ICS點(diǎn)擊此處添加ICS號(hào)

CCS點(diǎn)擊此處添加CCS號(hào)

SDBMXH

團(tuán)體標(biāo)準(zhǔn)

T/SDBMXH2023—XXXX

基于國(guó)密動(dòng)態(tài)令牌身份認(rèn)證管理系統(tǒng)

技術(shù)規(guī)范

IdentityAuthenticationManagementSystemBasedonGMDynamicToken

Technicalspecification

（征求意見(jiàn)稿）

（本草案完成時(shí)間：2023.9.21）

在提交反饋意見(jiàn)時(shí)，請(qǐng)將您知道的相關(guān)專利連同支持性文件一并附上。

2023-XX-XX發(fā)布2023-XX-XX實(shí)施

山東省保密協(xié)會(huì)發(fā)布

T/SDBMXH2023—XXXX

基于國(guó)密動(dòng)態(tài)令牌身份認(rèn)證管理系統(tǒng)

技術(shù)規(guī)范

1范圍

本文件規(guī)定了基于國(guó)密動(dòng)態(tài)令牌身份認(rèn)證管理系統(tǒng)（以下簡(jiǎn)稱“認(rèn)證系統(tǒng)”）的總體框架，設(shè)計(jì)要

求、功能要求以及系統(tǒng)功能的測(cè)試方法。

本文件適用于基于國(guó)密動(dòng)態(tài)令牌身份認(rèn)證管理系統(tǒng)。

2規(guī)范性引用文件

下列文件中的內(nèi)容通過(guò)文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，

僅該日期對(duì)應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本

文件。

GB/T38556—2020信息安全技術(shù)動(dòng)態(tài)口令密碼應(yīng)用技術(shù)規(guī)范

3術(shù)語(yǔ)、定義和縮略語(yǔ)

術(shù)語(yǔ)和定義

下列術(shù)語(yǔ)和定義適用于本文件。

3.1.1

動(dòng)態(tài)密碼（動(dòng)態(tài)口令）one-time-password，dynamicpassword

由種子密鑰與其它數(shù)據(jù)，通過(guò)特定算法，運(yùn)算生成的一次性密碼口令。

3.1.2

動(dòng)態(tài)令牌one-time-passwordtoken，dynamictoken

生成并顯示動(dòng)態(tài)密碼的載體。

[來(lái)源：GB/T38556—2020,3.2]

3.1.3

種子密鑰seedkey

即令牌種子密鑰，計(jì)算動(dòng)態(tài)口令的密鑰。

[來(lái)源：GB/T38556—2020,3.3]

3.1.4

靜態(tài)口令staticpassword

用戶設(shè)置的，除非用戶主動(dòng)修改，否則不會(huì)發(fā)生變化的口令。

[來(lái)源：GB/T38556—2020,3.4]

3.1.5

接入設(shè)備AccessDevice

接入基于國(guó)密動(dòng)態(tài)令牌身份認(rèn)證管理系統(tǒng)的所有類型應(yīng)用系統(tǒng)、網(wǎng)絡(luò)設(shè)備、操作系統(tǒng)。

縮略語(yǔ)

下列縮略語(yǔ)適用于本文。

AD：活動(dòng)目錄（ActiveDirectory）

AAA：認(rèn)證、授權(quán)、審計(jì)（Authentication、Authorization、Auditing）

LDAP：輕型目錄訪問(wèn)協(xié)議（LightweightDirectoryAccessProtocol）

1

T/SDBMXH2023—XXXX

HTTPAPI：基于HTTP（HypertextTransferProtocol）協(xié)議定義的應(yīng)用程序接口(Application

ProgrammingInterface)

SSL：安全套接層（SecureSocketLayer）

SM3:SM3密碼雜湊算法

PIN：個(gè)人身份識(shí)別碼（PersonalIdentificationNumber）

Radius：遠(yuǎn)程用戶撥號(hào)認(rèn)證系統(tǒng)（RemoteAuthenticationDialInUserService）

TACACS+：終端訪問(wèn)控制器訪問(wèn)控制系統(tǒng)（TerminalAccessControllerAccess-ControlSystem

Plus）

4總體框架

基于國(guó)密動(dòng)態(tài)令牌身份認(rèn)證管理系統(tǒng)由身份認(rèn)證管理系統(tǒng)、國(guó)密動(dòng)態(tài)令牌、用戶自助服務(wù)以及認(rèn)

證插件構(gòu)成，結(jié)合外部用戶源（AD/LDAP）為應(yīng)用系統(tǒng)、網(wǎng)絡(luò)設(shè)備以及操作系統(tǒng)等接入設(shè)備提供動(dòng)態(tài)密

碼身份認(rèn)證服務(wù)。認(rèn)證系統(tǒng)如圖1所示。

圖1基于國(guó)密動(dòng)態(tài)令牌身份認(rèn)證管理系統(tǒng)架構(gòu)

動(dòng)態(tài)令牌生成顯示動(dòng)態(tài)口令，用戶主體通過(guò)瀏覽器或應(yīng)用客戶端提交動(dòng)態(tài)密碼與身份驗(yàn)證信息，

