2008年國際注冊內(nèi)部審計師考試輔導0507

1、.TOPIC07加密相關(guān)知識通過對數(shù)據(jù)加密，可以使他人即使非法訪問了數(shù)據(jù)也不能理解數(shù)據(jù)的內(nèi)容，以達到訪問控制的目的。例如：為了減少在使用通信線路傳送專用數(shù)據(jù)時帶來的安全風險，就可以使用密碼設(shè)備對通信線路上傳送的數(shù)據(jù)進行加密保護。 在加密和解密過程中需要兩個因素，這就是算法和密鑰（Arithmetic and Key）。算法是指加密解密的變換處理過程，正向為加密函數(shù)，反向為解密函數(shù)。對應(yīng)某一個具體的加密和解密過程，通常還需要附加一些信息，這些附加的信息就是密鑰。密鑰是由數(shù)字、字母或特殊符號組成的字符串，它可以控制加密解密過程。在加密和解密過程中，控制加密變換的密鑰稱為加密密鑰（KE），控制解密變

2、換的密鑰稱為解密密鑰（KD）。在傳統(tǒng)的對稱（symmetrical）密碼體制中，加密密鑰和解密密鑰是相同的（如DES、triple DES算法等），而在現(xiàn)代公開密鑰密碼體制中，加密密鑰和解密密鑰是不同的，因此又稱為非對稱（asymmetrical）密碼體制，這種體制的代表是RSA算法體制。 非對稱密鑰由公鑰（Public key）和私鑰（Private key）組成。公鑰通常用于數(shù)據(jù)加密或簽名驗證，可以在網(wǎng)上發(fā)布，是公開的；私鑰通常用于數(shù)據(jù)解密或簽名，只有本人知道，是秘密的。對消息用單向HASH加密算法得到一個唯一的摘要（Message digest），作為消息的指紋，用來驗證消息的完整性。傳

3、統(tǒng)上的簽名采用的是手書簽字或蓋章，而數(shù)字簽名（Digital signatures）通過電子設(shè)備實現(xiàn)，發(fā)送者用私鑰對所發(fā)送消息的摘要信息進行加密，即完成對該消息的數(shù)字簽名。數(shù)字簽名用于商業(yè)通信系統(tǒng)，如電子郵遞、電子轉(zhuǎn)賬和辦公自動化等系統(tǒng)中，可實現(xiàn)遠距離安全交易。 認證中心（CA：Certification Authority）是承擔網(wǎng)絡(luò)電子商務(wù)交易安全認證服務(wù)、簽發(fā)數(shù)字證書、確認用戶身份等工作的具有權(quán)威性和公證性的第三方服務(wù)機構(gòu)。利用CA中心可以有效防止電子商務(wù)交易中假冒用戶身份的風險。數(shù)字證書（Digital certificate）是一個包含證書持有人的個人信息、公開密鑰、數(shù)字簽名、證書序

4、號、證書有效期和發(fā)證單位等內(nèi)容的數(shù)字文件。目前在電子商務(wù)活動中的身份認證最有效的方式是由權(quán)威機構(gòu)為參與電子商務(wù)活動的各方發(fā)放數(shù)字證書。典型試題 【例題】某一種密鑰系統(tǒng)有兩個密鑰，一個密鑰是公開的、用于信息加密；另一個密鑰只有信息接受方掌握，用于解密。，這種密鑰系統(tǒng)是（）A.RSA算法。B.數(shù)據(jù)加密標準C.調(diào)制解調(diào)器D.密碼鎖。答疑編號811050701【答案】A 【解析】A.正確。RSA是一種非對稱加密算法。B.不正確。DES是一種對稱加密算法。C.不正確。調(diào)制解調(diào)器是一種“模擬一數(shù)字”轉(zhuǎn)換的方法，不是非對稱加密算法。D.不正確。密碼鎖通常采用序列密碼算法，不是非對稱加密算法?！纠}】某保險公

5、司使用了一個廣域網(wǎng)，通過該廣域網(wǎng)J其保險代理人可在家中通過筆記本電腦和撥入調(diào)制解調(diào)器獲取當前費率和客戶信息并提交已審核的客戶索賠請求。對于這種應(yīng)用，以下方法中哪一個能提供最佳的數(shù)據(jù)安全性?A.專用電話線B.回撥特性。C.頻繁修改用戶標識和口令。D.端到端數(shù)據(jù)加密。答疑編號811050702【答案】D 【解析】A.不正確。專用電話線代價過于高昂，而且專用電話線仍有可能被人竊聽。B.不正確。回撥特性可以防止假冒終端，提高數(shù)據(jù)源的節(jié)點真實性，但不能防止數(shù)據(jù)在傳輸過程中被竊聽。C.不正確。頻繁修改用戶標識和口令可以防止假冒用戶，提高數(shù)據(jù)源的真實性，但不能防止數(shù)據(jù)在傳輸過程中被竊聽。D.正確。端到端數(shù)據(jù)

6、加密可以有效防止數(shù)據(jù)在傳輸過程中被竊聽?！纠}】一種可以防止使用工具程序瀏覽網(wǎng)絡(luò)中合法用戶口令文件的控制是A.內(nèi)部加密的口令B.口令層次。C.登錄口令D.對等網(wǎng)。答疑編號811050703【答案】A 【解析】A.正確。對于內(nèi)部加密口令，即使攻擊者竊取了口令文件，也不能獲得口令。B.不正確?？诹顚哟慰梢栽黾臃鞘跈?quán)訪問的難度，但不能防止工具程序?qū)W(wǎng)絡(luò)中合法用戶口令文件的瀏覽。C.不正確。登錄口令可以防止對系統(tǒng)的非授權(quán)訪問，但不能防止工具程序?qū)W(wǎng)絡(luò)中合法用戶口令文件的瀏覽。D.不正確。對等網(wǎng)對于防止利用工具程序瀏覽口令文件沒有幫助。【例題】以下哪項措施為筆記本電腦儲存的敏感數(shù)據(jù)提供的安全保證最小?A.為筆記本電腦上的數(shù)據(jù)文件加密。B.為筆記本電腦上的屏幕保護程序加上密碼保護。C.使用帶可拆卸硬盤驅(qū)動器的筆記本電腦。D.不使用時將筆記本電腦鎖在箱子中。答疑編號811050704【答案】B【解析】A.不正確。數(shù)據(jù)加