用法 课程地图 简明地图 工业4.0/5.0与威胁 规划与政策 生物识别 密码学 签名与证书 区块链 速查 自测 题库

EE6102 随身学：网络安全与区块链知识点小册子（手机版）

适配手机阅读｜3–5分钟一页｜检索练习 + 间隔复习｜基于讲义与学习科学

如何使用（3步）

  1. 碎片学：每次挑一个3–5分钟模块阅读，并收起→展开卡片自测（检索练习）。
  2. 间隔复习：按 D0→D1→D3→D7→D21 回看错题与易忘点。
  3. 双编码：配合小图/比喻+文字；用「口诀/对照表」强化记忆。
设计依据：检索练习（Roediger & Karpicke, 2006）、间隔效应（Cepeda et al., 2006）、可取困难（Bjork, 1994）、学习策略评估（Dunlosky et al., 2013）。

课程知识地图（1眼看懂）

安全三要素：CIA（机密性、完整性、可用性）—像门锁、封箱胶、24h供水
驱动与威胁：IoT、云、AI/大数据、数字孪生、CPS、智能工厂 → 攻击面扩大
治理与策略：政策体系、Top-down、零信任+纵深防御、DLM四层
身份与访问：口令→多因素→生物识别（指纹/人脸/虹膜…）
密码学：对称（AES）｜非对称（RSA/ECC）｜哈希（SHA-256）
信任：数字签名 + 证书（PKI） → HTTPS/软件签名
区块链：去中心账本 + 共识 + 加密 → BTC/ETH、DeFi、溯源等

课程知识地图（极简版｜上手就懂）

看图顺序（从为什么→做什么→怎么做→应用到哪）：

  1. 为什么要安全？ 因为 CIA：不被看、不中改、用得上（机密性/完整性/可用性）。
  2. 为什么更难了？ 工业4.0/5.0 带来 IoT/云/AI/数字孪生/智能工厂 → 入口变多、链路变长。
  3. 怎么组织打仗？ 规划与政策（Top-down） + 零信任（始终验证） + 纵深防御（多层保护）。
  4. 怎么认人？ MFA 多因素 + 生物识别（指纹/人脸/虹膜…）。
  5. 怎么上锁？ 密码学：对称（AES）｜非对称（RSA/ECC）｜哈希（SHA-256）。
  6. 怎么建立信任？ 数字签名 + 证书 + PKI → 浏览器能分辨“真网站”。
  7. 用在哪里？ 区块链：分布式账本 + 共识（PoW/PoS） + 加密 → BTC/ETH、DeFi、溯源等。
一图流（文本版 Flow）：

需求/CIA → I4.0/5.0 风险 → 规划&政策 → 身份认证 → 密码学 → 签名&证书/PKI → 区块链应用

口诀卡（30秒记忆）

“需保密、保原样、要可用；联万物，口多链长难守；先立规，再核身；强加密，靠签证；上链记，众共识。”

术语小词典（超短释义）
  • CIA：Confidentiality / Integrity / Availability（不被看 / 不被改 / 能用上）。
  • 零信任：默认不信任，处处验证，最小权限，持续评估。
  • 纵深防御：多层控制叠加，单点失守不崩盘。
  • MFA：多因素认证（你有/你知/你是）。
  • AES：对称加密标准，快且强，块长128位。
  • RSA/ECC：非对称加密（公钥/私钥）；擅长密钥交换与签名。
  • 哈希（SHA-256）：数字指纹，不可逆；检完整。
  • 数字签名：私钥盖章，公钥验章；证来源+未篡改+抗抵赖。
  • 证书/PKI：CA 给公钥颁“身份证”，浏览器信任链校验。
  • PoW/PoS：工作量证明/权益证明——让分布式节点对“记账顺序”达成一致。
从图到章节（点进学习）

