本文件规定了无线局域网客户端的安全功能要求和安全保障要求，给出了无线局域网客户端面临安全问题的说明。 本文件适用于无线局域网客户端产品的测试、评估和采购，以及指导该类产品的研制和开发。

ICS。35.030
中华人民共和国国家标准銀
GB/T33563—2024
代替GB/T33563—2017
网络安全技术
无线局域网客户端安全技术要求Cybersecurity technology—
Security technology requirements for wireless local area network client2024-04-25发布
国家市场监督管理总局
国家标准化管理委员会
2024-11-01实施
规范性引用文件
术语和定义
缩略语
无线局域网客户端描述
安全问题
未授权访问（T.UNAUTHORIZED
ACCESS
安全功能失效（T.SECURITY_FUNCTIONALITY残留信息利用（T.RESIDUAL_DATA_EXPLOIT）_FAILURE)
逻辑接口攻击（T.LOGICAL_INTERFACE_ATTACK网络窃听(T.NETWORK_EAVESDROP)网络攻击(T.NETWORK_ATTACK)
未检测的行为（T.UNDETECTED_ACTIONS）6.2组织安全策略
密码管理（P.CRYPTO_MANAGEMENT）认证管理（P.AUTH_MANAGEMENT)假设
可信的人员（A.TRUSTED
PERSON)
正确的连接（A.NO_TOE_BYPASS）可靠的平台（A.TRUSTED
_PLATFORM)
6.3.4正确的配置（A.SPECIFICATION7　安全目的　
无线局域网客户端安全目的
经认证的通信（O.AUTH_COMM）
CONFIGURATION)
_FUNCTIONS）
加密功能（O.CRYPTOGRAPHIC
自检(O.SELF_TEST)
系统监控（O.SYSTEM_MONITORING)TOE管理（O.TOE_ADMINISTRATION)无线AP连接（O.WIRELESS_ACCESS_POINT_CONNECTION)可信信道（O.TRUSTED_CHANNEL）访问控制（O.ACCESS_CONTROL)
GB/T33563—2024
GB/T33563—2024
逻辑攻击抵抗（O.LOGICATTACK_PREVENTION7.2环境安全目的
可信人员（OE.TRUSTED_PERSON）TOE不可绕过（OE.NO_TOE_BYPASS）平台（OE.PLATFORM)
配置（OE.CONFIG)
8安全要求
安全功能要求
安全功能要求分级
安全审计(FAU)
密码支持(FCS），
标识与鉴别(FIA)
安全管理(FMT)
TSF保护(FPT)
TOE访问（FTA）和可信路径/信道（FTP）用户数据保护(FDP)
安全保障要求
9基本原理
安全目的基本原理
安全要求基本原理
组件依赖关系基本原理
参考文献
GB/T33563—2024
本文件按照GB/T1.1一2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。
本文件代替GB/T33563一2017《信息安全技术无线局域网客户端安全技术要求（评估保障级2级增强）》，与GB/T33563一2017相比，除结构调整和编辑性改动外，主要技术变化如下：更改了TOE范围（见第5章，2017年版的第6章）；a)
更改了无线局域网客户端面临的威胁，包括7类威胁、2项组织安全策略和4个假设（见第6章，2017年版的第7章）；
c）更改了“TOE安全目的”和“环境安全目的”，包括9项TOE的安全目的，4项环境安全目的（见第7章，2017年版的第8章）；更改了无线局域网客户端安全功能要求，包括8类33项安全功能要求（见8.1，2017年版的第d)
9章、第10章）；
更改了无线局域网客户端安全保障要求（见8.2，2017年版的9.2）；e
增加了“基本原理”，包括安全问题与安全目的、安全目的与安全要求间的对应关系和组件间的f)
依赖关系（见第9章）。
请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由全国网络安全标准化技术委员会(SAC/TC260)提出并归口。本文件起草单位：中国信息安全测评中心、中国科学院信息工程研究所、北京交通大学、中车工业研究院有限公司、西安西电捷通无线网络通信股份有限公司、公安部第一研究所、中国电子技术标准化研究院、北京天融信网络安全技术有限公司、深信服科技股份有限公司、郑州信大捷安信息技术股份有限公司、长扬科技(北京)股份有限公司、深圳市信锐网科技术有限公司、北京路云天网络安全技术研究院有限公司、西安交大捷普网络科技有限公司、中孚信息股份有限公司、国网区块链科技(北京)有限公司、中国网络安全审查技术与认证中心、新华三技术有限公司、中国电力科学研究院有限公司。本文件主要起草人：陈冬青、张亮、韩继登、郭涛、邵帅、吴润浦、李美聪、文崎、樊玉明、王伟、刘吉强、王剑、唐海川、王俊勇、张变玲、朱振荣、张东举、寇增杰、安高峰、鲍旭华、叶润国、马红丽、韩秀德、赵华、赖国强、何建锋、朱大立、范伟、弥宝鑫、龙刚、高金萍、孙鹏科、侯梦云、杨珂、申永波、万晓兰、王海翔。本文件及其所代替文件的历次版本发布情况为：-2017年首次发布为GB/T33563—2017；—一本次为第一次修订。
