商用密码应用安全性评估从业人员考核题库及答案（第4201-4350题）

商用密码应用安全性评估从业人员考核题库及答案（第4201-4350题）
4201、依据《信息系统密码应用高风险判定指引》，密钥更新环节可能会对密钥安全造成安全隐患的是（）。
A、按照制定的密钥生命周期的安全管理策略执行
B、未建立密钥已泄露或存在泄露风险时的密钥更新机制
C、在更新密钥过程中，填写相关表格进行记录
D、密钥定期备份
正确答案：B
4202、依据《信息系统密码应用高风险判定指引》，网络和通信安全层面如果通信实体身份真实性的密码技术实现机制（）或无效，可能会导致信息系统面临高风险。
A、不科学
B、不安全
C、不完整
D、不正确
正确答案：D
4203、依据《信息系统密码应用高风险判定指引》，以下对通用要求“密码算法”描述不正确的是（）。
A、指标要求是“信息系统中使用的密码算法应符合密码相关国家标准、行业标准的有关要求”
B、对所有不同安全等级的信息系统均适用
C、存在可能的缓解措施
D、若信息系统中采用OpenSSL算法库实现AES，为信息系统提供加密保护，则会导致高风险
正确答案：D
4204、依据《信息系统密码应用高风险判定指引》，以下对通用要求中“密码算法”的描述正确的是（）。
A、采用DES算法提供数据加密，则很可能导致高风险
B、采用SHA-1提供口令存储完整性保护，则很可能导致高风险
C、采用自行设计的数据处理算法，达到将数据不可读的目的，则该算法依然可能导致高风险
D、采用MD5withRSA2048进行数字签名，不会导致高风险
正确答案：C
4205、在《信息系统密码应用高风险判定指引》中，以下属于不安全的密码算法是（）。
A、SM2
B、SHA-1
C、RSA-1024
D、MD5
正确答案：D
4206、在《信息系统密码应用高风险判定指引》中，以下属于密码算法安全问题的是（）。
A、采用了安全强度不够的密码算法
B、自行设计的密码算法
C、采用未经安全性论证的密码算法
D、采用了符合法律、法规规定和密码相关国家标准、行业标准有关要求的算法
正确答案：C
4207、在《信息系统密码应用高风险判定指引》中，对高风险判定，从（）方面进行了描述。
A、指标要求
B、适用范围
C、安全问题
D、可能的缓解措施和风险评价
正确答案：D
4208、密评过程中发现的问题，在《信息系统密码应用高风险判定指引》中没有相关描述的，仍需从（）方面核查该问题是否存在风险。
A、密码算法
B、密码技术
C、密码产品
D、密码服务
正确答案：D
4209、依据《信息系统密码应用高风险判定指引》，采用密码技术对重要区域进入人员进行身份鉴别的措施可包括（）。
A、采用动态口令机制
B、基于对称密码算法或密码杂凑算法的消息鉴别码（MAC）机制
C、基于公钥密码算法的数字签名机制
D、基于生物特征识别
正确答案：D
4210、依据《信息系统密码应用高风险判定指引》，属于物理和环境安全层面身份鉴别方面引发的安全问题的是（）。
A、对进出机房人员采用的身份鉴别类产品不符合密码产品相关要求
B、对进出机房人员的身份鉴别机制无效
C、机房未采用视频监控系统
D、对进出机房人员未采用基于密码技术的身份鉴别措施
正确答案：B
4211、在《信息系统密码应用高风险判定指引》中，对网络和通信安全层面的通信实体进行身份鉴别时，引发高风险的原因可能是（）。
A、密码技术实现机制不正确或无效
B、未采用基于消息鉴别码（MAC）的机制
C、未采用数字签名机制
D、采用的密码产品未获得商用密码产品认证证书
正确答案：D
4212、某信息系统的用户仅使用“用户名+口令”方式进行登录系统，根据《信息系统密码应用高风险判定指引》，以下（）措施可以缓解这种登录方式带来的风险
A、设备指纹
B、人脸识别
C、第三方身份鉴别服务
D、指纹识别
正确答案：D
4213、设备指纹是指可以用于标识出该设备的设备特征或者独特的设备标识，用于区分和识别不同的设备。
按照《信息系统密码应用高风险判定指引》的规定，设备指纹因子包括（）。
A、计算机的操作系统类型
B、设备的硬件ID
C、手机的IMEI
D、电脑的网卡MAC地址
正确答案：D
4214、在《信息系统密码应用高风险判定指引》中，以下实现用户身份真实性的措施，不会带来安全问题的是（）。
A、生物指纹技术
B、动态口令机制
C、基于对称密码算法或密码杂凑算法的消息鉴别码（MAC）机制
D、基于公钥密码算法的数字签名机制
正确答案：D
4215、《信息系统密码应用高风险判定指引》中，在应用和数据安全层面，采用以下（）措施，可以可缓解系统在用户身份鉴别方面存在的安全风险。
A、采用设备指纹保证用户身份的真实性
B、采用生物指纹保证用户身份的真实性
C、采用第三方身份鉴别服务保证用户身份的真实性
D、绑定登录用户终端的IP地址
正确答案：C
4216、在《信息系统密码应用高风险判定指引》中，使用（）身份鉴别方式，可能会触发应用和数据安全层面“身份鉴别”的风险判定。
A、USB-Key
B、动态口令机制
C、短信验证码
D、邮箱验证码
正确答案：D
4217、在《信息系统密码应用高风险判定指引》中，使用（）方法不会触发应用和数据层面“重要数据传输机密性”的风险判定。
A、采用标准tls1.2协议
B、基于SM4-CBC对称密码算法
C、基于SM2非对称密码算法
D、基于Base64编码的方式
正确答案：C
4218、在《信息系统密码应用高风险判定指引》中，（）属于应用和数据层面“重要数据存储机密性”的涉及范围。
A、业务系统采用AES加密存储数据
B、使用SM3密码算法保存了银行客户的身份证号，以便发给公安系统进行比对
C、使用HMAC-SM3算法对关键业务数据进行完整性保护
D、使用SM4算法实现重要数据传输的机密性
正确答案：B
4219、依据《信息系统密码应用高风险判定指引》，密评过程中主要关注的管理制度有（）。
A、密码人员管理
B、密钥管理
C、建设运行
D、应急处置
正确答案：D
4220、由于密码技术的安全依赖于密钥安全，因此密钥的安全管理是密码技术应用中非常重要的环节，下列属于密钥管理环节的是（）。
A、使用
B、更新
C、归档
D、销毁
正确答案：D
4221、依据《信息系统密码应用高风险判定指引》，以下内容可能会给密钥管理带来安全隐患的是（）。
A、未采用通过检测认证合格的随机数发生器生成密钥，且无公开文献和证据证明随机数发生器的合理性和正确性
B、密钥在不可控的环境中生成
C、密钥协商之前或协商过程中没有验证对方身份真实性
D、密钥由具有商用密码认证证书的密码产品产生
正确答案：C
4222、依据《信息系统密码应用高风险判定指引》，密钥分发环节可采取的安全措施有（）。
A、使用没有访问控制机制的存储介质（如普通信封、普通U盘）等传输明文密钥
B、密钥在可控的环境中分发，使用了密码技术保护密钥的机密性和完整性
C、分发密钥时，一人可领取多段密钥
D、密钥明文及其组件采用电子邮件、传真、电传、电话等方式直接传递
正确答案：B
4223、依据《信息系统密码应用高风险判定指引》，密钥销毁和撤销环节可能会对密钥管理带来安全隐患是（）。
A、不具备密钥在应急情况下的密钥销毁/撤销的机制
B、未按照设定的安全机制进行密钥销毁/撤销
C、对于磁记录存储器存储的密钥，简单的删除、清0或写1即可
