Tiêu chuẩn Việt Nam TCVN 8709-2:2011 về Công nghệ thông tin - Các kỹ thuật an toàn - thành phần chức năng

• Số hiệu: TCVN8709-2:2011
• Loại văn bản: Tiêu chuẩn Việt Nam
• Nơi ban hành: ***
• Người ký: ***
• Ngày ban hành: Năm 2011

	FAU_GEN.1	FAU_SAA.1	FAU_SAR.1	FAU_STG.1	FAU_UID.1	FMT_MTD.1	FMT_SMF.1	FMT_SMR.1	FPT_STM.1
FAU_ARP.1	-	X							-
FAU_GEN.1									X
FAU_GEN.2	X				X				-
FAU_SAA.1	X								-
FAU_SAA.2					X
FAU_SAA.3
FAU_SAA.4
FAU_SAR.1	X								-
FAU_SAR.2	-		X						-
FAU_SAR.3	-		X						-
FAU_SEL.1	X				-	X	-	-	-
FAU_STG.1	X								-
FAU_STG.2	X								-
FAU_STG.3	-			X					-
FAU_STG.4	-			X					-

Bảng A.2 - Bảng phụ thuộc của lớp FCO: Truyền thông

FIA_UID.1

FCO_NRO.1

X

FCO_NRO.2

X

FCO_NRR.1

X

...

...

...

X

Bảng A.3 - Bảng phụ thuộc của lớp FCS: Hỗ trợ mật mã

ADV_SPM.1

FCS_CKM.1

FCS_CKM.2

FCS_CKM.4

FCS_COP.1

FDP_ACC.1

...

...

...

FDP_IFC.1

FDP_IFF.1

FDP_ITC.1

FDP_ITC.2

FIA_UID.1

FMT_MSA.1

FMT_MSA.2

FMT_MSA.3

FMT_SMF.1

...

...

...

FPT_TDC.1

FTP_ITC.1

FTP_TRP.1

FCS_CKM.1

-

-

O

X

O

...

...

...

-

-

-

-

-

-

-

X

-

...

...

...

-

-

-

-

FCS_CKM.2

-

O

-

X

...

...

...

-

-

-

-

O

O

-

-

X

...

...

...

-

-

-

-

-

FCS_CKM.3

-

O

-

...

...

...

-

-

-

-

-

O

O

-

-

...

...

...

-

-

-

-

-

-

FCS_CKM.4

-

O

...

...

...

-

-

-

-

-

-

O

O

-

...

...

...

X

-

-

-

-

-

-

FCS_COP.1

-

...

...

...

-

X

-

-

-

-

-

O

O

...

...

...

-

X

-

-

-

-

-

-

Bảng A.4 - Bảng phụ thuộc của lớp FDP: Bảo vệ dữ liệu người dùng

...

...

...

FDP_ACC.1

FDP_ACF.1

FDP_IFC.1

FDP_IFF.1

FDP_ITT.1

FDP_ITT.2

FDP_UIT.1

FIA_UID.1

FMT_MSA.1

...

...

...

FMT_SMF.1

FMT_SMR.1

FPT_TDC.1

FTP_ITC.1

FTP_TRP.1

FDP_ACC.1

-

X

-

...

...

...

-

-

-

-

-

-

...

...

...

FDP_ACC.2

-

X

-

-

...

...

...

-

-

-

-

FDP_ACF.1

X

...

...

...

-

-

-

-

X

-

...

...

...

FDP_DAU.1

...

...

...

...

...

...

X

...

...

...

FDP_ETC.1

O

-

O

...

...

...

-

-

-

-

-

...

...

...

FDP_ETC.2

O

-

O

-

...

...

...

-

-

-

-

FDP_IFC.1

-

...

...

...

-

X

-

-

-

-

...

...

...

FDP_IFC.2

-

-

-

X

...

...

...

-

-

-

-

-

...

...

...

-

-

X

-

-

-

...

...

...

-

-

FDP_IFF.2

-

-

X

...

...

...

-

-

X

-

-

...

...

...

FDP_IFF.3

-

-

X

-

...

...

...

-

-

-

-

FDP_IFF.4

-

...

...

...

X

-

-

-

-

-

...

...

...

FDP_IFF.5

-

-

X

-

...

...

...

-

-

-

-

-

...

...

...

-

-

X

-

-

-

...

...

...

-

-

FDP_ITC.1

O

-

O

...

...

...

-

-

X

-

-

...

...

...

FDP_ITC.2

O

-

O

-

...

...

...

-

-

-

-

X

O

O

FDP_ITT.1

O

...

...

...

O

-

-

-

-

-

...

...

...

FDP_ITT.2

O

-

O

-

...

...

...

-

-

-

-

-

...

...

...

O

-

O

-

X

-

-

...

...

...

-

-

FDP_ITT.4

O

-

O

...

...

...

X

-

-

-

-

-

...

...

...

FDP_RIP.1

...

...

...

FDP_RIP.2

...

...

...

...

...

...

FDP_ROL.1

O

-

O

-

...

...

...

-

-

-

-

-

...

...

...

O

-

O

-

-

-

...

...

...

-

-

FDP_SDI.1

...

...

...

...

...

...

FDP_SDI.2

...

...

...

FDP_UCT.1

O

...

...

...

O

-

-

-

-

-

...

...

...

O

O

FDP_UIT.1

O

-

O

-

...

...

...

-

-

-

-

-

O

O

...

...

...

O

-

O

-

O

-

-

...

...

...

-

-

O

-

FDP_UIT.3

O

-

O

...

...

...

O

-

-

-

-

-

...

...

...

-

Bảng A.5 - Bảng phụ thuộc của lớp FIA: Định danh và xác thực

FIA_ATD.1

FIA.UAU.1

FIA_UID.1

FIA_AFL.1

X

...

...

...

FIA_ATD.1

FIA_SOS.1

FIA_SOS.2

...

...

...

FIA_UAU.1

X

FIA_UAU.2

...

...

...

FIA_UAU.3

FIA_UAU.4

FIA_UAU.5

...

...

...

FIA_UAU.6

FIA_UAU.7

X

...

...

...

FIA_UID.1

FIA_UID.2

FIA_USB.1

...

...

...

Bảng A.6 - Bảng phụ thuộc của lớp FMT: Quản lý an toàn

FDP_ACC.1

FDP_ACF.1

FDP_IFC.1

FDP_IFF.1

FIA_UID.1

...

...

...

FMT_MSA.3

FMT_MTD.1

FMT_SMF.1

FMT_SMR.1

FPT_STM.1

FMT_MOF.1

...

...

...

-

X

X

FMT_MSA.1

O

...

...

...

O

-

-

-

-

X

X

...

...

...

O

-

O

-

-

X

-

-

...

...

...

FMT_MSA.3

-

-

-

-

-

X

-

...

...

...

-

X

FMT_MSA.4

O

-

O

-

-

...

...

...

-

-

-

FMT_MTD.1

...

...

...

-

X

X

FMT_MTD.2

...

...

...

-

X

-

X

...

...

...

-

X

-

...

...

...

FMT_REV.1

-

...

...

...

X

FMT_SAE.1

-

...

...

...

X

X

FMT_SMF.1

...

...

...

FMT_SMR.1

...

...

...

X

...

...

...

X

...

...

...

FMT_SMR.3

-

...

...

...

X

Bảng A.7 - Bảng phụ thuộc của lớp FPR: Tính riêng tư

FIA_UID.1

FPR_UNO.1

FPR_ANO.1

...

...

...

FPR_ANO.2

FPR_PSE.1

FPR_PSE.2

X

...

...

...

FPR_UNL.1

FPR_UNO.1

FPR_UNO.2

...

...

...

FPR_UNO.3

X

FPR_UNO.4

Bảng A.8 - Bảng phụ thuộc của lớp FPT: Bảo vệ TSF

...

...

...

FIA_UID.1

FMT_MOF.1

FMT_SMF.1

FMT_SMR.1

FPT_ITT.1

FPT_FLS.1

...

...

...

FPT_ITA.1

...

...

...

FPT_ITI.1

...

...

...

FPT_ITI.2

...

...

...

FPT_ITT.1

FPT_ITT.2

...

...

...

FPT_ITT.3

...

...

...

X

FPT_PHP.1

FPT_PHP.2

...

...

...

-

X

-

-

FPT_PHP.3

...

...

...

FPT_RCV.1

X

...

...

...

X

FPT_RCV.3

X

...

...

...

FPT_RCV.4

...

...

...

FPT_RPL.1

FPT_SSP.1

...

...

...

X

FPT_SSP.2

...

...

...

X

FPT_STM.1

FPT_TDC.1

...

...

...

FPT_TEE.1

...

...

...

FPT_TRC.1

X

...

...

...

Bảng A.9 - Bảng phụ thuộc của lớp FRU: Sử dụng tài nguyên

FPT_FLS.1

...

...

...

X

FRU_FLT.2

X

FRU_PRS.2

FRU_PRS.2

FRU_RSA.1

...

...

...

Bảng A.10 - Bảng phụ thuộc của lớp FTA: Truy nhập TOE

FIA_UAU.1

FIA_UID.1

FTA_LSA.1

FTA_MCS.1

...

...

...

X

FTA_MCS.2

X

FTA_SSL.1

X

-

FTA_SSL.2

X

...

...

...

FTA_SSL.3

FTA_SSL.4

FTA_TAB.1

...

...

...

FTA_TSE.1

PHỤ LỤC B

(Quy định)

CÁC LỚP, HỌ VÀ THÀNH PHẦN CHỨC NĂNG

...

...

...

PHỤ LỤC C

(Quy định)

LỚP FAU: KIỂM TOÁN AN TOÀN

TCVN 8709 cho phép tác giả PP/ST được xác định những yêu cầu nhằm giám sát thao tác của người dùng và trong một số trường hợp phát hiện sự vi phạm đã, sắp hoặc có khả năng xảy ra đối với việc thực thi các SFR. Chức năng giám sát kiểm toán của TOE dùng để giám sát những sự kiện liên quan đến an toàn và đóng vai trò chống lại các vi phạm an toàn. Các yêu cầu của họ kiểm toán an toàn bao gồm những chức năng bảo vệ kiểm tra dữ liệu, định dạng dữ liệu, và lựa chọn sự kiện cũng như các công cụ phân tích, cảnh báo vi phạm và phân tích thời gian thực. Dấu vết kiểm toán cần được biểu diễn với định dạng có thể đọc được trực tiếp hoặc gián tiếp (chẳng hạn như sử dụng công cụ kiểm toán rút gọn) hoặc cả hai.

Khi phát triển các yêu cầu kiểm toán an toàn, tác giả PP/ST cần ghi chú về mối quan hệ giữa họ kiểm toán và thành phần. Khả năng này xác định tập hợp những yêu cầu kiểm toán danh sách những họ/thành phần đồng thời tạo nên kết quả là chức năng kiểm toán không hiệu quả (ví dụ chức năng kiểm toán yêu cầu tất cả các sự kiện liên quan đến an toàn phải được kiểm toán nhưng không thể điều khiển được các cá thể đơn lẻ như từng người dùng hoặc vật thể).

C.1. Các yêu cầu kiểm toán trong môi trường phân tán

Việc thực thi các yêu cầu kiểm toán trong mạng và các hệ thống lớn có thể khác biệt nhiều so với việc thực thi cần có đối với các hệ thống độc lập. Các hệ thống lớn hơn, phức tạp và tích cực hơn, yêu cầu được quan tâm hơn liên quan đến việc thu thập dữ liệu kiểm toán nào và nó cần được quản lý thế nào do tính khả thi thấp của việc giải trình (hoặc thậm chí lưu trữ) những gì đã thu thập được. Khái niệm truyền thống về danh sách theo thứ tự thời gian hoặc "dấu vết" của các sự kiện kiểm toán có thể không áp dụng được trong một mạng tổng thể không đồng bộ với nhiều sự kiện xảy ra bất kỳ cùng một lúc.

Mặt khác, những máy tính, máy chủ khác trong một TOE phân tán có thể có những chính sách ghi danh và giá trị khác nhau. Cần có một dạng biểu diễn tên theo ký hiệu để tránh dư thừa hoặc xung đột về tên.

...

...

...

Việc lạm dụng quyền của người dùng được cấp quyền cần được đề cập đến một cách hệ thống tránh việc lưu trữ cục bộ dữ liệu kiểm toán liên quan đến các hành động của quản trị viên.

Hình C.1 minh họa sự phân tách của lớp này ra các thành phần cấu thành.

Hình C.1 - Phân cấp lớp FAU: Kiểm toán an toàn

C.2. Đáp ứng tự động kiểm toán an toàn (FAU_ARP)

C.2.1. Chú thích cho người sử dụng

Họ đáp ứng tự động kiểm toán an toàn mô tả các yêu cầu về xử lý các sự kiện kiểm toán. Yêu cầu có thể bao gồm cảnh báo hoặc những hành động TSF (đáp ứng tự động). Ví dụ, TSF có thể bao gồm việc tạo ra những cảnh báo thời gian thực, kết thúc một tiến trình xâm phạm, vô hiệu hóa một dịch vụ, ngắt kết nối hoặc làm mất hiệu lực một tài khoản người dùng.

Một sự kiện kiểm toán được xác định là "vi phạm an toàn nghiêm trọng" nếu được chỉ rõ trong thành phần phân tích kiểm toán an toàn (FAU_SAA).

C.2.2. FAU_ARP.1 Cảnh báo an toàn

...

...

...

Một hành động cần được thực hiện ngay sau sự kiện cảnh báo. Hành động này có thể thông báo cho người được cấp quyền cùng với một tập hợp hành động gợi ý tương ứng. Thời điểm của hành động cũng nên được xem xét bởi PP/ST.

