Certificazione di sicurezza

La certificazione di sicurezza è una valutazione indipendente di terze parti che verifica che un prodotto abbia soddisfatto criteri di sicurezza definiti. Fornisce un modo misurabile per confrontare le affermazioni di sicurezza. Nel contesto delle criptovalute, di solito si applica ai dispositivi hardware e ai loro componenti chiave. Common Criteria è il framework internazionale più ampiamente utilizzato per tali valutazioni. Definisce i Livelli di Garanzia di Valutazione da EAL1 a EAL7. Numeri EAL più elevati richiedono prove e test più rigorosi. EAL5 e superiori sono spesso utilizzati per proteggere dati altamente sensibili. I chip Secure Element appartengono alla stessa classe di componenti utilizzati nelle carte di pagamento, nelle ID digitali e nelle SIM mobili. Questi chip sono progettati per resistere sia ad attacchi fisici diretti che remoti. La certificazione valuta più aree di un prodotto. Gli valutatori esaminano i controlli della catena di fornitura e i processi del ciclo di vita. Ispezionano le procedure di sviluppo e la qualità della documentazione. Eseguono test funzionali per garantire che le caratteristiche si comportino come specificato. Conducono anche test di penetrazione contro modelli di attaccanti realistici. Il modello di minaccia valutato include tipicamente un attaccante con accesso remoto e uno con un certo accesso fisico. La certificazione fornisce una garanzia pubblica che questi controlli sono stati eseguiti da un laboratorio indipendente. Riduce la necessità di fidarsi solo del marketing del fornitore. Esistono più schemi di certificazione oltre a Common Criteria. Schemi nazionali e regionali possono aggiungere requisiti o aree di focus differenti. L'ambito della certificazione è molto importante. A volte una certificazione copre solo un chip o solo un singolo modulo software. A volte copre l'intero stack del dispositivo dall'hardware all'applicazione. Gli utenti dovrebbero controllare cosa è stato esattamente valutato. La certificazione non è una garanzia magica di invulnerabilità. È un rigoroso istantanea presa in condizioni definite. Nuovi bug software e nuove tecniche di attacco possono apparire dopo la valutazione. La sicurezza continua significa combinare hardware certificato con firmware sicuro, pratiche di fornitura attenta, test continui e programmi pubblici di disclosure delle vulnerabilità. Esistono compromessi tra livelli di garanzia più elevati e costi, complessità o tempi di immissione sul mercato. In molti casi pratici, EAL5+ fornisce una forte resistenza ad attacchi realistici, mentre livelli più elevati aggiungono rendimenti decrescenti per la maggior parte degli utenti. Per chi sceglie un dispositivo hardware per criptovalute, le domande giuste sono semplici. Chiedete cosa è stato certificato, quale laboratorio lo ha valutato, quale modello di minaccia è stato utilizzato e se la valutazione ha coperto l'intero prodotto. Combinate quelle conoscenze con una buona sicurezza operativa come backup, custodia fisica e pratiche software oculate.