科科過為您帶來軟考信息系統(tǒng)項(xiàng)目管理師核心重點(diǎn)考點(diǎn)（六十四）信息安全基礎(chǔ)知識(shí)重要概念，內(nèi)含思維導(dǎo)圖 真題

【信息系統(tǒng)項(xiàng)目管理師核心考點(diǎn)】信息安全基礎(chǔ)知識(shí)重要概念

1.加密技術(shù)

①對(duì)稱加密【加密與解密的秘鑰相同】（秘鑰簡單、速度快）：AES（取代DES算法）、IDEA算法（128位）

②非對(duì)稱加密【加密與解密的秘鑰不同】（秘鑰復(fù)雜、速度慢）：RSA算法（應(yīng)用最廣泛）、ECC算法（安全性更高）

2.數(shù)字簽名

具有不可否認(rèn)性、防止信息抵賴（利用非對(duì)稱加密技術(shù)、私鑰發(fā)送、公鑰解密）

3.認(rèn)證技術(shù)

身份鑒別或內(nèi)容驗(yàn)證，真實(shí)有效、防止信息被假冒【用戶和密碼進(jìn)行登錄】

4.加密與認(rèn)證的區(qū)別

①加密【確保數(shù)據(jù)的保密性，阻止對(duì)手的被動(dòng)攻擊】

②認(rèn)證【確保身份真實(shí)性和報(bào)文完整性，阻止對(duì)手的主動(dòng)攻擊】

5.數(shù)字簽名與非對(duì)稱加密的區(qū)別

①數(shù)字簽名【發(fā)送方的私鑰加密，公鑰解密】

②非對(duì)稱加密【接收方的公鑰加密，私鑰解密】

6.數(shù)字簽名與認(rèn)證的區(qū)別

①數(shù)字簽名的驗(yàn)證數(shù)據(jù)【公開（公鑰）】，認(rèn)證的數(shù)據(jù)【保密（用戶和密碼）】

②數(shù)字簽名允許【第三者驗(yàn)證（CA認(rèn)證中心）】，認(rèn)證【不允許】

③數(shù)字簽名具有【發(fā)送方不能抵賴、接收方不能偽造，解決糾紛】，認(rèn)證【不一定】

【核心考點(diǎn)思維導(dǎo)圖】

【核心考點(diǎn)真題】

1.關(guān)于Kerberos和PKI兩種認(rèn)證協(xié)議的敘述中正確的是(1)。在使用Kerberos認(rèn)證時(shí)，首先向密鑰分發(fā)中心發(fā)送初始票據(jù)(2)來請(qǐng)求會(huì)話票據(jù)，以便獲取服務(wù)器提供的服務(wù)。

(1) A、 Kerberos和PKI都是對(duì)稱密鑰

B、 Kerberos和PKI都是非對(duì)稱密鑰

C、 Kerberos是對(duì)稱密鑰，而PKI是非對(duì)稱密鑰

D、 Kerberos是非對(duì)稱密鑰，而 PKI是對(duì)稱密鑰

(2)A、RSA B、TGT C、 DES D、LSA

【答案】 C B

【解析】第1小題:

Kerberos這一名詞來源于希臘神話“三個(gè)頭的狗一一地獄之門守護(hù)者”(就是看門狗)。Kerberos設(shè)計(jì)上采用客戶端/服務(wù)器結(jié)構(gòu)與DES加密技術(shù)，并且能夠進(jìn)行相互認(rèn)證，即客戶端和服務(wù)器端均可對(duì)對(duì)方進(jìn)行身份認(rèn)證?？梢杂糜诜乐垢`聽、防止replay攻擊、保護(hù)數(shù)據(jù)完整性等場合，是一種應(yīng)用對(duì)稱密鑰體制進(jìn)行密鑰管理的系統(tǒng)。

