密评密码基础：分组密码工作模式、密钥分发与PKI考点解析

简介：面向准备商用密码应用与安全性评估考试、需要巩固密码基础并刷题自测的考生，这份资料以选择题训练为主线，帮助梳理密评常见概念与易错点。压缩包仅含1个docx文件，约26KB，内容按题目编号组织，题干、选项、作答结果与正确答案并列呈现，便于对照复盘。题目覆盖分组密码工作模式（如CTR）、KDC密钥分发、PGP密钥类型、PKI中的CA/RA、OCSP与CRL、SSL/TLS握手、SM4轮函数、IPSec的AH/ESP、密钥分类与管理、RSA及侧信道攻击等基础知识点，并附有要点解释，可用于考前速刷、查漏补缺和错题回顾。已有3239人学习，适合作为密评备考中的基础题库与知识点索引使用。

1. 密评到底在评什么：一句话先把它说明白

如果你在安全岗上待过一阵，大概会听人提过“密评”这个词，然后一脸茫然：它既不像漏洞扫描那样有个明确的输入输出，也不像常规检查那样有一张打分表。密评，全称商用密码应用与安全性评估，通俗地说，就是请一拨懂密码的人来看一件事——你的系统里，密码到底是真的在用，还是只是摆在那里当装饰。打个比方，家里装了防盗门不等于安全，还得看锁芯等级、钥匙谁拿着、门框是不是纸糊的。密评干的就是这个活：查密码用得对不对、够不够、有没有缺口。

也正因为落脚点是“用没用对”，评估人员问的问题往往很基础：你的数据在传输时用的哪种工作模式，密钥是谁发的，两端怎么确认对方身份，证书过期了怎么办。这些问题听着像课堂考题，实际却是现场判断的依据。这份题库把评估时会问到的密码基础问题提前摆出来，让人先在心里过一遍：哪一块是真懂，哪一块只是眼熟。

2. 为什么一张卷子里全是密码基础：密评的知识骨架长什么样

很多人第一次翻这类题库会有个疑惑：怎么一会儿问分组模式，一会儿问密钥分发，一会儿又问证书里能查到什么，这些零散的知识点凭什么凑在一张卷子上。答案藏在评估这件事本身的逻辑里——评估不是让你背概念，而是让你在一堆具体场景里判断“密码有没有真正生效”。而判断生效与否，靠的正是这些看起来零碎的基础。

打个比方，医生看片子不是靠记住某个阴影叫什么病，而是靠解剖结构在脑子里是通的。密码基础就是这套解剖结构。

2.1 一条链路：从分组模式到密钥分发

把题库里的题按顺序捋一遍，会发现它们其实串在同一条链路上。最底下是算法本身：分组密码怎么把一块数据打散重排，杂凑算法怎么把任意长的输入压成固定长度的摘要，公钥算法怎么用一对数学上关联的密钥完成加密和签名。往上一层是模式：算法只会处理固定长度的块，可现实里的消息有长有短，于是要用某种工作模式把块拼起来，这就有了 ECB、CBC、CFB、CTR 这些名字。

再往上一层是密钥。算法再强，密钥是弱口令也白搭，所以会考密钥的产生要保证随机性、密钥要分层（会话密钥、密钥加密密钥、主密钥各管一段）、密钥要有生命周期。继续往上就是分发和身份：两台主机要通信，得先商量出同一把会话密钥，商量过程本身又需要保护，于是有了密钥分发中心这类角色；而确认“对面真的是它”，又需要证书、签名、可信第三方。

这条链路是评估现场的检查顺序，也是题库出题的顺序。一道题问 CTR 模式下的消息长度为什么可以不是分组长度的整数倍，另一道题问主机与密钥分发中心通信时用哪把密钥加密，看似八竿子打不着，其实一个在问“数据怎么被保护”，一个在问“保护数据的钥匙怎么安全送到”。评估人员关心的正是这两件事有没有接上。

