Common Criteria: Unterschied zwischen den Versionen

Version vom 11. Februar 2024, 11:02 Uhr

Common Criteria (CC) - Internationaler Standard zur Prüfung und Bewertung der Sicherheitseigenschaften von IT-Produkten

Beschreibung

Evaluierung und Zertifizierung

Erfolgt in Deutschland in der Regel durch das Bundesamt für Sicherheit in der Informationstechnik (BSI)

Internationale Qualitätsmanagementnorm

Bewertung und Zertifizierung der Sicherheit von Computersystemen
Common Criteria for Information Technology Security Evaluation
Allgemeine Kriterien für die Bewertung der Sicherheit von Informationstechnologie

Löst seit 1996 ab

Amerikanisch: TCSEC
Europäisch: ITSEC

Teile der Common Criteria

Nummer	Titel
1	Introduction and General Model	Einführung und allgemeines Modell
2	Functional Requirements	Funktionale Sicherheitsanforderungen
3	Assurance Requirements	Anforderungen an die Vertrauenswürdigkeit

Vorgehensmodell

Funktionalität und Vertrauenswürdigkeit

Option	Beschreibung
Funktionalität	Funktionsumfang
Vertrauenswürdigkeit	Qualität

Die Unterscheidung zwischen der Funktionalität eines Systems auf der einen Seite und dem Vertrauen, das durch eine Prüfung in diese Funktionalität entstehen kann, ist eines der wesentlichen Paradigmen der Common Criteria

Die Vertrauenswürdigkeit wird nach den Gesichtspunkten der Wirksamkeit der verwendeten Methoden und der Korrektheit der Implementierung betrachtet
Das Vorgehen kann als rückgekoppeltes Wasserfallmodell verstanden werden

Schutzprofile

Idealerweise wird zunächst eine von fertigen Produkten unabhängige Sicherheitsbetrachtung durchgeführt, die zur Erstellung eines allgemeinen Schutzprofils führt

Aus diesem Sicherheitskatalog können dann für bestimmte Produkte gezielt Sicherheitsvorgaben erarbeitet werden, gegen die dann die Evaluierung gemäß CC durchgeführt wird
Dabei wird die geforderte Vertrauenswürdigkeit, die Prüftiefe, im Allgemeinen gemäß EAL (Evaluation Assurance Level, s. u.) festgelegt
Eine Angabe der Prüftiefe ohne zugrunde liegende funktionale Sicherheitsanforderungen ist sinnlos
Vor allem die Nennung der EAL-Stufen ohne weitere Angaben hat sich durchgesetzt, was vielfach zu Irritationen und hitzigen Debatten führt

Paradigmen

Trennung von Funktionalität und Vertrauenswürdigkeit

Das grundsätzliche Paradigma der Common Criteria ist die Trennung der Betrachtung von Funktionalität und Vertrauenswürdigkeit
Grundsätzlich erfolgt durch die Kriterien keine Vorgabe, dass eine bestimmte Funktionalität umgesetzt werden muss oder dass diese mit einer bestimmten Vertrauenswürdigkeit geprüft werden muss
Beide Aspekte werden zu Beginn der Evaluation vom Hersteller des Produkts in einem Dokument, dem „Security Target“, definiert

Funktionalitätsklassen

Teil II der Common Criteria enthält eine Reihe von sogenannten „Security Functional Requirements“ (SFR)

Mit Hilfe dieser halbformalen Bausteine wird die Sicherheitsfunktionalität eines zu prüfenden Produkts beschrieben

Im Gegensatz zu anderen Normen sind die Funktionalitätsklassen nicht hierarchisch gegliedert

Stattdessen beschreibt jede Klasse eine bestimmte Grundfunktion der Sicherheitsarchitektur, die getrennt bewertet werden muss

Wichtige Funktionalitätsklassen

Klasse	Beschreibung
FAU	Sicherheitsprotokollierung
FCO	Kommunikation
FCS	Kryptographische Unterstützung
FDP	Schutz der Benutzerdaten
FIA	Identifikation und Authentisierung
FMT	Sicherheitsmanagement
FPR	Privatsphäre
FPT	Schutz der Sicherheitsfunktionen
FRU	Betriebsmittelnutzung
FTA	Schnittstelle
FTP	vertrauenswürdiger Pfad/Kanal

