ICSCCS03.060互聯網金融個人身份識別技術要求國家市場監督管理總局國家標準化管理委員會IGB/T42930—2023 Ⅲ 1 13術語和定義 14縮略語 35個人身份識別技術框架 35.1框架與各組成部分的作用 35.2個人身份識別實現的主要功能 46個人身份識別憑據技術要求 4 4 56.3OTP令牌 66.4數字證書 76.5生物特征識別 86.6手機號認證 97個人身份識別技術要求 97.1一般要求 97.2結合金融風險防控的個人身份識別 7.3個人身份識別因子 7.4持續個人身份鑒別 8個人身份識別安全要求 附錄A(資料性)典型場景個人身份識別技術應用建議 附錄B(資料性)典型業務流程 B.1典型的通用流程 B.2個人身份核驗 B.3憑據生成 B.4個人身份鑒別 ⅢGB/T42930—2023本文件按照GB/T1.1—2020《標準化工作導則第1部分：標準化文件的結構和起草規則》的規定起草。請注意本文件的某些內容可能涉及專利。本文件的發布機構不承擔識別專利的責任。本文件由全國金融標準化技術委員會(SAC/TC180)歸口。本文件起草單位：中國互聯網金融協會、支付寶(中國)網絡技術有限公司、中國建設銀行股份有限GB/T42930—2023隨著互聯網金融服務的快速發展，金融服務中對個人身份識別的需求也快速增長。在互聯網環境下滿足相關管理機構對于金融行業的嚴格實名認證要求，是互聯網金融從業各方亟須解決的問題之一。實施本文件，有助于在互聯網金融服務中實現個人信息保護、信息安全、數據安全和交易便捷之間的良好平衡，助力有關機構實現個人身份識別可信度互認，促進以互聯網為渠道的金融業服務的有效發1GB/T42930—2023互聯網金融個人身份識別技術要求1范圍本文件規定了應用于互聯網金融服務的個人身份識別技術要求，包括技術框架、憑據技術要求、身份識別技術要求以及安全要求。本文件適用于互聯網金融服務中與個人身份識別相關的服務與活動。2規范性引用文件下列文件中的內容通過文中的規范性引用而構成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應的版本適用于本文件；不注日期的引用文件，其最新版本(包括所有的修改單)適用于本文件。GB/T27912—2011金融服務生物特征識別安全框架GB/T35273—2020信息安全技術個人信息安全規范GB/T37036.1—2018信息技術移動設備生物特征識別第1部分：通用要求GB/T40660信息安全技術生物特征識別信息保護基本要求GM/T0028—2014密碼模塊安全技術要求3術語和定義下列術語和定義適用于本文件。3.1互聯網金融internetfinance利用互聯網技術和信息通信技術實現資金融通、支付、投資和信息中介服務的新型金融業務模式。3.2憑據credential憑證用來鑒別個人身份的數據。注1:本文件中，憑據在個人身份核驗(3.4)[來源：ISO12812-1:2017,3.10,有修改]3.3在指定級別的可信度下確定個人聲稱的身份的過程。注：個人身份識別通常包括個人身份核驗(3.4)和個人身份鑒別(3.5)兩個過程。3.4個人初始身份鑒別2GB/T42930—2023收集個人提交的身份信息，并驗證與該個人真實身份是否相符的過程。根據憑據(3.2)確認個人身份的過程。[來源：GB/T5271.8—2001,08.04.12,有修改]3.6預設問題回答presetquestionandanswer由個人預先設置問題及答案，或由認證服務方根據個人信息、歷史行為等要素產生問題而由個人設置答案；在個人身份鑒別時，向個人展示問題，個人提交答案后由認證服務方驗證答案是否匹配的個人身份鑒別(3.5)方式。3.7靜態口令staticpassword3.8基于時間、事件等因素動態生成的一次性口令。3.9用來生成動態口令的軟硬件。