Ortak Kriterler Standardı ( C ommon C riteria S tandard) & Uygulama Alanı Erkut BEYDAĞLI 16 Mart 2007, İstanbul

2 TASNİF DIŞI CC TANIMI Common Criteria (CC), bilişim teknolojisi (BT) cihaz ve sistemlerinin, ( ) güvenliği, bütünlüğü ve güvenilirliği için kullanılan uluslar arası DEĞERLENDİRME standardıdır. 1/3 Erişim Kontrol Cihaz & Sistemleri, 19 Sınır Koruma Cihaz & Sistemleri, 71 Veritabanı (Database),25 Veri Koruma,27 2/3 Tespit (Detection) Cihaz & Sistemleri,9 Akıllı Kartlar (Smart Cards),155 Anahtar Yönetim Sistemleri,18 AĞ (Network) Cihaz & Sistemleri,46 3/3 İşletim Sistemleri,55 Dijital İmza Fonksiyonlu Cihazlar,27 Diğer Cihaz & Sistemler,151

3 TASNİF DIŞI CC TARİHÇESİ CC v1.0, 1996 CC v2.1 (ISO15408 : 1999 veya TS ISO : 2002) CC v2.3 (ISO : 2005 veya TS ISO : 2006) CC v3.1, 2006

4 TASNİF DIŞI (KISACA) BİZ KİMİZ ? – NE YAPIYORUZ ? CC LABORATUARI Başlangıç: 2001

5 TASNİF DIŞI TEMEL KAVRAMLAR TOE : Değerlendirilecek Ürün Garanti Seviyeleri (EAL ) Değerlendirme Kanıtları

6 TASNİF DIŞI TEMEL KAVRAMLAR Tüketici (Consumer) Ürün geliştirici (Developer) Değerlendirici (Evaluator) BİLİNÇLİ

7 TASNİF DIŞI TEMEL KAVRAMLAR P rotection P rofile Teknik Şartname S ecurity T arget Ürün Tanımlama Dokümanı TÜKETİCİ GELİŞTİRİCİ Ürünü Ortamı Varsayımları Politikaları Tehditleri Gereksinimleri BİLİNÇLİ Ayrıntılı Ürün Varsa Eklemeler Güvenlik Fonksiyonları

8 TASNİF DIŞI CC BÖLÜMLERİ – BÖLÜM 1/3 Giriş & Genel Model CC’ye giriş bölümüdür. Temel kavramları tanımlar. CC’nin kimin tarafından (tüketici - üretici - değerlendirici) nasıl kullanılacağını açıklar.

9 TASNİF DIŞI BÖLÜM 2/3 – GÜVENLİK FONKSİYONEL GEREKSİNİMLERİ FAU: Güvenlik Denetimi FCO: Haberleşme FCS: Şifreleme Desteği FDP: Kullanıcı Verilerinin Korunması FIA : Kimlik Doğrulama & Yetkilendirme FMT: Güvenlik Yönetimi FPR: Gizlilik FPT: TSF’nin Korunması FRU: Kaynak Kullanımı FTA: TOE Erişim FTP: Güvenilir Yollar/Kanallar

10 TASNİF DIŞI BÖLÜM 2/3 – GÜVENLİK FONKSİYONEL GEREKSİNİMLERİ FMT_MTD TOE Güvenlik Fonksiyonları (TSF) Verilerinin Yönetimi FMT_MTD.1.1 TOE Güvenlik Fonksiyonu (TSF) [ATAMA : TSF verilerinin listesi] [SEÇİM : varsayılanı değiştir, sorgula, modifiye et, sil, [ATAMA : diğer işlemler] ] özelliğini [ATAMA : yetkilendirilmiş tanımlı roller] ile sınırlandırmalıdır.

11 TASNİF DIŞI BÖLÜM 2/3 – GÜVENLİK FONKSİYONEL GEREKSİNİMLERİ FMT_MTD TOE Güvenlik Fonksiyonları (TSF) Verilerinin Yönetimi FMT_MTD.1.1 TOE Güvenlik Fonksiyonu (TSF) [kullanıcı ismi, kullanıcı şifresi] [sorgula, modifiye et, sil, varsayılanı değiştirme] özelliğini [yetkili yönetici] ile sınırlandırmalıdır.

12 TASNİF DIŞI BÖLÜM 3/3 – GÜVENLİK GARANTİ GEREKSİNİMLERİ PP DEĞERLENDİRME SÜRECİ APE : Protection Profile TOE DEĞERLENDİRME SÜRECİ 1. ASE : Security Target 2. ACM: Configuration Management 3. ADO: Delivery & Operation 4. ADV: Development 5. AGD: Guidance Documents 6. ALC: Life Cycle Support 7. ATE: Tests 8. AVA: Vulnerability Assesment SERTİFİKASYON SONRASI AMA: Maintenance of Assurance

13 TASNİF DIŞI CC DEĞERLENDİRME METODOLOJİSİ Common Evaluation Methodology (ISO :2005 veya TS ISO 18045:2006) EAL 4

14 TASNİF DIŞI TÜRKİYE CC YAPISI SERTİFİKA MAKAMI = TSE-UEKAE CC yapısı, Amerika’da bulunan NSA (National Security Agency) ve NIST (National Institue of Standard and Technology) yapısına benzerdir. LABORATUAR = OKTEM EAL 5+ (ALC_DVS.2, AVA_MSU.3, AVA_VLA.4 ) seviyesinde CC değerlendirmesi gerçekleştirilebilmektedir. TS EN ISO/IEC 17025:2000 standardına göre Temmuz-2005’te TÜRKAK tarafından akredite edilmiştir.

