6. Требования к идентификации и аутентификации

88. Средство ЭЦП должно распознавать пользователя средства ЭЦП или процесса, а также выполнять проверку их подлинности.

89. Механизм аутентификации должен блокировать доступ субъектов к функциям средства ЭЦП при отрицательном результате аутентификации.

90. В средстве ЭЦП для любой реализованной процедуры аутентификации должен применяться механизм ограничения количества следующих подряд попыток аутентификации 1 субъекта доступа, число которых не должно превышать 3.

91. При превышении числа следующих подряд попыток аутентификации 1 субъекта доступа над установленным предельным значением доступ этого субъекта доступа к средствам ЭЦП должен быть заблокирован на промежуток времени, устанавливаемый техническим заданием на создание (модернизацию) средства ЭЦП.

92. При доступе к средству ЭЦП должна проводиться двухфакторная аутентификация.

93. Допускается использование механизмов удаленной аутентификации с использованием сертификатов проверки ключей аутентификации на основе криптографических средств, разработанных в соответствии с требованиями к криптографическим средствам, используемым средствами доверенной третьей стороны, утверждаемыми Комиссией.

94. При осуществлении локального доступа к средству ЭЦП аутентификация пользователя средства ЭЦП должна выполняться до перехода в рабочее состояние этого средства ЭЦП (например, до загрузки операционной системы, используемой этим средством).

95. При использовании для локальной аутентификации символьного, периодически изменяемого пароля он должен состоять из не менее 8 символов (при общем количестве символов алфавита не менее 36). Период изменения пароля не должен превышать 3 месяцев.