C.2.2.2. Các hoạt động

C.2.2.2.1. Chỉ định

Trong FAU_ARP.1.1, PP/ST cần xác định hành động thực hiện bởi một người dùng có quyền khi xảy ra vi phạm an toàn nghiêm trọng. Ví dụ: thông báo với người có quyền, vô hiệu hóa đối tượng gây nên vi phạm an toàn.

C.3. Tạo các dữ liệu kiểm toán an toàn (FAU_GEN)

C.3.1 Chú thích cho người sử dụng

Họ tạo dữ liệu kiểm toán an toàn bao gồm những yêu cầu chỉ rõ các sự kiện kiểm toán cần được tạo ra bởi TSF cho sự kiện liên quan an toàn.

Họ này được giới thiệu ở khía cạnh tránh sự phụ thuộc vào tất cả các thành phần yêu cầu hỗ trợ kiểm toán. Mỗi thành phần gồm một mệnh đề kiểm toán trong đó sự kiện trong vùng chức năng tương ứng phải được liệt kê. Khi tác giả PP/ST lắp ghép các PP/ST, các phần tử trong vùng kiểm toán được sử dụng để tạo thành biến hoàn chỉnh của thành phần. Do vậy, đặc điểm dữ liệu của mỗi vùng chức năng được đặt trong vùng chức năng đó.

Danh sách các sự kiện có thể kiểm toán là hoàn toàn phụ thuộc vào các họ chức năng khác trong PP/PT/ Mỗi định nghĩa họ do đó cần bao gồm một danh sách các sự kiện có thể kiểm toán thuộc họ cụ thể của nó. Mỗi sự kiện kiểm toán trong danh sách các sự kiện có thể kiểm toán được xác định rõ trong họ chức năng cần phù hợp với một trong các mức tạo ra sự kiện kiểm toán được xác định rõ trong họ chức năng cần phù hợp với một trong các mức tạo ra sự kiện kiểm toán được ghi rõ trong họ này (nghĩa là: mức tối thiểu, cơ bản, chi tiết). Điều này cung cấp cho tác giả PP/ST thông tin cần thiết để đảm bảo rằng tất cả các sự kiện kiểm toán tương ứng đều được xác định rõ trong PP/ST. Các ví dụ sau cho thấy các sự kiện có thể kiểm toán sẽ được xác định rõ trong các họ chức năng tương ứng như thế nào:

...

...

...

a/ Tối thiểu: Việc sử dụng thành công các chức năng quản lý thuộc tính an toàn của người sử dụng

b/ Cơ bản: Tất cả việc sử dụng thử các chức năng quản lý thuộc tính an toàn của người sử dụng

c/ Cơ bản: Xác định thuộc tính an toàn người sử dụng nào đã sửa đổi

d/ Chi tiết: Ngoại trừ những mục dữ liệu thuộc tính nhạy cảm cụ thể (mật khẩu, mã khóa) các giá trị mới của thuộc tính cần được lấy."

Với mỗi thành phần chức năng được chọn, sự kiện kiểm toán trong thành phần đó cùng mức và dưới mức so với FAU_GEN cần phải cho phép kiểm toán. Các sự kiện kiểm toán có cấu trúc phân cấp. Ví dụ khi chọn mức kiểm toán cơ bản, tất cả các sự kiện cũng phải ở mức cơ bản hoặc tối thiểu. Mặt khác, nếu mức chi tiết được lựa chọn, các sự kiện có thể ở mức chi tiết, cơ bản hoặc tối thiểu.

Ví dụ: những sự kiện sau nên được kiểm toán trong mỗi thành phần chức năng PP/ST:

a/  Giới thiệu về đối tượng bên trong TSC đến không gian địa chỉ đối tượng

b/ Xóa đối tượng

c/ Phân phối hoặc hủy bỏ khả năng hoặc quyền truy nhập

...

...

...

e/ Kiểm tra chính sách thực hiện bởi TSF khi có yêu cầu từ một đối tượng

f/ Sử dụng quyền truy nhập để vượt qua kiểm tra chính sách

g/ Sử dụng định danh và xác thực

h/ Hành động từ một người điều hành và/hoặc người được cấp quyền.

C.3.2. FAU_GEN.1 Tạo dữ liệu kiểm toán

C.3.2.1. Chú thích cho ứng dụng người sử dụng

Thành phần này xác định những yêu cầu về bản ghi kiểm toán được tạo ra tương ứng với sự kiện và thông tin trong bản ghi.

Tạo dữ liệu kiểm toán FAU_GEN.1 tự nó có thể được sử dụng khi các SFR không yêu cầu định danh người dùng cụ thể kết hợp với sự kiện kiểm toán. Nó có thể là thích hợp khi PP/ST cũng chứa các yêu cầu tính riêng tư. Nếu phải kết hợp định danh người dùng thì có thể cần sử dụng thêm liên kết định danh người dùng FAU_GEN.2.

Nếu chủ thể là một người dùng thì định danh người dùng có thể được ghi lại như định danh chủ thể. Định danh người dùng có thể không được kiểm lại nếu Xác thực người dùng (FIA_UAU) không được áp dụng. Do đó trong trường hợp một đăng nhập không hợp lệ định danh người dùng được yêu cầu cần được ghi lại. Có thể xem xét để thấy khi nào một định danh đã lưu là chưa được xác thực.

...

...

...

TOE có sự phụ thuộc vào nhãn thời gian (Time stamp - FPT_STM). Nếu độ chính xác của thời gian không phải vấn đề, có thể bỏ qua sự phụ thuộc này.

C.3.2.3. Các hoạt động

C.3.2.3.1. Phép chọn

Trong FAU_GEN.1.1, PP/ST cần lựa chọn mức độ của sự kiện kiểm toán trong mệnh đề con của các thành phần chức năng khác bao gồm trong PP/ST. Cấp độ này bao gồm: tối thiểu, cơ bản, chi tiết và không xác định.

C.3.2.3.2. Chỉ định

Trong FAU_GEN.1.1, PP/ST cần Chỉ định những sự kiện kiểm toán khác trong danh sách những sự kiện kiểm toán. Có thể không Chỉ định gì cả hoặc Chỉ định những sự kiện mức cao hơn yêu cầu cũng như các sự kiện được tạo ra qua giao diện lập trình ứng dụng (API).

Trong FAU_GEN.1.2, PP/ST cần chỉ định những thông tin liên quan nếu có trong mỗi sự kiện kiểm toán bao gồm trong PP/ST.

C.3.3. FAU_GEN.2 Kết hợp định danh người dùng

C.3.3.1. Chú thích cho ứng dụng người sử dụng

...

...

...

Giữa yêu cầu kiểm toán và tính riêng tư có sự mâu thuẫn. Với mục đích kiểm toán cần biết ai thực hiện một hành động nào đó. Người dùng có thể lưu giữ các hành động của mình và không bị nhận biết bởi những người khác. Hoặc có thể yêu cầu trong chính sách an toàn sự bảo vệ định danh của người dùng. Trong những trường hợp đó, đối tượng kiểm toán và sự riêng tư có thể mâu thuẫn với nhau. Do vậy, nếu lựa chọn yêu cầu này và sự riêng tư là quan trọng cần cân nhắc bí danh của người dùng. Yêu cầu xác định tên thật của người dùng dựa trên bí danh được xác định trong lớp riêng.

Nếu định danh người dùng chưa được kiểm lại qua việc xác thực, thì trường hợp đăng nhập không hợp lệ thì định danh người dùng được yêu cầu nên được lưu lại. Cần xem xét để thấy khi nào một định danh là chưa được xác thực.

C.4. Phân tích kiểm toán an toàn (FAU_SAA)

C.4.1. Chú thích cho người sử dụng

Họ này xác định những yêu cầu về việc tự động phân tích Hoạt động của hệ thống và dữ liệu kiểm toán nhằm phát hiện ra những sự vi phạm có thể hoặc đã xảy ra. Sự phân tích có thể thực hiện với sự hỗ trợ của phát hiện xâm nhập hoặc tự động phản ứng với sự vi phạm an toàn sắp xảy ra.

Hành động được thực hiện bởi TSF khi phát hiện ra sự vi phạm sẽ hoặc có nguy cơ xảy ra được định nghĩa trong các thành phần Phản hồi tự động kiểm toán an toàn (FAU_ARP).

Khi phân tích thời gian thực, dữ liệu kiểm toán có thể chuyển thành những dạng phù hợp với việc xử lý tự động hoặc ở dạng xem lại được với người dùng có quyền.

C.4.2. FAU_SAA.1 Phân tích khả năng xâm phạm

C.4.2.1. Chú thích cho ứng dụng người sử dụng

...

...

...

C.4.2.2. Các hoạt động

C.4.2.2.1. Chỉ định

Trong FAU_SAA.1.2, tác giả PP/ST cần chỉ rõ tập con của những sự kiện kiểm toán đã định nghĩa mà sự xảy ra hoặc xảy ra tích lũy của chúng cần được phát hiện là dấu hiệu vi phạm tiềm năng việc thi hành của các SFR.

Trong FAU_SAA.1.2 tác giả PP/ST cần chỉ rõ bất cứ quy định nào khác mà TSF cần sử dụng trong phân tích dấu vết kiểm chứng. Những luật này có thể bao gồm những yêu cầu cụ thể thể hiện nhu cầu đối với các sự kiện xảy ra trong một khoảng thời gian nhất định (có nghĩa trong khoảng của ngày, một thời kỳ). Nếu không có những quy định bổ sung mà TSF có thể sử dụng trong phân tích dấu vết kiểm chứng thì sự chỉ định này sẽ được hoàn thành với "không" ("none").

C.4.3. FAU_SAA.2 Phát hiện bất thường dựa trên mô tả tóm tắt

C.4.3.1. Chú thích cho ứng dụng người sử dụng

Tiểu sử là một cấu trúc mô tả biểu hiện của người sử dụng hoặc đối tượng, biểu diễn bằng cách nào người sử dụng hoặc đối tượng tương tác với TSF. Mẫu sử dụng được xây dựng với nhiều kiểu hoạt động mà người sử dụng hoặc đối tượng tham gia (Ví dụ các mẫu về xuất hiện ngoại lệ, tận dụng tài nguyên như thế nào, khi nào). Phương thức những hoạt động khác nhau được ghi lại trong tiểu sử (ví dụ tính toán tài nguyên, bộ đếm sự kiện, thời gian) được gọi là thuộc tính tiểu sử.

Mỗi tiểu sử thể hiện mẫu sử dụng của thành viên trong nhóm tiểu sử mục tiêu. Mẫu sử dụng có thể dựa trên quá khứ hoặc sự sử dụng thông thường của người dùng trong các nhóm tương tự nhau. Một nhóm tiểu sử mục tiêu là một hoặc nhiều hơn những người dùng tương tác với TSF. Hoạt động của mỗi thành viên trong nhóm tiểu sử được sử dụng bởi công cụ phân tích để xây dựng mẫu sử dụng trong nhóm tiểu sử đó. Sau đây là các ví dụ về nhóm tiểu sử mục tiêu.

a/ Tài khoản người dùng: mỗi người dùng có một tiểu sử

...

...

...

c/ Vai trò vận hành: một tiểu sử cho tất cả người dùng có chung một vai trò vận hành

d/ Hệ thống: một tiểu sử cho tất cả người dùng trong một hệ thống

Mỗi thành viên của một nhóm tiểu sử mục tiêu được gán một tỷ lệ nghi ngờ thể hiện mức độ tương ứng của những hành động gần đây nhất của người dùng với mẫu sử dụng trong nhóm tiểu sử.

Mức độ tinh vi của những công cụ phát hiện bất thường được xác định phần lớn dựa trên số lượng tiểu sử nhóm mục tiêu và độ phức tạp của thông số tiểu sử.

Thành phần này được sử dụng để xác định tập hợp các sự kiện kiểm toán có khả năng vi phạm với TSP và những công cụ dùng để phân tích sự vi phạm. Tập hợp những sự kiện và luật này có thể thay đổi bởi người dùng có quyền, chẳng hạn thêm, sửa hoặc xóa sự kiện hoặc luật.

PP/ST cần liệt kê chi tiết những hoạt động nào cần giám sát và/hoặc phân tích bởi TSF. PP/ST cũng cần xác định những thông tin liên quan để tạo nên tiểu sử sử dụng.

FAU_SAA.2 Phát hiện bất thường dựa trên mô tả tóm tắt yêu cầu TSF phải duy trì tiểu sử sử dụng của hệ thống. Điều này có nghĩa là sự phát hiện bất thường sẽ chủ động cập nhật tiểu sử sử dụng dựa trên những hành động của những thành viên trong nhóm tiểu sử. Điều quan trọng ở đây là thông số biểu diễn hành động của người dùng được định nghĩa trong PP/ST. Ví dụ, có thể có hàng nghìn hành động được cho phép thực hiện với mỗi người dùng nhưng sự phát hiện bất thường chỉ giám sát một tập hợp con của những hành động đó. Những hành động bất thường diễn ra trong thời gian dài có thể sẽ trở thành bình thường với người dùng nhất định nào đó và TSF sẽ không nên giám sát những hành động này nữa.

C.4.3.2. Các hoạt động

C.4.3.2.1. Chỉ định

...

...

...

Trong FAU_SAA.2.3, PP/ST cần xác định điều kiện trong đó những hành động bất thường được thông báo qua TSF. Điều kiện có thể bao gồm tỷ lệ nghi ngờ đạt đến một mức nhất định hoặc kiểu của hành động bất thường.

