Приложение Л. Защита ФБО (FPT) (справочное)

Приложение Л
(справочное)

Защита ФБО (FPT)

Класс FPT содержит семейства функциональных требований, которые связаны с целостностью и управлением механизмами, реализованными в ФБО, не завися при этом от особенностей ПВО, а также с целостностью данных ФБО, не завися от специфического содержания данных ПБО. В некотором смысле, компоненты семейств этого класса дублируют компоненты из класса FDP и могут даже использовать одни и те же механизмы. Однако класс FDP специализирован на защите данных пользователя, в то время как класс FPT нацелен на защиту данных ФБО. Фактически, компоненты из класса FPT необходимы для реализации требований невозможности нарушения и обхода политик ФБ данного ОО.

В рамках этого класса выделяются три существенные составные части ФБО.

а) Абстрактная машина ФБО, т.е. виртуальная или физическая машина, на которой выполняется оцениваемая реализация ФБО.

б) Реализация ФБО, которая выполняется на абстрактной машине и реализует механизмы, осуществляющие ПБО.

в) Данные ФБО, которые являются административными базами данных, управляющими осуществлением ПБО.

Все семейства в классе FPT можно связать с этими тремя частями и сгруппировать следующим образом.

г) FPT_PHP "Физическая защита ФБО" предоставляет уполномоченному пользователю возможность обнаружения внешних атак на те части ОО, которые реализуют ФБО.

д) FPT_AMT "Тестирование базовой абстрактной машины" и FPT_TST "Самотестирование ФБО" предоставляют уполномоченному пользователю возможность верифицировать правильность операций базовой абстрактной машины и ФБО, а также целостность данных и выполняемого кода ФБО.

е) FPT_SEP "Разделение домена" и FPT_RVM "Посредничество при обращениях" защищают ФБО во время их выполнения и обеспечивают невозможность обхода ФБО. Когда соответствующие компоненты этих семейств сочетаются с соответствующими компонентами семейства ADV_INT "Внутренняя структура ФБО", можно говорить о наличии в ОО традиционного "монитора обращений".

ж) FPT_RCV "Надежное восстановление", FPT_FLS "Безопасность при сбое" и FPT_TRC "Согласованность данных ФБО при дублировании в пределах ОО" определяют режим выполнения ФБО при возникновении сбоя и непосредственно после него.

и) FPT_ITA "Доступность экспортируемых данных ФБО", FPT_ITC "Конфиденциальность экспортируемых данных ФБО" и FPT_ITI "Целостность экспортируемых данных ФБО" определяют защиту и доступность данных ФБО при их обмене между ФБО и удаленным доверенным продуктом ИТ.

к) FPT_ITT "Передача данных ФБО в пределах ОО" предназначено для защиты данных ФБО при их передаче между физически разделенными частями ОО.

л) FPT_RPL "Обнаружение повторного использования" содержит требование защиты от повторного использования различных типов информации и/или операций.

м) FPT_SSP "Протокол синхронизации состояний" определяет синхронизацию состояний между различными частями распределенных ФБО на основе данных ФБО.

н) FPT_STM "Метки времени" предоставляет падежные метки времени.

п) FPT_TDC "Согласованность данных ФБО между ФБО" предназначено для согласования данных между ФБО и удаленным доверенным продуктом ИТ.

Декомпозиция класса FPT на составляющие его компоненты приведена на рисунках Л.1, Л.2.

Защита ФБО

    | /----------------------------------\   /---\

    |-|   FPT_AMT Тестирование базовой   |---| 1 |

    | |         абстрактной машины       |   \---/

    | \----------------------------------/

    | /----------------------------------\   /---\

    |-|  FPT_FLS Безопасность при сбое   |---| 1 |

    | |                                  |   \---/

    | \----------------------------------/

    | /----------------------------------\   /---\

    |-|FPT_ITA Доступность эскпортируемых|---| 1 |

    | |              данных ФБО          |   \---/

    | \----------------------------------/

    | /----------------------------------\   /---\

    |-|    FPT_ITC  Конфиденциальность   |---| 1 |

    | |     экспортируемых данных ФБО    |   \---/

    | \----------------------------------/

    | /----------------------------------\   /---\ /---\

    |-|FPT_ITI Целостность экспортируемых|---| 1 |-| 2 |

    | |            данных ФБО            |   \---/ \---/

    | \----------------------------------/

    |                                        /---\ /---\

    | /----------------------------------\ /-| 1 |-| 2 |

    |-|    FPT_ITT Передача данных ФБО   | | \---/ \---/

    | |           в пределах ОО          |-| /---\

    | \----------------------------------/ \-| 3 |

    |                                        \---/

    |                                        /---\ /---\

    | /----------------------------------\ /-| 1 |-| 2 |

    |-|   FPT_PHP Физическая защита ФБО  | | \---/ \---/

    | |                                  |-| /---\

    | \----------------------------------/ \-| 3 |

    |                                        \---/

    |                                        /---\ /---\ /---\

    | /----------------------------------\ /-| 1 |-| 2 |-| 3 |

    \-|  FPT_RCV Надежное восстановление | | \---/ \---/ \---/

      |                                  |-| /---\

      \----------------------------------/ \-| 4 |

                                             \---/

             Рисунок Л.1 - Декомпозиция класса "Защита ФБО"

Л.1 Тестирование базовой абстрактной машины (FPT_AMT)

Семейство FPT_AMT определяет требования к выполнению тестирования ФБО, демонстрирующего предположения безопасности относительно базовой абстрактной машины, лежащей в основе построения ФБО. "Абстрактная" машина может быть как платформой аппаратных/программно-аппаратных средств, так и некоторым известным и прошедшим оценку сочетанием аппаратных/программных средств, действующим как виртуальная машина. В качестве примеров такого тестирования можно указать проверку аппаратной защиты, посылку типовых пакетов по сети для проверки получения, верификацию режима функционирования виртуального машинного интерфейса и т.д. Эти тесты могут выполняться при некотором поддерживаемом состоянии, при запуске, по запросу или постоянно. Действия, предпринимаемые с использованием ОО по результатам тестирования, определены в FPT_RCV.

