《PKI技术及其应用》期中试卷
PKI技术及其应用
PKI技术及其应用
邓晓军
【期刊名称】《湖南冶金职业技术学院学报》
【年(卷),期】2004(0)4
【摘要】介绍了公钥基础设施(PublicKeyInfrastructure,简称PKI)技术及其组成,分析了PKI的应用现状和前景。
并针对这种目前建设网络安全基础与核心的技术,讨论了在我国开展PKI建设存在的一些问题,并对如何应对这些问题提出了相关的解决办法。
【总页数】4页(P40-42)
【关键词】信息安全;公钥基础设施(PKI);数字签名;数字证书
【作者】邓晓军
【作者单位】湖南冶金职业技术学院
【正文语种】中文
【中图分类】TP393.08
【相关文献】
1.电子签名技术在区域卫生信息平台中的几点应用探索——基于PKI技术的卫生系统电子认证服务应用 [J], 王晓花;王新华;邵淼;马洁
2.PKI技术在应用系统中的应用 [J], 尹晓晖
3.PKI技术在质检机构客户身份认证系统中的应用 [J], 康剑萍; 何曙; 王沈敏
4.PKI技术在电子病历系统中的应用 [J], 陈芝
5.基于PKI技术在电力系统信息网络中的安全应用分析 [J], 唐波
因版权原因，仅展示原文概要，查看原文内容请购买。
pki试题
pki试题数据加密与PKI技术一、判断题1、数字签名技术是网络环境中进行公文签发、项目审批等流程必不可少的技术手段。
对3、身份认证的目的是进行权限的控制，从而在网络环境中建立起按级别划分的行政管理制度。
对2、数据加密技术可以通过对电子文档进行数字签名，来保证文档不被篡改，一旦被篡改，可以马上检查出来。
错4、对文件进行数字签名和验证签名一方面可以确认文件发送者的身份，另一方面也可以保证文件的完整性且不被篡改。
对6、USB-KEY在设计中采用了独特的安全性设计，使得证书的私钥不会从USB-KEY中读出造成泄密，因此保证了密钥的安全，也进一步保存了证书的安全性。
对5、VPN技术是一种密钥管理平台，它能够为网络应用提供加密和数字签名等安全服务以及所必需的密钥和证书管理体系。
错7、VPN是一种架构在公用通信基础设施上的专用数据通信网络，利用网络层安全协议（尤其是IPSec）和建立在PKI上的加密与签名技术来获得机密性保护。
对8、PPTP/L2TP是IETF（Internet Engineer Task Force）完善的安全标准，它把几种安全技术结合在一起形成一个较为完整的体系，通过对数据加密、认证、完整性检查来保证数据传输的可靠性、私有性和保密性。
错10、CA认证作为信息安全基础设施之一，为互联网上用户身份的鉴别提供了重要手段。
对9、Stunnel是一个可以用SSL对任意TCP 连接加密的程序。
对二、单选题1、古典密码的代表密码体制主要有：A、单表代替密码B、Caesar密码C、Vigenere密码D、Hill密码 A2、1977年1月，美国政府决定采纳哪个公司的设计的方案作为非机密数据的正式数据加密标准。
A、DELLB、微软C、IBMD、SUN C3、IDEA算法用来加密的密钥有多少位？A、24B、56C、64D、128 D4、DES算法用来加密的密钥有多少位？A、24B、56C、64D、128 B5、NIST将3-DES指定为过渡的加密标准的时间是：A、1997年B、1998年C、1999年D、2000年 C6、在3DES算法中，密钥最高可以达到多少位？A、96B、128C、168D、200 C7、3DES在EDE工作模式的情况下时，它的有效密钥为多少位？A、168B、112C、64D、56 B8、以下哪个算法是Schnorr和ElGamal签名算法的变种，被美国NIST作为DSS （DigitalSignature Standard）。
PKI技术课后复习题-讲解
41
简答题(11)
11. 为什么在X.500目录中，节点必然是 节点？
对于节点的操作，会转到对真实节点的 操作，所以，“增加下级节点”操作， 对于节点是没有意义的，不可能有下 级节点
因为有 ，如果有，其下面的节点也永远 不可能被查询到
42
简答题(12)
对于 ，用形式（2）是有意义的。它通过证书的签发者 +序列号，来区分用自己的哪一个证书来签发了该证 书。如下图。
34
CA1
CA2
Issuer=CA1 SerilaNumber=1
Issuer=CA1 SerialNumber=2
Issuer=CA2 SerialNumber=2
CA3有三个证书
A的证书 Issuer=CA3 Authority Cert Issuer=CA1 Authority Cert Serial Number=2
3. 用于签名的可以。以前的签名照样可以验证 ，其他人不能假冒签名。
4. 用于密钥协商的有问题。导致密钥协商进行 不了。
31
简答题(3)
3. 有个，在其系统运行的初始阶段，其所签 发的所有证书都没有出现问题（也就是， 都不需要撤销），这时候，有没有必要签 发？为什么？
4. 需要 5. 即使是所有的证书都没有问题，也应该明
5. 按证书的不同，可以将数字证书分为2种：证 书、订户证书。 Y.
