《基于國密動態(tài)令牌身份認證管理系統(tǒng) 技術(shù)規(guī)范》

ICS點擊此處添加ICS號

CCS點擊此處添加CCS號

SDBMXH

團體標準

T/SDBMXH2023—XXXX

基于國密動態(tài)令牌身份認證管理系統(tǒng)

技術(shù)規(guī)范

IdentityAuthenticationManagementSystemBasedonGMDynamicToken

Technicalspecification

（征求意見稿）

（本草案完成時間：2023.9.21）

在提交反饋意見時，請將您知道的相關(guān)專利連同支持性文件一并附上。

2023-XX-XX發(fā)布2023-XX-XX實施

山東省保密協(xié)會發(fā)布

T/SDBMXH2023—XXXX

基于國密動態(tài)令牌身份認證管理系統(tǒng)

技術(shù)規(guī)范

1范圍

本文件規(guī)定了基于國密動態(tài)令牌身份認證管理系統(tǒng)（以下簡稱“認證系統(tǒng)”）的總體框架，設(shè)計要

求、功能要求以及系統(tǒng)功能的測試方法。

本文件適用于基于國密動態(tài)令牌身份認證管理系統(tǒng)。

2規(guī)范性引用文件

下列文件中的內(nèi)容通過文中的規(guī)范性引用而構(gòu)成本文件必不可少的條款。其中，注日期的引用文件，

僅該日期對應(yīng)的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本

文件。

GB/T38556—2020信息安全技術(shù)動態(tài)口令密碼應(yīng)用技術(shù)規(guī)范

3術(shù)語、定義和縮略語

術(shù)語和定義

下列術(shù)語和定義適用于本文件。

3.1.1

動態(tài)密碼（動態(tài)口令）one-time-password，dynamicpassword

由種子密鑰與其它數(shù)據(jù)，通過特定算法，運算生成的一次性密碼口令。

3.1.2

動態(tài)令牌one-time-passwordtoken，dynamictoken

生成并顯示動態(tài)密碼的載體。

[來源：GB/T38556—2020,3.2]

3.1.3

種子密鑰seedkey

即令牌種子密鑰，計算動態(tài)口令的密鑰。

[來源：GB/T38556—2020,3.3]

3.1.4

靜態(tài)口令staticpassword

用戶設(shè)置的，除非用戶主動修改，否則不會發(fā)生變化的口令。

[來源：GB/T38556—2020,3.4]

3.1.5

接入設(shè)備AccessDevice

接入基于國密動態(tài)令牌身份認證管理系統(tǒng)的所有類型應(yīng)用系統(tǒng)、網(wǎng)絡(luò)設(shè)備、操作系統(tǒng)。

縮略語

下列縮略語適用于本文。

AD：活動目錄（ActiveDirectory）

AAA：認證、授權(quán)、審計（Authentication、Authorization、Auditing）

LDAP：輕型目錄訪問協(xié)議（LightweightDirectoryAccessProtocol）

1

T/SDBMXH2023—XXXX

HTTPAPI：基于HTTP（HypertextTransferProtocol）協(xié)議定義的應(yīng)用程序接口(Application

ProgrammingInterface)

SSL：安全套接層（SecureSocketLayer）

SM3:SM3密碼雜湊算法

PIN：個人身份識別碼（PersonalIdentificationNumber）

Radius：遠程用戶撥號認證系統(tǒng)（RemoteAuthenticationDialInUserService）

TACACS+：終端訪問控制器訪問控制系統(tǒng)（TerminalAccessControllerAccess-ControlSystem

Plus）

4總體框架

基于國密動態(tài)令牌身份認證管理系統(tǒng)由身份認證管理系統(tǒng)、國密動態(tài)令牌、用戶自助服務(wù)以及認

證插件構(gòu)成，結(jié)合外部用戶源（AD/LDAP）為應(yīng)用系統(tǒng)、網(wǎng)絡(luò)設(shè)備以及操作系統(tǒng)等接入設(shè)備提供動態(tài)密

