Suchen

Safety und Security

Zertifizierung von Sicherheitsprodukten nach Common Criteria

Seite: 4/4

Verlässlichkeit und Nachhaltigkeit der Zertifizierung

Für den Nutzer bzw. Kunden ist es essenziell zu wissen, in welchem Maße er Zusicherungen über die Sicherheit eines Produktes tatsächlich vertrauen kann. Die Common Criteria verfolgen daher das Ziel, dem Nutzer je nach EAL-Stufe eine dem Sicherheitsbedarf angepasste Menge von Belegen für die Vertrauenswürdigkeit des Produkts an die Hand zu geben. Diese Belege zeigen, welche Maßnahmen bei Entwicklung und Realisierung des Produkts getroffen wurden, um das Produkt sicher zu machen.

Die so belegte Vertrauenswürdigkeit ist natürlich an verschiedene Bedingungen gebunden. Beispielsweise muss der Nutzer stets in der Lage sein, zu identifizieren, ob er tatsächlich das zertifizierte Produkt (in der zertifizierten Version) in der Hand hat. Auch Handbücher, Datenblätter und andere „Guidance-Dokumente“ werden im Rahmen der Common Criteria evaluiert. Dadurch wird sichergestellt, dass dem Nutzer alle nötigen Informationen zur Verfügung stehen, um das Produkt sachgemäß und vor allem ohne (sonst evtl. selbst verursachte) Sicherheitsbeeinträchtigungen einsetzen zu können.

Bildergalerie

Die CC berücksichtigen auch die zukünftige Weiterentwicklung zertifizierter Produkte sowie die parallel stattfindende Evolution von Bedrohungen und Angriffstechniken. Wenn im Rahmen einer Produktweiterentwicklung sicherheitsrelevante Änderungen vorgenommen wurden, wird eine Re-Zertifizierung erforderlich.

Bei wesentlichen Änderungen der Bedrohungslage wird analog ein Re-Assessment durchgeführt. Hersteller sind weiterhin verpflichtet, der Zertifizierungsstelle neu bekannt gewordene Angriffe auf zertifizierte Produkte mitzuteilen. Darüber hinaus ist generell der Gültigkeitszeitraum eines CC-Zertifikats stets zeitlich beschränkt.

Zur Sicherheitsbewertung werden häufig vertrauliche Informationen des Herstellers benötigt, die nicht einer breiteren Öffentlichkeit bekannt werden sollen. Die Vertraulichkeit solcher Informationen ist verlässlich über den gesamten Prozess einer CC-Zertifizierung gesichert: Nur ein kleiner Personenkreis bei der Zertifizierungsbehörde und der Prüfstelle erhält Zugriff auf vertrauliche Produktinformationen. Besonders sensitives Material wird nur vor Ort beim Hersteller kurzzeitig eingesehen.

Der Hersteller entscheidet auch, ob der Zertifizierungsbericht veröffentlicht wird, und welche Informationen darin enthalten sein dürfen. Für die Sicherheitsvorgaben besteht die Möglichkeit einer Veröffentlichung in reduzierter Form („ST-light“). Bei zertifizierten Plattformen, die als Basis einer späteren Composite-Evaluierung vorgesehen sind, kann ein reduzierter Prüfbericht zur Verwendung im Kompositionsverfahren erstellt werden („ETR for Composition“). Dabei handelt es sich um ein nicht-öffentliches Dokument, das jedoch zur Weitergabe an Beteiligte des Kompositionsverfahrens vorgesehen ist.

Trends und aktuelle Entwicklungen

Gerade im Embedded-Bereich gewinnt die IT-Sicherheit aktuell und in naher Zukunft weiter an Bedeutung. Der in verschiedenen Branchen (Automotive, eHealth, Smart Energy und weitere) aufkommende Trend zur Verschiebung der Nachfrage in Richtung vertrauenswürdiger Komponenten kann durch Common Criteria-Zertifizierung hervorragend unterstützt werden.

