1、消息摘要的概念
答：消息摘要（Message Digest）又称为数字摘要(Digital Digest)。它是一个唯一对应一个消息或文本的固定长度的值，它由一个单向Hash加密函数对消息进行作用而产生。如果消息在途中改变了，则接收者通 过对收到消息的新产生的摘要与原摘要比较，就可知道消息是否被改变。因此消息摘要保证了消息的完整性。
2、散列函数的三个安全特性
答：1）映射分布均匀性和差分分布均匀性；2）单向性；3）抗冲突性。
3、HMAC的含义和实现方法。
HMAC是密钥相关的哈希运算消息认证码（Hash-based Message Authentication Code）,HMAC运算利用哈希算法，以一个密钥和一个消息为输入，生成一个消息摘要作为输出。
4、PPP PAP CHAP Kerberos SSL IPsec 分别属于第几层安全协议？ 答：分别是二、二、二、三、传输层和应用层之间、三。
5、LCP NCP IPCP的含义和用途 答：链路控制协议(Link Control Protocol) ，它是PPP协议的一个子集，在PPP通信中，发送端和接收端通过发送LCP包来确定那些在数据传输中的必要信息。LCP赋予PPP以多功能性，考虑到包格式、包大小和认证的协商。它还使PPP具有确定何时线路为失败、何时正常运行的功能。 LCP用于配置和测试数据链路；网络控制协议（Network Control Protocol）NCP管理对 NetWare 服务器资源的访问。NCP 向 NetWare 文件共享协议（即NFSP：NetWare File Sharing Protocol）发送过程调用消息，处理 NetWare 文件和打印资源请求。 NCP 是用于 NetWare 服务器和客户机之间传输信息的主要协议。NCP 主要负责处理登入请求以及其它文件系统和打印系统请求。NCP 是一种基于客户机/服务器的 LAN 协议。工作站建立 NCP 请求并通过 IPX 在网络上发送这些请求服务。服务器端负责接收、拆包（unpacked）并解读 NCP 请求；挑战握手认证协议（Challenge Handshake Authentication Protocol）通过三次握手周期性的校验对端的身份，在初始链路建立时完成，可以在链路建立之后的任何时候重复进行。CHAP 防止了来自端点的重放攻击，使用重复校验可以限制暴露于单个攻击的时间。认证者控制验证频度和时间。
6、LCP链路配置报文中各个字段中的含义（图2.4）
答：ID是报文唯一的标识，也用于匹配请求和确认；长度指明了包括首部在内的报文字节数。一个或多个选项：LCP工定义以下6项：最大接受单元、认证协
议、质量协议、幻数、协议域压缩、地址及控制域压缩。
7、CHAP身份验证协议的工作流程及特点。 答：询问握手认证协议（CHAP）通过三次握手周期性的校验对端的身份，在初始链路建立时完成，可以在链路建立之后的任何时候重复进行。
1.）链路建立阶段结束之后，认证者向对端点发送“challenge”消息。
2.）对端点用经过单向哈希函数计算出来的值做应答。
3.）认证者根据它自己计算的来检查应答，如果值匹配，认证得到承认；否则，连接应该终止。4. 经过一定的随机间隔，认证者发送一个新的 challenge 给端点，重复步骤 1 到 3 。
特性：该认证方法依赖于只有认证者和对端共享的密钥，密钥不是通过该链路发送的。虽然该认证是单向的，但是在两个方向都进行 CHAP 协商，同一密钥可以很容易的实现相互认证。 CHAP 可以在链路建立和数据通信阶段多次使用。
8、SHTTP（安全超文本转换协议）和HTTPS（安全超文本传输协议）的区别 答：HTTPS是基于SSL的HTTP，SHTTP则在保持HTTP工作模式不变的前提下对其进行了扩充。同HTTPS相比，SHTTP不包括专门的协商步骤。从协议使用的角度看，HTTPS服务器使用端口号443，但SHTTP服务器通常使用80。在URL协议部分的设置方面，两者分别对应“https”“shttp”。
1）SHTTP能够提供客户端和服务器不可否认性，但HTTPS不具备这项功能。
2）SHTTP是应用层协议，防火墙可以对相关行为进行检测，但防火墙无法看到端口外SHTTP报文的任何信息。
3）SHTTP比HTTPS更为灵活，比如可以选择任意安全服务的组合。
4）HTTPS需依托证书，但SHTTP没有此限制。
9、PPP协议应用场合
答：PPP协议主要应用于拨号接入Internet的场合。
10、VPN实现协议栈层次及特点
答：
11、L2TP中隧道和session的区别和联系
答：在一个LNS和LAC对之间存在着两种类型的连接，一种是隧道（Tunnel）连接，它定义了一个LNS和LAC对；另一种是会话（Session）连接，它复用在隧道连接之上，用于表示承载在隧道连接中的每个PPP会话过程。在同一对LAC和LNS之间可以建立多个L2TP隧道，隧道由一个控制连接和一个或多个会话（Session）组成。会话连接必须在隧道建立（包括身份保护、L2TP版本、帧类型、硬件传输类型等信息的交换）成功之后进行，每个会话连接对应于LAC和
LNS之间的一个PPP数据流。控制消息和PPP数据报文都在隧道上传输。
12、PKI中参与者及其作用