模块A｜工业4.0/5.0 与网络威胁

类比：企业像一座“智能城”，IoT是传感器路灯，云是市政仓库，AI是交通指挥；联得越多，入口越多。

关键趋势
  • IIoT：海量设备上网 → 攻击面扩大
  • 云计算：弹性资源 → 需防 DDoS/数据泄露
  • AI & 大数据：效率↑ 但威胁自动化↑
  • 数字孪生/虚拟化/CPS/智能工厂：物理世界与网络世界深度耦合 → 安全联动复杂
  • 人因：错误/疏忽/内鬼风险始终存在
现场清单：我司是否暴露？
  • IoT设备清单与固件版本可见？默认口令已改？
  • 关键云服务有WAF/速率限制/最小权限？
  • 生产网与办公网隔离？远程访问多因素？
  • 有CPS/OT环境的安全基线与应急演练？
术语对照（EN/缩写 ↔ 中文｜中文概念）
  • Industry 4.0 (I4.0)：工业4.0——以CPS、自动化与数据驱动的智能制造阶段。
  • Industry 5.0 (I5.0)：工业5.0——强调人机协作、个性化与可持续。
  • IIoT（Industrial Internet of Things）：工业物联网——设备/传感器联网采集与控制。
  • CPS（Cyber-Physical Systems）：信息物理系统——网络与物理过程深度耦合。
  • OT / IT（Operational / Information Technology）：生产控制技术 / 信息技术。
  • DDoS（Distributed Denial of Service）：分布式拒绝服务——海量请求耗尽资源。
  • Misconfiguration：配置错误——错误设置导致未授权暴露。
  • Phishing：网络钓鱼——社工骗取凭证/点击。
  • Segmentation：网络分段/隔离——阻断横向移动。

模块B｜安全规划与政策（Top-down + 零信任 + 纵深防御）

为什么要“先规划后部署”？
  1. 看清风险版图（体检先于用药）
  2. 从被动救火 → 主动预防（基线、扫描、演练）
  3. 事件响应有章可循（谁、何时、怎么做）
  4. 合规与审计可交付（GDPR/PCI/HIPAA…）
政策体系（常见10类）
简称速译（看缩写就懂）
  • Top-down（自顶向下）：领导定方向与资源，自上而下推进落地。
  • Zero Trust（零信任）：默认不信任，处处验证，最小权限，持续监控。
  • DiD（Defense in Depth，纵深防御）：多层防护叠加，一层失守还有别的层。
  • DLM（Digital Liability Management）：政策×技术的四层框架：高管承诺 → 制度 → 流程 → 工具。
  • AUP（Acceptable Use Policy，可接受使用）：公司网络/设备能做什么不能做什么。
  • RBAC（基于角色的访问控制）：按岗位角色给权限，最小够用。
  • IAM（身份与访问管理）：统一管理员工账户、认证与授权。
  • MFA（多因素认证）：至少两类不同因子一起登录。
  • WAF（Web 应用防火墙）：在应用层拦截恶意请求，保护网站。
  • SOC（安全运营中心）：监测告警、响应处置的一体化平台/团队。

小贴士：看不懂缩写就看括号里的中文；记不住就读后一句白话解释。

AUP可接受使用
访问控制
事件响应
密码策略
数据分类与加密
备份恢复
网络安全
物理安全
远程接入
供应商管理
DLM四层防线：高管承诺 → 规范/制度 → 安全操作流程 → 技术与工具
执行要点（复盘卡）
  • 自顶向下：资金与权责明确；自底向上：反馈与落地
  • 零信任：从不默认信任，始终验证+最小权限+持续监控
  • 纵深防御：多层防护，不做单点豪赌
术语对照（EN/缩写 ↔ 中文｜中文概念）
  • Top‑down：自顶向下——领导定方向与资源，推动落地。
  • Zero Trust (ZT)：零信任——默认不信任，持续验证，最小权限。
  • Defense in Depth (DiD)：纵深防御——多层控制叠加，降低单点失败。
  • DLM（Digital Liability Management）：数字责任管理——高管承诺→制度→流程→工具。
  • GRC（Governance, Risk, Compliance）：治理/风险/合规一体化。
  • BCP/DR（Business Continuity / Disaster Recovery）：业务连续性 / 灾难恢复。
  • SIEM（Security Information & Event Management）：安全信息与事件管理。
  • SOAR（Security Orchestration, Automation & Response）：安全编排与自动化响应。
  • ISO/IEC 27001：信息安全管理体系标准（ISMS）。
  • NIST CSF：NIST 网络安全框架（识别-保护-检测-响应-恢复）。

