Tiêu chuẩn quốc gia TCVN 13468:2022 về Công nghệ thông tin - Các kỹ thuật an toàn - Hồ sơ bảo vệ cho phần mềm ứng dụng

TIÊU CHUẨN QUỐC GIA

TCVN 13468:2022

CÔNG NGHỆ THÔNG TIN - CÁC KỸ THUẬT AN TOÀN - HỒ SƠ BẢO VỆ CHO PHẦN MỀM ỨNG DỤNG

Information technology - Security techniques - Protection profile for Application Software

MỤC LỤC

1  Phạm vi áp dụng

2  Tài liệu viện dẫn

3  Thuật ngữ và định nghĩa

4  Chữ viết tắt

5  Ranh giới của TOE

6  Yêu cầu tuân thủ

6.1  Tuyên bố tuân thủ

6.2  Yêu cầu phù hợp với CC

6.3  Yêu cầu phù hợp với PP

6.4  Yêu cầu phù hợp với gói ứng dụng

7  Xác định vấn đề an toàn

7.1  Các mối đe dọa

7.2  Các giả định

7.3  Chính sách bảo mật tổ chức

8  Mục tiêu an toàn

8.1  Mục tiêu an toàn cho TOE

8.2  Mục tiêu an toàn cho môi trường hoạt động

8.3  Lý do mục tiêu an toàn

9  Các yêu cầu an toàn

9.1  Yêu cầu chức năng an toàn

9.1.1  Hỗ trợ bằng mật mã (FCS)

9.1.2  Bảo vệ dữ liệu người dùng (FDP)

9.1.3  Quản lý bảo mật (FMT)

9.1.4  Sự riêng tư

9.1.5  Bảo vệ của TSF (FPT)

9.1.6  Đường dẫn / Kênh Tin cậy (FTP)

9.2  Yêu cầu đảm bảo an toàn

9.2.1  Lớp ASE: Mục tiêu an toàn

9.2.2  Lớp ADV: Phát triển

9.2.3  Lớp AGD: Tài liệu hướng dẫn

9.2.4  Lớp ALC: Hỗ trợ vòng đời

9.2.5  Lớp ATE: Kiểm tra

9.2.6  Lớp AVA: Đánh giá lỗ hổng

Phụ lục A (Quy định) Các yêu cầu không bắt buộc

A.1  FCS_CKM.1(2) Tạo khóa mật mã đối xứng

A.2  FCS_TLSC_EXT.2 Giao thức máy khách của TLS

Phụ lục B (Quy định) Các yêu cầu dựa trên lựa chọn

B.1  FCS_RBG_EXT.2 Tạo Bit ngẫu nhiên từ ứng dụng

B.2  FCS_CKM_EXT.1 Dịch vụ tạo khóa mật mã

B.3  FCS_CKM.1(1) Tạo khóa mật mã bất đối xứng

B.4  FCS_CKM.2 Thiết lập khóa mật mã

B.5  FCS_COP.1(1) Hoạt động mật mã - Mã hóa / Giải mã

B.6  FCS_COP.1(2) Hoạt động mật mã - Hàm Băm (Hash)

B.7  FCS_COP.1 (3) Thao tác mã hóa - Ký tên

B.8  FCS_COP.1(4) Hoạt động mật mã - Xác thực Thông điệp Khóa Băm (Keyed-Hash)

