第1题 答案：ABCD
解析：
A项：面向公众的系统也要划定访问边界，哪些人可以访问、哪些不能访问，属于访问控制设计，符合GM/T 0115 关于“身份鉴别、访问控制”的通用要求（正确）。
B项：管理员身份鉴别、管理通道加密保护等，是公众系统中最关键的高权限账号安全点（正确）。
C项：虽然是面向公众，但网站自身要有身份鉴别能力（防钓鱼）、内容完整性保护，避免被篡改，符合《网络安全法》第21条关于保障网络运行、数据完整性的义务（正确）。
D项：公众用户访问链路上的“身份鉴别”“通信数据完整性、机密性”等指标，是网络与通信安全层面的重点（正确）。
📥 放入图谱：测评方法与实施 -> 公众服务系统 -> 公开信息系统测评关注点
第2题 答案：ABC
解析：
A项：换证后未写明密码模块等级，需要调取旧证书确认型号与等级（正确）。
B项：必须核查换证前型号证书是否满足系统等级对密码模块安全等级的要求（正确，对应GM/T 0115与《密码法》第14条对密码产品合规使用的要求）。
C项：不能在没有任何证明材料的情况下“默认一级”，否则属于无依据判定（错误）。
D项：密钥管理方案只是管理措施，不能替代产品安全等级证明（错误）。
📥 放入图谱：测评方法与实施 -> 密码产品合规性 -> 证书与安全等级核查
第3题 答案：BD
解析：
A项：通过解析结构、OID等可以判断格式是否合规（正确）。
B项：证书签名结果是否正确，需要用颁发者公钥进行验签，不是“看格式”就能知道（错误）。
C项：证书颁发者信息（Issuer）在证书结构中可直接解析获得（正确）。
D项：证书用于何种协议、何种密钥交换或鉴别，要结合实际使用场景、扩展项（EKU）来分析，单看格式无法给出唯一结论（错误）。
📥 放入图谱：测评工具使用 -> 数字证书分析 -> 可/不可获取的信息
第4题 答案：ABCD
解析：
A项：随机性检测用于验证随机数/密钥生成质量，是典型测评技术（正确，参见GM/T 0005《随机性检测规范》）。
B项：数字证书格式合规性检测，属于应用与数据安全层面重要技术（正确）。
C项：IPSec/SSL协议分析，用于验证通信中密码应用正确性（正确）。
D项：端口扫描用于识别服务暴露面，为漏洞识别、密码协议识别提供基础（正确）。
📥 放入图谱：测评方法与实施 -> 测评技术手段 -> 协议/随机/端口综合应用
第5题 答案：ABC
解析：
A项：杂凑算法（SM3、SHA-256等）有标准测试向量，可做正确性验证（正确）。
B项：数字签名算法（SM2、RSA）同样有标准测试数据，可验证签名/验签正确性（正确）。
C项：分组密码算法（SM4、AES）可用已知明文-密文对测试（正确）。
D项：虹膜识别是生物特征识别算法，不属于密码算法正确性测试范畴（错误）。
📥 放入图谱：测评方法与实施 -> 算法合规性 -> 算法正确性验证对象
第6题 答案：ABC
解析：
A、B项：SSL、IPSec通信数据包可通过抓包工具获取，用于分析密码套件、证书等（正确）。
C项：远程管理通道（如HTTPS、SSH）数据也可抓包分析通信安全性（正确）。
D项：密码机内密钥明文按《密码法》第28条及密钥管理制度必须严格保护，密评不得获取密钥明文（错误）。
📥 放入图谱：测评方法与实施 -> 数据采集 -> 可采集网络/通道数据范围
第7题 答案：ABCD
解析：
A项：密码算法实现正确性检测——验证实现与标准一致（正确）。
B项：数字证书格式合规性检测——核查证书结构、OID等（正确）。
C项：随机数质量检测——保证密钥强度（正确）。
D项：与密码相关的漏洞识别（协议配置错误、弱算法等），是GM/T 0115明确要求的内容（正确）。
📥 放入图谱：测评方法与实施 -> 测评内容 -> 算法/证书/随机数/漏洞全覆盖
第8题 答案：ABC
解析：
A项：SM4-GCM本身具备机密性，需核查配置与调用是否真实有效（正确）。
B项：GCM同时提供完整性保护，应核查完整性是否真正启用并验证（正确，对应《网络安全法》第21条“防篡改”要求）。
C项：云密码机属于商用密码产品，应核查其认证证书及安全等级（正确，依据《密码法》第23条）。
D项：即便运营商负责运维，系统责任方仍需对其合规性负责，不能“不核查”（错误）。
📥 放入图谱：测评方法与实施 -> 云环境密码应用 -> 云密码机合规核查要点
第9题 答案：ABD
解析：
A项：操作系统权限控制（用户/组、ACL）属于设备和计算安全层面访问控制信息（正确）。
B项：系统文件目录ACL同样属于该层面（正确）。
C项：不含密码功能的防火墙ACL属于网络与通信安全层面边界访问控制，不在“设备与计算”层面（错误）。
D项：堡垒机权限控制针对主机/设备操作权限，归入设备与计算安全层面（正确）。
📥 放入图谱：测评方法与实施 -> 分层安全 -> 设备与计算层访问控制
第10题 答案：ABCD
解析：
A项：先从技术文档了解重要信息资源安全标记完整性的密码技术与实现机制（正确）。
B项：做实际验证，确认实现是否正确（正确）。
C项：进一步验证保护是否有效，如能否发现篡改（正确）。
D项：使用的算法需符合密码相关国家/行业标准（正确，对应《密码法》第14条对密码算法合规性的要求）。
📥 放入图谱：测评方法与实施 -> 完整性保护 -> 重要信息资源安全标记
第11题 答案：ABCD
解析：
A项：动态令牌作为商用密码产品，要有认证证书（正确）。
B项：算法、协议配置（时间步长、种子管理等）正确性需核查（正确）。
C项：堡垒机调用动态令牌实现身份鉴别的算法是否符合国密/国际标准，是通用要求（正确）。
D项：密码模块安全等级要满足三级系统中“管理员身份鉴别”对二级及以上模块的要求（正确）。
📥 放入图谱：测评方法与实施 -> 身份鉴别 -> 动态令牌与堡垒机
第12题 答案：ACD
解析：
A项：VPN设备ACL是网络边界访问控制信息（正确）。
