信息安全技术智能联网设备口令保护指南-编制说明

国家标准《信息安全技术智能联网设备口令保护指南》

（草案）编制说明

一、工作简况

《信息安全技术智能联网设备口令保护指南》是全国信息安全标准化技术委员会2017年下达的信息安全国家标准制定项目，由杭州海康威视数字技术股份有限公司牵头，由中国电子技术标准化研究院、北京信息安全测评中心、中国信息安全测评中心、公安部第一研究所、公安部第三研究所、中国科学院信息工程研究所、浙江大学、大华技术股份有限公司、阿里巴巴网络技术有限公司、华为技术有限公司、深圳联想懂的通信有限公司、海尔集团、美的智慧家居科技有限公司、北京洋浦伟业科技发展有限公司、杭州安恒信息技术有限公司、未来网络安全科技公司、北京天融信网络安全技术有限公司、江苏省电力公司电力科学研究院等18家单位共同参与，组成了标准编制工作组，开展该标准的编写工作。

在标准编制过程中，编制工作组依据在智能联网设备口令安全保护方面的技术研究和实践经验，提出标准的主要框架和条款，参考国外先进标准NIST SP800-63B的情况制定口令复杂度基本策略和常见弱口令检测规则，并经过多次讨论修改完成标准草案。

根据专家意见，对标准的重大修改可以总结为以下几个方面：

1.根据专家的意见增加了一章，专门对用户管理智能联网设备口令提供指

导，丰富标准的内容。

2.经过编制组讨论，为了明确标准的应用场景，保证口令指南的实际应用

范围，保留了对于云平台认证模式的说明。

3.调整了要求条款的分组和排列顺序，使其逻辑更加清晰。

4.修改了标准正文中的用语，采用正向的描述方式，使其语言更加规范、

准确、易于理解。

5.根据新模板写编制说明，并且将专家的意见进行分析说明。

6.增加口令复杂度策略可配置的要求，以适应更多的应用场景。

7.由于弱口令的不可穷尽性和设备的存储处理能力有限，将弱口令的要求

放到对用户要求的部分，在设备端上不做要求。

二、标准编制原则和确定主要内容的论据及解决的主要问题

本标准基于口令安全保护方面的技术实践，参考国外先进标准，规定了智能联网设备的帐号、口令在生成、管理和使用等方面的安全技术要求，适用于指导智能联网设备生产商安全设计和实现口令保护功能，也可作为智能联网设备的口令安全监督、检查和指导的依据。

本标准重点解决物联网中智能联网设备在口令安全保护方面存在的缺陷和不足，减少由于默认口令、弱口令等带来的安全风险，为智能联网设备口令保护提供安全参考及设计指导，提高智能联网设备整体安全防护能力和水平。

在标准制定过程中，力求做到符合国家的有关政策法规要求，与已颁布实施的相关标准相协调，并适度考虑目前处于发展成熟过程中的技术，保持一定的前瞻性。

本标准编制过程中，参考了以下标准和文档：

[1] GB/T 25069—2010 信息安全技术术语

[2] GB/T 33474—2016 物联网参考体系结构

[3] GB/T 33745—2017 物联网术语

[4]工业和信息化部电信研究院，物联网白皮书（2011年），2011年5月

[5] ISO/IEC 20180:2012 Telecommunications and information exchange between systems—Security framework for ubiquitous sensor networks

[6] IEC 62443-1-1:2009 Industrial communication networks—Network and system security—Part 1-1 Terminology, concepts and models

[7] ITU-T Y.2060:Overview of the Internet of things

[8] NIST Special Publication 800-63B, Digital Identity Guidelines: Authentication and Lifecycle Management, June 2017

本标准分别从生成、使用、管理、日志等方面对厂商如何设计帐号和口令的安全功能提出了要求，并且给出了用户安全管理和使用账号口令的指南。

下面分别从帐号生成、帐号管理、帐号使用、口令生成、口令管理、口令使用六个方面对相关的安全要求和建议做一些说明。

1.帐号生成

帐号的生成包括帐号名称的生成和帐号初始属性的指定。帐号可以由系统自动生成，也可以由用户自己创建。为了安全，帐号名称需要遵循一定的规则，帐

号的一些关键属性也需要系统进行一定的限制，如帐号的权限在创建帐号的时候应该得到严格的控制。

2.帐号使用

许多第三方和开源软件提供缺省帐号和口令，特别是数据库的缺省帐号和缺省口令，已广泛公开并存在于口令破解工具的字典中，在现网中使用存在极大的安全隐患。

3.帐号管理

在帐号的使用过程中管理员需要对帐号进行维护，比如修改权限、删除帐号、锁定或解锁帐号等。出于安全的考虑，管理员还可以将用户强制下线。

4.口令生成

口令复杂度策略是系统安全最关键的一个环节之一，选取一个不易被破解的口令非常重要。口令同帐号相似，可以由系统自动生成，也可以由用户自己创建。不论哪种口令生成方式，口令都要满足一定的复杂度要求。标准中口令的长度要求，参考NIST SP800-63B中的内容提出。

使用统一的初始口令很容易被攻击，智能联网设备如果使用初始口令，初始口令应随机生成，每个设备不同。在用户每次登录设备时应该提醒用户修改口令，直到用户修改初始口令为止。

本部分区别于NIST SP800-63B的内容是“口令应至少包含数字、小写字母、大写字母以及特殊字符中的两类字符”。添加词条的原因是：对于一般的口令暴力破解，口令包含的字符集越多，猜测和破解的难度就越大，所以还是要求口令应至少包含数字、小写字母、大写字母以及特殊字符中的两类字符，以此来增加暴力破解的穷举空间。

5.口令使用

攻击者一旦获得用户的口令，就可以随意的访问智能联网设备，攻击者可以通过窃听通信信道截获用户发出的信息，所以在口令传输和使用过程中必须避免明文的出现，这样才能安全的使用口令认证。

在错误登录尝试次数超过阈值之后的，锁定操作号或者操作IP一定时间的功能。这样可以防止攻击者在线通过穷举法暴力破解口令。

6.口令管理