3.10無硬介質證書certificatewithouthardwarecarrier存放在非專門硬件介質的數字證書。3.11有硬介質證書certificatestoredinhardwarecarrier存儲在硬件介質中的數字證書。3.12生物特征識別biometrics基于個體的生物學特性和行為特性對該個體的自動識別。[來源：GB/T5271.37—2021,3.1.3,有修改]3.13可信環境trustedenvironment行環境(TEE)、安全元件(SE)、可信密碼模塊(TCM)或其他具備安全邊界的保護區域。3GB/T42930—20233.14生物特征樣本biometricsample經過采集和處理得到的初始(原始)生物特征數據。3.15人身份的個人信息。注2:生物特征識別信息包括生物特征識別原始信息以及生物特征識別比對信息。4縮略語DNS:域名系統(DomainNameSystem)GSM:全球移動通信系統(GlobalSystemforMobileCommunications)HTTP:超文本傳輸協議(HypertextTransferProtocol)LEI:全球法人識別編碼(LegalEntityIdentifier)OTP:動態口令(OneTimePassword)PIN:個人識別碼(PersonalIdentificationNumber)SIM:用戶身份模塊(SubscriberIdentityModule)TLS:傳輸層安全協議(TransportLayerSecurity)VPN:虛擬專用網(VirtualPrivateNetwork)5個人身份識別技術框架互聯網金融服務個人身份識別技術框架見圖1。互聯網金融服務典型場景個人身份識別技術應用建議見附錄A。4GB/T42930—2023金融風險個人服務調用核驗源注：本圖為邏輯框架圖，具體實現時可組合統一實現或者委托專業機構實現其中的部分功能，虛框表示相關模塊的要求不屬于本文件的范疇。圖1互聯網金融服務個人身份識別技術框架互聯網金融服務個人身份識別技術框架中各組成部分的主要作用如下：a)個人是發起互聯網金融服務的主體，同時也是個人身份識別的對象；b)金融服務系統為個人提供金融業務，并調用金融身份識別子系統的服務；c)金融身份識別子系統向金融服務系統提供個人身份識別結果，包括身份核驗模塊、憑據管理模d)金融風險防控子系統可在個人身份核驗及個人身份鑒別過程中提供相關金融風險防控服務。5.2個人身份識別實現的主要功能互聯網金融服務領域中個人身份識別應實現的功能如下：a)身份核驗，即金融服務系統應收集并驗證個人的身份信息資料，確認個人身份，必要時可借助于身份信息核驗源實現；b)憑據管理，即完成個人身份核驗后，金融身份識別子系統應根據個人選擇的認證方式生成憑據，憑據可由個人或金融身份識別子系統進行安全存儲；c)身份鑒別，即金融身份識別子系統根據個人憑據來確認個人身份，完成個人的身份鑒別，應結合金融風險防控實現。互聯網金融個人身份識別典型業務流程見附錄B。6個人身份識別憑據技術要求6.1概述按照憑據不同，應用于互聯網金融服務中的個人身份識別憑據技術類別如下：c)數字證書，包括無硬介質證書和有硬介質證書；d)生物特征識別技術；5GB/T42930—2023e)手機號認證。6.2記憶憑據類靜態口令的生成包括但不限于下列方面：a)長度應不少于6個字符，宜8個字符以上；b)對于非設備綁定個人標識的，靜態口令除數字外還應至少包括大小寫字母或特殊字符；c)對于手勢密碼等其他靜態口令，應滿足一定復雜度要求(例如最少連接點數要求);d)認證系統應對個人輸入口令的強度進行分析，給出口令強度的反饋；對于低強度的口令能警示個人更換為符合最低強度要求的口令；e)如個人標識已經同設備綁定，或結合其他憑據，或受輸入設備限制，可采用6個字符的純數字靜態口令的使用要求如下：a)通過受理終端或支付客戶端應用程序輸入靜態口令時，應采取隱藏靜態口令反饋信息等措施保護靜態口令，且POS機等受理終端應具備口令輸入防窺視功能；b)應具備靜態口令驗證失敗處理功能，可采取結束會話、限制錯誤密碼輸入次數、增強后續驗證手段以及當網絡登錄連接超時自動退出等措施；示例：增加圖形驗證碼、滑塊或點擊人機交互驗證都是增強后續驗證手段。