1、、yl , ICS 01.040.35 L04 YD 中华人民共和国通信行业标准YD厅2592-2013身份管理CldM)术语Identity management terms (ITU-T X.l252(2010),Baseline Identity Management Terms and Defmitions,MOD) 2013-07-22发布2013-10-01实施中华人民共和国工业和信息化部发布4 YD厅2592-2013目次前言.n飞h 引言. . . .皿1 范围. . . . . 2 规范性引用文件. . 3 缩略语. 4 术语和定义. . . . . . . . . . .
2、. . . . . .2 附录A(资料性附录)IdM基本术语的要点和基本原理. . . . . . . .12 附录B(资料性附录本标准与I四-TX.1252 (2010)相比的结构变化情况. . . . .19 附录c(资料性附录本标准与I四-TX.1252 (2010)的技术性差异及其原因.22参考文献. . . . . . . . . . . .30 目。吕本标准说明了身份管理体系中普遍使用的术语定义。本标准按照GB厅1.1-2009给出的规则起草。YD.厅2592-2013本标准使用重新起草法修改采用lTU-TX.12S2 (2010) en sys始ms-Au也entication)
3、U-TY.2701 (2007) , NGN版本1的安全要求(Security requirements岛rNGN release 1) I白J-T Y.2702 (2008) , NGN版本1的认证和认证要求(Authenticationand au也orizationrequirements for NGN release 1) lTU-T Y.2720 (200的，NGN身份管理架构(NGNidentity management framework) ISOIIEC JTCl SC37 SD2 统一的生物识别词汇(HarmonzedBiometric Vocabulary) 3 缩略语下
4、列缩略语适用于本文件。FG ICT IDC IdM IdP IdSP IPR ISO lTU-T FusGroup In岛Inationand Communications Technology Intemet Data Center Identity Management Identity Provider Identity Service Provider Intellec阳alProp町tyRights焦点组信息通信技术互联网数据中心身份管理身份提供商身份服务提供商知识产权Intemational Standardization Advisory Group 国际标准化组织Intemat
5、ional Telecommunica挝onUnion Tele，mmunication 国际电信联盟一标准化部Standardization Sec阳rYD厅2592-2013NGN Next Generation Network OCSP Online Certificate Status Pro阳1OED Oxford English Dictionary PKI Public Key In企astructurePII Personally Identifiable In岛rmationRE Requesting Entity RP Relying Party WG Working Gr
6、oup 4 术语和定义下列术语和定义适用于本文件。4.1 安全区Security Zone 下一代网络在线证书状态协议牛津英语词典公钥基础设施个人可识别信息请求方依赖方工作组由操作控制、位置，以及与其他设备/网络元素的连接所定义的被保护区域。ITU-T Y.2701 (2007) 4.2 安全审计Security Audit 对系统记录和行为的独立审核，以测试系统控制的充分性，确保系统顺从己有策略和操作流程，检测安全漏洞，并指出在控制、策略和流程方面的任何显著变化。ITU-T X.800 (1991) 4.3 安全域Serity Domain 元素、安全策略、安全权威机构，以及一系列安全相关活
7、动的集合，在这些安全活动中按照安全策略对元素进行管理。4.4 4.5 4.6 ITU-TY.2720 (2009) , lTU-TY.2701 (2007) 安全域权威机构Security Domain Authority 对安全域的安全策略实施负责的安全权威机构。ITU-T X.810 (1995) 绑定Binding 一个确立的关联、联系、或是约束。保密性Confidentiality 保留对信息访问与披露的授权限制，以防止信息向未授权个人、实体或进程披露，包括保护个人隐私和私有信息的手段。4.7 保证Assurance2 YD厅2592-2013见认证保证和身份保证。4.8 保证级别As
8、su阳1Level实体与其所呈现身份信息之间绑定的信任级剔。4.9 标识符Identifier 在环境中用来识别一个实体的一个或多个属性。4.10 标识符提供商Identifier Provider 提供标识符管理和识别服务，包括用于存储标识符的标识符目录，用于标识符生命周期管理的标识符生命周期管理器，以及用于标识符生命周期管理和识别服务适配器的标识符策略目录和标识符策略管理器.4.11 不可否认Non-Repudiation 防止活动群体中的任一实体对全部或部分活动参与行为的否认的能力。4.12 持久化Persistent 在没有既定时间限制以及脱离发行者直接控制的情况下，能够存在并用于服务
9、的状态。4.13 代理Agent代表另一个实体行事的一个实体。4.14 单点登录Single Sign On 在多个应用系统中，用户只需要登录一次，通过将此次登录映射到其他应用服务中用于同一个用户的登录的机制，实现所有相互信任的应用服务的访问。4.15 登记Enrolment 一个实体首次进入环境的过程。注1:登记可能包括实体身份的验证和一个环境身份的建立.注2:登记是注册的前置事件，在很多情况下注册包括登记和注册两个过程-4.16 地址Address 特定端点的用于路由选择的标识符。4.17 吊销Revo臼tion由权威人员对过去所做某项事务的终止。4.18 3 YD厅2592-20134.