B.9  FCS TLSC EXT.1 Giao thức Máy khách của TLS

B.10  FCS_TLSC_EXT.4 Giao thức Máy khách của TLS

B.11  FCS_TLSS_EXT.1 Giao thức Máy chủ của TLS

B.12  FCS_DTLS_EXT.1 Thực hiện DTLS

B.13  FCS_HTTPS_EXT.1 Giao thức HTTPS

B.14  FIA_X509_EXT.1 Xác nhận chứng chỉ X.509

B.15  FIA_X509_EXT.2 Xác thực Chứng chỉ X.509

Phụ lục C (Quy định) Các yêu cầu mục tiêu

C.1  FCS_TLSC_EXT.3 Giao thức máy khách TLS

C.2  FPT_API_EXT.2 Sử dụng Các Dịch vụ Hỗ trợ và Các API

C.3  FPT_IDV_EXT.1 Nhận dạng và các phiên bản của phần mềm

Phụ lục D (Tham khảo) Tài liệu và đánh giá Entropy

D.1  Mô tả thiết kế

D.2  Giải trình Entropy

D.3  Điều kiện hoạt động

D.4  Kiểm tra hồi phục

Thư mục tài liệu tham khảo

Lời nói đầu

TCVN 13468:2022 được xây dựng dựa trên cơ sở tham khảo Hồ sơ bảo vệ cho phần mềm ứng dụng (Protection Profile for Application Software), phiên bản 1.2 ngày 22/4/2016 của Hiệp hội đảm bảo thông tin quốc gia của Hoa Kỳ (NIAP).

TCVN 13468:2022 do Cục An toàn thông tin biên soạn, Bộ Thông tin và Truyền thông đề nghị, Tổng cục Tiêu chuẩn Đo lường Chất lượng thẩm định, Bộ Khoa học và Công nghệ công bố.

CÔNG NGHỆ THÔNG TIN - CÁC KỸ THUẬT AN TOÀN - HỒ SƠ BẢO VỆ CHO PHẦN MỀM ỨNG DỤNG

Information Technology - Security techniques - Protection profile for Application Software

1  Phạm vi áp dụng

Tiêu chuẩn này quy định các yêu cầu về chức năng an toàn và yêu cầu về đảm bảo an toàn của phần mềm ứng dụng trong Hồ sơ bảo vệ phù hợp với bộ tiêu chuẩn quốc gia TCVN 8709 (ba phần).

2  Tài liệu viện dẫn

Các tài liệu viện dẫn sau đây là cần thiết để áp dụng tiêu chuẩn này. Đối với tài liệu viện dẫn ghi năm công bố thì áp dụng phiên bản được nêu. Đối với tài liệu viện dẫn không ghi năm công bố thì áp dụng phiên bản mới nhất (bao gồm cả phiên bản sửa đổi, bổ sung).

TCVN 8709-1, “Công nghệ thông tin - Các kỹ thuật an toàn - Các tiêu chí đánh giá an toàn CNTT - Phần 1: Giới thiệu và mô hình tổng quát”.

TCVN 8709-2, “Công nghệ thông tin - Các kỹ thuật an toàn - Các tiêu chí đánh giá an toàn CNTT - Phần 2: Các thành phần chức năng an toàn”.

TCVN 8709-3, “Công nghệ thông tin - Các kỹ thuật an toàn - Các tiêu chí đánh giá an toàn CNTT - Phần 2: Các thành phần đảm bảo an toàn”.

RFC 2560, “X.509 Internet Public Key Infrastructure Online Certificate Status Protocol - OCSP” (Giao thức trạng thái chứng chỉ trực tuyến của Cơ sở hạ tầng Khóa công khai trên Internet X.509).

RFC 2818, “HTTP Over TLS” (HTTP qua TLS).

RFC 5246, “The Transport Layer Security (TLS) Protocol Version 1.2” (Giao thức Bảo mật tầng giao vận TLS Phiên bản 1.2).

RFC 5259, “Internet Message Access Protocol - CONVERT Extension” (Giao thức truy cập thông điệp trên Internet - Mở rộng CONVERT).

RFC 5280, “Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile” (Hồ sơ Chứng chỉ cơ sở hạ tầng khóa công khai X.509 và Danh sách thu hồi chứng chỉ CRL).

RFC 5289, “TLS Elliptic Curve Cipher Suites with SHA-256/384 and AES Galois Counter Mode (GCM)” (Bộ hệ mật Đường cong elliptic của TLS với SHA-256/384 và kiểu đếm Galois GCM).

…………………

Nội dung Tiêu chuẩn bằng File Word (đang tiếp tục cập nhật)