Sicherheitszertifizierung

Sicherheitszertifizierung ist eine unabhängige Bewertung durch Dritte, die überprüft, ob ein Produkt festgelegte Sicherheitskriterien erfüllt. Sie bietet eine messbare Möglichkeit, Sicherheitsansprüche zu vergleichen. Im Krypto-Kontext bezieht sie sich in der Regel auf Hardware-Geräte und deren Schlüsselkomponenten. Common Criteria ist der am weitesten verbreitete internationale Rahmen für solche Bewertungen. Es definiert Evaluierungsversicherungsstufen von EAL1 bis EAL7. Höhere EAL-Zahlen erfordern rigorosere Nachweise und Tests. EAL5 und höher werden häufig zum Schutz hochsensibler Daten verwendet. Secure Element-Chips gehören zur gleichen Komponentenkategorie wie Bezahlskarten, digitale IDs und mobile SIMs. Diese Chips sind so konzipiert, dass sie sowohl gegen Fernangriffe als auch gegen direkte physische Angriffe resistent sind. Die Zertifizierung bewertet mehrere Bereiche eines Produkts. Gutachter überprüfen die Kontrollen der Lieferkette und Lebenszyklusprozesse. Sie inspizieren die Entwicklungsverfahren und die Qualität der Dokumentation. Sie führen Funktionstests durch, um sicherzustellen, dass die Funktionen wie vorgesehen funktionieren. Sie führen auch Penetrationstests gegen realistische Angreifermodelle durch. Das bewertete Bedrohungsmodell umfasst typischerweise einen Angreifer mit Fernzugriff und einen mit physischem Zugang. Die Zertifizierung bietet öffentliche Gewissheit, dass diese Überprüfungen von einem unabhängigen Labor durchgeführt wurden. Sie verringert die Notwendigkeit, sich allein auf das Marketing des Anbieters zu verlassen. Es gibt neben Common Criteria mehrere Zertifizierungsschemata. Nationale und regionale Schemata können unterschiedliche Anforderungen oder Schwerpunkte hinzufügen. Der Zertifizierungsumfang ist sehr wichtig. Manchmal umfasst eine Zertifizierung nur einen Chip oder nur ein einzelnes Softwaremodul. Manchmal umfasst sie den gesamten Geräte-Stack von Hardware bis Anwendung. Benutzer sollten überprüfen, was genau evaluiert wurde. Die Zertifizierung ist keine magische Garantie für Unverwundbarkeit. Sie ist ein rigoroser Momentaufnahme, die unter definierten Bedingungen aufgenommen wurde. Neue Softwarefehler und neue Angriffstechniken können nach der Bewertung auftauchen. Fortlaufende Sicherheit bedeutet, zertifizierte Hardware mit sicherer Firmware, sorgfältigen Praktiken in der Lieferkette, kontinuierlichem Testen und öffentlich zugänglichen Schwachstellendokumentationsprogrammen zu kombinieren. Es bestehen Kompromisse zwischen höheren Sicherheitsniveaus und Kosten, Komplexität oder Markteinführungszeit. In vielen praktischen Fällen bietet EAL5+ einen starken Widerstand gegen realistische Angriffe, während höhere Stufen abnehmende Renditen für die meisten Benutzer bieten. Für jeden, der ein Krypto-Hardware-Gerät auswählt, sind die richtigen Fragen einfach. Fragen Sie, was zertifiziert wurde, welches Labor es bewertet hat, welches Bedrohungsmodell verwendet wurde und ob die Bewertung das gesamte Produkt abgedeckt hat. Kombinieren Sie dieses Wissen mit guter operativer Sicherheit wie Backups, physischer Aufbewahrung und vorsichtigen Softwarepraktiken.