碼身份認證服務(wù)。認證系統(tǒng)如圖1所示。

圖1基于國密動態(tài)令牌身份認證管理系統(tǒng)架構(gòu)

動態(tài)令牌生成顯示動態(tài)口令，用戶主體通過瀏覽器或應(yīng)用客戶端提交動態(tài)密碼與身份驗證信息，

應(yīng)用系統(tǒng)按照協(xié)商指定的協(xié)議（報文）將用戶身份信息與動態(tài)密碼發(fā)送至認證系統(tǒng)進行校驗，認證系統(tǒng)

依據(jù)用戶源校驗用戶身份信息并鑒別動態(tài)密碼。

5設(shè)計要求

設(shè)計原則

認證系統(tǒng)應(yīng)在提供安全有效的動態(tài)密碼鑒別服務(wù)的前提下，遵循以下基礎(chǔ)設(shè)計原則：

a)令牌的綁定對象為用戶主體而非用戶賬戶；

b)單個動態(tài)密碼僅可使用一次；

c)認證接口僅可供認證系統(tǒng)可管理設(shè)備調(diào)用；

d)認證系統(tǒng)維護操作的便捷；

e)針對接入設(shè)備具備良好的兼容性；

f)認證系統(tǒng)具有高可用性；

g)認證過程具備可追溯性；

h)在無互聯(lián)網(wǎng)接入情況下提供可運行的動態(tài)密碼身份認證服務(wù)。

用戶管理

5.2.1一般要求

2

T/SDBMXH2023—XXXX

用戶管理應(yīng)實現(xiàn)多個接入設(shè)備環(huán)境下統(tǒng)一用戶身份信息管理。可管理的用戶源包括認證系統(tǒng)

內(nèi)新建用戶的內(nèi)部用戶源與來自AD或通用LDAP的外部用戶源，用戶源的管理應(yīng)采用統(tǒng)一的方式實現(xiàn)

用戶組織架構(gòu)、用戶、用戶角色管理，若同時具有內(nèi)部用戶源和外部用戶源應(yīng)通過標注或其他方式區(qū)分

用戶來源。

用戶管理應(yīng)支持維護便捷性，可提供批量導入與導出操作。導出用戶不應(yīng)包含用戶密碼、用

戶所關(guān)聯(lián)動態(tài)令牌的密鑰。

用戶基本信息可管理的內(nèi)容應(yīng)與認證系統(tǒng)所實現(xiàn)的認證方式關(guān)聯(lián)，不應(yīng)收集與認證系統(tǒng)無關(guān)

的用戶標識信息或隱私信息。對于臨時用戶應(yīng)實現(xiàn)其認證的時間段可控，動態(tài)令牌應(yīng)具有有效期控制。

5.2.2密碼策略

用戶密碼策略應(yīng)可設(shè)定密碼最大或最小長度、密碼有效期、歷史密碼是否允許使用、歷史密

碼個數(shù)限定、密碼到期前通知，密碼過期后通知、自動重置已過期的密碼并進行通知、密碼復雜度以及

密碼所須包含字符類型。

弱口令檢測規(guī)則應(yīng)可定義。在用戶賬號設(shè)定、修改密碼時自動匹配弱口令檢測規(guī)則，檢測為

弱口令時應(yīng)及時提示，并使得口令設(shè)定或修改不能成功執(zhí)行。

5.2.3用戶狀態(tài)

用戶狀態(tài)應(yīng)區(qū)分用戶是否可用以及用戶使用過程中異常狀態(tài)，可使用“啟用”、“未啟用”、“鎖

定”等狀態(tài)用語標識。

5.2.4賬號創(chuàng)建規(guī)則

用戶賬號管理時應(yīng)可設(shè)定賬號命名規(guī)則，在創(chuàng)建用戶賬號時應(yīng)依據(jù)賬號命名規(guī)則檢測，對于不符合

規(guī)則的賬號進行消息提示，并使得賬號創(chuàng)建不能成功執(zhí)行。

5.2.5用戶組織架構(gòu)

