1. 關於PKI求助！謝謝
PKI（Public Key Infrastructure ）即"公開密鑰體系"，是一種遵循既定標準的密鑰管理平台,它能夠為所有網路應用提供加密和數字簽名等密碼服務及所必需的密鑰和證書管理體系，簡單來說，PKI就是利用公鑰理論和技術建立的提供安全服務的基礎設施。PKI技術是信息安全技術的核心，也是電子商務的關鍵和基礎技術。
PKI的基礎技術包括加密、數字簽名、數據完整性機制、數字信封、雙重數字簽名等。
PKI的基本組成
完整的PKI系統必須具有權威認證機構(CA)、數字證書庫、密鑰備份及恢復系統、證書作廢系統、應用介面（API）等基本構成部分，構建PKI也將圍繞著這五大系統來著手構建。
認證機構（CA）：即數字證書的申請及簽發機關，CA必須具備權威性的特徵；
數字證書庫：用於存儲已簽發的數字證書及公鑰，用戶可由此獲得所需的其他用戶的證書及公鑰；
密鑰備份及恢復系統：如果用戶丟失了用於解密數據的密鑰，則數據將無法被解密，這將造成合法數據丟失。為避免這種情況，PKI提供備份與恢復密鑰的機制。但須注意，密鑰的備份與恢復必須由可信的機構來完成。並且，密鑰備份與恢復只能針對解密密鑰，簽名私鑰為確保其唯一性而不能夠作備份。
證書作廢系統：證書作廢處理系統是PKI的一個必備的組件。與日常生活中的各種身份證件一樣,證書有效期以內也可能需要作廢，原因可能是密鑰介質丟失或用戶身份變更等。為實現這一點,PKI必須提供作廢證書的一系列機制。
應用介面（API）：PKI的價值在於使用戶能夠方便地使用加密、數字簽名等安全服務，因此一個完整的PKI必須提供良好的應用介面系統，使得各種各樣的應用能夠以安全、一致、可信的方式與PKI交互，確保安全網路環境的完整性和易用性。
通常來說，CA是證書的簽發機構,它是PKI的核心。眾所周知，構建密碼服務系統的核心內容是如何實現密鑰管理。公鑰體制涉及到一對密鑰（即私鑰和公鑰），私鑰只由用戶獨立掌握，無須在網上傳輸，而公鑰則是公開的，需要在網上傳送，故公鑰體制的密鑰管理主要是針對公鑰的管理問題，目前較好的解決方案是數字證書機制。
2. 1.請簡述維護網店安全的基本措施
網店安全的基本措施：
1、淘寶平台的伺服器介面的安全防護----屬淘寶的安全職責
2、網店支付寶的開通介面安全防護----屬支付寶的安全職責
3、網店（含天貓、個人網店）自行接入的小程序的安全檢測---屬淘寶的安全職責
4、網店裝修後，接入外網的網站介面的安全防護----屬淘寶的安全職責
5、網店個人安全防護，保護好個人或天貓的帳號、密碼，不被旁人盜取
6、網店設置有員工管理的，對於員工的職責設置合理，不讓員工有過高的許可權；離職員工及時進行帳號的關閉停用
3. 簡述PKI的目的、組成和功能
一、目的與機能
公開密鑰基礎建設的設置使得未聯系的電腦用戶可以提出認證，並使用公鑰證書內的公鑰信息加密給對方。解密時，每個用戶使用自己的私密密鑰解密，該密鑰通常被通行碼保護。
大致而言，公開密鑰基礎建設由客戶端軟體、服務端軟體、硬體、法律合約與保證、操作程序等組成。簽署者的公鑰證書也可能被第三者使用，用來驗證由該簽署者簽署的數字簽名。
通常，公開密鑰基礎建設協助參與者對話以達成機密性、消息完整性、以及用戶認證，而不用預先交換任何秘密信息。然而互通連成員間的公開密鑰基礎建設受制於許多現實問題，例如不確定的證書撤銷、證書中心發行證書的條件、司法單位規范與法律的變化、還有信任。
二、組成