C.4.4. FAU_SAA Thử nghiệm tấn công đơn giản

C.4.4.1. Chú thích cho ứng dụng người sử dụng

Trong thực tế, rất ít khi một công cụ phân tích phát hiện ra sự vi phạm an ninh sắp xảy ra. Tuy nhiên, một số sự kiện hệ thống rất quan trọng cần được xem xét độc lập. Ví dụ những sự kiện liên quan đến xóa một tệp chứa khóa dữ liệu an toàn TSF (mật khẩu) hoặc hành động người dùng từ xa cố gắng chiếm quyền quản lý. Những sự kiện đó gọi là sự kiện dấu hiệu mà sự xuất hiện của chúng được coi như hành động xâm nhập.

Sự phức tạp của một công cụ sẽ phụ thuộc rất lớn vào sự chỉ định của PP/ST khi định danh tập hợp những sự kiện dấu hiệu.

PP/ST cần liệt kê chi tiết những sự kiện cần giám sát bởi TSF để thực hiện phân tích. PP/ST cần định danh những thông tin liên quan cần thiết đến một sự kiện nhằm xác định sự kiện đó có phải là sự kiện dấu hiệu không.

Những thông báo quản trị cần cung cấp sao cho người dùng có quyền hiểu được ý nghĩa sự kiện và có những phản hồi thích hợp.

Cần có những phương pháp để có thể giám sát thao tác hệ thống mà không hoàn toàn phụ thuộc vào dữ liệu kiểm toán. Ví dụ có thể sử dụng những công cụ phát hiện xâm nhập hiện có hoặc trước đây không sử dụng dữ liệu kiểm toán.

Phần tử trong FAU_SAA.2 Phát hiện tấn công đơn giản không yêu cầu TSF thực hiện trong cùng TSF đang được giám sát thao tác. Do vậy, có thể phát triển một thành phần phát hiện xâm nhập độc lập với hệ thống đang được giám sát.

...

...

...

C.4.4.2.1. Chỉ định

Trong FAU_SAA.3.1, người biên soạn PP/ST cần nhận dạng một tập con gốc các sự kiện hệ thống mà sự xuất hiện của chúng tách biệt với những hành động hệ thống khác, có thể cho thấy sự vi phạm thi hành của các SFR. Chúng gồm các sự kiện mà bản thân thể hiện rõ sự vi phạm việc thi hành của các SFR, hoặc sự xảy ra của chúng đáng kể đến nỗi có thể bảo đảm có hành động.

Trong FAU_SAA.3.2, PP/ST cần xác định thông tin được sử dụng để giám sát hoạt động hệ thống. Thông tin này là dữ liệu đầu vào được công cụ phân tích sử dụng để tìm những hành động hệ thống xuất hiện trong TOE. Dữ liệu này bao gồm dữ liệu kiểm toán, dữ liệu kiểm toán kết hợp với dữ liệu hệ thống khác hoặc những dữ liệu khác với dữ liệu kiểm toán. PP/ST cần xác định chính xác những sự kiện hệ thống và thuộc tính hệ thống được sử dụng để giám sát dữ liệu đầu vào.

C.4.5. FAU_SAA.4 Thử nghiệm tấn công phức tạp

C.4.5.1. Chú thích cho ứng dụng người sử dụng

Trong thực tế, rất tí khi một công cụ phân tích phát hiện ra sự vi phạm an ninh sắp xảy ra. Tuy nhiên, một số sự kiện hệ thống rất quan trọng cần được xem xét độc lập. Ví dụ những sự kiện liên quan đến xóa một tệp chứa khóa dữ liệu an toàn TSF (mật khẩu) hoặc hành động người dùng từ xa cố gắng chiếm quyền quản lý. Những sự kiện đó gọi là sự kiện dấu hiệu mà sự xuất hiện của chúng được coi như hành động xâm nhập.

Sự phức tạp của một công cụ sẽ phụ thuộc rất lớn vào sự chỉ định của PP/ST khi định danh tập hợp những sự kiện dấu hiệu.

PP/ST cần liệt kê chi tiết những sự kiện cần giám sát bởi TSF để thực hiện phân tích. PP/ST cần định danh những thông tin liên quan cần thiết đến một sự kiện nhằm xác định sự kiện đó có phải là sự kiện dấu hiệu không.

Những thông báo quản trị cần cung cấp sao cho người dùng có quyền hiểu được ý nghĩa sự kiện và có những phản hồi thích hợp.

...

...

...

Phần tử trong Phát hiện tấn công phức tạp FAU_SAA.4 không yêu cầu TSF thực hiện trong cùng TSF đang được giám sát hoạt động. Do vậy, có thể phát triển một thành phần phát hiện xâm nhập độc lập với hệ thống đang được giám sát.

C.4.5.2. Các hoạt động

C.4.5.2.1. Chỉ định

Trong FAU_SAA.4.1, PP/ST cần định danh một tập hợp gốc danh sách của chuỗi những sự kiện hệ thống và sự xuất hiện của chúng được coi là kịch bản xâm nhập đã biết trước. Mỗi sự kiện trong chuỗi được gắn với một sự kiện hệ thống đã giám sát.

Trong FAU_SAA.4.1, người biên soạn PP/ST nên định danh tập con cơ sở của những sự kiện hệ thống mà sự xuất hiện của chúng tách biệt với những hoạt động hệ thống khác, có thể chỉ ra sự vi phạm việc thi hành của các SFR. Chúng gồm các sự kiện mà bản thân thể hiện rõ sự vi phạm việc thi hành của các SFR, hoặc sự xảy ra của chúng đáng kể đến nỗi có thể bảo đảm có hành động.

Trong FAU_SAA.4.2, PP/ST cần xác định thông tin được sử dụng để xác định hoạt động của hệ thống. Thông tin này là dữ liệu đầu vào cho các công cụ phân tích để tìm ra những hành động hệ thống xuất hiện trong TOE. Dữ liệu này có thể bao gồm dữ liệu kiểm toán, hoặc sự kết hợp của dữ liệu kiểm toán với những dữ liệu khác. PP/ST cũng cần định nghĩa chính xác những sự kiện hệ thống và thuộc tính sự kiện đang được giám sát với dữ liệu đầu vào.

C.5. Soát xét kiểm toán an toàn (FAU_SAR)

C.5.1. Chú thích cho người sử dụng

Họ xem xét lại kiểm chứng an toàn định nghĩa các yêu cầu liên quan đến sự xem xét lại thông tin kiểm chứng.

...

...

...

• Hành động của người sử dụng (các hành động liên quan đến định danh, nhận thực, cổng vào TOE và điều khiển truy nhập);

• Hành động thực hiện trên một đối tượng nhất định hoặc tài nguyên TOE;

• Tất cả những ngoại lệ kiểm toán của một tập hợp nhất định;

• Hành động liên quan đến một thuộc tính của TSP.

Sự khác biệt giữa những xem xét lại kiểm chứng dựa vào tính chức năng. Xem xét lại kiểm chứng (duy trì) bao hàm khả năng xem lại dữ liệu kiểm chứng. Xem xét lại có thể lựa chọn thì phức tạp hơn, và đòi hỏi khả năng lựa chọn tập con dữ liệu kiểm chứng dựa trên tiêu chí đơn hoặc đa tiêu chí với các quan hệ logic (có nghĩa: và/hoặc), và sắp xếp dữ liệu kiểm chứng trước khi nó được xem xét lại.

C.5.2. FAU_SAR.1 Soát xét kiểm toán

C.5.2.1. Chú thích cho ứng dụng người sử dụng

Thành phần này cung cấp cho những người dùng được ủy quyền có quyền khả năng thu nhập và dịch thông tin. Trong trường hợp con người sử dụng, thông tin này cần biểu diễn ở dạng cho con người hiểu được. Trong trường hợp với các thực thể IT khác, thông tin này cần biểu diễn ở dạng điện tử rõ ràng.

C.5.2.2. Các hoạt động

...

...

...

Trong FAU_SAR1.1, người biên soạn PP/ST cần xác định người quản trị có thể sử dụng khả năng này. Nếu thích hợp, người biên soạn PP/ST nên bao gồm vai trò an toàn (xem vai trò an toàn FMT-SMR.1)

Trong FAU_SAR.1.1, người biên soạn PP/ST cần quy định rõ kiểu loại thông tin mà người dùng danh nghĩa được phép lấy từ bản ghi dữ liệu kiểm toán. Ví dụ là "tất cả" ("all"), "định danh chủ thể" ("subject identify"), "tất cả thông tin thuộc về bản ghi kiểm toán tham khảo người dùng này" ("all information belonging to audit records referencing this user"). Khi sử dụng SFR, RAU_SAR.1, không cần phải lặp lại, một cách hoàn toàn chi tiết, danh sách thông tin kiểm chứng được quy định ban đầu trong FAU_GEN.1. Việc sử dụng thuật ngữ như là "tất cả" hoặc "tất cả thông tin kiểm chứng" giúp hạn chế tình trạng tối nghĩa và việc cần phân tích so sánh thêm giữa hai yêu cầu an toàn.

C.5.3. FAU_SAR.2 Soát xét kiểm toán có hạn chế

C.5.3.1. Chú thích cho ứng dụng người sử dụng

Thành phần này xác định những người sử dụng không có định danh trong FAU_SAR.1 sẽ không được đọc bản ghi dữ liệu kiểm toán.

C.5.4. FAU_SAR.3 Soát xét kiểm toán có chọn lựa

C.5.4.1. Chú thích cho ứng dụng người sử dụng

Thành phần này được sử dụng để xác định rằng có thể lựa chọn dữ liệu kiểm toán để xem lại. Nếu có nhiều tiêu chuẩn lựa chọn, mối quan hệ giữa chúng cần phải logic (dưới dạng and, or) và công cụ cần cung cấp khả năng để xử lý dữ liệu kiểm toán (sắp xếp, lọc).

C.5.4.2. Các hoạt động

...

...

...

Trong FAU_SAR.3.1, người biên soạn PP/ST cần quy định rõ những khả năng nào để lựa chọn và/hoặc dữ liệu kiểm toán thứ tự nào được yêu cầu từ TSF.

Trong FAU_SAR.3.1, người biên soạn PP/ST cần chỉ định tiêu chí, có thể bằng các mối quan hệ logic, được sử dụng để lựa chọn dữ liệu kiểm toán xem lại. Các mối quan hệ logic này nhằm để quy định rõ hoạt động có thể trên một thuộc tính riêng lẻ hay là trên một tập hợp các thuộc tính. Một ví dụ về sự chỉ định này là: "ứng dụng, tài khoản người dùng và/hoặc vị trí" ("application, user account and/or location"). Trong trường hợp này hoạt động có thể được quy định rõ bằng việc sử dụng bất cứ liên hợp nào của ba thuộc tính: ứng dụng, tài khoản người dùng và vị trí.

C.6. Lựa chọn sự kiện kiểm toán an toàn (FAU_SEL)

C.6.1. Chú thích cho người sử dụng

Họ lựa chọn sự kiện kiểm toán an toàn cung cấp yêu cầu liên quan đến khả năng những sự kiện kiểm toán nào có thể kiểm toán được. Sự kiện kiểm toán được định nghĩa trong họ FAU_GEN, nhưng những sự kiện đó cần được định nghĩa một cách chọn lọc trong thành phần này để kiểm toán.

Họ này đảm bảo rằng có thể không sử dụng những dữ liệu kiểm toán quá dài bằng cách định nghĩa thuộc tính thích hợp trong những sự kiện kiểm toán an toàn được lựa chọn.

C.6.2. FAU_SEL.1 Kiểm toán lựa chọn

C.6.2.1. Chú thích cho ứng dụng người sử dụng

Thành phần này định nghĩa tiêu chuẩn lựa chọn được sử dụng và những tập hợp con kết quả đã được kiểm toán của tập hợp tất cả các sự kiện có thể kiểm toán, dựa trên các thuộc tính người dùng, các thuộc tính chủ thể, các thuộc tính đối tượng hoặc các kiểu loại sự kiện.

...

...

...

Đối với môi trường phân tán, định danh của máy trạm có thể sử dụng như lựa chọn cho những sự kiện kiểm toán.

Chức năng quản lý dữ liệu TSF (FMT_MTD.1) sẽ xử lý quyền của người quản trị khi truy vấn hoặc sửa đổi lựa chọn.

C.6.2.2. Các hoạt động

C.6.2.2.1. Phép chọn

Trong FAU_SEL.1.1, PP/ST cần lựa chọn mối quan hệ của thuộc tính an toàn để kiểm toán dựa trên định danh đối tượng, định danh người dùng, định danh máy trạm hoặc kiểu sự kiện.

C.6.2.2.2. Chỉ định

Trong FAU_SEL.1.1, PP/ST cần xác định những thuộc tính bổ sung liên quan đến sự lựa chọn kiểm toán. Nếu không có cũng cần Chỉ định rõ là "không có".

C.7. Lưu trữ sự kiện kiểm toán an toàn (FAU_STG)

C.7.1. Chú thích cho người sử dụng

...

...

...

C.7.2. FAU_STG.1 Lưu trữ các vết kiểm toán có bảo vệ

C.7.2.1. Chú thích cho ứng dụng người sử dụng

Trong môi trường phân tán, do nơi lưu trữ dữ liệu kiểm toán trong TSC nhưng không cần thiết phải trong cùng nơi tạo ra dữ liệu, PP/ST có thể yêu cầu nhận thực về nguồn gốc của bản ghi kiểm toán trước khi lưu bản ghi đó.

TSF sẽ bảo vệ dữ liệu kiểm toán đã lưu trữ trong dấu vết kiểm toán khỏi những hành động xóa hoặc sửa đổi không được phép. Lưu ý rằng trong một số TOE (vai trò) người kiểm toán có thể không được phép xóa bản ghi kiểm toán trong một khoảng thời gian nhất định.

