GB/T 33565-2024 网络安全技术 无线局域网接入系统安全技术要求

　　ICS 35. 030 CCS L 80

　　中 华 人 民 共 和 国 国 家 标 准

　　GB/T 33565—2024代替 GB/T33565—2017

　　网络安全技术 无线局域网接入系统

　　安全技术要求

　　Cybersecuritytechnology—Securitytechnology requirementsfor

　　wirelesslocalarea network accesssystem

　　2024-04-25发布 2024-11-01实施

　　国家市场监督管理总局国家标准化管理委员会

　　

　　发

　　

　　布

　　GB/T 33565—2024

　　目 次

　　前言 Ⅴ

　　1 范围 1

　　2 规范性引用文件 1

　　3 术语和定义 1

　　4 缩略语 2

　　5 无线局域网接入系统 2

　　5. 1 概述 2

　　5. 2 TOE边界 3

　　6 安全问题 3

　　6. 1 威胁 3

　　6. 1. 1 未授权管理(T. UNAUTHORIZED_MANAGEMENT) 3

　　6. 1. 2 未授权访问(T. UNAUTHORIZED_ACCESS) 3

　　6. 1. 3 加密破解(T. CRYPTOGRAPHY_COMPROMISE) 4

　　6. 1. 4 管理口令破解(T. ADMINISTRATOR_PASSWORD_CRACKING) 4

　　6. 1. 5 弱终端认证(T. WEAK_AUTHENTICATION_ENDPOINTS) 4

　　6. 1. 6 安全凭证受损(T. SECURITY_CREDENTIAL_COMPROMISE) 4

　　6. 1. 7 更新受损(T. UPDATE_COMPROMISE) 4

　　6. 1. 8 网络暴露(T. NETWORK_DISCLOSURE) 4

　　6. 1. 9 安全功能失效(T. SECURITY_FUNCTIONALITY_FAILURE) 4

　　6. 1. 10 不可信信道(T. UNTRUSTED_COMMUNICATION_CHANNELS) 4

　　6. 1. 11 重放攻击(T. REPLAY_ATTACK) 4

　　6. 1. 12 未知活动(T. UNDETECTED_ACTIVITY) 4

　　6. 1. 13 残留信息利用(T. RESIDUAL_DATA_EXPLOIT) 5

　　6. 1. 14 资源消耗(T. RESOURCE_EXHAUSTION) 5

　　6. 1. 15 网络劫持(T. HIJACK_ATTACK) 5

　　6. 2 组织安全策略 5

　　6. 2. 1 接入告知(P. ACCESS_BANNER) 5

　　6. 2. 2 密码管理(P. CRYPTOGRAPHY_MANAGEMENT) 5

　　6. 2. 3 认证应用(P. AUTHENTICATION_USAGE) 5

　　6. 3 假设 5

　　6. 3. 1 物理保护(A. PHYSICAL_PROTECTION) 5

　　6. 3. 2 有限功能(A. LIMITED_FUNCTIONALITY) 5

　　6. 3. 3 连接(A. CONNECTION) 5

　　Ⅰ

　　GB/T 33565—2024

　　6. 3. 4 可信管理员(A. TRUSTED_ADMINISTRATOR) 5

　　6. 3. 5 定期更新(A. REGULAR_UPDATES) 5

　　6. 3. 6 管理员凭证安全(A. ADMINISTRATOR_CREDENTIALS_SECURE) 6

　　6. 3. 7 组件正常运行(A. COMPONENTS_RUNNING) 6

　　6. 3. 8 无遗留信息(A. NO_REMAINING_INFORMATION) 6

　　7 安全目的 6

　　7. 1 TOE安全目的 6

　　7. 1. 1 加密功能(O. CRYPTOGRAPHIC_FUNCTIONS) 6

　　7. 1. 2 身份验证(O. AUTHENTICATION) 6

　　7. 1. 3 自检(O. SELF_TEST) 6

　　7. 1. 4 系统监测(O. SYSTEM_MONITORING) 6

　　7. 1. 5 TOE管理员(O. TOE_ADMINISTRATOR) 6

　　7. 1. 6 可信信道(O. TRUSTED_CHANNEL) 6

　　7. 1. 7 资源管理(O. RESOURCE_MANAGEMENT) 6

　　7. 1. 8 残留信息清除(OE. RESIDUAL_INFORMATION_ERASE) 7

　　7. 1. 9 可信更新(O. TRUSTED_UPDATE) 7

　　7. 1. 10 分布式管理(O. DISTRIBUTED_MANAGEMENT) 7

　　7. 1. 11 访问控制(O. ACCESS_CONTROL) 7

　　7. 2 环境安全目的 7

　　7. 2. 1 物理(OE. PHYSICAL) 7

　　7. 2. 2 非通用功能(OE. NO_GENERAL_PURPOSE) 7

　　7. 2. 3 管理员可信(OE. ADMINISTRATOR_TRUSTED) 7

　　7. 2. 4 更新机制(OE. UPDATE_MECHANISM) 7

　　7. 2. 5 管理员凭证安全(OE. ADMINISTRATOR_CREDENTIALS_SECURE) 7

　　7. 2. 6 组件可用性(OE. COMPONENTS_SERVICEABILITY) 7

　　7. 2. 7 遗留信息清除(OE. REMAINING_INFORMATION_ERASE) 8

　　7. 2. 8 连接(OE. CONNECTIONS) 8

　　7. 2. 9 可信时间(OE. TIME) 8

　　8 安全要求 8

　　8. 1 安全功能要求 8

　　8. 1. 1 安全功能要求分级 8

　　8. 1. 2 安全审计(FAU) 11

　　8. 1. 3 密码支持(FCS) 13

　　8. 1. 4 用户数据保护(FDP) 15

　　8. 1. 5 标识和鉴别(FIA) 16

　　8. 1. 6 安全管理(FMT) 18

　　8. 1. 7 TSF保护(FPT) 20

　　Ⅱ

　　GB/T 33565—2024

　　8. 1. 8 TOE访问(FTA) 22

　　8. 1. 9 可信路径/信道(FTP) 23

　　8. 1. 10 资源利用(FRU)和通信(FCO) 25

　　8. 2 安全保障要求 25

　　9 基本原理 25

　　9. 1 安全目的基本原理 25

　　9. 2 安全要求基本原理 26

　　9. 3 组件依赖关系基本原理 29

　　附录 A (规范性) 分布式无线局域网接入系统组件安全功能要求分配关系 33

　　附录 B (规范性) 无线局域网接入系统安全功能要求对应的可审计事件 36

　　参考文献 38

　　Ⅲ

　　GB/T 33565—2024

　　前 言

　　本文件按照 GB/T 1. 1—2020《标准化工作导则 第 1部分 :标准化文件的结构和起草规则》的规定起草 。

　　本文件代替 GB/T 33565—2017《信息安全技术 无线局域网接入系统安全技术要求(评估保障级2 级增强)》,与 GB/T 33565—2017相比 ,除结构调整和编辑性改动外 ,主要技术变化如下 :

　　a) 更改了 TOE范围(见第 5 章 ,2017年版的第 6章) ;

　　b) 更改了无线局域网接入系统面临的威胁 ,包括 15类威胁 、3 项组织安全策略和 8个假设(见第6章 ,2017年版的第 7章) ;

　　c) 更改了“TOE安全目的 ”和 “环境安全目的 ”,包括 11项 TOE 的安全目的 , 9 项环境安全目的(见第 7章 ,2017年版的第 8章) ;

　　d) 更改了无线局域网接入系统安全功能要求 ,包括 10类 81项安全功能要求(见 8. 1, 2017年版的第 9章 、第 10章) ;

　　e) 根据无线局域网接入系统技术发展 ,更改了最新安全保障要求(见 8. 2,2017年版的 9. 2) ;

　　f) 增加了 “基本原理 ”,包括安全问题与安全目的 、安全目的与安全要求间的对应关系和组件间的依赖关系(见第 9章) 。

　　请注意本文件的某些内容可能涉及专利 。本文件的发布机构不承担识别专利的责任 。

　　本文件由全国网络安全标准化技术委员会(SAC/TC260)提出并归 口 。

　　本文件起草单位 : 中国信息安全测评中心 , 中国科学院信息工程研究所 、中车工业研究院有限公司 、北京交通大学 、华为技术有限公司 、西安西电捷通无线网络通信股份有限公司 、公安部第一研究所 、中国电子技术标准化研究院 、北京天融信网络安全技术有限公司 、深信服科技股份有限公司 、郑州信大捷安信息技术股份有限公司 、长扬科技(北京)股份有限公司 、深圳市信锐网科技术有限公司 、北京路云天网络安全技术研究院有限公司 、西安交大捷普网络科技有限公司 、中孚信息股份有限公司 、国网区块链科技(北京)有限公司 、中国网络安全审查技术与认证中心 、新华三技术有限公司 、中国电力科学研究院有限公司 。

