ICS 33.040.50 CCS M 42 YD 中华人民共和国通信行业标准 YD/T 3421.16—XXXX 基于公用电信网的宽带客户智能网关第16 部分：智能家庭组网设备安全技术要求 Broadband customer intelligent gateway based on public telecommunication network- Partl6: Security technical requirements for intelligent home networking device （报批稿） XXXX - XX- XX 发布 XXXX-XX-XX实施 中华人民共和国工业和信息化部 发布 YD/T 3421.16-XXXX 目 次 前 引 言 1范围. 2规范性引用文件.. 3术语和定义 5组网设备安全概述 6智能家庭组网设备安全能力技术要求 6.1硬件安全.. 6.1.1终端标识安全 6.1.2物理接口安全. 6.1.3存储器件安全 6.1.4芯片安全. 6.2系统安全. 6.2.1固件安全. 6.2.2安全启动（可选） 6.2.3内核安全... 6.2.4开源软件安全 6.2.5过载保护.. 6.2.6权限限制， 10 6.3网络安全 10 6.3.1Wi-Fi接入安全 10 6.3.2网络安全配置 11 6.3.3防火墙/ACL 6.3.4协议安全. 13 6.4应用安全... 13 6.4.1管理安全 13 6.4.2基础功能安全 16 6.4.3智能应用安全 17 6.5.1数据传输安全 18 6.5.2数据存储与使用安全 18 6.5.3数据删除安全， 18 附录A （资料性）安全启动流程 19 附录B （规范性） 口令和认证安全要求， 20 YD/T 3421.16-XXXX 前言 本文件按照GB/T1.1-2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草。 本文件是YD/T3421《基于公用电信网的宽带客户智能网关》的第16部分。YD/T3421已经发布了 以下部分： 一第1部分：总体技术要求； 一一第2部分：家庭用智能网关技术要求； 一一第3部分：网关管理平台技术要求； 一一第5部分：网关与智能终端控制管理通用要求； 一第8部分：智能家庭组网设备技术要求； 一一第9部分：家庭用智能网关与智能家庭组网设备之间接口技术要求； 一第10部分：无线mesh组网技术要求； 一一第11部分：融合IPTV机顶盒功能的智能网关： 一一第12部分：家庭用智能网关设备安全技术要求； 一一第13部分：企业用智能网关设备安全技术要求 一第14部分：无线mesh组网互通技术要求； 一一第15部分：融合IPTV机顶盒功能的智能网关安全技术要求； 一第16部分：智能家庭组网设备安全技术要求。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由中国通信标准化协会提出并归口。 本文件的起草单位：中国联合网络通信集团有限公司、中国移动通信集团有限公司、中国信息通信 研究院、华为技术有限公司、中兴通讯股份有限公司、中国信息通信科技集团有限公司。 本文件的主要起草人：丁海、张沛、李俊玮、杨雨苍、杨跃强、陈洁、卜哲、张文成、何浩然、袁 立权、郭春霞、吴国燕、吕志华。 2 YD/T3421.16-XXXX 引言 YD/T3421《基于公用电信网的宽带客户智能网关》旨在规定适用于公用电信网的各类宽带客户智 能网关设备组网、功能、性能、接口以及管理等技术要求，拟由十六个部分构成。 第1部分：总体技术要求。目的在于规定宽带客户智能网关在组网结构、业务能力、设备功能 和管理功能等方面应遵循的基本要求和总体原则。 一一第2部分：家庭用智能网关技术要求。目的在于规定家庭智能网关设备的功能、性能、操作管 理和环境适应性等要求。 一一第3部分：网关管理平台技术要求。目的在于为实现网关远程管理确立网关管理平台的功能架 构和运行方式 一一第4部分：网关与网关管理平台间接口技术要求。目的在于为实现管理平台对网关设备的管理 控制确立管理接口流程和参数。 第5部分：网关与智能终端控制管理通用要求。目的在于规定智能网关控制管理智能终端设备 的协议和管理功能等通用要求。 一一第6部分：故障诊断参数。目的在于为实现故障准确定位确立智能网关故障诊断系统框架、模 块参数和诊断流程等。 一第7部分：企业用智能网关技术要求。目的在于规定企业智能网关设备的功能、性能、操作管 理和环境适应性等要求， 第8部分：智能家庭组网设备技术要求。目的在于规定智能家庭组网设备的功能、性能、操作 管理和环境适应性等要求。 第9部分：家庭用智能网关与智能家庭组网设备之间接口技术要求。