Auswahl

Auswahl der Funktionalität, die ein zu prüfendes System bereitstellt Obliegt dem Hersteller

Es fällt in seinen Verantwortungsbereich, diese Funktionalität mit den anderen beteiligten Parteien – insbesondere dem Kunden – abzustimmen
Im Rahmen einer Evaluation nach Common Criteria werden prinzipiell nur solche Funktionen geprüft, die der Hersteller in seinem „Security Target“ modelliert hat

Rahmenbedingungen

Bei der Auswahl von SFR aus Teil II der Common Criteria sind gewisse Rahmenbedingungen zu beachten

So pflegt Teil II der CC auch Abhängigkeiten zwischen SFRs, die bei der Auswahl beachtet werden müssen
Wird z. B. ein SFR zur Beschreibung einer Zugriffskontrollpolitik auf Daten verwendet, schreibt die Abhängigkeit vor, dass auch SFRs zur Authentisierung der Nutzer zu verwenden sind

Schutzprofile

Kollektionen von SFRs werden zu Schutzprofilen zusammengefasst
Die den typischen Funktionsumfang bestimmter Produkte (z. B. Firewalls, Smartcards etc.) beschreiben
Solche Schutzprofile werden klassischerweise von Herstellerverbänden oder großen Kunden geschrieben, um ihre Anforderungen an eine bestimmte Klasse von Produkten auszudrücken

Vertrauenswürdigkeit

Die Common Criteria definieren sieben Stufen der Vertrauenswürdigkeit (Evaluation Assurance Level, EAL1-7), die die Korrektheit der Implementierung des betrachteten Systems bzw. die Prüftiefe beschreiben

Mit steigender Stufe der Vertrauenswürdigkeit steigen die Anforderungen an die Tiefe, in der der Hersteller sein Produkt beschreiben muss und mit dem das Produkt geprüft wird

Übersicht über die Evaluation Assurance Levels

Prüftiefen in anderen Kriterien

CC EAL	Bedeutung	ITSEC E	BSI ITS Q	TCSEC
EAL1	funktionell getestet	E0-E1	Q0-Q1	D-C1
EAL2	strukturell getestet	E1	Q1	C1
EAL3	methodisch getestet und überprüft	E2	Q2	C2
EAL4	methodisch entwickelt, getestet und durchgesehen	E3	Q3	B1
EAL5	semiformal entworfen und getestet	E4	Q4	B2
EAL6	semiformal verifizierter Entwurf und getestet	E5	Q5	B3
EAL7	formal verifizierter Entwurf und getestet	E6	Q6	A

Zertifizierung

Vier-Augen-Prinzip

Den Common Criteria liegt ein Vier-Augen-Prinzip zugrunde
Kann dann bei einer Zertifizierungsstelle zertifiziert werden

Zertifizierungsstelle

Deutschland: Bundesamt für Sicherheit in der Informationstechnik (BSI)

Methodik der Bewertung für die Zertifizierung

Ergänzend zu den Common Criteria wurde von den beteiligten Gremien und Einrichtungen eine Zertifizierungsmethodik entwickelt, die die Ergebnisse von Zertifizierungen nachvollziehbar und vergleichbar machen soll
Derzeit (Stand 2007) sind sie für die Teile 1 und 2 ausgeführt und analog zu den EAL 1–4 aufgebaut

Internationale Anerkennung

Eine Zertifizierung gemäß den Common Criteria ist international nach CCRA bis zum EAL2 und nach SOGIS-MRA bis zum EAL 4 (siehe unten) gegenseitig anerkannt

Höhere EALs müssen international nicht anerkannt werden, haben aber in der privaten Wirtschaft wegen ihrer enormen Komplexität ohnehin kaum praktische Bedeutung
Innerhalb von Europa sind innerhalb des „SOGIS-Abkommens“ und innerhalb bestimmter technischer Gebiete auch Zertifizierungen bis EAL 7 unter Umständen anerkannt

