网络安全技术与实践第二版课后答案

网络安全期末复习

题型：1、选择、判断、简答（45%

2 、分析题（55%

注：如有发现错误，希望能够提出来。

第一章引言

一、填空题

1、 信息安全的3个基本目标是：保密性、完整性和可用性。此外，还有一个 不可忽视的目标是：合法使用。

2、 网络中存在的4种基本安全威胁有：信息泄漏、完整性破坏、拒绝服务和 非法使用。

强制性访问控制策略和自主性访问控制策略 被动攻击和主动攻击。

认证、访问控制、数据保密性、数据完整性、不 8种特定的安全机制是：加密、数字签名、访问控制、数据完整性、 流量填充、路由控制 和公证。 5种普遍的安全机制是：可信功能度、安全标志、事件检测、安全

二、思考题

2、基本的安全威胁有哪些？主要的渗入类型威胁是什么？主要的植入类型威 胁时什么？请列出几种最主要的威胁。

答：基本的安全威胁有：信息泄露、完整性破坏、拒绝服务、非法使用。 主要的渗入类型威胁有：假冒、旁路、授权侵犯。

主要的植入威胁有：特洛伊木马？、陷门

最主要安全威胁：（1）授权侵犯（2）假冒攻击（3）旁路控制（4）特洛 伊木马或陷

阱（5）媒体废弃物（出现的频率有高到低）

4. 什么是安全策略？安全策略有几个不同的等级？

答：安全策略：是指在某个安全区域内，施加给所有与安全相关活动的一套规 则。 安全策略的等级：1安全策略目标；2机构安全策略；3系统安全策略。3、 访问控制策略可以划分为:

4、 安全性攻击可以划分为：

5、 定义的5类安全服务是: 可

否认性。

6、 定义的

认证交换、

7、定义的

审计跟踪和安全恢复。

6. 主动攻击和被动攻击的区别是什么？请举例说明。

答：区别：被动攻击时系统的操作和状态不会改变，因此被动攻击主要威胁信 息

的保密性。主动攻击则意在篡改或者伪造信息、也可以是改变系统的状态 和操作，因此主动攻击主要威胁信息的完整性、可用性和真实性。

主动攻击的例子：伪装攻击、重放攻击、消息篡改、拒绝服务。

？

被动攻击的例子：消息泄漏、流量分析。 9、请画出一个通用的网络安全模式，并说明每个功能实体的作用。 网络安全模式如下：

网络安全模型由六个功能实体组成：消息的发送方 宿）、

安全变换、信息通道、可信的第三方和攻击者。 第二章低层协议的安全性

一、填空题

1、主机的IPv4的长度为32b ，主机的MAC 地址长度为48b 。IPv6的地址长度 为 128b 。

2、 ARP 的主要功能是将巴地址转换成为物理地址

3、 NAT 的主要功能是实现 网络地址和1P 地址之间的转换，它解决了 IPv4地址 短缺的问题。

4、 DNS 服务使用53号端口，它用来实现域名到

IP 地址或IP 地址到域名的映 射。

二、思考题

1、简述以太网上一次TCP 会话所经历的步骤和涉及的协议。

答：步骤：开放TCP 连接是一个3步握手过程：在服务器收到初始的 SYN 数据包后，该连

接处于半开放状态。此后，服务器返回自己的序号，并等待确认。最后，客户 （信源）、消息的接收方（信

可信的第三方

机发送第3个数据包使TCP 连接开放，在客户机和服务器之间建立连接。

协议：路由协议、In ternet 协议、TCP/IP 协议

2、在TCP 连接建立的3步握手阶段，攻击者为什么可以成功实施

SYN Flood 攻

击？在实际中，如何防范此类攻击？

答：

为什么UDP 比BGP 的主要区别。

由于UDP 自身缺少流控制特性，所以采用 UDP 进行大流量的数据传输时，就可能造成

堵塞主机或路由器，并导致大量的数据包丢失； UDP 没有电路概念，所以发往给定端

口的数据包都被发送给同一个进程，而忽略了源地址和源端口号；

UDP 没有交换握手 信息和序号的过程，所以采用 UDP 欺骗要比使用TCP 更容易。

通过DNS 劫持会对目标系统产生什么样的影响？如何避免？ 通过劫持了 DNS 服务器，通过某些手段取得某域名的解析记录控制权，进 而修改此域名

的解析结果，导致对该域名的访问由原IP 地址转入到修改后 的指定IP ，其结果就是对特定的网址不能访问或访问的是假网址。

避免DNS 劫持：暴露的主机不要采用基于名称的认证；不要把秘密的信息 放在主机名中；进行数字签名

14、判断下列情况是否可能存在？为什么？

（1） 通过ICMP 数据包封装数据，与远程主机进行类似 UDP 的通信。

（2） 通过特意构造的TCP 数据包，中断两台机器之间指定的一个 TCP 会话。 答：（1）不存在。TCP/UDP!传输层（四层）的协议，只能为其上层提供服务，

而ICMP 是网络互联层（三层）的协议，怎么可能反过来用四层协议来 为比它还低层的数据包来服务呢。

（2）如果攻击者能够预测目标主机选择的起始序号，他就可能欺骗该目标 主机，使目

标主机相信自己正在与一台可信的主机会话。 当TCP 处于半开放状态时，攻击者可以成功利用 SYN Flood 对服务器发动攻击。攻击 者使用第一个数据包对服务器进行大流量冲击，使服务器一直处于半开放连接状态， 导致服务器无法实现 3步握手协议。

防范SYN Flood 攻击，一类是通过防火墙、路由器等过滤网关防护；另一类是通过加 固TCP /IP 协议栈防范。

4、 9、

第4章单（私）钥加密体制

一、填空题

1、密码体制的语法定义由以下六部分构成：明文消息空间、密文消息空间、加密密钥空间、密钥生成算法、加密算法、解密算法。

2、单（私）钥加密体制的特点是：通信双方采用的密钥相同所以人们通常也称其为对称加密体制。

（7）

第9章数字证书与公钥基础设施

一、选择题

1. _________________________ 数字证书将用户与其 _B 相联系。

A .私钥 B. 公钥 C. 护照D. 驾照

2. _____________ 用户的_B 不能出现在数字证书中。

A.公钥

B. 私钥

C. 组织名

D.

3. A _____ 可以签发数字证书。

A. CA

B. 政府

C. 小店主

D.

4. D 标准定义数字证书结构。

A. B. TCP/IP C. D.

5. RA A 签发数字证书。 A.可以B.不必C.必须D. 不能

6. CA 使用D 签名数字证书。

A.用户的公钥

B. 用户的私钥

C.

7. 要解决信任问题，需使用

二、思考题

1、数字证书的典型内容什么？

答：数字证书的概念：一个用户的身份与其所持有的公钥的结合，由一个可信 任的权威机构CA 来证实用户的身份，然后由该机构对该用户身份及对应公钥相 结合的证书进行数字签名，以证明其证书的有效性。

人名 银行

自己的公钥D.自己的私钥 A.公钥B.

自签名证书 C. 数字证书 D. 数字签名 8. CRL 是 C

的。 A.联机B.

联机和脱机 C. 脱机 D. 未定义 9. OCSP 是 A

的。 A.联机B.

联机和脱机 C. 脱机 D. 未定义 10.最高权威的

CA 称为C 。 A. RCA B. RA C. SOA D. ARA

C 0

（7）

一般

包括： （1）

（2）

（3）

（4）

（5）

（6）

证书的版本信息；

证书的序列号，每个证书都有一个唯一的证书序列号; 证书

所使用的签名算法；

证书的发型机构名称； 证书的有效期；

证书所有人名称； 证书所有人的公开密钥；

（8）证书发行者对证书的签名;

4、简述撤销数字证书的原因？

答：（1）数字证书持有者报告该证书中指定公钥对应的私钥被破解（被盗）

（2） CA 发现签发数字证书是出错；

（3） 证书持有者离职，而证书为其在职期间签发的。

10、攻击者A 创建了一个证书，放置一个真实的组织名（假设为银行

B ）及攻 击者自己的公钥。你在不知道是攻击者在发送的情形下，得到了该证书，误认 为该证书来自

银行B 。请问如何防止该问题的产生？

答： 第10章网络加密与密钥管理

全信道传递和利用特定的物理现象实现密钥传递等

4、 在网络中，可信第三方 TTP 的角色可以由密钥服务器、密钥管理设备、密 钥查阅服务和时戳代理 等来承担（请任意举出4个例子）

5、 按照协议的功能分类，密码协议可以分为 认证建立协议、密钥建立协议、 认证的密钥建立协议。

6、 Diffie-Hellman 密钥交换协议不能抵抗中间人的攻击

7、 Kerberos 提

供 A A.加密 C. 8、 在 Kerberos

D.

9、 在 Kerberos D.

