ISO/IEC 15408 (Critères communs) :

Vue d'ensemble

Les Critères communs, adoptés sous la référence ISO/IEC 15408:2022, constituent le référentiel internationalement reconnu pour l'évaluation de la sécurité des produits informatiques. Les fournisseurs définissent leurs exigences de sécurité dans un « objectif de sécurité », souvent élaboré à partir d'un « profil de protection » publié, et un laboratoire d'essais accrédité vérifie de manière indépendante que le produit répond bien à ces exigences. Les certificats délivrés dans le cadre de l'Accord de reconnaissance des Critères communs sont mutuellement reconnus par tous les pays signataires, ce qui évite de devoir procéder à des évaluations redondantes pour un même produit sur chaque marché.

Les profils de protection spécifiques à la cryptographie, ainsi que les exigences fonctionnelles de sécurité de la classe FCS des Critères communs, partent généralement du principe que les algorithmes cryptographiques sous-jacents ont déjà été validés dans le cadre du programme de validation des algorithmes cryptographiques (CAVP) du NIST ou du CMVP. La lettre de politique NIAP n° 5 formalise cette relation : une évaluation selon les Critères communs ne remplace pas la validation CAVP ou CMVP, mais s'appuie sur celle-ci.

Pourquoi c'est important

La certification « Critères communs » constitue souvent, pour les acheteurs des secteurs public et de la défense du monde entier, un véritable critère d’éligibilité aux marchés publics, et non une question d’interprétation ; de nombreuses réglementations nationales en matière de marchés publics la mentionnent directement comme une exigence de base pour des catégories telles que les équipements réseau, les passerelles VPN et les plateformes de gestion des appareils mobiles.

Étant donné que la plupart des profils de protection intègrent des activités d'assurance cryptographique qui partent du principe que les algorithmes sous-jacents sont déjà validés selon les normes CAVP ou CMVP, une lacune dans le statut de validation FIPS se traduit également par une lacune dans l'évaluation selon les Critères communs. Cela établit un lien direct entre ce chapitre et celui consacré à la norme FIPS 140-3, présenté plus haut dans ce guide : un produit ne peut pas réussir pleinement l'évaluation selon les Critères communs tant que son module cryptographique n'est pas validé ou figure sur la liste historique du CMVP.

En quoi cela s'applique-t-il à la cryptographie ? 

La norme ISO/IEC 15408 (Critères communs) aborde la cryptographie à travers plusieurs domaines de contrôle étroitement liés. Les principaux domaines ayant des implications cryptographiques directes sont les suivants :

Préparation à l'audit

Les évaluations et les contrôles, qu'ils soient menés en interne, réalisés par une autorité de régulation ou examinés par un évaluateur indépendant, se concentrent sur les preuves concrètes plutôt que sur les simples déclarations de principe. Voici les principaux domaines sur lesquels les contrôleurs et les évaluateurs s'attardent généralement :

• Précision cryptographique de l'objectif de sécurité : l'objectif de sécurité décrit-il avec précision les algorithmes cryptographiques, les modes et les tailles de clés effectivement mis en œuvre dans le produit commercialisé ?
• Statut CAVP/CMVP sous-jacent : les algorithmes et modules mentionnés dans l'objectif de sécurité disposent-ils d'une validation CAVP et CMVP à jour et active ?
• Preuves relatives aux activités d'assurance du profil de protection : Existe-t-il des preuves issues des tests qui étayent chacune des activités d'assurance cryptographique spécifiées dans le profil de protection applicable ?
• Documentation relative à la gestion de la configuration : la documentation de classe ALC démontre-t-elle un contrôle sur les composants cryptographiques situés à l'intérieur du périmètre évalué ?
• Suivi des changements en matière de continuité de l'assurance : Existe-t-il un processus permettant de déterminer si la mise à jour d'une bibliothèque cryptographique ou la modification d'un algorithme nécessite un examen de la continuité de l'assurance ou une réévaluation complète ?
• Signature des correctifs et correspondance des versions : les correctifs publiés pour un produit certifié sont-ils signés, et la version déployée correspond-elle à celle couverte par le certificat ?

TRANSMETTEZ CELA À LA DIRECTION

La certification « Critères communs » constitue souvent le véritable critère déterminant qui permet de savoir si nous pouvons vendre nos produits à un client du secteur public ou de la défense ; il ne s’agit pas simplement d’une certification « facultative ». Et comme la plupart des profils de protection partent du principe que notre cryptographie est déjà validée selon les normes CAVP ou CMVP, une lacune dans notre statut de validation FIPS ne nous coûte pas seulement directement des ventes au niveau fédéral, mais elle bloque ou retarde également l’évaluation selon les « Critères communs » qui conditionne la conclusion d’autres contrats.

Le risque silencieux réside dans ce qui se passe après la certification : une mise à jour de bibliothèque ou un correctif d’algorithme de routine peut, à l’insu de tous, invalider la base de référence évaluée si nous ne la contrôlons pas au regard des exigences de continuité de l’assurance. Nous devons savoir, pour chaque produit certifié, quels composants cryptographiques se trouvent exactement à l’intérieur de ce périmètre et si une modification donnée nécessite un examen avant sa mise en production.