信息安全与网络专题 Security & Network · 加密签名证书 · 设备层次端口
软考 · 软件设计师 ｜
上午约 8～10 分（安全 5 + 网络里除掉子网划分的那几题）
子网怎么算不在这页，已经看过：
子网划分专题.html。本页全是
对照表 + 原题，能背就能拿。
⏱ 考前 10 分钟速览（点开就能背）
① 加密两把锁：对称 DES/AES/IDEA 一把钥匙又加又解，快，钥匙难送；非对称 RSA/ECC 公钥加、私钥解，慢，钥匙好送。RSA 不是对称。
② 摘要 ≠ 加密：MD5/SHA 单向、定长、雪崩。目的=防篡改（完整性），不是保密、不是认证、不是防抵赖。
③ 签名 vs 加密：保密 = 用对方公钥加密原文；签名 = 用自己私钥加密摘要（不是整份文件）。
④ 信封：对称钥加密大文件 + 对方公钥加密这把对称钥。证书 = CA 私钥给「你的公钥+身份」盖章。
⑤ HTTPS = HTTP + SSL/TLS，端口 443。 HTTP 是 80。网页加密传选用 HTTPS，不是 HTML、不是 SMTP。
⑥ 拖库→洗库→撞库。「弄走整个用户库」= 拖库。社工库是别人泄出来的查询库，是物不是这一刀。
⑦ 设备：集线器=物理层；交换机=数据链路层、管 MAC、转发帧；路由器=网络层、管 IP。
⑧ 端口：FTP 21 / SSH 22 / Telnet 23 / SMTP 25 / DNS 53 / HTTP 80 / POP3 110 / HTTPS 443。
⑨ TCP 序号单位 = 字节。 ARP、ICMP 都在网络层。名字带 IP 的协议基本都在网络层。
⑩ 命令：看本机 IP/掩码 = ipconfig；看连接/端口 = netstat；通不通 = ping；远程登录 = telnet。
⚡ 今早先看 · 这页要钉死的对照 HTML 里以前没有 = 你还没看过
| 看见题干 | 闭眼选 |
|---|
| RSA / 公钥 / 私钥两把 | 非对称（慢、好分发） |
| DES / 3DES / AES / IDEA / RC4 | 对称（快、分发难） |
| SHA / MD5 / 报文摘要 | Hash，防篡改；不是加密 |
| 既要防篡改又不能抵赖 | 用发送方私钥签摘要 |
| 网页加密传输 / WWW 安全协议 | HTTPS（443） |
| 黑客拿走整个用户资料 | 拖库 |
| 数据链路层设备 / 交换机管什么 | 以太网交换机 · MAC · 帧 |
| 路由器管什么 | IP · 网络层 · 报文/分组 |
| TCP 序号单位 | 字节 |
| HTTP 和 HTTPS 端口 | 80 和 443（加 S 端口升） |
🎯 子网掩码、块大小、可用主机数 = 另一页，别在这页耗时间。
① 安全到底要防啥 CIA + 两种钥匙用法
把网络通信想成寄信。坏人能干的坏事就几类，每类对应一种「安全服务」：
| 要保证 | 人话 | 卷面词 | 靠什么手段 |
|---|
| 机密性 | 信的内容别被偷看 | 防窃听、保密 | 加密（对称或非对称） |
| 完整性 | 信中途别被改几个字 | 防篡改 | 报文摘要 / Hash |
| 可用性 | 邮局还能开门，服务没被打瘫 | 防拒绝服务 DoS | 备份、抗 DDoS（上午少算） |
| 认证 / 鉴别 | 这封信真是甲写的 | 防假冒 | 数字签名、证书、口令 |
| 不可否认 | 甲事后不能说「我没写过」 | 防抵赖 | 数字签名（私钥只有甲有） |
🎯 摘要只负责「改没改」；签名 = 摘要 + 私钥，才同时有「没改过」和「就是他写的」。别把四个目的搅成一个选项。
钥匙怎么用，就记两句（后面签名、信封都从这里长出来）：
| 目的 | 用哪把钥匙 | 谁能解开 |
|---|
| 保密（别人看不懂） | 用接收方的公钥加密 | 只有接收方的私钥能解 |
| 签名（证明是我写的） | 用发送方的私钥加密摘要 | 任何人用发送方公钥都能验 |