Защита ФБО

    | /----------------------------------\   /---\

    |-|  FPT_RPL Обнаружение повторного  |---| 1 |

    | |            использования         |   \---/

    | \----------------------------------/

    | /----------------------------------\   /---\

    |-|    FPT_RVM Посредничество при    |---| 1 |

    | |             обращениях           |   \---/

    | \----------------------------------/

    | /----------------------------------\   /---\ /---\ /---\

    |-|     FPT_SEP Разделение домена    |---| 1 |-| 2 |-| 3 |

    | |                                  |   \---/ \---/ \---/

    | \----------------------------------/

    | /----------------------------------\   /---\ /---\

    |-|  FPT_SSP Протокол синхронизации  |---| 1 |-| 2 |

    | |            состояний             |   \---/ \---/

    | \----------------------------------/

    | /----------------------------------\   /---\

    |-|       FPT_STM Метки времени      |---| 1 |

    | |                                  |   \---/

    | \----------------------------------/

    | /----------------------------------\   /---\

    |-|  FPT_TDC Согласованность данных  |---| 1 |

    | |          ФБО между ФБО           |   \---/

    | \----------------------------------/

    | /----------------------------------\   /---\

    |-|FPT_TRC Согласованность данных ФБО|---| 1 |

    | |  при дублировании в пределах ОО  |   \---/

    | \----------------------------------/

    | /----------------------------------\   /---\

    \-|   FPT_TST Самотестирование ФБО   |---| 1 |

      |                                  |   \---/

      \----------------------------------/

      Рисунок Л.2 - Декомпозиция класса "Защита ФБО" (продолжение)

Замечания для пользователя

Термин "базовая абстрактная машина" относится главным образом к аппаратуре, реализующей ФБО. Однако его можно отнести и к предварительно оцененной базовой комбинации аппаратных средств и программного обеспечения, ведущей себя как виртуальная машина, на которой реализованы ФБО.

Тесты абстрактной машины могут иметь различные формы:

а) тесты при включении, которые проверяют правильность работы платформы. Для аппаратных и программно-аппаратных средств они могут включать в себя тесты таких элементов, как платы памяти, маршруты передачи данных, шины, управляющие элементы, регистры процессора, порты сообщений, интерфейсы консолей, звуковоспроизводящие и периферийные устройства. Для программных элементов (виртуальной машины) они включат в себя верификацию корректности инициализации и режима функционирования;

б) загружаемые тесты, которые могут загружаться и выполняться уполномоченным пользователем или активизироваться при определенных условиях. Они могут включать в себя тесты нагрузки элементов процессора (логических элементов, вычислительных элементов и т.д.) и управляемой памяти.

Замечания для оценщика

Следует, чтобы тесты базовой абстрактной машины были достаточны для проверки всех характеристик базовой абстрактной машины, на которой выполняются ФБО.

FPT_AMT.1 Тестирование абстрактной машины

Замечания по применению для пользователя

Компонент FPT_AMT.1 поддерживает периодическое тестирование предположений безопасности базовой абстрактной машины, от которых зависит выполнение ФБО, требуя обеспечения возможности периодического запуска тестирования функций.

При желании автор ПЗ/ЗБ может уточнить требование, указав, в каком режиме следует проводить тестирование: автономно, при обычном функционировании системы или в режиме аварийной поддержки.

Замечания по применению для оценщика

Допускается, чтобы функции периодического тестирования были доступны только в автономном режиме или режиме аварийной поддержки. Следует иметь средства управления для предоставления доступа в режиме аварийной поддержки только уполномоченным пользователям.

Операции

Выбор

В FPT_AMT.1.1 автору ПЗ/ЗБ следует специфицировать, когда ФБО будут выполнять тестирование абстрактной машины: при запуске, периодически во время нормального функционирования, по запросу уполномоченного пользователя, при других условиях. В последнем случае следует уточнить, какие это условия. С помощью этой операции выбора автор ПЗ/ЗБ имеет возможность указать также периодичность выполнения самотестирования. Более частое тестирование дает пользователю большую уверенность в правильном функционировании ОО. Однако необходимо выбрать правильное соотношение между предоставлением уверенности и потенциальным уменьшением доступности ОО, поскольку слишком частое тестирование может замедлить нормальное функционирование ОО.

Л.2 Безопасность при сбое (FPT_FLS)

Требования семейства FPT_FLS обеспечивает, чтобы ОО не нарушал свою политику безопасности при сбоях ФБО идентифицированных типов.

FPT_FLS.1 Сбой с сохранением безопасного состояния

Замечания по применению для пользователя

Термин "безопасное состояние" относится к состоянию, при котором данные ФБО непротиворечивы и ФБО продолжают корректное осуществление ПВО. "Безопасное состояние" определяется в модели ПБО. Если разработчик предоставил четкое определение безопасного состояния и разъяснение, когда его следует считать таковым, зависимость FPT_FLS.1 от ADV_SPM.1 можно не учитывать.

Хотя при сбоях с сохранением безопасного состояния желательно проведение аудита, это возможно не во всех ситуациях. Автору ПЗ/ЗБ следует специфицировать те ситуации, при которых проведение аудита желательно и выполнимо.

Сбои ФБО могут включать в себя аппаратные отказы, которые указывают на нарушение режима работы оборудования и требуют аварийной поддержки или восстановления ФБО. Сбои ФБО могут включать в себя также устранимые программные отказы, после которых требуется только инициализация или повторный запуск ФБО.

Операции

Назначение

Для FPT_FLS.1.1 автору ПЗ/ЗБ следует привести список типов сбоев ФБО, при которых следует, чтобы ФБО "сбились безопасно", т.е. сохранили безопасное состояние и продолжали корректно осуществлять ПБО.

