lte-security-profile/docs/22.md

3. کلاس شناسایی و احراز هویت

به عنوان ابزاری امن برای ورود، مودم باید یک سازوکار ورود مبتنی بر گذرواژه را در اختیار مدیر یا سرپرست مودم قرار دهد. مودم باید سرپرست را ملزم به انتخاب یک گذرواژه قدرتمند کرده و نیز او را ملزم به تغییر مرتب این گذرواژه کند. همچنین برای جلوگیری از حملاتی که در آن‌ها فرد مهاجم نوشتن گذرواژه یا فرایند ورود سرپرست به مودم را می‌بیند، گذرواژه باید در هنگام ورود به مودم به حالت محو و ناخوانا دیده شود. قفل کردن و یا خاتمه دادن خودکار به هر نشست غیرفعال بعد از یک مدت زمان معین را نیز می‌توان برای جلوگیری از ورود غیرمجاز به مودم به وسیله دزدیدن نشست‌های قبلی قرار داد. همچنین گذرواژه‌ها باید به شکل محو و ناخوانا در حافظه ذخیره شوند، به گونه‌ای که هیچ واسطی برای خواندن آن به شکل متن ساده وجود نداشته باشد.

شماره الزام	نام الزام
20	مدیریت احراز هویت ناموفق 1 (FIA_AFL.1)
مودم باید قادر به تشخیص مواقعی باشد که در آن تعداد دفعات تلاش یک موجودیت برای احراز هویت و لاگین کردن به عنوان سرپرست مودم به صورت راه دور از تعداد معینی ]اختصاص: تعداد دفعات[ فراتر می‌رود. همان‌طور که در اختصاص مشخص شده است، این تعداد معین باید توسط سرپرست مودم قابل تنظیم باشد.
21	مدیریت احراز هویت ناموفق 2 (FIA_AFL.2)
با رسیدن به تعداد دفعات ناموفق تعیین‌شده در لاگین کردن، مودم باید ]انتخاب: اکانت راه دور مذکور را تا زمانی که یک ]اختصاص: اقدام[ توسط یک مدیر محلی انجام شود در حالت قفل نگه دارد؛ اکانت تخطی‌کننده را قفل کند تا وقتی که یک دوره زمانی تعریف شده توسط سرپرست سپری شود.[ نکات کاربردی: منظور از قفل کردن در الزام فوق، اجازه ندادن برای احراز هویت و ورود به سیستم است. این الزام تنها به سرپرستان راه دور اعمال می‌شود و نه سرپرستان محلی که به طور مثال با کابل قصد اتصال به مودم را دارند. رسیدن به این مهم نیازمند وجود اکانت‌های سرپرستی محلی و راه دور جداگانه یا داشتن سازوکار احراز هویتی است که بتواند انواع ورود محلی و راه دور را به صورت متمایز تشخیص دهد. در خصوص قسمت اختصاص و تعیین یک اقدام مناسب برای آن به طور مثال می‌توان به ریست کردن پسورد و یا خارج کردن اکانت مذکور از حالت قفل اشاره کرد. سند خلاصه مشخصات مودم باید بیان کند که مودم چگونه این اطمینان را ایجاد می‌کند که مسدود شدن موقت یا دائم یک سرپرست راه دور به دلیل شکست‌های مداوم در احراز هویت، باعث به وجود آمدن عدم دسترس‌پذیری محلی سرپرست نمی‌شود (به طور مثال با تعریف کردن یک اکانت محلی که مسدودسازی برای آن اعمال نمی‌شود).
22	مدیریت رمز ورود 1 (FIA_PMG_EXT.1)
مودم باید امکانات زیر را برای تعریف گذرواژه یا پسوردهای مدیریتی فراهم کند: گذرواژه را باید بتوان با هر ترکیبی از حروف کوچک و بزرگ، اعداد و کاراکترهای ویژه مطرح شده در این بخش ساخت: ]انتخاب: "("، ")"، "*"، "&"، "^"، "%"، "$"، "#"، "@"، "!"، ]اختصاص: سایر کاراکترها[[. حداقل طول گذرواژه باید قابل پیکربندی به یک عدد مابین ]اختصاص: کمترین تعداد کاراکترهای قابل پشتیبانی توسط مودم[ و ]اختصاص: تعداد کاراکترهای بزرگتر مساوی با 15[ باشد. نکات کاربردی: نویسنده هدف امنیتی کاراکترهای ویژه قابل استفاده در گذرواژه را انتخاب می‌کند. وی می‌تواند با استفاده از عبارت اختصاص در بند 1، کاراکترهای دیگری را به لیست اضافه کند. منظور از واژه "گذرواژه مدیریتی" گذرواژه‌هایی هستند که توسط مدیران سیستم در کنسول محلی یا برای پروتکل‌هایی که از گذرواژه پشتیبانی می‌کنند مانند SSH و HTTPS مورد استفاده قرار می‌گیرند. این گذرواژه‌ها گاهی نیز برای ارائه آن دسته از داده‌های پیکربندی که از دیگر الزامات کارکرد امنیتی در مودم پشتیبانی می‌کنند، مورد استفاده قرار می‌گیرند. اختصاص دوم از بند 2، باید به بزرگترین مقداری که می‌تواند برای کمینه طول رمز عبور توسط سرپرست پیکربندی شود، تنظیم گردد.
