TRUST&CA v2.0 megbízható rendszer hitelesítés-szolgáltatáshoz BIZTONSÁGI ELŐIRÁNYZAT

Átírás

1 TRUST&CA v2.0 megbízható rendszer hitelesítés-szolgáltatáshoz BIZTONSÁGI ELŐIRÁNYZAT Verzió: 1.0 Dátum: május 29 Fájl: TCA_ST_v10.doc Minősítés: Nyilvános Oldalak: 130 TCA v2.0 Biztonsági előirányzat verzió

2 Változáskezelés Verzió Dátum Leírás A szerkezet felállítása, a 3., 4. és 5. fejezetek kezdeti megfogalmazása a CIMC PP figyelembe vételével A fejlesztőkkel való konzultációk alapján kiegészített változat (2. fejezet kezdeti megfogalmazása) A fejlesztőkkel való konzultációk alapján bővített változat (az 5. fejezet kezdeti megfogalmazása) A fejlesztőkkel való konzultációk alapján kiegészített változat (a 6. fejezet kezdeti megfogalmazása) A 8. fejezet (indoklások) kezdeti megfogalmazása A telepített szoftver vizsgálata alapján kiegészített változat Első teljes változat Az értékelőkkel történő első egyeztetés alapján kiegészített és módosított változat A biztonsági előirányzat v0.92 verziójára készült értékelési jelentés alapján kiegészített és pontosított változat A biztonsági előirányzat v0.95 verziójára készült értékelési jelentés alapján pontosított, az értékelés alapjaként elfogadott végleges változat. TCA v2.0 Biztonsági előirányzat verzió

3 Tartalomjegyzék 1. Bevezetés Azonosítás Áttekintés Kapcsolódó dokumentumok A biztonsági előirányzat szerkezete Common Criteria megfelelőség Az értékelés tárgyának (TOE) leírása A TCA rendszer alap és kiegészítő szolgáltatásai A TCA rendszer felhasználói A TCA rendszer általános felépítése A TCA rendszer logikai szerkezete A TCA rendszer fizikai architektúrája az értékelt kiépítésben A TCA rendszer különböző üzemmódjai A TOE biztonsági környezete Védendő értékek A biztonságos használatra vonatkozó feltételezések Személyi feltételek Kapcsolódási feltételek Fizikai feltételek Fenyegetések Jogosult felhasználók Rendszer Kriptográfia Külső támadások Szervezeti biztonsági szabályok Biztonsági célok A TOE-ra vonatkozó biztonsági célok A TOE környezetére vonatkozó biztonsági célok A környezetre vonatkozó nem informatikai biztonsági célok A környezetre vonatkozó informatikai biztonsági célok A TOE-ra és környezetére egyaránt vonatkozó biztonsági célok A biztonsági követelmények Az informatikai környezetre vonatkozó funkcionális biztonsági követelmények Bizalmi munkakörök kezelése Azonosítás és hitelesítés Hozzáférés ellenőrzés CIMC IT környezet hozzáférés ellenőrzés szabály Kulcskezelés Kulcs létrehozás Kulcs megsemmisítés Biztonsági naplózás TCA v2.0 Biztonsági előirányzat verzió

4 5.1.6 Mentés és helyreállítás A szolgáltatások által létrehozott és fogadott üzenetek védelme Ön-tesztek A TOE-ra vonatkozó funkcionális biztonsági követelmények Bizalmi munkakörök kezelése Azonosítás és hitelesítés Hozzáférés ellenőrzés CIMC TOE hozzáférés ellenőrzés szabály Kulcskezelés Magánkulcs tárolás Nyilvános kulcs tárolás Titkos kulcs tárolás Magán és titkos kulcs export Biztonsági naplózás A szolgáltatások által létrehozott és fogadott üzenetek védelme Tanúsítvány előállítás Tanúsítványok létrehozása Tanúsítvány profil menezsment Tanúsítvány visszavonás kezelés Tanúsítvány visszavonási lista érvényesítés Tanúsítvány állapot export Tanúsítvány visszavonási lista profil menedzsment A TOE garanciális biztonsági követelményei Konfiguráció menedzselés (ACM, Assurance: Configuration Management) ACM_AUT.1: Részleges konfiguráció menedzselés automatizálás ACM_CAP.4: A generálás támogatása és elfogadási eljárások ACM_SCP.2: A biztonsági hibákat követő konfiguráció menedzselés Kiszállítás és működtetés (ADO, Assurance: Delivery and Operation) ADO_DEL.2: A módosítás kimutatása ADO_IGS.1 Hardver telepítés, szoftver telepítés, a beindítás eljárásai Fejlesztés (ADV, Assurance: Development) ADV_FSP.2: Teljesen meghatározott külső interfészek ADV_HLD.2: Biztonságot érvényre juttató magas szintű tervezés ADV_IMP.1: A biztonsági funkciók részleges kivitelezési dokumentálása ADV_LLD.1: Leíró alacsony szintű terv ADV_RCR.1: A kölcsönös megfelelés informális szemléltetése ADV_SPM.1: Informális biztonságpolitikai modell Útmutató dokumentumok (AGD, Assurance: Guidance Documents) AGD_ADM.1: Adminisztrátori útmutató AGD_USR.1: Felhasználói útmutató Életciklus támogatás (ALC, Assurance: Life Cycle Support) ALC_DVS.1: A biztonsági intézkedések azonosítása ALC_LCD.1: A fejlesztő által meghatározott életciklus modell ALC_TAT.1:Jól meghatározott fejlesztő eszközök ALC_FLR.2 A hibajavítás értékelése Tesztek (ATE, Assurance: Tests) ATE_COV.2: A teszt lefedettség elemzése ATE_DPT.1: A magas szintű terv tesztelése ATE_FUN.1: Funkcionális tesztelés ATE_IND.2: Független tesztelés - mintavételezés A sebezhetőség felmérése (AVA, Assurance: Vulnerability Assessment) AVA_MSU.2: A vizsgálatok megerősítése AVA_SOF.1: Az értékelés tárgya biztonsági funkcióinak erősségértékelése AVA_VLA.2: Független sebezhetőség vizsgálat TOE összefoglaló előírás A TOE biztonsági funkciói BF1: Bizalmi munkakörök kezelése (jogosultság kezelés) TCA v2.0 Biztonsági előirányzat verzió