Л.3 Доступность экспортируемых данных ФБО (FPT_ITA)

Семейство FPT_ITA определяет правила предотвращения потери доступности данных ФБО, передаваемых между ФБО и удаленным доверенным продуктом ИТ. Это могут быть, например, критичные данные ФБО типа паролей, ключей, данных аудита или выполняемого кода ФБО.

Замечания по применению для пользователя

Это семейство используется в распределенных системах, когда ФБО представляют свои данные удаленному доверенному продукту ИТ. ФБО могут предпринимать меры безопасности лишь со своей стороны и не могут вести ответственность за ФБО другого доверенного продукта ИТ.

Если имеется несколько различных метрик доступности для разных типов данных ФБО, этот компонент следует повторить для каждой отдельной пары "метрика - тип данных ФБО".

FPT_ITA.1 Доступность экспортируемых данных ФБО в пределах заданной метрики

Операции

Назначение

Для FPT_ITA.1.1 автору ПЗ/ЗБ следует специфицировать типы данных ФБО, на которые распространяется метрика доступности.

Для FPT_ITA.1.1 автору ПЗ/ЗБ следует специфицировать метрику доступности для соответствующих данных ФБО.

Для FPT_ITA.1.1 автору ПЗ/ЗБ следует специфицировать условия, при которых необходимо обеспечить доступность. Это, например, может быть наличие связи между ОО и удаленным доверенным продуктом ИТ.

Л.4 Конфиденциальность экспортируемых данных ФБО (FPT_ITC)

Семейство FPT_ITC определяет правила защиты данных ФБО от несанкционированного раскрытия при передаче между ФБО и удаленным доверенным продуктом ИТ. Это могут быть, например, критичные данные ФБО типа паролей, ключей, данных аудита или выполняемого кода ФБО.

Замечания по применению для пользователя

Это семейство используется в распределенных системах, когда ФБО представляют свои данные удаленному доверенному продукту ИТ. ФБО могут предпринять меры безопасности лишь в своей области действия и не могут нести ответственность за ФБО другого доверенного продукта ИТ.

FPT_ITC.1 Конфиденциальность экспортируемых данных ФБО при передаче

Замечания по применению для оценщика

Конфиденциальность данных ФБО во время передачи необходима для их защиты от раскрытия. Возможные способы обеспечения конфиденциальности включают в себя применение криптографии, а также других методов, выбор которых постоянно расширяется.

Л.5 Целостность экспортируемых данных ФБО (FPT_ITI)

Семейство FPT_ITI определяет правила защиты данных ФБО от несанкционированной модификации при передаче между ФБО и удаленным доверенным продуктом ИТ. Это могут быть, например, критичные данные ФБО типа паролей, ключей, данных аудита или выполняемого кода ФБО.

Замечания для пользователя

Это семейство используется в распределенных системах, когда ФБО представляют свои данные удаленному доверенному продукту ИТ. Отметим, что требования, связанные с модификацией, обнаружением или восстановлением и относящиеся к удаленному доверенному продукту ИТ, невозможно специфицировать, поскольку заранее не известны механизмы, которые будут использованы в удаленном доверенном продукте ИТ. Поэтому эти требования выражены в терминах "предоставления ФБО возможности", которую может использовать удаленный доверенный продукт ИТ.

FPT_ITI.1 Обнаружение модификации экспортируемых данных ФБО

Замечания по применению для пользователя

Компонент FPT_ITI.1 следует использовать в ситуациях, когда достаточно обнаружить, что данные модифицированы. Примером является ситуация, когда у удаленного доверенного продукта ИТ имеется возможность запросить ФБО о повторении передачи данных при обнаружении их модификации или удовлетворить аналогичный запрос.

Желательная стойкость функции обнаружения модификации основана на определенной метрике модификации, которая зависит от используемого алгоритма и может находиться в диапазоне от простых контрольных сумм и проверки на четность, которые не обнаруживают простые комбинации изменений в нескольких разрядах, до более сложных криптографических контрольных сумм.

Операции

Назначение

Для FPT_ITI.1.1 автору ПЗ/ЗБ следует специфицировать метрику модификации, удовлетворение которой необходимо для механизма обнаружения. Эта метрика должна определить желательную стойкость функции обнаружения модификации.

Для FPT_ITI.1.2 автору ПЗ/ЗБ следует специфицировать действия, предпринимаемые при обнаружении модификации данных ФБО. Примером таких действий может служить: "игнорировать полученные данные ФБО и запросить у доверенного продукта, являющегося отправителем, повторную передачу данных ФБО".

FPT_ITI.2 Обнаружение и исправление модификации экспортируемых данных ФБО

Замечания по применению для пользователя

Компонент FPT_ITI.2 следует использовать в ситуациях, когда требуется обнаружить или исправить модификации критичных данных ФБО.

Желательная стойкость функции обнаружения модификации основана на определенной метрике модификаций, которая зависит от используемого алгоритма и может находиться в диапазоне от контрольных сумм и проверки на четность, которые могут не обнаружить простые комбинации изменений в нескольких разрядах, до более сложных криптографических контрольных сумм. Метрику, которую требуется определить, можно связать либо с отражением атак (например, будет пропускаться только одно из тысячи случайных сообщений), либо с приведенным в открытой литературе механизмом (например, необходимо, чтобы требуемая стойкость соответствовала стойкости алгоритма безопасного хэширования).

Подход к исправлению модификаций может быть основан на использовании некоторых видов контрольных сумм, позволяющих корректировать ошибки.

Замечания по применению для оценщика

Возможные способы удовлетворения этих требований состоят в использовании криптографических функций или некоторых видов контрольных сумм.

Операции

Назначение

Для FPT_ITI.2.1 автору ПЗ/ЗБ следует специфицировать метрику модификации, удовлетворение которой необходимо для механизма обнаружения. Эта метрика должна определить желательную стойкость функции обнаружения модификации.

