Sicherheits-Evaluierung nach Common Criteria EAL 4+ für Windows-Versionen
Neben Windows XP Professional SP2 und XP Embedded SP2 erhielten auch Standard-, Enterprise- und Datacenter-Versionen des Windows Server 2003 die Sicherheits-Zertifizierung.
Während seines "Security Summit East" gab der Softwarekonzern Microsoft bekannt, man habe die Sicherheits-Evaluierung nach dem Standard Common Criteria Assurance Level 4+ (CC EAL4+) erhalten, erweitert um ALC_FLR.3 (Flaw Remediation). Die von der National Information Assurance Partnership (NIAP) nach den Common Criteria Evaluation and Validation Scheme (CCEVS) zugewiesenen Zertifizierungen, für die das CC-Testlabor von SAIC die Prüfungen durchführte, gelten für folgende Windows-Versionen:
- Microsoft Windows Server 2003, Standard Edition (32 Bit) mit Service Pack 1
- Microsoft Windows Server 2003, Enterprise Edition (32 Bit und 64 Bit) mit Service Pack 1
- Microsoft Windows Server 2003, Datacenter Edition (32 Bit und 64 Bit) mit Service Pack 1
- Microsoft Windows Server 2003 Certificate Server, Certificate Issuing and Management Components (CIMC) (Security Level 3 Protection Profile, Version 1.0)
- Microsoft Windows XP Professional mit Service Pack 2
- Microsoft Windows XP Embedded mit Service Pack 2
In einem White Paper beschreibt Microsoft Details zu den Produkten und Umgebungsbedingungen für die CC-Zertifizierungen.
Die Zertifizierung nach den Common Criteria soll sicherstellen, dass das Produkt verschiedene Sicherheitsanforderungen erfüllt. Darüber hinaus haben die Hersteller des Produkts diverse Auflagen zu erfüllen, etwa hinsichtlich des Supports, der Dokumentation der Sicherheits-Features, der Behandlung von sicherheitsrelevanten Zwischenfällen und der Testprozeduren. Die Zertifizierung wird zudem nach einem Abkommen, das Ende 1998 zuerst von den USA, Kanada, Frankreich, Deutschland und Großbritannien geschlossen wurde, in den Unterzeichnerstaaten des Vertrags wechselseitig anerkannt. Die Common Criteria wurden unter anderem aus europäischen ITSEC- und US-TCSEC-Standards entwickelt und sind die Basis für die Beschreibung von IT-Sicherheit nach ISO-IEC 15408.
Die Zertifizierung nach CC EAL4+ erhielten bislang beispielsweise Suse Linux Enterprise Server 9, Red Hat Enterprise Linux 3 erhielt die Zertifizierung nach EAL3+. Windows 2000 hatte eine Zertifizierung nach EAL4 geschafft.
Unumstritten sind die CC-Zertifizierungen nicht, auch wenn sie vor allem bei Regierungsbehörden oft Voraussetzung für den Einsatz in sicherheitskritischen Bereichen sind. Um ein Zertifikat zu erhalten, wird das so genannte Target of Evaluation (TOE) mehreren Überprüfungen unterzogen, die in den CCs für jede Stufe beschrieben sind. Erforderlich ist die Vorlage einer kompletten Dokumentation des Produkts, inklusive der Entwicklungsunterlagen und einer Beschreibung der Sicherheitsfunktionen. Zusätzlich sollen Tests durchgeführt werden, um eventuelle Schwachstellen zu entdecken. Allerdings beschränken sich viele Überprüfungen teilweise auf das Studium der Dokumentation. Darüber hinaus liegt es auch laut den CC-Unterlagen in vielen Bereichen im Ermessen des Prüfers, was getestet wird. (jk)
