安当SLA：国密USBKey过密评二级的逐项证据——身份鉴别条款对照与双因子组合设计-开发者社区

密评二级到底在查什么

商用密码应用安全性评估（简称密评）二级，对"身份鉴别"提出了明确的技术要求：信息系统中的身份鉴别信息，在存储、传输过程中必须采用密码技术保护；同时应采用两种或两种以上组合的鉴别技术（双因子）对用户身份进行鉴别，且其中一种须为密码技术实现的动态口令或生物特征。

很多单位卡在密评二级，不是因为没有做认证，而是因为"做了但拿不出证据"。测评人员要的不只是一个能登录的系统，而是一整套可验证、可追溯、可审计的证据链：你的密钥存在哪、你的算法合不合规、你的双因子是不是真双因子、你的应急流程能不能兜底。本文就围绕"身份鉴别"这一条，手把手给出安当SLA国密USBKey过密评二级的证据包设计。

需要先厘清一个常见误区：把"账号+密码"当作双因子是错误的。账号是身份标识，密码是单一种类的鉴别因素（所知），二者不构成双因子。真正的双因子必须是"不同性质"的因子组合，例如"所持（USBKey）+所知（PIN/动态码）“或"所持+所是（指纹）”。

身份鉴别条款逐条对照

下面把密评二级中"身份鉴别"相关的核心条款逐条列出，并说明安当SLA如何逐条满足。请注意，以下为条款要点的工程化解读，实际测评以相关国家标准原文及测评机构要求为准。

条款一：身份鉴别信息在传输过程中应使用密码技术进行保护。
对照：运维或办公人员登录操作系统时，安当SLA的认证交互链路采用国密SM2对鉴别报文做加密或签名，保证口令、挑战码等鉴别信息在从终端到认证组件的过程中不以明文暴露，满足传输保护。

条款二：身份鉴别信息在存储过程中应使用密码技术进行保护。
对照：USBKey中存放的私钥与证书受硬件保护，私钥不可导出；本地的鉴别凭证不以可逆形式落盘。安当SLA遵循"密钥不出硬件"原则，密钥生成与签名运算均在USBKey安全芯片内完成，从存储源头消除私钥泄漏风险。

条款三：应采用两种或两种以上组合的鉴别技术对用户进行身份鉴别。
对照：安当SLA在操作系统登录流程中嵌入第二因子。当配置为"USBKey+PIN"时，用户须同时持有USBKey（所持）并输入PIN（所知），构成标准双因子；当配置为"USBKey+指纹"时，则构成"所持+所是"组合，满足双因子要求。

条款四：其中一种鉴别技术应使用密码技术实现的动态口令或生物特征。
对照：USBKey本身即密码技术实现的持有因子（其内置国密芯片与证书）；指纹属于生物特征因子；二者均能命中该条款中"密码技术/生物特征"的要求，确保组合中至少有一项是高强度因子。

条款五：应具备登录失败处理与结束会话机制。
对照：安当SLA支持多次认证失败锁定、拔Key自动锁屏、超时自动注销。当USBKey被拔出，操作系统立即进入锁屏或注销状态，从会话生命周期层面收口身份鉴别的"退出"环节。

条款六：应提供审计功能，覆盖身份鉴别的关键事件。
对照：每次登录、认证成功/失败、USBKey插拔、应急OTP使用，都被记录到全链路审计日志，包含时间、账号、终端、因子类型，为密评的"安全审计"条款提供关联证据。

把上面六条串起来，就是一个可演示、可核验的闭环：传输有加密、存储有硬件保护、登录有双因子、会话有退出、事件有审计。测评现场只要把这六项证据依次展示，身份鉴别条款基本就能逐项过关。

USBKey双因子：持有+知悉的组合设计

安当SLA的USBKey采用国密算法体系，是典型的"持有因子"。它和PIN组成的"USBKey+所知"组合，是过密评二级最稳妥的方案。设计要点如下：

第一，密钥不出硬件。USBKey内的私钥在出厂或首次签发时于芯片内生成，外部无法读出。所有签名、解密运算都在芯片内完成。这意味着即便终端中了木马、内存被dump，攻击者也无法提取私钥去伪造身份。这是密评"存储保护"条款的硬核证据。