B项：堡垒机访问控制列表一般界定的是对主机/应用的操作权限，多归设备与计算层而非网络与通信安全层的“网络访问控制信息”（错误）。
C项：防火墙ACL典型网络边界访问控制信息（正确）。
D项：边界路由器ACL同样属于网络和通信安全层访问控制信息（正确）。
📥 放入图谱：测评方法与实施 -> 分层安全 -> 网络与通信层访问控制
第13题 答案：ABCD
解析：
A、B项：操作系统权限与文件目录ACL显然是设备与计算层访问控制信息（正确）。
C项：数据库访问控制信息也属设备与计算安全层（逻辑计算资源）（正确）。
D项：堡垒机权限控制本质是对设备访问权限的管理（正确）。
📥 放入图谱：测评方法与实施 -> 分层安全 -> 设备与计算层访问控制范围
第14题 答案：ABC
解析：
A项：发卡时密钥分散算法是否合规直接关系到身份鉴别安全性（正确）。
B项：电子门禁系统若使用密码技术（IC卡、加密控制器），需具备商用密码产品认证证书（正确）。
C项：门禁卡管理制度属于制度层面，虽不直接验证密码算法，但属于该测评单元方法之一（正确，对应《网络安全法》第21条对管理制度要求）。
D项：进出登记记录是审计与物理安全管理，与“身份鉴别”测评方法不直接对应（错误）。
📥 放入图谱：测评方法与实施 -> 物理与环境安全 -> 电子门禁身份鉴别
第15题 答案：BD
解析：
A项：电子门禁系统本身的认证证书用于身份鉴别单元，不是“记录数据存储完整性”的关键（错误）。
B项：实现HMAC的服务器密码机是否合规，是完整性保护有效性的前提（正确）。
C项：“能否修改记录”考察访问控制，而非完整性保护能力（错误）。
D项：重点在于“篡改后能否被发现”，即验证完整性保护机制是否有效（正确）。
📥 放入图谱：测评方法与实施 -> 完整性保护 -> 门禁记录数据存储
第16题 答案：ACD
解析：
场景是“记录存储完整性”，加密存储系统提供完整性。
A项：视频监控系统自身认证证书更多用于传输/管理侧，与“存储完整性”无直接关系（不属于该测评单元方法，错误）。
B项：加密存储系统的认证证书直接关乎存储完整性保护（属于测评方法，正确）。
C、D项：视频/摄像头视频传输密码实现属于“通信安全”，不是“记录数据存储完整性”测评方法（错误）。
📥 放入图谱：测评方法与实施 -> 完整性保护 -> 视频监控记录存储
第17题 答案：ACD
解析：
A项：管理员登录网银系统必须采用密码技术身份鉴别，并验证正确性和有效性（正确）。
B项：关键交易时的签名是“交易不可抵赖/完整性”的内容，不属于“身份鉴别”测评要点（错误）。
C项：鉴别用的算法、技术、产品、服务都需合规（正确，符合《密码法》第14条）。
D项：在产品/服务合规基础上，还要核查密钥管理安全性是否正确有效（正确）。
📥 放入图谱：测评方法与实施 -> 应用与数据安全 -> 网银身份鉴别
第18题 答案：ABCD
解析：
采用基于角色的访问控制，完整性测评要核查：
A、B项：用户角色、角色权限配置的完整性校验值格式与机制是否符合设计（正确）。
C项：若用数字签名保护完整性，要用公钥验证签名值（正确）。
D项：若采用MAC，要用完整性密钥验证存储MAC值（正确）。
📥 放入图谱：测评方法与实施 -> 访问控制 -> RBAC配置信息完整性
第19题 答案：ABC
解析：
A项：尝试用错误门禁卡验证无法开门，是身份鉴别有效性测试（正确）。
B项：发不同权限卡验证权限边界，是鉴别与授权结合的测试方法（正确）。
C项：查看后台密码算法配置，确认算法合规（正确，符合《密码法》合规算法要求）。
D项：抓取门禁日志传输数据包属于“日志完整性”或“传输完整性”测评，不是“身份鉴别”指标本身的方法（错误）。
📥 放入图谱：测评方法与实施 -> 物理与环境安全 -> 门禁身份鉴别测评技术
第20题 答案：ABCD
解析：
A项：移动终端密码模块、协同签名平台需通过商用密码认证（正确）。
B项：APP用户数字证书的格式、有效期等需核查（正确）。
C项：颁发证书的CA需取得《电子认证服务使用密码许可证》，保证电子认证服务合法合规（正确，符合《密码法》第29条）。
D项：服务端必须真实调用协同签名平台进行签名验证，而不是“伪签名”（正确）。
📥 放入图谱：测评方法与实施 -> 移动办公场景 -> 协同签名身份鉴别
第21题 答案：AB
解析：
A项：所有测评单元都先要满足通用测评要求（算法/技术/产品/服务合规），这一条描述正确（正确）。
B项：协议分析工具看重要数据是否加密、分组特征是否符合预期，是机密性测评关键（正确）。
C项：“验签并与明文对比”用于完整性/签名算法验证，而非“传输机密性”，表述错误。
D项：IPSec场景中分析Server Hello是SSL/TLS特有，不适用（错误）。
📥 放入图谱：测评方法与实施 -> 传输机密性 -> 应用与数据层重要数据
第22题 答案：ABCD
解析：
A项：RSA-1024密钥强度已不足，对重要口令保护不再合规（导致机密性失效，正确）。
B项：身份证号后六位用“*”并不是加密，只是脱敏，仍可能被恢复/关联，个人信息保护不充分，违反《个保法》第51条所要求的“加密、去标识化等措施”（导致机密性无效，正确）。
C项：同一类重要业务数据有的明文、有的密文传输，攻击者可通过对比推断内容，削弱保护效果（正确）。
D项：DES已非安全算法，不符《密码法》及密码标准要求（正确）。
📥 放入图谱：测评方法与实施 -> 传输机密性 -> 不当实现导致失效场景
第23题 答案：ABCD
解析：
A项：重放攻击测试动态口令是否“一次一密”，是典型测评技术（正确）。
B、C项：确认种子密钥密文导入、计算后不留明文，符合密钥生命周期安全要求（正确）。
D项：验证PIN码长度、错误次数限制是否满足技术标准（如GB/T 38556），也是测评要点（正确）。
📥 放入图谱：测评方法与实施 -> 身份鉴别 -> 动态口令系统测评技术
第24题 答案：AD
解析：
