Common Criteria for Information Technology Security Evaluation

Die Common Criteria for Information Technology Security Evaluation (kurz auch Common Criteria oder CC; zu deutsch: Allgemeine Kriterien für die Bewertung der Sicherheit von Informationstechnologie) sind ein internationaler Standard zur Prüfung und Bewertung der Sicherheitseigenschaften von IT-Produkten.

Geschichte

Im Juni 1993 begann das Common Criteria Editorial Board (CCEB) mit Mitgliedern aus Kanada, Frankreich, Deutschland, Großbritannien und den Vereinigten Staaten mit der Ausarbeitung der Common Criteria. Dazu glich das CCEB die bisherigen Standards CTCPEC (kanadisch), ITSEC (europäisch) und TCSEC (amerikanisch) einander an. So wurde eine gemeinsam anerkannte Grundlage für Bewertungen der Datensicherheit geschaffen. Das soll vermeiden, dass Komponenten oder Systeme in verschiedenen Ländern mehrfach bewertet und zertifiziert werden müssen. Die erste Version (1.0) wurde im Januar 1996 veröffentlicht. Version 2.0 folgte nach einer langen Revisions-Phase durch das neu gegründete CC Implementation Board (CCIB) im Mai 1998. Zu den sogenannten Projektsponsoren gehörte seit dieser Version neben den bisher genannten Staaten auch die Niederlande.

ISO/IEC-Standard

Seit 1994 war die International Organization for Standardization (ISO) gemeinsam mit dem CCEB bzw. dem Nachfolger CCIB bemüht, einen internationalen Standard zu entwickeln. Durch die Verabschiedung der Norm ISO/IEC 15408 am 1. Dezember 1999 in mehreren Teildokumenten[1] sind die Common Criteria ein allgemeiner und weltweit anerkannter Standard.[2][3] Die Norm unterliegt den üblichen Änderungsverfahren der ISO. Im Jahr 2005 folgte die Version 2.3, im September 2006 ein Versionssprung auf 3.1. Neue Projektsponsoren sind seitdem Australien, Neuseeland, Japan und Spanien.[4] Im September 2012 wurde die vierte Revision der Common Criteria 3.1 veröffentlicht, im April 2017 folgte Revision 5.

Vorgehensmodell

ISO/IEC 15408
BereichIT-Sicherheit
TitelInformationstechnik – IT-Sicherheitsverfahren – Evaluationskriterien für IT-Sicherheit
Teile3
Letzte AusgabeTeil 1&2:2020-12
Nationale NormenEN ISO/IEC 15408
DIN EN ISO/IEC 15408,
ÖVE/ÖNORM EN ISO/IEC 15408,
SN EN ISO/IEC 15408

Die Common Criteria unterscheiden zwischen der Funktionalität (Funktionsumfang) des betrachteten Systems und der Vertrauenswürdigkeit (Qualität). Die Unterscheidung zwischen der Funktionalität eines Systems auf der einen Seite und dem Vertrauen, das durch eine Prüfung in diese Funktionalität entstehen kann, ist eines der wesentlichen Paradigmen der Common Criteria. Die Vertrauenswürdigkeit wird nach den Gesichtspunkten der Wirksamkeit der verwendeten Methoden und der Korrektheit der Implementierung betrachtet. Das Vorgehen kann als rückgekoppeltes Wasserfallmodell verstanden werden.

Idealerweise wird zunächst eine von fertigen Produkten unabhängige Sicherheitsbetrachtung durchgeführt, die zur Erstellung eines allgemeinen Schutzprofils führt. Aus diesem Sicherheitskatalog können dann für bestimmte Produkte gezielt Sicherheitsvorgaben erarbeitet werden, gegen die dann die Evaluierung gemäß CC durchgeführt wird. Dabei wird die geforderte Vertrauenswürdigkeit, die Prüftiefe, im Allgemeinen gemäß EAL (Evaluation Assurance Level, s. u.) festgelegt. Eine Angabe der Prüftiefe ohne zugrunde liegende funktionale Sicherheitsanforderungen ist sinnlos. Vor allem die Nennung der EAL-Stufen ohne weitere Angaben hat sich durchgesetzt, was vielfach zu Irritationen und hitzigen Debatten führt.