C.7.2.2. Các hoạt động

C.7.2.2.1. Phép chọn

Trong FAU_STG.1.2, người biên soạn PP/ST cần quy định TSF sẽ ngăn chặn hoặc chỉ có thể phát hiện sự thay đổi của các dữ liệu kiểm toán đã lưu trữ trong dấu vết kiểm toán. Chỉ một tùy chọn được lựa chọn.

C.7.3. FAU_STG.2 Đảm bảo sự sẵn sàng của dữ liệu kiểm toán

C.7.3.1. Chú thích cho ứng dụng người sử dụng

...

...

...

Trong môi trường phân tán, do nơi lưu trữ dữ liệu kiểm toán trong TSC những không cần thiết phải trong cùng nơi tạo ra dữ liệu, PP/ST có thể yêu cầu nhận thực về nguồn gốc của bản ghi kiểm toán trước khi lưu bản ghi đó.

C.7.3.2. Các hoạt động

C.7.3.2.1. Phép chọn

Trong FAU_STG.2.2, người biên soạn PP/ST cần quy định rõ STF sẽ ngăn chặn hoặc chỉ có thể phát hiện sự thay đổi của bản ghi kiểm toán đã lưu trữ trong dấu vết kiểm toán. Chỉ một tùy chọn được lựa chọn.

C.7.3.2.2. Chỉ định

Trong FAU_STG.2.3, tác giả PP/ST cần chỉ rõ thông số mà TSF phải đảm bảo đối với bản ghi kiểm toán lưu trữ. Thông số này giới hạn dữ liệu thất thoát dựa trên số lượng bản ghi phải được duy trì hoặc thời gian bản ghi được đảm bảo duy trì. Ví dụ, thông số là "100,000" có nghĩa là 100,000 bản ghi kiểm toán cần được lưu giữ.

C.7.3.2.3. Phép chọn

Trong FAU_STG.2.3, tác giả PP/ST cần xác định điều kiện trong đó TSF nào vẫn có thể duy trì được một lượng dữ liệu kiểm toán đã thiết lập trước. Điều kiện này có thể như sau: không gian lưu trữ bị cạn kiệt, hỏng hoặc tấn công.

C.7.4. FAU_STG.3 Hành động trong trường hợp có thể mất mát dữ liệu kiểm toán

...

...

...

Thành phần này yêu cầu hành động sẽ phải thực hiện khi dữ liệu kiểm toán vượt quá giới hạn đã thiết lập trước.

C.7.4.2. Các hoạt động

C.7.4.2.1. Chỉ định

Trong FAU_STG.3.1, PP/ST cần xác định giới hạn thiết lập trước. Nếu chức năng quản lý thông báo rằng con số này có thể thay đổi bởi người dùng được cấp quyền thì giá trị là giá trị mặc định. PP/ST nên cho phép người dùng được cấp quyền thiết lập giới hạn này.

Trong FAU_STG.3.1, PP/ST cần xác định hành động cần thực hiện trong trường hợp nơi lưu trữ dữ liệu kiểm toán sắp bị hỏng dựa trên sự thông báo vượt qua mức ngưỡng. Hành động nên bao gồm thông báo cho người được cấp quyền.

C.7.5. FAU_STG.4 Ngăn chặn mất mát dữ liệu kiểm toán

C.7.5.1. Chú thích cho ứng dụng người dùng

Thành phần này chỉ rõ ứng xử của TOE khi dấu vết kiểm toán bị đầy: hoặc là các bản ghi kiểm toán bị bỏ qua hoặc TOE bị "đông cứng" đến nỗi không có sự kiện kiểm toán nào có thể xảy ra được. Các yêu cầu cũng chỉ ra rằng bất cứ yêu cầu là như thế nào, thì người dùng được cấp phép với các quyền cụ thể đối với kết quả này đều có thể tiếp tục tạo ra sự kiện kiểm toán (các hành động). Lý do là mặt khác thì người dùng được cấp quyền thậm chí cũng không thể khởi động lại TOE. Cần cân nhắc lựa chọn hành động do TSF thực hiện trong trường hợp cạn kiệt lưu trữ kiểm toán, như bỏ qua các sự kiện, mà cung cấp khả năng sẵn sàng của TOE tốt hơn, cũng sẽ cho phép các hành động được thực hiện mà không ghi lại và không theo dõi được người sử dụng.

C.7.5.2. Các hoạt động

...

...

...

Trong FAU_STG.4.1, PP/ST cần lựa chọn TSF sẽ bỏ qua những hành động có thể kiểm toán hoặc những bản ghi lâu nhất được ghi đè khi TSF không thể ghi tiếp. Chỉ một tùy chọn được phép sử dụng.

C.7.5.2.2. Chỉ định

Trong FAU_STG.4.1, PP/ST cần xác định những hành động được thực hiện khi nơi lưu trữ dữ liệu kiểm toán bị hỏng, ví dụ thông báo với người dùng được cấp quyền. Nếu không, sự Chỉ định phải ghi rõ là "không có".

PHỤ LỤC D

(Quy định)

LỚP FCO: TRUYỀN THÔNG

Lớp này mô tả các yêu cầu đặc biệt quan tâm đối với các TOE dùng cho việc vận chuyển thông tin. Các họ trong lớp này liên quan việc không từ chối.

Trong lớp này khái niệm "thông tin" được sử dụng. Thông tin này được dịch như là đối tượng đang được truyền thông, và có thể bao gồm một thông điệp thư điện tử, tệp hoặc một tập hợp kiểu thuộc tính đã xác định.

...

...

...

Hình D.1 - Phân cấp lớp FCO: Truyền thông

D.1. Không chối bỏ nguồn gốc (FCO_NRO)

D.1.1. Chú thích cho người sử dụng

Nguồn gốc không thể phủ nhận định nghĩa yêu cầu để cung cấp bằng chứng cho người sử dụng/đối tượng về định danh người khởi tạo ra một số thông tin. Người khởi tạo không thể phủ nhận những thông tin đã gửi vì bằng chứng về nguồn gốc (ví dụ chữ ký số) khẳng định mối liên kết giữa người đó và thông tin đã gửi đi. Người nhận hoặc một người thứ ba có thể xác nhận bằng chứng về nguồn gốc này. Bằng chứng này cần không làm giả được.

Nếu thông tin hoặc những thuộc tính liên quan bị thay đổi theo bất kỳ cách nào, tính hợp lệ của bằng chứng về nguồn gốc là thất bại. Do đó PP/ST cần cân nhắc bao gồm cả yêu cầu toàn vẹn như FDP_UIT.1.

Không thể phủ nhận bao gồm một số vai trò khác nhau có thể kết hợp trong đối tượng:

- Vai trò thứ nhất là một đối tượng yêu cầu bằng chứng về nguồn gốc (chỉ có trong FCO_NRO.1),

- Vai trò thứ hai là người nhận và/hoặc những đối tượng khác được cung cấp bằng chứng

...

...

...

PP/ST cần xác định điều kiện cần thiết để kiểm tra tính hợp lệ của bằng chứng. Một ví dụ về điều kiện này là sự kiểm tra bằng chứng phải xảy ra trong vòng 24 giờ. Những điều kiện này do vậy cho phép thay đổi yêu cầu hợp lệ, ví dụ có thể cung cấp bằng chứng trong một vài năm.

Trong phần lớn trường hợp, định danh của người nhận sẽ là người nhận sự truyền tin. Trong một số trường hợp PP/ST không muốn định danh người dùng xuất ra. Trong trường hợp đó, PP/ST cần cân nhắc bao gồm cả lớp này hoặc có nên sử dụng định danh của người cung cấp dịch vụ hay định danh của máy trạm không.

Ngoài ra, PP/ST cần xem xét đến thời gian thông tin được truyền đi. Ví dụ, yêu cầu khuyến nghị phải được truyền đi trước ngày nào đó. Trong trường hợp như vậy, những yêu cầu này có thể tùy biến nhằm cung cấp một sự chỉ thị về mốc thời gian (thời gian gốc).

D.1.2. FCO_NRO.1 Lựa chọn kiểm chứng nguồn gốc

D.1.2.1. Các hoạt động

D.1.2.1.1. Chỉ định

Trong FCO_NRO.1.1, PP/ST cần điền kiểu thông tin về đối tượng trong chức năng bằng chứng về nguồn gốc, ví dụ thông điệp thư điện tử.

D.1.2.1.2. Phép chọn

Trong FCO_NRO.1.1, PP/ST cần xác định người dùng/ đối tượng có thể yêu cầu bằng chứng về nguồn gốc.

...

...

...

Trong FCO_NRO.1.1, PP/ST dựa trên sự lựa chọn cần xác định những đối tác thứ ba có thể yêu cầu bằng chứng về nguồn gốc. Một đối tác thứ ba có thể là trọng tài, quan tòa hoặc một đối tượng hợp lệ.

Trong FCO_NRO.1.2, PP/ST cần điền danh sách những thuộc tính sẽ liên kết với thông tin, ví dụ định danh người khởi tạo, thời gian gốc, và vị trí gốc.

Trong FCO_NRO.1.2, PP/ST cần điền danh sách những trường thông tin mang những thuộc tính cung cấp bằng chứng về nguồn gốc, ví dụ nội dung của một thông điệp.

D.1.2.1.4. Phép chọn

Trong FCO_NRO.1.3, PP/ST cần xác định người dùng/ đối tượng có thể thẩm tra bằng chứng về nguồn gốc.

D.1.2.1.5. Chỉ định

Trong FCO_NRO.1.3, PP/ST cần điền danh sách những giới hạn mà bằng chứng có thể thẩm tra. Ví dụ, bằng chứng chỉ có thể thẩm tra trong 24 giờ. Một Chỉ định "ngay tức thì" hoặc "không xác định" có thể được chấp nhận.

Trong FCO_NRO.1.3, PP/ST dựa trên sự lựa chọn cần xác định những đối tác thứ ba có thể thẩm tra bằng chứng về nguồn gốc.

D.1.3. FCO_NRO.2 Thực thi kiểm chứng nguồn gốc

...

...

...

D.1.3.1.1. Chỉ định

Trong FCO_NRO.2.1, PP/ST cần điền những kiểu thông tin đối tượng trong chức năng bằng chứng nguồn gốc, ví dụ thông điệp thư điện tử.

Trong FCO_NRO.2.2, PP/ST cần điền danh sách những thuộc tính sẽ liên kết với thông tin, ví dụ định danh người khởi tạo, thời gian gốc, và vị trí gốc.

Trong FCO_NRO.2.2, PP/ST cần điền danh sách những trường thông tin mang những thuộc tính cung cấp bằng chứng về nguồn gốc, ví dụ nội dung của một thông điệp.

D.1.3.1.2. Phép chọn

Trong FCO_NRO.2.3, PP/ST cần xác định người dùng/ đối tượng có thể thẩm tra bằng chứng về nguồn gốc.

D.1.3.1.3. Chỉ định

Trong FCO_NRO.1.3, PP/ST cần điền danh sách những giới hạn mà bằng chứng có thể thẩm tra. Ví dụ, bằng chứng chỉ có thể thẩm tra trong 24 giờ. Một Chỉ định "ngay tức thì" hoặc "không xác định" có thể được chấp nhận.

Trong FCO_NRO.1.3, PP/ST dựa trên sự lựa chọn cần xác định những đối tác thứ ba có thể thẩm tra bằng chứng về nguồn gốc. Đối tác thứ ba có thể là một trọng tài, quan tòa hoặc một đối tượng hợp lệ.

...

...

...

D.2.1. Chú thích cho người sử dụng

FCO_NRR định nghĩa yêu cầu để cung cấp bằng chứng cho những người dùng/ đối tượng khác rằng thông tin được nhận bởi người nhận. Người nhận không thể từ chối thành công đã nhận thông tin bởi bằng chứng biên nhận (ví dụ chữ ký điện tử) khẳng định mối liên kết giữa thuộc tính người nhận và thông tin. Người khởi tạo hoặc đối tác thứ ba có thể thẩm tra bằng chứng biên nhận. Bằng chứng này cần không làm giả được.

Lưu ý rằng sự bằng chứng cung cấp không cần thiết gợi ý rằng thông tin đã được đọc hoặc lĩnh hội mà chỉ nhận được.

Nếu thông tin hoặc những thuộc tính liên quan được thay đổi theo cách nào đó, tính hợp lệ của bằng chứng biên nhận so với thông tin gốc là thất bại. Do vậy PP/ST cần cân nhắc yêu cầu về tính toàn vẹn như FDP_UIT.1

Trong không thể phủ định bao gồm một số vai trò khác nhau có thể kết hợp trong đối tượng:

- Vai trò thứ nhất là một đối tượng yêu cầu bằng chứng về nguồn gốc (chỉ có trong FCO_NRO.1),

- Vai trò thứ hai là người nhận và/hoặc những đối tượng khác được cung cấp bằng chứng, ví dụ công chứng viên

- Vai trò thứ ba là một đối tượng yêu cầu thẩm tra lại nguồn gốc của bằng chứng ví dụ hư trọng tài

PP/ST cần xác định điều kiện cần thiết để thẩm tra tính hợp lệ của bằng chứng. Một ví dụ về điều kiện này là sự thẩm tra bằng chứng phải xảy ra trong vòng 24 giờ. Những điều kiện này do vậy cho phép thay đổi yêu cầu hợp lệ, ví dụ có thể cung cấp bằng chứng trong một vài năm.

...

...

...

Ngoài ra, PP/ST cần xem xét đến thời gian thông tin được truyền đi. Ví dụ, yêu cầu khuyến nghị phải được truyền đi trước một ngày nào đó. Trong trường hợp như vậy, những yêu cầu này có thể tùy biến nhằm cung cấp một sự chỉ thị về mốc thời gian (thời gian gốc).

