软考信息安全笔记(一)

信息安全

信息安全体系

系统安全分类

系统安全主要分为实体安全、运行安全、信息安全和人员安全四个类别，每个类别从不同维度保障信息系统的整体安全。

实体安全 聚焦于硬件设备及相关设施的保护，涵盖环境安全、设备安全和媒体安全 三个方面，具体包括防尘防灾措施、抵御地震水灾等环境事故，以及确保传输和存储媒体免受电磁辐射等破坏，从而维护硬件层面的可靠性。

运行安全 的核心是保障系统可靠连续运行 ，避免服务中断，其内容包括系统风险管理、审计跟踪、备份与恢复和应急 四个方面。通过制定风险预案 如应对断电的应急电源、实施容余备份以快速恢复故障，以及利用日志记录异常事件进行跟踪，确保系统不因偶然或恶意原因遭受破坏。

信息安全 旨在保护系统中传输和存储的信息内容，核心目标是实现信息的保密性、完整性、可用性和可控性，防止非法授权访问、篡改或破坏。具体涉及操作系统安全、数据库安全、网络安全、病毒防护、访问控制、数据加密和认证等七个维度，确保信息仅对授权人员可见且保持真实可用。

人员安全 则强调人的因素在系统安全中的关键作用，包括安全意识、法律意识和安全技能的培养。由于人员常被视为系统安全的最大漏洞，需通过制度建设和定期培训，引导用户规范使用系统，从而减少人为失误导致的安全风险。

系统安全体系结构

一、 物理环境安全性

这是安全体系的最底层，主要关注通信线路、物理设备 以及机房环境的安全。在考试中需要注意，物理环境的安全性与实体安全性高度相关，它是整个信息系统得以运行的物理基石，确保硬件设施不受物理损坏或非法接触。

二、 操作系统安全性

操作系统的安全性体现在运行维度的维护，主要应对三个方面的威胁。首先是系统本身的缺陷 ，如系统漏洞 、身份认证不严或访问控制逻辑漏洞，这需要通过定期的补丁更新和逻辑加固来处理。其次是安全配置 的优化，通过调整系统参数来消除隐患。最后是防范病毒对操作系统的直接威胁，确保系统内核与底层服务的纯净。

三、 网络安全性

网络层的安全重点在于计算机网络本身的防御，涵盖了网络层身份认证和资源的访问控制 。对于备考而言，核心要点在于数据传输的保密性与完整性，这通常与网络通信协议密切相关。此外，网络安全性还包括远程接入安全、域名系统（DNS）安全、路由系统安全、入侵检测以及网络层级的病毒防护。

四、 应用安全性

应用安全由提供服务所采用的应用软件和数据产生，涵盖了常见的Web服务、电子邮件系统等。

【高频考点/特例提醒】 ：数据库系统 在安全划分中具有双重属性。一方面，因其承载核心应用数据，常被归类为"应用安全"；另一方面，由于其全称是数据库管理系统（DBMS），属于系统软件级别，因此在某些分类中也被划入"系统安全"维度。考试时需根据题干的侧重点（是侧重数据保护还是侧重软件层次）灵活判断。

五、 管理安全性

管理安全性对应的是人员安全性，它是从制度层面进行约束。这包括安全技术和设备的日常管理规范、安全管理制度的建立，以及针对部门与人员的组织规则。通过"人防"与"技防"的结合，利用管理制度来限定操作行为，从而弥补技术手段可能存在的漏洞。

安全保护等级

第一级：用户自主保护级

此级别适用于普通的内联网用户，其核心特征是"自主"。在这种级别下，用户对自己的资源拥有保护权。如果系统遭受破坏，其影响范围仅局限于公民、法人和其他组织 的合法权益，虽然会造成损害，但不会损害国家安全、社会秩序和公共利益。

