企业官网建设流程全解析

简介：面向准备商用密码应用与安全性评估考试及密码基础刷题的考生，这份题库型文档围绕密评常见考点组织单选、多选与知识点讲解，覆盖分组密码工作模式（ECB、CBC、CFB、CTR）、KDC与Kerberos密钥分发、PGP四类密钥、PKI组件与证书查询/吊销、SSL/TLS握手、SM4轮函数、IPSec的AH与ESP、对称与非对称密钥管理、RSA素数生成、数字证书字段、密码法相关条款、侧信道攻击及密码模块安全等级等内容。压缩包内共1个docx文件，约26KB，轻量便携，适合打印或导入平板反复刷题；题目附正确答案与部分知识点说明，可用于定位薄弱环节、对照教材复盘概念。已有3239人学习，说明题库在备考群体中具有一定参考度。读者可按章节顺序练习，也可针对密钥管理、PKI、协议安全等高频模块专项突破，结合解析理解错题原因，提升应试熟练度。

1. 密评知识地图：三条主线把零散题目串成体系

商用密码应用与安全性评估的题目表面上很零散，实际只有三条主线：密码算法与工作模式、密钥与证书体系、安全协议与合规判定。做网络安全方向的人第一次刷这套密码基础题，很容易被三十多道单选打乱节奏——前一道还在问 SM4 的轮函数改了几分之几的明文，下一道跳到 LDAP 负责什么，再下一道又回到核心密码、普通密码与商用密码的边界。真正省时间的做法是先记住这张知识地图：算法层回答「用什么算」，密钥层回答「钥匙从哪来、怎么换」，协议与合规层回答「密码被放在哪一层、有没有真正生效」。三者串起来后，无论题目怎么变化，考查点都落在这三块。这套题适合已经懂一点对称与非对称概念、准备系统过一遍密评考点的人，也适合刷完一遍但错题本还是乱的人。

2. 分组密码工作模式：ECB、CBC、CFB、CTR 的链路与并行性

2.1 五种模式的加密链路：IV、反馈与密钥流

分组密码本身只会做一件事：把固定长度的明文块映射成同样长度的密文块。工作模式负责把这件事拼成能处理任意长度消息的流水线，理解模式的关键，是看它每一块依赖谁。

ECB 最简单，每块独立加密，相同明文块必然得到相同密文块，图片加密后轮廓还在，这是它最出名的失败场景。CBC 把上一块密文异或进当前明文，第一块用初始向量 IV 充当“上一块”，链式依赖让它隐藏了明文统计特征，代价是把加密过程绑成串行。CFB 反过来，把密文反馈回去产生密钥流，分组密码被当成流密码用，因此能处理任意位长度。OFB 的密钥流只由 IV 反复加密产生，与明文完全无关，错一位只错一位。CTR 用计数器拼 nonce 生成密钥流，块与块之间互不依赖，是最“像流密码”的分组模式。

这张表值得默写一遍。五个模式里，IV 的作用是让相同明文在相同密钥下产生不同密文；CTR 的 nonce 一旦重复，两段密钥流就相同，两段密文异或即明文异或，机密性直接归零，这属于密码实现中最基本的安全要求，也常以“配置检查”的形式出现在评估题里。

2.2 填充与消息长度：为什么“不是整数倍”总是容易出错

题库第一题问“哪种模式下的消息长度可以不是分组长度的整数倍”，给出的答案是 CTR。初学者容易在 CFB 和 CTR 之间反复纠结，因为从原理上说，CFB、OFB、CTR 这三种流式模式都能处理非整数倍长度，都不需要填充。

差别在于“为什么不需要”。CFB 和 OFB 靠反馈或迭代产生密钥流，最后一段不足一块时，只取所需长度的密钥流异或即可；CTR 更彻底，密钥流由 nonce 和计数器独立算出，第几块用哪个计数器是确定的，因此天然与明文长度解耦，还能预计算、能随机跳块解密。题库把 CTR 作为标准答案，考的是这个“计数器独立生成”的典型特征。

