Common Criteria for Information Technology Security Evaluation CC:2022 Revision 1 — Part 5

Remarque

Critères communs CC:2022, révision 1, partie 5 : paquets prédéfinis d'exigences d'assurance et fonctionnelles de sécurité, dont les niveaux d'assurance EAL et les paquets de composition CAP.

Résumé

Objet

La partie 5 des critères communs CC:2022, révision 1 (novembre 2022), est nouvelle dans cette version CC:2022 R1 Part 5 CC:2022 R1 Part 1, Foreword. Elle fournit des paquets prédéfinis d’exigences de sécurité :

Parmi ces paquets figurent les niveaux d’assurance de l’évaluation (EAL). La partie 5 définit aussi des paquets pour les produits composés (CAP), les produits composites (COMP), l’évaluation des profils de protection (PPA) et celle des cibles de sécurité (STA) CC:2022 R1 Part 5, § 1 Scope.

À qui ça s’applique

Les paquets peuvent être cités dans les profils de protection et les cibles de sécurité ; ils visent les acheteurs, développeurs et évaluateurs de produits sécurisés CC:2022 R1 Part 5, § 1 Scope.

Les règlements d’exécution sur les services de confiance qualifiés renvoient, pour certains dispositifs cryptographiques, à une certification selon les critères communs ou sous le schéma européen EUCC « au niveau EAL 4 ou supérieur », ou selon la FIPS PUB 140-3 niveau 3 jusqu’au 31.12.2030 Annexe. L’effet de ces renvois, acte par acte, est précisé dans le résumé de la partie 1 CC:2022 R1 Part 1. Les actes visent les critères communs « parties 1 à 5 » ; ils ne citent pas la partie 5 isolément (constat au 30-10-2026).

Points clés

• Sept niveaux hiérarchisés. Chaque niveau, d’EAL1 à EAL7, apporte plus d’assurance que les niveaux inférieurs. On monte d’un niveau en remplaçant un composant d’assurance par un composant supérieur de la même famille ou en ajoutant des composants d’autres familles CC:2022 R1 Part 5, § 4.3 Evaluation assurance level objectives.
• L’augmentation. Un niveau peut être « augmenté » de composants supplémentaires ; celui qui le fait doit en justifier l’utilité. Un EAL amputé d’un de ses composants n’est pas reconnu CC:2022 R1 Part 5, § 4.3 Evaluation assurance level objectives.
• Un équilibre coût-assurance. Les EAL forment une échelle qui met en balance le niveau d’assurance obtenu et le coût ou la faisabilité de l’obtenir CC:2022 R1 Part 5, § 4.2.1 General.
• EAL4 (methodically designed, tested and reviewed). C’est le niveau le plus élevé auquel il est probablement encore économiquement réaliste d’adapter une gamme de produits existante. Il convient lorsqu’on veut une sécurité d’un niveau modéré à élevé, assurée de manière indépendante, pour des produits courants CC:2022 R1 Part 5, § 4.4.5.1 Package name CC:2022 R1 Part 5, § 4.4.5.3 Package overview. Son analyse de vulnérabilité doit démontrer une résistance aux attaquants disposant d’un potentiel d’attaque « Enhanced-Basic » CC:2022 R1 Part 5, § 4.4.5.3 Package overview.
• Les niveaux de l’EUCC sont rattachés à des niveaux AVA_VAN : les certificats de niveau d’assurance « substantiel » couvrent AVA_VAN 1 ou 2, ceux de niveau « élevé » AVA_VAN 3, 4 ou 5 Art. 4.

Liens

• Autres parties : 1 CC:2022 R1 Part 1, 2 CC:2022 R1 Part 2, 3 CC:2022 R1 Part 3, 4 CC:2022 R1 Part 4.
• Errata et interprétations pour cette partie CCMB-2025-001 v1.2, Errata / Interpretation for CC:2022 Part 5.
• Fiche ISO/IEC 15408 et 18045 ISO/IEC 15408 (1-5) et ISO/IEC 18045.
• Parcours : étape 5, certification et normes.

Rédaction Asphalia.