信息安全技术智能联网设备口令保护指南

《信息安全技术智能联网设备口令保护指南》由会员分享，可在线阅读，更多相关《信息安全技术智能联网设备口令保护指南（6页珍藏版）》请在金锄头文库上搜索。

1、国家标准信息安全技术智能联网设备口令保护指南（草案）编制说明一、工作简况信息安全技术智能联网设备口令保护指南是全国信息安全标准化技术 委员会2017年下达的信息安全国家标准制定项目，由杭州海康威视数字技术股份 有限公司牵头，由中国电子技术标准化研究院、北京信息安全测评中心、中国信 息安全测评中心、公安部第一研究所、公安部第三研究所、中国科学院信息工程 研究所、浙江大学、大华技术股份有限公司、阿里巴巴网络技术有限公司、华为 技术有限公司、深圳联想懂的通信有限公司、海尔集团、美的智慧家居科技有限 公司、北京洋浦伟业科技发展有限公司、杭州安恒信息技术有限公司、未来网络 安全科技公司、北京天融信网络安

2、全技术有限公司、江苏省电力公司电力科学研 究院等18家单位共同参与，组成了标准编制工作组，开展该标准的编写工作。在标准编制过程中，编制工作组依据在智能联网设备口令安全保护方面的技 术研究和实践经验，提出标准的主要框架和条款，参考国外先进标准 NIST SP800-63B的情况制定口令复杂度基本策略和常见弱口令检测规则，并经过多次 讨论修改完成标准草案。根据专家意见，对标准的重大修改可以总结为以下几个方面：1. 根据专家的意见增加了一章，专门对用户管理智能联网设备口令提供指 导，丰富标准的内容。2. 经过编制组讨论，为了明确标准的应用场景，保证口令指南的实际应用 范围，保留了对于云平台认证模式的

3、说明。3. 调整了要求条款的分组和排列顺序，使其逻辑更加清晰。4. 修改了标准正文中的用语，采用正向的描述方式，使其语言更加规范、 准确、易于理解。5. 根据新模板写编制说明，并且将专家的意见进行分析说明。6. 增加口令复杂度策略可配置的要求，以适应更多的应用场景。7. 由于弱口令的不可穷尽性和设备的存储处理能力有限，将弱口令的要求 放到对用户要求的部分，在设备端上不做要求。二、标准编制原则和确定主要内容的论据及解决的主要问题本标准基于口令安全保护方面的技术实践，参考国外先进标准，规定了智能 联网设备的帐号、口令在生成、管理和使用等方面的安全技术要求，适用于指导 智能联网设备生产商安全设计和实

4、现口令保护功能，也可作为智能联网设备的口 令安全监督、检查和指导的依据。本标准重点解决物联网中智能联网设备在口令安全保护方面存在的缺陷和 不足，减少由于默认口令、弱口令等带来的安全风险，为智能联网设备口令保护 提供安全参考及设计指导，提高智能联网设备整体安全防护能力和水平。在标准制定过程中，力求做到符合国家的有关政策法规要求，与已颁布实施 的相关标准相协调，并适度考虑目前处于发展成熟过程中的技术，保持一定的前 瞻性。本标准编制过程中，参考了以下标准和文档：1 GB/T 250692010 信息安全技术 术语2 GB/T 334742016物联网参考体系结构3 GB/T 337452017 物联

5、网术语4 工业和信息化部电信研究院，物联网白皮书（2011年），2011年5月5 ISO/IEC 20180:2012 Telecommunications and information exchange between systemsSecurity framework for ubiquitous sensor networks6 IEC 62443-1-1:2009 Industrial communication networksNetwork and system securityPart 1-1 Terminology, concepts and models7 ITU-T Y.

6、2060:Overview of the Internet of things8 NIST Special Publication 800-63B, Digital Identity Guidelines: Authentication and Lifecycle Management, June 2017本标准分别从生成、使用、管理、日志等方面对厂商如何设计帐号和口令的 安全功能提出了要求，并且给出了用户安全管理和使用账号口令的指南。下面分别从帐号生成、帐号管理、帐号使用、口令生成、口令管理、口令使 用六个方面对相关的安全要求和建议做一些说明。1. 帐号生成帐号的生成包括帐号名称的生成和帐号

7、初始属性的指定。帐号可以由系统自 动生成，也可以由用户自己创建。为了安全，帐号名称需要遵循一定的规则，帐 号的一些关键属性也需要系统进行一定的限制，如帐号的权限在创建帐号的时候 应该得到严格的控制。2. 帐号使用许多第三方和开源软件提供缺省帐号和口令，特别是数据库的缺省帐号和缺 省口令，已广泛公开并存在于口令破解工具的字典中，在现网中使用存在极大的 安全隐患。3. 帐号管理在帐号的使用过程中管理员需要对帐号进行维护，比如修改权限、删除帐号、 锁定或解锁帐号等。出于安全的考虑，管理员还可以将用户强制下线。4. 口令生成口令复杂度策略是系统安全最关键的一个环节之一，选取一个不易被破解的 口令非常重

8、要。口令同帐号相似，可以由系统自动生成，也可以由用户自己创建。 不论哪种口令生成方式，口令都要满足一定的复杂度要求。标准中口令的长度要 求，参考NIST SP800-63B中的内容提出。使用统一的初始口令很容易被攻击，智能联网设备如果使用初始口令，初始 口令应随机生成，每个设备不同。在用户每次登录设备时应该提醒用户修改口令， 直到用户修改初始口令为止。本部分区别于NIST SP800-63B的内容是“口令应至少包含数字、小写字母、 大写字母以及特殊字符中的两类字符”。添加词条的原因是：对于一般的口令暴 力破解，口令包含的字符集越多，猜测和破解的难度就越大，所以还是要求口令 应至少包含数字、小写

