GB/T 38626-2020
标准分类号
关联标准
出版信息
相关单位信息
标准简介
GB/T 38626-2020.Information security technology-Guide to password protection for intelligent connected device.
1范围
GB/T 38626给出了智能联网设备的账号和口令在生成、管理和使用等方面的安全技术指南。
GB/T 38626适用于指导智能联网设备生产制造商安全设计和实现口令保护功能,也适用于智能联网设备的口令安全使用的监督、检查。
2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。
GB/T 25069-2010信息安全技术 术语
3术语和定义
GB/T 25069-2010界定的以及下列术语和定义适用于本文件。为了便于使用,以下重复列出了GB/T 25069-2010中的某些术语和定义。
3.1
智能联网设备 intelligent connected device
具有接人网络进行通信、数据感知，数据存储、数据处理和人机交互能力的设备。
注:主要是指物联网中的端设备,包括网络摄像头、智能家电、网络机顶盒、智能投影仪、家用路由器等,不包括计算机、手机等通用计算设备。
3.2
口令 password
用于身份鉴别的秘密的字、短语、数或字符序列。
注:改写GB/T 25069-2010,定 义2.2.2.76。
3.3
口令鉴别 password authentication
使用口令来验证用户所声称身份的过程。
3.4
弱口令 weak password
容易被别人猜测或被破解工具暴力破解的口令。
3.5
初始口令 initial password
设备出厂时厂商预置于设备中,用于在初始设置或恢复默认设置状态下访问设备的口令。
3.6
随机性 randomness
具有某一概率的事件集合中各个事件所表现出来的不可预测性。
1范围
GB/T 38626给出了智能联网设备的账号和口令在生成、管理和使用等方面的安全技术指南。
GB/T 38626适用于指导智能联网设备生产制造商安全设计和实现口令保护功能,也适用于智能联网设备的口令安全使用的监督、检查。
2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。
GB/T 25069-2010信息安全技术 术语
3术语和定义
GB/T 25069-2010界定的以及下列术语和定义适用于本文件。为了便于使用,以下重复列出了GB/T 25069-2010中的某些术语和定义。
3.1
智能联网设备 intelligent connected device
具有接人网络进行通信、数据感知，数据存储、数据处理和人机交互能力的设备。
注:主要是指物联网中的端设备,包括网络摄像头、智能家电、网络机顶盒、智能投影仪、家用路由器等,不包括计算机、手机等通用计算设备。
3.2
口令 password
用于身份鉴别的秘密的字、短语、数或字符序列。
注:改写GB/T 25069-2010,定 义2.2.2.76。
3.3
口令鉴别 password authentication
使用口令来验证用户所声称身份的过程。
3.4
弱口令 weak password
容易被别人猜测或被破解工具暴力破解的口令。
3.5
初始口令 initial password
设备出厂时厂商预置于设备中,用于在初始设置或恢复默认设置状态下访问设备的口令。
3.6
随机性 randomness
具有某一概率的事件集合中各个事件所表现出来的不可预测性。
标准图片预览
标准内容
ICS35.040
中华人民共和国国家标准
GB/T38626—2020
信息安全技术
智能联网设备口令保护指南
Information security technology-Guide to password protection for intelligent connected device2020-04-28发布
国家市场监督管理总局
国家标准化管理委员会
2020-11-01实施
GB/T38626—2020
规范性引用文件
术语和定义
缩略语
账号安全
账号生成
账号使用
账号管理
口令安全
口令生成
口令使用
口令管理
8用户安全
附录A（资料性附录）
参考文献
非设备本地鉴别方式
本标准按照GB/T1.1-2009给出的规则起草。GB/T38626-—2020