Im Dezember 1999 sind die Common Criteria zum International Standard ISO/IEC 15408 erklärt worden. Der deutsche Anteil an dieser Arbeit wird u. a. vom DIN NIA-01-27 IT-Sicherheitsverfahren betreut.

Die CC umfassen drei Teile:

  • Teil 1: Einführung und allgemeines Modell / Introduction and General Model
  • Teil 2: Funktionale Sicherheitsanforderungen / Functional Requirements
  • Teil 3: Anforderungen an die Vertrauenswürdigkeit / Assurance Requirements

In Deutschland sind die Normteile als DIN-Normen DIN ISO/IEC 15408-1…3 veröffentlicht.

Zertifizierung

Den Common Criteria liegt ein Vier-Augen-Prinzip bei der Prüfung der Sicherheitseigenschaften eines Produktes zugrunde. Das Produkt muss zuerst von einer akkreditierten Prüfstelle evaluiert werden und kann dann bei einer Zertifizierungsstelle (in Deutschland ist dies das Bundesamt für Sicherheit in der Informationstechnik (BSI)) zertifiziert werden.

Internationale Anerkennung

Eine Zertifizierung gemäß den Common Criteria ist international nach CCRA bis zum EAL2 und nach SOGIS-MRA bis zum EAL 4 (siehe unten) gegenseitig anerkannt. Höhere EALs müssen international nicht anerkannt werden, haben aber in der privaten Wirtschaft wegen ihrer enormen Komplexität ohnehin kaum praktische Bedeutung. Innerhalb von Europa sind innerhalb des „SOGIS-Abkommens“ und innerhalb bestimmter technischer Gebiete auch Zertifizierungen bis EAL 7 unter Umständen anerkannt.

Paradigma der Kriterien

Das grundsätzliche Paradigma der Common Criteria ist die Trennung der Betrachtung von Funktionalität und Vertrauenswürdigkeit. Grundsätzlich erfolgt durch die Kriterien keine Vorgabe, dass eine bestimmte Funktionalität umgesetzt werden muss oder dass diese mit einer bestimmten Vertrauenswürdigkeit geprüft werden muss. Beide Aspekte werden zu Beginn der Evaluation vom Hersteller des Produkts in einem Dokument, dem „Security Target“, definiert.

Funktionalitätsklassen

Teil II der Common Criteria enthält eine Reihe von sogenannten „Security Functional Requirements“ (SFR). Mit Hilfe dieser halbformalen Bausteine wird die Sicherheitsfunktionalität eines zu prüfenden Produkts beschrieben. Im Gegensatz zu anderen Normen sind die Funktionalitätsklassen nicht hierarchisch gegliedert. Stattdessen beschreibt jede Klasse eine bestimmte Grundfunktion der Sicherheitsarchitektur, die getrennt bewertet werden muss. Wichtige Funktionalitätsklassen sind:

Grundsätzlich obliegt die Auswahl der Funktionalität, die ein zu prüfendes System bereitstellen soll, dem Hersteller. Es fällt in seinen Verantwortungsbereich, diese Funktionalität mit den anderen beteiligten Parteien – insbesondere dem Kunden – abzustimmen. Im Rahmen einer Evaluation nach Common Criteria werden grundsätzlich nur solche Funktionen geprüft, die der Hersteller in seinem „Security Target“ modelliert hat.

Bei der Auswahl von SFR aus Teil II der Common Criteria sind gewisse Rahmenbedingungen zu beachten. So pflegt Teil II der CC auch Abhängigkeiten zwischen SFRs, die bei der Auswahl beachtet werden müssen. Wird z. B. ein SFR zur Beschreibung einer Zugriffskontrollpolitik auf Daten verwendet, schreibt die Abhängigkeit vor, dass auch SFRs zur Authentisierung der Nutzer zu verwenden sind.