D.2.2. FCO_NRR.1 Lựa chọn kiểm chứng bên nhận

D.2.2.1. Các hoạt động

D.2.2.1.1. Chỉ định

Trong FCO_NRR.1.1, PP/ST cần điền vào kiểu thông tin đối tượng cho bằng chứng biên nhận, ví dụ, thông điệp thư điện tử.

D.2.2.1.2. Phép chọn

Trong FCO_NRR.1.1, PP/ST cần xác định người dùng/đối tượng có thể yêu cầu bằng chứng biên nhận.

D.2.2.1.3. Chỉ định

Trong FCO_NRR.1.1, PP/ST dựa vào sự lựa chọn cần xác định những đối tác thứ ba có thể yêu cầu bằng chứng biên nhận. Đối tác thứ ba có thể là trọng tài, quan tòa hoặc đối tượng hợp lệ.

...

...

...

Trong FCO_NRR.1.2, PP/ST cần điền danh sách các trường thông tin trong đó có những thuộc tính cung cấp bằng chứng biên nhận, ví dụ nội dung của một thông điệp.

D.2.2.1.4. Phép chọn

Trong FCO_NRR.1.3, PP/ST cần xác định những người dùng/ đối tượng có thể thẩm tra bằng chứng biên nhận.

D.2.2.1.5. Chỉ định

Trong FCO_NRR.1.3, PP/ST cần điền danh sách những sự hạn chế mà dựa vào đó bằng chứng có thể thẩm tra. Ví dụ bằng chứng chỉ có thể thẩm tra trong vòng 24 giờ. Một sự chỉ định "Ngay lập tức" hoặc "Không xác định" là chấp nhận được.

Trong FCO_NRR.1.3, PP/ST cần dựa trên sự lựa chọn để xác định những đối tác thứ ba có thể thẩm tra bằng chứng biên nhận.

D.2.3. FCO_NRR.2 Thực thi kiểm chứng biên nhận

D.2.3.1. Các hoạt động

D.2.3.1.1 Chỉ định

...

...

...

Trong FCO_NRR.2.2, PP/ST cần điền danh sách những thuộc tính sẽ liên kết với thông tin; ví dụ định danh người nhận, thời gian nhận, địa điểm nhận.

Trong FCO_NRR.2.2, PP/ST cần điền danh sách các trường thông tin trong đó có những thuộc tính cung cấp bằng chứng biên nhận, ví dụ nội dung của một thông điệp.

D.2.3.1.2. Phép chọn

Trong FCO_NRR.2.3, PP/ST cần xác định những người dùng/ đối tượng có thể thẩm tra bằng chứng biên nhận.

D.2.3.1.3. Chỉ định

Trong FCO_NRR.1.3, PP/ST cần điền danh sách những sự hạn chế mà dựa vào đó bằng chứng có thể thẩm tra. Ví dụ bằng chứng chỉ có thể thẩm tra trong vòng 24 giờ. Một sự Chỉ định  "ngay lập tức" hoặc "không xác định" là chấp nhận được.

Trong FCO_NRR.1.3, PP/ST cần dựa trên sự lựa chọn để xác định những đối tác thứ ba có thể thẩm tra bằng chứng biên nhận. Đối tác thứ ba có thể là một trọng tài, quan tòa hoặc đối tượng hợp lệ.

PHỤ LỤC E

...

...

...

LỚP FCS: HỖ TRỢ MẬT MÃ

 TSF có thể tận dụng chức năng mật mã để hỗ trợ cho những mục đích an toàn ở mức cao. Chức năng này có thể bao gồm (những không giới hạn bởi): định danh và nhận thức, không phủ định, đường tin cậy, kênh tin cậy và tách dữ liệu. Lớp này được sử dụng khi TOE thực hiện chức năng mật mã, có thể trong phần cứng, phần sụn hoặc phần mềm.

FCS bao gồm hai họ: Quản lý khóa mật mã (FCS_CKM) và Thao tác mật mã (FCS_COP). FCS_CKM chú trọng vào vấn đề quản lý khóa mật mã trong khi FCS_COP liên quan đến sự sử dụng những khóa mật mã đó.

Với mỗi phương thức tạo khóa mật mã thực hiện bởi TOE nếu có, PP/ST cần lựa chọn thành phần Tạo khóa mật mã FCS_CKM.1

Với mỗi phương thức phân phối khóa mật mã thực hiện bởi TOE nếu có, PP/ST cần lựa chọn thành phần Phân phối khóa mật mã FCS_CKM.2

Với mỗi phương thức truy nhập khóa mật mã thực hiện bởi TOE nếu có, PP/ST cần lựa chọn thành phần Truy nhập khóa mật mã FCS_CKM.3

Với mỗi phương thức hủy khóa mật mã thực hiện bởi TOE nếu có, PP/ST cần lựa chọn thành phần Hủy khóa mật mã FCS_KCM.4

Chức năng mật mã có thể sử dụng để đáp ứng mục tiêu trong lớp FCO - Trao đổi thông tin và trong các họ Nhận thực dữ liệu (FDP_DAU), Tính toàn vẹn dữ liệu lưu trữ (FDP_SDI), Bảo vệ chuyển giao bí mật dữ liệu người dùng giữa TSF (FDP_UIT), Đặc tính bí mật (FIA_SOS), Nhận thực người dùng (FIA_UAU) để đáp ứng nhiều mục tiêu khác nhau. Trong trường hợp chức năng mật mã được sử dụng để đáp ứng mục tiêu cho các lớp khác, những thành phần chức năng riêng lẻ xác định những mục tiêu đó phải đáp ứng chức năng mật mã. Mục tiêu trong lớp FCS cần được sử dụng khi chức năng mật mã của TOE được yêu cầu từ khách hàng.

Hình Ε.1 minh họa các thành phần của lớp FCS.

...

...

...

Hình Ε.1 - Phân cấp lớp FCS: Hỗ trợ mật mã

Ε.1. Quản lý khóa mật mã (FCS_CKM)

Ε.1.1. Chú thích cho người sử dụng

Khóa mật mã phải được quản lý trong suốt thời gian tồn tại của khóa. Những sự kiện thường gặp trong chu kỳ sống của khóa mật mã bao gồm (nhưng không giới hạn bởi): tạo, phân phối, lưu giữ, truy nhập và hủy khóa.

Số trạng thái của khóa phụ thuộc vào chiến lược quản lý khóa đang triển khai do TOE không cần thiết tham gia vào tất cả trong chu kỳ sống của khóa (ví dụ TOE chỉ tạo và phân phối khóa).

Họ này nhằm hỗ trợ chu kỳ sống của khóa và do đó định nghĩa yêu cầu cho những thao tác sau: Tạo khoá, phân phối khóa và hủy khóa. Họ này cần sử dụng khi có yêu cầu chức năng về quản lý khóa mật mã.

Nếu FAU_GEN bao gồm trong PP/ST thì trong ngữ cảnh của sự kiện đang kiểm toán:

a/ Thuộc tính của mục đích có thể bao gồm người dùng đã gắn cho khóa mật mã, vai trò của người dùng, thao tác sử dụng khóa mật mã, định danh khóa mật mã và khoảng thời gian hợp lệ của khóa mật mã.

b/ Giá trị của mục đích có thể bao gồm giá trị của khóa mật mã và tham số không kể đến những thông tin nhạy cảm (ví dụ khóa mật mã bí mật hoặc riêng tư).

...

...

...

Ε.1.2. FCS_CKM.1 Tạo khóa mật mã

Ε.1.2.1. Chú thích cho ứng dụng người sử dụng

Thành phần này yêu cầu xác định độ dài khóa mật mã và phương thức tạo khóa (có thể tuân theo một tiêu chuẩn Chỉ định). Chỉ cần một đối tượng của thành phần cho cùng một phương thức và những độ dài mã khác nhau. Độ dài mã có thể dùng chung hoặc khác nhau với các thực thể, có thể là đầu vào hoặc đầu ra của phương thức.

Ε.1.2.2. Các hoạt động

Ε.1.2.2.1. Chỉ định

Trong FCS_CKM.1.1, tác giả PP/ST nên xác định thuật toán tạo khóa mật mã được sử dụng.

Trong FCS_CKM.1.1, tác giả PP/ST nên xác định độ dài khóa mật mã được sử dụng. Độ dài khóa cần thích hợp với thuật toán và mục đích sử dụng.

Trong FCS_CKM.1.1, tác giả PP/ST nên xác định tiêu chuẩn được chỉ định để tạo khóa mật mã. Tiêu chuẩn chỉ định có thể không có hoặc nhiều hơn một tiêu chuẩn đã công bố quốc tế, trong nước hoặc một tổ chức.

Ε.1.3. FCS_CKM.2 Phân phối khóa mật mã

...

...

...

Thành phần này yêu cầu các phương pháp được sử dụng để phân phối các khóa mật mã được quy định, điều này có thể phù hợp với một tiêu chuẩn được chỉ định.

Ε.1.3.2. Các hoạt động

Ε1.3.2.1. Chỉ định

Trong FCS_CKM.2.1, tác giả PP/ST nên xác định phương pháp phân phối khóa mật mã được sử dụng.

Trong FCS_CKM.2.1, tác giả PP/ST nên xác định tiêu chuẩn được chỉ định để tạo các khóa mật mã. Tiêu chuẩn chỉ định có thể không có hoặc nhiều hơn một tiêu chuẩn đã công bố quốc tế, trong nước hoặc một tổ chức.

Ε.1.4. FCS_CKM.3 Truy nhập khóa mật mã

Ε.1.4.1. Chú thích cho ứng dụng người sử dụng

Thành phần này yêu cầu phương pháp được sử dụng để truy cập các khóa mật mã quy định, điều này có thể phù hợp với tiêu chuẩn được chỉ định.

Ε.1.4.2. Các hoạt động

...

...

...

Trong FCS_CKM.3.1, tác giả PP/ST nên xác định loại truy cập khóa mật mã đang sử dụng. Ví dụ về loại khóa truy cập khóa mật mã gồm (nhưng không hạn chế) sao lưu khóa mật mã và phục hồi khóa mật mã.

Trong FCS_CKM.3.1, tác giả PP/ST nên xác định phương pháp truy cập khóa mật mã được sử dụng.

Trong FCS_CKM.3.1, tác giả PP/ST nên xác định tiêu chuẩn được chỉ định để tạo các khóa mật mã. Tiêu chuẩn chỉ định có thể không có hoặc nhiều hơn một tiêu chuẩn đã công bố quốc tế, trong nước hoặc một tổ chức.

Ε.1.5. FCS_CKM.4 Hủy bỏ khóa mật mã

Ε.1.5.1. Chú thích cho ứng dụng người sử dụng

Thành phần này yêu cầu phương pháp được sử dụng để phá hủy các khóa mật mã quy định, điều này có thể phù hợp với tiêu chuẩn được chỉ định.

Ε.1.5.2. Các hoạt động

Ε1.5.2.1. Chỉ định

Trong FCS_CKM.4.1, tác giả PP/ST nên xác định phương pháp phá hủy khóa được sử dụng cho việc phá hủy các khóa mật mã.

...

...

...

Ε.2. Hoạt động mật mã (FCS_COP)

Ε.2.1. Chú thích cho người sử dụng

Thao tác mật mã có thể gắn liền với những chế độ mật mã. Khi đó chế độ mật mã phải được xác định.

Thao tác mật mã có thể hỗ trợ một hoặc một vài dịch vụ an toàn TOE. Thành phần FCS_COP có thể cần lặp lại hơn một lần dựa trên:

a/ Ứng dụng người dùng mà trên đó dịch vụ an toàn được sử dụng

b/ Sự sử dụng những thuật toán và độ dài khóa mật mã khác nhau

c/ Kiểu dữ liệu đang sử dụng

Nếu trong PP/ST bao gồm cả FAU_GEN thì trong ngữ cảnh của thao tác mật mã đang kiểm tra:

a/ Thao tác mật mã có thể bao gồm tạo và (hoặc) kiểm tra chữ ký số, tạo mã kiểm tra toàn vẹn và kiểm tra lại, tính hàm băm, mã hóa và giải mã dữ liệu, mã hóa và giải mã khóa mật mã, thỏa thuận khóa mật mã và tạo số ngẫu nhiên.

...

...

...

c/ Thuộc tính của đối tượng có thể bao gồm người dùng Chỉ định cho khóa mật mã, vai trò người dùng và thời gian hợp lệ của khóa mật mã.

Ε.2.2. FCS_COP.1 Hoạt động mật mã

Ε.2.2.1. Chú thích cho ứng dụng người sử dụng

Thành phần này yêu cầu thuật toán mật mã và độ dài khóa được sử dụng cho thao tác mật mã có thể dựa trên một tiêu chuẩn Chỉ định.

Ε.2.2.2. Các hoạt động

Ε.2.2.2.1. Chỉ định

Trong FCS_COP.1.1, PP/ST cần xác định thao tác mật mã đang thực hiện. Những thao tác mật mã thông thường bao gồm tạo và (hoặc) kiểm tra chữ ký số, tạo mã kiểm tra toàn vẹn và kiểm tra lại, tính hàm băm, mã hóa và giải mã dữ liệu, mã hóa và giải mã khóa mật mã, thỏa thuận khóa mật mã và tạo số ngẫu nhiên. Thao tác mật mã có thể được thực hiện trên dữ liệu người dùng hoặc dữ liệu TSF.

Trong FCS_COP.1.1, PP/ST cần xác định thuật toán mật mã được sử dụng; có thể bao gồm (nhưng không giới hạn bởi) DES, RSA và IDEA.

Trong FCS_COP.1.1, PP/ST cần xác định độ dài khóa mật mã được sử dụng. Độ dài khóa cần thích hợp với thuật toán và mục tiêu sử dụng.

...

...

...

