ICS35.240.01 CCS L 67 中华人民共和国国家标准 GB/T41802—2022 信息技术 验证码程序要求 Information technologyRequirements of verification code program 2023-05-01实施 2022-10-12发布 国家市场监督管理总局 发布 国家标准化管理委员会 GB/T 41802—2022 目 次 前言 引言 1 范围 2 规范性引用文件 术语和定义 3 通用要求 4 5 特定要求 附录A（资料性） 验证码示例 5 GB/T 41802—2022 前言 本文件按照GB/T1.1一2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任， 本文件由全国信息技术标准化技术委员会（SAC/TC28)提出并归口。 本文件起草单位：安徽省质量和标准化研究院、杭州宇泛智能科技有限公司、中国电子技术标准化 研究院、深圳市感知未来科技有限公司、中科信息安全共性技术国家工程研究中心有限公司、上海市网 络技术综合应用研究所、合肥市市政工程管理处、江西省网络安全研究院、麒麟软件有限公司、成都安美 术有限公司、湖南工商大学、安徽皖测信息技术有限公司。 本文件主要起草人：刘营、何正安、齐艳丽、王寒冰、张士骑、朱伟、郑东、盛文、徐根炜、杨亚萍、万鹏、 樊荣、杨诏钧、何志鹏、李健、张冰、赖泽冲、郭战岗、蒋凡、何潇宁、胡欣瑞、房仲珂、胡春华、夏天、梁伟 I GB/T 41802—2022 引言 本文件描述的验证码主要是指用于区分用户是计算机还是自然人的信息元素（包括图形字符、问 题、目标位置或轨迹形状、语音）。验证码通常用于用户注册、操作确认、信息提交等场景。发送验证码 的一条主要路径是：应用所处的系统，将验证码连同验证操作要求直接发送至申请该应用的设备上。设 备持有人按操作要求进行操作（反馈）以完成验证 本文件针对上述验证码发送路径所涉及的验证码，描述和规范验证码程序 GB/T41802—2022 验证码程序要求 信息技术 1范围 涉及基于生物识别技术验证码程序的要求。 本文件适用于验证码程序的开发、测试和应用。 2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文 件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于 本文件。 GB/T1988一1998信息技术信息交换用七位编码字符集 GB18030信息技术中文编码字符集 术语和定义 3 下列术语和定义适用于本文件。 3.1 于character 字符 用于组织、控制、表示数据的元素集合中的一个元素。 ［来源：GB/T1988—1998,4.3］ 3.2 图形字符 Fgraphic character 不同于控制功能的一类字符，它有可见的表示，通常是手写的、打印的或显示的，并且它有一个或多 个位组组成的编码表示。 ［来源：GB/T1988—1998,4.14］ 3.3 验证码 verification code 用于区分用户是计算机还是自然人的一组信息元素。 3.4 验证码程序 verification code program 用于生成验证码并实现验证功能的程序。 注：通常包括基于文本的验证码程序、基于知识的验证码程序、基于行为的验证码程序、基于语音的验证码程序、复 合验证码程序 3.5 基于文本的验证码程序 text-based verification codeprogram 用于生成一组以文本形式呈现的验证码，并实现验证功能的程序。 1 GB/T 41802—2022 3.6 基于知识的验证码程序knowledge-based verificationcodeprogram 用于生成一组以问题形式呈现的验证码，并实现验证功能的程序。 注：这组问题需要用户运用所掌握的知识或信息，经过运算、比较、联想或推理才能获得正确答案，答案是唯一的。 3.7 behavior-based verification code program 基于行为的验证码程序 用于生成一组以目标位置、轨迹形状等形式呈现的验证码，并通过获取用户行为实现验证功能的 程序。 注：用户需要通过执行点击某个位置、拖动滑块到某个位置、绘制轨迹等动作实现验证信息输人，验证码程序收集 完成时间、完成精度、轨迹信息等多个维度用户行为信息完成综合判断。 3.8 基于语音的验证码程序voice-based verification codeprogram 用于生成一组以语音形式呈现的验证码，并实现验证功能的程序 3.9 复合验证码程序compoundverificationcodeprogram 用于生成由两类或两类以上信息元素构成的验证码，并实现验证功能的程序。 