1范围
网络安全技术
无线局域网客户端安全技术要求GB/T33563—2024
本文件规定了无线局域网客户端的安全功能要求和安全保障要求，给出了无线局域网客户端面临安全问题的说明。
本文件适用于无线局域网客户端产品的测试、评估和采购，以及指导该类产品的研制和开发。2规范性引用文件
下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件：不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。
GB15629.11
信息技术系统间远程通信和信息交换局域网和城域网特定要求第11部分：无线局域网媒体访问控制和物理层规范GB/T18336.1一2024网络安全技术信息技术安全性评估准则第1部分：简介和一般模型GB/T18336.2一2024网络安全技术信息技术安全性评估准则第2部分：安全功能要求GB/T18336.3—2024
网络安全技术信息技术安全性评估准则第3部分：安全保障要求GB/T25069—2022信息安全技术术语GB/T32915—2016
信息安全技术二元序列随机性检测方法GB/T39786—2021
信息安全技术信息系统密码应用基本要求3术语和定义
GB15629.11、GB/T18336.1一2024、GB/T25069一2022界定的以及下列术语和定义适用于本文件。
访问点accesspoint:AP
种提供无线局域网客户端与有线网络之间的访问，在无线网络和有线网络之间转发顺的网络接口设备。
认证服务器authentication server无线局域网接入系统中用于身份认证的组件。3.3
wirelesslocalarea networkclient无线局域网客户端
实现远程用户使用客户端机器与被接入网络建立无线通信的执行组件。GB/T33563—2024
4缩略语
下列缩略语适用于本文件。
EAL：评估保障级(EvaluationAssuranceLevel)TOE：评估对象(TargetofEvaluation)TSF：评估对象安全功能（TOESecurityFunctions）WAPI：无线局域网鉴别与保密基础结构(WLANAuthenticationandPrivacyInfrastructure）WLAN：无线局域网(WirelessLocal Area Network)5无线局域网客户端描述
本文件描述的无线局域网客户端，是指基于IEEE802.11协议族的无线局域网客户端设备（通用计算机或者无线移动终端）中用于连接无线局域网接入系统或其他设备，进行安全数据传输的组件。无线局域网客户端可通过无线局域网接入系统建立的被接入网络与用户设备之间的安全连接，与无线局域网接入系统一起保护所传输数据的完整性和机密性，实现身份验证与WLAN访问接入。个典型的无线局域网客户端的运行环境如图1所示。计算机设备
移动端设备
物联网设备
无线局域网客户端
图1无线局域网客户端示意图
无线局域网接入系统
本文件的TOE仅包含通用操作系统或者移动设备中遵循IEEE802.11协议规定的控制客户端设备实现WLAN接入流程的应用组件，其部分功能可依赖于底层设备功能实现。TOE提供管理通道和数据通道，管理通道主要用于身份验证和访问控制，数据通道负责数据传输。TOE提供的安全特性包括连接管理、协议合规、加密保护、审计生成。无线局域网客户端评估范围如图2所示。2
主设备
TOE范围
管理调用接元
管理应用
数据应用
管理服务与接山
图2TOE评估范围
GB/T33563—2024
网络服务与接元
IEEE.802.1MAC
硬件驱动
IEEE802.1IPIIYbzxz.net
TOE的评估通常需要与其主设备一起进行，考虑合并至其主设备进行评估。本文件规定客户端安全技术要求分为三个等级EAL2+：同时符合EAL2+级安全功能要求和EAL2级安全保障要求，主要应用于家庭、个人用户和有限商业应用。
EAL3:同时符合EAL3级安全功能要求和EAL3级安全保障要求，主要应用于组织、个人用户和一般商业。
EAL4：同时符合EAL4级安全功能要求和EAL4级安全保障要求，主要应用于专有的高安全等级领域。
6安全问题
6.1威胁
6.1.1未授权访问(T.UNAUTHORIZED_ACCESS)威胁主体伪装成授权实体或通过授权用户跳板以获得对无线局域网客户端数据及其驱动、应用等可执行代码的未授权访问。