Anhang

Normen und Standards

DIN-Normen

In Deutschland sind die Normteile als DIN-Normen DIN ISO/IEC 15408-1…3 veröffentlicht
Der deutsche Anteil an dieser Arbeit wird u. a. vom DIN NIA-01-27 IT-Sicherheitsverfahren betreut

ISO/IEC-Standard

ISO/IEC 15408
Informationstechnik – IT-Sicherheitsverfahren – Evaluationskriterien für IT-Sicherheit
Internationaler Standard zur Prüfung und Bewertung der Sicherheitseigenschaften von IT-Produkten

Seit 1994 war die International Organization for Standardization (ISO) gemeinsam mit dem CCEB bzw. dem Nachfolger CCIB bemüht, einen internationalen Standard zu entwickeln

Durch die Verabschiedung der Norm ISO/IEC 15408 am 1. Dezember 1999 in mehreren Teildokumenten sind die Common Criteria ein allgemeiner und weltweit anerkannter Standard

Die Norm unterliegt den üblichen Änderungsverfahren der ISO

Im Jahr 2005 folgte die Version 2.3, im September 2006 ein Versionssprung auf 3.1
September 2012 wurde die vierte Revision der Common Criteria 3.1 veröffentlicht
April 2017 folgte Revision 5
Im Dezember 1999 sind die Common Criteria zum International Standard ISO/IEC 15408 erklärt worden

Nationale Übernahmen

Organisation	Nummer
EN ISO/IEC	15408
DIN EN ISO/IEC	15408
ÖVE/ÖNORM EN ISO/IEC	15408
SN EN ISO/IEC	15408