應(yīng)用系統(tǒng)按照協(xié)商指定的協(xié)議（報(bào)文）將用戶身份信息與動(dòng)態(tài)密碼發(fā)送至認(rèn)證系統(tǒng)進(jìn)行校驗(yàn)，認(rèn)證系統(tǒng)

依據(jù)用戶源校驗(yàn)用戶身份信息并鑒別動(dòng)態(tài)密碼。

5設(shè)計(jì)要求

設(shè)計(jì)原則

認(rèn)證系統(tǒng)應(yīng)在提供安全有效的動(dòng)態(tài)密碼鑒別服務(wù)的前提下，遵循以下基礎(chǔ)設(shè)計(jì)原則：

a)令牌的綁定對(duì)象為用戶主體而非用戶賬戶；

b)單個(gè)動(dòng)態(tài)密碼僅可使用一次；

c)認(rèn)證接口僅可供認(rèn)證系統(tǒng)可管理設(shè)備調(diào)用；

d)認(rèn)證系統(tǒng)維護(hù)操作的便捷；

e)針對(duì)接入設(shè)備具備良好的兼容性；

f)認(rèn)證系統(tǒng)具有高可用性；

g)認(rèn)證過(guò)程具備可追溯性；

h)在無(wú)互聯(lián)網(wǎng)接入情況下提供可運(yùn)行的動(dòng)態(tài)密碼身份認(rèn)證服務(wù)。

用戶管理

5.2.1一般要求

2

T/SDBMXH2023—XXXX

用戶管理應(yīng)實(shí)現(xiàn)多個(gè)接入設(shè)備環(huán)境下統(tǒng)一用戶身份信息管理。可管理的用戶源包括認(rèn)證系統(tǒng)

內(nèi)新建用戶的內(nèi)部用戶源與來(lái)自AD或通用LDAP的外部用戶源，用戶源的管理應(yīng)采用統(tǒng)一的方式實(shí)現(xiàn)

用戶組織架構(gòu)、用戶、用戶角色管理，若同時(shí)具有內(nèi)部用戶源和外部用戶源應(yīng)通過(guò)標(biāo)注或其他方式區(qū)分

用戶來(lái)源。

用戶管理應(yīng)支持維護(hù)便捷性，可提供批量導(dǎo)入與導(dǎo)出操作。導(dǎo)出用戶不應(yīng)包含用戶密碼、用

戶所關(guān)聯(lián)動(dòng)態(tài)令牌的密鑰。

用戶基本信息可管理的內(nèi)容應(yīng)與認(rèn)證系統(tǒng)所實(shí)現(xiàn)的認(rèn)證方式關(guān)聯(lián)，不應(yīng)收集與認(rèn)證系統(tǒng)無(wú)關(guān)

的用戶標(biāo)識(shí)信息或隱私信息。對(duì)于臨時(shí)用戶應(yīng)實(shí)現(xiàn)其認(rèn)證的時(shí)間段可控，動(dòng)態(tài)令牌應(yīng)具有有效期控制。

5.2.2密碼策略

用戶密碼策略應(yīng)可設(shè)定密碼最大或最小長(zhǎng)度、密碼有效期、歷史密碼是否允許使用、歷史密

碼個(gè)數(shù)限定、密碼到期前通知，密碼過(guò)期后通知、自動(dòng)重置已過(guò)期的密碼并進(jìn)行通知、密碼復(fù)雜度以及

密碼所須包含字符類型。

弱口令檢測(cè)規(guī)則應(yīng)可定義。在用戶賬號(hào)設(shè)定、修改密碼時(shí)自動(dòng)匹配弱口令檢測(cè)規(guī)則，檢測(cè)為

弱口令時(shí)應(yīng)及時(shí)提示，并使得口令設(shè)定或修改不能成功執(zhí)行。

5.2.3用戶狀態(tài)

用戶狀態(tài)應(yīng)區(qū)分用戶是否可用以及用戶使用過(guò)程中異常狀態(tài)，可使用“啟用”、“未啟用”、“鎖

定”等狀態(tài)用語(yǔ)標(biāo)識(shí)。

5.2.4賬號(hào)創(chuàng)建規(guī)則

用戶賬號(hào)管理時(shí)應(yīng)可設(shè)定賬號(hào)命名規(guī)則，在創(chuàng)建用戶賬號(hào)時(shí)應(yīng)依據(jù)賬號(hào)命名規(guī)則檢測(cè)，對(duì)于不符合

規(guī)則的賬號(hào)進(jìn)行消息提示，并使得賬號(hào)創(chuàng)建不能成功執(zhí)行。

5.2.5用戶組織架構(gòu)

用戶組織架構(gòu)宜采用樹(shù)形結(jié)構(gòu)，默認(rèn)所有用戶屬于根節(jié)點(diǎn)，子節(jié)點(diǎn)僅可管理該節(jié)點(diǎn)下用戶。

5.2.6用戶角色

單個(gè)用戶應(yīng)支持擁有多個(gè)角色。多個(gè)用戶角色屬于同一個(gè)用戶時(shí)，不應(yīng)出現(xiàn)用戶角色權(quán)限沖

