1.1.1.

应用安全

1.1.1.1.

身

份鉴别（

S3

）

本项要求包括：

a)

应提供专用的登录控制模块对登录用户进行身份标识和鉴别；

1

）

应用系统应具有专用的登录控制模块对登录用户的用户名

/

密码进行核实。

答：支持。

b)

应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别；

1

）

应用系统应采用除用户名

/

密码以外的第二种鉴别技术来实现身份鉴别，如烟

草数字证书、生物特征识别等；

2

）

两种鉴别技术应组合使用。

答：支持用户名

/

密码、

CA

证书、混合验证三种。

c)

应提供用户身份标识唯一和鉴别信息复杂度检查功能，保证应用系统中不存在重

复用户身份标识，身份鉴别信息不易被冒用；

1

）

应用系统口令应符合以下条件：

长度至少为

8

位，

且为数字、

字母、

符号混排，

无规律的方式；

2

）

口令至少每个月更换

1

次，更新的口令至少

5

次内不能重复；

3

）

应为应用系统中的不同用户分配不同的用户标识即用户名或用户

ID

号，确保

身份鉴别信息不被冒用。

答：部分支持。其中密码长度、密码强度规则、口令更新时间支持由管理员进行设置。

口令不支持

5

次内不能重复。

d)

应提供登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措

施；

1

）

应用系统应限制用户的非法登录次数不超过

3

次；

2

）

登录失败超过

3

次的账户将被锁定，由系统管理员解锁；

3

）

应设置应用系统连接超时时间，超时需重新登录连接。

答：支持。

e)

应启用身份鉴别、用户身份标识唯一性检查、用户身份鉴别信息复杂度检查以及

登录失败处理功能，并根据安全策略配置相关参数。

1

）

应用系统应保证身份鉴别、

鉴别信息复杂度以及登录失败处理功能的开启并根

据

a)

、

b)

、

c)

、

d)

相关要求配置参数。

答：支持

a)

、

b)

、

d)

，部分支持

c)

。

1.1.1.2.

访

问控制（

S3

）

本项要求包括：

a)

应提供访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问；