(1).简述PKI保密性服务釆用的“数字信封”机制原理。
答：发送方先产生一个对称密钥，并用该对称密钥加密敏感数据。同时，发送方还用接收方的公钥加密对称密钥，就像把它装入一个“数字信封”。然后，把被加密的对称密钥（“数字信封”）和被加密的敏感数据一起传送给接收方。接收方用自己的私钥拆开“数字信封”，得到对称密钥，再用对称密钥解开被加密的敏感数据
(2).简述实现源的不可否认业务的方法。
答：（1）源的数字签字；
（2）可信赖第三方的数字签字；
（3）可信赖第三方对消息的杂凑值进行签字；
（4）可信赖第三方的持证；
（5）线内可信赖第三方；
（6）上述方法的适当组合。
(3).简述实现递送的不可否认性机制的方法。
答：（1）收信人签字认可。收方接收到消息后，由他（或其代理）向发方提供一个签字的收据，其中包括收到消息的杂凑值、收信时戳和身份等信息。可以由可信赖第三方提供一个证书来强化此类不可否认性。
（2）收信人利用持证认可。
（3）可信赖递送代理。可信赖第三方充当递送代理，发方将消息交给递送代理，递送代理每收到一个消息就转送给收方。收方签一个收据给递送代理，递送代理再签一个认可收据给发方。
（4）逐级递送报告。在现实的网络通信环境中，发方给收方的消息要经过多次传递才能送给收方。为了实现不可否认性，需要逐级建立不可否认业务。
(4).简述解决纠纷的步骤。
答：(1)检索不可否认证据；
(2)向对方出示证据；
(3)向解决纠纷的仲裁人出示证据；
(4)裁决。
(5).请论述PKI在电子商务活动中应具有的性能。
答：PKI的性能要求可扩展性能满足电子商务不断发展的需要，方便用户，保证其安全和经济性，支持与远程参与者通行无阻。因此，必须具有以下性能：
(1)支持多政策。用户可能信赖某个证书机构(CA)，但未必信得过另一个CA。因此，应允许不同用户接受不同的政策。
(2)透明性和易用性。作为网络环境的一种基础设施，PKI必须具有良好的透明性和易用性。这是对PKI的最基本要求，PKI必须尽可能地向上层应用屏蔽密码服务的实现细节，向用户提供屏蔽复杂的安全解决方案，使密码服务对用户而言简单易用，同时便于单位、企业完全控制其信息资源。
(3)互操作性。PKI互操作性是电子商务通信的关键，建立对Internet交易保密性的信任，是电子商务发展所面临的最重要以及最具挑战性的问题之一。
PKI是在Internet±建立信任的一种技术选择，但是，部署PKI并不容易。保证多厂商PKI环境的互操作性是在电子商务交易中建立信任的关键。不同企、事业单位的PKI实现可能是不同的，这就提出了互操作性要求。要保证PKI的互操作性，必须将PKI建立在标准之上，这些标准包括加密标准、数字签名标准、HASH标准、密钥管理标准、证书格式、目录标准、文件信封格式、安全会话格式、安全应用程序接口规范等。
(4)简单的风险管理。任何基础设施都需对所面临的风险有全面的了解，并适于在当地参与者之间进行分配。
(5)支持多平台。PKI是遵循一种标准的，它必须适合于不同的开发环境和不同的开发平台，如Windows.UNIX、MAC等。
(6)支持多应用。PKI应该面向广泛的网络应用，提供文件传送安全、文件存储安全、电子邮件安全、电子表单安全、Web应用安全等保护。
(6).请举出三个实例说明PKI的应用。
(从以下五个实例中列举三个)
答：(1)虚拟专用网络(VPN)。VPN是一种架构在公用通信基础设施上的专用数据通信网络，利用网络层安全协议(尤其是IPSec)和建立在PKI上的加密与签名技术来获得机密性保护。基于PKI技术的IPSec协议现在已经成为架构VPN的基础，它可以为路由器之间、防火墙之间或者路由器和防火墙之间提供经过加密和认证的通信。虽然它的实现会复杂一些，但其安全性比其他协议都完善得多。
