实体鉴别保障框架 主要环节

声明

本文是学习信息安全技术 实体鉴别保障框架. 而整理的学习笔记,分享出来希望更多人受益,如果存在侵权请及时联系我们

实体鉴别保障框架 主要环节

通则

实体鉴别的主要环节包括：登记环节、凭证管理环节、鉴别环节和联合环节。对实体身份进行授权管理和访问控制的环节不属于实体鉴别的流程，不在本文件规定的范围内。实体鉴别各个主要环节均存在相关安全威胁，提供鉴别服务的各参与方应采取相应的风险控制手段加以防范。实体鉴别各环节的威胁分析和风险控制措施见附录A。实体鉴别过程中涉及个人信息保护的内容应遵循GB/T 35273-2020的要求。附录B描述了实体鉴别过程中可能涉及个人信息处理的场景及注意事项，为相关机构在决定采用并实施具体鉴别方法时提供参考。

登记环节

概述

登记环节是实体作为申请方通过注册机构进入实体鉴别过程的初始环节。登记环节包括以下过程：申请和初始化，身份核验，记录保留，注册。

申请和初始化

登记环节可通过多种方式发起，可由实体主动发起，也可由注册机构发起。当实体为自然人时，初始化过程可包括填写申请表；当实体为物品时，初始化过程可包括为物品粘贴标签或将设备标识符写入到安全存储区域中（适用时）。

身份核验

身份核验过程可包括对实体提交的身份信息与权威来源进行核对和验证，以确认身份信息真实且实体客观存在。为达到身份核验要求而提供的身份信息随保障等级的不同而变化。

身份核验过程可包括对实体提交的身份证件（例如，居民身份证等）的物理检查，以检测可能的欺诈、篡改或伪造行为。保障等级越高，身份核验要求就应越严格。

此外，身份核验过程对于实体远程（例如，通过网络）声明其身份应比本地（例如，与RA面对面现场交互）更加严格。RA应确保实体和其提交的身份证件的一致性。

记录保留

记录保留是实体登记的必要过程，即创建登记记录的存档过程。这项记录应包括采集的信息和文档、关于身份核验过程的信息、这些步骤的结果及其它相关数据。然后，将对是否接受、拒绝或提交进一步审议或其它后续工作做出决定的结果保存在记录中。

注册

注册是实体为申请使用服务或资源而创建账号（分配标识符）的过程。注册过程是登记环节的一部分，处于登记环节的末尾。实体申请首次访问每项服务或资源都应履行注册过程。

凭证管理环节

概述

凭证管理环节包括与凭证或凭证生成方法的生命周期管理相关的所有过程，贯穿于实体鉴别的整个过程中。凭证管理环节包括以下过程：凭证创建，凭证颁发，凭证激活，凭证存储，凭证暂停、撤销或销毁，凭证更新或替换，记录保留。凭证或凭证生成方法存在多种形式，通常包含于鉴别器中，用于鉴别环节中验证方对声称方的鉴别。

凭证创建

凭证的预处理

某些包含于鉴别器中的凭证或凭证生成方法在颁发前需经过预处理。例如，含有凭证的智能卡的预处理措施可包括将未来持卡实体的姓名印刷在卡表面或写入卡的芯片中。某些凭证或凭证生成方法不需要进行预处理，例如口令。

凭证初始化

凭证初始化应确保凭证生成方法能够支持其预期功能。例如，需要使用智能卡芯片计算用于生成数字签名所需的密钥对；智能卡可在发行时处于“锁定”状态，并在激活过程中需要使用PIN进行保护。

凭证绑定

凭证绑定过程确保在包含凭证或凭证生成方法的鉴别器与实体身份之间建立联系。完成绑定的方式和对绑定关系的信任度随所需的保障等级不同而变化。

凭证颁发

凭证颁发过程向实体提供包含凭证或凭证生成方法的鉴别器。应确保鉴别器被安全地颁发给相应的合法实体。此过程的复杂度随所需的保障等级不同而变化。

凭证激活

凭证激活过程将包含凭证或凭证生成方法的鉴别器正式投入使用。激活过程可根据凭证的情况包含多种措施。例如，为防止临时错误使用，凭证或凭证生成方法在初始化之后直到向实体颁发之时可处于“锁定”状态。在这种情况下，需要将凭证“解锁”（例如，使用PIN）。凭证或凭证生成方法也可以在临时中止其有效性的暂停期之后重新激活。

