第一篇：《電子商務(wù)安全導(dǎo)論》讀書筆記12

《電子商務(wù)安全導(dǎo)論》讀書筆記12的認證域以內(nèi)的SERVER申請服務(wù)。

5，域間認證：是指CLIENT向本KERBEROS的認證域以內(nèi)的SERVER申請服務(wù)。

簡答題

1，實體認證與消息認證的主要差別是什么？

答：實體認證與消息認證的差別在于，消息認證本身不提供時間性，而實體認證一般都是實時的。另一方面，實體認證通常證實實體本身，而消息認證除了證實消息的合法性和完整性外，還要知道消息的含義。

2，通行字的選擇原則是什么？

答：易記；難于被別人猜中或發(fā)現(xiàn)；抗分析能力強。在實際系統(tǒng)中，需要考慮和規(guī)定選擇方法，使用期限，字符長度，分配和管理以及在計算機系統(tǒng)內(nèi)的保護等。根據(jù)系統(tǒng)對安全水平的要求可有不同的選取。

3，通行字的安全存儲有哪二種方法？

答：（1）用戶的通行字多以加密形式存儲，入侵者要得到通行字，必須知道加密算法和密鑰。（2）許多系統(tǒng)可以存儲通行字的單向雜湊值，入侵者即使行到此雜湊也難于推出通行字。論述題

1，試述一下身份證明系統(tǒng)的相關(guān)要求。

答：對身份證明系統(tǒng)的相關(guān)要求：

（1）驗證者正確認別合法示證者的概率極大化。（2）不具可傳遞性，驗證者B不可能重用示證者A提供給他的信息，偽裝示證者A成功地騙取其他人的驗證，得到信任。（3）攻擊者偽裝示證者欺騙驗證者成功的概率小到可以忽略，特別是要能抗已知密文攻擊，即攻擊者在截獲到示證者和驗證者多次通信下，偽裝示證者欺騙驗證者。（4）計算有效性，為實現(xiàn)身份證明所需的計算量要小。

（5）通信有效性，為實現(xiàn)身份證明所需通信次數(shù)和數(shù)據(jù)量要小。（6）秘密參數(shù)安全存儲。

（7）交互識別，有些應(yīng)用中要求雙方互相進行身份認證。

（8）第三方實時參與，如在線公鑰檢索服務(wù)。（9）第三方的可信賴性。（10）可證明安全性。

后四條是有些身份誤用別系統(tǒng)提出的要求。

身份識別與數(shù)字簽字密切相關(guān)，數(shù)字簽名是實現(xiàn)身份識別的一個途徑，但在身份識別消息的語義基本上是固定的，是當前時刻的申請者的身份驗證者根據(jù)規(guī)定或接受或拒絕申請。一般簽字不是“終生”的，但應(yīng)是長期有效的，未來仍可啟用的。

第八章公鑰證書與證書機構(gòu)

名詞解釋

1，數(shù)字認證：是指用數(shù)字辦法確認，鑒定，認證網(wǎng)絡(luò)上參與信息交流者或服務(wù)器的身份。2，公鑰證書：它將公開密鑰與特定的人，器件或其他實體聯(lián)系起來。公鑰證書是由證書機構(gòu)簽署的，其中包含有持證者的確切身份。

3，公鑰數(shù)字證書：網(wǎng)絡(luò)上的證明文件，證明雙鑰體制中的公鑰所有者就是證書上所記錄的使用者。

4，單公鑰證書系統(tǒng)：一個系統(tǒng)中所有的用戶公用同一個CA。

第二篇：《電子商務(wù)安全導(dǎo)論》讀書筆記8

《電子商務(wù)安全導(dǎo)論》讀書筆記8，目前防火墻的控制技術(shù)可分為：包過濾型，包檢驗型以及應(yīng)用層網(wǎng)關(guān)型三種。7，防火墻不能解決的問題有哪些？

答：（1）如果網(wǎng)絡(luò)管理員不能及時響應(yīng)報警并審查常規(guī)記錄，防火墻就形同虛設(shè)。在這種情況下，網(wǎng)絡(luò)管理員永遠不會知道防火墻是否受到攻擊。

