Obecná kritéria

Aktuální verze stránky ještě nebyla zkontrolována zkušenými přispěvateli a může se výrazně lišit od verze recenzované 2. května 2015; kontroly vyžadují 17 úprav .

Obecná kritéria pro hodnocení bezpečnosti informačních technologií , Společná kritéria pro hodnocení bezpečnosti informačních technologií , Common Criteria , CC ) je mezinárodní standard počítačové bezpečnosti [ 3 ] přijatý v Rusku [  2 ] . Na rozdíl od standardu FIPS 140 [4] Common Criteria neposkytuje seznam bezpečnostních požadavků ani seznam funkcí, které musí produkt obsahovat. Místo toho popisuje rámec ( framework  ), ve kterém mohou uživatelé počítačového systému popsat požadavky, vývojáři mohou tvrdit bezpečnostní vlastnosti produktů a odborníci na bezpečnost mohou určit, zda produkt požadavky splňuje. Společná kritéria vám tedy umožňují poskytnout podmínky, ve kterých bude proces popisu, vývoje a testování produktu probíhat s nezbytnou pečlivostí.

Prototyp tohoto dokumentu byl " Kritéria hodnocení pro bezpečnost IT , ECITS " , na kterém se začalo pracovat v roce 1990 . 

Základní pojmy

Norma obsahuje dva hlavní typy bezpečnostních požadavků: funkční , kladené na bezpečnostní funkce a mechanismy, které je realizují, a požadavky na zajištění , kladené na technologii a vývojový a provozní proces.

Pro strukturování prostoru požadavků standard používá hierarchii třída-rodina-komponenta-prvek: třídy definují nejobecnější, „předmětové“ seskupení požadavků, rodiny v rámci třídy se liší závažností a dalšími nuancemi požadavků, komponenta je minimum soubor požadavků, který se jeví jako celek, prvek je nedělitelný požadavek.

Funkční požadavky

Funkční požadavky jsou seskupeny na základě role, kterou vykonávají, nebo bezpečnostního cíle, kterému slouží, celkem do 11 funkčních tříd (ve třech skupinách), 66 rodin, 135 komponent.

  1. První skupina definuje základní bezpečnostní služby:
    1. FAU - audit , bezpečnost (požadavky na služby, protokolování a audit);
    2. FIA - identifikace a autentizace ;
    3. FRU - využití zdrojů (pro odolnost proti chybám).
  2. Druhá skupina popisuje odvozené služby implementované na základě elementárních:
    1. FCO - komunikace (zabezpečení komunikace odesílatel-přijímač);
    2. FPR - soukromí;
    3. FDP - ochrana uživatelských dat;
    4. FPT - ochrana bezpečnostních funkcí objektu hodnocení.
  3. Třetí skupina tříd souvisí s infrastrukturou předmětu hodnocení:
    1. FCS - kryptografická podpora (zajišťuje správu krypto klíčů a krypto operací);
    2. FMT - bezpečnostní management;
    3. FTA - přístup k objektu hodnocení (správa uživatelských relací);
    4. FTP - důvěryhodná cesta/kanál;

Třídy funkčních požadavků pro základní bezpečnostní služby

Mezi základní bezpečnostní služby patří následující třídy FAU, FIA a FRU.

Třída FAU zahrnuje šest rodin (FAU_GEN, FAU_SEL, FAU_STG, FAU_SAR, FAU_SAA a FAU_ARP) a každá rodina může obsahovat jiný počet komponent.

Účel komponent této třídy je následující.

FAU_GEN - Generování dat bezpečnostního auditu. Obsahuje dvě součásti FAU_GEN.1 (generování dat auditu) a FAU_GEN.2 (přidružení ID uživatele).

Požadavky důvěry

Požadavky na zajištění bezpečnosti (trust) jsou požadavky na technologii a proces vývoje a provozu předmětu posuzování. Rozděleno do 10 tříd, 44 rodin, 93 komponent, které pokrývají různé fáze životního cyklu.