对称加密的填充一般用 PKCS#7：缺 n 字节就补 n 个值为 n 的字节，解密后按最后一个字节的值裁掉。CBC 若不做填充，可以用密文窃取（CTS）把最后两块拼起来，但那是工程上的变形处理，不属于基础考点。实际做题时有个细节要注意：判断“需不需要填充”看的是模式要不要把消息补齐到块的整数倍，而不是看模式先不先进——ECB、CBC 必须补，CFB、OFB、CTR 不必补。

下面这段代码把 CTR 的“不需要填充”演示清楚，也顺便说明 nonce 为什么不能重用：

import hashlib def ctr_crypt(key: bytes, nonce: bytes, data: bytes) -> bytes: """CTR 模式最小实现：密钥流与明文长度无关，逐块异或。 key : 对称密钥，实际算法中由它派生轮密钥 nonce : 一次性随机数，同一 key 下绝对不能重复使用 data : 任意长度，不需要补齐到 16 字节 """ block = 16 out = bytearray() for i in range(0, len(data), block): counter = (i // block).to_bytes(8, "big") # 块号当作计数器 keystream = hashlib.sha256(key + nonce + counter).digest()[:block] chunk = data[i:i + block] # 最后一块允许不足 16 字节 out.extend(b ^ k for b, k in zip(chunk, keystream)) return bytes(out) ct = ctr_crypt(b"k" * 16, b"n" * 8, b"length is 13!") # 明文 13 字节 print(len(ct)) # 输出 13，密文长度恒等于明文长度

关键点有三个：密文长度始终等于明文长度，这就是“不需要填充”的直接证据；计数器由块号推导，第 N 块可以单独解密，因此支持随机访问；nonce 若重复，两次的密钥流完全一样，攻击者拿两段密文异或就能约掉密钥流。参数上唯一需要小心的是计数器位宽，块数超过 2 的 64 次方才会回绕，实际系统里更常见的错误是固定 nonce，而不是计数溢出。

2.3 并行性：加密串行不等于解密串行

判断题里“CBC 分组密码工作模式的加解密都不能并行化”被判为错误，这是最高频的失分点之一。原因很直接：CBC 加密时 C_i 依赖 C_{i-1}，必须一块一块来；但解密时 P_i = D(C_i) ⊕ C_{i-1}，第 i 块只需要 C_i 和 C_{i-1} 两块密文，所有块的分组解密运算可以同时铺开。所以 CBC 的加密串行、解密可并行，两者不对称。

CFB 是同样的形态：加密方向因为要把密文反馈回去，近似串行，工程上可以做流水线但无法真正并行；解密方向只需要前一块密文，能并行。OFB 的密钥流靠 IV 一轮轮迭代，加解密两个方向都受密钥流生成的串行限制。CTR 是唯一“两头都能并行”的常用模式，这也是它在高吞吐场景被偏爱的原因。

记这一组不要背“CBC 串行”，要背“谁的输出是下一个的输入”。加密链路里 CBC 的密文是下一个的输入，所以串行；解密链路里密文早就齐了，所以并行。同一句话套到 CFB 上一样成立，套到 OFB 上则要看密钥流的生成链。

2.4 DES 子密钥与 SM4 轮函数：两种结构的对照

DES 的子密钥生成是四步：先把 64 位密钥按 PC-1 压缩置换剔掉第 8、16、24、32、40、48、56、64 位的奇偶校验位，得到 56 位；再分成左右各 28 位；按轮次分别循环左移 1 位或 2 位；左右合并后经 PC-2 压缩置换选出 48 位子密钥。多选里最常设的陷阱是“合并之后再循环左移”，移位只发生在左右两半各自身上，合并之后只剩压缩置换。

SM4 的分组和密钥都是 128 位，共 32 轮。轮函数可以写成 X4 = X0 ⊕ T(X1 ⊕ X2 ⊕ X3 ⊕ rk)，每一轮只更新四个 32 位字中的一个，剩下三个直接挪到下一轮，因此属于非平衡 Feistel 结构，每轮改变的是 1/4 的明文。密钥扩展同样是 32 轮，用系统参数 FK 和固定参数 CK 参与，和加密轮函数共用 T 变换，只是线性变换部分不同。

