7.1 鑒別模塊說明

7.1.1　鑒別模塊構成

鑒別模塊是為應用系統提供動態令牌鑒別及管理的服務系統，由兩個部分構成：鑒別服務子模塊、管理子模塊：

a) 鑒別服務子模塊對應用提供鑒別和管理服務。

b) 管理子模塊對鑒別模塊的運行進行管理。

7.1.2　令牌的狀態

令牌的狀態為鑒別模塊內保存的令牌工作狀態，如表1所示：

表1 令牌工作狀態表

7.1.3　令牌的數據

令牌的數據應包括：令牌序列號、密鑰數據、令牌狀態、上次使用時間、連續錯誤次數、令牌偏移量、其它配置參數等，其中：

a) 密鑰數據應加密存放。

b) 其它數據應采用校驗機制保證完整性。

7.1.4　令牌的同步

鑒別模塊應提供對令牌的內部計數器與系統的令牌計數器之間的同步處理。對于時間型令牌，使用雙向時間窗口；對于事件型令牌，使用單向事件窗口。

窗口指用于令牌時間與系統時間同步的窗口。時間型令牌根據不同的令牌同步需求，分別采用大窗口、中窗口、小窗口進行同步。

使用各種窗口時，要求如下：

a) 大窗口，窗口大小不應超過±10分鐘。使用大窗口同步時，要求下一個連續的動態口令匹配，同時調整系統的令牌偏移量。大窗口要求使用受限的同步服務，即進一步身份鑒別或需要更高權限才能執行大窗口的同步服務。大窗口可由鑒別模塊的授權運維人員使用，并應與應用系統的驗證碼機制同時使用。

b) 中窗口，窗口大小不應超過±5分鐘。使用中窗口同步時，要求下一個連續的動態口令匹配，同時調整系統的令牌偏移量。中窗口可由令牌用戶或鑒別模塊的運維人員使用，并應與應用系統的驗證碼機制同時使用。

c) 小窗口，窗口大小不應超過±2分鐘。使用小窗口同步時，鑒別模塊通過動態口令鑒別，同時調整系統的令牌偏移量。小窗口可由鑒別模塊自動調用，在令牌用戶使用動態口令進行身份鑒別時使用。

d) 事件型令牌的大窗口、中窗口、小窗口的大小，可由用戶與廠商協商制定，但應保證其鑒別的安全性和有效性。

7.1.5　自動鎖定和自動解鎖

令牌在使用過程中若連續多次驗證錯誤超過最大次數后，鑒別模塊會自動將該令牌狀態修改為“鎖定”。在超過設定的自動解鎖時間后，鑒別模塊會自動解除該令牌的鎖定狀態。

自動解鎖只能解除被自動鎖定的令牌。