模块C｜生物识别与身份认证

三类认证因子：你有（卡/令牌）｜你知（口令）｜你是（生物特征）
  • 生物识别：指纹、虹膜/视网膜、面部、声音、步态、签名等
  • 优势：方便、难仿冒、不可转借；限制：隐私、可被伪造、不可撤销、成本
  • 常见流程：注册（采集→模板） → 认证（采集→匹配→决策）
指纹识别工作流（速记）
采集 → 预处理（增强/二值化/细化）→ 特征（细节点/脊线流）→ 匹配（评分阈值）
术语对照（EN/缩写 ↔ 中文｜中文概念）
  • MFA（Multi‑Factor Authentication）：多因素认证——不同类别因子组合登录。
  • Biometrics：生物识别——用生理/行为特征进行认证。
  • FAR（False Acceptance Rate）：误识率——把陌生人当合法用户。
  • FRR（False Rejection Rate）：拒识率——把合法用户当陌生人。
  • EER（Equal Error Rate）：等错误率——FAR=FRR，越低越好。
  • Liveness Detection：活体检测——防照片/面具欺骗。
  • Enrollment：注册/建模——采集特征并生成模板。
  • Template：模板——用于匹配的特征数据。
  • Minutiae：细节点——指纹的脊线终止/分叉等特征点。
  • FIDO2/WebAuthn：无密码强认证标准，基于公私钥。

模块D｜密码学总览

核心对象：明文 → 加密（算法+密钥）→ 密文 → 解密（密钥）→ 明文
  • 对称：同一把钥匙（快，适合大量数据）→ AES
  • 非对称：一公一私（解决密钥分发）→ RSA/ECC
  • 哈希：无钥摘要，像“数字指纹” → SHA-256
算法密钥/块特点场景
DES/3DES56/112–168b，64b块旧/过时；3DES为过渡历史/兼容
AES128/192/256b，128b块当代标准，强/快磁盘、TLS、VPN
RSA/ECC公私钥对慢/适合小数据与密钥交换证书、签名、握手
Hash—定长摘要，抗篡改完整性校验、区块链
混合加密（HTTPS如何既快又安全？）
先用非对称安全交换“会话密钥”，再用对称高速加密大数据；两者取长补短。
术语对照（EN/缩写 ↔ 中文｜中文概念）
  • SKC（Secret‑Key Cryptography）：对称加密——同一密钥加/解密。
  • PKC（Public‑Key Cryptography）：非对称加密——一对公钥/私钥。
  • AES：高级加密标准——128位块；128/192/256位密钥。
  • DES/3DES：数据加密标准/三重DES——已过时/过渡方案。
  • RSA：基于大整数分解困难的公钥算法。
  • ECC：椭圆曲线密码学——更短密钥实现同等安全。
  • Hash：散列函数——不可逆“数字指纹”。
  • HMAC：基于密钥的消息认证码——完整性+鉴别。
  • IV（Initialization Vector）：初始化向量——避免相同明文块产生相同密文。
  • Modes：分组模式（CBC/ECB/GCM）——ECB不建议；GCM为AEAD。
  • KDF：密钥派生函数（PBKDF2、HKDF、scrypt）。
  • Entropy：熵——随机性强度。