请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。本标准由全国信息安全标准化技术委员会（SAC/TC260)提出并归口。本标准起草单位：杭州海康威视数字技术股份有限公司、中国电子技术标准化研究院、北京信息安全测评中心、中国信息安全测评中心、公安部第一研究所、公安部第三研究所、中国科学院信息工程研究所、浙江大学、国家工业信息安全发展研究中心、国网浙江省电力有限公司、大华技术股份有限公司、阿里巴巴网络技术有限公司、华为技术有限公司、深圳联想懂的通信有限公司、海尔集团、美的智慧家居科技有限公司、北京洋浦伟业科技发展有限公司、杭州安恒信息技术有限公司、北京未来安全信息技术有限公司、北京天融信网络安全技术有限公司、江苏省电力公司电力科学研究院。本标准主要起草人：王滨、刘贤刚、许东阳、赵章界、陈学明、范科峰、成金爱、邸丽清韩煜、刘继顺、闫兆腾、徐文渊、王冲华、姚一杨、万里、王星、张军昌、刘大鹏、黄敏、倪晓林、茹昭、张军、刘明君、陈兆全、王英键、李娜、姚楠。
1范围
信息安全技术
智能联网设备口令保护指南
GB/T38626—2020
本标准给出了智能联网设备的账号和口令在生成、管理和使用等方面的安全技术指南本标准适用于指导智能联网设备生产制造商安全设计和实现口令保护功能，也适用于智能联网设备的口令安全使用的监督、检查。规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T25069—2010信息安全技术术语术语和定义
GB/T25069一2010界定的以及下列术语和定义适用于本文件。为了使于使用，以下重复列出了GB/T25069—2010中的某些术语和定义。3.1
智能联网设备intelligentconnecteddevice具有接入网络进行通信、数据感知、数据存储、数据处理和人机交互能力的设备注：主要是指物联网中的端设备，包括网络摄像头、智能家电、网络机顶盒、智能投影仪、家用路由器等，不包括计算机、手机等通用计算设备。
口令password
用于身份鉴别的秘密的字、短语、数或字符序列。注：改写GB/T25069—2010，定义2.2.2.763.3
令鉴别passwordauthentication使用口令来验证用户所声称身份的过程。3.4
弱令weakpassword
容易被别人猜测或被破解工具暴力破解的口令。3.5
初始口令initialpassword
设备出厂时厂商预置于设备中，用于在初始设置或恢复默认设置状态下访问设备的口令3.6
随机性
randomness
具有某一概率的事件集合中各个事件所表现出来的不可预测性。GB/T38626—2020
账号account
在特定上下文中，可以唯一标识主体身份的一段信息。注：也称为用户名。
添加变量salt
作为单向函数或加密函数的二次输人而加入的随机变量，可用于计算口令鉴别数据[GB/T25069—2010,定义2.2.2.186]4缩略语
下列缩略语适用于本文件。
API：应用程序编程接口（ApplicationProgrammingInterface）ID：身份标识号（IDentity）
IP：互联网协议（InternetProtocol）5概述
由于智能联网设备接人网络模式的不同，口令鉴别的实现方式可分为两种：设备鉴别，口令鉴别过程在智能联网设备中进行。非设备本地鉴别，口令鉴别的过程不在智能联网设备中进行，包括但不限于用户终端通过云平台进行用户口令鉴别。详细情况参见附录A非设备本地鉴别在本质上是平台代替智能联网设备执行了口令鉴别。因此，本标准中对于账号和口令的安全技术要求在两种情况下都适用。口令作为鉴别凭证与作为用户身份标识的账号相关联，账号安全是口令鉴别保护中非常重要的个环节。本标准从账号安全和口令安全两个方面来提出保护的规则和要求，并且提出用户安全的使用和管理账号口令的指导
本标准凡涉及采用密码技术解决保密性、完整性、真实性、不可否认性需求的应遵循密码相关国家标准和行业标准。
6账号安全
6.1账号生成
关注的事项包括：
设备中账号具有唯一性；
b）在新建或修改账号时，提供命名规则检查功能，包括但不限于特殊字符限制。6.2
账号使用
关注的事项包括：
a）月
所有账号都需要向设备管理员公开，设备或者平台商不能隐藏后门账号：b）
禁用或删除设备中集成的第三方或开源软件中不使用的账号2
6.3账号管理
关注的事项包括：
GB/T38626-—2020
a）对于具备设备管理员角色的智能联网设备：为设备管理员提供账号添加、删除、修改、查询等功能；
b）提供可配置的账号锁定策略，包括但不限于账号到期锁定，连续多次输错误口令锁定；c）所有账号仅限于被设备管理员管理。6.4日志
