《电子商务安全导论》读书笔记12

第一篇：《电子商务安全导论》读书笔记12

《电子商务安全导论》读书笔记12的认证域以内的SERVER申请服务。

5，域间认证：是指CLIENT向本KERBEROS的认证域以内的SERVER申请服务。

简答题

1，实体认证与消息认证的主要差别是什么？

答：实体认证与消息认证的差别在于，消息认证本身不提供时间性，而实体认证一般都是实时的。另一方面，实体认证通常证实实体本身，而消息认证除了证实消息的合法性和完整性外，还要知道消息的含义。

2，通行字的选择原则是什么？

答：易记；难于被别人猜中或发现；抗分析能力强。在实际系统中，需要考虑和规定选择方法，使用期限，字符长度，分配和管理以及在计算机系统内的保护等。根据系统对安全水平的要求可有不同的选取。

3，通行字的安全存储有哪二种方法？

答：（1）用户的通行字多以加密形式存储，入侵者要得到通行字，必须知道加密算法和密钥。（2）许多系统可以存储通行字的单向杂凑值，入侵者即使行到此杂凑也难于推出通行字。论述题

1，试述一下身份证明系统的相关要求。

答：对身份证明系统的相关要求：

（1）验证者正确认别合法示证者的概率极大化。（2）不具可传递性，验证者B不可能重用示证者A提供给他的信息，伪装示证者A成功地骗取其他人的验证，得到信任。（3）攻击者伪装示证者欺骗验证者成功的概率小到可以忽略，特别是要能抗已知密文攻击，即攻击者在截获到示证者和验证者多次通信下，伪装示证者欺骗验证者。（4）计算有效性，为实现身份证明所需的计算量要小。

（5）通信有效性，为实现身份证明所需通信次数和数据量要小。（6）秘密参数安全存储。

（7）交互识别，有些应用中要求双方互相进行身份认证。

（8）第三方实时参与，如在线公钥检索服务。（9）第三方的可信赖性。（10）可证明安全性。

后四条是有些身份误用别系统提出的要求。

身份识别与数字签字密切相关，数字签名是实现身份识别的一个途径，但在身份识别消息的语义基本上是固定的，是当前时刻的申请者的身份验证者根据规定或接受或拒绝申请。一般签字不是“终生”的，但应是长期有效的，未来仍可启用的。

第八章公钥证书与证书机构

名词解释

1，数字认证：是指用数字办法确认，鉴定，认证网络上参与信息交流者或服务器的身份。2，公钥证书：它将公开密钥与特定的人，器件或其他实体联系起来。公钥证书是由证书机构签署的，其中包含有持证者的确切身份。

3，公钥数字证书：网络上的证明文件，证明双钥体制中的公钥所有者就是证书上所记录的使用者。

4，单公钥证书系统：一个系统中所有的用户公用同一个CA。

第二篇：《电子商务安全导论》读书笔记8

《电子商务安全导论》读书笔记8，目前防火墙的控制技术可分为：包过滤型，包检验型以及应用层网关型三种。7，防火墙不能解决的问题有哪些？

答：（1）如果网络管理员不能及时响应报警并审查常规记录，防火墙就形同虚设。在这种情况下，网络管理员永远不会知道防火墙是否受到攻击。

（2）防火墙无法防范通过防火墙以外的其他途径的攻击。

（3）防火墙不能防止来自内部变节者和不经心的用户带来的威胁。

（4）防火墙也不能防止传送已感染病毒的软件或文件。

（5）防火墙无法防范数据驱动型的攻击。

8，VPN提供哪些功能？

答：加密数据：以保证通过公网传输的信息即使被他人截获也不会泄露。

信息认证和身份认证：保证信息的完整性，合法性，并能鉴用户的身份。

提供访问控制：不同的用户有不同的访问权限。

9，简述隧道的基本组成。

答：一个隧道启动器，一个路由网络，一个可选的隧道交换机，一个或多个隧道终结器。11，IPSec提供的安全服务包括：私有性（加密），真实性（验证发送者的身份），完整性（防数据篡改）和重传保护（防止未经授权的数据重新发送）等，并制定了密钥管理的方法。12，选择VPN（虚拟专用网）解决方案时需要考虑哪几个要点？