5 A TCA rendszer jogosultság kezelése A környezet támogatása BF2: Azonosítás és hitelesítés A TCA rendszer felhasználó azonosítása és hitelesítése A környezet támogatása BF3: Hozzáférés ellenőrzés A TCA rendszer hozzáférés ellenőrzése A környezet támogatása BF4: Kulcskezelés A TCA rendszer kulcskezelése A környezet támogatása BF5: Biztonsági naplózás A TCA rendszer biztonsági naplózása A környezet támogatása BF6: A szolgáltatások által létrehozott és fogadott üzenetek védelme A TCA rendszer által megvalósított védelem A környezet támogatása BF7: Tanúsítvány előállítás A TCA rendszer tanúsítvány előállítása A környezet támogatása BF8: Tanúsítvány visszavonás A TCA rendszer tanúsítvány visszavonása A környezet támogatása Biztonsági funkcióerősség Garanciális intézkedések Konfiguráció kezelés Szállítás és üzembehelyezés Fejlesztés Útmutató dokumentumok Az életciklus támogatása Tesztelés Sebezhetőségek felmérése Védelmi profil megfelelőségi nyilatkozat Indoklások A biztonsági célok indoklása A biztonsági célok szükségessége A biztonsági célok elégségessége A biztonsági célok elégségessége a veszélyek kivédésére A biztonsági célok elégségessége a biztonsági szabályzatok érvényre juttatására A biztonsági célok elégségessége a feltételek betartására A biztonsági követelmények indoklása A biztonsági követelmények szükségessége A biztonsági követelmények elégségessége A TOE-ra vonatkozó biztonsági célok A környezetre vonatkozó biztonsági célok A belső ellentmondás mentesség és a kölcsönös támogatás indoklása A belső ellentmondás mentesség (a függőségek kielégítése) indoklása A funkcionális biztonsági követelmények függőségei A garanciális biztonsági követelmények függőségei A követelmények kölcsönös támogatásának indoklása Megkerülhetőség Hamisíthatóság Kikapcsolhatóság Észlelhetőség TCA v2.0 Biztonsági előirányzat verzió

6 8.4 A funkcióerősség indoklása Az értékelési garanciaszint indoklása Az összefoglaló előírás indoklása Rövidítések TCA v2.0 Biztonsági előirányzat verzió

7 1. Bevezetés Ez a fejezet dokumentum-kezelő és áttekintő információkat tartalmaz. Az 1.1 alfejezet a biztonsági előirányzatok azonosításhoz, katalogizálásához, regisztrációba vételéhez, illetve hivatkozásokhoz szükséges azonosító és leíró információkat tartalmazza. Az 1.2 alfejezet egy potenciális felhasználó számára ad olyan részletességű áttekintést, melynek alapján eldöntheti a témában való érdekeltségét. Az 1.3 alfejezet felsorolja jelen biztonsági előirányzat elkészítéséhez felhasznált szakirodalmat. Az 1.4 alfejezet a 2-9. fejezetek rövid leírását tartalmazza. Az 1.5 alfejezet pedig a CC jelen értékelésnél irányadó verzióját határozza meg. 1.1 Azonosítás Cím: TRUST&CA v2.0 megbízható rendszer hitelesítésszolgáltatáshoz - Biztonsági előirányzat Az értékelés tárgya: TRUST&CA megbízható rendszer v2.0 Az értékelés tárgya rövid neve: TCA v2.0, vagy TCA rendszer Értékelési garancia szint: CC EAL4 + (kibővített EAL 4) A biztonsági funkcióerősség: nincs értelmezve Verzió szám: 1.0 Dátum: május 29. Szerző: MÁVINFORMATIKA Kft. Felhasznált védelmi profil 1 : Certificate Issuing and Management Components Family of Protection Profiles (CIMC-PP) Version 1.0 CC-verzió: Common Criteria v Áttekintés A TCA v2.0 (TCA rendszer) egy olyan speciális elektronikus aláírási termék, amely különböző hitelesítés-szolgáltatást biztosító funkciókkal rendelkezik. A TCA rendszer az alábbi hitelesítés-szolgáltatásokat támogatja: Alap (kötelező) szolgáltatások: Regisztrációs szolgáltatás (a TCA rendszeren kívül valósul meg, eredményét a TCA rendszer használja) Tanúsítvány előállítás szolgáltatás, Tanúsítvány szétosztás szolgáltatás, Visszavonás kezelés szolgáltatás (CRL), Visszavonás állapot szolgáltatás. Kiegészítő (opcionális) szolgáltatások: titkosító magánkulcs letétbe helyezése szolgáltatás, titkosító magánkulcs helyreállítása szolgáltatás, aláírás-létrehozó eszközön az aláírás-létrehozó adat elhelyezése szolgáltatás. 1 A biztonsági előirányzat készítése során a referenciaként megadott védelmi profil számos elemét (többek között néhány, a védelmi profilban definiált, a Common Criteria 2. részében nem található funkcionális biztonsági követelmény is) felhasználásra került, ugyanakkor jelen biztonsági előirányzat védelmi profilnak való megfelelést nem állít (így a CIMC-PP-nek való megfelelést sem). TCA v2.0 Biztonsági előirányzat verzió