凭证存储

凭证存储过程将凭证或凭证生成方法以防范非授权泄露、使用、修改或销毁的方式进行安全存储。此过程的安全性要求随所需的保障等级不同而变化。

凭证暂停、撤销或销毁

凭证暂停过程将凭证的有效性临时停止。凭证撤销或销毁过程则将凭证的有效性永久性终止。出现如下情况，凭证应撤销或销毁：

1. 凭证或凭证生成方法已经被报告丢失、被窃或受到损害；
2. 凭证已过期；
3. 凭证赖以存在的基础已不复存在（例如，实体不再存在）；
4. 凭证被用于未经许可的用途；
5. 已颁发了另一个凭证取代所述凭证。

某些存储在硬件鉴别器（例如，智能卡）中的凭证，可在撤销或销毁时对物理载体进行销毁。以数字文件形式存在的凭证，可在撤销或销毁时进行数据覆盖以便彻底清除。

凭证更新或更换

凭证更新过程将现有凭证有效期进行延长或续期。凭证更换过程则向某个实体发放新凭证或凭证生成方法以替换已撤销或销毁的凭证。凭证更新或更换过程的严格程度随所需保障等级的不同而变化。

记录保留

CSP应在凭证的整个生命周期内维护适当的记录，包括但不限于以下信息：

1. 生成凭证的事实，
2. 凭证的标识符（适用时），
3. 凭证颁发的对象实体（适用时），
4. 凭证的状态（适用时）。

鉴别环节

概述

在鉴别环节，实体作为声称方采用其凭证（通过鉴别器）向验证方证实其身份。鉴别环节包括以下过程：身份鉴别，记录保留。

身份鉴别

身份鉴别过程可根据不同的使用场景和参与方划分为不同的模型。例如，无可信第三方参与的鉴别、有可信第三方参与的鉴别（仅一方连接可信第三方）和有可信第三方参与的鉴别（双方均连接可信第三方）。有关鉴别的基本模型及过程见GB/T 36633-2018。

声称方在身份鉴别过程中应通过安全的鉴别协议验证自己拥有正确的凭证或者证明自己拥有已经绑定了正确凭证的鉴别器，以便建立对其身份的信任。应确保鉴别协议消息序列关键部分的完整性和保密性，以减少攻击者伪装成合法验证方或合法用户进行破坏造成的损失。鉴别协议的安全需求根据可适用的保障等级（见8.3）而变化。

记录保留

验证方应在鉴别环节对全过程进行监控并保存记录。

联合环节

概述

当实体鉴别环节结束时，如果验证方和依赖方不是同一个机构或组织，则验证方和依赖方需要为完成鉴别而交换信息（即断言），并就交换信息的协议、数据格式和信息结构达成一致。即验证方生成包含鉴别结果的断言并发送给依赖方，而依赖方则根据断言获得实体的身份并提供相应服务。联合环节包括以下过程：断言，记录保留。

断言

断言过程可根据不同的使用场景划分为不同的模型。例如，直接断言模型（验证方直接向依赖方发送断言）、间接断言模型（依赖方向验证方请求获取断言）和代理模型（验证方作为声称方和依赖方的中间人）。有关断言的基本模型见GB/T 36633-2018。

断言过程可使用断言协议表明验证方对实体进行鉴别的结果，可包括实体的属性信息或实体可使用的授权信息等数据。断言协议应保障断言在创建后从验证方传递到依赖方的可靠性以及合法用户的真实性，其安全需求根据可适用的保障等级（见8.4）而变化。有关断言协议的示例见GB/T 29242-2012。

记录保留

验证方应在联合环节对断言的创建和发送过程进行监控并保存记录。依赖方应在联合环节对断言的接收过程进行监控并保存记录。

延伸阅读

更多内容 可以 信息安全技术 实体鉴别保障框架. 进一步学习

联系我们

DB42-T 1744-2021 桥梁阻尼器应用指南 湖北省.pdf