密评二级到底在查什么商用密码应用安全性评估简称密评二级对身份鉴别提出了明确的技术要求信息系统中的身份鉴别信息在存储、传输过程中必须采用密码技术保护同时应采用两种或两种以上组合的鉴别技术双因子对用户身份进行鉴别且其中一种须为密码技术实现的动态口令或生物特征。很多单位卡在密评二级不是因为没有做认证而是因为做了但拿不出证据。测评人员要的不只是一个能登录的系统而是一整套可验证、可追溯、可审计的证据链你的密钥存在哪、你的算法合不合规、你的双因子是不是真双因子、你的应急流程能不能兜底。本文就围绕身份鉴别这一条手把手给出安当SLA国密USBKey过密评二级的证据包设计。需要先厘清一个常见误区把账号密码当作双因子是错误的。账号是身份标识密码是单一种类的鉴别因素所知二者不构成双因子。真正的双因子必须是不同性质的因子组合例如所持USBKey所知PIN/动态码“或所持所是指纹”。身份鉴别条款逐条对照下面把密评二级中身份鉴别相关的核心条款逐条列出并说明安当SLA如何逐条满足。请注意以下为条款要点的工程化解读实际测评以相关国家标准原文及测评机构要求为准。条款一身份鉴别信息在传输过程中应使用密码技术进行保护。对照运维或办公人员登录操作系统时安当SLA的认证交互链路采用国密SM2对鉴别报文做加密或签名保证口令、挑战码等鉴别信息在从终端到认证组件的过程中不以明文暴露满足传输保护。条款二身份鉴别信息在存储过程中应使用密码技术进行保护。对照USBKey中存放的私钥与证书受硬件保护私钥不可导出本地的鉴别凭证不以可逆形式落盘。安当SLA遵循密钥不出硬件原则密钥生成与签名运算均在USBKey安全芯片内完成从存储源头消除私钥泄漏风险。条款三应采用两种或两种以上组合的鉴别技术对用户进行身份鉴别。对照安当SLA在操作系统登录流程中嵌入第二因子。当配置为USBKeyPIN时用户须同时持有USBKey所持并输入PIN所知构成标准双因子当配置为USBKey指纹时则构成所持所是组合满足双因子要求。条款四其中一种鉴别技术应使用密码技术实现的动态口令或生物特征。对照USBKey本身即密码技术实现的持有因子其内置国密芯片与证书指纹属于生物特征因子二者均能命中该条款中密码技术/生物特征的要求确保组合中至少有一项是高强度因子。条款五应具备登录失败处理与结束会话机制。对照安当SLA支持多次认证失败锁定、拔Key自动锁屏、超时自动注销。当USBKey被拔出操作系统立即进入锁屏或注销状态从会话生命周期层面收口身份鉴别的退出环节。条款六应提供审计功能覆盖身份鉴别的关键事件。对照每次登录、认证成功/失败、USBKey插拔、应急OTP使用都被记录到全链路审计日志包含时间、账号、终端、因子类型为密评的安全审计条款提供关联证据。把上面六条串起来就是一个可演示、可核验的闭环传输有加密、存储有硬件保护、登录有双因子、会话有退出、事件有审计。测评现场只要把这六项证据依次展示身份鉴别条款基本就能逐项过关。USBKey双因子持有知悉的组合设计安当SLA的USBKey采用国密算法体系是典型的持有因子。它和PIN组成的USBKey所知组合是过密评二级最稳妥的方案。设计要点如下第一密钥不出硬件。USBKey内的私钥在出厂或首次签发时于芯片内生成外部无法读出。所有签名、解密运算都在芯片内完成。这意味着即便终端中了木马、内存被dump攻击者也无法提取私钥去伪造身份。这是密评存储保护条款的硬核证据。第二PIN作为所知因子。PIN并不在网络或磁盘上明文传输存储它只用于解锁USBKey本地运算。USBKey本身对连续错误PIN有锁定机制防止暴力猜测。这样持有USBKey和知道PIN两件事必须同时成立双因子才通过。第三挑战-响应而非静态口令。登录时系统向USBKey发送挑战USBKey用私钥签名返回服务端校验签名有效性。整个过程不暴露私钥也不依赖一个可被重放的静态密码抗中间人、抗重放能力显著强于传统口令。第四与操作系统登录流程深度嵌入。安当SLA把第二因子嵌入Windows、Linux、国产OS的登录环节用户在系统原生登录界面之后或之中完成USBKey认证无需额外跳转或第三方客户端体验连贯也减少了因旁路登录导致的绕过风险。USBKey指纹增强型双因子在更高安全诉求的场景下可以把USBKey指纹作为增强组合。这里指纹属于所是因子生物特征与USBKey所持构成异构双因子理论上比USBKeyPIN更能抵御被迫交出PIN的胁迫场景——因为指纹无法像PIN一样被轻易转述。工程上安当SLA支持四因子体系USBKey国密、OTP、指纹、掌纹。企业可按终端敏感度灵活组合。例如普通办公机用USBKeyPIN研发核心机用USBKey指纹工控终端登录因环境无网络则用USBKey离线模式。