Wyniki wyszukiwania - BazTech

1

Development of a Biometric System with Claimed Assurance

Białas A.

Przegląd Teleinformatyczny

|

2013

|

T. 1, Nr 3 (36)

3-18

EN

The article concerns the process of developing biometric devices which are to be submitted for certification in compliance with ISO/IEC 15408 Common Criteria. The author pointed at the assurance paradigm which shows that the source of assurance is a rigorous process of the product development, accompanied by methodical and independent evaluation in an accredited laboratory. The state of the art of certified biometric devices was discussed. The issue of insufficient support that the developers get in this respect was mentioned. Basic processes related to the Common Criteria methodology were described (IT security development, IT product development, IT product evaluation). These processes were illustrated by the elements of security specifications of certified biometric devices. The author proposed to use elaborated patterns to prepare evidence material, and to use specialized software supporting development processes to deal with basic difficulties encountered by the developers of biometric devices.

PL

Artykuł przedstawia proces konstruowania urządzeń biometrycznych z myślą o ich planowanej ocenie i certyfikacji prowadzonej na zgodność z wymaganiami standardu ISO/IEC 15408 Common Criteria. Autor zwraca uwagę na paradygmat uzasadnionego zaufania, który wskazuje, że źródłem uzasadnionego zaufania jest rygorystyczny proces konstruowania produktu informatycznego (IT), jak również metodyczna i niezależna jego ocena prowadzona w akredytowanym laboratorium. Przedstawiono krótki opis aktualnego stanu prac nad certyfikacją biometrycznych produktów IT. Zwrócono uwagę na duże trudności oraz niedostateczne wsparcie oferowane konstruktorom w tym względzie. Przedstawiono trzy podstawowe procesy metodyki Common Criteria: proces konstruowania zabezpieczeń, proces konstruowania produktu IT oraz proces oceny zabezpieczeń produktu. Zostały one zilustrowane elementami specyfikacji projektowych urządzeń biometrycznych. Dwa pierwsze procesy dotyczą wypracowania materiału dowodowego, ocenianego w ramach trzeciego z wymienionych procesów. Autor zaproponował zbiór wzorców materiału dowodowego, jak również oprogramowanie wspomagające tworzenie i zarządzanie tym materiałem. Ma to ułatwić pracę konstruktorów produktów informatycznych, w tym urządzeń biometrycznych.

2

Konstruowanie zabezpieczeń produktów i systemów informatycznych posiadających mierzalny poziom uzasadnionego zaufania

Białas A.

Mechanizacja i Automatyzacja Górnictwa

|

2009

|

R. 47, nr 1

45-54

PL

Artykuł, w świetle standardu ISO/IEC 15408 Common Criteria, przedstawia przegląd zagadnień związanych z konstruowaniem i oceną zabezpieczeń wbudowywanych w dowolne produkty lub systemy informatyczne. Ocena ta dotyczy uzasadnionego zaufania do zabezpieczeń, utożsamianego potocznie z ich wiarygodnością. Po krótkim wprowadzeniu w tematykę związaną ze standardem, skrótowo opisano kilkuetapowy i dość sformalizowany proces konstruowania zabezpieczeń. W jego wyniku powstaje dokument zwany zadaniem zabezpieczeń, który specyfikuje zbiór funkcji zabezpieczających wbudowywanych w produkt lub system informatyczny. Ponadto precyzowany jest poziom uzasadnionego zaufania, utożsamiany z rygoryzmem, z jakim implementowane są te funkcje. Ciężar opracowania materiału dowodowego potwierdzającego zadeklarowany poziom uzasadnionego zaufania spoczywa głównie na konstruktorach i osobach odpowiedzialnych za procesy wytwarzania i utrzymania. Materiał wraz z produktem lub systemem informatycznym poddawany jest niezależnej ocenie według metodyki związanej ze standardem. Pozytywny i dodatkowo zweryfikowany wynik tej oceny pozwala na uzyskanie certyfikatu na spełnienie wymagań deklarowanego poziomu uzasadnionego zaufania. Produkty certyfikowane, dzięki tej niezależnej i wnikliwej ocenie, są uznawane za bardziej wiarygodne, więc mogą być używane do odpowiedzialnych zastosowań.