2.2 密钥的一生：产生、分发、使用、销毁

题库里关于密钥的题占比很高，这不是出题人偏爱，而是因为密钥是整条链路里最容易翻车的一环。密钥的一生可以拆成四段，每一段都有对应的考点。

产生阶段考的是随机性。有道题问密钥产生首先要保证什么，答案是良好的随机性，而不是保密性或者完整性。这个顺序很讲究：一把用时间戳凑出来的密钥，后面再怎么加密保存都没意义，因为它一开始就可预测。现实里很多所谓的密钥泄露，根子不在传输环节，而在产生环节用了伪随机数生成器却没播种好。

分发阶段考的是“怎么把钥匙交给对方又不被半路截走”。题库里出现两类典型方案：一类是靠一个双方都信任的中转角色（密钥分发中心）来发放会话密钥，主机和中转角色之间用双方事先共享的长期密钥保护；另一类是靠公钥技术，用对方的公钥加密一把临时生成的会话密钥传过去。前者适合封闭、成员固定的环境，后者适合开放网络。

使用阶段考的是分层。会话密钥用完即弃，密钥加密密钥负责保护会话密钥，主密钥负责保护密钥加密密钥，一层包一层。这个设计的好处是：即便某一层的密钥泄露，损失被限制在那一层，不至于把整棵树的密钥全端了。题库里问“用于对传送的会话或文件密钥进行加密时所采用的密钥是什么”，答案就是密钥加密密钥，考的就是这个分层意识。

销毁阶段常被忽略。密钥不用了要清掉，内存里残留的密钥副本、日志里打印出来的密钥、备份文件里的旧密钥，都是隐患。评估现场会翻这些细节，题库里虽然不好直接出题，但相关的判断题往往会绕着“密钥是否可以长期复用”来设坑。

2.3 为什么这些题看着像“背多分”，实际考的是判断力

题库里大量题目是选择题，容易让人产生一种错觉：背下来就行。真到评估现场就会发现，背下来的答案救不了场，因为现场没有选项给你挑。

举个具体的例子。有道题问对称密钥密码体制的主要缺点是什么，选项里既有“加解密速度慢”，也有“密钥的分配和管理问题”。凭直觉很多人会选速度慢，因为脑子里有个印象“对称算法慢”。可事实正好相反：对称算法速度远快于非对称算法，它真正的麻烦在于密钥怎么安全地送到对方手里——两个人通信要一把，三个人要三把，一百个人要四千九百五十把，规模一上来管理就崩了。这个知识点在考卷上是一道题，在现场就是一句追问：“你们这套系统里，对称密钥是怎么下发的，多长时间换一次，换的时候走什么通道？”

再比如 CBC 模式能不能并行。加密不能并行，因为每一块的加密都要用上一块的密文做输入，天然串行；解密可以并行，因为每一块的解密只依赖密文块本身和初始向量。这种题的答案不是靠记“能”或“不能”，而是靠脑子里能画出那块数据的流向。评估人员问类似问题时，期待的是你能顺着结构讲出原因，而不是蹦出一个词。

所以看这类题库的正确姿势，不是把答案抄一遍，而是每做完一题问自己一句：如果换一个问法，我还能答上来吗？如果能，这个知识点就算握住了；如果不能，说明记住的只是选项的位置。

3. 分组密码工作模式：ECB、CBC、CFB、CTR 到底差在哪

工作模式这个词听起来抽象，其实解决的是一个很朴素的问题：分组密码每次只能处理固定长度的一块数据，可现实里的消息几乎从来不是这个长度的整数倍。剩下的零头怎么办，重复的块怎么处理，块与块之间要不要产生关联，这些选择就构成了不同的工作模式。

3.1 分组密码的“整块”尴尬

分组密码的工作方式像一台固定规格的压模机：不管你送进去的是钢板还是铁片，出来都是同一个尺寸的方块。SM4、DES 这类算法都是这样，分组长度固定，输入不足一块要补齐，超过一块要切分。