这种分级策略既满足密评又不过度打扰日常。需要提醒的是生物特征因子在密评证据里要特别注意模板安全。指纹模板不应以明文存储应在安全区域或受保护存储中保存并在匹配环节本地完成。安当SLA的指纹匹配在终端本地完成模板不出端符合生物特征信息保护的要求这部分材料也要纳入测评证据包。离线双因子断网环境如何过评密评现场常遇到一个尴尬核心工控终端、隔离网主机根本没有网络没法连中心认证服务器。这时候在线双因子方案直接失效。安当SLA的离线双因子正是为这类场景设计的。离线模式下USBKey本身携带证书与密钥登录认证在终端本地完成校验不依赖任何网络服务。对于完全隔离的环境还可以启用离线应急OTP管理员预签发一批一次性动态码在USBKey遗失或故障时运维人员使用应急OTP账号完成临时双因子登录事后该应急事件进入审计优先队列复核。这里有一个关键证据点离线模式不能因为断网就退化为单因子。测评关注的恰恰是断网场景下你是不是仍然保持了双因子。因此离线应急必须仍是所知应急OTP所持有账号令牌/USBKey或类似组合并且应急动作被完整记录才能作为合规证据而非合规漏洞。拔Key自动锁屏在离线状态下同样生效保证物理移除即锁定的强约束。共享账号追溯把自然人与系统账号解耦很多单位操作系统里仍有admin“root”“operator这类共享系统账号。密评和等保2.0都强调账号唯一标识、操作可追溯”。共享账号最大的问题是日志里只有admin登录了却分不清是张三还是李四操作的。安当SLA的做法是即便目标机用的是共享系统账号登录时的第二因子身份仍绑定到具体自然人USBKey证书对应到人。审计日志记录的不是admin做了什么而是张三持有USBKey SNxxxx以admin身份于某时登录某机。这样就把自然人身份和系统账号解耦实现共享账号可追溯。在密评的审计和访问控制条款下这恰恰是高成熟度表现。对于远程登录安全的场景当人员不在现场、通过远程接入方式操作办公机或服务器时USBKey双因子要求远程操作员也必须持有合法硬件因子防止口令泄漏即全网失守。即便远程通道被截获没有实体USBKey依然无法完成身份鉴别。测评现场要准备的证据材料清单把前面所有设计落到纸面密评二级身份鉴别的测评材料建议包含以下清单商用密码产品资质证明USBKey对应的商用密码产品认证证书或型号证明证明其所用算法SM2/SM3等经国家认可算法合规声明说明传输与存储环节使用的国密算法及工作模式引用相关国家标准条款密钥不出硬件证明USBKey厂商的安全芯片说明、私钥生成与运算在芯片内完成的架构图双因子配置截图操作系统登录流程中嵌入USBKeyPIN或USBKey指纹的配置界面与登录实测截图传输保护证据鉴别报文采用SM2加密/签名的抓包或架构说明证明口令不明文传输存储保护证据本地不落盘私钥、凭证不可逆存储的部署说明会话退出证据拔Key自动锁屏、超时注销的策略配置与实测记录审计日志样例含登录成功/失败、USBKey插拔、应急OTP使用的全链路日志样例字段含时间/账号/终端/因子应急流程文档离线应急OTP签发、使用、复核的书面流程证明降级仍保持双因子且可追溯人员绑定证明USBKey证书与自然人对应的发放登记表支撑共享账号可追溯兼容性说明对Windows、Linux、麒麟、统信等目标系统的适配说明证明方案在全量终端可用整改与复核记录若历史测评有不符合项附整改闭环记录。这份清单的价值在于让证据可对照条款。测评人员翻开条款你能立刻拿出对应材料沟通效率会大幅提升也最容易拿到高分。以安当SLA为例看部署三形态在落地时企业常纠结联网还是单机。以安当SLA为例它提供单机、联网、SaaS三种部署形态单机适合隔离网与工控终端联网适合有统一身份平台的企业可与安当ASP联动实现集中策略SaaS适合分支机构分散、想免运维的团队。过密评二级时三种形态在身份鉴别证据上的核心要求一致区别主要在策略集中度和运维成本单位可按自身网络架构选择不必为了过评强行改变整体IT形态。需要特别指出无论哪种部署安当SLA都能与统一身份认证平台对接把操作系统登录双因子纳入企业整体身份治理体系避免操作系统认证成为身份链条上的孤岛。这种整体视角正是密评追求的系统化密码应用成熟度。常见误区与避坑误区一认为复杂口令算双因子。错。复杂度提升不改变因子种类仍属单因子。误区二把账号密码当双因子。账号是标识不是因子二者都是所知或标识不满足异构组合。误区三只在联网时做双因子断网就放行。这会被测评直接记为不符合必须保证离线仍双因子。误区四审计日志不关联自然人。只记系统账号无法追溯必须绑定USBKey到自然人。误区五应急流程无记录。