A项：检查系统投入运行后是否定期开展密码应用安全评估和攻防演练（正确）。
B项：安全事件报告对象通常为上级主管部门或应急管理机制，不特指“信息系统主管部门”，且与本测评点“定期评估、演练”不完全一致（表述不准，错误）。
C项：是否制定应急策略、分级响应，属于应急管理其他条款，不是这一条的核心（错误）。
D项：核查是否真实形成评估报告、演练报告，是落实情况的直接证据（正确）。
📥 放入图谱：测评方法与实施 -> 建设运行层 -> 定期评估与攻防演练
第25题 答案：ABCD
解析：设备与计算安全层“身份鉴别”测评要点：
A项：算法、密钥技术合规性（正确）。
B项：密码产品、服务合规，以及密钥管理安全性核查（正确）。
C项：是否采用动态口令、MAC、数字签名等合规密码技术进行鉴别（正确）。
D项：通过测试验证登录用户身份真实性机制是否正确有效（正确）。
📥 放入图谱：测评方法与实施 -> 身份鉴别 -> 设备和计算层测评要点
第26题 答案：BCD
解析：
A项：并未强制要求电子签章系统密码模块达到“二级及以上”才可满足“不可否认性”第三级，只需满足相应标准即可，因此说法过度限定（错误）。
B项：电子印章载体要满足密码产品及电子签章标准要求（正确）。
C项：制章人、签章人证书格式、算法标识、颁发机构等都需符合要求（正确）。
D项：电子印章验证、签章生成和验证过程应符合GB/T 38540（正确）。
📥 放入图谱：测评方法与实施 -> 不可否认性 -> 电子签章系统测评
第27题 答案：BC
解析：
A项：未采用数字证书时，也可以通过其它可靠方式绑定公钥/对称密钥与实体，不是“一定需要”，但原题把“需要验证”写成必须，表述并非错误，注意题意——本题给的正确答案为BC，说明命题意图认为A说法不严谨。
B项：采用数字证书并使用合规产品/服务时，“密钥管理安全”仍需按通用要求核查，不能直接视为符合（错误说法，故本题把B列为“错误说法”之一）。
C项：智能密码钥匙口令长度、错误次数等属于身份鉴别整体安全的一部分，不能“无需考虑”（错误）。
D项：不能复用检测结果时，应核查实体鉴别协议是否符合GB/T 15843，是正确做法。
📥 放入图谱：测评方法与实施 -> 身份鉴别 -> 应用与数据层判定注意点
第28题 答案：ABC
解析：
A项：手机盾SDK+协同签名平台+SM2协同签名登录，若算法、产品合规，属于典型“符合”场景（正确）。
B项：蓝牙智能密码钥匙+签名验签服务器，若满足标准，也可判为“符合”（正确）。
C项：动态令牌登录APP+后台认证系统，按标准实现，可“符合”（正确）。
D项：微信/支付宝扫码登录、手机验证码登录不一定满足GM/T0115对密码身份鉴别的要求（如未使用合规密码算法、未达到系统等级要求），因此一般不能直接判定为符合（错误）。
📥 放入图谱：测评方法与实施 -> 身份鉴别 -> 常见业务场景判定
第29题 答案：AC
解析：
A项：仅对重要用户信息计算杂凑值并存储，但无后续校验与发现篡改机制，不能视为“完整性保护”充分实现，判不符合（正确）。
B项：SM4-GCM同时提供机密性+完整性，只要配置正确，可满足“存储完整性”要求（不必判不符合，错误）。
C项：对重要业务数据进行签名但不对签名进行校验，相当于“装饰性签名”，无法发现篡改，属不符合（正确）。
D项：加密数据库系统通常内置完整性与机密性机制，不能仅凭“使用加密数据库”就判不符合（错误）。
📥 放入图谱：测评方法与实施 -> 存储完整性 -> 判定“不符合”的典型证据
第30题 答案：ABD
解析：
A项：DES已被认为不安全，用其加密敏感信息存储，存在泄露风险（正确）。
B项：SM4-ECB对大量同值数据（如性别）会暴露模式规律，泄露隐私（正确）。
C项：SM3加盐存储口令是推荐做法，本身不会导致泄露（错误）。
D项：只做脱敏、不做加密/访问控制等其他安全加固，仍存在较大泄露风险，尤其牵涉个人信息时不符合《个保法》第51条（正确）。
📥 放入图谱：测评方法与实施 -> 存储机密性 -> 不当措施导致数据泄露
第31题 答案：BC
解析：
A项：OID 1.2.156.10197.1.501 对应SM2/SM3相关算法，而非SHA256WithRSA2048，推断错误。
B项：HTTPS证书中包含使用者公钥，可直接解析获得（正确）。
C项：可使用上级CA证书中的公钥对该证书签名进行验签，以验证证书合法性（正确）。
D项：算法套件标识{0xe0,0x13}不对应ECDHE_SM4_SM3，原题设定为错误示例（错误）。
📥 放入图谱：测评工具使用 -> 数字证书与TLS -> 证书信息与套件识别
第32题 答案：AC
解析：
A项：若可篡改请求数据包并得到期望响应，说明缺乏完整性保护（正确）。
B项：能否重放攻击通常归入“真实性/抗重放”问题，通信数据完整性并不直接等价于“不可重放”，该描述不严谨（错误）。
C项：仅通过观察握手阶段是否使用国密算法，并不能直接判断记录层是否真正启用了完整性保护（正确）。
D项：服务端证书可信只证明身份可信，并不能单独证明通信数据完整性（错误）。
📥 放入图谱：测评方法与实施 -> 传输完整性 -> 网络与通信层判定逻辑
第33题 答案：AD
解析：
A项：抓包发现重要数据明文传输，说明机密性保护失效（正确）。
B项：VPN设备没有商用密码认证证书只说明“不合规”，但不必然“不能保证机密性”，实际算法可能仍有加密效果，不能“一定不能”这样绝对判断（错误）。
C项：加密证书可信只说明密钥协商环节可信，不足以直接证明“整个通信能保证机密性”（错误）。
D项：即使用的密码套件是国外算法，只要算法安全、配置正确，也可以实现通信数据机密性和完整性，因此可以根据使用的密码套件判断是否具备相应能力（正确）。
📥 放入图谱：测评方法与实施 -> 传输机密性 -> 网络与通信层考点
第34题 答案：AB
解析：
A项：经认证的IPSec VPN本身就内置完整性保护访问控制信息的机制，可视为满足要求（正确）。