所有用户对账号的所有操作均需要记录日志，日志内容包括用户ID、IP地址、操作时间、操作内容、操作结果等信息。
口令安全
口令生成
关注的事项包括：
自动生成的口令具有随机性，且长度不少于6个字符。a）
用户设置的口令符合的基本策略内容如下：1）口令长度不少于8个字符；
2）口令允许的最大长度不少于64个字符；3）口令至少包含数字、小写字母、大写字母以及特殊字符中的两类字符。对于出厂配置时采用激活机制的智能联网设备，用户第一次访问设备时，需通过为设备设置口c）
令来激活设备，未激活的设备拒绝除激活以外的其他操作。注：“激活”是指设备第一次使用时由用户设置符合口令复杂度要求的口令。d）对于出厂配置时采用初始口令的智能联网设备，为每个设备随机生成初始口令，每次登录时提醒用户修改口令，直到修改初始口令为止。7.2口令使用
关注的事项包括：
口令传输采用安全传输通道或者加密后传输；a）
b）默认对输人框中的口令进行掩盖显示；禁止口令从输入框中复制的功能；c
d）用户登录成功后无法查看自己的口令；e）
对口令的鉴别过程具备防暴力破解功能，如果错误登录尝试超过设定次数后锁定操作账号或者操作IP一段时间。
7.3口令管理
关注的事项包括：
所有口令都可修改，不能使用硬编码口令；b）用户修改口令前，提供验证旧口令以及对新口令再次确认的功能；存储口令时需加密；
d）：存储的口令具有防破解机制，包括但不限于添加变量；e）
限制对口令文件的访问和修改，包括但不限于使用操作系统的访问控制功能；3
GB/T38626—2020
不能通过用户操作界面或API读取口令明文；提供在忘记账号或者口令的情况下，通过物理按键或者其他的安全方式将设备恢复到出厂状g）
态的功能：下载标准就来标准下载网
口令复杂度策略可配置，支持管理员根据应用场景配置强化的口令复杂度策略；具备显示口令安全强度的能力。7.4
所有用户对口令的所有操作均记录日志，日志内容包括用户ID、IP地址、操作时间、操作内容、操作结果等信息。
用户安全
关注的事项包括：
用户宜及时修改设备的初始口令。用户宜为不同的设备设置不同的口令。用户不能使用已知过去曾被泄露的口令。se
用户不能使用弱口令，常见的弱口令包括但不限于：Aca
1）不符合复杂度策略的口令；
字典中的单词；
重复或顺序的字符（例如，“aaaaaaa”“1234abcd\）；上下文相关的字眼，包括但不限于服务名称、用户名或其派生物。iiKa
用户宜妥善保管所使用的账号和口令。用户宜定期对口令进行修改。
附录A
（资料性附录）
非设备本地鉴别方式
GB/T38626—2020
通过云平台进行口令鉴别是一种典型的非本地鉴别方式。云平台的典型部署模式如图A.1所示。台
智能联网设务
而户路端
在云平台部署模式下口令鉴别在用户终端和云平台之间完成，云平台和智能联网设备通过其他安全协议进行认证，如基于数字证书的账号认证等，并且通过设备的唯一标识与用户终端登录的账号进行绑定，
在通过口令鉴别后，用户终端和智能联网设备之间的通信可以采用以下两种方式：用户终端和智能联网设备之间的通信由云平台转发；a）
云平台建立一条用户终端和智能联网设备之间的直接的路由。GB/T38626—2020
GB/T22239
GB/T32399—2015
GB/T32400—2015
GB/T33474—2016
GB/T33745—2017
参考文献
信息安全技术
网络安全等级保护基本要求
信息技术
云计算参考架构
信息技术
云计算概览与词汇
物联网
参考体系结构
物联网术语
工业和信息化部电信研究院，物联网白皮书（2011年），2011年5月.ISO/IEC201802012
Telecommunications andinformationexchangebetweensystemsSecurityframework forubiquitous sensornetworks[8]
IEC62443-1-1:2009Industrial communication networksNetworkand system securityPart 1-1: Terminology. concepts and models[9]ITU-TY.2060:Overviewof theInternetof things[1o]NIST Special Publication 800-63B,Digital IdentityGuidelines:Authentication andLifecycleManagement，June2017.