D、停止使用的密钥一般不要立即毁掉，而需再保存一段时间然后再毁掉
正确答案：C
4224、依据《信息系统密码应用高风险判定指引》，对于通用要求“密码算法”的描述正确的是（）。
A、描述的内容适用范围为所有级别信息系统
B、RSA（不足2048比特）可能会导致高风险
C、采用自行设计的密码算法可能会导致高风险
D、使用MD5杂凑算法可能导致高风险
正确答案：D
4225、依据《信息系统密码应用高风险判定指引》，对于通用要求“密码技术”的描述正确的是（）。
A、测评过程中，在该方面若发现问题，存在可能的缓解措施
B、系统采用了未经安全性论证的密码协议，可能会给系统带来高风险
C、使用TLS1.0协议实现对通信信道的保护，可能会导致高风险
D、信息系统选用密码技术时，需考虑该密码技术是否遵循密码相关国家标准和行业标准
正确答案：D
4226、依据《信息系统密码应用高风险判定指引》，对于通用要求“密码算法”的描述不正确的是（）。
A、存在安全问题或安全强度不足的密码算法可能会导致高风险
B、使用自行设计的密码算法可能会导致高风险
C、未经安全性论证的密码算法可能会导致高风险
D、该指标对应的密码算法不仅要符合法律要求，还应遵循国家标准
正确答案：D
4227、依据《信息系统密码应用高风险判定指引》，通用要求“密码产品和密码服务”中，密码产品存在可能导致高风险的问题有（）。
A、密码产品在使用时未按照产品的安全策略文档部署和使用
B、不具有商用密码产品认证证书
C、密码服务提供商不具有相关资质
D、密码厂商自研一套软件密码模块，但无法提供该密码产品的安全性证明结论
正确答案：D
4228、根据《信息系统密码应用高风险判定指引》，下列属于密钥管理环节的是（）。
A、产生
B、撤销
C、备份
D、恢复
正确答案：D
4229、依据《信息系统密码应用高风险判定指引》，某三级信息系统主备机房，采用8位以上的口令，对进入机房的用户进行身份鉴别。
以下针对身份鉴别测评指标的符合性判定以及针对问题风险的判定正确的是（）。
A、不符合
B、高风险
C、部分符合
D、中风险
正确答案：B
4230、根据《信息系统密码应用高风险判定指引》，以下采用的措施对物理和环境安全的身份鉴别，可能带来安全风险的是（）。
A、采用口令方式鉴别进入人员身份
B、采用ID卡方式鉴别进入人员身份
C、采用指纹识别方式鉴别进入人员身份
D、机房采用物理锁方式控制人员进出
正确答案：D
4231、按照《商用密码应用安全性评估报告模板（2023版）》，如果信息系统密码应用方案的评估结果为通过，由此可得到该信息系统的密评结果为（）。
A、无法确定
B、符合
C、基本符合
D、通过
正确答案：A
4232、按照《商用密码应用安全性评估报告模板（2023版）》，在编制系统密评报告时，以下不属于分析与报告编制活动内容的是（）。
A、单项测评结果判定
B、单元测评结果判定
C、风险分析
D、测评对象和测评内容确定
正确答案：D
4233、国家密码管理局发布《关于规范商用密码应用安全性评估结果备案工作的通知》，进一步规范了商用密码应用安全性评估结果备案相关工作。
通知中要求，各地区网络与信息系统运营者应当在密评报告出具之日起（）日内，填写《网络与信息系统密评备案信息表》，连同密评报告报密码管理部门备案。
A、10
B、30
C、60
D、90
正确答案：B
4234、按照《商用密码应用安全性评估报告模板（2023版）》，方案密评报告和系统密评报告分别可以在（）阶段产生。
A、系统规划阶段和系统运行阶段
B、系统建设阶段和系统运行阶段
C、系统建设阶段和系统改造阶段
D、系统运维阶段和系统运行阶段
正确答案：A
4235、按照《商用密码应用安全性评估报告模板（2023版）》，被测系统密评报告封面的报告编号应（）。
A、根据国家密码管理部门的编号要求进行编号
B、根据系统责任单位的文件归档要求进行编号
C、根据密评机构质量管理体系文件要求进行编号
D、根据信息系统网络安全等级保护备案编号进行编号
正确答案：C
4236、按照《商用密码应用安全性评估报告模板（2023版）》中声明部分的相关内容，被测单位提供相关证据的（）对评估结论的有效性至关重要。
A、真实性
B、完整性
C、机密性
D、主动性
正确答案：A
4237、根据《商用密码应用安全性评估报告模板（2023版）》，密评报告中给出的评估结论仅对被测信息系统（）的安全状态有效。
A、当年
B、当月
C、建成时
D、被测时
正确答案：D
4238、根据《商用密码应用安全性评估报告模板（2023版）》，在（）的情况下，引用密评报告结论时可对其相关内容进行修改。
A、任何情况都不允许
B、系统发生变动
C、委托方授权
D、测评机构同意
正确答案：A
4239、根据《商用密码应用安全性评估报告模板（2023版）》，三级信息系统的密评报告总体评价中，设备和计算安全层面测评结果可能存在（）。
A、符合2项，部分符合3项，不符合1项，不适用1项的情况
B、符合3项，部分符合2项，不符合2项，无不适用项的情况
C、符合2项，部分符合1项，不符合2项，不适用1项的情况
D、符合4项，部分符合2项，不符合1项，不适用1项
正确答案：C
4240、根据《商用密码应用安全性评估报告模板（2023版）》，以下对信息系统密评报告“总体评价”章节描述错误的是（）。
A、总体评价章节中需要体现本次密评所依据GB/T39786的级别要求
B、总体评价章节中需要体现本次密评的测评结果，包括测评项的符合情况及风险项数
C、总体评价章节中需要体现各个层面密码应用实施情况，但不需要体现测评项的符合情况
D、总体评价章节需要给出被测系统是否符合GB/T39786相应等级指标要求的测评结论
正确答案：C
4241、某三级信息系统通过调用密码模块为安全一级的服务器密码机（该密码机经检测认证合格），使用SM4算法(CBC模式）实现应用和数据安全层面重要业务数据存储机密性保护，则在信息系统密评报告“安全问题及改进建议”部分，以下选项中关于该测评结果面临的安全威胁分析合理的是（）。
A、设备资源被登录设备的非授权用户获取
B、搭建的远程管理通道被非授权使用，或传输的管理数据被非授权获取和篡改
C、密钥被非法获取，导致加密数据明文泄露
D、设备内重要程序和文件的来源不可信
正确答案：C
4242、根据《商用密码应用安全性评估报告模板（2023版）》，（）应对密评报告的生命周期进行严格、规范的管理。
A、密评机构
B、密码管理部门
C、委托单位
D、被测单位
正确答案：A
4243、某三级信息系统有两个机房，机房1的身份鉴别指标量化评估结果为0分，机房2的身份鉴别指标量化评估结果为0.5分，针对物理和安全层面的“身份鉴别”指标的量化评估和判定结果为（）。
A、0.25，部分符合
B、0，不符合
C、0.5，部分符合
D、无法判断
正确答案：A
4244、某三级信息系统有两个机房A和B。其中，A机房的访问方式为“人工值守+视频监控”，访问人员经过审批后才可登记进入，该风险控制措施写入了该系统的密码应用方案中且方案通过了评估，密评人员到系统现场进一步核实了风险控制措施的使用条件和落实情况与方案描述相符。
B机房有C和D两个门，无论从C门还是D门进入，都可以访问整个机房。C门的访问方式为（经检测认证合格的）电子门禁系统刷卡，D门的访问方式为ID卡。