答：
13、IPsec的工作模式有哪几种
答：一种是隧道模式，一种是传输模式。传输模式只对IP数据包的有效负载进行加密或认证，此时继续使用原始IP头部。隧道模式对整个IP数据包进行加密或认证。此时，需要新产生一个IP头部，原来IP头被加密，有效地防止“中间人”攻击。传输模式是为了保护端到端的安全性，即在这种模式下不会隐藏路由信息。
14、简述L2TP协议流程／L2TP控制报文有哪些（图2.16）
答：
15、AH和ESP的安全特点
答：AH可对整个数据包（IP 报头与数据包中的数据负载）提供数据源发认证、数据完整性与抗重放攻击。但是它不提供保密性，即它不对数据进行加密。 ESP不仅为IP 负载提供数据完整性、数据源发认证抗重放攻击、机密性以及有限的传输流机密性。
16、详细解释图3.3（57页）
答：图3.3所示的左半部分概括了以下含义：管理员根据安全需求制定安全策略，并最终以SPD的形式给出。基于安全策略，可启用手工或IKE协商构造SAD，从而将安全策略实例化。安全策略和安全关联的实现需借助IPsec引擎调用各种密码算法。右半部分概括了以下含义：高层应用依托传输层协议UDP和TCP，传输层协议则依托IP层。IPv6内置了IPsec功能，但对IPv4而言，IPsec是附加功能，需要调用才能实现。IPsec协议流程包括外出和进入两个方向。对于任何外出或进入的IP数据报，IPsec实体都有三种可能的选择：丢弃，应用IPsec，绕过IPsec。
17、ISAKMP中主模式工作流程（图3.4），都协商了哪些信息 答：开始ISAKMP协商，协定基本SA，回应端生成秘钥，回应端验证发起端身份，发起端验证回应端身份，发起端生成秘钥。1、2个包：策略和转换集的协商。
第一阶段的加密和HASH的策略，包括对方的IP地址。对第阶段策略的协商，发
起者把它所有的策略发给接收者让它选择协商（发起者可以设很多个策略）， 3、4个包：进行DH（DH算出的公共值和两边产生的随机数）的交换，这两外包很大，MTU小可能在这个地方出错。 5、6个包：彼此进行认证，HASH被加密过，对方解密才能进行认证。
18、IPSec协商目标，ISAKMP属于传输层协议，使用端口是500。
答：目标包括：通信对等端身份认证、协商SA及生成共享的会话秘钥。
19、IPsec中会话密钥是IKE协议产生的
20、ISAKMP SA和IPsec SA的区别与联系
答：ISAKMP 区别于密钥交换协议是为了把安全连接管理的细节从密钥交换的细节中彻底的分离出来。不同的密钥交换协议中的安全属性也是不同的。然而，需要一个通用的框架用于支持 SA 属性格式，协商，修改与删除SA，ISAKMP 即可作为这种框架。把功能分离为三部分增加了一个完全的 ISAKMP 实施安全分析的复杂性。然而在有不同安全要求且需协同工作的系统之间这种分离是必需的，而且还应该对 ISAKMP 服务器更深层次发展的分析简单化。
21、SA的概念及三元组内容/各项含义
答：SA是两个IPsec实体（主机/安全网关）之间经过协商建立起来的一种协定，内容包括采用何种IPsec协议、运行模式、验证算法、加密算法、加密秘钥、秘钥生存期、抗重放窗口、计数器等。SA是构成IPsec的基础。
每个SA由三元组（SPI，目的IP地址，IPsec）唯一标识，这三项含义如下： SPI（安全参数索引）是32位的，标识同一个目的地的SA；目的IP地址：表示对方IP地址，对于外出数据包，指目的IP地址，对于进入数据包，指源IP地址。IPsec协议：采用AH/ESP。
22、AH和ESP的工作方式
答：
23、ESP报文格式及不同工作模式的封装方式（图3.52 3.53 3.54） 答：0 15 16 23 24 31
使用ESP时，会把被保护的数据封装起来，加上一个ESP头和一个ESP尾。ESP
首部包含“SPI”和“序号”两个字段，其含义及定义与A相同。“载荷”字段则是受保护的数据区，应用模式不同，数据内容不同。ESP尾部包含了“填充”“填充长度”字段。“下一个首部”字段指明了受保护数据区中第一个首部的类型。“认证数据”含义与AH相同。
使用传输模式时的报文封装：
使用隧道模式的报文封装：
24、IPSec中加密和认证算法表示形式及含义
答：
25、IKE协议的安全特点
答：IKE具有一套自保护机制，可以在不安全的网络上安全地认证身份、分发密钥、建立IPsec SA。
26、SSL提供的安全性特点
答：SSL协议提供的安全连接具有以下三个基本特点：(1)连接是保密的：对于每个连接都有一个唯一的会话密钥，采用对称密码体制（如DES、RC4等）来加密数据；(2)连接是可靠的：消息的传输采用MAC算法（如MD5、SHA等）进行完整性检验；(3)对端实体的鉴别采用非对称密码体制（如RSA、DSS等）进行认证
27、SSL中密码套件的含义（表4.1）
答：“密码套件”描述了客户端所支持的所有密码算法。SSL将它所支持的所有密码算法（包括加密、散列、秘钥交换和签名算法）都进行了组合，每一种可能的组合就是一个“密码套件”。
1）CipherSuite SSL_RSA_WITH_NULL_MD5={0x00,0x01};这个套件表示签名算法是RSA，秘钥传输所使用的加密算法是RSA，不适用加密算法，散列算法则是MD5.
