4.1 驗證器保證等級 1#

本部分是規範性的。

AAL1 提供了一定程度的保證，即聲明者控制綁定到訂戶帳戶的驗證器。 AAL1 要求使用各種可用的身份驗證技術進行單因素或多因素身份驗證。成功的身份驗證要求請求者透過安全身份驗證協定證明對身份驗證器的擁有和控制。

4.1.1 允許的驗證器類型#

AAL1 身份驗證應透過使用第 5 節中定義的以下任何身份驗證器類型進行：

• 記住的秘密（第 5.1.1 節）
• 尋找秘密（第 5.1.2 節）
• 帶外設備（第 5.1.3 節）
• 單因素一次性密碼 (OTP) 設備（第 5.1.4 節）
• 多重 OTP 設備（第 5.1.5 節）
• 單因素加密軟體（第 5.1.6 節）
• 單因素加密設備（第 5.1.7 節）
• 多重加密軟體（第 5.1.8 節）
• 多重加密裝置（第 5.1.9 節）

4.1.2 認證者和驗證者要求#

AAL1 使用的加密驗證器應使用經批准的加密技術。在作業系統上下文中運行的基於軟體的身份驗證器可以在適用的情況下嘗試檢測運行它們的用戶端點的危害（例如，透過惡意軟體），並且在檢測到此類危害時不應完成操作。

聲明者和驗證者之間的通訊（在帶外驗證器的情況下使用主通道）應透過經過驗證的受保護通道進行，以提供驗證器輸出的機密性和對中間人（MitM）的抵抗攻擊。

由政府機構在 AAL1 運營的驗證者應經過驗證，以滿足FIPS 140 1 級的要求。

4.1.3 重新認證#

應依照第 7.2 節的描述執行訂戶會話的定期重新驗證。在 AAL1 中，在擴展使用會話期間，無論用戶活動如何，訂閱者的重新驗證應該至少每 30 天重複一次。當達到這個時間限制時，會話應該被終止（即註銷）。

4.1.4 安全控制#

CSP 應依據SP 800–53或同等聯邦（例如FEDRAMP）或業界標準中定義的安全控制低基線，採用適當客製化的安全控制。 CSP 應確保滿足低影響系統或同等系統的最低保證相關控制措施。

4.1.5 記錄保留政策#

CSP 應根據適用的法律、法規和政策遵守其各自的記錄保留政策，包括任何可能適用的國家檔案和記錄管理局 (NARA) 記錄保留時間表。如果 CSP 在沒有任何強制性要求的情況下選擇保留記錄，則 CSP 應執行風險管理流程，包括隱私和安全風險評估，以確定記錄應保留多長時間，並應告知訂戶該保留政策。

4.2 驗證器保證等級 2#

本部分是規範性的。

AAL2 提供了高可信度，表明索賠人控制綁定到訂戶帳戶的驗證器。需要透過安全認證協議來證明擁有和控制兩個不同的認證因素。 AAL2 及以上等級需要經過核准的加密技術。

4.2.1 允許的驗證器類型#

在 AAL2，身份驗證應透過使用多因素身份驗證器或兩個單因素身份驗證器的組合來進行。多因素身份驗證器需要兩個因素來執行單一身份驗證事件，例如具有啟動設備所需的整合式生物識別感測器的加密安全設備。驗證器要求在第 5 節中指定。

當使用多因素身份驗證器時，可以使用以下任何一種：

• 多重 OTP 設備（第 5.1.5 節）
• 多重加密軟體（第 5.1.8 節）
• 多重加密裝置（第 5.1.9 節）

當使用兩個單因素身份驗證器的組合時，它應包括以下清單中的一個記憶秘密身份驗證器（第 5.1.1 節）和一個基於佔有（即「您擁有的東西」）的身份驗證器：

• 尋找秘密（第 5.1.2 節）
• 帶外設備（第 5.1.3 節）
• 單因子 OTP 裝置（第 5.1.4 節）
• 單因素加密軟體（第 5.1.6 節）
• 單因素加密設備（第 5.1.7 節）

注意：當生物特徵認證符闔第 5.2.3 節中的要求時，除了生物特徵之外，還必須對設備進行身份驗證 — 生物特徵被識別為一個因素，但其本身不被識別為身份驗證器。因此，在使用生物特徵進行身份驗證時，沒有必要使用兩個身份驗證器，因為相關設備充當“你擁有的東西”，而生物特徵充當“你所是的東西”。

4.2.2 驗證者和驗證者要求#

AAL2 中使用的加密驗證器應使用經批准的加密技術。政府機構採購的身份驗證器應經過驗證，以滿足FIPS 140 1 級的要求。惡意軟體），並且在檢測到此類危害時不應完成操作。 AAL2 中使用的至少一個驗證器應具有抗重播性，如第 5.2.8 節所述。 AAL2 上的身份驗證應該證明來自至少一個身份驗證者的身份驗證意圖，如第 5.2.9 節所討論的。

聲明者和驗證者（帶外驗證器情況下的主要通道）之間的通訊應透過經過驗證的受保護通道進行，以提供驗證器輸出的機密性並抵抗 MitM 攻擊。

由政府機構在 AAL2 運營的驗證者應經過驗證，以滿足FIPS 140 1 級的要求。

當在身份驗證過程中使用智慧型手機等設備時，該設備的解鎖（通常使用 PIN 或生物識別完成）不應被視為身份驗證因素之一。通常，驗證者不可能知道設備已被鎖定或解鎖過程是否符合相關驗證器類型的要求。

當在 AAL2 認證中使用生物識別因素時，應滿足第 5.2.3 節中規定的性能要求，並且驗證者應確定生物識別感測器和後續處理滿足這些要求。

4.2.3 重新認證#

應依照第 7.2 節的描述執行訂戶會話的定期重新驗證。在 AAL2，無論使用者活動如何，在延長使用會話期間，訂戶的身份驗證應至少每 12 小時重複一次。在任何持續 30 分鐘或更長時間不活動的時期後，應重複對訂戶進行重新驗證。當達到這些時間限制中的任何一個時，會話應終止（即註銷）。

尚未達到其時間限制的會話的重新驗證可能只需要記住的秘密或生物識別與仍然有效的會話秘密。驗證者可以提示使用者在不活動逾時之前引發活動。

4.2.4 安全控制#

CSP 應根據SP 800–53或同等聯邦（例如，FEDRAMP）或行業標準中定義的安全控制適度基線，並採用適當定製的安全控制。 CSP 應確保滿足中等影響系統或同等系統的最低保證相關控制措施。

4.2.5 記錄保留政策#

CSP 應根據適用的法律、法規和政策遵守其各自的記錄保留政策，包括任何可能適用的 NARA 記錄保留時間表。如果 CSP 在沒有任何強制性要求的情況下選擇保留記錄，則 CSP 應執行風險管理流程，包括評估隱私和安全風險，以確定記錄應保留多長時間，並應告知訂戶該保留政策。

4.3 驗證器保證等級 3#

本部分是規範性的。

AAL3 提供了非常高的可信度，表明索賠人控制綁定到訂戶帳戶的驗證器。 AAL3 的身份驗證是基於透過加密協定擁有金鑰的證明。 AAL3 身份驗證應使用基於硬體的身份驗證器和提供驗證者模擬抵抗能力的身份驗證器 — 同一設備可以滿足這兩個要求。為了在 AAL3 上進行身份驗證，索賠人應透過安全身份驗證協議證明擁有和控制兩個不同的身份驗證因素。需要經過批准的加密技術。

4.3.1 允許的驗證器類型#

AAL3 認證應透過使用符闔第 4.3 節要求的認證器組合之一來進行。可能的組合有：

• 多重加密裝置（第 5.1.9 節）
• 單因素加密設備（第 5.1.7 節）與記憶秘密（第 5.1.1 節）結合使用
• 多重 OTP 設備（軟體或硬體）（第 5.1.5 節）與單因素加密設備（第 5.1.7 節）結合使用
• 多重 OTP 設備（僅硬體）（第 5.1.5 節）與單因素加密軟體（第 5.1.6 節）結合使用
• 單因素 OTP 設備（僅硬體）（第 5.1.4 節）與多重加密軟體驗證器（第 5.1.8 節）結合使用
• 單因素 OTP 設備（僅硬體）（第 5.1.4 節）與單因素加密軟體驗證器（第 5.1.6 節）和記憶秘密（第 5.1.1 節）結合使用

4.3.2 驗證者和驗證者要求#

聲明者和驗證者之間的通訊應透過經過驗證的受保護通道進行，以提供身份驗證者輸出的機密性和對 MitM 攻擊的抵抗力。 AAL3 中使用的至少一個加密驗證器應具有第5.2.5節所述的抗驗證者假冒性，並且應具有第5.2.8節所述的抗重播性。 AAL3 的所有認證和重新認證程序應證明來自至少一個認證者的認證意圖，如第 5.2.9 節所述。

AAL3 中使用的多因素身份驗證器應是在FIPS 140 2 級或更高級別上驗證的硬體加密模組，整體上至少具有FIPS 140 3 級實體安全性。 AAL3 使用的單因素加密設備應在FIPS 140 1 級或更高整體上進行驗證，至少具有FIPS 140 3 級實體安全性。

AAL3 的驗證者應在FIPS 140 1 級或更高級別進行驗證。

AAL3 的驗證者應具有抗破壞性，如第 5.2.7 節所述，至少涉及一個身份驗證因素。

AAL3 中基於硬體的認證器和驗證器應該要抵禦相關的旁路（例如，定時和功耗分析）攻擊。相關的旁路攻擊應由 CSP 進行的風險評估來決定。

當在身份驗證過程中使用智慧型手機等設備時（假設該設備能夠滿足上述要求），該設備的解鎖不應被視為滿足身份驗證因素之一。這是因為驗證者通常不可能知道裝置已被鎖定，也不可能知道解鎖過程是否符合相關驗證器類型的要求。

當在 AAL3 認證中使用生物辨識因素時，驗證者應確定生物辨識感測器和後續處理符合第 5.2.3 節中規定的性能要求。

4.3.3 重新認證#

應依照第 7.2 節的描述執行訂戶會話的定期重新驗證。在 AAL3 中，無論使用者活動如何，在延長的使用會話期間，訂戶的身份驗證應至少每 12 小時重複一次，如第 7.2 節所述。在任何持續 15 分鐘或更長時間不活動的時期後，應重複對訂戶進行重新驗證。重新認證應使用兩個認證因素。當達到這些時間限制中的任何一個時，會話應終止（即註銷）。驗證者可以提示使用者在不活動逾時之前引發活動。

4.3.4 安全控制#

CSP 應根據SP 800–53或等效聯邦（例如，FEDRAMP）或在業界標準中定義的安全控制高基線，採用適當客製化的安全控制。 CSP 應確保滿足高影響系統或同等系統的最低保證相關控制措施。

4.3.5 記錄保留政策#

CSP 應根據適用的法律、法規和政策遵守其各自的記錄保留政策，包括任何可能適用的 NARA 記錄保留時間表。如果 CSP 在沒有任何強制性要求的情況下選擇保留記錄，則 CSP 應執行風險管理流程，包括隱私和安全風險評估，以確定記錄應保留多長時間，並應告知訂戶該保留政策。

4.4 隱私要求#

CSP 應採用SP 800–53或同等業界標準中定義的適當客製化的隱私控制。

如果CSP 出於身份證明、身份驗證或屬性斷言（統稱為「身份服務」）、相關詐欺緩解或遵守法律或法律程序以外的目的處理屬性，則CSP 應採取措施來維持與隱私相稱的可預測性和可管理性額外處理所產生的風險。措施可以包括提供明確的通知、取得訂戶同意或允許選擇性使用或揭露屬性。當 CSP 使用同意措施時，CSP 不得將同意額外處理作為身份識別服務的條件。

無論 CSP 是機構還是私營部門提供者，以下要求都適用於提供或使用身份驗證服務的機構：

• 該機構應諮詢其高級隱私機構官員 (SAOP) 並進行分析，以確定收集 PII 以發布或維護驗證器是否觸發1974 年《隱私法》 [Privacy Act]的要求（請參閱第 9.4 節）。
  ○ 該機構應發布記錄系統通知（SORN）以涵蓋此類集合（如果適用）。○ 該機構應諮詢其 SAOP 並進行分析，以確定收集 PII 以發布或維護驗證器是否觸發2002 年電子化政府法案 [E-Gov]的要求。
  ○ 該機構應發布隱私影響評估 (PIA) 以涵蓋此類收集（如適用）。

