犐犆犛３５．０４０

犃９０

中華人民共和國(guó)公共安全行業(yè)標(biāo)準(zhǔn)

犌犃／犜６８６—２００７

信息安全技術(shù)

虛擬專用網(wǎng)安全技術(shù)要求

犐狀犳狅狉犿犪狋犻狅狀狊犲犮狌狉犻狋狔狋犲犮犺狀狅犾狅犵狔—

犜犲犮犺狀犻犮犪犾狉犲狇狌犻狉犲犿犲狀狋狊狅犳狏犻狉狋狌犪犾狆狉犻狏犪狋犲狀犲狋狑狅狉犽狊犲犮狌狉犻狋狔

２００７０３２０發(fā)布２００７０５０１實(shí)施

中華人民共和國(guó)公安部發(fā)布

書

犌犃／犜６８６—２００７

目次

前言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅴ

引言!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!Ⅵ

１范圍!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

２規(guī)范性引用文件!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

３術(shù)語(yǔ)、定義和縮略語(yǔ)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１

４ＶＰＮ的一般說(shuō)明!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４．１概述!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４．２安全環(huán)境!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４．２．１安全威脅!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２

４．２．２安全應(yīng)用假設(shè)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５安全功能技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１標(biāo)識(shí)和鑒別!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１．１用戶標(biāo)識(shí)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１．２用戶鑒別!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３

５．１．３鑒別失敗處理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．１．４用戶主體綁定!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２安全審計(jì)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２．１安全審計(jì)的響應(yīng)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２．２安全審計(jì)數(shù)據(jù)產(chǎn)生!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!４

５．２．３安全審計(jì)分析!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．２．４安全審計(jì)查閱!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．２．５安全審計(jì)事件存儲(chǔ)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．２．６網(wǎng)絡(luò)環(huán)境安全審計(jì)與評(píng)估!!!!!!!!!!!!!!!!!!!!!!!!!!!!５

５．３通信抗抵賴!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．３．１抗原發(fā)抵賴!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．３．２抗接收抵賴!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．４標(biāo)記!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!６

５．５自主訪問(wèn)控制!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

５．６強(qiáng)制訪問(wèn)控制!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

５．７用戶數(shù)據(jù)存儲(chǔ)保護(hù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

５．８用戶數(shù)據(jù)傳輸保護(hù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

５．８．１ＶＰＮ內(nèi)數(shù)據(jù)傳輸保護(hù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!７

５．８．２ＶＰＮ向公用網(wǎng)絡(luò)輸出數(shù)據(jù)的保護(hù)!!!!!!!!!!!!!!!!!!!!!!!!!７

５．８．３公用網(wǎng)絡(luò)向ＶＰＮ輸入數(shù)據(jù)的保護(hù)!!!!!!!!!!!!!!!!!!!!!!!!８

５．９用戶數(shù)據(jù)完整性保護(hù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．９．１存儲(chǔ)數(shù)據(jù)的完整性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．９．２傳輸數(shù)據(jù)的完整性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．９．３處理數(shù)據(jù)的完整性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

Ⅰ

書

犌犃／犜６８６—２００７

５．１０剩余信息保護(hù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．１１隱蔽信道分析!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．１１．１一般性的隱蔽信道分析!!!!!!!!!!!!!!!!!!!!!!!!!!!!!８

５．１１．２系統(tǒng)化的隱蔽信道分析!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

５．１１．３徹底化的隱蔽信道分析!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

５．１２可信路徑!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

５．１３密碼支持!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

６安全保證技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

６．１ＶＰＮ安全功能自身安全保護(hù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

６．１．１安全運(yùn)行測(cè)試!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

６．１．２失敗保護(hù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!９

６．１．３輸出ＶＰＮ安全功能數(shù)據(jù)的可用性!!!!!!!!!!!!!!!!!!!!!!!!９

６．１．４輸出ＶＰＮ安全功能數(shù)據(jù)的保密性!!!!!!!!!!!!!!!!!!!!!!!!１０

６．１．５輸出ＶＰＮ安全功能數(shù)據(jù)的完整性!!!!!!!!!!!!!!!!!!!!!!!!１０

６．１．６ＶＰＮ內(nèi)ＶＰＮ安全功能數(shù)據(jù)傳輸!!!!!!!!!!!!!!!!!!!!!!!!１０

６．１．７物理安全保護(hù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

６．１．８可信恢復(fù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１０

６．１．９重放檢測(cè)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．１．１０參照仲裁!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．１．１１域分離!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．１．１２狀態(tài)同步協(xié)議!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．１．１３時(shí)間戳!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．１．１４數(shù)據(jù)一致性!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．１．１５安全功能檢測(cè)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．１．１６資源利用!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１１

６．１．１７ＶＰＮ安全設(shè)施訪問(wèn)控制!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

６．１．１８可信路徑／信道!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１２

６．２ＶＰＮ設(shè)計(jì)和實(shí)現(xiàn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

