跳到主要內容

資訊技術安全評估共同準則 (CC, ISO/IEC 15408, GB/T 18336) 產品檢測與認證服務

 



資訊技術安全評估共同準則 (CC, ISO/IEC 15408, GB/T 18336) 產品檢測與認證服務

資訊技術安全評估共同準則

資訊技術安全評估共同準則 (Common Criteria for IT Security Evaluation, ISO/IEC 15408)，簡稱共同準則 (Common Criteria) 或 CC，是針對實現資/通訊產品所使用資訊技術的安全性所進行的安全技術認證。 


共同準則是資訊安全性的架構，是建立在資/通訊產品的開發者可以在安全標的 (Security Target, ST) 檔案當中，標示安全功能需求 (Security Functional Requirements, SFR) 及安全保障需求 (Security Assurance Requirement, SAR)，或者也可以從資/通訊產品的保護剖繪 (Protection Profile, PP) 中取得這些資料。

  • ISO/IEC TR 15446 Information technology — Security techniques — Guidance for the production of protection profiles and security targets

開發商可以實現或是聲明其產品的安全屬性，檢測實驗室可以評估這些產品，根據不同的安全保障級別 (EAL)，評估與檢測的深度也不同，並確認其是否符合聲明的屬性。換句話說，共同準則提供了保證，資/通訊安全產品的規格、實現以及評估可以用一個嚴謹、標準化且可重覆的方式進行，而且可以與目標使用環境相稱。共同準則會維護一份已認證產品的清單，其中包括作業系統、存取控制系統、資料庫、及密鑰管理系統等。


參照相關國際標準：

  • ISO/IEC 15408-1 Information security, cybersecurity and privacy protection — Evaluation criteria for IT security — Part 1: Introduction and general model
  • ISO/IEC 15408-2 Information security, cybersecurity and privacy protection — Evaluation criteria for IT security — Part 2: Security functional components
  • ISO/IEC 15408-3 Information security, cybersecurity and privacy protection — Evaluation criteria for IT security — Part 3: Security assurance components
  • ISO/IEC 18045 Information security, cybersecurity and privacy protection — Evaluation criteria for IT security — Methodology for IT security evaluation
  • ISO/IEC TS 19608 Guidance for developing security and privacy functional requirements based on ISO/IEC 15408
  • ISO/IEC 19989-x Information security — Criteria and methodology for security evaluation of biometric systems 
  • ISO/IEC TR 20004 Information technology — Security techniques — Refining software vulnerability analysis under ISO/IEC 15408 and ISO/IEC 18045
  • ISO/IEC 19790 Information technology — Security techniques — Security requirements for cryptographic modules
  • ISO/IEC 24759 Information technology — Security techniques — Test requirements for cryptographic modules
  • ISO/IEC 20543 Information technology — Security techniques — Test and analysis methods for random bit generators within ISO/IEC 19790 and ISO/IEC 15408
  • ISO/IEC TR 19791 Information technology — Security techniques — Security assessment of operational systems

以下是一些共同準則的一些基本概念：

  • 評估標的 (Target of Evaluation, TOE)：是指要評估的系統或是產品，評估可以驗證標的效能相關的聲明。為了要符合實務情形，評估需要確認標的的安全特性：可以用以下方式來進行：
    • 保護剖繪 (Protection Profile, PP)：針對某一類資/通訊安全產品或系統 (例如用來進行數位簽章的智慧卡、物聯網設備、生物識別應用裝置、或是網路防火牆) 安全需求的檔案，多半是使用者或使用者群體 (例如，政府機構) 所產出，而且其安全產品是和使用者的特定用途有關。產品的供應商可以讓其產品滿足一個或是多個保護剖繪，並且讓其產品在這些保護剖繪下進行評估。這種情形下，保護剖繪可以是產品安全標的 (ST) 模版，或是安全標的作者至少會確保，所有相關保護剖繪的需求都會在產品的安全標的檔案中。尋求這類特定產品的顧客可以將重心放在符合其需求的保護剖繪，再找有相關認證的產品。
    • 安全標的 (Security Target, ST)：針對特定要被評估的資/通訊安全產品或系統安全性質的檔案。安全標的中可能會聲明此產品符合一個或是多個保護剖繪 (PP)。評估標的 (TOE) 會針對安全標上所列的安全功能需求 (SFR) 來評估，不多不少。因此，開發商可以調整其評估方式，精準的符合產品預期要有的安全效能。像網路防火牆不需要符合資料庫管理系統的所有安全需求，不同的防火牆也可能是用完全不同的安全功能需求清單來進行評估。一般來說，通過檢測與認證後，開發商會將安全標的 (ST) 對外發行，因此潛在客戶才可以依評估認證的安全特性來尋找產品。
    • 安全功能需求 (Security Functional Requirements, SFR)：說明評估標的 (TOE) 的安全功能。共同準則提供下列功能類別 (class) 的標準目錄。例如：安全功能需求可能會說明針對以角色為基礎的存取控制的使用者，需以什麼方式進行身分驗證。安全功能需求的列表可能會依不同評估而不同，就算是二個相同種類的產品也可能會有不同的列表。雖然共同準則沒有規定在安全標的中一定要有安全機能需求，不過會列出各個安全功能 (例如，依角色限制存取能力的機能)，若要正常運作，會和哪些其他機能（例如，識別不同角色的能力) 有相依性。
      1. Class FAU: Security Audit 安全稽核
      2. Class FCO: Communication 通信
      3. Class FCS: Cryptographic support 支援加密
      4. Class FDP: User Data Protection 用戶資料保護
      5. Class FIA: Identification and Authentication 識別與認證
      6. Class FMT: Security Management 安全功能管理
      7. Class FPR: Privacy 隱私
      8. Class FPT: Protection of the TSF 安全功能保護
      9. Class FRU: Resource Utilization 資源管理
      10. Class FTA: TOE Access 評估標的存取
      11. Class FTP: Trusted Path/Channels 安全通道