6.1.2安全功能失效(T.SECURITY_FUNCTIONALITY_FAILURE)威胁主体利用安全功能失效，在未认证的情况下使用或滥用安全功能，以访问和修改设备数据、关键网络流量或者安全功能配置。TOE的安全机制通常是从受信任的初始机制构建出来的复杂机制集合，初始机制的失效影响复杂机制的运行，从而导致安全功能失效。3
GB/T33563—2024
6.1.3残留信息利用(T.RESIDUAL_DATA_EXPLOIT）威胁主体利用无线局域网客户端残留信息的处理缺陷在执行过程中对未删除的残留信息进行利用，以获取敏感信息或滥用无线局域网客户端的安全功能。6.1.4逻辑接口攻击(T.LOGICAL_INTERFACE_ATTACK）威胁主体通过攻击无线局域网客户端逻辑接口，非法地浏览、修改或删除TSF数据、配置信息、用户数据或可执行代码等，导致TOE的安全功能无法正常工作。6.1.5网络窃听(T.NETWORK_EAVESDROP)威胁主体对无线网络通信进行监听，获得无线局域网客户端与其他设备交互的数据，并可利用获取数据猜测TSF数据或用户数据。
6.1.6网络攻击(T.NETWORK_ATTACK）威胁主体位于通信通道或网络基础设施的其他位置，基于设备的客户端会启动与TOE的通信或更改TOE与其他端点之间的通信，基于操作系统的客户端与运行在操作系统或操作系统的一部分上的应用程序和服务进行通信，进行攻击，更改现有的合法通信。例如威胁主体通过压制合法网络信号并模拟原接入系统，使客户端接入假冒的接入系统，从而获取TSF数据或用户数据。6.1.7未检测的行为(T.UNDETECTED_ACTIONS）威胁主体采取未知的攻击行为攻击TOE网络安全，对网络的机密性、完整性、可用性造成损害。6.2组织安全策略
6.2.1密码管理(P.CRYPTO_MANAGEMENT)密码的使用是按照相关国家标准进行的，6.2.2认证管理(P.AUTH_MANAGEMENT)认证的过程是按照相关国家标准进行的。6.3假设
6.3.1可信的人员(A.TRUSTED_PERSON）假设无线局域网客户端设计、开发、测试、生产等各阶段的合法操作人员遵循一套安全的流程，且遵守人员指导进行操作，且无线局域网客户端管理员可信，会以可靠的方法遵从和应用所有的管理操作指南。
6.3.2正确的连接(A.NO_TOE_BYPASS）假设运行环境在涉及范围中，无线局域网客户端用户与内部被接入网络之间的信息传递应经过无线局域网客户端。
6.3.3可靠的平台(A.TRUSTED_PLATFORM）假设运行环境提供与无线局域网客户端及其传输处理的数据价值相匹配的物理安全性。通用操作系统或者无线设备平台作为无线局域网客户端运行环境部分的基本安全性是可靠的。6.3.4正确的配置(A.SPECIFICATIONCONFIGURATION）GB/T33563—2024
假设正确地配置了TOE的安全功能，以确保在连接的网络之间流动的所有适用的网络流量上执行TOE 安全策略。
7安全目的
7.1无线局域网客户端安全目的
7.1.1经认证的通信(O.AUTH_COMM)TOE将提供一种手段来确保它正在与授权接入点进行通信，而不是与其他伪装成授权接入点的实体进行通信。
7.1.2加密功能(O.CRYPTOGRAPHIC_FUNCTIONS)无线局域网客户端应使用符合国家标准和国家密码管理机构规定的加解密机制并应提供符合相应的功能支持，保证无线局域网客户端能对其保护的数据采取加密措施，保证数据的机密性。7.1.3自检(O,SELF_TEST)
无线局域网客户端应提供测试其安全功能及安全功能子集的相关机制，在初次启动以及系统运行过程中执行自检，以确保其安全功能的完整性，并将自检结果通知平台。7.1.4系统监控(O.SYSTEM_MONITORING)无线局域网客户端应记录安全相关的事件，应对记录的事件进行保护且只允许授权用户查看，还应提供审计相关功能。
7.1.5 TOE管理(O.TOE_ADMINISTRATION)无线局域网客户端应提供允许管理员配置TOE的机制和功能。7.1.6无线AP连接(O.WIRELESS_ACCESS_POINT_CONNECTION）无线局域网客户端应提供访问控制机制，限制其能连接的无线AP。7.1.7可信信道(O.TRUSTED_CHANNEL)无线局域网客户端应提供通信信道管理选择机制，通过可信信道与外部通信并有能力识别信道异常，也可提供受保护的网络通道供用户使用。7.1.8访问控制(O.ACCESS_CONTROL)无线局域网客户端应提供访问控制机制，防止无线局域网客户端重要数据、进程及资源等在未授权情况下被访问、修改或删除。
7.1.9逻辑攻击抵抗(O.LOGICATTACK_PREVENTION)无线局域网客户端应能抵抗逻辑攻击，或至少提供必要的安全措施以显著增加实施此类攻击的困难性。
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。