（2）防火墻無法防范通過防火墻以外的其他途徑的攻擊。

（3）防火墻不能防止來自內(nèi)部變節(jié)者和不經(jīng)心的用戶帶來的威脅。

（4）防火墻也不能防止傳送已感染病毒的軟件或文件。

（5）防火墻無法防范數(shù)據(jù)驅(qū)動型的攻擊。

8，VPN提供哪些功能？

答：加密數(shù)據(jù)：以保證通過公網(wǎng)傳輸?shù)男畔⒓词贡凰私孬@也不會泄露。

信息認證和身份認證：保證信息的完整性，合法性，并能鑒用戶的身份。

提供訪問控制：不同的用戶有不同的訪問權(quán)限。

9，簡述隧道的基本組成。

答：一個隧道啟動器，一個路由網(wǎng)絡(luò)，一個可選的隧道交換機，一個或多個隧道終結(jié)器。11，IPSec提供的安全服務(wù)包括：私有性（加密），真實性（驗證發(fā)送者的身份），完整性（防數(shù)據(jù)篡改）和重傳保護（防止未經(jīng)授權(quán)的數(shù)據(jù)重新發(fā)送）等，并制定了密鑰管理的方法。12，選擇VPN（虛擬專用網(wǎng)）解決方案時需要考慮哪幾個要點？

答：（1）認證方法；（2）支持的加密算法。（3）支持的認證算法。（4）支持IP壓縮算法。

（5）易于部署。（6）兼容分布式或個人防火墻的可用性。

13，簡述VPN的分類。

答：按VPN的部署模式分，VPN的部署模式從本質(zhì)上描述了VPN的通道是如何建立和終止的，一般有三種VPN部署模式：端到端模式；供應(yīng)商到企業(yè)模式；內(nèi)部供應(yīng)商模式。按VPN的服務(wù)類型分，VPN業(yè)務(wù)大致可分為三類：internetVPN AccessVPN和ExtranetVPN。14，簡述VPN的具體實現(xiàn)即解決方案有哪幾種？

答：（1）虛擬專用撥號網(wǎng)絡(luò)，用戶利用撥號網(wǎng)絡(luò)訪問企業(yè)數(shù)據(jù)中心，用戶從企業(yè)數(shù)據(jù)中心獲得一個私有地址，但用戶數(shù)據(jù)可跨公共數(shù)據(jù)網(wǎng)絡(luò)傳輸。

（2）虛擬專用路由網(wǎng)絡(luò)，它是基于路由的VPN接入方式。

（3）虛擬租用線路，是基于虛擬專線的一種VPN

第三篇：《電子商務(wù)安全導(dǎo)論》讀書筆記3

《電子商務(wù)安全導(dǎo)論》讀書筆記

3第二章 電子商務(wù)安全需求和密碼技術(shù)

名詞解釋

1，明文：原始的，未被偽裝的消息稱做明文，也稱信源。通常用M表示。

2，密文：通過一個密鑰和加密算法將明文變換成一種偽信息，稱為密文。通常用C表示。3，加密：就是用基于數(shù)學(xué)算法的程序和加密的密鑰對信息進行編碼，生成別人難以理解的符號，即把明文變成密文的過程。通常用E表示。

4，解密：由密文恢復(fù)成明文的過程，稱為解密。通常用D表示。

5，加密算法：對明文進行加密所采用的一組規(guī)則，即加密程序的邏輯稱做加密算法。

6，解密算法：消息傳送給接收者后，要對密文進行解密時所采用的一組規(guī)則稱做解密算法。7，密鑰：加密和解密算法的操作通常都是在一組密鑰的控制下進行的，分別稱作加密密鑰和解密密鑰。通常用K表示。

8，單鑰密碼體制：是加密和解密使用楨或?qū)嵸|(zhì)上等同的密鑰的加密體制。使用單鑰密碼體制時，通信雙方A B必須相互交換密鑰，當A發(fā)信息B時，A用自己的加密密鑰匙進行加密，而B在接收到數(shù)據(jù)后，用A的密鑰進行解密。單鑰密碼體制又稱為秘密密鑰體制或?qū)ΨQ密鑰體制。

9，雙鑰密碼體制又稱作公共密鑰體制或非對稱加密體制，這種加密法在加密和解密過程中要使用一對密鑰，一個用與加密，另一上用于解密。即通過一個密鑰加密的信息，只有使用另一個密鑰才能夠解密。這樣每個用戶都擁有兩個密鑰：公共密鑰和個人密鑰，公共密鑰用于加密鑰，個人密鑰用于解密。用戶將公共密鑰交給發(fā)送方或公開，信息發(fā)送者使用接收人的公共密鑰加密的信息只有接收人才能解密。