PHỤ LỤC F

(Quy định)

LỚP FDP: BẢO VỆ DỮ LIỆU NGƯỜI DÙNG

Lớp này chứa các họ chỉ rõ các yêu cầu liên quan việc bảo vệ dữ liệu người sử dụng. Lớp này khác với FIA và FPT trong FDP đó: việc bảo vệ dữ liệu người dùng chỉ rõ các thành phần bảo vệ dữ liệu người dùng, FIA chỉ rõ các thành phần bảo vệ các thuộc tính liên kết với người dùng, và FPT chỉ rõ các thành phần bảo vệ thông tin TSF.

Lớp FDP không chứa các yêu cầu rõ ràng cho các kiểm soát truy nhập bắt buộc truyền thông (Mandatory Access Controls - MAC) hoặc các kiểm soát truy nhập rời rạc truyền thông (Discretionary Access Controls - DAC); Tuy nhiên, các yêu cầu đó có thể được thiết kế qua các thành phần của lớp này.

Lớp FDP không đề cập rõ ràng đến tính bí mật, toàn vẹn, hoặc khả dụng, tuy cả ba tính chất này thường gắn liền trong chính sách và các cơ chế. Tuy nhiên, chính sách an toàn TOE phải bao trùm cả ba mục tiêu này trong PP/ST.

Một khía cạnh khác cửa lớp này là nó quy định kiểm soát truy nhập dưới dạng "các thao tác". Một thao tác được xác định là một kiểu truy nhập cụ thể tới một đối tượng cụ thể. Nó phụ thuộc vào mức độ trừu tượng của chủ thể PP/ST, hoặc các thao tác được mô tả là các thao tác "đọc" hay "viết", hoặc là các thao tác phức tạp hơn ví dụ như "Cập nhật cơ sở dữ liệu".

Các chính sách kiểm soát truy nhập là các chính sách dùng để kiểm soát truy nhập tới một kho chứa thông tin. Các thuộc tính biểu thị thuộc tính của kho chứa. Một khi thông tin ra khỏi kho chứa, tác nhân truy nhập sẽ tùy ý sửa đổi thông tin, bao gồm cả việc viết thông tin vào một kho chứa khác với các thuộc tính khác. Trái lại, các chính sách cho một luồng tin kiểm soát truy nhập tới thông tin, độc lập với kho chứa. Các thuộc tính của thông tin, có thể liên đới với các thuộc tính của kho chứa (hoặc không liên đới như trường hợp một cơ sở dữ liệu đa cấp), chúng sẽ gắn liền với thông tin khi di chuyển. Tác nhân truy nhập không có khả năng, trường hợp thiếu chủ quyền rõ ràng, để thay đổi các thuộc tính thông tin.

...

...

...

Ví dụ, giả sử muốn có các kiểm soát có áp đặt của người dùng (hoặc do người dùng xác định) tới luồng tin. Các khái niệm đó có thể được xử lý như các bổ sung chi tiết, hoặc các mở rộng của các thành phần FDP.

Cuối cùng, điều quan trọng là khi xem xét các thành phần trong FDP là phải ghi nhớ rằng các thành phần này là các yêu cầu đối với các chức năng có thể được thực thi bởi một cơ chế để phục vụ hoặc có thể phục vụ mục đích khác. Ví dụ, có thể thiết lập một chính sách kiểm soát truy nhập (Chính sách kiểm soát truy nhập FDP_ACC) có sử dụng các nhãn (các thuộc tính an toàn đơn giản FDP_IF.1) như là cơ sở cho cơ chế kiểm soát truy nhập.

Một tập hợp các SFR có thể chứa đựng nhiều chính sách chức năng an toàn (SFP), mỗi cái được xác định bởi hai thành phần định hướng chính sách FDP_ACC, và chính sách kiểm soát luồng tin (FDP_IFC). Các chính sách này thường xem xét tính bí mật, tính toàn vẹn và tính khả dụng theo như yêu cầu để thỏa mãn các yêu cầu TOE. Cần thận trọng để đảm bảo rằng mọi mục tiêu sẽ đạt được bởi ít nhất một SFP và không có xung đột xuất hiện khi thực thi nhiều SFP.

Khi thiết lập một PP/ST với các thành phần của FDP, thông tin tiếp theo cung cấp hướng dẫn về việc thấy nó ở đầu và chọn lựa gì từ lớp này.

Các yêu cầu trong lớp FDP được định nghĩa thông qua một tập hợp các SFR mà sẽ thực thi một SFP. Do một TOE có thể thực thi đồng thời nhiều SFP, tác giả PP/ST phải quy định rõ tên của mỗi SFP, do đó nó có thể được tham chiếu từ các họ khác. Tên này sẽ được dùng trong mỗi thành phần được chọn để chỉ ra rằng nó đang được sử dụng như một phần của định nghĩa các yêu cầu cho chức năng này. Điều đó cho phép tác giả dễ dàng chỉ ra phạm vi các thao tác, ví dụ các mục tiêu bao hàm, các thao tác bao hàm, các người dùng có thẩm quyền…

Mỗi bản sao của một thành phần có thể áp dụng chỉ cho một SFP. Bởi vậy nếu một SFP được quy định trong một thành phần thì SFP này sẽ áp dụng cho mọi phần tử trong thành phần này. Các thành phần có thể tạo thành bản sao nhiều lần bên trong một PP/ST để diễn giải cho các chính sách khác nhau như mong muốn.

Mấu chốt để chọn các thành phần từ họ này là cần có một chính sách an toàn TOE xác định rõ để cho phép chọn chính xác các thành phần từ hai thành  phần chính sách: Chính sách kiểm soát truy nhập FDP_ACC và chính sách kiểm soát luồng tin FDP_IFC. Trong chính sách kiểm soát truy nhập FDP_ACC và chính sách kiểm soát luồng tin tương ứng, mọi chính sách kiểm soát truy nhập và chính sách kiểm soát luồng tin được đặt tên. Ngoài ra phạm vi kiểm soát của các thành phần này dưới dạng chủ thể, đối tượng và thao tác được chứa trong chức năng an toàn này. Tên của các chính sách này có nghĩa được dùng suốt trong phần còn lại của các thành phần chức năng mà có một thao tác gọi đến một phép gán hoặc chọn một "SFP kiểm soát truy nhập", hoặc một "SFP kiểm soát luồng tin". Các quy tắc này xác định chức năng của các SFP kiểm soát truy nhập và kiểm soát luồng tin đã đặt tên, chúng sẽ được xác định trong các họ chức năng kiểm soát truy nhập (FDP_ACF) và các họ chức năng kiểm soát luồng tin (FDP_IFF) một cách tương ứng.

Các bước sau hướng dẫn việc áp dụng lớp này trong việc thiết kế một PP/ST:

a) Xác định chính sách cần thực hiện từ các họ chính sách kiểm soát truy nhập (FDP_ACC) và chính sách kiểm soát luồng tin (FDP_IFC). Các họ này xác định phạm vi kiểm soát cho chính sách, mức độ thô của việc kiểm soát và có thể xác định một số quy tắc đi kèm theo chính sách.

...

...

...

c) Xác định mọi thành phần chức năng có thể áp dụng được từ họ các chức năng kiểm soát truy nhập (FDP_ACF) và các chức năng kiểm soát luồng tin (FDP_IFF) để định rõ các họ chính sách từ chính sách kiểm soát truy nhập (FDP_ACC) và chính sách kiểm soát luồng tin (FDP_IFC). Thực hiện các thao tác để tạo các thành phần là định nghĩa các quy tắc cần thực thi bởi các chính sách đã Chỉ định. Điều đó khiến cho các thành phần đáp ứng được các yêu cầu của chức năng đã chọn hoặc cần được tạo ra.

d) Xác định ai có khả năng kiểm soát và thay đổi các thuộc tính của chức năng, ví dụ như duy nhất chỉ người quản trị bảo mật, chỉ chủ sở hữu của đối tượng, v.v… Chọn các thành phần tương ứng từ FMT: quản lý an toàn và thực hiện các thao tác. Việc bổ sung chi tiết có thể hữu ích nhằm xác định ra các đặc tính còn thiếu, ví dụ như một số hoặc tất cả sự thay đổi cần phải thực hiện qua kênh tin cậy.

e) Xác định mọi thành phần tương ứng từ FMT: quản lý an toàn cho các giá trị khởi đầu cho các đối tượng và chủ thể mới.

f) Xác định mọi thành phần quay lại trạng thái từ họ Rollback (FDP_ROL).

g) Xác định mọi yêu cầu bảo vệ thông tin dư thừa có thể áp dụng từ họ bảo vệ thông tin dư thừa (FDP_RIP).

h) Xác định mọi thành phần nhập / xuất có thể áp dụng, và cách thức xử lý các thuộc tính an toàn trong quá trình nhập / xuất, qua quá trình nhập từ bên ngoài các họ kiểm soát TSF (FDP_ITC) và xuất ra bên ngoài các họ kiểm soát TOE (FDP_ETC).

i) Xác định mọi thành phần truyền thông TOE nội bộ áp dụng được từ họ truyền tải TOE nội bộ (FDP_ITT).

j) Xác định mọi yêu cầu đối với việc bảo vệ toàn vẹn các thông tin lưu trữ từ họ lưu giữ toàn vẹn dữ liệu (FDP_SDI)

k) Xác định mọi thành phần truyền thông liên TSF từ các họ bảo vệ truyền tải bí mật dữ liệu người dùng giữa các TSF hoặc các họ bảo vệ truyền tải toàn vẹn dữ liệu người dùng giữa các TSF.

...

...

...

Hình F.1 - Phân cấp lớp FDP: Bảo vệ dữ liệu người dùng

F.1. Chính sách kiểm soát truy nhập (FDP_ACC)

F.1.1. Chú thích cho người sử dụng

Họ này dựa trên mô hình các kiểm soát tùy ý tương tác của các chủ thể và đối tượng. Phạm vi và mục đích của các kiểm soát là dựa trên các thuộc tính của bộ truy nhập (chủ thể), thuộc tính của khối được truy nhập (đối tượng), các động tác (thao tác) và mọi quy tắc kiểm soát truy nhập liên quan.

Các thành phần trong họ này có khả năng xác định ra các SFP kiểm soát truy nhập (qua tên) được thực thi bởi các cơ chế kiểm soát truy nhập rời rạc truyền thông (Discretionary Access Control - DAC). Ngoài ra, nó chỉ ra các chủ thể, đối tượng và các thao tác có trong SFP kiểm soát truy nhập xác định. Các quy tắc định ra chức năng của một SFP kiểm soát truy nhập sẽ được định nghĩa bởi các họ khác, như là các chức năng kiểm soát truy nhập (FDP_ACF) và Xuất từ TOE (FDP_ETC). Tên của các SFP kiểm soát truy nhập được định nghĩa trong chính sách kiểm soát truy nhập (FDP_ACC) có nghĩa được sử dụng trong suốt phần còn lại của các thành phần chức năng có chứa một thao tác gọi đến tính năng Chỉ định hoặc chọn một "SFP kiểm soát truy nhập".

Kiểm soát truy nhập SFP bao hàm một tập bộ ba: chủ thể, đối tượng và các thao tác. Bởi vậy một chủ thể có thể được chứa trong nhiều SFP kiểm soát truy nhập, song chỉ có liên quan đến một thao tác khác, hoặc một đối tượng khác. Dĩ nhiên là tương tự với các đối tượng và các thao tác.

Một điểm quan trọng đối với chức năng kiểm soát truy nhập thực thi một SFP kiểm soát truy nhập là khả năng người dùng có thể thay đổi các thuộc tính liên quan đến các quyết định kiểm soát truy nhập. Họ chính sách kiểm soát truy nhập (FDP_ACC) không Chỉ định các điểm này. Một số yêu cầu không được xác định, song có thể bổ sung như các bổ sung chi tiết. Trong khi đó, một số yêu cầu khác có thể chứa đâu đó trong các họ khác hoặc lớp khác, ví dụ như họ quản lý an toàn FMT.

Không có các yêu cầu kiểm toán trong chính sách kiểm toán truy nhập (FDP_ACC) do họ này định rõ các yêu cầu kiểm soát truy nhập SFP. Các yêu cầu kiểm toán nằm trong các họ đặc tả các chức năng thỏa mãn kiểm soát truy nhập SFP chỉ ra trong họ này.

...

...

...

F.1.2. FDP_ACC.1 Kiểm soát truy nhập tập con

F.1.2.1. Chú thích cho ứng dụng người sử dụng

Các khái niệm chủ thể và đối tượng chỉ các phần tử chung trong TOE. Để thực thi được một chính sách, các phần tử cần được định rõ. Đối với một PP, các đối tượng và thao tác có thể được biểu thị với các kiểu như: đối tượng có tên, nơi chứa dữ liệu, các truy nhập quan sát, v.v… Đối với một hệ thống xác định, các khái niệm chung này (đối tượng, chủ thể) cần phải được định rõ, ví dụ các tệp, bản ghi, cổng, miền, lời gọi hệ thống…

Thành phần này định rõ chính sách bao gồm một số tập thao tác xác định cho một số tập con các đối tượng. Không có ràng buộc nào cho các thao tác bên ngoài tập - kể cả các thao tác cho đối tượng được giám sát bởi các thao tác khác.

F.1.2.2. Các hoạt động

F.1.2.2.1. Chỉ định

Trong FDP_ACC.1.1, chủ thể PP/ST cần chỉ ra một kiểm soát truy nhập có tên duy nhất SFP cần thực thi bởi TSF.

Trong FDP_ACC.1.1, chủ thể PP/ST cần chỉ ra danh sách các chủ thể, đối tượng, các thao tác ứng với chủ thể và đối tượng bao hàm trong SFP.

F.1.3. FDP_ACC.2 Kiểm soát truy nhập toàn bộ

...