模块E｜数字签名、证书与PKI

  • 数字签名：用私钥对消息(或哈希)签名，任何人用公钥可验证 → 证明来源与未被篡改且可抗抵赖
  • 数字证书：把“公钥←→实体身份”绑定的电子身份证，由CA签发与背书
  • PKI：证书/CA/吊销/信任链的完整体系 → 浏览器校验证书来建立HTTPS
一口气看懂PKI流程
  1. 网站生成公私钥，请求CA签发证书（含公钥+域名）
  2. CA验证域名控制权后，用CA私钥签名证书
  3. 浏览器访问站点→拿到证书→用CA公钥验签
  4. 验证通过→进行TLS握手→生成会话密钥→加密通信
术语对照（EN/缩写 ↔ 中文｜中文概念）
  • PKI（Public Key Infrastructure）：公钥基础设施——证书与信任链体系。
  • CA（Certificate Authority）：证书颁发机构——签发/吊销证书。
  • RA（Registration Authority）：注册机构——审核申请者身份。
  • CSR（Certificate Signing Request）：证书签名请求。
  • CRL（Certificate Revocation List）：证书吊销列表。
  • OCSP（Online Certificate Status Protocol）：在线证书状态协议。
  • TLS/SSL：传输层安全协议——保障传输的机密与完整。
  • CN/SAN：通用名/备用名——证书中的主机名与别名。
  • Key Pair：密钥对——公钥 + 私钥。
  • Certificate Fingerprint：证书指纹——证书哈希用于识别。

模块F｜区块链基础

一个比喻：全班同学各自记账且互相核对，一旦写入且达成共识就谁也改不动。
  • 三大特性：去中心、不可篡改、透明可审计
  • 三种形态：公有链｜联盟链｜私有链
  • 关键技术：哈希链 + 共识(PoW/PoS) + 公私钥签名
应用速览
加密货币（BTC/ETH）
智能合约 / DeFi / NFT
供应链溯源 / 电子病历 / DID身份
术语对照（EN/缩写 ↔ 中文｜中文概念）
  • DLT（Distributed Ledger Technology）：分布式账本技术。
  • PoW（Proof of Work）：工作量证明——算力竞争记账。
  • PoS（Proof of Stake）：权益证明——以质押/持币参与共识。
  • Merkle Tree：默克尔树——高效批量完整性校验。
  • Smart Contract (SC)：智能合约——链上自动执行代码。
  • DApp：去中心化应用。
  • UTXO：未花费交易输出模型（比特币）。
  • Account Model：账户模型（以太坊）。
  • Genesis Block：创世块——链上的第一个区块。
  • Layer 2 (L2)：第二层扩容（Rollups/通道）。
  • Stablecoin：稳定币——锚定法币/资产维持稳定。
  • DeFi / NFT：去中心化金融 / 非同质化代币。

速查表（术语→一句话）

CIA机密-只许该看的人看；完整-不能被私改；可用-随时用得上
零信任默认不信任，处处验证，最小权限，持续评估
纵深防御多层“城防”叠加，任何一层失守也不致命
AES当前对称加密黄金标准，快而强
哈希数字指纹，不可逆，检完整
数字签名私钥盖章，公钥验章，证来源与未篡改
证书/CA把公钥与身份绑定的电子身份证，由权威CA背书
区块链分布式账本+共识+加密，人人有账本，难以作假

随身自测（检索练习）

选择/判断
  1. （判断）零信任就是把所有人都拒之门外。
  2. （单选）以下哪项不属于三类认证因子？A. 你有 B. 你知 C. 你想 D. 你是
  3. （单选）HTTPS为何使用“混合加密”？A. 更省电 B. 兼顾非对称密钥交换与对称高速
  4. （多选）关于区块链，哪些正确？A. 无中心 B. 任意改写历史 C. 使用公私钥 D. 通过共识记账
参考答案：1.×（零信任=始终验证） 2.C 3.B 4.A C D
简答
  1. 用生活类比解释“完整性”和“不可否认性”。
  2. 写出PKI的四个关键步骤。
  3. AES 与 3DES 在安全性与性能上的差异？
迷你案例：勒索软件如何应对？
  1. 隔离：断网/下线受害主机
  2. 判定：识别家族/波及范围
  3. 恢复：从离线备份回滚；补丁/口令重置
  4. 复盘：钓鱼入口/漏洞补齐；演练/告警优化