Kollektionen von SFRs werden zu Schutzprofilen zusammengefasst, die den typischen Funktionsumfang bestimmter Produkte (z. B. Firewalls, Smartcards etc.) beschreiben. Solche Schutzprofile werden klassischerweise von Herstellerverbänden oder großen Kunden geschrieben, um ihre Anforderungen an eine bestimmte Klasse von Produkten auszudrücken.

Vertrauenswürdigkeit

Die Common Criteria definieren sieben Stufen der Vertrauenswürdigkeit (Evaluation Assurance Level, EAL1-7), die die Korrektheit der Implementierung des betrachteten Systems bzw. die Prüftiefe beschreiben. Mit steigender Stufe der Vertrauenswürdigkeit steigen die Anforderungen an die Tiefe, in der der Hersteller sein Produkt beschreiben muss und mit dem das Produkt geprüft wird. Die folgende Tabelle gibt eine Übersicht über die Evaluation Assurance Levels und stellt diese auch Prüftiefen in anderen Kriterien gegenüber.

CC EALBedeutungITSEC EBSI ITS QTCSEC
EAL1funktionell getestetE0-E1Q0-Q1D-C1
EAL2strukturell getestetE1Q1C1
EAL3methodisch getestet und überprüftE2Q2C2
EAL4methodisch entwickelt, getestet und durchgesehenE3Q3B1
EAL5semiformal entworfen und getestetE4Q4B2
EAL6semiformal verifizierter Entwurf und getestetE5Q5B3
EAL7formal verifizierter Entwurf und getestetE6Q6A

Methodik der Bewertung für die Zertifizierung

Ergänzend zu den Common Criteria wurde von den beteiligten Gremien und Einrichtungen eine Zertifizierungsmethodik entwickelt, die die Ergebnisse von Zertifizierungen nachvollziehbar und vergleichbar machen soll. Derzeit (Stand 2007) sind sie für die Teile 1 und 2 ausgeführt und analog zu den EAL 1–4 aufgebaut.

Kritik

Den Common Criteria liegt ein sehr formaler Ansatz zu Grunde, der für die internationale Anerkennung der Zertifikate als Basis erforderlich ist. Dies führt zu der häufigen Kritik, dass in Prüfungen nach Common Criteria zu viel Papier und zu wenig Produkt geprüft wird.

Die Evaluierung nach CC ist generell recht aufwendig und nimmt einige Zeit in Anspruch. Auch dies führt häufig zu Kritik an der Anwendung dieser Kriterien.

Im Jahr 2017 wurde die ROCA-Schwachstelle in einer Liste von nach Common Criteria zertifizierten Chipkartenprodukten gefunden. Die Schwachstelle machte mehrere Mängel des Common Criteria-Zertifizierungssystems deutlich: [5]