Siehe auch

Weblinks

@@ Zeile 37: / Zeile 37: @@
 |}
-Die Unterscheidung zwischen der Funktionalität eines Systems auf der einen Seite und dem Vertrauen, das durch eine Prüfung in diese Funktionalität entstehen kann, ist eines der wesentlichen Paradigmen der Common Criteria.
+Die Unterscheidung zwischen der Funktionalität eines Systems auf der einen Seite und dem Vertrauen, das durch eine Prüfung in diese Funktionalität entstehen kann, ist eines der wesentlichen Paradigmen der Common Criteria
-* Die Vertrauenswürdigkeit wird nach den Gesichtspunkten der Wirksamkeit der verwendeten [[Methode (Softwaretechnik)|Methoden]] und der [[Korrektheit (Informatik)|Korrektheit]] der [[Implementierung]] betrachtet.
+* Die Vertrauenswürdigkeit wird nach den Gesichtspunkten der Wirksamkeit der verwendeten [[Methode (Softwaretechnik)|Methoden]] und der [[Korrektheit (Informatik)|Korrektheit]] der [[Implementierung]] betrachtet
-* Das Vorgehen kann als rückgekoppeltes [[Wasserfallmodell]] verstanden werden.
+* Das Vorgehen kann als rückgekoppeltes [[Wasserfallmodell]] verstanden werden
 ==== Schutzprofile ====
-Idealerweise wird zunächst eine von fertigen Produkten unabhängige Sicherheitsbetrachtung durchgeführt, die zur Erstellung eines allgemeinen [[Schutzprofil]]s führt.
+Idealerweise wird zunächst eine von fertigen Produkten unabhängige Sicherheitsbetrachtung durchgeführt, die zur Erstellung eines allgemeinen [[Schutzprofil]]s führt
-* Aus diesem Sicherheitskatalog können dann für bestimmte Produkte gezielt [[Sicherheitsvorgaben]] erarbeitet werden, gegen die dann die Evaluierung gemäß CC durchgeführt wird.
+* Aus diesem Sicherheitskatalog können dann für bestimmte Produkte gezielt [[Sicherheitsvorgaben]] erarbeitet werden, gegen die dann die Evaluierung gemäß CC durchgeführt wird
-* Dabei wird die geforderte Vertrauenswürdigkeit, die ''Prüftiefe'', im Allgemeinen gemäß EAL (Evaluation Assurance Level, s.&nbsp;u.) festgelegt.
+* Dabei wird die geforderte Vertrauenswürdigkeit, die ''Prüftiefe'', im Allgemeinen gemäß EAL (Evaluation Assurance Level, s.&nbsp;u.) festgelegt
-* Eine Angabe der Prüftiefe ohne zugrunde liegende funktionale Sicherheitsanforderungen ist sinnlos.
+* Eine Angabe der Prüftiefe ohne zugrunde liegende funktionale Sicherheitsanforderungen ist sinnlos
-* Vor allem die Nennung der EAL-Stufen ohne weitere Angaben hat sich durchgesetzt, was vielfach zu Irritationen und hitzigen Debatten führt.
+* Vor allem die Nennung der EAL-Stufen ohne weitere Angaben hat sich durchgesetzt, was vielfach zu Irritationen und hitzigen Debatten führt
 === Paradigmen ===
 ; Trennung von Funktionalität und Vertrauenswürdigkeit
-* Das grundsätzliche Paradigma der Common Criteria ist die Trennung der Betrachtung von Funktionalität und Vertrauenswürdigkeit.
+* Das grundsätzliche Paradigma der Common Criteria ist die Trennung der Betrachtung von Funktionalität und Vertrauenswürdigkeit
-* Grundsätzlich erfolgt durch die Kriterien keine Vorgabe, dass eine bestimmte Funktionalität umgesetzt werden muss oder dass diese mit einer bestimmten Vertrauenswürdigkeit geprüft werden muss.
+* Grundsätzlich erfolgt durch die Kriterien keine Vorgabe, dass eine bestimmte Funktionalität umgesetzt werden muss oder dass diese mit einer bestimmten Vertrauenswürdigkeit geprüft werden muss
-* Beide Aspekte werden zu Beginn der Evaluation vom Hersteller des Produkts in einem Dokument, dem „Security Target“, definiert.
+* Beide Aspekte werden zu Beginn der Evaluation vom Hersteller des Produkts in einem Dokument, dem „Security Target“, definiert
 ==== Funktionalitätsklassen ====
 Teil II der Common Criteria enthält eine Reihe von sogenannten „Security Functional Requirements“ (SFR)
-* Mit Hilfe dieser halbformalen Bausteine wird die Sicherheitsfunktionalität eines zu prüfenden Produkts beschrieben.
+* Mit Hilfe dieser halbformalen Bausteine wird die Sicherheitsfunktionalität eines zu prüfenden Produkts beschrieben
 Im Gegensatz zu anderen Normen sind die Funktionalitätsklassen nicht hierarchisch gegliedert
