GA/T 686-2007信息安全技術(shù)虛擬專用網(wǎng)安全技術(shù)要求

犐犆犛３５．０４０

犃９０

中華人民共和國公共安全行業(yè)標(biāo)準(zhǔn)

犌犃／犜６８６—２００７

信息安全技術(shù)

虛擬專用網(wǎng)安全技術(shù)要求

犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔狋犲犮犺狀狅犾狅犵狔—

犜犲犮犺狀犻犮犪犾狉犲狇狌犻狉犲犿犲狀狋狊狅犳狏犻狉狋狌犪犾狆狉犻狏犪狋犲狀犲狋狑狅狉犽狊犲犮狌狉犻狋狔

２００７０３２０發(fā)布２００７０５０１實施

中華人民共和國公安部發(fā)布

書

犌犃／犜６８６—２００７

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅴ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅵ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規(guī)范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術(shù)語、定義和縮略語!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４ＶＰＮ的一般說明!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４．１概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４．２安全環(huán)境!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４．２．１安全威脅!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４．２．２安全應(yīng)用假設(shè)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５安全功能技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１標(biāo)識和鑒別!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１．１用戶標(biāo)識!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１．２用戶鑒別!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１．３鑒別失敗處理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．１．４用戶主體綁定!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２安全審計!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２．１安全審計的響應(yīng)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２．２安全審計數(shù)據(jù)產(chǎn)生!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２．３安全審計分析!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．２．４安全審計查閱!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．２．５安全審計事件存儲!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．２．６網(wǎng)絡(luò)環(huán)境安全審計與評估!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．３通信抗抵賴!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．３．１抗原發(fā)抵賴!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．３．２抗接收抵賴!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．４標(biāo)記!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．５自主訪問控制!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

５．６強制訪問控制!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

５．７用戶數(shù)據(jù)存儲保護!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

５．８用戶數(shù)據(jù)傳輸保護!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

５．８．１ＶＰＮ內(nèi)數(shù)據(jù)傳輸保護!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

５．８．２ＶＰＮ向公用網(wǎng)絡(luò)輸出數(shù)據(jù)的保護!!!!!!!!!!!!!!!!!!!!!!!!!７

５．８．３公用網(wǎng)絡(luò)向ＶＰＮ輸入數(shù)據(jù)的保護!!!!!!!!!!!!!!!!!!!!!!!!８

５．９用戶數(shù)據(jù)完整性保護!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．９．１存儲數(shù)據(jù)的完整性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．９．２傳輸數(shù)據(jù)的完整性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．９．３處理數(shù)據(jù)的完整性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

Ⅰ

書

犌犃／犜６８６—２００７

５．１０剩余信息保護!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．１１隱蔽信道分析!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．１１．１一般性的隱蔽信道分析!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．１１．２系統(tǒng)化的隱蔽信道分析!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

５．１１．３徹底化的隱蔽信道分析!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

５．１２可信路徑!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

５．１３密碼支持!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

６安全保證技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

６．１ＶＰＮ安全功能自身安全保護!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

６．１．１安全運行測試!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

６．１．２失敗保護!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

６．１．３輸出ＶＰＮ安全功能數(shù)據(jù)的可用性!!!!!!!!!!!!!!!!!!!!!!!!９

６．１．４輸出ＶＰＮ安全功能數(shù)據(jù)的保密性!!!!!!!!!!!!!!!!!!!!!!!!１０

６．１．５輸出ＶＰＮ安全功能數(shù)據(jù)的完整性!!!!!!!!!!!!!!!!!!!!!!!!１０

６．１．６ＶＰＮ內(nèi)ＶＰＮ安全功能數(shù)據(jù)傳輸!!!!!!!!!!!!!!!!!!!!!!!!１０

６．１．７物理安全保護!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

６．１．８可信恢復(fù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

６．１．９重放檢測!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．１．１０參照仲裁!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．１．１１域分離!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．１．１２狀態(tài)同步協(xié)議!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．１．１３時間戳!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．１．１４數(shù)據(jù)一致性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．１．１５安全功能檢測!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．１．１６資源利用!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．１．１７ＶＰＮ安全設(shè)施訪問控制!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