突，應(yīng)有角色權(quán)限優(yōu)先級(jí)解決方案。

用戶角色權(quán)限應(yīng)遵循完成其工作所需的最小權(quán)限分配原則，用戶角色權(quán)限不應(yīng)涉及認(rèn)證系統(tǒng)

管理的權(quán)限分配。

5.2.7用戶安全

對(duì)于同一時(shí)間段內(nèi)同一用戶連續(xù)登錄失敗等異常用戶登錄行為應(yīng)提供相應(yīng)的處理措施，如鎖定用

戶。應(yīng)支持基于異常登錄行為設(shè)定用戶登錄風(fēng)險(xiǎn)預(yù)判規(guī)則，用戶登錄行為與風(fēng)險(xiǎn)預(yù)判規(guī)則匹配時(shí)應(yīng)立即

禁用用戶并通過(guò)消息通知系統(tǒng)管理員。用戶賬戶被系統(tǒng)禁用后應(yīng)由系統(tǒng)管理員人為干涉解除風(fēng)險(xiǎn)后啟

用用戶賬戶。

5.2.8外部用戶源同步

用戶來(lái)源于外部AD或LDAP時(shí)，應(yīng)提供用戶同步功能，能同步外部用戶源的用戶增、刪、改信息。同

步外部用戶字段時(shí)應(yīng)支持字段過(guò)濾，不應(yīng)同步涉及用戶個(gè)人隱私的數(shù)據(jù)。

令牌管理

5.3.1一般要求

令牌管理應(yīng)提供令牌的測(cè)試、校驗(yàn)與糾偏功能。

使用軟件令牌時(shí)，認(rèn)證系統(tǒng)應(yīng)依據(jù)算法生成令牌，至少能基于SM3算法生成令牌，動(dòng)態(tài)密碼

的生成應(yīng)符合GB/T38556—2020第6章。

3

T/SDBMXH2023—XXXX

令牌管理過(guò)程中應(yīng)減少令牌種子密鑰的傳輸過(guò)程，并在傳輸過(guò)程中采用安全的方式。認(rèn)證系

統(tǒng)中不應(yīng)呈現(xiàn)明文種子密鑰或密文種子密鑰。

令牌批量管理導(dǎo)出時(shí)不應(yīng)出現(xiàn)種子密鑰。令牌的分發(fā)與綁定過(guò)程應(yīng)通過(guò)令牌序列號(hào)進(jìn)行相應(yīng)

配置。令牌進(jìn)行分發(fā)或綁定后長(zhǎng)期未被使用應(yīng)自動(dòng)將令牌置于不可用狀態(tài)。

5.3.2令牌序列號(hào)

令牌序列號(hào)應(yīng)在認(rèn)證系統(tǒng)內(nèi)具有唯一標(biāo)識(shí)性與可記憶特性。令牌序列號(hào)可采用一定長(zhǎng)度的前綴和

特定長(zhǎng)度的隨機(jī)數(shù)構(gòu)成。

5.3.3令牌綁定關(guān)系

令牌應(yīng)通過(guò)令牌序列號(hào)與用戶名形成綁定關(guān)系，若用戶名支持多個(gè)令牌的綁定時(shí)，應(yīng)在該用戶名下

通過(guò)PIN碼明確令牌與用戶主體關(guān)聯(lián)關(guān)系。

5.3.4令牌激活碼

令牌激活碼應(yīng)具有有效期，動(dòng)態(tài)令牌應(yīng)用對(duì)于過(guò)期激活碼應(yīng)給出過(guò)期提示并忽略令牌種子密

鑰。

令牌激活應(yīng)支持二維碼掃碼激活、用戶密碼校驗(yàn)激活，用戶名密碼校驗(yàn)激活應(yīng)有消息驗(yàn)證碼

驗(yàn)證。

設(shè)備管理

5.4.1一般要求

設(shè)備管理應(yīng)支持將接入設(shè)備進(jìn)行分組管理以及設(shè)備的基本信息管理。設(shè)備基本信息應(yīng)包含設(shè)備標(biāo)

識(shí)名稱、設(shè)備IP地址、接入通訊協(xié)議、通訊交互的共享密鑰以及認(rèn)證方式與認(rèn)證策略等。

5.4.2接入通訊協(xié)議

接入通訊協(xié)議為接入設(shè)備與認(rèn)證系統(tǒng)進(jìn)行數(shù)據(jù)報(bào)文交互通訊的依據(jù)。接入通訊協(xié)議應(yīng)包含通

用的Radius、TACACS+以及提供完整說(shuō)明的HTTPAPI協(xié)議。所有接入通訊協(xié)議交互過(guò)程中共享密鑰應(yīng)

采用密文方式進(jìn)行交互。

HTTPAPI應(yīng)提供詳盡的參數(shù)配置，通訊過(guò)程中不應(yīng)有非規(guī)定參數(shù)且涉及密碼、動(dòng)態(tài)密碼字段