⚠️ 公钥可以满世界发；私钥打死不离手。题目里出现「用乙的私钥加密」——乙的私钥乙自己才有，甲拿不到，这种选项直接叉掉。
② 对称加密 vs 非对称加密 名字绝不能串
宿舍门锁：一把钥匙开门关门，这叫对称——加密、解密用同一把密钥。问题是：这把钥匙怎么安全地交给对方？当面给还行，隔着互联网给，等于把钥匙和信一起扔路上。
邮箱那套：一把公开的挂锁（公钥）谁都能用来锁箱子，只有你口袋里那把私钥能打开。这叫非对称。钥匙好分发（挂锁可以钉在大门上），但锁起来慢，不适合锁一整集装箱的货。
| 对称（私人密钥加密） | 非对称（公开密钥加密） |
|---|
| 钥匙 | 1 把，加密 = 解密 | 2 把：公钥 / 私钥，成对出现 |
| 速度 | 快，适合大文件 | 慢，只适合锁少量数据（密钥、摘要） |
| 痛点 | 密钥分发难 | 分发容易，计算贵 |
| 代表算法 | DES、3DES、AES、IDEA、RC4、RC5 | RSA、ECC、DSA、DH |
🎯 铁律：RSA 是非对称；AES / DES / IDEA 是对称。 出题人最爱写成「对称加密（如 RSA）很快」——名字对调，整句作废。
DES 再抠两句（偶尔出数字）：密钥有效 56 位，每次处理 64 位数据块，走 16 轮。3DES 用两把/三把 DES 钥套三次，相当于把钥长加倍。AES 钥长 128 / 192 / 256 位。RSA 的安全性建立在大整数分解困难上，教材例子知道「慢、适合少量数据」即可，不用现场分解素数。
练一练 · 对称 vs 非对称（名字对调是送分陷阱）
对称 / 非对称 错题 N5 同类
下列叙述中正确的是（ ）。
A. 对称加密（如 RSA）速度快，适合加密大量数据
B. 非对称加密（如 DES、AES）密钥分发困难
C. 对称加密（如 DES、AES）速度快但密钥分发难；非对称加密（如 RSA）速度慢但便于密钥分发
D. 数字签名通常使用对称加密实现
答案 C。
小白版：A 把 RSA 塞进对称——RSA 是非对称。B 把 DES/AES 塞进非对称。D 签名必须用「私钥签、公钥验」，是非对称。只剩 C 两句都对。
口诀：对称快、发钥匙难；非对称慢、发钥匙易。
③ 报文摘要 / Hash 不是加密，是指纹
给文件按一个固定长度的「指纹」。原文改一个标点，指纹彻底变样（雪崩）。指纹算得出、反推不回原文（单向）。再长的文件也按成一样长的指纹（定长）。
| 算法 | 指纹多长 | 卷面身份 |
|---|
| MD5 | 128 位 | Hash / 摘要 |
| SHA / SHA-1 / SHA-256 | 160 / 256 位 | 属于 Hash。DES/IDEA/RSA 都不是 Hash |
摘要解决不了保密——指纹可以公开，坏人照样能看原文。它只回答：中途有没有被改。两个不同文件算出同一个指纹叫「碰撞」，概率极低，所以才能拿来查篡改。
⚠️ 「不同内容生成的摘要一定相同」是错的。正相反：内容一变，摘要就该变。
练一练 · 2024上 · Q7、Q8（空白卷 OCR）
Q7 报文摘要的目的
利用报文摘要算法生成报文摘要的目的是（7）。
A. 防止发送的报文被篡改
B. 对传输数据进行加密，防止数据被窃听
C. 验证通信对方的身份，防止假冒
D. 防止发送方否认发送过的数据
答案 A。
B 是加密（机密性）；C 是认证；D 是不可否认（要靠签名）。摘要只对「改没改」负责 → A。
Q8 哪个是 Hash
下列算法属于 Hash 算法的是（8）。
A. SHA
B. DES
C. IDEA
D. RSA
答案 A。
DES、IDEA = 对称加密；RSA = 非对称加密。只有 SHA 是摘要。
练一练 · 信息摘要「错误的是」
摘要特性 错题 N6
关于信息摘要，下列说法中错误的是（ ）。
A. 摘要算法是单向的，难以从摘要还原原文
B. 不同内容生成的摘要一定相同
C. 原文改动一个字节，摘要会显著变化