那么按照《商用密码应用安全性评估报告模板（2023版）》，该系统密评报告中，在物理和环境安全层面“身份鉴别”测评单元的判定结果为（）。
A、符合，1分
B、部分符合，0.5分
C、部分符合，0.75分
D、不符合，0分
正确答案：D
4245、某三级信息系统有两个业务应用，应用1的用户A身份鉴别为符合，量化评估分值为1；用户B身份鉴别为部分符合，量化评估分值为0.5。应用2的用户身份鉴别为不符合，量化评估分值为0。按照《商用密码应用安全性评估报告模板（2023版）》，针对应用和数据安全层面的“身份鉴别”指标的量化评估和判定结果为（）。
A、0.5，不符合
B、0.75，部分符合
C、0.5，部分符合
D、0.75，不符合
正确答案：C
4246、按照《商用密码应用安全性评估报告模板（2023版）》，某三级信息系统使用了自行设计（未经检测认证合格）且经过安全性证明的密码算法对业务系统重要数据进行保护，针对“应用和数据安全”层面的“重要数据存储机密性”指标最高可以给（）分。
A、0.25
B、0
C、0.5
D、1
正确答案：A
4247、根据《商用密码应用安全性评估报告模板（2023版）》，管理制度中“具备密码应用安全管理制度”测评单元结果为部分符合，其量化评估分值可能为（）。
A、0
B、0.25
C、0.5
D、无法确定
正确答案：C
4248、根据《商用密码应用安全性评估报告模板（2023版）》，在编制系统密评报告整体测评章节时，以下情况处理得当的是（）。
A、设备和计算安全层面中，堡垒机“系统资源访问控制信息完整性”和“日志记录完整性”保护采用通用操作系统自身安全机制实现，但如果堡垒机“身份鉴别”判定结果为“符合”，那么通过单元间的弥补后，前两项测评单元的判定结果可修正为“符合”
B、某省中心系统有与市中心系统业务交互需求，在应用和数据安全层面未采用密码技术对重要数据传输机密性保护。但采用了符合要求的密码技术对网络通信信道进行保护，且网络和通信安全层面测评指标的测评结果为符合。则“重要数据传输机密性”测评结果可修正为“符合”，弥补后分值为1分
C、某系统的设备远程管理路径为：管理员终端->SSLVPN网关->通用设备（静态口令登录）。所以只要终端到SSLVPN网关之间建立起基于国密SSL协议的网络通信通道，则通用设备“身份鉴别”测评单元可以由“不符合”弥补为“部分符合”，最高得0.5分
D、某第三方支付平台和银行有业务交互需求，在网络和通信安全层面未采用密码技术建立安全传输信道，通信报文的传输机密性无法得到保障。但在“应用和数据安全”层面，采用了符合要求的密码技术对重要数据传输机密性进行保护，且加密后的数据流能够覆盖网络通信信道。则“通信过程中重要数据的机密性”测评结果可以得到一定弥补
正确答案：D
4249、根据《商用密码应用安全性评估报告模板（2023版）》，如果管理制度、人员管理、建设运行、应急处置四个方面的分数分别为1、1、0.5、0.5，则密码应用管理方面的总体得分为（）。
A、23
B、24
C、25
D、26
正确答案：A
4250、根据《商用密码应用安全性评估报告模板（2023版）》，某三级信息系统，设备和计算安全层面应用服务器的“身份鉴别”指标为1分，应用和数据安全层面应用用户的“身份鉴别”指标为0分，则应用用户的身份鉴别经应用服务器的身份鉴别弥补后为（）。
A、1分
B、0.25分
C、0.5分
D、0分（无法弥补）
正确答案：D
4251、根据《商用密码应用安全性评估报告模板（2023版）》，如果物理和环境、网络和通信、设备和计算、应用和数据四个层面的分数分别为1、1、0.5、0.5，则密码应用技术方面的总体得分为（）。
A、50
B、45
C、55
D、60
正确答案：A
4252、根据《商用密码应用安全性评估报告模板（2023版）》，以下对信息系统密评报告“总体评价”及”测评结果记录”描述正确的是（）。
A、某二级信息系统责任单位编写有密码应用方案，且方案通过密评，在密码应用方案中对“系统资源访问控制信息完整性”测评项判定为不适用，但在实际测评过程中，系统责任单位对该测评项进行了密码保护，应依据密码应用方案，在“测评结果记录”中体现其不适用的情况
B、某信息系统通过未经认证的SSLVPN，使用HTTPS（V1.1）协议和AES-128-CBC算法，实现网络和通信安全层面业务数据传输通道通信过程中重要数据的机密性保护，在密评报告“测评结果记录”中D/A/K判定为√××
C、某信息系统在应用和数据安全层面，使用AES-128-CBC算法，实现重要业务数据存储的机密性保护。在密评报告“测评结果记录”中D/A/K判定为×//
D、某信息系统中部署了SSLVPN，该设备用于建立管理员从互联网登录VPN客户端接入内网的运维通道。管理员在内网，通过登录其专用的设备管理应用对该SSLVPN设备进行运维管理。那么在密评报告“测评结果记录”部分，描述其登录管理应用时的身份鉴别方式即可，无需描述管理员登录SSLVPN客户端的身份鉴别方式
正确答案：B
4253、根据《商用密码应用安全性评估报告模板（2023版）》，在密评报告的测评结果修正部分，若测评对象A弥补了测评对象B的不足，测评对象A的分值为PA，测评对象B的弥补前分值为PB，则测评对象B弥补后的分值为（）。
A、PA
B、0.5×PA
C、MAX(0.5×PA，PB)
D、PB
正确答案：C
4254、根据《商用密码应用安全性评估报告模板（2023版）》，风险等级不包括（）。
A、高
B、中
C、低
D、一般
正确答案：D
4255、按照《商用密码应用安全性评估报告模板（2023版）》，系统密评报告中风险分析与（）完全无关。
A、不符合项或部分符合项导致的安全问题
B、关联威胁
C、资产价值
D、测评对象或测评单元分数
正确答案：D
4256、按照《商用密码应用安全性评估报告模板（2023版）》，在编制系统密评报告时，某三级信息系统选取的基本指标数量为41，其中不适用指标4项，特殊指标0项，经整体测评后符合项20项，不符合项10项，部分符合项7项。
那么风险分析结果中的高、中、低风险项数之和应为（）。
A、17
B、41
C、10
D、7
正确答案：A
4257、按照《商用密码应用安全性评估报告模板（2023版）》，在编制系统密评报告风险分析部分时，以下描述正确的是（）。
A、如果系统中使用了SHA-1算法，那么该系统一定面临高等级安全风险
B、某个测评指标为不符合，量化评估分值为0分，经过风险分析后发现仅面临低等级安全风险，因此该指标的量化评估分数可以做相应的调整
C、如果某个安全层面的测评指标为不符合，该指标涉及测评对象测评对象B，其中测评对象A经分析后面临高等级安全风险，测评对象B经分析后面临中等级安全风险，那么该测评指标的最终风险等级应该为中
D、如果对测评结果中所有的不符合和部分符合项进行分析后发现存在高风险项，则认为信息系统面临高风险；同时也需要考虑多个中低风险叠加可能导致的高风险问题
正确答案：D
4258、按照《商用密码应用安全性评估报告模板（2023版）》，信息系统商用密码应用安全性评估的评估结论能够判定为符合的情况是（）。
A、系统综合得分不低于60分
B、系统密码得分为100分
C、系统密码应用无中、高风险
D、系统综合得分不低于60分且系统密码应用无高风险