4.5 要求摘要#

本節為資訊性內容。

表 4–1總結了每個 AAL 的要求：

表 4–1 AAL 要求摘要

5.1 認證器類型的要求#

5.1.1 記住的秘密#

記憶秘密身份驗證器（通常稱為密碼，如果是數字，則稱為PIN）是旨在由使用者選擇和記憶的秘密值。記住的秘密需要具有足夠的複雜性和保密性，使得攻擊者無法猜測或以其他方式發現正確的秘密值。記住的秘密是你知道的事情。

5.1.1.1 記憶的秘密驗證器#

如果訂戶選擇，記住的秘密長度應至少為 8 個字元。 CSP 或驗證者隨機選擇的記憶秘密長度應至少為 6 個字元，並且可以完全是數字。如果 CSP 或驗證者基於其出現在受損值黑名單上而不允許選擇的記憶秘密，則應要求訂戶選擇不同的記憶秘密。不應對記憶的秘密施加其他複雜性要求。附錄 A 記憶秘密的強度中介紹了其基本原理。

5.1.1.2 記憶的秘密驗證者#

驗證者應要求訂戶選擇的記憶秘密長度至少為 8 個字元。驗證者應該允許訂閱者選擇的記憶秘密長度至少為 64 個字元。所有列印 ASCII [RFC 20]字元以及空格字元在記憶的秘密中應該是可接受的。 Unicode [ISO/ISC 10646]字元也應該被接受。為了考慮到可能的錯誤輸入，驗證者可以在驗證之前用單個空格字元替換多個連續的空格字元，前提是結果的長度至少為 8 個字元。不得截斷秘密。出於上述長度要求的目的，每個 Unicode 碼位應計為單一字元。

如果記憶的秘密中接受 Unicode 字元，則驗證者應該使用 Unicode 標準附件 15 [UAX 15]第 12.1 節中定義的 NFKC 或 NFKD 規範化來應用穩定字串的規範化過程。在對錶示儲存的秘密的位元組字串進行雜湊之前應用此過程。選擇包含 Unicode 字元的記憶秘密的訂閱者應該被告知，某些字元可能由某些端點以不同的方式表示，這可能會影響他們成功進行身份驗證的能力。

由 CSP（例如，在註冊時）或驗證者（例如，當使用者請求新 PIN 時）隨機選擇的記憶秘密的長度應至少為 6 個字元，並且應使用批准的隨機位元產生器[SP 800–90Ar1 ]。

記憶的秘密驗證者不得允許訂閱者儲存未經身份驗證的索賠人可以存取的「提示」。在選擇記住的秘密時，驗證者不得提示訂閱者使用特定類型的資訊（例如，「您的第一隻寵物的名字是什麼？」）。

當處理建立和更改記憶秘密的請求時，驗證者應將預期秘密與包含已知常用、預期或洩漏的值的清單進行比較。例如，該清單可能包括但不限於：

• 從先前的洩漏語料庫中取得的密碼。
• 字典單字。
• 重複或連續的字元（例如“aaaaaa”、“1234abcd”）。
• 特定於上下文的單字，例如服務名稱、使用者名稱及其派生詞。

如果在清單中找到所選的秘密，CSP 或驗證者應建議訂閱者他們需要選擇不同的秘密，應提供拒絕的原因，並應要求訂閱者選擇不同的值。

驗證者應該提供訂閱者指導，例如密碼強度計[Meters]，以幫助使用者選擇一個強記憶的秘密。在拒絕上述清單中的記憶秘密之後，這一點尤其重要，因為它阻止對列出的（並且可能非常弱）記憶的秘密進行微不足道的修改[黑名單]。

驗證者應實施速率限制機制，有效限制對訂閱者帳戶進行的失敗身份驗證嘗試的次數，如第5.2.2 節所述。

驗證者不應該對記憶的秘密強加其他組合規則（例如，要求不同字元類型的混合或禁止連續重複的字元）。驗證者不應要求任意更改（例如定期）記住的秘密。然而，如果有證據表明驗證者受到損害，驗證者應強制進行更改。

驗證者應該允許聲明者在輸入記住的秘密時使用「貼上」功能。這有利於密碼管理器的使用，密碼管理器被廣泛使用，並且在許多情況下增加了使用者選擇更強的記憶秘密的可能性。

為了幫助索賠人成功輸入記住的秘密，驗證者應該提供一個顯示秘密的選項 — 而不是一系列點或星號 — 直到它被輸入。如果索賠人位於不太可能觀察到其螢幕的位置，這允許索賠人驗證其進入情況。驗證器還可以允許使用者的裝置在輸入每個字元後短時間內顯示各個輸入的字元，以驗證輸入是否正確。這尤其適用於行動裝置。

驗證者在請求記憶的秘密時應使用經批准的加密和經過身份驗證的受保護通道，以抵禦竊聽和中間人攻擊。

驗證者應以抵抗離線攻擊的形式儲存記憶的秘密。記憶的秘密應使用適當的單向密鑰衍生函數進行加鹽和雜湊。密鑰派生函數將密碼、鹽和成本因子作為輸入，然後產生密碼雜湊。其目的是使獲得密碼雜湊檔案的攻擊者每次嘗試密碼猜測的成本都很高，因此猜測攻擊的成本很高或令人望而卻步。適當的金鑰導出函數的範例包括基於密碼的金鑰導出函數2(PBKDF2) [SP 800–132]和Balloon [BALLOON]。應該使用記憶體困難函數，因為它會增加攻擊成本。金鑰衍生函數應使用經批准的單向函數，例如金鑰雜湊訊息驗證碼 (HMAC) [FIPS 198–1] 、 SP 800–107中任何經批准的雜湊函數、安全雜湊演算法3 (SHA-3) [FIPS 202]、CMAC [SP 800–38B]或 Keccak 訊息驗證碼 (KMAC)、可自訂 SHAKE (cSHAKE) 或 ParallelHash [SP 800–185]。密鑰導出函數的所選輸出長度應該與底層單向函數輸出的長度相同。

salt 的長度應至少為 32 位，並且可以任意選擇，以盡量減少儲存的雜湊值之間的 salt 值衝突。鹽值和產生的雜湊值都應使用記憶的秘密驗證器為每個訂閱者儲存。

對於 PBKDF2，成本因子是迭代計數：PBKDF2 函數迭代的次數越多，計算密碼雜湊所需的時間就越長。因此，迭代計數應該與驗證伺服器效能允許的一樣大，通常至少 10,000 次迭代。

此外，驗證者應該使用只有驗證者知道的秘密鹽值來執行金鑰衍生函數的額外迭代。此鹽值（如果使用）應由經批准的隨機位元產生器[SP 800–90Ar1]生成，並至少提供SP 800–131A最新修訂版中指定的最低安全強度（截至本發布之日為 112 位元） ）。秘密鹽值應與雜湊儲存的秘密分開儲存（例如，在像硬體安全模組這樣的專用設備中）。透過這個額外的迭代，只要秘密鹽值保持秘密，對雜湊儲存的秘密進行暴力攻擊是不切實際的。

5.1.2 尋找秘密#

尋找秘密驗證器是儲存索賠者和 CSP 之間共享的一組秘密的實體或電子記錄。索賠人使用驗證者來尋找回應驗證者的提示所需的適當秘密。例如，驗證者可以要求索賠人提供以表格格式列印在卡片上的數字或字串的特定子集。尋找秘密的一個常見應用是使用訂閱者儲存的“恢復金鑰”，以便在另一個驗證器遺失或發生故障時使用。尋找秘密是您擁有的東西。

5.1.2.1 尋找秘密驗證器#

建立尋找秘密驗證器的 CSP 應使用經批准的隨機位元產生器[SP 800–90Ar1]來產生秘密列表，並應將驗證器安全地交付給訂戶。尋找秘密應至少有 20 位熵。

尋找秘密可以由 CSP 親自分發、透過郵寄到訂戶記錄地址或透過線上分發的方式分發。如果在線上分發，尋找秘密應根據第6.1.2 節中的註冊後綁定要求透過安全通道分發。

如果身份驗證者從清單中順序使用尋找秘密，則訂閱者可以處置使用過的秘密，但只有在成功身份驗證之後。

5.1.2.2 尋找秘密驗證器#

尋找秘密的驗證者應提示索賠人從其驗證者處取得下一個秘密或特定的（例如編號的）秘密。來自驗證者的給定秘密只能成功使用一次。如果尋找秘密源自網格卡，則網格的每個單元格應僅使用一次。

驗證者應以抵抗離線攻擊的形式儲存尋找秘密。具有至少 112 位元熵的尋找秘密應使用第 5.1.1.2 節中所述的經批准的單向函數進行雜湊。熵少於 112 位的尋找秘密應使用合適的單向密鑰派生函數進行加鹽和雜湊，這也在第 5.1.1.2 節中進行了描述。 salt 值的長度應至少為 32 位，並且是任意選擇的，以便最大限度地減少儲存的雜湊值之間的 salt 值衝突。鹽值和產生的雜湊值都應為每個尋找秘密儲存。

對於熵小於 64 位元的尋找秘密，驗證者應實施速率限制機制，有效限制可以在訂閱者帳戶上進行的失敗身份驗證嘗試的數量，如第5.2.2 節所述。

驗證者在要求尋找秘密時應使用經批准的加密和經過驗證的受保護通道，以抵禦竊聽和中間人攻擊。

5.1.3 帶外設備#

帶外驗證器是一種實體設備，具有唯一可尋址性，並且可以透過不同的通訊通道（稱為輔助通道）與驗證器安全地進行通訊。該設備由索賠人擁有和控制，並支援通過該輔助通道進行私人通訊，該輔助通道與電子身份驗證的主要通道分開。帶外驗證器是您擁有的東西。

帶外驗證器可以以下方式之一進行操作：

• 請求者使用主頻道將帶外設備經由輔助頻道接收到的秘密傳送給驗證者。例如，索賠人可以在其行動裝置上接收秘密並將其（通常是 6 位元代碼）輸入到其身份驗證會話中。
• 請求者將透過主通道接收到的秘密傳輸到帶外設備，以便透過輔助通道傳輸到驗證者。例如，索賠人可以在其身份驗證會話中查看秘密，並將其輸入到其行動裝置上的應用程式中，或使用條碼或二維碼等技術來實現傳輸。
• 索賠人比較從主要通道和輔助通道接收到的秘密，並透過輔助通道確認身份驗證。

金鑰的目的是安全地綁定主通道和輔助通道上的身份驗證操作。當回應是透過主通訊頻道進行時，該秘密也建立了索賠人對帶外設備的控制。

5.1.3.1 帶外驗證器#

帶外認證者應與驗證者建立單獨的通道，以檢索帶外秘密或認證請求。如果設備在未經索賠人授權的情況下不會將資訊從一個通道洩漏到另一個通道，則該通道被認為是相對於主通訊通道而言是帶外的（即使它終止於同一設備）。

帶外設備應是唯一可尋址的，並且輔助通道上的通訊應加密，除非透過公共交換電話網路（PSTN）發送。有關 PSTN 特定的其他驗證器要求，請參閱第 5.1.3.3 節。不能證明擁有特定裝置的方法，例如 IP 語音 (VOIP) 或電子郵件，不得用於帶外身份驗證。

帶外驗證者在與驗證者通訊時應透過以下方式之一唯一地驗證自身：

• 使用經批准的加密技術建立到驗證者的經過身份驗證的受保護通道。使用的金鑰應儲存在認證器應用程式可用的適當安全儲存中（例如，鑰匙圈儲存、TPM、TEE、安全元件）。
• 使用 SIM 卡或唯一識別設備的同等卡對公共行動電話網路進行身份驗證。只有當秘密透過 PSTN（簡訊或語音）從驗證者發送到帶外設備時，才應使用此方法。

如果驗證者將秘密發送到帶外設備，則設備在被所有者鎖定時不應顯示身份驗證秘密（即需要輸入 PIN、密碼或生物特徵才能查看）。但是，身份驗證器應該指示在鎖定裝置上收到身份驗證秘密。

如果帶外驗證器透過輔助通訊通道發送批准訊息 — — 而不是透過索賠人將接收到的秘密傳輸到主通訊通道 — — 它應執行以下操作之一：

• 驗證者應接受來自主要通道的秘密傳輸，並應透過輔助通道將其發送給驗證者，以將批准與驗證交易相關聯。索賠人可以手動執行轉移或使用條碼或二維碼等技術來實現轉移。
• 認證者應提供透過次要通道從驗證者接收的秘密，並在接受索賠者的是/否回應之前提示索賠者驗證該秘密與主要通道的一致性。然後它應將該回應發送給驗證者。

