Re: certificazioni di sicurezza sistemi operativi

On Oct 29, blitzkrieg <nyse@inwind.it> wrote:

[disclaimer: non sono un esperto :-)]

> In linea di massima una classifica inaffidabile e incompleta e' questa:

Se i miei dati [1] sono corretti, l'Orange Book (figlio di mamma NSA)
cessera` di essere valido alla fine del 2001, per vernir sostituito
dai "Common Criteria" (derivato da specifiche europee).

> A1 nessuno

Perche` definirlo, allora? :-)
Suppongo che specifici sistemi l'ottengano, visto anche che e`
una B3 con una piu` approfondita verifica del design di sicurezza.

> B1 alcuni trusted
> B2 *BSD
> B3 HP-UX 
> 	le distr di linux sono tra B3 e C1

Ne dubito (a parte il C1, che equivale a "sicurezza zero").
Il fatto e` che non si puo` certificare un sistema operativo, ma
un insieme di policy di sicurezza applicate ad un sistema ben
definito (il che significa che prendere un pezzo di questo sistema
e portarselo a casa, non vuol dire avere un oggetto "sicuro" [2]).

+++
[1] tratti da "Security Engineering" di Ross Anderson.
[2] qualsiasi cosa "sicuro" significhi. :-)
-- 
(=---= alberanid@mail.com =-------------= PGP KeyID: 0x465BFD47 =--=)
 )                        Davide Alberani                          (
(=--= http://digilander.iol.it/alberanid/ =-= ICQ UIN: 83641305 =--=)

________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List