簡答題材、1，電子商務(wù)的可靠性的含義是什么？

答：可靠性是指電子商務(wù)系統(tǒng)的可靠性，電子商務(wù)系統(tǒng)也就是計算機系統(tǒng)，其可靠性是指為防止由于計算機失效，程序錯誤，傳輸錯誤，硬件故障，系統(tǒng)軟件錯誤，計算機病毒和自然災(zāi)害等聽所產(chǎn)生的潛在威脅，并加以控制和預(yù)防，確保系統(tǒng)安全可靠性。

2，電子商務(wù)的真實性的含義是什么？

答：真實性蝗旨商務(wù)活動中交易身份的真實性，亦即是交易雙方確實存在的，不是假冒的。3，單鑰密碼體制的特點是什么？

答：第一，加密和解密的速度快，效率高；第二，單鑰密碼體制的加密和解密過程使用同一個密鑰。發(fā)送者的接收者都需要知道密鑰，需要安全渠道進行密鑰的傳遞，單鑰密碼體制無法適應(yīng)互聯(lián)網(wǎng)大環(huán)境多人相互通信要求。

4，雙鑰密鑰體制最大的特點是什么？

答：第一，適合密鑰的分配和管理。第二，算法速度慢，只適合加密小數(shù)量的信息。5，替換加密和轉(zhuǎn)換加密的主要區(qū)別是什么？

答：在替換加密法中，原文的順序沒被改變，而是通過各種字母映射關(guān)系把原文隱藏了起來。轉(zhuǎn)換加密法是將原字母的順序打亂，將其重新排列。

6，簡述密碼系統(tǒng)的理論安全性的實用安全性。

答：由于計算機技術(shù)的發(fā)展，人們借且于計算機進行分析處理，密碼的破譯能力也不斷提高。一個密碼體制的安全性取決于破譯者具備的能力，如若它對于擁有無限計算資源的破譯者來說是安全的，則稱這樣的密碼體制是無條件安全的，它意味著不論破譯者擁有多大的資源，都不可能破譯；如若一個密碼體制對于擁有限計算資源的破澤者來說是安全的，則稱這樣的密碼體制是計算上安全的，計算上安全的密碼表明破譯的難度很大。

無條件安全的密碼體制是理論上安全的；計算上安全的密碼體制是實用的安全性。但目前已知的無條件安全的密碼體制都是不實用的；同時還沒有一個實用的密碼體制被證明是計算上安全的。

第三章 密碼技術(shù)的應(yīng)用

第四篇：《電子商務(wù)安全導(dǎo)論》讀書筆記2

《電子商務(wù)安全導(dǎo)論》讀書筆記2

4，為什么交易的安全性是電子商務(wù)獨有的？

答：這也是電子商務(wù)系統(tǒng)所獨有的。在我們的日常生活中，進行一次交易必須辦理一定的手續(xù)，由雙方簽發(fā)各種收據(jù)憑證，并簽名蓋章以作為法律憑據(jù)。但在電子商務(wù)中，交易在網(wǎng)上進行，雙方甚至不會見面，那么一旦一方反悔，另一方怎么能夠向法院證明合同呢？這就需要一個網(wǎng)上認證機構(gòu)對每一筆業(yè)務(wù)進行認證，以確保交易的安全，避免惡意欺詐。5，攻擊WEB站點有哪幾種方式？

答：安全信息被破譯：WEB服務(wù)器的安全信息，如口令，密鑰等被破譯，導(dǎo)致攻擊者進入WEB服務(wù)器。瀏覽器的強大功能，可以以不同形式訪問WEB站點的數(shù)據(jù)，這不僅為用戶，同時也為攻擊者打開了許多方便之門。攻擊者試圖在內(nèi)部網(wǎng)上獲取信息或利用；計算機資源。因此，必須保護WEB站點，防止闖入者的襲擊。最常見，也是最有效的保護是使用防火墻。非法訪問：未授權(quán)者非法訪問了WEB上的文件，損害了電子商務(wù)中的隱私性，機密截獲。交易信息被截獲：當用戶向服務(wù)器傳輸交易信息時被截獲。

軟件漏洞被攻擊者利用：系統(tǒng)中的軟件錯誤，使得攻擊者可以對WEB服務(wù)器發(fā)出指令，致使系統(tǒng)被修改和損壞，甚至引起整個系統(tǒng)的崩潰。