[11]SB327,Jackson,Informationprivacy:connecteddevices6
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。
中华人民共和国国家标准
GB/T38626—2020
信息安全技术
智能联网设备口令保护指南
Information security technology-Guide to password protection for intelligent connected device2020-04-28发布
国家市场监督管理总局
国家标准化管理委员会
2020-11-01实施
GB/T38626—2020
规范性引用文件
术语和定义
缩略语
账号安全
账号生成
账号使用
账号管理
口令安全
口令生成
口令使用
口令管理
8用户安全
附录A（资料性附录）
参考文献
非设备本地鉴别方式
本标准按照GB/T1.1-2009给出的规则起草。GB/T38626-—2020
请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。本标准由全国信息安全标准化技术委员会（SAC/TC260)提出并归口。本标准起草单位：杭州海康威视数字技术股份有限公司、中国电子技术标准化研究院、北京信息安全测评中心、中国信息安全测评中心、公安部第一研究所、公安部第三研究所、中国科学院信息工程研究所、浙江大学、国家工业信息安全发展研究中心、国网浙江省电力有限公司、大华技术股份有限公司、阿里巴巴网络技术有限公司、华为技术有限公司、深圳联想懂的通信有限公司、海尔集团、美的智慧家居科技有限公司、北京洋浦伟业科技发展有限公司、杭州安恒信息技术有限公司、北京未来安全信息技术有限公司、北京天融信网络安全技术有限公司、江苏省电力公司电力科学研究院。本标准主要起草人：王滨、刘贤刚、许东阳、赵章界、陈学明、范科峰、成金爱、邸丽清韩煜、刘继顺、闫兆腾、徐文渊、王冲华、姚一杨、万里、王星、张军昌、刘大鹏、黄敏、倪晓林、茹昭、张军、刘明君、陈兆全、王英键、李娜、姚楠。
1范围
信息安全技术
智能联网设备口令保护指南
GB/T38626—2020
本标准给出了智能联网设备的账号和口令在生成、管理和使用等方面的安全技术指南本标准适用于指导智能联网设备生产制造商安全设计和实现口令保护功能，也适用于智能联网设备的口令安全使用的监督、检查。规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T25069—2010信息安全技术术语术语和定义
GB/T25069一2010界定的以及下列术语和定义适用于本文件。为了使于使用，以下重复列出了GB/T25069—2010中的某些术语和定义。3.1
智能联网设备intelligentconnecteddevice具有接入网络进行通信、数据感知、数据存储、数据处理和人机交互能力的设备注：主要是指物联网中的端设备，包括网络摄像头、智能家电、网络机顶盒、智能投影仪、家用路由器等，不包括计算机、手机等通用计算设备。
口令password
用于身份鉴别的秘密的字、短语、数或字符序列。注：改写GB/T25069—2010，定义2.2.2.763.3
令鉴别passwordauthentication使用口令来验证用户所声称身份的过程。3.4
弱令weakpassword
容易被别人猜测或被破解工具暴力破解的口令。3.5
初始口令initialpassword
设备出厂时厂商预置于设备中，用于在初始设置或恢复默认设置状态下访问设备的口令3.6
随机性
randomness
具有某一概率的事件集合中各个事件所表现出来的不可预测性。GB/T38626—2020
账号account
在特定上下文中，可以唯一标识主体身份的一段信息。注：也称为用户名。
添加变量salt
作为单向函数或加密函数的二次输人而加入的随机变量，可用于计算口令鉴别数据[GB/T25069—2010,定义2.2.2.186]4缩略语
下列缩略语适用于本文件。
API：应用程序编程接口（ApplicationProgrammingInterface）ID：身份标识号（IDentity）
IP：互联网协议（InternetProtocol）5概述
由于智能联网设备接人网络模式的不同，口令鉴别的实现方式可分为两种：设备鉴别，口令鉴别过程在智能联网设备中进行。非设备本地鉴别，口令鉴别的过程不在智能联网设备中进行，包括但不限于用户终端通过云平台进行用户口令鉴别。详细情况参见附录A非设备本地鉴别在本质上是平台代替智能联网设备执行了口令鉴别。因此，本标准中对于账号和口令的安全技术要求在两种情况下都适用。口令作为鉴别凭证与作为用户身份标识的账号相关联，账号安全是口令鉴别保护中非常重要的个环节。本标准从账号安全和口令安全两个方面来提出保护的规则和要求，并且提出用户安全的使用和管理账号口令的指导
本标准凡涉及采用密码技术解决保密性、完整性、真实性、不可否认性需求的应遵循密码相关国家标准和行业标准。
6账号安全
6.1账号生成
关注的事项包括：
设备中账号具有唯一性；
b）在新建或修改账号时，提供命名规则检查功能，包括但不限于特殊字符限制。6.2
账号使用
关注的事项包括：
a）月