PKI的組成要素主要有:用戶（使用PKI的人或機構）；認證機構（Certification Authority,CA）（頒發證書的人或機構）；倉庫（保存證書的資料庫）。用戶和認證機構稱之為實體。
用戶是使用PKI的人，使用PKI的人又分為兩種：一種是向認證機構（CA）注冊自己公鑰的人，另一種是希望使用已注冊公鑰的人。
認證機構是對證書進行管理的人或機構。認證機構進行這幾種操作：代用戶生成密鑰對（當然可以由用戶自己生成）；對注冊公鑰的用戶進行身份驗證；生成並頒發證書；作廢證書。另外，對公鑰注冊和用戶身份驗證可以由注冊機構（Registration Authority,RA）來完成。
倉庫（repository）是存放證書的資料庫。倉庫也叫證書目錄。
三、用途
大部分企業級的公鑰基礎建設系統，依賴由更高端級的證書中心發行給低端證書中心的證書，而層層構築而成的證書鏈，來創建某個參與者的身份識別證書的合法性。
這產生了不只一個電腦且通常涵蓋多個組織的證書層次結構，涉及到多個來源軟體間的合作。因此公開的標准對公鑰基礎建設相當重要。這個領域的標准化多由互聯網工程工作小組的PKIX工作群完成。
企業公鑰基礎建設通常和企業的資料庫目錄緊密結合，每個員工的公鑰內嵌在證書中，和人事資料一起存儲。
今日最先進的目錄科技是輕量目錄訪問協議（Lightweight Directory Access Protocol，LDAP）。事實上，最常見的證書格式X.509的前身X.500是用於LDAP的前置處理器的目錄略圖。
歷史
1976年Whitfield Diffie、Martin Hellman|Hellman、Ron Rivest、Adi Shamir和Leonard Adleman等人相繼公布了安全密鑰交換與非對稱密鑰演算法後，整個通信方式為之改變。
隨著高速電子數字通信的發展，用戶對安全通信的需求越來越強。
密碼協議在這種訴求下逐漸發展，造就新的密碼原型。全球互聯網發明與擴散後，認證與安全通信的需求也更加嚴苛。光商務理由便足以解釋一切。時在網景工作的Taher ElGamal等人發展出傳輸安全層協議，包含了密鑰創建、伺服器認證等。公開密鑰基礎建設的架構因此浮現。
廠商和企業家察覺了其後的廣大市場，開始設立新公司並引導法律認知與保護。美國律師協會項目發行了一份對公開密鑰基礎建設操作的可預見法律觀點的詳盡分析，隨後，多個美國州政府與其他國家的司法單位開始制定相關法規。消費者團體等則提出對隱私、訪問、可靠性的質疑，也被列入司法的考慮中。
被制定的法規實有不同，將公開密鑰基礎建設的機制轉換成商務操作有實際上的問題，遠比許多先驅者所想的緩慢。
21世紀的前幾年才慢慢發覺，密碼工程沒那麼容易被設計與實踐，某些存在的標准某方面甚至是不合宜的。
公開密鑰基礎建設的廠商發現了一個市場，但並非九零年代中期所預想的那個市場，這個市場發展得緩慢而且以不同的方式前進。
公開密鑰基礎建設並未解決所期待的問題，某些廠商甚至退出市場。
公開密鑰基礎建設最成功的地方是在政府部門，目前最大的公開密鑰基礎建設是美國防衛信息系統局（Defense Information Systems Agency，DISA）的共同訪問卡（Common access Cards）方案。
4. 結合pki技術原理，闡述網上銀行系統如何保障信息傳輸的機密性和不可否認性