补齐本身不难，难的是补齐之后带来的连锁问题。最直接的问题是：如果两块明文完全相同，加密出来的密文也完全相同，那攻击者不需要破解算法，光看密文的重复模式就能猜出明文的结构。早期有一张著名的示意图片，同一张图用最朴素的方式加密后，图案轮廓依然清晰可辨，这就是没有处理块间关联的后果。

第二个问题是零头。消息长度不是分组长度整数倍时，要么填充到整数倍（引入额外的填充规则，还要防止填充被利用），要么换一种不需要填充的工作方式。题库里那道“哪种模式下消息长度可以不是分组长度的整数倍”，考的就是这个分水岭。

3.2 四种模式逐个拆：ECB、CBC、CFB、CTR

ECB 是最朴素的一种：每一块独立加密，块与块之间毫无关系。优点是简单、可并行，缺点是相同明文块产生相同密文块，结构信息直接泄露。它适合加密长度很短、内容随机、块之间无规律的数据，比如某些密钥包装场景；不适合加密有结构的长数据。

CBC 引入了链式关系：每一块明文先和上一块的密文做异或，再送进加密算法。第一块没有“上一块”，就用一个初始向量顶上。这样相同明文块在不同的位置会得到不同密文，结构泄露的问题解决了大半。代价是加密必须串行——第 n 块要等第 n-1 块算完。解密反而可以并行，因为解密只需要当前密文块和前一块密文，这两样在拿到完整密文时就都有了。初始向量必须是随机的，且每次加密都要换，不换的话相同明文在两次加密中会得到相同密文，链式保护就失效了。

CFB 把分组密码改造成自同步的流式结构：先用算法加密上一段密文（或初始向量），把结果和当前明文异或得到密文。它的好处是密文长度和明文长度一致，不需要填充，适合逐字符、逐字节到达的流式场景。代价同样是加密串行，且错误会往后传播一段——某一位密文出错，会影响后续若干位的解密结果，直到错误移出寄存器窗口。

CTR 换了个思路：不加密明文，而是加密一个不断递增的计数器，把加密结果当作密钥流，再和明文异或。这个结构带来几个好处：不需要填充，任意长度的明文都能处理；加密和解密都只依赖计数器，可以完全并行；加解密用的是同一套运算，实现简单。它的软肋在计数器本身：同一把密钥下，计数器值绝对不能重复，一旦重复，两段明文异或的结果就直接暴露了，这是 CTR 模式最典型的翻车点。

# 示意 CTR 模式的核心动作：加密计数器得到密钥流，再与明文异或 # 这里用简化写法，真实实现应替换为标准分组算法（如 SM4、AES） def ctr_transform(block_cipher, nonce, data): out = bytearray() for i, byte in enumerate(data): # 计数器块 = 每次通信都不同的随机前缀 + 递增序号 counter_block = nonce + i.to_bytes(8, "big") keystream_byte = block_cipher(counter_block)[0] out.append(byte ^ keystream_byte) # 异或：加密和解密是同一个动作 return bytes(out)

这段代码里只有三个要素需要理解。nonce是每次通信都要重新取的随机前缀，它的作用是让同一把密钥在不同会话里产生不同的密钥流；i是块序号，保证同一个会话内部计数器不重复；异或这个动作本身可逆，所以加密和解密可以共用同一个函数。参数上唯一不能动的是 nonce 的随机性和计数器的单调性，这两条一旦破了，CTR 的安全性就无从谈起。

四种模式的对比可以整理成一张表：

3.3 初始向量、并行化与错误传播

这三件事是模式题里最容易混的三个维度，也是评估现场追问最多的三个点。

初始向量只出现在需要“打乱起点”的模式里，CBC 和 CFB 都需要，ECB 不需要，CTR 用的是计数器不是初始向量。初始向量的要求是随机且不可预测，但不要求保密——它通常会跟着密文一起传输。有人把初始向量当成密钥来保护，这就用错了方向；也有人图省事每次都用全零，这等于把 CBC 退化成了 ECB，链路白加了。

