《通信网安全与保密》模拟试卷21秋西电答案
1、 访问控制策略主要包括哪些内容（写出五项即可）访问控制可以说是保证网络安全最重要的核心策略之一，主要包括入网访问控制、网络的权限控制、目录级安全控制、属性安全控制、网络服务器安全控制、网络检测和锁定控制及网络端口和节点的安全控制等。
评分标准：共5分。访问控制策略包括的主要内容（5分，其中5个方面，每个1分）。
2、 常用的网络加密方法有几种，目的分别是什么？
有三种：链路加密、端到端加密和节点加密。
链路加密的目的是保护网络节点之间的链路信息安全；端到端加密的目的是对源端用户到目的端用户的数据提供保护；节点加密的目的是对源节点到目的节点之间的转发节点提供保护。
评分标准：共5分。（一）加密方法有三种（2分）。（二）三种加密方法的目的（3分，其中3个目的，每个1分）。
3、 OSI安全体系结构确定了哪几类安全服务？
五类：认证、访问控制、数据保密性、数据完整性和不可否认性。
评分标准：共5分。安全服务包括的主要内容（5分，其中5个方面，每个1分）。
4、 OSI安全体系结构中安全管理的主要内容是什么，包括哪些方面？
它的主要内容是实施一系列的安全政策，对系统和网络上的操作进行管理。
包括系统安全管理、安全服务管理和安全机制管理三部分内容。
评分标准：共5分。（一）主要内容（2分）。（二）安全管理包括三方面（3分，其中3个方面，每个1分）。
5、PKI（Public Key Infrastructure）中文名称是什么？PKI的本质是什么？
PKI的中文名称是公钥基础设施。
PKI的本质就是实现了大规模网络中的公钥分发问题，建立 了大规模网络中的信任基础。
评分标准：共5分。（一）PKI的中文名称（2分）。（二）PKI的本质（3分）。
二、10分题目
1、通信网络安全包括哪些内容，具有什么特点？
通信网络安全通常包括承载网与业务网安全、网络服务安全及信息传递安全三个部分。
通信网络安全具有以下五个特点：一、可靠性：网络在规定的条件下和规定的时间内完成特定功能的能力，或者网络在质量允许的范围内正常工作的能力；二、可用性：信息和通信服务在需要时允许授权人和实体使用，或者网络资源在需要时即可使用的能力；三、保密性：防止信息泄露或者提供非授权个人和实体的特性，或者信息只为授权用户使用；四、完整性：信息不被偶然或者蓄意地删除、修改、伪造、乱序、重放和插入等；五、不可抵赖性：在通信交换中，确认参与者双方真实的同一性，双方都不能否认或者抵赖曾发生的通信联系和通信内容。
其中，可靠性是通信网络安全最基本的要求，是通信网络安全的基础。任何安全措施都必须建立在通信网络可靠性的基础上才能实施。
评分标准：共10分。（一）通信网络安全包括内容（3分，其中3个方面，每个1分）。（二）通信网络安全特点（5分，其中5个方面，每个1分）。（三）可靠性的作用（2分）。
2、有线网络安全是什么系统，其安全性问题包括那几方面。
有线网络就其功能属性而言应是包括有线电视传输和宽带数据互联的多业务多媒体网络系统。
有线网络的安全性问题主要有三个方面：第一方面是网络的实体安全，第二方面是网络的运行安全，第三方面是网络的信息安全。
第一方面是用心网络的实体安全，主要是机房的物理条件、物理环境和设施的安全，以及计算机硬件、附属设备和网络传输线路的安装和配置。
第二方面有线网络的运行安全，主要是运用软件检测手段，保护网络系统不被非法侵入，系统软件与应用软件不被非法复制、篡改和破坏，不受病毒的侵害等。
第三方面有线网络的信息安全，主要是保护网络信息的数据安全，不被非法存取，保护其完整性、一致性和保密性。
评分标准：共10分。（一）有线网络简介（1分）。（二）有线网络安全性问题（9分，其中3个方面，每个3分）。
3、计算机网络的安全策略有哪些？
第一，物理安全策略。物理安全策略的目的是保护计算机系统、网络服务器及打印机等硬件实体和通信链路免受自然灾害、人为破坏和搭线攻击；验证用户身份和使用权限，防止用户越权操作；确保计算机系统有一个良好的电磁兼容工作环境；建立完备的安全管理制度，防止非法进入计算机控制室，防止各种盗窃和破坏活动。
第二，访问控制策略。访问控制是网络安全防范和保护的主要策略，它的主要任务是保证网络资源不被非法使用和非常访问。它也是维护网络系统安全和保护网络资源的重要手段。
第三，防火墙控制策略。他是控制进出两个方向通信的门槛，在网络边界上通过建立起来相应的通信网络通信监控系统隔离内部和外部网络。
第四，网络加密控制策略。网络加密的目的是保护网内传输的数据、文件、口令和控制信息，保护网上传输的数据。
第五，网络安全管理策略。在网络安全中，除了采用上述措施之外，加强网络的安全管理，制定有关的规章制度，对于确保网络安全可靠的运行起到十分有效的作用。
评分标准：共10分。计算机网络安全策略（10分，其中5个方面，每个2分）。
4、OSI安全体系结构定义了几类安全机制，分别是哪些？
八类，分别是加密机制、数据签名机制、访问控制机制、数据完整性机制、鉴别交换机制、业务填充机制、路由控制机制及公证机制。
评分标准：共10分。（一）OSI安全体系结构定义了8类安全机制（2分）。（二）安全机制分类名称（8分，其中8个方面，每个1分）。
5、电信固定网有哪些入侵检测形式？
一、终端扫描入侵检测；二、拒绝服务攻击入侵检测；三、搭线窃听入侵检测；四、盗用电话入侵检测；五、电话骚扰入侵检测。
评分标准：共10分。电信固定网的入侵检测（10分，其中5个方面，每个2分）。
6、认证有哪两种方式，分别写出它们的定义。
认证包括实体认证和消息认证。
实体认证即验证消息发送者是真的，而不是冒充的，包括信源及信宿等的认证和识别；消息认证是证实一个收到的消息来自可信的源节点，且没有被篡改、重放或延迟等的过程（即可保持完整性和真实性），可防止主动攻击。
评分标准：共10分。（一）认证的常用方式（4分，其中2种方式，每个2分）。（二）实体认证定义（3分）。（三）消息认证定义（3分）。