所有账号都需要向设备管理员公开，设备或者平台商不能隐藏后门账号：b）
禁用或删除设备中集成的第三方或开源软件中不使用的账号2
6.3账号管理
关注的事项包括：
GB/T38626-—2020
a）对于具备设备管理员角色的智能联网设备：为设备管理员提供账号添加、删除、修改、查询等功能；
b）提供可配置的账号锁定策略，包括但不限于账号到期锁定，连续多次输错误口令锁定；c）所有账号仅限于被设备管理员管理。6.4日志
所有用户对账号的所有操作均需要记录日志，日志内容包括用户ID、IP地址、操作时间、操作内容、操作结果等信息。
口令安全
口令生成
关注的事项包括：
自动生成的口令具有随机性，且长度不少于6个字符。a）
用户设置的口令符合的基本策略内容如下：1）口令长度不少于8个字符；
2）口令允许的最大长度不少于64个字符；3）口令至少包含数字、小写字母、大写字母以及特殊字符中的两类字符。对于出厂配置时采用激活机制的智能联网设备，用户第一次访问设备时，需通过为设备设置口c）
令来激活设备，未激活的设备拒绝除激活以外的其他操作。注：“激活”是指设备第一次使用时由用户设置符合口令复杂度要求的口令。d）对于出厂配置时采用初始口令的智能联网设备，为每个设备随机生成初始口令，每次登录时提醒用户修改口令，直到修改初始口令为止。7.2口令使用
关注的事项包括：
口令传输采用安全传输通道或者加密后传输；a）
b）默认对输人框中的口令进行掩盖显示；禁止口令从输入框中复制的功能；c
d）用户登录成功后无法查看自己的口令；e）
对口令的鉴别过程具备防暴力破解功能，如果错误登录尝试超过设定次数后锁定操作账号或者操作IP一段时间。
7.3口令管理
关注的事项包括：
所有口令都可修改，不能使用硬编码口令；b）用户修改口令前，提供验证旧口令以及对新口令再次确认的功能；存储口令时需加密；
d）：存储的口令具有防破解机制，包括但不限于添加变量；e）
限制对口令文件的访问和修改，包括但不限于使用操作系统的访问控制功能；3
GB/T38626—2020
不能通过用户操作界面或API读取口令明文；提供在忘记账号或者口令的情况下，通过物理按键或者其他的安全方式将设备恢复到出厂状g）
态的功能：下载标准就来标准下载网
口令复杂度策略可配置，支持管理员根据应用场景配置强化的口令复杂度策略；具备显示口令安全强度的能力。7.4
所有用户对口令的所有操作均记录日志，日志内容包括用户ID、IP地址、操作时间、操作内容、操作结果等信息。
用户安全
关注的事项包括：
用户宜及时修改设备的初始口令。用户宜为不同的设备设置不同的口令。用户不能使用已知过去曾被泄露的口令。se
用户不能使用弱口令，常见的弱口令包括但不限于：Aca
1）不符合复杂度策略的口令；
字典中的单词；
重复或顺序的字符（例如，“aaaaaaa”“1234abcd\）；上下文相关的字眼，包括但不限于服务名称、用户名或其派生物。iiKa
用户宜妥善保管所使用的账号和口令。用户宜定期对口令进行修改。
附录A
（资料性附录）
非设备本地鉴别方式
GB/T38626—2020
通过云平台进行口令鉴别是一种典型的非本地鉴别方式。云平台的典型部署模式如图A.1所示。台
智能联网设务
而户路端
在云平台部署模式下口令鉴别在用户终端和云平台之间完成，云平台和智能联网设备通过其他安全协议进行认证，如基于数字证书的账号认证等，并且通过设备的唯一标识与用户终端登录的账号进行绑定，
在通过口令鉴别后，用户终端和智能联网设备之间的通信可以采用以下两种方式：用户终端和智能联网设备之间的通信由云平台转发；a）
云平台建立一条用户终端和智能联网设备之间的直接的路由。GB/T38626—2020
GB/T22239
GB/T32399—2015
GB/T32400—2015
GB/T33474—2016
GB/T33745—2017
参考文献
信息安全技术
网络安全等级保护基本要求
信息技术
云计算参考架构
信息技术
云计算概览与词汇
物联网
参考体系结构
物联网术语
工业和信息化部电信研究院，物联网白皮书（2011年），2011年5月.ISO/IEC201802012
Telecommunications andinformationexchangebetweensystemsSecurityframework forubiquitous sensornetworks[8]
IEC62443-1-1:2009Industrial communication networksNetworkand system securityPart 1-1: Terminology. concepts and models[9]ITU-TY.2060:Overviewof theInternetof things[1o]NIST Special Publication 800-63B,Digital IdentityGuidelines:Authentication andLifecycleManagement，June2017.
[11]SB327,Jackson,Informationprivacy:connecteddevices6
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。