正确答案：B
4259、密评人员在对某网络安全等级保护定级为第三级的OA办公系统的应急处置安全层面进行测评时发现，该系统责任单位制定并发布了详细的密码应用应急处置策略，在应急处置策略中明确了发生密码应用安全事件时的处置措施、报告流程以及完成事件处置后的汇报机制，设置了相应的责任岗位，相关应急处置策略合理可行，岗位职责明确，但现场测评发现，该系统从上线运行到本次密评，未发生过密码安全事件，且该系统未制定密码应用方案，则以下关于本系统“事件处置”和“向主管部门上报处置情况”两项指标的结果分析描述正确的是（）。
A、由于被测系统从上线运行至本次密评期间，均未发生密码安全事件，故事件处置、向主管部门上报处置情况均为不适用
B、由于被测系统从上线运行至本次密评期间，均未发生密码安全事件，仅有相应的应急管理制度，但无法验证其真在发生密码安全事件后能够按照相应的应急制度进行处置，故分别为不符合
C、由于被测系统从上线运行至本次密评期间，均未发生密码安全事件，仅有相应的应急管理制度，但无法验证其真在发生密码安全事件后能够按照相应的应急制度进行处置，故分别为部分符合
D、被测系统责任制定并发布了完善的密码应用应急处置策略，策略合理可行，人员岗位职责明确，故判定为符合
正确答案：D
4260、按照《商用密码应用安全性评估报告模板（2023版）》，在对信息系统进行商用密码应用安全性评估时，需保证实施密评活动的人员中至少（）通过密评人员考试。
A、1名
B、2名
C、全员
D、无具体要求
正确答案：B
4261、按照《商用密码应用安全性评估报告模板（2023版）》，以下属于信息系统密评报告“密评活动有效性证明记录”中“密评委托证明”中需要体现的内容的是（）
A、现场测评授权书
B、风险告知书
C、与密评机构签订的合同扫描件
D、差旅票证
正确答案：C
4262、某面向公众的三级信息系统部署在政务云平台上，在对其开展密评工作时，由于外单位人员进入机房进行核查的审批流程繁琐，故密评机构与系统责任单位约定由系统责任单位运维人员代为前往机房进行设备核查，根据《商用密码应用安全性评估报告模板（2023版）》，这种方式是否符合密评要求（）。
A、符合
B、不符合
C、只要能够完成资产核查即可，进行核查的不一定为密评机构实施密评活动人员
D、目前没有相关要求
正确答案：B
4263、按照《商用密码应用安全性评估报告模板（2023版）》，密评报告模板中报告声明页需（）。
A、加盖机构用章
B、加盖密评人员电子签章
C、机构法人签字
D、批准人签字
正确答案：A
4264、按照《商用密码应用安全性评估报告模板（2023版）》，在编制系统密评报告时，针对云平台和云上应用的测评，以下表述合理的是（）。
A、如果云平台为SaaS服务模式，其上运行的电子签章系统仅用于支撑云上应用合同的抗抵赖保护，而不用于云平台本身，那么在对云平台测评时，需要对电子签章系统的支撑能力进行“部分评估”，并体现在系统密评报告中
B、如果云平台已经通过密评（即获得“符合”或“基本符合”的结论）且安全等级不低于云上应用，则目前针对云平台被完全评估的支撑能力，所对应的云上应用测评对象的测评结论可以为“不适用”
C、针对云平台被部分评估的支撑能力，可以在该云平台测评结论中体现相关支撑能力的名称、量化评估分值和适用条件、风险评估情况和适用条件
D、针对云平台被完全评估的支撑能力，可以在该云平台测评结论中体现相关支撑能力的安全层面、测评对象和所涉及的指标
正确答案：D
4265、按照《商用密码应用安全性评估报告模板（2023版）》，以下有关云平台密评报告编写的描述错误的是（）。
A、云平台测评结论中应包含“云平台（密码）支撑能力说明”
B、在编写云平台密评报告时，被完全评估的支撑能力一般不涉及量化评估和风险判定过程
C、在编写云平台密评报告时，被部分评估的支撑能力一定不涉及量化评估和风险判定过程
D、云平台密评报告和传统信息系统密评报告所涉及的内容完全一致
正确答案：D
4266、按照《商用密码应用安全性评估报告模板（2023版）》，信息系统密评报告中应包含（）。
A、单元测评结果
B、整体测评结果
C、风险分析
D、评估结论
正确答案：D
4267、按照《商用密码应用安全性评估报告模板（2023版）》，信息系统密评报告中涉及编写测评对象的地方有（）。
A、测评对象确定结果
B、单元测评
C、测评结果记录
D、测评结果修正
正确答案：D
4268、按照《商用密码应用安全性评估报告模板（2023版）》，密评报告不再适用的情况有（）。
A、被测信息系统业务发生重大变更
B、被评估密码应用方案发生变更
C、被测单位名称发生变更
D、委托双方合同期满
正确答案：B
4269、按照《商用密码应用安全性评估报告模板（2023版）》，在任何情况下，若需引用密评报告中的评估结果或结论都应保持其原有的意义，不得对相关内容擅自进行（）。
A、增加
B、修改
C、伪造
D、掩盖事实
正确答案：D
4270、按照《商用密码应用安全性评估报告模板（2023版）》，密评报告的被测信息系统基本信息表中，涉及到（）签字。
A、编制人
B、审核人
C、批准人
D、机构法人
正确答案：C
4271、按照《商用密码应用安全性评估报告模板（2023版）》，以下应体现在信息系统密评报告“总体评价”章节中内容为（）。
A、不适用项数目
B、测评结果
C、风险项数目
D、系统密评得分
正确答案：C
4272、按照《商用密码应用安全性评估报告模板（2023版）》，系统密评报告的评估结论包括（）。
A、符合
B、不符合
C、通过
D、不通过
正确答案：B
4273、按照《商用密码应用安全性评估报告模板（2023版）》，以下关于信息系统密评报告的安全问题及改进建议部分编制要求，描述正确的有（）。
A、问题描述部分只需要将被测系统中主要问题列举出，无需逐一列出被测系统存在的密码应用安全问题
B、问题描述部分可根据报告“风险分析”章节中描述，按照各安全层面顺序，逐一列出被测系统存在的密码应用安全问题
C、改进建议要在符合密评要求的基础上，充分考虑其在被测系统中的可行性
D、改进建议提供通用的解决方案，能够满足密评要求即可，不用考虑其在被测系统中的可行性
正确答案：C
4274、按照《商用密码应用安全性评估报告模板（2023版）》，密评报告中测评项目概述应包括（）。
A、测评目的
B、测评依据
C、测评过程
D、报告分发范围
正确答案：D
4275、按照《商用密码应用安全性评估报告模板（2023版）》，密评报告中系统网络拓扑应说明（）。
A、系统体系架构
B、网络所在机房情况（物理机房的个数及其所在具体位置）
C、网络边界划分
D、与其他系统的互联关系（网络互联、数据互通等情况）
正确答案：D
4276、按照《商用密码应用安全性评估报告模板（2023版）》，密评报告中现场测评方法通常包括（）。
A、访谈、文档审查
B、实地查看
C、配置检查
D、工具测试
正确答案：D
4277、按照《商用密码应用安全性评估报告模板（2023版）》，现场测评方法中，访谈工作主要内容包括（）。
A、与被测单位的相关人员进行交流和问询
B、了解被测信息系统技术方面的基本信息
C、了解被测信息系统管理方面的基本信息
D、对测评内容进行确认
正确答案：D