均應(yīng)進(jìn)行密文傳輸，HTTPAPI參數(shù)定義參見(jiàn)附錄A。HTTPAPI應(yīng)支持SSL傳輸。

在已有Radius服務(wù)器場(chǎng)景下，認(rèn)證服務(wù)器應(yīng)支持基于Radius完成動(dòng)態(tài)密碼認(rèn)證后轉(zhuǎn)發(fā)

Radius數(shù)據(jù)報(bào)文至已有Radius服務(wù)器。認(rèn)證系統(tǒng)應(yīng)支持Radius屬性擴(kuò)展，通過(guò)擴(kuò)展屬性與接入設(shè)備

適配。

5.4.3認(rèn)證策略

認(rèn)證策略應(yīng)具有標(biāo)識(shí)名稱，可對(duì)靜態(tài)密碼、動(dòng)態(tài)密碼、PIN碼進(jìn)行組合實(shí)現(xiàn)不同需求的認(rèn)證鑒別。

應(yīng)支持基于用戶角色、用戶源、用戶組的用戶過(guò)濾。用戶過(guò)濾可采用選取或排除的方式進(jìn)行，使得選取

的用戶適用本策略，排除的用戶不適用本策略。

授權(quán)策略

對(duì)于網(wǎng)絡(luò)設(shè)備通過(guò)Radius、TACACS+協(xié)議接入認(rèn)證系統(tǒng)應(yīng)支持認(rèn)證、授權(quán)與審計(jì)的AAA認(rèn)證，應(yīng)支持

設(shè)定基于用戶角色、用戶組、用戶授權(quán)特定網(wǎng)絡(luò)設(shè)備操作指令與指令集。對(duì)于登錄設(shè)備的用戶使用非授

權(quán)指令或涉及影響網(wǎng)絡(luò)安全的指令時(shí)應(yīng)及時(shí)發(fā)出消息告警并通知系統(tǒng)管理員。

日志管理

日志應(yīng)為用戶認(rèn)證或系統(tǒng)管理提供可追溯的依據(jù)。認(rèn)證日志應(yīng)包含時(shí)間、用戶、來(lái)源設(shè)備、動(dòng)態(tài)令

牌、認(rèn)證結(jié)果等字段；操作日志應(yīng)包含時(shí)間、用戶、所做操作、操作結(jié)果等字段。日志管理應(yīng)可設(shè)定日

4

T/SDBMXH2023—XXXX

志保留時(shí)長(zhǎng)，所允許的最長(zhǎng)保留時(shí)長(zhǎng)不應(yīng)低于2年。日志管理應(yīng)提供按時(shí)段批量文件導(dǎo)出。應(yīng)支持通過(guò)

日志傳輸協(xié)議（syslog）將日志傳輸至外部日志服務(wù)器。

系統(tǒng)管理

5.7.1系統(tǒng)管理應(yīng)提供可分級(jí)別的系統(tǒng)管理員，系統(tǒng)管理員級(jí)別應(yīng)至少支持3級(jí)且各自級(jí)別具有不同

認(rèn)證系統(tǒng)管理權(quán)限。系統(tǒng)管理員登錄認(rèn)證系統(tǒng)應(yīng)支持動(dòng)態(tài)口令認(rèn)證，系統(tǒng)管理員應(yīng)與5.2中的用戶具有

完全不同的功能屬性。系統(tǒng)管理員為認(rèn)證系統(tǒng)的內(nèi)部管理用戶，不應(yīng)作為接入設(shè)備的用戶。

5.7.2認(rèn)證系統(tǒng)應(yīng)提供主備模式或雙活模式高可用方案。若認(rèn)證系統(tǒng)具有用戶自助服務(wù)能力，用戶自

助服務(wù)應(yīng)支持單獨(dú)部署，不應(yīng)與認(rèn)證系統(tǒng)采用統(tǒng)一地址與端口提供服務(wù)。

5.7.3認(rèn)證系統(tǒng)應(yīng)為令牌激活碼推送、消息認(rèn)證、通知預(yù)警信息等提供消息服務(wù)，消息服務(wù)應(yīng)支持已

獲審批模板短信、郵件、消息服務(wù)器或辦公通訊軟件等推送消息。

6功能要求

功能概述

6.1.1基于第5章的要求應(yīng)實(shí)現(xiàn)用戶名密碼校驗(yàn)、用戶名動(dòng)態(tài)密碼校驗(yàn)、用戶名密碼動(dòng)態(tài)密碼校驗(yàn)、

用戶名密碼PIN碼動(dòng)態(tài)密碼校驗(yàn)，對(duì)于密碼、動(dòng)態(tài)密碼、PIN碼的組合校驗(yàn)應(yīng)提供單次認(rèn)證方式與多次

認(rèn)證方式。

6.1.2當(dāng)認(rèn)證請(qǐng)求數(shù)據(jù)報(bào)文進(jìn)入認(rèn)證系統(tǒng)時(shí)，認(rèn)證系統(tǒng)應(yīng)正確且有效的識(shí)別該認(rèn)證請(qǐng)求來(lái)自的接入設(shè)

備信息；所請(qǐng)求的用戶是否具有登錄該接入設(shè)備的權(quán)限。

用戶名密碼認(rèn)證要求

認(rèn)證系統(tǒng)應(yīng)能有效識(shí)別用戶所屬用戶源、用戶名密碼校驗(yàn)結(jié)果以及用戶密碼有效期。當(dāng)用戶屬于認(rèn)

