《电子支付和安全》复习文档

《《电子支付和安全》复习文档》由会员分享，可在线阅读，更多相关《《电子支付和安全》复习文档（12页珍藏版）》请在金锄头文库上搜索。

1、2017电子支付与安全复习提纲【考试题型】一、单项选择题（本大题共20分，共10小题，每小题2分）二、名词解释题（本大题共30分，共5小题，每小题6分）三、作图题（本大题共20分，共2小题，每小题10分）四、简答题（本大题共30分，共3小题，每小题10分）【各章复习重点】 第1章 电子商务安全概述1. 电子商务发展的瓶颈表现在哪些方面？（P1）答：一些个人和簡业机构对是否釆用电子簡务仍持着观望态度，因为他们担心自己的银 行卡会被盗用，或者担心自己的客户信息会被窃取。2. 电子商务安全对国家安全的影响表现在哪些方面？ （P2）答：1、危及经济安全2、影响社会稳定的银行、保险、税务、证券、民航、医

2、疗等行业 都开始实施电子商务，它们一旦出现比较严重的信息安全问题，则有可能会严重影响人民生 活进而影响社会稳定。3. 为什么说安全是电子商务最重要的功能？ （P3）答：因为一个完善的电子商务系统有百分之八十以上的功能模块设计和硬件设备部署都 要在整体安全策略的指导下考虑安全问题。所以说4. 威胁电子商务安全的五个典型案例（P5）答：1、利用电子商务进行盗窃2、利用电子商务进行诈骗3、侵犯消费者的隐私权4、盗窃电子商务企业的商业机密5、对电子商务系统的单纯性攻击行为5. 我国电子商务安全现状（P6-P8）1、脆弱的互联网网站2、矛盾的安全意识3、层出不穷的攻击手段4、我国电子商务安全问题产生的原

3、因安全是指主体没有危险的客观状态6. 电子交易安全的主要内容（P12）内容：如何确定通信中贸易伙伴的真实性，保证身份的可认证性；如何保证电子单证的机密性，防范电子单证的内容被第三方读取；如何保证被传输的业务单证不会丢失，或者发送方可以察觉所发单证的丢失；如何保证电子单证内容的真实性、准确性、完整性；如何保证存储信息的安全性；如何对交易数据信息进行审查并将审查的结果进行记录。7. 电子商务安全的4个特点（P12）:系统性、相对性、有代价性、动态性、&电子商务面临的安全威胁的4种类型（P13-P14）：中断、截获、篡改、伪造；（可能 作图题）9.电子商务安全要素（P14-P17）：机密性、完整性、

4、真实性、可用性、不可抵赖性、 访问控制、匿名性、第2章密码学基础1. 对称密钥密码体制与公钥密码体制的概念与特点（P27）（特点自己组织，书上没有） 对称秘钥密码体制：也称单钥密码体制或密码秘钥密码体制。它的特点是加密秘钥和解密秘钥相同，或实质上等同公钥密码体制：也称非对称密码体制。它的特点是加密秘钥和解密秘钥不同，并且从一 个密码推导出另一个秘钥在计算上是不可行的。2. 替代与置换（P30）代替：是将文明中的每个元素映射为另一个元素，明文元素被其它元素所代替而形成密 文。置换：又称换位，是改变明文消息中各个元素的排列位置，但明文消息元素本身的収值 或内容不变，可以证明置换是替代的一种特殊形式

5、。3. DES的加密算法及其特点（P39-P40）DES的加密算法：它是一种分组密码算法，它将明文从算法的一端输入，将密文从另一 端输出。它采用的是对称秘钥，加密和解密的采用的相同的算法，所以系统的安全性完全依 赖于秘钥的保密。特点：（把对称秘钥的特点说一下就可以了）DES的加密过程：1、明文初始置换2、密钥初始置换3、生成16个48位的子密钥4、明文扩展置换5、S盒替代6、P盒置换7、末置换8、DES的加密4. 为什么三重DES加密只使用两个密钥？ (P41)答：这是因为两个秘钥的总长度已经达到112位，已经足够抵抗穷举搜索攻击了，如杲 使用三个没要，势必增加不必要的数据传输。5. 其他分组