c)應支持靜態口令重置，在重置前應進行有效的個人身份識別；重置后的靜態口令應符合d)靜態口令應端到端加密傳輸和安全存儲；e)對于提供與個人信息相關的初始簡單口令的，在互聯網金融應用場景首次登錄時應進行修改，且修改后的口令應符合的要求。靜態口令設備及安全包括但不限于下列方面：a)輸入設備應具備適宜的物理、邏輯安全機制；b)在口令輸入設備和讀卡機具間傳輸PIN時，應采取有效的措施保護所傳輸的數據；c)輸入控件應具備安全機制，如使用基于加密芯片實現的分體式安全鍵盤、基于軟件實現的安全隨機鍵盤等輸入控件防止采用鍵盤監聽等手段獲取口令；d)在輸入控件和終端程序間傳輸靜態口令時，應防止未經授權查看和變更傳輸的數據；e)宜定期修改靜態口令，口令修改后不應與當前口令一致；f)宜采用設備風險檢測技術對輸入設備的環境安全狀態變化進行有效感知。預設問題與對應的答案作為憑據，其生成包括但不限于下列方面：6GB/T42930—2023a)預設問題與答案均應明確最低復雜度，以防范猜測攻擊；b)預設問題不宜與個人身份信息、個人隱私信息相關；c)預設問題宜能防范被猜測破解；d)預設問題可設置一定的提示信息，輔助用戶記憶。預設問題回答的使用包括但不限于下列方面：a)應能在通過個人身份識別后重置預設問題或答案；b)問答應設置在既定概率下能防范猜測攻擊的錯誤嘗試次數；c)連續兩次預設問題與答案不應使用完全相同的問題或問題組合；d)預設問題回答會話應設置超時時間，超時后應重新開始預設問題回答過程，并且計為一次嘗試e)從終端向服務器傳輸預設問題與答案的相關數據，應進行加密傳輸；f)可在一次身份鑒別應用中使用多個預設問題回答。6.3OTP令牌OTP令牌作為憑據，其生成包括但不限于下列方面：a)應使用安全可信的OTP生成模塊，如安全可信的終端生成模塊或服務器端生成模塊等；b)OTP應隨機生成；OTP令牌的使用包括但不限于下列方面：a)應采取有效措施防范OTP被中間人攻擊；示例1:基于密碼學的安全傳輸等為常見措施。b)每次業務處理中的OTP應各不相同，且使用后立即失效；c)應具有激活嘗試次數限制功能，當激活操作連續錯誤一定次數之后，在既定概率下能防范窮舉攻擊的時間段內鎖定后才可重新執行激活操作；d)應設定一定的認證有效期；示例2:30s至60s均是常見的認證有效期。e)應限制驗證出錯次數，超過則采取賬戶鎖定等安全措施；f)重新獲取OTP后，原OTP應失效；g)憑據宜與同一機構的個人身份標識一對一綁定。OTP令牌安全要求如下：a)應采取有效措施保證種子密鑰數據在整個生命周期的安全；注：種子密鑰是OTP鑒別雙方的共享密鑰。b)應防范通過物理攻擊的手段獲取設備內的敏感信息；7GB/T42930—2023c)應采取相關措施確保只有授權客戶才可使用，如采取靜態口令等措施；d)加密芯片應具備抵抗旁路攻擊的能力；e)在外部環境(例如電磁環境等)發生變化時，OTP令牌不應泄露敏感信息或影響安全功能；f)應具備一定的防止意外(例如跌落等)造成種子密鑰丟失的功能。6.4數字證書6.4.1無硬介質證書無硬介質證書生成包括但不限于下列方面：a)用于簽名的公私鑰宜在終端的可信環境中生成和存儲；如果由服務器端生成，應保障生成環境的可信以及下發通道不可被窺探；b)應保證私鑰的唯一性；c)應使用安全措施防止私鑰受到未授權的訪問；d)應通過安全機制防止無硬介質證書對應私鑰被非法復制到其他設備上使用，例如證書綁定、可信環境存儲等；e)應設置無硬介質證書的有效期，保障該證書過期后不可用；f)應定期檢查無硬介質證書注銷列表。