Πιστοποίηση ασφαλείας

Η πιστοποίηση ασφαλείας είναι μια ανεξάρτητη εκτίμηση τρίτου μέρους που επαληθεύει ότι ένα προϊόν πληροί καθορισμένα κριτήρια ασφάλειας. Παρέχει έναν μετρήσιμο τρόπο για τη σύγκριση αξιώσεων ασφαλείας. Στο πλαίσιο των κρυπτονομισμάτων, συνήθως αφορά συσκευές υλικού και τα βασικά τους στοιχεία. Τα Κοινά Κριτήρια είναι το πιο ευρέως χρησιμοποιούμενο διεθνές πλαίσιο για τέτοιες αξιολογήσεις. Ορίζει τα Επιπεδα Διασφάλισης Αξιολόγησης από EAL1 έως EAL7. Τα υψηλότερα EAL απαιτούν πιο αυστηρές αποδείξεις και δοκιμές. Τα EAL5 και άνω χρησιμοποιούνται συχνά για την προστασία πολύ ευαίσθητων δεδομένων. Οι Secure Element chips είναι η ίδια τάξη στοιχείων που χρησιμοποιούνται σε πιστωτικές κάρτες, ψηφιακές ταυτότητες και κινητές SIM. Αυτά τα τσιπ σχεδιάζονται για να αντιστέκονται τόσο σε απομακρυσμένες όσο και σε άμεσες φυσικές επιθέσεις. Η πιστοποίηση αξιολογεί πολλούς τομείς ενός προϊόντος. Οι αξιολογητές ελέγχουν τους ελέγχους της αλυσίδας εφοδιασμού και τις διαδικασίες κύκλου ζωής. Εξετάζουν τις διαδικασίες ανάπτυξης και την ποιότητα της τεκμηρίωσης. Διενεργούν λειτουργικές δοκιμές για να διασφαλίσουν ότι οι δυνατότητες συμπεριφέρονται όπως καθορίζεται. Διεξάγουν επίσης δοκιμές διείσδυσης κατά μοντέλων επιτιθέμενου που είναι ρεαλιστικά. Το μοντέλο απειλής που αξιολογείται συνήθως περιλαμβάνει έναν επιτιθέμενο με απομακρυσμένη πρόσβαση και έναν με φυσική πρόσβαση. Η πιστοποίηση παρέχει δημόσια διαβεβαίωση ότι αυτοί οι έλεγχοι εκτελέστηκαν από ένα ανεξάρτητο εργαστήριο. Μειώνει την ανάγκη εμπιστοσύνης αποκλειστικά στην προώθηση του προμηθευτή. Υπάρχουν πολλαπλά σχήματα πιστοποίησης εκτός από τα Κοινά Κριτήρια. Εθνικά και περιφερειακά σχήματα μπορεί να προσθέσουν διαφορετικές απαιτήσεις ή τομείς επικέντρωσης. Η εμβέλεια της πιστοποίησης έχει μεγάλη σημασία. Μερικές φορές μια πιστοποίηση καλύπτει μόνο ένα τσιπ ή μόνο ένα μεμονωμένο λογισμικό. Μερικές φορές καλύπτει όλο το «stack» της συσκευής από το υλικό μέχρι την εφαρμογή. Οι χρήστες θα πρέπει να ελέγξουν τι ακριβώς αξιολογήθηκε. Η πιστοποίηση δεν είναι μια μαγική εγγύηση αδιαφάνειας. Είναι μια αυστηρή στιγμιότυπο που λαμβάνεται κάτω από καθορισμένες συνθήκες. Νέα σφάλματα λογισμικού και νέες τεχνικές επίθεσης μπορούν να εμφανιστούν μετά την αξιολόγηση. Η συνεχιζόμενη ασφάλεια σημαίνει την ένωση πιστοποιημένου υλικού με ασφαλή firmware, προσεκτικές πρακτικές αλυσίδας εφοδιασμού, συνεχείς δοκιμές και δημόσια προγράμματα αποκάλυψης ευπαθειών. Υπάρχουν συμβιβασμοί μεταξύ υψηλότερων επιπέδων διασφάλισης και κόστους, πολυπλοκότητας ή χρόνου να βγει στην αγορά. Σε πολλές πρακτικές περιπτώσεις, το EAL5+ παρέχει ισχυρή αντίσταση σε ρεαλιστικές επιθέσεις ενώ υψηλότερα επίπεδα προσθέτουν φθίνουσες αποδόσεις για τους περισσότερους χρήστες. Για οποιονδήποτε επιλέγει μια συσκευή κρυπτονομισμάτων, οι σωστές ερωτήσεις είναι απλές. Ρωτήστε τι πιστοποιήθηκε, ποιο εργαστήριο το εκτίμησε, ποιο μοντέλο απειλής χρησιμοποιήθηκε και αν η αξιολόγηση κάλυψε το πλήρες προϊόν. Συνδυάστε αυτή τη γνώση με καλή επιχειρησιακή ασφάλεια όπως αντίγραφα ασφαλείας, φυσική φύλαξη και προσεκτικές πρακτικές λογισμικού.