　　本文件主要起草人 :吴润浦 、李美聪 、龙刚 、郭涛 、陈冬青 、邵帅 、樊玉明 、刘琦 、刘吉强 、王伟 、田寅 、王剑 、王俊勇 、季晨荷 、张变玲 、朱振荣 、张东举 、寇增杰 、安高峰 、鲍旭华 、叶润国 、马红丽 、韩秀德 、赵华 、赖国强 、何建锋 、范伟 、弥宝 鑫 、朱 大 立 、张 亮 、韩 继 登 、高 金 萍 、孙 鹏 科 、侯 梦 云 、杨 珂 、申 永 波 、万 晓 兰 、王海翔 。

　　本文件及其所代替文件的历次版本发布情况为 :

　　— 2017年首次发布为 GB/T 33565—2017;

　　— 本次为第一次修订 。

　　Ⅴ

　　GB/T 33565—2024

　　网络安全技术 无线局域网接入系统

　　安全技术要求

　　1 范围

　　本文件规定了无线局域网接入系统的安全功能要求和安全保障要求 , 给出了无线局域网接入系统面临安全问题的说明 。

　　本文件适用于无线局域网接入系统的测试 、评估和采购 , 以及指导该类产品的研制和开发 。

　　2 规范性引用文件

　　下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款 。其中 , 注 日期的引用文件 ,仅该日期对应的版本适用于本文件 ;不注日期的引用文件 ,其最新版本(包括所有的修改单) 适用于本文件 。

　　GB 15629. 11 信息技术 系统间远程通信和信息交换 局域网和城域网 特定要求 第 11部分 :无线局域网媒体访问控制和物理层规范

　　GB/T

　　18336. 1—2024

　　网络安全技术

　　信息技术安全性评估准则

　　第 1部分 :简介和一般模型

　　GB/T

　　18336. 2—2024

　　网络安全技术

　　信息技术安全性评估准则

　　第 2部分 :安全功能要求

　　GB/T

　　18336. 3—2024

　　网络安全技术

　　信息技术安全性评估准则

　　第 3部分 :安全保障要求

　　GB/T

　　25069—2022

　　信息安全技术

　　术语

　　GB/T

　　32213—2015

　　信息安全技术

　　公钥基础设施 远程口令鉴别与密钥建立规范

　　GB/T

　　32915—2016

　　信息安全技术

　　二元序列随机性检测方法

　　GB/T 32918. 3—2016 信息安全技术 SM2椭圆曲线公钥密码算法 第 3部分 :密钥交换协议GB/T 35276—2017 信息安全技术 SM2密码算法使用规范

　　GB/T 39786—2021 信息安全技术 信息系统密码应用基本要求

　　3 术语和定义

　　GB/T 25069—2022和 GB/T 18336. 1—2024界定的以及下列术语和定义适用于本文件 。 3. 1

　　无线局域网接入系统 wirelesslocalarea network accesssystem;WLAN accesssystem

　　能实现无线局域网客户端接入无线局域网络的 , 由软件和硬件构成的设备或者系统 。 3.2

　　接入控制器 accesscontroller

　　实现无线局域网客户端接入无线局域网络的控制设备 。

　　3.3

　　访问点 accesspoint

　　一种提供无线局域网客户端与有线网络之间的访问 ,在无线网络和有线网络之间转发帧的网络接

　　1

　　GB/T 33565—2024

　　口设备 。

　　4 缩略语

　　下列缩略语适用于本文件 。

　　AC:接入控制器(Access Controller)

　　AP:访问点(Access Point)

　　EAL:评估保障级(Evaluation Assurance Level)

　　PP:保护轮廓(Protection Profile)

　　SFP:安全功能策略(Security Function Policy)

　　SFR:安全功能要求(Security FunctionalRequirement)

　　TOE:评估对象(TargetofEvaluation)

　　TSF:评估对象安全功能(TOE Security Functions)

　　TSP:评估对象安全策略(TOE Security Policy)

　　WAPI:无线局域网鉴别与保密基础结构(WLAN Authentication and Privacy Infrastructure)

　　WAS:无线局域网接入系统(WLAN Access System)

　　WLAN:无线局域网(Wireless LocalArea Network)

　　5 无线局域网接入系统

　　5. 1 概述

　　无线局域网接入系统是一种基于 IEEE 802. 11和 GB 15629. 11系列标准中协议族构建的由软件和硬件构成的设备或者系统 ,通常由一个接入控制器 AC和一个或多个访问点 AP构成 ,位于被接入网络边缘 ,服务于无线局域网客户端与被接入网络间的安全通信 。无线局域网接入系统支持管理 、认证 、加密以及保护和处理通信数据等安全功能 , 在无线局域网客户端和被接入网络之间提供安全通信 ,保护“空中 ”传输数据的完整性和机密性 。

　　一个典型的无线局域网接入系统的运行环境如图 1所示 。

　　2

　　GB/T 33565—2024

　　图 1 典型无线局域网接入系统运行环境

　　WAS安全技术要求分为 3个等级 。

　　—EAL2+ : 同时符合 EAL2+级安全功能要求和 EAL2级安全保障要求 ,主要应用于家庭 、个人用户和有限商业 。

　　—EAL3: 同时符合 EAL3级安全功能要求和 EAL3级安全保障要求 , 主要应用于组织 、个人用户和一般商业 。

　　—EAL4: 同时符合 EAL4级安全功能要求和 EAL4级安全保障要求 , 主要应用于专有的高安全等级领域 。

　　5.2 TOE边界

　　本文件适用于遵循 IEEE 802. 11系列标准中协议的一个或多个 AP、AC及其中运行的管理应用程序 。在物理组件层面它们或分布存在 ,或集成为单一设备 。

　　本文件的 TOE仅含远程管理路径保护 ,本地和远程登录认证 , 安全相关事件审计 , 加密验证更新来源以及防护常见的网络攻击等基础安全功能 。其他安全功能不在本文件的评估范围内 。

　　6 安全问题

　　6. 1 威胁

　　6. 1. 1 未授权管理(T.UNAUTHORIZED_MANAGEMENT)

　　威胁主体通过假冒管理员 、重放管理会话或中间人攻击等手段获取管理权限 ,或者通过提供错误的管理信息 ,实现对管理会话或不同设备之间会话的访问干预 。威胁主体在获取管理员权限后会危害设备及所在网络的安全功能 ,例如损害 TOE安全特性更新 、修改设备安全配置 、修改权限信息等 。

　　6. 1.2 未授权访问(T.UNAUTHORIZED_ACCESS)

　　威胁主体试图访问位于受保护网络上的服务 ,这些服务仅能从受保护网络内部访问 ,或者只能通过受保护网络认证过的途径访问 。

　　3

　　GB/T 33565—2024

　　6. 1.3 加密破解(T.CRYPTOGRAPHY_COMPROMISE)

　　威胁主体尝试破解弱的加密算法或者穷举密钥空间 。加密算法 、模式和密钥长度的不当选择 ,使得威胁主体能以最小代价破解加密算法或暴力耗尽密钥空间 ,实现未授权访问 ,从而危害网络设备及信息安全 。

　　6. 1.4 管理口令破解(T.ADMINISTRATOR_PASSWORD_CRACKING)

　　威胁主体破解管理员弱口令获得系统超级权限 ,从而不受约束地访问网络 ,获取数据 ,在网络中伪装成可信主体 ,损害网络信息安全 。

　　6. 1.5 弱终端认证(T.WEAK_AUTHENTICATION_ENDPOINTS)

　　威胁主体利用弱终端认证方法 ,例如弱口令等 ,伪装成管理员或其他设备实施中间人攻击 ,导致关键网络流量暴露 ,破坏数据传输的机密性和完整性 ,甚至破坏 TOE安全 。

　　6. 1.6 安全凭证受损(T.SECURITY_CREDENTIAL_COMPROMISE)