7、什么是数字签名？数字签名主要有哪些特征。
数字签名是指附加在数据单元上的一些数据，或是对数据单元的密码变换，这种数据或变换能使数据单元的接收者确认数据单元来源和数据单元的完整性，并保护数据，防止被人伪造。
数字签名主要有以下特征：
一是不可伪造性。在不知道签名者私钥的前提下，敌手很难伪造一个合法的数字签名。
二是不可否认性。对普通数字签名，任何人可用签名者公钥验证签名的有效性。由于签名不可伪造，签名者无法否认他的签名。此特性使签名接收者可确认消息的来源。
三是消息完整性，即防消息篡改。
评分标准：共10分。（一）数字签名的定义（4分）。（二）数字签名的特征（6分，其中3个特征，每个2分）。
8、解释一下什么是安全审计，安全审计系统的主要功能有哪些。
安全审计主要对信息系统中的网络设备、操作系统、应用系统和用户活动所产生的一系列计算机安全事件进行记录和分析的过程。通过信息系统构建的安全审计系统可以对系统文件的访问进行严密的监控并生成日志，并能记录哪台设备的哪个用户已经或者试图访问了哪些文件，通过这些信息可以获取可能存在的攻击行为的证据。专用的安全审计人员可以通过审计系统对系统的状态和用户活动进行监视，通过对日志文件得到分析可以及时发现系统中存在的安全问题。
安全审计系统具有以下四个方面的功能：
一、 对潜在的攻击者起到震慑和警告的作用。
二、 对IT系统中所发生的安全事件提供有效的追查证据。
三、 为系统管理员提供有价值的系统使用日志，帮助系统管理员及时发现系统入侵行为和存在的安全漏洞。
四、 为系统管理员提供系统运行的统计日志，使系统管理员能够发现系统安全上的漏洞或需要改进与加强的地方。
评分标准：共10分。（一）安全审计的定义（2分）。（二）安全审计系统的功能（8分，其中4部分，每部分2分）。
9、无线通信网络的安全策略可以从哪几个方面考虑？
从技术角度分析，无线通信网络的安全策略可以从以下几个方面考虑：一是用鉴权实现身份认证，二是加密技术实现保密性，三是完整性检测技术实现完整性，四是数字签名技术实现服务不可否认性，五是访问控制技术实现阻止非授权的访问。
评分标准：共10分。无线通信网络的安全策略（10分，其中5个方面，每个2分）。
10、什么是GSM，GSM系统可分为哪些子系统？
GSM是由欧洲制定的统一完整的泛欧数字蜂窝移动通信系统，它基于TDMA多址方式，具有开放的接口和通用的接口标准、用户权利的保护和传输信息的加密。
GSM系统可分为移动台（MS）、交换子系统（NSS）、基站子系统（BSS）、操作维护子系统（OMS）。
评分标准：共10分。（一）GSM的定义（6分）。（二）GSM系统的子系统（4分，其中4部分，每部分1分）。
三、25分题目
1、什么是计算机病毒？简单说明病毒的几种分类方法。计算机病毒的基本特征是什么？
答：
（一）计算机病毒（Computer Virus）：是指编制或者在计算机程序中插入的破坏计算机功能或者破坏数据，影响计算机使用并且能够自我复制的一组计算机指令或者程序代码，具有破坏性，复制性和传染性。
（二）按计算机病毒破坏性产生的后果分类：a、良性病毒：指那些只占用CPU资源或干扰系统工作的计算机病毒；b、恶性病毒：指病毒制造者在主 观上故意要对被感染的计算机实施破坏，这类病毒一旦发作，使系统处于瘫痪状态。
按计算机病毒的寄生方式分类：a、系统引导型病毒，也被称为操作系统型病毒，当系统引导时，病毒程序对外传播病毒，并在一定条件下发作，实施破坏。b、文件型病毒，也叫外壳型病毒，是将自身嵌入到系统可执行文件之中，运行可执行文件时，病毒程序获得对系统的控制权，再按同样的方式将病毒程序传染到其它执行 的文件中。
按广义的计算机概念可以分为：
a、蠕虫：是一种短小的程序，常驻于一台或多台机器中，并有重定位的能力。
b、逻辑炸弹：当满足某些触发条件时就会发作引起破坏的程序。
c、特洛伊木马：通常由远程计算机通过网络控制本地计算机的程序，为远程攻击提供服务。
d、陷门：由程序开发者有意安排。
e、细菌：可不断在系统上复制自己，以占据计算机系统存储器。
（三）计算机病毒的特征：a、隐蔽性，指它隐藏于计算机系统中，不容易被人发现的特性；b、传染性，指病毒将自身复制到其它程序或系统的特性；c、 潜伏性，指病毒具有依附于其它介质而寄生的特性。d、可触发性，指只有达以设定条件，病毒 才开始传染或者表现的特性。e、表现性或破坏性，表现性是指当病毒触发条件满足时，病毒在受感染的计算机上开始发作，表现基特定的行为，而这种行为如果是恶意的，以毁坏数据、干扰系统为目的，则这种表现性就是一种破坏性。
评分标准：共25分。（一）计算机病毒（7分）。（二）按计算机病毒破坏性产生的后果分类（4分，每个2分），按计算机病毒的寄生方式分类（4分，每个2分），按广义的计算机概念分类（5分，每个1分）。（三）计算机病毒的特征（5分，每个1分）。
2、什么是对称密码算法？什么是非对称密码算法？二者各有什么优缺点？
答：
（一）对称密码算法：在对称密钥算法中，收信方和发信方使用相同的密钥，即加密密钥和解密密钥是相同或等价的。算法无需保密，只保密密钥，算法可通过 低费用的芯片来实现，密钥可由发信方产生，然后再经过一个安全可靠的途径送至收信方，或由第三方产生后，安全可靠的分配给通信双方。如DES及其各种变形。密码体制分类，加密分两种方式：流密码和分组密码。流密码：明文信息按字符逐位加密。分组密码：将明文信息分组，按组进行加密。
（二）非对称密码算法：非对称密钥算法中，收信方和发信方使用的密钥互不相同，而且几乎不可能从加密密钥推导出解密密钥。每个用户都有一对选定的密 钥，一个是可以公开的，像电话号码一样进行注册，一个则是秘密的，因此也叫公开密钥体制。主要特点是将加密和解密分开，可实现多个用户加密的消息只能由一个用户解读，或一个用户加密多个用户解读，前者可用于在公共网络中实现保密通信，后者可用于实现对用户的认证。如RSA算法、背包密码等。是现在密码学最 重要的发明和进展，可以对信息的身份进行验证。.
