信息安全技術(shù)-智能聯(lián)網(wǎng)設(shè)備口令保護(hù)指南

GB/TXXXXX—XXXXII信息安全技術(shù)智能聯(lián)網(wǎng)設(shè)備口令保護(hù)指南范圍本標(biāo)準(zhǔn)規(guī)定了智能聯(lián)網(wǎng)設(shè)備的帳號和口令在生成、管理和使用等方面的安全技術(shù)要求。本標(biāo)準(zhǔn)適用于指導(dǎo)智能聯(lián)網(wǎng)設(shè)備生產(chǎn)制造商安全設(shè)計和實現(xiàn)口令保護(hù)功能，也可作為智能聯(lián)網(wǎng)設(shè)備的口令安全使用、監(jiān)督、檢查和指導(dǎo)的依據(jù)。規(guī)范性引用文件下列文件對于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅所注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。GB/T25069信息安全技術(shù)術(shù)語術(shù)語和定義GB/T25069中界定的及下列術(shù)語和定義適用于本文件。智能聯(lián)網(wǎng)設(shè)備IntelligentConnectedDevice具有接入網(wǎng)絡(luò)進(jìn)行通信的能力，并且具有數(shù)據(jù)采集，數(shù)據(jù)存儲或數(shù)據(jù)處理能力的設(shè)備。本標(biāo)準(zhǔn)中的智能聯(lián)網(wǎng)設(shè)備主要是指物聯(lián)網(wǎng)中的端設(shè)備，包括網(wǎng)絡(luò)攝像頭、智能家電、網(wǎng)絡(luò)機(jī)頂盒、智能投影儀、家用路由器、智能音箱等，不包括計算機(jī)、手機(jī)等通用計算設(shè)備。弱秘密WeakSecret一種能夠方便地讓人記住的秘密值，這意味著該秘密值的熵是局限的，有可能通過給定的正確猜想和不正確猜想的知識，猜到此秘密值。口令Password用于身份鑒別的秘密的字、短語、數(shù)或字符序列，通常是被默記的弱秘密。弱口令WeakPassword容易被別人猜測或被破解工具破解的口令。默認(rèn)口令DefaultPassword設(shè)備出廠時廠商預(yù)置于設(shè)備中，用于在初始設(shè)置或恢復(fù)默認(rèn)設(shè)置狀態(tài)下訪問設(shè)備的口令。隨機(jī)性Randomness具有某一概率的事件集合中各個事件所表現(xiàn)出來的不可預(yù)測性。帳號Account在特定上下文中，可以唯一標(biāo)識主體身份的一段信息，也稱為用戶名。人機(jī)帳號Human-ComputerAccount指人和智能聯(lián)網(wǎng)設(shè)備之間進(jìn)行標(biāo)識人的身份的帳號。機(jī)機(jī)帳號Computer-ComputerAccount智能聯(lián)網(wǎng)設(shè)備與設(shè)備之間、設(shè)備與平臺之間等進(jìn)行標(biāo)識機(jī)器或系統(tǒng)身份的帳號。概述由于物聯(lián)網(wǎng)等云平臺特點和智能聯(lián)網(wǎng)設(shè)備的處理能力的不同，口令鑒別的實現(xiàn)方式可以分為兩種情況：第一種情況，口令鑒別過程在智能聯(lián)網(wǎng)設(shè)備中進(jìn)行。第二種情況，口令鑒別的過程通過平臺進(jìn)行，如客戶端通過云平臺進(jìn)行用戶口令鑒別。詳細(xì)情況參見附錄A。第二種情況在本質(zhì)上是平臺代替智能聯(lián)網(wǎng)設(shè)備執(zhí)行了口令鑒別。因此，本標(biāo)準(zhǔn)中對于帳號和口令的安全技術(shù)要求在兩種情況下都適用。口令作為鑒別憑證一般與作為用戶身份標(biāo)識的帳號相關(guān)聯(lián)，為了安全的需要，帳號需要遵循一定的規(guī)則，帳號的一些關(guān)鍵屬性也需要進(jìn)行限制，帳號的安全是口令保護(hù)中非常重要的一個環(huán)節(jié)。本標(biāo)準(zhǔn)從帳號安全和口令安全兩個方面來提出保護(hù)的規(guī)則和要求，并且提出用戶安全的使用和管理帳號口令的指導(dǎo)。帳號安全要求帳號生成帳號生成要求如下：設(shè)備中帳號應(yīng)具有唯一性；在新建或修改帳號時，應(yīng)提供命名規(guī)則檢查功能。帳號使用帳號使用要求如下：所有帳號都應(yīng)公開；應(yīng)禁用或刪除第三方或開源軟件中不使用的默認(rèn)帳號。帳號管理帳號管理要求如下：應(yīng)為管理員提供帳號添加、刪除、修改、查詢等功能；應(yīng)提供可配置的帳號鎖定策略。如帳號到期鎖定，連續(xù)多次輸入錯誤口令鎖定帳號等；所有帳號都應(yīng)被設(shè)備管理員管理。日志要求全部用戶對帳號的所有操作均應(yīng)記錄日志，日志內(nèi)容應(yīng)包括用戶ID、操作內(nèi)容、IP地址、時間、操作結(jié)果等信息。