5.1.3.2 帶外驗證器#

有關 PSTN 特定的其他驗證要求，請參閱第 5.1.3.3 節。

如果要使用安全應用程式（例如在智慧型手機上）進行帶外驗證，驗證者可以向該裝置發送推播通知。然後驗證者等待經過驗證的受保護通道的建立並驗證驗證者的識別金鑰。驗證者不應儲存識別金鑰本身，但應使用驗證方法（例如，核准的雜湊函數或擁有識別金鑰的證明）來唯一識別驗證者。一旦通過身份驗證，驗證者將身份驗證秘密傳輸給身份驗證者。

根據帶外驗證器的類型，應發生以下操作之一：

• 將秘密傳輸到主通道：驗證者可以向包含訂戶驗證器的裝置發出訊號，以指示已準備好進行身份驗證。然後它應將隨機秘密傳輸到帶外驗證器。然後驗證者應等待秘密在主通訊通道上返回。
• 將秘密傳輸到輔助通道：驗證者應透過主要通道向索賠人顯示隨機身份驗證秘密。然後，它應該等待從索賠人的帶外認證器在輔助通道上返回秘密。
• 索賠人對秘密的驗證：驗證者應透過主要通道向索賠人顯示隨機身份驗證秘密，並應透過輔助通道將相同的秘密發送到帶外身份驗證器以呈現給索賠人。然後它應通過輔助通道等待批准（或不批准）訊息。

在所有情況下，如果未在 10 分鐘內完成，則身份驗證將被視為無效。為了提供第 5.2.8 節中所述的抗重播性，驗證者應在有效期限內僅接受給定的身份驗證秘密一次。

驗證者應使用經批准的隨機位元產生器[SP 800–90Ar1]產生具有至少 20 位元熵的隨機身份驗證秘密。如果身份驗證秘密的熵少於 64 位，則驗證者應實施速率限制機制，有效限制可以在訂閱者帳戶上進行的失敗身份驗證嘗試的數量，如第5.2.2 節所述。

5.1.3.3 使用公共交換電話網路進行身份驗證#

如本節和第 5.2.10 節所述，限制使用 PSTN 進行帶外驗證。如果要使用 PSTN 進行帶外驗證，驗證者應驗證所使用的預先註冊電話號碼是否與特定實體設備相關聯。更改預先註冊的電話號碼被視為綁定新的驗證器，並且只能按照第 6.1.2 節中的描述進行。

在使用 PSTN 傳遞帶外身份驗證機密之前，驗證者應考慮風險指標，例如設備交換、SIM 變更、號碼移植或其他異常行為。

注意：與第 5.2.10 節的驗證器限制一致，NIST 可能會根據威脅情勢的演變和 PSTN 的技術操作，隨時間調整 PSTN 的受限狀態。

5.1.4 單因子 OTP 裝置#

單因子 OTP 設備產生 OTP。此類別包括硬體設備和安裝在行動電話等設備上的基於軟體的 OTP 產生器。這些設備具有嵌入的秘密，用作生成 OTP 的種子，並且不需要透過第二個因素啟動。 OTP 顯示在裝置上並手動輸入以傳送給驗證者，從而證明對裝置的擁有和控制。例如，OTP 裝置可以一次顯示 6 個字元。您擁有單一因素 OTP 設備。

單因素 OTP 裝置與尋找秘密驗證器類似，不同之處在於秘密是由驗證器和驗證器以加密方式獨立產生並由驗證器進行比較。這個秘密是基於隨機數（可以是基於時間的）或來自認證器和驗證器上的計數器來計算的。

5.1.4.1 單一因素 OTP 身份驗證器#

單因素 OTP 身份驗證器包含兩個持久性值。第一個是在設備的生命週期內持續存在的對稱金鑰。第二個是隨機數，它要麼在每次使用驗證器時發生變化，要麼基於實時時鐘。

金鑰及其演算法應至少提供SP 800–131A最新版本中指定的最低安全強度（截至本發布之日為 112 位元）。隨機數應具有足夠的長度，以確保其在設備生命週期內的每次操作都是唯一的。 OTP 驗證器（尤其是基於軟體的 OTP 產生器）不應封鎖且不應促進將金鑰複製到多個裝置上。

驗證器輸出是透過使用核准的分組密碼或雜湊函數以安全的方式組合金鑰和隨機數來獲得的。驗證器輸出可以被截斷為少至 6 個十進制數字（大約 20 位熵）。

如果用於產生驗證器輸出的隨機數是基於即時時鐘，則隨機數應至少每 2 分鐘變更一次。與給定隨機數關聯的 OTP 值只能接受一次。

5.1.4.2 單因素 OTP 驗證器#

單因素 OTP 驗證器有效地複製了驗證器使用的產生 OTP 的過程。因此，驗證者使用的對稱金鑰也存在於驗證者中，並且應受到強有力的保護以防止洩漏。

當單因素 OTP 驗證器與訂戶帳戶關聯時，驗證者或關聯的 CSP 應使用經批准的加密技術來產生和交換或取得複製身份驗證器輸出所需的秘密。

驗證者在收集 OTP 時應使用經批准的加密和經過驗證的受保護通道，以抵禦竊聽和 MitM 攻擊。基於時間的 OTP [RFC 6238]應具有明確的生命週期，該生命週期由認證器在其生命週期內任一方向的預期時脈漂移以及網路延遲和 OTP 使用者輸入的允許量決定。為了提供第 5.2.8 節中所述的抗重播性，驗證者應在有效期內僅接受給定的基於時間的 OTP 一次。

如果驗證器輸出的熵少於 64 位，則驗證器應實施速率限制機制，有效限制可以在訂閱者帳戶上進行的失敗驗證嘗試的數量，如第5.2.2 節所述。

5.1.5 多重 OTP 設備#

多因素 OTP 設備在透過附加身份驗證因素啟動後產生用於身份驗證的 OTP。這包括硬體設備和安裝在行動電話等設備上的基於軟體的 OTP 生成器。認證的第二因素可以透過某種整合輸入板、整合生物辨識（例如指紋）讀取器或直接電腦介面（例如USB連接埠）來實現。 OTP 顯示在裝置上並手動輸入以傳送給驗證者。例如，OTP 設備可以一次顯示 6 個字元，從而證明對該設備的擁有和控制。多因素 OTP 設備是您所擁有的東西，並且它應該由您知道的東西或您所是的東西啟動。

5.1.5.1多因素 OTP 身份驗證器#

多因素 OTP 驗證器的操作方式與單因素 OTP 驗證器類似（請參閱第 5.1.4.1 節），不同之處在於它們需要輸入記住的秘密或使用生物辨識來從驗證器取得 OTP。驗證器的每次使用都需要輸入附加因素。

除了啟動資訊之外，多因素 OTP 身份驗證器還包含兩個持久值。第一個是在設備的生命週期內持續存在的對稱金鑰。第二個是隨機數，它要麼在每次使用驗證器時發生變化，要麼基於實時時鐘。

金鑰及其演算法應至少提供最新修訂版[SP 800–131A]中指定的最低安全強度（截至本發布之日為 112 位元）。隨機數應具有足夠的長度，以確保其在設備生命週期內的每次操作都是唯一的。 OTP 驗證器（尤其是基於軟體的 OTP 產生器）不應封鎖且不應促進將金鑰複製到多個裝置上。

驗證器輸出是透過使用核准的分組密碼或雜湊函數以安全的方式組合金鑰和隨機數來獲得的。驗證器輸出可以被截斷為少至 6 個十進制數字（大約 20 位熵）。

如果用於產生驗證器輸出的隨機數是基於即時時鐘，則隨機數應至少每 2 分鐘變更一次。與給定隨機數關聯的 OTP 值只能接受一次。

驗證者用於啟動的任何記憶秘密應是隨機選擇的長度至少為 6 位十進制數字的數字秘密或滿足第5.1.1.2 節要求的其他記憶秘密，並且應按第 5.2.2 節規定進行速率限制。生物辨識活化因素應符合第 5.2.3 節的要求，包括連續身份驗證失敗次數的限制。

未加密的密鑰和啟動秘密或生物特徵樣本 — — 以及從生物特徵樣本導出的任何生物特徵數據，例如透過訊號處理產生的探針 — — 應在生成 OTP 後立即歸零。

5.1.5.2 多因子 OTP 驗證器#

多因素 OTP 驗證器有效地複製了驗證器使用的產生 OTP 的過程，但不需要提供第二個因素。因此，認證者使用的對稱金鑰應受到嚴格保護，防止洩漏。

當多重因素 OTP 驗證器與訂戶帳戶關聯時，驗證者或關聯的 CSP 應使用經批准的加密技術來產生和交換或取得複製身份驗證器輸出所需的秘密。驗證者或 CSP 也應透過驗證器來源確定驗證器是多因素設備。在沒有可信聲明表明其是多因素設備的情況下，驗證者應根據第 5.1.4 節將驗證器視為單因素。

驗證者在收集 OTP 時應使用經批准的加密和經過驗證的受保護通道，以抵禦竊聽和 MitM 攻擊。基於時間的 OTP [RFC 6238]應具有明確的生命週期，該生命週期由認證器在其生命週期內任一方向的預期時脈漂移以及網路延遲和 OTP 使用者輸入的允許量決定。為了提供第 5.2.8 節中所述的抗重播性，驗證者應在有效期內僅接受給定的基於時間的 OTP 一次。如果索賠人的身份驗證因重複使用 OTP 而被拒絕，驗證者可以警告索賠人，以防攻擊者能夠提前進行身份驗證。驗證者也可以警告現有會話中的訂戶嘗試重複使用 OTP。

如果驗證器輸出或啟動秘密的熵少於 64 位，則驗證器應實施速率限制機制，有效限制可以在訂閱者帳戶上進行的失敗驗證嘗試的數量，如第5.2.2 節所述。生物辨識活化因素應符合第 5.2.3 節的要求，包括連續身份驗證失敗次數的限制。

5.1.6 單因素加密軟體#

單因素軟體加密驗證器是儲存在磁碟或某些其他「軟」媒體上的加密金鑰。身份驗證是透過證明密鑰的擁有和控制來完成的。驗證器輸出高度依賴特定的加密協議，但它通常是某種類型的簽署訊息。您擁有單因素軟體加密驗證器。

5.1.6.1 單因素加密軟體驗證器#

單因素軟體加密驗證器封裝一個或多個驗證器獨有的金鑰。金鑰應儲存在認證器應用程式可用的適當安全儲存中（例如，鑰匙圈儲存、TPM 或 TEE（如果可用））。應透過使用存取控制來嚴格保護金鑰，防止未經授權的洩露，該存取控制將對金鑰的存取限制為裝置上需要存取的那些軟體元件。單因素加密軟體驗證器不應阻止且不應促進將金鑰複製到多個裝置上。

5.1.6.2 單因素加密軟體驗證器#

單因素加密軟體驗證器的要求與單因素加密裝置驗證器的要求相同，如第 5.1.7.2 節所述。

5.1.7 單因素加密設備#

單因素加密設備是一種使用受保護的加密金鑰執行加密操作並透過直接連接到用戶端點提供身份驗證器輸出的硬體設備。該設備使用嵌入式對稱或非對稱加密金鑰，不需要透過第二個身份驗證因素啟動。身份驗證是透過身份驗證協議證明設備的所有權來完成的。驗證器輸出是透過直接連接到用戶端點來提供的，並且高度依賴特定的加密設備和協議，但它通常是某種類型的簽署訊息。您擁有單因素加密設備。

5.1.7.1單因素加密裝置身份驗證器#

單因素加密裝置認證器封裝一個或多個裝置特有的金鑰，這些金鑰無法匯出（即無法從裝置中刪除）。認證器透過對透過直接電腦介面（例如，USB連接埠）呈現的質詢隨機數進行簽章來進行操作。或者，認證器可以是與用戶端點本身整合的適當安全的處理器（例如，硬體TPM）。儘管加密設備包含軟體，但它們與加密軟體驗證器不同，因為所有嵌入式軟體均受 CSP 或發行者的控制，並且整個驗證器在被驗證的 AAL 上須遵守所有適用的 FIPS 140 要求。

金鑰及其演算法應至少提供SP 800–131A最新版本中指定的最小安全長度（截至本發布之日為 112 位元）。挑戰隨機數的長度至少為 64 位元。應使用經批准的加密技術。