Es ist davon auszugehen, dass dieser Trend insbesondere für Zulieferer in den nächsten Jahren immer mehr an Relevanz gewinnt. Umso wichtiger ist es, die Zusammenarbeit der jeweiligen Zertifizierungsschemata zu forcieren und weiterhin einen gemeinsamen internationalen Kurs zu verfolgen. Die Fortentwicklung von nationalen Protection Profiles hin zu collaborative Protection Profiles zeigt das gemeinsame Bestreben der Nationen im CCRA auf, die kontinuierliche gegenseitige Anerkennung von Zertifikaten zu sichern. Die cPP-Entwicklung wird von international Technical Communities (iTC) vorangetrieben. Die iTC umfassen alle relevanten Interessengruppen wie Produkthersteller, Endkunden, Zertifizierungsstellen und Prüfstellen.

Zusammenfassung

Die Zertifizierung nach Common Criteria sorgt für die Einhaltung bestimmter Standards bei der Realisierung von Sicherheitsfunktionalitäten sowie bei der Verwendung von Kryptographie in IT Sicherheitsprodukten. Die Zertifizierung erfordert offenkundig einen gewissen Aufwand, schafft jedoch einheitliche Sicherheitsmaßstäbe im wachsenden Markt für sichere Hardware- sowie Softwareprodukte.

Die CC-Standards sind ein offenes Framework, das flexibel auf verschiedenste Anwendungsfälle und Kosten/Nutzen-Szenarien anwendbar ist und ständig weiterentwickelt wird. Die teilnehmenden Länder arbeiten im Kontext der CCRA- und SOGIS-Abkommen sowohl an Konkretisierungen der CC für bestimmte technische Domänen als auch an der Optimierung der CC-Prozesse und Evaluierungstätigkeiten. Dadurch wird sichergestellt, dass die aktuellen technologischen, organisatorischen und prozesstechnischen Entwicklungen adäquat in den Common Criteria berücksichtigt werden.

Literatur

  • [1] Eckert, Claudia: IT-Sicherheit. Oldenburg, 2006
  • [2] Common Criteria for Information Technology Security Evaluation, Version 3.1, Revision 4, September 2012.
  • Part 1: Introduction and general model.
  • Part 2: Functional security components.
  • Part 3: Assurance security components.
  • [3] Common Methodology for Information Technology Security Evaluation, Version 3.1, Revision 4, September 2012.
  • [4] About The Common Criteria. https://www.commoncriteriaportal.org/ccra/ (Oktober 2015)
  • [5] SOGIS – Senior Officials Group Information Systems Security. http://www.sogis.org/ (Oktober 2015)
  • [6] BSI: Anwendungshinweise und Interpretationen (AIS). https://www.bsi.bund.de/DE/Themen/ZertifizierungundAnerkennung/ZertifizierungnachCCundITSEC/AnwendungshinweiseundInterpretationen/AIS/AIS.html (Oktober 2015)
  • [7] JIL: Minimum Site Security Requirements, Version 1.1 (for trial use), July 2013
  • [8] JIL: Application of Attack Potential to Smartcards, Version 2.9, January 2013
  • [9] JIL: Composite product evaluation for Smart Cards and similar devices, Version 1.4, August 2015

* Jaroslav Svacina ist bei Fraunhofer FOKUS als Wissenschaftler und Projektleiter im Bereich der eingebetteten sicherheitskritischen Systeme mit hohen Zertifizierungsanforderungen tätig.

* Nadja Menz arbeitet als wissenschaftliche Mitarbeiterin im Kompetenzzentrum Digital Public Services am Fraunhofer-Institut FOKUS.

* Thilo Ernst, Senior Scientist am Kompetenzzentrum Digital Public Services des Fraunhofer-Instituts für Offene Kommunikationssysteme, bringt seine Erfahrungen aktuell in die Begleitung von CC-Zertifizierungsverfahren im Auftrag des BSI ein.

(ID:44290807)