ГОСТ Р МЭК 62443-3-3-2016 Сети промышленной коммуникации. Безопасность сетей и систем. Часть 3-3. Требования к системной безопасности и уровни безопасности (Переиздание)

     5.9 SR 1.7 - Надежность аутентификации по паролю

5.9.1 Требование

Применительно к системам управления, использующим аутентификацию по паролю, система управления должна обеспечивать возможность повышения надежности конфигурируемых паролей на основе минимальной длины и разнотипности символов.

5.9.2 Целесообразность и дополнительная методологическая основа

Аутентификация пользователей по имени пользователя и секретному паролю - весьма распространенный механизм. Многие атаки на такие механизмы нацелены на разгадывание пароля (например, атаки перебором по словарю или целенаправленная социальная инженерия) или взлом криптографической защиты отображения хранимого пароля (например, посредством радужных таблиц или грубого подбора хеш-коллизии).

Увеличение размера набора действительных паролей за счет увеличения количества допустимых символов затрудняет такие атаки, но лишь в том случае, если увеличенный размер набора действительно используется (обычно пользователи не склонны включать в состав пароля специальные символы, поскольку они сложны для восприятия и труднее запоминаются). Ограничение срока действия пароля сужает окно возможности для злоумышленника в плане выявления секрета, лежащего в основе отдельно взятого пароля. Для того чтобы пользователи не могли обойти эту директиву, сменив однажды свой пароль на новый и затем сразу же заменив его прежним, обычно, помимо всего прочего, устанавливается минимальный срок действия пароля. Уведомление о необходимости смены пароля до истечения срока его действия позволяет пользователю сменить пароль в удобное время с учетом рабочей обстановки.

Эта защита может быть дополнительно усилена посредством ограничения повторного использования паролей (запрещения малых наборов чередующихся паролей), что дополнительно снижает практическую пользу однократно взломанного пароля. Многофакторная аутентификация позволяет добиться дополнительной защиты, выходящей за рамки механизмов на основе паролей (см. 5.3, SR 1.1 - Идентификация и аутентификация пользователей - физических лиц, и 5.4, SR 1.2 - Идентификация и аутентификация программных процессов и устройств).

5.9.3 Расширения требований

5.9.3.1 SR 1.7 RE1 - Ограничения на генерацию паролей и сроки их действия для пользователей - физических лиц

Система управления должна обеспечивать возможность предотвращения повторного использования пароля учетной записью любого отдельно взятого пользователя - физического лица для конфигурируемого числа генераций. Кроме того, система управления должна обеспечивать возможность установления ограничений минимального и максимального сроков действия паролей для пользователей - физических лиц.

Эти возможности должны согласовываться с общепринятыми практиками индустрии безопасности.

Примечание - В соответствии с общепринятой практикой система управления обеспечивает возможность напоминания пользователю о смене пароля через конфигурируемый период времени до истечения срока его действия.

5.9.3.2 SR 1.7 RE2 - Ограничения сроков действия паролей для всех пользователей

Система управления должна обеспечивать возможность установления ограничений минимального и максимального сроков действия паролей для всех пользователей.

5.9.4 Уровни безопасности

Далее приведены требования для уровней SL, относящихся к SR 1.7 - Надежность аутентификации по паролю:

- SL-C (IAC, система управления) 1: SR 1.7;

- SL-C (IAC, система управления) 2: SR 1.7;

- SL-C (IAC, система управления) 3: SR 1.7 (1);

- SL-C (IAC, система управления) 4: SR 1.7 (1) (2).