一、填空题

1、 网络加密方式有4种， 合加密。

2、 在通信网的数据加密中， 主机主密钥。

3、 密钥分配的基本方法有 它们分别是链路加密、节点加密、端到端加密和混 密钥可分为 基本密钥、会话密钥、密钥加密密钥、 利用安全信道实现密钥传输、利用双钥体制建立安 远程登录

中,

D.本地登陆 允许用户访问不同应用程序或服务器的服务器称为 A 文件服务器 与系统中的每个用户共享唯一一个口令。 文件服务器 中,

二、思考题

1、网络加密有哪几种方式？请比较它们的优缺点。

端到端加密的优点：①对两个终端之间的整个通信线路进行加密

② 只需要 2台加密机， 1台在发端，1台在收端

③ 从发端到收端的传输过程中，报文始终以密文存在

④ 消息报头(源/目的地址)不能加密，以明文传送

⑤ 只需要 2 台加密机， 1台在发端， 1 台在收端

⑥ 从发端到收端的传输过程中，报文始终以密文存在

⑦ 比链路和节点加密更安全可靠，更容易设计和维护 缺点：不能防止业务流分析攻击。

混合加密 的是链路和端到端混合加密组成。

优点：从成本、灵活性和安全性来看，一般端到端加密方式较有 吸引力。对

于某些远程机构，链路加密可能更为合适。缺点信息的安全设计较 复杂。

4、密钥有哪些种类？它们各自的用途是什么？请简述它们之间的关系？

答：种类： 1、基本密钥或称初始密钥其用途是与会话密钥一起去启动和控制某 种算法所构

造的密钥产生器，产生用于加密数据的密钥流。

2、 会话密钥其用途是使人们可以不必繁琐的更换基本密钥，

有利于

密钥的安全和管理。 3、 密钥加密密钥用途是用于对传送的会话或文件密钥进行加密时采

用的密钥，也成为次主密钥、辅助密钥或密钥传送密钥。

4、 主机主密钥作用是对密钥加密密钥进行加密的密钥，

存储于主机

处理器中。 5、 双钥体制下的公开钥和秘密钥、 签名密钥、证实密钥。关系如图：

答：网络加密的方式有 4 种分别是链路加密、节点加密、端到端加密、混合加 密。 链路加密 的优点：

(1) 加密对用户是透明的， 通过链路发送的任何信 息在发送 前都先

被加密。

每个链路只需要一对密钥。 提供了信号流安全机制。

缺点： (2) (3)

数据在中间结点以明文形式出现，维护结点安全性的代价较

高。

节点加密 的优点： 1) 缺点：

消息的加、解密在安全模块中进行，这使消息内容不会 被泄

密

加密对用户透明

某些信息(如报头和路由信息)必须以明文形式传输 因为所有节点都必须有密钥，密钥分发和管理变的困难

会话密钥ks p

7、密钥分配的基本模式有哪些？

（a）点对点密钥分配：由A直接将密钥送给B,利用A与B的共享基本密钥加密实现。

（b）密钥分配中心（KDC：A向KDC青求发送与B通信用的密钥，KDC生成k 传给A,并通过A转递给B,利用A与KDC和B与KDC的共享密钥实现。

(c )密钥传递中心(KTC ： A 与KTC B 与KTC 有共享基本密钥。

11、在密码系统中，密钥是如何进行保护、存储和备份的？

密钥的保护：将密钥按类型分成不同的等级。大量的数据通过少量的动态产生 的初级密钥来保护。初级密钥用更少量的、相对不变的二级密钥或主密钥 KM0 来保护。二级密钥用主机主密钥 KM1,KM2来保护。少量的主密钥以明文形式存 储在专用的密码装置中，其余的密钥以密文形式存储在专用密码装置以外。这 样，就把保护大量数据的问题简化为保护和使用少量数据的问题。

密钥的存储：密钥在多数时间处于静态，因此对密钥的保存是密钥管理重要内 容。密钥可以作为一个整体进行保存，也可化为部分进行保存。密钥的硬件存 储；使用门限方案的密钥保存 ；公钥在公用媒体中存储。