B项：防火墙访问控制信息经合规服务器密码机计算MAC并保存，属于典型完整性保护方式（正确）。
C项：自实现HMAC-SM3理论上可行，但自研实现如未经检测存在实现缺陷风险，GM/T0115侧重“经检测认证的产品/算法实现”，题目认定为不稳妥（错误）。
D项：仅用SM4-ECB加密访问控制信息，并不能有效防止修改（改密文但仍可解密为“合法格式”），不能视作完整性保护（错误）。
📥 放入图谱：测评方法与实施 -> 访问控制信息完整性 -> 网络边界设备
第35题 答案：ABC
解析：
A项：OTA平台与车之间通信实体鉴别，防止伪平台/伪车辆，是密评重点（正确）。
B项：从车企到OTA平台的升级包传输完整性保护，防篡改（正确）。
C项：车端下载OTA升级包的来源真实性和传输完整性直接关系到车端安全（正确）。
D项：车接入运营商网络认证属于运营商侧移动网接入安全，一般不纳入GM/T0115测评范围（错误）。
📥 放入图谱：测评方法与实施 -> 车联网场景 -> OTA升级密码应用测评
第36题 答案：BCD
解析：
A项：挑战-响应双向鉴别按GB/T 15843，双向鉴别往返消息不少于3次而非“至少4次”，所以A错误。
B项：至少3次消息可完整实现双向鉴别（正确）。
C项：静态口令鉴别时至少要确认口令不以明文传输（正确，对应《网络安全法》防窃听要求）。
D项：基于SM2证书身份鉴别时，除了验签，还需验证证书链与有效性（正确）。
📥 放入图谱：测评方法与实施 -> 真实性 -> 挑战-响应与证书验证
第37题 答案：AC
解析：
A项：HMAC-SM3 输出长度不应超过256bit，如果捕获到MAC长度远短于/不符规范，要分析是否为截断MAC等情形，是传输完整性测评点之一（正确）。
B项：HMAC-SHA1 输出长度为160bit，不是128bit，选项描述错误。
C项：SM2签名值长度约512bit（点坐标+扩展），抓包分析签名长度是否符合预期是合理的（正确）。
D项：除了观察长度，还应真正用CA公钥验签，单看长度不能证明正确性，因此“仅依赖长度分析”不充分；原题将D作为“技术”，但这里正确答案为AC，说明D描述不完整。
📥 放入图谱：测评方法与实施 -> 传输完整性 -> MAC/数字签名特征分析
第38题 答案：ABCD
解析：
A项：访谈管理员、核查设备是否有商用密码产品认证，是合规性基础（正确）。
B项：通过抓包解析算法/套件标识，判断是否采用合规算法（正确）。
C项：解析数字证书确认公钥算法、签名算法等是否合规（正确）。
D项：通过验证测试（正确/错误凭证）验证身份鉴别有效性（正确）。
📥 放入图谱：测评方法与实施 -> 身份鉴别 -> 网络与通信层测评方法
第39题 答案：ABCD
解析：
A项：数据库中重要数据应非明文存储，否则机密性失败（正确）。
B项：查看密码机日志核查密钥管理与计算是否符合声明，是验证其“如实调用”的重要手段（正确）。
C项：密文长度、格式是否符合算法特征，可辅助判断是否真实加密（正确）。
D项：抓取调用报文，核查指令内容、频率等是否合理，是GM/T0115附录B推荐方法（正确）。
📥 放入图谱：测评方法与实施 -> 存储机密性 -> 服务器密码机调用测评
第40题 答案：BCD
解析：
A项：题干中“第一、第二条是通用要求”这类表述不严谨，GM/T0115通用要求覆盖所有测评单元，不只“第一、第二条”，选项文字容易误导（故不选）。
B项：用协议分析工具看签名/MAC长度等格式是否符合预期（正确）。
C项：数字签名保护时，可用公钥对抓包的签名值进行验证（正确）。
D项：如果通过外接密码机等产品实现，需要核实其是否被真实、正确调用（正确）。
📥 放入图谱：测评方法与实施 -> 传输完整性 -> 应用与数据层重要数据
第41题 答案：ABCD
解析：
A项：登录数据库查看签名值长度是否符合算法特征（正确）。
B项：查看签名验签服务器日志，核查密钥管理与运算（正确）。
C项：生成测试数据并篡改，验证完整性校验是否能发现问题（正确，对应《网络安全法》要求“发现和处置安全风险”）。
D项：抓取调用报文，验证指令、调用频率等是否符合预期（正确）。
📥 放入图谱：测评方法与实施 -> 存储完整性 -> 签名验签服务器场景
第42题 答案：ACD
解析：
场景：工具接入条件不成熟。
A项：自行模拟被测系统搭建测评环境获取测评数据，是合理替代方案之一（正确）。
B项：与被测单位配合生成离线数据进行检测，也合理（正确）。
C项：在风险未可控情况下仍强行接入生产系统抓真实数据，违反《网络安全法》第21条“不得危害网络运行安全”的原则（错误）。
D项：若确实无法实施且不适用条件满足，可按程序判为“不适用”，但这里题目给出的正确答案是ACD，说明在“工具接入条件不成熟”情形下，不宜轻易放弃测评项；C是明显不正确操作。
📥 放入图谱：测评方法与实施 -> 过程规范 -> 现场条件不足时的处理
第43题 答案：BC
解析：
密码产品与调用者之间的通信数据主要指“指令与响应”：
A项：配置文件是静态配置，不是通信数据（错误）。
B项：调用指令报文可说明使用了哪些接口（正确）。
C项：响应报文能反映运算结果与状态（正确）。
D项：日志属于辅助证据，而非“通信数据本身”（错误）。
📥 放入图谱：测评方法与实施 -> 密码产品使用正确性 -> 指令与响应分析
第44题 答案：ABC
解析：
A项：访谈系统是否发生过密码应用安全事件，了解风险背景（正确）。
B项：有无事件处置记录，体现应急处置是否落实（正确）。
C项：制度/策略中是否明确事件发生后的上报机制，是第三级系统应急要求之一（正确，符合《网络安全法》第25条关于报告机制）。
D项：是否向密码管理部门提交报告视事件级别而定，不是所有第三级系统都“必须”向密码管理部门上报，因此表述过度（错误）。
📥 放入图谱：测评方法与实施 -> 应急处置 -> 第三级系统事件管理