8 1.3 Kapcsolódó dokumentumok Jelen biztonsági előirányzat az alábbi dokumentumok tartalmára épít: Certificate Issuing and Management Components Family of Protection Profiles (CIMC- PP) Version 1.0, October 2001 International Standard ISO/IEC Information technology Security techniques Evaluation criteria for IT security (CC) Version 2.3, August 2005 Common Methodology for Information Security Evaluation (CEM) Version 2.3, August 2005 CWA :2003 Security Requirements for Trustworthy Systems Managing Certificates for Electronic Signatures RFC 3280: X.509 Internet Public Key Infrastructure - Certificate and CRL Profile, April A biztonsági előirányzat szerkezete A 2., 3., és 4. fejezetek az értékelés tárgya (TOE) leírását, a biztonsági környezetet (feltételezéseket, fenyegetéseket és szervezeti biztonsági szabályzatokat), illetve a biztonsági célokat adják meg. Az 5.1 alfejezet a környezetre, az 5.2 pedig a TOE-ra vonatkozó funkcionális biztonsági követelményeket tartalmazza. Az 5.3 alfejezet a TOE garanciális biztonsági követelményeit írja le. A 6. fejezet részletesen kifejti az értékelés tárgya által megvalósított biztonsági funkciókat. A 7. fejezet a PP megfelelőségi nyilatkozatot, a 8. fejezet az indoklásokat, a 9. pedig egy terminológiai áttekintést és a használt rövidítések listáját tartalmazza. 1.5 Common Criteria megfelelőség Ez a biztonsági előirányzat a CC 2.3 verzióján alapul (ISO/IEC IT biztonság értékelési követelményei, 1. rész: Bevezetés és általános modell, 2. rész: Funkcionális biztonsági követelmények, 3. rész: Garanciális biztonsági követelmények.). Kiterjeszti a 2. részt, valamint kibővíti a 3. részt, EAL4-es értékelési garanciaszinten /a kibővítés az ALC_FLR.2 Hibajelentési eljárások garanciaösszetevő hozzávételét jelenti/ A CC 1.rész 7.4 pontja szerint: Kiterjeszti a 2. részt: a PP vagy a TOE kiterjeszti a 2. részt, ha a funkcionális követelmények olyan összetevőket foglalnak magukban, amelyek nem szerepelnek a 2. részben. Kibővíti a 3. részt: a PP vagy a TOE kibővíti a 3. részt, ha a garanciális követelmények valamilyen EAL vagy garancicsomag formájában vannak megfogalmazva, továbbá más garanciális összetevőt is tartalmaznak a 3. részből. TCA v2.0 Biztonsági előirányzat verzió

9 2. Az értékelés tárgyának (TOE) leírása A TCA rendszer PKI alapú alkalmazásokhoz különböző tanúsítványokat biztosít és kezel. Különböző alrendszerekből áll, ezek különböző speciális funkcionalitást biztosítanak. Bár jelen biztonsági előirányzat elsősorban a biztonsági követelményekre koncentrál, ez a fejezet az egész TOE működéséről ad áttekintést. 2.1 A TCA rendszer alap és kiegészítő szolgáltatásai A TCA rendszer alap (kötelező) szolgáltatásai az alábbiak: tanúsítvány előállítás szolgáltatás (funkciók: kezdeti tanúsítvány előállítás, tanúsítvány megújítás, tanúsítvány módosítás), tanúsítvány szétosztás szolgáltatás (funkciók: tanúsítvány exportálás LDAP-ba, LDAP újraépítése adatbázisból), visszavonás kezelés szolgáltatás (funkciók: tanúsítvány visszavonás, tanúsítvány felfüggesztés, tanúsítvány újra érvényesítés), visszavonás állapot szolgáltatás (funkciók: CRL publikálása LDAP-ba, CRL exportálása állományba). A TCA rendszer (konfigurációtól függően opcionális) az alábbi kiegészítő szolgáltatásokat is támogatja: titkosító magánkulcs letétbe helyezése szolgáltatás (funkció: letétbe helyezés), titkosító magánkulcs helyreállítása szolgáltatás (funkció: helyreállítás funkció) aláírás-létrehozó eszközön az aláírás-létrehozó adat elhelyezése szolgáltatás (funkciók: kulcspár generáltatás, nyilvános kulcs import, tanúsítvány export). 2.3 A TCA rendszer felhasználói A TCA rendszer felhasználói kizárólag megbízható munkakört betöltő, különböző jogosultságokkal rendelkező belső felhasználók, akik telepítik, konfigurálják, adminisztrálják, üzemeltetik, karban tartják, illetve ellenőrzik a TCA rendszert. (A bizalmas munkakörök részletesen a alfejezetben kerülnek kifejtésre.) 2.4 A TCA rendszer általános felépítése A TCA rendszert alapvetően egy hitesítés-szolgáltató megbízható rendszerének tervezték, mely a hitesítés-szolgáltató által nyújtott (alap és kiegészítő) szolgáltatásokat valósítja meg, vagy nyújt a megvalósításhoz műszaki támogatást, ahogyan azt a 2-1. ábra szemlélteti. (Az ábrán szereplő regisztrációs szolgáltatást a TCA rendszer környezete valósítja meg.) TCA v2.0 Biztonsági előirányzat verzió