应急OTP用了不复核等于给合规留后门必须纳入事后审计。误区六生物模板明文存。指纹模板若明文落盘即便双因子成立也会在信息保护上丢分。国密算法在身份鉴别中的具体作用要拿到密评高分必须说清国密算法到底用在了哪。在安当SLA的USBKey体系里SM2主要用于数字签名与挑战-响应登录时服务端下发随机挑战值USBKey用内部SM2私钥对挑战签名服务端用证书中的公钥验签从而确认持有该密钥者为合法用户。由于私钥不出硬件签名不可伪造这就构成了密码技术实现的强持有因子。SM3则用于对鉴别要素做摘要保护。例如在传输或存储某些敏感标识时用SM3计算摘要保证数据被篡改可被察觉。SM2/SM3均为国家商用密码算法使用它们既是合规要求也是算法自主可控这一密评底层目标的直接体现。在测评材料里应明确写出挑战-响应流程中SM2的调用位置、SM3的摘要范围并附协议交互说明让测评人员一眼看清密码技术的落点。工控终端登录的特殊处理工控场景是密评二级里最棘手的环节之一工控终端往往运行老旧系统、无网络、不能随意装代理、重启代价高。安当SLA针对工控终端登录做了适配支持离线USBKey认证不依赖中心服务器对资源占用极低的轻量嵌入避免影响工控业务进程拔Key即锁屏防止操作员离岗后他人冒用。对于无法改造的legacy工控机可采用外置认证网关USBKey的组合操作员先通过USBKey在网关完成双因子网关再以受控方式把会话映射到工控终端。这样既满足了身份鉴别条款又不动工控机本体。需要强调的是即便工控环境特殊双因子与审计两条底线也不能破否则密评仍以不符合记。远程登录安全的纵深设计当人员通过远程接入方式登录办公机或服务器时攻击面从内网扩展到了边界之外。安当SLA的USBKey双因子在这里的价值尤为突出远程通道即便被中间人嗅探没有实体USBKey也无法完成签名远程操作员的身份被硬件因子牢牢绑定杜绝口令泄漏即全网失守。纵深设计上还建议远程接入先过一层网络接入认证远程接入认证进入内网后再过操作系统USBKey双因子最后对高敏操作再叠加一次MFA。三层递进任何单层被突破都不致全面失守。这也是等保2.0入侵防范与访问控制条款倡导的纵深防御思想在身份层的落地。测评现场的常见追问与应答除了材料清单测评人员常追问几个问题提前准备应答能显著提高通过率问断网时双因子如何保证答USBKey本地验签离线仍双因子附离线实测记录。问应急OTP是否削弱合规答应急仍须组合因子且全程审计并事后复核不降低强度。问共享账号怎么追溯答系统账号可共享但USBKey证书绑定自然人审计记录自然人身份。问生物模板安全吗答指纹模板本地匹配、不出端、不明文存储附存储说明。问算法合规吗答使用SM2/SM3国密算法附商用密码产品资质。把这些问题和证据一一对应现场就能从被动解释转为主动举证节奏完全掌控在自己手里。与统一身份认证平台的联动价值单点的操作系统双因子解决的是一台机器怎么登录但企业有成百上千台终端分散管理会迅速失控。安当SLA支持与统一身份认证平台对接把操作系统登录策略、因子发放、审计日志统一上收。管理员在一个控制台看到全企业所有终端的登录态势哪台机器异常、哪个USBKey被多地使用、哪个账号触发应急一目了然。这种联动还带来合规复用身份鉴别证据在操作系统层和统一身份层是一致的密评时不必为不同系统重复准备材料一份证据链可支撑多个测评域。对于正在推进等保2.0与密评同步建设的单位这能显著压缩合规成本。四因子体系与场景化选型安当SLA提供USBKey国密、OTP、指纹、掌纹四因子不是让企业全用而是按场景组合。办公机追求便捷可用指纹或OTP研发机追求强管控用USBKeyPIN高密级机追求抗胁迫用USBKey指纹隔离工控机用USBKey离线。关键是因子要异构同一性质的因子叠加不算双因子必须跨所持/所知/所是三类取其二。选型时还要考虑运维成本硬件因子要管发放与挂失生物因子要管模板安全OTP要管时钟同步。安当SLA把这些统一到管理后台因子状态一目了然遗失一键注销避免令牌满天飞、谁丢谁不管的乱象。这也是密评之外企业自身身份治理成熟度的真实体现。证据链的自我校验在提交测评前建议做一次证据链自我校验从条款出发逐条问自己——传输加密有吗、存储保护有吗、双因子异构吗、会话退出有吗、审计关联自然人吗、应急可追溯吗、算法合规吗。任何一条答不上来就是潜在不符合项。安当SLA的方案把这些答案固化成可演示的配置与日志让自我校验从凭记忆变成点开看。把这份自检表随材料一并提交往往能给测评人员留下准备充分的印象间接提升评分。方案参考本文方案可结合安当SLA操作系统登录双因素产品与商用密码产品官方文档配置落地具体证据以产品白皮书、商用密码应用安全性评估相关国家标准及测评机构要求为准。
