2016年11月軟考信息安全工程師下午真題

名師直播押題沖刺

套餐購買優(yōu)惠加倍輕松過軟考

秘籍都在這了↓↓↓

/activity/lists/id-45.html2016年11月軟考信息安全工程師下午真題解析

試題一（共20分）

閱讀下列說明和圖，回答問題1至問題4，將解答填入答題紙的對應(yīng)欄內(nèi)。

【說明】

研究密碼編碼的科學(xué)稱為密碼編碼學(xué)，研究密碼破譯的科學(xué)稱為密碼分析學(xué)，密碼編碼學(xué)和密碼分析學(xué)共同組成密碼學(xué)。密碼學(xué)作為信息安全的關(guān)鍵技術(shù)，在信息安全領(lǐng)域有著廣泛的應(yīng)用。徐朋老師信息安全工程師課程推薦：/pack/view/id-963.html

試題1：【問題1】（9分）

密碼學(xué)的安全目標至少包括哪三個方面？具體內(nèi)涵是什么？

解析：1、保密性保密性是確保信息僅被合法用戶訪問，而不被地露給非授權(quán)的用戶、實體或過程，或供其利用的特性。即防止信息泄漏給非授權(quán)個人或?qū)嶓w，信息只為授權(quán)用戶使用的特性。這里的"訪問"是指不僅可以讀，還能瀏覽、打印或簡單了解一些特殊資源是否存在。常用的保密技術(shù)包括:防偵收(使對手偵收不到有用的信息)、防輻射(防止有用信息以各種途徑輻射出去)、數(shù)據(jù)加密(在密鑰的控制下，用加密算法對信息進行加密處理。即使對手得到了加密后的信息也會因為沒有密鑰而無法讀懂有效信息)、物理保密(利用各種物理方法，如限制、隔離、掩蔽、控制等措施，保護信息不被地露)等。解析：2、完整性完整性是指所有資源只能由授權(quán)方或以授權(quán)的方式進行修改，即信息未經(jīng)授權(quán)不能進行改變的特性。信息在存儲或傳輸過程中保持不被偶然或蓄意地刪除、修改、偽造、亂序、重放、插入等破壞和丟失的特性。完整性是一種面向信患的安全性，它要求保持信息的原樣，即信息的正確生成和正確存儲和傳輸。完整性與保密性不同，保密性要求信息不被泄露給未授權(quán)的人，而完整性則要求信息不致受到各種原因的破壞。影響網(wǎng)絡(luò)信息完整性的主要因素有:設(shè)備故障、誤碼(傳輸、處理和存儲過程中產(chǎn)生的誤碼，定時的穩(wěn)定度和精度降低造成的誤碼，各種干擾源造成的誤碼〉、人為攻擊、計算機病毒等。解析：3、可用性可用性是指所有資源在適當?shù)臅r候可以由授權(quán)方訪問，即信息可被授權(quán)實體訪問并按需求使用的特性。信息服務(wù)在需要時，允許授權(quán)用戶或?qū)嶓w使用的特性，或者是網(wǎng)絡(luò)部分受損或需要降級使用時，仍能為授權(quán)用戶提供有效服務(wù)的特性?？捎眯允切畔⑾到y(tǒng)面向用戶的安全性能。信息系統(tǒng)最基本的功能是向用戶提供服務(wù)，而用戶的需求是隨機的、多方面的、有時還有時間要求?？捎眯砸话阌孟到y(tǒng)正常使用時間和整個工作時間之比來度量?？捎眯赃€應(yīng)該滿足以下要求:身份識別與確認、訪問控制(對用戶的權(quán)限進行控制，只能訪問相應(yīng)權(quán)限的資源，防止或限制經(jīng)隱蔽通道的非法訪問)。試題1：【問題2】（3分）

對下列違規(guī)安全事件，指出各個事件分別違反了安全目標中的哪些項？

(1)小明抄襲了小麗的家庭作業(yè)。

(2)小明私自修改了自己的成績。

(3)小李竊取了小劉的學(xué)位證號碼、登陸口令信息，并通過學(xué)位信息系統(tǒng)更改了小劉的學(xué)位信息記錄和登陸口令，將系統(tǒng)中小劉的學(xué)位信息用一份偽造的信息替代，造成小劉無法訪問學(xué)位信息系統(tǒng)。