答：（1）认证方法；（2）支持的加密算法。（3）支持的认证算法。（4）支持IP压缩算法。

（5）易于部署。（6）兼容分布式或个人防火墙的可用性。

13，简述VPN的分类。

答：按VPN的部署模式分，VPN的部署模式从本质上描述了VPN的通道是如何建立和终止的，一般有三种VPN部署模式：端到端模式；供应商到企业模式；内部供应商模式。按VPN的服务类型分，VPN业务大致可分为三类：internetVPN AccessVPN和ExtranetVPN。14，简述VPN的具体实现即解决方案有哪几种？

答：（1）虚拟专用拨号网络，用户利用拨号网络访问企业数据中心，用户从企业数据中心获得一个私有地址，但用户数据可跨公共数据网络传输。

（2）虚拟专用路由网络，它是基于路由的VPN接入方式。

（3）虚拟租用线路，是基于虚拟专线的一种VPN

第三篇：《电子商务安全导论》读书笔记3

《电子商务安全导论》读书笔记

3第二章 电子商务安全需求和密码技术

名词解释

1，明文：原始的，未被伪装的消息称做明文，也称信源。通常用M表示。

2，密文：通过一个密钥和加密算法将明文变换成一种伪信息，称为密文。通常用C表示。3，加密：就是用基于数学算法的程序和加密的密钥对信息进行编码，生成别人难以理解的符号，即把明文变成密文的过程。通常用E表示。

4，解密：由密文恢复成明文的过程，称为解密。通常用D表示。

5，加密算法：对明文进行加密所采用的一组规则，即加密程序的逻辑称做加密算法。

6，解密算法：消息传送给接收者后，要对密文进行解密时所采用的一组规则称做解密算法。7，密钥：加密和解密算法的操作通常都是在一组密钥的控制下进行的，分别称作加密密钥和解密密钥。通常用K表示。

8，单钥密码体制：是加密和解密使用桢或实质上等同的密钥的加密体制。使用单钥密码体制时，通信双方A B必须相互交换密钥，当A发信息B时，A用自己的加密密钥匙进行加密，而B在接收到数据后，用A的密钥进行解密。单钥密码体制又称为秘密密钥体制或对称密钥体制。

9，双钥密码体制又称作公共密钥体制或非对称加密体制，这种加密法在加密和解密过程中要使用一对密钥，一个用与加密，另一上用于解密。即通过一个密钥加密的信息，只有使用另一个密钥才能够解密。这样每个用户都拥有两个密钥：公共密钥和个人密钥，公共密钥用于加密钥，个人密钥用于解密。用户将公共密钥交给发送方或公开，信息发送者使用接收人的公共密钥加密的信息只有接收人才能解密。

简答题材、1，电子商务的可靠性的含义是什么？

答：可靠性是指电子商务系统的可靠性，电子商务系统也就是计算机系统，其可靠性是指为防止由于计算机失效，程序错误，传输错误，硬件故障，系统软件错误，计算机病毒和自然灾害等听所产生的潜在威胁，并加以控制和预防，确保系统安全可靠性。

2，电子商务的真实性的含义是什么？

答：真实性蝗旨商务活动中交易身份的真实性，亦即是交易双方确实存在的，不是假冒的。3，单钥密码体制的特点是什么？

答：第一，加密和解密的速度快，效率高；第二，单钥密码体制的加密和解密过程使用同一个密钥。发送者的接收者都需要知道密钥，需要安全渠道进行密钥的传递，单钥密码体制无法适应互联网大环境多人相互通信要求。

4，双钥密钥体制最大的特点是什么？

答：第一，适合密钥的分配和管理。第二，算法速度慢，只适合加密小数量的信息。5，替换加密和转换加密的主要区别是什么？

答：在替换加密法中，原文的顺序没被改变，而是通过各种字母映射关系把原文隐藏了起来。转换加密法是将原字母的顺序打乱，将其重新排列。

6，简述密码系统的理论安全性的实用安全性。

答：由于计算机技术的发展，人们借且于计算机进行分析处理，密码的破译能力也不断提高。一个密码体制的安全性取决于破译者具备的能力，如若它对于拥有无限计算资源的破译者来说是安全的，则称这样的密码体制是无条件安全的，它意味着不论破译者拥有多大的资源，都不可能破译；如若一个密码体制对于拥有限计算资源的破泽者来说是安全的，则称这样的密码体制是计算上安全的，计算上安全的密码表明破译的难度很大。

