Bezpečnostní certifikace

Ověření bezpečnosti je nezávislé hodnocení třetí stranou, které ověřuje, že produkt splňuje stanovená bezpečnostní kritéria. Poskytuje měřitelný způsob porovnání bezpečnostních tvrzení. V kontextu kryptoměn se obvykle vztahuje na hardwarová zařízení a jejich klíčové komponenty. Společná kritéria jsou nejširší mezinárodní rámec pro taková hodnocení. Definuje úrovně zajištění hodnocení od EAL1 do EAL7. Vyšší čísla EAL vyžadují přísnější důkazy a testování. EAL5 a vyšší se často používají pro ochranu vysoce citlivých dat. Čipy Secure Element patří do stejné třídy komponentů používaných v platebních kartách, digitálních identitách a mobilních SIM kartách. Tyto čipy jsou navrženy tak, aby odolávaly jak vzdáleným, tak přímým fyzickým útokům. Certifikace hodnotí více oblastí produktu. Evaluátoři kontrolují řízení dodavatelského řetězce a procesy životního cyklu. Kontrolují vývojové postupy a kvalitu dokumentace. Provádějí funkční testy, aby zajistili, že funkce se chovají dle specifikací. Také provádějí penetrační testy proti realistickým modelům útočníka. Hodnocený model hrozeb obvykle zahrnuje útočníka s vzdáleným přístupem a jednoho s nějakým fyzickým přístupem. Certifikace poskytuje veřejnou záruku, že tyto kontroly provedla nezávislá laboratoř. Snižuje potřebu důvěřovat pouze marketingu dodavatele. Kromě Společných kritérií existuje více certifikačních schémat. Národní a regionální schémata mohou přidávat různé požadavky nebo oblasti zaměření. Rozsah certifikace má velký význam. Někdy certifikace pokrývá pouze čip nebo pouze jeden software modul. Někdy pokrývá celý stack zařízení od hardwaru po aplikaci. Uživatelé by měli zkontrolovat, co přesně bylo hodnoceno. Certifikace není magická záruka neprojevy. Je to přísný snímek pořízený za definovaných podmínek. Nové softwarové chyby a nové útokové techniky mohou vzniknout po vyhodnocení. Pokračující bezpečnost znamená kombinaci certifikovaného hardwaru se zabezpečeným firmwarem, pečlivými praktiky dodavatelského řetězce, kontinuálním testováním a veřejnými programy na zveřejnění zranitelností. Mezi vyššími úrovněmi zajištění a náklady, složitostí nebo časem na uvedení na trh existují kompenzace. V mnoha praktických případech EAL5+ poskytuje silnou odolnost proti realistickým útokům, zatímco vyšší úrovně přidávají klesající návratnost pro většinu uživatelů. Pro každého, kdo si vybírá kryptohardwarové zařízení, jsou správné otázky jednoduché. Zeptejte se, co bylo certifikováno, která laboratoř to hodnotila, jaký model hrozby byl použit a zda hodnocení pokrývalo celý produkt. Spojte tyto znalosti s dobrou operační bezpečností, jako jsou zálohy, fyzické uchovávání a opatrné softwarové praktiky.