（三）二者的优缺点如下。
对称密码算法优点：加密算法比较简便、高效、密钥简短，破译极其困难，不仅可用于数据加密，还可用于消息加密。缺点：其密钥必须通过安全的途径传送，使密钥的管理成为影响系统安全的重要因素。
非对称密码算法优点：适应网络的开放性，密钥管理简单，可方便的实现数字签名和验证。缺点：算法复杂，加密速度慢。
评分标准：共25分。（一）对称密码算法（9分）。（二）非对称密码算法（8分）。（三）对称密码算法优缺点（4分，优缺点各2分），非对称密码算法优缺点（4分，优缺点各2分）。
3、计算机安全服务有哪些类？简述各种安全服务的基本原理。
答：
（一）计算机安全服务的分类：通信网络系统中，系统所具有的安全防护措施叫做网络安全服务，简称安全服务，它涉及通信网之间、网络与计算机之间、 计算机与计算机之间的通信和连接过程中可能面临的安全威胁，以及可以采取的安全技术和可以实施工安全措施，包括认证服务、访问控制服务、机密性服务、数据 完整性服务和不可否认性服务。
（二）各种安全服务的基本原理
（1）认证：a、申请者与验证者：认证提供了实体声称其身份的保证；申请者用来描述被认证的主体，验证者用于描述代表要 求认证身份的实体；b、身份：在通信网络系统中，实体的身份是用标识符来描述的。好PIN，IC卡，指纹等；c、主体：身份所代表的实体称为主体，主体是 一个具有实际属性的东本。
（2）访问控制的基本原理：a、访问控制模型：包括主体、客体、实施功能模块和决策功能模块；b、访问控制要素：包括建立访问控制策略的表达工、信 息表达式、分配访问控制信息元素等。活动分为操作活动和管理活动；c、访问控制控制模块：为了做出决策，需要给访问决策功能提供访问请求以及三种访问控制 决策信息，包括：发起者访问决策信息，目标访问决策信息，访问请求决策信息。访问控制功能的其他输入是其他访问制制决策规则和用于解释访问决策信息或策略 的必要上下文信息。d、访问控制组件的分布：包括（a）目标上使用访问控制组件，（b）在本地对发起者使用访问控制组件，（c）在发起者之间对访问使用访 问控制组件。（d）跨多个安全区域的访问组件分布。e、粒度和容度：访问控制确定不同的粒度级别，容度用来控制对目标组的访问。f、访问控制策略规则中的 优先原则：规定了被应用访问控制策略的次序和规则中的优先规则。
（3）机密性：机密的主要目的是防止数据的泄露，确保信息仅仅是对被援权者可用。a、信息的保护：是通过确保数据被限制于援权者，或通过特定方式表 达数据来实现。这种保护方式在于数据只对拥有某种关键信息的人才可访问的。实现的方法（a）防止数据存在性和数据特性的知识被人理解，（b）防止对数据的 读访问，（c）防止数据语议的知识被人理解；保护数据项的表达式不被泄露，保护数据表达式规则不被泄露。b、隐藏和揭示操作：隐藏操作可模型化为信息从一 个环境A移动到A与另一个环境C交叠的区域，揭示操作可看作是隐藏操作的逆操作。
（4）数据的完整性：完整性机制可以识别结构化数据的某些变换，并且不损坏数据的完整性，这些机制允许对签名或密封数据进行交换，而无须分别对签名 或密封重新计算。（a）完整性服务的目标：是保护数据免受未援权的修改，包括数据的未援权创建和册除，通过屏蔽、证实、去屏蔽的行为来完成完整性服务； （b）完整性服务方式：应用于信息恢复、传输和管理中的完整性服务有两种方式：第一种对于OSI环境传输的信息，通过屏蔽、使用（N-1）设备的传输及去 屏蔽结合起来，形成（N）服务传输，提供完整性服务；第二种对于数据的存储和恢复，通过将屏蔽、存储和恢复及去屏蔽结合起来，提供完整性服务。
（5）不可否认性：（a）不可否认性服务：目的是提供有关特定事件或行为的证据，包括证据的生成、验证和记录，以及在解决纠纷时随即进行的证据恢复和再次验证。（b）可信第三方的作用：它的参与是不可否认性的关键，因为仲裁者不可能在没有支持的由争执双方提交的声明基础上做出判断。它除了具有密钥 证明、身份证明、时间戳和证据储存等通用功能外还有传递代理和仲裁功能；（c）不可否认性证据：原发不可否认性必须包括原发者可辨别标识符、被发送的数据 或数据的数字指纹等证据，也可包括接受者可辨识标识符、数据发出的日期和时间等证据。
评分标准：共25分（一）计算机安全服务的分类（5分）。（二）各种安全服务的基本原理（20分，其中5个方面，每个4分）。
4、简述包过滤的工作原理和基本特点。
答：
（一）工作原理：
1、包的概念：基于协议特定的标准，网络转发设备能够区分包和限制包的能力称为包过滤，数据包是网络上信息流动的单位，由包头和数据组成。包过滤是一种安全机制，它控制那些数据包可以进出网络，那些不可以。
2、包过滤系统的特点：主要特点是可以让我们在一台机器上提供对整个网络的保护，主要优点是仅用一个放置在重要位置上的包过滤路由器就可以保护整个网络，主要缺点是使得该拒绝的包也能进出网络。
3、包过滤器的操作：有如下工作方式：（1）包过滤的标准必须由包过滤设备端口存储起来，即包过滤规则；（2）包到端口时检查报头语法，不检查包 体；（3）包过滤规则以特殊的方式存储；（4）如果一条规则阻止，则此包不被通过，（5）如果一条规则允许，则此包可继续，（6）如果一个包不满足任何一 条规则，则此包被阻塞。