D. 常用算法包括 MD5、SHA
答案 B。
「一定相同」说反了。正是因为内容变→摘要变，才能查篡改。相同摘要叫碰撞，不是常态。
④ 数字签名 私钥签摘要，不是签整份文件
甲要给乙发一份合同，乙要两件事同时成立：① 合同中途没被改；② 这就是甲签的，甲事后不能赖。
做法拆成两步（非对称太慢，不能拿私钥去加密整份合同）：
| 谁 | 干什么 |
|---|
| 甲 | ① 对文件做摘要 → 得到指纹
② 用甲的私钥加密这份指纹 → 得到「签名」
③ 把「原文 + 签名」一起发给乙 |
| 乙 | ① 用甲的公钥解开签名，得到「甲声称的指纹」
② 自己对收到的原文再做一次摘要
③ 两个指纹一致 → 没被改，且只有甲的私钥能做出这个签名 |
🎯 数字签名 = 发送方私钥 × 信息摘要。防篡改靠摘要比对；不可抵赖靠「私钥只有甲有」。
⚠️ 两个假选项年年出现：
· 「用甲的私钥加密整个文件」——慢，也不是标准签名；
· 「用乙的私钥签」——甲根本没有乙的私钥。
练一练 · 数字签名（错题 N4）
数字签名 既要完整性又要不可否认
甲给乙发文件，要同时保证①不被篡改、②甲无法抵赖。甲应该（ ）。
A. 用甲的私钥对文件加密
B. 用乙的公钥对文件加密
C. 用甲的私钥对文件的信息摘要加密
D. 用乙的私钥对文件的信息摘要加密
答案 C。
A 把「摘要」换成了整份文件。B 是保密（数字信封里锁文件那一步），乙能解开但无法证明是甲写的——谁都可以用乙的公钥加密。D 甲拿不到乙的私钥。只有 C 是签名定义。
⑤ 数字信封 · 证书 / CA · HTTPS
5.1 数字信封（两种加密混着用）
大文件用对称加密才快；对称钥匙又怕路上被偷。所以：
| 步骤 | 干什么 | 为什么 |
|---|
| 1 | 现场随机生成一把对称密钥，用它加密大文件 | 快 |
| 2 | 用接收方公钥加密这把对称密钥 | 只有接收方能解开这把小钥匙 |
| 3 | 密文文件 + 被锁住的对称钥，一起寄出 | 像把钥匙塞进信封 |
🎯 信封解决「对称钥怎么安全送达」。签名解决「是谁写的」。两套可以同时用：先签名再装信封。
5.2 数字证书与 CA
网上看到一把「声称是甲的公钥」，怎么知道不是骗子挂的？找一个大家都信的公证处 CA（认证中心）：
| 证书里有什么 | 谁盖的章 | 证书里没有什么 |
|---|
| 用户公钥 + 姓名/邮箱等身份 | CA 用自己的私钥签发 | 用户的私钥（私钥从不进证书） |
别人拿到证书，用 CA 的公钥验这个章。验过了，才敢用证书里那把用户公钥去加密或验签名。
PKI = 公钥基础设施：CA + 证书库 + 作废名单 CRL + 密钥备份恢复 + 应用接口。记住一句：签名私钥不能备份（必须独一无二），加密用的解密密钥可以备份，否则钥丢了密文永远解不开。
练一练 · 数字证书（错题 N7）
数字证书
关于数字证书，下列说法正确的是（ ）。
A. 证书由用户自己签发，内含用户私钥
B. 由 CA 用自己的私钥签发，其中包含用户的公钥
C. 由 CA 用用户私钥签发，其中包含 CA 的公钥
D. 证书的作用是对传输数据加密
答案 B。
链：CA 私钥签证书 → 证书装用户公钥 → 大家用 CA 公钥验。A 私钥不进证书；C 签章的人搞反了；D 证书证明身份，真正加密还是用里面那把公钥或另商对称钥。
5.3 HTTPS = 加密的网页传输
浏览器上小锁：HTTPS = HTTP + SSL/TLS。先用证书确认「我连的真是这家网站」，再协商一把对称钥，后面网页内容用对称加密传输。
| 词 | 是什么 | 是安全协议吗 |
|---|
| HTTPS | HTTP 套上 SSL/TLS，端口 443 | 是，网页发送接收就选它 |
| HTTP | 明文网页，端口 80 | 不是安全协议 |
| HTML | 网页怎么写的标记语言 | 连协议都不是 |
| SMTP | 发邮件 | 不是「网页收发」 |
练一练 · 2024上 · Q49（空白卷 OCR）
