智能卡安全性評(píng)估保護(hù)輪廓PP的研究
加入技術(shù)交流群
智能卡安全要求是指針對(duì)安全環(huán)境而提出的要求。智能卡PP中安全要求組件也分為安全功能要求組件和安全保證要求組件。
3.3.1 安全功能要求組件
安全告警：當(dāng)檢測(cè)到潛在的安全侵害時(shí)，智能卡應(yīng)能采取相應(yīng)措施將危害降到最低。
審計(jì)并分析潛在侵害：智能卡應(yīng)能用一定的規(guī)則去監(jiān)控審計(jì)事件，并根據(jù)這些規(guī)則指示出對(duì)智能卡的潛在侵害，如用戶進(jìn)入系統(tǒng)時(shí)需要身份認(rèn)證或用戶簽名等，都是為了實(shí)現(xiàn)事后追查和安全審計(jì)。
密鑰的生成、訪問和運(yùn)算：智能卡密鑰生成所用的算法必須與國(guó)家法規(guī)和行業(yè)標(biāo)準(zhǔn)相一致，密鑰訪問必須有嚴(yán)格的方法。
無(wú)過度損失的自動(dòng)恢復(fù)：當(dāng)不能從失敗或服務(wù)中斷自動(dòng)恢復(fù)時(shí)，智能卡安全功能應(yīng)進(jìn)入一個(gè)安全狀態(tài)，并確保數(shù)據(jù)或客體在無(wú)過度損失的情況下恢復(fù)到初始狀態(tài)。如當(dāng)用戶在向智能卡內(nèi)寫數(shù)據(jù)時(shí)突然斷電，則智能卡應(yīng)能確?？▋?nèi)數(shù)據(jù)的安全，并在下次使用時(shí)功能正常。
3.3.2 安全保證要求組件
智能卡安全保證要求組件包括：部分配置管理自動(dòng)化組件、產(chǎn)生支持和接收程序組件、安全加強(qiáng)的高層設(shè)計(jì)組件、模塊化組件和描述性低層設(shè)計(jì)組件等。本文引用地址：http://www.butianyuan.cn/article/187928.htm
3.4 智能卡安全原理
智能卡中的安全環(huán)境、安全目的和安全要求是相互關(guān)聯(lián)的[5]。表4給出一部分安全要求與安全目的、安全環(huán)境的對(duì)應(yīng)關(guān)系。
4 智能卡PP發(fā)展趨勢(shì)
(1)智能卡PP開發(fā)流程化。PP的開發(fā)涉及多方面內(nèi)容，工作量極大。如果能夠通過有效方法使開發(fā)過程趨于流程化，則不僅會(huì)使開發(fā)時(shí)間大大縮短，而且開發(fā)產(chǎn)品PP將更令人滿足。
(2)智能卡安全環(huán)境規(guī)范化。從之前的描述中可知，智能卡的安全環(huán)境是PP開發(fā)及評(píng)估的基礎(chǔ)和前提，并且智能卡的安全環(huán)境具有相似性。因此，安全環(huán)境的規(guī)范化將會(huì)使智能卡PP的開發(fā)更標(biāo)準(zhǔn)、高效。
(3)HRE PP的研究開發(fā)。目前國(guó)內(nèi)對(duì)智能卡開展的安全性評(píng)估大多是在EAL4+，屬于中風(fēng)險(xiǎn)PP。隨著智能卡的普及，人們對(duì)智能卡的安全期望值會(huì)更高，屆時(shí)，必將需要更高風(fēng)險(xiǎn)的PP以適應(yīng)技術(shù)發(fā)展的需要。
優(yōu)質(zhì)的智能卡PP對(duì)安全性評(píng)估有著重要的意義和作用，本文通過對(duì)智能卡安全性評(píng)估保護(hù)輪廓PP的研究及PP的發(fā)展展望，希望對(duì)下一步智能卡PP的開發(fā)有所幫助。同時(shí)也希望有助于其他的信息安全產(chǎn)品或技術(shù)PP的開發(fā)。
參考文獻(xiàn)
[1] 國(guó)家技術(shù)監(jiān)督局.GB/T 18336-2001.信息技術(shù)安全技術(shù)信息技術(shù)安全性評(píng)估準(zhǔn)則[S].北京:中國(guó)標(biāo)準(zhǔn)出版社，2001.
[2] Common Criteria for Information Technology Security Evaluation. Version 2.1.ISO/IEC 1548， CCIB-99-031，1999.
[3] 穆肇驪，賴華添，耿靜.信息安全技術(shù)電信智能卡安全技術(shù)要求.中國(guó)信息安全產(chǎn)品測(cè)評(píng)認(rèn)證中心，1999.
[4] 李守鵬，徐長(zhǎng)醒，付敏，等.信息安全技術(shù)智能卡嵌入式軟件安全技術(shù)要求(EAL4增強(qiáng)級(jí)).GB/T 20276-2006，2006.
[5] 中國(guó)信息安全測(cè)評(píng)中心分級(jí)文檔編寫指南EAL4.V2.0.EAL4+認(rèn)證編寫指南[S].北京:中國(guó)信息安全測(cè)評(píng)中心，2008.
評(píng)論