公鑰基礎(chǔ)設(shè)施PKI (Public Key Infrastructure，公開密鑰基礎(chǔ)設(shè)施)，它是以不對(duì)稱密鑰加密技術(shù)為基礎(chǔ)，以數(shù)據(jù)機(jī)密性、完整性、身份認(rèn)證和行為不可抵賴性為安全目的，來實(shí)施和提供安全服務(wù)的具有普適性的安全基礎(chǔ)設(shè)施。其內(nèi)容包括數(shù)字證書、不對(duì)稱密鑰密碼技術(shù)、認(rèn)證中心、證書和密鑰的管理、安全代理軟件、不可否認(rèn)性服務(wù)、時(shí)間戳服務(wù)、相關(guān)信息標(biāo)準(zhǔn)、操作規(guī)范等。所以答案是C。

第2小題:

在使用Kerberos認(rèn)證時(shí)，首先向密鑰分發(fā)中心(通過票據(jù)授權(quán)服務(wù)器，即TGS)發(fā)送初始票據(jù)TGT來請(qǐng)求會(huì)話票據(jù)。TGT，即ticket-granting ticket票據(jù)授予票據(jù)，包含有關(guān)用戶名、域名、時(shí)間和組成員資格等信息。使用TG丁，每當(dāng)要連接新的Service的時(shí)，在TGT過期)之前，都不需要重新輸入密碼。一般TG下的失效過期時(shí)間是10小時(shí)。所以答案是B。

2.為保障數(shù)據(jù)的存儲(chǔ)和傳輸安全，需要對(duì)一些重要數(shù)據(jù)進(jìn)行加密。由于對(duì)稱密碼算法(1)，所以特別適合對(duì)大量的數(shù)據(jù)進(jìn)行加密。國際數(shù)據(jù)加密算法IDEA的密鑰長度是(2)位。

(1) A、比非對(duì)稱密碼算法更安全 B、比非對(duì)稱密碼算法密鑰長度更長

C、比非對(duì)稱密碼算法效率更高 D、還能同時(shí)用于身份認(rèn)證

(2)A、56 B、64 C、 128 D、256

【答案】C C

【解析】對(duì)稱非對(duì)稱，需要掌握。高級(jí)教材第二版P577-580.

1.對(duì)稱:加密、解密都使用用同一個(gè)密鑰。

優(yōu)點(diǎn):加、解密快;密鑰管理簡單;適合一對(duì)一傳輸;

缺點(diǎn):加密強(qiáng)度不高;不適宜一對(duì)多加密傳輸。

常見算法有:SDBI, IDEA, RC4, DES, 3DES。

2.非對(duì)稱:加密用“公鑰”，解密用“私鑰”

優(yōu)點(diǎn):安全性高，體制安全;密鑰量小;算法靈活性好。

缺點(diǎn):加、解密速度慢(相對(duì));密鑰管理復(fù)雜(需要第三方認(rèn)證中心)。

常見算法有:RSA, ECC。

IDEA的密鑰長度為128位，見高級(jí)教材第二版P578頁，倒數(shù)第6行。

3.RSA是一種公開密鑰算法，所謂公開密鑰是指( )。

A、加密密鑰是公開的 B、解密密鑰是公開的

C、加密密鑰和解密密鑰都是公開的 D、加密密鑰和解密密鑰都是相同的

【答案】A

【解析】高級(jí)教材第二版P578-579: RSA算法是非對(duì)稱密鑰算法。非對(duì)稱算法中“公開密鑰(公鑰)”是公開的，任何人都可以使用;而“私人密鑰(私鑰)”是不公開的用“公鑰”加密，用“私鑰”來解密。

4.在( )中，①用于防止信息抵賴;②用于防止信息被竊取;③用于防止信息被篡改;④用于防止信息被假冒。

A、①加密技術(shù)②數(shù)字簽名③完整性技術(shù)④認(rèn)證技術(shù)

B、①完整性技術(shù)②認(rèn)證技術(shù)③加密技術(shù)④數(shù)字簽名

C、①數(shù)字簽名②完整性技術(shù)③認(rèn)證技術(shù)④加密技術(shù)

D、①數(shù)字簽名②加密技術(shù)③完整性技術(shù)④認(rèn)證技術(shù)

【答案】D

【解析】高級(jí)教材第二版P543安全技術(shù):

1.加密技術(shù)