(2)安全电子邮件。作为Internet上最有效的应用，电子邮件凭借其易用、低成本和高效已经成为现代商业中的一种标准信息交换工具。随着Internet的持续增长，商业机构或政府机构都开始用电子邮件交换一些秘密的或是有商业价值的信息，这就引岀了一些安全方面的问题，包括:消息和附件可以在不为通信双方所知的情况下被读取、篡改或截掉；发信人的身份无法确认。电子邮件的安全需求也是机密、完整、认证和不可否认，而这些都可以利用PKI技术来获得。目前发展很快的安全电子邮件协议是S/MIME(The Secure Multipurpose Internet Mail Extension)，这是一个允许发送加密和有签名邮件的协议。该协议的实现需要依赖于PKI技术。
(3)Web安全。浏览Web页面是人们最常用的访问Internet的方式。如果要通过Web进行一些商业交易，该如何保证交易的安全呢？为了透明地解决Web的安全问题，在两个实体进行通信之前，先要建立SSL连接，以此实现对应用层透明的安全通信。利用PKI技术，SSL协议允许在浏览器和服务器之间进行加密通信。此外，服务器端和浏览器端通信时双方可以通过数字证书确认对方的身份。结合SSL协议和数字证书，PKI技术可以保证Web交易多方面的安全需求，使Web±的交易和面对面的交易一样安全。
(4)电子商务的应用。PKI技术是解决电子商务安全问题的关键，综合PKI的各种应用，我们可以建立一个可信任和足够安全的网络。在这里，我们有可信的认证中心，典型的如银行、政府或其他第三方。在通信中，利用数字证书可消除匿名带来的风险，利用加密技术可消除开放网络带来的风险，这样，商业交易就可以安全可靠地在网上进行。
网上商业行为只是PKI技术目前比较热门的一种应用，必须看到，PKI还是一门处于发展中的技术。例如，除了对身份认证的需求外，现在又提出了对交易时间戳的认证需求。PKI的应用前景也绝不仅限于网上的商业行为，事实上，网络生活中的方方面面都有PKI的应用天地，不只在有线网络，甚至在无线通信中，PKI技术都已经得到了广泛的应用。
(5)应用编程接口API。协议标准是系统具有可交互性的前提和基础，它规范了PKI系统各部分之间相互通信的格式和步骤。而应用编程界面(API，Application Programming Interfaces)则定义了如何使用这些协议，并为上层应用提供PK1服务。当应用需要使用PKI服务，如获取某一用户的公钥、请求证书废除信息或请求证书时都将会用到API。目前API没有统一的国际标准，大部分都是操作系统或某一公司产品的扩展，并在其产品应用的框架内提供PK1服务。
(7).请说明从机制上如何实现电子商务的不可否认性。
答：实现不可否认性，从机制上看应当依次完成下述业务活动：
(1)业务需求。业务通信过程中的不同参与者在不同阶段对于不可否认业务起不同的作用。参与者事先要对实现不可否认性取得一致意见，对各有关方提出明确要求，产生必要的证据来提供不可否认性。有时第三者也参与事先对用于通信的不可否认性的建议，并提出明确要求。
(2)证据生成。在通信参与者中潜在的可以扮演否认业务者应当生成证据文件，它可以是通信中传送的一个组成部分，也可以是基本通信之外的部分；它可以自动生成，也可有第三方参与生成。为了实现源的不可否认性，发方(或第三方)应充当证据生成者，为了实现递送的不可否认性，收方(或第三方)应充当证据生成者。
(3)证据递送。证据生成后就递送给需要证据的人。有时可由第三方岀面接收这类证据。
(4)证据证实。不可否认业务需求者收到证据后就验证该证据是否能提供对不可否认性的支持，如验证其签字是否成立。在安全电子商务中，这类验证应是系统通信中的常规事件。
(5)证据保存。经验证合格的证据必须保存好，以备将来检索，解决可能出现的纠纷。有些支持更强的不可否认性业务系统可能由第三者将证据存档。
