Common Criteria for Information Technology Security Evaluation v3.1 Revision 5 — Part 3

Remarque

Critères communs v3.1, révision 5, partie 3 : exigences d'assurance, dont les niveaux d'assurance (EAL), les paquets de composition (CAP) et les critères d'évaluation des profils et cibles de sécurité.

Résumé

Objet

La partie 3 des critères communs, version 3.1 révision 5 (avril 2017, référence CCMB-2017-04-003), est le catalogue des composants d’assurance de sécurité de cette version CC v3.1 R5 Part 3 :

Elle comprend les niveaux d’assurance de l’évaluation (EAL), qui forment une échelle pour mesurer l’assurance d’un produit évalué, les paquets d’assurance composés (CAP) pour les produits composés, les composants d’assurance dont ces niveaux sont faits, et les critères d’évaluation des profils de protection et des cibles de sécurité CC v3.1 R5 Part 3, § 2 Scope. La partie 1 de la même version donne le modèle d’ensemble CC v3.1 R5 Part 1, la partie 2 les composants fonctionnels CC v3.1 R5 Part 2.

À qui ça s’applique

Le document s’adresse aux consommateurs (consumers), qui choisissent un niveau d’assurance, aux développeurs qui y répondent et aux évaluateurs, pour qui ces exigences sont les critères d’évaluation obligatoires CC v3.1 R5 Part 3, § 1 Introduction.

Dans le corpus, la version 3.1 n’est plus admise que dans des cas délimités, avec des formulations distinctes, notamment :

• L’EUCC. Jusqu’au 31 décembre 2027, un certificat du schéma européen EUCC peut encore être délivré en appliquant les critères communs « version 3.1, révision 5 » Art. 3 §2. Jusqu’à la même date, un certificat selon les normes de 2022 peut attester la conformité à un profil de protection établi selon ces normes de la version 3.1 Art. 3 §3. Sans date dans l’article, un certificat selon les normes de 2022 peut attester la conformité à un profil de protection établi selon la version 3.1, révisions 1 à 4, si l’utilisation de ce profil est requise notamment par le règlement 910/2014 ou la décision d’exécution 2016/650 Art. 3 §4.
• Les attestations électroniques d’attributs qualifiées et celles du secteur public. Les fournisseurs d’attestations qualifiées et ceux d’attestations délivrées par un organisme du secteur public responsable d’une source authentique, ou pour son compte, respectent les normes et spécifications de l’annexe I du règlement d’exécution 2025/1569 Art. 3 §1. Selon cette annexe, le prestataire veille notamment à ce que les signatures ou cachets utilisés pour fournir le service, autres que celui de l’attestation, soient créés au moyen d’un dispositif cryptographique sécurisé certifié. Une des options est la certification selon les critères communs « version 3.1 (CC3.1) jusqu’au 31.8.2027 », ou selon CC:2022 ou ISO/IEC 15408, « et certifiés au niveau EAL 4 ou supérieur » ; l’EUCC et les normes FIPS sont d’autres options Annexe I. Le niveau EAL est défini dans cette partie 3 CC v3.1 R5 Part 3, § 8.1 Evaluation assurance level (EAL) overview.

La décision d’exécution 2016/650 cite la norme ISO/IEC 15408-3:2008, et non CC 3.1 Annexe ; le rapprochement entre ces textes figure dans une fiche rédigée par nos soins ISO/IEC 15408 (1-5) et ISO/IEC 18045. Le détail de ces règles est dans le résumé de la partie 1 CC v3.1 R5 Part 1.

Points clés

• Sept niveaux EAL hiérarchisés. Chaque niveau apporte plus d’assurance que les niveaux inférieurs, en remplaçant un composant par un composant plus exigeant de la même famille ou en ajoutant des composants d’autres familles CC v3.1 R5 Part 3, § 8.1 Evaluation assurance level (EAL) overview.
• L’augmentation (augmentation). Seuls les niveaux EAL peuvent être augmentés, par l’ajout ou le remplacement d’un composant ; un niveau EAL privé d’un de ses composants n’est pas une revendication valable CC v3.1 R5 Part 3, § 8.1 Evaluation assurance level (EAL) overview.
• L’EAL 4 vise les cas où l’on demande un niveau modéré à élevé de sécurité assurée de façon indépendante pour des produits courants, et où l’on accepte des coûts d’ingénierie de sécurité supplémentaires CC v3.1 R5 Part 3, Objectives.
• L’analyse de vulnérabilité AVA_VAN compte cinq composants, jusqu’à l’analyse méthodique avancée AVA_VAN.5 CC v3.1 R5 Part 3, AVA_VAN.5 Advanced methodical vulnerability analysis. La décision 2016/650 cite le profil de protection EN 419211-2:2013 Annexe. La version de ce profil présente au corpus est le profil certifié BSI-CC-PP-0059, version 1.03 BSI-CC-PP-0059 (EN 419211-2), § 5.2 Protection Profile Reference ; elle revendique le paquet d’assurance EAL4 augmenté du composant AVA_VAN.5 de la partie 3, dans la version 3.1 révision 3 BSI-CC-PP-0059 (EN 419211-2), § 6.1 CC Conformance Claim BSI-CC-PP-0059 (EN 419211-2), § 6.2 PP Claim, Package Claim.
• Une transition encadrée par le CCRA. La révision 5 pouvait servir aux évaluations commencées au plus tard le 30 juin 2024, sous réserve des autres règles de la politique de transition CCMC-2023-04-001, _Introduction_ ~~es~~.

Liens

• Parties 1 et 2 de la même version CC v3.1 R5 Part 1 CC v3.1 R5 Part 2 ; méthode d’évaluation associée, CEM 3.1 révision 5 CEM v3.1 R5 ; version actuelle CC:2022, partie 3 CC:2022 R1 Part 3.
• Politique de transition du CCRA CCMC-2023-04-001 ; fiche ISO/IEC 15408 et 18045 ISO/IEC 15408 (1-5) et ISO/IEC 18045.
• Parcours : étape 5, certification et normes.

Rédaction Asphalia.