Для FPT_ITI.1.2# автору ПЗ/ЗБ следует специфицировать действия, предпринимаемые при обнаружении модификации данных ФБО. Примером таких действий может служить: "игнорировать полученные данные ФБО и запросить у доверенного продукта, являющегося отправителем, повторную передачу данных ФБО".

Для FPT_ITI.2.3 автору ПЗ/ЗБ следует определить типы модификаций, после которых ФБО следует предоставить возможность восстановления.

Л.6 Передача данных ФБО в пределах ОО (FPT_ITT)

Семейство FPT_ITT предоставляет требования защиты данных ФБО при их передаче между разделенными частями ОО по внутреннему каналу.

Замечания для пользователя

Принятие решения о степени физического или логического разделения, в условиях которого могло бы применяться это семейство, зависит от предполагаемой среды эксплуатации. В неблагоприятной среде могут возникать риски, связанные с передачей между частями ОО, разделенными всего лишь системной шиной. В более благоприятной среде для передачи можно использовать обычные сетевые средства.

Замечания для пользователя

Один из механизмов, практически применяемых для реализации функциями безопасности ОО этого вида защиты, основан на применении криптографических методов.

FPT_ITT.1 Базовая защита внутренней передачи данных ФБО

Операции

Выбор

В FPT_ITT.1.1 автору ПЗ/ЗБ следует специфицировать требуемый тип защиты, предоставляя ее от раскрытия или модификации.

FPT_ITT.2 Разделение данных ФБО при передаче

Замечания по применению для пользователя

Одним из путей выполнения разделения каналов, основанного на атрибутах, относящихся к ПФБ, является использование разделенных логических или физических каналов.

Операции

Выбор

В FPT_ITT.2.1 автору ПЗ/ЗБ следует специфицировать требуемый тип защиты, предоставляя ее от раскрытия или модификации.

FPT_ITT.3 Мониторинг целостности данных ФБО

Операции

Выбор

В FPT_ITT.3.1 автору ПЗ/ЗБ следует специфицировать, какой тип модификации должны быть способны обнаруживать ФБО, выбирая из следующих типов: модификации данных, подмена данных, перестановка данных, удаление данных или какие-либо иные ошибки целостности.

Назначение

В FPT_ITT.3.1 в случае выбора автором ПЗ/ЗБ последнего варианта из предыдущего абзаца, ему следует также специфицировать, какие иные ошибки целостности ФБО следует обнаруживать.

В FPT_ITT.3.2 автору ПЗ/ЗБ следует специфицировать действия, предпринимаемые при обнаружении ошибки целостности.

Л.7 Физическая защита ФБО (FPT_PHP)

Компоненты семейства FPT_PHP дают возможность ограничивать физический доступ к ФБО, а также реагировать на несанкционированную физическую модификацию или подмену реализации ФБО и противодействовать им.

Требования компонентов в этом семействе обеспечивают, чтобы ФБО были защищены от физического воздействия и вмешательства. Удовлетворение требований этих компонентов позволяет получить реализацию ФБО, компонуемую и используемую способом, предусматривающим обнаружение физического воздействия или противодействие ему. Без этих компонентов защита ФБО теряет свою эффективность в среде, где не может быть предотвращено физическое повреждение. Это семейство также содержит требования к реакции ФБО на попытки физического воздействия на их реализацию.

Примерами сценариев физического воздействия являются нападения с использованием механических средств, радиоактивного излучения, изменения температуры.

Замечания для пользователя

Допускается, чтобы функции обнаружения физических нападений были доступны уполномоченному пользователю только в автономном режиме или режиме аварийной поддержки. Следует предусмотреть средства ограничения доступа в этих режимах, предоставляя его только уполномоченным пользователям. Поскольку в этих режимах ФБО могут оказаться "невыполнимыми", это может помешать нормальному осуществлению доступа уполномоченных пользователей. Физически ОО может состоять из устройств различного типа, например из экранирующего корпуса, плат и микросхем. Необходимо, чтобы эта совокупность "элементов" защищала ФБО от физического вмешательства (а также оповещала о нем и противодействовала ему). Это не означает, что эти качества необходимы всем устройствам по отдельности, но следует, чтобы их имело физическое воплощение ОО в целом.

Хотя с этими компонентами ассоциирован только минимальный аудит, это сделано исключительно потому, что потенциально механизмы обнаружения и оповещения могут быть реализованы полностью аппаратно, на уровне взаимодействий более низком, чем управление подсистемой аудита (например, это может быть система обнаружения на аппаратном уровне, реагирующая на разрыв цепи и подающая световой сигнал, если цепь разорвана в момент нажатия кнопки уполномоченным пользователем). Тем не менее автор ПЗ/ЗБ может определить, что для некоторых угроз, исходящих от среды, требуется аудит физических нападений. В этом случае автору ПЗ/ЗБ следует включить в список событий аудита соответствующие требования. Необходимо иметь в виду, что наличие этих требований может повлиять на конструкцию аппаратуры и ее взаимодействие с программным обеспечением.

FPT_PHP.1 Пассивное обнаружение физического нападения

Замечания по применению для пользователя

Компонент FPT_PHP.1 следует применять, когда угрозам несанкционированного физического воздействия на части ОО не противопоставлены процедурные методы. В этом компоненте рассматривается угроза, что физическое воздействие на ФБО может и не быть выявлено. Обычно задача верификации того, что нападение имело место, возлагается на уполномоченного пользователя. Как уже сказано, этот компонент всего лишь представляет способность ФБО обнаруживать физическое воздействие, поэтому требуется зависимость от FMT_MOF.1, чтобы специфицировать, кто и каким образом может воспользоваться этой способностью. Если эта функция реализована с помощью механизма, не связанного с ИТ (например, путем физической проверки), то может быть указано, что зависимость от FMT_MOF.1 не удовлетворяется.

