Was gibt die EAL (Evaluation Assurance Level) der Common Criteria (ISO/IEC 15408), der internationalen Norm zur Evaluierung von Sicherheitsprodukten, an?

Antwort: B. Wie tief und streng die Evaluierung durchgeführt wurde; die funktionalen Anforderungen, also was geschützt wird, werden gesondert festgelegt, etwa in den Sicherheitsvorgaben (Security Target)

Bei den Common Criteria werden die Sicherheitsfunktionen, die ein Produkt erfüllen muss, in Sicherheitsvorgaben (Security Target, ST) oder einem Schutzprofil (Protection Profile, PP) festgelegt, und eine unabhängige Evaluierungsstelle prüft, ob diese Funktionen korrekt umgesetzt sind. Die EAL reicht von 1 bis 7; je höher die Zahl, desto tiefer und strenger wurden Entwurfsdokumente, Tests und Schwachstellenanalyse evaluiert. Bei Chipkarten-Chips sind Zertifizierungen wie EAL5+ oder EAL6+ verbreitet, die eine Schwachstellenbewertung unter Annahme eines hohen Angriffspotenzials ergänzen. Auch bei gleicher EAL unterscheidet sich der Schutzumfang von Produkt zu Produkt; für Vergleiche muss man daher nicht nur die Zahl, sondern auch den Inhalt der ST betrachten.