等保 2.0 三级对身份鉴别的要求，以及怎么落地

三级系统身份鉴别的四条要求

以下是对标准中第三级“身份鉴别”要求的概括，具体以标准原文和测评机构的解释为准：

• 对登录的用户进行身份标识和鉴别，身份标识要唯一，鉴别信息（如口令）要有复杂度要求并定期更换。
• 要有登录失败处理功能：结束会话、限制非法登录次数，登录连接超时自动退出。
• 远程管理时，要采取措施防止鉴别信息在网络传输中被窃听。
• 采用口令、密码技术、生物技术等两种或两种以上组合的鉴别技术，且其中一种鉴别技术至少使用密码技术来实现。

逐条怎么落地

• 唯一标识和复杂度：统一认证平台保证每个用户名唯一，配置密码强度策略和历史密码检查，禁止使用弱口令。
• 登录失败处理：在平台上设置连续失败次数上限和锁定时长，设置会话和令牌的有效期，并限制同一账号同时在线的数量。
• 防窃听：登录页和所有接口只走 HTTPS；对密码应用有要求的系统使用国密 TLS。
• 两种以上鉴别技术：统一开启多因素认证。由于要求其中一种是密码技术，实践中常见的组合是“口令 + 基于商用密码的 UKey 或数字证书”，或“口令 + 动态口令令牌”，具体以测评机构的意见为准。

访问控制和安全审计也相关

同一部分的“访问控制”要求为用户分配账号和权限、删除多余和过期的账号、实现管理用户的权限分离，授予最小权限；“安全审计”要求审计覆盖每个用户、对重要事件审计，并保护审计记录不被删除和篡改。按《网络安全法》，网络日志要留存不少于六个月。统一认证平台的角色权限管理、离职自动停用、三员分立和集中审计日志，可以覆盖其中和账号、登录有关的部分。

为什么要集中到统一认证平台

如果每个业务系统各自实现密码策略、失败锁定和多因素认证，不但重复建设，而且水平参差不齐，测评时要一个系统一个系统地查。业务系统接入统一认证平台的单点登录后，身份鉴别在一个地方完成，测评时检查平台的配置和日志即可；业务系统自己只需要关闭本地登录入口，或者仅保留应急账号。

Casdoor 能做到哪些

• 开源版：唯一用户名、密码强度策略和历史密码检查、登录失败锁定、令牌有效期、限制同时在线数、TOTP 和短信等多因素认证、审计日志和 Syslog 转发。
• 商业版：按应用设置空闲超时、首次登录强制改密、长期不用的账号自动禁用、拦截已泄露的密码。
• 企业版：三员分立、审计日志哈希链防篡改并至少保存 6 个月、按测评项对应的配置核查清单、国密 TLS、UKey 和数字证书登录，并配合测评。