第45题 答案：BC
解析：
A项：大量物联网终端接入可通过网络与通信安全层、物联网接入安全测评，不一定在“应用和数据层身份鉴别”中重复测（错误）。
B项：管理系统业务用户登录涉及应用层身份鉴别（正确）。
C项：运维用户登录同样是应用层身份鉴别重点（正确）。
D项：对感知节点设备软件配置/变更属于设备与计算层或终端侧身份鉴别，不归本测评点（错误）。
📥 放入图谱：测评方法与实施 -> 物联网平台 -> 应用与数据层身份鉴别
第46题 答案：ABCD
解析：
这些情况均会导致“身份鉴别”指标难以判为符合：
A项：拔出智能密码钥匙后长时间不自动退出，存在会话劫持风险（不符合）。
B项：智能密码钥匙认证证书未注明密码模块安全等级，难以证明达到三级系统的要求（不符合）。
C项：自建CA的密码产品未经检测认证，与《密码法》第23条“重要密码设备须检测认证”精神不符（不符合）。
D项：智能密码钥匙未导入SM2签名证书，无法实现所声称的证书鉴别（不符合）。
📥 放入图谱：测评方法与实施 -> 身份鉴别 -> 行政审批系统内部用户
第47题 答案：ABCD
解析：
在身份鉴别与不可否认性都依赖数字证书时，密评需：
A项：按GM/T 0037、0038核查证书认证系统部署合规性（正确）。
B项：核查KeyUsage等扩展项满足双证书体系、签名/加密用途分离（正确）。
C项：检查Signature、Issuer等字段是否与设计一致（正确）。
D项：用格式检测工具验证证书符合GB/T 20518（正确）。
📥 放入图谱：测评方法与实施 -> 不可否认性 -> 证书认证系统与证书核查
第48题 答案：AC
解析：
A项：二级信息系统责任方无权随意删减标准测评项，擅自剔除“日志完整性”不符合GM/T0115，只能判为“不符合”，不能“不适用”（错误判断，因此题目认为A本身是“说法错误”？——但正确答案为AC，表示B、D被视作正确，A、C为正确选项，这里按题库答案接受）。
更易理解为：题干问“说法正确的是”，A表示“责任方自行决定不纳入测评范围，测评人员判为不适用”——这是错误做法，所以A不应选；但题库给AC，我按题库结论整理：
B：有经正式评估、方案评估意见明确说明某项“不适用”，测评人员可据此判“不适用”（在评估结论合理前提下正确）。
C：方案中拟以风险控制措施替代，但实际条件不满足时，测评人员应按标准正常测评，这一做法正确。
D：多台通用设备一般需要合理抽样，而非随意“直接抽选”，表述不严谨。
按题库：AC 为正确，实际工作中应以GM/T 0116原文为准。
📥 放入图谱：测评方法与实施 -> 结果判定 -> “不适用/抽样测评”处理
第49题 答案：ABC
解析：
A项：5个对象全“符合”，测评单元自然“符合”（正确）。
B项：有“部分符合”+“符合”，整体只能“部分符合”（正确）。
C项：有“部分不符合”但仍有“符合”，整体也只能“部分符合”（正确）。
D项：若多数为“部分符合”，仍不能直接判整体“不符合”，只有存在明确“不符合”情形、且未通过整改时才整体“不符合”（选项把“2不符合+3部分符合”定为“不符合”，与分级思路不完全一致）。
📥 放入图谱：测评方法与实施 -> 结果判定 -> 测评对象到测评单元的汇总规则
第50题 答案：AB
解析：
HMAC-SM3 标准输出256bit，GM/T0115中对“截断长度”有要求：
A项：输出截断为128bit，会降低安全强度，通常只能判为“部分符合”（正确）。
B项：输出为标准256bit，若其他条件满足，有可能仍被判为“部分符合”（题目结合其他隐含条件而定）。
C、D项：384或512bit与SM3输出长度不符，表述错误。
📥 放入图谱：测评方法与实施 -> 日志完整性 -> HMAC-SM3输出长度判定
第51题 答案：ABC
解析：
A项：用SM4-CBC仅做加密，并未提供完整性保护，“日志完整性”应判不符合（正确）。
B项：二级系统要求至少二级模块，若仅一级，则“访问控制信息完整性”不满足（正确）。
C项：智能密码钥匙+签名验签服务器均经认证且鉴别机制符合标准，身份鉴别可以判“符合”（正确）。
D项：仅部署了二级服务器密码机，不代表“身份鉴别”就自动符合，还需核查机制本身，选项的绝对表述不正确。
📥 放入图谱：测评方法与实施 -> 结果判定 -> 模块等级与指标符合性
第52题 答案：ABC
解析：
A项：用户名+加盐SHA256口令+智能密码钥匙，整体强度较高，一般可以判为“符合”，而非“部分符合”，因此该判定错误（错误说法）。
B项：即使硬件合规，也要看身份鉴别整体机制是否符合（如是否单因素、是否有口令等），不能“一定为符合”（说法错误）。
C项：换发证书未标明模块等级，不应直接“判定仅一级”，需进一步核证旧证书或检测报告（错误）。
D项：PIN 长度≥6、尝试次数≤8，一般是符合GB/T 38556 的，判为“不符合”是错误，故D不是题目要指出的“错误判定”。
📥 放入图谱：测评方法与实施 -> 身份鉴别 -> 判定误区
第53题 答案：BD
解析：
A项：堡垒机使用“用户名+口令+短信验证码”，属于双/三因素身份鉴别，本身可判为“符合”，不应“一定部分符合”（错误）。
B项：通过SSL VPN接入内网后访问堡垒机的通道，是典型“远程管理通道”，可作为“远程管理通道安全”测评对象（正确）。
C项：应用服务器身份鉴别依赖堡垒机和后台机制，仅从管理员登录方式无法直接判定“部分符合”（错误）。
D项：智能密码钥匙模块仅为一级，而系统为三级，VPN网关身份鉴别安全等级未达要求（正确）。
📥 放入图谱：测评方法与实施 -> 远程管理通道 -> VPN+堡垒机场景
第54题 答案：CD
解析：
A项：TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA 中的完整性算法是HMAC-SHA，不是“CBC-MAC-AES-256”（错误）。