第二级：系统审计保护级

该级别主要针对通过内联网或国际网进行商务活动、且需要保密的非重要单位。相比第一级，它引入了"审计"机制。在此级别，系统破坏后的后果开始加重，会对公民及组织权益造成严重损害 ，并开始损害社会秩序和公共利益 。但需要注意的是，此阶段依然不损害国家安全。

第三级：安全标记保护级

这是考试中最常出现的等级，属于中间的分水岭。 从第三级开始，系统破坏将正式损害国家安全 。它适用于地方各级国家机关、金融机构、邮电通信、能源水源供给等国家底层基础设施部门。若该级系统受损，将对社会秩序和公共利益造成严重损害 ，并对国家安全造成损害。

第四级：结构化保护级

此级别适用于中央级国家机关、广播电视、重要物资储备、尖端科技企业及国防建设等核心部门。在这一层级，破坏后果进一步升级：对社会秩序和公共利益的损害达到特别严重 的程度，而对国家安全造成的则是严重损害。其名称中的"结构化"代表了更高强度的逻辑控制和架构要求。

第五级：访问验证保护级

这是最高安全等级，适用于国防关键部门及需要实施特殊隔离的单位。由于这类单位（如绝密机关）通常进出都需要严苛的身份验证，因此得名。一旦该系统被破坏，将对国家安全造成特别严重损害

等级	适用对象简述	对社会利益的影响	对国家安全的影响
一级（自主）	普通内联网用户	无损害	无损害
二级（审计）	商务、非重要保密单位	损害	无损害
三级（标记）	地方机关、金融、能源	严重损害	损害
四级（结构）	中央机关、尖端科技、国防	特别严重损害	严重损害
五级（访问）	国防关键、特殊隔离单位	特别严重损害	特别严重损害

例题

题目

信息系统安全可划分为物理安全、网络安全、系统安全和应用安全 。（）属于系统安全，（）属于应用安全。

A: 机房安全

B: 入侵检测

C: 漏洞补丁管理

D: 数据库安全

答案：C, D

讲解：机房安全属于物理安全级别（涉及硬件和环境防护）；入侵检测属于网络安全级别（针对网络层威胁的监控）；漏洞补丁管理属于系统安全维度（与操作系统及系统层漏洞修复相关）；数据库安全属于应用安全维度（聚焦于应用层数据保护，而非系统底层）。

数据安全与保密

数据作为信息的载体，在传输过程中面临泄露风险。加密技术通过特定的数学计算方法，将原本有效的明文信息转换为密文。这种转换过程中用到的关键计算参数被称为密钥。加密机制的核心价值在于，即便密文被第三方窃取，由于破解成本极高，也能最大程度降低发送方和接收方的损失。

加密技术

对称加密技术

对称加密是指加密和解密过程使用同一个密钥 。在性能方面，它的运算强度不高，运行效率极快 ，无论是加密还是解密都能迅速完成。但在安全性上，其加密强度相对较低，较易被破解。该技术最大的考点在于密钥分发困难，因为双方必须持有相同的密钥，传送密钥的过程往往需要极高代价的安全通道，类似于早期谍战片中的"密码本"传递。

在备考中需重点掌握几种典型对称算法的参数：DES算法处理64位的数据块，其实际有效的密钥长度为56位，另有8位用于校验。**三重DES（3DES）在考试中常考及其密钥长度，它通常使用两个56位密钥，总长度为112位。其加密逻辑为：先用密钥K1加密，再用密钥K2进行解密运算（此时结果仍为密文），最后再次使用K1加密；解密则是其逆向过程。**IDEA算法拥有128位密钥，常用于PGP软件中；而以"ES"结尾的算法如AES以及RC-5也均属于对称加密范畴。

非对称加密技术

非对称加密使用一对互补的密钥，即公钥和私钥 。公钥可以像"保险箱"一样大肆对外分发，而私钥则由接收者严格保管，只有私钥能打开对应的加密信息 。这种机制使得密钥分发变得非常容易，且加密强度极高，内容极难被破解 。然而，复杂的运算逻辑导致其处理效率明显低于对称加密。

