某大型教育培训机构近期上线了在线网络学校系统，该系统拓扑结构-名校题库网

题目详情

全站导航

首页试卷试题资讯

试卷导航

建筑工程职业资格公务员财会类医卫类外语类计算机类学历类

试题导航

建筑工程职业资格公务员财会类医卫类外语类计算机类学历类

某大型教育培训机构近期上线了在线网络学校系统，该系统拓扑结构如图4-1所示。

企业信息中心目前拟对该系统用户认证机制进行详细的安全性测试，系统注册用户分为网校学员、教师及管理员三类，其中网校学员采用用户名／口令机制进行认证，教师及管理员采用基于公钥的认证机制。

中级软件评测师,历年真题,2014年下半年（下午）《软件评测师》真题

【问题1】（8分）

为防止针对网校学员的口令攻击，请从口令的强度、传输存储及管理等方面，说明可采取哪些安全防护措施。相应地，对于网校学员所采用的口令认证机制进行测试时，请说明从用户名称及用户口令两个方面开展测试时应包含哪些基本的测试点。

【问题2】（6分）

为提高系统认证环节安全性，系统在网校教师及管理员登录认证时引入了USB Key，请说明对公钥认证客户端进行安全测试时，USB Key的功能与性能测试应包含哪些基本的测试点。

【问题3】（6分）

系统证书服务器主要提供证书审核注册管理及证书认证两项功能，根据系统实际情况，目前只设置人员证书，请说明针对证书服务器的功能与性能测试应包含哪些基本的测试点。

正确答案及解析

正确答案

解析

【问题1】：

通过安全策略设置密码的最小长度，设置口令锁定，使用通信加密技术，对存储在数据库中的数据进行加密、设置访问控制等。

对于用户名称的测试关键在于测试用户名称的唯一性：

1.同时存在的用户名称在不考虑大小写的状态下，不能同名。

2.对于关键领域的软件产品和安全性要求较高的软件，应当同时保证使用过的用户在用户删除或停用后，保留该用户记录，并且新用户不得与该用户同名。

测试用户口令的强度和口令存储的位置和加密强度：

1.最大口令时效

2.最小口令时效

3.口令历史

4.最小口令长度

5.口令复杂度

6.加密选项

7.口令锁定

8.账户复位

【问题2】：

功能测试：

?是否支持AES、RSA等常用加密算法。

?是否提供外部接口以支持用户证书及私钥的导入。

?是否提供外部接口支持将数据传入Key内，经过公钥/私钥计算后导出。

?是否能实现USB Key插入状态实时监测，当USB Key意外拨出时是否能自动锁定用户状态。

?是否使用口令进行保护。

性能测试：

?是否具备私钥不能导出的基本安全特性 Key内加解密算法的执行效率。

?是否满足系统最低要求。

【问题3】：

对证书业务服务系统的功能测试：

1.证书认证系统是否采用国际密码主管部门审批的签名算法完成签名操作，是否提供证书的签发和管理、证书撤销列表的签发和管理、证书/证书撤销列表的发布以及证书审核注册中心的设立、审核及管理等功能。

2.按使用对象分类，系统是否能提供人员证书、设备证书、机构证书三种类型的证书。

3.是否可以提供加密证书和签名证书。

4.数字证书格式是否采用X.509 V4。

5.系统是否提供证书申请、身份审核、证书下载等服务功能。

6.证书申请、身份审核、证书下载等服务是否都可采用在线或离线两种方式。

7.系统是否提供证书认证策略及操作策略管理、自身证书安全管理等证书管理服务。

证书业务服务系统性能测试：

1.检查证书业务服务系统设计的处理性能是否具备可伸缩配置及扩展的能力。

2.关键部分是否采用双机热备份和磁盘镜像。

3.是否满足系统的不间断运行、在线故障修复和在线系统升级。

4.是否满足需求说明中预测的最大数量用户正常访问的需求，并且，是否有3~4倍的冗余，如有必要，需要测试系统的并发压力承受能力。