4、局限性：（1）定义包过滤器规则比较复杂；（2）网络设备的吞吐量随过滤数目的增加而减少；（3）不能彻底防止地址欺骗； （4）一些应用协议不适合数据包过滤；（5）正常的包过滤无法执行某些安全策略；（6）一些包过滤不提任何日志能力；（7）IP包过滤难以进行有效的流量 控制。
（二）包过滤技术的基本特点：1、如果在路由器上实现包过滤，费用非常小；2、流量适中并定义较少的过滤器，对路由器的性能几乎没影响；3、包过滤路由 器对用户和应用来讲是透明的；4、定义包过滤器会比较复杂；5、任何直接经过路由器的数据包都有被用做数据驱运式攻击的潜在危险；6、随过滤数目的增加， 路由器吞吐量会下降；7、包过滤器可能无法对网上流动的信息提供全面控制；8、系统启动时随机分配端口，就很难进行有效过滤；9、通常包过滤器只按规则丢 弃数据包，不具备审计功能。
评分标准：共25分。（一）工作原理（16分，其中4个方面，每个4分）。（二）包过滤技术的基本特点（9分，每个1分）。
5、有线网络和无线网络面临的安全威胁是什么？
答：（一）有线网络面临的安全威胁包括以下方面。
（1）电磁安全：随着侦听技术的发展以及计算机处理能力的增强，电磁辐射可能引发安全问题。
（2）设备安全：当前设备容量越来越大，技术越来越复杂。复杂的技术和设备更容易发生安全问题。
（3）链路安全：通信光缆电缆敷设规范性有所下降。在长江、黄河、淮河等几条大江大河上布放光缆时，基本都敷设并集中在铁路桥（或公路桥）上，可能出现“桥毁缆断”通信中断的严重局面。
（4）信令网安全：传统电话网络的信令网曾经是一个封闭的网络，相对安全。然而随着软交换等技术的引入，信令网逐渐走向开放，无疑增加安全隐患。
（5）同步外安全：同步网络是当前SDH传输网络以及CDMA网络正常运行的重要保障。当前大量网络包括CDMA等主要依赖GPS系统。如GPS系统出现问题将对现有网络造成不可估量的损失。
（6）终端安全：典型的多业务终端是一个计算机，与传统的专用傻终端例如电话相比，智能终端故障率以及配置难度都大大提高。
（7）网络业务安全：多业务网络很少基于物理端口或者线路区分用户，因此业务被窃取时容易产生纠纷。
（8）网络资源安全：多业务网络中，用户恶意或无意（感染病毒）滥用资源（例如带宽资源）会严重威胁网络正常运行。垃圾邮件几乎摧毁了互联网电子邮件的信誉。
（9）通信内容安全：网络传输的内容可能被非法窃取或被非法使用。
（10）有害信息扩散：传统电信网不负责信息内容是否违法。随着新业务的开展，NGN必须关注有害信息通过网络扩散传播。
（二）无线网络面临的威胁包括以下方面。
（1）无线窃听
无线信道是一个开放性信道，任何具有适当无线设备的人均可以通过窃听无线信道而获得上述信息。有线通信网络也可能会遭到搭线窃听，但这种搭线窃听要求窃听者能接触到被窃听的通信电缆，而且需要对通信电缆进行专门处理，这样就很容易被发现。而无线窃听相对来说比较容易，只需要适当的无线接收设备即可，而且很难被发现。
对于无线局域网络和无线个人区域网络来说，它们的通信内容更容易被窃听，因为它们都工作在全球统一公开的工业、科学和医疗频带（如2.5GHz 和5GHz的ISM频带），任何个人和组织都可以利用 任何个人和组织都可以利用 这个频带进行通信。这个频带进行通信。而且，很多无线局域网和无线个人区域网络采用群通信方式来相互通信，即每个移动站发送的通信信息其他移动站都可以接收，这些使得网络外部人员也可以接收到网络内部通信内 容。
无线窃听可以导致信息（如通话信息、身份信息、位置信息、数据信息以及移动站与网络控制中心之间的信令信息等）泄露。移动用户的身份信息和位置信息的泄露可以导致移动用户被无线跟踪。 无线窃听除了可以导致信息泄露外，还可以导致其他 一些攻击，如传输流分析，即攻击者可能并不知道真 正的消息，但他知道这个消息确实存在，并知道这个 消息的发送方和接收方地址，从而可以根据消息传输 流的这些信息分析通信目的，并可以猜测通信内容。
（2）假冒攻击
由于无线信道传送的任何信息都可能被窃听，当攻击者截获到一个合法用户的身份信息时，他就可以利用这个身份信息来假冒该合法用户的身份入网，这就是所谓的身份假冒攻击。在不同的无线通信网络中，身份假冒攻击的目的有所不同。例如，在移动通信网络中，其工作频带并不是免费使用的，移动用户必须付费才能进行通话 。这时，用户需要通过无线信道传送其身份信息以便于网络端能正确鉴别用户的身份。然而，攻击者可以截获到这些身份信息并利用截获的身份信息去假冒合法用户使用通信服务，从而逃避付费。
（3）信息篡改
信息所谓信息篡改是指主动攻击者将窃听到的信息 进行修改（如删除或替代部分或全部信息）之后再 将信息传给原本的接收者。这种攻击的目的有两种 ：（1）攻击者恶意破坏合法用户的通信内容，阻止 合法用户建立通信连接；（2）攻击者将修改的消息 传给接收者，企图欺骗接收者相信该修改的消息是 由一个合法用户传给的。
（4）服务后抵赖
交易双方中的一方在交易完成后否认其参与了此交易。 类似于电子商务中，存在着两种服务后抵赖的威胁：一个是客 户在选购了商品后否认他选择了某些或全部商品而拒绝付费 ；另一个是商店收到了客户的货款却否认已收到货款而拒绝交付 商品。
（5）重传攻击