10、19 4.20 4.21 4.22 4.23 断言Assertion 一个没有伴随有效性证据的实体声明。访问控制Access Control 一个确定请求方实体基于预先制定的规则和特定的权利，能否访问资源、设施、服务和信息的规程。否认Repudiation 活动群体中的任一实体对全部或部分活动参与行为的抵赖。个人可识别信息Personally Identi币ableInformation (PII) a)识别或能用于识别、联系或定位该信息所属人员的信息:b)能够导出个人身份识别或联系信息的信息:c)是或能与某自然人直接或间接联系的信息。核实Prooflng 在身份系统中登记新实体时的信息验证和
11、确认。互操作性Interoperability 两个或多个网络、系统、设备、应用程序或组件之间安全、有效地交换和便捷使用信息的能力，并对用户罕有甚至没有不便。4.24 4.25 4.26 可相互交换使用的系统、设备、应用程序或组件的独立部署能力。环境(上下文)Context 实体存在和交互的有确定边界条件的范围.基于身份的安全策略Identity-Based 5erity Policy 一项基于身份和/或用户属性、用户组、或代表用户和被访问的资源/对象实体的安全策略。ITU-T X.800 (1991) 假名Pseudonym 一个标识符，在其使用的环境中，该标识符与实体的绑定关系未知或仅在有
12、限范围内已知。注z相比于使用能显示实体身份的标识符，假名可以用来避免或减少隐私风险.4.27 角色Role 一组描述某实体所表现出的能力或功能的属性。注z每个实体能拥有/扮演很多角色.能力可以是固有的或分配的.4.28 4 飞YD厅2592-20134.29 4.30 4.31 4.32 可信第三方Trusted Third Party 在安全策略环境中，涉及某些安全相关活动时受到信任的安全权威机构或其代理。ITU-T Y.2702 (200的，X.800 (1991) , X.810 (1995) 可用性Availability 保证及时可靠的信息访问与使用。联邦Federatlon 用户、
13、服务提供商和身份服务提供商间的关联。联盟Alliance两个或更多独立实体之间的协议，规定它们将如何相互联系，以及如何联合活动。名称Name 一个实体被标记或被提及的表达形式。注2名称在环境中使用，并且不能假定是唯一的或明确的。出于路由选择的目的，它可以被解析或翻译成一个地址-4.33 4.34 模式Pattern 见身份模式。匿名Anonymity 一个实体在一系列实体中不能被识别的情况。注z匿名防止实体或他们的行为被追踪.例如用户所在地、服务使用频率等-4.35 请求方Requesting entity 在某些请求环境中，对依赖方作出身份表达或声明的一个实体。4.36 (实体认证(Enti
14、ty) Authentication 一种用来对实体和其所呈现身份之间的绑定关系进行充分确认的过程。注1:术语认证在身份管理CIdM)环境中的用途是用来表示实体认证。注2:核实、认证、验证、绑定的详细说明参见附录A.34.37 认证保证Authentication Assurance 认证过程中确认通信对方是其声称或己方所期望的实体的信任程度。注1:信任是建立在通信实体与存在身份之间绑定的可信度基础之上.注2:关于认证保证的详细说明参见附录A.3几5 YD厅2592-20134.38 4.39 4.40 4.41 认证信息Authentication Information 用于建立某申请身份
