Successfully reported this slideshow.
We use your LinkedIn profile and activity data to personalize ads and to show you more relevant ads. You can change your ad preferences anytime.

Дмитрий Кузнецов. Сертификация в странах CCRA глазами заявителя

506 views

Published on

Published in: Technology
  • Be the first to comment

  • Be the first to like this

Дмитрий Кузнецов. Сертификация в странах CCRA глазами заявителя

  1. 1. Сертификация в странах CCRAглазами заявителяДмитрий КузнецовЗаместитель технического директораPositive TechnologiesPositive Hack Days III
  2. 2. Common Criteria Recognition Agreement― 26 стран участников• 16 полноправных участников• 10 потребителей сертификатов― Нюансы• Сертификат до EAL4, выпущенный полноправнымучастником, признается всеми остальными• EAL3 позволяет использовать СЗИ в госорганах• EAL4 позволяет использовать СЗИ на некоторыхкритических объектах• Заявка на сертификацию может быть отклонена безобъяснения причин
  3. 3. Уровень доверия «на пальцах»― EAL1: ОО тестируется как «черный ящик»― EAL2: …плюс есть представление о его архитектуре и опроцессе его разработки― EAL3: …плюс есть представление о мерах защитыпроцесса разработки― EAL4: …плюс статический анализ исходного кода― С ростом EAL растут требования к содержаниюпрограммной документации и объему тестированияСертифицируется определенная сборка с фиксациейконтрольных сумм дистрибутива и без возможностиобновления исполняемых файлов
  4. 4. Оценка программной документации― EAL1: описание видимого пользователю интерфейса― EAL2: обзор архитектуры, описание интерфейсов ипротоколов, инициирующих выполнение функцийбезопасности― EAL3: описание архитектуры в терминах подсистем,описание всех действий, связанных с выполнениемфункций безопасности― EAL4: описание архитектуры в терминах программныхмодулей, описание всех действий ОО и всехобрабатываемых ошибокEAL4 фактически требует документирования каждого файлаи каждой функции исходного кода
  5. 5. Анализ исходного кода― Анализ избыточности – EAL5 и выше• У нас – уровень 3 НДВ и выше― Динамический анализ – EAL7• У нас - уровень 3 НДВ и выше― Выявление потенциально опасных конструкций – EAL4 ивыше• У нас - уровень 2 НДВ и выше― Проверка фактической реализации заявленных функций– EAL4 и выше• У нас - уровень 2 НДВ и выше
  6. 6. Тестирование― Первично тестирование, проводимое разработчиком― Оценщик проводит только выборочное независимоетестирование (кроме EAL7)― С ростом уровня доверия растет как охват, так и глубинатестирования
  7. 7. Анализ уязвимостей― EAL1: поиск подходящих уязвимостей в CVE ианалогичных источниках― EAL2,3: самостоятельный поиск уязвимостей оценщикомна основе знания архитектуры ОО― EAL4: самостоятельный поиск уязвимостей оценщиком наоснове анализа исходных кодов (с ориентацией нанеквалифицированного нарушителя)― EAL6,7: разработчик должен привести формальноедоказательство невозможности обхода функцийбезопасности
  8. 8. “Сертифицированное” vs “защищенное”― Сертификат – это уверенность органа сертификации в том,что заявленные функции безопасности действительнореализованы― С ростом EAL снижается вероятность появленияуязвимостей и прочих ошибок― Оценщик – не профессиональный пентестер― “Абсолютная защищенность” (EAL7) это…• Полная бюрократизация процесса разработки• Тотальное документирование• Тотальное тестирование всего кода и разработчиком, иоценщиком• …
  9. 9. Спасибо за вниманиеДмитрий КузнецовDKuznetsov@ptsecurity.ruЗам. технического директораPositive Technologies

×