第二，PIN作为所知因子。PIN并不在网络或磁盘上明文传输存储，它只用于解锁USBKey本地运算。USBKey本身对连续错误PIN有锁定机制，防止暴力猜测。这样"持有USBKey"和"知道PIN"两件事必须同时成立，双因子才通过。

第三，挑战-响应而非静态口令。登录时系统向USBKey发送挑战，USBKey用私钥签名返回，服务端校验签名有效性。整个过程不暴露私钥，也不依赖一个可被重放的静态密码，抗中间人、抗重放能力显著强于传统口令。

第四，与操作系统登录流程深度嵌入。安当SLA把第二因子嵌入Windows、Linux、国产OS的登录环节，用户在系统原生登录界面之后（或之中）完成USBKey认证，无需额外跳转或第三方客户端，体验连贯，也减少了因"旁路登录"导致的绕过风险。

USBKey+指纹：增强型双因子

在更高安全诉求的场景下，可以把"USBKey+指纹"作为增强组合。这里指纹属于"所是"因子（生物特征），与USBKey（所持）构成异构双因子，理论上比"USBKey+PIN"更能抵御"被迫交出PIN"的胁迫场景——因为指纹无法像PIN一样被轻易转述。

工程上，安当SLA支持四因子体系：USBKey国密、OTP、指纹、掌纹。企业可按终端敏感度灵活组合。例如普通办公机用USBKey+PIN，研发核心机用USBKey+指纹，工控终端登录因环境无网络则用USBKey离线模式。这种分级策略既满足密评，又不过度打扰日常。

需要提醒的是，生物特征因子在密评证据里要特别注意"模板安全"。指纹模板不应以明文存储，应在安全区域或受保护存储中保存，并在匹配环节本地完成。安当SLA的指纹匹配在终端本地完成，模板不出端，符合"生物特征信息保护"的要求，这部分材料也要纳入测评证据包。

离线双因子：断网环境如何过评

密评现场常遇到一个尴尬：核心工控终端、隔离网主机根本没有网络，没法连中心认证服务器。这时候"在线双因子"方案直接失效。安当SLA的离线双因子正是为这类场景设计的。

离线模式下，USBKey本身携带证书与密钥，登录认证在终端本地完成校验，不依赖任何网络服务。对于完全隔离的环境，还可以启用离线应急OTP：管理员预签发一批一次性动态码，在USBKey遗失或故障时，运维人员使用应急OTP+账号完成临时双因子登录，事后该应急事件进入审计优先队列复核。

这里有一个关键证据点：离线模式不能因为"断网"就退化为单因子。测评关注的恰恰是"断网场景下你是不是仍然保持了双因子"。因此离线应急必须仍是"所知（应急OTP）+所持有（账号令牌/USBKey）"或类似组合，并且应急动作被完整记录，才能作为合规证据而非合规漏洞。拔Key自动锁屏在离线状态下同样生效，保证物理移除即锁定的强约束。

共享账号追溯：把自然人与系统账号解耦

很多单位操作系统里仍有"admin"“root”“operator"这类共享系统账号。密评和等保2.0都强调"账号唯一标识、操作可追溯”。共享账号最大的问题是：日志里只有"admin登录了"，却分不清是张三还是李四操作的。

安当SLA的做法是：即便目标机用的是共享系统账号，登录时的第二因子身份仍绑定到具体自然人（USBKey证书对应到人）。审计日志记录的不是"admin做了什么"，而是"张三（持有USBKey SNxxxx）以admin身份于某时登录某机"。这样就把"自然人身份"和"系统账号"解耦，实现共享账号可追溯。在密评的"审计"和"访问控制"条款下，这恰恰是高成熟度表现。

对于远程登录安全的场景，当人员不在现场、通过远程接入方式操作办公机或服务器时，USBKey双因子要求远程操作员也必须持有合法硬件因子，防止"口令泄漏即全网失守"。即便远程通道被截获，没有实体USBKey依然无法完成身份鉴别。