密钥的备份：交给安全人员放在安全的地方保管；采用共享密钥协议。

第12章防火墙技术

态检查包过滤、切换代理 和空气隙7种类型。

4、静态包过滤防火墙工作于 OSI 模型的网络层上,他对数据包的某些特定域进 行检查，这些特定域包括:数据源地址、目的地址、应用或协议、源端口号、 目的端口号。

5、 动态包过滤防火墙工作于 OSI 模型的网络层上,他对数据包的某些特定域进 行检查，这些1、 A C 2、 A 、填空题

防火墙应位于

公司网络内部 公司网络与外部网络

应用网关的安全性_ 不

如 B 、超过

、公司网络外部

、都不对 D .包过滤防火墙。 、等于 D 、都不对 防火墙可以分为 静态包过滤、动态包过滤、电路级网关、应用级网关、状 _

特定域包括数据源地址、目的地址、应用或协议、源端口号、旦的端口号。

6、电路级网关工作于OSI模型的会话层上，它检查数据包中的数据分别为源地址、目的地址、应用或协议、源端口号、目的端口号和握手信息及序列号。

7、应用级网关工作于OSI模型的应用层上,它可以对整个数据包进行检查，因此其安全性最高。

8状态检测防火墙工作于OSI模型的网络层上，所以在理论上具有很高的安全性，但是现有的大多数状态检测防火墙只工作于网络层上，因此其安全性与包过滤防火墙相当。

9、切换代理在连接建立阶段工作于OSI模型的会话层上，当连接建立完成值后，再切换到动态包过滤模式，即工作于OSI模型的网络层上。

10、空气隙防火墙也称作安全网闸，它在外网和内网之间实现了真正的隔离。

二、思考题

1.防火墙一般有几个接口？什么是防火墙的非军事区( DMZ ?它的作用是什么？

答：防火墙一般有3个或3个以上的接口。网关所在的网络称为’非军事区’ (DZM。网关的作用是提供中继服务，以补偿过滤器带来的影响。

2.为什么防火墙要具有NAT功能？在NAT中为什么要记录端口号？

答：使用NAT的防火墙具有另一个优点，它可以隐藏内部网络的拓扑结构，这在某种程度上提升了网络的安全性。在NAT中记录端口号是因为在实现端口地址转换功能时，两次NAT的数据包通过端口号加以区分。

9.应用级网关与电路级网关有何不同？简述应用级网关的优缺点。

答：与电路级网关不同的是应用级网关必须针对每个特定的服务运行一个特定的代理，它只能对特定服务所生成的数据包进行传递和过滤。

应用级网关的优点：1、在已有的安全模型中安全性较高

2、具有强大的认证功能

3、具有超强的日志功能

4、应用级网关防火墙的规则配置比较简单缺

点：1、灵活性差2、配置复杂3、性能不高

14.防火墙有什么局限性？

答：防火墙是In ternet安全的最基本组成部分，但对于内部攻击以及绕过防火墙的连接却无能为力，另外，攻击者可能利用防火墙为某些业务提供的特殊通道对内部网络发起攻击，注入病毒或木马。

15.软件防火墙与硬件防火墙之间的区别是什么？

答：软件防火墙是利用CPU 的运算能力进行数据处理，而硬件防火墙使用专用 的芯片级处理机制。

第13章入侵检测系统

一、填空题

1、 根据数据源的来源不同，IDS 可分为 基于网络NID3、基于主机HIDS 和 两种都有DIPS 种类型。

2、 一个通用的IDS 模型主要由数据收集、检测器、知识库和控制器4部分组 成。

3、 入侵检测分为3个步骤，分别为信息收集、数据分析和响应。

4、 一个NIDS 的功能结构上至少包含 事件提取、入侵分析、入侵响应和远程 管理4部分功能

5、 DIDS 通常由 数据采集构建 、通信传输构建、入侵检测分析、应急处理的 构建和 用户管理构建5个构建组成。

6、 IDS 控制台主要由 日志检索、探测器管理、规则管理、日志报表和用户管 理5个功能模块构成。

7、 HIDS 常安装于 被保护的主机，NIDS 常安装于 网络 入口处。

8潜在人侵者的可以通过检查 蜜罐日志来获取。

9、吸引潜在攻击者陷阱为 蜜罐。

二、思考题

2、入侵检测系统按照功能可分为哪几类，有哪些主要功能？

答：功能构成包含：事件提取、入侵分析、入侵响应、远程管理 4个部分功能 网络流量的跟踪与分析功能

已知攻击特征的识别功能

异常行为的分析、统计与响应功能

特征库的在线和离线升级功能 数据文件的完整性检查功能 自定义的响应功能 系统漏洞的预报警功能

IDS 探测器集中管理功能 3、一个好的IDS 应该满足哪些基本特征？

答：1、可以使系统管理员时刻了解网络系统的任何变更 2、 能给网络安全策略的制定提供依据 3、 它应该管理、配置简单，即使非专业人员也非常容易使用 1、 2、 3、 4、 5

4、 入侵检测的规模还应根据网络威胁、 系统构造和安全需求的改变而改变

5、入侵检测系统在发现入侵后会及时做出响应， 包括切断网络连接、记录 事件和报

警。

6什么是异常检测，基于异常检测原理的入侵检测方法有哪些？

答：异常检测技术又称为基于行为的入侵检测技术，用来识别主机或网络中的 异常行为。通过收集操作活动的历史数据，建立代表主机、用户或网络连接的 正常行为描述，判断是否发生入侵。