无条件安全的密码体制是理论上安全的；计算上安全的密码体制是实用的安全性。但目前已知的无条件安全的密码体制都是不实用的；同时还没有一个实用的密码体制被证明是计算上安全的。

第三章 密码技术的应用

第四篇：《电子商务安全导论》读书笔记2

《电子商务安全导论》读书笔记2

4，为什么交易的安全性是电子商务独有的？

答：这也是电子商务系统所独有的。在我们的日常生活中，进行一次交易必须办理一定的手续，由双方签发各种收据凭证，并签名盖章以作为法律凭据。但在电子商务中，交易在网上进行，双方甚至不会见面，那么一旦一方反悔，另一方怎么能够向法院证明合同呢？这就需要一个网上认证机构对每一笔业务进行认证，以确保交易的安全，避免恶意欺诈。5，攻击WEB站点有哪几种方式？

答：安全信息被破译：WEB服务器的安全信息，如口令，密钥等被破译，导致攻击者进入WEB服务器。浏览器的强大功能，可以以不同形式访问WEB站点的数据，这不仅为用户，同时也为攻击者打开了许多方便之门。攻击者试图在内部网上获取信息或利用；计算机资源。因此，必须保护WEB站点，防止闯入者的袭击。最常见，也是最有效的保护是使用防火墙。非法访问：未授权者非法访问了WEB上的文件，损害了电子商务中的隐私性，机密截获。交易信息被截获：当用户向服务器传输交易信息时被截获。

软件漏洞被攻击者利用：系统中的软件错误，使得攻击者可以对WEB服务器发出指令，致使系统被修改和损坏，甚至引起整个系统的崩溃。

当用CGI脚本编写的程序或其他涉及到远程用户从浏览中输入表格并进行像检索之类在主机上直接操作命令时，会给WEB主机系统造成危险。

6，WEB客户机和WEB服务器的任务分别是什么？

答：WEB客户机的任务是：（1）为客户提出一个服务请求——超链时启动；（2）将客户的请求发送给服务器；（3）解释服务器传送的HTML等格式文档，通过浏览器显示给客户。WEB服务器的任务是：（1）接收客户机来的请求；（2）检查请求的合法性；（3）针对请求，获取并制作数据，包括使用CGI脚本等程序，为文件设置适当的MIME类型来对数据进行前期处理和后期处理；（4）把信息发送给提出请求的客户机。

7，电子商务安全的六项中心内容是什么？

答（1）商务数据的机密性或称保密性是指信息在网络上传送或存储的过程中不被他人窃取，不被泄露或披露给未经授权的人或组织，或者经过加密伪装后，使未经授权者无法了解其内容。

（2）商务数据的完整性或称正确性是保护数据不被未经授权者修改，建立，嵌入，删除，重复传送或由于其他原因使原始数据被更改。

（3）商务对象的认证性是指网络两端的使用者在沟通之前相互确认对方的身份。

（4）商务服务的不可否认性是指信息的发送方面不能否认已发送的信息，接收方不能否认已收到的信息，这是一种法津有效性要求。

（5）商务服务的不可拒绝性或称可用性是保证授权用户在正常访问信息和资源时不被拒绝，即保证为用户提供稳定的服务。

（6）访问的控制性是指在网络上限制和控制通信链路对主机系统和应用的访问：用于保护计算机系统的资源（信息，计算和通信资源）不被未经授权人或以未经授权方式接入，使用，修改，发出指令或植入程序等。

第五篇：《电子商务安全导论》读书笔记5

《电子商务安全导论》读书笔记5。

3，数字签名与消息的真实性认证有什么不同？

答：数字签名与消息的真实性认证是不同的。消息认证是使接收方能验证消息发送者及所发信息内容是否被篡改过。当收发者之间没有利害冲突时，这对于防止第三者的破坏来说是足够了。但当接收者和发送者之间相互有利害冲突时，单纯用消息认证技术就无法解决他们之间的纠纷，此是需借助数字签名技术。