無硬介質證書使用包括但不限于下列方面：a)無硬介質證書的發放宜使用離線或VPN專線方式，確需通過公共網絡發放的，應提供安全通b)無硬介質證書使用時應檢查其合法性。無硬介質證書安全包括但不限于下列方面：a)簽名密鑰由軟件密碼模塊內部生成，簽名密鑰等密鑰信息均不應明文存儲在非易失性存儲b)對于高安全需求業務，相應的密碼模塊宜至少符合GM/T0028—2014規定的安全二級要求；c)使用基于密碼學的安全機制等控制軟件密碼模塊的訪問權限；d)采用限制錯誤操作次數等安全機制對關鍵操作(例如簽名等)進行保護，防范窮舉攻擊；e)軟件密碼模塊具備軟件完整性檢測與關鍵功能自測試功能；f)個人可主動發起無硬介質證書注銷，特殊情況下服務器側也可發起無硬介質證書注銷，無硬介質證書注銷后不應再次使用。有硬介質證書生成要求如下：a)應能支持一個或多個應用；b)應能提供和保持不同應用之間的安全性；8GB/T42930—2023c)應設置有效期。有硬介質證書使用包括但不限于下列方面：a)應保證一個應用不會影響另一個應用的安全操作；b)應保證一個獨立應用的信息不能被其他應用訪問和修改；c)證書存儲介質在連接到終端設備一段時間內無任何操作時宜自動關閉；應重新連接后才能繼d)證書存儲介質應能夠自動識別其是否與終端連接；宜具備在規定的時間與終端連接而未進行任何操作時提醒等功能。有硬介質證書設備及安全包括但不限于下列方面：a)應使用通過認可的第三方測評機構安全檢測的證書存儲介質；b)對于高安全需求業務，相應的密碼模塊宜至少符合GM/T0028—2014規定的安全二級要求；c)應采取有效措施防范證書存儲介質被遠程惡意調用，如基于密碼學等的授權機制等；d)證書存儲介質應具備支持密鑰生成和數字簽名運算能力的安全芯片，敏感操作應在安全芯片e)證書存儲介質的主文件應受到安全機制保護，個人無法進行刪除和重建；全生命周期管理等；通用標準的要求；h)密鑰文件在啟用期應封閉；j)應保證PIN碼的安全；k)對證書存儲介質固件進行的任何改動，都應實施以保證證書存儲介質中不含隱藏的非法功能和后門指令為目的歸檔和審計；l)證書存儲介質應具備抵抗旁路攻擊的能力；n)應采取有效措施防止數據被篡改；o)未經個人確認，證書存儲介質不應輸出數據；經過設定時間段后依舊未接到個人確認的情況6.5生物特征識別用于個人身份識別的生物特征識別模態一般包括：a)人臉識別；b)指紋識別；9GB/T42930—2023d)虹膜識別；e)靜脈識別；f)多模態識別；g)根據技術發展新出現的其他模態識別。基于生物特征識別技術的個人身份識別，生物特征識別技術應符合GB/T27912—2011的規定。a)應充分評估所使用的生物特征識別技術的特點及存在的風險，按照GB/T37036.1—2018的要求合理地選擇遠程模式或本地模式。b)處理高安全需求業務時(例如網絡支付等)應采取適當的措施防范呈現攻擊并具備相應的處理機制，防止惡意偽造攻擊，檢測和處理的呈現攻擊手段1)形狀包括但不限于二維(2D)、三維(3D);c)處理高安全需求業務時(例如網絡支付等),對于不具備某種生物特征識別呈現攻擊檢測的應用場景[例如下一代超文本標記語言(H5)、網頁頁面應用等],生物特征識別不應作為唯一身份識別手段，應增加其他的隨機交互驗證手段，比如驗證碼等；當個人未同意授權生物特征識別時，應提供其他方式完成個人身份識別。d)對于生物特征識別信息的保護要求應符合GB/T40660的規定，并確保生物特征樣本采集、質量判斷、呈現攻擊檢測、生物特征項提取和傳輸等過程中，個人生物特征數據的保密性和完e)應對生物特征識別驗證次數進行限制，達到設置的驗證限制次數后，可采取一定時間之后才能再次進行生物特征識別驗證、額外增加驗證因素等措施。f)應確保生物特征識別的錯誤接受率、錯誤拒絕率、防呈現攻擊失敗率等指標在可接受的范圍內。