ハードウェアセキュリティの最新動向
セキュリティ製品を評価する国際規格であるコモンクライテリア(ISO/IEC 15408)のEAL(評価保証レベル)が表すものとして、正しいものはどれか。
- A製品が使っている暗号の鍵の長さと、その暗号を総当たりで破るのに必要な計算の量を、1から7までの段階で表したもの
- B評価がどれだけ深く厳密に行われたかの度合いで、何を守るかという機能の要求はセキュリティターゲットなどで別に定める
- C製品が発売されてから実際に攻撃を受けた回数と、見つかった脆弱性の数をもとに、評価機関が毎年つけ直す点数
答えと解説を見る
正解：B. 評価がどれだけ深く厳密に行われたかの度合いで、何を守るかという機能の要求はセキュリティターゲットなどで別に定める
コモンクライテリアでは、製品が満たすべきセキュリティの機能をセキュリティターゲット(ST)やプロテクションプロファイル(PP)で定め、その機能が正しく作られているかを第三者の評価機関が調べます。EALは1から7まであり、数字が大きいほど、設計の文書やテスト、脆弱性の分析を深く厳密に評価したことを表します。ICカードのチップでは、高い攻撃能力を想定した脆弱性の評価を加えた、EAL5+やEAL6+などの認証が多く使われます。EALが同じでも守る範囲は製品ごとに違うので、数字だけでなく、STの内容を見て比べる必要があります。
- A. 鍵の長さや計算量を表す指標ではありません。
- B. 正しい。評価の厳密さの度合いで、守る機能の範囲はSTなどで決まります。
- C. 攻撃を受けた回数や脆弱性の数をもとにした点数ではありません。