ICS35.240.99 L66 中华人民共和国国家标准 GB/T32414—2015 网络游戏安全 Onlinegamesecurity 2015-12-31发布 2016-07-01实施 中华人民共和国国家质量监督检验检疫总局 中国国家标准化管理委员会发布目 次 前言 Ⅲ ………………………………………………………………………………………………………… 1 范围 1 ……………………………………………………………………………………………………… 2 规范性引用文件 1 ………………………………………………………………………………………… 3 术语和定义 1 ……………………………………………………………………………………………… 4 密钥要求 1 ………………………………………………………………………………………………… 5 资料保存安全 2 …………………………………………………………………………………………… 6 账号安全 2 ………………………………………………………………………………………………… 7 虚拟财产 4 ………………………………………………………………………………………………… ⅠGB/T32414—2015 前 言 本标准按照GB/T1.1—2009给出的规则起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。 本标准由全国信息技术标准化技术委员会(SAC/TC28)提出并归口。 本标准起草单位:中国电子技术标准化研究院、中国信息产业商会网络游戏产业分会、上海盛大游 戏公司、北京动感时空技术服务有限公司。 本标准主要起草人:赵菁华、陈胜喜、杜江杰、樊星、张展新。 ⅢGB/T32414—2015 网络游戏安全 1 范围 本标准规定了网络游戏软件的安全要求。 本标准适用于网络游戏软件的开发和测试及网络游戏的运营。 2 规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件,仅注日期的版本适用于本文 件。凡是不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。 GB/T1988 信息技术 信息交换用七位编码字符集 GB/T17901.1 信息技术 安全技术 密钥管理 第1部分:框架 GM/T0002 SM4分组密码算法 GM/T0003(所有部分) SM2椭圆曲线公钥密码算法 GM/T0004 SM3密码杂凑算法 GM/T0009 SM2密码算法使用规范 GM/T0010 SM2密码算法加密签名消息语法规范 3 术语和定义 下列术语和定义适用于本文件。 3.1 风险控制判断 riskcontroljudgement 针对账号和应用的限制和保护,设置风险判定条件。 4 密钥要求 4.1 密码算法要求 密码算法应符合以下要求: a) 对称加密算法应符合GM/T0002的要求; b) 非对称加密算法应符合GM/T0003、GM/T0009和GM/T0010的要求; c) 杂凑算法应符合GM/T0004的要求。 4.2 密钥管理要求 密钥管理应符合以下要求: a) 密钥管理应符合GB/T17901.1的要求; b) 设立加密密钥双重控制规则,分开保管和建立; c) 密钥在除加密设备以外不应以明文形式出现; d) 生成的密钥应以密文形式传输,不应将密钥与外部供应商共享; 1GB/T32414—2015 e) 密钥应至少每年进行一次密钥更改; f) 对于疑似泄露的加密的密钥应及时弃用或更改; g) 应要求密钥保管人签署文件,声明清楚并接受密钥保管责任。 5 资料保存安全 5.1 管理员密码要求 管理员密码应符合以下要求: a) 至少应选择对称加密,密码长度应超过32个字符,每个密码应至少包含GB/T1988中的大小 写字母、0~9数字和其他可输入输出字符; b) 使用磁盘加密时,加密工具的管理账号应独立于操作系统的账号。 5.2 实名资料保存策略 网络游戏产品运营企业应根据业务、法律或法规要求制定用于证明个人身份有效性的实名资料的 保留和处理策略。 5.3 用户支付账户信息保存 用户支付账户信息应符合以下要求: a) 显示支付账号时对其进行掩盖,至少掩盖4位; b) 如使用了磁盘加密而不是文件级或列级数据库加密,则对逻辑访问的管理应独立于本地操作 系统的访问控制机制; c) 解密密钥不应与用户账户绑定。 6 账号安全 6.1 账号资料信息 6.1.1 账号资料管理 账号资料管理包括: a) 账号基本信息内容 在注册账号时至少应填写的信息包括:账号、密码,针对年满18周岁或取消防沉迷措施限制的 用户,还应提供用户姓名和公民身份证号码。 b) 账号保护信息 在注册账号时至少应填写的账号保护信息包括:姓名、公民身份证号码、联系电话、电子邮箱和 提示问题。 