g)宜結合可信環境實現生物特征識別。6.6手機號認證手機號認證是由移動運營商提供，采用“通信網關取號”及SIM卡識別等技術實現的一種移動互聯網身份識別方法，包括但不限于下列方面：a)應對個人實名手機號進行相關注冊或登記；b)驗證時應有通信數據網絡信號覆蓋；c)一鍵授權應用場景下，應具備授權頁面，應用(APP)開發者經個人授權后可獲得號碼，適用于d)“本機號碼校驗”應用場景下，本機號碼校驗不e)宜具備相關機制保障手機號認證的手機終端為手機號實名人所有并使用。7個人身份識別技術要求7.1一般要求在金融服務系統中進行個人身份識別時，應根據金融行業管理要求及實際業務需求，提供特定的身GB/T42930—2023份證件，或提供通過有效法定身份證件辦理的有效身份證明材料，或提供個人生物特征識別信息。根據個人信息分級分類管理的要求，對個人身份識別涉及的個人信息及個人金融信息的收集、傳個人身份識別材料真實性、有效性和可追溯性的保障，包括但不限于下列方面：a)身份核驗時個人應提供法定身份證件，金融服務系統應采取有效措施核驗個人提供的實名身份證件信息，可采取與第三方權威核驗源比對的方式確保信息的真實性和有效性；b)宜對身份核驗過程中個人本人提交的法定身份證件的圖像質量進行判斷，確保個人本人提交的身份證件關鍵信息清晰可辨，如姓名及證件號碼等；c)屬于個人通過法定身份證件辦理的身份材料(如銀行卡信息等),應在有效期內，且狀態正常；d)個人法定身份證件或通過法定身份證件辦理的身份材料，如其可信程度難以滿足金融行業中個人身份識別要求，應使用額外的個人身份識別材料來進行身份識別(如生物特征識別信息等);e)若采用生物特征識別信息進行個人身份識別，應確保生物特征采集自個人本人并且獲得本人單獨同意，且保障留存的生物特征樣本的質量；f)對于弱勢群體，宜采取相關措施保障無障礙身份識別。7.2結合金融風險防控的個人身份識別互聯網金融個人身份識別一般結合金融風險防控實現。金融風險防控子系統對服務請求進行風險防控處理并進行風險防控決策，可采取直接拒絕服務請求、無需顯式調用個人身份識別或顯式調用不同強度的個人身份識別因子進行身份識別。結合金融風險防控的個人身份識別示意圖見圖2。金融業務風險感知風險識別風險決策其他風險無風險拒絕業務請求圖2結合金融風險防控的個人身份識別示意圖7.3個人身份識別因子個人發起互聯網金融業務請求時，金融服務系統需根據個人當前登錄認證方式、業務場景等要GB/T42930—20237.3.2單因子個人身份識別單因子個人身份識別根據本文件中個人身份識別憑據技術中的某個因子進行身份識別，例如記憶憑據或者生物特征識別信息等。7.3.3雙因子個人身份識別雙因子個人身份識別根據本文件中個人身份識別憑據技術中的兩個不同因子組合進行身份識別。雙因子個人身份識別憑據示例見表1。表1雙因子個人身份識別憑據示例個人身份識別憑據說明記憶憑據靜態口令或預設問題回答生物特征識別信息個人的指紋、虹膜、人臉、聲紋等生物特征識別信息7.3.4多因子個人身份識別多因子個人身份識別是在雙因子個人身份識別基礎上，增加額外的個人身份識別因子來進行個人身份識別，提升個人身份識別的真實性和有效性。多因子個人身份識別憑據示例見表2。表2多因子個人身份識別憑據示例個人身份識別憑據說明數字證書軟件證書或硬介質證書記憶憑據靜態口令或預設問題回答生物特征識別信息個人的指紋、虹膜、人臉、聲紋等生物特征識別信息7.4持續個人身份鑒別對于復雜環境，不應僅依賴于網絡范圍進行個人身份鑒別，環境發生變化時應進行持續個人身份鑒a)應具備相關機制以保障應用、硬件(服務器)、個人身份等標識的安全可信，相關標識全生命周期內唯一且不可篡改；b)應具備相關機制保障在環境[服務器、網際互連協議(IP)地址、設備等]發生變化時，啟動個人身份鑒別。注：網絡范圍指某個確定的網絡域，如某個專用網絡或者公網等。