非对称加密的主要应用场景包括保密通信、数字信封与数字签名。在保密通信 中，若发送者要确保只有接收者能读取信息，必须使用接收者的公钥进行加密，因为只有接收者的私钥才能完成解密。数字信封技术 则是利用接收者的公钥来加密对称密钥，从而结合了对称加密的高效与非对称加密的安全性。数字签名则反其道而行之，发送者使用自己的私钥进行"签名"运算，虽不具备保密作用（因为公钥公开），但能确保发送者身份的真实性与不可抵赖性。

典型的非对称加密算法包括RSA算法 （传统考点涉及512位密钥）、安全性依赖于离散对数难题的Elgamal算法 ，以及基于椭圆曲线理论的ECC算法。

加密机制的综合安全效用

加密机制不仅能保护信息的机密性 （防止泄露），还能通过特定技术保障完整性 并识别信息来源 。在实际应用中，非对称加密常与摘要技术结合形成数字签名，这不仅能确保信息在传输过程中未被篡改，还能利用私钥的唯一性证实发送者身份，从而实现不可抵赖性和来源合法性校验。

认证技术

认证技术（Authentication）又被称为鉴别或确认，是证实某个事物是否名副其实且有效的一个过程。在信息系统安全体系中，它是系统的第一道设防，其基本目的在于防止非法实体假冒身份、占用或独立操作被鉴别实体的身份。

常见的鉴别方式

系统鉴别实体的身份通常基于五个维度。第一是已知的 信息，例如只有用户本人知晓的用户名和密码 。第二是拥有的 实物，如U盾、门禁卡 等实体介质。第三是不可改变的特性 ，这主要应用于生物特征识别 ，包括指纹、面部、虹膜以及声纹等，这些特征具有唯一性且难以更改。第四是相信可靠的第三方 建立的鉴别，即通过引入外部实名认证结果 （如支付宝、微信的鉴别结果）来实现本系统的身份确认。第五是环境鉴别方式，通常根据请求来源的IP地址等环境信息来判断访问者身份，例如仅允许内网IP访问。

与加密技术的本质区别

认证与加密虽然经常配合使用，但其防御逻辑存在显著差异。加密技术 的核心目标是确保数据的机密性，旨在阻止对手截取或窃听信息，属于应对被动攻击 的手段。相比之下，认证技术 主要用于确保数据发送者和接收者的真实性以及报文的完整性。它能够有效阻止对手发起的主动攻击，例如冒充合法身份登录系统、拦截报文后再次发送的"重放攻击"，以及恶意篡改报文内容的行为。在实际安全场景中，系统通常先通过认证技术确认访问者的真实有效性，再通过加密手段保障传输过程中的数据隐私。

信息摘要

信息摘要是认证技术的重要组成部分，其核心在于利用单向散列值函数将任意长度的明文提炼为固定长度的散列值 。这一过程具有不可逆性 ，即无法通过摘要内容还原正文，且正文的任何微小变动都会导致生成的摘要发生显著变化，因此它主要用于确保信息的完整性，防止数据在传输过程中被篡改。

在备考中需牢记两种主流的摘要算法及其散列值长度：MD5算法 生成的散列值为128位 ；SHA-1算法 生成的散列值为160位。由于SHA-1通常采用的密钥长度较长，其安全性普遍被认为高于MD5。

数字签名

数字签名是一种基于非对称加密机制的身份认证手段 ，其主要用途是确保发送者身份的真实性 与不可抵赖性 。为了克服非对称加密处理大量明文时效率低下的问题，实际应用中通常不对原文直接加密，而是对"信息摘要"进行签名。

执行签名时，发送者使用自己的私钥 对摘要进行运算，产生签名的摘要并随原文一同发送。接收者收到后，使用发送者的公钥进行验证（即解密签名），若解密出的摘要与接收者对原文重新计算得出的摘要完全一致，则证明信息确实由该发送者发出且未遭篡改。