　　威胁主体通过篡改证书等方法持续访问 TOE及关键数据 。 例如将原证书替换为非法证书 ,修改已有证书或者直接盗用管理员或设备的证书 。

　　6. 1.7 更新受损(T.UPDATE_COMPROMISE)

　　威胁主体通过篡改软件或固件的更新 ,来破坏 TOE 的安全功能 , 而未经验证或使用不安全方法验证的升级包 ,易被篡改 。

　　6. 1. 8 网络暴露(T.NETWORK_DISCLOSURE)

　　威胁主体对受保护网络上的设备进行未经授权的活动 。如果恶意的外部设备能与受保护网络上的设备通信 ,或者受保护网络上的设备能与这些外部设备建立通信 ,则这些内部设备极易遭受未授权的信息暴露 。

　　6. 1.9 安全功能失效(T.SECURITY_FUNCTIONALITY_FAILURE)

　　威胁主体利用安全功能失效 ,在未认证的情况下使用或滥用安全功能 , 以访问和修改设备数据 、关键网络流量或者安全功能配置 。TOE 的安全机制通常是从受信任的初始机制构建出来的复杂机制集合 ,初始机制的失效影响复杂机制的运行 ,从而导致安全功能失效 。

　　6. 1. 10 不可信信道(T.UNTRUSTED_COMMUNICATION_CHANNELS)

　　威胁主体窃听 、入侵没有使用标准化的安全传输通道协议来保护关键网络信息传输的网络主体 ,实施如中间人攻击 、重放攻击等 ,获得无线局域网接入系统与其他设备交互的数据 ,进而破坏数据传输的机密性和完整性 ,甚至破坏 TOE安全 。

　　6. 1. 11 重放攻击(T.REPLAY_ATTACK)

　　威胁主体通过截获有效通信数据包后重新发送 , 以混淆正常通信或者攻击 TOE,影响其安全工作 。

　　6. 1. 12 未知活动(T.UNDETECTED_ACTIVITY)

　　威胁主体在不 被 觉 察 的 情 况 下 试 图 访 问 、修 改 TOE 的 安 全 功 能 (例 如 利 用 错 误 配 置 、产 品 缺陷) ,这将导致管理员无法发现设备已受损 。威胁主体采取未知的攻击行为攻击 TOE及所在网络 ,对

　　4

　　GB/T 33565—2024

　　网络的机密性 、完整性 、可用性造成损害 。

　　6. 1. 13 残留信息利用(T.RESIDUAL_DATA_EXPLOIT)

　　威胁主体利用残留信息的处理缺陷 ,在执行过程中对未删除的残留信息进行利用 , 以获取敏感信息或滥用安全功能 ,危害 TOE安全 。

　　6. 1. 14 资源消耗(T.RESOURCE_EXHAUSTION)

　　威胁主体通过大量消耗 TOE关键资源使得系统崩溃或超时拒绝服务 。

　　6. 1. 15 网络劫持(T.HIJACK_ATTACK)

　　威胁主体通过压制合法网络信号并伪装成原接入系统 , 与待接入设备进行交互 ,从而获取 TSF数据或用户数据 ,威胁 TOE安全 。

　　6.2 组织安全策略

　　6.2. 1 接入告知(P.ACCESS_BANNER)

　　TOE显示一个描述使用限制 、法律协议或其他需要用户同意的初始告知 。

　　6.2.2 密码管理(P.CRYPTOGRAPHY_MANAGEMENT)

　　密码的使用是按照相关国家标准进行的 。

　　6.2.3 认证应用(P.AUTHENTICATION_USAGE)

　　管理员为无线局域网接入系统选择符合应用需求的认证方式 。

　　6.3 假设

　　6.3. 1 物理保护(A.PHYSICAL_PROTECTION)

　　假定 TOE在其运行环境中受到物理保护 ,不会受到危及设备安全 、干扰设备物理互连和影响正确操作的物理攻击 。假定这种保护足以保护设备及其包含的数据 。 因此 ,本文件不包括任何关于物理篡改保护或其他缓解物理攻击的要求 。

　　6.3.2 有限功能(A.LIMITED_FUNCTIONALITY)

　　假定 TOE 以提供无线网络接入功能为核心 ,不提供通用计算功能或服务 。

　　6.3.3 连接(A.CONNECTION)

　　假定运行环境涉及范围中 ,TOE连接于一个确定的网络 ,其用户与被接入网络之间的信息传递保证经过 TOE,并保证安全策略能强制执行 。

　　6.3.4 可信管理员(A.TRUSTED_ADMINISTRATOR)

　　假定管理员可信 ,能确保密码或凭据具有足够的强度和复杂度 ,且管理设备时没有恶意 。 不要求TOE能防御恶意管理员的破坏 。

　　对于支持 X. 509v3证书验证的 TOE,管理员需要保证加载的 TOE根证书库可信 。

　　6.3.5 定期更新(A.REGULAR_UPDATES)

　　假定管理员会定期且及时进行固件或软件的更新 , 以响应产品升级或漏洞修补 。

　　5

　　GB/T 33565—2024

　　6.3.6 管理员凭证安全(A.ADMINISTRATOR_CREDENTIALS_SECURE)

　　假定用于访问 TOE 的管理员凭据(私钥)受其所在平台的保护 。

　　6.3.7 组件正常运行(A.COMPONENTS_RUNNING)

　　假定 TOE 的各组件都在正常工作 ,没有单个组件功能失效 。

　　6.3. 8 无遗留信息(A.NO_REMAINING_INFORMATION)

　　假定管理员能确保移出运行环境的 TOE设备上 ,遗留的敏感信息(例如加密密钥、pin码 、密码等)不会被未授权的实体访问或获取 。

　　7 安全目的

　　7. 1 TOE 安全目的

　　7. 1. 1 加密功能(O.CRYPTOGRAPHIC_FUNCTIONS)

　　无线局域网接入系统应使用符合国家标准管理机构和国家密码管理机构要求的加解密机制 ,保证无线局域网接入系统能对其保护的数据采取加密措施 , 以保持其机密性 、完整性 。

　　7. 1.2 身份验证(O.AUTHENTICATION)

　　无线局域网接入系统应使用符合标准管理机构要求的身份验证机制 , 以确保用户正在与授权的外部 IT实体通信 。

　　7. 1.3 自检(O.SELF_TEST)

　　无线局域网接入系统应提供测试其安全功能的相关机制 ,在初次启动以及系统运行过程中执行自检 , 以确保其安全功能的完整性 ,并将自检结果通知管理员 。若启动时自检失败 ,则无线局域网接入系统应进入安全状态 ,确保不遵守 TOE安全策略的数据无法传递 。

　　7. 1.4 系统监测(O.SYSTEM_MONITORING)

　　无线局域网接入系统应提供监测 WLAN 功能和安全相关事件的能力 ,并能对记录的事件进行保护 ,对监测结果进行安全性分析 ,将分析结果展示或发送至有授权的相关管理实体 。

　　7. 1.5 TOE管理员(O.TOE_ADMINISTRATOR)

　　无线局域网接入系统应提供管理员用于管理系统安全所必需的功能 ,包括对管理员的管理权限进行分级与限制的功能 、管理会话锁定功能 、处理远程管理员身份验证失败尝试等功能 。

　　7. 1.6 可信信道(O.TRUSTED_CHANNEL)

　　无线局域网接入系统应提供通信信道管理 、选择和发现信道异常的能力 ,能识别伪装的接入系统与伪装的授权用户 ,并提供受保护的安全数据传输通道 ,供管理员或授权用户使用 ,确保用户没有与伪装的接入系统或授权用户通信 。

　　7. 1.7 资源管理(O.RESOURCE_MANAGEMENT)

　　无线局域网接入系统应提供系统资源管理功能 ,减少可能耗尽系统资源的风险 , 防止恶意用户或恶

　　6

　　GB/T 33565—2024

　　意程序大量消耗系统资源 。

　　7. 1. 8 残留信息清除(OE.RESIDUAL_INFORMATION_ERASE)

　　无线局域网接入系统应保证重要敏感数据在使用完成后会被删除或被安全处理 ,保证受保护资源被重新分配时不会留下可被攻击者利用的残留数据信息 。

　　7. 1.9 可信更新(O.TRUSTED_UPDATE)