共同準則評估過程，透過下列品質保證的流程，建立有關產品安全特性的可信度資訊：

  • 安全保障需求 (Security Assurance Requirement, SAR)：敘述在產品開發及評估過程中，為了確認符合安全性功能所進行的措施。例如，評估會要求所有的程式原始碼都要放在變更與組態管理系統中，或是要進行全功能測試。共同準則提供下列評估類別 (Class) 的目錄，實際要求可能會隨評估等級而不同。特定產品的安全保障需求，會列在其保護剖繪 (PP) 及安全標的 (ST) 檔案中。
    1. Class APE: Protection Profile Evaluation 保護剖繪評估
    2. Class ASE: Security Target Evaluation 安全標的評估
    3. Class ADV: Development 開發技術評估
    4. Class AGD: Guidance Documents 指引文件評估
    5. Class ALC: Life-Cycle Support 生命週期支持評估
    6. Class ATE: Tests 測試
    7. Class AVA: Vulnerability Assessment 技術脆弱性評估
    8. Class ACO: Composition 組合評估
  • 評估保障等級 (Evaluation Assurance Level, EAL)：以數值方式來針對評估的深度以及嚴謹性進行評比。每一個 EAL 會對應一組預先定義好的安全保障需求 (SAR)，這些安全保障需求涵蓋產品開發的全部過程，有一定的嚴謹性。共同準則中。列有七個 EAL 等級，其中的 EAL 1是最基礎的 (不論實施或是評估都最便宜)，EAL 7 最高評估級別，也最嚴格 (也最貴)。一般而言，不會針對個別的保護剖繪 (PP) 或安全標的 (ST) 去指定評估保障等級，會針對一整組的保護剖繪及安全標的來定義，也有可能針對一些領域再擴充更高等級的安全需求。高評估保障等級不一定表示「安全性較高」，只表示的評估標的 (TOE) 所聲明的安全保障已用更深入的方式進行驗證及確認。



在信息技術共同評估方法 (CEM) 中，對於工作單元 (work unit)，定義了4 種動詞，相關定義及要求如下：

Verb
動詞		Definitions 定義
Check
核對		透過簡單的比對，產生判決。
評估人員不需具備特定專業能力。這動詞通常用來描述該內容符合對照 (mapped)。
Examine
檢查		應用評估人員得專業能力，進行分析，產生判決。
這動詞通常用來描述什麼 (WHAT) 被分析，以及分析的內容 (properties)。
Record
紀錄		記錄保留了對程序、事件、觀察、見解和結果的書面描述，並且要足夠詳細，以使評估過程中執行的工作能夠在日後重新構建。
Report
報告		評估技術報告 (Evaluation Technical Report, ETR) 或 觀察報告 (Observation Report, OR) 必須包含評估結果以及支持內容 (證據)。




適用對象

  1. 資/通訊產品開發商
  2. 資/通訊產品生產、製造商


資/通訊產品共同準則評估與認證


  • 什麼時候可以開始規劃共同準則評估與認證：由於共同準則評估涵蓋全產品生命週期，包含設計、開發、生產、測試、交付等各階段的安全評估，所以，當您的產品還在設計階段是最佳時機。
  • 如何選擇一個信譽卓著的發證機構：參考 CCRA 交互承認機制中的被授權發證國家 (Certificate Authorizing Members) 的發證機構。
  • CC 證書效期：在 TOE 沒有進行任何變更的情況下，一般效期為 3 ~ 5 年，依發證國家與機構之不同，可能會有所差異。

評估與驗證流程



服務內容

共同準則評估與認證過程中，我們可以提供，但不限於下列服務：

  1. 共同準則標準應用教育訓練
  2. 協助開發商 TOE 相關技術文件準備 
  3. 協助製造商環境安全認證準備
  4. 共同準則認可實驗室評估與認證輔導

共同準則評估與認證推廣方案：

為了協助您儘快釐清共同準則評估與認證的可行性，請預先準備下列資料，便於討論：

  1. 安全產品目標市場、客戶特定要求 (例如 PP, EAL)
  2. 產品服務說明、架構、使用手冊
  3. 安全功能、架構、規格說明書
  4. 產品安全技術說明書 (安全硬件、軟件、韌體)，特別說明產品用的哪些 "加密技術” (例如演算法、加解密模組 (FIPS-140-2/3 認證))
聯絡資料：Philip KU, philip.ku@tksg.global  [ PGP Public Key ]

(PGP Fingerprint: BE11 C1CC BFE2 A3A9 4929  3D1C 10FF C3BE A51C 92F7)

Labels:

熱門文章