  1. První skupina obsahuje třídy požadavků, které předcházejí vývoji a hodnocení objektu:
    1. APE - Protection Profile Evaluation;
    2. ASE - hodnocení bezpečnostního přiřazení.
  2. Druhá skupina souvisí s fázemi životního cyklu předmětu atestu:
    1. ADV - vývoj, návrh objektu;
    2. ALC - podpora životního cyklu;
    3. ACM - správa konfigurace;
    4. AGD - administrátorská a uživatelská příručka;
    5. ATE - testování;
    6. AVA – posouzení zranitelnosti ;
    7. ADO - požadavky na dodávku a provoz;
    8. AMA - podpora pro pojistná plnění, je aplikována po certifikaci objektu pro shodu s obecnými kritérii.

Historie vývoje

Vývoji „Common Criteria“ předcházelo vypracování dokumentu „Evaluation Criteria for IT Security“ ( angl.  Evaluation Criteria for IT Security, ECITS ), zahájeného v roce 1990 a provedeného pracovní skupinou 3 podvýboru 27 of první společný technický výbor (neboli JTC1 / SC27 / WG3 ) Mezinárodní organizace pro normalizaci ( ISO ).

Tento dokument posloužil jako základ pro zahájení prací na dokumentu Společná kritéria pro hodnocení bezpečnosti IT , která byla zahájena v roce 1993 .  Na této práci se podílely vládní organizace šesti zemí ( USA , Kanada , Německo , Velká Británie , Francie , Nizozemsko ). Na práci na projektu se podílely tyto ústavy:

  1. Národní institut pro standardy a technologie a Národní bezpečnostní agentura ( USA );
  2. Komunikační bezpečnostní zařízení ( Kanada );
  3. Agentura pro bezpečnost informací ( Německo );
  4. Orgány pro provádění programu IT bezpečnosti a certifikace ( Anglie );
  5. Centrum zabezpečení systémů ( Francie );
  6. Národní bezpečnostní komunikační agentura ( Nizozemsko ).

Norma byla přijata v roce 2005 komisí ISO a má status mezinárodní normy, identifikační číslo ISO/IEC 15408 [2] [3] . V odborných kruzích dostal tento dokument následně krátký název – anglický.  Common Criteria, CC ; ruština "Obecná kritéria", OK .

Certifikační model hrozby

Certifikace produktu podle Common Criteria může, ale nemusí potvrdit určitou úroveň zabezpečení produktu v závislosti na modelu hrozby a prostředí.

V souladu s metodikou certifikace si výrobce sám určuje prostředí a model útočníka, ve kterém se produkt nachází. Právě za těchto předpokladů se kontroluje soulad výrobku s deklarovanými parametry. Pokud jsou v produktu po certifikaci objeveny nové, dříve neznámé zranitelnosti , musí výrobce vydat aktualizaci a znovu certifikovat. V opačném případě musí být certifikát zneplatněn.

Operační systém Microsoft Windows XP (Professional SP2 a Embedded SP2), stejně jako Windows Server 2003 [5] [6] [7] [8] byly v roce 2005 certifikovány na úroveň Common Criteria EAL4+ podle profilu CAPP [9] . -2007, poté, co pro ně byly vydány aktualizace Service Pack a byly pravidelně vydávány nové důležité bezpečnostní aktualizace. Windows XP však v testované verzi měl stále certifikaci EAL4+, [5] [6] . Tato skutečnost svědčí ve prospěch skutečnosti, že podmínky pro certifikaci (prostředí a model útočníka) byly zvoleny velmi konzervativně, v důsledku čehož žádná ze zjištěných zranitelností není aplikovatelná na testovanou konfiguraci.

Pro skutečné konfigurace je samozřejmě mnoho z těchto zranitelností nebezpečných. Společnost Microsoft doporučuje, aby si uživatelé nainstalovali všechny důležité aktualizace zabezpečení.

