三级身份鉴别四项
三级系统「安全计算环境」的身份鉴别要求可以拆成四项：用户身份标识唯一，鉴别信息有复杂度要求并定期更换；具备登录失败处理功能，包括结束会话、限制非法登录次数与超时自动退出；远程管理时防止鉴别信息被窃听；采用口令、密码技术、生物技术等两种以上组合的鉴别技术，且至少一种使用密码技术实现。
基本信息
| 依据 | GB/T 22239-2019 安全计算环境 身份鉴别（三级） |
|---|---|
| 四要点 | 唯一标识与复杂口令、登录失败处理、远程防窃听、双因素含密码技术 |
| 口令要求 | 复杂度、定期更换、禁止默认口令 |
| 失败处理 | 会话结束、次数限制、超时退出 |
| 双因素要求 | 至少一种为密码技术实现 |
| 常见载体 | USB Key、数字证书、动态令牌 |
典型使用场景
- 三级系统身份鉴别条款的自查与整改
- 管理后台与运维入口的双因素改造
- 远程运维通道的加密核查
- 测评现场演示失败锁定、超时退出与双因素登录
- 与应用系统对接时的身份体系设计
四项要求（三级）
四项要求（三级）
# a 用户身份标识唯一，鉴别信息有复杂度要求并定期更换
# b 登录失败处理：结束会话、限制非法登录次数、超时自动退出
# c 远程管理时防止鉴别信息被窃听（走加密通道）
# d 采用口令、密码技术、生物技术等两种以上组合鉴别技术
# 且至少一种使用密码技术实现四项要求与落地
| 要求 | 落地手段 | 核查方式 |
|---|---|---|
| 唯一标识 | 一人一号，禁用共享账号 | 账号清单与命名规则 |
| 复杂口令 | 密码策略与定期更换 | 策略配置与用户访谈 |
| 失败处理 | 失败锁定、会话超时 | 现场实测锁定与超时 |
| 远程防窃听 | SSH、HTTPS、VPN 等加密通道 | 抓包确认无明文口令 |
| 双因素 | USB Key、证书、动态令牌 | 现场登录演示 |
第四项常由 USB Key、数字证书或动态令牌满足；仅「口令加图形验证码」一般难以论证为两种鉴别技术，特别是验证码不构成密码技术实现时。
远程管理走明文协议（如 Telnet、未加密的 Web 管理口）是现场最容易被抓到的点，改造成本并不高，建议优先处理。