當用CGI腳本編寫的程序或其他涉及到遠程用戶從瀏覽中輸入表格并進行像檢索之類在主機上直接操作命令時，會給WEB主機系統(tǒng)造成危險。

6，WEB客戶機和WEB服務(wù)器的任務(wù)分別是什么？

答：WEB客戶機的任務(wù)是：（1）為客戶提出一個服務(wù)請求——超鏈時啟動；（2）將客戶的請求發(fā)送給服務(wù)器；（3）解釋服務(wù)器傳送的HTML等格式文檔，通過瀏覽器顯示給客戶。WEB服務(wù)器的任務(wù)是：（1）接收客戶機來的請求；（2）檢查請求的合法性；（3）針對請求，獲取并制作數(shù)據(jù)，包括使用CGI腳本等程序，為文件設(shè)置適當?shù)腗IME類型來對數(shù)據(jù)進行前期處理和后期處理；（4）把信息發(fā)送給提出請求的客戶機。

7，電子商務(wù)安全的六項中心內(nèi)容是什么？

答（1）商務(wù)數(shù)據(jù)的機密性或稱保密性是指信息在網(wǎng)絡(luò)上傳送或存儲的過程中不被他人竊取，不被泄露或披露給未經(jīng)授權(quán)的人或組織，或者經(jīng)過加密偽裝后，使未經(jīng)授權(quán)者無法了解其內(nèi)容。

（2）商務(wù)數(shù)據(jù)的完整性或稱正確性是保護數(shù)據(jù)不被未經(jīng)授權(quán)者修改，建立，嵌入，刪除，重復(fù)傳送或由于其他原因使原始數(shù)據(jù)被更改。

（3）商務(wù)對象的認證性是指網(wǎng)絡(luò)兩端的使用者在溝通之前相互確認對方的身份。

（4）商務(wù)服務(wù)的不可否認性是指信息的發(fā)送方面不能否認已發(fā)送的信息，接收方不能否認已收到的信息，這是一種法津有效性要求。

（5）商務(wù)服務(wù)的不可拒絕性或稱可用性是保證授權(quán)用戶在正常訪問信息和資源時不被拒絕，即保證為用戶提供穩(wěn)定的服務(wù)。

（6）訪問的控制性是指在網(wǎng)絡(luò)上限制和控制通信鏈路對主機系統(tǒng)和應(yīng)用的訪問：用于保護計算機系統(tǒng)的資源（信息，計算和通信資源）不被未經(jīng)授權(quán)人或以未經(jīng)授權(quán)方式接入，使用，修改，發(fā)出指令或植入程序等。

第五篇：《電子商務(wù)安全導(dǎo)論》讀書筆記5

《電子商務(wù)安全導(dǎo)論》讀書筆記5。

3，數(shù)字簽名與消息的真實性認證有什么不同？

答：數(shù)字簽名與消息的真實性認證是不同的。消息認證是使接收方能驗證消息發(fā)送者及所發(fā)信息內(nèi)容是否被篡改過。當收發(fā)者之間沒有利害沖突時，這對于防止第三者的破壞來說是足夠了。但當接收者和發(fā)送者之間相互有利害沖突時，單純用消息認證技術(shù)就無法解決他們之間的糾紛，此是需借助數(shù)字簽名技術(shù)。

4，數(shù)字簽名和手書簽名有什么不同？

答：數(shù)字簽名和手書簽名的區(qū)別在于：手書簽名是模擬的，因人而異，即使同一個人也有細微差別，比較容易偽造，要區(qū)別是否是偽造，往往需要特殊專家。而數(shù)字簽名是0和1的數(shù)字串，極難偽造，不需專家。對不同的信息摘要，即使是同一人，其數(shù)字簽名也是不同的。這樣就實現(xiàn)了文件與簽署的最緊密的“捆綁”。

5，數(shù)字簽名可以解決哪些安全鑒別問題？

答：數(shù)字簽名可以解決下述安全鑒別問題：

（1）接收方偽造：接收方偽造一份文件，并聲稱這是發(fā)送方發(fā)送的；（2）發(fā)送者或收者否認：發(fā)送者或接收者事后不承認自己曾經(jīng)發(fā)送或接收過文件；（3）第三方冒充：網(wǎng)上的第三方用戶冒充發(fā)送或接收文件；（4）接收方篡改：接收方對收到的文件進行改動。6，無可爭辯簽名有何優(yōu)缺點？

答：無可爭辯簽名是在沒有簽名者自己的合作下不可能驗證簽名的簽名。

無可爭辯簽名是為了防止所簽文件被復(fù)制，有利于產(chǎn)權(quán)擁有者控制產(chǎn)品的散發(fā)。適用于某些應(yīng)用，如電子出版系統(tǒng)，以利于對知識產(chǎn)權(quán)的保護。