Obecná kritéria v Rusku

V roce 2002 byly na příkaz předsedy Státní technické komise Ruska uvedeny v platnost následující pokyny [10] vypracované na základě mezinárodních dokumentů Common Criteria verze 2.3:

Od tohoto okamžiku je v tuzemském certifikačním systému formálně povolena certifikace produktů informačních technologií podle požadavků bezpečnostních úkolů. Vzhledem k tomu, že rozsah (třídy automatizovaných systémů) těchto certifikátů shody nebyl explicitně definován, měla tato certifikace ve většině případů reklamní charakter - výrobci preferovali certifikaci svých výrobků podle požadavků klasických směrnic.

Od roku 2012 FSTEC Ruska aktivně pracuje na aktualizaci regulačního a metodického rámce pro certifikaci nástrojů bezpečnosti informací. Zejména byly uvedeny v platnost požadavky na následující typy nástrojů informační bezpečnosti:

Požadavky na konkrétní typ nástrojů informační bezpečnosti jsou navrženy jako soubor dokumentů:

Ochranné profily jsou k dispozici Archivovaná kopie z 20. září 2017 na Wayback Machine na oficiálních stránkách FSTEC Ruska. V současné době tedy certifikaci produktů těchto typů provádí FSTEC Ruska pouze za účelem splnění schválené ochranné profily.

Poznámky

  1. ↑ Běžně známý kratší název
  2. ↑ 1 2 GOST R ISO/IEC 15408-3-2013 zavedena od 1. 9. 2014 . Datum přístupu: 6. ledna 2016. Archivováno z originálu 4. března 2016.
  3. ↑ 1 2 ISO / IEC 15408 – Kritéria hodnocení bezpečnosti IT
  4. ↑ FIPS 140  
  5. ↑ 1 2 https://www.commoncriteriaportal.org/files/epfiles/st_vid9506-vr.pdf Archivováno 21. září 2012 na Wayback Machine XP SP2 Certified, 2007
  6. ↑ 1 2 https://www.commoncriteriaportal.org/files/epfiles/st_vid4025-st.pdf Archivováno 6. října 2012 na Wayback Machine XP SP2 Certified, 2005
  7. ↑ Microsoft Windows získává certifikaci EAL 4+ Archivováno 8. září 2015 na Wayback Machine / Schneier, 2005, na základě „Windows XP získává nezávislou certifikaci zabezpečení“ / eWeek,  2005-12-14
  8. ↑ Technická zpráva hodnocení společných kritérií pro Windows XP / Server 2003 Archivována 19. června 2015 na Wayback Machine / Microsoft, 2005 (ZIP, DOC   )
  9. ↑ Controlled Access Protection Profile (CAPP), verze 1.d, 8. října 1999; – ISO/IEC 15408:1999.
  10. ↑ Dokument s pokyny. Rozkaz předsedy Státní technické komise Ruska ze dne 19. června 2002 N 187 - FSTEC Ruska . fstec.ru. Získáno 20. září 2017. Archivováno z originálu 20. září 2017.
  11. ↑ Informační dopis FSTEC Ruska (Požadavky na SOV) . Archivováno z originálu 6. října 2017. Staženo 20. září 2017.
  12. ↑ Informační dopis FSTEC Ruska (Požadavky na SAVZ) . Archivováno z originálu 23. září 2017. Staženo 20. září 2017.
  13. ↑ Informační dopis FSTEC Ruska (Požadavky na SDZ) . Archivováno z originálu 14. září 2017. Staženo 20. září 2017.
  14. ↑ Informační dopis FSTEC Ruska (Požadavky na SKN) . Archivováno z originálu 14. září 2017. Staženo 20. září 2017.
  15. ↑ Informační dopis FSTEC Ruska (Požadavky pro ministerstvo energetiky) . Archivováno z originálu 16. září 2017. Staženo 20. září 2017.
  16. ↑ Informační dopis FSTEC Ruska (Požadavky na OS) . Archivováno z originálu 6. října 2017. Staženo 20. září 2017.

Odkazy