SoSo CAD
Teknik rehberPDF2018

NIST SP 800-116 Rev. 1: Tesise Erişimde PIV Kimlik Bilgilerinin Kullanımı Kılavuzu

Özgün başlık NIST SP 800-116 Rev. 1: Guidelines for the Use of PIV Credentials in Facility Access

National Institute of Standards and Technology · Hildegard Ferraiolo, Ketan Mehta ve diğerleri

NIST'in, ABD federal çalışan ve yüklenici kimlik kartlarının (PIV) fiziksel erişim kontrol sistemlerinde (PACS) nasıl kullanılacağını anlatan kılavuzu. Korunan bölgeleri Kontrollü, Sınırlı ve Münhasır alanlara ayırır ve her biri için asgari kimlik doğrulama faktörü sayısını tanımlar.

Belgeyi okuİndir (PDF, 0,7 MB)Özgün kaynağa git

ABD kamu malı — ABD kamu kurumu yayını; serbestçe kullanılabilir

Bu sayfada

Özet

Kılavuz, HSPD-12 uyarınca federal tesislerde fiziksel erişim için zorunlu olan PIV Kartı'nın, hükümet genelinde birlikte çalışabilir PACS'larda kullanımı için teknik rehberlik sunar. FIPS 201 kimlik doğrulama mekanizmalarını dört güvence düzeyinde (çok az veya hiç, biraz, yüksek, çok yüksek) tanımlar; bu belge hangi mekanizmanın seçileceği için riske dayalı bir strateji önerir. Hedef kitle HSPD-12 uyumlu PACS'ları uygulayan kamu yetkilileri, yükleniciler ve fiziksel güvenlik satıcılarıdır. Belge yalnızca PIV Kartı ile erişimi kapsar, PIV dışı kimlik bilgilerini değil.

Temel öneri, tesisleri değil korunan varlıkların çevresindeki bölgeleri esas almaktır: Kontrollü alan için en az 1, Sınırlı alan için en az 2 ve Münhasır alan için en az 3 kimlik doğrulama faktörü gerekir. Bu bölgeler genel olarak düşük, orta ve yüksek etkili varlıklara karşılık gelir. Tesis Güvenlik Düzeyi (FSL) ile mekanizma arasında basit bire bir eşleşme yoktur; örneğin FSL I bir yerleşkede yerel yüksek değerli varlıklar nedeniyle iç içe çevreler gerekebilir. Dört güvence düzeyine karşılık gelen mekanizmalar arasında PKI-CAK, BIO, BIO-A ve PKI-AUTH zorunlu özelliklere dayanır; SYM-CAK ve OCC-AUTH isteğe bağlıdır ve erişim noktaları yalnızca isteğe bağlı özelliklere güvenmemelidir.

Revizyon 2, FIPS 201-2 ile uyumu sağlamak için kimlik bilgisi doğrulamasını zorunlu kılar. CHUID mekanizması güvenlik kaygılarıyla kullanımdan kaldırılmıştır; yine de CHUID veri öğesi, son kullanma tarihi ve benzersiz tanımlayıcı kaynağı olarak zorunlu kalır. VIS+CHUID birleşimi 'çok az veya hiç' güven sağladığı için çıkarılmıştır. Çevrimiçi doğrulama, güncel durum gerektiğinde önerilir; çevrimiçi doğrulama mümkün olmadığında önbellekleme proxy'si kullanılabilir ve durum en az her 24 saatte bir güncellenmelidir. İptal edilmiş bir sertifika durumunda erişim her zaman engellenmelidir.

Bölüm 3 tehdit ortamını (tanımlayıcı çakışmaları, iptal edilmiş kartlar, görsel sahtecilik, skimming, sniffing, sosyal mühendislik, elektronik klonlama ve sahtecilik) tarar. Bölüm 5 tek kiracılı tesis, çok kiracılı tesis, karma çok kiracılı tesis ve FSL I-II, III ile IV-V yerleşke örneklerini işler; Bölüm 6 PIV tanımlayıcıları, PACS kaydı, rol tabanlı erişim kontrolü, afet müdahalesi, geçici rozetler, kayıp kart ve PACS/ICAM altyapısını ele alır.

Öne çıkan noktalar

  1. Asgari kimlik doğrulama faktörü sayısı: Kontrollü alan 1, Sınırlı alan 2, Münhasır alan 3.
  2. Kontrollü, Sınırlı ve Münhasır alanlar genel olarak düşük, orta ve yüksek etkili varlıklara karşılık gelir.
  3. Kimlik doğrulama mekanizmaları dört güvence düzeyine sahiptir: çok az veya hiç, biraz, yüksek, çok yüksek.
  4. Erişim noktaları yalnızca isteğe bağlı kart özelliklerine (SYM-CAK, OCC-AUTH) dayanmamalıdır.
  5. Kimlik bilgisi doğrulaması zorunludur; CHUID mekanizması kullanımdan kaldırılmıştır.
  6. VIS+CHUID birleşimi 'çok az veya hiç' güven sağladığı için bu sürümde yer almaz.
  7. Önbellek durumu en az her 24 saatte bir güncellenmelidir; iptal edilmiş sertifika erişimi her zaman engellemelidir.
  8. FSL I veya II tesisleri PACS uygulamayı reddedebilir; FSL III ve üzeri PACS uygulamalıdır.
  9. Tek kiracılı tesis örneğinde iki çevre vardır: lobi ve yüksek değerli varlık içeren oda (örneğin sunucu odası).