10 Kötelező Alap szolgáltatások Hitelesítés-szolgáltató Kiegészitő Kiegészítő szolgáltatások HSZ felhasználói HSZ interfész felhasználói interfész Regisztrációs szolgáltatás szolgáltatás Tanúsítvány generálás előállítás szolgáltatás szolgáltatás Tanúsítvány szétosztás szolgáltatás Tanúsítvány Visszavány Tanúsít- Visszavonás visszavonás visszavonás állapot vonási kezelés kezelés státusz szolgál- szolgáltatátatás Kriptográfiai Kulcs letétbe helyezés eszköz szolgáltatása szolgáltatás Kulcs Időpecsét helyreállítás szolgáltatás szolgáltatás Aláíráslétrehozó adat elhelyezés szolgáltatás Szolgáltatás kérés HSZ válasz Szolgáltatás kérés HSZ válasz Előfizető Aláírt PKI tranzakció Elfogadó fél 2.5 A TCA rendszer logikai szerkezete 2-1. ábra: A TCA rendszer általános felépítése A TCA rendszer logikai felépítését, alrendszereit és külső interfészeit, egyúttal az értékelés tárgya és az informatikai környezet határát mutatja be a 2-2. ábra. Az ábrán szaggatott vonal jelzi az értékelés hatókörébe eső komponenseket. LDAP HSM adatbázis magánkulcs adatbázis CRL (állomány) ÜKI Tan. RO TXT/XML billentyűzet/sc X.509 TOE RA konfigurálás CA napló szerver Tanúsítvány (állomány) PIN nyomtatás magánkulcs (állomány) SSO, SO 2-2. ábra: A TCA rendszer logikai felépítése és határai TCA v2.0 Biztonsági előirányzat verzió

11 A TCA rendszer (TOE) szerverből (a 2-2. ábrán CA) és hozzá kapcsolódó kliensből (a 2-2. ábrán RA) áll. Egy szerverhez elvileg kapcsolódhat több kliens is, egy kliens pedig több szerverrel is képes kommunikálni (biztosítva ezzel a rendelkezésre állás növelésének, illetve a terhelésmegosztásnak a lehetőségét). A szerver és kliensek közötti belső kommunikáció hitelesített. A TCA rendszernek számos külső interfésze van, az alábbiak ezekről adnak egy áttekintést. Mind az RA, mind a CA különböző módon konfigurálható egy külső interfészen keresztül. A TCA rendszer különböző helyekről és formákban kaphatja meg a funkcióihoz szükséges adatokat: az Ügyfél Kapcsolati Irodától (ÜKI) kapott TXT vagy XML formátumú állomány (RO általi) beolvasásával, az RA-t kezelő regisztrációs tisztviselő (RO) által billentyűzetről történő beütéssel, illetve intelligens kártyáról (SC) történő beolvasással. X509-es szerkezetű tanúsítvány(oka)t tartalmazó állomány (RO általi) beolvasásával, a címtárban (LDAP) tárolt adatszerkezet lekérdezésével, a kriptográfiai hardver modultól (HSM) kapott válaszok fogadásával, saját adatbázisából, magánkulcs adatbázisából (az opcionális titkosító magánkulcs letétbe helyezés és titkosító magánkulcs helyreállítás szolgáltatások támogatása esetén). A TCA rendszer különböző helyekre továbbítja az általa elkészített objektumokat: az előállított tanúsítványokat és az aktuális CRL-eket címtárba publikálja (LDAP), különböző kulcsműveletek végrehajtása érdekében parancsokat küld a kriptográfiai hardver modulnak (HSM), különböző adatokat küld saját adatbázisába, letétbe helyezett kulcsokat küld magánkulcs adatbázisába (amennyiben támogatja a titkosító magánkulcs letétbe helyezés és titkosító magánkulcs helyreállítás szolgáltatásokat). archiválás céljából CRL állományba menti az aktuális CRL-t, a működés jellemzőit rögzítő naplóeseményeket egy naplószerverhez továbbítja, ügyfélhez való továbbítás céljából tanúsítvány állományba menti az aktuálisan előállított tanúsítványokat, a PKCS#12-es formátumban kibocsátott tanúsítványokhoz, illetve az opcionálisan kezelt aláírás-létrehozó eszközökhöz (intelligens kártyákhoz) tartozó PIN kódokra védett módon elvégezteti a PIN nyomtatást, PKCS#12-es formátumban kiadja a magánkulcs állományt (amennyiben támogatja a titkosító magánkulcs letétbe helyezés és titkosító magánkulcs helyreállítás szolgáltatásokat). Az RA felelős a különböző szolgáltatási kérések kiadásáért. (Az előfizetőktől beérkező szolgáltatási kérések fogadása, hitelesség ellenőrzése és megválaszolása nem a TCA rendszer feladata.). A 2-3. ábra az RA informatikai környezetét, határait és főbb moduljait részletezi. A CA szerver végzi a különböző szolgáltatási kérések automatikus feldolgozását, teljesítését. A CA szerver a kérések teljesítése előtt elvégzi a kérést kezdeményező (RO) hitelességének és jogosultságának az ellenőrzését is. A 2-4. ábra a CA informatikai környezetét, határait és főbb alrendszereit részletezi. TCA v2.0 Biztonsági előirányzat verzió