2) CipherSuite SSL_RSA_WITH_RC4_128_MD5={0x00,0x04};这个套件表示签名算法和秘钥传输使用的加密算法都是RSA，加密算法是RC4，秘钥长度为128比特，散列算法是MD5。
28、握手协议中Server—Key—Exchange消息中包含的信息
答：该消息的格式与秘钥交换有关。若使用D-H交换生成秘钥则消息中包含模数（db_p）、发生器（dh_g）、服务器公钥（dh_Ys）和签名（signed_params）；若使用RSA进行密钥传输，则消息中包含模数（rsq_modulus）、公共指数（rsa_exponent）和签名（signed_params）；若使用Fortezza进行密钥交换，
则消息中包含用于KEA的服务器随机数。若使用RSA作为签名算法，则消息中同时包含基于MD5和SHA散列值的签名；若使用DSA作为签名算法，则消息中包含基于SHA散列值的签名。
29、SSL应用中服务器可以采用的两种策略，各有什么样的特点。
答：分设端口和向上协商。分设端口策略是指为不同的访问方式提供不同的监听端口。向上协商的策略需要修改应用层协议。
30、SSL中密码套件和ISAKMP中的Transform载荷这两种方法的比较。 答：Transform载荷（T载荷）描述了SA的各项参数，其格式如下：
Transform#：长度为1字节，指示了当前T载荷的编号。
Transform id：长度为1字节，指示了当前T载荷所服务的安全协议以及相应算法。比如：若某个提议中包括“使用AH这个协议，且使用MD5”，则相应P载荷下的某个T载荷应把Transform-ID设置为2。
31、VPN的概念与组网方式
答：虚拟专网（VPN-Virtual Private Network)指的是在公用网络上建立专用网络的技术。之所以称为虚拟网主要是因为整个VPN网络的任意两个节点之间的连接并没有传统专网所需的端到端的物理链路，而是架构在公用网络服务商所提供的网络平台（如Internet,ATM,Frame Relay等）之上的逻辑网络，用户数据在逻辑链路中传输。Access VPN 、Extranet VPN 、Intranet VPN。
32、Kerberos中防止重放攻击的手段
答：1. 服务器发放的票据具有生存期并使用认证符并且有效期很短
2.用户与服务器相互认证，使客户端确认应答不是先前服务器的重放
1)引入可信第三方；2）引入票据许可服务器；3）引入时间参数；4）引入会话密钥和认证符；5）实现双向认证；6）密钥转化。
33、通信协议的三要素是指什么
答：语法：“如何讲”，数据的格式、编码和信号等级（电平的高低）。 语义：“讲什么”，数据内容、含义以及控制信息。
定时规则（时序）：明确通信的顺序、速率匹配和排序。
34、PPP中身份认证协议有哪些
答：链路控制协议LCP：PAP认证（两次握手），CHAP认证（三次握手），
35、Kerberos中票据的类型／作用与内容。
答：票据：{客户端用户名|客户端主机IP地址|应用服务名|生命期|时间戳}为了描述票据的有效期和颁发时间。票据{会话密钥|客户端用户名|客户端主机IP地址|应用服务名|生命期|时间戳}
36、IPsec协议的构成，各个组件的目标。
答：1）IPsec体系结构；2）ESP协议；3）AH协议；4）加密算法；5）认证算法；6）解释域DOI；7）密钥管理；8）应用类
37、IPsec数据包防止重放攻击的手段
答：认证首部AH，封装安全载荷ESP。
38、SSL记录协议的工作过程
答：记录层对数据的处理顺序依次为分片—>压缩—>jisuan MAC—>加密。记录协议：这个协议用于交换应用数据。应用程序消息被分割成可管理的数据块，还可以压缩，并产生一个MAC（消息认证代码），然后结果被加密并传输。接受方接受数据并对它解密，校验MAC，解压并重新组合，把结果供给应用程序协议。
39、SSL支持的身份验证方式有哪些 HTTPS SMTP
答：基本身份验证、匿名身份验证、集成windows身份验证、摘要式身份验证、NET PASSPORT 身份验证
40、PPTP以及L2TP协议的安全特点
答：PPTP 允许对多协议通信进行加密，然后封装在IP 标头中，以通过IP 网络或公用IP 网络（例如Internet）发送。PPTP 可以用于远程访问连接和站点到站点的VPN 连接。L2TP 允许对多协议通信进行加密，然后通过任何支持点对点数据报传输（例如IP 或异步传输模式(ATM)）的媒体发送。
41、LCP中各种类型数据的含义和用途
答：LCP报文主要分为1、链路配置报文；2、链路终止报文；3、链路维护报文。
链路配置报文主要包括Config-Request、Config-Ack、Config-Nak和Config-Reject四种报文。
链路终止报文分为Terminate-Request和Terminate-Reply两种报文。LCP报文中提供了一种机制来关闭一个点对点的连接，想要关断链路的一端会持续发送Terminate-Request报文，直到收到一个Terminate-Reply为止。接收端一旦收到了一个Terminate-Request报文后，必须回应一个Terminate-Reply报文，同时等待对端先将链路断开后，再完成本端的所有断开的操作。
42、CHAP虽然没有使用明文传输敏感信息，但也面临一定的风险，请问它面临的安全风险。
答：对CHAP协议的中间人攻击。中间人攻击把CHAP认证降级为PAP认证：通过
截获服务器向客户端发送的PAP认证请求并修改后转发，强迫客户端发送失败的响应，从而让服务器使用安全级别更低的PAP认证。
43、AH协议中，不同工作模式时MAC计算的数据范围。
答：AH使用消息认证码（MAC）对IP进行认证。最常用的MAC是HMAC。HMAC可以和任何迭代密码散列函数（如MD5【128比特】,SHA-1【160比特】,RIPEMD-160等）结合使用，而不用对散列函数进行修改。
44、ESP是如何保护通信量安全的