主动回忆日历（示例）

今天看完一个模块后，设置手机提醒：明日、第3天、第7天、第21天快速回看错题与速查表。

内容依据：EE6102 讲义（Parts 1–4）与课程总结；本小册子仅供学习复习使用。

题库（选择题｜中英文双语）

覆盖：CIA/基础、工业4.0/5.0与威胁、规划与政策、身份与生物识别、密码学、签名与证书、TLS、区块链。

A. 网络安全基础与 CIA 三要素 (Q1–Q5)

Q1. 哪一项最能体现“机密性（Confidentiality）”？ / Which best represents “Confidentiality”?

  • A. 只有授权用户能查看工资表 / Only authorized users can view payroll
  • B. 系统 7×24 小时在线 / System is online 24/7
  • C. 日志不可被删除 / Logs cannot be deleted
  • D. 任何人都能下载报表 / Anyone can download reports

答案/Answer: A

理由/Why: 机密性=防未授权读取；Confidentiality prevents unauthorized disclosure.

Q2. 哪一项威胁主要针对“可用性（Availability）”？ / Which threat primarily targets “Availability”?

  • A. 钓鱼邮件 / Phishing
  • B. 拒绝服务攻击 / DoS
  • C. 密码喷洒 / Password spraying
  • D. 中间人攻击 / MITM

答案/Answer: B

理由/Why: DoS 通过耗尽资源让服务不可用；DoS exhausts resources to disrupt service.

Q3. “完整性（Integrity）”最好的类比是？ / Best analogy for “Integrity”?

  • A. 门锁 / Door lock
  • B. 封条 / Tamper-evident seal
  • C. 电源备份 / Power backup
  • D. 大堂保安 / Lobby guard

答案/Answer: B

理由/Why: 完整性强调未被篡改；A tamper seal reveals alteration.

Q4. “不可否认性（Non-repudiation）”依赖哪项技术？ / Non-repudiation relies on which?

  • A. 对称加密 / Symmetric encryption
  • B. 数字签名 / Digital signatures
  • C. 哈希碰撞 / Hash collision
  • D. 随机盐 / Random salt

答案/Answer: B

理由/Why: 私钥签名、公钥验证提供可追责性；Sign with private key, verify with public key.

Q5. 下列哪一项不是安全要素（People/Process/Technology）？ / Which is not among People/Process/Technology?

  • A. 人员 / People
  • B. 流程 / Process
  • C. 技术 / Technology
  • D. 价格 / Price

答案/Answer: D

理由/Why: 价格非安全三要素；Price isn’t one of PPT pillars.

B. 工业4.0/5.0 与威胁态势 (Q6–Q10)

Q6. IIoT 大规模连接直接带来的风险是？ / Direct risk from massive IIoT connectivity?

  • A. 数据冗余 / Data redundancy
  • B. 攻击面扩大 / Expanded attack surface
  • C. 能耗下降 / Energy reduction
  • D. 供应链缩短 / Shorter supply chain

答案/Answer: B

理由/Why: 设备越多入口越多；More devices → more entry points.

Q7. 以下哪项是云场景最常见的攻击？ / Common in cloud scenarios?

  • A. 浏览器指纹 / Browser fingerprinting
  • B. 供应链投毒 / Supply-chain poisoning
  • C. 配置错误导致数据泄露 / Misconfiguration data leak
  • D. 线缆侧信道 / Cable side-channel

答案/Answer: C

理由/Why: 云中误设访问控制是高频事故源；Misconfigured access is frequent.

Q8. 智能工厂的安全难点之一是？ / A security challenge in smart factories?

  • A. 无法联网 / No connectivity
  • B. IT/OT 融合与隔离难题 / IT–OT convergence & segmentation
  • C. 没有日志 / No logging
  • D. 无人值守不可能 / Unattended impossible

答案/Answer: B

理由/Why: CPS/OT 与 IT 互联带来隔离与可见性难题；IT–OT convergence complicates controls.