口令安全要求口令生成口令生成要求如下：應(yīng)支持可擴(kuò)展的口令復(fù)雜度策略?；静呗詢?nèi)容如下：用戶設(shè)置的口令長度不少于8個字符，設(shè)備自動生成的隨機(jī)口令長度不少于6個字符；口令允許的最大長度不少于64個字符；口令應(yīng)至少包含數(shù)字、小寫字母、大寫字母以及特殊字符中的兩類字符。自動生成的口令應(yīng)具有隨機(jī)性；對于出廠時采用激活機(jī)制的智能聯(lián)網(wǎng)設(shè)備，用戶第一次訪問設(shè)備時，通過為設(shè)備設(shè)置管理員口令來激活設(shè)備，未激活的設(shè)備應(yīng)拒絕除激活以外的其它操作；對于出廠時采用默認(rèn)口令的智能聯(lián)網(wǎng)設(shè)備，應(yīng)為每個設(shè)備帳號隨機(jī)生成默認(rèn)口令，每次登錄時應(yīng)提醒用戶修改口令，直到修改默認(rèn)口令為止?？诹钍褂每诹钍褂靡笕缦拢嚎诹顐鬏攽?yīng)采用安全傳輸通道或者加密后傳輸；應(yīng)默認(rèn)對輸入框中的口令進(jìn)行掩蓋顯示；應(yīng)禁止口令從輸入框中復(fù)制的功能；用戶登錄成功后無法查看自己的口令；對口令的鑒別過程應(yīng)具備防暴力破解功能，如錯誤登錄嘗試超過設(shè)定次數(shù)后鎖定操作帳號或者操作IP一段時間?？诹罟芾砜诹罟芾硪笕缦拢核锌诹疃紤?yīng)可修改，如應(yīng)禁止使用硬編碼口令等；用戶修改口令前，應(yīng)提供驗證舊口令以及對新口令再次確認(rèn)的功能；存儲口令時應(yīng)加密，加密算法按照國家有關(guān)規(guī)定執(zhí)行；存儲的口令應(yīng)具有防破解機(jī)制，如加鹽等；應(yīng)使用操作系統(tǒng)的訪問控制功能限制對口令文件的訪問；應(yīng)防止口令存儲文件被篡改；應(yīng)提供在忘記帳號或者口令的情況下，通過物理按鍵或者其它的安全方式將設(shè)備恢復(fù)到出廠狀態(tài)的功能；口令復(fù)雜度策略應(yīng)可配置，應(yīng)支持管理員根據(jù)應(yīng)用場景配置強(qiáng)化的口令復(fù)雜度策略；應(yīng)具備顯示口令安全強(qiáng)度的能力。日志要求全部用戶對口令的所有操作均應(yīng)記錄日志，日志內(nèi)容應(yīng)包括用戶ID、操作內(nèi)容、IP地址、時間、操作結(jié)果等信息。用戶安全要求用戶使用和管理帳號、口令的安全要求如下：用戶應(yīng)修改設(shè)備的默認(rèn)口令；用戶應(yīng)為不同的設(shè)備設(shè)置不同的口令；用戶不應(yīng)使用過去曾被泄露的口令；用戶不應(yīng)使用弱口令，常見的弱口令包括但不限于：不符合復(fù)雜度策略的口令；字典中的單詞；重復(fù)或順序的字符（如：“aaaaaaaa”,“1234abcd”）；上下文相關(guān)的字眼，如服務(wù)名稱、用戶名或其派生物。用戶應(yīng)妥善保管所使用的帳號和口令；用戶不應(yīng)明文存儲、傳輸口令；用戶應(yīng)定期對口令進(jìn)行修改；當(dāng)有跡象足以顯示賬號口令可能遭破解時，應(yīng)立即更改口令，并以安全事件方式及時上報；設(shè)備人機(jī)帳號、機(jī)機(jī)帳號應(yīng)采用不同的帳號。（資料性附錄）云平臺口令鑒別云平臺的典型部署模式如下圖所示：云平臺部署圖在這種模式下口令鑒別在客戶端和云平臺之間完成，云平臺和智能聯(lián)網(wǎng)設(shè)備通過自定義的安全協(xié)議進(jìn)行認(rèn)證，如基于數(shù)字證書的機(jī)機(jī)賬號認(rèn)證等，并且通過設(shè)備的唯一標(biāo)識與客戶端登錄的賬號進(jìn)行綁定。在通過口令鑒別后，客戶端和智能聯(lián)網(wǎng)設(shè)備之間的通信可以采用以下兩種方式：客戶端和智能聯(lián)網(wǎng)設(shè)備之間的通信由平臺轉(zhuǎn)發(fā)；平臺建立一條客戶端和智能聯(lián)網(wǎng)設(shè)備之間的直接的路由。參?考?文?獻(xiàn)[1]GB/T33474—2016物聯(lián)網(wǎng)參考體系結(jié)構(gòu)[2]GB/T33745—2017物聯(lián)網(wǎng)術(shù)語[3]工業(yè)和信息化部電信研究院，物聯(lián)網(wǎng)白皮書（2011年），2011年5月[4]ISO/IEC20180:2012Telecommunicationsandinformationexchangebetweensystems—Securityframeworkforubiquitoussensornetworks[5]IEC62443-1-1:2009Industrialcommunicationnetworks—Networkandsystemsecurity—Part1-1Terminology,conceptsandmodels[6]ITU-TY.2060:OverviewoftheInternetof