【正文】 ，為應(yīng)用提供一個(gè)安全的點(diǎn)－點(diǎn)通信隧道。②PCT，與SSL有很多相似之處，現(xiàn)在已經(jīng)同SSL合并為T(mén)LS，只是習(xí)慣上仍然把TLS稱為SSL協(xié)議。(3)網(wǎng)絡(luò)層安全協(xié)議：包括IP驗(yàn)證頭(AH)協(xié)議、IP封裝安全載荷協(xié)議(ESP)和Internet密鑰管理協(xié)議(IKMP)。 ？如何實(shí)現(xiàn)？ 答：傳輸模式用來(lái)保護(hù)上層協(xié)；而隧道模式用來(lái)保護(hù)整修IP數(shù)據(jù)報(bào)。在傳輸模式中，IP頭與上層協(xié)議頭之間需插入一個(gè)特殊的IPSec頭；而在隧道模式中，要保護(hù)的整個(gè)IP包都需封裝到另一個(gè)IP數(shù)據(jù)報(bào)里，同是在外部與內(nèi)部IP頭之間插入一個(gè)IPSec頭。兩種IPSec協(xié)議（AH和ESP）均能以傳輸模式或隧道模式工作。對(duì)傳輸模式所保護(hù)的數(shù)據(jù)包而言，其通信終點(diǎn)必須是一個(gè)加密的終點(diǎn)，這是同構(gòu)建方法決定的。有時(shí)可用隧道模式來(lái)取代傳輸模式，并由安全網(wǎng)關(guān)使用，來(lái)保護(hù)與其他聯(lián)網(wǎng)實(shí)體(比如一個(gè)虛擬專用網(wǎng)絡(luò))有關(guān)的安全服務(wù)。在后一種情況下，通信終點(diǎn)是由受保護(hù)的內(nèi)部IP頭指定的地點(diǎn)，而加密終點(diǎn)則是那些由外部IP頭指定的地點(diǎn)。在IPSec處理結(jié)束后，安全網(wǎng)關(guān)會(huì)剝離出內(nèi)部IP包，再將該包轉(zhuǎn)發(fā)到它最終的目的地。 ？能否同時(shí)使用？ 答：(1)ESP作為基于IPSec的一種協(xié)議，可用于確保IP數(shù)據(jù)包的機(jī)密性、完整性以及對(duì)數(shù)據(jù)源的身份驗(yàn)證，也要負(fù)責(zé)抵抗重播攻擊。AH也提供了數(shù)據(jù)完整性、數(shù)據(jù)源驗(yàn)證及抗重播攻擊的能力，但不能以此保證數(shù)據(jù)的機(jī)密性，它只有一個(gè)頭，而非頭、尾皆有，AH內(nèi)的所有字段都是一目了然的。(2) IPSec中ESP和AH不能同時(shí)使用。 。 答：Internet密鑰交換(IKE)的用途就是在IPSec通信雙方之間建立起共享安全參數(shù)及驗(yàn)證過(guò)的密鑰，實(shí)際上是一種常規(guī)用途的安全交換協(xié)議。構(gòu)建好IKE的SA后，便可用IKE　SA在通信雙方之間提供任何數(shù)量的IPSec　SA。由IKE建立的IPSec　SA有時(shí)也會(huì)為密鑰帶來(lái)“完美向前保密(PFS)”特性，而且如果愿意，也可使通信對(duì)方的身份具有同樣的特性。通過(guò)一次IKE密鑰交換，可創(chuàng)建多對(duì)IPSec　SA。IKE協(xié)議由打算執(zhí)行IPSec的每一方執(zhí)行；IKE通信的另一方也是IPSec通信的另一方。協(xié)議本身具有“請(qǐng)求響應(yīng)”特性，要求同時(shí)存在一個(gè)“發(fā)起者”和一個(gè)“響應(yīng)者”。其中，發(fā)起者要從IPSec那里接收指令，以便建立一些SA，這是某個(gè)外出的數(shù)據(jù)包同一個(gè)SPD條目相符所產(chǎn)生的結(jié)果，它負(fù)責(zé)為響應(yīng)者對(duì)協(xié)議進(jìn)行初始化。IPSec的SPD會(huì)向IKE指出要建立的是什么，但不會(huì)指示IKE怎樣做。只有當(dāng)通信雙方?jīng)Q定了一個(gè)特定的策略套件后，它們以后的通信才能根據(jù)它進(jìn)行，因此兩個(gè)IKE通信實(shí)體第一步所需要做的就是某種形式的協(xié)商。