4278、按照《商用密码应用安全性评估报告模板（2023版）》，在文档审查中会涉及的文档有（）。
A、人员培训计划
B、安全管理制度文件
C、密钥管理制度
D、密码应用方案及评审意见
正确答案：D
4279、按照《商用密码应用安全性评估报告模板（2023版）》，在编制系统密评报告单元测评部分时，需要注意（）。
A、单元测评中的测评对象需要与测评对象确定结果和测评结果记录（附录A）中的测评对象保持一致
B、单元测评结果分析中对于判定依据的相关描述需要与测评结果记录（附录A）中的保持一致
C、单元测评中的不适用指标应当与“测评范围与方法”中确定的不适用指标保持一致
D、单元测评结果中的测评指标符合情况需与整体测评结果中的符合情况保持一致（如果不存在测评结果修正）
正确答案：D
4280、按照《商用密码应用安全性评估报告模板（2023版）》，系统密评报告的单元测评结果包括（）。
A、符合
B、不符合
C、部分符合
D、不适用
正确答案：D
4281、按照《商用密码应用安全性评估报告模板（2023版）》，某三级信息系统只有一个网络通信信道，如果针对网络和通信安全层面的“身份鉴别”指标的判定结果为部分符合，其量化评估分值可能为（）。
A、0
B、0.25
C、0.5
D、无法确定
正确答案：C
4282、按照《商用密码应用安全性评估报告模板（2023版）》，编制系统密评报告时，针对“网络和通信安全”层面的结果分析，以下描述不合理的是（）。
A、某三级信息系统，移动终端用户通过SSLVPN访问内网资源，移动终端与SSLVPN之间必须实现双向身份鉴别才能符合标准的要求
B、被测系统的远程管理通道存在跨网络的情况，跨网的信道不需要作为“网络和通信安全”层面的测评对象进行分析
C、某三级信息系统互联网PC端用户可以通过HTTP或者国密SSL协议两种方式访问被测信息系统，鉴于网络通信信道支持国密SSL协议，因此针对“通信过程中重要数据完整性”和“通信过程中重要数据机密性”指标可以判定为符合
D、某三级信息系统主机房和灾备机房之间通过部署IPSecVPN设备建立安全传输通道，测评人员将主机房到灾备机房和灾备机房到主机房的通信链路作为两个测评对象进行分析
正确答案：D
4283、按照《商用密码应用安全性评估报告模板（2023版）》，对于应用和数据安全部分的报告编制，以下说法正确的是（）。
A、测评指标可分为“应用用户身份鉴别”、“重要数据安全”、“关键操作不可否认性”三类
B、应用用户可以是应用管理员和业务用户等
C、重要数据通常可分为“鉴别类”“业务类”“日志类”这三类数据
D、该安全层面的测评对象为应用系统，而不是应用用户、重要数据等
正确答案：D
4284、按照《商用密码应用安全性评估报告模板（2023版）》，管理制度中“具备密码应用安全管理制度”测评单元结果为部分符合，其量化评估分值不可能为（）。
A、0
B、1
C、0.25
D、0.5
正确答案：C
4285、按照《商用密码应用安全性评估报告模板（2023版）》，系统密评报告中的测评结果修正是对（）开展的。
A、不适用指标
B、符合指标要求的测评对象
C、不符合指标要求的测评对象
D、部分符合指标要求的测评对象
正确答案：D
4286、按照《商用密码应用安全性评估报告模板（2023版）》，在编制密评报告的整体测评部分时，需要注意的事项有（）。
A、测评对象作为整体测评时弥补的最小单位
B、弥补后的测评结果只能是“部分符合”
C、弥补后的分数最多0.5分
D、弥补后的分数最多0.25分
正确答案：C
4287、按照《商用密码应用安全性评估报告模板（2023版）》，以下应体现在信息系统密评报告“整体测评”章节中内容为（）。
A、总体评价
B、安全问题及改进建议
C、测评结果修正
D、整体测评结果和量化评估
正确答案：D
4288、按照《商用密码应用安全性评估报告模板（2023版）》，编制系统密评报告时，以下说法不合理的是（）。
A、如果信息系统有密码应用方案且方案通过评估，针对密码应用方案中采用密码技术实现的指标，可以在系统密评报告的单元测评中直接判定为符合
B、如果安全管理方面的指标均不适用，那么被测系统的综合得分最高为70分
C、如果现场测评获取的技术证据与密码应用方案中描述的不一致，则应以密码应用方案中给出的技术措施为准
D、根据系统密评报告模板（2023版），测评结果修正只需要考虑层面间的弥补情况
正确答案：D
4289、按照《商用密码应用安全性评估报告模板（2023版）》，在编制系统密评报告风险分析环节时，以下情况处理合适的是（）。
A、某三级信息系统的设备仅支持本地运维，其登录方式为“用户名+口令+指纹”，这种情形下设备和计算安全层面的“身份鉴别”指标的风险等级可酌情降低
B、某第三方支付平台和银行有业务交互需求，在应用和数据安全层面未采用密码技术对重要数据进行传输机密性保护。但采用了符合要求的密码技术建立网络通信信道，且网络和通信安全层面适用指标的测评结果为满分。因此“重要数据传输机密性”的风险等级可酌情降低
C、某三级信息系统的设备远程管理路径为：管理员终端-SSLVPN网关-通用设备（静态口令登录）。通用设备只能通过SSLVPN网关访问登录（由访问控制策略保证），若SSLVPN网关登录方式符合密评要求，则通用设备“身份鉴别”的风险等级可酌情降低
D、某省中心系统和市中心系统有业务交互需求，在网络和通信安全层面未采用密码技术建立安全通信信道，通信报文的传输机密性无法得到保障。但采用了符合要求的密码技术对重要数据传输机密性进行保护，且加密后的数据流能够覆盖网络通信信道。因此“通信过程中重要数据的机密性”的风险等级可酌情降低
正确答案：D
4290、按照《商用密码应用安全性评估报告模板（2023版）》，以下内容中应体现在系统密评报告中“商用密码应用安全性评估结论”的包括（）。
A、系统简介
B、测评情况简介
C、评估结论及综合得分
D、系统测评指标的符合情况及数目
正确答案：C
4291、按照《商用密码应用安全性评估报告模板（2023版）》，在密评报告“密评活动有效性证明记录”中，在“密评委托证明”部分，需要提供证明文件（）才能满足密评报告形式审查要求。
A、合同关键页，需包含服务内容、收费金额、签字盖章等关键页
B、任务书关键页，需包含任务内容、任务委托单位、任务资金支持（如有）、签字盖章等关键页
C、其他委托证明文件，需包含委托内容、委托单位、签字盖章等关键页
D、运营者自行开展密评的，无须提供
正确答案：D
4292、如果基于数字证书方式进行用户的身份鉴别，在进行密评时，以下核查（）不是必要的。
A、检查根证书如何安全导入或预置到系统内
B、检查数字证书的合规性
C、验证数字证书的证书链是否通过
D、检查数字证书的机密性是如何保证的
正确答案：D
4293、以下选项（）不是对传输完整性实现的测评方法。
A、利用Wireshark分析受完整性保护的数据在传输时的数据格式（如签名长度、MAC长度）是否符合预期
B、如果采用数字签名技术进行传输完整性保护，测评人员可以使用公钥对抓取的签名结果进行验证
C、条件允许的情况下，测评人员可尝试对传输数据进行篡改（如修改MAC值或数字签名值），验证完整性保护措施的有效性
D、检查传输过程是否符合GB/T15843《信息技术安全技术实体鉴别》要求
正确答案：D
4294、以下选项（）不被认为是云平台“完全评估的支撑能力”。