　　无线局域网接入系统应提供测试其升级的相关机制 ,确保升级所用的固件 、软件来源可信 , 内容未被篡改 。

　　7. 1. 10 分布式管理(O.DISTRIBUTED_MANAGEMENT)

　　无线局域网接入系统应提供分布式管理相关机制 ,对于分布式系统提供组件注册 、组件间安全通信 、统筹系统级审计相关功能 。

　　7. 1. 11 访问控制(O.ACCESS_CONTROL)

　　无线局域网接入系统应提供访问控制机制 , 区分访问实体的权限 ,并可限制实体到无线网络或无线局域网接入系统的连接 , 防止无线局域网接入系统所在的网络 、无线局域网接入系统的管理后台 、重要数据 、进程及资源等在未授权情况下被访问 、修改或删除 。

　　7.2 环境安全目的

　　7.2. 1 物理(OE.PHYSICAL)

　　无线局域网接入系统运行环境可提供其运行所需的物理安全保护 。

　　7.2.2 非通用功能(OE.NO_GENERAL_PURPOSE)

　　除了无线局域网接入系统的操作 、管理和支持所必需的服务外 ,无线局域网接入系统上不提供通用计算功能或服务(例如 ,编译器或用户应用程序) 。

　　7.2.3 管理员可信(OE.ADMINISTRATOR_TRUSTED)

　　管理员是可信的 ,经过充分的培训 ,并以一种受信任的方式遵循和应用所有指导文档 。对于支持X. 509v3证书验证的 TOE,管理员需要保证加载的 TOE根证书库可信 。

　　7.2.4 更新机制(OE.UPDATE_MECHANISM)

　　无线局域网接入系统的固件或软件会由管理员及时依据产品发布更新进行升级 。

　　7.2.5 管理员凭证安全(OE.ADMINISTRATOR_CREDENTIALS_SECURE)

　　用于访问 TOE 的管理员凭据(如私钥)应在其驻留的任何其他平台上受到合理保护 。

　　7.2.6 组件可用性(OE.COMPONENTS_SERVICEABILITY)

　　对于分布式无线局域网接入系统 ,管理员应定期检查分布式各组件的可用性 , 以降低因未检测引发的部分组件失效或受攻击的风险 。管理员还应定期检查分布式各组件的审计功能模块 , 以确保各组件审计功能的正常运行 。

　　7

　　GB/T 33565—2024

　　7.2.7 遗留信息清除(OE.REMAINING_INFORMATION_ERASE)

　　管理员应确保当无线局域网接入系统被丢弃或移除时 , 物理设备上的敏感遗留信息(例如加密密钥 、pin码 、密码等)不会受到未经授权的访问或获取 。

　　7.2. 8 连接(OE.CONNECTIONS)

　　管理员应确保无线局域网接入系统采用合适的安装方式 ,能保证对受监控网络的网络流量有效地实施策略 。

　　7.2.9 可信时间(OE.TIME)

　　无线局域网接入系统运行环境应提供设置或获取可信时间的功能 ,保证系统时间是由授权用户设定或者是从可靠的时钟源同步获得的 。

　　8 安全要求

　　8. 1 安全功能要求

　　8. 1. 1 安全功能要求分级

　　无线局域网接入系统的安全功能要求应由 GB/T 18336. 2—2024规定的安全功能组件构成 ,无线局域网接入系统的安全功能要求见表 1,8. 1. 2~ 8. 1. 9对各安全功能组件进行了说明 。若需要评估的无线局域网接入系统为分布式的系统 ,系统整体及组件需要满足的安全功能要求按照附录 A。

　　表 1 安全功能要求分级

　　安全功能类

　　安全功能组件

　　EAL2+

　　EAL3

　　EAL4

　　安全审计(FAU)

　　FAU_GEN. 1

　　√

　　√

　　√

　　FAU_GEN. 2

　　√

　　√

　　√

　　FAU_ARP. 1

　　√

　　√

　　√

　　FAU_SAA. 1

　　/

　　√

　　√

　　FAU_SAA. 2

　　/

　　/

　　√

　　FAU_SAA. 3

　　/

　　/

　　√

　　FAU_SAR. 1

　　√

　　√

　　√

　　FAU_SAR. 2

　　√

　　√

　　√

　　FAU_SAR. 3

　　√

　　√

　　√

　　FAU_SEL. 1

　　√

　　√

　　√

　　FAU_STG. 1

　　√

　　√

　　√

　　FAU_STG. 2

　　/

　　√

　　√

　　FAU_STG. 3

　　√

　　√

　　√

　　FAU_STG. 4

　　√

　　√

　　√

　　FAU_STG. 5

　　√

　　√

　　√

　　FAU_STG_EXT. 1

　　/

　　√

　　√

　　8

　　GB/T 33565—2024

　　表 1 安全功能要求分级 (续)

　　安全功能类

　　安全功能组件

　　EAL2+

　　EAL3

　　EAL4

　　密码支持(FCS)

　　FCS_CKM. 1

　　√

　　√

　　√

　　FCS_CKM. 2

　　√

　　√

　　√

　　FCS_CKM. 3

　　√

　　√

　　√

　　FCS_CKM. 5

　　/

　　√

　　√

　　FCS_CKM. 6

　　√

　　√

　　√

　　FCS_COP. 1

　　√

　　√

　　√

　　FCS_RBG. 1

　　√

　　√

　　√

　　FCS_RNG. 1

　　√

　　√

　　√

　　FCS_TLSS_EXT. 1

　　/

　　√

　　√

　　FCS_TLSS_EXT. 2

　　/

　　/

　　√

　　用户数据保护(FDP)

　　FDP_ACC. 1

　　√

　　√

　　√

　　FDP_ACF. 1

　　√

　　√

　　√

　　FDP_RIP. 1

　　√

　　√

　　√

　　FDP_RIP. 2

　　√

　　√

　　√

　　FDP_SDC. 1

　　√

　　√

　　√

　　FDP_SDI.1

　　√

　　√

　　√

　　标识和鉴别(FIA)

　　FIA_AFL. 1

　　√

　　√

　　√

　　FIA_ATD. 1

　　√

　　√

　　√

　　FIA_UAU. 1

　　√

　　√

　　√

　　FIA_UAU. 3

　　√

　　√

　　√

　　FIA_UAU. 5

　　/

　　/

　　√

　　FIA_UAU. 6

　　√

　　√

　　√

　　FIA_UAU. 7

　　/

　　√

　　√

　　FIA_UAU_EXT. 1

　　/

　　√

　　√

　　FIA_UID. 1

　　√

　　√

　　√

　　FIA_UID. 2

　　√

　　√

　　√

　　FIA_USB. 1

　　√

　　√

　　√

　　FIA_8021X_EXT. 1

　　/

　　/

　　√

　　FIA_PMG_EXT. 1

　　√

　　√

　　√

　　FIA_PSK_EXT. 1

　　/

　　/

　　√

　　安全管理(FMT)

　　FMT_MOF. 1

　　√

　　√

　　√

　　FMT_MSA. 1

　　√

　　√

　　√

　　FMT_MSA. 2

　　√

　　√

　　√

　　FMT_MSA. 3

　　√

　　√

　　√

　　9

　　GB/T 33565—2024

　　表 1 安全功能要求分级 (续)

　　安全功能类

　　安全功能组件

　　EAL2+

　　EAL3

　　EAL4

　　安全管理(FMT)

　　FMT_MTD. 1

　　√

　　√

　　√

　　FMT_MTD. 2

　　√

　　√

　　√

　　FMT_MTD. 3

　　√

　　√

　　√

　　FMT_SMF. 1

　　√

　　√

　　√

　　FMT_SMR. 1

　　√

　　√

　　√

　　FMT_SMR. 2

　　/

　　√

　　√

　　FMT_SMR_EXT. 1

　　√

　　√

　　√

　　TSF保护(FPT)

　　FPT_FLS. 1

　　√

　　√

　　√

　　FPT_ITC. 1

　　/

　　√

　　√

　　FPT_RCV. 4

　　√

　　√

　　√

　　FPT_RPL. 1

　　/

　　/

　　√

　　FPT_STM. 1

　　√

　　√

　　√

　　FPT_TST. 1

　　√

　　√

　　√

　　FPT_ITT. 1

　　/

　　√

　　√

　　FPT_INI.1

　　√

　　√

　　√

　　FPT_SKP_EXT. 1

　　√

　　√

　　√

　　FPT_TUD_EXT. 1

　　√

　　√

　　√

　　FPT_TUD_EXT. 2

　　/

　　√

　　√

　　FTA_SSL. 1

　　√

　　√

　　√

　　FTA_SSL. 3

　　√

　　√

　　√

　　FTA_SSL. 4

　　√

　　√

　　√

　　FTA_TSE. 1

　　√

　　√

　　√

　　FTA_TAB. 1

　　/

　　√

　　√

　　可信路径/信道(FTP)