用戶組織架構(gòu)宜采用樹形結(jié)構(gòu)，默認所有用戶屬于根節(jié)點，子節(jié)點僅可管理該節(jié)點下用戶。

5.2.6用戶角色

單個用戶應(yīng)支持擁有多個角色。多個用戶角色屬于同一個用戶時，不應(yīng)出現(xiàn)用戶角色權(quán)限沖

突，應(yīng)有角色權(quán)限優(yōu)先級解決方案。

用戶角色權(quán)限應(yīng)遵循完成其工作所需的最小權(quán)限分配原則，用戶角色權(quán)限不應(yīng)涉及認證系統(tǒng)

管理的權(quán)限分配。

5.2.7用戶安全

對于同一時間段內(nèi)同一用戶連續(xù)登錄失敗等異常用戶登錄行為應(yīng)提供相應(yīng)的處理措施，如鎖定用

戶。應(yīng)支持基于異常登錄行為設(shè)定用戶登錄風險預判規(guī)則，用戶登錄行為與風險預判規(guī)則匹配時應(yīng)立即

禁用用戶并通過消息通知系統(tǒng)管理員。用戶賬戶被系統(tǒng)禁用后應(yīng)由系統(tǒng)管理員人為干涉解除風險后啟

用用戶賬戶。

5.2.8外部用戶源同步

用戶來源于外部AD或LDAP時，應(yīng)提供用戶同步功能，能同步外部用戶源的用戶增、刪、改信息。同

步外部用戶字段時應(yīng)支持字段過濾，不應(yīng)同步涉及用戶個人隱私的數(shù)據(jù)。

令牌管理

5.3.1一般要求

令牌管理應(yīng)提供令牌的測試、校驗與糾偏功能。

使用軟件令牌時，認證系統(tǒng)應(yīng)依據(jù)算法生成令牌，至少能基于SM3算法生成令牌，動態(tài)密碼

的生成應(yīng)符合GB/T38556—2020第6章。

3

T/SDBMXH2023—XXXX

令牌管理過程中應(yīng)減少令牌種子密鑰的傳輸過程，并在傳輸過程中采用安全的方式。認證系

統(tǒng)中不應(yīng)呈現(xiàn)明文種子密鑰或密文種子密鑰。

令牌批量管理導出時不應(yīng)出現(xiàn)種子密鑰。令牌的分發(fā)與綁定過程應(yīng)通過令牌序列號進行相應(yīng)

配置。令牌進行分發(fā)或綁定后長期未被使用應(yīng)自動將令牌置于不可用狀態(tài)。

5.3.2令牌序列號

令牌序列號應(yīng)在認證系統(tǒng)內(nèi)具有唯一標識性與可記憶特性。令牌序列號可采用一定長度的前綴和

特定長度的隨機數(shù)構(gòu)成。

5.3.3令牌綁定關(guān)系

令牌應(yīng)通過令牌序列號與用戶名形成綁定關(guān)系，若用戶名支持多個令牌的綁定時，應(yīng)在該用戶名下

通過PIN碼明確令牌與用戶主體關(guān)聯(lián)關(guān)系。

5.3.4令牌激活碼

令牌激活碼應(yīng)具有有效期，動態(tài)令牌應(yīng)用對于過期激活碼應(yīng)給出過期提示并忽略令牌種子密

鑰。

令牌激活應(yīng)支持二維碼掃碼激活、用戶密碼校驗激活，用戶名密碼校驗激活應(yīng)有消息驗證碼

驗證。

設(shè)備管理

5.4.1一般要求

設(shè)備管理應(yīng)支持將接入設(shè)備進行分組管理以及設(shè)備的基本信息管理。設(shè)備基本信息應(yīng)包含設(shè)備標

識名稱、設(shè)備IP地址、接入通訊協(xié)議、通訊交互的共享密鑰以及認證方式與認證策略等。

5.4.2接入通訊協(xié)議

接入通訊協(xié)議為接入設(shè)備與認證系統(tǒng)進行數(shù)據(jù)報文交互通訊的依據(jù)。接入通訊協(xié)議應(yīng)包含通

用的Radius、TACACS+以及提供完整說明的HTTPAPI協(xié)議。所有接入通訊協(xié)議交互過程中共享密鑰應(yīng)