认证技术与加密技术在防御目标上有着本质区别。加密技术 侧重于保密性，主要通过阻断截取和窃听来防御"被动攻击"。而以数字签名和信息摘要为核心的认证技术则侧重于真实性与完整性，旨在防御假冒身份、报文篡改以及"重放攻击"等"主动攻击"手段。在高级应用场景中，认证与加密往往结合使用。系统首先通过认证机制识别发送者的真实合法身份，随后再配合对称加密（由数字信封分发密钥）来传输保密数据，从而构建全方位的安全屏障。

$!NOTE$
备考核心提醒：

完整性校验：看"摘要"（MD5=128位，SHA-1=160位）。

身份认证（签名）：必须使用"发送者的私钥"。

保密通信（加密）：必须使用"接收者的公钥"。

数字证书

数字证书在网络通信中扮演着"网络身份证 "的角色。它主要用于确认服务器或用户的身份，防止身份伪造。同时，证书中包含的密钥信息也是实现后续非对称加密通信的基础。

数字证书的具体内容

数字证书的结构与现实生活中的身份证非常相似，主要包含以下关键信息：

首先是基础标识信息，包括证书的版本信息 以及一个唯一的证书序列号，这类似于身份证的第几代版本及唯一的身份证号。

其次是主体信息，证书会明确列出证书发行机构名称 （即CA机构）以及证书所有人名称 ，这些命名规则通常采用X.500格式。同时，证书必须包含有效期，通常采用UTC时间格式（如1950-2049），过期即失效。

证书中的技术核心（高频考点）

除了上述基础信息外，备考需重点关注证书中的三个技术字段：

证书所有人的公开密钥：这是证书的核心价值所在。通信方拿到证书后，也就提取到了对方的公钥，从而可以进行非对称加密通信。
签名算法：证书会明确指出所使用的签名算法，以便接收方进行验证。
证书发行者对证书的签名（CA签名）

CA签名的作用与验证逻辑

CA签名 是指权威机构（Certificate Authority）利用自己的私钥对证书进行的签名。老师在讲解中特别强调，这个签名的作用等同于公安局在身份证上的防伪印章，其根本目的是确保证书本身的真实性和有效性，防止第三方伪造证书。

在验证环节，客户端收到服务器发来的数字证书后，需要验证这个CA签名是否合法。验证的方法是使用发行者（CA）的公钥来进行解密验证。如果验证通过，说明该证书确实是由合法的CA机构颁发的，从而间接证明了持有该证书的服务器身份是真实的。

$!NOTE$
备考核心总结：

证书包含什么？ 重点记忆：持有者公钥、CA签名、有效期、序列号。

CA签名的作用？ 验证证书真伪（防伪）。

如何验证CA签名？ 使用CA的公钥。

密钥管理体系

数据安全性的强度与密钥密切相关，密钥管理体制主要负责解决密钥的产生、分发、销毁等全生命周期的管理问题。目前的密钥管理体制主要分为四类**：PKI、PMI、KMI以及SPK**，它们各自适用于不同的网络环境与业务需求。

1. 公钥基础设施（PKI）

PKI（Public Key Infrastructure）是利用公钥理论和技术建立的提供安全服务的基础设施。它主要适用于开放网 环境。在信任逻辑上，PKI采用第三方管理模式（如CA认证中心），具有良好的扩展性，非常适合处理开放性的业务。

$!NOTE$
数字证书的应用流程与安全机制

数字证书的颁发与身份确立

数字证书由具有权威性的第三方机构 CA中心（证书认证中心） 颁发。服务器（如工商银行服务器）获得证书后，即拥有了在网络中证明自己真实身份的"电子身份证"。该证书内集成了服务器名称、证书序列号、有效期、服务器公钥 以及 CA中心的数字签名 等核心安全信息。

证书下载与真伪验证

当客户机准备与服务器建立安全通信时，首先需要获取并下载该服务器的数字证书。为了防止遭遇"钓鱼网站"或身份假冒，客户机必须验证证书的合法性。验证过程是利用 CA中心的公钥 对证书上的 CA签名 进行解密验证。只有验证通过，才能确保证书未经篡改且确实由权威机构颁发，从而证实服务器身份的真实性。

