Common Criteria
Juha-Pekka Leskinen

Helsinki 20.2.2003
Tietoturva nykyaikaisessa liiketoimintaympäristössä -seminaari
Extended Abstract 
HELSINGIN YLIOPISTO
Tietojenkäsittelytieteen laitos

Common Criteria

Juha-Pekka Leskinen
Tietoturva nykyaikaisessa liiketoimintaympäristössä -seminaari
Extended Abstract 
HELSINGIN YLIOPISTO
Tietojenkäsittelytieteen laitos

Seminaarityössä selvitetään Common Criteria –tietoturvastandardin taustat, tarkoitus ja peruskäsitteet. Lisäksi selvitetään Common Criteriaa kokeilleen ryhmän kokemuksia. Seminaarityön ote on opetuksellinen, varsinaista tieteellistä tutkimusta ei ole työn aikana tehty. Tutkimus on tehty analysoimalla tieteellisiä kirjoituksia, konferenssijulkaisuja, Common Criteria –standardointidokumentteja ja muuta Common Criterian käyttöön liittyvää materiaalia. Työn tarkoituksena on selvittää lukijalle mikä Common Criteria on, mitkä ovat sen peruskäsitteet ja mitä sen käytöllä on tarkoitus saada aikaan. Lisäksi kuvataan joitakin Common Criterian käytössä esiintyneitä ongelmia. 

Aiheluokat: (The ACM Computing Classification System 1998): K.6.5, K.4.4, D.4.6

Common Criterian tausta

Common Criteriaa ovat kehittäneet eri maiden kansalliset turvallisuus- ja standardointiorganisaatiot.  Kaikilla suurilla CC:tä kehittäneillä mailla on ollut jokin kansallisesti tai käytössä ollut turvallisuusstandardi, jota on käytetty esim. evaluoitaessa tietoteknisten ratkaisujen turvallisuustasoa.  Syynä Common Criterian kehitystyöhön on ollut tarve kehittää yhteinen standardi. Aktiivisesti CC:tä kehittämässä ovat olleet Kanada, Ranska, Saksa, Hollanti, Iso-Britannia ja Yhdysvallat [Gui99]. Jotta Common Criteriasta saataisiin laajalle levinnyt kansainvälinen standardi, ovat sitä kehittäneet maat toimineet niin, että Common Criteria v.2.1 on saatu hyväksyttyä ISO 15408 -standardiksi [Gui99].

Kansallisten standardien kehittyminen kohti Common Criteria -standardia [Int].
1980 TCSEC USA
1991 ITSEC  Eurooppa
1993 TCSEC+ITSEC=CTCPEC Canada
1993 FC USA
1996 Common Criteria v. 1.0
1998 Common Criteria v. 2.0
1998 Common Criteria v. 2.1 = ISO 15408

Mikä Common Criteria on

Common Criteria määrittää joukon vaatimuksia, joita voi käyttää määritettäessä jonkin tietotekniikkatuotteen tietoturvavaatimuksia. Lisäksi se määrittelee evaluointimenettelyn, joiden avulla voidaan arvioida tietotekniikkatuotteiden tietoturvan tasoa. Common Criterian tarkoituksena on tarjota yhtenäinen menettelytapa, jonka avulla tietotekniikkatuotteiden tietoturvatasoa voidaan evaluoida. Tällä tavoitellaan kuluttajalle mahdollisuutta valita tietotekniikkatuotteensa joukosta tuotteita, jotka on jo standardoidulla tavalla arvioitu. Toisaalta ohjelmistoyrityksille tarjoutuu yhtenäinen tapa määrittää tuotteensa tietoturvallisuustaso. Näin ajatellaan sekä kuluttajan että ohjelmistoyrityksen hyötyvän. 

Kannattaa huomata, että Common Criterian määrittelemä evaluointimenettely ei takaa ehdotonta tietoturvallisuutta. Käytännössä se tarkoittaa, että tuotteen tietoturvavaatimukset on määritelty, tuote on evaluoitu ja evaluoinnin tulokset on dokumentoitu ennalta sovitulla tavalla. Common Criteria määrittää myös joukon tietoturvallisuustasoja, joihin evaluoidut tuotteet voidaan sijoittaa. Näin kuluttaja voi valita, minkä tasoisen tuotteen hän haluaa hankkia ja toisaalta helpommin arvioida täyttääkö jokin tuote ne tietoturvatarpeet, jotka hänellä on [Gui99].