(8).SSL加密协议的用途是什么？
答：安全套接层(或叫安全套接口层)协议(SSL，Secure Sockets Layer)是用于到购物网站上交易的，并保障交易的安全性。通俗地说：SSL就是客户和商家在通信之前，在Internet上建立一个“秘密传输信息的信道”，保障了传输信息的机密性、完整性和认证性。
(9).要想安全地进行网上购物，如何认准“SET”商业网站？
答：Visa和Master Card公司为了确保SET软件符合规范要求，在SET发表后，成立了Secure Electronic Transaction LLC(或称SETCo)。它对SET软件建立了一套测试的准则，如测试通过后就可获得SET特约商店的商标。所以，真正的SET网站，必须经过专门的测试和鉴别，并给予一个SET特约商店的商标。SET特约商店的商标就成为到SET商店安全购物的重要手段。
(10).SSL协议中使用了哪些加密技术？
答：RSA，Diffie-Hellman密钥协议以及美国的KEA算法等。
(11).SSL依靠什么来验证通信双方的身份？主要验证哪一方的身份？
答：SSL提供认证性一吏用数字证书——用以正确识别对方。首先是利用服务器的数字证书来验证商家的资格。
(12).SSL保证浏览器/服务器会话中哪三大安全内容及各使用了什么技术来达到目的？
答：SSL保证了Internet上浏览器/服务器会话中三大安全中心内容：机密性、完整性和认证性。
(1)SSL把客户机和服务器之间的所有通信都进行加密和解密，保证了机密性。
(2)SSL提供完整性检验，可防止数据在通信过程中被改动。
(3)SSL提供认证性——使用数字证书——用以正确识别对方。首先是利用服务器的数字证书来验证商家的资格。如果商家网站——服务器要进行SSL的安全网上交易，他必须事先向认证中心提出商家自己的合法证明(营业执照、法人材料等)，并取得数字证书。在SSL交易中，客户——浏览器对服务器进行认证，以使其确信与之通信的网站——服务器具有特定的密钥；必要时服务器对浏览器用类似方法进行认证，以确信其具有合法的信用卡号等。
(13).SSL协议体系结构是由几层协议组成的？共有几个协议？
答：SSL是由两层协议组成的。SSL协议体系结构如下图所示。
SSL协议共有4个协议组成，它们是SSL记录协议，SSL更改密码规格协议，SSL警告协议，SSL握手协议。
SSL记录协议，定义了信息交换中所有数据项的格式，如下图所示。其中，MAC是一个定长数据，用于信息的完整性；信息内容是网络的上一层——应用层传来的数据，如HTTP信息；附加数据是加密后所产生的附加数据。
SSL更改密码规格协议由单个消息组成，只有一个值为1的单字节。其目的是使未决状态拷贝为当前状态，更新用于当前连接的密码组。SSL警告协议用于传送SSL的有关告。SSL握手(Handshake)协议用于客户/服务器之间相互认证，协商加密和MAC算法，传送所需的公钥证书，建立SSL记录协议处理完整性校验和加密所需的会话密钥。
(14).简述SET购物过程。
答：双方都获得数字证书后就开始购物。以持卡人A到网上商店B购买货物X为例说明SET的运作过程。
(1)持卡人订货：A进入购物网站B商店里面选择了货物X，填写了在线商店名称、购买物品名称及订购数量、送货地址和日期时间等订单信息。
(2)通过电子商务服务器与有关在线商店联系，在线商店作出应答，告诉消费者所填写的订货单的货物单价、应付款数、交货方式等信息是否准确，是否有变化。
(3)持卡人选择付款方式，确认订单，签发付款指令，此时SET介入；这时“电子钱包”软件自动打开；在SET中，消费者必须对订单和付款指令进行数字签名，同时利用双重签名技术以保证商家看不到消费者的账号信息；并将信用卡信息以及订单信息分别加密传送给商店B。