答：使用ESP时，会把被保护的数据封装起来，加上一个ESP头和一个ESP尾。
45、SSL中，连接和会话的关系
答：连接：连接是提供恰当类型服务的传输，对于SSL这样的连接是点对点的关系。连接是短暂的，每个连接与一个会话相联系。会话：SSL的会话是客户和服务器之间的关联，会话通过握手协议来创建。会话定义了加密安全参数的一个集合，该集合可以被多个连接所共享。每个会话都有惟一的标识。
46、SSL协议中，实现密钥材料交互和信息机密性的加密算法是什么 答：好像是RSA算法。
47、记录协议的用途
答：客户机和服务器鉴别对方和确定安全信息交换使用的算法后，进入SSL记录协议，记录协议向SSL连接提供两个服务：1）保密性：使用握手协议定义的秘密密钥实现2）完整性：握手协议定义了MAC，用于保证消息完整性
48、AH和ESP在传输模式和隧道模式时对IP数据的处理过程（图3.2） 答：使用传输模式时的AH报文封装: （黑体代表加入的）
使用隧道模式的AH报文封装：
使用传输模式时的ESP报文封装：（黑体代表加入的）
使用隧道模式的ESP报文封装：
49、PKI中，数字证书申请时信任关系是如何传递的。
答：①用户将证书中除最后一个字段以外的所有字段信息传入消息摘要算法；②
消息摘要算法计算证书中除最后一个字段以外的所有字段的信息摘要，假设这个消息摘要是MD1；③用户从证书中取出CA的签名；④用CA的公钥来解
密签名；⑤这样将得到另一个消息的摘要，假设为MD2;⑥比较MD1和MD2，若相等，则证书是CA用其私钥签名的，否则用户不信任这个证书，将其拒绝。
50、L2TP应用场景（图2.13）包含的组件。
答：LAC和LNS是L2TP的两个关键组件，它们之间通过协商建立隧道，用于转发PPP报文。
51、ISAKMP协议的特点和功能有哪些
答：因特网安全联盟和密钥管理协议（ISAKMP）定义了程序和信息包格式来建立，协商，修改和删除安全连接（SA）。 SA 包括了各种网络安全服务执行所需的所有信息，这些安全服务包括 IP 层服务（如头认证和负载封装）、传输或应用层服务，以及协商流量的自我保护服务等。 ISAKMP 定义包括交换密钥生成和认证数据的有效载荷。这些格式为传输密钥和认证数据提供了统一框架，而它们与密钥产生技术，加密算法和认证机制相独立。 ISAKMP 支持在所有的安全协议 （如： IPSEC、TLS、TLSP、OSPF 等等）的 SA 协商。 ISAKMP 通过集中管理 SA 减少了在每个安全协议中重复功能的数量。 ISAKMP 还能通过一次对整个栈协议的协商来减少建立连接的时间。 ISAKMP 中，解释域（DOI）用来组合相关协议，通过使用 ISAKMP 协商安全连接。共享 DOI 的安全协议从公共的命名空间选择安全协议和加密转换方式，并共享密钥交换协议标识。同时它们还共享一个特定 DOI 的有效载荷数据目录解释，包括安全连接和有效载荷认证。
52、IPsec的四种典型应用方式有哪些。
答：端到端安全、基本的VPN支持、保护移动用户访问内部网和嵌套式隧道。
53、什么是重放攻击，IPsec如何实现防止重放攻击。
答：是指攻击者发送一个目的主机已接收过的包，来达到欺骗系统的目的，主要用于身份认证过程，破坏认证的正确性。
是一种攻击类型，这种攻击会不断恶意或欺诈性地重复一个有效的数据传输，重放攻击可以由发起者，也可以由拦截并重发该数据的敌方进行。
AH报头中的序列号可以防止重放攻击。
54、SSL协议栈实现情况（图4.2）
答：
55、详细解释图4.3中流程
答：1.客户端向服务器发送clienthello消息，其中包含了客户端所支持的各种算法和一个随机数。这个随机数将应用于各种密钥的推导，并可以防止重放攻击。
2.服务器返回serverhello消息，其中包含了服务器选中的算法及另一个随机数这个随机数的功能与客户端发送随机数的功能相同
3.服务器返回certificate消息，其中包含了服务器的证书，以便客户端认证服务器的身份，并获取其公钥
4.服务器发送serverHelloDone,告诉客户端本阶段的消息已经发送完成。由于服务器的某些握手消息是可选的，因此需要通过发送serverHelloDone消息，以通知客户端是否发送这些可选的消息。
5.客户端向服务区旗发送clientkeyexchange消息，其中包含了客户端生成的预主密钥，并使用服务器公钥进行加密处理。
6.客户端和服务器各自以预主密钥和随机数作为输入，在本地计算所需要的4个会话密钥
7.客户端向服务器发送changecipherspec消息，一通告启用协商好的各项参数
8.客户端向服务器发送finished消息，这是第一条经过安全处理的消息，它包含了之前所有握手消息的验证码。
9服务器向客户端发送changecipherspec消息。
10.服务器向客户端发送finished消息
11.客户端和服务器之间交互应用数据，他们都用协商好的参数进行了安全处理
12.客户端向服务器发送close-notify消息，以一种可认证的方式通告服务器需要断开处理。13.服务器向客户端发送close-notify消息
上述过程完成后，客户端和服务器分别交互FIN和ACK报文，断开TCP连接，该连接上的通信过程结束。
56、在保护数据时，SSL实现需要使用哪几种密钥。
答：四个用于保护数据的会话密钥：服务端写加密密钥、服务端写MAC密钥、客户端写加密密钥和客户端写MAC密钥。
57、Kerberos中参与者的名称以及作用
答：可信第三方：维护与用户和应用服务器共享的密钥
票据许可服务器：向已由AS认证了身份的客户端颁发票据
时间参数：描述票据的有效期
58、Kerberos中票据和认证符的作用。
答：票据是实体的身份凭证
认证符：在访问应用服务器时证明自己拥有会话密钥
59、Kerberos流程描述
答：当用户初次登录系统或TGT过期时进入第一阶段，此时客户端向AS发出KRB-AS-REQ消息请求获取TGT，AS的应答可能为两种：若同意颁发TGT，则返回KRB-AS-REP消息，其中包含TGT和客户与TGS共享的会话密钥：否则错误通告KRB-REEOR。若收到第一种消息，客户端会提示用户输入口令以生成密钥并还原会话密钥