６．１．１８可信路徑／信道!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

６．２ＶＰＮ設(shè)計和實現(xiàn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

６．２．１配置管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

６．２．２分發(fā)和操作!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

６．２．３開發(fā)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

６．２．４指導(dǎo)性文檔!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

６．２．５生命周期支持!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

６．２．６測試!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

６．２．７脆弱性評定!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１８

６．３ＶＰＮ安全設(shè)施安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１９

６．３．１功能管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１９

６．３．２安全屬性的管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１９

６．３．３ＶＰＮ安全功能數(shù)據(jù)的管理!!!!!!!!!!!!!!!!!!!!!!!!!!!１９

６．３．４安全角色管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１９

６．３．５時限授權(quán)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

６．３．６撤銷!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

７ＶＰＮ安全保護等級劃分要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

Ⅱ

犌犃／犜６８６—２００７

７．１第一級：用戶自主保護級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

７．１．１安全功能技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

７．１．２安全保證技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

７．２第二級：系統(tǒng)審計保護級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２１

７．２．１安全功能技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２１

７．２．２安全保證技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２２

７．３第三級：安全標(biāo)記保護級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２３

７．３．１安全功能技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２３

７．３．２安全保證技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２４

７．４第四級：結(jié)構(gòu)化保護級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２５

７．４．１安全功能技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２５

７．４．２安全保證技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２６

７．５第五級：訪問驗證保護級!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２８

７．５．１安全功能技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２８

７．５．２安全保證技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２９

附錄Ａ（資料性附錄）標(biāo)準(zhǔn)概念說明!!!!!!!!!!!!!!!!!!!!!!!!!!３１

Ａ．１組成與相互關(guān)系!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３１

Ａ．２ＶＰＮ安全等級的劃分!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３１

Ａ．３關(guān)于ＶＰＮ中的主體與客體!!!!!!!!!!!!!!!!!!!!!!!!!!!!３３

Ａ．４關(guān)于ＶＰＮ中的安全設(shè)施、安全功能和安全功能策略!!!!!!!!!!!!!!!!!３３

Ａ．５關(guān)于密碼技術(shù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３４

參考文獻!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３５

Ⅲ

犌犃／犜６８６—２００７

前言

本標(biāo)準(zhǔn)從信息技術(shù)方面詳細規(guī)定了各安全保護級別的ＶＰＮ系統(tǒng)所應(yīng)具有的安全功能要求和安全

保證要求。

本標(biāo)準(zhǔn)的附錄Ａ為資料性附錄。

本標(biāo)準(zhǔn)由公安部公共信息網(wǎng)絡(luò)安全監(jiān)察局提出。

本標(biāo)準(zhǔn)由公安部信息系統(tǒng)安全標(biāo)準(zhǔn)化技術(shù)委員會歸口。

本標(biāo)準(zhǔn)起草單位：中國科學(xué)院研究生院信息安全國家重點實驗室。

本標(biāo)準(zhǔn)主要起草人：荊繼武、馮登國、夏魯寧、聶曉峰、黃敏、王瓊霄、許良玉、高能、林瞡鏘、呂欣、

廖洪鑾。

Ⅴ

犌犃／犜６８６—２００７

引言

本標(biāo)準(zhǔn)用以指導(dǎo)設(shè)計者如何設(shè)計和實現(xiàn)具有所需要的安全等級的虛擬專用網(wǎng)產(chǎn)品，主要從對虛擬

專用網(wǎng)的安全保護等級進行劃分的角度來說明其技術(shù)要求，即主要說明為實現(xiàn)ＧＢ１７８５９—１９９９中每

一個安全保護等級的安全要求對虛擬專用網(wǎng)應(yīng)采取的安全技術(shù)措施，以及各安全技術(shù)要求在不同安全

保護等級中具體實現(xiàn)上的差異。

本標(biāo)準(zhǔn)對虛擬專用網(wǎng)系統(tǒng)安全等級保護所涉及的安全功能技術(shù)要求和安全保證技術(shù)要求做了比較

全面的描述，按ＧＢ１７８５９—１９９９五個安全保護等級的劃分，對每一個安全保護等級的安全功能技術(shù)要

求和安全保證技術(shù)要求做了詳細描述。文中每一級別比上一級別新增的要求以加粗字表示。

Ⅵ

犌犃／犜６８６—２００７

信息安全技術(shù)

虛擬專用網(wǎng)安全技術(shù)要求

１范圍

本標(biāo)準(zhǔn)規(guī)定了按ＧＢ１７８５９—１９９９對虛擬專用網(wǎng)進行安全等級保護劃分