Common Criterian määritysdokumentit on jaettu kolmeen erilliseen osaan, joissa kuvataan Common Criterian yleismalli, tietoturvallisuuden toiminnalliset vaatimukset ja tuotteen vaatimuksen toteutuminen. Common Criterian peruskäsitteitä ovat Protection Profile (PP), Security Target (ST) ja Target of Evaluation (TOE). 

Protection Profile

Protection Profile määrittelee kuvaustavan ja menettelyn, jonka avulla organisaatio tai kuluttaja voi määrittää tietoturvavaatimuksia. Nämä vaatimukset ovat yleisiä vaatimuksia, joita ei ole välttämättä vielä liitetty mihinkään tiettyyn tuotteeseen. Protection Profile on myös riippumaton siitä, millä teknologilla, ohjelmointikielellä yms. tuote on toteutettu. Tavoitteena on kuvata Protection Profile niin, että sen avulla voidaan asettaa jonkin tietyn tuoteryhmän tai palvelun yhteiset tietoturvavaatimukset. Näitä vaatimuksia voi sitten käyttää aina arvioitaessa tähän ryhmään kuuluvien tuotteiden tietoturvallisuuden tasoa. Protection Profiileja on kehitetty valmiiksi eri tuoteryhmiä kuten palomuureja, tietokantajärjestelmiä yms. varten.

Protection Profilen kuvauksen aloittaa johdanto-osuus, jossa kuvataan mitä PP:n on tarkoitus kuvata. Seuraavaksi kuvataan tietoturvatavoitteet (Security Objectives). Tietoturvatavoitteet ovat niitä asioita, joita organisaatio haluaa tavoitella yleisesti ottaen, yleensä johonkin tietoturvauhkaan liittyen. 

Protection Profilessa kuvataan myös yleisesti millaiseen tuotteeseen tai tuoteryhmään vaatimuksia kohdennetaan. Käytännössä tämä tarkoittaa, että esim. kuvataan PP:n vaatimusten kohteena olevan palomuuriohjelmistot tms. kokonaisuus. Lisäksi kuvataan tietojenkäsittelytoiminnan taholta tulevat toiminnalliset vaatimukset koskien jotain evaluoitavaa tuotetta tai tuoteryhmää. Nämä vaatimukset ovat joko itse organisaatiossa kehitettyjä tai ne on voitu kerätä käyttämällä valmiiksi rakennettuja [Int] PP -paketteja.

Kuvaukseen kuuluu vielä kuvaus (TOE Security Environment) siitä, millaisessa ympäristössä evaluoinnin kohdetta aiotaan käyttää. Se kuvaa ympäristöön liittyvät tietoturvatavoitteet ja luettelee tärkeimmät toimintaympäristön henkilöstöön sekä tekniseen ympäristöön liittyvät oletukset. Myös oletetut ympäristöön liittyvät uhat, hyökkääjät ja hyökkäyskohteet kuvataan tässä osiossa. Myös sellaiset organisaation tietoturvapolitiikkaan liittyvät asiat, jotka evaluointeja tehtäessä on tiedettävä luetellaan tässä.

Security Target 

Security Target (ST) määrittää kuvaustavan ja menettelyn, jonka avulla organisaatio voi määrittää johonkin tiettyyn tuotteeseen liittyviä tietoturvavaatimuksia. Sitä käytetään myös evaluoitaessa tuotteita ja kuvattaessa sitä, täyttääkö tietty tuote edeltäkäsin määriteltyjä tietoturvavaatimuksia. Yksi Security Target voi liittyä yhteen tai useampaan Protection Profileen.

Security Target sisältää Protection Profilen lailla ensin johdannon (introduction), jossa kuvataan yleisesti ST:hen liittyviä asioita.  Johdanto kuvataan niin, että se on evaluoitavan tuotteen käyttäjän ymmärrettävissä. Johdannon lisäksi kuvataan tietoturvatavoitteet (Security Objectives), jossa luetellaan niitä tavoitteita, joihin tuotteen tulee pystyä vastaamaan. Tavoitteet pyritään hakemaan arvioimalla mahdollisia tietoturvauhkia [Int] ja miettimällä, miten niihin pystytään vastaamaan. 

ST:ssä kuvataan myös evaluoinnin kohde (TOE Description). Sen tavoitteena on auttaa evaluoinnin suorittamisessa niin, että siinä on kuvattu evaluoinnin kohteelta vaadittavat tietoturvavaatimukset. Lisäksi tässä kohdassa kuvataan miten evaluoinnin kohteena olevaa tuotetta on tarkoitus käyttää ja sen yleisiä tietotekniikkaominaisuuksia. 