当用户请求某个新的应用服务，或者用于访问某个应用服务的票据已经到期是进入第二阶段。此时客户端享TGS发送KBB-TGS-REF，其中包含TGT和认证符，TGS验证TGT和认证符，验证成功则返回KRB-TGS-REP，其中包含用于访问应用服务的票据和用户与应用服务器共享的会话密钥；否则返回错误通告KRB-ERROR
当用户请求应用服务是进入第三阶段，此时客户端向应用服务器发送KRB-AP-REQ消息，其中包含票据和认证符。应用服务器验证票据和认证符，并根据验证结果返回KRB-AP-REP或KRB-ERROR
60、Kerberos票据格式／内容／含义（图8.5）
答：{kerberos票据（票据版本、服务器域、服务器名）加密区域（标志、会话密钥、客户端域、客户端实体名、传输编码、认证时间、起始时间、终止时间、更新终止时间、主机地址、认证数据）}
61、Kerberos中认证符Authenticator的作用，各个字段的含义以及工作原理。 答：Authenticator-vno 字段确定了认证符的格式，取值为5.chsum字段包含了利用散列函数或其他校验和算法多认证符所计算的校验和。Subkey字段包含了客户端保护应用回话所使用的密钥。Sep-number字段包含了用于KREB-PRIV和KRB-SAVE消息的初始序号。Authorization字段与票据中相应字段的含义类似。
62、Kerberos中六条典型消息的作用／各个字段的含义。
1、消息摘要的概念
答：消息摘要（Message Digest）又称为数字摘要(Digital Digest)。它是一个唯一对应一个消息或文本的固定长度的值，它由一个单向Hash加密函数对消息进行作用而产生。如果消息在途中改变了，则接收者通 过对收到消息的新产生的摘要与原摘要比较，就可知道消息是否被改变。因此消息摘要保证了消息的完整性。
2、散列函数的三个安全特性
答：1）映射分布均匀性和差分分布均匀性；2）单向性；3）抗冲突性。
3、HMAC的含义和实现方法。
HMAC是密钥相关的哈希运算消息认证码（Hash-based Message Authentication Code）,HMAC运算利用哈希算法，以一个密钥和一个消息为输入，生成一个消息摘要作为输出。
4、PPP PAP CHAP Kerberos SSL IPsec 分别属于第几层安全协议？ 答：分别是二、二、二、三、传输层和应用层之间、三。
5、LCP NCP IPCP的含义和用途 答：链路控制协议(Link Control Protocol) ，它是PPP协议的一个子集，在PPP通信中，发送端和接收端通过发送LCP包来确定那些在数据传输中的必要信息。LCP赋予PPP以多功能性，考虑到包格式、包大小和认证的协商。它还使PPP具有确定何时线路为失败、何时正常运行的功能。 LCP用于配置和测试数据链路；网络控制协议（Network Control Protocol）NCP管理对 NetWare 服务器资源的访问。NCP 向 NetWare 文件共享协议（即NFSP：NetWare File Sharing Protocol）发送过程调用消息，处理 NetWare 文件和打印资源请求。 NCP 是用于 NetWare 服务器和客户机之间传输信息的主要协议。NCP 主要负责处理登入请求以及其它文件系统和打印系统请求。NCP 是一种基于客户机/服务器的 LAN 协议。工作站建立 NCP 请求并通过 IPX 在网络上发送这些请求服务。服务器端负责接收、拆包（unpacked）并解读 NCP 请求；挑战握手认证协议（Challenge Handshake Authentication Protocol）通过三次握手周期性的校验对端的身份，在初始链路建立时完成，可以在链路建立之后的任何时候重复进行。CHAP 防止了来自端点的重放攻击，使用重复校验可以限制暴露于单个攻击的时间。认证者控制验证频度和时间。
6、LCP链路配置报文中各个字段中的含义（图2.4）
答：ID是报文唯一的标识，也用于匹配请求和确认；长度指明了包括首部在内的报文字节数。一个或多个选项：LCP工定义以下6项：最大接受单元、认证协
议、质量协议、幻数、协议域压缩、地址及控制域压缩。
7、CHAP身份验证协议的工作流程及特点。 答：询问握手认证协议（CHAP）通过三次握手周期性的校验对端的身份，在初始链路建立时完成，可以在链路建立之后的任何时候重复进行。
1.）链路建立阶段结束之后，认证者向对端点发送“challenge”消息。
2.）对端点用经过单向哈希函数计算出来的值做应答。
3.）认证者根据它自己计算的来检查应答，如果值匹配，认证得到承认；否则，连接应该终止。4. 经过一定的随机间隔，认证者发送一个新的 challenge 给端点，重复步骤 1 到 3 。
特性：该认证方法依赖于只有认证者和对端共享的密钥，密钥不是通过该链路发送的。虽然该认证是单向的，但是在两个方向都进行 CHAP 协商，同一密钥可以很容易的实现相互认证。 CHAP 可以在链路建立和数据通信阶段多次使用。
8、SHTTP（安全超文本转换协议）和HTTPS（安全超文本传输协议）的区别 答：HTTPS是基于SSL的HTTP，SHTTP则在保持HTTP工作模式不变的前提下对其进行了扩充。同HTTPS相比，SHTTP不包括专门的协商步骤。从协议使用的角度看，HTTPS服务器使用端口号443，但SHTTP服务器通常使用80。在URL协议部分的设置方面，两者分别对应“https”“shttp”。
1）SHTTP能够提供客户端和服务器不可否认性，但HTTPS不具备这项功能。
2）SHTTP是应用层协议，防火墙可以对相关行为进行检测，但防火墙无法看到端口外SHTTP报文的任何信息。
3）SHTTP比HTTPS更为灵活，比如可以选择任意安全服务的组合。
4）HTTPS需依托证书，但SHTTP没有此限制。
9、PPP协议应用场合
答：PPP协议主要应用于拨号接入Internet的场合。