Tasarımda kullanımı

  • Veri merkezi katmanlarını (dış çevre, bina lobisi, veri salonu, kafes/kabin) Kontrollü, Sınırlı ve Münhasır alanlara eşleyin ve her geçiş noktasının faktör sayısını 1-2-3 ile belirleyin.
  • Sunucu odası gibi yüksek değerli varlık kapılarında üç faktörlü doğrulama için okuyucu donanımını (kart, biyometri, PIN) tasarıma dahil edin.
  • Çevrimiçi doğrulama kesilirse devreye girecek önbellek proxy'sini ve 24 saatlik güncelleme kuralını ağ ve güç yedeklilik tasarımına işleyin.
  • Çok kiracılı kolokasyon için dış çevre ile kiracıya özel iç çevreler arasında hangi güvenlik düzeyinin uygulanacağını erken belirleyin.
  • Eski PACS bileşenlerinin sınırlarını (okuyucu arayüzü, kablolama, yazılım yükseltmeleri) yenileme tasarımı için kontrol listesine alın.
  • Afet müdahalesi, geçici rozet ve kayıp kart süreçlerini PACS kayıt altyapısıyla birlikte planlayın.

Aylık bülten · ücretsiz

Referans listeniz güncel kalsın

Ayda bir: yeni eklenen kaynaklar, Türkiye mevzuatındaki değişiklikler ve yaklaşan veri merkezi etkinlikleri.

SoSo CAD

Standart ön kontrollerini projenize taşıyın

SoSo CAD’de TS EN 50600 ve Tier için model tabanlı ön kontrolleri, eksik girdileri ve mühendis incelemesi gereken maddeleri görün.

Demo iste
SoSo CAD standartlar panelinde seçili kontrol paketleri ve bulgular

Kimler okumalı

HSPD-12 uyumlu fiziksel erişim kontrol sistemlerini uygulayan kamu yetkilileri, yükleniciler ve fiziksel güvenlik sistem entegratörleri.

Belgenin bölümleri

  1. 1. Introduction (Giriş)
  2. 2. Characteristics of PIV Implementations (PIV Uygulamalarının Özellikleri)
  3. 3. Threat Environment (Tehdit Ortamı)
  4. 4. PIV Authentication Mechanisms in PACS Applications (PACS Uygulamalarında PIV Kimlik Doğrulama Mekanizmaları)
  5. 4.1 PIV Authentication Mechanisms
  6. 4.2 Authentication Factors (Kimlik Doğrulama Faktörleri)
  7. 4.3 Selection of PIV Authentication Factors (PIV Kimlik Doğrulama Faktörlerinin Seçimi)
  8. 4.4 Credential Validation (Kimlik Bilgisi Doğrulama)
  9. 5. PACS Use Cases (PACS Kullanım Senaryoları)
  10. 6. Deployment Consideration (Devreye Alma Hususları)
  11. Appendix A. An Overview of PIV Authentication Mechanisms
  12. Appendix B. Combinations of PIV Authentication Mechanisms in PACS
  13. Appendix C. Improving Authentication Transaction Times
  14. Appendix E. Limitations of Legacy Physical Access Control Systems
  15. Appendix I. Revision History

İlgili standartlar

  • FIPS 201-3
  • NIST SP 800-73
  • EN 50600-2-5

Belgeyi okuyun

nist-sp-800-116r1.pdf

PDF · 0,7 MB · İngilizce

ABD kamu malı — ABD kamu kurumu yayını; serbestçe kullanılabilir

İndir (PDF, 0,7 MB)Tarayıcıda aç

Belge, lisansı yeniden dağıtıma izin verdiği için özgün haliyle ve değiştirilmeden sunulmaktadır.

Yayın bilgileri

Yazarlar
Hildegard Ferraiolo; Ketan Mehta; Nabil Ghadiali; Jason Mohler; Vincent Johnson; Steven Brady
Yayıncı
National Institute of Standards and Technology
Yıl
2018
Belge numarası
NIST SP 800-116 Rev. 1
Belge dili
İngilizce
Kaynak türü
Uzman / topluluk
Erişim
Açık lisans — indirilebilir
Lisans
ABD kamu malı — ABD kamu kurumu yayını; serbestçe kullanılabilir
Lisans kanıtı
www.copyright.gov
Özgün lisans notu (İngilizce)

NIST publication available free of charge via doi.org/10.6028; the front-matter authority/copyright statement says it is not subject to copyright in the United States (attribution appreciated); U.S. government work under 17 U.S.C. 105.

Künye

Hildegard Ferraiolo; Ketan Mehta; Nabil Ghadiali; Jason Mohler; Vincent Johnson; Steven Brady (2018). NIST SP 800-116 Rev. 1: Guidelines for the Use of PIV Credentials in Facility Access. National Institute of Standards and Technology. NIST SP 800-116 Rev. 1. https://doi.org/10.6028/NIST.SP.800-116r1

Güvenlik

Konuyla ilgili etkinlikler

Etkinlik takvimini inceleyin

İçerik ve tüm hakları eser sahiplerine aittir. SoSo CAD yalnızca künye, kendi hazırladığı özet ve kaynağa bağlantı sunar; kaynakların içeriğinden sorumlu değildir.