6、密码简介(P41)AES：是NIST是取代DES的加密标准。它是个非保密的，公开技术细节的町免费使用的分 组密码算法。IDEA:是最强大的数据加密标准之一，由來学嘉在1990年提出。它的分组长度是64位， 秘钥长度是128位，同一算法可用于加密或解密。6. RSA加密的过程(P62)非对称加密算法(1)选择大素数(2)产生公钥和私钥(3)秘钥的发布(4)加密的步骤(5)解密的 步骤RT it；明r文L2f接收方厅A的公钥7. 数字签名的基本原理及作用(P64)0TS?发送方AA的私钥图2. 16数字签名的基本原理原理和作用大家应该都知道，去年都考了作用：1)消息认证，证实某个消息确实是某用户发

7、岀的2) 实现不可抵赖性，消息的发送方不能否认他曾经发过该消息。3) 完整性保证，可以确定消息在传输的过程Z中有没有被篡改过。8. 数字信封的概念(P64)：信息发送方A首先利用随机产生的对称秘钥加密信息，再利 用接收方B的公钥加密该对称秘钥，被公钥加密后的对称秘钥被称为数字信封。9. 单向散列函数及其用途(P65)：它乂称为不可逆加密体制，它是一个从明文到密文 的不可逆变换，也就是说在明文到密文的转换中存在信息的损失，因此密文无法恢复成明文。 它是实现不可逆加密体制的主要方法。用于某些只需要加密，不需要解密的特殊场合。10. 信息隐藏技术(P91)：它是将要保密的信息藏在其他载体信息里，让人

8、找不到。包 括秘密信息、载体信息、伪装对象、伪装密钥。第3章认证技术1. 消息认证的概念及其4种实现手段（P95-P99）概念：它是一个过程，用来验证接受消息的真实性和完整性，同时还可以用来验证信息 的顺序性和时I可性。手段：1）利用对称秘钥体制2）利用公钥密码体制3）利用散列函数4）利用消息认证码 实现的消息认证。2. 身份认证的概念和3种依据（P100-P101）身份认证：是指证实用户的真实身份与其所声称的身份是否相符合的过程。依据：1）用户所知道的某种信息。2）用户拥有的某种物品。3）用户具有的某种特征。3. 口令机制最严重的脆弱点是什么？（P103）答：是口令可能遭受到线路窃听，危及验

9、证者的攻击和重放攻击等。4. 实现一次性口令的3种认证方式（P114-P115）1）口令序列认证方式2）时间同步认证方式3）挑战-应答认证方式第4章数字证书和PKI1. 数字证书的概念（P135）：是公钥证书，实一个包含有用户身份信息、用户公钥以 及一个可信第三方认证机构CA的数字签名的数据文件。2.数字证书的生成过程与特点（P137）特点：1）公钥没有保密的需要，因此数字证书中的公钥也不需要保密。2）数字证书有自我保护的功能，即数字证书所包含的CA的数字签名能提供鉴别和完整 性保护。3. 数字证书的内容（P143）： 1）版本号2）证书序列号3）签名算法4）证书颁发者 名5）有效期6）主体7

10、）主体的公钥信息8）证书发放者唯一标识符9）主体的唯一标识 符4. 数字证书的两大功能（P145-P148）： 1）起到安全分发公钥的作用2）作为上体的 身份证明。5. PKI （公钥基础设施）的基本组成（P149）： KI策略、软硬件系统、认证机构5、 注册机构RA、证书/CRL库、证书撤销处理系统、秘钥备份及恢复系统和应用程序程序接口等 几个部分组成。PKI是一个以公钥技术为基础的，提供和实施安全服务的具有普适性的安全基础设施。 典型的PKI包括证书签发机构（ca），证书库，证书作废系统，密钥备份及恢复系统， 应用程序接口6. 管理机构CA与注册机构RA的概念（P152、P155）CA：是