提示：SM4 这道题在不少题库里答案写的是四分之一、解析却写成了四分之三，两者互相矛盾。判断标准只有一个——四个 32 位字里一轮换一个字，就是四分之一。

3. 密钥管理与 PKI：KDC、证书链和四种密钥的关系网

3.1 KDC 的两层密钥：谁用会话密钥，谁用永久密钥

KDC 分发密钥那道题，问的是主机与 KDC 通信时用什么密钥，答案是与 KDC 共享的永久密钥。要理解这个答案，得先看清 KDC 场景里有两层密钥在同时工作。

第一层是每台主机和 KDC 之间长期共享的主密钥，也叫基本密钥，出厂或注册时就确定了，用来保护主机与 KDC 之间的通信。第二层是会话密钥，由 KDC 临时生成，一次会话一份，用完即弃。主机 A 要跟主机 B 通信，流程是：A 用自己和 KDC 共享的永久密钥加密请求，KDC 生成会话密钥，用与 A 共享的永久密钥包一份、用与 B 共享的永久密钥包一份，分别下发；A、B 各自解开拿到会话密钥，之后用会话密钥加密业务数据。

所以正确答案是“二者共享的永久密钥”，会话密钥是两台业务主机之间用的，不是主机与 KDC 之间用的。常见误记是把会话密钥当成任何两方之间的通行证，一旦混淆，后面密钥分类题也会跟着错。

3.2 密钥的四个层次：基本密钥、KEK、会话密钥、主密钥

密钥分类题问“用于对传送的会话或文件密钥进行加密时所采用的密钥”，答案是密钥加密密钥（KEK）。这个考点考的是层次，不是名称。

记法上可以这样串：主密钥保护 KEK，KEK 保护会话密钥，会话密钥保护数据。题目里出现“对密钥进行加密的密钥”，几乎都是 KEK；“对数据进行加密的密钥”，是会话密钥；“长期共享、用来跟中心节点通信的”，是基本密钥或主密钥。层次清楚了，密钥管理类单选基本不会错。

3.3 抗重放与分发技术：时间戳、计数器、密钥调整

关于对称密钥分发时抵抗重放攻击的方式，错误选项是“使用密钥分发中心”。这点容易让人犹豫，因为 KDC 看起来就是在做安全分发。

抗重放的本质是让每条消息具备“新鲜性”，常用三种手段：时间戳，接收方只接受时间窗内的消息；序列号或密钥计数器，每发一条递增，接收方记录已见最大值；随机数挑战—应答，接收方先发一个一次性随机数，发送方必须带回。密钥调整（key adjustment）是在不更换长期密钥的前提下，用偏移量派生出一次性密钥，也归在抵抗重放和限制密钥用量的范畴里。KDC 解决的是“密钥怎么安全地送到双方手里”，它本身不提供新鲜性判断，所以不属于抗重放手段。

3.4 PKI 组件职责：CA、RA、LDAP、OCSP、CRL 各管一段

PKI 的题几乎全在考“谁干什么”，把这几个组件的边界划清楚，一大半选择题直接秒。

两道高频题的答案就在这里：供用户查询、下载新签发证书与撤销链的是 LDAP；负责申请者信息检查和管理工作的是 RA。另外有一道问“哪个不是 PKI 的组成元素”，答案是 IKE——IKE 属于 IPSec 的密钥协商框架，跟 PKI 不是一回事。PKI 的管理对象是证书、密钥、证书撤销列表，不包括用户的 ID 和口令，口令属于身份认证范畴，不归证书体系管。

3.5 证书里能查到什么，查不到什么

数字证书的标准字段包括版本、序列号、签名算法标识、签发者名称、有效期、主体名称、主体公钥信息、扩展项和 CA 的签名值。题目问“从一张数字证书无法得到什么信息”，答案是证书签发机构的公钥信息。

