网络安全最新PKI安全架构(2)，2024年华为网络安全面试真题解析

还有兄弟不知道网络安全面试可以提前刷题吗？费时一周整理的160+网络安全面试题，金九银十，做网络安全面试里的显眼包！

王岚嵚工程师面试题（附答案），只能帮兄弟们到这儿了！如果你能答对70%，找一个安全工作，问题不大。

对于有1-3年工作经验，想要跳槽的朋友来说，也是很好的温习资料！

【完整版领取方式在文末！！】

93道网络安全面试题

内容实在太多，不一一截图了

黑客学习资源推荐

最后给大家分享一份全套的网络安全学习资料，给那些想学习 网络安全的小伙伴们一点帮助！

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

1️⃣零基础入门

① 学习路线

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

② 路线对应学习视频

同时每个成长路线对应的板块都有配套的视频提供：

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！

• 哈希算法有两大类：

• MD5系列

• 128bit

• SHA系列

• 160bit

• MD5和SHA都可以实现数字指纹，通过算法都可以得到固定长度的数字序列。SHA的安全性高于MD5。

• 数字指纹四大特点：

• 1、固定大小

• 无论原始报文是多大，通过哈希后得到的都是固定长度。

• 2、雪崩效应

• 修改文件任何一个bit，修改后得出的哈希值结果和原始文件计算的哈希值结果都会不一样。

• 3、单向不可逆

• 单向算法不可逆，没办法通过哈希值推算出原始数据。

• 4、冲突避免

• 不同的文件计算出的哈希值可能是相同的（几率很低）

• 数字指纹存在的漏洞

• 如果攻击者将数据和哈希一起替换，接收方就无法判断这份数据是否是完整的数据，为了弥补这个缺点，实际使用中，我们会把文件和某一个key（key可以随机生成或者自己配置）一起做哈希值，这个key在接收和发送方保持一致（key本地存在不在网络传输，这样的话可以防范这种攻击，而且一定情况下也可以避免冲突产生）。

4、数字签名（不可否认性）

• 数字签名：将明文数据进行哈希计算后得出定长的哈希值，用自己的私钥对哈希值进行加密的结果就是数字签名。非对称加密不适合大量数据的加密，而对定长的哈希值进行加密，设备性能以及网络带宽影响就很小了。
• 数字签名用途

• 加密：数字签名相当于加密之后的密文。

• 源认证：发送者用自己私钥和哈希值进行的加密，能够产生这份加密数据的人只有私钥的拥有者，而私钥具有唯一性。

• 保障通信双方身份的合法性

• 存在的漏洞

• 用户2是要用用户1的公钥对数字证书进行解密，用户2如何判断这个公钥就是用户1的？

5、数字信封

1、数字信封的功能类似于普通信封，数字信封采用密码技术保证只有指定的接收人才能阅读信息的内容。2、数字信封中采用了对称密码算法和非对称密码算法。信息发送者首先利用随机产生或预先配置的对称密码加密信息（发送者和接收者随机产生一致的加密秘钥），再利用接收方的公钥加密对称密码，被公钥加密后的对称密码被称之为数字信封。3、信息接收方要解密信息时，必须先用自己的私钥解密数字信封，得到对称密码，然后利用对称密码解密所得到的信息，这样就保证了数据传输的真实性和不可窥探性。

• vpn中交换对称秘钥的方式有三种：

• 1、静态预先配置，两边配置一样。

• 2、通过某种机制协商成一样。

• 3、一边生成对称秘钥，利用接收方的公钥发给对方，对方用自己密码解密获得这个秘钥。

• 对称加密和非对称加密两者的优点相结合

• 对称秘钥加密数据效率高，非对称加密安全性高。

6、数字证书

数字证书简称为证书，它是由证书机构签发的电子数据，是PKI技术的基础。数字证书是网络上实体的身份证明，证明某一实体身份和公钥的合法性以及实体与公钥的匹配关系。证书是公钥的载体，证书上的公钥与唯一实体身份绑定。证书格式及证书内容遵循X.509标准，主要内容包括：序列号、用户公钥、用户实体信息、签证机构的信息、签证机构的签名（数字签名）、证书有效期等。

7、证书吊销列表

由于用户身份、用户信息或者用户公钥的改变、用户私钥泄漏、CA私钥泄漏、从属关系改变或用户业务中止等原因，需要存在一种方法提前将现行的证书撤消，即撤消公钥及相关用户身份信息的绑定关系。在PKI 中，使用的方法为CRL（CertificateRevocationList，证书吊销列表），即证书黑名单。通常证书具有一定的有效期，但CA可通过证书吊销的过程来缩短这一有效期。CA 发布一个证书吊销列表，列出被认为不能再使用的证书的序列号。CRL指定的寿命通常比证书指定的寿命短得多。CA 也可以在CRL中加入证书被吊销的理由。在吊销的证书到期之后，CRL中的有关条目被删除，以缩短CRL列表的大小。

