Critères communs

Un article de Wikipédia, l'encyclopédie libre.

Common Criteria (CC) est un standard international (ISO/CEI 15408) pour la sécurité des systèmes d'information. Le nom complet du standard est Common Criteria for Information Technology Security Evaluation. En français, on emploie souvent l'expression Critères communs.

[modifier] Description

Les critères communs sont disponibles :

en anglais : en version 3.1 de septembre 2006 (ainsi qu'en versions 2.1, 2.2, et 2.3)
en français : en version 2.1 d'août 1999

Accès à la documentation sur le site de la DCSSI : Critères et méthologie d'évaluation

Voir résumé sur le site de la DCSSI : Références SSI

[modifier] Partie 1 : introduction et modèle général

Voir détails sur le site de la DCSSI : Introduction et modèle général (version 2.1 en français, 76 pages)

[modifier] Partie 2 : exigences fonctionnelles de sécurité

Voir détails sur le site de la DCSSI : Exigences fonctionnelles de sécurité (vesion 2.1 en français, 394 pages)

Il existe 11 rubriques :

Audit de sécurité (FAU)
Communication (FCO)
Support cryptographique (FCS)
Protection des données de l'utilisateur (FDP)
Identification et authentification (FIA)
Gestion de la sécurité (FMT)
Protection de la vie privée (FPR)
Protection des fonctions de sécurité de la cible d'évaluation (FPT)
Utilisation des ressources (FRU)
Accès à la cible d'évaluation (FTA)
Chemins et canaux de confiance (FTP)

[modifier] Partie 3 : exigences d'assurance de sécurité

Voir détails sur le site de la DCSSI : Exigences d'assurance de sécurité (version 2.1 en français, 236 pages)

Il existe 10 classes :

Évaluation d'un profil de protection (classe APE)
Évaluation d'une cible de sécurité (classe ASE)
Gestion de configuration (classe ACM)
Livraison et exploitation (classe ADO)
Développement (classe ADV)
Guides (classe AGD)
Support au cycle de vie (classe ALC)
Tests (classe ATE)
Estimation des vulnérabilités (classe AVA)
Maintenance de l'assurance (classe AMA)

[modifier] Méthodologie d'évaluation

Voir détails sur le site de la DCSSI : Evaluation methodology (version 3.1 en anglais)

[modifier] Concepts clés

TOE : objet à certifier

(TOE = Target of Evaluation)

SFR : spécifications fonctionnelles de sécurité

(Security functional requirements)

PP : Profil de Protection

(PP = Protection profile)

ST : cible de sécurité

(ST = Security Target)

[modifier] Systèmes concernés

Les systèmes d'exploitation ("Operating Systems")

Les dispositifs dédiés aux communications :

Gestionnaires de réseaux,
Routeurs, commutateurs réseau ("switchs"), hubs,
Les réseaux privés virtuels (VPN).

Les systèmes consacrés à la sécurité informatique

Les systèmes d'accès (accès internet,...)
Les systèmes d'authentification, infrastructure à clés publiques (PKI)/KMI
Les pare-feux (firewalls)
Les systèmes de détection d'intrusion (IDS)
Les logiciels anti-virus
Les contrôles biométriques.

[modifier] Niveaux de l'évaluation

Article détaillé : Evaluation Assurance Level.

La certification propose 7 niveaux d'assurance de l'évaluation.

EAL1 : testé fonctionnellement
EAL2 : testé structurellement
EAL3 : testé et vérifié méthodiquement
EAL4 : conçu, testé et vérifié méthodiquement,
EAL5 : conçu de façon semi-formelle et testé
EAL6 : conception vérifiée de façon semi-formelle et testé
EAL7 : conception vérifiée de façon formelle et testée.

[modifier] Mise en œuvre

[modifier] En France

C'est la DCSSI qui met en œuvre le schéma de certification français. Cet organisme, rattaché au Premier ministre, est en charge de la certification de la sécurité des produits évalués par les CESTI.

[modifier] En Europe

En Europe, l'Information Technology Security Evaluation Criteria (ITSEC) est un standard pour la sécurité des systèmes d'information, qui s'intéresse plus particulièrement à la politique de sécurité des systèmes d'information.

L'ITSEC est le produit du travail commun de plusieurs pays de l'Union européenne, en 1991.

Voir : Information Technology Security Evaluation Criteria (ITSEC)

[modifier] Aux États-Unis

Aux États-Unis, les critères d'évaluation sont définis par la National Security Agency (NSA), agence du département de la défense, au niveau des matériels informatiques et des logiciels.