TRUST&CA v2.0 megbízható rendszer hitelesítés-szolgáltatáshoz BIZTONSÁGI ELŐIRÁNYZAT Verzió: 1.0 Dátum: 2007. május 29 Fájl: TCA_ST_v10.doc Minősítés: Nyilvános Oldalak: 130 TCA v2.0 Biztonsági előirányzat - 1-1.0 verzió
Változáskezelés Verzió Dátum Leírás 0.1 2006.07.17. A szerkezet felállítása, a 3., 4. és 5. fejezetek kezdeti megfogalmazása a CIMC PP figyelembe vételével. 0.2 2006.08.15. A fejlesztőkkel való konzultációk alapján kiegészített változat (2. fejezet kezdeti megfogalmazása) 0.3 2006.10.01. A fejlesztőkkel való konzultációk alapján bővített változat (az 5. fejezet kezdeti megfogalmazása) 0.4 2006.11.02 A fejlesztőkkel való konzultációk alapján kiegészített változat (a 6. fejezet kezdeti megfogalmazása) 0.5 2006.11.15. A 8. fejezet (indoklások) kezdeti megfogalmazása 0.6 2007.01.12. A telepített szoftver vizsgálata alapján kiegészített változat. 0.9 2007.02.23. Első teljes változat. 0.92 2007.05.14. Az értékelőkkel történő első egyeztetés alapján kiegészített és módosított változat. 0.95 2007.05.21. A biztonsági előirányzat v0.92 verziójára készült értékelési jelentés alapján kiegészített és pontosított változat. 1.0 2007.05.29. A biztonsági előirányzat v0.95 verziójára készült értékelési jelentés alapján pontosított, az értékelés alapjaként elfogadott végleges változat. TCA v2.0 Biztonsági előirányzat - 2-1.0 verzió
Tartalomjegyzék 1. Bevezetés... 7 1.1 Azonosítás... 7 1.2 Áttekintés... 7 1.3 Kapcsolódó dokumentumok... 8 1.4 A biztonsági előirányzat szerkezete... 8 1.5 Common Criteria megfelelőség... 8 2. Az értékelés tárgyának (TOE) leírása... 9 2.1 A TCA rendszer alap és kiegészítő szolgáltatásai... 9 2.3 A TCA rendszer felhasználói... 9 2.4 A TCA rendszer általános felépítése... 9 2.5 A TCA rendszer logikai szerkezete... 10 2.6 A TCA rendszer fizikai architektúrája az értékelt kiépítésben... 15 2.7 A TCA rendszer különböző üzemmódjai... 17 3. A TOE biztonsági környezete... 18 3.1 Védendő értékek... 18 3.2 A biztonságos használatra vonatkozó feltételezések... 18 3.2.1 Személyi feltételek... 18 3.2.2 Kapcsolódási feltételek... 19 3.2.3 Fizikai feltételek... 19 3.3 Fenyegetések... 20 3.3.1 Jogosult felhasználók... 20 3.3.2 Rendszer... 20 3.3.3 Kriptográfia... 20 3.3.4 Külső támadások... 21 3.4 Szervezeti biztonsági szabályok... 21 4. Biztonsági célok... 22 4.1 A TOE-ra vonatkozó biztonsági célok... 22 4.2 A TOE környezetére vonatkozó biztonsági célok... 22 4.2.1 A környezetre vonatkozó nem informatikai biztonsági célok... 22 4.2.2 A környezetre vonatkozó informatikai biztonsági célok... 23 4.3 A TOE-ra és környezetére egyaránt vonatkozó biztonsági célok... 24 5. A biztonsági követelmények... 26 5.1 Az informatikai környezetre vonatkozó funkcionális biztonsági követelmények... 26 5.1.1 Bizalmi munkakörök kezelése... 28 5.1.2 Azonosítás és hitelesítés... 30 5.1.3 Hozzáférés ellenőrzés... 32 5.1.3.1 CIMC IT környezet hozzáférés ellenőrzés szabály... 33 5.1.4 Kulcskezelés... 34 5.1.4.1 Kulcs létrehozás... 34 5.1.4.2 Kulcs megsemmisítés... 34 5.1.5 Biztonsági naplózás... 36 TCA v2.0 Biztonsági előirányzat - 3-1.0 verzió
5.1.6 Mentés és helyreállítás... 38 5.1.7 A szolgáltatások által létrehozott és fogadott üzenetek védelme... 39 5.1.8 Ön-tesztek... 41 5.2 A TOE-ra vonatkozó funkcionális biztonsági követelmények... 42 5.2.1 Bizalmi munkakörök kezelése... 44 5.2.2 Azonosítás és hitelesítés... 46 5.2.3 Hozzáférés ellenőrzés... 48 5.2.3.1 CIMC TOE hozzáférés ellenőrzés szabály... 50 5.2.4 Kulcskezelés... 51 5.2.4.1 Magánkulcs tárolás... 51 5.2.4.2 Nyilvános kulcs tárolás... 51 5.2.4.3 Titkos kulcs tárolás... 52 5.2.4.4 Magán és titkos kulcs export... 52 5.2.5 Biztonsági naplózás... 53 5.2.6 A szolgáltatások által létrehozott és fogadott üzenetek védelme... 57 5.2.7 Tanúsítvány előállítás... 58 5.2.7.1 Tanúsítványok létrehozása... 58 5.2.7.2 Tanúsítvány profil menezsment... 59 5.2.8 Tanúsítvány visszavonás kezelés... 60 5.2.8.1 Tanúsítvány visszavonási lista érvényesítés... 60 5.2.8.2 Tanúsítvány állapot export... 60 5.2.8.3 Tanúsítvány visszavonási lista profil menedzsment... 61 5.3 A TOE garanciális biztonsági követelményei... 62 5.3.1 Konfiguráció menedzselés (ACM, Assurance: Configuration Management)... 63 ACM_AUT.1: Részleges konfiguráció menedzselés automatizálás... 63 ACM_CAP.4: A generálás támogatása és elfogadási eljárások... 63 ACM_SCP.2: A biztonsági hibákat követő konfiguráció menedzselés... 64 5.3.2 Kiszállítás és működtetés (ADO, Assurance: Delivery and Operation)... 65 ADO_DEL.2: A módosítás kimutatása... 65 ADO_IGS.1 Hardver telepítés, szoftver telepítés, a beindítás eljárásai... 65 5.3.3 Fejlesztés (ADV, Assurance: Development)... 