...

...

Thành phần này yêu cầu mọi thao tác khả thi cho đối tượng chứa trong SFP cần chứa trong một kiểm soát truy nhập SFP.

Chủ thể PP/ST cần phải chỉ ra mỗi tổ hợp của đối tượng và chủ thể được bao hàm trong một kiểm soát truy nhập SFP.

F.1.3.2. Các hoạt động

F.1.3.2.1 Chỉ định

Trong FDP_ACC.2.1, chủ thể PP/ST cần chỉ ra một kiểm soát truy nhập có tên duy nhất SFP cần thực thi bởi TSF.

Trong FDP_ACC.1.1, chủ thể PP/ST cần chỉ ra danh sách các chủ thể, đối tượng bao hàm trong SFP. Mọi thao tác ứng với chủ thể và đối tượng cần được bao hàm trong SFP.

F.2. Các chức năng kiểm soát truy nhập (FDP_ACF)

F.2.1. Chú thích cho người sử dụng

Họ này mô tả các quy tắc cho các chức năng xác định có thể thực thi một chính sách kiểm soát truy nhập được ghi danh trong FDP_ACC Chính sách kiểm soát truy nhập, chỉ ra phạm vi dk chính sách.

...

...

...

Không có thành phần rõ ràng nào định rõ các chức năng khác, ví như kiểm soát kép, quy tắc chuỗi thao tác, các kiểm soát loại trừ. Tuy nhiên, các cơ chế này cũng như các cơ chế DAC truyền thống khác, có thể đặc trưng với các thành phần đang có, có thể sửa đổi theo các quy tắc kiểm soát truy nhập.

Trong họ này có một loạt các kiểm soát truy nhập chấp nhận được SFP có thể chỉ ra là:

- Các danh sách kiểm soát truy nhập (Access Control Lists - ACLs)

- Các đặc tả kiểm soát truy nhập dựa thời gian

- Các đặc tả kiểm soát truy nhập dựa chủ gốc

- Các kiểm soát truy nhập được chủ thể giám sát.

F.2.2. Kiểm soát truy nhập dựa trên thuộc tính an toàn FDP_AFC.1

F.2.2.1. Chú thích cho ứng dụng người sử dụng

Thành phần này cung cấp các yêu cầu về một cơ chế làm trung gian cho kiểm soát truy nhập dựa trên các thuộc tính an toàn liên quan đến các chủ thể và đối tượng. Mỗi chủ thể và đối tượng có một tập các thuộc tính liên quan như vị trí, thời điểm cấu thành, quyền truy nhập (ví dụ các danh sách kiểm soát truy nhập ACL).

...

...

...

Chủ thể PP/ST cần phải chỉ ra mỗi tổ hợp của đối tượng và chủ thể được bao hàm trong một kiểm soát truy nhập SFP. Thành phần này cho phép chủ thể PP/ST định rõ các thuộc tính dùng làm trung gian cho kiểm soát truy nhập. Thành phần này cho phép định ra các quy tắc kiểm soát truy nhập có sử dụng các thuộc tính này.

Các ví dụ về thuộc tính mà một chủ thể PP/ST có thể Chỉ định được trình bày trong các phần tiếp theo. Một thuộc tính định danh có thể liên quan đến người dùng, chủ thể, đối tượng được dùng làm trung gian. Ví dụ về các thuộc tính này có thể là tên của phần chương trình dùng để tạo ra chủ thể hoặc một thuộc tính an toàn Chỉ định cho phần chương trình.

Một thuộc tính thời gian có thể dùng để chỉ ra rằng truy nhập sẽ được cấp quyền trong một khoảng thời gian nhất định trong ngày/tuần/hoặc năm.

Một thuộc tính vị trí có thể chỉ ra vị trí yêu cầu chức năng, vị trí chức năng được thực thi hoặc cả hai. Nó có thể dựa trên một bảng nội bộ để chuyển đổi giao diện logic sang các vị trí TSF ví dụ thông qua vị trí đấu nối, vị trí CPU…

Một thuộc tính nhóm cho phép một nhóm người dùng liên hệ đến một thao tác với mục đích kiểm soát truy nhập. Nếu cần, một thao tác bổ sung sẽ được dùng để chỉ ra số nhóm tối đa, số thành viên tối đa của nhóm, số nhóm tối đa mà một người dùng có liên hệ đồng thời.

Thành phần này đồng thời cũng cung cấp các yêu cầu cho các chức năng kiểm soát truy nhập để chấp thuận hoặc từ chối truy nhập đến một đối tượng trên cơ sở các thuộc tính an toàn. Chức năng này có thể dùng để cấp đặc quyền truy nhập, chủ quyền truy nhập trong TOE. Những đặc quyền, quyền hoặc chủ quyền đó có thể áp dụng cho người dùng, đối tượng và chủ thể (đại diện cho người dùng hoặc ứng dụng).

F.2.2.2. Các hoạt động

F.2.2.2.1. Chỉ định

Trong FDP_ACF.1.1, chủ thể PP/ST cần phải chỉ ra một tên chức năng kiểm soát truy nhập SFP mà TSF phải thực thi. Tên của kiểm soát truy nhập SFP, phạm vi kiểm soát cho chính sách này được định nghĩa trong các thành phần của FDP_ACC Chính sách kiểm soát truy nhập.

...

...

...

Ví dụ, các thuộc tính có thể là định danh người dùng, định danh chủ thể, thời điểm, vị trí, ACLs, hoặc mọi thuộc tính khác chỉ ra bởi chủ thể PP/ST. Các nhóm định danh thuộc tính an toàn có thể định rõ để cung cấp một phương thức thuận tiện để tham chiếu tới nhiều thuộc tính an toàn. Các nhóm định danh có thể cung cấp một cách thức hữu hiệu để gắn kết các vai trò (roles) định nghĩa trong các vai trò quản lý an toàn (FMT_SMR) và mọi thuộc tính liên quan đến chúng với các chủ thể. Nói cách khác, mỗi vai trò có thể liên quan đến một nhóm định danh thuộc tính.

Trong FDP_ACF.1.2, chủ thể PP/ST cần định rõ các quy tắc SFP quản trị truy nhập theo các chủ thể được giám sát và các đối tượng được giám sát thông qua các thao tác kiểm soát trên các đối tượng. Các quy tắc này chỉ ra rằng truy nhập được cho phép hoặc từ chối. Chúng có thể chỉ ra các chức năng kiểm soát truy nhập chung (ví dụ như các bit cho phép đặc trưng), hoặc các chức năng kiểm soát truy nhập thô hơn (ví dụ ACLs).

Trong FDP_ACF.1.3, chủ thể PP/ST cần định rõ các quy tắc, trên cơ sở thuộc tính an toàn, dùng cho cấp chủ quyền rõ ràng về việc truy nhập của các chủ thể tới các đối tượng. Các quy tắc này bổ sung cho các quy tắc chỉ ra trong FDP_ACF.1.1. Chúng thuộc FDP_ACF.1.3, với chủ ý bổ sung các ngoại lệ cho các quy tắc trong FDP_ACF.1.1. Một ví dụ về các quy tắc cho cấp quyền rõ ràng cho truy nhập là dựa trên vectơ đặc quyền cho một chủ thể luôn có quyền truy nhập tới các đối tượng mà kiểm soát truy nhập SFP đã xác định rõ. Nếu điều này không mong muốn thì chủ thể PP/ST cần định rõ giá trị là "none".

Trong FDP_ACF.1.4, chủ thể PP/ST cần định rõ các quy tắc, trên cơ sở thuộc tính an toàn, dùng cho cấp chủ quyền rõ ràng về việc truy nhập của các chủ thể tới các đối tượng. Các quy tắc này bổ sung cho các quy tắc chỉ ra trong FDP_ACF.1.1. Chúng thuộc FDP_ACF.1.4, với chủ ý bổ sung các ngoại lệ cho các quy tắc trong FDP_ACF.1.1. Một ví dụ về các quy tắc cho cấp quyền rõ ràng cho truy nhập là dựa trên vec tơ đặc quyền cho một chủ thể luôn có quyền từ chối truy nhập tới các đối tượng mà kiểm soát truy nhập SFP đã xác định rõ. Nếu điều này không mong muốn thì chủ thể PP/ST cần định rõ giá trị là "none".

F.3. Xác thực dữ liệu (FDP_DAU)

F.3.1. Chú thích cho người sử dụng

Họ này mô tả các chức năng đặc trưng dùng để xác thực các dữ liệu tĩnh (static). Các thành phần trong họ này dùng khi có một yêu cầu xác thực các dữ liệu tĩnh (static), nghĩa là khi dữ liệu cần được ký nhận chứ không phải chuyển đi. (Lưu ý là họ không khước từ nguồn gốc (Non-repudiation of origin - FCO_NRO) cho thông tin về việc khước từ nguồn gốc trong quá trình trao đổi dữ liệu.

F.3.2. Xác thực dữ liệu cơ sở FDP_DAU.1

F.3.2.1. Chú thích cho người sử dụng

...

...

...

F.3.2.2. Các hoạt động

F.3.2.2.1. Chỉ định

Trong FDP_DAU.1.1, chủ thể PP/ST cần phải chỉ ra danh sách các đối tượng hoặc kiểu thông tin có thể áp dụng cho TSF để tạo ra các bằng chứng xác thực dữ liệu.

Trong FDP_DAU.1.2, chủ thể PP/ST cần phải chỉ ra danh sách các chủ thể có khả năng kiểm định các bằng chứng xác thực dữ liệu cho các đối tượng đã xác định trong phần tử trước đó. Danh sách các chủ thể có thể rất rõ ràng, nếu chủ thể đã biết, hoặc khá chung chung và tham chiếu đến một kiểu chủ thể ví dụ như vai trò đã biết.

F.3.3. FDP_DAU.2 Xác thực dữ liệu với định danh người đảm bảo

F.3.3.1. Chú thích cho ứng dụng người sử dụng

Thành phần này có thể yêu cầu thêm khả năng kiểm chứng danh định người dùng đã cấp xác thực có đảm bảo (ví dụ một đối tác tin cậy thứ 3).

F.3.3.2. Các hoạt động

F.3.3.2.1. Chỉ định

...

...

...

Trong FDP_DAU.2.2, chủ thể PP/ST cần phải chỉ ra danh sách các chủ thể có khả năng kiểm định các bằng chứng xác thực dữ liệu cho các đối tượng đã xác định trong phần tử trước đó cũng như định danh người dùng có thể tạo ra bằng chứng xác thực dữ liệu.

F.4. Xuất dữ liệu ra ngoài TOE (FDP_ETC)

F.4.1. Chú thích cho người sử dụng

Họ này định nghĩa các chức năng kết xuất dữ liệu người dùng từ TOE sao cho các thuộc tính an toàn của nó hoặc được bảo quản rõ ràng, hoặc có thể bỏ qua sau khi chúng đã được kết xuất. Tính nhất quán của các thuộc tính an toàn được chỉ ra bởi sự nhất quán dữ liệu TSF bên trong-TSF (FPT_TDC).

Kết xuất từ TOE (FDP_ETC) liên quan đến các giới hạn về kết xuất và tổ hợp các thuộc tính an toàn cùng dữ liệu người dùng.

Họ này và việc nhập họ tương ứng từ bên ngoài của TOE (FDP_ITC) chỉ ra TOE xử lý dữ liệu người dùng được chuyển bên trong bên ngoài kiểm soát thế nào. Về nguyên tắc, họ này gắn liền với kết xuất trung gian TSF của dữ liệu người dùng và các thuộc tính an toàn liên quan.

Một số thao tác có thể có là:

a) Kết xuất dữ liệu người dùng không có thuộc tính an toàn

b) Kết xuất dữ liệu người dùng có thuộc tính an toàn, trong đó thuộc tính an toàn thể hiện dữ liệu người dùng kết xuất

...

...

...

F.4.2. FDP_ETC.1 Xuất dữ liệu người dùng không có các thuộc tính an toàn

F.4.2.1. Chú thích cho ứng dụng người sử dụng

Thành phần này dùng để chỉ ra kết xuất trung gian-TSF của dữ liệu người dùng không có kết xuất thuộc tính an toàn.

F.4.2.2. Các hoạt động

F.4.2.2.1. Chỉ định

Trong FDP_ETC.1.1, chủ thể PP/ST cần phải chỉ rõ các kiểm soát truy nhập SFP và/hoặc các SFP kiểm soát luồng tin khi thực thi kết xuất dữ liệu người dùng. Dữ liệu người dùng được kết xuất thuộc phạm vi Chỉ định bởi các SFP này.

F.4.3. FDP_ETC.2 Xuất dữ liệu người dùng với thuộc tính an toàn

F.4.3.1. Chú thích cho ứng dụng người sử dụng

Dữ liệu người dùng được kết xuất cùng với các thuộc tính an toàn. Có một số cách kết hợp thuộc tính an toàn với dữ liệu người dùng. Một cách thực hiện là thông qua sắp xếp vật lý dữ liệu người dùng và các thuộc tính an toàn (ví dụ cùng một đĩa mềm), hoặc thông qua các kỹ thuật mật mã như chữ ký an toàn để kết hợp dữ liệu người dùng và các thuộc tính.

...

...

...

F.4.3.2. Các hoạt động

F.4.3.2.1. Chỉ định

Trong FDP_ETC.2.1, chủ thể PP/ST cần phải chỉ rõ các kiểm soát truy nhập SFP và/hoặc các SFP kiểm soát luồng tin khi thực thi kết xuất dữ liệu người dùng. Dữ liệu người dùng được kết xuất thuộc phạm vi Chỉ định bởi các SFP này.