Q9. 人因导致的典型事件是？ / A typical human-factor incident is:

  • A. 新型0日漏洞利用 / 0-day exploit
  • B. 员工误点钓鱼链接 / Employee clicks phishing link
  • C. 芯片后门 / Hardware backdoor
  • D. 量子攻击 / Quantum attack

答案/Answer: B

理由/Why: 社工是最常见入口；Social engineering is a common entry.

Q10. 保障可用性的首要工程措施是？ / A primary engineering measure for availability:

  • A. 双因素认证 / MFA
  • B. 冗余与弹性扩展 / Redundancy & autoscaling
  • C. 更复杂密码 / Complex passwords
  • D. 数据脱敏 / Data masking

答案/Answer: B

理由/Why: 可用性依赖冗余与容量弹性；Availability needs redundancy/scale.

C. 规划、政策、零信任与纵深防御 (Q11–Q15)

Q11. 安全规划优先带来的收益是？ / Primary benefit of security planning?

  • A. 立即降低成本 / Immediate cost drop
  • B. 风险全貌识别 / Risk landscape clarity
  • C. 彻底消除事故 / Zero incidents
  • D. 无需合规 / No compliance needed

答案/Answer: B

理由/Why: 规划首先识别与评估风险；Plan surfaces/assesses risks.

Q12. 下列哪项不属于常见安全政策？ / Which is not a common policy?

  • A. 可接受使用 / Acceptable Use
  • B. 访问控制 / Access Control
  • C. 事件响应 / Incident Response
  • D. 市场营销 / Marketing

答案/Answer: D

理由/Why: 营销与安全政策无关；Marketing isn’t a security policy.

Q13. 零信任的核心表述是？ / Core motto of Zero Trust?

  • A. 一次认证永久信任 / Authenticate once, trust forever
  • B. 从不信任，始终验证 / Never trust, always verify
  • C. 内网默认可信 / Intranet is trusted
  • D. 只需强密码 / Strong passwords only

答案/Answer: B

理由/Why: 零信任=持续验证+最小权限；Continuous verification & least privilege.

Q14. 纵深防御的正确说法是？ / Correct about Defense-in-Depth:

  • A. 依赖单一最强控制 / Single strongest control
  • B. 多层控制叠加 / Layered, overlapping controls
  • C. 仅物理层即可 / Physical only
  • D. 仅网络层即可 / Network only

答案/Answer: B

理由/Why: 多环节叠加减少单点失败；Layers reduce single-point failure.

Q15. DLM 四层中最顶层是？ / Top tier in DLM four-tier model?

  • A. 工具与技术 / Tools & tech
  • B. 安全使用流程 / Secure procedures
  • C. 制度与声明 / Policies & statements
  • D. 高层承诺与支持 / Senior mgmt commitment

答案/Answer: D

理由/Why: 领导力与资源是基础；Leadership/resources enable all.

D. 身份认证与生物识别 (Q16–Q19)

Q16. 三类认证因子不包括？ / Which is NOT an auth factor?

  • A. 你有（令牌）/ Something you have
  • B. 你知（口令）/ Something you know
  • C. 你是（生物特征）/ Something you are
  • D. 你想（意愿）/ Something you think

答案/Answer: D

理由/Why: “你想”不是标准因子；“Think” isn’t a factor.

Q17. 生物识别的主要风险之一是？ / A key risk of biometrics is:

  • A. 可轻易重置 / Easily reset
  • B. 不可撤销 / Non-revocability
  • C. 无隐私问题 / No privacy issue
  • D. 成本为零 / Zero cost

答案/Answer: B

理由/Why: 生物特征泄露后无法“换新”；Biometrics can’t be changed like passwords.