66 ADV_FSP.2: Teljesen meghatározott külső interfészek... 66 ADV_HLD.2: Biztonságot érvényre juttató magas szintű tervezés... 66 ADV_IMP.1: A biztonsági funkciók részleges kivitelezési dokumentálása... 67 ADV_LLD.1: Leíró alacsony szintű terv... 67 ADV_RCR.1: A kölcsönös megfelelés informális szemléltetése... 68 ADV_SPM.1: Informális biztonságpolitikai modell... 68 5.3.4 Útmutató dokumentumok (AGD, Assurance: Guidance Documents)... 69 AGD_ADM.1: Adminisztrátori útmutató... 69 AGD_USR.1: Felhasználói útmutató... 70 5.3.5 Életciklus támogatás (ALC, Assurance: Life Cycle Support)... 71 ALC_DVS.1: A biztonsági intézkedések azonosítása... 71 ALC_LCD.1: A fejlesztő által meghatározott életciklus modell... 71 ALC_TAT.1:Jól meghatározott fejlesztő eszközök... 71 ALC_FLR.2 A hibajavítás értékelése... 72 5.3.6 Tesztek (ATE, Assurance: Tests)... 73 ATE_COV.2: A teszt lefedettség elemzése... 73 ATE_DPT.1: A magas szintű terv tesztelése... 73 ATE_FUN.1: Funkcionális tesztelés... 73 ATE_IND.2: Független tesztelés - mintavételezés... 74 5.3.7 A sebezhetőség felmérése (AVA, Assurance: Vulnerability Assessment)... 75 AVA_MSU.2: A vizsgálatok megerősítése... 75 AVA_SOF.1: Az értékelés tárgya biztonsági funkcióinak erősségértékelése... 75 AVA_VLA.2: Független sebezhetőség vizsgálat... 76 6. TOE összefoglaló előírás... 77 6.1 A TOE biztonsági funkciói... 77 6.1.1 BF1: Bizalmi munkakörök kezelése (jogosultság kezelés)... 78 TCA v2.0 Biztonsági előirányzat - 4-1.0 verzió
6.1.1.1 A TCA rendszer jogosultság kezelése... 78 6.1.1.2 A környezet támogatása... 78 6.1.2 BF2: Azonosítás és hitelesítés... 80 6.1.2.1 A TCA rendszer felhasználó azonosítása és hitelesítése... 80 6.1.2.2 A környezet támogatása... 81 6.1.3 BF3: Hozzáférés ellenőrzés... 82 6.1.3.1 A TCA rendszer hozzáférés ellenőrzése... 82 6.1.3.2 A környezet támogatása... 83 6.1.4 BF4: Kulcskezelés... 84 6.1.4.1 A TCA rendszer kulcskezelése... 84 6.1.4.2 A környezet támogatása... 85 6.1.5 BF5: Biztonsági naplózás... 86 6.1.5.1 A TCA rendszer biztonsági naplózása... 86 6.1.5.2 A környezet támogatása... 87 6.1.6 BF6: A szolgáltatások által létrehozott és fogadott üzenetek védelme... 88 6.1.6.1 A TCA rendszer által megvalósított védelem... 88 6.1.6.2 A környezet támogatása... 88 6.1.7 BF7: Tanúsítvány előállítás... 89 6.1.7.1 A TCA rendszer tanúsítvány előállítása... 89 6.1.7.2 A környezet támogatása... 91 6.1.8 BF8: Tanúsítvány visszavonás... 92 6.1.8.1 A TCA rendszer tanúsítvány visszavonása... 92 6.1.8.2 A környezet támogatása... 93 6.2 Biztonsági funkcióerősség... 94 6.3 Garanciális intézkedések...94 6.3.1 Konfiguráció kezelés... 94 6.3.2 Szállítás és üzembehelyezés... 94 6.3.3 Fejlesztés... 94 6.3.4 Útmutató dokumentumok... 95 6.3.5 Az életciklus támogatása... 95 6.3.6 Tesztelés... 95 6.3.7 Sebezhetőségek felmérése... 95 7. Védelmi profil megfelelőségi nyilatkozat... 96 8. Indoklások... 97 8.1 A biztonsági célok indoklása... 97 8.1.1 A biztonsági célok szükségessége... 97 8.1.2 A biztonsági célok elégségessége... 100 8.1.2.1 A biztonsági célok elégségessége a veszélyek kivédésére... 100 8.1.2.2 A biztonsági célok elégségessége a biztonsági szabályzatok érvényre juttatására... 107 8.1.2.3 A biztonsági célok elégségessége a feltételek betartására... 107 8.2 A biztonsági követelmények indoklása... 109 8.2.1 A biztonsági követelmények szükségessége... 109 8.2.2 A biztonsági követelmények elégségessége... 113 8.2.2.1 A TOE-ra vonatkozó biztonsági célok... 113 8.2.2.2 A környezetre vonatkozó biztonsági célok... 113 8.3 A belső ellentmondás mentesség és a kölcsönös támogatás indoklása... 120 8.3.1 A belső ellentmondás mentesség (a függőségek kielégítése) indoklása... 120 8.3.1.1 A funkcionális biztonsági követelmények függőségei... 120 8.3.1.2 A garanciális biztonsági követelmények függőségei... 123 8.3.2 A követelmények kölcsönös támogatásának indoklása... 124 8.3.2.1 Megkerülhetőség... 124 8.3.2.2 Hamisíthatóság... 124 8.3.2.3 Kikapcsolhatóság... 125 8.3.2.4 Észlelhetőség... 125 TCA v2.0 Biztonsági előirányzat - 5-1.0 verzió
8.4 A funkcióerősség indoklása... 126 8.5 Az értékelési garanciaszint indoklása... 126 8.6 Az összefoglaló előírás indoklása... 126 9. Rövidítések... 129 TCA v2.0 Biztonsági előirányzat - 6-1.0 verzió
