1

Zertifizierte IT-Sicherheit nach Common Criteria - ISO/IEC 15408

Dr. Jens Oberender | SRC security research & consulting GmbH

2

Agenda

• Sicherheits-Zertifikate und Anerkennung

• Vom Problem zum IT-Sicherheits-Produkt

• Schwachstellen-Analyse

3

Zertifikat (Common Criteria)

Behördliche Zustimmung über die Sicherheit eines Produkts

gemäß einer Untersuchungstiefe

und im Bezug auf die Produktklasse

Bundesamt für Sicherheit in der Informatikstechnik (BSI)

Der abgregrenzte Evaluierungsgegenstand (EVG,

der sicherheitskritische Teil)

Das Security Problem Definition (SPD) wird vollständig abgedeckt durch: a) Sicherheitsfunktionen des EVG oder

b) zugesicherte Eigenschaften der Umwelt des EVG

Ein Schutzprofil definiert SPD und Security Functional Requirements (SFR)

Evaluation Assurance Level (EAL) 4: Methodisches Vorgehen, z.B. Nachvollziehen von SPD bis zur Implementierung

4

Anerkennung

5

Security Problem Definition

© SRC/BSI Sicherheitsfunktionen

des EVG

Organisatorische Sicherheitspolitiken Annahmen Bedrohungen

Sicherheitsziele für den EVG

Sicherheitsziele für die EVG Umgebung

Anforderungen an die Sicherheitsfunktionen

des EVG

6

Bsp.: Security Problem Definition

• Threat Unkontrollierter Informationsfluss

• Security Objective of the TOE Regelbasiertes Filtern von Nachrichten

• Security Functional Requirement

• Security Flow Policy

• FDP_IFC.1 Subset information flow control

• FDP_IFF.1 Simple security attributes

• Sicherheitsfunktion: Einsatz von iptables

The TSF shall enforce the [assignment: information flow control SFP] on [assignment: subjects, information, and

operations covered by the SFP …]

7

Nachweise nachvollziehen

8

Schwachstellen-Analyse

• Angriffspfade bewerten

Man-in-the-

Middle

Hardware

Power Analysis

© Lars Gierlichs

© Steven Murdoch

9

CC

Produkte

• Digitaler Tachograph

• Elektronischer Reisepass

Zusammenfassung

• Zusicherung (‚Assurance‘) in die Sicherheit von IT-Produkten

• Evaluierungsgegenstand | Umgebung

• Evaluation Assurance Levels

• Vertrauen schaffen jens.oberender@src-gmbh.de