Q18. 指纹识别流程中“特征提取”常见对象是？ / Feature extraction in fingerprints focuses on:

  • A. 字符集 / Character set
  • B. 细节点（脊线终止/分叉）/ Minutiae (ridge endings/bifurcations)
  • C. 颜色通道 / Color channels
  • D. 语义标签 / Semantic labels

答案/Answer: B

理由/Why: 指纹匹配依赖细节点拓扑；Matching uses minutiae topology.

Q19. 多因素认证（MFA）的正确理解是？ / Correct understanding of MFA:

  • A. 多个口令即 MFA / Multiple passwords = MFA
  • B. 任意两个因素均可 / Any two distinct factors
  • C. 同一因素叠加即可 / Stack same factor
  • D. 只要人脸就足够 / Face alone is enough

答案/Answer: B

理由/Why: 需来自不同类别的因子；Requires distinct factor categories.

E. 密码学：对称/非对称/哈希 (Q20–Q25)

Q20. 对称加密最适合的场景是？ / Symmetric encryption is best for:

  • A. 大量数据高速加密 / High-volume data at speed
  • B. 身份签名 / Identity signing
  • C. 公钥分发 / Public key distribution
  • D. 证书签发 / Certificate issuing

答案/Answer: A

理由/Why: 对称算法快，适合大数据；Fast for bulk data.

Q21. DES 的主要问题是？ / Main issue with DES:

  • A. 算法公开 / Public algorithm
  • B. 密钥过短 / Short key length
  • C. 速度过快 / Too fast
  • D. 块长过大 / Block too large

答案/Answer: B

理由/Why: 56 位密钥易被暴力破解；56-bit key is brute-forceable.

Q22. AES 的固定块长是？ / AES block size is:

  • A. 64 位 / 64-bit
  • B. 96 位 / 96-bit
  • C. 128 位 / 128-bit
  • D. 可变块长 / Variable

答案/Answer: C

理由/Why: AES 规定块长 128 位；AES specifies 128-bit blocks.

Q23. 非对称加密主要用来： / Asymmetric crypto is mainly used for:

  • A. 高速加密大文件 / High-speed bulk encryption
  • B. 交换会话密钥与签名 / Key exchange & signatures
  • C. 压缩密文 / Ciphertext compression
  • D. 生成随机数 / Random generation

答案/Answer: B

理由/Why: 非对称适合小数据、密钥交换与签名；Best for small data, KX & signatures.

Q24. 哈希函数的三个关键性质，不包含： / Three key hash properties do NOT include:

  • A. 单向性 / Pre-image resistance
  • B. 抗碰撞性 / Collision resistance
  • C. 雪崩效应 / Avalanche effect
  • D. 可逆性 / Reversibility

答案/Answer: D

理由/Why: 哈希不可逆；Hashes are not reversible.

Q25. “混合加密”在 HTTPS 的作用是： / Hybrid crypto in HTTPS does:

  • A. 只用对称 / Symmetric only
  • B. 只用非对称 / Asymmetric only
  • C. 非对称握手 + 对称传输 / Asymmetric handshake + symmetric data
  • D. 先哈希再对称 / Hash then symmetric only

答案/Answer: C

理由/Why: 兼顾密钥交换安全与传输效率；Secure KX + efficient transport.

F. 数字签名、证书与 PKI/TLS (Q26–Q28)

Q26. 验证数字签名应使用： / To verify a digital signature, use:

  • A. 发送者私钥 / Sender’s private key
  • B. 发送者公钥 / Sender’s public key
  • C. 接收者私钥 / Receiver’s private key
  • D. 会话密钥 / Session key

答案/Answer: B

理由/Why: 验签使用公钥；Verification uses the signer’s public key.

Q27. 数字证书的核心作用是： / Core role of digital certificates:

  • A. 加速网络 / Speed up network
  • B. 绑定公钥与实体身份 / Bind public key to identity
  • C. 压缩流量 / Compress traffic
  • D. 生成随机数 / Generate randomness

答案/Answer: B

理由/Why: 证书=公钥的“身份证”；Certificate is an ID for a public key.