1. Bevezetés Ez a fejezet dokumentum-kezelő és áttekintő információkat tartalmaz. Az 1.1 alfejezet a biztonsági előirányzatok azonosításhoz, katalogizálásához, regisztrációba vételéhez, illetve hivatkozásokhoz szükséges azonosító és leíró információkat tartalmazza. Az 1.2 alfejezet egy potenciális felhasználó számára ad olyan részletességű áttekintést, melynek alapján eldöntheti a témában való érdekeltségét. Az 1.3 alfejezet felsorolja jelen biztonsági előirányzat elkészítéséhez felhasznált szakirodalmat. Az 1.4 alfejezet a 2-9. fejezetek rövid leírását tartalmazza. Az 1.5 alfejezet pedig a CC jelen értékelésnél irányadó verzióját határozza meg. 1.1 Azonosítás Cím: TRUST&CA v2.0 megbízható rendszer hitelesítésszolgáltatáshoz - Biztonsági előirányzat Az értékelés tárgya: TRUST&CA megbízható rendszer v2.0 Az értékelés tárgya rövid neve: TCA v2.0, vagy TCA rendszer Értékelési garancia szint: CC EAL4 + (kibővített EAL 4) A biztonsági funkcióerősség: nincs értelmezve Verzió szám: 1.0 Dátum: 2007. május 29. Szerző: MÁVINFORMATIKA Kft. Felhasznált védelmi profil 1 : Certificate Issuing and Management Components Family of Protection Profiles (CIMC-PP) Version 1.0 CC-verzió: Common Criteria v2.3 1.2 Áttekintés A TCA v2.0 (TCA rendszer) egy olyan speciális elektronikus aláírási termék, amely különböző hitelesítés-szolgáltatást biztosító funkciókkal rendelkezik. A TCA rendszer az alábbi hitelesítés-szolgáltatásokat támogatja: Alap (kötelező) szolgáltatások: Regisztrációs szolgáltatás (a TCA rendszeren kívül valósul meg, eredményét a TCA rendszer használja) Tanúsítvány előállítás szolgáltatás, Tanúsítvány szétosztás szolgáltatás, Visszavonás kezelés szolgáltatás (CRL), Visszavonás állapot szolgáltatás. Kiegészítő (opcionális) szolgáltatások: titkosító magánkulcs letétbe helyezése szolgáltatás, titkosító magánkulcs helyreállítása szolgáltatás, aláírás-létrehozó eszközön az aláírás-létrehozó adat elhelyezése szolgáltatás. 1 A biztonsági előirányzat készítése során a referenciaként megadott védelmi profil számos elemét (többek között néhány, a védelmi profilban definiált, a Common Criteria 2. részében nem található funkcionális biztonsági követelmény is) felhasználásra került, ugyanakkor jelen biztonsági előirányzat védelmi profilnak való megfelelést nem állít (így a CIMC-PP-nek való megfelelést sem). TCA v2.0 Biztonsági előirányzat - 7-1.0 verzió
1.3 Kapcsolódó dokumentumok Jelen biztonsági előirányzat az alábbi dokumentumok tartalmára épít: Certificate Issuing and Management Components Family of Protection Profiles (CIMC- PP) Version 1.0, October 2001 International Standard ISO/IEC 15408 Information technology Security techniques Evaluation criteria for IT security (CC) Version 2.3, August 2005 Common Methodology for Information Security Evaluation (CEM) Version 2.3, August 2005 CWA 14167-1:2003 Security Requirements for Trustworthy Systems Managing Certificates for Electronic Signatures RFC 3280: X.509 Internet Public Key Infrastructure - Certificate and CRL Profile, April 2002 1.4 A biztonsági előirányzat szerkezete A 2., 3., és 4. fejezetek az értékelés tárgya (TOE) leírását, a biztonsági környezetet (feltételezéseket, fenyegetéseket és szervezeti biztonsági szabályzatokat), illetve a biztonsági célokat adják meg. Az 5.1 alfejezet a környezetre, az 5.2 pedig a TOE-ra vonatkozó funkcionális biztonsági követelményeket tartalmazza. Az 5.3 alfejezet a TOE garanciális biztonsági követelményeit írja le. A 6. fejezet részletesen kifejti az értékelés tárgya által megvalósított biztonsági funkciókat. A 7. fejezet a PP megfelelőségi nyilatkozatot, a 8. fejezet az indoklásokat, a 9. pedig egy terminológiai áttekintést és a használt rövidítések listáját tartalmazza. 1.5 Common Criteria megfelelőség Ez a biztonsági előirányzat a CC 2.3 verzióján alapul (ISO/IEC 15408 IT biztonság értékelési követelményei, 1. rész: Bevezetés és általános modell, 2. rész: Funkcionális biztonsági követelmények, 3. rész: Garanciális biztonsági követelmények.). Kiterjeszti a 2. részt, valamint kibővíti a 3. részt, EAL4-es értékelési garanciaszinten /a kibővítés az ALC_FLR.2 Hibajelentési eljárások garanciaösszetevő hozzávételét jelenti/ A CC 1.rész 7.4 pontja szerint: Kiterjeszti a 2. részt: a PP vagy a TOE kiterjeszti a 2. részt, ha a funkcionális követelmények olyan összetevőket foglalnak magukban, amelyek nem szerepelnek a 2. részben. Kibővíti a 3. részt: a PP vagy a TOE kibővíti a 3. részt, ha a garanciális követelmények valamilyen EAL vagy garancicsomag formájában vannak megfogalmazva, továbbá más garanciális összetevőt is tartalmaznak a 3. részből. TCA v2.0 Biztonsági előirányzat - 8-1.0 verzió