15、有效性的信息。认证证书Authentication Certifi臼lte由某认证权威机构认证的安全证书，它可用于确保某实体身份。设备Devi 能够储存和处理信息的物理装置，通常为电子装置，例如个人计算机、Web服务器、手机或智能卡。身份Identlty 实体的表现形式，由一种或多种属性构成，这些属性使某个实体或多个实体能够在环境中被充分区分。出于身份管理的目的，术语身份被理解为环境中的身份属性子集)，即属性种类受限于被定义了边界条件环境的框架，实体存在于此框架中并相互作用。注z每一个实体都由一个完整身份所代表，包含该实体所有可能的特征信息元素属性).然而，这个完整身份目前只是理论概念，并且因
16、为所有可能属性的数量尚不确定，而回避了进一步的描述以及实际的使用情况.4.42 身份保证Identity Assurance 在身份确认和验证过程中形成的信任程度，据此建立实体身份并发放信任状。同时，也是保证使用信任状的实体即为被发放信任状实体的信任程度。注z名称在环境中使用，并且不能假定是唯一的或明确的.出于路由选择的目的，它可以被解析或翻译成一个地址.4.43 身份服务桥接提供商Identity Service Bridge Provider 在其他身份服务提供商之间充当可信任媒介的一个身份服务提供商。4.44 身份服务提供商(身份服务提供方)Identity Service Provid
17、er (ldSP) 一个验证、维护、管理、且能为其他实体生成和分配身份信息的实体。4.45 身份管理Identlty Management 一组用于保证身份信息如标识符、信任状、属性)的功能和能力如经营、管理和维护、发现、通信交换、相关和绑定、政策实施、认证和断言);保证实体身份，为商业和安全应用提供支持。口TU-TY.2720 (2009) 4.46 身份管理平台Identity Management Platform 可划分为存储、认证、授权、用户注册和登录、口令管理、审计、用户自助服务、集中管理和分级管理等功能模块。注z与身份管理系统的区别z身份管理平台是有物理界限的、可供用户操作的.6
18、 YD厅2592-20134.47 身份管理系统Identity Management System 用户、服务提供商和身份提供商通过一系列业务或活动而形成的一个系统。4.48 身份核实Identity Proofing 验证充分信息以确认实体声明身份的过程。4.49 身份媒介Identity Medium 存储与单一实体相关的一个或多个信任状、声明或属性的一个设备或对象，且对设备而言，还包括针对特殊用途将信息对象进行转换的能力。为了在线交易身份识别的目的而颁发或授权的任何信任状、卡、徽章、USB、智能手机或其他各种形式的媒介。4.50 身份模式Identity Pattern 能够用于一些身
19、份识别过程中的实体属性结构化表达如实体的行为。4.51 身份生态系统Identity Esystem 一种在线环境，在这个环境中个人、机构组织、服务和设备的数字身份是由权威源创建并授权的，因而他们之间能够彼此信任。同样，可以在自然界中发现类似的生态系统，它要求不同的机构组织、个人在遵守一系列标准与规则的原则下共同协作、各司其职。4.52 身份生态系统框架Identity Esystem Framework 管理身份生态系统的一系列互操作标准、风险模型、隐私和责任政策、信任标记需求和执行机制。4.53 4.54 4.55 4.56 4.57 身份识别Identification 由环境的特征辨别
20、一个实体的过程。身份提供者Identity Provider (ldP) 见身份服务提供商身份提供方。身份验证Identity Verification 通过将所提交的身份声明与事先证明的信息进行比较来确认声明身份是正确的过程。声明Claim 不提供证据的一种宣称。声明者Claimant 7 YD厅2592-2013认证过程中认证主体本身或代表认证主体的实体。ITU-T Y.2720 (2009) , X.811 (1995) 注z声明者应具备代表某当事人参与认证交换的所需功能-4.58 生物测量识别Biometric Regnition 基于行为和生物特征观察对个体进行的自动识别.口SOII
