Home

臺灣規定

例：資通系統防護基準（中級）控制措施清單

身分驗證管理

• 使用預設密碼登入系統時，應於登入後要求立即變更
• 身分驗證相關資訊不以明文傳輸。
• 具備帳戶鎖定機制，帳號登入進行身分驗證失敗達五次後，至少十五分鐘內不允許該帳號繼續嘗試登入或使用機關自建之失敗驗證機制。
• 使用密碼進行驗證時，應強制最低密碼複雜度；強制密碼最短及最長之效期限制。
• 密碼變更時，至少不可以與前三次使用過之密碼相同。
• 身分驗證機制應防範自動化程式之登入或密碼更換嘗試。
• 密碼重設機制對使用者重新身分確認後，發送一次性及具有時效性符記。

鑑別資訊回饋

• 資通系統應遮蔽鑑別過程中之資訊。

加密模組鑑別

• 資通系統如以密碼進行鑑別時，該密碼應加密或經雜湊處理後儲存。

例：政府組態基準GCB：TWGCB-01-008_Red Hat Enterprise Linux 8政府組態基準說明文件v1.0_1100924.pdf

項次	TWGCB-ID	類別	原則設定名稱	GCB設定值
210	TWGCB-01-008-0210	帳號與存取控制	密碼最小長度	12
211	TWGCB-01-008-0211	帳號與存取控制	密碼必須至少包含字元類別數量	4
212	TWGCB-01-008-0212	帳號與存取控制	密碼必須至少包含數字個數	1
213	TWGCB-01-008-0213	帳號與存取控制	密碼必須至少包含大寫字母個數	1
214	TWGCB-01-008-0214	帳號與存取控制	密碼必須至少包含小寫字母個數	1
215	TWGCB-01-008-0215	帳號與存取控制	密碼必須至少包含特殊字元個數	1
216	TWGCB-01-008-0216	帳號與存取控制	新密碼與舊密碼最少相異字元數	3
217	TWGCB-01-008-0217	帳號與存取控制	同一類別字元可連續使用個數	4
218	TWGCB-01-008-0218	帳號與存取控制	相同字元可連續使用個數	3
219	TWGCB-01-008-0219	帳號與存取控制	必須禁止使用字典檔單字做為密碼	是
220	TWGCB-01-008-0220	帳號與存取控制	帳戶鎖定閾值	5
221	TWGCB-01-008-0221	帳號與存取控制	帳戶鎖定時間	900秒
222	TWGCB-01-008-0222	帳號與存取控制	強制執行密碼歷程記錄	3
223	TWGCB-01-008-0223	帳號與存取控制	顯示登入失敗次數與日期	是
224	TWGCB-01-008-0224	帳號與存取控制	密碼雜湊演算法	SHA512
225	TWGCB-01-008-0225	帳號與存取控制	密碼最短使用期限	1工
226	TWGCB-01-008-0226	帳號與存取控制	密碼到期前提醒使用者變更密碼	14工
227	TWGCB-01-008-0227	帳號與存取控制	密碼最長使用期限	90工
228	TWGCB-01-008-0228	帳號與存取控制	密碼到期後，帳號停用前的天數	30工
229	TWGCB-01-008-0229	帳號與存取控制	登入嘗試失敗之延遲時間	4秒