6. 证书策略说明了证书签发的详细流程。 N。说明了证书安全使用等级（范围），说明 了为了达到相应的，有什么样的措施和要求
24
判断题(3)
7. 证书认证路径 的多个证书中，最多包含了1个 订户证书。 Y。 ：从 证书到 证书（或证书）。
PKI组件及其应用(共53张)
子CA1
交叉证明
子CA2
第36页，共53页。
3.2.3 混合 模型 (hùnhé)
• 混合（Hybrid）模型是证书层次结构同交叉证明的结合 • 交叉证明可以在两个层次结构的任何两个CA间进行，
信任仅存在于这两个CA及其下面的子CA之间 • 混合模型很灵活，公司可以根据不同的业务需要建立不
第17页，共53页。
3.1.3.1 PKCS(续)
• PKCS#13目前尚未发布，其焦点集中于使用椭圆曲线 加密系统进行数据的加密和签发
• PKCS#14目前尚未发布，它将是一个关于伪随机数生 成的标准
• PKCS#15可使不同的智能卡供应商和不同的支持智能 卡的应用程序以一种通用格式(géshi)存储加密系统令牌
签名算法（SignatureAlgorithm）
签名值（SignatureValue）
第24页，共53页。
CA签发证书所使用的数字签名算 法
CA创建的实际数字签名
3.1.4.1 CRL(续)
• CA将CRL公布于一个公共存储库，终端实体都可以对 该存储库进行(jìnxíng)检索
• 主体在收到一个证书时，首先检索CRL，判断这个证 书是否是有效的
证书
Certificate Authority
第10页，共53页。
3.1.1 证书颁发(bānfā)机构（CA）(续)
• CA是PKI的核心 • CA管理证书 • 主体登记证书的过程 • CA可以续借和更新证书
第11页，共53页。
3.1.1 证书(zhèngshū)颁发机构（CA）(续) —— CA生成证书的过程
第34页，共53页。
网络攻防技术实践考核试卷
7.漏洞扫描是对网络或系统中的已知漏洞进行自动检测的过程。（√）
8.在进行渗透测试时，不需要获得系统所有者的明确许可。（×）
9.数字证书可以用来验证公钥的真实性，确保数据传输的安全性。（√）
10.网络安全事件发生后，最有效的措施是立即关闭所有网络连接。（×）
D.攻击目标是Web应用程序
5.以下哪些是操作系统级别的防护措施？（）
A.防火墙
B.安全基线配置
C.安全更新
D.入侵防御系统
6.以下哪些工具可以用于进行渗透测试？（）
A. Burp Suite
B. OWASP ZAP
C. Nmap
D. Microsoft Word
7.以下哪些是社交工程攻击的例子？（）
C.非对称加密攻击
D. DDoS攻击
8.以下哪个端口通常被用于远程桌面连接？（）
A. 80
B. 443
C. 3389
D. 21
9.在网络攻防中，以下哪个术语指的是合法用户使用非法手段获取数据？（）
A.黑客攻击
B.滥用
C.漏洞利用
D.病毒感染
10.以下哪个组织不是专门从事网络安全的？（）
A. Kaspersky Lab
A. Metasploit
B. Hydra
C. Wireshark
D. Aircrack-ng
17.以下哪种攻击方式针对的是无线网络？（）
A. ARP欺骗
B. DNS劫持
C.无线网络钓鱼
D.网络嗅探
18.以下哪个工具用于检测网络中的恶意软件？（）
A. VirusTotal
B. Malwarebytes
PKI技术及其发展应用
PKI技术及其发展应用PKI（Public Key Infrastructure，公钥基础设施），是一种基于非对称加密技术的安全体系，用于确保网络通信的机密性、完整性和身份认证。
PKI技术的发展应用范围广泛，包括数字证书、数字签名、SSL/TLS协议、电子邮件安全等。
PKI技术的核心是公钥和私钥的配对使用。
私钥只有持有者知道，用于数据的加密和数字签名；公钥可以公开，用于数据的解密和验证签名。