并行化要从两个方向分别看。CBC 加密不能并行、解密可以并行；CFB 加密不能并行、解密在拿到足够密文后可以并行；CTR 两边都能并行；ECB 两边都能并行但没什么可骄傲的，因为它压根没做块间关联。题库里那道“CBC 加解密都不能并行化”的判断题，答案错就错在把解密也算了进去。

错误传播常被低估。CBC 里一个密文块出错，解密时会影响两个明文块：出错的块本身和下一块对应位置。CFB 里一位出错会波及后续一段，但会自同步恢复。CTR 最“干净”，一位密文错只影响对应的一位明文，不扩散，但这也意味着它没有任何完整性保护——攻击者翻转密文中的一位，明文对应位就精确翻转，所以 CTR 必须搭配消息鉴别码或认证加密一起用，单独用等于把篡改检测的活儿交给别人。

4. 密钥分发与身份信任：KDC、CA、PKI 各自扮演什么角色

密码学里有个绕不开的死循环：要用加密保护通信，双方得先有同一把密钥；可要安全地商量这把密钥，又得先有一条安全的通道。这个鸡生蛋的问题，业界用两种思路破局，一种是把信任集中到一个中转角色身上，另一种是用非对称的数学关系让密钥可以公开传递。

4.1 密钥分发中心：把信任压在一个中转台上

密钥分发中心的思路很像老式旅馆的钥匙台。住客之间不直接交换钥匙，而是各自和前台有一份长期约定（比如身份证加登记信息），需要通信时找前台要一把一次性钥匙。前台用和住客各自约定的长期密钥，分别把这次要用的会话密钥加密后发过去，双方拿到同一把会话密钥，开始通信。

这个模型的关键在于两段通信各用哪把钥匙。主机和分发中心之间用的是双方事先共享的长期密钥，不是会话密钥，也不是公钥。会话密钥是分发中心生成出来给两台主机用的，它本身不能用来保护它自己的传输，否则逻辑上就循环了。题库里那道“主机与密钥分发中心通信时使用什么密钥”的题，答案就是二者共享的永久密钥，考的是这个分层。

这个模型的优点是不依赖公钥算法，计算开销小，适合成员相对固定的封闭环境；缺点是把所有压力压在中心节点上，中心一旦不可用或不可信，整个体系就塌了，而且中心天然知道所有会话密钥，对中心的信任必须是绝对的。

4.2 CA 与 PKI：证书是一张带签名的身份证

另一条路是用非对称算法破局。公钥可以公开，私钥自己留着，对方用我的公钥加密，我用私钥解开，密钥分发的问题看起来解决了。可新问题立刻冒出来：你怎么知道你手里的这把公钥真的是我的，而不是别人冒充我塞给你的？

证书就是为这个问题生的。它相当于一张带防伪印章的身份证：里面写着持有者信息、公钥、有效期、用途，最后由一个双方都信的机构用自己的私钥在整张证书上签名。你拿到证书后，用那个机构的公钥验一下签名，签名对得上，就说明这张证书确实是它签的，内容没被改过。

围绕证书长出来的一整套东西就是公钥基础设施。题库里反复出现的几个组件，职责要分清：认证机构负责签发和管理证书，是那个“盖章的手”；注册机构负责审核申请者的身份信息，是那个“查证件的人”，它不碰签名私钥；目录服务负责存放和提供证书下载，是一个查询入口；证书撤销列表和在线证书状态查询协议负责告诉你某张证书还有没有效，前者是定期发布的黑名单，后者是实时问一句“这张还有效吗”。

这两个状态查询机制的差别值得多说一句。撤销列表是批量发布，客户端定期拉取，优点是省事、可离线校验，缺点是有一个时间窗口——证书刚被撤销、列表还没更新，这中间的窗口就是风险。在线查询是逐张实时问，时效性好，缺点是要联网、要能连上查询服务，服务不可用时还得有降级策略。评估现场问“你们怎么处理证书吊销”，问的其实就是这两套机制你有没有都想到。