测评现场要准备的证据材料清单

把前面所有设计落到纸面，密评二级身份鉴别的测评材料建议包含以下清单：

商用密码产品资质证明：USBKey对应的商用密码产品认证证书或型号证明，证明其所用算法（SM2/SM3等）经国家认可；
算法合规声明：说明传输与存储环节使用的国密算法及工作模式，引用相关国家标准条款；
密钥不出硬件证明：USBKey厂商的安全芯片说明、私钥生成与运算在芯片内完成的架构图；
双因子配置截图：操作系统登录流程中嵌入USBKey+PIN（或USBKey+指纹）的配置界面与登录实测截图；
传输保护证据：鉴别报文采用SM2加密/签名的抓包或架构说明，证明口令不明文传输；
存储保护证据：本地不落盘私钥、凭证不可逆存储的部署说明；
会话退出证据：拔Key自动锁屏、超时注销的策略配置与实测记录；
审计日志样例：含登录成功/失败、USBKey插拔、应急OTP使用的全链路日志样例，字段含时间/账号/终端/因子；
应急流程文档：离线应急OTP签发、使用、复核的书面流程，证明降级仍保持双因子且可追溯；
人员绑定证明：USBKey证书与自然人对应的发放登记表，支撑共享账号可追溯；
兼容性说明：对Windows、Linux、麒麟、统信等目标系统的适配说明，证明方案在全量终端可用；
整改与复核记录：若历史测评有不符合项，附整改闭环记录。

这份清单的价值在于"让证据可对照条款"。测评人员翻开条款，你能立刻拿出对应材料，沟通效率会大幅提升，也最容易拿到高分。

以安当SLA为例看部署三形态

在落地时，企业常纠结"联网还是单机"。以安当SLA为例，它提供单机、联网、SaaS三种部署形态：单机适合隔离网与工控终端；联网适合有统一身份平台的企业，可与安当ASP联动实现集中策略；SaaS适合分支机构分散、想免运维的团队。过密评二级时，三种形态在"身份鉴别"证据上的核心要求一致，区别主要在策略集中度和运维成本，单位可按自身网络架构选择，不必为了过评强行改变整体IT形态。

需要特别指出，无论哪种部署，安当SLA都能与统一身份认证平台对接，把操作系统登录双因子纳入企业整体身份治理体系，避免"操作系统认证"成为身份链条上的孤岛。这种整体视角，正是密评追求的系统化密码应用成熟度。

常见误区与避坑

误区一：认为"复杂口令"算双因子。错。复杂度提升不改变因子种类，仍属单因子。

误区二：把账号+密码当双因子。账号是标识不是因子，二者都是"所知"或标识，不满足异构组合。

误区三：只在联网时做双因子，断网就放行。这会被测评直接记为不符合，必须保证离线仍双因子。

误区四：审计日志不关联自然人。只记系统账号无法追溯，必须绑定USBKey到自然人。

误区五：应急流程无记录。应急OTP用了不复核，等于给合规留后门，必须纳入事后审计。

误区六：生物模板明文存。指纹模板若明文落盘，即便双因子成立也会在"信息保护"上丢分。

国密算法在身份鉴别中的具体作用

要拿到密评高分，必须说清"国密算法到底用在了哪"。在安当SLA的USBKey体系里，SM2主要用于数字签名与挑战-响应：登录时服务端下发随机挑战值，USBKey用内部SM2私钥对挑战签名，服务端用证书中的公钥验签，从而确认"持有该密钥者为合法用户"。由于私钥不出硬件，签名不可伪造，这就构成了密码技术实现的强持有因子。

SM3则用于对鉴别要素做摘要保护。例如在传输或存储某些敏感标识时，用SM3计算摘要，保证数据被篡改可被察觉。SM2/SM3均为国家商用密码算法，使用它们既是合规要求，也是"算法自主可控"这一密评底层目标的直接体现。在测评材料里，应明确写出挑战-响应流程中SM2的调用位置、SM3的摘要范围，并附协议交互说明，让测评人员一眼看清密码技术的落点。