通过公钥加密，发送者可以将数据安全地传输给接收者，只有接收者使用其私钥才能解密数据。
而通过私钥签名，发送者可以确保数据的完整性和真实性，接收者可以通过发送者的公钥验证签名。
1.数字证书：数字证书是PKI体系中最重要的组成部分。
数字证书通过授权机构（CA）签发，用于确认公钥和身份的关联性。
证书中包含公钥、持有者的身份信息等，由CA对这些信息进行签名。
通过验证证书，用户可以确认数据的真实性和完整性，从而确保通信的安全。
2.数字签名：数字签名是PKI技术中的一项重要应用，用于验证数据的真实性和完整性。
发送者使用私钥对数据进行签名，接收者使用发送者的公钥验证签名。
如果数据在传输过程中被篡改，验证过程将失败。
数字签名被广泛应用于电子合同、电子交易等场景，以确保数据的可靠性。
3. SSL/TLS协议：SSL（Secure Sockets Layer）和TLS（Transport Layer Security）是一种基于PKI的安全传输协议。
通过使用数字证书和非对称加密，SSL/TLS协议可以确保网络通信的安全性。
SSL/TLS协议被广泛应用于网上银行、电子商务等需要保护用户隐私和数据安全的场景。
4.电子邮件安全：PKI技术可以用于确保电子邮件的机密性和完整性。
通过使用数字证书和加密算法，可以对邮件内容进行加密，防止被窃听和篡改。
同时，数字签名可以确保邮件的真实性和完整性。
1.长期可信性：PKI技术的可信性依赖于授权机构（CA）。
数字签名与身份认证考核试卷
1. ×
2. ×
3. ×
4. ×
5. √
6. ×
7. ×
8. ×
9. √
10. √
五、主观题（参考）
1.数字签名通过使用发送方的私钥对文档的哈希值进行加密，接收方使用发送方的公钥解密验证哈希值，确保文档在传输过程中未被篡改，从而保证真实性和完整性。
2.身份认证确保只有合法用户访问系统资源。方法如：密码（易于使用但可能被破解）、生物识别（安全性高但成本高）、智能卡（安全但需要额外硬件）。各自优势和局限性取决于应用场景和需求。
数字签名与身份认证考核试卷
考生姓名：__________答题日期：__________得分：__________判卷人：__________
一、单项选择题（本题共20小题，每小题1分，共20分，在每小题给出的四个选项中，只有一项是符合题目要求的）
1.数字签名技术用于保证数据的（）
A.保密性
B.完整性
标准答案
一、单项选择题
1. B
2. D
3. C
4. A
5. B
6. C
7. A
8. C
9. B
10. C
11. A
12. B
13. D
14. A
15. C
16. C
17. C
18. A
19. A
20. D
二、多选题
1. ACD
2. BC
3. AB
4. ABC
5. ABC
6. ABC
7. ABC
8. ABC
9. ABC
10. ABC
11. ABC
12. ABC
13. ABC
14. ABC
网络攻防技术实践考核试卷
D. SHA
10.以下哪个不是防范跨站脚本（XSS）攻击的措施？（）
A.输入数据验证
B.输出数据编码
C.使用内容安侵检测系统（NIDS）的类型？（）
A.基于主机的入侵检测系统（HIDS）
B.基于网络的入侵检测系统（NIDS）
C.分布式入侵检测系统（DIDS）
D.防火墙入侵检测系统（FIDS）
12.以下哪个不是恶意软件的类型？（）
A.病毒
B.蠕虫
C.木马
D.间谍软件
13.以下哪个不是防范社会工程攻击的措施？（）
A.提高员工的安全意识
B.定期更新安全软件
C.对敏感信息进行加密
D.限制远程访问权限
14.以下哪个不是常见的网络嗅探工具？（）
A. Wireshark
C.在社交媒体上发布虚假广告
D.通过电话请求敏感信息
20.以下哪些是提高网络安全的最佳实践？（）
A.定期更新系统和应用程序