證系統(tǒng)內(nèi)部用戶時(shí)，應(yīng)能檢測(cè)其密碼強(qiáng)弱級(jí)別，對(duì)于弱密碼應(yīng)給于反饋并要求修改密碼后重新登錄。

用戶名動(dòng)態(tài)密碼認(rèn)證要求

用戶名動(dòng)態(tài)密碼認(rèn)證時(shí)，認(rèn)證系統(tǒng)可依據(jù)用戶與令牌綁定關(guān)系進(jìn)行動(dòng)態(tài)密碼口令校驗(yàn)，返回校驗(yàn)結(jié)

果并記錄校驗(yàn)過(guò)程。若用戶名綁定多個(gè)令牌，應(yīng)進(jìn)行PIN碼校驗(yàn)。

組合方式單次認(rèn)證要求

6.4.1使用用戶名與靜態(tài)密碼和動(dòng)態(tài)密碼組合在同一個(gè)數(shù)據(jù)報(bào)文中進(jìn)行認(rèn)證，認(rèn)證系統(tǒng)應(yīng)分別校驗(yàn)靜

態(tài)密碼、動(dòng)態(tài)密碼，并將校驗(yàn)結(jié)果進(jìn)行與計(jì)算作為最終認(rèn)證校驗(yàn)結(jié)果返回。

6.4.2使用用戶名與靜態(tài)密碼、動(dòng)態(tài)密碼和PIN碼組合在同一個(gè)數(shù)據(jù)報(bào)文中進(jìn)行認(rèn)證，認(rèn)證系統(tǒng)應(yīng)分

別校驗(yàn)靜態(tài)密碼、動(dòng)態(tài)密碼和PIN碼，將三者的校驗(yàn)結(jié)果進(jìn)行與計(jì)算作為最終認(rèn)證校驗(yàn)結(jié)果返回。

組合方式多步認(rèn)證要求

6.5.1使用用戶名和密碼、動(dòng)態(tài)密碼分別在兩個(gè)數(shù)據(jù)報(bào)文中進(jìn)行認(rèn)證，認(rèn)證系統(tǒng)應(yīng)能校驗(yàn)用戶名密碼，

用戶名密碼校驗(yàn)成功應(yīng)要求繼續(xù)進(jìn)行動(dòng)態(tài)密碼校驗(yàn)，否則結(jié)束認(rèn)證過(guò)程。在靜態(tài)密碼校驗(yàn)成功后獲取到

動(dòng)態(tài)密碼認(rèn)證請(qǐng)求進(jìn)行動(dòng)態(tài)密碼校驗(yàn)，并返回認(rèn)證結(jié)果。

6.5.2使用用戶名和密碼、PIN碼和動(dòng)態(tài)密碼分別在兩個(gè)數(shù)據(jù)報(bào)文中進(jìn)行認(rèn)證，認(rèn)證系統(tǒng)應(yīng)依據(jù)用戶

名密碼校驗(yàn)結(jié)果判斷是否繼續(xù)PIN碼和動(dòng)態(tài)密碼校驗(yàn)。在用戶名密碼校驗(yàn)成功后獲取PIN碼和動(dòng)態(tài)密

碼分別進(jìn)行校驗(yàn)，校驗(yàn)結(jié)果采用與計(jì)算作為最終校準(zhǔn)認(rèn)證結(jié)果返回。

消息推送認(rèn)證要求

使用消息推送方式認(rèn)證時(shí)應(yīng)通過(guò)移動(dòng)終端動(dòng)態(tài)令牌應(yīng)用確認(rèn)消息并回傳動(dòng)態(tài)密碼，認(rèn)證系統(tǒng)通過(guò)

消息服務(wù)器讀取回傳的動(dòng)態(tài)口令進(jìn)行校驗(yàn)，校驗(yàn)結(jié)果作為本次認(rèn)證結(jié)果返回認(rèn)證請(qǐng)求端。不應(yīng)僅依據(jù)是

否確認(rèn)消息作為認(rèn)證結(jié)果。

掃碼登錄認(rèn)證要求

5

T/SDBMXH2023—XXXX

使用掃描二維碼登錄認(rèn)證時(shí)應(yīng)通過(guò)移動(dòng)終端動(dòng)態(tài)令牌應(yīng)用回傳唯一會(huì)話標(biāo)識(shí)、用戶名、動(dòng)態(tài)密碼，

認(rèn)證系統(tǒng)應(yīng)校驗(yàn)用戶與動(dòng)態(tài)密碼，校驗(yàn)結(jié)果作為本次認(rèn)證結(jié)果返回認(rèn)證請(qǐng)求端。

操作系統(tǒng)登錄認(rèn)證要求

操作系統(tǒng)作為接入設(shè)備應(yīng)提供動(dòng)態(tài)密碼認(rèn)證登錄保護(hù)，動(dòng)態(tài)密碼認(rèn)證保護(hù)不應(yīng)在不被允許條件下

