Common Criteria
A HupWiki-ből...
Common Criteria, Közös Szempontrendszer
Egyre inkább nemzetközileg elismert biztonsági szabálygyűjtemény. Eredetileg az 1980-as években az amerikai Orange Book-ból indult, majd nemzetközi kereszt-elismerési szerződések révén egyre nagyobb tekintélyt szerzett. Ez a gyártóknak azért jó, mert ha egy országban bevizsgáltatják a termékeiket, akkor azt a többi ország is elfogadja, nem kell mindannyiszor átesni az igen költséges folyamaton.
Két fontos fogalom van: a védelmi profil és a megfelelési szint. A védelmi profil (Protection Profile, PP) azoknak az elvárt szempontoknak az összessége, amely szerint a rendszert (szoftvert, hálózatot, céget, stb.) vizsgáljuk, amilyen támadásokat szeretnénk kivédeni, amilyen szempontokat fontosnak tartunk (esetleg más szempontok kárára, de akkor is tudatosan választunk ezek közt). A megfelelési szint (Evaluation Assurance Level, EAL) az adott védelmi profil és a rendszer közt bizonyított megfelelés erősségét jelenti. Fontos: védelmi profil nélkül nem értelmes EAL-ról beszélni, a megfelelés mindig valamilyen szempontrendszer szerint történik.
A megfelelési szintek:
- EAL 1: Funkcionálisan tesztelve
- EAL 2: Strukturálisan tesztelve
- EAL 3: Módszeresen tesztelve és ellenőrizve
- EAL 4: Tervszerűen tervezve, tesztelve és átnézve
- EAL 5: Félformálisan tervezve és tesztelve
- EAL 6: Félformálisan igazolt módon tervezve és tesztelve
- EAL 7: Formálisan igazolt módon tervezve és tesztelve
Az EAL 4 tehát (ahol a mai legtöbb kereskedelmi termék van) mindössze a termék dokumentáltságának bizonyos szintjét jelenti. Jonathan Shapiro véleménye a Win2k CAPP védelmi profil szerinti bevizsgálásáról, illetve az eredményül kapott EAL 4-es erősségű megfelelésről:
Köznapi nyelven megfogalmazva, (a védelmi profil védelmet biztosít,) ha a felhasználó nem köti a gépet az internetre, nem használ elektronikus levelezést, csak a szoftverfejlesztőbe vetett 100%-os bizalom esetén telepít programokat a gépére, és ha a szervezetnél dolgozó bármely munkatárs esetleg rossz szándékokkal viseltetne, akkor minden remény elveszett. ... Az EAL 4-es minősítés (pedig) azt jelenti, hogy az ember sok, a szoftverfejlesztés folyamatáról szóló papírmunkát gyártott, magáról a szoftver minőségéről azonban egyáltalán nem szól. A szoftverről kézzelfogható eredményekkel járó vizsgálat nem készül, és a kód semekkora részét nem vizsgálják át. EAL 4-es minősítésű szoftvert venni olyan, mint hivatalos papírokkal nem rendelkező házat venni, csak még kockázatosabb.
Elég kemény szavak. Az igazi nyilván egy alapos védelmi profil és az annak EAL 7 szinten megfelelés lenne. Ez esetben mind a követelmények, mind a rendszer formális leírással rendelkezik, a kettő közti megfelelést pedig automatikus matematikai eszközökkel bizonyítják. Ez azonban a mai rendszerek bonyolultsága és a bizonyítóeszközök képességei fényében igen korlátozottan működhet, és igen drága.