统计异常检测方法

特征选择异常检测方法

基于贝叶斯网络异常检测方法

基于贝叶斯推理异常检测方法

基于模式预测异常检测方法

什么是误用检测，基于误用检测原理的入侵检测方法有哪些？ 答：误用检测技术又称为基

于知识的检测技术。它通过对已知的入侵行为和手 段进行分析，提取检测特征，构建攻击模式或攻击签名，判断入侵行为。

1、 基于条件的概率误用检测方法

2、 基于专家系统误用检测方法

3、 基于状态迁移分析误用检测方法

4、 基于键盘监控误用检测方法

5、 基于模型误用检测方法

10、蜜网和蜜罐的作用是什么，它们在检测入侵方面有什么优势？

蜜罐的作用：1、把潜在入侵者的注意力从关键系统移开 2、收集入侵者的动作 信息3、设法让攻击者停留一段时间，使管理员能检测到它并采取相应的措施。 蜜网的作用：1、蜜网在确保不被入侵者发现诱骗的前提下，尽可能多地捕获 攻击行为信息，2、Ho ney net 向In ternet 发起的连接进行跟踪，一旦Ho ney net 达到了规定的向外的连接数，防火墙将阻断任何后续的连接，并且及时向系统 管理员发出警告信息3、IDS 在数据链路层对蜜网中的网络数据流进行监控，

分

析和抓取以便将来能够重现攻击行为，同时在发现可疑举动时报警。

蜜罐和蜜网能从现存的各种威胁中提取有用的信息，发现新型的攻击工具，确 定攻击模式并研究攻击者的攻击动机，从而确定更好的对策。 第14章VPN 技术

一、填空题

1、根据访问方法的不同，VPN 可以分为远程访问VPN 和网关-网关VPN 两种类 型。

2、 VNP 的关键技术包括隧道技术、加/解密技术、密钥管理技术 认证技术 和访冋控'制等。

1、 2、 3、

7、 身份

3、第2层隧道协议主要有PPTP L2F和L2TP 3个协议。

4、第3层隧道协议主要有IP Sec、GRE和MPLS3个协议。

5、IP Sec的主要功能是实现加密、认证和密钥交换，这3个功能分别由AH 、ESP和IKE 3个协议来实现

6、IP Sec VPN主要由管理模块、密钥分配和生成模块、身份认证模块、数据加/解密模块和数据分组封装/分解模块5个模块组成。

7、IP Sec在OSI参考模型的C 层提供安全性。

A.应用

B.传输

C.网络

D.数据链路

8 ISAKMP/Oakley与_D _____ 相关。

9、IP Sec中的加密是由_D ____ 完成的。

IP

10、__________ 在_A情况下，IP头才需要加密。

A.信道模式

B. 传输模式

C.信道模式和传输模式D 、无模式

第一章引言

1、网络安全的基本目标：保密性、完整性、可用性、合法使用

2、计算机病毒的发展态势：1）、计算机病毒层出不穷2）、黑客攻势逐年攀升3）、系统存在安全

漏洞4）、各国军方加紧信息战研究

3、典型的安全威胁：假冒攻击/冒充攻击、截获、窃听、篡改、消息重发/重放攻击、拒绝服务攻击DOS DDOS（各定义详见课本）

4、防止重放攻击的方法：时间戳、序号、提问与应答。

5、防范口令攻击的方法、暴力破解、字典攻击：阻止选择低级口令；对口令文件严格保

护。要彻底解决口令机制的弊端是使用基于令牌的机制，转而使用基于令牌的机制。如

果暂时不能做到，起码要使用一次性口令方案。

7、认证认证服务与保证通信的真实性有关.在单条消息下，如一条警告或报警信号认证服务是向接收方保证信息来自所声称的发送方.对于正在进行的交互，如终端和主机连接，

就设计两个方面的问题：首先,在连接的初始化阶段，认证服务保证两个实体是可信的，也

就是说，每个实体都是它们所声称的实体；其次，认证服务必须保证该连接不受第三方的干

扰，例如，第三方能够伪装成两个合法实体中的一方，进行非授权的传输或接收.两个特殊

的认证服务：同等实体认证、数据源认证.

