参考答案:
【问题1】：
通过安全策略设置密码的最小长度，设置口令锁定，使用通信加密技术，对存储在数据库中的数据进行加密、设置访问控制等。
对于用户名称的测试关键在于测试用户名称的唯一性：
1.同时存在的用户名称在不考虑大小写的状态下，不能同名。
2.对于关键领域的软件产品和安全性要求较高的软件，应当同时保证使用过的用户在用户删除或停用后，保留该用户记录，并且新用户不得与该用户同名。
测试用户口令的强度和口令存储的位置和加密强度：
1.最大口令时效
2.最小口令时效
3.口令历史
4.最小口令长度
5.口令复杂度
6.加密选项
7.口令锁定
8.账户复位
【问题2】：
功能测试：
•是否支持AES、RSA等常用加密算法。
•是否提供外部接口以支持用户证书及私钥的导入。
•是否提供外部接口支持将数据传入Key内，经过公钥/私钥计算后导出。
•是否能实现USB Key插入状态实时监测，当USB Key意外拨出时是否能自动锁定用户状态。
•是否使用口令进行保护。
性能测试：
•是否具备私钥不能导出的基本安全特性 Key内加解密算法的执行效率。
•是否满足系统最低要求。
【问题3】：
对证书业务服务系统的功能测试：
1.证书认证系统是否采用国际密码主管部门审批的签名算法完成签名操作，是否提供证书的签发和管理、证书撤销列表的签发和管理、证书/证书撤销列表的发布以及证书审核注册中心的设立、审核及管理等功能。
2.按使用对象分类，系统是否能提供人员证书、设备证书、机构证书三种类型的证书。
3.是否可以提供加密证书和签名证书。
4.数字证书格式是否采用X.509 V4。
5.系统是否提供证书申请、身份审核、证书下载等服务功能。
6.证书申请、身份审核、证书下载等服务是否都可采用在线或离线两种方式。
7.系统是否提供证书认证策略及操作策略管理、自身证书安全管理等证书管理服务。
证书业务服务系统性能测试：
1.检查证书业务服务系统设计的处理性能是否具备可伸缩配置及扩展的能力。
2.关键部分是否采用双机热备份和磁盘镜像。
3.是否满足系统的不间断运行、在线故障修复和在线系统升级。
4.是否满足需求说明中预测的最大数量用户正常访问的需求，并且，是否有3~4倍的冗余，如有必要，需要测试系统的并发压力承受能力。
详细解析:
【问题1】
口令攻击目前常见的方式有：社会工程学；暴力破解；弱口令扫描；密码监听等，对于网校网站针对社会工程学方面仅能友善提醒相关人员保护密码；对于密码监听，可以采用通信加密的方式来从技术方面进行一定的保护；对于弱口令扫描，可以通过配置安全策略让用户设置一个安全密码，避免设置弱密码，增加口令破解的难度，同时设置密码锁定策略，可以有效的方式密码扫描和暴力破解；对于存储在数据库服务器中的用户密码则可以通过加密方式和数据库的访问控制来保证密码存储的安全。
对于用户名称的测试关键在于测试用户名称的唯一性。唯一性的体现基本基于以下两个方面：
1）同时存在的用户在不考虑大小写的状态下，不能够同名。
2）对于关键领域的软件产品和安全性要求较高的软件，应当同时保证使用过的用户在用户删除或停用后，保留该用户记录，并且新用户不得与该用户同名。
用户口令应当满足当前流行的控制模式，注意测试用户口令的强度和口令存储的位置和加密强度：
最大口令时效
最小口令时效
口令历史
最小口令长度
口令复杂度
加密选项
口令锁定
账户复位
【问题2】
功能测试：
•是否支持AES、RSA等常用加密算法。
•是否提供外部接口以支持用户证书及私钥的导入。
•是否提供外部接口支持将数据传入Key内，经过公钥/私钥计算后导出。
•是否能实现USB Key插入状态实时监测，当USB Key意外拨出时是否能自动锁定用户状态。
•是否使用口令进行保护。
性能测试：
•是否具备私钥不能导出的基本安全特性 Key内加解密算法的执行效率。
•是否满足系统最低要求。
【问题3】
对证书业务服务系统的功能测试：
证书认证系统是否采用国际密码主管部门审批的签名算法完成签名操作，是否提供证书的签发和管理、证书撤销列表的签发和管理、证书/证书撤销列表的发布以及证书审核注册中心的设立、审核及管理等功能。
按使用对象分类，系统是否能提供人员证书。
是否可以提供加密证书和签名证书。
数字证书格式是否采用X.509 V4。
系统是否提供证书申请、身份审核、证书下载等服务功能。
证书申请、身份审核、证书下载等服务是否都可采用在线或离线两种方式。
系统是否提供证书认证策略及操作策略管理、自身证书安全管理等证书管理服务。
证书业务服务系统性能测试：
检查证书业务服务系统设计的处理性能是否具备可伸缩配置及扩展的能力。
关键部分是否采用双机热备份和磁盘镜像。
是否满足系统的不间断运行、在线故障修复和在线系统升级。
是否满足需求说明中预测的最大数量用户正常访问的需求，并且，是否有3~4倍的冗余，如有必要，需要测试系统的并发压力承受能力。