工控终端登录的特殊处理

工控场景是密评二级里最棘手的环节之一：工控终端往往运行老旧系统、无网络、不能随意装代理、重启代价高。安当SLA针对工控终端登录做了适配：支持离线USBKey认证，不依赖中心服务器；对资源占用极低的轻量嵌入，避免影响工控业务进程；拔Key即锁屏，防止操作员离岗后他人冒用。

对于无法改造的legacy工控机，可采用"外置认证网关+USBKey"的组合：操作员先通过USBKey在网关完成双因子，网关再以受控方式把会话映射到工控终端。这样既满足了身份鉴别条款，又不动工控机本体。需要强调的是，即便工控环境特殊，双因子与审计两条底线也不能破，否则密评仍以不符合记。

远程登录安全的纵深设计

当人员通过远程接入方式登录办公机或服务器时，攻击面从内网扩展到了边界之外。安当SLA的USBKey双因子在这里的价值尤为突出：远程通道即便被中间人嗅探，没有实体USBKey也无法完成签名；远程操作员的身份被硬件因子牢牢绑定，杜绝"口令泄漏即全网失守"。

纵深设计上还建议：远程接入先过一层网络接入认证（远程接入认证），进入内网后再过操作系统USBKey双因子，最后对高敏操作再叠加一次MFA。三层递进，任何单层被突破都不致全面失守。这也是等保2.0"入侵防范"与"访问控制"条款倡导的纵深防御思想在身份层的落地。

测评现场的常见追问与应答

除了材料清单，测评人员常追问几个问题，提前准备应答能显著提高通过率：

问：断网时双因子如何保证？答：USBKey本地验签，离线仍双因子，附离线实测记录。
问：应急OTP是否削弱合规？答：应急仍须组合因子，且全程审计并事后复核，不降低强度。
问：共享账号怎么追溯？答：系统账号可共享，但USBKey证书绑定自然人，审计记录自然人身份。
问：生物模板安全吗？答：指纹模板本地匹配、不出端、不明文存储，附存储说明。
问：算法合规吗？答：使用SM2/SM3国密算法，附商用密码产品资质。

把这些问题和证据一一对应，现场就能从"被动解释"转为"主动举证"，节奏完全掌控在自己手里。

与统一身份认证平台的联动价值

单点的操作系统双因子解决的是"一台机器怎么登录"，但企业有成百上千台终端，分散管理会迅速失控。安当SLA支持与统一身份认证平台对接，把操作系统登录策略、因子发放、审计日志统一上收。管理员在一个控制台看到全企业所有终端的登录态势，哪台机器异常、哪个USBKey被多地使用、哪个账号触发应急，一目了然。

这种联动还带来合规复用：身份鉴别证据在操作系统层和统一身份层是一致的，密评时不必为不同系统重复准备材料，一份证据链可支撑多个测评域。对于正在推进等保2.0与密评同步建设的单位，这能显著压缩合规成本。

四因子体系与场景化选型

安当SLA提供USBKey国密、OTP、指纹、掌纹四因子，不是让企业全用，而是按场景组合。办公机追求便捷，可用指纹或OTP；研发机追求强管控，用USBKey+PIN；高密级机追求抗胁迫，用USBKey+指纹；隔离工控机用USBKey离线。关键是"因子要异构"：同一性质的因子叠加不算双因子，必须跨"所持/所知/所是"三类取其二。

选型时还要考虑运维成本：硬件因子要管发放与挂失，生物因子要管模板安全，OTP要管时钟同步。安当SLA把这些统一到管理后台，因子状态一目了然，遗失一键注销，避免"令牌满天飞、谁丢谁不管"的乱象。这也是密评之外，企业自身身份治理成熟度的真实体现。

证据链的自我校验

在提交测评前，建议做一次"证据链自我校验"：从条款出发，逐条问自己——传输加密有吗、存储保护有吗、双因子异构吗、会话退出有吗、审计关联自然人吗、应急可追溯吗、算法合规吗。任何一条答不上来，就是潜在不符合项。安当SLA的方案把这些答案固化成可演示的配置与日志，让自我校验从"凭记忆"变成"点开看"。把这份自检表随材料一并提交，往往能给测评人员留下"准备充分"的印象，间接提升评分。