采用密文方式進行交互。

HTTPAPI應(yīng)提供詳盡的參數(shù)配置，通訊過程中不應(yīng)有非規(guī)定參數(shù)且涉及密碼、動態(tài)密碼字段

均應(yīng)進行密文傳輸，HTTPAPI參數(shù)定義參見附錄A。HTTPAPI應(yīng)支持SSL傳輸。

在已有Radius服務(wù)器場景下，認證服務(wù)器應(yīng)支持基于Radius完成動態(tài)密碼認證后轉(zhuǎn)發(fā)

Radius數(shù)據(jù)報文至已有Radius服務(wù)器。認證系統(tǒng)應(yīng)支持Radius屬性擴展，通過擴展屬性與接入設(shè)備

適配。

5.4.3認證策略

認證策略應(yīng)具有標識名稱，可對靜態(tài)密碼、動態(tài)密碼、PIN碼進行組合實現(xiàn)不同需求的認證鑒別。

應(yīng)支持基于用戶角色、用戶源、用戶組的用戶過濾。用戶過濾可采用選取或排除的方式進行，使得選取

的用戶適用本策略，排除的用戶不適用本策略。

授權(quán)策略

對于網(wǎng)絡(luò)設(shè)備通過Radius、TACACS+協(xié)議接入認證系統(tǒng)應(yīng)支持認證、授權(quán)與審計的AAA認證，應(yīng)支持

設(shè)定基于用戶角色、用戶組、用戶授權(quán)特定網(wǎng)絡(luò)設(shè)備操作指令與指令集。對于登錄設(shè)備的用戶使用非授

權(quán)指令或涉及影響網(wǎng)絡(luò)安全的指令時應(yīng)及時發(fā)出消息告警并通知系統(tǒng)管理員。

日志管理

日志應(yīng)為用戶認證或系統(tǒng)管理提供可追溯的依據(jù)。認證日志應(yīng)包含時間、用戶、來源設(shè)備、動態(tài)令

牌、認證結(jié)果等字段；操作日志應(yīng)包含時間、用戶、所做操作、操作結(jié)果等字段。日志管理應(yīng)可設(shè)定日

4

T/SDBMXH2023—XXXX

志保留時長，所允許的最長保留時長不應(yīng)低于2年。日志管理應(yīng)提供按時段批量文件導出。應(yīng)支持通過

日志傳輸協(xié)議（syslog）將日志傳輸至外部日志服務(wù)器。

系統(tǒng)管理

5.7.1系統(tǒng)管理應(yīng)提供可分級別的系統(tǒng)管理員，系統(tǒng)管理員級別應(yīng)至少支持3級且各自級別具有不同

認證系統(tǒng)管理權(quán)限。系統(tǒng)管理員登錄認證系統(tǒng)應(yīng)支持動態(tài)口令認證，系統(tǒng)管理員應(yīng)與5.2中的用戶具有

完全不同的功能屬性。系統(tǒng)管理員為認證系統(tǒng)的內(nèi)部管理用戶，不應(yīng)作為接入設(shè)備的用戶。

5.7.2認證系統(tǒng)應(yīng)提供主備模式或雙活模式高可用方案。若認證系統(tǒng)具有用戶自助服務(wù)能力，用戶自

助服務(wù)應(yīng)支持單獨部署，不應(yīng)與認證系統(tǒng)采用統(tǒng)一地址與端口提供服務(wù)。

5.7.3認證系統(tǒng)應(yīng)為令牌激活碼推送、消息認證、通知預警信息等提供消息服務(wù)，消息服務(wù)應(yīng)支持已

獲審批模板短信、郵件、消息服務(wù)器或辦公通訊軟件等推送消息。

6功能要求

功能概述

6.1.1基于第5章的要求應(yīng)實現(xiàn)用戶名密碼校驗、用戶名動態(tài)密碼校驗、用戶名密碼動態(tài)密碼校驗、

用戶名密碼PIN碼動態(tài)密碼校驗，對于密碼、動態(tài)密碼、PIN碼的組合校驗應(yīng)提供單次認證方式與多次

認證方式。

6.1.2當認證請求數(shù)據(jù)報文進入認證系統(tǒng)時，認證系統(tǒng)應(yīng)正確且有效的識別該認證請求來自的接入設(shè)