加密是確保數(shù)據(jù)安全性的基本方法。在osi安全體系結(jié)構(gòu)中應(yīng)根據(jù)加密所處的層次及加密對(duì)象的不同，而采用不同的密碼。由于有加密技術(shù)的存在，必須有密鑰管理技術(shù)的存在。在網(wǎng)絡(luò)環(huán)境中，密鑰管理顯得格外重要。用于防止信息被竊取。

2.數(shù)字簽名技術(shù)

數(shù)字簽名是確保數(shù)據(jù)真實(shí)性的基本方法。利用數(shù)字簽名技術(shù)還可以進(jìn)行報(bào)文認(rèn)證和用戶身份認(rèn)證。數(shù)字簽名具有解決收發(fā)雙方糾紛的能力。這是其他安全技術(shù)所沒有的。數(shù)字簽名具有不可否認(rèn)性、防止信息抵賴。

3.訪問控制技術(shù)

訪問控制按照事先確定的規(guī)則決定主體對(duì)客體的訪問是否合法。當(dāng)一主體試圖非法使用一個(gè)未經(jīng)授權(quán)的資源時(shí)，訪問控制將拒絕這一企圖，并將這一事件報(bào)告給審計(jì)跟蹤系統(tǒng)，審計(jì)跟蹤系統(tǒng)將給出報(bào)警并記錄日志檔案。

4.數(shù)據(jù)完整性技術(shù)

破壞數(shù)據(jù)的主要因素有:數(shù)據(jù)在信道中傳輸時(shí)受信道干擾影響產(chǎn)生錯(cuò)誤或是被非法侵入所篡改，或是被病毒所感染等。數(shù)據(jù)完整性技術(shù)通過糾錯(cuò)編碼和差錯(cuò)控制來應(yīng)對(duì)信道干擾，通過報(bào)文認(rèn)證來應(yīng)對(duì)非法入侵者的主動(dòng)攻擊，通過病毒實(shí)時(shí)檢測來應(yīng)對(duì)計(jì)算機(jī)病毒。數(shù)據(jù)完整性技術(shù)包括以下兩種方式:數(shù)據(jù)單元的完整性、數(shù)據(jù)單元序列的完整性。

5.認(rèn)證技術(shù)

在計(jì)算機(jī)網(wǎng)絡(luò)中認(rèn)證主要有站點(diǎn)認(rèn)證、報(bào)文認(rèn)證、用戶和進(jìn)程認(rèn)證等。多數(shù)認(rèn)證過程采用密碼技術(shù)和數(shù)字簽名技術(shù)。對(duì)于用戶身份認(rèn)證，隨著科技的發(fā)展，用戶生物特征認(rèn)證技術(shù)將得到越來越多的應(yīng)用。在大型計(jì)算機(jī)網(wǎng)絡(luò)中，由于有眾多的用戶，而且并不是所有的用戶都誠實(shí)、可信，同時(shí)由于設(shè)備故障等技術(shù)原因造成信息丟失、延遲等，這很可能引起責(zé)任糾紛。為了解決這個(gè)問題，需要有一個(gè)各方都信任的第三者實(shí)體以提供公正仲裁。防止假冒。

6.數(shù)據(jù)挖掘技術(shù)

隨著高科技的發(fā)展，犯罪和不法之徒的手段也越來越高科技化，直截了當(dāng)?shù)姆缸镂覀兒貌椋瑢?duì)與隱蔽的手法就需要新的高科技手段來對(duì)付，利用大量的數(shù)據(jù)積累和經(jīng)驗(yàn)的積累，數(shù)據(jù)挖掘技術(shù)是及早發(fā)現(xiàn)隱患、將犯罪扼殺在萌芽階段并及時(shí)修補(bǔ)不健全的安全防范體系的重要技術(shù)。

5.關(guān)于RSA算法的敘述不正確的是( )。

A、 RSA算法是一種對(duì)稱加密算法

B、 RSA算法的運(yùn)算速度比DES慢

C、 RSA算法可用于某種數(shù)字簽名方案

D、RSA的安全性主要基于素因子分解的難度

【答案】A

【解析】RSA算法的加密密鑰和解密密鑰是不相同的，所以RSA算法是一種非對(duì)稱加密算法