8、证书注册

证书注册，即证书申请，就是实体向CA 自我介绍并获取证书的过程。实体向CA 提供身份信息，以及相应的公钥，这些信息将成为颁发给该实体证书的主要组成部分。实体向CA 提出证书申请，有离线和在线两种方式。离线申请方式下，CA 允许申请者通过带外方式（如电话、磁盘、电子邮件等）向CA 提供申请信息。在线证书申请有手工发起和自动发起两种方式。

• 

PKI系统逻辑结构

用户通过与PKI的管理层RA进行交互，通过RA身份认证后，就可以提交申请到CA进行证书申请CA就可以颁发证书给用户。通常，我们在现实生活中，例如网上银行要用到证书，证书申请还需要比较传统的方法，到银行去手动办理，进行填写表格后，由银行进行确认后，CA才会颁发。而在我们一些使用证书的解决方案中，就不需要这么麻烦，可以使用计算机通过网络来实现整个PKI结构的使用及其服务申请。

手动秘钥交换与确认

• 安全地交换公钥，最简单的安全方法是需要带外验证：1、回读收到的密钥（指纹）通过一个安全的通道/途径（电话）。2、如果它是匹配的，说明密钥在传输中没有被更改。3、它不具备可扩展性。

受信任关系

• 1、用户A和用户B已经安全的交换了公钥（通过离线确认）2、用户B和用户C已经安全的交换了公钥（通过离线确认）3、用户A和用户C能否通过用户B的帮助，安全的交换公钥呢?

• 用户B能够扮演类似一个受信任的介绍者的角色，因为它是被用户A和C两者都信任的。1、用户B通过自己的私钥给用户A的公钥做签名并把它发送给用户C。2、用户B通过自己的私钥给用户C的公钥做签名并把它发送给用户A。3、用户A和C能够验证签名，因为他们早已拥有了用户B的公钥

CA有自己的公钥和私钥用户A有自己的公钥和私钥用户B有自己的公钥和私钥三者都要具备自己的公钥和私钥（先决条件）

• 用户A在线或离线向CA办理证书。CA让用户A提交公钥，CA把用户A的公钥做哈希，用自己的私钥对哈希后的公钥做加密，结果就是签名。有了签名之后CA就能向用户A颁发证书。用户A把CA颁发的证书交给用户B的时候证书中包含A的公钥，B可以直接通过证书获得A的公钥。B如何证明证书中就是A的公钥？B会拿CA的公钥去解开签名得到A的公钥哈希值。B把证书中的公钥做本地的哈希值和签名中的哈希值做对比，一致证明这个公钥是合法的。

• 核心逻辑推理：我用CA的公钥能解开CA私钥的签名，一定代表A的签名是CA认证过的。1、B收到A的证书后，提取出证书中的公钥做本地哈希值。2、B根据自己获知的CA公钥去解开数字签名得到的是CA对用户A公钥哈希后的哈希值，本地计算出的哈希和解开数字签名后的哈希做对比，一样的话公钥认证成功，用户B就能确认我通过证书拿到的公钥就是A的公钥（能形成数字签名的机构是CA，而CA用自己私钥实现数字签名，我拿CA的公钥能解开CA的数字签名，这个哈希值一定是CA产生的，这个哈希值是A提交公钥给CA所产生的哈希值）。

证书组成内容

• CA生成的证书1、版本：即使用X.509的版本，目前普遍使用的是v3版本(0x2)。2、序列号：该序列号在CA服务范围内唯一。3、签名算法：CA签名使用的算法。4、颁发者：CA的名称。5、有效期：包含有效的起、止日期，不在有效期范围的证书为无效证书。6、主题：证书所有者的名称。7、公钥信息：对外公开的公钥。8、扩展信息：通常包含了使用者备用名称、使用者密钥标识符等可选字段。9、签名：CA的签名信息，又叫CA的指纹信息。

