英国立法禁止物联网设备使用默认密码（口令），飞天诚信：替代选项有……

飞天诚信 2024-07-31 17:33:44  17277

分类专栏：资讯

随着《产品安全和电信基础设施法案2022》（Product Security and Telecommunications Infrastructure Act 2022，以下简称“PSTI法案”）于今年4月底强制实施，英国成为全球首个禁止物联网设备使用默认可猜测用户名和密码的国家（但默认安装的唯一密码仍被允许）。

PSTI法案规定了可连接互联网的产品以及能够连接到此类产品和电子通信基础设施的产品的安全性，要求所有参与英国可连接消费产品供应链的企业，都必须符合最低产品安全要求才能投放市场。相关产品的制造商、进口商和分销商必须遵守该法案的安全要求，制造商和进口商必须确保产品附有合规声明，并在出现合规失败的情况下采取行动，保存调查记录等。否则违规企业最高处以1000万英镑或其全球营业额4%的罚款。该法案将由英国产品安全和标准办公室（OPSS）监管。

PSTI法案分为两个部分：第一部分是保护产品免受网络攻击的安全要求，规定在英国销售的消费者互联网接入产品必须遵守的最低网络安全要求。主要包括：

产品安全要求：法案规定了适用范围内互联产品必须满足的产品安全要求。这些要求涵盖了技术设计、身份验证、数据保护和漏洞修复等方面，以确保产品在设计和运营中具备足够的安全性；
审查和报告：法案要求相关企业对其产品进行评估，确保符合安全要求。此外，企业需要向相关机构提交安全报告，以展示其产品的安全性；
制裁措施：PSTIA授予相关机构权力，对未符合安全要求的产品采取制裁措施，包括罚款和禁止销售等。

第二部分是电信基础设施指南。值得注意的关键点包括：

密码要求：PSTI法案禁止通用默认密码（口令），并对口令强度有相关要求；
安全管理问题：PSTI法案要求制造商应公布漏洞披露政策，即发现漏洞的任何人都可以通知制造商，制造商通知其客户并及时提供修复的信息；
安全更新周期：PSTI法案规定，制造商需要有明确且透明的方式对用户公布最短的安全更新周期，即明确说明制造商将持续提供多长时间的更新。

PSTI法案覆盖的产品范围包括连接互联网的相关产品，例如网络摄像头、智能门锁、报警系统、智能家居助手、智能手机、智能家电、可穿戴设备等，也适用于不能直接连接到互联网但能同时连接到多个其他设备的产品，如智能照明器具、智能控制器、物联网基站等。但是，英国已有立法涵盖的产品（包括医疗保健监控产品和智能电表）或复杂的产品（如自动驾驶汽车）不包括在PSTI法案中。与此同时，也有部分产品拥有豁免权，其中包括：北爱尔兰销售的产品；台式机、平板电脑，以及14岁以上使用的电脑平板；智能电表、电动汽车充电桩和医疗设备。

网络设备的默认密码（口令）一直是网络安全的痛点之一。一方面，未及时修改的默认口令容易成为网络攻击的“破口”，网络黑客可利用默认口令在网络中长驱直入；另一方面，网络设备的默认口令修改之后，如果网络服务出现停服等重大故障，紧急恢复时还需要核实网络设备的当前口令，容易影响恢复速度，甚至可能因为忘记口令而导致无法执行设备重启等操作。

动态口令是一种一次性口令机制。用户无需记忆口令，也无需手工更改口令，口令通过用户持有的客户端器件生成，并基于一定的算法与服务端形成同步，从而作为证明用户身份的依据。根据飞天诚信牵头修订的密码行业标准GM/T 0021-2023《动态口令密码应用技术规范》中的描述，动态口令系统可通过RADIUS、PAM等流行框架与应用对接，与默认口令一道形成双因素认证。

除此之外，“无密码”认证机制也值得考虑。来自世界各地的数百家技术公司和服务提供商在FIDO联盟和W3C的合作下创建了“无密码”登录标准（WebAuthn），该标准已经被数十亿设备和所有现代网络浏览器所支持。通过制定开放的、可扩展的、可互操作的协议，FIDO 联盟正在从本质上改变着身份认证，从而改变取代在线服务对用户进行身份认证时对密码的依赖。飞天诚信于2014年加入FIDO联盟，是FIDO梁萌董事会成员之一。自2017年与微软合作推出第一个FIDO2生物识别无密码认证安全解决方案以来，飞天诚信构建了丰富的FIDO产品线，包括BioPass FIDO、BioPass FIDO Plus （支持FIDO2和PIV），AllinPass FIDO产品（USB / NFC / BLE）等等。

飞天诚信是Duo Security技术合作伙伴，以提供OTP、FIDO U2F和支持WebAuthn的FIDO Security Key而闻名。Duo和FEITIAN的合作提供了安全、用户友好的客户体验，包括通过FIDO认证的安全密钥的部署，通过提供安全数据和信息访问的扩展选项，使客户可以访问和灵活地进行用户身份认证。用户可以从OTP令牌快速生成一次性口令，或触摸插入设备的物理USB安全密钥（FIDO Security Key）以安全登录帐户。这些设备使用称为安全元件（SE）的防篡改组件来保护私钥。将Duo与FEITIAN OTP令牌或FIDO Security Key一起使用，可以提供强大的身份认证机制。

网站声明：如果转载，请联系本站管理员。否则一切后果自行承担。

本文链接：https://www.xckfsq.com/news/show.html?id=54071

赞同 2

评论 0 条

英国立法禁止物联网设备使用默认密码（口令），飞天诚信：替代选项有……

相关文章

关注我们