还有一道题问“从一张数字证书无法得到什么信息”，答案是签发机构的公钥信息。这个点很多人会搞混：证书里确实有签发机构的名称，但签发机构的公钥不在里面，它需要你事先通过其他可信途径拿到。整条信任链就是这样一层一层往上追，追到根证书为止，根证书的可信性靠预置，不靠推导。

4.3 非对称与对称为什么要混着用

初学者常有一个疑问：既然非对称算法能解决密钥分发，为什么不干脆全用非对称算法，省得管理两套体系。

答案是效率。非对称算法的运算量比对称算法高出好几个数量级，用它加密大块数据，性能会崩。所以现实中的做法是分工：用非对称算法解决“钥匙怎么安全送到对方手里”这个难题，用对称算法解决“数据怎么快速加密”这个体力活。传输密钥时用对方的公钥加密一把临时生成的会话密钥，对方用私钥解开，拿到会话密钥后，双方就用这把会话密钥走对称算法加密后续所有数据。

这个混合结构在两套经典协议里体现得最清楚。一套是传输层安全协议，握手阶段用证书验证服务器身份、用非对称运算协商出会话密钥，握手完成后切换到对称加密传数据；另一套是网络层安全协议，用安全关联约定好双方用什么算法、什么密钥，再由认证头提供完整性保护、由封装安全载荷提供加密和认证。题库里问“安全连接机制里谁生成会话密钥、用谁的什么密钥加密”，答案的方向永远是客户端生成会话密钥、用服务器的公钥加密，因为公钥是公开的，私钥只有服务器有。

顺便说一句，这种混用不是“可以”，而是“必须”。有道判断题说“为了保证可靠性，不能把对称与非对称混着用”，答案是错的——真实系统几乎全是混着用的，纯对称管不好密钥，纯非对称跑不动数据。

5. 常见误区与易混概念：这五组词最容易在考场上翻车

题库刷到一定量之后，错误会开始收敛，反复错的就是那么几组。这几组概念的共同点是名字接近、场景接近，但机理完全不同，混一次就会连带错一串题。

5.1 对称与非对称：谁负责加密、谁负责签名

易混点一：以为非对称算法慢，所以用得少。

为什么混：脑子里有个“对称快、非对称慢”的印象，就顺势推出“非对称只是补充”。实际上非对称算法承担的是整个体系的信任起点，没有它，密钥分发的问题无解。它不是配角，是地基。

怎么区分：记住分工——非对称管“信任怎么建立”，对称管“数据怎么跑得快”。一个系统里非对称运算的次数很少（握手阶段几次），对称运算的次数极多（每一个数据包），所以慢的那部分用量小，快的那部分用量大，整体才跑得动。

易混点二：以为对称算法也能做数字签名。

为什么混：对称算法能加密也能解密，看起来功能齐全；而签名本质上也是一种“用密钥处理数据”的操作，形式上相似。

怎么区分：签名的核心要求是不可否认——你签了就不能赖账。对称算法双方共用一把密钥，任何一方都能造出同样的签名，赖账时无法分辨是谁做的，所以它天然做不了签名。非对称算法私钥只有一方持有，签名只能用私钥生成、用公钥验证，这才满足不可否认。题库里那道“对称密钥加密算法说法错误的是”，错误选项就落在“既可实现加密，也可实现数字签名”上。

5.2 PKI 里的组件与协议：谁管证书、谁管状态

易混点三：把证书撤销列表和在线状态查询当成一回事。

为什么混：两者都回答“这张证书还有效吗”，目的一样，名字里又都带“证书”。

怎么区分：看时效和获取方式。撤销列表是批量、定期、可离线，本质是一份缓存的黑名单；在线查询是单张、实时、必须联网，本质是一次现场问询。评估里两者不是二选一，而是要看你的系统在查询服务不可达时有没有兜底方案——只用实时查询、服务一挂就放行，等于没有检查。