在簽名人合作下才能驗證簽名，又會給簽名者一種機會，在不利于他時可拒絕合作，因而不具有“不可否認性”。無可爭辯簽名除了一般簽名體制中的簽名算法和驗證算法外，還需要第三個組成部分，即否認協(xié)議：簽名者利用無可爭辯簽名可向法庭或公眾證明一個偽造的簽名的確是假的；但如果簽名者拒絕參與執(zhí)行否認協(xié)議，就表明簽名真的由他簽署。論述題

1，對比傳統(tǒng)手書簽名來論述數(shù)字簽名的必要性。

答：商業(yè)中的契約，合同文件，公司指令和條約，以及商務(wù)書信等，傳統(tǒng)采用手書簽名或印章，以便在法律上能認證，核準，生效。傳統(tǒng)手書簽名儀式要專門預(yù)定日期時間，契約各方到指定地點共同簽署一個合同文件，短時間的簽名工作量需要很長時間的前期準備工作。由于某個人不在要簽署文件的當?shù)?，于是要等待，再等待。這種狀況對于管理者，是延誤時機；對于合作伙伴，是丟失商機；對于政府機關(guān)，是辦事效率低下。

電子商務(wù)的發(fā)展大大地加快了商務(wù)的流程，已經(jīng)不能容忍這種“慢條斯理”的傳統(tǒng)手書簽名方式。在電子商務(wù)時代，為了使商，貿(mào)，政府機構(gòu)和直接消費者各方交流商務(wù)信息更快，更準確和更便于自動化處理，各種憑證，文件，契約，合同，指令，條約，書信，訂單，企業(yè)內(nèi)部的管理等必須實現(xiàn)網(wǎng)絡(luò)化的傳遞。保障傳遞文件的機密性應(yīng)使用加密技術(shù)，保障其完整性則用信息摘要要技術(shù)，而保障認證性和不可否認性則應(yīng)使用數(shù)字簽名技術(shù)。

數(shù)字簽名可做到高效而快速的響應(yīng)，任意時刻，在地球任何地方——只要有internet，就可完成簽署工作

數(shù)字簽名除了可用于電子商務(wù)中的簽署外，還可用于電子辦公，電子轉(zhuǎn)賬及電子郵遞等系統(tǒng)。

第四章 網(wǎng)絡(luò)系統(tǒng)物理安全與計算機病毒的防治

名詞解釋

1，備份：是恢復(fù)出錯系統(tǒng)的辦法之一，可以用備份系統(tǒng)將最近的一次系統(tǒng)備份恢復(fù)到機器

上去。

2，歸檔：是指將文件從計算機的存儲介質(zhì)中轉(zhuǎn)移到其他永久性的介質(zhì)上的，以便長期保存的過程。

3，計算機病毒：是指編制者在計算機程序中插入的破壞計算機功能的程序，或者毀滅數(shù)據(jù)，影響計算機使用，并能自我復(fù)制的一組計算機指令或者程序代碼。

4，鏡像技術(shù)：是數(shù)據(jù)備份技術(shù)的一種，主要有網(wǎng)絡(luò)數(shù)據(jù)鏡像，遠程鏡像磁盤等。

5，網(wǎng)絡(luò)物理安全：指物理設(shè)備可靠，穩(wěn)定運行環(huán)境，容錯，備份，歸檔和數(shù)據(jù)完整性預(yù)防。6，奇偶校驗：也是服務(wù)器的一個特性。它提供一種機器機制來保證對內(nèi)存錯誤的檢測，因此，不會引起由于服務(wù)器出錯而造成數(shù)據(jù)完整性的喪失。

7，引導(dǎo)型病毒：是指寄生在磁盤引導(dǎo)區(qū)或主引導(dǎo)區(qū)的計算機病毒。

8，文件病毒：是指能夠寄存在文件中的計算機病毒。這類病毒程序感染可執(zhí)行文件或數(shù)據(jù)文件。

9，良性病毒：是指那些只是為了表現(xiàn)自身，并不徹底破壞系統(tǒng)和數(shù)據(jù)，但會大量占用CPU時間，增加系統(tǒng)開銷，降低系統(tǒng)工作效率的一類計算機病毒。

10，惡性病毒：是指那些一旦發(fā)作后，就會破壞系統(tǒng)或數(shù)據(jù)，造成計算機系統(tǒng)癱瘓的一類計算機病毒。

簡答題