A、仅为租户应用提供的电子签章服务
B、云平台所在的物理机房环境
C、云平台管理应用
D、云平台提供的设备运维通信信道
正确答案：A
4295、Linux系统的用户口令一般存储在路径（）下。
A、/etc/group
B、/etc/shadow
C、/etc/login.defs
D、/etc/named.conf
正确答案：B
4296、Linux系统的用户口令一般存储在/etc/shadow路径下，口令存储字符串格式为：idididsalt$encrypted，其中id为1时表示口令采用（）密码算法进行杂凑后存储。
A、MD5
B、Blowfish
C、SHA-256
D、SHA-512
正确答案：A
4297、在测评过程中遇到的PEM编码格式，除了开头和结尾，其内容体通常以（）格式编码。
A、BER
B、DER
C、Base64
D、Base64url
正确答案：C
4298、某信息系统部署在云服务提供商（CSP）机房，其物理机房完全由CSP托管，那么在对该信息系统进行密评时，在物理和环境安全层面合理的做法是（）。
A、若CSP机房未通过密评，则物理和环境安全层面直接判定为“不符合”
B、若CSP机房通过密评，则可以复用该机房的密评结论
C、若CSP机房未通过密评，则可以直接判定为“符合”
D、无论CSP机房是否通过密评，物理和环境安全层面应判定为“不适用”
正确答案：B
4299、某二级信息系统，对物理和环境安全层面“身份鉴别”这一项，其密码应用方案中论述了无法采用密码技术的客观因素，并提供了目前采用的风险控制措施，即人脸识别，密评人员在实际测评时核实密码应用方案中的措施已落实。
那么作为该条款的测评结论合理的是（）。
A、符合
B、部分符合
C、不符合
D、不适用
正确答案：C
4300、在设备和计算安全层面，若存在100台服务器，其中60台为A厂商生产且为同一型号，40台为B厂商生产且为同一型号，同一厂商的硬件/软件配置相同。
为提高测评效率，同时避免遗漏测评对象，以下测评对象选取方法合理的是（）。
A、同一类机型的服务器作为一个测评对象，所以有两个测评对象，即机型A和机型B两类服务器
B、由于这100台服务器均属于通用设备，可视为一个测评对象
C、每一台服务器均作为一个测评对象，所以测评对象数量为100个
D、以上都正确
正确答案：A
4301、某四级信息系统，对物理和环境安全“身份鉴别”这一项，其密码应用方案中论述了无法采用密码技术的客观因素，并提供了目前采用的风险控制措施，即“口令+指纹”，密评人员在实际测评时核实方案中的措施已落实。
那么作为该条款的测评结论合理的是（）。
A、符合
B、部分符合
C、不符合
D、不适用
正确答案：C
4302、某三级信息系统开发人员采用密码机（经检测认证的一级密码模块）实现的SM4算法，为具有“重要数据传输机密性”安全需求的数据提供相应密码保护，经密评人员确认该指标测评对象有2个，且密码保护有效。
那么该指标的判定结果较为合理的是（）。
A、符合，1分
B、部分符合，0.5分
C、部分符合，0.3分
D、不符合，0.25分
正确答案：B
4303、用户在某银行网点取钱，输入支付口令后，该口令途经两段传输过程：1）ATM机到银行服务端金融数据密码机（经检测认证合格），采用SM4算法提供传输机密性；2）银行服务端金融数据密码机（经检测认证合格）到银行服务端核心系统服务器（非直连），采用AES-128提供传输机密性。
以口令作为测评对象，其“重要数据传输机密性”的判定结果为（）。
A、符合
B、部分符合
C、不符合
D、基本符合
正确答案：B
4304、以下因素（）可能导致数字签名功能不正确。
A、签名中使用固定的随机数
B、待签消息比SM3杂凑值长
C、签名中使用不可预测的随机数
D、使用私钥签名
正确答案：A
4305、某信息系统在数据库中存储有用户的性别字段的密文，应用开发人员告知密评人员该字段采用SM4-CBC算法进行了加密。
密评人员查看该字段信息发现只存在两种密文值，每个密文值长度为128比特。
那么以下推断正确的是（）。
A、如果确实使用SM4-CBC进行加密，那么开发人员可能错误地使用了IV
B、由于密文长度为64比特的整数倍，因此性别字段一定使用了DES或3DES进行加密，开发人员说法存在问题
C、开发人员不可能使用ECB模式加密
D、由于密文长度为128比特的整数倍，符合SM4的分组特征，因此可以判定开发人员的说法是正确的
正确答案：A
4306、应用服务器的数据库中，用户的单条记录（包括口令杂凑值、身份证号、手机号等密文值、角色、权限等）利用HMAC-SM3计算后，把得到的MAC值一并存放在该条目中，针对“应用和数据安全”层面的“重要数据存储完整性”指标判定最多可以给（）分。
A、0
B、0.25
C、0.5
D、1
正确答案：D
4307、某三级信息系统所在机房部署符合GM/T0036《采用非接触卡的门禁系统密码应用指南》的电子门禁系统，使用SM4算法进行密钥分散，实现门禁卡的“一卡一密”，并基于SM4算法对人员身份进行鉴别，因此该系统在“物理和环境安全”层面的“身份鉴别”指标的量化评估结果最多为（）分。
A、0.25
B、0.5
C、0
D、1
正确答案：D
4308、某三级信息系统，网络和通信安全层面采用了合规的密码技术进行通信实体身份鉴别，测评人员经核实后判定结果为1分；应用和数据安全层面采用“用户名+口令”的方式对业务系统登录用户进行身份鉴别。
则“应用和数据安全”层面的“身份鉴别”指标的应用用户测评对象经“网络和通信安全”层面“身份鉴别”指标结果弥补后的量化评估分值为（）。
A、1
B、0.5
C、0.25
D、0
正确答案：D
4309、某三级信息系统通过HMAC-SM3对重要数据计算MAC值后与数据原文一同存储在数据库中，密码运算为软件实现，针对“应用和数据安全”层面的“重要数据存储完整性”指标最高可以给（）分。
A、0
B、0.25
C、0.5
D、1
正确答案：C
4310、某三级信息系统的重要数据包括用户口令、日志信息、业务数据，这三类数据的存储机密性量化评估分值分别为0.25、0.5、0.25，针对“应用和数据安全”层面的“重要数据存储机密性”的测评单元得分为（）。
A、0.3333
B、1
C、0.5
D、0.25
正确答案：A
4311、某三级信息系统，制定了密码安全应急策略，规定了相关应急事件处置措施和流程，明确了密码应用应急事件处置完成后及时向当地密码管理部门报告事件发生和处置情况。
该系统目前未发生过密码应用安全事件，无相应处置记录。
针对“应急处置”层面的“事件处置”指标最高可以给（）分。
A、1
B、0.25
C、0.5
D、0
正确答案：A
4312、某三级信息系统的系统管理员通过堡垒机登录通用服务器并对其进行远程管理，进入堡垒机后，系统管理员通过用户名+口令的方式访问通用服务器。
系统管理员登录堡垒机时通过部署具有商用密码产品认证证书的安全浏览器（安全等级二级）和智能密码钥匙（安全等级二级）并基于数字证书（在有效期内）的方式进行身份鉴别，算法为SM2。
因此该系统在“设备和计算安全”层面的通用服务器测评对象的“身份鉴别”指标
D、K的判定结果为（）。
A、√，√，√
B、×，/，/
C、√，×，×
D、√，√，×
正确答案：B