B.使用强密码策略
C.进行安全意识和培训
D.关闭所有外部网络连接
请在此处继续填写其他题型的题目。
三、填空题（本题共10小题，每小题2分，共20分，请将正确答案填到题目空白处）
1.在网络通信中，_______协议用于保证通信双方的身份和数据完整性。（）
C.散列函数
D.以上都是
17.以下哪些是入侵检测系统（IDS）的作用？（）
A.监控网络流量
B.分析可疑行为
C.发送警报
D.自动阻止攻击
18.以下哪些是安全策略的重要组成部分？（）
A.访问控制
B.用户培训
C.安全配置
D.定期维护
19.以下哪些是网络钓鱼攻击的常见形式？（）
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
2012-2013学年第1学期期中考试试题课程名称《PKI技术及其应用》
考试方式（开）卷适用专业09计科
考试时间（ 120 ）分钟
一、名词解释（20分，每小题4分）
1．公钥基础设施
2. 数字证书
3. 信任关系
4．证书生命周期
5．认证惯例陈述
二、选择题(10分，每题2分)
1.数字证书不包括( )
A. 证书所有人公钥
B.证书有效期
C. 证书所有人私钥
D. 认证机构名
2.中国PKI论坛成立于( )
A. 1980 年
B. 1990年
C. 1998年
D. 2001年3．RA与CA功能的一个主要不同点在于（）
A．注册、注销以及批准或拒绝对用户证书属性的变更要求B．对证书申请人进行合法性确认
C．发放证书
D．向有权拥有身份标记的人当面分发标记或恢复旧标记
4. 以下哪种形式不是简单鉴别( )
A.刮刮卡
B. 口令+ID以明文方式传输
C.随机数加密保护
D.三向认证鉴别
5．下列哪种方式不是PKI管理的传输方式（）A．基于TCP的管理协议 B．基于文件大小的协议
C．通过电邮的管理协议D．通过HTTP的管理协议
三、简答题( 共30分，每题10分)
1．PKI的核心服务有哪些？
2. CA如何对证书进行更新？
3. 信任模型是什么？有哪几种典型的信任模型？
四、分析题( 共40分，每题20分)
1．试详细描述DES算法，并描述加密和解密的过程。
2. 试分析CA系统在网络基础上实施的安全性。
《PKI技术及其应用》标准答案
1. 公钥基础设施：是一个用非对称密码算法原理和技术实现并提供安全服务的具有通用性的安全基础设施。
2. 数字证书：又叫“数字身份证”、“网络身份证”，是由认证中心发放并经认证中心数字签名的，包含公开密钥拥有者以及公开密钥相关信息的一种电子文件，可以用来证明数字证书持有者的真实身份。
3. 信任关系：当两个认证机构中的一方给对方的公钥或双方给对方的公钥颁发证书时，二者之间就建立了这种信任关系。
4. 证书生命周期：证书申请、证书生成、证书存储、证书发布、证书废止这一过程就是证书的生命周期。
5．认证惯例陈述：一种认证惯例陈述可采取CA宣布的形式，包括它的信任系统详细情况及它在操作中和在支持颁发证书中采用的惯例，或者它可以是一种适用于CA的条令或规则和相似的主题。
它也可以是CA和签署者之间的部分契约。
一种认证惯例陈述也可由多份文档、公共法律组合、私人合同或声明组成。
二、选择题(10分，每题2分)
1. C
2. D
3.C
4.D
5.B
三、简答题( 共30分，每题10分)
1. (1)PKI服务的认证性:使得实体甲可以用自己的私钥加密一段挑战
信息，乙收到信息后用甲的公钥(如果乙不知道甲的公钥可以到公开的网站或机构去查明)对信息进行解密，从而确定甲就是甲所声明的实体本身。
(2)PKI服务的保密性:采用了类似于完整性服务的机制，具体如下：
a.甲生成一个对称密钥(使用密钥协商协议)。
b. 用对称密钥加密数据(使用对称分组密码)。
c.将加密后的数据发送给对方。
(3)不可否认性服务是指从技术上保证实体对他们的行为的诚实性。
