《信息安全原理与技术》（第2版）习题答案(6)

答：传输模式的AH中，封装后的分组IP头仍然是原IP头、只是IP头的协议字段由原来的值变为51，表示IP头后紧接的载荷为AH载荷。在隧道模式的AH中，不是将原始的IP协议头移到最左边然后插入AH协议头，而是复制原始IP协议头，并将复制的IP协议头移到数据报最左边作为新的IP协议头。随后在原始IP协议头与IP协议头的副本之间放置AH协议头。原始IP协议头保持原封不动，并且整个原始IP协议头都被认证或由加密算法进行保护。

7.5 ESP的传输模式与隧道模式有何区别？

答：ESP传输模式中，IP协议头被调整到数据报左边，并插入ESP协议头。ESP协议尾以及ICV (完整性校验值，用于认证)被附加在数据报末端。如果需要加密，仅对原始数据和新的ESP协议尾进行加密。认证从ESP协议头一直延伸到ESP协议尾。在ESP隧道模式下，原数据包（包括原IP报头和数据）被封装在ESP报头和ESP报尾之间，外边附上了新的IP报头。在这种模式下，加密部分为原IP数据包和ESP报尾，完整性检查部分为ESP报头、原IP数据包以及ESP报尾。

7.6电子邮件存在哪些安全性问题？

答：电子邮件安全问题主要包括两个方面：一是电子邮件服务器的安全，包括网络安全以及如何从服务器端防范和杜绝垃圾邮件、病毒邮件和钓鱼邮件等，这些是电子邮件服务的基本要求；二是电子邮件内容安全性的问题，即如何确保电子邮件用户的电子邮件内容不会被非法窃取、非法篡改、发信方和收信方不能否认对邮件的发送和接收行为，以及如何防止非法用户登录合法用户的电子邮件账号等。

7.7 PGP加密电子邮件时，邮件的主题和附件是否被加密？ 答：PGP在进行邮件加密时常常与邮件收发软件一起使用，如Outlook Express。加密邮件时，邮件的主题不能加密，否则接收方不知道是哪个用户传的邮件，附件是被加密的。

第8章

8.1 PKI的主要组成是什么？它们各自的功能各是什么？

答：PKI主要组成部分包括：包括PKI策略、软硬件系统、认证机构（Certificate Authority，简称CA）、注册机构（Register Authority，简称RA）、证书发布系统和PKI应用接口等。结构图参考教材图7.2和7.3。各自的功能如下：

PKI安全策略建立和定义了一个信息安全方面的指导方针，同时也定义了密码系统使用的处理方法和原则。

证书机构CA是PKI的信任基础，它管理公钥的整个生命周期，其作用包括：发放证书、规定证书的有效期和通过发布证书撤销列表（Certificate Revocation Lists，简称CRL）确保必要时可以撤销证书。

注册机构RA提供用户和CA之间的一个接口，它获取并认证用户的身份，向CA提出证书请求。

证书发布系统负责证书的发放，如可以通过用户自己，或是通过目录服务。目录服务器可以是一个组织中现存的，也可以是PKI方案中提供的。

PKI应用接口是提供在PKI平台之上为所有应用提供一致、可信的使用公钥证书及相关服务的接口。

一个PKI系统还必须包括相应的证书库存储证书。证书存储库包括LDAP目录服务器和普通数据库，用于对用户申请、证书、密钥、CRL和日志等信息进行存储和管理，并提

26

供一定的查询功能。

8.2 什么是交叉认证？请给出交叉认证的过程。

答：交叉认证为属于不同CA域的用户提供一种互相认可对方证书的机制，在原本没有联系的CA之间建立信任关系。交叉认证机制保证一个PKI团体的用户可以验证另一个PKI团体的用户证书。它是将这些以前无关的CA连接在一起的机制，从而使得在它们各自主体群之间能够进行安全通信。