解析：

(1)小明抄襲了小麗的家庭作業(yè)，違反了保密性。保密性是確保信息僅被合法用戶訪問，而不被地露給非授權(quán)的用戶、實體或過程，或供其利用的特性。解析：(2)小明私自修改了自己的成績，違反了完整性。完整性是指所有資源只能由授權(quán)方或以授權(quán)的方式進行修改，即信息未經(jīng)授權(quán)不能進行改變的特性。解析：(3)小李竊取了小劉的學(xué)位證號碼、登陸口令信息，并通過學(xué)位信息系統(tǒng)更改了小劉的學(xué)位信息記錄和登陸口令，將系統(tǒng)中小劉的學(xué)位信息用一份偽造的信息替代，造成小劉無法訪問學(xué)位信息系統(tǒng)。違反了保密性、完整性、可用性。可用性是指所有資源在適當?shù)臅r候可以由授權(quán)方訪問，即信息可被授權(quán)實體訪問并按需求使用的特性。試題1：【問題3】（3分）

現(xiàn)代密碼體制的安全性通常取決于密鑰的安全，為了保證密鑰的安全，密鑰管理包括哪些技術(shù)問題？

解析：密碼體制的安全應(yīng)當只取決于密鑰的安全，而不取決于對密碼算法的保密。密鑰管理包括密鑰的產(chǎn)生、存儲、分配、組織、使用、停用、更換、銷毀等一系列技術(shù)問題。每個密鑰都有其生命周期，要對密鑰的整個生命周期的各個階段進行全面管理。密碼體制不同，密鑰的管理方法也不間。密鑰管理是一個很困難的問題，歷史表明，從密鑰管理的途徑竊取秘密要比單純從破譯密碼算法竊取秘密所花的代價小得多。因此，首先要了解密鑰管理的一些基本原則:區(qū)分密鑰管理的策略和機制:全程安全原則:最小權(quán)利原則:責(zé)任分離原則:密鑰分級原則:密鋁更換原則:密鑰應(yīng)當選擇長度足夠，隨機等。試題1：【問題4】（5分）

在圖1-1給出的加密過程中，Mi,i=1,2，…n”表示明文分組，Ci,i=1,2，…

n表示密文分組，Z表示初始序列，K表示密鑰，E表示分組加密過程。該分組加密過程屬于哪種工作模式？這種分組密碼的工作模式有什么缺點？

解析：試題二（共10分）

閱讀下列說明和圖，回答問題1至問題2，將解答填入答題紙的對應(yīng)欄內(nèi)。

【說明】

訪問控制是對信息系統(tǒng)資源進行保護的重要措施，適當?shù)脑L問控制能夠阻止未經(jīng)授權(quán)的用戶有意或者無意地獲取資源。訪問控制一般是在操作系統(tǒng)的控制下，按照事先確定的規(guī)則決定是否允許用戶對資源的訪問。圖2-1給出了某系統(tǒng)對客體traceroute.mpg實施的訪問控制規(guī)則。

試題2：【問題1】（3分）

針對信息系統(tǒng)的訪問控制包含哪些基本要素？

解析：試題2：【問題2】（7分）

分別寫出圖2-1中用戶Administrator對應(yīng)三種訪問控制實現(xiàn)方法，即能力表、訪問控制表和訪問控制矩硨下的訪問控制規(guī)則。

解析：訪問控制矩陣(AccessControlMatrix)是最初實現(xiàn)訪問控制機制的概念模型，它利用二維矩陣規(guī)定了任意主體和任意客體間的訪問權(quán)眼。矩陣中的行代表主體的訪問權(quán)限屬性，矩陣中的列代表客體的訪問權(quán)限屬性，矩陣中的每一格表示所在行的主體對所在列的客體的訪問授權(quán)（客體）traceroute.mpg（主體）Administrator讀取，運行解析：訪問控制表(AccessControlLists)。訪問控制矩陣按列分解，生成訪問控制列表。訪問控制表是以文件為中心建立訪問權(quán)限表。表中登記了該文件的訪問用戶名及訪問權(quán)隸屬關(guān)系。traceroute.mpg→Administrator讀取，運行解析：權(quán)能表(CapabilitiesLists)。權(quán)能表與訪問控制表相反，是訪問控制矩陣按行分解，以用戶為中心建立權(quán)能表，表中規(guī)定了該用戶可訪問的文件名及訪問能力。Administrator→traceroute.mpg讀取，運行試題三（共19分）