最受关注的是对数据来源的不可抵赖，即用户不可能否认敏感消息或文件。
此外，还包括其他类型的不可否认性，如传输的不可否认性、创建的不可否认性以及同意的不可否认性等。
2.这个过程依赖于CA，使用它先前的密钥签名新证书，并且使用新密钥签名旧证书。
结果是根CA经历一次密钥更新创建了4个证书。
这4个证书是：
旧用旧证书原始自签名证书，此时先前的CA私钥被用来签名CA证书中先前的公开密钥。
旧用新证书用新CA私钥签名的CA证书中的原始公开密钥。
新用旧证书用先前的CA私钥签名的CA证书中的新的公开密钥。
新用新证书用新CA私钥签名的CA证书中的新的公开密钥。
先前的CA证书(旧用旧证书)在密钥更新事件发生时由所有依赖方拥有。
新用旧证书允许新产生的CA公开密钥由先前的、可信的密钥证实。
一旦新密钥是可信的，依赖方获得的新CA证书(新用新证书)将能够信任它，此时旧用旧证书和新用旧证书对于依赖方不再是必要的。
新用旧证书的有效期限从新CA密钥的密钥产生时间开始，在所有依赖方转移到承认新密钥的适当日期结束。
最后的可能时间是先前的密钥的过期期限。
旧用新证书实现旧密钥对向新密钥对的平滑转换，其有效期从先前的密钥对产生的日期开始，到旧用旧证书过期的日期结束。
在CA新旧证书交迭时期，旧证书
和新证书都可以使用。
3. 信任模型描述了建立信任关系的方法，寻找和遍历信任路径的规则。
信任关系可以是双向的或单向的。
有严格层次结构、对等结构、网状结构、用户为中心、混合结构等。
四、分析题( 共40分，每题20分)
1.算法描述－密钥产生
⏹独立地选取两大素数p和q(各100～200位十进制数字)
⏹计算n=p×q，其欧拉函数值ϕ(n)=(p－1)(q－1)
⏹随机选一整数e，1≤e<ϕ(n)，gcd(ϕ(n), e)=1
⏹在模ϕ(n)下，计算e的有逆元d=e-1mod ϕ(n)
⏹以n，e为公钥。
秘密钥为d。
(p, q不再需要，可以销毁。
)
算法描述－加密和解密
⏹加密
将明文分组，各组对应的十进制数小于n
c=m e mod n
⏹解密
m=c d mod n
加解密：用户A以B的公钥加密消息m，传输给B后，B用自己的私钥进行解密。
签名：用户A以自己的秘密钥S k A对消息m进行A的专用变换D SKA，A计算密文：c=DSK A(m)送给用户B，B验证c：m=E PKA（c）=E PKA(D SKA(m))
2.在CA系统的网络结构设计中，根据不同应用系统对安全性要求的不同，划分为以下3个安全区域：
第一区域是CA中心信息发布区域，包括信息发布服务器和证书接口服务器；第二区域是CA中心核心区域，包括签名服务器和密钥管理服务器；
第三区域是CA中心证书管理区域，包括证书管理服务器和本地RA等。
安全保护是网络安全性设计中重要的一环，采用多层安全保护技术提高系统安全性，既限制外部对系统的非授权访问，也限制内部对外部的非授权访问，还限制内部系统之间,特别是安全级别低的系统对安全级别高的系统的非授权访问。
CA中心业务受理审核系统同远程RA业务受理审核系统的连接方案，通过邮政综合网的广域网平台方式连接，采用数字信封进行数据封装，保障数据传输的安全性和可靠性。
同样，远程RA业务受理审核系统与公众Internet网物理上是分开的，加上采用防火墙控制访问权限，能有效保证系统的安全性。
在网络设计上，采用交换式以太网，数据包在LAN上是从一台机器到另一台机器，其他机器无法窃听，从而提高了网络安全性。
采用分布式的实时网络安全监测系统来实时监测网络上发生的情况，以帮助网络管理者了解何时攻击在进行、入侵者何时并以何种方式试图进入网络。
系统备份服务器作为全网重要数据的备份中心，备份的数据包括受理审核系统的用户信息、证书、证书注销列表等。
可以采取多种网络安全设备联合的形式，对CA系统网络基础实施的安全性进行保障。
采用防火墙、IDS、防杀病毒、。
网络扫描和分析等手段。