16.1 電腦保安的基礎要求是什麼？

機密性，完整性，可用性，可靠性。

16.2 主動安全攻擊和被動安全攻擊有什麼不同？

被動攻擊在本質上是對傳輸進行竊聽或監視。對方的目標是獲取正在傳輸的資訊。主動攻擊包括對資料或資料流的更改或者生成錯誤的資料或資料流。

16.3 列出並簡單定義主動安全攻擊和被動安全攻擊的分類。

被動攻擊：①釋放訊息內容：未被授權的人或程式瞭解了檔案或訊息的內容；②通訊分析：通過分析資料傳輸模式來獲取資訊。

主動攻擊：①偽裝：一個實體假裝成另一個不同的實體；②重放：被動地捕獲一個數據單元，然後再把它重發以產生未經授權的結果；③更改訊息：改變合法訊息的某些部分，或者訊息被延遲或記錄下來，產生未授權的結果；④拒絕服務：阻止或禁止對通訊設施的正確使用或管理。

16.4 大多數通用的使用者訪問控制技術都要求有哪些元素？

在共享系統或伺服器上，使用者訪問控制的最普遍的技術是使用者登入，這需要一個使用者識別符號（ID）和一個口令。

16.5 在訪問控制中，主體和物件有什麼區別？

主體（subject）：能夠訪問物件的實體。一般地，主體概念等同於程序。任何使用者或應用程式獲取對一個物件的訪問，實際上是通過一個代表該使用者或應用程式的程序。

物件（object）：訪問控制所針對的一切。例如檔案、檔案的某些部分、程式、記憶體段以及軟體物件。

16.6 解釋圖16.6中salt的目的。

salt有三方面的作用：⑴防止在口令檔案中出現相同的口令。即使有兩個使用者選擇了相同的口令，那些口令也將被指定不同的時間，因此，兩個使用者的“擴充套件”口令是不同的。⑵有效地增加口令的長度，而不要求使用者記住那兩個額外的字元。因此，可能的口令個數增加了4096，從而增加了猜測口令的難度。⑶防止使用DES的硬體實現，硬體實現會使蠻力猜測攻擊變得容易。

16.7 解釋統計異常入侵檢測和基於規則的入侵檢測有什麼不同？

統計異常檢測：包括收集在一段時間上與合法使用者的行為有關的資料。然後對觀察到的行為進行統計試驗，以高度的信心來確定該行為是否是合法使用者的行為。基於規則的檢測：包括定義一組規則的工作，該組規則用於決定一個已知的行為是否是入侵者的行為。

16.8 1999年和2000年開發的電子郵件附件和電子郵件VBS惡意軟體（如Melissa、love letter）稱為電子郵件病毒。請問用術語電子郵件蠕蟲是否更正確一些？

這兩種術語都合適。術語電子郵件蠕蟲通常是一個獨立的程式而不是嵌入其他程式的一個程式塊，因此電子郵件病毒更正確一些。

16.9 加密在病毒設計中扮演著什麼角色？

加密技術將以如下方式被使用：有一部分病毒，一般稱為變種引擎，它生成一個隨機的金鑰來加密病毒剩餘的部分。該金鑰與病毒一起儲存，變種引擎自身卻改變了。當受到感染的程式喚起執行時，病毒使用這個儲存的隨機金鑰來解密病毒。當病毒複製時，選擇另一個不同的隨機金鑰。

16.10 攻擊常規加密方案的兩種通用方法什麼？

密碼分析：依靠演算法的本質和關於明文一般特點的知識，甚至一些“明文-密文對”來進行攻擊。這類攻擊利用演算法的特性，試圖推匯出具體的明文，或者推匯出使用的金鑰。

強力攻擊：它在一塊密文上嘗試每種可能的金鑰，直到轉換得到一個可理解的明文。

16.11 什麼是DES和三重DEA？

DES是被NIST標準化的一個廣泛應用的傳統編碼標準。最初的DES指定了一個數據編碼運演算法則(DEA)。最近的標準的版本也包括使用三重DEA的選擇項,用二或三個獨立的金鑰重複基本的DEA三次。

16.12 AES是如何改進三重DEA的？

AES被期望在軟體中執行得比TDEA更快。同時, AES使用更大的塊尺寸,這可以提高安全性。

16.13 在評估AES候選者時，將使用什麼評估原則？

評估原則包括安全性、計算效率、需要的儲存量、硬體和軟體的適用性和靈活性。

16.14 解釋常規加密和公鑰加密有什麼不同。

在傳統編碼中，編碼和解碼使用相同的金鑰。公鑰編碼中有一對金鑰,一個用於編碼而另一個用於解碼。 這二個金鑰中只有一個需要被保留私用。

16.15 術語公鑰、私鑰和金鑰的區別是什麼？

對稱加密中的金鑰通常稱為金鑰。公鑰加密中使用的兩個金鑰稱為公鑰和私鑰。私鑰總是保密的，之所以將它稱為私鑰，是為了避免與對稱加密中的金鑰混淆。