(4)商店B通过收单银行检查信用卡的有效性：商店B接收到加密后的订单与信用卡数据后，将信用卡数据原封不动地通过支付网关传送给收单银行。再到电子货币发行公司确认，请他检查信用卡的有效性。注意：当商店B虽然收到信用卡信息，但是无法解密时，也就看不到信用卡信息。
(5)收单银行的确认：收单银行向发卡银行确认信用卡数据无误后，发出信息通知商店，商店就可以安全地接下这笔订单了。
(6)在线商店发送订单确认信息给持卡人，持卡人端的软件可以记录交易日志，以备将来查询。
(7)结账。A会接到发卡银行的信用卡账单，而商店发送货物或提供服务给持卡人，并通知收单银行将钱从持卡人的账号转移到商店账号，或通知发卡银行请求支付。
(15).SET安全协议要达到的目标有哪五个？
答：SET安全协议要达到的目标主要有五个。
(1)信息的安全传输：防止数据被外部攻击或被内部窃取。
(2)信息的相互隔离：SET电子商务的参与者有好几个，一个信息可能要传到各个参与者的地方，要保证各参与者只能看到自己需要的部分。例如，客户的数据通过商家传输到银行，但是商家却不能直接看到客户的账户和密码，银行不能看到交易的其他数据。
(3)多方认证的解决：①要对消费者的信用卡认证：②要对网上商店进行认证；③消费者、商店与银行之间的认证。
(4)交易的实时性：所有的支付过程都是在线的。
(5)效仿EDI贸易形式，规范协议和消息格式，促使不同厂家开发的软件具有兼容性和互操作功能，并且可以运行在不同的硬件和操作系统平台上。
(16).参与信用卡安全SET交易的成员除了持卡人和网上商店以外，还有哪些成员？
答：(1)持卡人——消费者：持信用卡购买商品的人，包括个人消费者和团体消费者，按照网上商店的表单填写，通过由发卡银行发行的信用卡进行付费。
(2)网上商店：在网上的符合SET规格的电子商店，提供商品或服务，它必须是具备相应电子货币使用的条件，从事商业交易的公司组织。
(3)收单银行：通过支付网关处理持卡人和商店之间的交易付款问题事务。接收来自商店端送来的交易付款数据，向发卡银行验证无误后，取得信用卡付款授权以供商店清算。
(4)发卡银行——电子货币发行公司或兼有电子货币发行的银行：发行信用卡给持卡人的银行机构：在交易过程前，发卡银行负责查验持卡人的数据，如果查验有效，整个交易才能成立。在交易过程中负责处理电子货币的审核和支付工作。
(5)认证中心CA——可信赖、公正的组织：接受持卡人、商店、银行以及支付网关的数字认证申请，并管理数字证书的相关事宜，如制定核发准则、发行和注销数字证书等。负责对交易双方的身份确认，对厂商的信誉度和消费者的支付手段和支付能力进行认证。
(6)支付网关——付款转接站：接收由商店端送来的付款信息，并转换到银行网络作处理的组织。
(17).支付网关的作用是什么？
答：支付网关——付款转接站：接收由商店端送来的付款信息，并转换到银行网络作处理的组织。
(18).SET系统的运作是通过哪四个软件组件来完成的？
答：SET系统的运作是通过四个软件组件来完成的，包括电子钱包、商店服务器、支付网关和认证中心软件，这四个软件分别存储在持卡人、网上商店、银行以及认证中心的计算机中，相互运作来完成整个SET交易服务。
(19).简单描述一下SET认证中心的管理结构层次。
答：SET认证中心的管理结构层次如示意图。最高层的管理单位是RCA——Root CA(根CA),下一层是各信用卡公司的认证单位BCA-BrandCA(分支CA)。基层CA是：①办理持卡人数字证书CA(为持卡人办理数字证书)；②办理商店数字证书CA(为商店办理数字证书)；③办理支付网关数字证书CA(为支付网关办理数字证书)。在BCA和基层CA之间还可能有各信用卡公司的分支认证单位GCA-Geo-Political CA，这是一种地区性的CA机构。
