387.如果泄漏了CBC-MAC的链接值,会导致如下情况发生( )。

4416.对于使用满足GM/T 0036并获得商用密码产品认证证书的电子门禁系统,物理和环境安全层面的“身份鉴别”、“电子门禁记录数据存储完整性”可以复用密码产品检测认证结果。

4415.某单位总公司和分公司在不同城市,双方网络层通信仅采用HTTP协议,但是应用和数据安全层面的“重要数据传输机密性”是符合的,那么对于网络和通信安全层面“通信过程中重要数据的机密性”测评指标可直接判定为“部分符合”且存在“高风险”。

4414.在车联网场景下,智能网联汽车接入运营商网络时,会对汽车身份的真实性进行确认,具体采用经商用密码认证合格的密码产品提供的SM2数字签名技术实现,则网络和通信安全层面“身份鉴别 ”指标可判定为“符合”。

4413.某三级信息系统在网络和通信安全层面,虽然存在通信实体的双向身份鉴别安全需求,但由于标准条款中对三级系统并未强制要求必须双向鉴别,所以在实际测评时,依据GM/T 0115《信息系统密码应用测评要求》仅核查单向鉴别即可。

4412.经访谈安全主管,被测三级信息系统投入运行以来尚未发生密码应用安全事件,则应急处置层面“事件处置”指标可直接判定为“不适用”。

4411.在对应用和数据安全层面“访问控制信息完整性”进行测评时,必须对生产环境下应用系统的权限、标签等配置信息进行篡改测试,才能验证完整性保护的有效性。

4410.对于政务信息公开网站、门户网站等面向公众的业务应用系统,由于任何人均可访问,且网站数据可以公开,因此应用和数据安全层面的“身份鉴别”指标为“不适用”。

4409.应用和数据安全层面测评时,经核查发现应用系统客户端调用智能密码钥匙对重要业务数据进行 SM4加密和计算SM3杂凑值后传输,服务端调用服务器密码机进行SM4解密并校验SM3杂凑值,重要业务数据无其他传输场景,则可判定重要业务数据符合本层面“重要数据传输机密性”和“重要数据传输完整性”测评指标。

4408.某三级信息系统在投入运行前进行了商用密码应用安全性评估,且具有相应的评估报告,则“投入运行前进行密码应用安全性评估”测评指标可判定为符合。

4407.依据GM/T 0115 《信息系统密码应用测评要求》,在设备和计算安全层面,具有商用密码产品认证证书的整机类密码产品,且可以确定实际部署的密码产品与获认证产品一致的情况下,“系统资源访问控制信息完整性”、“重要可执行程序完整性、重要可执行程序来源真实性”,指标可判定为符合。