DB11T 159.4-2015 市政交通一卡通技术规范 第4部分：安全

ICS35.240.15L64备案号:45073-2015DB11北京市地方标准DB11/T159.4—2015市政交通一卡通技术规范第4部分：安全Municipaladministration&communicationcardtechnologyspecifications—Part4:Security2015-01-28发布2015-08-01实施北京市质量技术监督局发布DB11/T159.4-2015I目次前言.................................................................................II1范围................................................................................12规范性引用文件......................................................................13系统安全............................................................................13.1基本要求........................................................................13.2鉴别和访问控制..................................................................23.3操作审计........................................................................23.4数据安全........................................................................23.5网络与计算环境安全..............................................................23.6系统备份要求....................................................................34卡片安全............................................................................34.1卡片通信安全....................................................................34.2卡片交易安全....................................................................44.3卡片防攻击......................................................................45终端安全............................................................................45.1终端数据安全....................................................................45.2终端设备安全....................................................................56交易安全............................................................................56.1消费类交易安全..................................................................56.2充值类交易安全..................................................................56.3退卡类交易安全..................................................................67密钥管理及算法......................................................................67.1通用要求........................................................................67.2生成与发行......................................................................67.3安全机制........................................................................77.4密钥算法........................................................................7附录A（规范性附录）MAC计算—DEA算法............................................9附录B（规范性附录）MAC计算—国密算法..........................................11DB11/T159.4-2015II前言本部分按照GB/T1.1-2009给出的规则起草。DB11/T159-《市政交通一卡通技术规范》分为5个部分：----第1部分：总则；----第2部分：卡片；----第3部分：终端；----第4部分：安全；----第5部分：检测。本部分为DB11/T159的第4部分。本部分由北京市交通委员会提出并归口。本部分由北京市交通委员会组织实施。本部分主要起草单位：北京市交通信息中心、北京市政交通一卡通有限公司。本部分主要起草人员：隋莉颖、陈智宏、刘浩、王立勋、李伟、陈文革、邢钊、曾正喜、周湘鹏、蒋金煜、白洪波、刘敬光、卢明、葛昱、邹迎、李倩。DB11/T159.4-20151市政交通一卡通技术规范第4部分：安全1范围本部分规定了市政交通一卡通系统安全的通用技术要求，包括系统安全、卡片安全、终端安全、交易安全、密钥管理及算法的要求。本部分适用于市政交通一卡通系统工程的设计、开发、实施、验收、运营与管理。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T18238.3信息技术安全技术散列函数第3部分：专用散列函数GB/T22239信息系统安全等级保护基本要求GB50174电子信息系统机房设计规范GM/T0002SM4分组密码算法GM/T0003SM2椭圆曲线公钥密码算法GM/T0004SM3密码杂凑算法CJ/T166建设事业IC卡应用技术CJ/T304建设事业CPU卡操作系统技术要求JR/T0025中国金融集成电路（IC）卡规范DB11/T159.1-2014市政交通一卡通技术规范第1部分：总则DB11/T159.2-2014市政交通一卡通技术规范第2部分：卡片DB11/T159.3-2014市政交通一卡通技术规范第3部分：终端ISO/IEC10116信息技术.保密技术.n-比特条形密码的操作模式ISO16609银行业务对使用对称技术对电文认证的要求ISO/IEC9798信息技术-安全技术-实体鉴别3系统安全3.1基本要求市政交通一卡通系统应用安全应符合GB/T22239-2008第三级的基本要求。系统应用安全包括：鉴别和访问控制、操作审计、数据安全、网络与计算安全、业务连续性要求等。DB11/T159.4-201523.2鉴别和访问控制3.2.1鉴别系统应具备鉴别功能，具体包含以下内容：a)应提供专用的登录控制模块对登录用户进行身份标识和鉴别；b)应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别；c)应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重复用户身份标识，身份鉴别信息不易被冒用；d)应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施；e)应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及登录失败处理功能，并根据安全策略配置相关参数。3.2.2访问控制系统应具备访问控制功能，具体包含以下内容：a)应提供访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问；b)访问控制的覆盖范围应包括与资源访问相关的主体、客体及其之间的操作；c)应由授权主体配置访问控制策略，并严格限制默认帐户的访问权限；d)应授予不同帐户为完成各自承担任务所需的最小权限，并在其之间形成相互制约的关系；e)应具有对重要信息资源设置敏感标记的功能；f)应依据安全策略严格控制用户对有敏感标记重要信息资源的操作。3.3操作审计系统应具备操作审计功能，具体包含以下内容：a)应提供覆盖到每个用户的安全审计功能，对应用系统重要安全事件进行审计；b)应保证无法单独中断审计进程，无法删除、修改或覆盖审计记录；c)审计记录的内容至少应包括事件的日期、时间、发起者信息、类型、描述和结果等；d)应提供对审计记录数据进行统计、查询、分析及生成审计报表的功能。3.4数据安全系统应保证数据安全，具体包括以下内容：a)应保证原始交易记录完整、正确发送到中心计算机处理系统；b)应防止交易数据被窃取或篡改；c)对联机交互报文关键信息应采用加密及数字签名方式传输；d)对数据库及日志内的关键信息应采用加密方式存储；e)总中心计算机处理系统应验证交易记录的合法性；f)中心计算机处理系统之间传输的交换数据包应有校验码，接收方对发送方数据包的校验码应进行验证；g)通过对数据的审计及时发现异常卡及异常数据并进行处理。3.5网络与计算环境安全3.5.1网络结构安全网络结构应满足系统安全的基本要求，具体内容如下：a)应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要；b)应保证网络各个部分的带宽满足业务高峰期需要；DB11/T159.4-20153c)应在业务终端与业务服务器之间进行路由控制，建立安全的访问路径；d)应绘制与当前运行情况相符的网络拓扑结构图；e)应根据系统和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段；f)应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其它网段之间采取可靠的技术隔离手段；g)应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵时优先保护重要主机。3.5.2访问控制安全应对系统网络设置访问控制权限管理，具体要求如下：a)应在网络边界部署访问控制设备，启用访问控制功能；b)应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级；c)应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制；d)应在会话处于非活跃状态持续一定时间或会话结束后终止网络连接；e)应限制网络最大流量数及网络连接数；f)重要网段应采取技术手段防止地址欺骗；g)应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户；h)应限制具有拨号访问权限的用户数量。3.5.3计算环境系统计算环境应具备基本安全保障要求如下：a)应符合GB50174的安全要求；b)应保护系统的完整性和可用性。如资源和局域网管理、补丁管理、防病