備信息；所請求的用戶是否具有登錄該接入設(shè)備的權(quán)限。

用戶名密碼認證要求

認證系統(tǒng)應(yīng)能有效識別用戶所屬用戶源、用戶名密碼校驗結(jié)果以及用戶密碼有效期。當用戶屬于認

證系統(tǒng)內(nèi)部用戶時，應(yīng)能檢測其密碼強弱級別，對于弱密碼應(yīng)給于反饋并要求修改密碼后重新登錄。

用戶名動態(tài)密碼認證要求

用戶名動態(tài)密碼認證時，認證系統(tǒng)可依據(jù)用戶與令牌綁定關(guān)系進行動態(tài)密碼口令校驗，返回校驗結(jié)

果并記錄校驗過程。若用戶名綁定多個令牌，應(yīng)進行PIN碼校驗。

組合方式單次認證要求

6.4.1使用用戶名與靜態(tài)密碼和動態(tài)密碼組合在同一個數(shù)據(jù)報文中進行認證，認證系統(tǒng)應(yīng)分別校驗靜

態(tài)密碼、動態(tài)密碼，并將校驗結(jié)果進行與計算作為最終認證校驗結(jié)果返回。

6.4.2使用用戶名與靜態(tài)密碼、動態(tài)密碼和PIN碼組合在同一個數(shù)據(jù)報文中進行認證，認證系統(tǒng)應(yīng)分

別校驗靜態(tài)密碼、動態(tài)密碼和PIN碼，將三者的校驗結(jié)果進行與計算作為最終認證校驗結(jié)果返回。

組合方式多步認證要求

6.5.1使用用戶名和密碼、動態(tài)密碼分別在兩個數(shù)據(jù)報文中進行認證，認證系統(tǒng)應(yīng)能校驗用戶名密碼，

用戶名密碼校驗成功應(yīng)要求繼續(xù)進行動態(tài)密碼校驗，否則結(jié)束認證過程。在靜態(tài)密碼校驗成功后獲取到

動態(tài)密碼認證請求進行動態(tài)密碼校驗，并返回認證結(jié)果。

6.5.2使用用戶名和密碼、PIN碼和動態(tài)密碼分別在兩個數(shù)據(jù)報文中進行認證，認證系統(tǒng)應(yīng)依據(jù)用戶

名密碼校驗結(jié)果判斷是否繼續(xù)PIN碼和動態(tài)密碼校驗。在用戶名密碼校驗成功后獲取PIN碼和動態(tài)密

碼分別進行校驗，校驗結(jié)果采用與計算作為最終校準認證結(jié)果返回。

消息推送認證要求

使用消息推送方式認證時應(yīng)通過移動終端動態(tài)令牌應(yīng)用確認消息并回傳動態(tài)密碼，認證系統(tǒng)通過

消息服務(wù)器讀取回傳的動態(tài)口令進行校驗，校驗結(jié)果作為本次認證結(jié)果返回認證請求端。不應(yīng)僅依據(jù)是

否確認消息作為認證結(jié)果。

掃碼登錄認證要求

5

T/SDBMXH2023—XXXX

使用掃描二維碼登錄認證時應(yīng)通過移動終端動態(tài)令牌應(yīng)用回傳唯一會話標識、用戶名、動態(tài)密碼，

認證系統(tǒng)應(yīng)校驗用戶與動態(tài)密碼，校驗結(jié)果作為本次認證結(jié)果返回認證請求端。

操作系統(tǒng)登錄認證要求

操作系統(tǒng)作為接入設(shè)備應(yīng)提供動態(tài)密碼認證登錄保護，動態(tài)密碼認證保護不應(yīng)在不被允許條件下

卸載。對于操作系統(tǒng)登錄認證應(yīng)支持離線認證，即操作系統(tǒng)無法與認證系統(tǒng)進行通訊時能夠正確完成動

態(tài)密碼校驗。

郵件客戶端可信化要求

郵件系統(tǒng)作為認證系統(tǒng)接入設(shè)備時，應(yīng)為郵件web與郵件客戶端登錄提供動態(tài)密碼雙因素認證保護。

郵件客戶端應(yīng)通過動態(tài)密碼雙因素認證后由用戶主體設(shè)定客戶端是否可信?？尚呕]件客戶端可在認

證系統(tǒng)內(nèi)進行管理，包括要求郵件客戶端重新授權(quán)、禁用、鎖定。

7測試方法

基本流程

認證系統(tǒng)身份認證基本流程如圖2所示：

圖2認證系統(tǒng)身份認證基本流程

認證系統(tǒng)身份認證基本流程說明如下：

a)由接入設(shè)備通過接入通訊協(xié)議向認證服務(wù)器發(fā)起認證請求；

b)動態(tài)密碼身份認證服務(wù)器接收到認證請求校驗接入設(shè)備信息，接入設(shè)備不存在時，返回失敗結(jié)

果，結(jié)束認證流程；

c)設(shè)備信息校驗成功，進入認證策略進行條件過濾；

d)依據(jù)過濾條件判斷用戶是否存在，用戶不存在返回失敗結(jié)果，結(jié)束認證流程；用戶存在則逐步

校驗所需驗證的信息并檢索用戶所關(guān)聯(lián)的令牌序列號；

e)依據(jù)令牌序列號與請求驗證的動態(tài)密碼進行動態(tài)密碼校驗，并返回認證結(jié)果；

f)設(shè)備管理模塊依據(jù)多個驗證結(jié)果進行與計算通過接入通訊協(xié)議返回認證結(jié)果，結(jié)束認證流程。

檢查認證系統(tǒng)服務(wù)狀態(tài)