　　FTP_ITC. 1

　　√

　　√

　　√

　　FTP_ITC. 1/Client

　　√

　　√

　　√

　　FTP_PRO. 1

　　√

　　√

　　√

　　FTP_PRO. 2

　　√

　　√

　　√

　　FTP_PRO. 3

　　√

　　√

　　√

　　FTP_TRP. 1

　　√

　　√

　　√

　　资源利用(FRU)

　　FRU_RSA. 1

　　√

　　√

　　√

　　通信(FCO)

　　FCO_CPC_EXT. 1

　　/

　　√

　　√

　　注 : “√ ”为必备满足的项 ,“/”为可选满足的项 。

　　10

　　GB/T 33565—2024

　　8. 1.2 安全审计(FAU)

　　8. 1.2. 1 审计数据产生(FAU_GEN. 1)

　　FAU_GEN. 1. 1

　　TSF应能为下述可审计事件产生审计记录 :

　　— 审计功能的开启和关闭 ;

　　— 有关[选择 :最小级 、基本级 、详细级 、未规定]审计级别的所有可审计事件 ;

　　— 需要记录的审计事件 ,包括且不限于 :

　　● 登录和注销(如管理员需要个人用户账户 ,应记录用户账户的名称) ;

　　● 与配置变更相关的 TSF数据变更(除了发生变更的信息外 ,还应记录变更前的信息) ;

　　● 生成/导入 、更改或删除加密密钥(除操作本身外 ,还应记录唯一的密钥名称或密钥引用) ;

　　● 重置密码(需记录相关用户账号名) ;

　　● 无线传感器通信失败 ;

　　● 对于分布式 TOE,每个组件都需要生成自己的审计记录 ,审计数据包括且不限于 :TOE组件列表 ,TOE为分布式 TOE,存储外部为以下 TOE组件提供的审计数据 :没有在本地存储审计数据的 TOE组件 , 以及向其传输其生成的审计数据的其他 TOE组件列表 ;

　　● 其他可审计事件 ,可审计事件按照附录 B。

　　FAU_GEN. 1.2

　　TSF应在每个审计记录中至少记录下列信息 :

　　— 可审计事件的 日期和时间 、事件类型 、主体身份(如果适用) 、事件的结果(成功或失败) ;

　　— 对每种审计事件 类 型 , 基 于 PP、PP-模 块 、功 能 包 或 ST 中 功 能 组 件 的 可 审 计 事 件 的 定 义 ,表 B. 1第三列 “附加审计记录 ”中指定的信息 。

　　8. 1.2.2 用户身份关联(FAU_GEN.2)

　　TSF应能将每个可审计事件与导致事件的用户的身份相关联 。

　　8. 1.2.3 安全告警(FAU_ARP. 1)

　　当检测到潜在的安全侵害时 ,TSF应进行相应操作 。

　　8. 1.2.4 潜在侵害分析(FAU_SAA. 1)

　　FAU_SAA. 1. 1

　　TSF应能使用一组规则去监测审计事件 ,并根据这些规则指示出对实施 SFR 的潜在侵害 。

　　FAU_SAA. 1.2

　　TSF应执行下列规则监测审计事件 :

　　— 已知的用来指示潜在安全侵害的已定义的可审计事件的子集的累积或组合 ;

　　— 任何其他规则 。

　　8. 1.2.5 基于轮廓的异常检测(FAU_SAA.2)

　　FAU_SAA.2. 1

　　TSF应能维护系统使用轮廓 。在这里单个轮廓代表由轮廓目标组成员完成的历史使用模式 。

　　FAU_SAA.2.2

　　TSF应维护一个与每个用户相对应的置疑等级 ,这些用户的活动已记录在轮廓中 。 在这里 , 置疑等级代表用户当前活动与轮廓中已建立的使用模式不一致的程度 。

　　11

　　GB/T 33565—2024

　　FAU_SAA.2.3

　　当用户的置疑等级超过阈值条件 TSF报告异常活动的条件时 ,TSF应能指出对 SFR 实施的可能侵害即将发生 。

　　8. 1.2.6 简单攻击探测(FAU_SAA.3)

　　FAU_SAA.3. 1

　　对预示可能违反 SFR实施的下列特征事件系统事件的一个子集 ,TSF应能维护一个内部表示 。

　　FAU_SAA.3.2

　　TSF应能对照特征事件比对系统活动记录 ,系统活动可通过检查确定系统活动的信息辨别出来 。 FAU_SAA.3.3

　　当发现一个系统事件与一个预示可能潜在违反 SFR实施的特征事件匹配时 ,TSF应能指出潜在违反 SFR实施的事件即将发生 。

　　8. 1.2.7 审计查阅(FAU_SAR. 1)

　　FAU_SAR. 1. 1

　　TSF应为授权用户提供从审计记录中读取审计信息列表的能力 。

　　FAU_SAR. 1.2

　　TSF应以便于用户理解的方式提供审计记录 。

　　8. 1.2. 8 限制审计查阅(FAU_SAR.2)

　　除明确准许读访问的用户外 ,TSF应禁止所有用户读取审计记录 。

　　8. 1.2.9 可选审计查阅(FAU_SAR.3)

　　TSF应根据逻辑关系提供对审计数据进行选择和(或)排序的能力 。

　　8. 1.2. 10 选择性审计(FAU_SEL. 1)

　　TSF应能根据以下属性从所有审计事件集合中选择可审计的事件 :

　　— [选择 :客体身份 、用户身份 、主体身份 、主机身份 、事件类型] ;

　　— 审计选择所依据的附件属性表 。

　　8. 1.2. 11 审计数据存储位置(FAU_STG. 1)

　　FAU_STG. 1. 1

　　TSF应能将生成的审计数据存储在[选择 :TOE本身 ,根据 FTP_ITC使用可信信道将生成的审计数据传输到外部 IT实体 ,其他存储位置] 。

　　8. 1.2. 12 受保护的审计数据存储(FAU_STG.2)

　　FAU_STG.2. 1

　　TSF应保护所存储的审计记录 , 以避免未授权的删除 。

　　FAU_STG.2.2

　　TSF应能[选择 : 防止 、检测]对审计中所存审计记录的未授权修改 。

　　8. 1.2. 13 审计数据可用性保证(FAU_STG.3)

　　FAU_STG.3. 1

　　TSF应保护所存储的审计记录 , 以避免未授权的删除 。

　　12

　　GB/T 33565—2024

　　FAU_STG.3.2

　　TSF应能[选择 : 防止 、检测]对审计数据中所存审计记录的未授权修改 。

　　FAU_STG.3.3

　　当下列情况发生时 : [选择 : 审计存储耗尽 、失效 、受攻击] ,TSF应确保保存审计记录的度量内的审计记录维持有效 。

　　8. 1.2. 14 审计数据可能丢失时的行为(FAU_STG.4)

　　如果审计数据存储超过预定的限度 ,TSF应在审计记录超过预定的限度之前发出警告 , 通知管理员 ,并[选择 :删除新的审计数据 ,按照覆盖以前的审计记录的规则覆盖以前的审计记录] 。

　　8. 1.2. 15 防止审计数据丢失(FAU_STG.5)

　　如果审计数据存储已满 ,TSF应[选择 : “忽略可审计事件 ”, “阻止可审计事件 ,具有特权的授权用户产生的事件除外 ”,“覆盖所存储的最早的审计记录 ”] ,提供关于[选择 :删除 ,覆盖 ,其他信息操作]审计记录数量的信息审计存储失效时所采取的其他动作 。

　　8. 1.2. 16 分布式 TOE 审计事件存储(FAU_STG_EXT. 1)

　　FAU_STG_EXT. 1. 1

　　对于分布式 TOE,每个 TOE组件都需要适当地保护自己的审计记录 。

　　FAU_STG_EXT. 1.2

　　对于非本地存储的 TOE组件 ,TSF应在数据传输至其他可传输或转发它的 TOE组件前 ,具有本地缓冲安全机制 。TOE组件之间的审计记录传输根据[选择 :FPT_ITT. 1,FTP_ITC. 1]使用受保护的可信信道 。