Q49 WWW 安全协议
WWW 服务器与客户机之间主要采用（49）安全协议进行网页的发送和接收。
A. HTTP
B. HTTPS
C. HTML
D. SMTP
答案 B。
题干两个词：安全 + 网页。HTTP 没加密；HTML 是语言；SMTP 是邮件。只剩 HTTPS。
⑥ 黑色产业链四个词 拖 / 洗 / 撞 / 社工
四个词别靠「都和用户数据有关」混在一起。先分清行为还是一个库：
| 词 | 人话 | 题眼 |
|---|
| 拖库 | 黑进网站数据库，把用户表整库导出 | 「获取整个用户资料」「入侵数据库导出」 |
| 洗库 | 把拖来的脏数据清洗、分类、拿去卖 | 清洗 / 变现（有的题也写成入侵后篡改清理） |
| 撞库 | 拿 A 站的账号密码，去 B 站批量试登录（很多人爱用同一套密码） | 拿已有账密去别的站试 |
| 社工库 | 多方泄露数据汇成的查询库（是一个东西，不是这一次攻击动作） | 公开渠道收集、拿去查询 |
🎯 产业链顺序：拖库 → 洗库 → 撞库。题干「拿走整个用户资料」闭眼选拖库。社工库不是这一刀。
练一练 · 2024上 · Q48（空白卷 OCR · 你错过）
Q48 拖库
黑客获取整个用户资料信息属于（48）。
A. 撞库
B. 社工库
C. 拖库
D. 洗库
答案 C。
「整个用户资料」= 把库拖走。社工库是已经汇好的查询库，是物不是这次「获取」动作。撞库是拿账密去别家试。洗库是拖完之后的清洗。
防火墙上午偶尔点一下：包过滤看 IP/端口（网络层、传输层）；应用代理能看内容（应用层）；状态检测记住有「连接状态」四个字。IDS 是检测报警，IPS 能挡。知道分层即可，别和交换机抢层。
⑦ OSI 七层 · 设备站在哪一层 交换机连坐两分
寄快递的七个柜台，从底下往上：信号 → 同一小区怎么交接到下一台 → 跨城找门牌 → 可靠送到 → 会话 → 数据格式 → 人用的软件。
| 层 | 人话 | PDU（数据叫什么） | 典型设备 | 转发看什么 |
|---|
| 7 应用 | 给人用的协议 | 报文 | 网关（常考「协议转换」） | — |
| 6 表示 | 编码、压缩、加密外观 | — | — | — |
| 5 会话 | 建立/管理会话 | — | — | — |
| 4 传输 | 端口、可靠与否 | 段（TCP） | 四层设备、防火墙（部分） | 端口 |
| 3 网络 | 跨网找门牌 | 分组 / 报文 | 路由器、三层交换机 | IP 地址 |
| 2 数据链路 | 同一网段交接 | 帧 | 以太网交换机、网桥、网卡 | MAC 地址 |
| 1 物理 | 电/光/比特 | 比特 | 中继器、集线器 Hub | 不看地址，广播放大 |
🎯 IP = 跨城的收件地址；MAC = 同小区身份证。 交换机在小区内部按身份证交接（数据链路层、帧、MAC 表）；路由器按收件地址出城（网络层、IP）。
⚠️ 集线器是物理层，不是交换机。防火墙不是「数据链路层那台」。三层交换机能看 IP，普通以太网交换机不能。
TCP/IP 四层对照（有的书写五层，把链路和物理拆开）：应用（应用+表示+会话）／ 传输／ 网际（网络）／ 网络接口（链路+物理）。协议归层用下一节那张表，不必死磕四层还是五层的名字。
练一练 · 2024上 · Q50、Q51、Q52（空白卷 OCR · 交换机连坐）
Q50 数据链路层设备
计算机网络 OSI 体系结构中，（50）工作在数据链路层。
A. 路由器
B. 以太网交换机
C. 防火墙
D. 集线器
答案 B。
路由器=网络层；集线器=物理层；防火墙跨层，不是标准答案。以太网交换机 = 数据链路层。
Q51 交换机在哪一层
以太网交换机属于网络模型中（51）。
A. 网络层
B. 传输层
C. 数据链路层
D. 物理层
答案 C。和 Q50 同一知识点，换了个问法。
Q52 交换机管什么
以太网交换机管理的是（52）。
A. IP 地址