易混点四：把认证机构和注册机构的职责对调。

为什么混：两者都参与证书签发流程，名字里又都有“机构”。

怎么区分：注册机构管“人”，负责审核申请者是谁、资料真不真，它不碰签名私钥；认证机构管“章”，负责用私钥把审核通过的证书签出来。一个是前台审核，一个是后台盖章，顺序是先审后签，不能倒过来。题库里问“哪个组件负责申请者信息检查和管理”，答案就是注册机构。

5.3 攻击与防护：名字像，机理完全不同

易混点五：把中间人攻击和重放攻击混为一谈，把侧信道攻击当成密码分析。

为什么混：三者都叫“攻击”，都发生在通信或运算过程中，结果都是机密性受损。

怎么区分：中间人攻击的关键动作是“插在中间、双向冒充”，攻击者分别和两端建立独立的安全通道，两端以为在直接对话，其实都在和攻击者说话；重放攻击的关键动作是“原样再发一遍”，攻击者不需要破解任何东西，只是把截获的合法消息重复发送，诱使对方重复执行；侧信道攻击完全不碰算法本身，而是测功耗、测电磁辐射、测运算时间，从物理旁路里推断密钥，算法数学上再强也挡不住这一类。前者靠身份鉴别和证书校验防，中者靠时间戳、随机数和序列号防，后者靠物理屏蔽、掩码和常数时间实现防。三者的防线完全不在一个层面上，混着记就会在一道题里同时踩三个坑。

6. 什么时候该刷题、什么时候刷题没用：一份题库的正确打开方式

这份题库不是万能的，它的价值有明确的边界。搞清楚边界，比多刷两百道题更省时间。

适合拿它练手的情形很具体。第一种是概念刚过一遍、脑子里还是一团浆糊的时候，用题目做“扫描”，哪一章错得多，说明那一块的结构没搭起来，回头补那一块就行，不用全书重读。第二种是已经能看懂概念、但判断速度慢的时候，题目能训练条件反射——看到“消息长度可以不是分组长度整数倍”立刻想到不需要填充的模式，看到“证书吊销”立刻分清列表和在线查询。第三种是临考前的查漏，专挑错题重做，把反复错的几组概念单独拎出来做对比表。

不适合的情形同样具体。一种是完全没接触过密码学基础就直接开刷，这时候做题等于猜谜，蒙对了也留不下任何印象，纯属浪费时间。另一种是把题库当唯一资料，只记答案不追原因，题目稍微换个问法就原形毕露，这在评估现场是要吃亏的——现场没人给你四个选项。还有一种是把它当成“评估通过秘籍”，题库覆盖的是知识点，不是你的系统，你的系统里密钥怎么下发、证书怎么吊销、初始向量怎么生成，这些答案只能从你自己的架构里找。

有个习惯值得养成：每道错题旁边不要只写正确答案，要写一句“我当时为什么会选错”。是概念记混了，还是题干里有个词看漏了，还是压根没学过。这三种错因对应三种完全不同的补救方式，混在一起记，下次还会错在同一个地方。

我自己在这上面栽过跟头。早些年准备一次安全相关的内部考核，题库刷了三遍，正确率稳定在九成以上，心里挺有底。结果到了现场答辩，对方问了一句“你们系统里会话密钥多久换一次，换的时候旧密钥怎么处理”，我张口结舌——题库里没有这道题，但它考的是同一件事。那一次之后我改了做法：每刷完一组题，强迫自己把对应的知识点往手上任何一个真实系统上套一遍，套不上就说明只是记住了选项，没记住逻辑。这个动作很笨，但它把“会做题”和“会判断”这两件事分开了，而后一件才是评估真正想看的。

题库就在那里，它不会替你思考，但能帮你看清自己哪一块还没想明白。从那以后我每次翻开这类资料，第一件事不是从第一题开始做，而是先把错题本建好，把“为什么错”这一栏留足空白。希望帮到你。

本文还有配套的精品资源，点击获取