FPT_PHP.2 Оповещение о физическом нападении

Замечания по применению для пользователя

Компонент FPT_PHP.2 следует применять, когда угрозам несанкционированного физического воздействия на части ОО не противопоставлены процедурные методы и при этом требуется оповещение определенных лиц о физическом нападении. В этом компоненте рассматривается угроза, что физическое воздействие на элементы ФБО может быть хотя и выявлено, но не замечено (т.е. о нем никто не оповещен).

Операции

Назначение

Для FPT_PHP.2.3 автору ПЗ/ЗБ следует предоставить список устройств/элементов, реализующих ФБО, для которых требуется активное обнаружение физического воздействия.

Для FPT_PHP.2.3 автору ПЗ/ЗБ следует указать пользователя или роль, уведомляемую об обнаружении физического воздействия. Тип пользователя или роли могут меняться на итерациях компонента управления безопасностью FMT_MOF.1, включенного в ПЗ/ЗБ.

FPT_PHP.3 Противодействие физическому нападению

Для некоторых типов воздействия требуется, чтобы ФБО не только обнаруживали воздействие, но и фактически противодействовали ему или задерживали напавшего.

Замечания по применению для пользователя

Компонент FPT_PHP.3 следует использовать, когда устройства и элементы, реализующие ФБО, предназначены для эксплуатации в среде, где физическое воздействие (например, с целью наблюдения, анализа или модификации) на составляющие устройств, реализующих ФБО, или же на элементы, реализующие ФБО, само по себе признано угрозой.

Операции

Назначение

Для FPT_PHP.3.1 автору ПЗ/ЗБ следует специфицировать для списка устройств/элементов, реализующих ФБО, сценарии физического проникновения; ФБО следует противодействовать физическому проникновению, выполняемому по этим сценариям. Этот список может относиться к определенному подмножеству физических устройств и элементов, реализующих ФБО, выделенному на основе учета технологических ограничений и физической незащищенности прибора. Выделение такого подмножества следует четко определить и строго обосновать. Кроме того, ФБО следует реагировать на попытки физического проникновения автоматически. При автоматической реакции на физическое проникновение следует сохранять политику устройства, например, если проводится политика конфиденциальности, то прибор был бы физически отключен для того, чтобы защищаемая информация не могла быть считана.

Для FPT_PHP.3.1 автору ПЗ/ЗБ следует специфицировать список устройств/элементов, реализующих ФБО, для которых ФБО следует противодействовать физическому проникновению согласно идентифицированным сценариям.

Л.8 Надежное восстановление (FPT_RCV)

Требования семейства FPT_RCV обеспечивают, чтобы ФБО могли определить, не нарушена ли защита ФБО при запуске, и восстанавливаться без нарушения защиты после прерывания операции. Это семейство важно, потому что начальное состояние ФБО при запуске или восстановлении определяет защищенность ОО в последующем.

Компоненты данного семейства позволяют устанавливать безопасное состояние ФБО или предотвращать их переход в опасное состояние после сбоев, прерывания функционирования или перезапуска. В число возможных сбоев обычно включают:

а) сбои, которые всегда приводят к аварийным отказам системы (например, устойчивая несогласованность критичных системных таблиц; неуправляемые переходы в коде ФБО, вызванные сбоями аппаратных или программно-аппаратных средств; сбои питания, процессора, связи);

б) сбои носителей, приводящие к тому, что часть носителя или весь носитель, представляющий объекты ФБО, становится недоступным или неисправным (например, ошибки четности, неисправность головок дисков, устойчивый сбой чтения/записи, неточная юстировка головок дисков, износ магнитного покрытия, запыленность поверхности диска);

в) прерывание функционирования вследствие ошибочных действий администратора или отсутствия его своевременных действий (например, неожиданное прекращение работы из-за неподготовленности к отключению питания, игнорирование перерасхода критичных ресурсов, неадекватная инсталлированная конфигурация).

Важно отметить, что восстановление может быть предусмотрено для сценария как частичного, так и полного отказа. Полный отказ может возникнуть в неразделенной операционной системе, в распределенной среде его вероятность меньше. В такой среде некоторые подсистемы могут отказать, в то время как другие части останутся работающими. Более того, критичные элементы могут иметь избыточность (дублирование дисков, альтернативные маршруты) и точки проверки. Под восстановлением имеется в виду восстановление безопасного состояния.

Семейство FPT_RCV идентифицирует режим аварийной поддержки. В этом режиме нормальное функционирование может оказаться невозможным или сильно ограниченным из-за возможности перехода в опасное состояние. В таких случаях обычно доступ разрешается только уполномоченным пользователям, а более конкретно, кто может получить доступ в режиме аварийной поддержки, определяется в классе FMT "Управление безопасностью". Если в классе FMT нет никаких указаний о том, кто имеет право доступа в этом режиме, теоретически допускается, что восстановить систему может любой пользователь. Однако на практике это нежелательно, поскольку пользователь, восстанавливающий систему, может установить конфигурацию ОО, нарушающую ПБО.

Механизмы, предназначенные для обнаружения исключительных состояний при эксплуатации, определяются в FPT_TST "Самотестирование ФБО", FPT_FLS "Безопасность при сбое" и в других разделах, относящихся к проблеме "Сохранность программного обеспечения".

Замечания для пользователя

В этом семействе применяется выражение "безопасное состояние". Оно относится к состоянию, при котором данные ФБО непротиворечивы и продолжают корректное осуществление ПБО. Это состояние может быть состоянием после загрузки системы или состоянием в некоторой контрольной точке. Термин "безопасное состояние" определяется в модели ПФБ. Если разработчик предоставил четкое определение безопасного состояния и разъяснение, когда его следует считать таковым, зависимость FPT_RCV.1 - FPT_RCV.4 от ADV_SPM.1 можно не учитывать.

FPT_RCV.1 Ручное восстановление

Среди видов надежного восстановления тот из них, который основан только на ручном вмешательстве, наименее желателен, так как при этом исключается восстановление системы без участия человека.