CA证书颁发过程

• PKI继承了这个概念并使其具有可扩展性：1、仅仅只有一个受信任的介绍者（证书颁发机构 ）2、CA签署每一个人的公钥3、每个人都拥有CA的公钥
• CA 的核心功能就是发放和管理数字证书，包括：证书的颁发、证书的更新、证书的撤销、证书的查询、证书的归档、CRL的发布等。具体描述如下：（1）、证书申请处理：接收、验证用户数字证书的申请。（2）、证书审批处理：确定是否接受用户数字证书的申请。（3）、证书颁发处理：向申请者颁发或拒绝颁发数字证书。（4）、证书更新处理：接收、处理用户的数字证书更新请求。（5）、证书查询和撤销处理：接收用户数字证书的查询、撤销。（6）、发布CRL：产生和发布证书吊销列表（CRL）。（7）、证书的归档：数字证书的归档。（8）、密钥的备份和恢复。（9）、历史数据归档。

证书交换过程

证书注册

• 

• CA的证书为根证书，根证书通常需要非常可靠的方式获得（根证书包含CA的公钥），

CA使用私钥为证书请求者做数字签名

• 

• 用户提交公钥，CA会先对公钥做哈希，CA然后再用自己的私钥对哈希值做加密，形成数字签名，然后把数字签名、用户公钥、用户身份信息放在证书中，然后再将证书颁发给用户。

•

•

•

交换证书相互认证

• 

• 两个用户都知道CA的公钥，通过CA的公钥来判断对方的公钥是否是可以信任的。

数字证书在VPN中应用

数字证书在IKE中的应用

• 1、设备先获得CA根证书，根证书导入设备。2、用户在发起访问时会在报文中携带自己的证书。3、IKE协商中的某些参数，双方都知道信息做哈希计算，发起方用私钥对哈希值加密，形成数字签名，证书、 身份信息、数字签名发给对方。4、接收者收到数据包后，从发起方证书中提取发起方的公钥，用这个公钥去解析发起方数字签名拿到哈希值，和接收方计算的哈希值做对比。
• 用数字证书使双方进行信任

数字证书申请步骤

1、同步时间

• 

• 设备时间如果不同步的话，证书有效期内，设备时间问题会导致证书失效问题。

2、部署证书服务器

• 通常CA要找权威机构（收费），中小企业在公司内部搭建CA服务器。
• CA分类：1、世界公认CA2、把自己当为权威CA
• 部署CA可以使用：（1）、window（2）、linux

3、客户端生成秘钥

• （1）、设备和用户都生成自己的公钥和私钥。（2）、CA生成自己的公钥和私钥。
• 

4、验证证书服务器

• 

• （1）、客户端先把CA的公钥下载到本地。（2）、用户提交自己的公钥给CA去申请个人证书。

本人从事网路安全工作12年，曾在2个大厂工作过，安全服务、售后服务、售前、攻防比赛、安全讲师、销售经理等职位都做过，对这个行业了解比较全面。

最近遍览了各种网络安全类的文章，内容参差不齐，其中不伐有大佬倾力教学，也有各种不良机构浑水摸鱼，在收到几条私信，发现大家对一套完整的系统的网络安全从学习路线到学习资料，甚至是工具有着不小的需求。

最后，我将这部分内容融会贯通成了一套282G的网络安全资料包，所有类目条理清晰，知识点层层递进，需要的小伙伴可以点击下方小卡片领取哦！下面就开始进入正题，如何从一个萌新一步一步进入网络安全行业。

学习路线图

其中最为瞩目也是最为基础的就是网络安全学习路线图，这里我给大家分享一份打磨了3个月，已经更新到4.0版本的网络安全学习路线图。

相比起繁琐的文字，还是生动的视频教程更加适合零基础的同学们学习，这里也是整理了一份与上述学习路线一一对应的网络安全视频教程。

网络安全工具箱

当然，当你入门之后，仅仅是视频教程已经不能满足你的需求了，你肯定需要学习各种工具的使用以及大量的实战项目，这里也分享一份我自己整理的网络安全入门工具以及使用教程和实战。

项目实战

最后就是项目实战，这里带来的是SRC资料&HW资料，毕竟实战是检验真理的唯一标准嘛~

面试题

归根结底，我们的最终目的都是为了就业，所以这份结合了多位朋友的亲身经验打磨的面试题合集你绝对不能错过！

网上学习资料一大堆，但如果学到的知识不成体系，遇到问题时只是浅尝辄止，不再深入研究，那么很难做到真正的技术提升。

需要这份系统化资料的朋友，可以点击这里获取

一个人可以走的很快，但一群人才能走的更远！不论你是正从事IT行业的老鸟或是对IT行业感兴趣的新人，都欢迎加入我们的的圈子（技术交流、学习资源、职场吐槽、大厂内推、面试辅导），让我们一起学习成长！