ГОСТ Р ИСО/МЭК 15408-2-2013
G.1 Отказы аутентиф икации (FIA_AFL)
G.1.1 Замечания для пользователя
Семейство FIA_AFL содержит требования по определению числа попыток аутентификации и
действиям ФБО в случае их неудачи. Параметрами, определяющими возможное число попыток ау
тентификации. среди прочих могут быть количество попыток и допустимый интервал времени.
Процесс открытия сеанса пользователя предусматривает взаимодействие с пользователем,
позволяющее открыть сеанс и независимое от фактической реализации. Если число неуспешных по
пыток аутентификации превысило установленное значение, то блокируются учетные данные пользо
вателя и/или терминал, с которого выполнялись запросы. Если учетные данные пользователя забло
кированы. то он не может войти в систему. Если заблокирован терминал, то он (или его адрес) не мо
жет быть использован для входа в систему. Эта ситуация сохранится, пока условия для повторения
попыток открытия сеанса не будут удовлетворены.
G.1.2 FIA_AFL.1 Обработка отказов аутентиф икации
G .1.2.1 Замечания по применению для пользователя
Автор ПЗ/ЗБ может либо установить число неуспешных попыток аутентификации, либо дове
рить это разработчику 00 или уполномоченному пользователю. Подсчет неуспешных попыток аутен
тификации должен быть связан не с последовательностью их возникновения, а с каким-либо событи
ем аутентификации. Таким событием может быть число неуспешных попыток с момента последнего
сеанса, успешно открытого с данного терминала.
Автор ПЗ/ЗБ может определить список действий, которые должны предприниматься ФБО в слу
чае отказа аутентификации. Уполномоченному администратору также может быть разрешено управ
лять этими событиями, если такую возможность предусмотрел автор ПЗ/ЗБ. Такими действиями, сре
ди прочих, могут быть: отключение терминала, отключение учетных данных пользователя или подача
сигнала тревоги администратору. Условия, при которых произойдет возвращение к обычному режиму
работы, необходимо специфицировать через действия.
Чтобы предотвратить полную невозможность обслуживания, в ОО обычно обеспечивается не
возможность блокирования учетных данных, по меньшей мере, одного пользователя.
Автор ПЗ/ЗБ может устанавливать иные действия для ФБО. относящиеся, в том числе, и к пра
вилам деблокирования процесса открытия сеанса пользователя или подаче сигнала тревоги админи
стратору. Примерами таких действий являются, до истечения установленного времени; пока уполно
моченный администратор вновь не деблокирует терминал или учетные данные пользователя; до ис
течения времени, связанного с предыдущими неуспешными попытками (например, после каждой не
успешной попытки время блокирования удваивается).
251