Q28. CA 给证书“背书”使用的是： / A CA endorses a certificate using:

  • A. CA 的公钥 / CA’s public key
  • B. CA 的私钥 / CA’s private key
  • C. 站点的私钥 / Site’s private key
  • D. 会话密钥 / Session key

答案/Answer: B

理由/Why: CA 用私钥签名，任何人用 CA 公钥验签；CA signs with private key; verify with CA public key.

G. Web/支付安全与传输 (Q29–Q30)

Q29. TLS 会话密钥的主要用途是： / The TLS session key is mainly used to:

  • A. 验证证书 / Validate certificates
  • B. 高速加密后续通信 / Encrypt subsequent traffic efficiently
  • C. 生成公私钥对 / Generate key pairs
  • D. 防止指纹识别 / Prevent fingerprinting

答案/Answer: B

理由/Why: 会话密钥用于对称加密数据流；Session key symmetrically encrypts data.

Q30. 防止中间人攻击的关键步骤是： / A key step to prevent MITM is:

  • A. 完全不加密 / No encryption
  • B. 忽略证书错误 / Ignore cert errors
  • C. 严格校验证书链与域名 / Validate cert chain & hostname
  • D. 关闭日志 / Disable logs

答案/Answer: C

理由/Why: 证书链与域名校验确保对方真身；Chain & hostname checks assure identity.

H. 区块链基础、类型与应用 (Q31–Q36)

Q31. 区块链最核心的三要素组合是： / Core trio of blockchain includes:

  • A. 中心数据库、口令、日志 / Central DB, passwords, logs
  • B. 分布式账本、加密哈希、共识 / Distributed ledger, hashing, consensus
  • C. 网页爬虫、大数据、AI / Web crawler, big data, AI
  • D. 单点记账、离线备份、CDN / Single ledger, offline backup, CDN

答案/Answer: B

理由/Why: 区块链=分布式+密码学+共识；DLT + crypto + consensus.

Q32. 公有链的特点是： / A feature of public blockchains:

  • A. 许可加入 / Permissioned
  • B. 完全私有 / Fully private
  • C. 任何人可参与验证 / Anyone can participate in validation
  • D. 仅单一机构维护 / Single maintainer

答案/Answer: C

理由/Why: 公有链向公众开放记账/验证；Open participation.

Q33. 区块不可篡改主要依赖： / Block immutability relies on:

  • A. 高速网络 / High-speed network
  • B. 区块哈希链 + 共识 / Hash chaining + consensus
  • C. 大内存 / Large memory
  • D. 浏览器缓存 / Browser cache

答案/Answer: B

理由/Why: 修改历史会破坏哈希链并被共识拒绝；Tampering breaks hashes, rejected by consensus.

Q34. DeFi 的核心依赖于： / DeFi primarily relies on:

  • A. 中央清算所 / Central clearinghouse
  • B. 智能合约 / Smart contracts
  • C. 纸质合同 / Paper contracts
  • D. 线下柜台 / Physical counters

答案/Answer: B

理由/Why: 去中心化金融用合约自动执行业务逻辑；Smart contracts automate finance.

Q35. 稳定币（如 DAI）的目标是： / A stablecoin (e.g., DAI) aims to:

  • A. 随机波动 / Randomly fluctuate
  • B. 锚定某种价值（如美元） / Peg to a reference (e.g., USD)
  • C. 提升挖矿难度 / Raise mining difficulty
  • D. 只能用于游戏 / For gaming only

答案/Answer: B

理由/Why: 通过机制维持价格稳定；Mechanisms maintain price stability.

Q36. 以下关于联盟链（Consortium chain）的说法正确是： / Correct about consortium chains:

  • A. 任何人都可加入 / Anyone can join
  • B. 由多组织共同治理 / Governed by multiple orgs
  • C. 无需共识 / No consensus needed
  • D. 只能用于加密货币 / Crypto only

答案/Answer: B

理由/Why: 联盟链多主体许可治理；Multi-org permissioned governance.