單因素加密設備認證器應該需要實體輸入（例如，按下按鈕）才能操作。這可以防止設備意外操作，如果設備所連接的端點受到威脅，則可能會發生這種情況。

5.1.7.2單因素加密設備驗證器#

單因素加密設備驗證器產生挑戰隨機數，將其發送到相應的身份驗證器，並使用身份驗證器輸出來驗證設備的所有權。驗證器輸出高度依賴特定的加密設備和協議，但它通常是某種類型的簽署訊息。

驗證者俱有與每個驗證者相對應的對稱或非對稱金鑰。雖然兩種類型的金鑰都應受到保護以防止修改，但對稱金鑰也應受到保護以防止未經授權的洩漏。

質詢隨機數的長度應至少為 64 位，並且在驗證器的生命週期內應是唯一的，或在統計上是唯一的（即，使用經批准的隨機位元產生器[SP 800–90Ar1]產生）。驗證操作應使用經批准的加密技術。

5.1.8 多重加密軟體#

多因素軟體加密身份驗證器是儲存在磁碟或某些其他「軟」媒體上的加密金鑰，需要透過第二個身份驗證因素進行啟動。身份驗證是透過證明密鑰的擁有和控制來完成的。驗證器輸出高度依賴特定的加密協議，但它通常是某種類型的簽署訊息。多因素軟體加密驗證器是您擁有的東西，並且它應該由您知道的東西或您所是的東西啟動。

5.1.8.1 多重加密軟體驗證器#

多因素軟體加密驗證器封裝了身份驗證器獨有的一個或多個金鑰，並且只能透過輸入附加因素（記憶的秘密或生物特徵）來存取。金鑰應該儲存在認證器應用程式可用的適當安全儲存中（例如，鑰匙圈儲存、TPM、TEE）。應透過使用存取控制來嚴格保護金鑰，防止未經授權的洩露，該存取控制將對金鑰的存取限制為裝置上需要存取的那些軟體元件。多因素加密軟體驗證器不應阻止且不應促進將金鑰複製到多個裝置上。

使用驗證器的每個驗證操作都需要輸入這兩個因素。

任何驗證者用於啟動的記憶秘密應是隨機選擇的長度至少為 6 位十進制數字的數值或滿足第 5.1.1.2 節要求的其他記憶秘密，並應按第 5.2.2 節規定進行速率限制。生物辨識活化因素應符合第 5.2.3 節的要求，包括連續身份驗證失敗次數的限制。

未加密的密鑰和啟動秘密或生物特徵樣本 — — 以及從生物特徵樣本導出的任何生物特徵數據，例如透過訊號處理產生的探針 — — 應在身份驗證交易發生後立即歸零。

5.1.8.2 多重加密軟體驗證器#

多因素加密軟體驗證器的要求與單因素加密裝置驗證器的要求相同，如第 5.1.7.2 節所述。對多因素加密軟體驗證器輸出的驗證證明了啟動因素的使用。

5.1.9多重加密裝置#

多因素加密設備是一種使用一個或多個受保護的加密金鑰執行加密操作並需要透過第二個身份驗證因素啟動的硬體設備。身份驗證是透過證明設備的所有權和密鑰的控制來完成的。驗證器輸出是透過直接連接到用戶端點來提供的，並且高度依賴特定的加密設備和協議，但它通常是某種類型的簽署訊息。多因素加密設備是您擁有的東西，並且它應該由您知道的東西或您所是的東西啟動。

5.1.9.1 多重加密設備驗證器#

多因素加密設備驗證器使用防篡改硬體來封裝身份驗證器獨有的一個或多個金鑰，並且只能透過輸入附加因素（記憶的秘密或生物識別）來存取。驗證器透過使用由附加因素解鎖的私鑰來對透過直接電腦介面（例如，USB連接埠）呈現的質詢隨機數進行簽章來進行操作。或者，認證器可以是與用戶端點本身整合的適當安全的處理器（例如，硬體TPM）。儘管加密裝置包含軟體，但它們與加密軟體驗證器不同，因為所有嵌入式軟體均受 CSP 或發行者的控制，且整個驗證器須遵守所選 AAL 中任何適用的 FIPS 140 要求。

金鑰及其演算法應至少提供SP 800–131A最新版本中指定的最小安全長度（截至本發布之日為 112 位元）。挑戰隨機數的長度至少為 64 位元。應使用經批准的加密技術。

使用驗證器的每個驗證操作都應該要求輸入附加因素。附加因素的輸入可以透過裝置上的直接輸入或透過硬體連接（例如，USB、智慧卡）來完成。

任何驗證者用於啟動的記憶秘密應是隨機選擇的長度至少為 6 位十進制數字的數值或滿足第 5.1.1.2 節要求的其他記憶秘密，並應按第 5.2.2 節規定進行速率限制。生物辨識活化因素應符合第 5.2.3 節的要求，包括連續身份驗證失敗次數的限制。

未加密的密鑰和啟動秘密或生物特徵樣本 — — 以及從生物特徵樣本導出的任何生物特徵數據，例如透過訊號處理產生的探針 — — 應在身份驗證交易發生後立即歸零。

5.1.9.2 多因素加密設備驗證器#

多因素加密裝置驗證器的要求與單因素加密裝置驗證器的要求相同，如第 5.1.7.2 節所述。對多因素加密設備的驗證器輸出的驗證證明了啟動因素的使用。

5.2 一般驗證器要求#

5.2.1 物理驗證器#

CSP 應向訂戶提供有關如何適當保護身份驗證器免遭盜竊或遺失的說明。 CSP 應提供一種機制，在訂戶通知懷疑身份驗證器遺失或被盜時立即撤銷或暫停身份驗證器。

5.2.2 速率限制（節流）#

當第 5.1 節中的驗證器類型描述有要求時，驗證者應實施控制措施以防止線上猜測攻擊。除非在給定認證器的描述中另有規定，驗證者應將單一帳戶上連續失敗的認證嘗試限制為不超過 100 次。

可以使用其他技術來降低攻擊者因速率限製而將合法索賠人拒之門外的可能性。這些包括：

• 要求申請人在嘗試身份驗證之前完成驗證碼。
• 要求索賠人在嘗試失敗後等待一段時間，該時間隨著帳戶接近連續失敗嘗試的最大限額而增加（例如，30 秒到一小時）。
• 僅接受來自先前已成功對訂閱者進行身份驗證的 IP 位址白名單的身份驗證請求。
• 利用其他基於風險或自適應身份驗證技術來識別符合或超出典型規範的使用者行為。例如，這些可能包括 IP 位址、地理位置、請求模式的時間安排或瀏覽器元資料的使用。

當訂閱者成功驗證時，驗證者應該忽略該使用者先前從相同 IP 位址進行的任何失敗嘗試。

5.2.3 生物辨識技術的使用#

身份驗證中生物辨識技術（您的身份）的使用包括物理特徵（例如指紋、虹膜、臉部特徵）和行為特徵（例如打字節奏）的測量。這兩類都被認為是生物辨識模式，儘管不同的模式在建立身份驗證意圖的程度上可能有所不同，如第 5.2.9 節所述。

由於多種原因，本文檔僅支援有限地使用生物辨識技術進行身份驗證。這些原因包括：

• 生物辨識錯誤配對率 (FMR) 本身並不能提供對訂戶身份驗證的信心。此外，FMR 不考慮欺騙攻擊。
• 生物辨識比較是機率性的，而其他身份驗證因素是確定性的。
• 生物辨識範本保護方案提供了一種撤銷生物辨識憑證的方法，該方法與其他身份驗證因素（例如，PKI 憑證和密碼）相當。然而，此類解決方案的可用性有限，並且測試這些方法的標準正在製定中。
• 生物辨識特徵並不構成秘密。它們可以在線獲取，也可以通過在某人知情或不知情的情況下用照相手機拍攝某人的照片（例如面部圖像）、從某人觸摸的物體（例如潛在指紋）上拍攝或用高解析度影像（例如虹膜）來獲取。雖然呈現攻擊偵測 (PAD) 技術（例如，活體偵測）可以減輕此類攻擊的風險，但需要對感測器或生物辨識處理進行額外的信任，以確保 PAD 的運作符合 CSP 和客戶的​​需求。

因此，以下要求和準則支援有限使用生物識別技術進行身份驗證：

生物辨識技術只能用作使用實體身份驗證器（您擁有的東西）進行多因素身份驗證的一部分。

應在感測器（或包含阻止感測器更換的感測器的端點）和驗證者之間建立經過身份驗證的受保護通道，並且應在從索賠人處捕獲生物特徵樣本之前對感測器或端點進行身份驗證。

生物辨識系統應以千分之一或更高的FMR [ISO/IEC 2382–37]運作。此 FMR 應在[ISO/IEC 30107–1]中定義的一致攻擊（即零努力冒充者嘗試）的條件下實現。

生物辨識系統應該實現 PAD。對要部署的生物辨識系統的測試應該證明對每種相關攻擊類型（即種類）的演示攻擊具有至少 90% 的抵抗力，其中抵抗力定義為受阻演示攻擊的數量除以試驗演示攻擊的數量。演示抗攻擊性測試應符合[ISO/IEC 30107–3]的第 12 條。 PAD 決定可以在索賠人的設備上本地做出，也可以由中央驗證者做出。

註：在本指南的未來版本中，PAD 被視為強制性要求。

如果實現滿足上述要求的 PAD，生物辨識系統應允許不超過 5 次連續失敗的認證嘗試或 10 次連續失敗的嘗試。一旦達到該限制，生物特徵認證器應：

• 在下次嘗試之前施加至少 30 秒的延遲，並隨著每次連續嘗試呈指數增加（例如，在下一次失敗嘗試之前 1 分鐘，在第二次嘗試之前 2 分鐘），或者
• 如果已有替代方法可用，則停用生物辨識使用者驗證並提供另一個因素（例如，不同的生物辨識模式或 PIN/密碼，如果它還不是必需的因素）。

驗證者應確定感測器和端點的性能、完整性和真實性。做出此決定的可接受方法包括但不限於：

• 感測器或端點的身份驗證。
• 由認可的認證機構進行認證。
• 簽章元資料（例如，證明）的運行時詢問，如第 5.2.4 節所述。

生物特徵比較可以在索賠人的裝置上本地執行或在中央驗證器處執行。由於中央驗證者遭受更大規模攻擊的可能性更大，因此首選本地比較。

如果集中進行比較：

• 使用生物辨識作為身份驗證因素應僅限於使用經批准的密碼技術識別的一個或多個特定設備。由於生物辨識尚未解鎖主認證金鑰，因此應使用單獨的金鑰來識別裝置。
• 應實施生物辨識撤銷，在ISO/IEC 24745中稱為生物辨識範本保護。
• 所有生物辨識資訊的傳輸應透過經過驗證的受保護通道進行。

在身份驗證過程中收集的生物特徵樣本可用於訓練比較演算法，或在使用者同意的情況下用於其他研究目的。生物特徵樣本和源自生物特徵樣本的任何生物特徵資料（例如透過訊號處理產生的探針）應在獲得任何訓練或研究資料後立即歸零。

在某些情況下，生物辨識技術也用於防止拒絕註冊並驗證同一個人是否參與了SP 800–63A中所述的註冊過程的所有階段。

5.2.4 鑑證#

證明是傳送給驗證者的有關直接連接的驗證者或驗證操作中涉及的端點的資訊。透過證明傳達的訊息可能包括但不限於：

• 身份驗證器和端點的出處（例如，製造商或供應商認證）、健康狀況和完整性。
• 驗證器的安全特性。
• 生物識別感測器的安全性和性能特徵。
• 感測器方式。

如果簽署了此證明，則應使用至少提供SP 800–131A最新版本（截至本發布之日的 112 位元）中指定的最低安全強度的數位簽章進行簽章。

證明資訊可用作驗證者基於風險的身份驗證決策的一部分。

5.2.5 驗證者防冒充#

驗證者假冒攻擊（有時稱為「網路釣魚攻擊」）是欺詐性驗證者和 RP 試圖欺騙粗心的索賠人以向冒名頂替者網站進行身份驗證的行為。在 SP 800–63 的早期版本中，抵抗驗證者模擬攻擊的協定也被稱為「強 MitM 抵抗」。

驗證者防冒充認證協定應與驗證者建立經過認證的受保護通道。然後，它應將在建立經過身份驗證的受保護通道時協商的通道標識符強且不可逆地綁定到驗證器輸出（例如，通過使用由聲明者控制的私鑰對兩個值進行簽名，驗證者已知該私鑰的公鑰） ）。驗證者應驗證用於證明驗證者防冒充性的簽名或其他資訊。這可以防止冒名頂替的驗證者（即使是已經獲得代表實際驗證者的憑證的驗證者）在不同的經過身份驗證的受保護通道上重播該身份驗證。