所谓重传攻击是指主动攻击者将窃听到的有效信息经 过一段时间后再传给信息的接收者。 过一段时间后再传给信息的接收者。攻击者的目的是 企图利用曾经有效的信息在改变了的情形下达到同样 的目的，例如攻击者利用截获到的合法用户口令来获 得网络控制中心的授权，从而访问网络资源。 此外，无线通信网络与有线通信网络一样也面临着病 毒攻击、拒绝服务等威胁，这些攻击的目的不在于窃 取信息和非法访问网络，而是阻止网络的正常工作。
评分标准：共25分。（一）有线网络面临的安全威胁（15分，每个1.5分）。（二）无线网络面临的安全威胁（10分，每个2分）。
6、无线网络面临的威胁和安全问题主要表现在哪些方面？
一、有线等效加密（Wired Equivalent Privacy，WEP）加密机制的天生脆弱性。WEP加密机制的天生脆弱性是受网络攻击的最主要原因，首先是WEP密钥的发布问题，手工设置并长期固定，不仅效率低下，而且密钥一旦丢失，WLAN将无安全性可言；其次是WEP用户身份认证方法的缺陷，攻击者只需抓住加密前后的询问消息，加以简单的数学运算就可得到共享密钥生成的伪随机密码流，然后伪造合法的响应消息并通过AP认证后接入WLAN；此外，WEP服务集标识SSID由朗讯公司提出，用以对封闭网络进行访问控制。只有与AP有相同SSID的客户站点才允许访问WLAN。MAC地址过滤的办法是AP中存有合法客户站点的MAC地址列表，拒绝MAC地址不在列表中的站点接入被保护的网络。但由于SSID和MAC地址很容易被窃取，因此安全性较低。
二、私接AP。无线局域网接入点（Access Point，AP）是便捷的，容易安装，小巧而容易携带。非法的WLANAP可以无意地或者在IT管理人员无法察觉的情况下恶意地接入到无线局域网络。
三、设置不当的AP。WLANAP支持多种安全特性和设置。IT管理人员有时都会让合法的AP仍旧保持出厂时的默认设置或者没有恰当地对其设置，使AP在没有加密或在弱加密（如WEP）的条件下工作。一个AP有时在没有设置任何口令的情况下与客户端连接，于是整个局域网就都在没有任何口令情况下建立了无线连接。
四、客户端连接不当。客户端连接不当就是企业内合法用户与外部AP建立连接也存在不安全因素，如一些部署在工作区周围的AP可能没有任何安全控制措施，局域网内合法用户的Wi-Fi卡就可能与这些外部AP建立连接。一旦这个客户端连接到外部AP，企业内可信赖的网络就置于风险之中，外部不安全的连接通过这个客户端就接入到了用户的网络。因此，要防止在不知情的状况下发生合法用户与外部AP建立连接或内部信息外露的情况。
五、自组织网络。WLAN标准提供了一种在无线客户端间建立点对点无线连接的方式。无线客户端之间可以借此建立一个自组织网络（Ad Hoc）。但是，这种网络带来了安全漏洞，攻击者可以在网络周边隐藏区内与局域网内一个合法的笔记本计算机建立无线连接。比如，如果这台笔记本计算机与其他合法用户共享了某些资源（文件或目录等），攻击者也可以通过直接连接获得这些资源。
非法设备通过AP与无线局域网连接会导致数据失窃、数据重路由、数据崩溃、身份模拟、DoS、病毒感染，以及其他类型在有线局域网络中存在的网络安全威胁。
评分标准：共25分。无线网络面临的威胁和安全问题（25分，其中5个方面，每个5分）。
7、无线局域网的安全措施主要有哪些？
一、加密。WEP定义了一套指令和规则使得数据在通过电波传输时获得最基本的安全，但是它存在脆弱性。WPA（Wi-Fi Protected Access）是一种保护无线网络安全的系统，使用临时密钥完整性协议（Temporal Key Integrity Protocol，TKIP），用一个新的加密算法取代WEP，比WEP的加密算法更健壮，适用于现有的无线硬件实施加密的操作。WPA标准包括WPA认证、WPA加密密钥管理、临时密钥完整性协议、Michael消息完整性编码（MIC）和AES支持，WPA克服了WEP的大部分缺陷。
二、SSID访问控制。SSID是无线接入的身份标识符，用户用它建立与接入点之间的连接。通过对多个无线接入点设置不同的SSID，并要求无线工作站出示正确的SSID才能访问AP，这样就可以允许不同群组的用户接入，并对资源访问的权限进行区别限制。
三、静态IP与MAC地址绑定。无线路由器在分配IP地址时，通常是默认使用动态IP地址分配，这样就存在着一些安全隐患。攻击者只要找到无线网络，就可以很轻松的通过DHCP得到一个合法的IP地址，由此就进入了局域网中。所以尽量关闭DHCP服务，为每台计算机都分配一个固定的静态IP地址，然后再把这个IP地址与该计算机网卡的MAC地址进行绑定，这样就能大大提升网络的安全性。
四、使用移动管理器。使用移动管理器可以增强无线局域网的安全性能，它可以通过控制接入点的配置，从而防止入侵者连接到网络上。移动管理器还可以提高无线网络的清晰度，当网络出现问题时，可以立即产生告警信号并通知网络管理员，这样网络管理员就能迅速确定受到攻击的接入点的位置，这在一定程度降低了接入点受到攻击和窃听的危险。
五、虚拟专网（VPN）技术在无线网络中的应用。VPN技术可以为无线网络的安全性能提供保障。特别是对安全要求较高或大型的无线网络，VPN方案是一个更好的选择。VPN技术通过用户认证、加密和数据认证这三级实现无线网络的安全保证。用户认证用来确保只有通过授权的用户才能够进行网络数据的传输和接收。如果攻击者拦截窃听到传输信号，加密则能确保攻击者没有充足的时间和精力解开这些信息，当然攻击者也不能将这些信息解密。数据认证就确保数据在无线网络上传输的完整性。
