首页
在密评实施过程中，由于无法获取密钥，因此除了密码杂凑算法的测试外，其他算法的正确性测试均无法开展。
精华吧
→
答案
→
知识竞赛
→
商用密码应用安全性评估从业人员考核
在密评实施过程中，由于无法获取密钥，因此除了密码杂凑算法的测试外，其他算法的正确性测试均无法开展。
A、正确
B、错误
正确答案：B
Tag：
算法
测试
密钥
时间：2024-04-18 13:43:48
上一篇：
IPSec协议分析时主要是分析IPSec协议使用的密码算法信息，不需要对证书进行分析。
下一篇：
对SM2签名结果的正确性进行测试时，如果可以获取SM2私钥，那么可以根据GB/T32918.2《信息安全技术SM2椭圆曲线公钥密码算法第二部分：数字签名算法》，重新进行SM2签名生成，比对生成的SM2签名是否与被测试的SM2签名值一致，如果不一致，则说明使用的不是SM2算法。
相关答案
1.
如果证书相关的算法标识符合要求，则认为该证书是合规的。
2.
当测评工具接入信息系统条件不成熟时，应与被测单位协商，生成必要的离线数据。
3.
某信息系统编制了密码应用方案，且方案通过专家评估，方案中明确了不适用的“宜”的指标要求项，在密评时发现密码应用实施情况与方案中所描述的风险控制措施不一致，则这些指标要求项应纳入测评范围。
4.
某信息系统将登录用户口令进行加密后存储在数据库中，经核查所使用的密码算法为SHA-1，这种口令存储加密保护方式符合要求。
5.
在对某三级信息系统进行密评时，通过对应用系统分析核查，发现系统启用了TLS1.1、TLS1.2协议，则关于通用要求中的“密码技术合规性”测评单元可直接判定为符合。
6.
某三级信息系统部署了1台经检测认证合格的SSLVPN安全网关，则关于该SSLVPN的“密钥管理安全性”测评可以直接判定为“符合”。
7.
某信息系统部署了SSLVPN安全网关，PC端安全浏览器与SSLVPN安全网关之间使用SSL协议建立通信信道，测评时应在PC端安全浏览器与SSLVPN安全网关之间设置抓包点，分析通信信道的安全性。
8.
在对信息系统密码应用方案进行密评时，如果所有测评指标项评估结论均为通过，则该信息系统密码应用方案密评结论为通过。
9.
对于已建并且正在运行的信息系统，其密码应用方案并不追溯到系统最初规划时的方案，制定的密码应用改造方案可视为该系统的密码应用方案。
10.
若信息系统编制了密码应用方案，且方案通过评估，方案中明确了不适用的“宜”的指标要求项，密码应用安全性评估人员在测评时，该测评指标一定为“不适用”。
热门答案
1.
如果密码产品有商用密码产品认证证书但认证证书已经过期，则相应密码应用的密钥管理安全可判为不符合。
2.
某三级信息系统，使用经检测认证合格的商用密码产品（密码模块二级），根据GM/T0115《信息系统密码应用测评要求》中“5.5密钥管理安全性”测评指标不能直接判定为“符合”。
3.
云平台一般会提供一些原始镜像给租户使用，租户启动原始镜像生成自己的虚拟机。
4.
如果云平台未通过密评，则对云上应用测评时，应涉及为云上应用提供密码运算的云服务器密码机实体机的密评。
5.
根据《商用密码应用安全性评估FAQ（第二版）》，仅为云上应用提供云密码支撑服务的密码资源池的测评不影响云平台最终测评结论。
6.
某信息系统部署在公有云平台上，该公有云平台已经通过了密评，且该公有云安全等级不低于云上应用，则在对该云上信息系统进行密评时，物理和环境安全层面可作为不适用。
7.
根据《商用密码应用安全性评估FAQ（第二版）》，通常来说，云上应用系统所处的云平台通过密评后，云上应用系统才能通过密评。
8.
某信息系统采用动态口令机制对登录应用用户进行身份鉴别，则在应用和数据安全层面“身份鉴别”测评单元的判定结果一定为“符合”。
9.
某信息系统使用SM3算法对数据库中的重要数据存储进行完整性保护，则“重要数据存储完整性”的测评单元判定为符合。
10.
根据《商用密码应用安全性评估FAQ（第二版）》，云平台未通过密评（未开展密评，或密评结论为“不符合”）时，在对云上应用测评时，仍需要对云平台相关的密码应用进行（重新）测评。