什么是 Common Criteria?
满足网络安全和合规性要求的最佳方法之一是采用具有全球认可的通用标准认证的产品。
对此不够熟悉?下面我们来解释一下。
我们将在下文带您了解通用标准评估的基础知识。 从通用标准的定义及重要性,到拥有此认证的产品如何助力您的业务,我们一起探索所有需要了解的内容。
什么是通用标准认证?
信息技术安全评估通用标准(简称“通用标准”或 CC)是计算机安全认证的国际标准。 通用标准基于 ISO/IEC 15408,其主要目标是确保已对 IT 安全产品进行严格和可复现的评估。 具体而言,通用标准确保每种产品都经过测试,能与其预期用例相称。
最初,制定 CC 认证流程是为了统一和取代不同国家/地区的安全认证计划。 这包括美国、加拿大、德国、英国、法国、澳大利亚和新西兰。 现在,作为一个全面的网络安全框架,CC 认证为全球安全 IT 产品提供了最广泛的相互认可。
概述
全球政府和企业都需要经过通用标准认证的解决方案来保护其关键基础结构。
实际上,根据欧盟的《电子识别和信任服务》(Electronic Identification and Trust Services) 法规(俗称 eIDAS),通用标准认证通常是获得合格数字签名服务的先决条件。 此外,美国政府客户经常请求使用美国国家信息保障合作组织 (NIAP) 列出的安全 IT 产品,这也需要经过通用标准评估。
为什么?因为通用标准可保证产品安全的某些方面已经过全面实施、测试、维护和独立验证。 CC 认证的安全要求涉及:
- 产品开发和相关安全功能,包括高级设计、架构和实施
- 安全产品部署和准备指南
- 与产品配置、交付和停用相关的文档和流程的生命周期管理
- 根据安全功能的基准要求测试安全功能
Certificate Authority
作为一项国际标准,通用标准由多个国家/地区通过名为认证机构的组织合作管理。 每个认证机构负责根据通用标准安全要求独立评估和认证产品。
了解通用标准: 关键概念
通用标准有几个特有的术语。 以下是每个术语的解释以及这些概念为何如此重要:
- 评估目标 (TOE): 指要经过 CC 评估过程的产品。
- 安全目标 (ST): 安全目标是定义 TOE 安全功能和属性的文档。 ST 可让供应商根据其解决方案的特定功能自定义评估,同时还可以帮助客户确定哪些安全功能已经过测试。 ST 可能指一个或多个保护框架 (PP)
- 保护框架 (PP): 此文档旨在帮助确定特定类型产品(例如合格签名创建设备)的安全要求。 供应商通常使用保护框架作为基准来创建自己的安全目标。
- 安全功能要求 (SFR): 这是指产品的所有独特安全功能。
- 安全保障要求 (SAR): SAR 清单用于描述确保产品符合其声称标准所需的步骤。
- 评估保障级别 (EAL): EAL 是描述评估过程深度和严格性的数字等级。 更简单地说,它为客户指明产品已根据其安全保障要求进行了多么严格的测试。 EAL 介于 1(最基本)到 7(最严格)之间。
通用标准认证过程
所有经通用标准认证的产品和解决方案都必须根据特定的评估流程进行独立测试和验证:
- 开发人员必须首先完成安全目标描述,并提交概述该产品、其安全功能和任何潜在漏洞的所有支持性文档。
- 或者,组织可以选择保护框架作为其在整个 CC 认证过程中的指导文件。 PP 不是必选的 ,但若选择,便能确实表示承诺进行全面评估,确保 TOE 与预期用例保持一致。
- 接下来,拥有独立许可的认证机构必须评估该产品是否符合通用标准。 完成后,认证机构会将其调查结果汇编成一份评估报告。
- 如果 TOE 满足其最低要求,则认证机构会颁发通用标准证书。
验证后,所有经通用标准认证的产品都将在通用标准门户网站中列出。
采用 Entrust nShield HSM 和签名激活模块为您的数字签名项目提供通用标准
Entrust nShield 硬件安全模块 (HSM) 提供的安全性已经过严格的通用标准的测试和认证,在帮助您遵守各项法规的同时,也能让您对自己的安全解决方案充满信心。
我们的 Solo XC、Connect X 和 nShield 5HSM 通过了 CC 认证,经验证符合 EN 419 221-5 通用标准保护框架的要求,该保护框架是所有硬件安全模块的行业标准。 我们的解决方案有助于为您提供安全保障,使您能够生成符合 eIDAS 法规的加密资产。
这些 HSM 为密码处理、密钥生成和保护、加密等的安全性创造了经强化、防篡改的环境。 Entrust nShield HSM 具有三种外形规格和一种即服务形式,支持各种部署方案。
如果您想部署符合 eIDAS 法规的远程签名服务,Entrust 还提供通过通用标准 CEN EN 419 241-2 认证的签名激活模块 (SAM)。 您可以将其与我们经过 CC 认证的 HSM 结合使用,部署符合 eIDAS 法规的合格签名创建设备 (QSCD)。