目的在于为实现智能家庭 组网设备的管理控制确立组网设备管理接口流程和参数。 一一第10部分：无线mesh组网技术要求。目的在于规定宽带客户网络中mesh设备的组网协议功 能、传输性能、接口和管理等要求。 一一第11部分：融合IPTV机顶盒功能的智能网关。目的在于规定融合IPTV机顶盒功能的智能网 关设备的功能、性能、操作管理和环境适应性等要求。 一第12部分：家庭用智能网关设备安全技术要求。目的在于为家庭网络安全应用场景确立家庭 智能网关安全架构和安全运行要求。 一一第13部分：企业用智能网关设备安全技术要求。目的在于为行业网络安全应用场景确立企业 智能网关安全架构和安全运行要求。 第14部分：无线mesh组网互通技术要求。目的在于定义组网互通层面的关键技术解决解决 mesh组网难点，以引导运营商和设备厂商的所有无线设备实现更好的组网便利性， 一一第15部分：融合IPTV机顶盒功能的智能网关安全技术要求。目的在于为融合家庭网络场景 确立融合网关安全架构和安全运行要求。 一第16部分：智能家庭组网设备安全技术要求。目的在于为运营商定制或公开市场销售的智能 家庭组网设备制定安全架构和安全运行要求。 YD/T 3421.16-XXXX 基于公用电信网的宽带客户智能网关第16部分：智能家庭 组网设备安全技术要求 1范围 本文件规定了智能家庭组网设备的安全技术要求，包括：硬件安全、系统安全、网络安全、应用安 全以及数据安全。 本文件适用于运营商定制的、面向公用电信网的宽带客户使用的智能家庭组网设备的设计、开发、 生产和运营。公开市场销售的智能家庭组网设备可参考执行。 本文件不适用于仅支持二层功能的无线中继、电力线通信终端等设备。 2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件， 仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本 文件。 组网设备之间接口技术要求 IETFRFC919互联网广播数据格式（BROADCASTINGINTERNETDATAGRAMS） IETFRFC1858IP包过滤安全要求（SecurityConsiderationsforIPFragmentFiltering） IETFRFC2644路由器广播功能设置（ChangingtheDefaultforDirectedBroadcastsinRouters） IETFRFC3128多样化小包攻击防护要求（ProtectionAgainstaVariantoftheTinyFragment Attack) IETFRFC3171IPv4组播地址分配指导（IANAGuidelinesforIPv4MulticastAddressAssignments） IETFRFC3927IPv4本地地址动态配置（DynamicConfigurationofIPv4Link-LocalAddresses） IETFRFC4291IPv6地址架构（IPVersion6AddressingArchitecture） IETFRFC5735IPv4地址特殊使用（SpecialUseIPv4Addresses） 3术语和定义 下列术语和定义适用于本文件。 3.1 智能家庭组网设备intelligenthomenetworkingdevice 集成安装了通用或定制化专用智能操作系统，通过以太网端口上联到家庭网关，下行通过Ethernet、 WLAN、USB等端口给用户的手机、平板电脑、智能电视等家电设备提供网络连接、数据转发、协议处 理等功能的设备，如无特殊说明，均指家庭用智能无线路由器设备，也可简称为无线路由器。 4缩略语 下列缩略语适用于本文件。 AES：高级加密标准（AdvancedEncryptionStandard) 4 YD/T 3421.16-XXXX AH：认证头（AuthenticationHead) CNVD：国家信息安全漏洞共享平台（ChinaNationalVulnerabilityDatabase） CNNVD：国家信息安全漏洞库（ChinaNationalVulnerabilityDatabaseofInformation Security) CSRF：跨站请求伪造（Cross-siteRequestForgery) DDoS：分布式拒绝服务攻击(DistributedDenialofService） DES：数据加密标准(DataEncryptionStandard) DMZ:隔离区(DemilitarizedZone) DNS：域名服务器（DomainNameServer) DoS：拒绝服务攻击(DenialofService) DSA：数字签名算法(DigitalSignatureAlgorithm)