10、VPN实现协议栈层次及特点
答：
11、L2TP中隧道和session的区别和联系
答：在一个LNS和LAC对之间存在着两种类型的连接，一种是隧道（Tunnel）连接，它定义了一个LNS和LAC对；另一种是会话（Session）连接，它复用在隧道连接之上，用于表示承载在隧道连接中的每个PPP会话过程。在同一对LAC和LNS之间可以建立多个L2TP隧道，隧道由一个控制连接和一个或多个会话（Session）组成。会话连接必须在隧道建立（包括身份保护、L2TP版本、帧类型、硬件传输类型等信息的交换）成功之后进行，每个会话连接对应于LAC和
LNS之间的一个PPP数据流。控制消息和PPP数据报文都在隧道上传输。
12、PKI中参与者及其作用
答：
13、IPsec的工作模式有哪几种
答：一种是隧道模式，一种是传输模式。传输模式只对IP数据包的有效负载进行加密或认证，此时继续使用原始IP头部。隧道模式对整个IP数据包进行加密或认证。此时，需要新产生一个IP头部，原来IP头被加密，有效地防止“中间人”攻击。传输模式是为了保护端到端的安全性，即在这种模式下不会隐藏路由信息。
14、简述L2TP协议流程／L2TP控制报文有哪些（图2.16）
答：
15、AH和ESP的安全特点
答：AH可对整个数据包（IP 报头与数据包中的数据负载）提供数据源发认证、数据完整性与抗重放攻击。但是它不提供保密性，即它不对数据进行加密。 ESP不仅为IP 负载提供数据完整性、数据源发认证抗重放攻击、机密性以及有限的传输流机密性。
16、详细解释图3.3（57页）
答：图3.3所示的左半部分概括了以下含义：管理员根据安全需求制定安全策略，并最终以SPD的形式给出。基于安全策略，可启用手工或IKE协商构造SAD，从而将安全策略实例化。安全策略和安全关联的实现需借助IPsec引擎调用各种密码算法。右半部分概括了以下含义：高层应用依托传输层协议UDP和TCP，传输层协议则依托IP层。IPv6内置了IPsec功能，但对IPv4而言，IPsec是附加功能，需要调用才能实现。IPsec协议流程包括外出和进入两个方向。对于任何外出或进入的IP数据报，IPsec实体都有三种可能的选择：丢弃，应用IPsec，绕过IPsec。
17、ISAKMP中主模式工作流程（图3.4），都协商了哪些信息 答：开始ISAKMP协商，协定基本SA，回应端生成秘钥，回应端验证发起端身份，发起端验证回应端身份，发起端生成秘钥。1、2个包：策略和转换集的协商。
第一阶段的加密和HASH的策略，包括对方的IP地址。对第阶段策略的协商，发
起者把它所有的策略发给接收者让它选择协商（发起者可以设很多个策略）， 3、4个包：进行DH（DH算出的公共值和两边产生的随机数）的交换，这两外包很大，MTU小可能在这个地方出错。 5、6个包：彼此进行认证，HASH被加密过，对方解密才能进行认证。
18、IPSec协商目标，ISAKMP属于传输层协议，使用端口是500。
答：目标包括：通信对等端身份认证、协商SA及生成共享的会话秘钥。
19、IPsec中会话密钥是IKE协议产生的
20、ISAKMP SA和IPsec SA的区别与联系
答：ISAKMP 区别于密钥交换协议是为了把安全连接管理的细节从密钥交换的细节中彻底的分离出来。不同的密钥交换协议中的安全属性也是不同的。然而，需要一个通用的框架用于支持 SA 属性格式，协商，修改与删除SA，ISAKMP 即可作为这种框架。把功能分离为三部分增加了一个完全的 ISAKMP 实施安全分析的复杂性。然而在有不同安全要求且需协同工作的系统之间这种分离是必需的，而且还应该对 ISAKMP 服务器更深层次发展的分析简单化。
21、SA的概念及三元组内容/各项含义
答：SA是两个IPsec实体（主机/安全网关）之间经过协商建立起来的一种协定，内容包括采用何种IPsec协议、运行模式、验证算法、加密算法、加密秘钥、秘钥生存期、抗重放窗口、计数器等。SA是构成IPsec的基础。
每个SA由三元组（SPI，目的IP地址，IPsec）唯一标识，这三项含义如下： SPI（安全参数索引）是32位的，标识同一个目的地的SA；目的IP地址：表示对方IP地址，对于外出数据包，指目的IP地址，对于进入数据包，指源IP地址。IPsec协议：采用AH/ESP。
22、AH和ESP的工作方式
答：
23、ESP报文格式及不同工作模式的封装方式（图3.52 3.53 3.54） 答：0 15 16 23 24 31
使用ESP时，会把被保护的数据封装起来，加上一个ESP头和一个ESP尾。ESP
首部包含“SPI”和“序号”两个字段，其含义及定义与A相同。“载荷”字段则是受保护的数据区，应用模式不同，数据内容不同。ESP尾部包含了“填充”“填充长度”字段。“下一个首部”字段指明了受保护数据区中第一个首部的类型。“认证数据”含义与AH相同。
使用传输模式时的报文封装：
使用隧道模式的报文封装：
24、IPSec中加密和认证算法表示形式及含义
答：
25、IKE协议的安全特点
答：IKE具有一套自保护机制，可以在不安全的网络上安全地认证身份、分发密钥、建立IPsec SA。
26、SSL提供的安全性特点
答：SSL协议提供的安全连接具有以下三个基本特点：(1)连接是保密的：对于每个连接都有一个唯一的会话密钥，采用对称密码体制（如DES、RC4等）来加密数据；(2)连接是可靠的：消息的传输采用MAC算法（如MD5、SHA等）进行完整性检验；(3)对端实体的鉴别采用非对称密码体制（如RSA、DSS等）进行认证
27、SSL中密码套件的含义（表4.1）
答：“密码套件”描述了客户端所支持的所有密码算法。SSL将它所支持的所有密码算法（包括加密、散列、秘钥交换和签名算法）都进行了组合，每一种可能的组合就是一个“密码套件”。
1）CipherSuite SSL_RSA_WITH_NULL_MD5={0x00,0x01};这个套件表示签名算法是RSA，秘钥传输所使用的加密算法是RSA，不适用加密算法，散列算法则是MD5.