11、一个负责发放和管理数字证书的权威机构。CA是PK啲核心执行机构，是PKT的主 要组成实体。RA：是受理证书申请的机构，负责证书申请者的信息录入、审核以及证书发放等工作。7. 撤销数字证书的方法（P153）：苗先，CA要知道这个证书撤销请求。其次，要先鉴 别证书撤销请求的合法性后再判断是否接受证书撤销请求，否则别人可以滥用证书撤销请求 撤销属于别人的证书。第5章网络安全基础1. 3种通信加密方式（P183）：1）链路-联络路加密：对于链路加密，所有数据在传输之前已经进行加密，各个节点 对接收到的数据进行解密，然后使用下一个链路的秘钥对数据进行加密再进行传输。2）节点加密：节点加密再每个中间节点装

12、上一个用于加、解密的安全模块，由它对信 息先进行解密，然后进行加密，从而完成一个秘钥向另一个秘钥的装换。3）端-端加密：是建立在OSI模型的网络层、传输层和应用层，这种方式要求传送的数 据从源端到目的端一直保持密文状态，数据在发送端被加密，在接收端解密。中间节点数据 不会以文明的形式出现。2. 常见的漏洞扫描工具X-Scan （P185）：它是国内最著名的综合扫描器，它采用多线 程方式对指定IP地址段进行安全漏洞检测，支持插件功能，提供了图形界面和命令行两种操 作方式。3. 常见的8个Windows网络检测和管理命令（P185-P188）1) ping命令：连通性是否正常2) tracert命

13、令：探测路由命令，查看经过到目的主机途中的所有网络节点。3) netstat命令：用于显示网络连接、路由表和网络端口信息。4) ipconfig命令：显示TCP/IP网络配置信息5) net user命令：查看用户列表、添加和删除用户，和对方计算机建立连接、启动或 者停止某种网络服务等。6) net localgroup命令：查看、添加、修改或删除本地用户组信息。7) net share命令：显示当前主机上共享的资源8) net use命令：可连接计算机或断开计算机与共享资源的连接，或者显示计算机的 连接信息。4. 分布式拒绝服务攻击DDos (P191)：攻击者通过植入木马的方式控制很多台来

14、自不 同IP的傀儡机，并在傀儡机上安装程序，利用这些傀儡机同吋向服务器发出多个SYN请求， 并不停的重发。5. 计算机病毒的6个特点(P196)：程序性、传染性、潜伏性、可触发性、破坏性、隐 藏性。6. 计算机病毒的4种防治技术(P199)：预防、检查、清除、免疫第6章防火墙和IDS1. 访问控制系统的基本组成(P203)：分为两部分：一部分完成访问控制决策功能， -部分完成访问控制实施功能，分别对应访问控制策略和访问控制机制。2. 防火墙的概念和特点(P210)概念:防火墙是位于两个信任程度不同的网络I可，实施网络访问控制的一组组件的集合。 特点：1)防火墙是不同安全级别的网络或安全域之间的

15、唯一通道2) 只有被防火墙策略明确授权的通信才可以通过3) 防火墙自身具备高安全性和高可靠性3. 防火墙的3种实现技术及其比较(P213-P217)静态动态包过滤所在网络层次丽5内容:检査数据包的报头数据包转发：原封不动地转发源、目标主机的连接丨直接连接 日志文件！简单|安全性一般单点故障无转发延迟1小1检賁数据包的报头连接状态 原封不动地转发 恵接连接 较好 较好 无 中表6. 4应用层网关应用层检査整个数据包连接状态 匝建数据包IP地址后再转发 不宜接连接可取裁内部主机 详细 好 有 大4.屏蔽子网防火墙的结构（P219）图6. 10屏蔽子网防火墙5. 入侵检测系统的基本原理与主要任务（P221）原理：是在计算机网络或者计算机系统中的若干关键点采集数据并对其进行分析，从 而发现网路或者系统违反安全策略的行为和被攻击的迹象。任务：1）监视、分析用户和系统的活动2）审计系统的结构和弱点，核查系统配置和漏洞3）识别、反映已知攻击的活动模式，并采収适当的措施。4）统计分析异常行为模式