密钥协商与数字信封的应用

身份验证成功后，客户机从证书中提取出服务器的公钥 。随后，客户机会在本地生成一个随机密钥（对称密钥） ，并利用提取出的服务器公钥对该随机密钥进行加密。这一步骤应用了数字信封技术，确保该随机密钥在传输过程中即使被截获，也只有持有对应私钥的合法服务器才能解信封获取密钥。

加密通信的建立

服务器使用自己的私钥解开数字信封并获取随机密钥，至此，双方完成了对称密钥的共识协商。在后续的实际数据交互过程中，双方将直接使用该**随机密钥（对称加密）**对明文进行加密传输。这种"先非对称加密协商密钥，后对称加密传输数据"的组合方式，既发挥了非对称加密安全性高的优势，又利用了对称加密处理大数据量时的高效率。

备考核心总结（必背）：

验证证书真伪 ：用 CA的公钥 验证 CA的签名。

分发对称密钥 ：用 服务器的公钥 加密随机密钥（数字信封）。

实际数据传输 ：用 对称密钥（随机密钥） 加密。

PKI（Public Key Infrastructure）公钥基础设施是数据安全与保密的核心，其体系结构主要由以下四个部分组成：

CA（Certificate Authority）认证中心： 它是整个体系的信任核心，作为最终的权威机构，负责数字证书的签发、管理以及对签名进行认证，确保证书的权威性与不可伪造性。
RA（Registration Authority）注册审批机构： 它是CA的下属机构或合作伙伴。主要职责是负责用户身份信息的收集、验证、注册申请和审批，确保用户身份的真实性与准确性。它起到了CA与用户之间的审核缓冲作用。
证书受理点： 这是PKI体系的最底层，直接面向最终用户。它充当了用户与RA/CA交互的接口，用户在此提交申请材料。
KMC（Key Management Center）密钥管理中心： 负责密钥全生命周期的管理。这包括密钥的生成、存储、分发以及备份等核心环节，是公钥体系中加密与签名功能的基础支撑。

$!NOTE$
数字证书的从申请到使用的过程遵循严格的层级流转逻辑：

1. 申请与审核阶段：

用户首先前往证书受理点 提交个人身份信息。随后，由RA 对这些信息进行深度审核，确保信息的真实有效。一旦审核通过，RA会将生成的证书请求提交给CA。

2. 签发与生成阶段：

CA 接收到经过RA审核的请求后，作为最终机构正式颁发数字证书。在整个过程中，KMC同步负责相关密钥的生成工作，确保密钥的安全产生。

3. 使用、更新与吊销：

在证书的使用过程中，验证工作主要通过CA签名的认证来完成。如果用户的证书需要进行更新或因私钥泄露等原因需要吊销，通常也需通过RA提出申请，再由体系进行相应处理。

2. 授权管理基础设施（PMI）

PMI（Privilege Management Infrastructure）以资源管理为核心，负责将对资源的访问控制权统一交由授权机构处理 。它主要适用于封闭网环境。需要特别注意的是，PMI与PKI常结合使用：PMI在进行权限验证时，往往依赖PKI来完成身份认证，二者相辅相成。

3. 密钥管理基础设施（KMI）

KMI（Key Management Infrastructure）是一种密钥统一集中式管理机制，通过传统的密钥管理中心（KMC）进行运作。它主要适用于封闭网或各种专用网。KMI具有很好的封闭性，由内部集中的主管方进行管理，因此更适合处理单位内部的专用业务。

4. SPK密钥管理（SPK）

SPK（Self-Extracting Public-Key）是一种结合了对称加密和非对称加密优势的混合管理方法。其工作机制是使用对称密钥加密数据，同时使用非对称密钥来确保数据的安全性。它主要适用于规模化专用网，其相关算法包括多重公钥（LPK/LDK）和组合公钥（CPK/CDK）等。