原因不难理解：证书里装的是“主体的公钥”和“CA 用自己的私钥对这张证书的签名”，验证签名需要 CA 的公钥，而这个公钥必须从别处获得——通常来自上级证书，最终追到自签名的根证书里。也就是说，验证一条链是从上往下传公钥的，任何一张终端实体证书都不会把自己的签发者公钥塞进去，否则就成了循环依赖。

另一个常考点是签名密钥与加密密钥必须分隔使用。签名密钥泄露影响的是不可否认性，加密密钥泄露影响的是机密性，两者用途、生命周期、备份策略都不同，混用会放大风险。这条在 PKI 相关判断题里出现频率很高，且答案为“正确”。

3.6 非对称算法的分支与模逆元

非对称这一族要分清归属：RSA 基于大整数分解，SM2 基于椭圆曲线，SM9 是基于标识的密码，SM3 是杂凑算法而不是非对称算法——多选里把 SM3 混进非对称选项是固定陷阱。RSA 的两个素数必须随机生成，不能从素数表里挑，也不能复用旧素数，否则模数可被分解，整套体系失效。

模运算的题只有一道但很容易丢分：16 模 100 的逆元是否存在。判断标准是 gcd(16, 100) 是否为 1，两者最大公约数是 4，逆元不存在，答案选“不存在”。这类题不要靠感觉，直接算 gcd。

def mod_inverse(a: int, m: int): """扩展欧几里得求 a 在模 m 下的逆元，不存在时返回 None""" old_r, r = a, m old_s, s = 1, 0 while r: q = old_r // r old_r, r = r, old_r - q * r old_s, s = s, old_s - q * s if old_r != 1: # gcd(a, m) != 1，逆元不存在 return None return old_s % m print(mod_inverse(16, 100)) # None：gcd 为 4 print(mod_inverse(3, 100)) # 67：3*67 = 201 ≡ 1 (mod 100)

函数返回 None 就代表逆元不存在，这一步比背结论可靠。考试时只要能快速算出 gcd 不为 1，就可以直接选“不存在”，不用把扩展欧几里得跑完。

4. 安全协议与密码模块：SSL/TLS 握手、IPSec 封装与四级模块

4.1 SSL/TLS：握手从哪开始，会话密钥由谁造

SSL 协议是由握手的消息交换开始的，客户端先发 ClientHello，协商版本、密码套件、随机数，然后才是密钥交换、身份认证、建立会话。选项里“交换密钥”“登录网络”都是把中间步骤或应用层动作当成了起点。

连接机制那道题问得比较刁：客户端创建一个会话密钥并用一个公钥来加密这个会话密钥。这里的关键是“谁造会话密钥”和“用谁的钥匙锁”。真实流程是客户端生成预主密钥，用服务器证书里的公钥加密后发过去，双方再基于预主密钥和两个随机数推导出同一份会话密钥。用私钥加密的说法是错的，私钥只用来签名，不用于加密密钥材料。

SSL 与 TLS 的关系也要理清：TLS 是 SSL 的升级版，不是两个互不相关的协议，两者都为网络通信过程提供机密性和完整性保障。判断题里“TLS 和 SSL 没有关系”“SSL 是 TLS 的升级版”都是错的。

4.2 IPSec：AH 与 ESP 的保护范围，传输与隧道模式的差别

IPSec 工作在网络层，这一点先定住，后面所有模式判断都基于它。

两道题的要点在这：AH 不提供机密性，只提供完整性、数据源认证和抗重放，而且它的认证范围覆盖 IP 头中的不变字段，不只是 AH 头之后的内容，所以“对 AH 头后的所有内容提供认证保护”这个说法是错的。IPSec 里 AH 和 ESP 都会使用 SA 中协商好的安全策略和密钥来保护通信，这是正确表述。传输模式用于主机到主机，隧道模式用于站点到站点，把这两句对调就是典型错项。

4.3 密码模块四个安全等级与“三级增强项”

密码模块安全要求分四级，逐级叠加：

三级这道多选题问的是“在二级基础上增强了什么”，答案覆盖物理安全、身份鉴别、环境保护、非入侵式攻击缓解四项，四个都要选，漏一个就错。理解方式是：二级解决“谁能操作模块”，三级解决“模块被拆、被辐射、被断电会怎样”，所以物理、环境、旁路三类防护一起上。

