[PDF] GM/T 0073-2019 - 自动发货. 英文版
| 标准号码 | 美元 | 购买PDF | 工期 | 标准名称(英文版) |
| GM/T 0073-2019 | 360 | GM/T 0073-2019 | 9秒内发货PDF | 手机银行信息系统密码应用技术要求 |
| 基本信息 | |
|---|---|
| 标准编号 | GM/T 0073-2019 (GM/T0073-2019) |
| 中文名称 | 手机银行信息系统密码应用技术要求 |
| 英文名称 | Cryptography technical requirements for mobile banking information systems |
| 行业 | Chinese Industry Standard (推荐) |
| 中标分类 | L80 |
| 国际标准分类 | 35.040 |
| 字数估计 | 27,274 |
| 发布日期 | 2019 |
| 实施日期 | 2019-07-12 |
| 发布机构 | 国家密码管理局 |
GM/T 0073-2019: 手机银行信息系统密码应用技术要求
GM/T 0073-2019 英文名称: Cryptography technical requirements for mobile banking information systems
中华人民共和国密码行业标准
手机银行信息系统密码应用技术要求
国家密码管理局 发 布
前 言
本标准是信息安全等级保护银行业金融机构密码技术应用要求相关系列标准之一。与本标准相关
的系列标准包括:
---GM/T 0075-2019《银行信贷信息系统密码应用技术要求》
---GM/T 0076-2019《银行卡信息系统密码应用技术要求》
---GM/T 0077-2019《银行核心信息系统密码应用技术要求》
本标准按照GB/T 1.1-2009给出的规则起草。
本标准由密码行业标准化技术委员会提出并归口。
本标准起草单位:国家密码管理局商用密码检测中心、中金金融认证中心有限公司、中国银行股份
有限公司、中国民生银行股份有限公司。
本标准主要起草人:邓开勇、谢宗晓、张大健、马瑶瑶、介磊、郭晶莹、张众、杨辰。
引 言
本标准与GM/T 0054-2018《信息系统密码应用基本要求》、GM/T 0077-2019《银行核心信息系
统密码应用技术要求》、GM/T 0076-2019《银行卡信息系统密码应用技术要求》、GM/T 0075-2019
《银行信贷信息系统密码应用技术要求》共同构成了信息系统安全等级保护密码技术要求的相关配套标
准。其中GM/T 0054-2018《信息系统密码应用基本要求》是基础性标准,本标准、GM/T 0077-
2019、GM/T 0076-2019及GM/T 0075-2019是在GM/T 0054-2018基础上的进一步细化和扩展。
本标准在GM/T 0054-2018《信息系统密码应用基本要求》、GB/T 22239-2008《信息安全技术
信息系统安全等级保护基本要求》、JR/T 007-2012《金融行业信息系统信息安全等级保护实施指引》
等技术类标准的基础上,根据现有技术的发展水平,提出和规定了不同安全保护等级的手机银行系统保
护要求,包括安全技术要求和安全管理要求,本标准适用于指导不同安全保护等级的银行业金融机构手
机银行系统中密码技术的安全建设、安全使用与监督管理。
银行业金融机构应依据信息安全等级保护有关技术标准与国家、行业主管部门要求,对手机银行系
统开展包括系统定级在内的信息安全等级保护工作。目前手机银行系统安全级别为二级、三级,暂不存
在安全级别为一级、四级和五级的系统,故本标准暂不对一级信息系统、四级信息系统和五级信息系统
提出具体的密码技术要求。
手机银行信息系统应依据 GB/T 22240-2008《信息安全技术 信息系统安全等级保护定级指