4313、某三级信息系统用户端与服务端之间进行通信时，只对服务端进行了基于密码的身份鉴别且身份鉴别机制有效，使用的签名算法为SM2withSM3，针对“网络和通信安全”层面的“身份鉴别”指标最高可以给（）分。
A、0
B、0.25
C、0.5
D、1
正确答案：D
4314、某三级信息系统通过堡垒机对通用服务器进行集中管理，其中管理员与堡垒机之间使用HTTP协议建立传输通道，堡垒机与通用服务器之间使用SSH2.0建立传输通道，因此针对“设备和计算安全”层面的“远程管理通道安全”指标的判定结果为（）。
A、符合
B、部分符合
C、不符合
D、无法判断
正确答案：B
4315、某信息系统有两个业务应用，其中应用A有管理员用户和操作员用户两类用户，分别采用用户名+口令和基于动态口令（经过检测认证的密码产品）的身份鉴别方式；应用B有管理员用户和业务员用户两类用户，均基于经过检测认证的智能密码钥匙进行身份鉴别。
针对“应用和数据安全”层面的“身份鉴别”指标，最多可以给（）分。
A、0.5
B、1
C、3
D、0.75
正确答案：D
4316、某三级信息系统通过SSLVPN建立远程管理传输通道，管理终端与SSLVPN之间传输协议使用的密码套件为ECC_SM4_GCM_SM3。
该网络通信信道使用（）算法实现通信数据的机密性保护。
A、ECC
B、SM4_GCM
C、SM3
D、基于SM3的HMAC
正确答案：B
4317、某三级信息系统客户端与服务端之间的网络通信信道使用TLSv1.2协议进行传输保护，使用的密码套件为TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384，记录层协议中使用（）算法进行通信数据机密性和完整性保护。
A、ECDHE，RSA
B、AES_256_GCM，AES_256_GCM
C、AES-GCM，HMAC-SHA384
D、AES-GCM，SHA384
正确答案：B
4318、某三级信息系统的访问控制信息通过调用服务器密码机（通过商用密码产品检测认证）使用SM3withSM2数字签名算法计算签名值后，将访问控制信息与签名值一同保存在数据库中，但用户访问业务应用时未对访问控制信息的签名值进行验证，针对“应用和数据安全”层面的“访问控制信息完整性”为（）分。
A、0
B、0.25
C、0.5
D、1
正确答案：A
4319、在密评时，以下密码算法/技术的组合（）认为存在高危风险。
A、对数据进行RSA-3072和SHA-1签名
B、对数据进行DES加密后，再进行SM4加密
C、对数据进行HMAC-SHA256保护
D、对数据进行SM2和SM3签名
正确答案：A
4320、测评过程中，对信息系统网络边界内的用户与系统应用之间重要数据传输保护的测评属于（）安全层面的测评内容。
A、网络和通信安全
B、设备和计算安全
C、应用和数据安全
D、密钥管理
正确答案：C
4321、密评人员对SSLVPN进行测评时发现所使用的密码套件为{0xe0，0x11}，以下判断不合理的是（）。
A、该套件使用SM2密钥交换算法进行密钥协商
B、该套件使用SM4-GCM进行数据加密
C、该套件使用HMAC-SM3进行数据完整性保护
D、该套件使用SM2算法进行密钥协商
正确答案：B
4322、密评人员对SSLVPN进行测评时发现所使用的密码套件为{0xe0，0x13}后，以下判断不合理的是（）。
A、该套件使用SM2密钥交换算法进行密钥协商
B、该套件使用SM4-CBC进行数据加密
C、该套件使用HMAC-SM3进行数据完整性保护
D、该套件使用SM3作为PRF派生密钥
正确答案：A
4323、某业务系统用户手机号利用SM3进行杂凑计算后，将得到完整的杂凑值存放在应用服务器的数据库中，那么对于“应用和数据安全”层面的“重要数据存储完整性”指标最多可以给（）分。
A、0
B、0.25
C、0.5
D、1
正确答案：A
4324、在密评中，当证书认证系统作为测评对象时，以下测评实施合理的包括（）。
A、对信息系统内部署证书认证系统，测评人员可以参考GM/T0037《证书认证系统检测规范》和GM/T0038《证书认证密钥管理系统检测规范》的要求进行测评
B、通过查看数字证书扩展项KeyUsage字段，确定证书类型（签名证书或加密证书），并验证数字证书及其相关私钥是否正确使用
C、通过数字证书格式合规性分析，验证生成或使用的证书格式是否符合GM/T0015《基于SM2密码算法的数字证书格式规范》的有关要求
D、检查证书认证系统中所使用的密码机等是否具备商用密码产品认证证书
正确答案：D
4325、在密评中，当IPSecVPN保护的通道作为测评对象时，以下测评实施合理的包括（）。
A、抓取IPSec通信报文进行分析算法使用情况，以及对数字证书开展合规性分析
B、查看IPSecVPN的配置情况
C、检查IPSecVPN等是否具备商用密码产品认证证书
D、对IPSecVPN是否满足GM/T0028《密码模块安全技术要求》进行检测认证
正确答案：C
4326、如果设备登录需要使用智能密码钥匙，那么开展密评时，以下测评实施合理的包括（）。
A、在模拟的主机或抽选的主机上安装监控软件（如BusHound），用于对智能密码钥匙的APDU指令进行抓取和分析，确认调用指令格式和内容符合预期（如口令和密钥是加密传输的）
B、如果智能密码钥匙存储有数字证书，测评人员可以将数字证书导出后，对数字证书合规性进行检测
C、检查智能密码钥匙是否具备商用密码产品认证证书
D、对智能密码钥匙是否满足GM/T0028《密码模块安全技术要求》进行检测认证
正确答案：C
4327、在对信息系统进行密钥管理测评时，以下存在风险的有（）。
A、DH密钥协商前或协商过程中未进行身份鉴别
B、利用口令派生的密钥进行传输通信保护
C、一个密钥同时用于加密和MAC
D、IV和计数器值公开传递
正确答案：C
4328、密评人员对SSLVPN进行测评时发现{0xe0，0x13}后，以下判断合理的是（）。
A、SSLVPN的两端进行了双向身份鉴别
B、SSLVPN的两端利用ECDH协议进行密钥交换
C、SSLVPN的两端采用SM4算法实现数据传输的机密性保护
D、SSLVPN的两端采用HMAC-SM3算法实现数据传输的完整性保护
正确答案：D
4329、密评人员在检查数据库中存储的口令杂凑值时，发现以下情况：（1）A和B有相同的口令杂凑值；（2）口令杂凑值长度均为256比特。
以下分析正确的是（）。
A、可以确定使用了SM3对口令进行杂凑保护
B、可能采用了MD5对口令进行杂凑计算
C、计算口令杂凑值时可能未加入用户唯一的盐值
D、A和B可能共享相同的口令
正确答案：D
4330、对于托管到IDC机房的信息系统，测评其物理和环境安全层面，较为合理的做法有（）。
A、若IDC机房通过密评，则可以复用该机房的密评结论
B、若IDC机房未通过密评，对于条件不允许的情况，可通过IDC机房运维方提供的相关说明文件和有关证据，进而给出测评结论
C、若IDC机房未通过密评，则需要现场测评取证，判定该机房的符合程度
D、无论IDC机房是否通过密评，由于机房的责任主体不属于该信息系统责任方，所以该机房的测评结论应是“不适用”
正确答案：C
4331、在测评某一信息系统时，其设备和计算安全层面可能涉及的测评对象有（）。