顺带把两个框架类多选也收进来。密码技术框架体系分密码资源、密码支撑、密码服务、密码应用四层，从底到顶依次是资源、支撑、服务、应用。密码管理基础设施则包含运维管理、信任管理、设备管理、密钥管理，四项全选。这些题的干扰项往往是把“服务”和“应用”对调，或者塞进一个“安全管理”的假项。

4.4 密评四级指标与一票否决的判定口径

密评的技术层面按四个维度展开：物理和环境安全、网络和通信安全、设备和计算安全、应用和数据安全。判定逻辑不是“有没有买密码设备”，而是“该用密码的地方有没有用、用了是否合规、密钥是否管住”。

一票否决的典型情形是：通信实体身份鉴别未采用基于对称算法的消息鉴别码机制，也未采用基于公钥算法的数字签名机制，且没有缓解措施；重要数据在传输和存储过程中未采用密码技术做机密性或完整性保护，且没有缓解措施。判断题里有两道专门考边界：一道说“数据传输过程中使用了密码技术加密，此时也需判定为高风险”，判错，因为链路里确实做了加密就不能简单套一票否决；另一道说“未采用密码技术做身份鉴别，但用生物识别保证了人员身份真实性，可酌情降低风险等级”，判对。这两道放一起看，能看出判定口径是“密码技术是否实际生效 + 有无等效缓解”，不是机械对照清单。

还有两个概念要钉住：密码边界是密码模块中特有的概念，用来划分受保护的密码运算范围；密码产品如果不满足安全策略或使用手册说明的部署条件，通常判定为存在高危漏洞。侧信道这一类则单独成题：通过功耗、电磁辐射等信息推断密钥的是侧信道攻击，简单功耗分析用一条或几条功耗曲线，要求噪声较低，需要知道实现细节，利用的是功耗与运算之间的相关性——四个选项全对，属于送分题里的“全选题”。攻击分类那边要记住唯密文攻击的常见形态是字典攻击和字母频率统计，而重放攻击不属于密码分析学范畴的攻击方式分类。

5. 易错点：五个高频错误点背后的共同原因

5.1 易错点一：把“加密串行”记成“整条链路串行”

这是最典型的一处：CBC 加解密都不能并行，被判为错误。漏的原因是把“CBC 是链式模式”这句话过度压缩成了“CBC 串行”，没有区分加密方向和解密方向。

补的办法只有一个：每条链路单独画一遍。加密时 C_i = E(P_i ⊕ C_{i-1})，当前块的输入依赖上一块的输出，串行；解密时 P_i = D(C_i) ⊕ C_{i-1}，所有 C 早已在手，分组解密可同时开工，并行。同一条逻辑套到 CFB 上，加密因为要反馈密文而近似串行，解密只需要前一块密文而能并行。OFB 特殊在密钥流本身是迭代出来的，两个方向都受限。CTR 两头都能并行。复习时不要背模式名加一个形容词，要背“谁的输出是下一个的输入”。

5.2 易错点二：默认证书里带着签发机构的公钥

题目问“从数字证书无法得到什么”，正确答案是签发机构公钥。漏的原因是把自己电脑里的证书链当成了单张证书——浏览器能验证，是因为它手里有根证书，而不是因为终端证书里塞了 CA 公钥。

补的办法是顺着验证方向走一遍：终端证书里有主体公钥和 CA 签名；要验签就得有 CA 公钥；CA 公钥来自中间证书的主体公钥字段；中间证书的 CA 公钥又来自根证书；根证书自签名，公钥就在自己的主体公钥字段里。这样走一遍，“任何一张证书都不含自己签发者的公钥”就变成了结构上的必然，而不是需要背的结论。同理，证书里也没有私钥、没有对口令，这两条也常被做成干扰项。

5.3 易错点三：用 Feistel 的直觉去套 SM4 的轮函数

SM4 每轮改变多少明文，答案是一半还是四分之一，很多人凭 DES 的印象选了一半。漏的原因是只记住了“Feistel 结构”这个标签，没有去看分组被切成了几份。