經批准的加密演算法應用於在需要時建立驗證者的防冒充能力。用於此目的的金鑰應至少提供SP 800–131A最新版本中指定的最低安全強度（截至本發布之日為 112 位元）。

驗證者防冒充身份驗證協定的範例是用戶端身份驗證的 TLS，因為用戶端對身份驗證器輸出以及來自該協定的早期訊息進行簽名，這些訊息對於正在協商的特定 TLS 連線是唯一的。

涉及手動輸入驗證器輸出的驗證器（例如帶外和 OTP 驗證器）不應被視為驗證者防模擬，因為手動輸入不會將驗證器輸出綁定到正在驗證的特定會話。在 MitM 攻擊中，冒充驗證者可以將 OTP 驗證器輸出重播給驗證者並成功進行驗證。

5.2.6 驗證者-CSP 通訊#

在驗證者和 CSP 是獨立實體的情況下（如圖4–1 SP 800–63–3中的虛線所示），驗證者和 CSP 之間的通訊應通過相互驗證的安全通道（例如客戶端-使用經批准的加密技術進行身份驗證的TLS 連線。

5.2.7 驗證者抗妥協性#

使用某些類型的驗證器需要驗證者儲存驗證器秘密的副本。例如，OTP 驗證器（第 5.1.4 節中描述）要求驗證者獨立產生驗證器輸出，以便與索賠人發送的值進行比較。由於驗證者可能被洩露以及所儲存的秘密被盜，因此不需要驗證者持久地儲存可用於認證的秘密的認證協議被認為是更強的，並且在本文中被描述為驗證者抗洩露的。請注意，此類驗證者並不能抵抗所有攻擊。驗證器可能會以不同的方式受到損害，例如被操縱以始終接受特定的驗證器輸出。

驗證者的妥協抵抗可以透過不同的方式來實現，例如：

• 使用加密認證器，要求驗證者儲存與認證器持有的私鑰相對應的公鑰。
• 以雜湊形式儲存預期的驗證器輸出。例如，此方法可以與一些尋找秘密驗證器（第5.1.2 節中描述）一起使用。

為了被認為是驗證者抵抗妥協的，驗證者儲存的公鑰應與批准的加密演算法的使用相關聯，並且應至少提供SP 800–131A最新版本中指定的最低安全強度（截至發布日期為112 位）本出版品）。

其他驗證者抗洩漏秘密應使用經批准的雜湊演算法，且底層秘密應至少具有SP 800–131A最新版本（截至本發布之日的 112 位元）中指定的最低安全強度。具有較低複雜性的秘密（例如，記憶的秘密）在雜湊時不應被視為驗證者抗妥協性，因為透過字典尋找或窮舉搜尋可能會破壞雜湊過程。

5.2.8 重播阻力#

如果透過記錄和重播先前的認證訊息來實現成功的認證不切實際，則認證過程可以抵抗重播攻擊。重播抵抗是除了經過身份驗證的受保護通道協定的抗重播性質之外的，因為輸出可能在進入受保護通道之前被竊取。使用隨機數或挑戰來證明交易「新鮮度」的協定可以抵抗重播攻擊，因為驗證者可以輕鬆檢測舊協定訊息何時重播，因為它們不包含適當的隨機數或及時性資料。

抗重播驗證器的範例包括 OTP 裝置、加密驗證器和尋找秘密。

相反，記住的秘密不被認為是抗重播的，因為驗證器輸出（秘密本身）是為每次身份驗證提供的。

5.2.9 認證意圖#

如果身份驗證過程要求主體明確回應每個身份驗證或重新身份驗證請求，則該身份驗證過程表明了意圖。身份驗證意圖的目標是使直接連接的實體身份驗證器（例如，多因素加密設備）在主體不知情的情況下（例如端點上的惡意軟體）更難以使用。身份驗證意圖應由身份驗證器本身建立，儘管多因素加密設備可以透過在使用身份驗證器的端點上重新輸入其他身份驗證因素來建立意圖。

認證意圖可以透過多種方式建立。需要主體介入的認證過程（例如，聲明者輸入從 OTP 設備輸出的認證器）建立意圖。每次認證或重新認證操作都需要使用者操作（例如，按下按鈕或重新插入）的加密設備也建立意圖。

根據模態的不同，生物辨識的呈現可能會也可能不會建立身份驗證意圖。出示指紋通常可以確定意圖，而使用攝影機觀察索賠人的臉部通常本身無法確定意圖。同樣，行為生物識別技術不太可能建立身份驗證意圖，因為它們並不總是需要索賠人採取特定行動。

5.2.10 受限驗證器#

隨著威脅的發展，身份驗證器抵禦攻擊的能力通常會降低。相反，某些身份驗證器的效能可能會提高 — — 例如，當其基礎標準發生變化時，它們抵抗特定攻擊的能力就會提高。

為了考慮身份驗證器效能的這些變化，NIST 對身份驗證器類型或身份驗證器類型的特定類別或實例設定了額外的限制。

使用 RESTRICTED 驗證器要求實施組織評估、理解和接受與該 RESTRICTED 驗證器相關的風險，並承認風險可能會隨著時間的推移而增加。組織有責任確定其係統和相關數據的可接受風險級別，並定義減輕過度風險的方法。如果在任何時候組織確定任何一方的風險是不可接受的，則不得使用該驗證器。

此外，認證錯誤的風險通常由多方承擔，包括實施組織、依賴認證決策的組織以及訂戶。由於當組織接受受限驗證器時，訂閱者可能會面臨額外的風險，且訂閱者對該風險的理解和控制能力可能有限，因此 CSP 應：

1. 為訂戶提供至少一種不受​​限制且可用於在所需 AAL 上進行身份驗證的備用身份驗證器。
2. 向訂戶提供有關受限制驗證器的安全風險以及不受限制的替代方案可用性的有意義的通知。
3. 在風險評估中解決訂閱者的任何額外風險。
4. 針對將來某個時候 RESTRICTED 身份驗證器不再被接受的可能性制定遷移計劃，並將該遷移計劃包含在其數位身份接受聲明中。

6.1 認證器綁定#

身份驗證器綁定是指在特定身份驗證器和訂閱者帳戶之間建立關聯，使身份驗證器能夠（可能與其他身份驗證器結合使用）用於對該帳戶進行身份驗證。

驗證器應透過以下任一方式綁定至訂戶帳戶：

• 作為註冊的一部分，由 CSP 頒發；或者
• 關聯 CSP 可接受的訂戶提供的身份驗證器。

這些指南涉及的是具有約束力的認證器，而不是頒發的認證器，以適應這兩種選擇。

在整個數位身份生命週期中，CSP 應維護與每個身份關聯或已關聯的所有身份驗證器的記錄。 CSP 或驗證者應在需要時維護限制身份驗證嘗試所需的資訊，如第 5.2.2 節所述。 CSP 還應驗證使用者提供的身份驗證器的類型（例如，單因素加密裝置與多因素加密裝置），以便驗證者可以確定是否符合每個 AAL 的要求。

CSP 建立的記錄應包含驗證者綁定到帳戶的日期和時間。該記錄應包括與註冊關聯的任何裝置的綁定來源的資訊（例如，IP 位址、裝置識別碼）。如果可用，記錄還應該包含有關驗證者嘗試驗證失敗的來源的資訊。

當任何新的驗證器綁定到訂戶帳戶時，CSP 應確保綁定協定和用於提供關聯金鑰的協定是在與使用驗證器的 AAL 相稱的安全性等級上完成的。例如，金鑰組態協定應使用經過驗證的受保護通道或親自執行以防止中間人攻擊。多因素認證器的綁定應要求使用多因素認證或等效方法（例如，與剛完成身份證明的會話關聯）來綁定認證器。當身份驗證器產生金鑰對並將公鑰傳送到 CSP 時，適用相同的條件。

6.1.1 註冊時的約束#

如SP 800–63A所述，當身份驗證器因成功的身份證明交易而與身份綁定時，適用下列要求。由於行政命令 13681 [EO 13681]要求使用多因素身份驗證來發布任何個人數據，因此身份驗證器在註冊時綁定到訂閱者帳戶非常重要，以便能夠存取個人數據，包括透過身份驗證建立的個人數據。

除了記住的秘密或一個或多個生物特徵之外，CSP 應將至少一個、並且應該將至少兩個實體（您擁有的）身份驗證器綁定到訂戶的線上身份。為了從訂戶的主認證器遺失或被盜中恢復，優選多個認證器的綁定。

雖然所有識別資訊都是在 IAL1 自行聲明的，但線上資料或線上聲譽的保存使得我們不希望因遺失驗證器而失去對帳戶的控制。第二認證器使得可以從認證器遺失中安全地恢復。因此，CSP 還應該將至少兩個實體驗證器綁定到 IAL1 上的訂戶憑證。

在 IAL2 及更高版本中，識別資訊與數位身份相關聯，訂戶已經經歷了SP 800–63A中所述的身份驗證過程。因此，與所需 IAL 處於相同 AAL 的驗證器應綁定到該帳戶。例如，如果訂戶已在 IAL2 成功完成驗證，則 AAL2 或 AAL3 認證器適合綁定至 IAL2 身份。雖然 CSP 可以將 AAL1 身份驗證器綁定到 IAL2 身份，但如果訂閱者在 AAL1 上進行了身份驗證，則 CSP 不得向訂閱者公開個人資訊，即使是自我聲明的資訊。如上一段所述，如果身份驗證器損壞、遺失或被盜，則附加身份驗證器的可用性可以提供備用身份驗證方法。

如果註冊和綁定無法在一次實體接觸或電子交易中（即在一次受保護的會話中）完成，則應使用以下方法來確保整個過程中同一方充當申請人：

對於遠端交易：

1. 申請人應在每筆新的具有約束力的交易中透過提供在先前交易期間建立的或發送到申請人記錄的電話號碼、電子郵件地址或郵政地址的臨時秘密來表明自己的身份。
2. 長期驗證者秘密只能在受保護的會話內發佈給申請人。

對於面對面交易：

1. 申請人應透過使用上述遠端交易 (1) 中所述的秘密或透過使用先前遇到時記錄的生物識別來親自識別自己的身份。
2. 臨時秘密不得重複使用。
3. 如果 CSP 在實體交易期間發布長期驗證者秘密，則它們應本地加載到親自向申請人發布或以確認記錄地址的方式交付的實體設備上。

6.1.2 註冊後綁定#

6.1.2.1 在現有AAL上綁定附加認證器#

除了記住的秘密之外，CSP 和驗證者應該鼓勵訂閱者為他們將使用的每個因素保留至少兩個有效的驗證器。例如，通常使用 OTP 設備作為實體身份驗證器的訂戶也可能會獲得多個尋找秘密身份驗證器，或註冊用於帶外身份驗證的設備，以防實體身份驗證器遺失、被盜、或損壞。有關替換記憶的秘密驗證器的更多資訊，請參閱第 6.1.2.3 節。

因此，CSP 應允許將附加驗證器綁定到訂戶帳戶。在新增新的認證器之前，CSP 應先要求訂戶在將使用新認證器的 AAL（或更高的 AAL）上進行認證。新增驗證器時，CSP 應透過獨立於綁定新驗證器的事務的機制向訂閱者發送通知（例如，向先前與訂閱者關聯的位址發送電子郵件）。 CSP 可以限制以這種方式綁定的認證器的數量。

6.1.2.2 在單因子帳戶中新增附加因子#

如果訂戶的帳戶僅綁定了一個驗證因素（即在 IAL1/AAL1），並且要新增不同身份驗證因素的附加身份驗證器，則訂戶可以要求將帳戶升級到 AAL2。 IAL 將保持在 IAL1。

在綁定新的認證器之前，CSP 應要求訂閱者在 AAL1 進行認證。 CSP 應透過獨立於綁定新驗證器的事務的機制向訂閱者發送事件通知（例如，向先前與訂閱者關聯的位址發送電子郵件）。

6.1.2.3更換遺失的身份驗證因素#

如果訂戶遺失了完成多因素身份驗證所需的因素的所有身份驗證器，並且已在 IAL2 或 IAL3 上進行了身份證明，則該訂戶應重複SP 800–63A中描述的身份證明過程。如果 CSP 根據SP 800–63A第 4.2 節中所述的隱私風險評估保留了原始校對過程中的證據，則可以使用簡化校對過程來確認索賠人對先前提供的證據的約束力。 CSP 應要求索賠人使用剩餘因素（如果有）的驗證器進行驗證，以確認與現有身份的綁定。在 IAL3 上重新建立身份驗證因素應親自完成，或透過SP 800–63A第 5.3.3.2 節中所述的受監督遠端流程進行，並應驗證在原始校對過程中收集的生物特徵。