认证机制的失效易导致服务器被攻击者欺骗。

被破坏的主机不会进行安全加密，因此对源主机采用密码认证的方式无用。

通过修改认证方案消除其缺陷，完全可以挫败这种类型的攻击。

8、网络安全的模型及说明（详见课本）

障计箕机密iS

（受理爲，内冇,

1'0）

? _______

鹿在絆财翩紇灘立脱：第二章 底

层协议的安全性

数据包，可以对包过滤器造成破坏; --------- 10、 ARP 功能：以太网发送的是 48位以太地址的数据包；IP 驱动程序必须将 32位IP 目 标地址转换成

48位地址；两类地址存在静态或算法上的影射；

ARP 用来确定两者之间的影 射关

系。

ARP 欺骗：一台不可信赖的计算机会发出假冒的

ARP 查询或应答信息，并将所有流向它的

数据流转移。这样，它就可以伪装成某台机器，或修改数据流。这种攻击叫做

ARP 欺骗攻

击

11、 ICMP 泛洪攻击：黑客能够用ICMP 对消息进行重定向。只要黑客能够篡改你到达目的

地的正确路由，他就有可能攻破你的计算机。一般来说，重定向消息应该仅由主机执行， 而不是由路由器来执行。仅当消息直接来自路由器时，才由路由器执行重定向。然而，有 时网管员有可能使用 ICMP 创建通往目的地的新路由。这种非常不谨慎的行为最终会导致 非常严重的网络安全问题。

12、TCP 连接的三次握手过程:

用三次握手建立 TCP 连接，如图所示：A 的 TCP 向

B 发出连接请求报文段，其首部中 的同步位SYN = 1，并选择序号 seq = x ， 表明传送数据时的第

一个数据字节的序号 是x 。 B 的TCP 收到连接请求报文段后， 如同意，则发回确认。 B 在确认报文段中

t8网络安全模型

1.8网络访问安全模型

*匹部安全1空剤

9、 2

3 4

IP 协议的安全缺陷：1）IP 协议不能保 你绝对不能靠对源地址的有效性检验来判 --- -- ---

）攻击者可以发送含有伪造返回地址的数据 ）当路由器遇到大数据流量的情况下，可能

）大数据包可能在中间节点上被分拆成小数

证数据就是从数据包中给定的源地址发出的, 羽

断数据包的好坏；

包，这种攻击叫做 IP 欺骗攻击；

在没有任何提示的情况下丢掉一些数据包； 据包。通过向包过滤器注入大量病态的小 TRPtt

应使SYN =「，使ACK = 1_，其确认号 ack =

X+1 ，自己选择的序号 seq = y 。

A 收到此报文段后向

B 给出确认，其ACK = 1_，确

认号 ack == y+1

。A 的 TCP 通 知上层应用进程，连接已经建立。 B 的TCP

收到主机A 的确认后，也通知其上层应用 进程：TCP

连接已经建立。

13、 TCP SYN 洪泛攻击：攻击者利用TCP 连接的半开放状态发动攻击。攻击者使用第一个

数据包对服务器进行大流量冲击，使服务器一直处于半开放连接状态，从而无法完成

3步

握手协议。 14、 DHCP DNS 服务器功能：域名DHCP 用来分配IP 地址，并提供启动计算机(或唤醒一 个新网络)的其他信息，它是 BOOTP 勺扩展。域名系统 DNS 是 一个分布式数据库系统，用 来实现“域名一IP 地址”，或“ IP 地址一域名”的影射。

15、 网络地址转换 NAT: NAT 的主要作用是解决当前 IPv4地址空间缺乏的问题。从概念上 讲，NAT 非常简单：它们监听使用了所谓专用地址空间的内部接口，并对

外出的数据包重 写其源地址和端口号。外出数据包的源地

址使用了 IP 地址。对于返回的数据包，它们执行相反的操

作。

协议的复杂性使NAT 变得很不可靠。在这种情况下， 火

墙，并希望IPv6的应用尽快得到普及。 第二部分密码学

16、 密码体制构成的五个要素： 明文空间M 密文空间C 、密钥空间K 、加密算法 E 解密 算法D 。

17、 双钥密码体制的基本概念及各自的密钥的功能和作用：

基本概念是公钥密码技术又称 非对称密码技术或双钥密码技术，其加密和解密数据使用不同的密钥。公开密钥 (P ublic-key)，可以被任何人知道，用于加密或验证签名。私钥

(private-key) 消息的接收者或签名者知道，用于解密或签名。 18、 数字签名的基本概念： 收方能够确认或证实发方的签名，但不能伪造，简记为

件；发方发出签名的消息给收方后，就不能再否认他所签发的消息，简记为

S-条件；收方

对已收到的签名消息不能否认，即有收报认证，简记为

R2-条件；第三者可以确认收发双 方之间的消息传送，但不能伪造这一过程，简记为 T-条件。

第九章公钥基础设施

19、 PKI 定义及主要任务

1 )定义：PKI 公钥基础设施，是一种遵循标准的利用公钥理论和技术建立的提供安全服 务的基础设施。其目的是解决网上身份认证、电子信息的完整性和不可抵赖性等安全问题, 为网络应用提供可靠的安全服务。