8個人身份識別安全要求在個人身份識別過程中，應采取相關防范措施保障個人身份識別的安全，防止攻擊者通過虛假身份注冊或非法獲取合法個人所持有的能夠用以證明其身份的憑據，假冒成合法個人造成危害。個人身份GB/T42930—2023識別安全威脅以及防范措施示例見表3。表3個人身份識別安全威脅和防范措施示例威脅描述攻擊示例防范措施示例暴力破解/在線猜測/字典攻擊也稱為“蠻力破解”或“窮舉攻擊”,是一種特殊的字典攻擊。在暴力破解中所使用的字典是字符串的全集，對可能存在的所有組合進行猜測，直到得到正確的信息為止攻擊者通過嘗試猜測或窮舉的方式來試圖獲取到正確的口令防范目標是讓攻擊者在沒有更多先驗知識的情況下，僅通過重復嘗試猜測來攻擊變得不可行。具體防范措施可為：限制失敗嘗試次數、在每次嘗試失敗后都要求等待一段時間后才能繼續嘗試、要求驗證對象通過公開的圖靈測試機制來防范機器人猜測等鍵盤監聽通過對個人的實體或虛擬鍵盤進行監聽，獲取個人的輸入信息按鍵記錄軟件以木馬方式植入到個人設備后，能記錄下個人的每次按鍵動作，從而竊取個人輸入的口令，并按預定的計劃把收集到的信息通過電子郵件等方式發送出去具體防范措施可為：終端安裝必要的殺毒軟件并定期查殺；使用APP定制的加密動態鍵盤，打亂鍵位釣魚攻擊(假冒網頁)注冊個人被引誘與一個假冒的驗證持有的驗證信息、敏感個人信息或者憑據密鑰等，攻擊者在獲得這些數據后可假冒成注冊個人與真正的驗證方進行交互并通過其驗證某注冊個人收到了一封郵件并被引導到了一個假冒的網站，在該假冒網站上登錄時泄露了其個人信息防范目標是讓攻擊者無法成功獲取憑據密鑰或者認證有效驗證值，用以后續假冒注冊個人進行攻擊。具體防范措施可為：使用個性化的設置來提示個人是否遇到了假冒服務器，比如個人自行設定的登錄前提示語、登錄后歡迎詞等；使用基于密碼學原理的安全鑒別機制等網域欺騙注冊個人在嘗試連接一個合法的驗證方時，被攻擊者通過修改DNS或路由表的方式引導到攻擊者的網站通過對DNS服務進行劫持，將用戶希望訪問的網站解析為假冒網站的IP地址，注冊個人在登錄一個合法網站時被引到了一個假冒網站，在該假冒網站上登錄時泄露了其個人信息竊聽攻擊攻擊者通過監聽認證協議報文來獲取可用于后續假冒注冊個人的信息攻擊者通過監聽獲取了在傳輸過程中的個人口令或者口令哈希值防范目標是讓攻擊者即使錄制了注冊個人與身份識別服務之間的通信報文，也無法從中分析出能夠讓攻擊者假冒成注冊個人的有效信息。具體防范措施可為：使用受保護的安全通信協議如TLS等重放攻擊攻擊者通過重復使用此前獲取的報文信息來假冒注冊個人到驗證方進行驗證攻擊者在此前的一個實際驗證會話中獲取了注冊個人的口令或者口令哈希值，并在后續使用該信息再到驗證方進行驗證防范目標是防止攻擊者通過記錄并重放此前的成功驗證協議報文，來通過后續的個人身份識別過程。具體防范措施可為：在通信協議中增加使用隨機數或者挑戰值GB/T42930—2023表3個人身份識別安全威脅和防范措施示例(續)威脅描述攻擊示例防范措施示例會話劫持攻擊者將其自身嵌入到注冊個人與驗證方的通信會話中，面對注冊個人能偽裝成驗證方，反之面對驗證方可假冒成注冊個人攻擊者通過竊聽或者預測等手段獲取用于標識HTTP請求的驗證值，并非法使用該驗證值假冒成注冊個人，達到攻擊目的防范目標是將認證與數據傳輸綁定起來，防止攻擊者參與了數據傳輸會話而沒有被檢測到。具體防范措施可為：為每次驗證會話生成單獨的會話密鑰用于會話數據傳輸中間人攻擊攻擊者將其自身放置在注冊個人與驗證方之間，能夠獲取并修改通者會同時面向注冊個人偽裝成驗證方和面向驗證方假冒成注冊個人攻擊者通過侵入路由表轉發注冊個人與驗證方之間的報文。