c) 账号信息的补填与修改 账号注册应可以补填相应的账号资料信息,修改账号资料信息通过安全审核。 d) 安全风险控制 账号资料在数据库中应加密保存,所在物理服务器应设置IP地址安全策略,禁止不相关应用 服务器访问。应用服务器使用该数据库账户应仅对业务数据具有操作权限。 6.1.2 账号日志 账号日志至少应记录账号的注册、登录、管理及变更信息。 2GB/T32414—2015 6.2 账号管理措施 6.2.1 密码复杂度 系统应对密码有复杂度要求: a) 应根据密码字符种类、长度等综合判断给出密码复杂度; 示例:例如密码字符长度小于6位,则密码强度为弱,字符种类等于2种且长度大于或等于6位,则密码强度为中, 字符种类大于2种,长度大于6位,则密码强度为强。 b) 密码不宜设置为常见的弱密码,且不应为账号串的一部分; c) 用户密码的强度过低时宜给予提示,用户长时间未修改过密码也宜提示用户。 6.2.2 用户密码管理 系统应提供: a) 多种密码修改方式; 示例:如通过移动通信终端、电子邮箱、当前密码、资料修改等方式修改密码。 b) 自定义选择修改密码的方式; c) 开通/关闭用来修改密码的相关审核资料。 6.2.3 密码错误锁定 认证环节宜提供以下功能: a) 在密码错误时触发验证码策略; b) 在连续密码错误时锁定认证环节一定时间。 6.2.4 密码修改及重置 密码修改及重置机制设置如下: a) 密码修改环节应设有风险控制判断机制,防止被恶意修改或重置密码; b) 可通过多种机制重置密码。 示例:如移动通信终端、电子邮箱、提示问题、资料等。 6.2.5 账号密码安全控件 账号密码安全控件应符合以下要求: a) 所有涉及账号密码的传输都应通过HTTPS协议采用加密的可信信道传输密文密码; b) 客户端应提供密码安全控件,通过驱动底层对用户密码进行加密存储,并且由非对称加密算法 从驱动中加密取出供认证使用。 注:用于防止用户被木马通过内存截取、键盘钩子等机制盗取用户密码。 6.2.6 登录权限管理 系统应提供: a) 分级的登录权限管理; 示例:如静态验证、动态验证和移动通信终端验证。 b) 账号登录权限的自助管理功能; 示例:如账号屏蔽、解除屏蔽、登录方式屏蔽和解除屏蔽。 c) 登录地绑定服务。 示例:如用户设置后则只能在绑定的省市登录。 3GB/T32414—2015 6.2.7 防钓鱼安全 系统应提供防钓鱼安全措施: a) 当游戏检测到用户访问钓鱼网址时,应在进入网址前弹出窗口提醒用户; b) 当游戏检测到用户访问到可疑网址时,且输入的账号与网游账号匹配时,应弹出窗口提示 用户; c) 后台应实时积累运营相关数据,及时更新钓鱼网址库。 6.2.8 绑定邮箱 绑定邮箱以符合以下要求: a) 应提供邮箱绑定、解绑功能,绑定邮箱环节有风险控制判断,防止用户被恶意绑定邮箱; b) 用户绑定邮箱后,若在相应的高风险操作时,应补充验证相应的绑定邮箱; c) 用户绑定邮箱后,若账号有风险,应通过邮件通知到用户。 6.2.9 绑定移动通信终端 绑定移动通信终端应符合以下要求: a) 应提供移动通信终端绑定、解绑功能,绑定移动通信终端环节有风险控制判断,防止用户被恶 意绑定; b) 用户绑定移动通信终端后,若在相应的高风险操作时,应补充验证相应的绑定移动通信终端; c) 用户绑定移动通信终端后,若账号有风险,应通过移动通信终端尽快通知到用户。 6.2.10 登录风险控制 登录环节应设有异常登录检测机制。 注:可根据账号和账号登录日志判断本次登录是否正常,防止用户账号被异常登录。 6.2.11 账号异动警告 账号异动警告应符合以下内容: a) 登录行为异动:结合账号历史行为,根据账号的登录日志判断本次登录是否正常,如可疑,则补 充验证或者拒绝本次登录,加强该账号的后续安全保护,并通过邮件/短信/游戏内消息等多种 方式提示、提醒用户; b) 消耗行为异动:结合账号历史行为,根据账号的登录日志、消费业务等多维度判断本次消费是 否正常,应加强该账号的后续安全保护,可通过邮件/短信/游戏内消息等多种方式提示用户。 7 虚拟财产 7.1 货币充值安全 充值安全包括: a) 仅向授权商户开放储值接口访问权限; b) 用户的充值记录保留期自用户充值之日起应不少于180d; c) 充值记录可查询内容包括:充值日期、账号、渠道、支付方式、金额、目标虚拟货币及数额等 信息; d) 仅向授权商户开放余额查询接口的访问权限; e) 控制账号余额可用游戏范围。 4GB/T32414—2015 7.2 消费权限管理 系统宜提供权限的限制,包括: a) 针对账号限制和保护:提供消费屏蔽、解除屏蔽功能,消费环节设有风险控制判断环节,结合账 号历史行为判断本次消费是否正常,