2 )主要任务：确立可信任的数字身份。

ISP 为外部接口分配的In ternet 静态 NAT 存在的价值在于 IPv4的短缺。 我们在网络中必须使用真正意义的防

，只能被

R1-条

20、 PKI 体系组成部分：证书机构、注册机构、证书发布库、密钥备份与恢复、证书撤销、

PKI 应用接口

21、 CA 系统功能：证书生成、证书颁布、证书撤销、证书更新、证书归档、 日志审计、

密钥恢复。 22、 RA 系统功能：填写用户注册信息、提交用户注册信息、审核、发送生成证书申请、发

放证书、登记黑名单、证书撤销列表管理、日志审计、自身安全保证 .

23、 证书发布库的作用： 用于集中存放 CA 颁发证书和证书撤销列表；支持分布式存放，

以提高查询效率；LDAP 目录服务支持分布式存放，是大规模PKI 系统成功实施的关键，也 是创建高效的认证机构的关键技术

24、 PKI 提供的主要服务：认证服务、数据完整性服务、数据保密性服务、不可否认服务、、 公证服务。 25、 数字证书的典型内容： 证书拥有者的姓名、证书拥有者的公钥、公钥的有限期、颁发 数字证书的单位、颁发数字证书单位的数字签名、数字证书的序列号

26、 SSL 工作层次、协议构成及功能：

（详见课件“ PKI 补充材料.PPT ” 1 ）工作层次：介于 TCP/IP 模型应用层与传输层之间

2 ）协议分成两部分： SSL 握手协议：通信双方互相验证身份、以及安全协商会话密钥

SSL 记录协议：定义了传输的格式，对上层传来的数据加密后传输

. 3 ）功能：

a 鉴别机制：确保网站的合法性；

b 保护隐私：采用加密机制；

c 信息完整性：确保 传输的信息不被篡改. 27、 数字证书的验证方法

RA 验证用户材料，以明确是否接受用户注册。

检查私钥的拥有证明（POP Proof of possession

RA 要求用户采用私钥对证书签名请求进行数字签名。

RA 生成随机数挑战信息，用该用户公钥加密，并将加密后的挑战值发送给用户。

若用

能用其私钥解密，则验证通过。 RA 将数字证书采用用户公钥加密后，发送给用户。用户需要用与公钥匹配的私钥解密 可取得明文证书。 28、 数字证书撤销的原因及方法

1 ）原因：a ）数字证书持有者报告该证书中指定公钥对应的私钥被破解（被盗）

发现签发数字证书时出错； c ）证书持有者离职，而证书为其在职期间签发的。 2 ）方法：发生第一种情形需由证书持有者进行证书撤销申请；发生第二种情形时， 启动证书撤

销；发生第三种情形时需由组织提出证书撤销申请。

29、 PMI 的定义、PMI 与PKI 的关系

定义：权限管理基础设施或授权管理基础设施，是属性证书、属性权威、属性证书框架 等部件的集合体，用来实现权限和证书的产生、管理、存储、分发和撤销等功能。

CA 自身管理、

CA

CA

Q PMI 与FKJ 的关系

第十章网络加密与密钥管理

a ）不同结点对之间的密码机和密钥不一定相同；

b ）在每个中间节点 后加密； C ）报文和报头可同时进行加密； d ）在结点内部，消息以明 e ）在链路加密中，密钥分配存在困难； f ）随着结点增多，保密机的需

传输的消息为

密文； e ）加解

密过程在结点上的一个安全模块中进行； 形式传送。 3 ）端到端加密：a ）对两个终端之间的整个通信线路进行加密；

机，1台在发端，1台在收端；C ）从发端到收端的传输过程中， 消息报头（源/目的地址）不能加密，以明文传送； e ）只需要 1台在收端；f ）从发端到收端的传输过程中，报文始终以密文存在； 加密更安全可靠，更容易设计和维护。

4 ）混合加密：链路加密+端到端加密

31、 软件加密和硬件的特点：

1 ）硬件加密的特点：加密速度快、硬件安全性好、硬件易于安装。

2 ）软件加密的特点：速度慢、灵活、轻便、可安装于多种机器上、可将几个软件组合成 一个系统.。 32、 文件删除方法： 真正从存储器中消除所存储的内容需用物理上的重复写入方法。

33、 密钥管理的功能及目的：

A ）密钥管理是处理密钥从产生到最终销毁的整个过程中的有关问题，包括系统的初始 化及密钥的产生、存储、备份 /恢复、装入、分配、保护、更新、控制、丢失、撤销和销 毁等内容。

