Common Criteria: Unterschied zwischen den Versionen
Zeile 175: | Zeile 175: | ||
== Anhang == | == Anhang == | ||
=== Normen und Standards === | === Normen und Standards === | ||
==== ISO/IEC-Standard ==== | |||
* [[ISO/IEC 15408]] | |||
* Informationstechnik – IT-Sicherheitsverfahren – Evaluationskriterien für IT-Sicherheit | |||
* Internationaler Standard zur Prüfung und Bewertung der Sicherheitseigenschaften von IT-Produkten | |||
Seit 1994 war die ''International Organization for Standardization'' (ISO) gemeinsam mit dem CCEB bzw. dem Nachfolger CCIB bemüht, einen internationalen Standard zu entwickeln | |||
* Durch die Verabschiedung der Norm [[ISO]]/[[International Electrotechnical Commission|IEC]] 15408 am 1. Dezember 1999 in mehreren Teildokumenten sind die Common Criteria ein allgemeiner und weltweit anerkannter Standard | |||
; Die Norm unterliegt den üblichen Änderungsverfahren der ISO | |||
* Im Jahr 2005 folgte die Version 2.3, im September 2006 ein Versionssprung auf 3.1 | |||
* September 2012 wurde die vierte Revision der Common Criteria 3.1 veröffentlicht | |||
* April 2017 folgte Revision 5 | |||
* Im Dezember 1999 sind die Common Criteria zum International Standard [[International Organization for Standardization|ISO]]/[[International Electrotechnical Commission|IEC]] 15408 erklärt worden | |||
; Nationale Übernahmen | |||
{| class="wikitable options big" | |||
|- | |||
! Organisation !! Nummer | |||
|- | |||
| EN ISO/IEC || 15408 | |||
|- | |||
| DIN EN ISO/IEC || 15408 | |||
|- | |||
| ÖVE/ÖNORM EN ISO/IEC || 15408 | |||
|- | |||
| SN EN ISO/IEC || 15408 | |||
|} | |||
==== DIN-Normen ==== | ==== DIN-Normen ==== | ||
* In Deutschland sind die Normteile als [[DIN-Norm]]en [[DIN]] ISO/IEC 15408-1…3 veröffentlicht | * In Deutschland sind die Normteile als [[DIN-Norm]]en [[DIN]] ISO/IEC 15408-1…3 veröffentlicht |
Version vom 11. Februar 2024, 12:10 Uhr
Common Criteria (CC) - Standard zur Prüfung und Bewertung der Sicherheitseigenschaften von IT-Produkten
Beschreibung
Internationaler Standard zur Prüfung und Bewertung der Sicherheitseigenschaften von IT-Produkten
- Evaluierung und Zertifizierung
Erfolgt in Deutschland in der Regel durch das Bundesamt für Sicherheit in der Informationstechnik (BSI)
- Internationale Qualitätsmanagementnorm
- Bewertung und Zertifizierung der Sicherheit von Computersystemen
- Common Criteria for Information Technology Security Evaluation
- Allgemeine Kriterien für die Bewertung der Sicherheit von Informationstechnologie
- Löst seit 1996 ab
- Teile der Common Criteria
CC:2022 Release 1
Kapitel | Beschreibung | Dokument |
---|---|---|
1 | Einführung und allgemeines Modell | Introduction and general model |
2 | Funktionale Sicherheitsanforderungen | Security functional requirements |
3 | Anforderungen an die Gewährleistung der Sicherheit | Security assurance requirements |
4 | Rahmen für die Spezifikation von Evaluationsmethoden und -aktivitäten | Framework for the specification of evaluation methods and activities |
5 | Vordefinierte Pakete von Sicherheitsanforderungen | Pre-defined packages of security requirements |
- CEM 2022
CEN 2022 besteht aus einem Teil
Option | Beschreibung |
---|---|
CEM | CEM2022R1.pdf |
Errata to CC:2022 and CEM:2022 | CC2022CEM2022Errata_Interpretation.pdf |
Transition Policy to CC:2022 and CEM:2022 | CC2022CEM2022TransitionPolicy.pdf |
Vorgehensmodell
Die Unterscheidung zwischen der Funktionalität eines Systems auf der einen Seite und dem Vertrauen, das durch eine Prüfung in diese Funktionalität entstehen kann, ist eines der wesentlichen Paradigmen der Common Criteria
- Die Vertrauenswürdigkeit wird nach den Gesichtspunkten der Wirksamkeit der verwendeten Methoden und der Korrektheit der Implementierung betrachtet