雙方需要建立一個(gè)共享的秘密，這一點(diǎn)盡管有多種方式可以做到，但I(xiàn)KE實(shí)際上只用一個(gè)DiffieHellman交換，這是不可協(xié)商改變的。DiffieHellman交換以及共享秘密的建立是IKE協(xié)議的第二步，該交換完成后，通信雙方已建立了一個(gè)共享的秘密，只是尚未驗(yàn)證通過(guò)。它們可利用該秘密來(lái)保護(hù)雙方的通信。但在這種情況下，卻不能保證遠(yuǎn)程通信方事實(shí)上的確是自己所信任的。因此，IKE交換的下一步便是對(duì)DiffieHellman共享秘密進(jìn)行驗(yàn)證，同時(shí)還要對(duì)IKE　SA本身進(jìn)行驗(yàn)證。為正確實(shí)施IKE，需遵守三份文件(文檔)：基于ISAKMP規(guī)范、IPSec解釋域和IKE規(guī)范。 ？ 答：SSL是由Netscape公司開(kāi)發(fā)的一套Internet數(shù)據(jù)安全協(xié)議，目前已廣泛適用于Web瀏覽器與服務(wù)器之間的身份認(rèn)證和加密數(shù)據(jù)傳輸，它位于TCP/IP協(xié)議與各種應(yīng)用層協(xié)議之間，為數(shù)據(jù)通信提供安全支持。 。 答：分四個(gè)階段：一，建立安全能力，包括協(xié)議版本、會(huì)話ID、密文族、壓縮方法和初始隨機(jī)數(shù)。這個(gè)階段將開(kāi)始邏輯連接并且建立和這個(gè)連接相關(guān)聯(lián)的安全能力；二，服務(wù)器鑒別和密鑰交換；三，客戶鑒別和密鑰交換；四，結(jié)束，這個(gè)階段完成安全連接的建立。 第十四章 安全評(píng)估標(biāo)準(zhǔn)（習(xí)題十四，p237238） 曹茂誠(chéng) 。 答：安全評(píng)估標(biāo)準(zhǔn)最早起源于美國(guó)，美國(guó)國(guó)防部建立計(jì)算機(jī)安全中心，開(kāi)始進(jìn)行有關(guān)計(jì)算機(jī)安全評(píng)估標(biāo)準(zhǔn)的研究，1984年公布了可信計(jì)算機(jī)系統(tǒng)評(píng)估標(biāo)準(zhǔn)。加拿大1988年開(kāi)始制定“加拿大可信計(jì)算機(jī)產(chǎn)品評(píng)估準(zhǔn)則”。1993年美國(guó)對(duì) .TCSEC作了補(bǔ)充和修改，制定了’組合的聯(lián)邦標(biāo)準(zhǔn)。 CTCPEC,，ITSEC的發(fā)起者聯(lián)合起來(lái)，將各自獨(dú)立的標(biāo)準(zhǔn)組合成一個(gè)單一的，能被廣泛使用的it安全準(zhǔn)則，這一行動(dòng)成為cc項(xiàng)目。 ？ 答：TCSEC采用等級(jí)評(píng)估的方法進(jìn)行等級(jí)劃分。 ？ 答：C等為自主保護(hù)級(jí)，B等為強(qiáng)制保護(hù)級(jí)，這一級(jí)比C級(jí)的安全功能有大幅提高。 ？ 答：CC作為國(guó)際標(biāo)準(zhǔn)，對(duì)信息系統(tǒng)的安全功能，安全保障給出了分類描述，并綜合考慮信息系統(tǒng)的資產(chǎn)價(jià)值。威脅等因素后，對(duì)被評(píng)估對(duì)象提出了安全需求及安全實(shí)現(xiàn)等方面的評(píng)估。 ? 答：這一部分為用戶和開(kāi)發(fā)者提供了一系列安全功能組件，作為表述評(píng)估對(duì)象功能要求的 標(biāo)準(zhǔn)方法，在保護(hù)輪廓和安全目標(biāo)中使用功能組件進(jìn)行描述。安全保障這一部分為開(kāi)發(fā)者提供了一系列的安全保證組件，作為表述描述對(duì)象保證要求的標(biāo)準(zhǔn)方法，同時(shí)還提出了七個(gè)評(píng)估保證級(jí)別。 ？區(qū)別? 