16个高频考点,6个考试提醒
希望大家66大顺,通关顺利!
—— 16个高频考点总结 ——
1.单纯的杂凑不能实现完整性。只用SM3,完整性判0分;
2.数字签名不能实现机密性保护;
3.对称算法的效率比非对称高;
4.只有签名可以实现不可否认性;
5.口令不是一种密码方式(动态口令是)。只用口令做身份鉴别,身份鉴别指标就是0分;
6.日志通常是不需要加密的,只需要做完整性保护;
7.对于运营者,不会去吊销它的资质。一般也没有什么违法产品,违法所得。一般金额是10倍的关系,1到10万,10万到100万。对于服务方,不到30万,一般是10到30万,超过30万,是1到3倍;
8.SM3/MD5(杂凑)不是加密方式。不能加解密。加盐hash可以保护机密性,但是也是单向的;
9.MAC是允许截断使用的。但是不能非常短。通常需要在128bit以上。数字签名值不允许截断;
10.DAK打分:先判勾X再打分,打分记得要修正。
Ra:>=80<112:RSA-1024、3DES(使用2个不同密钥)、ECDSA-P192(系数0.5);
Ra:<80:DES、MD5、SHA-1、RSA-512(系数0.2);
Rk:3级用1级(系数1.2);4级用二级(系数1.5)
11.任何你没有学过的自我发明都是X。比如你用ECB模式来计算MAC值,就是X。任何自实现的代码算法都是X;
12.量化评估和风险判定是分开的。没用密码有缓解还是判不符合0分,但是有缓解措施,可以不给高风险;
13.系统类的产品没有模块等级。什么是系统类?名字里面有系统两个字的就是系统类。注意,系统的组件有模块等级;
14.身份鉴别很重要,4个技术层面的身份鉴别都可能导致高风险(网络层无缓解措施,其它3个层面可以用生物技术等缓解)。3级系统,除了物理层是宜,其它三个层面都是应。有证并且部署一致的密码产品,身份鉴别也不能直接判定为符合(2个完整性,一个来源真实性可以直接判定为符合);
15.远程管理通道就是你测的测评对象是哪个设备,就是跟那个设备直连的最近的一段(因为前面的测评过,不重复测评);
16.签名公私钥对自己生成,加密公私钥对外部生成。
—— 6个考试提醒 ——
1.选项的顺序可能是打乱的(按23年经验),要仔细看。平时不能只背ABC。要看选项具体是什么;
2.肯定有陌生的题目,不要怕,知识点是相通的;
3.遇到拿不准的题目,不要太纠结,可以标注一下(23年的系统允许打标记),最后再来检查。先把所有的题目答完。并且一定不要空,任何题,你猜都要猜一个答案上去;
4.可能会遇到图片题,图片上面可能是一段代码,一段日志,一个数据包的截图,一个网络拓扑图,一个数字证书的详情。不要怕,知识还是相通的,在图片上面去仔细找信息;
5.有些你背过的题目,可能会进行一些更新,要仔细读题。如果是0115改为43206,通常不影响。因为这两个标准大体是一样的,总的原则是一样的。但是如果是量化评估,从21版改到23版,一定要记得修正系数,修正系数,修正系数。重要的事情说三遍;
6.最好不好提前交卷,实在要提前交卷,提交前请先仔细检查一遍。
推荐站内搜索:最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
还没有评论,来说两句吧...