-* Stattdessen beschreibt jede Klasse eine bestimmte Grundfunktion der Sicherheitsarchitektur, die getrennt bewertet werden muss.
+* Stattdessen beschreibt jede Klasse eine bestimmte Grundfunktion der Sicherheitsarchitektur, die getrennt bewertet werden muss
 ; Wichtige Funktionalitätsklassen
@@ Zeile 91: / Zeile 91: @@
 ==== Auswahl ====
 ; Auswahl der Funktionalität, die ein zu prüfendes System bereitstellt Obliegt dem Hersteller
-* Es fällt in seinen Verantwortungsbereich, diese Funktionalität mit den anderen beteiligten Parteien – insbesondere dem Kunden – abzustimmen.
+* Es fällt in seinen Verantwortungsbereich, diese Funktionalität mit den anderen beteiligten Parteien – insbesondere dem Kunden – abzustimmen
-* Im Rahmen einer Evaluation nach Common Criteria werden prinzipiell nur solche Funktionen geprüft, die der Hersteller in seinem „Security Target“ modelliert hat.
+* Im Rahmen einer Evaluation nach Common Criteria werden prinzipiell nur solche Funktionen geprüft, die der Hersteller in seinem „Security Target“ modelliert hat
 ; Rahmenbedingungen
 Bei der Auswahl von SFR aus Teil II der Common Criteria sind gewisse Rahmenbedingungen zu beachten
-* So pflegt Teil II der CC auch Abhängigkeiten zwischen SFRs, die bei der Auswahl beachtet werden müssen.
+* So pflegt Teil II der CC auch Abhängigkeiten zwischen SFRs, die bei der Auswahl beachtet werden müssen
-* Wird z.&nbsp;B.&nbsp;ein SFR zur Beschreibung einer Zugriffskontrollpolitik auf Daten verwendet, schreibt die Abhängigkeit vor, dass auch SFRs zur Authentisierung der Nutzer zu verwenden sind.
+* Wird z.&nbsp;B.&nbsp;ein SFR zur Beschreibung einer Zugriffskontrollpolitik auf Daten verwendet, schreibt die Abhängigkeit vor, dass auch SFRs zur Authentisierung der Nutzer zu verwenden sind
 ; Schutzprofile
 * Kollektionen von SFRs werden zu [[Schutzprofil]]en zusammengefasst
-* Die den typischen Funktionsumfang bestimmter Produkte (z.&nbsp;B.&nbsp;[[Firewall]]s, [[Smartcard]]s etc.) beschreiben.
+* Die den typischen Funktionsumfang bestimmter Produkte (z.&nbsp;B.&nbsp;[[Firewall]]s, [[Smartcard]]s etc.) beschreiben
-* Solche Schutzprofile werden klassischerweise von Herstellerverbänden oder großen Kunden geschrieben, um ihre Anforderungen an eine bestimmte Klasse von Produkten auszudrücken.
+* Solche Schutzprofile werden klassischerweise von Herstellerverbänden oder großen Kunden geschrieben, um ihre Anforderungen an eine bestimmte Klasse von Produkten auszudrücken
 ==== Vertrauenswürdigkeit ====
-Die Common Criteria definieren sieben Stufen der [[Vertrauenswürdigkeit]] (Evaluation Assurance Level, EAL1-7), die die Korrektheit der [[Implementierung]] des betrachteten Systems bzw.&nbsp;die ''Prüftiefe'' beschreiben.
+Die Common Criteria definieren sieben Stufen der [[Vertrauenswürdigkeit]] (Evaluation Assurance Level, EAL1-7), die die Korrektheit der [[Implementierung]] des betrachteten Systems bzw.&nbsp;die ''Prüftiefe'' beschreiben
-* Mit steigender Stufe der Vertrauenswürdigkeit steigen die Anforderungen an die Tiefe, in der der Hersteller sein Produkt beschreiben muss und mit dem das Produkt geprüft wird.
+* Mit steigender Stufe der Vertrauenswürdigkeit steigen die Anforderungen an die Tiefe, in der der Hersteller sein Produkt beschreiben muss und mit dem das Produkt geprüft wird
 ; Übersicht über die ''Evaluation Assurance Levels''
@@ Zeile 112: / Zeile 112: @@
 {| class="wikitable big options col1center"
 |-
-! CC EAL  !! Bedeutung !! [[Information Technology Security Evaluation Criteria|ITSEC]] E !! [[Deutsche IT-Sicherheitskriterien|BSI ITS]] Q !! [[Trusted Computer System Evaluation Criteria|TCSEC]]
+! CC EAL !! Bedeutung !! [[Information Technology Security Evaluation Criteria|ITSEC]] E !! [[Deutsche IT-Sicherheitskriterien|BSI ITS]] Q !! [[Trusted Computer System Evaluation Criteria|TCSEC]]
 |-
 | EAL1 || funktionell getestet || E0-E1 || Q0-Q1 || D-C1
@@ Zeile 128: / Zeile 128: @@