答：PP是消費(fèi)者表達(dá)自己需求的描述方式，針對(duì)的是一類TOEs，而ST是開(kāi)發(fā)者表達(dá)自己方案的描述方式，針對(duì)具體的TOE，因此，PP與安全功能的實(shí)現(xiàn)無(wú)關(guān)，他回答的問(wèn)題是’我們?cè)诎踩桨钢行枰裁础?是目標(biāo)的說(shuō)明；ST依賴于現(xiàn)實(shí)，回答的問(wèn)題是“我們?cè)诮鉀Q方案中提供了什么”是建造的說(shuō)明。 ，沒(méi)有對(duì)安全功能分級(jí)？ 答：劃分等級(jí)的思想是，始終圍繞著信息系統(tǒng)在主客體間訪問(wèn)過(guò)程中安全機(jī)制提供的不同安全功能和保障來(lái)進(jìn)行。 。 答：建立了安全等級(jí)保護(hù)制度，實(shí)施安全等級(jí)管理的重要基礎(chǔ)性標(biāo)準(zhǔn)，將計(jì)算機(jī)信息系統(tǒng)劃分為五個(gè)等級(jí)，通過(guò)規(guī)范的，科學(xué)的，公證的評(píng)定和監(jiān)督管理，為計(jì)算機(jī)信息系統(tǒng)安全等級(jí)保護(hù)管理法規(guī)的制定提供了研制技術(shù)支持，同時(shí)為安全系統(tǒng)的建設(shè)和管理提供技術(shù)指導(dǎo)。 第十五章 應(yīng)用安全（習(xí)題十五，p255） 劉麗娟 ？如何實(shí)現(xiàn)？ 答：1）服務(wù)器安全 保護(hù)服務(wù)器不被非授權(quán)者訪問(wèn)，不被篡改或阻塞； 保護(hù)服務(wù)軟件不訪問(wèn)系統(tǒng)文件，從而避免引起系統(tǒng)混亂。 只允許授權(quán)用戶訪問(wèn)Web發(fā)布的消息。 確保用戶上載的數(shù)據(jù)安全可靠。 2）傳輸安全 確保重要的Web服務(wù)信息在傳輸中不被竊聽(tīng)和篡改。 3）客戶機(jī)安全 確保瀏覽器不被惡意代碼侵襲，尤其是不受到病毒和木馬的侵襲。 實(shí)現(xiàn)方法： 1）定期掃描加固 定期掃描服務(wù)器漏洞，發(fā)現(xiàn)漏洞就打上補(bǔ)丁程序加固。 2）安裝Web服務(wù)器保護(hù)系統(tǒng) 這些軟件通過(guò)控制Web服務(wù)器的I/O操作或定時(shí)檢查主頁(yè)的完整性來(lái)防止Web頁(yè)面被篡改。 3）采用完善的認(rèn)證和加密措施 對(duì)于重要的業(yè)務(wù)系統(tǒng)，必須對(duì)每一位訪問(wèn)者進(jìn)行足夠強(qiáng)度的身份認(rèn)證，并對(duì)傳輸信息進(jìn)行加密。 4）設(shè)立代理服務(wù)器 在真正的Web服務(wù)器前設(shè)立代理服務(wù)器，對(duì)Web請(qǐng)求進(jìn)行分析，只有合理安全的請(qǐng)求才轉(zhuǎn)發(fā)到真正的服務(wù)器，保護(hù)了真實(shí)服務(wù)器。 5）謹(jǐn)慎設(shè)置瀏覽器安全選項(xiàng) 正確設(shè)置瀏覽器自身的安全選項(xiàng)也有利于提高安全性。 ？ 答：PGP協(xié)議的主要功能是對(duì)郵件進(jìn)行加密，簽名和認(rèn)證。 1）簽名和認(rèn)證：確保發(fā)送方身份及傳輸過(guò)程中不被修改。 過(guò)程：（1）發(fā)送方生成報(bào)文M； （2）使用SHA1生成M的一個(gè)160位的散列碼H； （3）使用發(fā)送者的私鑰，采用RSA算法對(duì)H加密，并與M連接； （4）接受方使用發(fā)送者的公鑰，采用RSA算法解密，并恢復(fù)散列碼H； （5）接受方對(duì)報(bào)文M生成一個(gè)新的散列碼與H比較，如果一致，則報(bào)文M通過(guò)認(rèn)證。 2）加密 過(guò)程：（1）發(fā)送方生成報(bào)文M并為該報(bào)文生成一個(gè)隨機(jī)數(shù)作為會(huì)話密鑰； （2）采用CAST128算法，用會(huì)話密鑰加密M； （3）采用RSA算法，用接受者的公鑰加密會(huì)話密鑰，并與消息M結(jié)合； （4）接受方采用RSA算法，用自己的私鑰解密恢復(fù)會(huì)話密鑰； （5）接受方采用會(huì)話密鑰解密恢復(fù)消息M。 