卸載。對(duì)于操作系統(tǒng)登錄認(rèn)證應(yīng)支持離線認(rèn)證，即操作系統(tǒng)無(wú)法與認(rèn)證系統(tǒng)進(jìn)行通訊時(shí)能夠正確完成動(dòng)

態(tài)密碼校驗(yàn)。

郵件客戶端可信化要求

郵件系統(tǒng)作為認(rèn)證系統(tǒng)接入設(shè)備時(shí)，應(yīng)為郵件web與郵件客戶端登錄提供動(dòng)態(tài)密碼雙因素認(rèn)證保護(hù)。

郵件客戶端應(yīng)通過(guò)動(dòng)態(tài)密碼雙因素認(rèn)證后由用戶主體設(shè)定客戶端是否可信?？尚呕]件客戶端可在認(rèn)

證系統(tǒng)內(nèi)進(jìn)行管理，包括要求郵件客戶端重新授權(quán)、禁用、鎖定。

7測(cè)試方法

基本流程

認(rèn)證系統(tǒng)身份認(rèn)證基本流程如圖2所示：

圖2認(rèn)證系統(tǒng)身份認(rèn)證基本流程

認(rèn)證系統(tǒng)身份認(rèn)證基本流程說(shuō)明如下：

a)由接入設(shè)備通過(guò)接入通訊協(xié)議向認(rèn)證服務(wù)器發(fā)起認(rèn)證請(qǐng)求；

b)動(dòng)態(tài)密碼身份認(rèn)證服務(wù)器接收到認(rèn)證請(qǐng)求校驗(yàn)接入設(shè)備信息，接入設(shè)備不存在時(shí)，返回失敗結(jié)

果，結(jié)束認(rèn)證流程；

c)設(shè)備信息校驗(yàn)成功，進(jìn)入認(rèn)證策略進(jìn)行條件過(guò)濾；

d)依據(jù)過(guò)濾條件判斷用戶是否存在，用戶不存在返回失敗結(jié)果，結(jié)束認(rèn)證流程；用戶存在則逐步

校驗(yàn)所需驗(yàn)證的信息并檢索用戶所關(guān)聯(lián)的令牌序列號(hào)；

e)依據(jù)令牌序列號(hào)與請(qǐng)求驗(yàn)證的動(dòng)態(tài)密碼進(jìn)行動(dòng)態(tài)密碼校驗(yàn)，并返回認(rèn)證結(jié)果；

f)設(shè)備管理模塊依據(jù)多個(gè)驗(yàn)證結(jié)果進(jìn)行與計(jì)算通過(guò)接入通訊協(xié)議返回認(rèn)證結(jié)果，結(jié)束認(rèn)證流程。

檢查認(rèn)證系統(tǒng)服務(wù)狀態(tài)

6

T/SDBMXH2023—XXXX

認(rèn)證系統(tǒng)在首次啟動(dòng)并初始化完成后，各通訊協(xié)議接口應(yīng)處于監(jiān)聽(tīng)狀態(tài)；通過(guò)管理界面應(yīng)能進(jìn)行管

理員身份鑒別并完成登錄；管理員首次登錄校驗(yàn)成功應(yīng)進(jìn)行管理員密碼修改；身份認(rèn)證基本配置應(yīng)在管

理界面進(jìn)行配置。

用戶名密碼認(rèn)證測(cè)試

用戶名密碼認(rèn)證應(yīng)按照以下流程進(jìn)行測(cè)試：

a)用戶主體通過(guò)接入設(shè)備的用戶界面提交用戶名、密碼等登錄信息；

b)由接入設(shè)備通過(guò)協(xié)商一致的接入通訊協(xié)議向認(rèn)證系統(tǒng)發(fā)起認(rèn)證請(qǐng)求完成認(rèn)證；

c)認(rèn)證系統(tǒng)返回認(rèn)證結(jié)果，接入設(shè)備依據(jù)認(rèn)證結(jié)果反饋用戶是否登錄成功。

此認(rèn)證過(guò)程應(yīng)符合6.2的功能要求，能正確校驗(yàn)用戶是否存在、是否被授權(quán)、密碼正確與否，并將

校驗(yàn)結(jié)果反饋至接入設(shè)備。

用戶名動(dòng)態(tài)密碼認(rèn)證測(cè)試

用戶名動(dòng)態(tài)密碼認(rèn)證應(yīng)按照以下流程進(jìn)行測(cè)試：

a)用戶主體通過(guò)接入設(shè)備的用戶界面提交用戶名、動(dòng)態(tài)口令等登錄信息；

b)由接入設(shè)備通過(guò)協(xié)商一致的通訊協(xié)議向認(rèn)證系統(tǒng)發(fā)起動(dòng)態(tài)密碼認(rèn)證請(qǐng)求；

c)認(rèn)證系統(tǒng)返回認(rèn)證結(jié)果，接入設(shè)備依據(jù)認(rèn)證結(jié)果反饋用戶是否登錄成功。

此認(rèn)證過(guò)程應(yīng)符合6.3的功能要求，應(yīng)遵循基本認(rèn)證流程完成動(dòng)態(tài)密碼校驗(yàn)。能正確校驗(yàn)用戶是否