6

T/SDBMXH2023—XXXX

認證系統(tǒng)在首次啟動并初始化完成后，各通訊協(xié)議接口應(yīng)處于監(jiān)聽狀態(tài)；通過管理界面應(yīng)能進行管

理員身份鑒別并完成登錄；管理員首次登錄校驗成功應(yīng)進行管理員密碼修改；身份認證基本配置應(yīng)在管

理界面進行配置。

用戶名密碼認證測試

用戶名密碼認證應(yīng)按照以下流程進行測試：

a)用戶主體通過接入設(shè)備的用戶界面提交用戶名、密碼等登錄信息；

b)由接入設(shè)備通過協(xié)商一致的接入通訊協(xié)議向認證系統(tǒng)發(fā)起認證請求完成認證；

c)認證系統(tǒng)返回認證結(jié)果，接入設(shè)備依據(jù)認證結(jié)果反饋用戶是否登錄成功。

此認證過程應(yīng)符合6.2的功能要求，能正確校驗用戶是否存在、是否被授權(quán)、密碼正確與否，并將

校驗結(jié)果反饋至接入設(shè)備。

用戶名動態(tài)密碼認證測試

用戶名動態(tài)密碼認證應(yīng)按照以下流程進行測試：

a)用戶主體通過接入設(shè)備的用戶界面提交用戶名、動態(tài)口令等登錄信息；

b)由接入設(shè)備通過協(xié)商一致的通訊協(xié)議向認證系統(tǒng)發(fā)起動態(tài)密碼認證請求；

c)認證系統(tǒng)返回認證結(jié)果，接入設(shè)備依據(jù)認證結(jié)果反饋用戶是否登錄成功。

此認證過程應(yīng)符合6.3的功能要求，應(yīng)遵循基本認證流程完成動態(tài)密碼校驗。能正確校驗用戶是否

存在、是否被授權(quán)、動態(tài)口令正確與否，并將校驗結(jié)果反饋至接入設(shè)備。

組合方式單次認證測試

組合方式單次認證應(yīng)按照以下流程進行測試：

a)用戶主體通過接入設(shè)備的用戶界面提交用戶、密碼組合（密碼組合包含：靜態(tài)密碼動態(tài)密碼組

合、靜態(tài)密碼PIN碼動態(tài)密碼組合）等登錄信息；

b)接入設(shè)備通過通訊協(xié)議向認證系統(tǒng)發(fā)起認證請求；

c)認證系統(tǒng)返回認證結(jié)果，接入設(shè)備依據(jù)認證結(jié)果反饋用戶是否登錄成功。

此過程應(yīng)遵循基本流程，應(yīng)符合6.4的功能要求。能正確校驗用戶是否存在、是否被授權(quán)、密碼組

合各個部分正確與否，并將校驗結(jié)果反饋至接入設(shè)備。

組合方式多步認證測試

組合方式多步認證應(yīng)按照以下流程進行測試：

a)用戶主體通過接入設(shè)備的用戶界面提交用戶名、密碼等登錄信息；

b)接入設(shè)備將登錄信息通過通訊協(xié)議向認證系統(tǒng)發(fā)起認證請求；

c)接入設(shè)備依據(jù)認證系統(tǒng)反饋的登錄信息校驗結(jié)果反饋至用戶界面要求提供動態(tài)密碼組合或結(jié)

束登錄過程；

d)用戶主體依據(jù)用戶界面的交互提交其登錄用戶關(guān)聯(lián)的動態(tài)密碼組合（動態(tài)密碼組合包含：動態(tài)