2. Az értékelés tárgyának (TOE) leírása A TCA rendszer PKI alapú alkalmazásokhoz különböző tanúsítványokat biztosít és kezel. Különböző alrendszerekből áll, ezek különböző speciális funkcionalitást biztosítanak. Bár jelen biztonsági előirányzat elsősorban a biztonsági követelményekre koncentrál, ez a fejezet az egész TOE működéséről ad áttekintést. 2.1 A TCA rendszer alap és kiegészítő szolgáltatásai A TCA rendszer alap (kötelező) szolgáltatásai az alábbiak: tanúsítvány előállítás szolgáltatás (funkciók: kezdeti tanúsítvány előállítás, tanúsítvány megújítás, tanúsítvány módosítás), tanúsítvány szétosztás szolgáltatás (funkciók: tanúsítvány exportálás LDAP-ba, LDAP újraépítése adatbázisból), visszavonás kezelés szolgáltatás (funkciók: tanúsítvány visszavonás, tanúsítvány felfüggesztés, tanúsítvány újra érvényesítés), visszavonás állapot szolgáltatás (funkciók: CRL publikálása LDAP-ba, CRL exportálása állományba). A TCA rendszer (konfigurációtól függően opcionális) az alábbi kiegészítő szolgáltatásokat is támogatja: titkosító magánkulcs letétbe helyezése szolgáltatás (funkció: letétbe helyezés), titkosító magánkulcs helyreállítása szolgáltatás (funkció: helyreállítás funkció) aláírás-létrehozó eszközön az aláírás-létrehozó adat elhelyezése szolgáltatás (funkciók: kulcspár generáltatás, nyilvános kulcs import, tanúsítvány export). 2.3 A TCA rendszer felhasználói A TCA rendszer felhasználói kizárólag megbízható munkakört betöltő, különböző jogosultságokkal rendelkező belső felhasználók, akik telepítik, konfigurálják, adminisztrálják, üzemeltetik, karban tartják, illetve ellenőrzik a TCA rendszert. (A bizalmas munkakörök részletesen a 6.1.1 alfejezetben kerülnek kifejtésre.) 2.4 A TCA rendszer általános felépítése A TCA rendszert alapvetően egy hitesítés-szolgáltató megbízható rendszerének tervezték, mely a hitesítés-szolgáltató által nyújtott (alap és kiegészítő) szolgáltatásokat valósítja meg, vagy nyújt a megvalósításhoz műszaki támogatást, ahogyan azt a 2-1. ábra szemlélteti. (Az ábrán szereplő regisztrációs szolgáltatást a TCA rendszer környezete valósítja meg.) TCA v2.0 Biztonsági előirányzat - 9-1.0 verzió
Kötelező Alap szolgáltatások Hitelesítés-szolgáltató Kiegészitő Kiegészítő szolgáltatások HSZ felhasználói HSZ interfész felhasználói interfész Regisztrációs szolgáltatás szolgáltatás Tanúsítvány generálás előállítás szolgáltatás szolgáltatás Tanúsítvány szétosztás szolgáltatás Tanúsítvány Visszavány Tanúsít- Visszavonás visszavonás visszavonás állapot vonási kezelés kezelés státusz szolgál- szolgáltatátatás Kriptográfiai Kulcs letétbe helyezés eszköz szolgáltatása szolgáltatás Kulcs Időpecsét helyreállítás szolgáltatás szolgáltatás Aláíráslétrehozó adat elhelyezés szolgáltatás Szolgáltatás kérés HSZ válasz Szolgáltatás kérés HSZ válasz Előfizető Aláírt PKI tranzakció Elfogadó fél 2.5 A TCA rendszer logikai szerkezete 2-1. ábra: A TCA rendszer általános felépítése A TCA rendszer logikai felépítését, alrendszereit és külső interfészeit, egyúttal az értékelés tárgya és az informatikai környezet határát mutatja be a 2-2. ábra. Az ábrán szaggatott vonal jelzi az értékelés hatókörébe eső komponenseket. LDAP HSM adatbázis magánkulcs adatbázis CRL (állomány) ÜKI Tan. RO TXT/XML billentyűzet/sc X.509 TOE RA konfigurálás CA napló szerver Tanúsítvány (állomány) PIN nyomtatás magánkulcs (állomány) SSO, SO 2-2. ábra: A TCA rendszer logikai felépítése és határai TCA v2.0 Biztonsági előirányzat - 10-1.0 verzió
A TCA rendszer (TOE) szerverből (a 2-2. ábrán CA) és hozzá kapcsolódó kliensből (a 2-2. ábrán RA) áll. Egy szerverhez elvileg kapcsolódhat több kliens is, egy kliens pedig több szerverrel is képes kommunikálni (biztosítva ezzel a rendelkezésre állás növelésének, illetve a terhelésmegosztásnak a lehetőségét). A szerver és kliensek közötti belső kommunikáció hitelesített. A TCA rendszernek számos külső interfésze van, az alábbiak ezekről adnak egy áttekintést. Mind az RA, mind a CA különböző módon konfigurálható egy külső interfészen keresztül. A TCA rendszer különböző helyekről és formákban kaphatja meg a funkcióihoz szükséges adatokat: az Ügyfél Kapcsolati Irodától (ÜKI) kapott TXT vagy XML formátumú állomány (RO általi) beolvasásával, az RA-t kezelő regisztrációs tisztviselő (RO) által billentyűzetről történő beütéssel, illetve intelligens kártyáról (SC) történő beolvasással. X509-es szerkezetű tanúsítvány(oka)t tartalmazó állomány (RO általi) beolvasásával, a címtárban (LDAP) tárolt adatszerkezet lekérdezésével, a kriptográfiai hardver modultól (HSM) kapott válaszok fogadásával, saját adatbázisából, magánkulcs adatbázisából (az opcionális titkosító magánkulcs letétbe helyezés és titkosító magánkulcs helyreállítás szolgáltatások támogatása esetén). A TCA rendszer különböző helyekre továbbítja az általa elkészített objektumokat: az előállított tanúsítványokat és az aktuális CRL-eket címtárba publikálja (LDAP), különböző kulcsműveletek végrehajtása érdekében parancsokat küld a kriptográfiai hardver modulnak (HSM), különböző adatokat küld saját adatbázisába, letétbe helyezett kulcsokat küld magánkulcs adatbázisába (amennyiben