23	شناسایی و احراز هویت کاربر 1 (FIA_UIA_EXT.1.1)
به هنگام اتصال یک موجودیت خارجی مانند یک سرپرست انسانی به مودم، پیش از انجام فرایند احراز هویت، مودم باید اجازه انجام فعالیت‌های زیر را بدهد: نمایش بنر هشدار با توجه به الزام FTA_TAB.1 (این بنر در مورد دسترسی غیرمجاز به مودم هشدار می‌دهد.) ]انتخاب: هیچ اقدامی، ]اختصاص: لیستی از سرویس‌ها و اقداماتی که مودم می‌تواند بدون نیاز به احراز هویت برای کاربر فراهم کند.[[ نکات کاربردی: ممکن است در مواردی امکان ارائه برخی از سرویس‌ها بدون نیاز به احراز هویت در مودم به کاربران فراهم شود. به طور مثال کاربر بتواند پیش از احراز هویت و اتصال به مودم با انجام سرویس ping از اتصال آن به اینترنت مطمئن شود. این گونه سرویس‌ها را می‌توان در قسمت اختصاص از مورد 2 گنجاند.
24	شناسایی و احراز هویت کاربر 2 (FIA_UIA_EXT.1.2)
پیش از آن که مودم امکان انجام اقدامات مدیریتی در خود را فراهم آورد، باید هر مدیر سیستم را ملزم کند که به صورت موفق شناسایی و احراز هویت شود. احراز هویت می‌تواند مبتنی بر گذرواژه و از طریق کنسول محلی و یا از طریق پروتکلی صورت گیرد که از گذرواژه‌ها پشتیبانی می‌کند (مانند SSH) و یا بر اساس گواهینامه انجام شود (مانند SSH و TLS).
25	سازوکار احراز هویت بر اساس رمز عبور (FIA_UAU_EXT.2.1)
مودم باید یک سازوکار احراز هویت محلی مبتنی بر ]انتخاب: گذرواژه، کلید عمومی SSH، گواهینامه، ]اختصاص: مکانیزم‌های احراز هویت دیگر[[ برای احراز هویت سرپرستان محلی فراهم کند. نکات کاربردی: عبارت اختصاص برای مشخص کردن دیگر سازوکارهای محلی احراز هویت پشتیبانی شده است. سازوکارهای احراز هویت محلی در واقع آن‌هایی هستند که از طریق کنسول محلی انجام می‌شوند. نشست‌های مدیریتی راه دور و سازوکارهای احراز هویت مربوط به آن‌ها در الزام FTP_TRP.1/Admin مشخص شده‌اند.
26	سازوکار اتصال و احراز هویت روی لینک هوایی/احراز هویت (FIA_UAU_EXT.3.1)
مودم باید مکانیزم احراز هویت در فرایند اتصال مودم به شبکه LTE را مطابق با پروتکل AKA و سازوکار تعریف شده در سند TS 33.401 پیاده‌سازی کند. نکات کاربردی: همان‌طور که در زیربخش مربوط به تهدید "ضعف در احراز هویت سیستم‌های دیگر" بیان شد، مکانیزم AKA روندی استاندارد برای احراز هویت دوطرفه میان مودم و شبکه LTE فراهم می‌کند که مبتنی بر کلید مستر K است. این مکانیزم ضمن اینکه به طرفین کمک می‌کند تا از هویت یکدیگر مطمئن شوند، در پایان اجرای آن منتهی به تولید کلید KASME از کلید K می‌شود که مختص اتصال مربوطه بوده و کلیدهای بعدی نیز از آن استخراج خواهند شد.