EN

The paper presents a review of the issues relating to design engineering and assessment of the protections to be built into any products or informatics systems, regarding the standard: ISO/IEC 15408 Common Criteria. The assessment has been applied to the reasonable confidence in the protections, which is usually identified with the reliability of the protections. After a short introduction has been made to the subject matter related to the standard, there has been described in brief a few-stage and quite formalized process of design of the protections resulted in a document called a task of protections, which specifies a set of protective functions to be built into a product or an informatics system. Furthermore there has become specified a level of a reasonable confidence, which has been identified with a rigorism with which the functions have been implemented. The elaboration of an evidentiary material to confirm the declared level of the reasonable confidence is to be made exclusively by designers and the persons responsible for manufacturing and maintenance processes. That material including a product or an informatics system is to be evaluated by the methodology process related to the standard. The positive and additionally verified result of that evaluation allows a certificate of meeting the requirements of the declared level of the reasonable confidence to be issued. Thanks that independent and penetrating evaluation, the certified products are recognized as more reliable and may be used for responsible applications.

3

Informatyczne produkty sprzętowe, oprogramowanie oraz systemy o zadanym poziomie uzasadnionego zaufania

Białas A.

Mechanizacja i Automatyzacja Górnictwa

|

2009

|

R. 47, nr 12

31-44

PL

Artykuł dotyczy zagadnień związanych z konstruowaniem i oceną zabezpieczeń wbudowywanych w dowolne produkty lub systemy informatyczne. Zabezpieczenia te dotyczą funkcji użytkowych i powinny się cechować tak zwanym uzasadnionym zaufaniem, utożsamianym potocznie z wiarygodnością. Przedstawiona w artykule metodyka Common Criteria, opisana w standardzie ISO/IEC 15408, jest podstawową metodyką kreowania uzasadnionego zaufania dla zabezpieczeń informatycznych. Metodyka obejmuje trzy główne procesy. W procesie konstruowania zabezpieczeń, na podstawie różnego typu analiz bezpieczeństwa, wypracowywany jest specjalny dokument zwany zadaniem zabezpieczeń, który stanowi zbiór wymagań bezpieczeństwa - funkcjonalnych (jak zabezpieczenia mają działać) i uzasadniających zaufanie (jaką wiarygodnością mają być one obdarzane). Drugi proces dotyczy konstruowania produktu lub systemu informatycznego oraz opracowania jego dokumentacji, która stanowi rozwinięcie wspomnianego zadania zabezpieczeń. Dokumentacja ta pełni rolę materiału dowodowego w trzecim procesie - w procesie niezależnej oceny zabezpieczeń, który powinien doprowadzić do uzyskania certyfikatu. Dzięki zastosowanemu rygorowi konstruowania oraz niezależnej i wnikliwej ocenie, produkty certyfikowane są uznawane za bardziej wiarygodne, a przez to szczególnie predysponowane do zastosowań obarczonych podwyższonym poziomem ryzyka.

EN

The paper deals with the issues related to the development and evaluation of security functions embedded into IT products and systems. These functions relate to utility functions of the products or systems and should have the so called assurance, commonly understood as reliability. The Common Criteria methodology presented in this paper, described in the ISO/IEC 15408 standard, is the basic methodology to create assurance for IT security. The methodology comprises three major processes. During the security development process, based on different types of security analyses, a document called Security Target is developed. This document is a set of security requirements - functional requirements (how the security functions should work) and assurance requirements (what their reliability should be like). The second process is related to the development of an IT product or system, along with documentation which is a supplement to the above mentioned Security Target. The documentation serves as evidence material in the third process - the process of independent security evaluation which should lead to obtaining a certificate. Thanks to the applied development rigour, as well as independent and thorough evaluation, certified products are recognized as more reliable, thus especially predisposed for high-risk applications.