某大型教育培训机构近期上线了在线网络学校系统，该系统拓扑结构如图1所示。企业信息中心目前拟对该系统用户认证机制进行详细安全性测试，系统注册用户分为网校学员、教师及管理员三类，其中网校学员采用用户名/口令机制进行认证，教师及管理员采用基于公钥认证机制。
图1 在线网络学校系统拓扑结构
2、为提高系统认证环节安全性，系统在网校教师及管理员登录认证时引入了USBKey，请说明对公钥认证客户端进行安全测试时，USB Key功能与性能测试应包含哪些基本测试点。

答案：

本题解析：

客户端USB Key测试基本测试点：

(1)功能测试

①是否支持AES、RSA等常用加解密算法。

②是否提供外部接口以支持用户证书及私钥导入。

③是否提供外部接口支持将数据传入Key内，经过公钥，私钥计算后导出。

④是否能实现USB Key插入状态实时监测，当USB Key意外拔出时是否能自动锁定用户状态。

⑤是否使用口令进行保护。

(2)性能测试

①是否具备私钥不能导出基本安全特性。

②Key内加解密算法执行效率是否满足系统最低要求。

【解析】

第二小题考查考生对USB Key安全测试内容理解。

USB Key内置单片机或智能卡芯片有一定存储空间，可以存储用户私钥以及数字证书，利用USB Key内置加密算法可以实现对用户身份认证。由于用户私钥通常保存在密码锁中，理论上无法读取，因此可保证用户认证安全性。

针对USB Key测试通常包括功能与性能测试两个方面。功能测试基本测试点包括是否支持AES、RSA等常用加解密算法；是否提供外部接口以支持用户证书及私钥导入；是否提供外部接口支持将数据传入Key内，经过公钥/私钥计算后导出；是否能实现USB Key插入状态实时监测，当USB Key意外拔出时是否能自动锁定用户状态；是否使用口令进行保护等。性能测试基本测试点包括是否具备私钥不能导出基本安全特性；Key内加解密算法执行效率是否满足系统最低要求等。

纠错