12 2-3. ábra: Az RA informatikai környezete, határai és főbb moduljai A biztonsági tisztviselők (SO) által működtetett TrustCASetup program segítségével a CA oldalon összeállított konfigurációs állományon keresztül, illetve ennek rendszeradminisztrátor által billentyűzetről történő módosításával az RA alrendszer működése szabályozható, vezérelhető (lásd 2-3. ábra Konfig modul). A regisztrációs tisztviselő és a rendszerbiztonsági tisztviselő intelligens kártyája behelyezésével (RO/SO Smart Card) és PIN kódja megadásával azonosíthatja és hitelesítheti magát, melyet az RA részéről a hitelesítő modul (Auth) kezel és ellenőriz. Az RA különböző helyekről és formákban kaphatja meg a funkcióihoz (kezdeti tanúsítvány előállítás, tanúsítvány megújítás, tanúsítvány módosítás, tanúsítvány visszavonás, tanúsítvány felfüggesztés, tanúsítvány újra érvényesítés, (titkosító magánkulcs) letétbe helyezés, (titkosító magánkulcs) visszaállítás, kulcspár generáltatás, nyilvános kulcs import, tanúsítvány export) szükséges adatokat: az Ügyfél Kapcsolati Irodától (ÜKI) kapott TXT vagy XML formátumú állomány beolvasásával, melyet a TXT/XML input modul fogad és kezel, a címtárban (LDAP) tárolt adatszerkezet lekérdezésével, melyet az LDAP input modul fogad és kezel, egy X509-es szerkezetű Tanústványt tartalmazó állomány beolvasásával, melyet a Tanúsítvány input modul fogad és kezel, az RA-t kezelő felhasználó (RO) által billentyűzetről történő beütéssel, melyet a grafikus felhasználói interfész (GUI) modul fogad és kezel. Az RA által összeállított különböző szolgáltatási kérések CA-hoz továbbítását, illetve az ezek automatikus feldolgozásával keletkező válaszok fogadását a Queue interface, illetve (a kommunikációs kapcsolat megszakadása esetén) a File interface modul végzi. TCA v2.0 Biztonsági előirányzat verzió

13 Az ügyfelekhez való továbbítás céljából tanúsítvány állományba menti az aktuálisan előállított tanúsítványokat, melyet a PKCS#7/DER modul végez. Az ügyfelek számára előállított (vagy helyreállított) kulcsokat és tanúsítványokat a key_sw modul PKCS#12-es formátumú állományba menti, míg a key_sc modul intelligens kártyára írja fel. A PIN újra nyomtatás modul végzi (szükség esetén) a PKCS#12-es formátumú állományok PIN kódjának védett nyomtatását ábra: A CA informatikai környezete, határai és főbb moduljai A biztonsági tisztviselők (SO) által működtetett TrustCASetup program segítségével a CA működése szabályozható, vezérelhető (lásd 2-4. ábra Konfig modul). Az RA-CA kommunikáció, azaz az RA által küldött különböző szolgáltatási kérések fogadása és az ezek automatikus feldolgozásával keletkező válaszakok visszaküldése queue alapú, illetve fájl alapú működéssel valósul meg. A tipikus a queue alapú működés, melyet a Queue interface modul kezel (külön üzenet sorokat lehet és kell megadni a konfiguráláskor a tanúsítvány, kulcs helyreállítási, PIN újranyomtatási és visszavonással kapcsolatos kérések számára). A fájl alapú működésre kivételes esetekben (pl. a kommunikációs kapcsolat megszakadása esetén) lehet szükség. A File interface modul külön (konfigurálással meghatározott) mappákban fogadja a tanúsítvány, kulcs helyreállítási, PIN újranyomtatási és visszavonással kapcsolatos kéréseket. A kriptográfiai hardver modul (HSM) biztosítja a TCA rendszer által használt különböző (tanúsítvány aláíró, infrastrukturális és rendszervezérlési) kulcsok generálását, használatát, cseréjét, megsemmisítését, tárolását, mentését, valamint helyreállítását. A HSM biztosítja az ügyfelek számára (kiegészítő szolgáltatásként, tehát opcionálisan) előállított végfelhasználói TCA v2.0 Biztonsági előirányzat verzió