támogatja a titkosító magánkulcs letétbe helyezés és titkosító magánkulcs helyreállítás szolgáltatásokat). archiválás céljából CRL állományba menti az aktuális CRL-t, a működés jellemzőit rögzítő naplóeseményeket egy naplószerverhez továbbítja, ügyfélhez való továbbítás céljából tanúsítvány állományba menti az aktuálisan előállított tanúsítványokat, a PKCS#12-es formátumban kibocsátott tanúsítványokhoz, illetve az opcionálisan kezelt aláírás-létrehozó eszközökhöz (intelligens kártyákhoz) tartozó PIN kódokra védett módon elvégezteti a PIN nyomtatást, PKCS#12-es formátumban kiadja a magánkulcs állományt (amennyiben támogatja a titkosító magánkulcs letétbe helyezés és titkosító magánkulcs helyreállítás szolgáltatásokat). Az RA felelős a különböző szolgáltatási kérések kiadásáért. (Az előfizetőktől beérkező szolgáltatási kérések fogadása, hitelesség ellenőrzése és megválaszolása nem a TCA rendszer feladata.). A 2-3. ábra az RA informatikai környezetét, határait és főbb moduljait részletezi. A CA szerver végzi a különböző szolgáltatási kérések automatikus feldolgozását, teljesítését. A CA szerver a kérések teljesítése előtt elvégzi a kérést kezdeményező (RO) hitelességének és jogosultságának az ellenőrzését is. A 2-4. ábra a CA informatikai környezetét, határait és főbb alrendszereit részletezi. TCA v2.0 Biztonsági előirányzat - 11-1.0 verzió
2-3. ábra: Az RA informatikai környezete, határai és főbb moduljai A biztonsági tisztviselők (SO) által működtetett TrustCASetup program segítségével a CA oldalon összeállított konfigurációs állományon keresztül, illetve ennek rendszeradminisztrátor által billentyűzetről történő módosításával az RA alrendszer működése szabályozható, vezérelhető (lásd 2-3. ábra Konfig modul). A regisztrációs tisztviselő és a rendszerbiztonsági tisztviselő intelligens kártyája behelyezésével (RO/SO Smart Card) és PIN kódja megadásával azonosíthatja és hitelesítheti magát, melyet az RA részéről a hitelesítő modul (Auth) kezel és ellenőriz. Az RA különböző helyekről és formákban kaphatja meg a funkcióihoz (kezdeti tanúsítvány előállítás, tanúsítvány megújítás, tanúsítvány módosítás, tanúsítvány visszavonás, tanúsítvány felfüggesztés, tanúsítvány újra érvényesítés, (titkosító magánkulcs) letétbe helyezés, (titkosító magánkulcs) visszaállítás, kulcspár generáltatás, nyilvános kulcs import, tanúsítvány export) szükséges adatokat: az Ügyfél Kapcsolati Irodától (ÜKI) kapott TXT vagy XML formátumú állomány beolvasásával, melyet a TXT/XML input modul fogad és kezel, a címtárban (LDAP) tárolt adatszerkezet lekérdezésével, melyet az LDAP input modul fogad és kezel, egy X509-es szerkezetű Tanústványt tartalmazó állomány beolvasásával, melyet a Tanúsítvány input modul fogad és kezel, az RA-t kezelő felhasználó (RO) által billentyűzetről történő beütéssel, melyet a grafikus felhasználói interfész (GUI) modul fogad és kezel. Az RA által összeállított különböző szolgáltatási kérések CA-hoz továbbítását, illetve az ezek automatikus feldolgozásával keletkező válaszok fogadását a Queue interface, illetve (a kommunikációs kapcsolat megszakadása esetén) a File interface modul végzi. TCA v2.0 Biztonsági előirányzat - 12-1.0 verzió
Az ügyfelekhez való továbbítás céljából tanúsítvány állományba menti az aktuálisan előállított tanúsítványokat, melyet a PKCS#7/DER modul végez. Az ügyfelek számára előállított (vagy helyreállított) kulcsokat és tanúsítványokat a key_sw modul PKCS#12-es formátumú állományba menti, míg a key_sc modul intelligens kártyára írja fel. A PIN újra nyomtatás modul végzi (szükség esetén) a PKCS#12-es formátumú állományok PIN kódjának védett nyomtatását. 2-4. ábra: A CA informatikai környezete, határai és főbb moduljai A biztonsági tisztviselők (SO) által működtetett TrustCASetup program segítségével a CA működése szabályozható, vezérelhető (lásd 2-4. ábra Konfig modul). Az RA-CA kommunikáció, azaz az RA által küldött különböző szolgáltatási kérések fogadása és az ezek automatikus feldolgozásával keletkező válaszakok visszaküldése queue alapú, illetve fájl alapú működéssel valósul meg. A tipikus a queue alapú működés, melyet a Queue interface modul kezel (külön üzenet sorokat lehet és kell megadni a konfiguráláskor a tanúsítvány, kulcs helyreállítási, PIN újranyomtatási és visszavonással kapcsolatos kérések számára). A fájl alapú működésre kivételes esetekben (pl. a kommunikációs kapcsolat megszakadása esetén) lehet szükség. A File interface modul külön (konfigurálással meghatározott) mappákban fogadja a tanúsítvány, kulcs helyreállítási, PIN újranyomtatási és visszavonással kapcsolatos kéréseket. A kriptográfiai hardver modul (HSM) biztosítja a TCA rendszer által használt különböző (tanúsítvány aláíró, infrastrukturális és rendszervezérlési) kulcsok generálását, használatát, cseréjét, megsemmisítését, tárolását, mentését, valamint helyreállítását. A HSM biztosítja az ügyfelek számára (kiegészítő szolgáltatásként, tehát opcionálisan) előállított végfelhasználói TCA v2.0 Biztonsági előirányzat - 13-1.0 verzió
