2016下半年信息安全工程師下午案例分析真題試題4與答案

點擊查看：2016下半年信息安全工程師下午案例分析真題匯總

點擊查看：2016下半年信息安全工程師真題與查分專題（綜合與案例分析）

試題四（共18分）
閱讀下列說明，回答問題1至問題4，將解答寫在答題紙的對應欄內。
【說明】
用戶的身份認證是許多應用系統(tǒng)的第一道防線、身份識別對確保系統(tǒng)和數據的安全保密及其重要，以下過程給出了實現用戶B對用戶A身份的認證過程。
1.B –> B：A
2.B –> A：{B，Nb}pk（A）
3.A –> B：b（Nb）
此處A和B是認證實體，Nb是一個隨機值，pk（A）表示實體A的公鑰、{B，Nb}pk（A）表示用A的公鑰對消息BNb進行加密處理，b（Nb）表示用哈希算法h對Nb計算哈希值。
【問題1】（5分）
認證和加密有哪些區(qū)別？
【問題2】（6分）
（1）包含在消息2中的“Nb”起什么作用？
（2）“Nb”的選擇應滿足什么條件？
【問題3】（3分）
為什么消息3中的Nb要計算哈希值？
【問題4】（4分）
上述協(xié)議存在什么安全缺陷？請給出相應的解決思路。

信管網參考答案：

【問題一】
認證和加密的區(qū)別在于：加密用以確保數據的保密性，阻止對手的被動攻擊，如截取，竊聽等；而認證用以確保報文發(fā)送者和接收者的真實性以及報文的完整性，阻止對手的主動攻擊，如冒充、篡改、重播等。
【問題二】
（1） Nb是一個隨機值，只有發(fā)送方B和A知道，起到抗重放攻擊作用。
（2） 應具備隨機性，不易被猜測。
【問題三】
哈希算法具有單向性，經過哈希值運算之后的隨機數，即使被攻擊者截獲也無法對該隨機數進行還原，獲取該隨機數Nb的產生信息。
【問題四】
攻擊者可以通過截獲h（Nb）冒充用戶A的身份給用戶B發(fā)送h（Nb）。
解決思路：用戶A通過將A的標識和隨機數Nb進行哈希運算，將其哈希值h（A，Nb）發(fā)送給用戶B，用戶B接收后，利用哈希函數對自己保存的用戶標識A和隨機數Nb進行加密，并與接收到的h（A，Nb）進行比較。若兩者相等，則用戶B確認用戶A的身份是真實的，否則認為用戶A的身份是不真實的。