补的办法是记数字：SM4 分组 128 位，切成 4 个 32 位字，每轮只更新其中一个字，其余三个原样挪位，所以是四分之一，结构写作非平衡 Feistel 或广义 Feistel。DES 分组 64 位切成两半，每轮改 32 位，是一半，叫平衡 Feistel。再加一条：题库里出现过答案写四分之一、解析写四分之三的自相矛盾情况，遇到这种题以“四个字换一个”这个事实为准。复习时把 DES、SM4、AES 三者的分组长度、密钥长度、轮数、结构、每轮改动量做成一张表，比反复读文字可靠。

5.4 易错点四：把会话密钥当成任何两方之间的通行证

KDC 那道题问主机与 KDC 通信用什么密钥，有人选会话密钥。漏的原因是记住了“会话密钥是通信用的”，却没有分清是哪两方在通信。

补的办法是把密钥分成两层画出来：主机与 KDC 之间用长期共享的永久密钥（基本密钥、主密钥），主机与主机之间用 KDC 临时下发的会话密钥。KDC 下发时会用两台主机各自的永久密钥分别包一份，所以整个流程里永久密钥保护的是“密钥的分发”，会话密钥保护的是“数据的传输”。再往上叠一层就是 KEK：对会话密钥或文件密钥进行加密的那个密钥叫密钥加密密钥。三层记住，KDC、密钥分类、PGP 四类密钥这几道题就能一起解决——PGP 的四种密钥是一次性会话常规密钥、公开密钥、私有密钥、基于口令的常规密钥，本质也是按“保护什么”分层。

5.5 易错点五：密评判定只看有没有密码设备，不看链路有没有真正调用

一票否决相关判断题失分，多半是因为把评估当成了设备清点。漏的原因是习惯用“有没有装加密机”代替“数据在传输时到底有没有被加密”。

补的办法是把判定拆成两个维度：密码技术是否实际生效，以及是否存在等效缓解措施。数据传输过程中确实用了密码技术加密，就不能简单判高风险；未采用密码技术做身份鉴别但用生物识别保证了人员真实性，可以酌情降级。反过来，身份鉴别完全没上密码技术又没有缓解，就是典型的一票否决。另外注意题库的格式问题：有些题“结果”列标着错误、“正确答案”列却写着正确，这种情况以“正确答案”列为准，别被结果列带偏。刷题时把这类自相矛盾的题单独标出来，考前一天只看标记题，比重新刷一遍效率高得多。

6. 复习清单：三轮过题法和一张错题归因表

这套题量不大，但覆盖面横跨算法、密钥、协议、合规四块，一次性刷完再回头看，遗忘率很高。我的做法是三轮，每轮目标不同。

具体到内容，第一轮重点啃三张表：工作模式对比表、密钥层次表、PKI 组件职责表。这三张表覆盖了单选和多选的大半。第二轮把错题按原因分类，不要按题号分类——同一类错误往往连着错三道，比如并行性错一次，CBC 和 CFB 会连着错。第三轮只做一件事：把 SM4 每轮改动量、证书里没有 CA 公钥、KDC 用永久密钥、一票否决的判定口径这四条，用自己的话复述一遍，说不出来就回去看对应小节。

错题归因可以按下面这张表记，一行一类：

注意：题库里存在“结果”列与“正确答案”列不一致的题，还有答案与解析互相矛盾的题。复习时以正确答案列为准，把矛盾题单独标记，别在考场上凭印象选。

我最初刷这套题的时候，第一遍正确率并不好看，错得最集中的就是并行性和 SM4 那两道，当时觉得是粗心，后来发现是把两个不同层次的东西压成了一句话。从那以后我每次做密码类题目，都强制走一遍“先画链路、再填参数、最后看边界”这三步，宁可慢三十秒，也不靠印象选。希望帮到你。

这份题我按考点重新归过类，单选、多选、判断三类都在，配着上面几张表对着过一遍，比从头到尾硬刷省时间。需要的话可以拿去直接打印，错题旁边留白正好写归因。

本文还有配套的精品资源，点击获取