21、ECClSC37 SD2 4.59 实体Entity 独立存在并在环境中能被识别的事物。注z实体可以是一个自然人、动物、法人、组织、主动或被动物、设备、软件应用、服务等，或一组这样的实体.在电信领域中，实体的范例包括访问点、订户、用户、网元、网络、软件应用、服务、设备和接口等.4.60 实体认证Entity Authenti臼，tion用来对实体和其所呈现身份之间的绑定关系进行充分确认的过程.注z在身份管理(ldM)环境中认证术语即指实体认证.4.61 4.62 4.63 4.64 _._. 目。4.65 4.66 8 授极Authorization权利准许以及基于这些权利的访问准许。ITU-
22、TY.2720 (2009) , X.800 (1991) 属性Attrlbute绑定于实体的信息，这些信息指定了实体特征。属性类型Attribute Type 表明信息类型的一个属性组成部分。ITU-T X.501 (2005) 属性提供商Attribute Provider 负责建立和维护一个实体身份属性的所有有关过程:他们向个人、其他提供商和依赖方提供属性断属性值AttributeValue 属性类型的一个实例。ITU-T X.501 (2005) 数字身份Digi刨Identity YD.厅2592-2013可识别某特定个体、团体或组织的信息的数字表示。4.67 双向验证Mutual
23、Authenti臼tion两个实体(例如，一客户端和一服务器)相互验证，以分别确认对方实体身份的过程。注z尽管在本标准中au也entication被定义为认证，但此处与认证的定义内容存在冲突.因此，该术语被定义为双向验证.在术语的实际使用中，验证.(verifi饵.tion/verify)与认证(剧.thentication/:剧.thentify)存在混用现象.4.68 特权Privilege 一项授予某实体允许其进行某项活动的权利。4.69 完整性Integrity 保证数据没有在未授权或未查明的情况下被修改或删除.4.70 网域安全Cybe阳erity用于保护计算机、计算机系统、网络及数
24、据免遭未授权访问或攻击的措施。4.71 网域空间Cybe陌pa臼相互依赖的信息技术基础设施的网络，包括互联网、通信网、计算机系统、移动设备、和重要工业中的嵌入式处理器和控制器。这个术语的通常用法也表示人们之间信息交流的虚拟环境。4.72 委托Delegation将权力、责任或某功能指派给另一实体的行为。4.73 信任Tru剖在一个特定环境中，对信息可靠性和真实性或对实体适当行为能力或倾向的一种坚定信念。4.74 信任标记Trust mark 由资质认定机构颁发给产品、设备、或服务提供商的符合身份生态系统需求的徽章、印章、图标或商标。为了保持完整性，信任标记本身必须防止被篡改和伪造:参与者应该既
25、能直观的又能通过电子手段验证其真实性。信任标记为个人和组织对他们所使用的提供商和身份媒介做出选择提供作为帮助的一种可视标志。4.75 信任等级Trsut level 依赖于某人或某物的特性、能力、力量，或真实性的一致的了数量化的测量。4.76 信任框架Trust framework 9 YD汀2592-2013定义了在身份生态系统中各种参与者权利和责任的标准和政策的根本结构，规定了活动参与的管理规则，概括了提供保证的过程和步骤，并提供了确保顺从的执行机制。4.77 信任状Credential 表示所声明的身份和/或权力的证据的一组数据。4.78 性状Manifestation 可被观察到或被发