14 kulcsok (titkosító kulcspárok) generálását, a letétbe helyezésük érdekében megvalósított külső tároláshoz történő titkosítást, valamint a helyreállítás érdekében megvalósított dekódolást és ismételt (a helyreállítást kérő számára dekódolható) titkosítást is. A HSM kezelését a biztonsági tisztviselők végzik (SO), a TSA rendszeren kívül. A CA aláíró modulja a HSM-nek kiadott parancsokkal íratja alá a Tanúsítvány előállítás modul által összeállított tanúsítványokat, valamint a CRL generáló modul által összeállított visszavonási listákat. A PIN kezelés modul végezteti el a PKCS#12-es formátumban kibocsátott tanúsítványokhoz, illetve az opcionálisan kezelt aláírás-létrehozó eszközökhöz (intelligens kártyákhoz) tartozó PIN kódok védett nyomtatását. Az Adatbázis kezelés modulon keresztül éri el a CA adatbázisát, illetve a konfigurálástól függően opcionálisan létrehozott titkosító magánkulcs adatbázist (Key recov). Az adatbázis a CA működéséhez szükséges adattárolási lehetőséget biztosítja. Az adatbázisba kerülnek a felhasználói fiókok (accountok), konfigurációs adatok, a rendszer által kibocsátott tanúsítványok, a naplózás sértetlenségét és hitelességét biztosító adatok (aktuális rekord sorszám, akkumulált lenyomat aktuális értéke) a generált kulcspárokhoz tartozó PIN kódok. A titkosító magánkulcs adatbázisba kerülnek (a titkosító magánkulcsok helyreállításának támogatása esetén) a letétbe helyezett magánkulcsok. Az adatbázisban tárolt adatokat a CA alrendszer számos funkciója használja (írja és olvassa). A kibocsátott tanúsítványok és visszavonási listák az LDAP címtárba kerülnek publikálásra, melyet az LDAP kezelés modul valósít meg. A CRL kezelés modul archiválás céljából CRL File-ba írja ki az aktuális CRL-t. A Logolás modul által létrehozott naplórekordok egy napló szerverre (LOG szerv) kerülnek, ahol biztosítva van védett tárolásuk és megjeleníthetőségük, feldolgozhatóságuk. A vezérlés modul az egyes funkciókhoz szükséges belső függvényhívásokat szervezi. Az időzítő modul a CA alrendszerhez feldolgozásra érkezett automatikus és kívülről érkező parancsokat ütemezi. TCA v2.0 Biztonsági előirányzat verzió

15 2.6 A TCA rendszer fizikai architektúrája az értékelt kiépítésben A TCA rendszer működéséhez szükséges főbb elemek a következők: CA alrendszer (a TOE részét képezi): TrustCA.exe (a CA alrendszer funkcionalitását automatikusan megvalósító alkalmazás) TrustCAInstaller.exe (a TrustCA telepítését végző alkalmazás) TrustKeySetup.exe (a telepített TrustCA program kódjába a három SSO tanúsítványt bejuttató alkalmazás) TrustCASetup.exe (a telepített TrustCA /s ezen keresztül a TrustRA/ konfigurálását végző alkalmazás) CA-kiegészítők (nem része a TOE-nak): sql script (adatbázis struktúra) ca.config.xml, ca.so.xml, ca.ro.xml (konfigurációs állományok) CertSigner.dll (2 verzió: az egyik a szoftveres aláíráshoz, a másik a HSM modullal történő aláíráshoz) ExtConfig.dll (2 verzió: az egyik a kulcsvisszaállítás támogatáshoz, a másik annak tiltáshoz) RA alrendszer (a TOE részét képezi): TrustRA.exe (az RA alrendszer funkcionalitását megvalósító alkalmazás) TrustRAInstaller.exe (a TrustRA telepítését végző alkalmazás) RA-kiegészítők (nem része a TOE-nak): CardApi.dll (intelligens kártya API) starcertpers.dll (intelligens kártya driver) ra.xml (konfigurációs állomány) A TCA rendszer különböző fizikai kiépítésekben működőképes. Egy szerverhez (a 2-2. ábrán CA) több kliens (a 2-2. ábrán RA) is kapcsolódhat, egy kliens pedig több szerverrel is képes kommunikálni, biztosítva ezzel többek között a rendelkezésre állás növelésének, illetve a terhelésmegosztásnak a lehetőségét. Az aláíró modul az értékelt kiépítésben az IBM 4758 PCI és az nshield F3 PCI kriptográfiai hardver modulok (HSM) egyikét kezeli szabványos PKCS#11-es interfészen keresztül. A szerver (CA) az értékelt kiépítésekben az alábbi platformokon futott: Windows 2003 Szerver, Enterprise edition, SP1.Net 3.0 futtató környezet, Microsoft Message Queue A kliens (RA) az értékelt kiépítésekben az alábbi platformokon futott: MS Windows XP, Professional, SP2, Microsoft Message Queue A szerver (CA) és kliens (RA) az értékelt kiépítésekben azonos és külön gépeken egyaránt futott. A szerver (CA) és kliens (RA) közötti kommunikációs kapcsolat alapja a Queue interface modulok esetén az értékelt kiépítésekben a következő volt: MS MessageQueue Az informatikai környezet részét képező adatbázis szerver (adatbázis) az értékelt kiépítésben a következő volt: TCA v2.0 Biztonsági előirányzat verzió