- Das Vorgehen kann als rückgekoppeltes Wasserfallmodell verstanden werden
- Funktionalität und Vertrauenswürdigkeit
Option | Beschreibung |
---|---|
Funktionalität | Funktionsumfang |
Vertrauenswürdigkeit | Qualität |
Schutzprofile
Idealerweise wird zunächst eine von fertigen Produkten unabhängige Sicherheitsbetrachtung durchgeführt, die zur Erstellung eines allgemeinen Schutzprofils führt
- Aus diesem Sicherheitskatalog können dann für bestimmte Produkte gezielt Sicherheitsvorgaben erarbeitet werden, gegen die dann die Evaluierung gemäß CC durchgeführt wird
- Dabei wird die geforderte Vertrauenswürdigkeit, die Prüftiefe, im Allgemeinen gemäß EAL (Evaluation Assurance Level, s. u.) festgelegt
- Eine Angabe der Prüftiefe ohne zugrunde liegende funktionale Sicherheitsanforderungen ist sinnlos
- Vor allem die Nennung der EAL-Stufen ohne weitere Angaben hat sich durchgesetzt, was vielfach zu Irritationen und hitzigen Debatten führt
Paradigmen
- Trennung von Funktionalität und Vertrauenswürdigkeit
- Das grundsätzliche Paradigma der Common Criteria ist die Trennung der Betrachtung von Funktionalität und Vertrauenswürdigkeit
- Grundsätzlich erfolgt durch die Kriterien keine Vorgabe, dass eine bestimmte Funktionalität umgesetzt werden muss oder dass diese mit einer bestimmten Vertrauenswürdigkeit geprüft werden muss
- Beide Aspekte werden zu Beginn der Evaluation vom Hersteller des Produkts in einem Dokument, dem „Security Target“, definiert
Funktionalitätsklassen
Teil II der Common Criteria enthält eine Reihe von sogenannten „Security Functional Requirements“ (SFR)
- Mit Hilfe dieser halbformalen Bausteine wird die Sicherheitsfunktionalität eines zu prüfenden Produkts beschrieben
Im Gegensatz zu anderen Normen sind die Funktionalitätsklassen nicht hierarchisch gegliedert
- Stattdessen beschreibt jede Klasse eine bestimmte Grundfunktion der Sicherheitsarchitektur, die getrennt bewertet werden muss
- Wichtige Funktionalitätsklassen
Klasse | Beschreibung |
---|---|
FAU | Sicherheitsprotokollierung |
FCO | Kommunikation |
FCS | Kryptographische Unterstützung |
FDP | Schutz der Benutzerdaten |
FIA | Identifikation und Authentisierung |
FMT | Sicherheitsmanagement |
FPR | Privatsphäre |
FPT | Schutz der Sicherheitsfunktionen |
FRU | Betriebsmittelnutzung |
FTA | Schnittstelle |
FTP | vertrauenswürdiger Pfad/Kanal |
Auswahl
- Auswahl der Funktionalität, die ein zu prüfendes System bereitstellt Obliegt dem Hersteller
- Es fällt in seinen Verantwortungsbereich, diese Funktionalität mit den anderen beteiligten Parteien – insbesondere dem Kunden – abzustimmen
- Im Rahmen einer Evaluation nach Common Criteria werden prinzipiell nur solche Funktionen geprüft, die der Hersteller in seinem „Security Target“ modelliert hat
- Rahmenbedingungen
Bei der Auswahl von SFR aus Teil II der Common Criteria sind gewisse Rahmenbedingungen zu beachten
- So pflegt Teil II der CC auch Abhängigkeiten zwischen SFRs, die bei der Auswahl beachtet werden müssen
- Wird z. B. ein SFR zur Beschreibung einer Zugriffskontrollpolitik auf Daten verwendet, schreibt die Abhängigkeit vor, dass auch SFRs zur Authentisierung der Nutzer zu verwenden sind
- Schutzprofile
- Kollektionen von SFRs werden zu Schutzprofilen zusammengefasst
- Die den typischen Funktionsumfang bestimmter Produkte (z. B. Firewalls, Smartcards etc.) beschreiben
- Solche Schutzprofile werden klassischerweise von Herstellerverbänden oder großen Kunden geschrieben, um ihre Anforderungen an eine bestimmte Klasse von Produkten auszudrücken
Vertrauenswürdigkeit
Die Common Criteria definieren sieben Stufen der Vertrauenswürdigkeit (Evaluation Assurance Level, EAL1-7), die die Korrektheit der Implementierung des betrachteten Systems bzw. die Prüftiefe beschreiben