注：信息元素是3.5～3.8定义的基于文本、知识、行为、语音的验证码程序所使用的信息元素，即图形字符、问题、目 标位置或轨迹形状、语音。 4通用要求 4.1验证码程序（以下简称程序)生成的验证码应具有以下特征： 可及性：验证码所呈现的信息能通过自然人的眼睛、耳朵等感官系统获得 a b）可识别性：验证码所呈现的信息能被自然人识别。 c）适应性： 1）验证码的呈现方式与用户相适应，例如供视力障碍用户使用的验证码采取语音方式呈现； 2）验证码数量与可能使用验证码的总次数相适应； 3）与用户的认知结构、范围和程度相适应； 4）与用户的特殊属性相适应，例如语音、口音、性别、年龄、身体因素等。 d）时效性：验证码所呈现的信息仅在程序设定的有效期内有效。 4.2 2程序生成验证码时应同时产生相应的验证操作提示。 示例1：请输人验证码完成验证。 示例2：请拖动滑块完成拼图。 4.4程序宜能设置对同一用户连续验证码生成请求的响应时间间隔。 4.5程序应能对其生成的验证码设置允许的验证操作时间长度。 4.6程序生成的验证码应是随机的 4.7程序使用的信息元素库（如：图形字符库、图片库、语音库、问题库等）应能扩展、更新；程序生成验 证码时，所使用的信息元素库中每个信息元素被选中的概率宜尽可能相同。 4.8 3程序应采取措施确保程序本身及信息元素的安全。 9程序不应提供直接或间接获取预期结果的方法。 4.9 2 GB/T41802—2022 5特定要求 5.1基于文本的验证码程序 5.1.1程序应能生成一组文本，对这组文本进行干扰处理后作为验证码（示例见A.1)呈现给用户，并能 判定用户的反馈是否符合预期。 5.1.2宜建立与用户数相适宜的图形字符库，图形字符应符合GB18030的要求。 5.1.3程序生成的验证码文本长度应不少于4个字符。 旋转、字符重叠、学符扭曲、不同字体、不同颜色、干扰线、干扰点、干扰字符等。 5.1.5以即时消息、短信息、电子邮件等形式通过第三方平台发送的验证码可不进行干扰处理。 5.2基于知识的验证码程序 5.2.1程序应能生成一组问题，将这组问题及备选答案（若存在）作为验证码（示例见A.2）呈现给用 户，并能判定用户的反馈是否符合预期。 注1：不是所有基于知识的验证码程序都需提供备选答案给用户。 时输入的信息、浏览过的页面类型、观看过的节目类型、购买过的商品类型等不涉及用户隐私或取得用户授权 的信息。 5.2.3问题应无歧义，答案应唯一，若提供备选答案，备选答案应包括正确答案。 注：答案的唯一性表现在两个方面： a）一个问题针对所有用户都只有一个正确答案； b）一个间题针对不同的用户有不同的答案（如：最近观看过的节目类型），但是针对某一个特定用户其答案是 唯一的。 5.2.4宜采取与5.1.4相同的干扰处理方法对问题文本进行处理。 5.3基于行为的验证码程序 5.3.1程序应能生成一组目标位置、轨迹形状等信息作为验证码（示例见A.3）呈现给用户，并能判定用 户通过其行为反馈的信息是否符合预期。 5.3.2当程序需要采用图片等信息元素实现用户行为验证时（如：滑块拼图、轨迹绘制），宜建立与预期 用户数相适宜的图片库存储相应的信息元素。 5.3.3程序应能设置允许的误差，并在容许的误差范围内准确判断。 5.4基于语音的验证码程序 5.4.1程序应能生成一组语音作为验证码（示例见A.4)呈现给用户，并能判定用户的验证操作（反馈） 是否符合预期。 于图形字符、词语、句子。 5.4.3语音库中信息元素的属性（如：音调、响度、音色、语速、口音等）应与用户的属性（如：年龄、地域、 口音等）相适应。 5.4.4语音信息元素涉及的字符应符合GB/T1988一1998和GB18030的要求。 5.4.5语音库中信息元素应包括不少于1种干扰信息。干扰信息包括但不限于噪声、背景音乐、环境 3 GB/T 41802—2022 声等。 5.5 复合验证码程序 5.5.1 程序应能运用5.15.4中信息元素（包括图形字符、问题、目标位置或轨迹形状、语音）的组合生 成一组验证码（示例见A.5)呈现给用户，并能判定用户的反馈是否符合预期。 5.5.2程序使用的信息元素及信息元素库应符合5.15.4的要求。 4 GB/T 41802—2022 附录A (资料性） 验证码示例 A.1 基于文本的验证码 基于文本的验证码示例见图A.1。 请输入验证码 AEZUT a) 示例1 请输入验证码 R b) 示例2 请输入验证码 c）示例3 图 A.1 基于文本的验证码示例 A.2 基于知识的验证码 基于知识的验证码示例见图A.2。 请输入右边算式的计算结果 8+6-1:? a）示