Common Criteria

A HupWiki-ből...

Common Criteria, Közös Szempontrendszer

Egyre inkább nemzetközileg elismert biztonsági szabálygyűjtemény. Eredetileg az 1980-as években az amerikai Orange Book-ból indult, majd nemzetközi kereszt-elismerési szerződések révén egyre nagyobb tekintélyt szerzett. Ez a gyártóknak azért jó, mert ha egy országban bevizsgáltatják a termékeiket, akkor azt a többi ország is elfogadja, nem kell mindannyiszor átesni az igen költséges folyamaton.

Két fontos fogalom van: a védelmi profil és a megfelelési szint. A védelmi profil (Protection Profile, PP) azoknak az elvárt szempontoknak az összessége, amely szerint a rendszert (szoftvert, hálózatot, céget, stb.) vizsgáljuk, amilyen támadásokat szeretnénk kivédeni, amilyen szempontokat fontosnak tartunk (esetleg más szempontok kárára, de akkor is tudatosan választunk ezek közt). A megfelelési szint (Evaluation Assurance Level, EAL) az adott védelmi profil és a rendszer közt bizonyított megfelelés erősségét jelenti. Fontos: védelmi profil nélkül nem értelmes EAL-ról beszélni, a megfelelés mindig valamilyen szempontrendszer szerint történik.

A megfelelési szintek:

  • EAL 1: Funkcionálisan tesztelve
  • EAL 2: Strukturálisan tesztelve
  • EAL 3: Módszeresen tesztelve és ellenőrizve
  • EAL 4: Tervszerűen tervezve, tesztelve és átnézve
  • EAL 5: Félformálisan tervezve és tesztelve
  • EAL 6: Félformálisan igazolt módon tervezve és tesztelve
  • EAL 7: Formálisan igazolt módon tervezve és tesztelve

Az EAL 4 tehát (ahol a mai legtöbb kereskedelmi termék van) mindössze a termék dokumentáltságának bizonyos szintjét jelenti. Jonathan Shapiro véleménye a Win2k CAPP védelmi profil szerinti bevizsgálásáról, illetve az eredményül kapott EAL 4-es erősségű megfelelésről:

Köznapi nyelven megfogalmazva, (a védelmi profil védelmet biztosít,) ha a felhasználó nem köti a gépet az internetre, nem használ elektronikus levelezést, csak a szoftverfejlesztőbe vetett 100%-os bizalom esetén telepít programokat a gépére, és ha a szervezetnél dolgozó bármely munkatárs esetleg rossz szándékokkal viseltetne, akkor minden remény elveszett. ... Az EAL 4-es minősítés (pedig) azt jelenti, hogy az ember sok, a szoftverfejlesztés folyamatáról szóló papírmunkát gyártott, magáról a szoftver minőségéről azonban egyáltalán nem szól. A szoftverről kézzelfogható eredményekkel járó vizsgálat nem készül, és a kód semekkora részét nem vizsgálják át. EAL 4-es minősítésű szoftvert venni olyan, mint hivatalos papírokkal nem rendelkező házat venni, csak még kockázatosabb.

Elég kemény szavak. Az igazi nyilván egy alapos védelmi profil és az annak EAL 7 szinten megfelelés lenne. Ez esetben mind a követelmények, mind a rendszer formális leírással rendelkezik, a kettő közti megfelelést pedig automatikus matematikai eszközökkel bizonyítják. Ez azonban a mai rendszerek bonyolultsága és a bizonyítóeszközök képességei fényében igen korlátozottan működhet, és igen drága.

Személyes eszközök