kulcsok (titkosító kulcspárok) generálását, a letétbe helyezésük érdekében megvalósított külső tároláshoz történő titkosítást, valamint a helyreállítás érdekében megvalósított dekódolást és ismételt (a helyreállítást kérő számára dekódolható) titkosítást is. A HSM kezelését a biztonsági tisztviselők végzik (SO), a TSA rendszeren kívül. A CA aláíró modulja a HSM-nek kiadott parancsokkal íratja alá a Tanúsítvány előállítás modul által összeállított tanúsítványokat, valamint a CRL generáló modul által összeállított visszavonási listákat. A PIN kezelés modul végezteti el a PKCS#12-es formátumban kibocsátott tanúsítványokhoz, illetve az opcionálisan kezelt aláírás-létrehozó eszközökhöz (intelligens kártyákhoz) tartozó PIN kódok védett nyomtatását. Az Adatbázis kezelés modulon keresztül éri el a CA adatbázisát, illetve a konfigurálástól függően opcionálisan létrehozott titkosító magánkulcs adatbázist (Key recov). Az adatbázis a CA működéséhez szükséges adattárolási lehetőséget biztosítja. Az adatbázisba kerülnek a felhasználói fiókok (accountok), konfigurációs adatok, a rendszer által kibocsátott tanúsítványok, a naplózás sértetlenségét és hitelességét biztosító adatok (aktuális rekord sorszám, akkumulált lenyomat aktuális értéke) a generált kulcspárokhoz tartozó PIN kódok. A titkosító magánkulcs adatbázisba kerülnek (a titkosító magánkulcsok helyreállításának támogatása esetén) a letétbe helyezett magánkulcsok. Az adatbázisban tárolt adatokat a CA alrendszer számos funkciója használja (írja és olvassa). A kibocsátott tanúsítványok és visszavonási listák az LDAP címtárba kerülnek publikálásra, melyet az LDAP kezelés modul valósít meg. A CRL kezelés modul archiválás céljából CRL File-ba írja ki az aktuális CRL-t. A Logolás modul által létrehozott naplórekordok egy napló szerverre (LOG szerv) kerülnek, ahol biztosítva van védett tárolásuk és megjeleníthetőségük, feldolgozhatóságuk. A vezérlés modul az egyes funkciókhoz szükséges belső függvényhívásokat szervezi. Az időzítő modul a CA alrendszerhez feldolgozásra érkezett automatikus és kívülről érkező parancsokat ütemezi. TCA v2.0 Biztonsági előirányzat - 14-1.0 verzió
2.6 A TCA rendszer fizikai architektúrája az értékelt kiépítésben A TCA rendszer működéséhez szükséges főbb elemek a következők: CA alrendszer (a TOE részét képezi): TrustCA.exe (a CA alrendszer funkcionalitását automatikusan megvalósító alkalmazás) TrustCAInstaller.exe (a TrustCA telepítését végző alkalmazás) TrustKeySetup.exe (a telepített TrustCA program kódjába a három SSO tanúsítványt bejuttató alkalmazás) TrustCASetup.exe (a telepített TrustCA /s ezen keresztül a TrustRA/ konfigurálását végző alkalmazás) CA-kiegészítők (nem része a TOE-nak): sql script (adatbázis struktúra) ca.config.xml, ca.so.xml, ca.ro.xml (konfigurációs állományok) CertSigner.dll (2 verzió: az egyik a szoftveres aláíráshoz, a másik a HSM modullal történő aláíráshoz) ExtConfig.dll (2 verzió: az egyik a kulcsvisszaállítás támogatáshoz, a másik annak tiltáshoz) RA alrendszer (a TOE részét képezi): TrustRA.exe (az RA alrendszer funkcionalitását megvalósító alkalmazás) TrustRAInstaller.exe (a TrustRA telepítését végző alkalmazás) RA-kiegészítők (nem része a TOE-nak): CardApi.dll (intelligens kártya API) starcertpers.dll (intelligens kártya driver) ra.xml (konfigurációs állomány) A TCA rendszer különböző fizikai kiépítésekben működőképes. Egy szerverhez (a 2-2. ábrán CA) több kliens (a 2-2. ábrán RA) is kapcsolódhat, egy kliens pedig több szerverrel is képes kommunikálni, biztosítva ezzel többek között a rendelkezésre állás növelésének, illetve a terhelésmegosztásnak a lehetőségét. Az aláíró modul az értékelt kiépítésben az IBM 4758 PCI és az nshield F3 PCI kriptográfiai hardver modulok (HSM) egyikét kezeli szabványos PKCS#11-es interfészen keresztül. A szerver (CA) az értékelt kiépítésekben az alábbi platformokon futott: Windows 2003 Szerver, Enterprise edition, SP1.Net 3.0 futtató környezet, Microsoft Message Queue A kliens (RA) az értékelt kiépítésekben az alábbi platformokon futott: MS Windows XP, Professional, SP2, Microsoft Message Queue A szerver (CA) és kliens (RA) az értékelt kiépítésekben azonos és külön gépeken egyaránt futott. A szerver (CA) és kliens (RA) közötti kommunikációs kapcsolat alapja a Queue interface modulok esetén az értékelt kiépítésekben a következő volt: MS MessageQueue Az informatikai környezet részét képező adatbázis szerver (adatbázis) az értékelt kiépítésben a következő volt: TCA v2.0 Biztonsági előirányzat - 15-1.0 verzió