(20).基于SET协议的电子商务系统的业务过程有哪几个？
答：基于SET协议电子商务系统的业务过程可分为注册登记申请数字证书、动态认证和商业机构的处理。
(1)注册登记。一个机构如要加入基于SET协议的安全电子商务系统中，必须先上网申请登记注册，申请数字证书。
(2)动态认证。一旦注册成功，就可以随意地在网络上从事电子商务活动了。在实际从事电子商务活动时，SET系统动态认证参与商务活动者的数字证书。
(3)商业机构处理。商业机构的处理工作步骤如下图所示。
(21).每个在认证中心进行了注册登记的用户都会得到双钥密码体制的一对密钥，这对密钥有些什么用处？
答：每个在认证中心进行了登记注册的用户都会得到双钥密码体制的一对密钥：一个公钥和一个私钥。公钥用于提供对方解密和加密对方回馈的信息内容。私钥用于fl己解密对方信息和加密发出的信息。这一对密钥在加密解密处理过程的作用如下：
(1)对持卡人购买者的作用是：①用私钥解密回函；②用商家公钥填发订单；③用银行公钥填发付款单和数字签名等。
(2)对银行的作用是：①用私钥解密付款及金融数据：②用商家公钥加密购买者付款通知。
(3)对商家供应商的作用是：①用私钥解密订单和付款通知；②用购买者公钥发岀付款通知和代理银行公钥。
(22).SET的主要安全保障来自哪三个方面？
答：目前SET的主要安全保障来自以下三个方面：
(1)将所有消息文本用双钥密码体制加密；
(2)将上述密钥的公钥和私钥的字长增加到512B〜2048B；
(3)釆用联机动态的授权(Authority)和认证检査(Certificate)，以确保交易过程的安全可靠。
(23).SET与SSL都是为了实现一种安全的网上交易，但是在许多方面是有区别的，试述它们的异同。
答：SSL与SET的比较：在使用目的和场合上，SET主要用于信用卡交易，传送电子现金，SSL主要用于购买信息的交流，传送电子商贸信息；在安全性方面，SET要求很高：整个交易过程中(持卡人到商家端、商家到支付网关、到银行网络)都要保护，所有参与者与SET交易的成员(持卡人、商家、支付网关等)都必须先申请数字证书来识别身份，SSL要求很低，因为保护范围只是持卡人到商家一端的信息交换，通常只是商家一端的服务器，而客户端认证是可选的；在实施设置方面，SET要求持卡人必须先申请数字证书，然后在计算机上安装符合SET规格的电子钱包软件，而SSL不需要另外安装软件。
(24).CFCA体系结构。
答：CFCA认证系统采用国际领先的PKI技术，总体为三层CA结构，第一层为根CA；第二层为政策CA，可向不同行业、领域扩展信用范围；第三层为运营CA，根据证书运作规范（CPS）发放证书。运营CA由CA系统和证书注册审批机构（RA）两大部分组成。
CA系统：承担证书签发、审批、废止、查询、数字签名、证书/黑名单发布、密钥恢复与管理、证书认定和政策制定，CA系统设在CFCA本部，不直接面对用户。
RA系统：直接面向用户，负责用户身份申请审核，并向CA申请为用户转发证书；一般设置在商业银行的总行、证券公司、保险公司总部及其他应用证书的机构总部，受理点（LRA）设置在商业银行的分/支行，证券、保险营业部及其他应用证书机构的分支机构，RA系统可方便集成到其业务应用系统。
(25).CTCA的组成及功能。
答：中国电信CA安全认证系统（CTCA）采用分级结构管理，形成覆盖全国的CA证书申请、发放、管理的完整体系，可以为全国的用户提供CTCA证书服务，使各类电子商务用户可以放心步入电子商务时代，享受电子商务为其带来的丰厚回报和巨大便利。中国电信电子商务CA认证系统由全国CA中心、省RA中心系统、地市级业务受理点组成。
此题目数据由翰林刷题小程序免费提供