26、现即非自我断言的实体表现形式。(与断言相比较)注z如肤色、发型等特征.4.79 验证Verification确立事物真实性的过程或实例。注:(身份信息的验证可能包含涉及有效性、来源的准确性、完整性未改变的、正确性、实体绑定关系等的审查.4.80 4.81 4.82 验证者Verifier 验证和确认身份信息的实体。依赖方Relying party (RP) 在某些请求环境中，依赖于请求/断言方作出的身份表达或声明的实体。I白头TY.2720 (2010) 以用户为中心的User-centric 身份管理系统向用户提供控制与实施身份信息(包括实体之间用户个人可识别信息)交换管理的各种隐私和安全策
27、略的能力。、4.83 隐私Privacy 个人控制或影响与其相关并可能被收集、管理、保留、访问以及使用或散布的私人信息的权利。4.84 隐私策略Privacy Policy 为保护个人可识别信息的访问和传播，以及个人信息如何被使用的个人权利的需求而定义的一项策略。4.85 用户User 使用资源的任何实体，资源包括系统、设备、终端、进程、应用程序或合作网络。4.86 用户身份User Identity 在多用户、多服务架构中唯一识别用户的编码或字符串。10 YD厅2592-20134.87 证书Certificate 一组由某安全权威机构或信任第三方签发的安全相关数据。可与其他安全信息一起用于
28、提供数据完整性和数据源认证服务。口机J-TX.810(1995) 4.88 注册Registration 实体请求和被分配特权使用服务或资源的过程。注z登记是注册的前置事件.登记与往册功能可以结合或分开-4.89 主体Principal 身份能被认证的一个实体。ITU-TY.2720 (2010) , X.811 (1995) , Y.2702 (2008) 4.90 4.91 4.92 自断言身份Self-Asserted Identity 实体声明自己所拥有的身份。资质认定Accreditation 授权行为:授予一个权威机构执开展某项特定服务。资质认定机构Accreditation Au
29、thority 遵照约定的信任框架，评估和审核身份提供商、属性提供商、依赖方、和身份媒介的机构，11 YD厅2592-2013附录A资料性附录IdM基本术语的要点和基本原理A.1 背景关于身份管理(ldM)的讨论，人们对IdM的目的、使用的基本流程、术语和定义在理解上已经表现出差异。在IdM标准化过程中，这些差异导致了误解和漫长的讨论.将来，为帮助避免这些误解，本附录摘录了一些在lTU-T关于基础概念和术语的讨论中达成的共识，并且帮助解释了本标准中术语演变(或采用的思路。请注意本附录没有收录或解释身份管理的全部观点。A.2 介绍身份是其他所有I制术语围绕的核心术语。例如，在非数字世界的真实世界
30、中，基于广泛的特征或属性集合的自然人身份是容易被接受的。其中一些是身体特征，如身高、发色、外貌、举止及行为方式等。另一些，如出生日期、出生地点、家庭住址、电话号码也可能被用作身份信息。在通信过程中，双方通常需要对是与正确一方通信有足够信任。寻找这种信任的过程通常会包括两个或多个个体或实体身份待证实的实体为请求方，依赖于被证实身份的实体为依赖方。可能被引入的身份管理第三方为身份服务提供商.在数字或在线世界中，身份也是由属性组成，就像真实世界一样。然而，在这种情况下，身份可能被限定于一个特征，也可能拥有多个特征:这取决于该身份所出现的环境。以上所述既适用于自然人也适用于无生命的物体，因此用户常被称
31、为实体。通常，标识符和/或属性在某特定环境中唯一地表现某实体特征。因此，一个实体可能拥有多个不同身份，其中一些是其他身份的子集。人3基本术语要点和基本原理A.3.1 认证和信任CAuthenti臼tionand Confiden认证过程是IdM的主要部分。以下内容帮助解释认证过程及其与信任的相关性。需注意在真实流程和应用环境中使用该模型时，使用者必须非常清楚相关通信方和可用的信任链。认证过程可描述如下E多数通信流程要求通信方对他们实际通信的一方有足够的信任。因此，在通信之初，通信各方均试图在某方可用身份信息的基础上达到足够的信任等级，即对实体与其表现身份绑定关系的信任。当通信各方相距甚远且仅通
