【国家标准】 信息安全技术 网络身份服务安全技术要求

ICS 35.030 CCS L80 GB 中华人民共和国国家标准 GB/T 42573—2023 信息安全技术 网络身份服务安全技术要求 Information security technology—Security technical requirements for identity service in network 2023-05-23 发布 2023-12-01 实施 发布单位：国家市场监督管理总局、国家标准化管理委员会 目次 前言 1 范围 2 规范性引用文件 3 术语和定义 4 缩略语 5 网络身份服务概述 5.1 参与方 5.2 身份服务模型 5.3 服务安全级别 6 服务安全技术要求 6.1 身份核验服务 6.2 身份鉴别服务 6.3 身份联合服务 附录A（资料性）网络身份服务安全技术要求 附录B（资料性）用户属性的类型 附录C（资料性）网络身份服务风险缓解 附录D（资料性）鉴别器类型 附录E（资料性）身份联合服务建立模式 参考文献 前言 本文件按照 GB/T 1.1—2020《标准化工作导则 第1部分：标准化文件的结构和起草规则》的规定起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由全国信息安全标准化技术委员会（SAC/TC260）提出并归口。 本文件起草单位：北京数字认证股份有限公司、中国科学院数据与通信保护研究教育中心、中国科学院大学、公安部第一研究所、中国电子技术标准化研究院、中国科学院软件研究所、蚂蚁科技集团股份有限公司、国民认证科技（北京）有限公司、联想（北京）有限公司、北京中盾安信科技发展有限公司、北京快手科技有限公司。 本文件主要起草人：高能、李敏、林雪焰、马存庆、荆继武、刘丽敏、彭佳、屠晨阳、查达仁、张逸飞、邵淼、傅大鹏、张妍、刘中、张永强、欧阳晖、郝春亮、李彦峰、张立武、张严、落红卫、王昕、李俊、柴海新、白培鑫、王开林。 1 范围 本文件确立了面向自然人的网络身份服务的参与方和模型，规定了网络身份服务安全级别和安全技术要求。 本文件适用于面向自然人的网络身份服务的设计、开发、部署和应用。 2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB/T 15843（所有部分） 信息技术 安全技术 实体鉴别 GB/T 22239 信息安全技术 网络安全等级保护基本要求 GB/T 25069 信息安全技术 术语 GB/T 35273 信息安全技术 个人信息安全规范 GB/T 37036（所有部分） 信息技术 移动设备生物特征识别 GB/T 37092 信息安全技术 密码模块安全要求 GB/T 40660 生物特征识别 信息保护基本要求 3 术语和定义 GB/T 25069 界定的以及下列术语和定义适用于本文件。 3.1 身份服务提供方（identity service provider） 在网络中提供身份服务的实体。 3.2 用户（user） 使用网络身份服务的自然人。 注：申请方、声称方、订户代表了用户在不同场景下的不同角色。 3.3 依赖方（relying party） 依赖身份鉴别结果以确定是否与用户建立信任关系的实体。 3.4 身份核验（identity proofing） 收集用户身份信息，并验证用户身份信息真实性的过程。 3.5 身份鉴别（identity authentication） 验证用户所声称身份的过程。 3.6 身份联合（identity federation） 依赖不在同一个安全域的身份服务提供方给出用户身份鉴别结果的过程。 3.7 网络身份服务（identity service in network） 在网络中为用户提供身份核验、身份鉴别和身份联合服务的活动。 3.8 订户（subscriber） 接受身份服务提供方提供的身份服务的合法用户。 3.9 申请方（applicant） 请求成为订户的自然人。 3.10 声称方（claimant） 宣称自己是订户的自然人。 ［来源：GB/T 25069—2022，3.535，有修改］ 3.11 用户标识（user identification） 用于标识用户的一种字符串或模式。