交叉认证有两个操作：首先在两个域之间建立信任关系，这通常是一次性操作。在双方交叉认证的情况下，两个CA安全地交换他们的验证密钥。这些密钥用于验证他们在证书上的签名。为了完成这个操作，每个CA签发一张包含自己公钥的证书，该证书称为交叉证书。后续操作由客户端软件完成，这个操作包含了验证已由交叉认证的CA签发的用户证书的有效性，这个操作需要经常执行。该操作被称为跟踪信任链，链指得是交叉证书认证链表，沿着这个链表可以跟踪所有验证用户证书的CA密钥。

8.3 PKI中有哪些常见的信任模型？各种的特点是什么？

答：(1)层次模型：认证机构的严格层次结构可以描绘为一棵倒转的树，根在顶上，叶在最下面。在这棵倒转的树上，根代表一个对整个PKI域内的所有实体都有特别意义的CA，通常被叫做根CA ，作为信任的根或“信任锚”，也是信任的起点。在根CA 的下面是零层或多层中间CA （也被称作子CA ，它们是从属于根CA），这些CA 由中间节点代表，从中间节点再伸出分支。与非CA 的PK实体相对应的叶节点通常被称作终端实体或终端用户。

(2)分布式信任模型：与严格层次结构相反，分布式信任结构把信任分散到两个或更多个CA 上。更准确地说，A 把CA1的公钥作为他的信任锚，而B可以把CA2 的公钥做为他的信任锚。因为这些CA 的密钥都作为信任锚，因此相应的CA 必须是整个PKI群体的一个子集所构成的严格层次结构的根CA ( CA1：是包括A 在内的层次结构的根，CA2是包括B 在内的层次结构的根）。 (3) Web模型是在环球网(World Wide Web)上诞生的，依赖于流行的浏览器进行构建。在这种模型中，许多CA的公钥被预装在标准的浏览器上。这些公钥确定了一组浏览器用户最初信任的CA。尽管这组根密钥可以被用户修改，然而几乎没有普通用户对于PKI和安全问题能精通到可以进行这种修改的程度。Web模型在方便性和简单互操作性方面有明显的优势,但是也存在一些安全隐患。

(4) 在一般被称作以用户为中心的信任模型中，每个用户都对决定信赖哪个证书和拒绝哪个证书直接完全地负责。在这个信任模型中，没有专门的CA中心，每个用户可以向他所信任的人签发公钥证书，通过这样的方式建立一个信任网。因为要依赖于用户自身的行为和决策能力，因此以用户为中心的模型在技术水平较高和利害关系高度一致的群体中是可行的，但是在一般的群体（其用户有极少或者没有安全及PKI的概念）中是不现实的。这种模型一般不适合用在贸易、金融或政府环境中，因为在这些环境下，通常希望或需要对用户的信任实行某种控制，显然这样的信任策略在以用户为中心的模型中是不可能实现的。

8.4 PKI可以提供哪些安全服务？

答：PKI体系提供的安全服务功能，包括：身份认证、完整性、机密性、不可否认性、时间戳和数据的公正性服务。

8.5 X.509标准的目标是什么？ 答：X.509是由国际电信联盟制定的数字证书标准。在X.500确保用户名称唯一性的基础上，

27

X.509为X.500用户名称提供了通信实体的认证机制，并规定了实体认证过程中广泛适用的证书语法和数据接口。

8.6 X.509中是如何撤销证书的？

答：通过发布证书撤销列表（Certificate Revocation Lists，简称CRL）确保必要时可以撤销证书。对证书撤销信息的查询，也可以使用在线查询方式。在线证书状态协议（Online Certificate status Protocol，简称OCSP）是IETF颁布的用于检查数字证书在某一交易时间是否有效的标准，可以实时进行这类检查，

8.7 请具体描述给出PKI在网络安全应用中的位置及作用？

答：PKI是利用公钥密码算法构建的安全基础设施，提供应用层面的安全服务作为安全的基础设施PKI需要提供的是基础服务。安全基础设施就是为整个应用组织提供安全的基本框架，可以被组织中任何需要安全的应用和对象使用。 对于使用公钥/私钥 …… 此处隐藏：5591字，全部文档内容请下载后查看。喜欢就下载吧 ……