轉發報文時，攻擊者使用自己的公鑰代替驗證方的公鑰，注冊個人被其欺騙后，攻擊者就可解密獲得注冊個人的信息弱級別中間人攻擊的防范目標是提供措施供注冊個人判斷其是否在與真實的驗證方之間進行通信，但仍存在一定的機會，讓攻擊者獲得注冊個人的驗證值，用于假冒注冊個人并能通過驗證方的驗證：強級別中間人攻擊的防范目標是能夠完全避免注冊個人向攻擊者泄露任何能供攻擊者用于假冒注冊個人的信息，防止讓攻擊者能夠利用該信息假冒注冊個人通過驗證方驗證。具體防范措施可為：使用安全的通信協議如TLS;使用高強度的憑據等偽基站技術攻擊者使用偽基站方法，利用GSM網絡(即2G網絡)的既有漏洞，采用“GSM劫持十短信嗅探”技術，可實時監聽基站發送給個人手機的短信內容攻擊者采用“GSM劫持十短信嗅探”技術，實時監聽基站發送給個人手機的短信內容，進而利用各銀行機構網站、互聯網金融應用等存在的技術漏洞和缺陷，實現信息竊取、資金盜刷和網絡詐騙等犯罪活動具體防范措施可為：特殊時段比如夜間減少短信驗證碼的使用；增加其他個人身份識別因子等虛擬攝像頭攻擊通過劫持終端操作系統的攝像頭底層接口，繞過真實攝像頭，傳入攻擊視頻文件作為攝像頭錄入內容以達到攻擊目的攻擊者采用多種方式對抗呈現攻擊檢測，比如提前準備人像點頭、具體防范措施可為：嚴控在模擬器環境下打開應用；針對特定設備型號、操作系統版本加強風險管控等旁路/側信道攻擊通過程序執行時間、功耗、電磁輻射等物理信息，結合統計理論快速破解口令，獲取敏感信息通過側信道分析，破解出芯片中的根密鑰，從而解密數據或者復制設備身份標識，假冒設備身份具體防范措施可為：硬件層面使用安全芯片或者TEE存儲密鑰等敏感信息，軟件層面使用隨機加擾等方法對抗側信道攻擊GB/T42930—2023(資料性)典型場景個人身份識別技術應用建議互聯網金融服務典型場景個人身份識別技術的應用建議見表A.1。表A.1典型場景個人身份識別技術應用建議應用場景個人身份識別技術應用建議消費金融申請建議可選的憑據技術：記憶憑據類，OTP令牌，數字證書，生物特征識別(指紋、人臉、聲紋等),手機號認證等，并且檢驗人證合一有效性互聯網金融業務簽約(包括電子銀行簽約、快捷支付簽約、理財基金簽約、代收代付簽約、保函審批等)建議可選的憑據技術：記憶憑據類，OTP令牌，數字證書，生物特征識別(指紋、人臉、聲紋等),手機號認證等，并且檢驗人證合一有效性遠程銀行卡業務(包括銀行卡開置等)建議可選的憑據技術：記憶憑據類，OTP令牌，數字證書，生物特征識別(指紋、人臉、聲紋等),手機號認證等，并且檢驗人證合一有效性在線信用卡申領建議可選的憑據技術：記憶憑據類，OTP令牌，數字證書，生物特征識別(指紋、人臉、聲紋等),手機號認證等；申請時檢驗人證合一有效性；領取時可直接進行個人身份識別網上銀行/APP登錄建議可選的憑據技術：記憶憑據類，OTP令牌，數字證書，生物特征識別(指紋、人臉、聲紋等),手機號認證等金融賬戶遠程開戶(不含I類銀行賬戶)建議可選的憑據技術：記憶憑據類，OTP令牌，數字證書，生物特征識別(指紋、人臉、聲紋等),手機號認證等，檢驗人證合一有效性賬戶解鎖建議可選的憑據技術：記憶憑據類，OTP令牌，數字證書，生物特征識別(指紋、人臉、聲紋等),手機號認證等柜臺辦理互聯網金融業務建議可選的憑據技術：記憶憑據類，OTP令牌，OTP設備，數字證書，生物特征識別(指紋、人臉、聲紋等),手機號認證等，檢驗人證合一有效性網絡支付建議可選的憑據技術：記憶憑據類，OTP令牌，OTP設備，數字證書，生物特征識別(指紋、人臉、聲紋等),手機號認證等在線投保建議可選的憑據技術：記憶憑據類，OTP令牌，數字證書，生物特征識別(指紋、人臉、聲紋等),手機號認證等，并且檢驗人證合一有效性在線理賠建議可選的憑據技術：記憶憑據類，OTP令牌，數字證書，生物特征識別(指紋、人臉、聲紋等),手機號認證等保單服務(包括保單貸款、紅利賬戶領取、生存金領取、保單貸款清償、萬能賬戶追加等)建議可選的憑據技術：記憶憑據類，OTP令牌，數字證書，生物特征識別(指紋、人臉、聲紋等),手機號認證等GB/T42930—2023表A.1典型