EAL4 vagy jobb biztonsági minősítés elérése Debian alatt

Debian GNU/Linux

Sziasztok.

Tudom-tudom a biztonsági részlegre kellene írnom, de ott nincs nagy mozgás.

Lenne egy gondom:
A cégem szeretné, hogy az EAL4 minősítésre lőjem be az oprendszert.
Eddig Suse Enterprise Server 9 volt a gépeken, de a fenti minősítés megszerzése az összes szerverünkre kb. 7-8 millió Ft-ba kerülne. Ennyi pénzünk nincs.

Debianra gondoltam, mivel ez teljesen szabad.

Ti hogyan kezdenétek neki? Van valakinek ötlete, vagy tapasztalata? :-)

  • 1549 megtekintés

( zeller | 2008. 03. 21., p – 12:15 )

A nulláról. Nem a telepítésnek, a tervezésnek, fejlesztésnek, dokumentálásnak. Komolyan. Érdemes átolvasni Bálint Sándor: A Common Criteria című cikkét az V. GNU/Linux szakmai konferencia kiadványában.

Esetleg itt.

( szorpi | 2008. 03. 21., p – 12:03 )

Érzésem szerint itt valami alapvető félreértés van, hacsak a cégednek nincs eszméletlen sok ideje és pénze (sokkal több, mint 7-8M)!

Pontosan ez lett tesztelve (Security target), azaz ez a telepítés (csomagverziók, hardver- és szoftverbeállítások) felel meg, például egy frissítéssel már nem.

Szerkesztve: A TOE itt már a hardvert is lefedi, ez az egyik, amivell bővült a SLES9-es minősítési cél óta, úgyhogy hajrá...

Akkor ezek szerint, ha nekünk más hardverünk van, akkor arra át kell gyúrni az anyagot. :-)

Viszont, ha már egy frissítést kell telepíteni, akkor megint át kell gyúrni az anyagot, vagy az is reménytelen (valószínűleg, ha jól olvastam, akkor minden forráskódot át kellene nézni, tesztelni stb. ami módosult)?

Nem kell venni semmit, és szerintem a Ti cégetek valszeg az életbe nem fog EAL4 szinten minősíttetni semmit, nemhogy a debiant ( több mint két év és 1-200 M dollár).

Mindenképpen olvass utána a CC-nek, ebből sok minden kiderül számodra majd.
Jelenleg szinte értelmezhetetlen dolgokat kérdezel.

( NagyZ v | 2008. 03. 21., p – 18:02 )

OMGWTF

ezt igy hogy sikerult elerni? (komolyan kerdem)

debian? eal4? ez a ket szo idegen egymastol. tessek valami enterspajz rendszert nezni (rhel, sles)

Fogalmazzunk úgy, hogy senki sem olyan elmebeteg, hogy megpróbálja... A SLES, ill. RHEL adott verzióinak a minősítése is egy rakat pénzbe került, és csak az adott verzióra érvényes a minősítés, aminek az időigénye (TOE meghatározásától a minősítés kiadásáig) is igen jelentős, azaz mire minősítik, már jórészt elavul.

Ok, összehívok egy egyeztetést a biztonsági szakemberünkkel.
Meg nem nevezem, híres szakember. Ő azt állította, hogy Debian-ra is meg lehet csinálni, és nem olyan bonyolult.
Lehet, hogy voltak félreértéseink, mivel csak telefonon beszéltünk, és lehet, más igényszintre gondolt.

Az mindenesetre elég gáz, hogy biztonságosnak neveznek egy rendszert papíron, amikor nincs rajta egy frissítés, ami miatt akár könnyen törhető. :-(

Mindenkinek köszönöm a segítségét! :-)

Csak hogy tisztázzuk: nem biztonságról beszélünk, még papíron sem!
A CC minősítés arról szól, hogy adott dolog, adott körülmények közt megfelel egy bizonyos minőségi követelménynek (no - pár száz oldal összefoglalása egy sorban :-) ), így remélhetően a termék jobb, mintha nem felelne meg.
Tényleg olvass utána!
Kétség kívül nagy probléma (és minél magasabb a szint, annál nagyobb), hogy milyen változtatások esetén él tovább a minősítés.
Gondolj bele, hogy ha mondjuk egy eal7 lenne (matematikailag bizonyítani a program helyességét), akkor egyetlen bit változtatása után lehet újrakezdeni az egészet.

Itt alapvető félreértés, hogy Te összeraksz valami cuccot, és azt meg itt valaki pikk-pakk hirtelen minősíti. Ez ennél kicsit (sokkal) bonyolultabb, mivel a CC már a tervezés, fejlesztés időszakára is kér feltételeket, ami a Debian esetében tudtommal nincs meg (pótlása kicsit költséges lenne). De ha Te pótolod, akkor még sok mást is elő kell mégállítanod, és keresned kell egy megfelelő céget, aki tanusíthatja (és siker esetén) tanúsítja, hogy az adott cucc, az adott környezetben, valaminek megfelel, ami akár az EAL4 szintű is lehet. Nem lesz se gyors, se olcsó az eljárás :)

Így van, azonban kereskedelmi terjesztéseknél vannak bizonyos tervezési- kódbefogadási, tesztelési, illetve kibocsátási követelmények, amiket be is tartanak, illetve van pénz arra, hogy sok-sok munkát és időt ráfordítsanak. A Debilke, de más nem kereskedelmi disztró esetén nincs meg az az anyagi háttér, amivel bele lehetne vágni. És ha pénz, mint befektetés lenne is rá, annak hasznot kéne hoznia, márpedig a nem kereskedelmi disztrók esetén nincs sok esély arra, hogy bevételt termeljenek.

A cégek pedig való igaz, piaci előny kovácsolása érdekében minősíttetik termékeiket -- vannak olyan tenderek, ahol csak adott minősítéssel bíró termék, illetve pályázó indulhat.