BSI veröffentlicht Zertifizierung für SuSE-Linux mit IBM-Server
Das BSI hat die offiziellen Dokumente für das Common-Criteria Sicherheits-Zertifikat für den SuSE Linux Enterprise Server 8 auf IBM-Servern veröffentlicht.
Nach der Ankündigung liegen nun die offiziellen Dokumente für die Zertifizierung von SuSE-Linux auf IBM-Servern nach den Common Criteria vor: In einer Zusammenarbeit zwischen der IBM Corporation, atsec Information Security GmbH und der SuSE Linux AG wurde der Linux Enterprise Server 8, eingesetzt auf xSeries-Servern von IBM, nach den international anerkannten Common Criteria (CC) evaluiert. Die Evaluierung wurde von atsec Information Security GmbH, München, durchgeführt, einem beim Bundesamt fuer Sicherheit in der Informationstechnik (BSI) akkreditiertem Prüflabor.
Zur Erhöhung der IT-Sicherheit bietet das BSI die Dienstleistung der Zertifizierung von IT-Produkten und IT-Systemen im Hinblick auf deren Sicherheitseigenschaften an. Durch Evaluierungen soll bestätigt werden, dass das geprüfte Produkt oder System die vom Hersteller vorgegebenen Sicherheitseigenschaften wirklich besitzt. Das BSI ist eine von sechs international anerkannten Zertifizierungsstellen, die unter dem Dach des Common Criteria Arrangements zusammenarbeiten.
Das Ergebnis der Überprüfung des SuSE-IBM-Systems ist die Einstufung in EAL2 (Evaluation Assurance Level). Damit genügt es den Anforderungen eines Einsatzes in Produktionsumgebungen mit niedrigem bis mittlerem Risiko. Bei einer EAL-Einstufung ist die Software mit einer Hardware-Plattform untrennbar verknüpft. Im Vergleich besitzen IBMs AIX 5.2 und Windows-2000-Systeme die Evaluierungsstufe 4, diese soll für das SuSE-IBM-Tandem später folgen.
Der Zertifizierungsbericht kann unter http://www.bsi.bund.de/zertifiz/zert/reporte/0216a.pdf eingesehen werden. Eine Beschreibung der Sicherheitsvorgaben von SuSE und IBM ist hier zu finden: http://www.bsi.bund.de/zertifiz/zert/reporte/0216b.pdf
Um ein Zertifikat zu erhalten, wird das so genannte Target of Evaluation (TOE) mehreren Überprüfungen unterzogen, die in den CCs für jede Stufe beschrieben sind. Erforderlich ist die Vorlage einer kompletten Dokumentation des Produkts, inklusive der Entwicklungsunterlagen und einer Beschreibung der Sicherheitsfunktionen. Zusätzlich sollen Tests durchgeführt werden, um eventuelle Schwachstellen zu entdecken. Allerdings beschränken sich die meisten Überprüfungen auf das Studium der Dokumentation. Darüber hinaus liegt es im Ermessen des Prüfers, was getestet wird. EAL2 spezifiziert zwar, was alles untersucht werden kann, jedoch sind nicht wenige Punkte optional. Die Angabe "the evaluator should .." ist an vielen Stellen des EAL2-Evaluierungsleitfadens zu finden. Somit ist ein Vergleich EAL2-zertifizierter Produkte untereinander erst nach genauem Studium der Berichte möglich, um herauszufinden, was genau geprüft wurde.
Wichtig ist das Studium des Berichtes schon deshalb, um zu erfahren, in welchem Kontext geprüft wurde. Bei einer Evaluierung wird in Bezug auf eine bestimmte Umgebung oder einen bestimmten Einsatz getestet. Ein Hersteller kann seine Server-Systeme für ein Szenario, so genannte Protection Profiles, testen lassen, das wenig Bedrohungspotenzial für das System enthält. Ein System kann auf diese Weise eine EAL4-Stufe erreichen, da es allen Anforderung an die Umgebung genügt, ohne jedoch ausreichend gegen Angriffe von außen geschützt zu sein. Kritiker werfen zum Beispiel Microsoft vor, auf diese Art und Weise das EAL4-Zertifikat für Windows 2000 erhalten zu haben. (dab)