存在、是否被授權(quán)、動(dòng)態(tài)口令正確與否，并將校驗(yàn)結(jié)果反饋至接入設(shè)備。

組合方式單次認(rèn)證測(cè)試

組合方式單次認(rèn)證應(yīng)按照以下流程進(jìn)行測(cè)試：

a)用戶主體通過(guò)接入設(shè)備的用戶界面提交用戶、密碼組合（密碼組合包含：靜態(tài)密碼動(dòng)態(tài)密碼組

合、靜態(tài)密碼PIN碼動(dòng)態(tài)密碼組合）等登錄信息；

b)接入設(shè)備通過(guò)通訊協(xié)議向認(rèn)證系統(tǒng)發(fā)起認(rèn)證請(qǐng)求；

c)認(rèn)證系統(tǒng)返回認(rèn)證結(jié)果，接入設(shè)備依據(jù)認(rèn)證結(jié)果反饋用戶是否登錄成功。

此過(guò)程應(yīng)遵循基本流程，應(yīng)符合6.4的功能要求。能正確校驗(yàn)用戶是否存在、是否被授權(quán)、密碼組

合各個(gè)部分正確與否，并將校驗(yàn)結(jié)果反饋至接入設(shè)備。

組合方式多步認(rèn)證測(cè)試

組合方式多步認(rèn)證應(yīng)按照以下流程進(jìn)行測(cè)試：

a)用戶主體通過(guò)接入設(shè)備的用戶界面提交用戶名、密碼等登錄信息；

b)接入設(shè)備將登錄信息通過(guò)通訊協(xié)議向認(rèn)證系統(tǒng)發(fā)起認(rèn)證請(qǐng)求；

c)接入設(shè)備依據(jù)認(rèn)證系統(tǒng)反饋的登錄信息校驗(yàn)結(jié)果反饋至用戶界面要求提供動(dòng)態(tài)密碼組合或結(jié)

束登錄過(guò)程；

d)用戶主體依據(jù)用戶界面的交互提交其登錄用戶關(guān)聯(lián)的動(dòng)態(tài)密碼組合（動(dòng)態(tài)密碼組合包含：動(dòng)態(tài)

密碼、PIN碼和動(dòng)態(tài)密碼）；

e)接入設(shè)備再次將動(dòng)態(tài)口令發(fā)送至認(rèn)證服務(wù)器；

f)認(rèn)證系統(tǒng)返回認(rèn)證結(jié)果，接入設(shè)備依據(jù)認(rèn)證結(jié)果反饋用戶是否登錄成功。

此過(guò)程應(yīng)遵循基本流程，應(yīng)符合6.5的功能要求。能正確校驗(yàn)用戶是否存在、是否被授權(quán)、密碼組

合各個(gè)部分正確與否，并將校驗(yàn)結(jié)果反饋至接入設(shè)備。

消息推送認(rèn)證測(cè)試

消息推送認(rèn)證應(yīng)按照以下流程進(jìn)行測(cè)試：

a)用戶主體通過(guò)接入設(shè)備的用戶界面提交用戶名、密碼等登錄信息；

b)接入設(shè)備將登錄信息通過(guò)通訊協(xié)議向認(rèn)證系統(tǒng)發(fā)起認(rèn)證請(qǐng)求；

c)認(rèn)證系統(tǒng)校驗(yàn)登錄信息正確無(wú)誤后向用戶移動(dòng)終端動(dòng)態(tài)令牌應(yīng)用推送用戶登錄消息；

d)用戶主體通過(guò)移動(dòng)終端動(dòng)態(tài)令牌確認(rèn)登錄信息，并由動(dòng)態(tài)令牌信息回傳校驗(yàn)信息與確認(rèn)信息；

7

T/SDBMXH2023—XXXX

e)認(rèn)證系統(tǒng)校驗(yàn)回傳的動(dòng)態(tài)口令及相關(guān)信息，并將校驗(yàn)結(jié)果反饋至接入設(shè)備；

f)接入設(shè)備依據(jù)校驗(yàn)結(jié)果反饋用戶登錄是否成功。

此過(guò)程應(yīng)符合6.6的功能要求。

掃碼登錄認(rèn)證測(cè)試

掃碼登錄認(rèn)證應(yīng)按照以下流程進(jìn)行測(cè)試：

a)用戶主體使用移動(dòng)終端動(dòng)態(tài)令牌應(yīng)用掃描接入設(shè)備用戶界面的二維碼；

b)由動(dòng)態(tài)令牌應(yīng)用將用戶信息、動(dòng)態(tài)口令以及會(huì)話唯一標(biāo)識(shí)等通過(guò)消息發(fā)送至認(rèn)證系統(tǒng)；