2) CipherSuite SSL_RSA_WITH_RC4_128_MD5={0x00,0x04};这个套件表示签名算法和秘钥传输使用的加密算法都是RSA，加密算法是RC4，秘钥长度为128比特，散列算法是MD5。
28、握手协议中Server—Key—Exchange消息中包含的信息
答：该消息的格式与秘钥交换有关。若使用D-H交换生成秘钥则消息中包含模数（db_p）、发生器（dh_g）、服务器公钥（dh_Ys）和签名（signed_params）；若使用RSA进行密钥传输，则消息中包含模数（rsq_modulus）、公共指数（rsa_exponent）和签名（signed_params）；若使用Fortezza进行密钥交换，
则消息中包含用于KEA的服务器随机数。若使用RSA作为签名算法，则消息中同时包含基于MD5和SHA散列值的签名；若使用DSA作为签名算法，则消息中包含基于SHA散列值的签名。
29、SSL应用中服务器可以采用的两种策略，各有什么样的特点。
答：分设端口和向上协商。分设端口策略是指为不同的访问方式提供不同的监听端口。向上协商的策略需要修改应用层协议。
30、SSL中密码套件和ISAKMP中的Transform载荷这两种方法的比较。 答：Transform载荷（T载荷）描述了SA的各项参数，其格式如下：
Transform#：长度为1字节，指示了当前T载荷的编号。
Transform id：长度为1字节，指示了当前T载荷所服务的安全协议以及相应算法。比如：若某个提议中包括“使用AH这个协议，且使用MD5”，则相应P载荷下的某个T载荷应把Transform-ID设置为2。
31、VPN的概念与组网方式
答：虚拟专网（VPN-Virtual Private Network)指的是在公用网络上建立专用网络的技术。之所以称为虚拟网主要是因为整个VPN网络的任意两个节点之间的连接并没有传统专网所需的端到端的物理链路，而是架构在公用网络服务商所提供的网络平台（如Internet,ATM,Frame Relay等）之上的逻辑网络，用户数据在逻辑链路中传输。Access VPN 、Extranet VPN 、Intranet VPN。
32、Kerberos中防止重放攻击的手段
答：1. 服务器发放的票据具有生存期并使用认证符并且有效期很短
2.用户与服务器相互认证，使客户端确认应答不是先前服务器的重放
1)引入可信第三方；2）引入票据许可服务器；3）引入时间参数；4）引入会话密钥和认证符；5）实现双向认证；6）密钥转化。
33、通信协议的三要素是指什么
答：语法：“如何讲”，数据的格式、编码和信号等级（电平的高低）。 语义：“讲什么”，数据内容、含义以及控制信息。
定时规则（时序）：明确通信的顺序、速率匹配和排序。
34、PPP中身份认证协议有哪些
答：链路控制协议LCP：PAP认证（两次握手），CHAP认证（三次握手），
35、Kerberos中票据的类型／作用与内容。
答：票据：{客户端用户名|客户端主机IP地址|应用服务名|生命期|时间戳}为了描述票据的有效期和颁发时间。票据{会话密钥|客户端用户名|客户端主机IP地址|应用服务名|生命期|时间戳}
36、IPsec协议的构成，各个组件的目标。
答：1）IPsec体系结构；2）ESP协议；3）AH协议；4）加密算法；5）认证算法；6）解释域DOI；7）密钥管理；8）应用类
37、IPsec数据包防止重放攻击的手段
答：认证首部AH，封装安全载荷ESP。
38、SSL记录协议的工作过程
答：记录层对数据的处理顺序依次为分片—>压缩—>jisuan MAC—>加密。记录协议：这个协议用于交换应用数据。应用程序消息被分割成可管理的数据块，还可以压缩，并产生一个MAC（消息认证代码），然后结果被加密并传输。接受方接受数据并对它解密，校验MAC，解压并重新组合，把结果供给应用程序协议。
39、SSL支持的身份验证方式有哪些 HTTPS SMTP
答：基本身份验证、匿名身份验证、集成windows身份验证、摘要式身份验证、NET PASSPORT 身份验证
40、PPTP以及L2TP协议的安全特点
答：PPTP 允许对多协议通信进行加密，然后封装在IP 标头中，以通过IP 网络或公用IP 网络（例如Internet）发送。PPTP 可以用于远程访问连接和站点到站点的VPN 连接。L2TP 允许对多协议通信进行加密，然后通过任何支持点对点数据报传输（例如IP 或异步传输模式(ATM)）的媒体发送。
41、LCP中各种类型数据的含义和用途
答：LCP报文主要分为1、链路配置报文；2、链路终止报文；3、链路维护报文。
链路配置报文主要包括Config-Request、Config-Ack、Config-Nak和Config-Reject四种报文。
链路终止报文分为Terminate-Request和Terminate-Reply两种报文。LCP报文中提供了一种机制来关闭一个点对点的连接，想要关断链路的一端会持续发送Terminate-Request报文，直到收到一个Terminate-Reply为止。接收端一旦收到了一个Terminate-Request报文后，必须回应一个Terminate-Reply报文，同时等待对端先将链路断开后，再完成本端的所有断开的操作。
42、CHAP虽然没有使用明文传输敏感信息，但也面临一定的风险，请问它面临的安全风险。
答：对CHAP协议的中间人攻击。中间人攻击把CHAP认证降级为PAP认证：通过
截获服务器向客户端发送的PAP认证请求并修改后转发，强迫客户端发送失败的响应，从而让服务器使用安全级别更低的PAP认证。
43、AH协议中，不同工作模式时MAC计算的数据范围。
答：AH使用消息认证码（MAC）对IP进行认证。最常用的MAC是HMAC。HMAC可以和任何迭代密码散列函数（如MD5【128比特】,SHA-1【160比特】,RIPEMD-160等）结合使用，而不用对散列函数进行修改。
44、ESP是如何保护通信量安全的
答：使用ESP时，会把被保护的数据封装起来，加上一个ESP头和一个ESP尾。
45、SSL中，连接和会话的关系
答：连接：连接是提供恰当类型服务的传输，对于SSL这样的连接是点对点的关系。连接是短暂的，每个连接与一个会话相联系。会话：SSL的会话是客户和服务器之间的关联，会话通过握手协议来创建。会话定义了加密安全参数的一个集合，该集合可以被多个连接所共享。每个会话都有惟一的标识。
46、SSL协议中，实现密钥材料交互和信息机密性的加密算法是什么 答：好像是RSA算法。
47、记录协议的用途
答：客户机和服务器鉴别对方和确定安全信息交换使用的算法后，进入SSL记录协议，记录协议向SSL连接提供两个服务：1）保密性：使用握手协议定义的秘密密钥实现2）完整性：握手协议定义了MAC，用于保证消息完整性