一、引言 隨著網路的發展，網路信息的安全越來越引起世界各國的重視，防病毒產品、防火牆、入侵檢測、漏洞掃描等安全產品都得到了廣泛的應用，但是這些信息安全產品都是為了防禦外部的入侵和竊取。隨著對網路安全的認識和技術的發展，發現由於內部人員造成的泄密或入侵事件佔了很大的比例，所以防止內部的非法違規行為應該與抵禦外部的入侵同樣地受到重視，要做到這點就需要在網路中實現對網路資源的使用進行審計。 在當今的網路中各種審計系統已經有了初步的應用，例如：資料庫審計、應用程序審計以及網路信息審計等，但是，隨著網路規模的不斷擴大，功能相對單一的審計產品有一定的局限性，並且對審計信息的綜合分析和綜合管理能力遠遠不夠。功能完整、管理統一，跨地區、跨網段、集中管理才是綜合審計系統最終的發展目標。 本文對涉密信息系統中安全審計系統的概念、內容、實現原理、存在的問題、以及今後的發展方向做出了討論。 二、什麼是安全審計 國內通常對計算機信息安全的認識是要保證計算機信息系統中信息的機密性、完整性、可控性、可用性和不可否認性(抗抵賴)，簡稱「五性」。安全審計是這「五性」的重要保障之一，它對計算機信息系統中的所有網路資源(包括資料庫、主機、操作系統、安全設備等)進行安全審計，記錄所有發生的事件，提供給系統管理員作為系統維護以及安全防範的依據。安全審計如同銀行的監控系統，不論是什麼人進出銀行，都進行如實登記，並且每個人在銀行中的行動，乃至一個茶杯的挪動都被如實的記錄，一旦有突發事件可以快速的查閱進出記錄和行為記錄，確定問題所在，以便採取相應的處理措施。 近幾年，涉密系統規模不斷擴大，系統中使用的設備也逐漸增多，每種設備都帶有自己的審計模塊，另外還有專門針對某一種網路應用設計的審計系統，如：操作系統的審計、資料庫審計系統、網路安全審計系統、應用程序審計系統等，但是都無法做到對計算機信息系統全面的安全審計，另外審計數據格式不統一、審計分析規則無法統一定製也給系統的全面綜合審計造成了一定的困難。如果在當前的系統條件下希望全面掌握信息系統的運行情況，就需要對每種設備的審計模塊熟練操作，並且結合多種專用審計產品才能夠做到。 為了能夠方便地對整個計算機信息系統進行審計，就需要設計綜合的安全審計系統。它的目標是通過數據挖掘和數據倉庫等技術，實現在不同網路環境中對網路設備、終端、數據資源等進行監控和管理，在必要時通過多種途徑向管理員發出警告或自動採取排錯措施，並且能夠對歷史審計數據進行分析、處理和追蹤。主要作用有以下幾個方面： 1. 對潛在的攻擊者起到震懾和警告的作用; 2. 對於已經發生的系統破壞行為提供有效的追究證據; 3. 為系統管理員提供有價值的系統使用日誌，從而幫助系統管理員及時發現系統入侵行為或潛在的系統漏洞; 4. 為系統管理員提供系統的統計日誌，使系統管理員能夠發現系統性能上的不足或需要改進和加強的地方。 三、涉密信息系統安全審計包括的內容 《中華人民共和國計算機信息系統安全保護條例》中定義的計算機信息系統，是指由計算機及其相關的和配套的設備、設施(含網路)構成的，按照一定的應用目標和規則對信息進行採集、加工、存儲、傳輸、檢索等處理的人機系統。涉密計算機信息系統(以下簡稱「涉密信息系統」)在《計算機信息系統保密管理暫行規定》中定義為：採集、存儲、處理、傳遞、輸出國家秘密信息的計算機信息系統。所以針對涉密信息系統的安全審計的內容就應該針對涉密信息系統的每一個方面，應該對計算機及其相關的和配套的設備、設施(含網路)，以及對信息的採集、加工、存儲、傳輸和檢索等方面進行審計。 具體來說，應該對一個涉密信息系統中的以下內容進行安全審計： 被審計資源安全審計內容 網路通信系統網路流量中典型協議分析、識別、判斷和記錄，Telnet、HTTP、Email、FTP、網上聊天、文件共享等的檢測，流量監測以及對異常流量的識別和報警、網路設備運行的監測等。 