高频考点：PKI与KMI的深度对比

适用环境与特性 ：PKI侧重于开放性 ，适用于开放网业务，扩展性强；而KMI侧重于封闭性，适用于封闭网或专用网业务。
服务功能 ：PKI通常只提供数字签名 服务；而KMI功能更全面，既提供数据加密 也提供数字签名功能。
信任逻辑 ：PKI依赖权威的第三方管理模式 （CA）；KMI则依赖集中式的主管方管理模式（内部机构）。
责任主体 ：PKI属于个人负责 的技术体系；而KMI是单位负责制。
应用角度 ：PKI主要解决主外的交互问题；KMI主要解决主内的管理问题。

国产加密算法

对称加密算法：SM1 与 SM4

SM1 和 SM4 均属于对称加密算法，其分组长度和密钥长度均为 128 比特 。这两者的主要区别在于应用领域：SM1 具有通用性 ，广泛应用于电子政务、电子商务及国民经济的各个应用领域。相比之下，SM4 的考点在于其特定应用场景，它主要适用于无线局域网产品。

非对称加密算法：SM2

SM2 是基于椭圆曲线（ECC）架构的非对称加密算法 。在国家标准中，推荐使用素数域 256 位椭圆曲线。它具备公钥加密、密钥交换协议和数字签名等多种功能。

杂凑算法（哈希函数）：SM3

SM3 属于杂凑算法（即单向散列或哈希算法），其杂凑值长度为 256 比特 。虽然其本质是处理信息摘要，但在概念定义上，SM3 被明确表述为适用于商用密码应用中的数字签名和验证 。这是考试中的一个重要易混淆点，必须将其与 SM2 的通用签名功能 区分开来：当题目强调"商用密码应用"背景下的签名验证时，特指 SM3。

标识密码算法：SM9

SM9 是一种特殊的标识密码算法 。其最显著的考试特征是不需要申请数字证书即可实现安全保障。它主要针对互联网应用的各种新兴安全需求，利用用户标识（如邮件地址、手机号等）直接作为公钥进行加密或签名验证。

例题

题目

对称加密算法中，（）的明文和密文都是64位，密钥长度为128位。

A: IDEA

B: 3DES

C: DES

D: RSA

答案：A

讲解：DES的明文和密文长度均为64位，但密钥长度为56位 ，不符合题意；IDEA的明文和密文长度均为64位，密钥长度为128位，完全匹配题目要求；3DES密钥长度为112位或168位 ，不满足128位条件；RSA属于非对称加密算法，不属于对称加密范畴，且其密钥长度通常为512位以上（如教程所述），不符合题意。因此，正确答案为A选项。

题目

请设计一个安全邮件传输系统，满足以下要求：

邮件内容（含最大2GB附件）必须以加密方式传输；

确保发送者的行为具有不可抵赖性；

若邮件在传输过程中被第三方截获，第三方应无法篡改邮件内容。

答案：

大规模数据加密方案

针对邮件主体（尤其是包含2GB大附件）的传输，必须采用对称加密技术。由于非对称加密在处理大规模数据时效率极低，因此应生成一个随机的对称密钥（会话密钥）对邮件明文进行加密。这解决了大数据量传输的效率与保密性问题。

密钥分发与数字信封技术

为了安全地将对称密钥传递给接收者，需应用数字信封技术 。发送方使用接收者的公钥对上述对称密钥进行加密。由于只有接收者本人持有对应的私钥，这确保了即便第三方截获了加密后的密钥包，也无法解开信封。这一步解决了对称加密中"密钥分发困难"的核心痛点，将非对称加密的安全性与对称加密的高效性完美结合。

身份认证与防篡改逻辑

为了实现不可抵赖性和防篡改，需结合信息摘要 与数字签名 技术。发送方首先利用单向散列函数（如MD5或SHA-1）对邮件原文生成固定长度的信息摘要，确保信息的完整性。随后，发送方使用自己的私钥对该摘要进行数字签名。使用发送者私钥签名的行为保证了身份的真实性（不可抵赖），而摘要比对则确保了信息一旦被篡改，接收方在验证时便会发现不一致。