- Mit steigender Stufe der Vertrauenswürdigkeit steigen die Anforderungen an die Tiefe, in der der Hersteller sein Produkt beschreiben muss und mit dem das Produkt geprüft wird
- Übersicht über die Evaluation Assurance Levels
Prüftiefen in anderen Kriterien
CC EAL | Bedeutung | ITSEC E | BSI ITS Q | TCSEC |
---|---|---|---|---|
EAL1 | funktionell getestet | E0-E1 | Q0-Q1 | D-C1 |
EAL2 | strukturell getestet | E1 | Q1 | C1 |
EAL3 | methodisch getestet und überprüft | E2 | Q2 | C2 |
EAL4 | methodisch entwickelt, getestet und durchgesehen | E3 | Q3 | B1 |
EAL5 | semiformal entworfen und getestet | E4 | Q4 | B2 |
EAL6 | semiformal verifizierter Entwurf und getestet | E5 | Q5 | B3 |
EAL7 | formal verifizierter Entwurf und getestet | E6 | Q6 | A |
Zertifizierung
- Vier-Augen-Prinzip
- Den Common Criteria liegt ein Vier-Augen-Prinzip zugrunde
- Kann dann bei einer Zertifizierungsstelle zertifiziert werden
- Zertifizierungsstelle
- Methodik der Bewertung für die Zertifizierung
- Ergänzend zu den Common Criteria wurde von den beteiligten Gremien und Einrichtungen eine Zertifizierungsmethodik entwickelt, die die Ergebnisse von Zertifizierungen nachvollziehbar und vergleichbar machen soll
- Derzeit (Stand 2007) sind sie für die Teile 1 und 2 ausgeführt und analog zu den EAL 1–4 aufgebaut
Internationale Anerkennung
Eine Zertifizierung gemäß den Common Criteria ist international nach CCRA bis zum EAL2 und nach SOGIS-MRA bis zum EAL 4 (siehe unten) gegenseitig anerkannt
- Höhere EALs müssen international nicht anerkannt werden, haben aber in der privaten Wirtschaft wegen ihrer enormen Komplexität ohnehin kaum praktische Bedeutung
- Innerhalb von Europa sind innerhalb des „SOGIS-Abkommens“ und innerhalb bestimmter technischer Gebiete auch Zertifizierungen bis EAL 7 unter Umständen anerkannt
Anhang
Normen und Standards
ISO/IEC-Standard
- ISO/IEC 15408
- Informationstechnik – IT-Sicherheitsverfahren – Evaluationskriterien für IT-Sicherheit
- Internationaler Standard zur Prüfung und Bewertung der Sicherheitseigenschaften von IT-Produkten
Seit 1994 war die International Organization for Standardization (ISO) gemeinsam mit dem CCEB bzw. dem Nachfolger CCIB bemüht, einen internationalen Standard zu entwickeln
- Durch die Verabschiedung der Norm ISO/IEC 15408 am 1. Dezember 1999 in mehreren Teildokumenten sind die Common Criteria ein allgemeiner und weltweit anerkannter Standard
- Die Norm unterliegt den üblichen Änderungsverfahren der ISO
- Im Jahr 2005 folgte die Version 2.3, im September 2006 ein Versionssprung auf 3.1
- September 2012 wurde die vierte Revision der Common Criteria 3.1 veröffentlicht
- April 2017 folgte Revision 5
- Im Dezember 1999 sind die Common Criteria zum International Standard ISO/IEC 15408 erklärt worden
- Nationale Übernahmen
Organisation | Nummer |
---|---|
EN ISO/IEC | 15408 |
DIN EN ISO/IEC | 15408 |
ÖVE/ÖNORM EN ISO/IEC | 15408 |
SN EN ISO/IEC | 15408 |
DIN-Normen
- In Deutschland sind die Normteile als DIN-Normen DIN ISO/IEC 15408-1…3 veröffentlicht
- Der deutsche Anteil an dieser Arbeit wird u. a. vom DIN NIA-01-27 IT-Sicherheitsverfahren betreut
Siehe auch
Weblinks
- https://de.wikipedia.org/wiki/Common_Criteria_for_Information_Technology_Security_Evaluation
- https://www.iso.org/search.html
- Überarbeitung im Rahmen der 7. CC-Konferenz
- Common Criteria beim Bundesamt für Sicherheit in der Informationstechnik (BSI)
- Common Criteria Official Website
- Inhaltsverzeichnis der DIN ISO/IEC 15408-1:2007-11 beim Beuth-Verlag
- Inhaltsverzeichnis der DIN ISO/IEC 15408-2:2007-11 beim Beuth-Verlag
- Inhaltsverzeichnis der DIN ISO/IEC 15408-3:2007-11 beim Beuth-Verlag