ISO/IEC 15408 (Common Criteria):

Übersicht

Die „Common Criteria“, die als ISO/IEC 15408:2022 verabschiedet wurden, sind das international anerkannte Rahmenwerk zur Bewertung der Sicherheit von IT-Produkten. Anbieter legen Sicherheitsanforderungen in einem „Security Target“ fest, das häufig auf einem veröffentlichten „Protection Profile“ basiert, und ein akkreditiertes Prüflabor überprüft unabhängig, ob das Produkt diese Anforderungen erfüllt. Zertifikate, die im Rahmen des „Common Criteria Recognition Arrangement“ ausgestellt werden, werden von allen Unterzeichnerstaaten gegenseitig anerkannt, wodurch doppelte Bewertungen desselben Produkts in den einzelnen Märkten vermieden werden.

Kryptografiespezifische Schutzprofile sowie die funktionalen Sicherheitsanforderungen der FCS-Klasse der Common Criteria gehen in der Regel davon aus, dass die zugrunde liegenden kryptografischen Algorithmen bereits im Rahmen des Cryptographic Algorithm Validation Program (CAVP) des NIST oder des CMVP validiert wurden. Der NIAP-Richtlinienbrief Nr. 5 formalisiert diesen Zusammenhang: Eine Common-Criteria-Bewertung ist kein Ersatz für eine CAVP- oder CMVP-Validierung, sondern baut darauf auf.

Warum das wichtig ist

Die Zertifizierung nach den Common Criteria ist für staatliche und Verteidigungsbehörden weltweit häufig eine buchstäbliche Beschaffungsvoraussetzung und keine Frage der Auslegung; viele nationale Beschaffungsvorschriften führen sie direkt als Grundvoraussetzung für Kategorien wie Netzwerkgeräte, VPN-Gateways und Plattformen zur Verwaltung mobiler Geräte an.

Da die meisten Schutzprofile kryptografische Sicherheitsmaßnahmen beinhalten, bei denen davon ausgegangen wird, dass die zugrunde liegenden Algorithmen bereits nach CAVP oder CMVP validiert sind, führt eine Lücke im FIPS-Validierungsstatus auch zu einer Lücke in der Bewertung nach den Common Criteria. Dadurch besteht ein direkter Zusammenhang zwischen diesem Kapitel und dem Kapitel zu FIPS 140-3 weiter oben in diesem Leitfaden: Ein Produkt kann die Bewertung nach den Common Criteria nicht einwandfrei bestehen, solange sein kryptografisches Modul nicht validiert ist oder auf die CMVP-Historienliste gesetzt wurde.

Wie sich dies auf die Kryptografie auswirkt 

ISO/IEC 15408 (Common Criteria) behandelt das Thema Kryptografie anhand mehrerer miteinander verknüpfter Kontrollbereiche. Die wichtigsten Bereiche mit direkten Auswirkungen auf die Kryptografie sind:

Prüfungsbereitschaft

Bewertungen und Prüfungen – unabhängig davon, ob sie intern durchgeführt, von einer Aufsichtsbehörde vorgenommen oder von einem unabhängigen Gutachter überprüft werden – konzentrieren sich auf nachgewiesene Fakten und nicht allein auf Grundsatzerklärungen. Zu den wichtigsten Bereichen, die Prüfer und Gutachter üblicherweise untersuchen, gehören:

• Kryptografische Genauigkeit des Sicherheitsziels: Beschreibt das Sicherheitsziel die kryptografischen Algorithmen, Betriebsarten und Schlüsselgrößen, die tatsächlich im ausgelieferten Produkt implementiert sind , korrekt?
• Status der zugrunde liegenden CAVP/CMVP-Validierung: Verfügen die im Sicherheitsziel genannten Algorithmen und Module über eine aktuelle, aktive CAVP- und CMVP-Validierung?
• Nachweis der Maßnahmen zur Sicherstellung des Schutzprofils: Liegen Testnachweise vor, die jede im geltenden Schutzprofil festgelegte kryptografische Sicherungsmaßnahme belegen?
• Dokumentation zum Konfigurationsmanagement: Geht aus der Dokumentation der ALC-Klasse hervor, dass die kryptografischen Komponenten innerhalb der bewerteten Grenze unter Kontrolle stehen?
• Verfolgung von Änderungen hinsichtlich der Sicherheitskontinuität: Gibt es einen Prozess zur Beurteilung, ob eine Aktualisierung der kryptografischen Bibliothek oder eine Algorithmusänderung eine Überprüfung der Sicherheitskontinuität oder eine vollständige Neubewertung auslöst?
• Signierung von Patches und Versionsabgleich: Sind die für ein zertifiziertes Produkt veröffentlichten Patches signiert, und stimmt die eingesetzte Version mit der im Zertifikat angegebenen überein?

LEITEN SIE DIES AN DIE GESCHÄFTSFÜHRUNG WEITER

Die Zertifizierung nach den Common Criteria ist oft buchstäblich das Tor, das darüber entscheidet, ob wir an eine Behörde oder einen Kunden aus dem Verteidigungsbereich verkaufen können – und nicht nur eine Zertifizierung, die „schön zu haben“ ist. Und da die meisten Schutzprofile davon ausgehen, dass unsere Kryptografie bereits CAVP- oder CMVP-validiert ist, kostet uns eine Lücke in unserem FIPS-Validierungsstatus nicht nur direkt Umsätze auf Bundesebene, sondern blockiert oder verzögert auch die Common-Criteria-Bewertung, die für andere Geschäfte entscheidend ist.

Das „stille Risiko“ besteht darin, was nach der Zertifizierung geschieht: Ein routinemäßiges Bibliotheksupdate oder ein Algorithmus-Patch kann die bewertete Basislinie unbemerkt ungültig machen, wenn wir dies nicht anhand der Anforderungen an die Kontinuität der Sicherheit nachverfolgen. Wir müssen für jedes zertifizierte Produkt genau wissen, welche kryptografischen Komponenten innerhalb dieser Grenze liegen und ob eine bestimmte Änderung vor der Auslieferung einer Überprüfung bedarf.