　　8. 1.3 密码支持(FCS)

　　8. 1.3. 1 密钥生成(FCS_CKM. 1)

　　对称密钥 : [选择 :WAPI,WPA2,WAP3]加密密钥生成 ,TSF应 根 据 下 列 标 准[选 择 : GB 15629. 11, IEEE 802. 11—2020, IEEE 802. 11ax—2021, 无 其 他 标 准] 的 一 个 特 定 的 密 钥 生 成 算 法 [选 择 : PRF- 128,PRF-256,PRF-384, PRF-512, PRF-704, 无 其 他 算 法] 和 规 定 的 密 钥 长 度 [选 择 : 128位 , 192位 , 256位 ,无其他密钥大小]FCS_RNG. 1来生成对称加密密钥 。

　　非对称密钥 :TSF应根据下列标准[选择 : GB/T 35276—2017、GB/T 32213—2015、GB/T 32918. 3— 2016]的一个特定的密钥生成算法[选择 :SM2密码算法 ,RSA方案]和规定的密钥长度[选择 :256位或以上 ,2048或以上]来生成密钥 。

　　8. 1.3.2 密钥分发(FCS_CKM.2)

　　对称密钥 :TSF应根据下列标准[选择 :GB 15629. 11]的一个特定的密钥分发方法[选择 :WAPI加密密钥分发 ,GTK密钥分发 ,PMK密钥分发]来分发密钥 。

　　非对称密钥 :TSF应根据下列标准[选择 :IEEE 802. 11—2020、GB/T 35276—2017、GB/T 32213— 2015、GB/T 32918. 3—2016]的一个特定的密钥分发方法[选择 : 基于 RSA 的密钥建立方案 ,基于椭圆曲线的密钥建立方案 ,基于有限域的密钥建立方案]来分发密钥 。

　　8. 1.3.3 密钥存取(FCS_CKM.3)

　　TSF应根据下列标准[选择 :IEEE 802. 11—2020,GB/T 39786—2021]的一个特定的密钥存取方法

　　13

　　GB/T 33565—2024

　　[选择 :磁条卡密钥 、智能卡密钥 、ROM密钥等]来执行[选择 :密钥存储 、密钥读取 、密钥备份等] 。

　　8. 1.3.4 密码派生(FCS_CKM.5)

　　TSF应根据下列标准[选 择 : RFC 8018, GM/T 0091—2020] 的 一 个 特 定 的 密 钥 派 生 算 法[选 择 : PBKDF2、Scrypt]和规定的密钥长度从输入参数中派生出指定类型的密钥 。

　　8. 1.3.5 密钥销毁的时间和事件(FCS_CKM.6)

　　FCS_CKM.6. 1

　　当[选择 :不再需要 ,密钥或密钥材料销毁的其他情况]时 ,TSF销毁密钥(包括密钥材料)列表 。

　　FCS_CKM.6.2

　　TSF应根据以下方法来销毁 FCS_CKM. 6. 1 中规定的密钥和密钥材料 :

　　— 对于易失性存储中的明文密钥 ,销毁应使用 TSF 的随机数产生器(RBG) 的伪随机模式 、全 0或全 1、一个新的密钥 、不包含任何关键安全参数(CSP) 的静态或动态值实现 ,并销毁对密钥的引用 ,然后请求垃圾收集 。

　　— 对于非易失性存储中的明文密钥 ,销毁应通过调用 TSF提供的接口执行[选择 :

　　● 逻辑上处理密钥的存储位置 ,可选择下列方法之一进行覆盖 ,如使用 TSF 的 RBG 的伪随机模式 、全 0 或全 1、一个新的密钥 、不包含任何 CSP 的静态或动态值等 ;

　　● 调用 TSF销毁对密钥的引用 。]

　　8. 1.3.6 密码运算(FCS_COP. 1)

　　TSF应根据下列标准的特定的密码算法和密钥长度来执行 :

　　对于数据加密 ,TSF应根据下列标准[选择 :GB 15629. 11]的特定的密码算法[选择 :SM4或高级加密标准(AES) ,密码输出反馈(OFB)或密码分组链接(CBC) 、CCM模式(CCMP) 或计数器模式等]和密钥长度[选择 :不低于 128位]来执行[选择 :加密/解密] 。

　　对于密码操作(签名生成与验证) ,TSF应根据下列标准[选择 :GB 15629. 11]的特定的密码算法执行加密签名服务[选择 :

　　—ECDSA数字签名算法 ,且密钥长度应为 192位或以上 ,

　　—SM2数字签名算法 ,且密钥长度应为 256位或以上 ,

　　—RSA数字签名算法 ,且密钥长度应为 2 048位或以上 ,

　　— 椭圆曲线数字签名算法 ,且密钥长度应为 256位或以上 。]

　　对于哈希操作 ,TSF应当根据下列标准[选择 :GB 15629. 11]的特定的密码算法[选择 :SM3、SHA- 256、SHA-384、SHA-512等]和密钥长度[选择 :不低于 256位]来执行[选择 :加密/解密] 。

　　对于密钥哈 希 操 作 , TSF 应 当 根 据 下 列 标 准 [选 择 : GB 15629. 11] 的 特 定 的 密 码 算 法 [选 择 : HMAC-SM3、HMAC-SHA-256、HMAC-SHA-384和 HMAC-SHA-512等] 和 密 钥 长 度[选 择 : 不 低 于256位]来执行[选择 :加密/解密] 。

　　对于预共享密钥 ,TSF应根据下列标准[选择 :IEEE 802. 11—2020]的特定密码算法[选择 :RADI- US、IPsec、WPA3-SAE、WPA3-SAE-PK、WPA2-PSK,其他算法]和密钥长度[选择 :低于 64字符]来执行[选择 :加密/解密] 。

　　8. 1.3.7 随机比特生成(FCS_RBG. 1)

　　FCS_RBG. 1. 1

　　当种子初始化之后 ,TSF应根据[GB/T 32915—2016]用[选择 : Hash_DRBG、HMAC_DRBG 或其他算法]执行确定性随机比特生成服务 。

　　14

　　GB/T 33565—2024

　　FCS_RBG. 1.2

　　TSF应使用[选择 :TSF噪声源[选择 :基于软件的噪声源 ,基于平台的噪声源] ,TSF用于设定种子的接口]进行种子初始化 。

　　FCS_RBG. 1.3

　　TSF应根据以下不同情况 : [选择 :从不 ,按需 ,在特定条件下 ,在一定时间之后]将通过[选择 :重新加载种子 ,非实例化和重新实例化]使用一个[选择 :TSF噪声源[选择 :基于软件的噪声源 ,基于平台的噪声源] ,TSF用于设定种子的接口]更新 RBG状态 , 以保持与[GB/T 32915—2016]的一致 。

　　8. 1.3. 8 随机数生成(FCS_RNG. 1)

　　FCS_RNG. 1. 1

　　TSF应提供一个[选择 :物理 、非物理真 、确定性 、混合物理 、混合确定性]随机数生成器 ,它能实现 :安全能力列表 。

　　FCS_RNG. 1.2

　　TOE安全功能 TSF应提供满足定义的质量指标的[选择 :位 、八位字节 、数字或其他数字的格式] 。

　　8. 1.3.9 TLS加密协议-S/无相互身份验证的 TLS服务器协议(FCS_TLSS_EXT. 1)

　　FCS_TLSS_EXT. 1. 1

　　WAS安全功能应执行[选择 :TLS1. 2、TLS1. 1] ,并设置不接受其他 TLS和 SSL版本 。 TLS实现将支持以下密码套件 : [选择 :受支持的密码套件] ,而不支持其他密码套件 。

　　FCS_TLSS_EXT. 1.2

　　WAS安全功能应能拒绝来自 SSL2. 0、SSL3. 0、TLS1. 0 和[选择 :TLS1. 1、TLS1. 2]的客户端的请求连接 。

　　FCS_TLSS_EXT. 1.3

　　WAS安全功能进行 TLS建立时 ,应使用[选择 :密钥长度不低于 2 048位的 RSA算法 , 密钥长度不低于 256位的 SM2算法 ,符合国家密码主管部门要求的其他算法] 。