32、过电信链路连接时，建立信任的过程是非常重要的。为确认通信一方对所表现身份的归属真实性方面达到足够的信任程度而进行认证。通信包含两个或多个不同参与方交换信息。由于可能的参与方种类众多如人或物)，需要定义一个普遍性术语。11实体被选为该普遍性术语，定义为z独立存在并在环境中能被识别的事物。注1:一个实体可以是人、动物、法人、组织、一个主动或被动的事物、一个装置、应用软件、服务等，或-组这样的实体.12 咱YD厅2592-2013注2:在远程通信环境中，实体的范例包括访问点、订户、用户、网络元素、网络、软件应用程序、服务和设备、接口等。能用于实体识别的信息基于实体的属性。属性定义为:绑定于实体的信息
33、，这些信息指定了实体特征。在实际术语中，由于识别被所谓的实体存在并相互影响的环境限制，实体的识别通常基于属性的子集。环境越狭窄，边界条件越清晰，为识别所需的属性数目越少。环境被定义为:实体存在和交互的有确定边界条件的范围。由于实体的定义基于被识别的能力，非常有必要给身份识别一个恰当的定义z由环境的特征辨别一个实体的过程。为了区别实体，使用适应于环境的属性子集就足够了。这被称为身份，定义为z身份是实体的表现形式，由一种或多种属性构成，这些属性使某个实体或多个实体能够在环境中被充分区分。出于身份管理的目的，术语身份被理解为环撞中的身份(属性子集)，即属性种类受限于被定义了边界条件(环境)的框架，实
34、体存在于此框架中并相互作用。一个身份可能是另一个身份的子集。也可能有身份的交集。然而，出于各种原因(比如出于保护隐私的考虑)，身份的交集可能不适合或被拒绝应用于不同目的或不同环境。实体、身份、属性之间的关系如图A.l所示。 身份z实体的表现形式，由一种或多种属性构成，这些属性使某个实体或多个实体能够在环模中被充分区分.由于身份管理的目的，术语身份被理解为环填中的身份(属性子集).即属性种类受限于被定义了边界条件(上下文的框架，实体存在于此框架中并相互作用属性可能由以下事物构成2实体有.*实体选择了.e实体被分配了 整体身份s实体所有可能的属性无限数量)(现实中不适用固A.1实体、身份、属性之间
35、的关系正如已经指出的，认证与身份管理有关。它是与正确一方开始进行通信时需要获得充分信任的过程。所必需的实际信任等级将由应用程序的灵敏度和/或由于与错误的一方进行通信而随之发生故障的风险来确定。权利或特权可以被分配于各种用途，例如:分享或传递不想对每个人公开的信息:准予访问:一一信息:一一空间/区域/域:-服务:-资源的使用:I3 了二YD厅2592-2013签订协议。获得此信任要求通信一方可以清晰地区别于其他可能的通信方，必要时，能对此区别进行周期性评估。通常，实现信任的过程，即认证过程，是相互进行的。该过程由两个实体分别发起图A.2中所示的认证过程。&P:对Y的认证:Y实体扮演请求方，X实体
36、是依赖方。对X的认证:X实体扮演请求方，Y实体是依赖方。(2)RP通过以下方式检查申请方断言g*比较己存在信息持续的检查*对断言来源的信任假设注2这些检查同样能由另一个实体(如验证者进行，前提条件是顺从隐私法律和政策以及请求方的同意.无供掘三提证叮-SEE-中第方的本ll|三外旺第额A句注见4 No i (4a)瓦革三若!索取进一步ii 信息i . . 注1.该图显示了基本的单向认证流程.通常这个流程可被平行和/或交错地双向执行.注2.若不需要信任等级，步骤。b)可去除.注3.该流程可被多次执行，并且那些道归还可在不同时间和/或位置上执行.注4.第三方的参与顺从隐私法律和政策以及RE的同意.图
