R: certificazioni di sicurezza sistemi operativi

Mi scuso in anticipo per eventuali castronate...

> > In linea di massima una classifica inaffidabile e incompleta e' questa:
>
> Se i miei dati [1] sono corretti, l'Orange Book (figlio di mamma NSA)
> cessera` di essere valido alla fine del 2001, per vernir sostituito
> dai "Common Criteria" (derivato da specifiche europee).

Anche se si tratta di uno standard militare, nato per essere utilizzato in
questo
ambiente, si puo adattare anche per l'ambito commerciale. Infatti i sistemi
commerciali necessitano di alcune misure di sicurezza tipiche dei sistemi
militari:
identificazione ed autenticazione degli utenti, audit e controllo degli
accessi alle
informazioni. Comunque TCSEC fonda i suoi requisiti in base alle
classificazioni
dettate dal DoD (Department of Defense), requisiti spesso non giudicati
adatti a sistemi
di produzione, marketing e decisionali.
Lo standard CC (Common Criteria) e' nato per unificare i standard CTCPEC
(Criteri
Canadesi), FC (Federal Criteria), TCSEC e ITSEC.

> > A1 nessuno
>
> Perche` definirlo, allora? :-)
> Suppongo che specifici sistemi l'ottengano, visto anche che e`
> una B3 con una piu` approfondita verifica del design di sicurezza.

Tempo fa avevo letto un libro su TCSEC, e c'era una lista di sistemi che
erano stati
sottoposti a valutazione secondo questo standard. Peccato che non c'ho piu'
il libro...
Cmq mi sembra che c'era almeno un sistema classificato A1, e c'entrava
qualcosa con la
Boeing - prendete quest'informazione con le pinze!

<CITE>
I sistema classificati di classe A1 sono accompagnati da una gran mole di
documentazione
che descrive formalmente ogni aspetto delle funzioni del sistema, ed
assicuri che il
sistema protegga adeguatamente le informazioni che andra a elaborare. I
requisiti sono:
 - Il responsabile della sicurezza deve ricevere dallo sviluppatore un
modello formale
delle politiche di sicurezza.
 - Un'installazione di classe A1 richiede la presenza di un responsabile
della sicurezza.
 - I supporti di memorizzazione devono provenire da fonti fidate, tramite
trasporto sicuro
a prova di manomissione. L'installazione deve essere eseguita dal
responsabile della
sicurezza e documentata formalmente passo per passo.
</CITE>
Insomma ti devono portare il sistema a casa con l'elicottero?

> > B1 alcuni trusted
> > B2 *BSD
> > B3 HP-UX
> > 	le distr di linux sono tra B3 e C1
>
> Ne dubito (a parte il C1, che equivale a "sicurezza zero").

Che qualche distro arrivi ai requisiti della classe B3 e' molto dura, gia'
per arrivara alla
B1 ce ne vuole (es. mandatory access...)
WinNT ha ricevuto la classificazione C2, ma pero' con "alcuni" accorgimenti
(sicuramente
l'installazione standard non e' di livello C2). Su Hacker Proof (prima
edizione) c'e' riportato:
<CITE>
"anche se il server Windows NT ha ottenuto la certificazione C2 vale solo
per macchine
indipendenti senza unita' floppy e senza collegamento di rete" spero si
possa utilizzare
 la tastiera a questo punto!
</CITE>

Siccome sto facendo un lavoro di tesi su questi argomenti, se qualcuno vuole
un po' di link di
approfondimento (o fare da cavia per i miei scritti) mi contatti pure in
privato.

Paolo Pancheri


________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List