Common Criteria for Information Technology Security Evaluation CC:2022 Revision 1 — Part 3

Remarque

Critères communs CC:2022, révision 1, partie 3 : exigences d'assurance, composants dont sont formés les niveaux d'assurance (EAL), et critères d'évaluation des profils de protection et cibles de sécurité.

Résumé

Objet

La partie 3 des critères communs CC:2022, révision 1 (novembre 2022), définit les composants d’assurance de sécurité CC:2022 R1 Part 3 :

Elle contient les composants à partir desquels sont composés les niveaux d’assurance EAL et les autres paquets de la partie 5, ainsi que les critères d’évaluation des profils de protection et des cibles de sécurité CC:2022 R1 Part 3, § 1 Scope. Les composants d’assurance expriment de manière normalisée ce qu’il faut démontrer pour avoir confiance dans le produit évalué CC:2022 R1 Part 3, Introduction.

À qui ça s’applique

Le document s’adresse à ceux qui fixent le niveau d’assurance requis, aux développeurs et aux évaluateurs, pour qui ces exigences sont l’énoncé obligatoire des critères d’évaluation CC:2022 R1 Part 3, Introduction.

Deux types de renvois existent dans le corpus.

• Le portefeuille européen. Le règlement d’exécution 2024/2981 prévoit une évaluation de la vulnérabilité au niveau AVA_VAN.5, au sens de la norme EN ISO/IEC 15408-3:2022, conformément à l’annexe I du règlement d’exécution 2024/482, sauf justification dûment présentée à l’organisme de certification. Elle vaut pour l’application cryptographique sécurisée du portefeuille (WSCA) et, lorsque les conditions prévues par le règlement sont remplies Art. 3 §3, b), pour tout ou partie du dispositif cryptographique sécurisé (WSCD) § 2. Activités d’évaluation liées au dispositif cryptographique sécurisé de portefeuille (WSCD) § 3. Activités d’évaluation liées à l’application cryptographique sécurisée de portefeuille (WSCA). EN ISO/IEC 15408-3:2022 est l’adoption européenne de la norme ISO, dont CC:2022 partie 3 est l’équivalent publié par le CCRA § 1. Identification CC:2022 R1 Part 3, Foreword.
• Les services de confiance qualifiés. Plusieurs règlements d’exécution renvoient aux critères communs « CC:2022, parties 1 à 5 » au niveau EAL 4 ou supérieur ; ces renvois sont détaillés dans le résumé de la partie 1 CC:2022 R1 Part 1.

Points clés

• Neuf classes d’assurance, dont l’évaluation des profils de protection (APE) et des cibles de sécurité (ASE), le développement (ADV), le cycle de vie (ALC), les tests (ATE), l’évaluation de la vulnérabilité (AVA) et la composition (ACO) CC:2022 R1 Part 3, § 7 Class APE: Protection Profile (PP) evaluation CC:2022 R1 Part 3, § 15 Class ACO: Composition.
• L’analyse de vulnérabilité (AVA_VAN). Elle détermine si des vulnérabilités potentielles permettraient à un attaquant de violer les exigences fonctionnelles de sécurité CC:2022 R1 Part 3, § 14.3.1 Objectives.
• Le niveau AVA_VAN.5 est l’analyse de vulnérabilité méthodique avancée (advanced methodical vulnerability analysis) CC:2022 R1 Part 3, § 14.3.7 AVA_VAN.5 Advanced methodical vulnerability analysis :

• Le lien avec l’EUCC. Les certificats EUCC de niveau d’assurance « élevé » couvrent les niveaux AVA_VAN 3, 4 ou 5 Art. 4.
• Le lien avec l’attestation de clé. Dans OpenID4VCI, la valeur iso_18045_high correspond à une résistance à un potentiel d’attaque « High », équivalent à VAN.5 OpenID4VCI 1.0, [D.2.](#appendix-D.2) [Attack Potential Resistance](#name-attack-potential-resistance).

Liens

• Autres parties : 1 CC:2022 R1 Part 1, 2 CC:2022 R1 Part 2, 4 CC:2022 R1 Part 4, 5 CC:2022 R1 Part 5 ; méthode CEM:2022 CEM:2022 R1.
• Fiche ISO/IEC 15408 et 18045 ISO/IEC 15408 (1-5) et ISO/IEC 18045.
• Parcours : étape 5, certification et normes.

Rédaction Asphalia.