37、A.2单向的认证过程为简化和更易理解，如图A.2所示的认证过程仅从一个方向进行描述。然而，这两个流程是交错的。在呈现潜在的秘密属性之前，交叉认证让双方检查前置条件。前置条件可以是:知道如何找到依赖方，14 YD厅2592-2013充分信任依赖方是正确的(例如z在输入如用户名和密码等身份信息之前，用户应对处于正确的网站有一定的信心)。在某些情况下但不在以用户为中心的系统中)第三方能直接参与向依赖方提供作为证据的深层信息，以加强对请求方属性的信任。身份由属性组成。可以是z实体有(如代码卡)实体知道(如密码)实体是(如颜色、只寸实体能够做如特殊加密.实体的位置以上的组合身份核对可以通过z信息本身的一
38、致性.其他支持信息的一致性.与已知信息的比较属性也能被规定为身份模式，它是能够用于一些身份识别过程中的实体属性结构化表达(如实体的行为)。特别注意的是，如图2流程示例中所示，通常由依赖方基于认证流程决定是否接受请求方。没有其他实体能够进行此决策。)1总之，每个通信方都应能设定所需的信任等级以允许特权的行使。然而，该权利能被限制，且在主;些情况下不得不受到法律的限制。在通信各方间存在的严重不对称导致重大风险，强势一方可能滥用势力并要求不必要的高信任等级，或者拒绝对自身的认证。因此，有必要以对称机制为基础，实施认证机制的技术手段以规避非对称风险。另外，也有必要制定相关规范，以防止某通信方处于支配地
39、位，从而防止该通信方在非对称情况下滥用其支配地位。综上，当应用身份管理时，有必要对所参与实体和其目的非常清楚，从而使环境和身份(属性集能够被限于特定的目的。对纯粹通信目的信任等级而言，通常这样就足够了z客户对连接到目标端口或服务提供商有适度信、任，并且服务提供商能够确信服务的使用是经许可的，且能够计费并收到费用。后者可以通过对一个访问点或一个订户账号的认证实现，而不需要与真实的服务使用者相一致。在某些情况下，比如对预付费电话卡或SIM卡，就不必认证了。信任状可能作为所呈现的环境身份的一些或全部属性的证据在认证过程中出现。信任状定义为z表示所声明的身份和/或权力的证据的一组数据。然而有必要区分清
40、楚两类信任状z。一组作为声明身份的证明而显示的数据，它与认证目的相关(如护照)。这种类型的信任状通过发行方的确认加强属性的可信度:2)一组作为权利的证据所显示的数据，它仅与认证目的相关(如音乐会或足球赛的入场卷)。它允许运用特权比如有入场卷就可参加一个活动)，而没有必要揭示信任状持有者的身份。一些信任状可能包括这两种功能，两类信任状都可用于一个单独的认证过程。15 YD厅2592-2013A.3.2 声明和断言(ClaimlAsse民ion)术语声明和断言的含义通常允许有相似之处但又稍有不同。在某些情况下，断言被认为是比声明更强的一种陈述。例如，牛津字典里是这样定义声明的z(a)不提供证据的一
41、种宣称。(b)情况属实的陈述。而将断言定义为z自信的和强有力的陈述。然而，在数字环境中，术语自信的和强有力的并无实际意义。在开放网络中，在作出陈述即呈现身份信息的一方和依赖此陈述的一方之间，将有更复杂和更矛盾的关系。因此任何陈述都被假设是存疑的，从而需要验证或请求更多的证据。无论声明还是断言都不能被假设是由权威机构作出的。它总是以依赖方(或由依赖方指定的一个验证代理的验证为基础，由依赖方决定是否接受声明或断言。A.3.3 登记和注册(Enrolmentand Registration) 登记和注册是两个关系密切的过程，且两者之间存在重叠。这两个术语有时可交换使用，而且，尽管它们可合并成一个单独