16 MS SQL Server Desktop Engine 8.00 Az informatikai környezet részét képező LDAP szerver az értékelt kiépítésben a következő volt: Openldap v Az informatikai környezet részét képező Syslog szerver az értékelt kiépítésben a következő volt: Syslog-win A fentieket összefoglalva a teszteléssel is értékelt konfiguráció az alábbi volt. Szerver (CA): Windows 2003 Szerver, Enterprise edition, SP1 Intel P4, 1,8 GHz 256 MB RAM MS SQL Szerver 2005 Express edition OpenLDAP Syslog 0.3 IBM 4758 PCI vagy nshield F3 PCI kriptográfiai hardver modul (HSM).NET 3.0 TrustCA: TrustCASetup: CertSigner.dll: ExtConfig.dll: / (norec/rec) Kliens (RA): Windows XP, Professional, SP2 Intel P4 Cel., 2,4 GHz 768 MB RAM.NET 3.0 Omnikey CardMan 3121 Oberthur CosmopolIC SmartCard Giesecke, SPK 2.3 Standard V7.0 T=1, SmartCard (StarCert) TrustRA: Giesecke, StarSign TCA v2.0 Biztonsági előirányzat verzió

17 2.7 A TCA rendszer különböző üzemmódjai A TCA rendszer értékelt kiépítésének működése nagy szabadsági fokkal tovább szabályozható, különböző biztonsági jellemzők (konfigurációs paraméterek) telepítés során történő értékadásával. Bizonyos konfigurációs paraméter csoportok beállításával a TCA rendszer jellemző működési módokba, ún. üzemmódokba kapcsolható. Jelen biztonsági előirányzat az alábbi üzemmódokat különbözteti meg (mindegyik a 2.6 alatt meghatározott értékelt kiépítés egy-egy konfigurációs változata): Kulcsvisszaállítás lehetőségét támogató/nem támogató üzemmód (KeyRec) Az ExtConfig.dll könyvtárnak (mely a TCA rendszer informatikai környezetéhez tartozó egyik CA-kiegészítő) két változata van, az egyik elvileg lehetővé teszi a magánkulcsok visszaállítását, a másik nem. A telepítés során (a TrustCAInstaller.exe alkalmazás futtatásakor) a rendszeradminisztrátor választja ki a megfelelő KeyRec üzemmódot). Jelen biztonsági előirányzat a KeyRec üzemmód mindkét állapotára vonatkozik. A kriptográfiai algoritmusok megvalósítása (Crypto) A CertSigner.dll könyvtárnak (mely a TCA rendszer informatikai környezetéhez tartozó egyik CA-kiegészítő) két változata van, az egyik egy hardver kriptográfiai modul (HSM) szolgáltatásait aktivizálja a különböző kriptográfiai algoritmusok (köztük a atnúsítványok digitális aláírásának) megvalósításához, a másik szoftveresen valósítja meg ezeket. A telepítés során (a TrustCAInstaller.exe alkalmazás futtatásakor) a rendszeradminisztrátor választja ki a megfelelő Crypto üzemmódot). Jelen biztonsági előirányzat kizárólag a HSM modul támogatására építő üzemmódra vonatkozik (a szoftveres üzemmód kizárólag tesztelési célokat szolgál). TCA v2.0 Biztonsági előirányzat verzió

18 3. A TOE biztonsági környezete 3.1 Védendő értékek A TCA rendszer által védendő értékek az alábbiak: Rendelkezésre állás szempontjából: A TCA rendszer alábbi tulajdonságai a magas rendelkezésre állás elérhetőségét támogatja: nagy megbízhatóságú elemek alkalmazása az értékelt kiépítésben (tanúsított kriptográfiai hardver eszköz, megbízható hardver és operációs rendszer platform), szerver kliens kiépítés szabad konfigurálhatósága, rugalmas konfigurálási lehetőség (pl. egy TCA rendszeren belül több virtuális CA létrehozásának lehetősége). A fentiek ellenére a TCA rendszer rendelkezésre állását jelen biztonsági előirányzat az informatikai és nem informatika környezet hatókörébe utalja. Bizalmasság szempontjából: Az alábbi ügyfél adatok bizalmassága: a kulcsvisszaállítás lehetősége érdekében tárolt titkosító magánkulcsok. A rendszer alábbi kritikus biztonsági paramétereinek a bizalmassága: tanúsítvány aláíró magánkulcsok, infrastrukturális titkos és magánkulcsok, rendszervezérlési titkos és magánkulcsok, megbízható munkakört betöltő felhasználók (magánkulcsot aktivizáló) PIN kódjai. Sértetlenség szempontjából: Az alábbi ügyfél adatok sértetlensége: tanúsítványok, a kulcsvisszaállítás lehetősége érdekében tárolt titkosító magánkulcsok. Az alábbi rendszeradatok sértetlensége: a felhasználói fiókok (account-ok) tartalma (jogosultságok), konfigurációs állományok, naplórekordok A TOE-t veszélyeztető külső támadókkal szemben feltételezett támadási potenciál: alacsony. 3.2 A biztonságos használatra vonatkozó feltételezések Személyi feltételek A.Auditors Review Audit Logs A biztonság-kritikus eseményekről naplóbejegyzés készül, s ezeket rendszeresen átvizsgálják. A.Authentication Data Management A TOE működési környezetében érvényben van egy olyan hitelesítési adat (jelszó vagy PIN kód) kezelésre vonatkozó szabályzat, melynek betartásával a felhasználók hitelesítési adataikat megfelelő időközönként, és megfelelő értékekre (azaz megfelelő hosszúsággal, előtörténettel, változatossággal stb. rendelkező értékekre) változtatják. A.Competent Administrators, Operators, Officers and Auditors 2 A feltételezésekre A. -tal kezdődő jelölést használunk (A: Assumption) TCA v2.0 Biztonsági előirányzat verzió