CSP 應向訂閱者發送事件通知。這可能與校樣過程中所需的通知相同。

替換丟失（即忘記）的記憶秘密是有問題的，因為它很常見。額外的「備份」記憶秘密並不能緩解這種情況，因為它們也很可能被遺忘。如果生物識別與帳戶綁定，則應使用生物識別和關聯的物理身份驗證器來建立新的記憶秘密。

作為上述重新驗證過程的替代方案，當沒有生物識別綁定到帳戶時，CSP 可以將新的記憶秘密與使用兩個實體身份驗證器的身份驗證綁定，以及已發送到訂閱者地址之一的確認碼的記錄。確認碼應由至少 6 個隨機字母數字字元組成，這些字元由經批准的隨機位元產生器[SP 800–90Ar1]產生。發送至記錄郵政地址的郵件有效期最長為 7 天，但可透過例外流程將其有效期延長至 21 天，以適應美國郵政服務直接覆蓋範圍之外的地址。以實體郵件以外的方式發送的確認碼的有效期限最長為 10 分鐘。

6.1.3 綁定到訂閱者提供的驗證器#

訂戶可能已經擁有適合在特定 AAL 進行身份驗證的身份驗證器。例如，他們可能擁有來自社交網路提供者的雙重認證器（考慮為 AAL2 和 IAL1），並且希望在需要 IAL2 的 RP 上使用這些憑證。

在可行的情況下，CSP 應適應使用訂戶提供的驗證器，以減輕訂戶管理大量驗證器的負擔。這些驗證器的綁定應按照第 6.1.2.1 節的描述進行。在身份驗證器強度不言而喻的情況下（例如，在給定類型的單因素和多因素身份驗證器之間），CSP 應該假設使用較弱的身份驗證器，除非能夠確定較強的身份驗證器是事實上正在使用（例如，透過與認證器的發行者或製造商進行驗證）。

6.1.4 續訂#

CSP 應該在現有認證器過期之前的適當時間綁定更新的認證器。該過程應該與初始驗證器綁定過程緊密一致（例如，確認記錄位址）。成功使用新的身份驗證器後，CSP 可以撤銷其正在替換的身份驗證器。

6.2 遺失、被竊、損壞和未經授權的複製#

受損的驗證器包括遺失、被竊或未經授權複製的驗證器。一般來說，人們必須假設遺失的認證器已被非認證器合法訂戶的人竊取或破壞。損壞或故障的驗證器也被視為受到損害，以防止提取驗證器秘密的任何可能性。一個值得注意的例外是記憶的秘密已被遺忘，而沒有其他跡象表明已洩露，例如已被攻擊者獲取。

應在偵測後儘快暫停、撤銷或銷毀受損的驗證器。各機構應為此過程設定時間限制。

為了便於安全地報告身份驗證器的遺失、被盜或損壞，CSP 應向訂戶提供一種使用備份或備用身份驗證器向 CSP 進行身份驗證的方法。此備份驗證器應該是記憶的秘密或實體驗證器。可以使用其中之一，但只需要一個身份驗證因素即可產生此報告。或者，訂戶可以建立到 CSP 的經過身份驗證的受保護通道，並驗證在校對過程中收集的資訊。 CSP 可以選擇驗證記錄地址（即電子郵件、電話、郵政）並暫停報告已洩露的身份驗證器。如果訂戶使用有效（即未暫停）認證器成功向 CSP 進行認證，並要求重新啟動以這種方式暫停的認證器，則暫停應是可逆的。 CSP 可以設定一個時間限制，在此之後暫停的驗證器將無法再重新啟動。

6.3 有效期限#

CSP 可能會發布過期的驗證器。如果身份驗證器過期，則它不能用於身份驗證。當嘗試使用過期的認證器進行認證時，CSP 應向訂戶指示認證失敗是由於過期而不是其他原因。

CSP 應要求訂戶在到期或收到更新的驗證器後儘快交出或證明已銷毀包含 CSP 簽署的屬性憑證的任何實體驗證器。

6.4 撤銷和終止#

身份驗證器的撤銷（有時稱為終止，尤其是在 PIV 驗證器的上下文中）是指刪除身份驗證器與 CSP 維護的憑證之間的綁定。

當線上身份不再存在（例如訂戶死亡、發現詐欺訂戶）、訂戶提出請求或 CSP 確定訂戶不再滿足其資格要求時，CSP 應立即撤銷驗證器的綁定。

CSP 應要求訂戶在撤銷或終止發生後儘快交出或證明銷毀包含 CSP 簽章的認證屬性的任何實體認證器。這對於在認證撤銷/終止和過期之間的離線情況下阻止使用身份驗證器的認證屬性是必要的。

有關終止 PIV 身份驗證器的進一步要求可在FIPS 201中找到。

7.1 會話綁定#

會話發生在訂閱者正在執行的軟體（例如瀏覽器、應用程式或作業系統（即會話主體））和訂閱者正在存取的 RP 或 CSP（即會話主機）之間。會話秘密應在訂閱者的軟體和正在存取的服務之間共用。此秘密綁定會話的兩端，允許訂閱者隨著時間的推移繼續使用該服務。秘密應直接由訂閱者的軟體提供，或使用加密機制證明擁有秘密。

用於會話綁定的秘密應由會話主機直接回應身份驗證事件而產生。會話應該繼承觸發其建立的身份驗證事件的 AAL 屬性。會話可以被認為處於比認證事件更低的 AAL，但不應被認為處於比認證事件更高的 AAL。

用於會話綁定的秘密：

1. 應由會話主機在互動期間生成，通常是在身份驗證之後立即生成。
2. 應由經批准的隨機位元產生器[SP 800–90Ar1]生成，並至少包含 64 位元熵。
3. 當訂閱者登出時，會話主題應將其刪除或失效。
4. 當使用者登出或認為金鑰已過期時，應在訂閱者端點上刪除。
5. 不應放置在不安全的位置，例如 HTML5 本地存儲，因為本地存儲可能會遭受跨站點腳本 (XSS) 攻擊。
6. 應使用經過身份驗證的受保護通道向設備發送和接收。
7. 在第 4.1.4、4.2.4和4.3.4節中指定的時間（適用於 AAL）之後，應超時且不被接受。
8. 不得用於主機和訂閱者端點之間的不安全通訊。經過身份驗證的會話不應在身份驗證後回退到不安全的傳輸，例如從 https 到 http。

URL 或 POST 內容應包含會話標識符，該標識符應由 RP 驗證，以確保會話外採取的操作不會影響受保護的會話。

有多種機制可以隨著時間的推移管理會話。以下部分給出了不同的範例以及每種範例技術特有的附加要求和注意事項。 OWASP會話管理備忘單 [OWASP-session]中提供了其他資訊指南。

7.1.1 瀏覽器 Cookie#

瀏覽器 cookie 是為存取服務的訂戶建立和追蹤會話的主要機制。

Cookies：

1. 應標記為只能在安全性 (HTTPS) 會話上存取。
2. 應可由最小的實際主機名稱和路徑集存取。
3. 應標記為無法透過 JavaScript (HttpOnly) 存取。
4. 應標記為在會話有效期內或之後不久到期。此要求旨在限制 cookie 的累積，但不應依賴強制會話逾時。

7.1.2 訪問令牌#

存取權杖（例如 OAuth 中的存取權杖）用於允許應用程式在身份驗證事件後代表訂閱者存取一組服務。在沒有其他訊號的情況下，OAuth 存取權杖的存在不應被 RP 解釋為訂閱者的存在。 OAuth 存取權杖和任何關聯的刷新令牌可能在身份驗證會話結束且訂閱者離開應用程式後很長一段時間內有效。

7.1.3 設備識別#

安全設備識別的其他方法 — — 包括但不限於相互 TLS、令牌綁定或其他機制 — — 可以用於在訂戶和服務之間建立會話。

7.2重新認證#

經過身份驗證的會話的連續性應基於驗證者在身份驗證時頒發的會話秘密的擁有性，並可選擇在會話期間刷新。會話的性質取決於應用程序，包括：

1. 帶有「會話」cookie 的網頁瀏覽器會話，或者
2. 保留會話秘密的行動應用程式的實例。

會話秘密應該是非持久性的。也就是說，它們不應在相關應用程式重新啟動或主機設備重新啟動時保留。

應定期對會話進行重新驗證，以確認訂戶在經過驗證的會話中持續存在（即，訂戶沒有在未註銷的情況下離開）。

僅基於會話密鑰的呈現，會話不應超出第4.1.3、4.2.3 和 4.3.3節（取決於AAL ）中的指導原則。在會話到期之前，應透過提示訂戶輸入表 7–1中指定的驗證因素來延長重新驗證時間限制。

當會話因逾時或其他操作而終止時，應要求使用者透過再次驗證來建立新會話。

表 7–1 AAL 重新驗證要求

亞洲航空協會要求1任一因素的呈現2呈現記憶的秘密或生物特徵3所有因素的呈現

注意：在 AAL2 中，需要記憶的秘密或生物識別，而不是物理身份驗證器，因為會話秘密是您所擁有的*，並且需要額外的身份驗證因素才能繼續會話。*

7.2.1 來自聯合或斷言的重新認證#

當使用SP 800–63C第 5 節中所述的聯合協定來連接 CSP 和 RP 時，需要特別注意會話管理和重新驗證。聯合協定在 CSP 和 RP 之間傳送身份驗證事件，但在它們之間不建立會話。由於 CSP 和 RP 通常採用單獨的會話管理技術，因此不應假設這些會話之間存在任何相關性。因此，當 RP 會話過期且 RP 需要重新認證時，完全有可能 CSP 處的會話尚未過期，並且可以從 CSP 處的該會話產生新的斷言，而無需重新認證使用者。

需要透過聯合協議重新認證的 RP 應（如果在協議內可能的話）向 CSP 指定可接受的最長認證期限，並且如果訂閱者在該時間段內未通過認證，則 CSP 應重新認證訂閱者。 CSP 應將身份驗證事件時間傳達給 RP，以允許 RP 決定斷言是否足以進行重新驗證，並確定下一個重新驗證事件的時間。

8.1 驗證器威脅#

能夠控制身份驗證器的攻擊者通常能夠偽裝成身份驗證器的擁有者。可以根據對構成身份驗證器的身份驗證因素類型的攻擊對身份驗證器的威脅進行分類：

• 您所知道的資訊可能會洩漏給攻擊者。攻擊者可能會猜測出記住的秘密。如果驗證器是共用秘密，則攻擊者可以存取 CSP 或驗證者並取得秘密值或對該值的雜湊值執行字典攻擊。攻擊者可能會觀察 PIN 或密碼的輸入，找到 PIN 或密碼的書面記錄或日記條目，或者可能安裝惡意軟體（例如鍵盤記錄器）來捕獲秘密。此外，攻擊者可以透過對驗證者維護的密碼資料庫進行離線攻擊來確定秘密。
• 您擁有的東西可能會丟失、損壞、從所有者手中被盜或被攻擊者克隆。例如，取得所有者電腦存取權限的攻擊者可能會複製軟體驗證器。硬體驗證器可能被盜、被竄改或被複製。帶外機密可能會被攻擊者攔截並用於驗證他們自己的會話。
• 你的某些東西可能會被複製。例如，攻擊者可能會取得訂戶指紋的副本並建立副本。

本文檔假設訂閱者沒有與試圖向驗證者進行虛假身份驗證的攻擊者串通。考慮到這一假設，表 8–1列出了用於數位身份驗證的身份驗證器面臨的威脅以及一些範例。

表 8–1 身份驗證器威脅

8.2 威脅緩解策略#

表 8–2總結了有助於減輕上述威脅的相關機制。

表 8–2 緩解身份驗證器威脅

可以應用其他幾種策略來減輕表 8–1中所述的威脅：

• 多種因素使得成功的攻擊更加難以完成。如果攻擊者需要竊取密碼驗證器並猜測記住的秘密，那麼發現這兩個因素的工作量可能會太大。
• 可以採用實體安全機制來保護被盜的認證器免於複製。物理安全機制可以提供篡改證據、檢測和回應。
• 要求使用常見字典中沒有出現的長期記憶的秘密可能會迫使攻擊者嘗試所有可能的值。
• 可以採用系統和網路安全控制來防止攻擊者存取系統或安裝惡意軟體。
• 可以進行定期培訓，以確保訂閱者瞭解何時以及如何報告洩露（或洩露嫌疑）或以其他方式識別可能表明攻擊者試圖洩露身份驗證過程的行為模式。
• 帶外技術可用於驗證註冊設備（例如，手機）的擁有證明。