當(dāng)同時(shí)需要加密和認(rèn)證兩種服務(wù)時(shí)，發(fā)送者先用自己的私鑰簽名，然后用會(huì)話密鑰加密消息，再用接受者的公鑰加密會(huì)話密鑰。 ？ 答：1）私有密鑰的保存 （1）用戶選擇一個(gè)口令短語(yǔ)用于加密私鑰。 （2）當(dāng)系統(tǒng)用RSA生成一個(gè)新的公鑰/私鑰對(duì)時(shí)，要求用戶輸入口令，使用SHA1對(duì)該口令生成一個(gè)160位的散列碼，然后銷毀口令。 （3）系統(tǒng)用散列碼中，128位作為密碼用CAST128加密私鑰，然后銷毀這個(gè)散列碼，并將加密后的私鑰存儲(chǔ)到私鑰環(huán)中。 （4）當(dāng)用戶要訪問(wèn)私鑰環(huán)中的私鑰時(shí)，必須提供口令。PGP將取出加密后的私鑰，生成散列碼，解密私鑰。 2）公鑰密鑰管理 （1）直接獲取公鑰，如通過(guò)軟盤(pán)拷貝。 （2）通過(guò)電話驗(yàn)證公鑰的合法性。 （3）從雙方都信任的第三方獲取公鑰。 （4）從一個(gè)信任的CA中心得到公鑰。 。 答：1）卡用戶向商家發(fā)送訂購(gòu)和支付信息，其中支付信息被加密，商家無(wú)從得知； 2）家將支付信息發(fā)送到收單銀行，收單銀行解密信用卡號(hào)，并通過(guò)認(rèn)證驗(yàn)證簽名； 3）單銀行向發(fā)卡銀行查問(wèn)，確認(rèn)用戶信用卡是否屬實(shí)； 4）發(fā)卡銀行認(rèn)可并簽名該筆交易； 5）收單銀行認(rèn)可商家并簽證此交易； 6）商家向用戶傳送貨物和收據(jù)； 7）交易成功后，商家向收單銀行請(qǐng)求支付； 8）收單銀行按合同將貨款劃給商家 9）發(fā)卡銀行定期向用戶寄去信用卡消費(fèi)帳單。 ？ 答：支付處理主要涉及購(gòu)買(mǎi)請(qǐng)求，支付授權(quán)和支付兌現(xiàn)3個(gè)階段 1）購(gòu)買(mǎi)請(qǐng)求 第一步，卡用戶向商家發(fā)送請(qǐng)求報(bào)文，請(qǐng)求商家和收單銀行證書(shū)。 第二步，商家生成響應(yīng)報(bào)文，包括商家的簽名證書(shū)和收單銀行的密鑰交換證書(shū)，并用私鑰加密。 第三步，卡用戶驗(yàn)證有關(guān)證書(shū)，創(chuàng)建OI和PI，生成一次性對(duì)稱加密密鑰Ks，并且生成購(gòu)買(mǎi)請(qǐng)求報(bào)文。 第四步，商家驗(yàn)證卡用戶證書(shū)以及雙簽名，然后處理訂購(gòu)信息并將支付信息轉(zhuǎn)送收單銀行，最后向卡用戶發(fā)送購(gòu)買(mǎi)響應(yīng)。 2）支付授權(quán) 第一步，商家向收單銀行發(fā)送認(rèn)可請(qǐng)求報(bào)文。 第二步，收單銀行先驗(yàn)證所有證書(shū)，接著解密并驗(yàn)證認(rèn)可數(shù)據(jù)塊以及支付數(shù)據(jù)塊的雙簽名，然后向發(fā)卡銀行請(qǐng)求和接受一個(gè)認(rèn)可，最后向商家發(fā)送認(rèn)可響應(yīng)報(bào)文。 3）支付兌現(xiàn) 首先，商家發(fā)送兌現(xiàn)請(qǐng)求報(bào)文給收單銀行。 收單銀行受到兌現(xiàn)請(qǐng)求報(bào)文后，解密并驗(yàn)證兌現(xiàn)請(qǐng)求數(shù)據(jù)塊以及兌現(xiàn)權(quán)標(biāo)，驗(yàn)證兌現(xiàn)請(qǐng)求和兌現(xiàn)權(quán)標(biāo)是否一致，接著通過(guò)專用網(wǎng)絡(luò)向發(fā)卡銀行發(fā)送清算請(qǐng)求，應(yīng)求發(fā)卡銀行將資金劃入商家?guī)ぬ?hào)，然后發(fā)送兌現(xiàn)響應(yīng)報(bào)文給商家，通知有關(guān)支付情況。