重要伺服器主機操作系統系統啟動、運行情況，管理員登錄、操作情況，系統配置更改(如注冊表、配置文件、用戶系統等)以及病毒或蠕蟲感染、資源消耗情況的審計，硬碟、CPU、內存、網路負載、進程、操作系統安全日誌、系統內部事件、對重要文件的訪問等。 重要伺服器主機應用平台軟體重要應用平台進程的運行、Web Server、Mail Server、Lotus、Exchange Server、中間件系統、健康狀況(響應時間等)等。 重要資料庫操作資料庫進程運轉情況、繞過應用軟體直接操作資料庫的違規訪問行為、對資料庫配置的更改、數據備份操作和其他維護管理操作、對重要數據的訪問和更改、數據完整性等的審計。 重要應用系統辦公自動化系統、公文流轉和操作、網頁完整性、相關業務系統(包括業務系統正常運轉情況、用戶開設/中止等重要操作、授權更改操作、數據提交/處理/訪問/發布操作、業務流程等內容)等。 重要網路區域的客戶機病毒感染情況、通過網路進行的文件共享操作、文件拷貝/列印操作、通過Modem擅自連接外網的情況、非業務異常軟體的安裝和運行等的審計 四、安全審計系統使用的關鍵技術 根據在涉密信息系統中要進行安全審計的內容，我們可以從技術上分為以下幾個模塊： 1.網路審計模塊：主要負責網路通信系統的審計; 2.操作系統審計模塊：主要負責對重要伺服器主機操作系統的審計; 3.資料庫審計模塊：主要負責對重要資料庫操作的審計; 4.主機審計模塊：主要負責對網路重要區域的客戶機進行審計; 5.應用審計模塊：主要負責重要伺服器主機的應用平台軟體，以及重要應用系統進行審計。 還需要配備一個資料庫系統，負責以上審計模塊生成的審計數據的存儲、檢索、數據分析等操作，另外，還需要設計一個統一管理平台模塊，負責接收各審計模塊發送的審計數據，存入資料庫，以及向審計模塊發布審計規則。如下圖所示： 安全審計系統中應解決如下的關鍵技術： 1.網路監聽： 是安全審計的基礎技術之一。它應用於網路審計模塊，安裝在網路通信系統的數據匯聚點，通過抓取網路數據包進行典型協議分析、識別、判斷和記錄，Telnet、HTTP、Email、FTP、網上聊天、文件共享等的檢測，流量監測以及對異常流量的識別和報警、網路設備運行的監測等，另外也可以進行資料庫網路操作的審計。 2.內核驅動技術： 是主機審計模塊、操作系統審計模塊的核心技術，它可以做到和操作系統的無縫連接，可以方便的對硬碟、CPU、內存、網路負載、進程、文件拷貝/列印操作、通過Modem擅自連接外網的情況、非業務異常軟體的安裝和運行等進行審計。 3.應用系統審計數據讀取技術： 大多數的多用戶操作系統(Windows、UNIX等)、正規的大型軟體(資料庫系統等)、多數安全設備(防火牆、防病毒軟體等)都有自己的審計功能，日誌通常用於檢查用戶的登錄、分析故障、進行收費管理、統計流量、檢查軟體運行情況和調試軟體，系統或設備的審計日誌通常可以用作二次開發的基礎，所以如何讀取多種系統和設備的審計日誌將是解決操作系統審計模塊、資料庫審計模塊、應用審計模塊的關鍵所在。 4.完善的審計數據分析技術： 審計數據的分析是一個安全審計系統成敗的關鍵，分析技術應該能夠根據安全策略對審計數據具備評判異常和違規的能力，分為實時分析和事後分析： 實時分析：提供或獲取審計數據的設備和軟體應該具備預分析能力，並能夠進行第一道篩選; 事後分析：統一管理平台模塊對記錄在資料庫中的審計記錄進行事後分析，包括統計分析和數據挖掘。 五、安全審計系統應該注意的問題 安全審計系統的設計應該注意以下幾個問題： 1.