  • Die Schwachstelle befand sich in einem selbst entwickelten RSA-Schlüsselgenerierungsalgorithmus, welcher nicht veröffentlicht und von der Kryptoanalyse-Community analysiert werden konnte. Die in Deutschland anerkannte Prüfstelle TÜV Informationstechnik GmbH (TÜViT) genehmigte jedoch seine Verwendung und die deutsche Zertifizierungsstelle BSI stellte Common Criteria-Zertifikate für die anfälligen Produkte aus. In den Sicherheitsvorgaben des evaluierten Produkts wurde behauptet, dass die RSA-Schlüssel nach dem Standardalgorithmus erzeugt werden. Als Reaktion auf diese Schwachstelle plant das BSI nun, die Transparenz zu verbessern, indem es verlangt, dass im Zertifizierungsbericht zumindest angegeben wird, wenn die implementierte proprietäre Kryptographie nicht genau mit einem empfohlenen Standard übereinstimmt. Das BSI plant nicht, die Veröffentlichung des proprietären Algorithmus in irgendeiner Form zu verlangen.
  • Obwohl die Zertifizierungsstellen inzwischen wissen, dass die in den Common Criteria-Zertifikaten spezifizierten Sicherheitsansprüche nicht mehr gelten, haben weder ANSSI noch das BSI die entsprechenden Zertifikate widerrufen. Laut BSI kann ein Zertifikat nur dann zurückgezogen werden, wenn es unter falschen Voraussetzungen ausgestellt wurde, z. B. wenn sich herausstellt, dass falsche Nachweise vorgelegt wurden. Nach der Ausstellung eines Zertifikats muss davon ausgegangen werden, dass die Gültigkeit des Zertifikats im Laufe der Zeit durch verbesserte und neu entdeckte Angriffe abnimmt. Zertifizierungsstellen können Wartungsberichte ausstellen und sogar eine erneute Zertifizierung des Produkts durchführen. Diese Aktivitäten müssen jedoch vom Hersteller initiiert und unterstützt werden.
  • Während mehrere nach Common Criteria zertifizierte Produkte von der ROCA-Schwachstelle betroffen waren, haben die Hersteller im Rahmen der Zertifizierung unterschiedlich reagiert. Für einige Produkte wurde ein Wartungsbericht herausgegeben, der besagt, dass nur RSA-Schlüssel mit einer Länge von 3072 und 3584 Bits ein Sicherheitsniveau von mindestens 100 Bits haben, während für andere Produkte im Wartungsbericht nicht erwähnt wird, dass die Änderung des Evaluierungsgegenstands (EVG) die zertifizierte kryptografische Sicherheitsfunktionalität beeinträchtigt, sondern die Schlussfolgerung gezogen wird, dass die Änderung auf der Ebene der Anleitungsdokumentation liegt und keine Auswirkungen auf die Sicherheit hat.
  • Laut BSI hätten die Anwender der zertifizierten Endprodukte von den Herstellern über die ROCA-Schwachstelle informiert werden müssen. Diese Informationen erreichten jedoch nicht rechtzeitig die estnischen Behörden, die das anfällige Produkt auf mehr als 750.000 estnischen Personalausweisen eingesetzt hatten.

Einzelnachweise

  1. ↑ Suchergebnis bei ISO zur ISO/IEC 15408
  2. ↑ Richard A. Kemmerer: Computer Security. (PDF; 135 kB) 2001, abgerufen am 13. Juni 2013 (englisch).
  3. ↑ CCIB: Common Criteria for Information Technology Security Evaluation. (PDF; 260 kB) Part 1: Introduction and general model. August 1999, archiviert vom Original (nicht mehr online verfügbar) am 19. April 2012; abgerufen am 13. Juni 2013 (englisch).  Info: Der Archivlink wurde automatisch eingesetzt und noch nicht geprüft. Bitte prüfe Original- und Archivlink gemäß Anleitung und entferne dann diesen Hinweis.@1@2Vorlage:Webachiv/IABot/www.commoncriteriaportal.org
  4. ↑ CCIB: Common Criteria for Information Technology Security Evaluation. (PDF; 561 kB) Part 1: Introduction and general model. September 2006, archiviert vom Original (nicht mehr online verfügbar) am 24. Dezember 2012; abgerufen am 13. Juni 2013 (englisch).  Info: Der Archivlink wurde automatisch eingesetzt und noch nicht geprüft. Bitte prüfe Original- und Archivlink gemäß Anleitung und entferne dann diesen Hinweis.@1@2Vorlage:Webachiv/IABot/www.commoncriteriaportal.org
  5. ↑ Arnis Parsovs, March 2021, Estonian Electronic Identity Card and its Security Challenges, University of Tartu,https://dspace.ut.ee/handle/10062/71481parsovs_arnis.pdf, pages 141-143

Weblinks

Auf dieser Seite verwendete Medien

ISO Logo (Red square).svg
The current logo of the International Organization for Standardization (ISO).