６．２．１配置管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１３

６．２．２分發(fā)和操作!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

６．２．３開(kāi)發(fā)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１４

６．２．４指導(dǎo)性文檔!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

６．２．５生命周期支持!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１６

６．２．６測(cè)試!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１７

６．２．７脆弱性評(píng)定!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１８

６．３ＶＰＮ安全設(shè)施安全管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１９

６．３．１功能管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１９

６．３．２安全屬性的管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１９

６．３．３ＶＰＮ安全功能數(shù)據(jù)的管理!!!!!!!!!!!!!!!!!!!!!!!!!!!１９

６．３．４安全角色管理!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!１９

６．３．５時(shí)限授權(quán)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

６．３．６撤銷!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

７ＶＰＮ安全保護(hù)等級(jí)劃分要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

Ⅱ

犌犃／犜６８６—２００７

７．１第一級(jí)：用戶自主保護(hù)級(jí)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

７．１．１安全功能技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

７．１．２安全保證技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２０

７．２第二級(jí)：系統(tǒng)審計(jì)保護(hù)級(jí)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２１

７．２．１安全功能技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２１

７．２．２安全保證技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２２

７．３第三級(jí)：安全標(biāo)記保護(hù)級(jí)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２３

７．３．１安全功能技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２３

７．３．２安全保證技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２４

７．４第四級(jí)：結(jié)構(gòu)化保護(hù)級(jí)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２５

７．４．１安全功能技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２５

７．４．２安全保證技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２６

７．５第五級(jí)：訪問(wèn)驗(yàn)證保護(hù)級(jí)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２８

７．５．１安全功能技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２８

７．５．２安全保證技術(shù)要求!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!２９

附錄Ａ（資料性附錄）標(biāo)準(zhǔn)概念說(shuō)明!!!!!!!!!!!!!!!!!!!!!!!!!!３１

Ａ．１組成與相互關(guān)系!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３１

Ａ．２ＶＰＮ安全等級(jí)的劃分!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３１

Ａ．３關(guān)于ＶＰＮ中的主體與客體!!!!!!!!!!!!!!!!!!!!!!!!!!!!３３

Ａ．４關(guān)于ＶＰＮ中的安全設(shè)施、安全功能和安全功能策略!!!!!!!!!!!!!!!!!３３

Ａ．５關(guān)于密碼技術(shù)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３４

參考文獻(xiàn)!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!３５

Ⅲ

犌犃／犜６８６—２００７

前言

本標(biāo)準(zhǔn)從信息技術(shù)方面詳細(xì)規(guī)定了各安全保護(hù)級(jí)別的ＶＰＮ系統(tǒng)所應(yīng)具有的安全功能要求和安全

保證要求。

本標(biāo)準(zhǔn)的附錄Ａ為資料性附錄。

本標(biāo)準(zhǔn)由公安部公共信息網(wǎng)絡(luò)安全監(jiān)察局提出。

本標(biāo)準(zhǔn)由公安部信息系統(tǒng)安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)歸口。

本標(biāo)準(zhǔn)起草單位：中國(guó)科學(xué)院研究生院信息安全國(guó)家重點(diǎn)實(shí)驗(yàn)室。

本標(biāo)準(zhǔn)主要起草人：荊繼武、馮登國(guó)、夏魯寧、聶曉峰、黃敏、王瓊霄、許良玉、高能、林瞡鏘、呂欣、

廖洪鑾。

Ⅴ

犌犃／犜６８６—２００７

引言

本標(biāo)準(zhǔn)用以指導(dǎo)設(shè)計(jì)者如何設(shè)計(jì)和實(shí)現(xiàn)具有所需要的安全等級(jí)的虛擬專用網(wǎng)產(chǎn)品，主要從對(duì)虛擬

專用網(wǎng)的安全保護(hù)等級(jí)進(jìn)行劃分的角度來(lái)說(shuō)明其技術(shù)要求，即主要說(shuō)明為實(shí)現(xiàn)ＧＢ１７８５９—１９９９中每

一個(gè)安全保護(hù)等級(jí)的安全要求對(duì)虛擬專用網(wǎng)應(yīng)采取的安全技術(shù)措施，以及各安全技術(shù)要求在不同安全

保護(hù)等級(jí)中具體實(shí)現(xiàn)上的差異。

本標(biāo)準(zhǔn)對(duì)虛擬專用網(wǎng)系統(tǒng)安全等級(jí)保護(hù)所涉及的安全功能技術(shù)要求和安全保證技術(shù)要求做了比較

全面的描述，按ＧＢ１７８５９—１９９９五個(gè)安全保護(hù)等級(jí)的劃分，對(duì)每一個(gè)安全保護(hù)等級(jí)的安全功能技術(shù)要

求和安全保證技術(shù)要求做了詳細(xì)描述。文中每一級(jí)別比上一級(jí)別新增的要求以加粗字表示。

Ⅵ

犌犃／犜６８６—２００７

信息安全技術(shù)

虛擬專用網(wǎng)安全技術(shù)要求

１范圍

本標(biāo)準(zhǔn)規(guī)定了按ＧＢ１７８５９—１９９９對(duì)虛擬專用網(wǎng)進(jìn)行安全等級(jí)保護(hù)劃分