密碼、PIN碼和動態(tài)密碼）；

e)接入設(shè)備再次將動態(tài)口令發(fā)送至認證服務(wù)器；

f)認證系統(tǒng)返回認證結(jié)果，接入設(shè)備依據(jù)認證結(jié)果反饋用戶是否登錄成功。

此過程應(yīng)遵循基本流程，應(yīng)符合6.5的功能要求。能正確校驗用戶是否存在、是否被授權(quán)、密碼組

合各個部分正確與否，并將校驗結(jié)果反饋至接入設(shè)備。

消息推送認證測試

消息推送認證應(yīng)按照以下流程進行測試：

a)用戶主體通過接入設(shè)備的用戶界面提交用戶名、密碼等登錄信息；

b)接入設(shè)備將登錄信息通過通訊協(xié)議向認證系統(tǒng)發(fā)起認證請求；

c)認證系統(tǒng)校驗登錄信息正確無誤后向用戶移動終端動態(tài)令牌應(yīng)用推送用戶登錄消息；

d)用戶主體通過移動終端動態(tài)令牌確認登錄信息，并由動態(tài)令牌信息回傳校驗信息與確認信息；

7

T/SDBMXH2023—XXXX

e)認證系統(tǒng)校驗回傳的動態(tài)口令及相關(guān)信息，并將校驗結(jié)果反饋至接入設(shè)備；

f)接入設(shè)備依據(jù)校驗結(jié)果反饋用戶登錄是否成功。

此過程應(yīng)符合6.6的功能要求。

掃碼登錄認證測試

掃碼登錄認證應(yīng)按照以下流程進行測試：

a)用戶主體使用移動終端動態(tài)令牌應(yīng)用掃描接入設(shè)備用戶界面的二維碼；

b)由動態(tài)令牌應(yīng)用將用戶信息、動態(tài)口令以及會話唯一標識等通過消息發(fā)送至認證系統(tǒng)；

c)認證系統(tǒng)校驗用戶信息與動態(tài)口令等，將校驗結(jié)果反饋至接入設(shè)備；

d)接入設(shè)備依據(jù)校驗結(jié)果反饋用戶登錄是否成功。

此過程應(yīng)符合6.7的功能要求。

操作系統(tǒng)登錄認證測試

操作系統(tǒng)登錄認證應(yīng)按照以下流程進行測試：

a)用戶主體在操作系統(tǒng)的登錄界面分別提交用戶名、密碼、動態(tài)密碼信息；

b)認證客戶端判斷是否能夠與認證服務(wù)器通信；

c)在通信正常清況下將認證信息發(fā)送至認證系統(tǒng)，由認證系統(tǒng)進行校驗；

d)人為設(shè)置通信異常情況時：

1)當認證系統(tǒng)允許通訊異常情況登錄時，認證客戶端自主完成校驗，并在能夠通信時將認證

信息回傳至認證系統(tǒng)；

2)當認證系統(tǒng)不允許通訊異常情況登錄時，阻止登錄系統(tǒng)；

e)認證客戶端依據(jù)校驗結(jié)果判定用戶是否允許進入操作系統(tǒng)。

此過程應(yīng)符合6.8的功能要求。

郵件客戶端可信化測試

郵件客戶端可信化測試應(yīng)按照以下流程進行：

a)用戶主體在郵件客戶端配置連接郵件系統(tǒng)信息與用戶校驗信息；