閱讀下列說明和圖，回答問題l至問題3，將解答填入答題紙的對應(yīng)欄內(nèi)。

【說明】

防火墻是一種廣泛應(yīng)用的網(wǎng)絡(luò)安全防御技術(shù)，它阻擋對網(wǎng)絡(luò)的非法訪問和不安全的數(shù)據(jù)傳遞，保護本地系統(tǒng)和網(wǎng)絡(luò)免于受到安全威脅。

圖3-1給出了一種防火墻的體系結(jié)構(gòu)。

試題3：【問題1】（6分）

防火墻的體系結(jié)構(gòu)主要有：

(1)雙重宿主主機體系結(jié)構(gòu)；

(2)（被）屏蔽主機體系結(jié)構(gòu)；

(3)（被）屏蔽子網(wǎng)體系結(jié)構(gòu)；

請簡要說明這三種體系結(jié)構(gòu)的特點。

試題3：【問題2】（5分）

(1)圖3-1描述的是哪一種防火墻的體系結(jié)構(gòu)？

(2)其中內(nèi)部包過濾器和外部包過濾器的作用分別是什么？

試題3：

【問題3】（8分）設(shè)圖3-1中外部包過濾器的外部IP地址為，內(nèi)部IP地址為；內(nèi)部包過濾器的外部IP地址為，內(nèi)部IP地址為,DMZ中Web服務(wù)器IP為,SMTP服務(wù)器IP為。

試題3：

【問題3】（8分）關(guān)于包過濾器，要求實現(xiàn)以下功能：不允許內(nèi)部網(wǎng)絡(luò)用戶訪問外網(wǎng)和DMZ，外部網(wǎng)絡(luò)用戶只允許訪問DMZ中的Web服務(wù)器和SMTP服務(wù)器。內(nèi)部包過濾器規(guī)則如表3-1所示。請完成外部包過濾器規(guī)則表3-2，將對應(yīng)空缺表項的答案填入答題紙對應(yīng)欄內(nèi)。

試題四（共18分）

閱讀下列說明，回答問題l至問題4，將解答填入答題紙的對應(yīng)欄內(nèi)。

【說明】

用戶的身份認證是許多應(yīng)用系統(tǒng)的第一道防線，身份識別對確保系統(tǒng)和數(shù)據(jù)的安全保密極其重要。以下過程給出了實現(xiàn)用戶B對用戶A身份的認證過程。

1.A->B：A

2.B->A：{B,Nb}pk(A)

3.A->B：h(Nb)

試題四（共18分）

此處A和B是認證的實體，Nb是一個隨機值，pk(A)表示實體A的公鑰，{B,Nb}pk(A)表示用A的公鑰對消息BNb進行加密處理，h(Nb)表示用哈希算法h對Nb計算哈希值。試題4：【問題1】（5分）

認證與加密有哪些區(qū)別？

試題4：【問題2】（6分）

（1）包含在消息2中的“Nb”起什么作用？

（2）“Nb”

的選擇應(yīng)滿足什么條件？

試題4：【問題3】（3分）

為什么消息3中的Nb要計算哈希值？試題4：【問題4】（4分）

上述協(xié)議存在什么安全缺陷？請給出相應(yīng)的的解決思路。試題五（共8分）

閱讀下列說明和代碼，回答問題1和問題2，將解答寫在答題紙的對應(yīng)欄內(nèi)。

【說明】

某本地口令驗證函數(shù)（C語言環(huán)境，X86

32指令集）包含如下關(guān)鍵代碼；某用戶的口令保存在字符數(shù)組origPassword中，用戶輸入的口令保存在字符數(shù)組userPassword中，如果兩個數(shù)組中的內(nèi)容相同則允許進入系統(tǒng)。

.........................................................................................................................................................

[...]

Char

origPassword[12]=“Secret”

Char

origPassword[12];

[...]

Gets(userPassword);

/*

讀取用戶輸入的口令*/

[...]

If(strncmp(origPassword,userPassword,12)!=0)

{

Printf(“Password,doesn’t

match!\n”);

Exit(-1);

}

[...]

/*

口令認證通過時允許用戶訪問*/

................................