Замечания по применению для пользователя

Компонент FPT_RCV.1 предназначен для применения в ОО, которые не требуют автоматического восстановления безопасного состояния. Требования этого компонента направлены против угрозы нарушения защиты в результате приведения ОО с участием человека в опасное состояние при восстановлении после сбоя или другого прерывания.

Замечания по применению для оценщика

Допускается, чтобы функции уполномоченного администратора по надежному восстановлению были доступны ему только в режиме аварийной поддержки. Следует предусмотреть средства ограничения доступа в режиме аварийной поддержки, предоставляя его только уполномоченным пользователям.

FPT_RCV.2 Автоматическое восстановление

Автоматическое восстановление считается более предпочтительным, чем ручное, так как оно позволяет машине продолжать функционирование без участия человека.

Замечания по применению для пользователя

Компонент FPT_RCV.2 расширяет FPT_RCV.1, требуя возможность автоматического восстановления хотя бы после одного типа сбоя/прерывания обслуживания. Требования этого компонента направлены против угрозы нарушения защиты в результате приведения ОО без участия человека в опасное состояние при восстановлении после сбоя или другого прерывания.

Замечания по применению для оценщика

Допускается, чтобы функции уполномоченного администратора по надежному восстановлению были доступны ему только в режиме аварийной поддержки. Следует предусмотреть средства ограничения доступа в режиме аварийной поддержки, предоставляя его только уполномоченным пользователям.

В соответствии с FPT_RCV.2.1 разработчик ФБО отвечает за определение совокупности сбоев и прерываний обслуживания, после которых возможно восстановление.

Предполагается, что робастность механизмов автоматического восстановления будет верифицирована.

Операции

Назначение

Для FPT_RCV.2.2 автору ПЗ/ЗБ следует специфицировать список сбоев или других прерываний обслуживания, для которых необходима возможность автоматического восстановления.

FPT_RCV.3 Автоматическое восстановление без недопустимой потери

Автоматическое восстановление считается более предпочтительным, чем ручное, но оно связано с риском потери большого числа объектов. Предотвращение недопустимых потерь объектов обеспечивается дополнительными средствами восстановления.

Замечания по применению для пользователя

Компонент FPT_RCV.3 расширяет FPT_RCV.2, требуя, чтобы не было чрезмерных потерь данных или объектов ФБО в ОДФ. В соответствии с FPT_RCV.2 механизм автоматического восстановления мог бы, в предельном случае, произвести восстановление путем уничтожения всех объектов и возвращения ФБО в известное безопасное состояние. Такой тип автоматического восстановления в FPT_RCV.3 запрещается.

Требования этого компонента направлены против угрозы нарушения защиты в результате непредусмотренного перехода ОО в опасное состояние при восстановлении после сбоя или перерывов в функционировании с большой потерей данных или объектов ФБО в ОДФ.

Замечания по применению для оценщика

Допускается, чтобы функции уполномоченного администратора по надежному восстановлению были доступны ему только в режиме аварийной поддержки. Следует предусмотреть средства ограничения доступа в режиме аварийной поддержки, предоставляя его только уполномоченным пользователям.

Предполагается, что робастность механизмов автоматического восстановления будет верифицирована оценщиком.

Операции

Назначение

Для FPT_RCV.3.2 автору ПЗ/ЗБ следует специфицировать список сбоев или других прерываний обслуживания, для которых необходима возможность автоматического восстановления.

Для FPT_RCV.3.3 автору ПЗ/ЗБ следует предоставить количественную меру приемлемых потерь данных или объектов ФБО.

FPT_RCV.4 Восстановление функции

Компонент FPT_RCV.4 содержит требование, чтобы в случае сбоя ФБО некоторые функции из числа ФБО либо нормально заканчивали работу, либо возвращались к безопасному состоянию.

Операции

Назначение

В FPT_RCV.4.1 автору ПЗ/ЗБ следует специфицировать список функций безопасности и сценариев сбоев, для которых нормально заканчивается работа ФБ, указанных в списке, или восстанавливается их устойчивое и безопасное состояние.

Л.9 Обнаружение повторного использования (FPT_RPL)

Семейство FPT_RPL связано с обнаружением повторного использования различных типов сущностей (таких, как сообщения, запросы на обслуживание, ответы на запросы обслуживания) и последующими действиями по его устранению.

FPT_RPL.1 Обнаружение повторного использования

Замечания по применению для пользователя

Рассматриваемыми здесь сущностями могут быть, например, сообщения, запросы на обслуживание, ответы на запросы обслуживания или сеансы пользователей.

Операции

Назначение

В FPT_RPL.1.1 автору ПЗ/ЗБ следует представить список сущностей, для которых следует предусмотреть возможность обнаружения повторного использования. Их примерами могут быть: сообщения, запросы на обслуживание, ответы на запросы обслуживания, сеансы пользователей.

В FPT_RPL.1.2 автору ПЗ/ЗБ следует специфицировать список действий, предпринимаемых ФБО при обнаружении повторного использования. Совокупность предпринимаемых действий может включать в себя игнорирование повторно используемой сущности, запрос подтверждения сущности из идентифицированного источника и отключение субъекта, пытавшегося инициировать повторное использование.

Л.10 Посредничество при обращениях (FPT_RVM)

Требования семейства FPT_RVM связаны с аспектом "постоянная готовность" традиционного монитора обращений. Цель этого семейства состоит в обеспечении для заданной ПФБ, чтобы в ОДФ все действия, требующие осуществления политики и инициируемые субъектами, недоверенными относительно одной или всех ПФБ, над объектами, управляемыми этой ПФБ, проверялись ФБО на соответствие ПФБ. Если помимо этого часть ФБО, осуществляющая ПФБ, выполняет требования соответствующих компонентов из семейств FPT_SEP "Разделение домена" и ADV_INT "Внутренняя структура ФБО", то эта часть ФБО обеспечивает "монитор обращений" для этой ПФБ.

Монитор обращений является частью ФБО, ответственной за осуществление ПБО, и обладает следующими тремя свойствами.