42、的步骤，但事实上有两个明显的过程。登记是z一个实体首次进入环境的过程。登记可能包括实体身份的验证和一个环境身份的建立。注册是z实体请求和被分配使用服务或资源的特权的过程。登记是注册的前置事件。例如，在现实世界中，一个用户在某一时刻登记普通银行服务，稍后注册在线银行。或者，当开一个新账户时，用户可以在填写身份表格(即登记的同时注册在线银行服务。A.3.4 身份提供商和身份服务提供商(Identityprovider and Identify Service Provider) 当前实践中，身份提供商和身份服务提供商两个术语被同等使用。尽管术语身份提供商在U-T某些既有建议报告和草案中使用，但它可
43、以按字面解释成提供身份的实体，而不是管理身份的实体。此外这个术语会让人误解，因为身份不能被提供，它们客观存在，或当属性被分配时自然形成。另外，术语服务提供商使用相当广泛，比如验证服务提供商、信任状服务提供商、财务服务提供商等。因此，术语身份服务提供商，被认为比身份提供商更贴切，应该是较好的术语。通过将身份提供商的当前定义作为身份服务提供商的定义，保留术语身份提供商，并将其指向身份服务提供商而不作定义，使有可能在适应该变化的情况下对现有文档产生最小影响。首写字母缩略语应该是IdSPoA.3.5 身份模式(IdentityPattern) 一般情况下，模式被认为是能被观测或识别的信息，井且某一结构
44、能够通过这些信息被探知，或匹配于某一已知结构。所以身份模式可以被认为是能被观测或识别到的体现实体特征的信息，并且某一结构能够通过这些信息被探知，或匹配于某一已知结构。例如，术语模式的两个相关字典定义是:11一个有规律或重复的形式、规则或排列:和人、团体或机构的特性、行为、喜好或其他显著特征的一个可靠样本。一般观点与上述关于模式的定义意味着模式不只有一个元素，但是随着时间的推移，单个属性的重复也构成了一种模式。单一属性的单一出现不能构成一种模式，但一个或多个属性出现的方式能形成一种模式。同样，一种身份模式不仅可基于行动或行为，也不限于可观测或识别的信息。甚至它可以基于16 YD厅2592-201
45、3任意属性集).例如，一个轮胎外观有清晰和可检查的结构，所以在这种情况下，属性本身就能看作是一种身份模式。一种模式被多次观测到的情况是有用的，但非必要。例如，当两个人在汽车经销商的样品间谈论一辆汽车时，他们能识别和指出停放在左后角的那辆车)。模式能重复使用，但也可以设想模式仅被使用一次的情形，比如一次性代码。尽管在关于所有属性有某种结构的问题上可能存在争议，但是属性和身份模式之间的一个明显区别就是结构是被观察者检测和推断出来的，但这个结构设必要让其他实体、甚至被观测的实体都知道。身份模式不仅能用于识别，而且在某些场合中还能用于认证或对实体简单地分类或分级。如扫描捎费者的行为来确定他们所购商品的
46、种类以及购买此类商品的频率。在这种营销环境中，模式被用来将实体划分为特定实体群组，但是组合一些这样的模式，能形成对单一实体的识别。用于识别实体的元素必须允许实体在环境中被充分地区分。如果身份模式用于个体的(与群相对比识别或认证，身份模式应该是唯一和清晰的.然而，在某些情况下，如一种身份模式用于认证时，它可能不需要是唯一的和清晰的。在某些情况下有必要对特殊服务用户进行限制，如参加体育比赛。有必要对如基于特定药品的消费行为作出限制.A.3.6核实、认证、验证、绑定(Proofing，Authentication，Verifi臼，tionand Binding) 在身份管理体系中对一个用户的身份检验大致可以分为三个不同过程或场景，分别为身份核实、签发信用状、身份验证/认证.比如现实中，人们申领身份证时，派出所对其户籍等身份信息的确认，就是身份核实:信息核实无误后，派出所发放身份证，并在身份证上做上防伪标识，以备使用时验证，这一过程就是签发信用状:生活中许多场景，如购买机票，需要登记身份信息，这时售票员对身份证的检查就是身份验证/认证。注z尽管本标准中对身份认证和身份验证分到进行了定义，但现实中存在混用现象，为贴近实际使用，在A.3.6中以身份验证/认证进行描述.在网域空间中，身份核实定义为验证充分信息以确认实体声明身份的过程.如请求注册的