B. MAC 地址
C. 报文
D. 帧
答案 B。
管理对象是 MAC 地址表，据此转发帧。D「帧」是它转发的那种数据包的名字，不是「管理的对象」。IP / 报文是路由器的世界。
你错过的就是 Q50+Q52 这套连坐：层选错，管理对象一定跟着错成 IP。
⑧ 协议归层 · 端口 · 命令
8.1 协议站哪一层
| 层 | 协议（闭眼归类） |
|---|
| 应用层 | HTTP / HTTPS / FTP / SMTP / POP3 / IMAP / DNS / DHCP / Telnet / SSH / SNMP |
| 传输层 | TCP、UDP |
| 网络层 | IP、ICMP、IGMP、ARP、RARP、IPSec（名字带 IP 的，基本都在这） |
| 数据链路层 | PPP、以太网 MAC、HDLC |
⚠️ 陷阱：ARP 处理的是 MAC，但协议本身在网络层。不能拿「它碰了什么地址」当「它属于哪一层」。ping 用的 ICMP 也在网络层，不是传输层。
8.2 端口号（成对对调是惯用坑）
| 端口 | 协议 | 干啥 |
|---|
| 21 | FTP | 传文件 |
| 22 | SSH | 加密远程登录 |
| 23 | Telnet | 明文远程登录（不安全） |
| 25 | SMTP | 发邮件 |
| 53 | DNS | 域名 → IP |
| 80 | HTTP | 明文网页 |
| 110 | POP3 | 收邮件 |
| 143 | IMAP | 也是收邮件，信留在服务器 |
| 443 | HTTPS | 加密网页 |
🎯 口诀：21 文、22 安、23 电、25 发信、53 查名、80 网、110 收信、443 锁网。 最毒的两对对调：HTTP 80 ↔ HTTPS 443；DNS 53 ↔ SMTP 25。
练一练 · 端口（错题 N8）
端口
下列关于端口的说法正确的是（ ）。
A. HTTP 使用 443 端口，HTTPS 使用 80 端口
B. FTP 使用 21 端口，SSH 使用 22 端口
C. DNS 使用 25 端口，SMTP 使用 53 端口
D. Telnet 使用 22 端口，SSH 使用 23 端口
答案 B。
A、C、D 都是成对对调。加了 S 的 HTTPS 端口升到 443；SSH 是 22 不是 23。
8.3 几条命令
| 命令 | 干什么 | 不是它的时候 |
|---|
| ipconfig（Linux 是 ifconfig / ip） | 看本机 IP、掩码、网关 | 不管远端通不通 |
| ping | 探连通性（底层 ICMP） | 不显示本机配置明细 |
| netstat | 看连接、监听端口、路由统计 | 不是「看我这张网卡的 IP 是多少」的首选 |
| telnet | 远程登录（也可测某端口开没开） | 不是查配置 |
| tracert / traceroute | 看路上经过哪些路由器 | — |
| arp -a | 看 IP↔MAC 缓存表 | — |
| nslookup / dig | 查 DNS | — |
练一练 · 2024上 · Q55（空白卷 OCR）
Q55 查看网络配置
下面（55）命令可以查看网络配置。
A. ping
B. netstat
C. ipconfig
D. telnet
答案 C。
「网络配置」在 Windows 语境就是 ipconfig 打出来的 IP/掩码/网关。ping 只测通不通；telnet 是登录；netstat 看的是连接和端口。若题干改成「查看当前 TCP 连接 / 监听端口」再改选 netstat。
⑨ VLAN · TCP · ARP/ICMP
9.1 VLAN
一台交换机切成几个互不打扰的逻辑小网。同一 VLAN 才是一个广播域。
| VLAN 能 | VLAN 不能 |
|---|
| 隔离广播域 | 当防火墙用，挡住一切攻击/漏洞利用（ARP 欺骗、扫描照样可能发生） |