　　FCS_TLSS_EXT. 1.4

　　WAS安全功能应支持[选择 :不允许会话恢复或会话通知 ,根据 TLS1. 1 或 TLS1. 2 的会话 ID恢复会话 ,根据 RFC 5077的恢复会话] 。

　　8. 1.3. 10 TLS加密协议-SX509/TLS服务器支持相互身份验证(可选)(FCS_TLSS_EXT.2)

　　FCS_TLSS_EXT.2. 1

　　WAS安全功能支持 TLS通信 ,支持使用 X. 509v3证书的 TLS客户端相互认证 。

　　FCS_TLSS_EXT.2.2

　　建立信任通道时 ,如果客户端证书无效 ,默认情况下 TSF不能建立信任通道 。TSF需[选择 :

　　— 不实现任何管理员覆盖机制 ;

　　— 如果 TSF不能[选择 : 匹配引用标识符 ,验证证书路径 ,验证过期 日期 ,确定吊销状态] ,则需要管理员授权建立连接 。]

　　FCS_TLSS_EXT.2.3

　　如果证书中包含的标识符与客户端期望的标识符不匹配 ,则 TSF不能建立可信通道 。如果标识符是一个完全合格域名(FQDN) ,那么 TSF将根据 RFC 6125匹配标识符 ,否则 TSF将从证书中解析标识符 ,并将标识符与 TSS中描述的客户端预期标识符进行匹配 。

　　8. 1.4 用户数据保护(FDP)

　　8. 1.4. 1 子集访问控制(FDP_ACC. 1)

　　TSF应对[选择 :主体 、客体及 SFP所涵盖主体和客体之间的操作列表]执行访问控制 SFP。

　　15

　　GB/T 33565—2024

　　8. 1.4.2 基于安全属性的访问控制(FDP_ACF. 1)

　　FDP_ACF. 1. 1

　　TSF应基于[选择 :指定 SFP控制下的主体和客体列表 , 以及每个对应的 SFP 的相关安全属性或SFP相关的已命名安全属性组]对客体执行访问控制 SFP。

　　FDP_ACF. 1.2

　　TSF应执行在受控主体和受控客体间 ,通过对受控客体采取受控操作来管理访问的一些规则 , 以确定在受控主体与受控客体间的一个操作是否被允许 。

　　FDP_ACF. 1.3

　　TSF应基于安全属性 , 明确授权主体访问客体的规则等附加规则 , 明确授权主体访问客体 。

　　FDP_ACF. 1.4

　　TSF应基于安全属性 , 明确禁止主体访问客体的规则等附加规则明确禁止主体访问客体 。

　　8. 1.4.3 子集残余信息保护(FDP_RIP. 1)

　　TSF应确保一个资源的任何先前信息内容 ,在[选择 :分配资源到 、释放资源自]指定客体列表时不再可用 。

　　8. 1.4.4 完全残余信息保护(FDP_RIP.2)

　　TSF应确保一个资 源 的 任 何 先 前 信 息 内 容 , 在 [选 择 : 分 配 资 源 到 、释 放 资 源 自] 所 有 客 体 时 不可用 。

　　8. 1.4.5 存储数据的机密性(FDP_SDC. 1)

　　TSF应确保[选择 :所有用户数据 ,指定用户数据列表]存储在[选择 : 临时内存 , 持久内存 , 任意内存]中的机密性 。

　　8. 1.4.6 存储数据完整性监视(FDP_SDI. 1)

　　TSF应基于用户数据属性 ,对所有客体 ,监视存储在由 TSF控制的载体内的用户数据是否存在完整性错误 。

　　8. 1.5 标识和鉴别(FIA)

　　8. 1.5. 1 鉴别失败处理(FIA_AFL. 1)

　　FIA_AFL. 1. 1

　　TSF应检测当[选择 :正整数 ,管理员设置的可接受数值范围内的一个正整数]时 , 与鉴别事件列表相关的未成功鉴别尝试 。

　　FIA_AFL. 1.2

　　当[选择 :达到 ,超过]所定义的未成功鉴别尝试次数时 ,TSF应采取[选择 : 阻止违规管理员使用任何涉及密码的认证方法成功建立远程会话 ,直到管理员采取解锁操作 ; 防止违规管理员使用任何涉及密码的身份验证方法成功建立远程会话 ,直到管理员定义的时间段过去] 。

　　8. 1.5.2 用户属性定义(FIA_ATD. 1)

　　TSF应维护属于单个用户的下列安全属性列表 :安全属性列表 。

　　16

　　GB/T 33565—2024

　　8. 1.5.3 鉴别的时机(FIA_UAU. 1)

　　FIA_UAU. 1. 1

　　在用户被鉴别前 ,TSF应执行代表用户的下列动作 :

　　— 按照 FTA_TAB. 1显示警告信息 ;

　　— [选择 :无其他操作 , 自动生成密码密钥 ,服务列表 ,TSF响应非 TOE请求执行的操作] ;

　　—TSF促成的其他动作列表 。

　　FIA_UAU. 1.2

　　在允许执行代表该用户的任何其他由 TSF促成的功能前 ,TSF应要求每个用户都已被成功鉴别 。

　　8. 1.5.4 不可伪造的鉴别(FIA_UAU.3)

　　FIA_UAU.3. 1

　　TSF应[选择 :检测 、防止]由任何 TSF用户伪造的鉴别数据的使用 。

　　FIA_UAU.3.2

　　TSF应[选择 :检测 、防止]从任何其他的 TSF用户处拷贝的鉴别数据的使用 。

　　8. 1.5.5 多重鉴别机制(FIA_UAU.5)

　　FIA_UAU.5. 1

　　TSF应提供多重鉴别机制列表以支持用户鉴别 。

　　FIA_UAU.5.2

　　TSF应根据提供鉴别的规则鉴别任何用户所声称的身份 。

　　8. 1.5.6 重鉴别(FIA_UAU.6)

　　TSF应提供当用户更改密码时 、当 TSF发起会话锁定时 、其他需要鉴别的条件下重新鉴别用户 。

　　8. 1.5.7 受保护的鉴别反馈(FIA_UAU.7)

　　鉴别进行时 ,TSF应仅向用户提供模糊的反馈列表 。

　　8. 1.5. 8 基于密码的认证机制(FIA_UAU_EXT. 1)

　　TSF应提供[选择 :基于密码 、基于 SSH 公钥 、基于证书 、其他认证机制]认证机制来执行管理用户认证 。

　　8. 1.5.9 标识的时机(FIA_UID. 1)

　　FIA_UID. 1. 1

　　在用户被识别之前 ,TSF应执行代表用户的 TSF促成的动作列表 。

　　FIA_UID. 1.2

　　在允许执行代表该用户的任何其他 TSF促成的动作之前 ,TSF应要求每个用户都已被成功识别 。

　　8. 1.5. 10 任何动作前的用户标识(FIA_UID.2)

　　在允许执行代表该用户的任何其他 TSF促成的动作之前 ,TSF应要求每个用户都已被成功识别 。

　　8. 1.5. 11 用户-主体绑定(FIA_USB. 1)

　　FIA_USB. 1. 1

　　TSF应将用户安全属性列表与代表用户活动的主体相关联 。

　　17

　　GB/T 33565—2024

　　FIA_USB. 1.2

　　TSF应对用户安全属性与代表用户活动的主体初始关联关系执行属性初始关联规则 。

　　FIA_USB. 1.3

　　TSF应执行属性更改规则管理用户安全属性与代表用户活动的主体间的关联关系的变化 。

　　8. 1.5. 12 端口接入实体(认证者)鉴权(FIA_802. 1X_EXT. 1)

　　FIA_802. 1X_EXT. 1. 1 端口认证

　　TSF应在“验证者 ”角色中符合 IEEE 802. 1X 中端口访问实体(PAE)的要求 。

　　FIA_802. 1X_EXT. 1.2

　　TSF应支持与符合 RFC 2865和 RFC 3579的 RADIUS认证服务器的通信 。

　　FIA_802. 1X_EXT. 1.3

　　TSF应确保在此认证交换成功完成之前 ,没有向无线局域网客户端提供对其 IEEE 802. 1X 中规定的控制端口的访问 。

　　8. 1.5. 13 口令管理(FIA_PMG_EXT. 1)

　　TSF应为管理密码提供以下密码管理功能 :