場景個人身份識別技術應用建議(續)應用場景個人身份識別技術應用建議變更服務(續期交費信息變更、客戶聯系信息變更、紅利派發方式變更、生存給付續領賬戶變更建議可選的憑據技術：記憶憑據類，OTP令牌，數字證書，生物特征識別(指紋、人臉、聲紋等),手機號認證等股票買賣、理財產品買賣、股票建議可選的憑據技術：記憶憑據類，OTP令牌，數字證書，生物特征識別(指紋、人臉、聲紋等),手機號認證等非金融產品售后服務(產品包含但不限于：投顧投研產品、資訊類產品、行情工具策略相關類產品、積分產品、視頻音頻直播類產品等)建議可選的憑據技術：記憶憑據類，OTP令牌，數字證書，生物特征識別(指紋、人臉、聲紋等),手機號認證等遠程證券業務開戶建議可選的憑據技術：記憶憑據類，OTP令牌，數字證書，生物特征識別(指紋、人臉、活體、聲紋等),手機號認證等，并且檢驗人證合一有效性證券業務辦理(密碼重置、手機號碼修改、銷戶等)建議可選的憑據技術：記憶憑據類，OTP令牌，數字證書，生物特征識別(指紋、人臉、活體、聲紋等),手機號認證，并且校驗人證合一有效性證券業務辦理(賬戶涉稅調查、委托方式新增、密碼修改等)建議可選的憑據技術：記憶憑據類，OTP令牌，數字證書，生物特征識別(指紋、人臉、活體、聲紋等),手機號認證等GB/T42930—2023(資料性)典型業務流程B.1典型的通用流程互聯網金融個人身份識別典型的通用流程見圖B.1。金融業務模塊個人身份識別調用鑒別憑據簽發②生成鑒別憑據①金融風險個人身風險判斷風控交互個人圖B.1個人身份識別通用流程個人身份識別包括個人身份核驗(圖B.1中的①進行標注)以及個人身份鑒別(圖B.1中的②進行標注)兩個典型通用流程。典型的個人身份識別通用流程示例如下所述。a)個人身份核驗流程：1)個人發起開通金融業務請求，金融服務系統判斷該個人未注冊，調用并啟動個人身份核驗流程；2)金融服務系統根據業務規則確定所需核驗的個人身份信息，采集個人身份信息，調用金融風險防控處理服務，并通過身份信息核驗源核實身份信息；3)個人身份核驗成功后，生成憑據；4)完成個人身份核驗并進行注冊。b)個人身份鑒別流程：1)個人發起金融業務請求；2)金融服務系統判斷為已注冊個人，根據業務規則啟動相應的個人身份鑒別流程；3)金融服務系統調用金融風險防控子系統對請求進行風險判斷并處理；4)根據風險防控處理結果選擇不同的個人身份鑒別模式或其組合，進行個人身份鑒別，需要時通過權威身份信息核驗源核實個人身份信息；5)完成個人身份鑒別。B.2個人身份核驗個人身份核驗基于真實身份信息對個人進行確認，個人身份信息可包括個人的法定身份證件、個人自身所擁有的生物特征識別信息或者是個人通過法定身份證件辦理的身份材料。個人身份核驗由個人的互聯網金融服務請求觸發，以創建了個人對應的身份識別標識為結束標志。注冊階段典型的個人身份核驗流程見圖B.2。GB/T42930—2023注冊處理注冊響應個人圖B.2典型的個人身份核驗流程注冊中個人身份信息核驗過程包括但不限于如下步驟：a)個人發起金融業務注冊請求；b)金融服務系統根據服務規則，判斷需要核驗的身份信息；c)個人根據需要核驗的身份信息，發起身份信息初始化請求；d)個人身份核驗模塊完成身份信息的核驗，必要時調用第三方權威核驗源；e)通過身份信息核驗后，個人發起注冊請求；f)個人身份核驗模塊提供必要的注冊處理，包括但不限于：創建個人身份標識等；g)反饋注冊響應；h)結束個人身份核驗過程。B.3憑據生成金融服務系統通過個人提供的身份核驗材料對個人身份確認后，金融身份識別子系統生成憑據，并在后臺將與該憑據關聯的憑據信息和個人身份進行綁定。憑據的生成過程中，根據具體所使用的憑據類型，可新創建憑據并提供給個人使用，也可將個人已經擁有的憑據與此次注冊過程關聯起來。憑據的種類和要求見第6章。憑據的生成在個人身份核驗成功后進行，典型的以個人獲取并存儲憑