b)認證系統(tǒng)校驗用戶信息并推送信息至用戶主體的設(shè)備終端；

c)用戶主體通過消息確認郵件客戶端為用戶本人所為且授權(quán)可信；

d)郵件客戶端授權(quán)后可正常進行收發(fā)郵件。

此過程應(yīng)符合6.9的功能要求。

認證系統(tǒng)的高可用測試

認證系統(tǒng)應(yīng)能夠通過高可用配置完成不少于2個認證系統(tǒng)間的數(shù)據(jù)實時同步。在完成配置同步后，

應(yīng)具備其中任意一個認證系統(tǒng)宕機，其余部分認證系統(tǒng)仍可接管實現(xiàn)第6章要求并通過7.1-7.10、7.12

的檢驗項目。

用戶自助服務(wù)測試

認證系統(tǒng)應(yīng)對用戶自助服務(wù)進行權(quán)限控制，自助服務(wù)的用戶界面應(yīng)與管理界面進行區(qū)分，不應(yīng)通過

自助服務(wù)界面獲取認證管理界面相關(guān)信息。用戶通過自助服務(wù)應(yīng)可完成授權(quán)的密碼修改、個人用戶信息

管理和個人令牌管理，并能通過自助服務(wù)界面獲悉令牌的獲取方式或渠道。

8

T/SDBMXH2023—XXXX

A

A

附錄A

（資料性）

認證系統(tǒng)HTTPAPI接口參數(shù)定義

A.1請求參數(shù)

請求參數(shù)參見表A.1。

表A.1請求參數(shù)列表

參數(shù)名稱參數(shù)類型參數(shù)值說明必傳

此值必須與ckey服務(wù)器上所設(shè)置

clientNamestring設(shè)備名稱是

的名稱相同，

加密秘鑰

sharedSecretstring共享密碼加密秘鑰說明：是

加密算法AES/CBC/PKCS7Padding

loginCodestring登陸賬號登陸用戶名是

loginWordstring登陸密碼登陸密碼是

authTypeinteger(int32)認證類型固定值:‘’5”是

sessionIdstring認證會話id在多步認證時為必傳參數(shù)否

deviceTypeinteger(int32)設(shè)備類型固定值:“6”是

serviceIdstring服務(wù)器ID是

authRequestIpstring登陸設(shè)備IP必填參數(shù)是

A.2返回參數(shù)

返回參數(shù)參見表A.2。

表A.2返回參數(shù)列表

參數(shù)名稱說明

Accept成功

Challengechallenge請求

Error_code具體信息參見狀態(tài)碼列表

A.3狀態(tài)碼

狀態(tài)碼參見表A.3。

表A.3狀態(tài)碼列表

狀態(tài)碼參數(shù)名稱說明

200AUTH_PASS認證成功

201AUTH_CHALLENGEchallenge請求

202USER_NOT_EXISTS用戶不存在

203AUTH_EQUIP_ERROR認證