B项：若用证书内公钥验签失败，该证书无效，这一判定本身是对的，但题库给正确答案为CD，说明命题人认为还需考虑链上的其他因素，不宜简单凭一次验签失败就认定为“无效证书”。
C项：管理员在互联网直接访问堡垒机进行管理，该信道属于远程管理通道，应作为“远程管理通道安全”测评对象（正确）。
D项：两台SSL VPN 网关应分别作为两个测评对象（正确）。
📥 放入图谱：测评方法与实施 -> 远程管理通道 -> HTTPS/VPN场景判定
第55题 答案：AB
解析：
A项：系统投入运行前未制定密码应用方案，直接违反GM/T0115建设运行层要求，只能判“不符合”（正确）。
B项：2018投入运行、2023首次密评，建设阶段已过，无法再补做“投入运行前评估”，该项可按“不适用”处理（正确）。
C项：明文备份密钥严重违反《密码法》及《个保法》关于密钥与个人信息保护的要求，密钥管理策略显然有安全问题（错误）。
D项：未制定实施方案，不应判“部分符合”，而是“不符合”（错误）。
📥 放入图谱：测评方法与实施 -> 建设运行层 -> 方案与密钥管理
第56题 答案：ABD
解析：
A项：用AES-ECB取最后一块密文当MAC，属于不安全的“伪MAC”，最多“部分符合”，判为“部分符合”是错误，应为“不符合”（故A为错误判定）。
B项：SM4 CBC-MAC 且IV为随机数不符合CBC-MAC标准（IV通常固定），但题库认为该实现仍被视为符合（按题库答案，B为错误判定）。
C项：SM3杂凑用于完整性保护，可以判为“符合”，而题中判为“不符合”，属于错误判定。
D项：HMAC-SHA256时拼接方式错误（把MAC与消息拼接后再次HMAC），机制不标准，应判“不符合”，题中判“部分符合”也是错误。
📥 放入图谱：测评方法与实施 -> 访问控制信息完整性 -> MAC/杂凑正确使用
第57题 答案：BCD
解析：
A项：SM2签名值长度通常为512bit，把256bit简单等同于“未用SM2”结论过度（错误判定）。
B项：HMAC-SM3 长度256bit，若仅见128bit字段就断定“不是HMAC-SM3”，忽略截断可能，是错误（错误判定，故B为错误）。
C项：口令长度≥6、错误次数≤10，一般是符合GM/T 0027 的，判为“不符合”是错误（故C为错误）。
D项：两名操作员使用同一张证书，违反职责分离、身份唯一性的安全原则，不应被判为“符合”，该判定错误（故D为错误）。
📥 放入图谱：测评方法与实施 -> 结果判定 -> 字段长度/证书使用误判案例
以下为**“测评工具使用”部分 46题**的解析与归类（同样按题库给出的正确答案整理）：
工具部分第1题 答案：ABCD
解析：通过数字证书格式可解析出签名算法（A）、有效期（B）、公钥值（C）、密钥用法（D），这些字段都在证书结构中（正确）。
📥 放入图谱：测评工具使用 -> 数字证书分析 -> 可解析字段
工具第2题 答案：ABCD
解析：版本号、序列号、签名算法、主体信息都在证书tbsCertificate结构中，可从格式解析得到（均正确）。
📥 放入图谱：测评工具使用 -> 数字证书分析 -> 基本字段
工具第3题 答案：AD
解析：
A：Base64能把二进制转可打印字符，便于传输（正确）。
B：编码后数据更大而不是更小（错误）。
C：Base64不是加密，只是编码（错误）。
D：可避免某些控制字符在传输中被截断或转义（正确）。
📥 放入图谱：测评工具使用 -> 编码与格式 -> Base64特性
工具第4题 答案：BD
解析：
A：256bit 杂凑长度与SHA-1不符（SHA-1为160bit）（错误）。
B：256bit 符合SM3特征（正确）。
C：若每用户不同盐，则相同口令的杂凑一般不同，很难出现“少许相同”现象（通常错误）。
D：未加盐时，不同用户使用相同口令会产生相同杂凑值，出现少许碰撞较合理（正确）。
📥 放入图谱：测评工具使用 -> 杂凑分析 -> 盐与碰撞现象
工具第5题 答案：AD
解析：
A：icmp and ip.dst==… 过滤ICMP且目标IP为…（正确）。
B：dns.dstport并非合法字段名，应是udp.dstport/ tcp.dstport，表达错误。
C：MAC地址应用eth.dst，而非udp.dstport字段（错误）。
D：eth.dst==MAC 能过滤目标MAC为某值的数据包（正确）。
📥 放入图谱：测评工具使用 -> Wireshark过滤 -> IP/以太网字段
工具第6题 答案：CD
解析：
A、B：VPN终端与网关间使用SSL，网关或外侧交换机上可捕获SSL报文（可行）。
C、D：内网应用服务器与核心交换机处看到的是“解密后的普通业务流量”，已非SSL报文（无法捕获SSL协议数据，正确答案）。
📥 放入图谱：测评工具使用 -> 抓包位置选择 -> SSL VPN场景
工具第7题 答案：AB
解析：后缀.cer可能是Base64（PEM）或DER（二进制）两种编码方式（A、B正确），C、D是纠错码，与证书编码无关。
📥 放入图谱：测评工具使用 -> 数字证书文件 -> 容器与编码
工具第8题 答案：ABCD
解析：Wireshark、端口扫描、渗透测试、逆向分析都可辅助密评发现密码应用问题（均正确）。
📥 放入图谱：测评工具使用 -> 工具分类 -> 抓包/扫描/渗透/逆向
工具第9题 答案：AB
解析：要抓取IPSec VPN两端网关之间的隧道数据，应在两个VPN设备处接入采集（A、B），在用户PC处看到的是解封装后的明文通信（C、D不适合）。
📥 放入图谱：测评工具使用 -> 抓包位置选择 -> IPSec双网关场景
工具第10题 答案：ABC
解析：抓包文件典型扩展名为 .pcap、.pcapng、.cap（A、B、C），.cer是证书文件后缀（不是抓包文件）。
📥 放入图谱：测评工具使用 -> 抓包文件 -> 常见格式
工具第11题 答案：ABCD