 | EAL7 || formal verifizierter Entwurf und getestet || E6 || Q6 || A
 |}
-<noinclude>
 === Zertifizierung ===
@@ Zeile 140: / Zeile 138: @@
 ; Methodik der Bewertung für die Zertifizierung
-* Ergänzend zu den Common Criteria wurde von den beteiligten Gremien und Einrichtungen eine Zertifizierungsmethodik entwickelt, die die Ergebnisse von Zertifizierungen nachvollziehbar und vergleichbar machen soll.
+* Ergänzend zu den Common Criteria wurde von den beteiligten Gremien und Einrichtungen eine Zertifizierungsmethodik entwickelt, die die Ergebnisse von Zertifizierungen nachvollziehbar und vergleichbar machen soll
-* Derzeit (Stand 2007) sind sie für die Teile 1 und 2 ausgeführt und analog zu den EAL 1–4 aufgebaut.
+* Derzeit (Stand 2007) sind sie für die Teile 1 und 2 ausgeführt und analog zu den EAL 1–4 aufgebaut
 ==== Internationale Anerkennung ====
-Eine Zertifizierung gemäß den Common Criteria ist international nach [[CCRA]] bis zum EAL2 und nach [[SOGIS-MRA]] bis zum EAL 4 (siehe unten) gegenseitig anerkannt.
+Eine Zertifizierung gemäß den Common Criteria ist international nach [[CCRA]] bis zum EAL2 und nach [[SOGIS-MRA]] bis zum EAL 4 (siehe unten) gegenseitig anerkannt
-* Höhere EALs müssen international nicht anerkannt werden, haben aber in der privaten Wirtschaft wegen ihrer enormen Komplexität ohnehin kaum praktische Bedeutung.
+* Höhere EALs müssen international nicht anerkannt werden, haben aber in der privaten Wirtschaft wegen ihrer enormen Komplexität ohnehin kaum praktische Bedeutung
-* Innerhalb von Europa sind innerhalb des „SOGIS-Abkommens“ und innerhalb bestimmter technischer Gebiete auch Zertifizierungen bis EAL 7 unter Umständen anerkannt.
+* Innerhalb von Europa sind innerhalb des „SOGIS-Abkommens“ und innerhalb bestimmter technischer Gebiete auch Zertifizierungen bis EAL 7 unter Umständen anerkannt
+<noinclude>
 == Anhang ==
 === Normen und Standards ===
 ==== DIN-Normen ====
-* In Deutschland sind die Normteile als [[DIN-Norm]]en [[DIN]] ISO/IEC 15408-1…3 veröffentlicht.
+* In Deutschland sind die Normteile als [[DIN-Norm]]en [[DIN]] ISO/IEC 15408-1…3 veröffentlicht
-* Der deutsche Anteil an dieser Arbeit wird u.&nbsp;a. vom [[IT-Sicherheitsverfahren|DIN NIA-01-27 IT-Sicherheitsverfahren]] betreut.
+* Der deutsche Anteil an dieser Arbeit wird u.&nbsp;a. vom [[IT-Sicherheitsverfahren|DIN NIA-01-27 IT-Sicherheitsverfahren]] betreut
 ==== ISO/IEC-Standard ====
@@ Zeile 159: / Zeile 159: @@
 * Internationaler Standard zur Prüfung und Bewertung der Sicherheitseigenschaften von IT-Produkten
-Seit 1994 war die ''International Organization for Standardization'' (ISO) gemeinsam mit dem CCEB bzw.&nbsp;dem Nachfolger CCIB bemüht, einen internationalen Standard zu entwickeln.
+Seit 1994 war die ''International Organization for Standardization'' (ISO) gemeinsam mit dem CCEB bzw.&nbsp;dem Nachfolger CCIB bemüht, einen internationalen Standard zu entwickeln
-* Durch die Verabschiedung der Norm [[ISO]]/[[International Electrotechnical Commission|IEC]]&nbsp;15408 am 1. Dezember 1999 in mehreren Teildokumenten sind die Common Criteria ein allgemeiner und weltweit anerkannter Standard.
+* Durch die Verabschiedung der Norm [[ISO]]/[[International Electrotechnical Commission|IEC]]&nbsp;15408 am 1. Dezember 1999 in mehreren Teildokumenten sind die Common Criteria ein allgemeiner und weltweit anerkannter Standard
 ; Die Norm unterliegt den üblichen Änderungsverfahren der ISO
@@ Zeile 166: / Zeile 166: @@
 * September 2012 wurde die vierte Revision der Common Criteria 3.1 veröffentlicht
 * April 2017 folgte Revision 5
-* Im Dezember 1999 sind die Common Criteria zum International Standard [[International Organization for Standardization|ISO]]/[[International Electrotechnical Commission|IEC]]&nbsp;15408 erklärt worden.
+* Im Dezember 1999 sind die Common Criteria zum International Standard [[International Organization for Standardization|ISO]]/[[International Electrotechnical Commission|IEC]]&nbsp;15408 erklärt worden
 ==== Nationale Übernahmen ====