審計數據的安全： 在審計數據的獲取、傳輸、存儲過程中都應該注意安全問題，同樣要保證審計信息的「五性」。在審計數據獲取過程中應該防止審計數據的丟失，應該在獲取後盡快傳輸到統一管理平台模塊，經過濾後存入資料庫，如果沒有連接到管理平台模塊，則應該在本地進行存儲，待連接後再發送至管理平台模塊，並且應該採取措施防止審計功能被繞過;在傳輸過程中應該防止審計數據被截獲、篡改、丟失等，可以採用加密演算法以及數字簽名方式進行控制;在審計數據存儲時應注意資料庫的加密，防止資料庫溢出，當資料庫發生異常時，有相應的應急措施，而且應該在進行審計數據讀取時加入身份鑒別機制，防止非授權的訪問。 2.審計數據的獲取 首先要把握和控制好數據的來源，比如來自網路的數據截取;來自系統、網路、防火牆、中間件等系統的日誌;通過嵌入模塊主動收集的系統內部信息;通過網路主動訪問獲取的信息;來自應用系統或安全系統的審計數據等。有數據源的要積極獲取;沒有數據源的要設法生成數據。對收集的審計數據性質也要分清哪些是已經經過分析和判斷的數據，哪些是沒有分析的原始數據，要做出不同的處理。 另外，應該設計公開統一的日誌讀取API，使應用系統或安全設備開發時，就可以將審計日誌按照日誌讀取API的模式進行設計，方便日後的審計數據獲取。 3.管理平台分級控制 由於涉密信息系統的迅速發展，系統規模也在不斷擴大，所以在安全審計設計的初期就應該考慮分布式、跨網段，能夠進行分級控制的問題。也就是說一個涉密信息系統中可能存在多個統一管理平台，各自管理一部分審計模塊，管理平台之間是平行關系或上下級關系，平級之間不能互相管理，上級可以向下級發布審計規則，下級根據審計規則向上級匯報審計數據。這樣能夠根據網路規模及安全域的劃分靈活的進行擴充和改變，也有利於整個安全審計系統的管理，減輕網路的通信負擔。 4.易於升級維護 安全審計系統應該採用模塊設計，這樣有利於審計系統的升級和維護。 專家預測，安全審計系統在2003年是最熱門的信息安全技術之一。國內很多信息安全廠家都在進行相關技術的研究，有的已經推出了成型的產品，另一方面，相關的安全審計標准也在緊鑼密鼓的制定當中，看來一個安全審計的春天已經離我們越來越近了。 但是信息系統的安全從來都是一個相對的概念，只有相對的安全，而沒有絕對的安全。安全也是一個動態發展的過程，隨著網路技術的發展，安全審計還有很多值得關注的問題，如： 1. 網路帶寬由現在的100兆會增加到1G，安全審計如何對千兆網路進行審計就是值得關注的問題; 2. 當前還沒有一套為各信息安全廠商承認的安全審計介面標准，標準的制定與應用將會使安全審計跨上一個新的台階; 3. 現在的安全審計都建立在TCP/IP協議之上，如果有系統不採用此協議，那麼如何進行安全審計。 六、小結 安全審計作為一門新的信息安全技術，能夠對整個計算機信息系統進行監控，如實記錄系統內發生的任何事件，一個完善的安全審計系統可以根據一定的安全策略記錄和分析歷史操作事件及數據，有效的記錄攻擊事件的發生，提供有效改進系統性能和的安全性能的依據。本文從安全審計的概念、在涉密信息系統中需要審計的內容、安全審計的關鍵技術及安全審計系統應該注意的問題等幾個方面討論了安全審計在涉密信息系統中的應用。安全審計系統應該全面地對整個涉密信息系統中的網路、主機、應用程序、資料庫及安全設備等進行審計，同時支持分布式跨網段審計，集中統一管理，可對審計數據進行綜合的統計與分析，從而可以更有效的防禦外部的入侵和內部的非法違規操作，最終起到保護機密信息和資源的作用。