接收方的处理流程

接收方在收到数据包后，首先使用自己的私钥 解开数字信封，还原出对称密钥。接着，利用该对称密钥解密邮件密文，获取邮件明文。为了验证身份与完整性，接收方需使用发送者的公钥对数字签名进行解密（验证签名），得到发送方生成的原始摘要。最后，接收方对解密出的邮件明文重新计算摘要，并与原始摘要进行比对。若二者完全一致，则证明邮件内容未被篡改，且确实由发送方发出。

题目

某数字签名系统如下图所示。网上传送的报文是（），如果A否认发送，作为证据的是（）。

A: PPP

B: DA(P)D_A(P)DA(P)

C: EB(DA(P))E_B(D_A(P))EB(DA(P))

D: DAD_ADA

答案：C, B

讲解：在数字签名系统中，发送方需同时保证报文的机密性和身份认证。网上传送的报文应为加密后的签名数据：发送方先用自身私钥 DAD_ADA 对明文 P 签名（得到 DA(P)D_A(P)DA(P)，再用接收方公钥 EBE_BEB 加密该签名（得到 EB(DA(P))E_B(D_A(P))EB(DA(P))），即选项 C，确保传输内容保密且可验证。

若 A 否认发送，作为证据的是签名结果 DA(P)D_A(P)DA(P)（选项 B），因为接收方可用 A 的公钥 EAE_AEA 验证签名真实性，证明 A 确实发送了该报文。

明文 PPP（选项 A）和私钥 DAD_ADA（选项 D）均不直接传送，不符合安全要求。

题目

密钥管理处理密钥自产生到销毁整个过程中的问题。其中，（）是适用于封闭网，以传统的密钥管理中心为代表的机制。

A: PKI

B: KMI

C: LPK

D: CPK

答案：B

解析：

本题主要考查密钥管理体制的适用场景及核心特征。

PKI (Public Key Infrastructure) ：即公钥基础设施，它主要适用于开放型网络环境（如互联网），采用第三方管理模式（CA），具有良好的扩展性。
KMI (Key Management Infrastructure) ：即密钥管理基础设施，它是以传统的密钥管理中心（KMC）为代表的机制，主要适用于封闭型网络环境。其特点是采用集中式的主管方管理模式，具有很好的封闭性，适合单位内部的专用业务。
SPK (Self-Extracting Public-Key) ：即SPK密钥管理，适用于规模化专用网。虽然它包含**LPK（多重公钥）和CPK（组合公钥）**等算法，但在本题语境下，SPK才是体制名称，而LPK和CPK通常作为具体的算法或混淆项出现。

题干中明确提到了两个关键信息点："适用于封闭网 "和"以传统的密钥管理中心为代表"。

排除A选项：PKI对应的是开放网。
锁定B选项：KMI完全符合"封闭网"和"密钥管理中心（KMC）"这两个特征。
排除C、D选项：它们属于具体的算法或本题的干扰项，而非通用的管理体制名称。

综上所述，本题正确答案为 B。

题目

在我国商用密码算法体系中，（）属于摘要算法。

A: SM2

B: SM3

C: SM4

D: SM9

答案：B

讲解：SM3 是我国商用密码算法体系中的杂凑算法（即摘要算法），用于生成消息的固定长度摘要值，确保数据完整性。其他选项不符合：SM2 是基于椭圆曲线的非对称加密算法（用于数字签名和密钥交换）；SM4 是对称分组加密算法（主要用于无线局域网等场景）；SM9 是基于标识的非对称密码算法（用于身份认证和密钥协商）。因此，仅 SM3 属于摘要算法范畴。

题目

国密SSL证书采用（）公钥算法体系，支持SM2、SM3、SM4等国密算法安全协议。

A: SM1

B: SM2

C: SM3

D: SM4