评分标准：共25分。无线局域网的安全措施（25分，其中5个方面，每个5分）。
8、网络加密最常用的有哪两种方式，定义是什么并分别讲讲它们的优缺点。
加强网络通信安全性最有效且常用的方法是加密，网络加密的基本方式有两种：链路加密和端端加密。
链路加密是指每个易受攻击的链路两端都使用加密设备进行加密，因此整个通信链路上的传输都是安全的。链路加密的缺点是数据报每进入一个分组交换机后都需要一次解密，原因是交换机必须读取数据报报头以便为数据报选择路由。因此，在交换机中数据报易受到攻击。链路加密时，每一链路两端的一对节点都应共享一个密钥，不同节点对共享不同的密钥。因此，需提供很多密钥，每个密钥仅分配给一对节点。
端端加密是指仅在一对用户的通信线路两端（即源节点和终端节点）进行加密，因此数据以加密的形式通过网络由源节点传送到目标节点，目标节点用与源节点共享的密钥对数据解密，所以端端加密可防止对网络上链路和交换机的攻击。端端加密还能提供一定程度的认证，因为源节点和终端节点共享同一密钥，所以终端节点相信它收到的数据报的确是由源节点发来的。链路加密方式不具备这种认证方式。
端端加密也有缺点，由于只有目标节点能对加密结果解密，所以如果对整个数据报加密，则分组交换节点收到加密结果后无法读取报头，从而无法为该数据报选择路由。所以，主机只能对数据报中的用户数据部分加密而报头则以明文形式传送。虽然用户数据部分是安全的，然而容易受到业务流量分析的攻击。
评分标准：共25分。（一）网络加密的常用方式（6分，其中2种方式，每个3分）。（二）链路加密（10分，其中定义4分，优缺点分析6分）。（三）端端加密（9分，其中定义3分，优缺点分析6分）。
9、PKI有哪些组成部分，分别是什么功能和作用？
PKI的组成一般包括证书权威机构（CA）、注册机构（RA）、证书库、终端实体和应用接口等部分。
一、证书权威机构：CA是最具权威的实体，它作为PKI管理实体和服务的提供者管理PKI机构下所有用户的证书，包括用户的密钥或证书的发放、更新、撤销和认证等工作。CA是PKI中唯一能够创建、撤销和维护证书生命期的实体。
二、证书库：为使用户容易找到所需的公钥证书，必须有一个健壮而可扩展的在线分布式数据库存放CA创建的所有用户公钥证书。证书库主要用来发布和存储数字证书，查询和获取其他用户的数字证书，以及下载证书撤销列表等。
三、RA：RA是数字证书的申请、审核和注册中心。它是CA的延伸。RA和CA在逻辑上是一个整体，主要负责提供证书注册、审核及发证功能。
四、终端实体：拥有公私密钥对和相应证书的通信方可以是人、设备和进程等。终端实体通常也称为PKI订户。
五、应用接口系统：应用接口系统为外界提供使用PKI安全服务的入口。应用接口系统一般采用API、JavaBean和COM等多种形式。
评分标准：共25分。（一）PKI的组成部分（10分，其中5个部分，每个2分）。（二）各部分的功能作用（15分，其中5个部分，每个3分）。
10、什么是数字证书？数字证书的生命周期一般包含几个阶段，并分别解释它们。
数字证书是一段包含用户身份信息、用户公钥信息及身份验证机构数字签名的数据。通信各方通过验证对方证书的有效性而解决相互间的信任问题。
数字证书的生命周期一般包含以下几个阶段：
一、 证书申请。用户通过支持PKI的应用程序，如Web浏览器向认证机构申请数字证书的过程，该过程从用户生成密钥对（公钥和私钥）时开始。完整的证书申请由密钥生成和信息登记构成。
二、 证书生成。用户一旦请求了证书，认证机构就根据其建立的认证策略验证用户信息。如果确定信息有效，则认证机构创建该证书。
三、 证书存储。认证机构在生成用户证书之后，将通过安全的途径把证书发送给用户，或通知用户自行下载。数字证书将保存在用户计算机的安全空间里。为了防止证书丢失或损坏，证书持有者应将证书导出并保存在安全的存储介质里，如软盘和智能卡。
四、 证书发布。认证机构在生成用户证书之后，会把用户的公钥发送到任何指定的资源库中，如内部目录或公用服务器，以方便人们获得或验证证书持有者的公钥。
五、 证书废止。发出证书时，认证机构将根据分发策略为其配置特定的到期日。如果需要在该日期之前取消证书，则可以指示认证机构将这一事实发布和分发到证书撤销列表（CRL）中。CRL是由CA签名的一组电子文档，包括了被撤销证书的唯一标识（证书序列号），CRL为应用程序和其他系统提供了一种检验证书有效性的方法。
评分标准：共25分。（一）数字证书的定义（5分）。（二）生命周期的阶段（20分，其中5个部分，每个4分）。
11、解释一下什么是身份认证，可分为几种类型。
身份认证通常被称作实体认证，是验证系统对实体所声称的或第三方为其声称的身份真实性的确认过程。认证的基本原理是认证系统假定被认证方（即系统访问者）拥有一些特定的信息，这些信息是除了自身外，任何第三方不能获取和伪造，能够使认证方相信其拥有这些信息。因此，身份认证是通过使用特定的信息鉴别用户身份真实性的过程。
在具体的实现中，根据特定信息的属性，身份认证可以分为以下四种类型。
一、 根据个人所知道的一些特定信息证明其身份，通常假定这些信息只有某个人能知道，如口令和暗号，通过询问这些信息，即可判定此人是否是具有该身份的人。
