浅析安全评估标准制定中tcsec和cc的融合

《浅析安全评估标准制定中tcsec和cc的融合》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、浅析安全评估标准制定中TCSEC和CC的融合谢永强金伟信黎筱彦(总参第六十一研究所)【摘要】本文论述了在国家和军用IT安全产品安全评估标准制定中可信计算机系统评价标准(TCSEC)和信息技术安全评估通用准则(CC)两走标准结合的必要性、可行性和基本方法，表明将TCSEC的内客纳入CC的标准框架，不仅是可行的，而且这正是CC的开发者们期望达到的目标之一．因此只有结合CC与TCSEC制订国家和军用安全评估标准，才是一条先进性与实用性兼备的标准制订路线。【关键词】安全评估标准TCSECCC1概述TCSEC是1985年美国国防部制定的可信计算机系统评价标准，亦称

2、为“橙皮书”。TCSEC将安全分为安全策略、责任、保证和文档4个方面及D、C1、c2、Bl、B2、B3、Al和超Al级8个安全级别。CC是美国、加拿大及欧共体国家年制定并于1999年通过国际标准化组织认可的国际标准，即ISO／IEC15408。CC包括信息技术产品的安全功能需求定义和安全保证需求定义，在安全保证需求中，又定义了EALl到EAL77个安全保证级别。目前我国在计算机安全标准制订方面的工作远远落后于国际上信息化水平较高的国家，使用的国标与军标主要参照的仍是早期的TCSEC，如1996年实施的国家军用标准GJB2646--96《军用计算机安全评估

3、准则》，2001年实施的国家标准GBl7895．1999《计算机信息系统安全保护等级划分准则》等。以CC标准为参考的有年GBl8336．2—2001《信息技术安全技术信息技术安全性评估准则》，GB／T18020—1999《信息技术防火墙安全技术要求》等。2TCSEC与CC融合的必要性1985年的TCSEC标准作为使用时间最长计算机系统安全评估标准，在国际上被用来进行了大量的实际计算机系统评测。TCSEC与后来补充的TNI、TDI等解释构成的彩虹系列在安全功能要求方面具有较高的实用性与易操作性。尽管现在看来它有很多缺点，但在现实中，安全技术人员一直将TCS

4、EC的7级安全级别划分一217．当做默认标准。国内的几家计算机安全产品评测单位在实际评测过程中也主要是基于TCSEC及其衍生的国标、军标，并且积累了丰富的技术经验。1999年的CC标准己成为信息系统安全评估领域的国际标准，其权威性是无可置疑的，其特有的开放式结构又允许不同的使用者可以根据具体需求加以裁剪，以产生满足特定IT安全系统(产品)安全目标的子标准。因此可以认为，在安全评估标准制定中抛弃TCSEC，是不符合我国计算机安全产品评测方面的实际情况，只有结合CC与TCSEC制订安全评估标准，才是一条先进性与实用性兼备的标准制订路线。3TCSEC与CC融合

5、的可行性3．1CC框架的开放性与TCSEC相比，CC具有开放式的结构。它全面地考虑了与信息技术安全性有关的所有因素，并以安全功能和安全保证的形式提出了这些因素。针对不同的安全产品需求，可以通过对安全功能和安全保证中部件的选择和组合，制订出有针对性的“保护轮廓”(PP)和“安全目标”(ST)。“保护轮廓”主要用于表达一类产品或系统的用户需求，在标准化体系中可以作为安全技术类标准对待。“安全目标”在“保护轮廓”的基础上，通过将安全要求具体化，提出安全要求实现的概要技术规范。通过“保护轮廓”和“安全目标”这两种结构，可以将CC的安全性要求具体应用到各种IT产品

6、的开发、生产、测试、评估中。CC在结构上的开放性还体现在功能和保证要求都可以在具体的“保护轮廓”和“安全目标”中进一步细化和扩展，如可以增加“备份和恢复”方面的功能要求或一些环境安全要求，或在安全保证7个等级之外增加额外需要的保证要求。这种开放式的结构更适应信息技术和信息安全技术的发展。可见，CC的这种框架开放性使其对TCSEC的兼容成为可能，即使用CC语言描述TCSEC的安全功能要求并增加相应的安全保证内容，形成对应TCSEC特定级别的保护轮廓。3．2CC内容的全面性与具体性TCSEC重要缺陷是在安全保证方面的不足和可信系统自身的管理功能的缺乏。与之形

7、成鲜明对比的是，在CC中Ⅱ产品的安全保证要求被作为与安全功能同等重要的一部分加以叙述，同时在安全功能方面也特别提出了可信系统自身管理的若干功能要求。CC在安全功能方面对TCSEC进行了广度和深度的扩充。在广度方面，CC增加了通信、密码支持、安全管理等方面的内容，将现代Ⅱ产品所能涉及的所有安全功能都概括进来。在深度方面，CC在TCSEC原有的审计、访问控制、禁止客．218．体重用、可信路径、隐蔽信道分析等安全功能的基础上细化了功能要求，并给出可操作性很强的各功能组件的定义。与TCSEC不同的是，Cc在安全功能方面并未分级，因为CC的目标是判断某一IT产品能

8、否满足特定的安全目标，并不关心不同IT产品之间安全功能的强弱。CC在安全保证方面