南》,以及国家主管部门有关要求,进行定级。等级确定后,依据本标准选择相应级别的密码技术保护
措施。
在本标准文本的各类安全要求中,“可”表示可以、允许;“宜”表示推荐、建议;“应”表示应该。
手机银行信息系统密码应用技术要求
1 范围
本标准在GM/T 0054-2018、JR/T 007-2012等标准基础上,结合手机银行信息系统的特点及该
类信息系统等级保护安全建设工作中密码技术的应用需要,从密码安全技术要求、密钥安全与管理要
求、安全管理要求等三方面,对不同安全保护等级的手机银行信息系统中密码应用提出具体的要求。
本标准适用于指导、规范和评估手机银行信息系统中的商用密码应用。
2 规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件,仅注日期的版本适用于本文
件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。
GB/T 20547.2-2006 银行业务 安全加密设备(零售) 第2部分:金融交易中设备安全符合性
检测清单
GB/T 21078.1-2007 个人识别码的管理与安全 第1部分:ATM和POS系统中联机PIN处理
的基本原则和要求
GB/T 21079.1 银行业务 安全加密设备(零售) 第1部分:概念、要求和评估方法
GM/T 0028-2014 密码模块安全要求
GM/T 0036-2014 采用非接触卡的门禁系统密码应用指南
GM/T 0054-2018 信息系统密码应用基本要求
GM/Z4001-2013 密码术语
3 术语和定义
GM/Z0001-2013界定的以及下列术语和定义适用于本文件。
5 手机银行信息系统模型
典型的手机银行信息系统由手机银行移动应用的客户端及服务端组成,如图1所示。
用户:具有对手机银行的移动应用客户端进行操作行为的主体。
手机银行移动客户端:指手机银行的移动应用客户端程序,能够为用户提供本地电子银行服务。
手机银行服务端:指手机银行移动客户端对应的能够提供针对性服务的服务器端,本标准规定的服
务端既包含软件程序,也包含承载和运行程序的硬件设备。
边界:指主体之间互联互通的界限,包括交互边界、网络边界、物理边界等。
6 密码应用基本要求和密码应用功能要求
手机银行信息系统密码应用基本要求和密码应用功能要求遵照GM/T 0054-2018第5章、第6章
的要求。
7 手机银行信息系统密码技术安全保护二级要求1)
7.1 基本技术要求
1) 该级别的全部安全要求与其他级别的对比请参照附录A安全要求对照表,下同。
应按照GM/T 0054-2018中第二级指标要求。
7.2 密码技术安全要求
7.2.1 物理和环境安全
7.2.1.1 总则
参照GM/T 0054-2018中物理和环境安全密码应用总则。
7.2.1.2 密码硬件安全
“密码硬件安全”“物理环境安全”和“电子门禁系统”是手机银行信息系统“物理和环境安全”的组成
部分。在手机银行信息系统密码技术安全保护二级要求中,对“物理和环境安全-密码硬件安全”指标做
如下要求:
a) 系统的专用硬件或固件以及密码设备应具有有效的物理安全保护措施;
注:本标准中“有效措施”是指能满足“保证项”要求的手段或能实现系统设定的安全目标的方法,以下注释同。
b) 系统的专用硬件或固件以及密码设备应满足运行环境可靠性要求。
7.2.1.3 物理环境安全
“密码硬件安全”“物理环境安全”和“电子门禁系统”是手机银行信息系统“物理和环境安全”的组成
部分。在手机银行信息系统密码技术安全保护二级要求中,对“物理和环境安全-物理环境安全”指标做
如下要求:
宜使用密码技术的真实性功能来保护物理访问控制身份鉴别信息,保证重要区域进入人员身份的
真实性。
7.2.1.4 电子门禁系统
“密码硬件安全”“物理环境安全”和“电子门禁系统”是手机银行信息系统“物理和环境安全”的组成