4，数字签名和手书签名有什么不同？

答：数字签名和手书签名的区别在于：手书签名是模拟的，因人而异，即使同一个人也有细微差别，比较容易伪造，要区别是否是伪造，往往需要特殊专家。而数字签名是0和1的数字串，极难伪造，不需专家。对不同的信息摘要，即使是同一人，其数字签名也是不同的。这样就实现了文件与签署的最紧密的“捆绑”。

5，数字签名可以解决哪些安全鉴别问题？

答：数字签名可以解决下述安全鉴别问题：

（1）接收方伪造：接收方伪造一份文件，并声称这是发送方发送的；（2）发送者或收者否认：发送者或接收者事后不承认自己曾经发送或接收过文件；（3）第三方冒充：网上的第三方用户冒充发送或接收文件；（4）接收方篡改：接收方对收到的文件进行改动。6，无可争辩签名有何优缺点？

答：无可争辩签名是在没有签名者自己的合作下不可能验证签名的签名。

无可争辩签名是为了防止所签文件被复制，有利于产权拥有者控制产品的散发。适用于某些应用，如电子出版系统，以利于对知识产权的保护。

在签名人合作下才能验证签名，又会给签名者一种机会，在不利于他时可拒绝合作，因而不具有“不可否认性”。无可争辩签名除了一般签名体制中的签名算法和验证算法外，还需要第三个组成部分，即否认协议：签名者利用无可争辩签名可向法庭或公众证明一个伪造的签名的确是假的；但如果签名者拒绝参与执行否认协议，就表明签名真的由他签署。论述题

1，对比传统手书签名来论述数字签名的必要性。

答：商业中的契约，合同文件，公司指令和条约，以及商务书信等，传统采用手书签名或印章，以便在法律上能认证，核准，生效。传统手书签名仪式要专门预定日期时间，契约各方到指定地点共同签署一个合同文件，短时间的签名工作量需要很长时间的前期准备工作。由于某个人不在要签署文件的当地，于是要等待，再等待。这种状况对于管理者，是延误时机；对于合作伙伴，是丢失商机；对于政府机关，是办事效率低下。

电子商务的发展大大地加快了商务的流程，已经不能容忍这种“慢条斯理”的传统手书签名方式。在电子商务时代，为了使商，贸，政府机构和直接消费者各方交流商务信息更快，更准确和更便于自动化处理，各种凭证，文件，契约，合同，指令，条约，书信，订单，企业内部的管理等必须实现网络化的传递。保障传递文件的机密性应使用加密技术，保障其完整性则用信息摘要要技术，而保障认证性和不可否认性则应使用数字签名技术。

数字签名可做到高效而快速的响应，任意时刻，在地球任何地方——只要有internet，就可完成签署工作

数字签名除了可用于电子商务中的签署外，还可用于电子办公，电子转账及电子邮递等系统。

第四章 网络系统物理安全与计算机病毒的防治

名词解释

1，备份：是恢复出错系统的办法之一，可以用备份系统将最近的一次系统备份恢复到机器

上去。

2，归档：是指将文件从计算机的存储介质中转移到其他永久性的介质上的，以便长期保存的过程。

3，计算机病毒：是指编制者在计算机程序中插入的破坏计算机功能的程序，或者毁灭数据，影响计算机使用，并能自我复制的一组计算机指令或者程序代码。

4，镜像技术：是数据备份技术的一种，主要有网络数据镜像，远程镜像磁盘等。

5，网络物理安全：指物理设备可靠，稳定运行环境，容错，备份，归档和数据完整性预防。6，奇偶校验：也是服务器的一个特性。它提供一种机器机制来保证对内存错误的检测，因此，不会引起由于服务器出错而造成数据完整性的丧失。

7，引导型病毒：是指寄生在磁盘引导区或主引导区的计算机病毒。

8，文件病毒：是指能够寄存在文件中的计算机病毒。这类病毒程序感染可执行文件或数据文件。

9，良性病毒：是指那些只是为了表现自身，并不彻底破坏系统和数据，但会大量占用CPU时间，增加系统开销，降低系统工作效率的一类计算机病毒。

10，恶性病毒：是指那些一旦发作后，就会破坏系统或数据，造成计算机系统瘫痪的一类计算机病毒。

简答题