15 TASNİF DIŞI SERTİFİKA ÜRETİCİLİĞİ & MÜŞTERİLİĞİ Sertifika üreticileri Almanya Amerika – 9 3. Fransa İngiltere – 4 5. Kanada – 3 6. Japonya – 3 7. Avustralya ve Yeni Zelanda Norveç Güney Kore Hollanda – 1 11.İspanya - 1 Sertifika müşterileri– Türkiye 1. Türkiye 2. Avusturya 2. Avusturya 3. Çek Cumhuriyeti 3. Çek Cumhuriyeti 4. Danimarka 4. Danimarka 5. Finlandiya 5. Finlandiya 6. Yunanistan 6. Yunanistan 7. Macaristan 7. Macaristan 8. Hindistan 8. Hindistan 9.İsrail 9.İsrail 10. İtalya 10. İtalya 11. Singapur 11. Singapur 12.İsveç 12.İsveç 2007 CCRA DENETLEMESİ İTALYA 2008 CCRA DENETLEMESİ TÜRKİYE & HİNDİSTAN

16 TASNİF DIŞI CC DEĞERLENDİRME SÜRECİ Geliştirici Sertifikasyon Kurumu (TSE -UEKAE ) Değerlendirici (OKTEM) TOE & Değerlendirme Kanıtları Gözlem Raporları Değerlendirme Teknik Raporu & Gerekli Değerlendirme Kanıtları Gözlem Raporları Gözlem Raporlarına Cevaplar

17 TASNİF DIŞI CC SERTİFİKA YAYINLAMA SÜRECİ Geliştirici Sertifikasyon Kurumu (TSE - UEKAE) Değerlendirici (OKTEM) Değerlendirme Özet Raporu + Sertifika

18 TASNİF DIŞI CC SERTİFİKALI ÜRÜNLER & SİSTEMLER Sınır Koruma Cihaz & Sistemleri Check Point VPN-1/Firewall-1 NGX Garanti Seviyesi : EAL 4+ Tarih : 25 Ağustos 2006 Sertifika Makamı : NIAP (Amerika) Cisco IOS Firewall Version 12.3(14)T and 12.4(4)T Garanti Seviyesi : EAL 4+ Tarih : 27 Kasım 2006 Sertifika Makamı : NIAP (Amerika) Veritabanı (Database) Oracle HTTP Server 10g Release 2 (10.1.2), Running on Sun Solaris 8 2/02 and Solaris 9 8/03 Garanti Seviyesi : EAL 4 Tarih : Ocak 2007 Sertifika Makamı : CESG (İngiltere) Akıllı Kartlar (Smart Cards) ATMEL, Scotland EUROSMART, Bruxelles GEMPLUS, France HITACHI, United Kingdom INFINEON, Germany PHILIPS, Germany MICROELECTRONICA, Spain MOTOROLA, France ST MICROELECTRONICS, France İşletim Sistemleri SOLARIS 10 Release 03/05 Garanti Seviyesi : EAL 4+ Tarih : 15 Aralık 2006 Sertifika Makamı : Kanada RED HAT ENTERPRISE LINUX AS, v4 Update 4 Garanti Seviyesi : EAL 3+ Tarih : 22 Eylül 2006 Sertifika Makamı : NIAP (Amerika) Microsoft Exchange Server 2003 Enterprise Edition, version/build & Hotfix MS Garanti Seviyesi : EAL 4+ Tarih : 9 Kasım 2005 Sertifika Makamı : BSI(Almanya) Microsoft Windows Server 2003 & Microsoft Windows XP Garanti Seviyesi : EAL 4+ Tarih : 6 Kasım 2005 Sertifika Makamı : NIAP (Amerika)

19 TASNİF DIŞI OKTEM CC DEĞERLENDİRMELERİ Değerlendirmesi Tamamlanmış Ürünler Silgi v1.0 (EAL 1) – 2003 ISDN Konfigürasyon Yönetim Merkezi v1.0.1 (EAL 4) – 2004 ISDN Konfigürasyon Yönetim Merkezi v1.0.2 (EAL 4) – 2005 Değerlendirmesi Devam Eden Ürünler Akıllı Kart İşletim Sistemi (AKİS) v1.0 & Akıllı Kart (EAL 4+, Protection Profile 9810) LABRİS Ağ Güvenlik Geçidi (EAL 4, US Government Traffic-Filter Firewall Protection Profile for Low-Risk Environments) Değerlendirilecek Ürünler ( ) Ulusal Akıllı Kart İşletim Sistemi (UKİS) & Akıllı Kart (EAL 4+, Protection Profile 9911) Akıllı Kart Okuyucu (AKO) (EAL 4+, AVA_VLA.4, ALC_DVS.2, ADV_IMP.2) Elektronik Sertifika Yönetim Sistemi (PKI-ESYA) (EAL 4+, Certificate Issuing and Management Components Family of Protection Profiles)

20 TASNİF DIŞI CC LİNKLERİ TEŞEKKÜRLER CC LİNKLERİ - SORULAR