Security Target -kuvaukseen kuuluu myös kuvaus tietotekniikkavaatimuksista (IT Security Requirements), kuvaus siitä, millaisessa ympäristössä evaluoinnin kohdetta aiotaan käyttää sekä mahdolliset kuvaukset Protection Profilen käyttöön liittyvistä asioista (PP Claims). Kuvauksessa tietotekniikkavaatimuksista kerrotaan evaluoitavan tuotteen toiminnalliset- ja tietoturvavaatimukset. 

Kuten PP:ssä, kuvaukseen kuuluu vielä kuvaus evaluointiympäristöstä (TOE Security Environment). Se kuvaa ympäristöön liittyvät tietoturvatavoitteet ja luettelee tärkeimmät toimintaympäristön henkilöstöön sekä tekniseen ympäristöön liittyvät oletukset. Myös oletetut ympäristöön liittyvät uhat, hyökkääjät ja hyökkäyskohteet sekä organisaation tietoturvapolitiikka kuvataan tässä osiossa. 

Security Target -kuvauksessa on paljon sellaisia kohtia joita on jo lueteltu Protection Profile -kuvauksessa.  Tarkoitus ei suinkaan ole toistaa samoja määrityksiä kahteen dokumenttiin. ST -kuvauksessa voi viitata PP -kuvauksen tietoihin, jos ei ole olemassa väärinymmärryksen mahdollisuutta [Int].

Target of Evaluation 

Target of Evaluation on tuote, tietojärjestelmä tai sen osa jonka tietoturvaominaisuuksia tai soveltuvuutta organisaatioon arvioidaan. TOE voi olla myös tällaisen järjestelmän osajärjestelmä.

Evaluation Assurance Levels

Common Criteria määrittelee erityiset tietoturvavaatimusten toteutumistasot (Evaluation Assurance Levels, EAL), joita voi käyttää määriteltäessä tietoturvavaatimusten toteutumista tietyn tuotteen tai tuoteryhmän osalta. Tasoja on seitsemän (EAL1-EAL7) vaatimusten muuttuessa tiukemmiksi siirryttäessä tasolta EAL1 tasolle EAL7.

EAL-tasot:
·	EAL1 - funktionaalisesti testattu
·	EAL2 - rakenteellisesti testattu
·	EAL3 - menetelmällisesti testattu ja tarkistettu
·	EAL4 - menetelmällisesti suunniteltu, testattu ja katselmoitu
·	EAL5 - semiformaalisti suunniteltu ja testattu
·	EAL6 - semiformaalisti verifioitu, suunniteltu ja testattu
·	EAL7 - formaalisti verifioitu, suunniteltu ja testattu

Sisällys	
Johdanto	
Common Criterian tausta	
Mikä Common Criteria on	
Protection Profile	
Security Target	
Target of Evaluation	
Luokkajärjestelmä	
Tarkoitus	
Käyttökohteet	
Teknologia	
Evaluation Assurance Levels	
Evaluoinnin toteuttaminen	
Valmistelu	
Evaluoinnin suoritus	
Evaluoinnin tulokset	
Evaluoinnin kustannukset	
Common Criteria Suomessa ja muualla	
Lähteet	

Lähteet

Apt02	Apted A., Carthigaser M., Lowe C., Common Problems with the Common Criteria, 3rd International Common Criteria Conference, March, 2002, 1-23.

CCI99a	Common Criteria for Information Technology Security Evaluation, Part1: Introduction and general model, Version 2.1, CCIMB-99-031, August 1999, 28.

CCI99b	Common Criteria for Information Technology Security Evaluation, Part2: Security functional requirements, Version 2.1, CCIMB-99-032, August 1999, 28.

CCI99c	Common Criteria for Information Technology Security Evaluation, Part3: Security assurance requirements, Version 2.1, CCIMB-99-033, August 1999, 28.

Far02	Farkas A., Walsh C., A Perspective of the Common Criteria in Modern IT Business, 3rd International Common Criteria Conference, May, 2002, 1-8.

Gui99	Common Criteria User Guide, Syntegra, Oct, 1999, 70-77.

Int	Common Criteria An Introduction, Syntegra, 70-77.

Kan98	Kansikas Aarno, Tietoturvallisuusluokitukset, Systeemityö 3/98, Maaliskuu, 1998, 8-9.

Mar02	Marquet B., Gustave C., Common Criteria: A Foundation for a Comprehensive Security Framework, 3rd International Common Criteria Conference, May, 2002, 1-8.

Pur00	Purhonen Mika et al., Puolustustaloudellinen suunnittelukunta, Tietojärjestelmien tietoturvallisuuden hallinnolliset järjestelyt, 15.5.2000, 28.