5.1 身份鑒別

5.1.1 用戶標識

a) 基本標識：應在SSF實施所要求的動作之前，先對提出該動作要求的用戶進行標識。

b) 唯一性標識：應確保所標識用戶在信息系統生存周期內的唯一性，并將用戶標識與安全審計相關聯。

c) 標識信息管理：應對用戶標識信息進行管理、維護，確保其不被非授權地訪問、修改或刪除。

5.1.2 用戶鑒別

a) 基本鑒別：應在SSF實施所要求的動作之前，先對提出該動作要求的用戶成功地進行鑒別。

b) 不可偽造鑒別：應檢測并防止使用偽造或復制的鑒別數據。一方面，要求SSF應檢測或防止由任何別的用戶偽造的鑒別數據，另一方面，要求SSF應檢測或防止當前用戶從任何其它用戶處復制的鑒別數據的使用；

c) 一次性使用鑒別：應能提供一次性使用鑒別數據操作的鑒別機制，即SSF應防止與已標識過的鑒別機制有關的鑒別數據的重用；

d) 多機制鑒別：應能提供不同的鑒別機制，用于鑒別特定事件的用戶身份，并且SSF應根據所描述的多種鑒別機制如何提供鑒別的規則，來鑒別任何用戶所聲稱的身份；

e) 重新鑒別：應有能力規定需要重新鑒別用戶的事件，即SSF應在需要重鑒別的條件表所指示的條件下，重新鑒別用戶。例如，用戶終端操作超時被斷開后，重新連接時需要進行重鑒別。

5.1.3 用戶-主體綁定

在SSON安全功能控制范圍之內，對一個已標識和鑒別的用戶，為了要求SSF完成某個任務，需要激活另一個主體（如進程），這時，要求通過用戶-主體綁定將該用戶與該主體相關聯，從而將用戶的身份與該用戶的所有可審計行為相關聯。

5.1.4 鑒別失敗處理

要求SSF為不成功的鑒別嘗試次數（包括嘗試數目和時間的閾值）定義一個值，以及明確規定達到該值時所應采取的動作。鑒別失敗的處理應包括檢測出現相關的不成功鑒別嘗試的次數與所規定的數目相同的情況，并進行預先定義的處理。