c)認(rèn)證系統(tǒng)校驗(yàn)用戶信息與動(dòng)態(tài)口令等，將校驗(yàn)結(jié)果反饋至接入設(shè)備；

d)接入設(shè)備依據(jù)校驗(yàn)結(jié)果反饋用戶登錄是否成功。

此過(guò)程應(yīng)符合6.7的功能要求。

操作系統(tǒng)登錄認(rèn)證測(cè)試

操作系統(tǒng)登錄認(rèn)證應(yīng)按照以下流程進(jìn)行測(cè)試：

a)用戶主體在操作系統(tǒng)的登錄界面分別提交用戶名、密碼、動(dòng)態(tài)密碼信息；

b)認(rèn)證客戶端判斷是否能夠與認(rèn)證服務(wù)器通信；

c)在通信正常清況下將認(rèn)證信息發(fā)送至認(rèn)證系統(tǒng)，由認(rèn)證系統(tǒng)進(jìn)行校驗(yàn)；

d)人為設(shè)置通信異常情況時(shí)：

1)當(dāng)認(rèn)證系統(tǒng)允許通訊異常情況登錄時(shí)，認(rèn)證客戶端自主完成校驗(yàn)，并在能夠通信時(shí)將認(rèn)證

信息回傳至認(rèn)證系統(tǒng)；

2)當(dāng)認(rèn)證系統(tǒng)不允許通訊異常情況登錄時(shí)，阻止登錄系統(tǒng)；

e)認(rèn)證客戶端依據(jù)校驗(yàn)結(jié)果判定用戶是否允許進(jìn)入操作系統(tǒng)。

此過(guò)程應(yīng)符合6.8的功能要求。

郵件客戶端可信化測(cè)試

郵件客戶端可信化測(cè)試應(yīng)按照以下流程進(jìn)行：

a)用戶主體在郵件客戶端配置連接郵件系統(tǒng)信息與用戶校驗(yàn)信息；

b)認(rèn)證系統(tǒng)校驗(yàn)用戶信息并推送信息至用戶主體的設(shè)備終端；

c)用戶主體通過(guò)消息確認(rèn)郵件客戶端為用戶本人所為且授權(quán)可信；

d)郵件客戶端授權(quán)后可正常進(jìn)行收發(fā)郵件。

此過(guò)程應(yīng)符合6.9的功能要求。

認(rèn)證系統(tǒng)的高可用測(cè)試

認(rèn)證系統(tǒng)應(yīng)能夠通過(guò)高可用配置完成不少于2個(gè)認(rèn)證系統(tǒng)間的數(shù)據(jù)實(shí)時(shí)同步。在完成配置同步后，

應(yīng)具備其中任意一個(gè)認(rèn)證系統(tǒng)宕機(jī)，其余部分認(rèn)證系統(tǒng)仍可接管實(shí)現(xiàn)第6章要求并通過(guò)7.1-7.10、7.12

的檢驗(yàn)項(xiàng)目。

用戶自助服務(wù)測(cè)試

認(rèn)證系統(tǒng)應(yīng)對(duì)用戶自助服務(wù)進(jìn)行權(quán)限控制，自助服務(wù)的用戶界面應(yīng)與管理界面進(jìn)行區(qū)分，不應(yīng)通過(guò)

自助服務(wù)界面獲取認(rèn)證管理界面相關(guān)信息。用戶通過(guò)自助服務(wù)應(yīng)可完成授權(quán)的密碼修改、個(gè)人用戶信息

管理和個(gè)人令牌管理，并能通過(guò)自助服務(wù)界面獲悉令牌的獲取方式或渠道。

8

T/SDBMXH2023—XXXX

A

A

附錄A

（資料性）

認(rèn)證系統(tǒng)HTTPAPI接口參數(shù)定義

A.1請(qǐng)求參數(shù)

請(qǐng)求參數(shù)參見(jiàn)表A.1。

表A.1請(qǐng)求參數(shù)列表

參數(shù)名稱參數(shù)類型參數(shù)值說(shuō)明必傳

此值必須與ckey服務(wù)器上所設(shè)置

clientNamestring設(shè)備名稱是

的名稱相同，

加密秘鑰

sharedSecretstring共享密碼加密秘鑰說(shuō)明：是

加密算法AES/CBC/PKCS7Padding

loginCodestring登陸賬號(hào)登陸用戶名是

loginWordstring登陸密碼登陸密碼是

authTypeinteger(int32)認(rèn)證類型固定值:‘’5”是

sessionIdstring認(rèn)證會(huì)話id在多步認(rèn)證時(shí)為必傳參數(shù)否

deviceTypeinteger(int32)設(shè)備類型固定值:“6”是

serviceIdstring服務(wù)器ID是

authRequestIpstring登陸設(shè)備IP必填參數(shù)是

A.2返回參數(shù)

返回參數(shù)參見(jiàn)表A.2。

表A.2返回參數(shù)列表

參數(shù)名稱說(shuō)明

Accept成功

Challengechallenge請(qǐng)求

Error_code具體信息參見(jiàn)狀態(tài)碼列表

A.3狀態(tài)碼

狀態(tài)碼參見(jiàn)表A.3。

表A.3狀態(tài)碼列表

狀態(tài)碼參數(shù)名稱說(shuō)明

200AUTH_PASS認(rèn)證成功

201AUTH_CHALLENGEchallenge請(qǐng)求

202USER_NOT_EXISTS用戶不存在

203AUTH_EQUIP_ERROR認(rèn)證