27	سازوکار اتصال و احراز هویت روی لینک هوایی/مقابله با تهدید منع سرویس (FIA_UAU_EXT.3.2)
در صورت دریافت پیام ATTACH REJECT و TRACKING AREA UPDATE REJECT در فرایند اتصال مودم به شبکه LTE، مودم باید به تلاش مجدد برای اتصال به شبکه با جستجو کردن ایستگاه‌های باند پایه دیگر ادامه دهد. نکات کاربردی: این الزام از وقوع منع سرویس با ارسال پیام‌های مذکور از جانب یک ایستگاه پایه تقلبی جلوگیری می‌کند. علت وقوع تهدید مربوطه از آنجاست که پیام ATTACH REJECT پیش از انجام احراز هویت دوطرفه می‌تواند ارسال شود و از این رو، مودم نمی‌تواند تشخیص دهد که این پیام از جانب یک ایستگاه پایه معتبر یا تقلبی ارسال شده است. از سوی دیگر با دریافت این پیام معمولاً سیم‌کارت تلاش مجددی برای اتصال به شبکه انجام نمی‌دهد و گاهاً نیاز به ریستارت آن است. لذا برای رفع این مشکل باید مکانیزمی لحاظ شود تا در صورت دریافت پیام ذکر شده، مودم به تلاش برای اتصال به دیگر ایستگاه‌های پایه ادامه دهد.
28	سازوکار اتصال و احراز هویت روی لینک هوایی/مقابله با تهدید تقلیل به تکنولوژی GSM (FIA_UAU_EXT.3.3)
مودم باید امکان انتخاب نوع شبکه سلولار را به مدیر بدهد. نکات کاربردی: منظور از نوع شبکه، انواع LTE، UMTS و GSM است. الزام فوق بیان می‌کند که به طور مثال سرپرست بتواند با انتخاب LTE و UMTS از اتصال به شبکه GSM جلوگیری کند. ضرورت الزام فوق از آنجاست که به علت نبود احراز هویت دوطرفه در تکنولوژی GSM، یک ایستگاه پایه تقلبی می‌تواند با استفاده از این امکان، مودم را مجبور به استفاده از تکنولوژی GSM کند، بدون اینکه مودم قادر به تشخیص این باشد که به ایستگاه تقلبی متصل شده است. مزیت این اتصال برای ایستگاه تقلبی این خواهد بود که الگوریتم‌های رمزنگاری مورد استفاده در GSM دارای ایرادات اساسی بوده و ترافیک قابل شنود خواهد بود. (تذکر: در صورتی که پردازنده باند پایه و سیم‌کارت از چنین امکانی پشتیبانی نمی‌کنند، پیاده‌سازی این الزام در نسخه فعلی از این پروفایل حفاظتی اجباری نخواهد بود.)
29	سازوکار اتصال و احراز هویت روی لینک هوایی/استفاده از شناسه موقتی (FIA_UAU_EXT.3.4)
مودم باید امکان استفاده از شناسه موقتی GUTI به جای IMSI را در فرایند اتصال به شبکه LTE داشته باشد. نکات کاربردی: همان‌طور که تشریح فرایند اتصال مودم به شبکه LTE بیان شد، ارسال شناسه IMSI به صورت متن-ساده انجام شده و لذا به سادگی قابل شنود است. این مسأله امکان شناسایی کاربران موجود در یک ناحیه را نیز برای یک ایستگاه پایه تقلبی فراهم می‌کند. تخصیص شناسه‌های موقتی و مختص به نشست به مودم مانند GUTI توسط شبکه LTE می‌تواند از مشکل ذکرشده جلوگیری کند. برای رسیدن به این هدف مودم نیز باید قادر به پشتیبانی و استفاده از این شناسه‌های موقتی باشد.
30	سازوکار اتصال و احراز هویت روی لینک هوایی/استفاده از کد PIN روی سیم‌کارت (FIA_UAU_EXT.3.5)
سیم‌کارت مورد استفاده در مودم باید از کد PIN پشتیبانی کند. نکات کاربردی: اهمیت پشتیبانی از این کد برای استفاده از سیم‌کارت این است که در صورت دزدیده شدن آن توسط افراد غیر، بدون احراز هویت با این کد قابل استفاده نباشد.
31	بازخورد امن در مکانیزم احراز هویت (FIA_UAU.7)
هنگامی که فرایند احراز هویت روی کنسول محلی در حال جریان است، مودم تنها باید بازخورد مبهم را در اختیار سرپرست مودم قرار دهد. نکات کاربردی: "بازخورد مبهم" به معنی بازخوردی است که در آن مودم داده‌های احراز هویت واردشده توسط کاربر را به صورت واضح و قابل خواندن نشان نمی‌دهد؛ البته ممکن است روند پیشرفت به شکل مبهم نشان داده شود (مانند یک ستاره برای هر کاراکتر). بازخورد مبهم همچنین نشان می‌دهد که مودم در جریان احراز هویت هیچ اطلاعاتی را که ممکن است نشان‌دهنده داده‌های احراز هویت باشد، نمایش نمی‌دهد.