解析：加盐SHA-256验证正确性需知道盐值（A）、口令明文（B）、目标杂凑值（C）以及盐与口令的拼接方式（D），四项缺一不可。
📥 放入图谱：测评工具使用 -> 杂凑验证 -> 加盐口令
工具第12题 答案：ABCD
解析：Wireshark可解析多种密码套件名称，题中四种均为可能出现的命名形式（ABCD）。
📥 放入图谱：测评工具使用 -> 协议分析 -> TLS密码套件解析
工具第13题 答案：ABD
解析：
A：抓取调用密码机指令报文分析接口使用情况（正确）。
B：管理员检查配置与密钥存储、算法使用情况（正确）。
C：Bus Hound是总线嗅探工具，对硬件卡类设备适用，但对密码机未必通用，题库认为不作为主要技术（不选）。
D：查看密码机日志核查操作记录（正确）。
📥 放入图谱：测评工具使用 -> 密码机测评 -> 指令/配置/日志
工具第14题 答案：AB
解析：
A：远程终端上可抓到与SSL VPN之间的SSL通信（正确）。
B：SSL VPN设备上也可抓取该通信（正确）。
C、D：堡垒机与通用服务器处看到的是VPN解密后的业务流量，捕获不到外层SSL握手报文（错误）。
📥 放入图谱：测评工具使用 -> 抓包位置选择 -> 远程管理链路
工具第15题 答案：ACD
解析：
A：可验证证书签名算法实现正确性。
B：随机性检测不适用于“证书”本身（错误）。
C：用ASN.1工具解析证书结构是常用方法。
D：可验证证书中标明的杂凑算法实现是否正确。
📥 放入图谱：测评工具使用 -> 数字证书分析 -> 辅助技术
工具第16题 答案：ABCD
解析：ASN.1基本类型包括INTEGER、BOOLEAN、OCTET STRING以及结构类型SET（ABCD）。
📥 放入图谱：测评工具使用 -> ASN.1编码 -> 基本类型
工具第17题 答案：AC
解析：
A：SM2密文前64字节为曲线上点坐标，可用于判断是否SM2密文（正确）。
B：仅知道公钥无法解密，不能通过“加密比对密文”方式验证（错误）。
C：SM2密文长度较明文多出固定结构（约96字节），长度差可作为佐证（正确）。
D：固定512字节不一定正确，受明文长度影响（错误）。
📥 放入图谱：测评工具使用 -> 算法识别 -> SM2密文结构
工具第18题 答案：ABC
解析：
A：tcpdump采集+Wireshark分析是常见组合（正确）。
B：交换机端口镜像+离线分析也常用（正确）。
C：用户PC上直接装Wireshark抓与VPN之间流量（正确）。
D：在应用服务器上抓“网络层”流量查看SSL VPN外层加密流并不现实，服务器看到的是内层明文（不推荐）。
📥 放入图谱：测评工具使用 -> 抓包方式 -> 在线/离线组合
工具第19题 答案：ABD
解析：
随机性检测包括单比特频数、块内频数、扑克检测等（A、B、D正确），“块间频数”不是GM/T0005明确的单独检测项名。
📥 放入图谱：测评工具使用 -> 随机性检测 -> 常用统计测试
工具第20题 答案：BC
解析：
{0x30,0x12,…}：0x30表示SEQUENCE（B），0x12表示后续数据长度为18字节（C）。A“无序结构”错误，D“12字节”错误。
📥 放入图谱：测评工具使用 -> ASN.1编码 -> 简单长度编码解析
工具第21题 答案：AB
解析：IPSec ISAKMP主模式中可看到签名证书和加密证书（A、B），快速模式负载内容被保护，无法直接获取（C错）；响应方临时密钥不会明文出现（D错）。
📥 放入图谱：测评工具使用 -> IPSec协议分析 -> ISAKMP主/快速模式信息
工具第22题 答案：AD
解析：
{0x02,0x12,…}：0x02为INTEGER（A），0x12（18）表示长度18字节（D）；B为序列错误，C“12字节”错误。
📥 放入图谱：测评工具使用 -> ASN.1编码 -> INTEGER长度
工具第23题 答案：AD
解析：OID 1.2.156.10197.1.301 表示SM2公钥算法（A），不直接说明签名算法是“SM3withSM2Encryption”（B错）；颁发者使用的公钥算法可能不同（C不必然）；SM2公钥长度为64字节（不含编码）（D正确）。
📥 放入图谱：测评工具使用 -> 数字证书分析 -> OID与SM2公钥
工具第24题 答案：AD
解析：
0x30 表示SEQUENCE（A），0x82表示后面2字节表示长度，0x01,0x00 组合为256十进制，所以长度256字节（D）；B、C数字不符。
📥 放入图谱：测评工具使用 -> ASN.1编码 -> 长长度形式
工具第25题 答案：AC
解析：
0x30 表示SEQUENCE（A），0x81表示后面1字节表示长度，该字节为0xFF=255十进制（C）；81不是长度，D“129字节”错误。
📥 放入图谱：测评工具使用 -> ASN.1编码 -> 长度编码(0x81形式)
工具第26题 答案：BCD
解析：
OID 1.2.156.10197.1.501 代表SM3withSM2签名算法（B正确）；颁发者公钥为SM2（C正确）；签名值长度约64字节（不含编码）（D正确）；但证书中公钥类型不一定就是SM2（A不一定正确）。
📥 放入图谱：测评工具使用 -> 数字证书分析 -> 签名OID
工具第27题 答案：ABC
解析：
A：终端上能看到安全浏览器与SSL VPN之间的SSL报文。
B：SSL VPN内部可看到解密/加密前的对应数据。
C：两者之间的链路上抓包也可捕获SSL报文。
D：内网服务器看到的是VPN解密后的业务流量，非SSL报文。
📥 放入图谱：测评工具使用 -> 抓包位置 -> 安全浏览器+SSL VPN
工具第28题 答案：ACD
解析：
A：应用调用签名验签服务器报文中可获得合同数据与签名值。
B：受SSL保护信道中抓到的是加密后的记录，除非有密钥，否则不便直接提取（不选）。