| 隔离不同 VLAN 之间的二层互访（要互通得走三层路由） | 单独承担「内外网隔离」（那是防火墙 / NAT 的活） |
练一练 · 2024上 · Q53（空白卷 OCR）
Q53 VLAN 不能隔绝什么
VLAN 不能隔绝（53）。
A. 广播域
B. 内网互访
C. 内外网
D. 攻击和漏洞利用
答案 D。
VLAN 的本职是划广播域、限制二层互访。它不是安全产品，挡不住跨 VLAN 的攻击利用。C「内外网」有的资料也当干扰项，但卷面「不能隔绝」对得最死的是 D。
9.2 TCP vs UDP，序号按字节
| TCP | UDP |
|---|
| 可靠？ | 可靠：连接、确认、重传、拥塞控制 | 不管丢不丢，发完就完 |
| 连接 | 三次握手，四次挥手 | 无连接 |
| 场景 | 网页、邮件、文件 | 视频、DNS 查询、游戏 |
| 序号 | 按字节编号，每一个字节一个序号 | 没有这种字节流序号 |
🎯 TCP 序号单位 = 字节，不是报文、不是比特。发 1000 字节，序号就走过 1000。
练一练 · 2024上 · Q54（空白卷 OCR）
Q54 TCP 序号单位
TCP 序号单位是（54）。
A. 字节
B. 报文
C. 比特
D. 以上都不是
答案 A。
TCP 是字节流。序号对准的是每一个字节，不是整段报文，更不是一个个比特。
9.3 ARP 和 ICMP 都在网络层
ARP：我知道对方 IP，同一网段里广播问「谁是这个 IP，把你的 MAC 告诉我」。得到 MAC 才能封装成帧交给交换机。RARP 反过来（有 MAC 问 IP），现在少考。
ICMP：IP 的报错和探测助手。ping、traceroute 都靠它。不是传输层。
练一练 · ARP / ICMP 分层（错题 N1）
ARP 与 ICMP 在哪一层
ARP 和 ICMP 分别工作在（ ）。
A. 数据链路层 / 传输层
B. 网络层 / 网络层
C. 数据链路层 / 网络层
D. 网络层 / 传输层
答案 B。
名字带 IP 的（IP / ICMP / ARP / RARP / IGMP / IPSec）统统网络层。ARP 虽然问的是 MAC，协议归属仍是网络层。A、C 就是踩了「碰 MAC 就该在链路层」的坑。
DHCP：开机自动领 IP，应用层协议，服务器 UDP 67、客户 68。DNS：域名换 IP，应用层，端口 53。这两句够用。
真题按年索引
2024上 Q7 摘要目的 ·
Q8 Hash=SHA ·
Q48 拖库 ·
Q49 HTTPS ·
Q50 交换机在链路层 ·
Q51 交换机层次 ·
Q52 管 MAC ·
Q53 VLAN ·
Q54 TCP 字节 ·
Q55 ipconfig
同类练：对称/非对称 ·
摘要错误项 ·
数字签名 ·
证书 ·
端口 ·
ARP/ICMP
2024 上 Q7–Q8、Q48–Q55 题干来自空白卷 OCR。子网计算见
子网划分专题，本页不重复。
本专题速记总收
① 对称 DES/AES/IDEA 快难分发；非对称 RSA 慢好分发。RSA ≠ 对称。
② 摘要 MD5/SHA：单向、定长、雪崩；目的=防篡改。不是加密。
③ 保密 = 对方公钥加密；签名 = 自己私钥签摘要。信封 = 对称锁文件 + 对方公钥锁对称钥。
④ 证书 = CA 私钥签发，内含用户公钥，不含用户私钥。
⑤ HTTPS = HTTP+SSL/TLS，443。HTML 不是协议。
⑥ 拖库（整库拖走）→ 洗库 → 撞库。社工库是查询库。
⑦ 集线器物理层；交换机链路层·MAC·帧；路由器网络层·IP。
⑧ 应用 HTTP/FTP/DNS/SMTP；传输 TCP/UDP；网络 IP/ICMP/ARP。
⑨ 端口 21/22/23/25/53/80/110/443。TCP 序号 = 字节。
⑩ ipconfig 看本机配置；netstat 看连接端口；ping 通不通。