8.3 驗證器恢復#

許多身份驗證機制的弱點是訂戶失去對一個或多個身份驗證器的控制並需要替換它們時所遵循的過程。在許多情況下，可用於驗證訂戶的選項是有限的，並且經濟考慮（例如，維護呼叫中心的成本）促使使用廉價且通常不太安全的備用驗證方法。如果驗證器恢復是人工輔助的，那麼還存在社會工程攻擊的風險。

為了保持認證因素的完整性，重要的是不可能利用涉及一個因素的認證來獲得不同因素的認證器。例如，記住的秘密不能用來取得新的尋找秘密清單。

8.4 會話攻擊#

上述討論重點在於對身份驗證事件本身的威脅，但身份驗證事件後對會話的劫持攻擊可能會產生類似的安全影響。第 7 節中的會話管理指南對於維護會話完整性以抵禦 XSS 等攻擊至關重要。此外，清理所有要顯示的資訊[OWASP-XSS-prevention]以確保其不包含可執行內容也很重要。這些指南還建議行動代碼無法存取會話機密，以便提供額外的保護，防止會話機密外洩。

另一種身份驗證後威脅是跨站點請求偽造 (CSRF)，它利用了使用者同時啟動多個會話的傾向。將會話標識符嵌入並驗證到 Web 請求中非常重要，以防止無意或惡意啟動有效 URL 或請求。

9.1 隱私風險評估#

第4.1.5、4.2.5和4.3.5節要求 CSP 對記錄保留進行隱私風險評估。此類隱私風險評估將包括：

1. 記錄保留可能會給訂戶帶來問題，例如侵入或未經授權存取資訊。
2. 如果確實發生此類問題的影響。

CSP 應能合理地證明他們對已識別的隱私風險所採取的任何應對措施是合理的，包括接受風險、減輕風險和分擔風險。使用訂戶同意是分擔風險的一種形式，因此僅在可以合理地預期訂戶有能力評估和接受分擔風險時才適合使用。

9.2 隱私控制#

第 4.4 節要求 CSP 採用適當客製化的隱私控制。SP 800–53提供了一組隱私控制，供 CSP 在部署身份驗證機制時考慮。這些控制措施包括通知、補救措施以及成功和值得信賴的部署的其他重要考慮因素。

9.3 使用限制#

第 4.4 節要求CSP 使用措施來維持可預測性（使個人、所有者和運營商能夠對PII 及其透過資訊系統的處理進行可靠假設）和可管理性（提供對PII 進行精細管理的能力，包括更改、刪除的能力）的目標和選擇性披露）與出於身份證明、身份驗證、授權或屬性斷言、相關欺詐緩解或遵守法律或法律程序以外的目的處理屬性可能產生的隱私風險相稱。

CSP 可能具有處理屬性的各種業務目的，包括向訂戶提供非身份服務。然而，當個人不期望或不適應額外的處理時，出於收集時指定的目的之外的其他目的處理屬性可能會產生隱私風險。 CSP 可以根據額外處理產生的隱私風險來確定適當的措施。例如，在缺乏適用的法律、法規或政策的情況下，在處理屬性以提供訂閱者請求的非身份服務時可能不需要獲得同意，儘管通知可以幫助訂閱者保持有關處理的可靠假設（可預測性）。對屬性的其他處理可能會帶來不同的隱私風險，需要獲得同意或允許訂閱者更好地控制特定屬性的使用或揭露（可管理性）。訂閱者的同意必須是有意義的；因此，如第 4.4 節所述 ，當 CSP 使用同意措施時，訂戶接受額外使用不應成為提供身份驗證服務的條件。

如果對提議的處理是否超出允許的處理或適當的隱私風險緩解措施的範圍有疑問，請諮詢您的 SAOP。

9.4 特定機構的隱私合規性#

第 4.4 節涵蓋了聯邦 CSP 的具體合規義務。讓您機構的 SAOP 參與數位身份驗證系統開發的最早階段至關重要，以便評估和減輕隱私風險，並就合規性要求向機構提供建議，例如收集 PII 來頒發或維護身份驗證器是否會觸發隱私風險1974 年 隱私權法或2002 年電子化政府法 要求PIA。例如，就生物辨識技術的集中維護而言，由於收集和維護PII 以及任何其他必要的屬性，很可能會觸發《隱私權法》的要求，並要求新的或現有的《隱私法》記錄系統覆蓋。 SAOP 可以類似地協助該機構確定是否需要 PIA。

這些考慮因素不應被視為制定僅用於身份驗證的隱私法案 SORN 或 PIA 的要求。在許多情況下，起草涵蓋整個數位身份驗證流程的 PIA 和 SORN 或將數位身份驗證流程作為更大的程序化 PIA 的一部分（討論該機構在線建立的服務或利益）是最有意義的。

由於數位身份驗證包含許多元件，因此 SAOP 瞭解和理解每個單獨的元件非常重要。例如，其他隱私工件可能適用於提供或使用聯合 CSP 或 RP 服務的機構（例如，資料使用協定、電腦配對協定）。 SAOP 可以協助該機構確定適用哪些附加要求。此外，對數位身份驗證各個組成部分的透徹瞭解將使 SAOP 能夠透過合規流程或其他方式徹底評估和減輕隱私風險。

10.1 驗證器常見的可用性考量#

選擇和實作身份驗證系統時，請考慮所選身份驗證器整個生命週期的可用性（例如，典型使用和間歇性事件），同時注意使用者的組合、他們的目標和使用環境。

單一身份驗證器類型通常不足以滿足整個用戶群的需要。因此，只要有可能（基於 AAL 要求），CSP 就應該支援替代的身份驗證器類型，並允許使用者根據自己的需求進行選擇。任務的即時性、感知的成本效益權衡以及對某些驗證器的不熟悉通常會影響選擇。使用者傾向於選擇當時負擔或成本最小的選項。例如，如果任務需要立即存取資訊系統，則使用者可能更願意建立新帳戶和密碼，而不是選擇需要更多步驟的驗證器。或者，如果使用者已經擁有身份提供者的帳戶，則可以選擇聯合身份選項（經適當的 AAL 批准）。使用者可能比其他人更瞭解某些身份驗證器，並且根據他們的理解和經驗具有不同程度的信任。

積極的使用者身份驗證體驗對於組織成功實現所需的業務成果至關重要。因此，他們應該努力從使用者的角度考慮驗證器。整體身份驗證可用性目標是最大限度地減少使用者負擔和身份驗證摩擦（例如，使用者必須進行身份驗證的次數、涉及的步驟以及他或她必須追蹤的資訊量）。單一登入就是此類最小化策略之一的例證。

以下描述了適用於大多數身份驗證器的可用性注意事項。後續部分描述特定於特定驗證器的可用性注意事項。

所有身份驗證器的典型使用的可用性考慮因素包括：

• 提供有關身份驗證器的使用和維護的資訊，例如，如果身份驗證器丟失或被盜該怎麼辦，以及使用說明，尤其是在首次使用或初始化有不同要求的情況下。
• 還應考慮身份驗證器的可用性，因為使用者需要記住讓其身份驗證器隨時可用。考慮是否需要替代身份驗證選項，以防止原始身份驗證器遺失、損壞或其他負面影響。
• 只要有可能，根據 AAL 要求，應為使用者提供備用身份驗證選項。這允許使用者根據他們的上下文、目標和任務（例如，任務的頻率和即時性）來選擇驗證器。備用身份驗證選項還有助於解決特定身份驗證器可能出現的可用性問題。
• 面向使用者的文字的特徵：
  ○ 用簡單的語言為目標受眾編寫面向使用者的文字（例如，說明、提示、通知、錯誤訊息）。避免使用技術術語，通常為 6 至 8 年級的識字程度編寫。
  ○ 考慮面向使用者和使用者輸入文字的易讀性，包括字體樣式、大小、顏色以及與周圍背景的對比。難以辨認的文字會導致使用者輸入錯誤。為了增強易讀性，請考慮使用：
  ⠀⠀■ 高對比度。最高對比是白底黑字。
  ⠀⠀■ 用於電子顯示器的無襯線字體。用於印刷材料的襯線字體。
  ⠀⠀■ 清楚區分容易混淆的字元（例如大寫字母“O”和數字“0”）的字體。⠀⠀■ 只要文字適合在裝置上顯示，最小字體大小為 12 磅。
• 驗證器輸入時的使用者體驗：
  ○ 提供在輸入期間顯示文字的選項，因為遮蔽文字輸入很容易出錯。一旦給定的字元顯示足夠長的時間以供使用者看到，就可以將其隱藏。在確定遮蔽延遲時間時要考慮設備，因為在行動裝置（例如平板電腦和智慧型手機）上輸入記憶的秘密比在傳統桌上型電腦上輸入記憶的秘密需要更長的時間。確保遮蔽延遲持續時間符合使用者需求。
  ○ 確保文字輸入所允許的時間足夠（即，輸入螢幕不會過早超時）。確保允許的文字輸入時間符合使用者需求。
  ○ 針對輸入錯誤提供清晰、有意義且可操作的回饋，以減少使用者的困惑和沮喪。當使用者不知道自己輸入了錯誤的文字時，就會產生重大的可用性影響。
  ○ 對於需要輸入使用者輸出的驗證器的驗證器，允許至少 10 次輸入嘗試。輸入文字越長、越複雜，使用者輸入錯誤的可能性就越大。
  ○ 就剩餘允許嘗試次數提供清晰、有意義的回饋。對於速率限制（即節流），告知使用者必須等待多長時間才能進行下一次嘗試，以減少混亂和挫折感。
• 最大限度地減少外形限制的影響，例如行動裝置上有限的觸控和顯示區域：
  ○ 更大的觸控區域提高了文字輸入的可用性，因為在小型裝置上打字比在全尺寸鍵盤上打字更容易出錯並且更耗時。由於輸入機制（例如，手指）的尺寸相對於螢幕上目標的尺寸，螢幕鍵盤越小，鍵入就越困難。
  ○ 遵循小型顯示器的良好使用者介面和資訊設計。

間歇性事件包括重新驗證、帳戶鎖定、過期、撤銷、損壞、遺失、被盜和軟體無法運行等事件。

跨身份驗證器類型的間歇性事件的可用性注意事項包括：

• 為了防止使用者因使用者不活動而需要重新進行身份驗證，請提示使用者以便在否則會發生不活動逾時之前（例如，2 分鐘）觸發活動。
• 無論使用者活動如何，在所需的固定定期重新驗證事件之前提示使用者有足夠的時間（例如 1 小時）保存其工作。
• 清楚地傳達如何以及在哪裡獲得技術援助。例如，向使用者提供線上自助服務功能連結、聊天會話或幫助台支援電話號碼等資訊。理想情況下，可以提供足夠的資訊，使用戶能夠在沒有外部幹預的情況下自行從間歇性事件中恢復。

10.2 驗證器類型的可用性注意事項#

除了前面描述的適用於大多數身份驗證器的一般可用性注意事項（第 10.1 節）之外，以下各節描述了特定於特定身份驗證器類型的其他可用性注意事項。

10.2.1 記住的秘密#

典型用法

使用者手動輸入記住的秘密（通常稱為密碼或 PIN）。

典型用途的可用性考量包括：

• 所記住的秘密的記憶力。
  ○ 隨著用戶需要記住的項目越多，回憶失敗的可能性就會增加。由於記住的秘密較少，使用者可以更容易回憶起特定 RP 所需的特定記憶秘密。
  ○ 不常用的密碼的記憶體負擔較大。
• 輸入記住的秘密期間的使用者體驗。
  ○ 支援欄位中的複製和貼上功能，用於輸入記住的秘密（包括密碼）。

間歇性事件

間歇性事件的可用性注意事項包括：

• 當使用者創建和更改記憶的秘密時：
  ○ 清晰地傳達有關如何創建和更改記住的秘密的訊息。
  ○ 依照第 5.1.1 節的規定，清楚傳達所記憶的秘密要求。
  ○ 長度至少允許 64 個字元以支援密碼短語的使用。鼓勵使用者使用他們喜歡的任何字元（包括空格），根據自己的需求來記憶秘密，從而幫助記憶。
  ○ 不要對記憶的秘密強加其他組合規則（例如不同字元類型的混合）。
  ○ 不要求任意（例如，定期）更改記憶的秘密，除非存在用戶請求或認證器妥協的證據。 （更多資訊請參閱第 5.1.1 節）。
• 當選擇的密碼被拒絕時（例如，當它出現在不可接受的密碼「黑名單」上或以前已使用過時），提供清晰、有意義且可操作的回饋。