9、字母、大写字母以及特殊字符中的两类字符，以此来增加 暴力破解的穷举空间。5. 口令使用攻击者一旦获得用户的口令，就可以随意的访问智能联网设备，攻击者可以 通过窃听通信信道截获用户发出的信息，所以在口令传输和使用过程中必须避免 明文的出现，这样才能安全的使用口令认证。在错误登录尝试次数超过阈值之后的，锁定操作号或者操作IP 一定时间的功 能。这样可以防止攻击者在线通过穷举法暴力破解口令。6. 口令管理口令认证方式的安全性是基于口令的保密性，如果使用一个口令而不更改， 那么口令使用的时间越长，则口令被攻击者暴力破解的可能性就越大，因此用户 需要管理自己的口令，增加暴力破解的难度，以确保安全。用户有

10、可能会忘记帐号或口令，智能联网设备应该提供通过物理按键或者其 它的安全方式将设备回复到出厂状态的功能。三、主要试验或验证情况分析1. 2017年3月初申请标准。杭州海康威视数字技术股份有限公司根据前期 的工作实践，提出向安标委的申请，编写了标准的草案初稿；2. 2017年4月中旬，针对初审意见，联合中国电子技术标准化研究院、国 家信息安全测评中心、公安三所、公安一所、中科院信工所、大华、海尔、联想、 美的、北京信息安全测评中心对标准草案进行完善修改，确定主要技术内容和参 数指标（第一稿）。3. 2017年4月下旬，针对第一稿内容进行了邮件意见征集，征集对象为全 体标准委员会成员单位，根据征集的

11、内容对标准第一稿进行了完善，主要修订以 格式为主。4. 2017年5月初，杭州海康威视数字技术股份有限公司代表标准工作组参 与标准立项答辩，根据会上专家意见进行完善修改（第二稿）。5. 2017年5月下旬，杭州海康威视数字技术股份有限公司组织标准工作组 进行草案研讨，根据标准工作组专家意见进行完善修改（第三稿）。6. 2017年7月初，杭州海康威视数字技术股份有限公司代表标准工作组向 WG5工作组专家汇报标准制定情况，根据会上专家意见完善修改草案内容（第四 稿）。7. 2017年8月底，杭州海康威视数字技术股份有限公司代表标准工作组向 WG5工作组专家汇报标准制定情况，根据会上专家意见完善修改

12、草案内容（第五 稿）。8. 2017年9月中旬，组织标准工作组进行草案研讨，根据标准工作组专家 意见进行完善修改（第六稿）。9. 2017年9月14日，杭州海康威视数字技术股份有限公司代表标准工作 组向WG5工作组专家汇报标准制定情况，根据会上专家意见完善修改草案内容（第七稿）。10. 2017年10月中旬，在全国信息安全标准化技术委员会2017年第二次 工作组“会议周”活动上，杭州海康威视数字技术股份有限公司代表标准工作组 向WG5工作组专家汇报标准制定情况，本次会议同意本标准进入公开征求意见阶 段。会后，编制组根据与会专家意见，修改完善标准内容形成了标准的征求意见 稿（第一稿）。四、知识产

13、权情况说明本标准不涉及专利。五、产业化情况、推广应用论证和预期达到的经济效果本标准的参与起草单位中包括十余家智能联网设备生产商和专业安全技术 公司，标准中的相关条款，已经广泛应用于市场上包括网络摄像头、智能家电、 网络机顶盒、智能投影仪、家用路由器、智能音箱等的智能联网设备。本标准中的安全要求在智能联网设备中推广实现，将大幅提高智能联网设备 的安全性，防止智能联网设备由于口令遭到破解而被非法利用，成为攻击源或者 泄露用户隐私。六、采用国际标准和国外先进标准情况本标准为自主制定，其中某些要求的具体参数和规则，如口令复杂度策略、 弱口令检测规则等，参考国外先进标准SP800-63B中的相关内容设定

14、。口令复杂度策略中保留了对于口令组成的限制，要求“口令应至少包含数字、 小写字母、大写字母以及特殊字符中的两类字符”。因为编制工作组认为对口令 组成提出要求，可以增大口令的构成空间，增加口令被暴力破解的难度。七、与现行相关法律、法规、规章及相关标准的协调性本标准与现行法律、法规以及强制性国家标准没有冲突与矛盾的地方。全国信息安全标准化技术委员会（TC260）开展物联网安全标准化体系以及 物联网安全体系架构的相关研究，已经形成物联网安全体系架构标准草案。 本标准的编制符合全国信息安全标准化技术委员会（TC260）所开展的相关安全 标准研究体系。八、重大分歧意见的处理经过和依据无。九、标准性质的建议本标准是推荐性标准。十、贯彻标准的要求和措施建议本标准的实施主体是智能联网设备制造商和实际采购用户，本标准中的口令 安全保护要求已经过实践检验，具备一定的产业和技术基础，实施难度较小。本 标准作为推荐性标准可用于对在我国销售或使用的智能联网设备的口令安全保 护机制进行检查和规范，也可用于指导智能联网设备用户进行口令的安全使用和 管理。十一、替代或废止现行相关标准的建议无。十二、其它应予说明的事项无。国家标准信息安全技术智能联网设备口令保护指南编制工作组2017-10-27