а) Недоверенные субъекты не могут вмешиваться в работу монитора, т.е. он устойчив к проникновению. Это свойство обеспечивается требованиями компонентов семейства FPT_SEP.

б) Недоверенные субъекты не могут обойти проверки монитора, т.е. он постоянно готов к работе. Это свойство обеспечивается требованиями компонентов семейства FPT_RVM.

в) Монитор достаточно прост, его устройство поддается анализу, его действия понятны (т.е. его построение концептуально несложно). Это свойство обеспечивается требованиями компонентов семейства ADV_INT.

В единственном компоненте семейства FPT_RVM содержится требование: "ФБО должны обеспечить, чтобы функции, осуществляющие ПБО, вызывались и успешно выполнялись прежде, чем разрешается выполнение любой другой функции в пределах ОДФ". В любой системе (распределенной или нет) имеется конечное число функций, ответственных за осуществление ПБО. В этом требовании не утверждается, что для управления безопасностью применяется одна функция. Наоборот, утверждается, что роль механизма проверки правомочности обращений выполняют несколько функций, и именно их совокупность, осуществляющая ПБО, объединена под именем монитора обращений. При этом необходимо принимать во внимание задачу сохранения простоты "монитора обращений".

ФБО при реализации ПФБ предоставляют эффективную защиту от несанкционированных операций тогда и только тогда, когда правомочность всех действий, предполагаемых для осуществления (например, доступ к объектам) и запрошенных субъектами, недоверенными относительно всех или именно этой ПФБ, проверяется ФБО до выполнения действий. Если действия по проверке будут выполнены неправильно или проигнорированы (обойдены), то осуществление ПФБ в целом может быть поставлено под угрозу (ее можно обойти). Тогда "недоверенные" субъекты смогут обходить ПФБ различными способами (такими, как обход проверки доступа для некоторых субъектов и объектов, обход проверки для объектов, чья защита управляется прикладными программами, сохранение права доступа после истечения установленного срока действия, обход аудита событий, подлежащих аудиту, обход аутентификации). Важно отметить, что термин "недоверенный субъект" относится к субъектам, недоверенным относительно какой-либо или всех осуществляемых ПФБ; субъект может быть доверенным относительно одной ПФБ и недоверенным относительно другой.

FPT_RVM.1 Невозможность обхода ПБО

Замечания по применению для пользователя

Для получения эквивалента монитора обращений необходимо применить данный компонент совместно либо с FPT_SEP.2 "Отделение домена ПФБ", либо с FPT_SEP.3 "Полный монитор обращений", а также с ADV_INT.3 "Минимизация сложности". Кроме того, если требуется полное посредничество при обращениях, требования компонентов из класса FDP "Защита данных пользователя" необходимо распространить на все объекты в составе ОО.

Л.12 Протокол синхронизации состояний (FPT_SSP)

Распределенные системы могут иметь большую сложность, чем нераспределенные, из-за многообразия состояний частей системы, а также из-за задержек связи. В большинстве случаев синхронизация состояния между распределенными функциями включает в себя, вместо обычных действий, применение протокола обмена. Когда в среде распределенных систем существуют угрозы безопасности, потребуются более сложные защищенные протоколы.

Семейство FPT_SSP устанавливает требование использования надежных протоколов некоторыми критичными по безопасности функциями из числа ФБО. Оно обеспечивает, чтобы две распределенные части ОО (например, главные ЭВМ) синхронизировали свои состояния после действий, связанных с безопасностью.

Замечания для пользователя

Некоторые состояния невозможно синхронизировать, или затраты на транзакцию будут слишком велики для практического применения; отмена ключа шифрования является примером, когда после выполнения действия состояние может стать неопределенным. Либо действие предпринято, а подтверждение не может быть отправлено, либо сообщение проигнорировано получателем, и поэтому отмена не произойдет. Неопределенность присуща распределенным системам. Проблема неопределенности связана с необходимостью синхронизации состояний и может решаться соответствующими методами. Планировать неопределенные состояния бесполезно; при них автору ПЗ/ЗБ следует прибегнуть к другим требованиям (например, подача сигнала тревоги, проведение аудита).

FPT_SSP.1 Одностороннее надежное подтверждение

Замечания по применению для пользователя

В компоненте FPT_SSP.1 необходимо, чтобы по запросу ФБО предоставляли подтверждение для другой части ФБО. Это подтверждение требуется для указания, что в одной части распределенного ОО успешно получено немодифицированное сообщение из другой части ОО.

FPT_SSP.2 Взаимное надежное подтверждение

Замечания по применению для пользователя

Компонент FPT_SSP.2 содержит требование, что в дополнение к предоставлению подтверждения получения передаваемых данных принимающей части ФБО необходимо обратиться к передающей за уведомлением о получении подтверждения.

Например, локальная часть ФБО передает данные удаленной части ФБО. Последняя подтверждает успешный прием сообщения и запрашивает у передавшей сообщение части ФБО уведомление, что она получила подтверждение. Этот механизм дает дополнительную уверенность, что обе части ФБО, участвующие в передаче данных, извещены об успешном завершении передачи.

Л.13 Метки времени (FPT_STM)

Семейство FPT_STM содержит требования по предоставлению надежных меток времени в пределах ОО.

Замечания для пользователя

На автора ПЗ/ЗБ возлагается разъяснение смысла выражения "надежные метки времени" и указание, где принимается решение о надежности.

FPT_STM.1 Надежные метки времени

Замечания по применению для пользователя

Применение компонента FPT_STM.1 возможно для предоставления надежных меток времени при проведении аудита, а также для ограничения срока действия атрибутов безопасности.

Л.14 Согласованность данных ФБО между ФБО (FPT_TDC)

В среде распределенной или сложной системы от ОО может потребоваться произвести обмен данными ФБО (такими, как атрибуты ПФБ, ассоциированные с данными, информация аудита или идентификации) с другим доверенным продуктом ИТ. Семейство FPT_TDC определяет требования для совместного использования и непротиворечивой интерпретации этих атрибутов между ФБО и другим доверенным продуктом ИТ.