10.2.2 尋找秘密#

典型用法

使用者使用印刷版或電子版的驗證器來尋找響應驗證者提示所需的適當秘密。例如，可能會要求使用者提供以表格格式列印在卡片上的數字或字串的特定子集。

典型用途的可用性考量包括：

• 輸入尋找秘密期間的使用者體驗。
  ○ 考慮提示的複雜性和大小。提示使用者尋找的秘密子集越大，可用性影響就越大。在選擇用於認證的尋找秘密的數量和複雜性時，應考慮認知工作量和進入的物理難度。

10.2.3 帶外#

典型用法

帶外身份驗證要求使用者有權存取主要和輔助通訊通道。

典型用法的可用性注意事項：

• 通知用戶已收到鎖定設備上的機密。但是，如果帶外設備被鎖定，則需要對設備進行身份驗證才能存取機密。
• 根據實現情況，考慮外形因素限制，因為當使用者必須在行動裝置上輸入文字時，這些限制尤其成問題。提供更大的觸控區域將提高在行動裝置上輸入機密的可用性。
• 更好的可用性選項是提供不需要在行動裝置上輸入文字的功能（例如，在螢幕上單擊一下，或複製功能，以便用戶可以複製和貼上帶外機密）。當主要通道和次要通道位於同一裝置上時，為使用者提供此類功能特別有用。例如，用戶很難在智慧型手機上傳輸身份驗證秘密，因為他們必須在帶外應用程式和主通道之間來回切換（可能多次）。

10.2.4 單因子 OTP 裝置#

典型用法

使用者存取單一因素 OTP 設備產生的 OTP。驗證器輸出通常顯示在裝置上，並且使用者將其輸入以供驗證器使用。

典型用途的可用性考量包括：

• 身份驗證器輸出允許更改之間至少一分鐘，但理想情況下允許使用者完整的兩分鐘，如第 5.1.4.1 節所指定。使用者需要足夠的時間來輸入驗證器輸出（包括在單因素 OTP 設備和輸入螢幕之間來回查看）。
• 根據實施情況，以下是實施者需要考慮的其他可用性注意事項：
  ○ 如果單因素OTP設備透過電子介面（例如USB）提供其輸出，則這是優選的，因為使用者不必手動輸入驗證器輸出。然而，如果需要實體輸入（例如，按下按鈕）來操作，則USB連接埠的位置可能會造成可用性困難。例如，某些電腦的 USB 連接埠位於電腦背面，使用者很難觸及。
  ○ USB 連接埠等直接電腦介面的可用性有限可能會造成可用性困難。例如，筆記型電腦上的 USB 連接埠數量通常非常有限。這可能會迫使使用者拔掉其他 USB 週邊設備才能使用單因子 OTP 裝置。

10.2.5 多重 OTP 設備#

典型用法

使用者透過第二個身份驗證因素存取多因素OTP設備產生的OTP。 OTP 通常顯示在裝置上，使用者手動輸入以供驗證者使用。第二認證因素可以透過某種用於輸入所儲存的秘密的整合輸入板、整合生物辨識（例如指紋）讀取器或直接電腦介面（例如USB連接埠）來實現。附加因素的可用性考量也適用 — 請參閱第 10.2.1 節以瞭解記憶的秘密，並參閱第 10.4 節以瞭解多因素身份驗證器中使用的生物辨識技術。

典型用途的可用性考量包括：

• 手動輸入驗證器輸出期間的使用者體驗。
  ○ 對於基於時間的 OTP，除了顯示 OTP 的時間外，還需提供寬限期。使用者需要足夠的時間來輸入驗證器輸出，包括在多因素 OTP 設備和輸入螢幕之間來回查看。
  ○ 如果使用者必須透過整合輸入板解鎖多因素 OTP 裝置或在行動裝置上輸入身份驗證器輸出，請考慮外形限制。與在傳統鍵盤上打字相比，在小型裝置上打字明顯更容易出錯且耗時。整合輸入板和螢幕鍵盤越小，打字就越困難。提供更大的觸控區域可提高解鎖多因素 OTP 裝置或在行動裝置上輸入驗證器輸出的可用性。
  ○ USB 連接埠等直接電腦介面的可用性有限可能會造成可用性困難。例如，筆記型電腦的 USB 連接埠數量通常有限，這可能迫使使用者拔掉其他 USB 週邊裝置才能使用多因素 OTP 裝置。

10.2.6 單因素加密軟體#

典型用法

使用者透過證明擁有和控制加密軟體金鑰來進行身份驗證。

典型用途的可用性考量包括：

• 為加密金鑰提供對使用者有意義的適當描述性名稱，因為使用者必須識別並回憶哪個加密金鑰用於哪個身份驗證任務。這可以防止使用者必須處理多個名稱相似且名稱不明確的加密金鑰。如果由於螢幕尺寸減小而縮短了加密金鑰的名稱，則在較小的行動裝置上從多個加密金鑰中進行選擇可能會特別成問題。

10.2.7 單因素加密設備#

典型用法

用戶透過證明擁有單因素加密設備來進行身份驗證。

典型用途的可用性考量包括：

• 需要實體輸入（例如，按下按鈕）來操作單因素加密設備可能會造成可用性困難。例如，某些 USB 連接埠位於電腦背面，導致使用者難以觸及。
• USB 連接埠等直接電腦介面的可用性有限可能會造成可用性困難。例如，筆記型電腦的 USB 連接埠數量通常有限，這可能迫使使用者拔掉其他 USB 週邊裝置才能使用單因素加密裝置。

10.2.8 多重加密軟體#

典型用法

為了進行身份驗證，用戶需要證明對儲存在磁碟或其他需要啟動的「軟」媒體上的加密金鑰的擁有和控制。活化是透過輸入第二個身份驗證因素（記憶的秘密或生物特徵）來進行的。附加因素的可用性考量也適用 — 請參閱第 10.2.1 節以瞭解記憶的秘密，並參閱第 10.4 節以瞭解多因素身份驗證器中使用的生物辨識技術。

典型用途的可用性考量包括：

• 為加密金鑰提供對使用者有意義的適當描述性名稱，因為使用者必須識別並回憶哪個加密金鑰用於哪個身份驗證任務。這可以防止使用者必須處理多個名稱相似且名稱不明確的加密金鑰。如果由於螢幕尺寸減小而縮短了加密金鑰的名稱，則在較小的行動裝置上從多個加密金鑰中進行選擇可能會特別成問題。

10.2.9 多重加密設備#

典型用法

使用者透過證明擁有多因素加密設備和控制受保護的加密金鑰來進行身份驗證。該設備由第二個身份驗證因素（記憶的秘密或生物特徵）啟動。附加因素的可用性考量也適用 — 請參閱第 10.2.1 節以瞭解記憶的秘密，並參閱第 10.4 節以瞭解多因素身份驗證器中使用的生物辨識技術。

典型用途的可用性考量包括：

• 不要求用戶在身份驗證後保持多因素加密設備的連線。使用者在使用完多因素加密裝置後可能會忘記斷開多因素加密裝置的連線（例如，忘記將智慧卡放在智慧卡讀卡機中並離開電腦）。
  ○ 需要告知使用者是否需要多因素加密設備保持連線。
• 為加密金鑰提供對使用者有意義的適當描述性名稱，因為使用者必須識別並回憶哪個加密金鑰用於哪個身份驗證任務。這可以防止用戶面臨多個相似且命名不明確的加密金鑰。如果由於螢幕尺寸減小而縮短了加密金鑰的名稱，則在較小的行動裝置（例如智慧型手機）上從多個加密金鑰中進行選擇可能會特別成問題。
• USB 連接埠等直接電腦介面的可用性有限可能會造成可用性困難。例如，筆記型電腦通常具有有限數量的USB連接埠，這可能迫使用戶拔掉其他USB週邊設備才能使用多因素加密設備。

10.3 可用性注意事項總結#

表 10–1總結了每種身份驗證器類型的典型使用和間歇事件的可用性注意事項。典型用法的許多可用性注意事項適用於大多數身份驗證器類型，如行中所示。此表突顯了各種身份驗證器類型的共同和不同的可用性特徵。每列都允許讀者輕鬆識別每個驗證器要處理的可用性屬性。根據使用者的目標和使用環境，某些屬性可能比其他屬性更有價值。只要有可能，提供替代的身份驗證器類型並允許使用者在它們之間進行選擇。

多因素認證器（例如，多因素OTP設備、多因素加密軟體和多因素加密設備）也繼承了其次要因素的可用性考量。由於生物辨識技術僅被允許作為多因素身份驗證解決方案中的活化因素，因此生物辨識技術的可用性注意事項未包含在表 10–1 中，而是在第 10.4 節中討論。

表 10–1 依身份驗證器類型劃分的可用性注意事項摘要

10.4 生物辨識可用性注意事項#

本節對生物辨識技術的一般可用性注意事項進行了進階概述。有關生物識別可用性的更詳細討論，請參閱可用性與生物識別，確保成功的生物識別系統 NIST 可用性。

儘管還有其他生物辨識方式，但以下三種生物辨識方式更常用於身份驗證：指紋、臉部和虹膜。

典型用法

• 對於所有模式，使用者對設備的熟悉和練習可以提高效能。
• 設備可供性（即，允許使用者執行操作的設備屬性）、回饋和清晰的指令對於使用者成功使用生物辨識設備至關重要。例如，提供有關活體檢測所需操作的明確說明。
• 理想情況下，使用者可以選擇他們最習慣的方式作為第二個身份驗證因素。使用者群體可能比其他生物辨識方式更適應、熟悉並接受某些生物辨識方式。
• 以生物辨識技術作為活化因素的使用者體驗。
  ○ 就剩餘允許嘗試次數提供清晰、有意義的回饋。例如，對於速率限制（即節流），通知使用者必須等待下一次嘗試的時間段，以減少使用者的困惑和沮喪。
• 指紋可用性注意事項：
  ○ 使用者必須記住他們用於初始註冊的手指。
  ○ 手指上的水分含量會影響感測器成功捕獲的能力。
  ○ 影響指紋採集品質的其他因素包括年齡、性別和職業（例如，處理化學物質或用手大量工作的使用者可能會導致摩擦脊線退化）。
• 臉部可用性考量：
  ○ 使用者必須記住他們在註冊期間是否佩戴任何人工製品（例如眼鏡），因為這會影響臉部辨識的準確性。
  ○ 環境照明條件的差異會影響臉部辨識的準確性。
  ○ 臉部表情影響臉部辨識的準確性（例如，微笑與中性表情）。
  ○ 臉部姿勢會影響臉部辨識的準確性（例如，低頭或遠離相機）。
• 虹膜可用性注意事項：
  ○ 配戴彩色隱形眼鏡可能會影響虹膜辨識的準確性。
  ○ 做過眼科手術的使用者可能需要在手術後重新註冊。
  ○ 環境照明條件的差異會影響虹膜辨識的準確性，特別是對於某些虹膜顏色。

間歇性事件

由於生物辨識技術僅被允許作為多因素身份驗證的第二因素，因此對於具有主要因素的間歇性事件的可用性注意事項仍然適用。使用生物辨識技術的間歇性事件包括但不限於以下可能影響辨識準確性的事件：

• 如果使用者登記的手指受傷，指紋辨識可能無法運作。對於指紋退化的使用者來說，指紋認證將會很困難。
• 由於使用者的臉部會隨著時間的推移而自然變化，因此用於身份驗證的臉部辨識時間與初始註冊時間之間經過的時間會影響辨識準確性。使用者的體重變化也可能是因素。
• 虹膜識別可能不適用於做過眼科手術的人，除非他們重新註冊。

在所有生物辨識模式中，間歇性事件的可用性考量包括：

• 替代身份驗證方法必須可用且有效。在生物辨識技術不起作用的情況下，允許使用者使用記住的秘密作為替代的第二個因素。
• 技術援助規定：
  ○ 清楚傳達有關如何以及在何處獲取技術援助的訊息。例如，向用戶提供線上自助服務功能的連結和幫助台支援的電話號碼等資訊。理想情況下，提供足夠的訊息，使用戶能夠在沒有外部幹預的情況下自行從間歇性事件中恢復。
  ○ 告知使用者可能影響生物辨識感測器靈敏度的因素（例如感測器的清潔度）。