部分。在手机银行信息系统密码技术安全保护二级要求中,对“物理和环境安全-电子门禁系统”指标做
如下要求:
a) 宜使用密码技术的完整性功能来保证电子门禁系统进出记录的完整性;
b) 采用的门禁系统资质、架构、部署应符合GM/T 0036-2014技术规范;
c) 宜制定相应规章制度以确保门禁系统使用的合规性、正确性、有效性。
7.2.2 网络和通信安全
7.2.2.1 总则
参照GM/T 0054-2018中网络和通信安全密码应用总则。
7.2.2.2 通信安全
“通信安全”和“身份鉴别”是手机银行信息系统“网络和通信安全”的组成部分。在手机银行信息系
统密码技术安全保护二级要求中,对“网络和通信安全-通信安全”指标做如下要求:
a) 为防止访问通讯数据被篡改、截获、假冒和重用,宜使用密码技术的完整性服务、机密性服务和
真实性服务对网络边界、系统资源访问控制信息进行保护;
b) 在进行数据传输时,宜使用数字证书、加密解密等密码技术,建立安全的传输层会话通道。
7.2.2.3 身份鉴别
“通信安全”和“身份鉴别”是手机银行信息系统“网络和通信安全”的组成部分。在手机银行信息系
统密码技术安全保护二级要求中,对“网络和通信安全-身份鉴别”指标做如下要求:
a) 在对登录网络设备的用户进行身份鉴别时,为防止鉴别信息被重用和假冒,宜使用密码技术的
真实性服务对鉴别信息进行防重用和防假冒保护,其密码功能应确保正确、有效;
b) 网络设备系统管理用户身份标识应具有不易被冒用的特点,关键网络设备的静态密码应在
6位以上,由字母、数字、符号等混合组成并定期更换;
c) 信息系统对通过身份认证后的实体,应使用密码技术生成唯一的随机的标识符,并确保该功能
正确、有效。
7.2.3 设备和计算安全
7.2.3.1 总则
参照GM/T 0054-2018中设备和计算安全密码应用总则。
7.2.3.2 审计记录
“审计记录”“身份鉴别”“验证码与动态口令”和“密码模块”是手机银行信息系统“设备和计算安全”
的组成部分。在手机银行信息系统密码技术安全保护二级要求中,对“设备和计算安全-审计记录”指标
做如下要求:
为防止审计记录被非法修改,宜使用密码技术的完整性服务对审计记录进行完整性保护,其密码功
能应确保正确、有效。
7.2.3.3 身份鉴别
“审计记录”“身份鉴别”“验证码与动态口令”和“密码模块”是手机银行信息系统“设备和计算安全”
的组成部分。在手机银行信息系统密码技术安全保护二级要求中,对“设备和计算安全-身份鉴别”指标
做如下要求:
a) 在身份鉴别机制中,为防止鉴别信息被假冒和重用,宜使用密码技术的真实性服务对鉴别信息
进行防假冒和重用保护,其密码功能应确保正确、有效;
b) 宜使用安全散列函数对用户的口令进行处理,然后再进入身份鉴别模块,散列函数应确保正
确、有效;
c) 在进行关键业务流程,如转账、交易、修改资料时,宜使用多种密码技术保证用户身份的真实
性、有效性;
d) 操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点,关键系统的静态口令应
在6位以上并由字母、数字、符号等混合组成并定期更换。
7.2.3.4 验证码与动态口令
“审计记录”“身份鉴别”“验证码与动态口令”和“密码模块”是手机银行信息系统“设备和计算安全”
的组成部分。在手机银行信息系统密码技术安全保护二级要求中,对“设备和计算安全-验证码与动态
口令”指标做如下要求:
a) 使用手机短信或其他渠道发送验证码时,应使用正确的密码技术,确保发送的动态口令完全随
机,不可预测;
b) 使用手机短信或其他渠道发送验证码时,应确保不会泄露验证码的内容;
c) 如果使用OTP令牌进行身份校验,应使用正确的密码技术......
英文网页English: GM/T 0073-2019
相关标准: GB/T 15843.1|GM/T 0079|GM/T 0080|GM/T 0078|GM/T 0073-2019|GM/T 0073|