　　— 密码的最小长度可设置在 TOE支持的最小字符数和大于或等于 15个字符数之间 。

　　— 密码应由大写字母 、小写字母 、数字和以下特殊字符的任意组合组成 : [选择 :“!”“@ ”“# ”“$ ” “%”“^”“&”“* ”“(”“) ”,其他字符] ;

　　8. 1.5. 14 预共享密钥组合(FIA_PSK_EXT. 1)

　　FIA_PSK_EXT. 1. 1

　　TSF应能 为 以 下 协 议 使 用 预 共 享 密 钥 [选 择 : TLS(RadSec) 上 的 RADIUS、IPsec、WPA3-SAE、 WPA3-SAE-PK、IEEE 802. 11WPA2-PSK,使用预共享密钥的其他协议] 。

　　FIA_PSK_EXT. 1.2

　　TSF应能接受基于文本的预共享密钥 :

　　— 22个字符和[选择 :其他支持的长度 ,没有其他长度] ;

　　— 合组成(由大小)写。字母 、数字和特殊字符(包括 :“!”“@ ”“# ”“$ ”“%”“^”“&”“* ”“(”和 “) ”)的任意组

　　FIA_PSK_EXT. 1.3

　　TSF应能[选择 :使用 FCS_RNG. 1 中指定的随机位生成器接受 、生成]基于位的预共享密钥 。

　　8. 1.6 安全管理(FMT)

　　8. 1.6. 1 安全功能行为的管理(FMT_MOF. 1)

　　TSF应仅限于已标识的授权角 色 对 功 能 自 动 更 新 检 查 , 自 动 更 新 、将 审 计 数 据 传 送 给 外 部 IT 实体 ,处理审计数据 ,本地审计存储空间满时的审计功能等功能具有[选择 :确定其行为 、启用 、禁用 、终止 、激活 、修改其行为 、手动更新 、启动和停止提供服务]的能力 。

　　8. 1.6.2 安全属性管理(FMT_MSA. 1)

　　TSF应执行访问控制 SFP,信息流控制 SFP, 以仅限于已标识的授权角色能对安全属性安全属性列表进行[选择 ;改变默认值 、查询 、修改 、删除 、其他操作] 。

　　18

　　GB/T 33565—2024

　　8. 1.6.3 安全的安全属性(FMT_MSA.2)

　　TSF应确保安全属性列表只接受安全的值 。

　　8. 1.6.4 静态属性初始化(FMT_MSA.3)

　　FMT_MSA.3. 1

　　TSF应执行访问控制 SFP、信息流控制 SFP, 以便为用于执行 SFP 的安全属性提供[选择 :受限的 、许可的 、其他特性]默认值 。

　　FMT_MSA.3.2

　　TSP应允许已标识的授权角色在创建客体或信息时指定替换性的初始值以代替原来的默认值 。

　　8. 1.6.5 TSF数据的管理(FMT_MTD. 1)

　　TSF应仅限于已标识的授权角色能对 TSF数据列表[选择 :改变默认值 、查询 、修改 、删除 、清除 、其他操作] 。

　　8. 1.6.6 TSF数据限值的管理(FMT_MTD.2)

　　FMT_MSA.2. 1

　　TSF应仅限于已标识的授权角色规定 TSF数据列表的限值 。

　　FMT_MSA.2.2

　　如果 TSF数据达到或超过了指明的限值 ,TSF应采取要采取的动作 。

　　8. 1.6.7 安全的 TSF数据(FMT_MTD.3)

　　TSF应确保 TSF数据列表只接受安全的值 。

　　8. 1.6. 8 管理功能规范(FMT_SMF. 1)

　　TSF应执行如下安全管理功能 :

　　具备本地和远程管理 TOE 的能力 ;

　　能配置访问提示语 ;

　　能配置会话终止或锁定之前的会话不活动时间 ;

　　能更新 TOE,在安装更新前 ,能验证更新使用[选择 :数字签名 , 哈希比较]的能力 ;

　　能配置 FIA_AFL. 1 的认证失败参数 ;

　　[选择 :

　　— 启动和停止服务的能力 ;

　　— 能配置审计行为(例如更改审计存储位置 ;本地审计存储空间已满时的行为更改) ;

　　— 能修改向外部 IT实体传输审计数据的行为 ;

　　— 能在实体被识别和验证之前配置 toe提供的可用服务列表 ;

　　— 能管理密钥 ;

　　— 能配置密码功能 ;

　　— 配置 SSH 密钥更新阈值的能力 ;

　　— 配置 IPsec SAs生命周期的能力 ;

　　— 能配置 TOE组件之间的交互 ;

　　— 能启用或禁用自动检查更新或自动更新 ;

　　— 能重新启用管理员账户 ;

　　19

　　GB/T 33565—2024

　　— 能设置用于时间戳的时间 ;

　　— 能配置 NTP;

　　— 为端点配置引用标识符的能力 ;

　　— 能管理 TOE 的信任存储和指定 X509. V3证书作为可信锚 ;

　　— 能导入 X. 509v3证书到 TOE 的信任存储 ;配置无线网络的安全策略 ,包括 :

　　● 安全类型 ;

　　● 认证协议 ;

　　● 用于认证服务的客户端凭据 ;

　　● 服务集标识符(SSID) ;

　　● SSID是否广播 ;

　　● 频段设置为[选择 :2. 4 GHz、5 GHz、6 GHz] ;

　　● 传输能力级别 。

　　— 无其他能力] 。

　　8. 1.6.9 安全角色(FMT_SMR. 1)

　　FMT_SMR. 1. 1

　　TSF应维护角色已标识的授权角色 。

　　FMT_SMR. 1.2

　　TSF应能把用户和角色关联起来 。

　　8. 1.6. 10 安全角色限制(FMT_SMR.2)

　　FMT_SMR.2. 1

　　TSF应维护角色安全管理员 。

　　FMT_SMR.2.2

　　TSF应能把用户和角色关联起来 。

　　FMT_SMR.2.3

　　TSF应确保以下条件满足 :

　　— 安全管理员角色应能本地管理 TOE;

　　— 安全管理员角色应能远程管理 TOE。

　　8. 1.6. 11 无来自客户端的管理(FMT_SMR_EXT. 1)

　　TSF应确保从无线局域网客户端远程管理 TOE 的能力在默认情况下是禁用的 。

　　8. 1.7 TSF保护(FPT)

　　8. 1.7. 1 失效即保持安全状态(FPT_FLS. 1)

　　TSF在下列失效发生时应保持一种安全状态 : 自检失败或其他失效情况 。

　　8. 1.7.2 传送过程中 TSF 间的机密性(FPT_ITC. 1)

　　TSF应保护所有从 TSF传送到另一个可信 IT产品的 TSF数据在传送过程中不会被未授权泄漏 。

　　8. 1.7.3 功能恢复(FPT_RCV.4)

　　TSF应确保功能和失效情景列表有如下特征 , 即功能要么成功完成 ,要么针对指明的失效情景恢

　　20

　　GB/T 33565—2024

　　复到一个前后一致的且安全的状态 。

　　8. 1.7.4 重放检测(FPT_RPL. 1)

　　FPT_RPL. 1. 1

　　TSF应检测对以下实体的重放 : 已识别实体列表 。

　　FPT_RPL. 1.2

　　检测到重放时 ,TSF应执行具体操作列表 。

　　8. 1.7.5 可靠的时间戳(FPT_STM. 1)

　　FPT_STM. 1. 1

　　TSF应能提供可靠的时间戳 。

　　8. 1.7.6 TST 自测(FPT_TST. 1)

　　FPT_TST. 1. 1

　　TSF应在[选择 :初始化启 动 期 间 、正 常 工 作 期 间 周 期 性 地 、授 权 用 户 要 求 时 、在 产 生 自 检 的 条 件时]运行一套自检程序以证实[选择 :TSF的组成部分 、TSF]能正确运行和演示正确的 TSF的操作 。

　　FPT_TST. 1.2

　　TSF应为授权用户提供验证[选择 :部分 TSF数据 、TSF数据]完整性的能力 。

　　FPT_TST. 1.3

　　TSF应为授权用户提供验证[选择 :部分 TSF、TSF]完整性的能力 。

　　8. 1.7.7 内部 TSF数据传送的基本保护(可选)(FPT_ITT. 1)

　　TSF应保护 TSF数据在 TOE不同部分间传送时不被[选择 :泄露 、篡改