A、数据库管理系统
B、虚拟机
C、应用服务器
D、VPN网关
正确答案：D
4332、重要数据存储完整性可以通过以下（）密码技术实现。
A、带盐的SM3
B、HMAC-SHA256
C、CMAC-SM4
D、SM2数字签名
正确答案：D
4333、测评人员在核查“传输机密性”密码功能时，可能需要关注以下内容（）。
A、重要数据或鉴别信息是否为密文
B、密文数据长度是否符合预期
C、相关密码产品中密钥类型
D、相关密码产品中密码算法类型
正确答案：D
4334、测评人员在核查“传输完整性”密码功能时，可能需要关注以下内容（）。
A、数字签名数据长度
B、MAC值长度
C、使用对应公钥能否对签名值通过验签操作
D、相关密码产品中加密算法类型
正确答案：C
4335、测评人员在核查“真实性”密码功能时，可能需要关注以下内容（）。
A、发送的挑战值是否每次均不重复
B、使用对应公钥能否对签名值通过验签操作
C、公钥或对称密钥与实体的绑定方式
D、对数字证书格式正确性进行验证
正确答案：D
4336、对某政务外网信息系统开展测评时，网络和通信安全层面的测评对象可包括（）。
A、互联网用户通过浏览器访问该系统服务网站的HTTP通信信道
B、该系统与政务外网上其他单位的系统之间的通信信道
C、异地办事人员访问该系统建立的VPN通信信道
D、该系统移动端APP访问服务端建立的HTTPS通信信道
正确答案：D
4337、以下关于用户密钥的存储方式，说法正确的是（）。
A、数据加密密钥在经过检测认证的三级密码模块中存储
B、SM2签名私钥经SM4-GCM加密后存储在数据库中
C、SM2签名证书明文存储在应用服务器中
D、SM4密钥经SHA1加密存储在数据库
正确答案：C
4338、在电子不停车收费系统（ETC）中，车辆通过办理和安装ETC卡，实现车辆在高速收费站的流水数据的产生、传输和缴费等功能。
对于该业务场景的安全需求分析，正确的是（）。
A、车辆途经收费站时，收费站和车辆的双向鉴别
B、车辆信息、扣费金额等业务数据的传输完整性
C、收费站将ETC业务数据传输到省联网收费中心时的网络通信实体身份鉴别
D、收费站将ETC业务数据传输到省联网收费中心时的通信数据完整性保护
正确答案：D
4339、某三级信息系统已运行5年，针对“建设运行”部分的“定期开展密码应用安全性评估及攻防对抗演习”指标开展测评时，以下（）可以作为测评证据。
A、上一次的密评报告
B、攻防对抗演习报告
C、对上一次密评过程中存在的问题进行整改的文件
D、等级保护测评报告
正确答案：C
4340、信息系统中使用的用于业务数据保护的密钥，以下做法不正确的是（）。
A、同一个密钥既用于加密保护又用于安全认证
B、公钥明文存储在数据库中，未进行完整性保护
C、在进行签名验签前未对公钥证书有效性进行验证
D、对签名私钥进行归档
正确答案：D
4341、某网上银行交易系统，用户交易信息由用户智能密码钥匙使用SM2算法进行数字签名后传输，实现交易数据原发行为的不可否认性，数字签名算法实现正确。
针对“应用和数据安全”层面的“不可否认性”指标，可能的分值是（）。
A、0
B、0.25
C、0.5
D、1
正确答案：D
4342、在对医疗机构信息系统进行测评时，涉及不可否认性需求的可能有（）。
A、病例完成时间的不可否认性
B、医护人员开具处方的不可否人性
C、患者知情同意文书签署的不可否认性
D、电子病例书写的不可否任性
正确答案：D
4343、某四级信息系统的责任单位可采用以下（）机制以满足“人员管理”方面的要求。
A、设置密钥管理员、密码安全审计员、密码操作员并分别由甲、乙、丙三人担任
B、关键岗位人员由机构内部人员担任，并在任前进行背景调查
C、建立上岗人员培训制度，对涉及密码的操作和管理人员进行专门培训
D、建立人员保密和调离制度，签订保密合同
正确答案：D
4344、云平台中使用的云服务器密码机作为测评对象时，应满足以下管理要求（）。
A、云服务器密码机的宿主机由云平台或云服务器密码机所有者进行管理和使用，虚拟密码机由租户管理和使用
B、宿主机和不同的虚拟密码机不能相互访问对方的管理员账号、口令
C、云服务器密码机的宿主机接受云平台管理系统的集中统一管理，虚拟密码机不接受云平台管理系统的集中统一管理，可由虚拟密码机所属租户自己的管理系统进行集中统一管理
D、云服务器密码机的宿主机和不同虚拟密码机的远程管理通道应彼此独立，并采用加密和身份鉴别等技术手段对远程管理通道进行保护
正确答案：D
4345、在车路协同通信场景中，可以采用以下（）方式开展测评。
A、在被测车辆无线通信范围内，使用无线协议分析类工具抓取智能车辆发送的通信数据，核实其消息中是否附加了数字签名
B、通过文档审查、配置检查等方式验证车辆接收消息时是否验证了数字签名以及签名所用证书的有效性
C、在核实数字证书合法性和有效性时，应注意数字证书管理的各个环节
D、查看和核实信息系统使用的各密码产品的商用密码产品认证证书
正确答案：D
4346、如果发现被测信息系统采用对称密码体制，使用“密钥加密密钥-数据密钥”的二层密钥体系进行数据的传输加密，以下测评实施合理的包括（）。
A、检查密钥加密密钥分发时是否抗截取、篡改、假冒等攻击
B、检查密钥加密密钥分发时密钥的机密性、完整性等
C、检查数据密钥分发时是否抗截取、篡改、假冒等攻击
D、检查数据密钥分发时密钥的机密性、完整性等
正确答案：D
4347、某四级信息系统中，采用SSLVPN保护通信信道，使用Wireshark工具得知所使用的套件为ECC_SM4_SM3，但没有抓取到CertificateRequest报文，以下分析正确的是（）。
A、该通道可以满足双向鉴别的“身份鉴别”指标要求
B、该通道无法满足双向鉴别的“身份鉴别”指标要求
C、在ServerCertificate报文可以抓取到SM2证书
D、抓包时无法获得客户端证书
正确答案：D
4348、关于数字证书的使用，以下存在风险的有（）。
A、证书中未标明持有者的身份
B、证书在使用前未验证真实性和有效性
C、未及时更新CRL或未使用OCSP查询证书状态
D、CA签发的用户证书在未保护的通道中进行分发
正确答案：C
4349、某信息系统采用专线来进行网络传输，但未采用密码技术进行保护。
以该专线作为测评对象时，以下说法正确的是（）。
A、量化评估时，该测评对象的分值为0.5
B、量化评估时，该测评对象的分值为0
C、该测评对象的测评结果可能会导致信息系统整体测评结果为“不符合”
D、该测评对象的测评结果将一定不会导致信息系统整体测评结果为“不符合”
正确答案：C
4350、某信息系统客户端APP与服务端之间通过SSLVPN建立的安全传输通道，对网络和通信安全进行保护，通过抓取和分析通信数据包，使用的密码套件为TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384，以下分析正确的是（）。
A、该协议使用RSA密码算法的数字信封功能进行密钥协商
B、该协议使用AES-256的GCM工作模式保护传输数据的机密性
C、无法确定所使用RSA算法的密钥长度，还需要抓取传输中涉及的证书进行判断
D、该协议使用AES-256的GCM工作模式保护传输数据的完整性
正确答案：D