各种路线的攻击。26，简述防火墙的设计须遵循的基本原则。答：（1）由内到外和由外到内的业务流必须经过防火墙。（2）只允许本地安全政策认可的业务流必须经过防火墙。（3）尽可能控制外部用户访问内域网，应严格限制外部用户进入内域网。（4）具有足够的透明性，保证正常业务的流通。（5）具有抗穿透性攻击能力，强化记录，审计和告警。27，目前防火墙的控制技术可分为：包过滤型，包检验型以及应用层网关型三种。28，防火墙不能解决的问题有哪些？答：（1）如果网络管理员不能及时响应报警并审查常规记录，防火墙就形同虚设。在这种情况下，网络管理员永远不会知道防火墙是否受到攻击。（2）防火墙无法防范通过防火墙以外的其他途径的攻击。（3）防火墙不能防止来自内部变节者和不经心的用户带来的威胁。（4）防火墙也不能防止传送已感染病毒的软件或文件。（5）防火墙无法防范数据驱动型的攻击。29，VPN提供哪些功能？答：加密数据：以保证通过公网传输的信息即使被他人截获也不会泄露。信息认证和身份认证：保证信息的完整性，合法性，并能鉴用户的身份。提供访问控制：不同的用户有不同的访问权限。30，简述隧道的基本组成。答：一个隧道启动器，一个路由网络，一个可选的隧道交换机，一个或多个隧道终结器。31，IPSec提供的安全服务包括：私有性（加密），真实性（验证发送者的身份），完整性（防数据篡改）和重传保护（防止未经授权的数据重新发送）等，并制定了密钥管理的方法。32，选择VPN（虚拟专用网）解决方案时需要考虑哪几个要点？答：（1）认证方法；（2）支持的加密算法。（3）支持的认证算法。（4）支持IP压缩算法。（5）易于部署。（6）兼容分布式或个人防火墙的可用性。33，简述VPN的分类。答：按VPN的部署模式分，VPN的部署模式从本质上描述了VPN的通道是如何建立和终止的，一般有三种VPN部署模式：端到端模式；供应商到企业模式；内部供应商模式。按VPN的服务类型分，VPN业务大致可分为三类：internetVPNAccessVPN和ExtranetVPN.34，简述VPN的具体实现即解决方案有哪几种？答：（1）虚拟专用拨号网络，用户利用拨号网络访问企业数据中心，用户从企业数据中心获得一个私有地址，但用户数据可跨公共数据网络传输。（2）虚拟专用路由网络，它是基于路由的VPN接入方式。（3）虚拟租用线路，是基于虚拟专线的一种VPN，它在公网上开出各种隧道，模拟专线来建立VPN.（4）虚拟专用LAN子网段，是在公网上用隧道协议仿真出来一个局域网，透明地提供跨越公网的LAN服务。35，实体认证与消息认证的主要差别是什么？答：实体认证与消息认证的差别在于，消息认证本身不提供时间性，而实体认证一般都是实时的。另一方面，实体认证通常证实实体本身，而消息认证除了证实消息的合法性和完整性外，还要知道消息的含义。36，通行字的选择原则是什么？答：易记；难于被别人猜中或发现；抗分析能力强。在实际系统中，需要考虑和规定选择方法，使用期限，字符长度，分配和管理以及在计算机系统内的保护等。根据系统对安全水平的要求可有不同的选取。37，通行字的安全存储有哪二种方法？答：（1）用户的通行字多以加密形式存储，入侵者要得到通行字，必须知道加密算法和密钥。（2）许多系统可以存储通行字的单向杂凑值，入侵者即使行到此杂凑也难于推出通行字。38，有效证书应满足的条件有哪些？答：（1）证书没有超过有效期。（2）密钥没有被修改。如果密钥被修改后，原证书就应当收回，不再使用。如果雇员离开了其公司，对应的证书就可收回，如果不收回，且密钥没被修改，则可继续使用该证书；（3）证书不在CA发行的无效证书清单中。CA负责回收证书，并发行无效证书清单。用户一旦发现密钥泄露就应及时将证书吊销。并由CA通知停用并存档备案。39，密钥对生成的两种途径是什么？答：（1）密钥对持有者自己生成：用户自己用硬件或软件生成密钥对。如果该密钥对用于数字签名时，应支持不可否认性。（2）密钥对由通用系统生成：由用户依赖，可信赖的某一中心机构生成，然后安全地送到特定用户的设备中。利用这类中心的资源，可产生高质量密钥对，易于备份和管理。40，证书有哪些类型？答：（1）个人证书：证实客户身份和密钥所有权。在一些情况下，服务器会在建立SSL边接时要求用个人证书来证实客户身份。用户可以向一个CA申请，经审查后获得个人证书。（2）服务器证书：证实服务器的身份和公钥。当客户请求建立SSL连接时，服务器把服务器证书传给客户。客户收到证书后，可以检查发行该证书的CA是否应该信任。对于不信任的CA，浏览器会提示用户接受或拒绝这个证书。（3）邮件证书：证实电子邮件用户的身份和公钥。一些有安全功能的电了邮件应用程序能使用邮件证书来验证用户身份和加密解密信息。（4）CA证书：证实CA身份和CA的签名密钥。在Netscape浏览