金融信息安全习题答案与提示课件.doc

第１章　引论 1．金融信息系统包括哪几种类型？它们之间有何关系？ 答：金融业务系统一般可分为事务处理系统、管理信息系统和决策支持系统三个部分。事务处理系统（EDPS）、管理系统（MIS）及决策支持系统（DSS），三者间相对独立又互相联系。三者之间联系的纽带是三库系统，即数据库、方法库和模型库，它们是信息系统的核心。 金融事务处理系统可分为前台综合业务计算机处理系统（核心业务）和业务管理部门的日常事务处理系统。管理信息系统是金融企业经营管理的中心环节。决策支持系统是位于二者之上的更高级的管理信息系统。 2．简述金融信息系统的组成结构。 答：从物理层面考察，一个典型的金融业务系统业务系统第２章　金融信息风险 １．简述信息风险要素及其关系。 答：信息风险要素及其关系如下图所示： ２．资产价值应该从哪些方面衡量？ 答：一般可从考虑资产的价值：脆弱性时的数据应来自于资产的者使用者相关业务领域软硬件方面的专业人员。，加密算法容易计算； 知道解密密钥，解密算法容易计算； 不知道，由密文不能推导出明文 一次一密系统是可证明安全的，但它们为什么很少在实际中使用？ 答：在实际应用中，一次一密系统是难以实现的。这是因为以下原因： 首先，安全分发、存储和明文信息等长的密钥是困难的。 其次，如何生成真正的随机密钥也是一个现实问题。 散列函数与对称密码系统在计算原理、性能和用途方面有何异同？ 答：散列函数是一种接受任意长的消息为输入，并产生固定长度的输出的算法。 在计算原理方面，设计散列函数除了可利用某些对称密钥密码系统外，也可： （１）利用某些数学难题，例如，因子分解问题、离散对数问题等。 （２）直接设计方法 这类算法不基于任何假设和密码系统。 在性能方面，散列函数无需求逆。对它的性能方面的要求有： 可压缩性；接收长度不等的字母串，输出固定长度。 易计算性；即给定和输入，可以很容易地计算； 抗碰撞特性；即给定，找到任意的和，使得是计算上不可行的； 求逆很困难；即给定和，求出是计算上不可行的。 在用途方面，散列函数数学上比加密算法被攻击的弱点要少，因而可更好地用于消息认证，但不能单独作为密文传送。 DES算法的安全弱点有哪些？应如何进行安全增强？ 答：DES算法的安全弱点有：（1）分组长度（64比特）不够大；（2）密钥长度（56比特）不够大；(3) 存在弱密钥和半弱密钥；（4）轮函数中S-Box设计原理至今没有公布，可能有不安全因素。 可对DES算法进行下述安全增强：（１）将分组密码级联以增加分组密钥的长度；（２）避免使用弱密钥和半弱密钥。 对称加密与非对称的比较　　 （一）、对称密码体制 对称密码体制是一种传统密码体制，其特点是 在对称加密系统中，加密和解密采用相同的密钥。 对称密钥算法具有加密处理简单，加解密速度快，密钥较短，发展历史悠久 发送信息的通道往往是不可靠的不安全 非对称密码体制的特点在于： ）在多人之间进行必威体育官网网址信息传输所需的密钥组和数量很小； 公开密钥系统可实现数字签名。 缺点：具有加解密速度慢的特点，密钥尺寸大，发展历史较短等特点 第４章　密钥管理 在层次化密钥管理体系中，不同层次的密钥分配方式和更新频率有何不同？ 答：见下表。 密钥分配方式 更新频率 主密钥 手工分配 可以长期不更改银行主密钥“请求—分发”式的动态分发技术; 可以采用静态分配技术，即一种由中心以脱线方式预分配的技术，“面对面”进行分发 与主密钥类似 工作密钥包括MAC密钥MAK）、PIN 校验密钥PIK）、卡校验密钥(CVK)TMK）等密钥系统启动交易笔数超过一定量失效。用相应BMK加密密钥历史“信物”（证据或凭证）的特征应记录在案，这就是注册。 验证方和证明方具有相同意义的“信物”。 验证主体和证明主体是主从关系，这种关系规定了发证的合法性和有效域。一个系统只能对自己管辖的主体发证，而一个主体的凭证只能在所属系统范围内有效，因此，一个验证主体管辖的证明方是有边界的，而不是无限的。 系统中，典型实现形式： 身份证； 公钥证书； 对称密钥； 各类凭证。 为身份认证提供一体性证据的主要方法有哪些？ 答：提供一体性证据的方法主要是基于下列原理中的一种或几种： （1）证明方证明他知道某事或某物，例如口令，是个体向本地系统进行身份认证的最实用的机制之一； （2）证明方证明他拥有某事或某物，例如柜员IC卡、存折、银行卡等，通常通过证明方证明他知道与这些事物绑定的口令、密钥或个人识别号来达到。 （3）证明方展示某些不变的个体特征，例如照片、指纹等； （4）证明方在某一特定场所或时间内提供证据。机器地址、物理地点、时间或状态等上下文要素可以为身份认证提供辅助性的信息。 口令保护措施有哪些？ 答：（１） 防止口令猜测的措施 1) 需要选用易记难猜的口令；2）适当增加口