48、AH和ESP在传输模式和隧道模式时对IP数据的处理过程（图3.2） 答：使用传输模式时的AH报文封装: （黑体代表加入的）
使用隧道模式的AH报文封装：
使用传输模式时的ESP报文封装：（黑体代表加入的）
使用隧道模式的ESP报文封装：
49、PKI中，数字证书申请时信任关系是如何传递的。
答：①用户将证书中除最后一个字段以外的所有字段信息传入消息摘要算法；②
消息摘要算法计算证书中除最后一个字段以外的所有字段的信息摘要，假设这个消息摘要是MD1；③用户从证书中取出CA的签名；④用CA的公钥来解
密签名；⑤这样将得到另一个消息的摘要，假设为MD2;⑥比较MD1和MD2，若相等，则证书是CA用其私钥签名的，否则用户不信任这个证书，将其拒绝。
50、L2TP应用场景（图2.13）包含的组件。
答：LAC和LNS是L2TP的两个关键组件，它们之间通过协商建立隧道，用于转发PPP报文。
51、ISAKMP协议的特点和功能有哪些
答：因特网安全联盟和密钥管理协议（ISAKMP）定义了程序和信息包格式来建立，协商，修改和删除安全连接（SA）。 SA 包括了各种网络安全服务执行所需的所有信息，这些安全服务包括 IP 层服务（如头认证和负载封装）、传输或应用层服务，以及协商流量的自我保护服务等。 ISAKMP 定义包括交换密钥生成和认证数据的有效载荷。这些格式为传输密钥和认证数据提供了统一框架，而它们与密钥产生技术，加密算法和认证机制相独立。 ISAKMP 支持在所有的安全协议 （如： IPSEC、TLS、TLSP、OSPF 等等）的 SA 协商。 ISAKMP 通过集中管理 SA 减少了在每个安全协议中重复功能的数量。 ISAKMP 还能通过一次对整个栈协议的协商来减少建立连接的时间。 ISAKMP 中，解释域（DOI）用来组合相关协议，通过使用 ISAKMP 协商安全连接。共享 DOI 的安全协议从公共的命名空间选择安全协议和加密转换方式，并共享密钥交换协议标识。同时它们还共享一个特定 DOI 的有效载荷数据目录解释，包括安全连接和有效载荷认证。
52、IPsec的四种典型应用方式有哪些。
答：端到端安全、基本的VPN支持、保护移动用户访问内部网和嵌套式隧道。
53、什么是重放攻击，IPsec如何实现防止重放攻击。
答：是指攻击者发送一个目的主机已接收过的包，来达到欺骗系统的目的，主要用于身份认证过程，破坏认证的正确性。
是一种攻击类型，这种攻击会不断恶意或欺诈性地重复一个有效的数据传输，重放攻击可以由发起者，也可以由拦截并重发该数据的敌方进行。
AH报头中的序列号可以防止重放攻击。
54、SSL协议栈实现情况（图4.2）
答：
55、详细解释图4.3中流程
答：1.客户端向服务器发送clienthello消息，其中包含了客户端所支持的各种算法和一个随机数。这个随机数将应用于各种密钥的推导，并可以防止重放攻击。
2.服务器返回serverhello消息，其中包含了服务器选中的算法及另一个随机数这个随机数的功能与客户端发送随机数的功能相同
3.服务器返回certificate消息，其中包含了服务器的证书，以便客户端认证服务器的身份，并获取其公钥
4.服务器发送serverHelloDone,告诉客户端本阶段的消息已经发送完成。由于服务器的某些握手消息是可选的，因此需要通过发送serverHelloDone消息，以通知客户端是否发送这些可选的消息。
5.客户端向服务区旗发送clientkeyexchange消息，其中包含了客户端生成的预主密钥，并使用服务器公钥进行加密处理。
6.客户端和服务器各自以预主密钥和随机数作为输入，在本地计算所需要的4个会话密钥
7.客户端向服务器发送changecipherspec消息，一通告启用协商好的各项参数
8.客户端向服务器发送finished消息，这是第一条经过安全处理的消息，它包含了之前所有握手消息的验证码。
9服务器向客户端发送changecipherspec消息。
10.服务器向客户端发送finished消息
11.客户端和服务器之间交互应用数据，他们都用协商好的参数进行了安全处理
12.客户端向服务器发送close-notify消息，以一种可认证的方式通告服务器需要断开处理。13.服务器向客户端发送close-notify消息
上述过程完成后，客户端和服务器分别交互FIN和ACK报文，断开TCP连接，该连接上的通信过程结束。
56、在保护数据时，SSL实现需要使用哪几种密钥。
答：四个用于保护数据的会话密钥：服务端写加密密钥、服务端写MAC密钥、客户端写加密密钥和客户端写MAC密钥。
57、Kerberos中参与者的名称以及作用
答：可信第三方：维护与用户和应用服务器共享的密钥
票据许可服务器：向已由AS认证了身份的客户端颁发票据
时间参数：描述票据的有效期
58、Kerberos中票据和认证符的作用。
答：票据是实体的身份凭证
认证符：在访问应用服务器时证明自己拥有会话密钥
59、Kerberos流程描述
答：当用户初次登录系统或TGT过期时进入第一阶段，此时客户端向AS发出KRB-AS-REQ消息请求获取TGT，AS的应答可能为两种：若同意颁发TGT，则返回KRB-AS-REP消息，其中包含TGT和客户与TGS共享的会话密钥：否则错误通告KRB-REEOR。若收到第一种消息，客户端会提示用户输入口令以生成密钥并还原会话密钥
当用户请求某个新的应用服务，或者用于访问某个应用服务的票据已经到期是进入第二阶段。此时客户端享TGS发送KBB-TGS-REF，其中包含TGT和认证符，TGS验证TGT和认证符，验证成功则返回KRB-TGS-REP，其中包含用于访问应用服务的票据和用户与应用服务器共享的会话密钥；否则返回错误通告KRB-ERROR
当用户请求应用服务是进入第三阶段，此时客户端向应用服务器发送KRB-AP-REQ消息，其中包含票据和认证符。应用服务器验证票据和认证符，并根据验证结果返回KRB-AP-REP或KRB-ERROR
60、Kerberos票据格式／内容／含义（图8.5）
答：{kerberos票据（票据版本、服务器域、服务器名）加密区域（标志、会话密钥、客户端域、客户端实体名、传输编码、认证时间、起始时间、终止时间、更新终止时间、主机地址、认证数据）}
61、Kerberos中认证符Authenticator的作用，各个字段的含义以及工作原理。 答：Authenticator-vno 字段确定了认证符的格式，取值为5.chsum字段包含了利用散列函数或其他校验和算法多认证符所计算的校验和。Subkey字段包含了客户端保护应用回话所使用的密钥。Sep-number字段包含了用于KREB-PRIV和KRB-SAVE消息的初始序号。Authorization字段与票据中相应字段的含义类似。
62、Kerberos中六条典型消息的作用／各个字段的含义。