Замечания для пользователя

Это семейство предназначено для представления требований к автоматической поддержке согласованности данных ФБО при их передаче между ФБО рассматриваемого ОО и ФБО другого доверенного продукта. Возможна и такая ситуация, когда для согласования атрибутов безопасности применяются только процедурные меры, однако они здесь не рассматриваются.

Семейство FPT_TDC отличается от FDP_ETC и FDP_ITC, так как последние направлены лишь на соотнесение атрибутов безопасности между ФБО и носителями импортируемой или экспортируемой ими информации.

В случае, когда важна целостность данных ФБО, следует выбрать требования из семейства FPT_ITI. Его компоненты определяют требования, чтобы ФБО были способны обнаружить и/или исправить модификации данных ФБО во время передачи.

FPT_TDC.1 Базовая согласованность данных ФБО между ФБО

Замечания по применению для пользователя

ФБО отвечают за поддержку согласованности данных ФБО, используемых ими или ассоциированных с ними, которые являются общими у двух или более доверенных систем. Например, данные ФБО для ФБО двух различных систем могут толковаться внутри них по-разному. Для правильного применения данных ФБО принимающим доверенным продуктом ИТ (например, для обеспечения такой же защиты данных пользователя, как и в ОО) необходимо, чтобы ОО и другой доверенный продукт ИТ применяли заранее установленный протокол обмена данными ФБО.

Операции

Назначение

В FPT_TDC.1.1 автору ПЗ/ЗБ следует определить список типов данных ФБО, которые должны согласованно интерпретироваться при совместном использовании ФБО и другим доверенным продуктом ИТ.

В FPT_TDC.1.2 автору ПЗ/ЗБ следует привести список правил интерпретации, применяемых ФБО.

Л.15 Согласованность данных ФБО при дублировании в пределах ОО (FPT_TRC)

Требования семейства FPT_TRC необходимы, чтобы обеспечить согласованность данных ФБО, когда они дублируются в пределах ОО. Такие данные могут стать несогласованными при нарушении работоспособности внутреннего канала между частями ОО. Если ОО внутренне структурирован как сеть, то это может произойти из-за отключения отдельных частей сети при разрыве сетевых соединений.

Замечания для пользователя

Метод обеспечения согласованности в данном семействе не указывается. Согласованность может достигаться с помощью некоторой формы обработки транзакций (где соответствующие транзакции "возвращаются назад" к месту отправления через повторное соединение) или путем обновления дублируемых данных через протокол синхронизации. Если для ПЗ/ЗБ необходим конкретный протокол, то он может быть специфицирован с использованием операции уточнения.

Может оказаться, что синхронизировать некоторые состояния невозможно или затраты на такую синхронизацию слишком высоки. Примером подобной ситуации служит отмена каналов связи и ключей шифрования. Могут также возникать неопределенные состояния. Если желателен конкретный режим функционирования, его следует специфицировать с использованием операции уточнения.

FPT_TRC.1 Согласованность дублируемых данных ФБО

Операции

Назначение

В FPT_TRC.1.2 автору ПЗ/ЗБ следует специфицировать список ФБ, которые зависят от согласованности дублирования данных ФБО.

Л.16 Самотестирование ФБО (FPT_TST)

Семейство FPT_TST определяет требования, для самотестирования ФБО в части некоторых типичных операций с известным результатом. Примерами могут служить обращения к интерфейсам осуществляемых функций, а также некоторые арифметические операции, выполняемые критичными частями ОО. Эти тесты могут выполняться при запуске, периодически, по запросу уполномоченного пользователя или при удовлетворении других условий. Действия ОО, предпринимаемые по результатам самотестирования, определены в других семействах.

Требования этого семейства также необходимы для обнаружения искажения выполняемого кода ФБО (т.е. программной реализации ФБО) и данных ФБО различными сбоями, которые не всегда приводят к приостановке функционирования ОО (рассмотренной в других семействах). Такие проверки необходимо выполнять, т.к. подобные сбои не всегда можно предотвратить. Они могут происходить либо из-за непредусмотренных типов сбоев или имеющихся неточностей в проекте аппаратных, программно-аппаратных и программных средств, либо вследствие злонамеренного искажения ФБО, допущенного из-за неадекватной логической и/или физической защиты.

Дополнительно этот компонент может, при соответствующих условиях, помочь предотвратить неприемлемые или наносящие ущерб изменения ФБО, которые могут быть произведены в эксплуатируемом ОО при выполнении действий по сопровождению.

Замечания для пользователя

Термин "правильное выполнение ФБО" относится главным образом к функционированию программного обеспечения ФБО и целостности его данных. Абстрактная машина, на которой реализуется программное обеспечение ФБО, проверяется через зависимость от FPT_AMT.

FPT_TST.1 Тестирование ФБО

Замечания по применению для пользователя

Компонент FPT_TST.1 поддерживает как тестирование критичных функций из числа ФБО через требование возможности запускать тестирование функций, так и проверку целостности данных и выполняемого кода ФБО.

Замечания по применению для оценщика

Допускается, чтобы функции, предоставляемые уполномоченному пользователю для периодического тестирования, были доступны только в автономном режиме и режиме аварийной поддержки. В этих режимах следует предусмотреть средства ограничения доступа, предоставляя его только уполномоченным пользователям.

Операции

Выбор

В FPT_TST.1 автору ПЗ/ЗБ следует специфицировать, когда самими ФБО будет выполняться тестирование ФБО: при запуске, периодически в процессе нормального функционирования, по запросу уполномоченного пользователя, при других условиях. В последнем случае автору ПЗ/ЗБ следует также указать конкретные условия, используя операцию назначения.

Назначение

В FPT_TST.1.1 автору ПЗ/ЗБ следует, если сделан соответствующий выбор, специфицировать условия, при которых следует выполнять самотестирование.