二、 根据个人所持有的物品证明其身份，通常假定该物品只有某个人才能持有，如令牌和印章等，通过出示这些特定的物品则可以确定此人的身份。
三、 根据个人一些独一无二的生理特征，如指纹、虹膜和DNA等信息，通过特定技术检验和比对个人的这些信息可以判断此人的身份。
四、 根据个体一些行为特征，如语音和笔迹等信息证明其身份。
评分标准：共25分。（一）身份认证的定义（4分）。（二）身份认证的类型（20分，其中4个类型，每个5分）。
12、解释一下Kerberos认证机制是什么，该机制主要要解决那些问题，由哪几个部分构成，其具体流程是怎样的。
Kerberos认证是一种基于可信第三方的认证系统，提供了一种在开放式不安全的网络环境下进行身份认证的方法，能够使网络上的用户与服务器相互证明各自的身份。Kerberos通过提供集中的认证服务器实现用户与服务器间的双向认证。这个过程不依赖主机的操作系统，无需基于主机IP地址的信任，同时不要求网络上所有主机的物理安全，并假定网络上传送的数据包可以被任意读取、修改和插入数据。Kerberos认证通过常规的加密体制，而没有使用公钥密码体制。Kerberos采用对称密码体制对信息进行加密，并假定能够对加密后的信息正确解密的用户就是合法用户。
Kerberos认证主要要解决的问题可以描述如下：在一个开放分布式环境下，工作站上的用户希望访问分布在网络中服务器上的服务，希望服务器能限制授权用户的访问，并能对用户的服务请求进行认证。在不安全的网络环境下，对网络用户的身份认证存在以下威胁。一是用户假冒其他合法用户使用；二是用户可能会更改工作站的网络地址，假冒工作站；三是用户与服务器之间的认证报文被截获，进行重放攻击进入服务器或打断正在进行的操作。
Kerberos由用户、服务器、认证服务器（AS）和票据颁发服务器（TGS）等部分构成。
Kerberos认证的具体流程如下：
一、 用户以明文方式向认证服务器发出请求，要求获得访问Kerberos服务器的票据。
二、 AS以证书作为响应，证书包括访问TGS的票据和与TGS会话的密钥，会话密钥用用户的密钥加密之后传输。
三、 用户解密AS 证书，利用TGS的票据向TGS申请应用服务器访问票据，该申请包括TGSD 的票据和一个带有时间戳的认证符，该认证符用TGS与用户的会话密钥加密。
四、 TGS收到用户申请后，从中得到解密认证符，并验证认证符中时间戳的有效性，从而确定用户申请是否合法。对于合法的请求，将进一步生成所要求的应用服务器的访问票据，同样以包含票据和用户与应用服务器间会话密钥的证书作为响应发送给用户。
五、 用户向应用服务器提交从TGS得到的访问票据和认证符。
六、 应用服务器解密认证符，取出时间戳，并检查其有效性，向合法用户返回一个带有时间戳的认证符。该认证符用用户与应用服务器间的合法会话密钥进行加密，用户依据此认证符确认应用服务器的身份。
通过上述6个步骤，可以实现用户与服务器之间的双向认证，并且建立彼此间的会话密钥，可用该密钥加密其后所传递的数据。
评分标准：共25分。（一）Kerberos认证的定义（5分）。（二）Kerberos认证要解决的问题（4分）。（三）Kerberos认证的构成部分（4分，其中4个部分，每个1分）。（四）Kerberos认证的具体流程（12分，其中6个步骤，每个2分）。
13、访问控制的主要目标是什么，有哪几个基本要素，访问控制的策略一般分为哪几种，具体描述之。
访问控制是网络安全防范和保护的核心元素，主要目标是防止网络资源非授权使用和非常访问，防止合法用户以非授权方式访问资源，使合法用户以授权方式使用网络资源。
访问控制的三个基本要素为：主体、客体和控制策略。
访问控制的策略一般分为以下三种：
一、 自主访问控制（Discretionary Access Control,MAC）：资源的所有者能够按照自身的意愿授予另一个实体访问某些资源的权限，由此称为自主访问控制。它根据请求者的身份和访问规则控制访问，规定了用户的访问行为，可以做什么，禁止做什么。
二、 强制访问控制（Mandatory Access Control,MAC）：访问某种资源的实体不能按其自身意愿授予其他实体访问该资源的权限，因此称之为强制访问控制。它根据用户安全许可的安全标记控制访问。
三、 基于角色的访问控制（Role-Based Access Control,RBAC）：基于系统中用户的角色和属于该类角色的访问权限控制访问。
评分标准：共25分。（一）访问控制的主要目标（7分）。（二）访问控制的基本要素（6分，其中3部分，每个2分）。（三）访问控制的策略（12分，其中3个种，每种4分）。
14、具体分析一下无线通信网络安全与有线网络相比有哪些特点。
无线通信网络和有线通信网络的安全问题相比，既有共同之处又有其自身特点。在无线通信中，数据传输是通过无线电波在空中传播的，因此在无线信号的覆盖范围内数据可以被任何无线终端接收。一方面，所有常规的有线网络中存在的安全威胁和隐患都依然存在于无线网络中，如网络入侵和病毒攻击；另一方面，由于无线移动设备在存储能力、计算能力和电源供电时间方面的局限性，使得原来在有线环境下的许多安全方案和安全技术不能直接应用于无线环境，比如防火墙对通过无线电波进行通信的无线网络起不了作用，任何人在区域范围内都可以截获和插入数据。
具体表现为如下方面：