MS SQL Server Desktop Engine 8.00 Az informatikai környezet részét képező LDAP szerver az értékelt kiépítésben a következő volt: Openldap v2.2.29 Az informatikai környezet részét képező Syslog szerver az értékelt kiépítésben a következő volt: Syslog-win32-0.3 A fentieket összefoglalva a teszteléssel is értékelt konfiguráció az alábbi volt. Szerver (CA): Windows 2003 Szerver, Enterprise edition, SP1 Intel P4, 1,8 GHz 256 MB RAM MS SQL Szerver 2005 Express edition OpenLDAP 2.2.29 Syslog 0.3 IBM 4758 PCI vagy nshield F3 PCI kriptográfiai hardver modul (HSM).NET 3.0 TrustCA: 1.0.1.1476 TrustCASetup: 1.0.3.690 CertSigner.dll: 1.0.0.23 ExtConfig.dll: 1.0.1.21/1.0.1.22 (norec/rec) Kliens (RA): Windows XP, Professional, SP2 Intel P4 Cel., 2,4 GHz 768 MB RAM.NET 3.0 Omnikey CardMan 3121 Oberthur CosmopolIC SmartCard Giesecke, SPK 2.3 Standard V7.0 T=1, SmartCard (StarCert) TrustRA: 1.0.2.949 Giesecke, StarSign TCA v2.0 Biztonsági előirányzat - 16-1.0 verzió
2.7 A TCA rendszer különböző üzemmódjai A TCA rendszer értékelt kiépítésének működése nagy szabadsági fokkal tovább szabályozható, különböző biztonsági jellemzők (konfigurációs paraméterek) telepítés során történő értékadásával. Bizonyos konfigurációs paraméter csoportok beállításával a TCA rendszer jellemző működési módokba, ún. üzemmódokba kapcsolható. Jelen biztonsági előirányzat az alábbi üzemmódokat különbözteti meg (mindegyik a 2.6 alatt meghatározott értékelt kiépítés egy-egy konfigurációs változata): Kulcsvisszaállítás lehetőségét támogató/nem támogató üzemmód (KeyRec) Az ExtConfig.dll könyvtárnak (mely a TCA rendszer informatikai környezetéhez tartozó egyik CA-kiegészítő) két változata van, az egyik elvileg lehetővé teszi a magánkulcsok visszaállítását, a másik nem. A telepítés során (a TrustCAInstaller.exe alkalmazás futtatásakor) a rendszeradminisztrátor választja ki a megfelelő KeyRec üzemmódot). Jelen biztonsági előirányzat a KeyRec üzemmód mindkét állapotára vonatkozik. A kriptográfiai algoritmusok megvalósítása (Crypto) A CertSigner.dll könyvtárnak (mely a TCA rendszer informatikai környezetéhez tartozó egyik CA-kiegészítő) két változata van, az egyik egy hardver kriptográfiai modul (HSM) szolgáltatásait aktivizálja a különböző kriptográfiai algoritmusok (köztük a atnúsítványok digitális aláírásának) megvalósításához, a másik szoftveresen valósítja meg ezeket. A telepítés során (a TrustCAInstaller.exe alkalmazás futtatásakor) a rendszeradminisztrátor választja ki a megfelelő Crypto üzemmódot). Jelen biztonsági előirányzat kizárólag a HSM modul támogatására építő üzemmódra vonatkozik (a szoftveres üzemmód kizárólag tesztelési célokat szolgál). TCA v2.0 Biztonsági előirányzat - 17-1.0 verzió
3. A TOE biztonsági környezete 3.1 Védendő értékek A TCA rendszer által védendő értékek az alábbiak: Rendelkezésre állás szempontjából: A TCA rendszer alábbi tulajdonságai a magas rendelkezésre állás elérhetőségét támogatja: nagy megbízhatóságú elemek alkalmazása az értékelt kiépítésben (tanúsított kriptográfiai hardver eszköz, megbízható hardver és operációs rendszer platform), szerver kliens kiépítés szabad konfigurálhatósága, rugalmas konfigurálási lehetőség (pl. egy TCA rendszeren belül több virtuális CA létrehozásának lehetősége). A fentiek ellenére a TCA rendszer rendelkezésre állását jelen biztonsági előirányzat az informatikai és nem informatika környezet hatókörébe utalja. Bizalmasság szempontjából: Az alábbi ügyfél adatok bizalmassága: a kulcsvisszaállítás lehetősége érdekében tárolt titkosító magánkulcsok. A rendszer alábbi kritikus biztonsági paramétereinek a bizalmassága: tanúsítvány aláíró magánkulcsok, infrastrukturális titkos és magánkulcsok, rendszervezérlési titkos és magánkulcsok, megbízható munkakört betöltő felhasználók (magánkulcsot aktivizáló) PIN kódjai. Sértetlenség szempontjából: Az alábbi ügyfél adatok sértetlensége: tanúsítványok, a kulcsvisszaállítás lehetősége érdekében tárolt titkosító magánkulcsok. Az alábbi rendszeradatok sértetlensége: a felhasználói fiókok (account-ok) tartalma (jogosultságok), konfigurációs állományok, naplórekordok A TOE-t veszélyeztető külső támadókkal szemben feltételezett támadási potenciál: alacsony. 3.2 A biztonságos használatra vonatkozó feltételezések 2 3.2.1 Személyi feltételek A.Auditors Review Audit Logs A biztonság-kritikus eseményekről naplóbejegyzés készül, s ezeket rendszeresen átvizsgálják. A.Authentication Data Management A TOE működési környezetében érvényben van egy olyan hitelesítési adat (jelszó vagy PIN kód) kezelésre vonatkozó szabályzat, melynek betartásával a felhasználók hitelesítési adataikat megfelelő időközönként, és megfelelő értékekre (azaz megfelelő hosszúsággal, előtörténettel, változatossággal stb. rendelkező értékekre) változtatják. A.Competent Administrators, Operators, Officers and Auditors 2 A feltételezésekre A. -tal kezdődő jelölést használunk (A: Assumption) TCA v2.0 Biztonsági előirányzat - 18-1.0 verzió
