中文（繁體）
中文（简体）
English
中六 ICT｜网络保安与加密配套练习（第三份・杂凑、攻击与风险管理）
中六 ICT｜网络保安与加密配套练习（第三份・杂凑、攻击与风险管理）
十题由 SHA-256 的 64 个十六进制字元，到 salt、MITM、DDoS 与备份 RPO，练完整一条“侦测—防御—复原”的思路。
先做题，后对答案 建议三十至三十五分分钟；每题先分类属机密性、完整性还是可用性，再作答。
01 本卷资料（做完才看答案）
| 项目 | 内容 |
|---|---|
| 题数 | 10 题 |
| 建议时间 | 约 35 分钟 |
| 难度分布 | 基础 4 · 进阶 3 · 挑战 2 · 错题重练 1 |
| 对应章节 | 所属章节：中六 ICT｜网络保安与加密 |
| 适用年级 | 中六（S6）ICT |
02 题目（10 题）
- 基础SHA-256 的输出是 256 bit，写成十六进制是多少个字元？
- 基础杂凑（hashing）与加密（encryption）最关键的分别是什么？
- 基础两份文件只差一个字元，它们的 SHA-256 值会有什么关联？
- 基础HMAC 同时提供哪两项保证？
- 进阶每个用户用不同的 salt 存密码杂凑，为攻击者带来什么额外成本？
- 进阶中间人攻击（MITM）在未加密的公共 Wi-Fi 典型怎样运作？
- 进阶“假冒银行发出电邮，诱使收件人输入密码”属于哪一类威胁？
- 挑战分散式阻断服务（DDoS）攻击主要破坏 CIA 三者中的哪一项？
- 挑战备份策略：完整备份 100 GB，之后每日增量 5 GB，保留 7 日，共需多少 GB？若只用每日一次的备份，RPO 是多少？
- 错题重练错题重练：有同学说“买了最强的防火墙就够，员工培训可以省”。为什么错？
03 答案与一句解说
| 题号 | 答案 | 一句解说 |
|---|---|---|
| 1 | 64 个字元 | 256 ÷ 4 = 64；每个十六进制字元代表 4 bit。 |
| 2 | 杂凑是不可逆的单向函数，加密有金钥可以还原 | 所以密码只存杂凑不存密文；系统只比对杂凑，永远不需要知道原密码。 |
| 3 | 几乎完全不同，大部分位元都会改变（雪崩效应） | 好的杂凑函数令输入任何微小改动都扩散成全盘改变，所以改一个字也逃不过完整性检查。 |
| 4 | 讯息完整性，以及讯息来自持有金钥的一方（认证） | HMAC 把金钥混入杂凑，没有金钥就算不出同一个值，所以既防篡改也防冒充。 |
| 5 | 不能一次算表打全部账户，要针对每个 salt 重算，成本随账户数倍增 | 共用 salt 等于一张表通杀；独立 salt 令预先计算失效，只能逐个账户硬碰。 |
| 6 | 攻击者冒充热点或闸道，把双方流量转发并可读取或修改 | 双方以为在直接通讯；没有凭证验证或加密，就无从发现中间还有一个人。 |
| 7 | 钓鱼（phishing），属社交工程，不是恶意软件 | 钓鱼利用人的信任，技术上可能完全没有恶意程式；所以培训与核对网址比防毒软件更关键。 |
| 8 | 可用性（Availability） | DDoS 不一定要偷或改资料，只要令服务无法回应就达到目的，所以对应可用性。 |
| 9 | 135 GB；RPO 为 24 小时 | 100 + 5 × 7 = 135 GB；每日一次即最坏情况损失一整日资料，RPO = 24 小时。 |
| 10 | 钓鱼与弱密码都绕过防火墙，人往往是最弱环节，所以权限最小化与培训同样必要 | 技术控制只挡已知渠道；凭证被骗、USB 带入、内部误操作都要靠制度与意识补上。 |
04 做完之后怎样跟进
- 对完答案，只重做错的那几题，并在错题旁写出错在哪一步（公式、单位还是抄错数）。
- 同一题隔两日再做一次；两次都对才可以移到下一份练习。
- 家长只需看答案栏与解说栏，不必逐题讲解。
本卷题目与答案由 TutorZone 团队原创编写，并非任何学校、出版社或考试局的试题；数值与答案均以程式核算。