19 A bizalmi munkakörök betöltésére szakértő személyek lesznek kijelölve a TOE és az általa tartalmazott információk biztonságának kezelésére. A.CPS Minden bizalmi munkakört betöltő személy jól ismeri azt a hitelesítési rendet (CP) és szolgáltatási szabályzatot (CPS), mely alatt a TOE-t működtetik. A.Disposal of Authentication Data A hitelesítési adatokat és az ezekhez tartozó jogosultságokat eltávolítják, miután a hozzáférési jogosultság megszűnt (pl. munkahely vagy munkakör változás következtében). A.Malicious Code Not Signed A TOE számára küldött rosszindulatú futtatható kódot nem írja alá egy megbízható entitás. A.Notify Authorities of Security Issues A bizalmi munkaköröket betöltő személyeknek értesíteniük kell a megfelelő vezetőket a rendszert érintő bármely biztonsági eseményről, a további adatvesztés vagy kompromittálódás lehetőségének minimalizálása érdekében. A.Social Engineering Training A bizalmi munkaköröket betöltő személyek képzettek a "social engineering" típusú támadások megakadályozási technikáiban. A.Cooperative Users A felhasználóknak néhány olyan feladatot vagy feladatcsoportot is végre kell hajtani, amelyek biztonságos IT környezetet igényelnek. A felhasználóknak a TOE által kezelt információk közül legalább néhányhoz hozzá kell férniük, egyúttal feltételezzük, hogy a felhasználók együttműködő módon tevékenykednek Kapcsolódási feltételek A.Operating System Az operációs rendszer úgy kerül kiválasztásra, hogy az rendelkezik a TOE által elvárt azon funkciókkal, melyek a 3.3 alfejezetben meghatározott fenyegetések kivédéséhez szükségesek Fizikai feltételek A.Communication Protection A rendszer megfelelő fizikai védelemmel van ellátva a kommunikáció elvesztésével, azaz a kommunikáció rendelkezésre állásának elvesztésével szemben. A.Physical Protection A TOE azon hardver, szoftver és förmver elemei, amelyek létfontosságúak a TOE biztonsági politikája (TSP) érvényre juttatásához, védve vannak a jogosulatlan fizikai módosításokkal szemben. TCA v2.0 Biztonsági előirányzat verzió

20 3.3 Fenyegetések 3 A fenyegetések négy csoportra oszthatók: jogosult felhasználók, rendszer, kriptográfia, illetve külső támadások Jogosult felhasználók T.Administrative errors of omission Egy bizalmi munkakört betöltő személy elmulaszt végrehajtani bizonyos funkciókat, amelyek alapvetően fontosak a biztonság szempontjából. T.Administrators, Operators, Officers and Auditors commit errors or hostile actions Egy bizalmi munkakört betöltő személy véletlenül olyan hibát követ el, amely megváltoztatja a rendszer célul tűzött biztonsági szabályzatát, vagy rosszindulatúan módosítja a rendszer konfigurációját, hogy lehetővé tegye a biztonság megsértését. T.User abuses authorization to collect and/or send data Egy felhasználó visszaél jogosultságaival abból a célból, hogy helytelen módon gyűjtsön és/vagy küldjön érzékeny vagy a biztonság szempontjából kritikus adatokat. T.User error makes data inaccessible Egy felhasználó véletlenül felhasználói adatokat töröl, amellyel felhasználói adatokat hozzáférhetetlenné tesz Rendszer T.Critical system component fails Egy vagy több rendszer komponens hibája a rendszer kritikus fontosságú funkcionalitásának elvesztését okozza. T.Malicious code exploitation Egy jogosult felhasználó, informatikai rendszer vagy támadó olyan rosszindulatú kódot tölt le és hajt végre, amely rendellenes folyamatokat okoz, s ezzel megsérti a rendszer értékeinek sértetlenségét, rendelkezésre állását vagy bizalmasságát. T.Message content modification Egy támadó információt módosít, amelyet két gyanútlan entitás közötti kommunikációs kapcsolatból fog el, mielőtt azt a tervezett címzetthez továbbítaná. T.Flawed code Egy rendszer vagy alkalmazás fejlesztője olyan kódot ad át, amely nem a specifikációnak megfelelően működik, vagy biztonsági réseket tartalmaz Kriptográfia T.Disclosure of private and secret keys Egy magán vagy titkos kulcsot nem megengedett módon felfednek. T.Modification of private/secret keys Egy magán vagy titkos kulcs módosítva lesz. 3 A fenyegetésekre T. -tal kezdődő jelölést használunk (T: Threat) TCA v2.0 Biztonsági előirányzat verzió