C：用户端最终接收的是明文合同+签名，可直接提取。
D：应用服务器本地也有明文合同+签名。
📥 放入图谱：测评工具使用 -> 数据获取 -> 签名数据采集位置
工具第29题 答案：AB
解析：
A：tcp.port==80 过滤源/目标端口为80的TCP包（正确）。
B：ip.src==… and ip.dst==… 明确源和目标IP（正确）。
C：ip.addr==… and not tcp.port==22 不能限定“目标IP”，而是源或目标之一；描述错误。
D：ip.addr==192.168.1.1 and ip.addr==192.168.1.2 实际上等价于“任一端为1.1且任一端为1.2”，不能表示“源=1.1且目标=1.2”（易误解）。
📥 放入图谱：测评工具使用 -> Wireshark过滤 -> ip.addr用法陷阱
工具第30题 答案：ABCD
解析：
tcp.port==443（A）、ip.addr==…（B）、arp.src.hw_mac==…（C）、http.response.code==200（D）都是合理的过滤用法。
📥 放入图谱：测评工具使用 -> Wireshark过滤 -> 常见表达式
工具第31题 答案：AB
解析：
keyUsage中digitalSignature、nonRepudiation置位时通常表示“签名用途”（A、B），keyAgreement、keyEncipherment更多用于密钥协商/加密。
📥 放入图谱：测评工具使用 -> 数字证书分析 -> keyUsage判断用途
工具第32题 答案：ABD
解析：AES支持128、192、256bit密钥（A、B、D），512bit不是AES标准密钥长度。
📥 放入图谱：测评工具使用 -> 密码算法知识 -> AES密钥长度
工具第33题 答案：ABCD
解析：Wireshark、tcpdump、BusHound（硬件总线）、Fiddler（HTTP代理抓包）均可用于协议数据采集（ABCD）。
📥 放入图谱：测评工具使用 -> 抓包工具 -> 网络与总线
工具第34题 答案：ABCD
解析：证书文件常见后缀有cer、crt、der、pem，分别对应不同容器或编码方式。
📥 放入图谱：测评工具使用 -> 数字证书文件 -> 常见后缀
工具第35题 答案：ABC
解析：Base64的64字符包括A–Z、a–z、0–9、以及“+”“/”（即ABC），不包含“$”。
📥 放入图谱：测评工具使用 -> 编码与格式 -> Base64字符集
工具第36题 答案：BCD
解析：X.509证书结构包括tbsCertificate、signatureAlgorithm、signatureValue（BCD），tbsCertList是CRL结构中的字段。
📥 放入图谱：测评工具使用 -> 数字证书与CRL -> 结构区分
工具第37题 答案：ACD
解析：CRL结构中含tbsCertList、signatureAlgorithm、signatureValue（ACD），不含tbsCertificate。
📥 放入图谱：测评工具使用 -> CRL分析 -> 结构字段
工具第38题 答案：ABCD
解析：160字节密文长度可能来自多种算法与填充（SM4、AES各模式、DES多块等），仅凭长度无法确定具体算法，因此四项“可能为”都不排除。
📥 放入图谱：测评工具使用 -> 密文分析 -> 仅凭长度的局限
工具第39题 答案：ABC
解析：256bit杂凑长度可能对应SHA3-256、SM3、SHA-256（ABC），不可能是SHA1（160bit）。
📥 放入图谱：测评工具使用 -> 杂凑分析 -> 通过长度初步识别算法
工具第40题 答案：ACD
解析：密码算法合规性检测通常针对SM3、ZUC、SM9等国家密码算法（ACD），虹膜识别不属密码算法。
📥 放入图谱：测评工具使用 -> 算法合规性检测 -> 国密算法范围
工具第41题 答案：BD
解析：
A：在客户端上确可捕获SSL握手数据包（说法正确，不在“描述不正确”之列）。
B：并非“一定”能看到双方证书，如使用ECC匿名套件（错误）。
C：可查看协商的密钥协商算法（正确）。
D：没有双方法定密钥无法解密记录层数据（“可以不需要密钥就解密”是错误）。
📥 放入图谱：测评工具使用 -> SSL抓包 -> 能与不能做到的事
工具第42题 答案：ABD
解析：通过IPSec数据可看到协商的密码算法（A）、双方证书（B）、封装协议（ESP/AH）等（D），但看不到协商出的会话密钥（C）。
📥 放入图谱：测评工具使用 -> IPSec协议分析 -> 可见信息范围
工具第43题 答案：ACD
解析：CA对RSA证书签名可能使用RSA（如RSA-2048）、SM2、ECDSA（ACD），HMAC-SHA256不是数字签名算法。
📥 放入图谱：测评工具使用 -> 数字证书签名 -> 常见签名算法
工具第44题 答案：AB
解析：GM/T 0005 包括单比特频数、自相关等随机性指标（AB），“完整性”“不可否认性”不属于随机性特性。
📥 放入图谱：测评工具使用 -> 随机性检测 -> GM/T0005指标
工具第45题 答案：AD
解析：通过SSL数据可看到ClientHello/ServerHello中的密码套件（A）、服务端证书（D）；不能直接看到派生的主密钥（B）或解密ESP报文（C）。
📥 放入图谱：测评工具使用 -> SSL/TLS分析 -> Hello/证书信息
工具第46题 答案：ABCD
解析：分析证书通常要看格式结构（A）、密钥用途（B）、验证签名（C）、验证证书链（D），四项皆为必要内容。
📥 放入图谱：测评工具使用 -> 数字证书分析 -> 全面检查要点
如果你还希望我单独抽出某一类知识点（比如“身份鉴别”“随机性检测”）按图谱结构再整理一遍，可以告诉我，我可以按“知识大纲”的形式再帮你梳理一版便于记忆的笔记。