A bizalmi munkakörök betöltésére szakértő személyek lesznek kijelölve a TOE és az általa tartalmazott információk biztonságának kezelésére. A.CPS Minden bizalmi munkakört betöltő személy jól ismeri azt a hitelesítési rendet (CP) és szolgáltatási szabályzatot (CPS), mely alatt a TOE-t működtetik. A.Disposal of Authentication Data A hitelesítési adatokat és az ezekhez tartozó jogosultságokat eltávolítják, miután a hozzáférési jogosultság megszűnt (pl. munkahely vagy munkakör változás következtében). A.Malicious Code Not Signed A TOE számára küldött rosszindulatú futtatható kódot nem írja alá egy megbízható entitás. A.Notify Authorities of Security Issues A bizalmi munkaköröket betöltő személyeknek értesíteniük kell a megfelelő vezetőket a rendszert érintő bármely biztonsági eseményről, a további adatvesztés vagy kompromittálódás lehetőségének minimalizálása érdekében. A.Social Engineering Training A bizalmi munkaköröket betöltő személyek képzettek a "social engineering" típusú támadások megakadályozási technikáiban. A.Cooperative Users A felhasználóknak néhány olyan feladatot vagy feladatcsoportot is végre kell hajtani, amelyek biztonságos IT környezetet igényelnek. A felhasználóknak a TOE által kezelt információk közül legalább néhányhoz hozzá kell férniük, egyúttal feltételezzük, hogy a felhasználók együttműködő módon tevékenykednek. 3.2.2 Kapcsolódási feltételek A.Operating System Az operációs rendszer úgy kerül kiválasztásra, hogy az rendelkezik a TOE által elvárt azon funkciókkal, melyek a 3.3 alfejezetben meghatározott fenyegetések kivédéséhez szükségesek. 3.2.3 Fizikai feltételek A.Communication Protection A rendszer megfelelő fizikai védelemmel van ellátva a kommunikáció elvesztésével, azaz a kommunikáció rendelkezésre állásának elvesztésével szemben. A.Physical Protection A TOE azon hardver, szoftver és förmver elemei, amelyek létfontosságúak a TOE biztonsági politikája (TSP) érvényre juttatásához, védve vannak a jogosulatlan fizikai módosításokkal szemben. TCA v2.0 Biztonsági előirányzat - 19-1.0 verzió
3.3 Fenyegetések 3 A fenyegetések négy csoportra oszthatók: jogosult felhasználók, rendszer, kriptográfia, illetve külső támadások. 3.3.1 Jogosult felhasználók T.Administrative errors of omission Egy bizalmi munkakört betöltő személy elmulaszt végrehajtani bizonyos funkciókat, amelyek alapvetően fontosak a biztonság szempontjából. T.Administrators, Operators, Officers and Auditors commit errors or hostile actions Egy bizalmi munkakört betöltő személy véletlenül olyan hibát követ el, amely megváltoztatja a rendszer célul tűzött biztonsági szabályzatát, vagy rosszindulatúan módosítja a rendszer konfigurációját, hogy lehetővé tegye a biztonság megsértését. T.User abuses authorization to collect and/or send data Egy felhasználó visszaél jogosultságaival abból a célból, hogy helytelen módon gyűjtsön és/vagy küldjön érzékeny vagy a biztonság szempontjából kritikus adatokat. T.User error makes data inaccessible Egy felhasználó véletlenül felhasználói adatokat töröl, amellyel felhasználói adatokat hozzáférhetetlenné tesz. 3.3.2 Rendszer T.Critical system component fails Egy vagy több rendszer komponens hibája a rendszer kritikus fontosságú funkcionalitásának elvesztését okozza. T.Malicious code exploitation Egy jogosult felhasználó, informatikai rendszer vagy támadó olyan rosszindulatú kódot tölt le és hajt végre, amely rendellenes folyamatokat okoz, s ezzel megsérti a rendszer értékeinek sértetlenségét, rendelkezésre állását vagy bizalmasságát. T.Message content modification Egy támadó információt módosít, amelyet két gyanútlan entitás közötti kommunikációs kapcsolatból fog el, mielőtt azt a tervezett címzetthez továbbítaná. T.Flawed code Egy rendszer vagy alkalmazás fejlesztője olyan kódot ad át, amely nem a specifikációnak megfelelően működik, vagy biztonsági réseket tartalmaz. 3.3.3 Kriptográfia T.Disclosure of private and secret keys Egy magán vagy titkos kulcsot nem megengedett módon felfednek. T.Modification of private/secret keys Egy magán vagy titkos kulcs módosítva lesz. 3 A fenyegetésekre T. -tal kezdődő jelölést használunk (T: Threat) TCA v2.0 Biztonsági előirányzat - 20-1.0 verzió