B ）目的：是维持系统中各实体之间的密钥关系，以抗击各种可能的威胁，如：实体

证书

证书颁发者

30、 网络加密方式及特点

1 ）链路加密： 上，消息先解密， 文的方式存

在； 求数量很大。 2 ）节点加密：

a ）在中间节点先对消息进行解密，然后进行加密吧

b ）在通信链路上所 C ）加密过程对用户是透明； d ）消息在节点以明文形式存在； f ）要求报头和路由信息以明文

b ）只需要2台加密 报文始终

以密文存在；d ） 2台加密机，1台在发端， g ）比链路和节点 1）密钥 证书攒$也

予机构

的泄露2 ）密钥或公开钥的确证性的丧失，确证性包括共享或关于一个密钥的实体身份的知识或可证性。3）密钥或公开钥未经授权使用，如使用失效的密钥或违例使用密钥。

34、密钥的种类及各类密钥的有效期

1）基本密钥：是由用户选定或由系统分配给他的、可在较长时间）内由一对用户所专用的秘密钥。记为kp

2）会话密钥：两个通信终端用户在一次通话或交换数据时所用的密钥。记为ks

3）密钥加密密钥：用于对所传送的会话或文件密钥进行加密的密钥，也称次主密钥。记为ke

4）主机密钥：它是对密钥加密钥进行加密的密钥，存储于主机处理器中。记为

km 5）数据加密密钥：也称为工作密钥。

6）在双钥体制下，有公钥和私钥、签名密钥和证实密钥之分

35、密钥的分级保护管理法：

女口图所示，从图中可以清楚看出各类密钥的作用和相互关系。由此可见，大量数据可以通过少量动态产生的数据加密密钥（初级密钥）进行保护；而数据加密密钥又可由少量的、相对不变（使用期较长）的密钥（二级）或主机主密钥0来保护；其他主机主密钥（1

和2 ）用来保护三级密钥。这样，只有极少数密钥以明文形式存储在有严密物理保护的主机密码器件中，其他密钥则以加密后的密文形式存于密码器之外的存储器中，因而大大简化了密钥管理，并改了密钥的安

全性。

为了?证帘钥的安全，枉警码?备4>?有的窜扰??.鱼??的关a??器件?86 开时■其墓本?樹利主密ffl 尊金自动从荐储as 件中清除?或g 动s?n 动引?_

对于ffi 钥丢罠的址理咆足安仝符理中的一项）&嘤1；作?在密码If 理中耍布一音計理 程序和控制方怯■蛊丸限腥地降低密钳丢失率F 对于寧先严生的磴?加憲密詢的nSH 峯应 存放從可爲的地府作为&?■ —旦密?去先时?可?卅便或通过sa 送赣的ffffi.wsiB 建侯?正常业务，由于H ：件和救杵故算W 於人为操作上的帝泯粽合a 成密側丢眞或出 错，采ffl 报文46別程序可徴teS 杲城是S 采fflTitfl?的密切进行?科操惟，

第十二章防火墙技术

39、 防火墙工作原理： 防火墙是由软件和硬件组成的系统，它处于安全的网络和不安全的

网络之间，根据由系统管理员设置的访问控制规则，对数据流进行过滤。

40、 防火墙对数据流的 3种处理方式：a 允许数据流通过；b 拒绝数据流通过，并向发送 者回复一条消

息，提示发送者该数据流已被拒； c 将数据流丢弃，不对这些数据包进行任 何处理，

也不会向发送者发送任何提示信息。

36、将密钥按类型分成不同的等级。

1 2 3 ）大量的数据通过少量的动态产生的初级密钥来保护。 ）初级密钥用更少量的、相对不变的二级密钥或主密钥 ）二级密钥用主机主密钥 KM1，KM2来保护。

）少量的主密钥以明文形式存储在专用的密码装置中，其余的密钥以密文形式存储在 KMO 来保护。

4

专用密码装置以外。

这样，就把保护大量数据的问题简化为保护和使用少量数据的问题。 密钥，因为 KM1，KM2是由KMO 派生而来。）

37、 实现秘密信息共享的 3个基本方法

1）利用安全信道实现密钥传递 2 ）利用双钥体制建立安全信息传递 象实现

密钥传递。

38、 密钥生存期的4个阶段

1 2 （实际上保护一个

3）利用特定物理现

）预运行阶段，此时密钥尚不能正常使用 ）运行阶段，密钥正常使用

）后运行阶段，密钥不再提供正常使用，但为了特殊目的可以在脱机下接入 ）报废

阶段，将有关被吊销密钥从所有记录中山区 ，这类密钥不可能再用

本文来源：https://www.bwwdw.com/article/swee.html