一、 无线网络的开放性使其更容易受到恶意攻击。无线链路的特点使得网络更容易受到从被动窃听到主动干扰的各种攻击。有线网络的网络连接是相对固定的，具有确定的物理边界，攻击者必须接入网络或经过 几道防线，如防火墙和网关，才能进入有线网络。这样，通过对接入端口的管理可以有效地控制非法用户的接入。无线网络则没有一个明确的防御边界，只要在无线信号有效的覆盖范围内，如果没有接入控制机制，相同频率的用户都可以接入到网络，无线网络的攻击者可能来自四面八方和任意节点，每个节点必须面对攻击者的直接或间接的攻击。无线网络的这种开放性带来了非法信息截取和未授权信息服务等一系列的信息安全问题。
二、 无线网络的移动性使得安全管理难度更大。有线网络的用户终端与接入设备之间通过线缆连接，终端不能在大范围内移动，对用户的管理比较容易。无线网络终端摆脱了线缆的束缚，不仅可以在较大范围内移动，而且还可以跨区域漫游，这意味着移动节点没有足够的物理防护，攻击者可能在任何位置通过移动设备实施攻击，从而易被窃听、破坏和劫持。另一方面，通过网络内部已经被入侵的节点实施攻击而造成的破坏更大，更难检测到。因此，对无线网络移动终端的管理要困难得多，无线网络的移动性带来了新的安全管理问题，移动节点及其体系结构的安全性更加脆弱。
三、 无线网络动态变化的拓扑结构使安全方案的实施难度大。有线网络具有固定的拓扑结构，安全技术和方案容易实现。在无线网络环境中，动态变化的拓扑结构，缺乏集中的管理机制，使得安全技术更加复杂。另一方面，无线网络环境中的许多决策是分散的，而许多网络算法必须依赖所有的节点共同参与和协作。缺乏集中的管理机制意味着攻击者可能利用这一弱点实施新的攻击以破坏协作算法。
四、 无线信道的不稳定性带来无线通信网络的鲁棒性问题。有线网络的传输环境是确定的，信号质量相对稳定，而无线网络随着用户的移动其信道特性是变化的，会受到干扰、衰落、多径、多普勒频移等多方面的影响，造成信号质量波动较大，甚至无法通信。因此无线网络传输信道的不稳定性带来了无线通信网络的鲁棒性问题。
总之，无线网络的脆弱性是由于其媒体的开放性、终端的移动性、动态变化的网络拓扑结构、协作算法、缺乏集中的监视和管理点没有明确的防线造成的。
评分标准：共25分。（一）无线网络与有线网络比较（5分）。（二）无线通信网与有线网络相比较的特点（20分，其中4个，每个5分）。
15、请从不同的方面详细分析3G网络安全特征。
一、网络接入安全。
第三代移动通信系统厅4个方面的网络接入安全特性。
一是用户身份保密性（UIC），这个特性包括以下几个方面：一用户身份保密性，二用户位置保密性，三用户的不可追溯性。为了达到这些目标，用户通常利用临时身份或加密的永久身份来保护，同时服务网可识别。为了避免用户的课追溯性，用户不应长期利用同一临时或加密的身份来识别。为了达到这些安全特征，要求任何可能显示用户身份的信令或用户数据在无线接入链路上都应加密。
二是实体认证。与实体认证相关的安全特征如下：一认证协议，二用户认证，三网络认证。为了达到这些目标，实体认证应该出现在用户网络之间的每一个连接建立处。实体认证包含两种机制：一种是使用有HE传递给服务网的认证向量的认证机制；另一种是使用用户和服务网之间在早先执行的认证和密钥协商过程中所建立的完整性密钥的本地认证机制。
三是保密性。与数据保密性相关的安全特性如下：一是加密算法协议，二是加密密钥协商，三是用户数据的保密性，四是信令数据的保密性，五是在认证和密钥协商的过程中实现加密密钥的协商。
四是数据完整性。与网络接入链路上数据完整性相关的安全特征如下：一完整性算法协议，二完整性密钥协商，三数据完整性和信令数据的信源认证，四在认证和密钥协商的过程中实现完整性密钥协商。
二、网络域安全。
网络域安全可分为三个层次：
一是密钥建立，密钥管理中心产生并存储非对称密钥对，保存其他网络的公开密钥，产生、存储并分配用于加密信息的对称会话密钥，接收并分配来自其他网络 的用于加密信息的对称会话密钥。
二是密钥分配，为网络中的节点分配会话密钥。
三是安全通信，使用对称密钥实现数据加密、数据源认证和数据完整性保护。
三、用户域安全。
用户域安全提供两个方面的安全特性：
一是用户到USIM的认证。用户接入到通用用户识别模块（Universal Subscriber Identity Module,USIM）之前必须经过USIM的认证，确保接入点USIM的用户已授权。
二是USIM到终端的连接。确保只有授权的USIM才能接入到终端或其他用户环境。
四、应用域安全。
USIM应用程序为操作员或第三方运营商提供了创建驻留应用程序的能力，这就需要确保通过网络向USIM应用程序传输信息的安全性，其安全级别可由网络操作员或应用程序提供商根据需要选择。
五、安全的可见度和可配置性
一是安全可见度。在通常情况下，安全特性对用户是透明的。但在第三代移动通信系统中，对一些特定的事件按照用户的需求提供了更大的安全特性操作可见度。这就产生了一些提示用户相关安全事件的特征。一接入网络加密提示，二安全级别提示。
二是可配置性。用户可对如下的安全特性进行配置：允许/不允许用户到USIM的认证；接收/不接收未加密的呼叫；建立/不建立非加密的呼叫；接收/拒绝使用某种加密算法。
评分标准：共25分。3G网络安全的特征（25分，其中5部分，每部分5分）。
页:
[1]