硬體安全的進階主題與趨勢
評估安全產品的國際標準共同準則（Common Criteria，ISO/IEC 15408）中的EAL（評估保證等級）所表示的，正確的是下列何者？
- A以1至7的等級，表示產品所使用之密碼的金鑰長度，以及以暴力破解攻破該密碼所需的計算量
- B評估進行得多深入、多嚴謹的程度；要保護什麼的功能要求，另外以安全標的等文件規定
- C由評估機構依產品上市以來實際遭受攻擊的次數，以及發現的漏洞數，每年重新評定的分數
查看答案與解析
正確答案：B. 評估進行得多深入、多嚴謹的程度；要保護什麼的功能要求，另外以安全標的等文件規定
在共同準則中，產品應滿足的安全功能由安全標的（ST）或保護剖繪（PP）規定，再由第三方評估機構檢查這些功能是否正確實作。EAL從1到7，數字越大，表示對設計文件、測試與漏洞分析的評估越深入、越嚴謹。IC卡的晶片常取得EAL5+或EAL6+等認證，這些認證加上了假設高攻擊能力的漏洞評估。即使EAL相同，各產品保護的範圍也不同，因此比較時不能只看數字，還要看ST的內容。
- A. 這不是表示金鑰長度或計算量的指標。
- B. 正確。這是評估的嚴謹程度，所保護之功能的範圍由ST等決定。
- C. 這不是依遭受攻擊的次數或漏洞數評定的分數。