Trong FDP_ETC.2.4, chủ thể PP/ST cần phải chỉ ra mọi quy tắc kết xuất bổ sung hoặc "none" nếu như không có quy tắc kết xuất bổ sung nào. Các quy tắc này được thực thi bởi TSF bổ sung thêm cho SFP kiểm soát truy nhập và/hoặc SFP kiểm soát luồng tin đã chọn trong FDP_ETC.2.1.

F.5. Chính sách kiểm soát luồng tin (FDP_IFC)

F.5.1. Chú thích cho người sử dụng

Họ này bao gồm việc định danh các SFP kiểm toán luồng tin; và, đối với mỗi chúng, nó chỉ ra phạm vi kiểm soát của SFP.

Các thành phần trong họ này có thể định danh các SFP kiểm soát luồng tin để chúng thực thi bởi các cơ chế kiểm soát truy nhập bắt buộc truyền thống có sẵn trong một TOE. Tuy nhiên, chúng nằm ngoài phạm vi các cơ chế MAC truyền thống và có thể dùng để xác định và mô tả các chính sách không đan xen và các dịch chuyển trạng thái. Ngoài ra, nó định nghĩa các chủ thể chịu sự giám sát của chính sách, thông tin chịu sự giám sát của chính sách và các thao tác phát sinh các thông tin có kiểm soát vào/ra các chủ thể được giám sát đối với mỗi SFP kiểm soát luồng tin trong TOE. Chức năng  định ra các quy tắc cho một SFP kiểm soát luồng tin được định nghĩa bởi các họ khác, ví dụ như các chức năng kiểm soát luồng tin (FDP_IFF) và bảo vệ thông tin thường trú (FDP_RIP). SFP kiểm soát luồng tin ghi danh trong chính sách kiểm soát luồng tin (FDP_IFC) được dùng trong suốt phần còn lại của các thành phần chức năng có các thao tác gọi hàm tới phép chỉ định hoặc chọn lựa một "SFP kiểm soát luồng tin".

Các thành phần này khá mềm dẻo. Chúng cho phép chỉ rõ miền kiểm soát luồng tin và không yêu cầu cơ chế phải được đánh dấu. Các phần tử khác của các thành phần kiểm soát luồng tin còn cho phép các mức ngoại lệ khác nhau đối với chính sách.

...

...

...

Nếu chính sách kiểm soát luồng tin ở mức quá cao, không chi tiết, nó có thể không định nghĩa rõ ràng các chức năng an toàn CNTT. Trong trường hợp này, cần chỉ ra chính xác và mô tả các chính sách kiểm soát luồng tin như các mục tiêu.

Các chức năng an toàn CNTT mong muốn có thể được xác định như những hỗ trợ cho các mục tiêu này.

Trong thành phần thứ hai (FDP_IFC.2 kiểm soát luồng tin toàn diện), mỗi SFP kiểm soát luồng tin sẽ bao gồm mọi thao tác có thể SFP gây ra việc chuyển thông tin ra vào chủ thể.

Ngoài ra, mọi luồng tin sẽ cần được chứa trong một SFP. Bởi vậy, đối với mỗi thao tác làm cho chuyển tin đến luồng, cẩn phải có một tập các quy tắc nhằm xác định hành vi có được phép không. Nếu có nhiều SFP và chúng đều có thể áp dụng cho một luồng tin nào đó, thì mọi SFP liên quan phải cho phép luồng tin này trước khi nó thực thi việc cho phép.

Một SFP kiểm soát luồng tin chứa một tập thao tác xác định trước. Miền của các SFP có thể phủ kín đối với một số luồng tin, hoặc nó có thể chỉ liên quan đến một số thao tác có ảnh hưởng đến luồng tin.

Một SFP kiểm soát truy nhập sẽ kiểm soát truy nhập đến các đối tượng chứa thông tin. Một SFP kiểm soát luồng tin kiểm soát đến truy nhập đến luồng tin, không phụ thuộc vào ngăn chứa thông tin. Các thuộc tính của thông tin có liên quan đến các thuộc tính của ngăn chứa (hoặc có thể không, ví như trong cơ sở dữ liệu nhiều lớp) sẽ gắn kèm với thông tin khi di chuyển. Các thiết bị truy nhập không có khả năng (nếu không có thẩm quyền rõ ràng) thay đổi các thuộc tính của thông tin.

Các luồng tin và các thao tác có thể biểu thị ở nhiều mức. Trong trường hợp một ST, Các luồng tin và các thao tác có thể định rõ ở mức đặc trưng hệ thống: ví dụ các gói tin TCP/IP chuyển qua một bức tường lửa theo các địa chỉ IP đã biết. Đối với PP, các luồng tin và các thao tác có thể biểu thị theo kiểu: email, kho chứa dữ liệu, các truy nhập quan sát được,…

Các thành phần trong họ này có thể áp dụng nhiều lần trong một PP/ST cho các tập con khác nhau của các thao tác và đối tượng. Chúng trợ giúp những TOE đa chính sách, mỗi cái đề cập đến một tập cụ thể các đối tượng, chủ thể và các thao tác.

F.5.2. FDP_IFC.1 Kiểm soát luồng thông tin tập con

...

...

...

Thành phần này yêu cầu một chính sách kiểm soát luồng tin áp dụng cho một tập con các thao tác khả thi trong TOE.

F.5.2.2. Các hoạt động

F.5.2.2.1. Chỉ định

Trong FDP_IFC.1.1, chủ thể PP/ST cần phải chỉ rõ một SFP kiểm soát luồng tin ghi danh duy nhất cần thực hiện bởi TSF.

Trong FDP_IFC.1.1, chủ thể PP/ST cần phải chỉ rõ một danh sách các chủ thể, thông tin và các thao tác gây ra sự chuyển dịch thông tin đã kiểm soát vào ra các chủ thể được kiểm soát bao trùm bởi SFP. Như đã nêu ở trên, danh sách các chủ thể có thể chi tiết tùy vào sự cần thiết của chủ thể PP/ST. Có thể chỉ ra người dùng, máy tính, hoặc các tiến trình máy. Thông tin có thể tham chiếu đến dữ liệu ví như email, các giao thức mạng, hay các đối tượng đặc trưng tương tự như những gì chỉ ra trong một chính sách kiểm soát truy nhập. Nếu thông tin chỉ ra chứa trong một đối tượng và là chủ thể của một chính sách kiểm soát truy nhập, thì cả chính sách kiểm soát truy nhập và chính sách kiểm soát luồng tin đều phải thực thi trước khi thông tin đó được chuyển vào/ra đối tượng.

F.5.3. FDP_IFC.2 Kiểm soát luồng tin đầy đủ

F.5.3.1. Chú thích cho ứng dụng người sử dụng

Thành phần này yêu cầu mọi thao tác khả thi gây ra di chuyển thông tin vào/ra các chủ thể chứa trong SFP đều phải chứa trong một SFP kiểm soát luồng tin.

Chủ thể PP/ST phải trình bày được rằng mọi tổ hợp luồng tin và chủ thể đều chứa trong một SFP kiểm soát luồng tin.

...

...

...

F.5.3.2.1. Chỉ định

Trong FDP_IFC 2.1, chủ thể PP/ST cần phải chỉ rõ một SFP kiểm soát luồng tin ghi danh duy nhất cần thực hiện bởi TSF.

Trong FDP_IFC1.1, chủ thể PP/ST cần phải chỉ rõ một danh sách các chủ thể, thông tin chứa trong SFP. Mọi thao tác gây ra sự chuyển dịch thông tin vào ra các chủ thể được bao trùm bởi SFP. Như đã nêu ở trên, danh sách các chủ thể có thể chi tiết tùy vào sự cần thiết của chủ thể PP/ST. Có thể chỉ ra người dùng, máy tính, hoặc các tiến trình máy. Thông tin có thể tham chiếu đến dữ liệu ví như email, các giao thức mạng, hay các đối tượng đặc trưng tương tự như những gì chỉ ra trong một chính sách kiểm soát truy cập. Nếu thông tin chỉ ra chứa trong một đối tượng và là chủ thể của một chính sách kiểm soát truy cập, thì cả chính sách kiểm soát truy cập và chính sách kiểm soát luồng tin đều phải thực thi trước khi thông tin đó được chuyển vào / ra đối tượng.

F.6. Các chức năng kiểm soát luồng tin (FDP_IFF)

F.6.1. Chú thích cho người sử dụng

Họ này mô tả các quy tắc cho các chức năng đặc trưng có thể cài đặt trong các SFP kiểm soát luồng tin ghi danh trong chính sách kiểm soát luồng tin (FDP_IFC), và cũng chỉ ra phạm vi kiểm soát các chính sách.

Nó chứa hai "cây": Một đề cập đến các vấn đề chức năng kiểm soát luồng tin chung, và một chứa các luồng tin trái phép (ví dụ các kênh chuyển đổi) ứng với một hoặc nhiều SFP kiểm soát luồng tin. Việc phân chia này xuất phát từ các vấn đề liên quan đến các luồng tin trái phép, nói cách khác, trái ngược với phần còn lại của một SFP. Các luồng tin trái phép là những luồng tin vi phạm chính sách. Chúng không phải vấn đề đối với chính sách.

Để triển khai bảo vệ tốt hơn việc khai phá, sửa đổi khi có các phần mềm không tin cậy, cần có kiểm soát luồng tin. Việc kiểm soát truy nhập không thể đủ vì chúng chỉ kiểm soát các truy nhập tới ngăn chứa thông tin, cho phép thông tin chuyển tới các luồng tin, không qua kiểm soát đi thông qua hệ thống.

Trong họ này, cụm từ "Các kiểu luồng tin trái phép" được sử dụng. Cụm từ này dùng để chỉ đến một kiểu các luồng tin như "Các kênh lưu trữ" hoặc các "kênh định thời", hoặc chúng tham chiếu tới các phân loại cải tiến phản ánh nhu cầu của một chủ thể PP/ST.

...

...

...

F.6.2. FDP_IFF.1 Các thuộc tính an toàn đơn giản

F.6.2.1. Chú thích cho ứng dụng người sử dụng

Thành phần này yêu cầu mọi thuộc tính an toàn của thông tin và của chủ thể gây ra di chuyển thông tin vào/ra các chủ thể là các bộ tiếp nhận thông tin này. Các thuộc tính của ngăn chứa thông tin cần được xem xét như mong muốn để chúng đóng một vai trò quyết định cho kiểm soát luồng tin hoặc nếu chúng được bao bởi một chính sách kiểm soát truy nhập. Thành phần này chỉ rõ các quy tắc chủ yếu cần thực thi và mô tả cách nhận được các thuộc tính an toàn.

Thành phần này không chỉ ra chi tiết cách một thuộc tính an toàn được Chỉ định (ví như người dùng - tiến trình). Sự mềm dẻo trong chính sách được cho bởi việc Chỉ định, cho phép chỉ ra chính sách và các yêu cầu chức năng bổ sung nếu cần.

Thành phần này cũng cho ra các yêu cầu đối với chức năng kiểm soát luồng tin dùng để cấp phép rõ ràng hoặc từ chối luồng tin trên cơ sở các thuộc tính an toàn. Chúng được dùng để thực hiện một chính sách đặc quyền, bao gồm cả các ngoại lệ đối với chính sách cơ sở định nghĩa trong thành phần này.

F.6.2.2. Các hoạt động

F.6.2.2.1. Chỉ định

Trong FDP_IFF.1.1, chủ thể PP/ST cần phải chỉ rõ một SFP kiểm soát luồng tin thực thi bởi TSF. Tên của SFP kiểm soát luồng tin, phạm vi kiểm soát cho chính sách này được định nghĩa trong các thành phần thuộc chính sách kiểm soát luồng tin (FDP_IFC).

Trong FDP_IFF.1.1, chủ thể PP/ST cần phải chỉ rõ, đối với mỗi kiểu chủ thể và thông tin được kiểm soát, các thuộc tính an toàn tương ứng với đặc tả của các quy tắc SFP. Ví dụ, các thuộc tính an toàn có thể là định danh chủ thể, nhãn độ nhạy chủ thể, nhãn độ trống của chủ thể, nhãn độ nhạy thông tin… Các kiểu thuộc tính an toàn cần phải đủ khả năng hỗ trợ các yêu cầu của môi trường.

...

...

...

Trong FDP_IFF.1.3, Tác giả PP/ST cần phải chỉ rõ mọi quy tắc SFP kiểm soát luồng thông tin bổ sung để TSF được thực thi. Đó là bao gồm tất cả các quy tắc của SFP mà hoặc là không dựa trên các thuộc tính an toàn của thông tin và chủ thể hoặc là các quy tắc mà tự động sửa đổi các thuộc tính an toàn của thông tin hay chủ thể như một quy tắc của một thao tác truy cập. Một ví dụ cho trường hợp đầu tiên là một quy tắc của SFP kiểm soát một giá trị ngưỡng cho các kiểu thông tin cụ thể, Đây có thể là ví dụ cho trường hợp khi SFP luồng thông tin chứa các quy tắc về truy cập dữ liệu thống kê nơi mà một chủ thể chỉ được phép truy cập kiểu thông tin này đến một mức cụ thể các truy cập. Một ví dụ cho trường hợp thứ hai là một quy tắc được nêu ra trong các điều kiện và các thuộc tính an toàn của một chủ thể hoặc đối tượng thay đổi như thế nào như là kết quả của một thao tác truy cập, một số chính sách luồng thông tin trong ví dụ có thể giới hạn số thao tác truy cập vào thông tin với các thuộc tính an toàn cụ thể. Nếu không có quy tắc bổ sung nào, chủ thể PP/ST cần phải chỉ rõ "none".

Trong FDP_IFF.1.4, tác giả PP/ST cần phải chỉ rõ các quy tắc, dựa trên các thuộc tính an toàn, mà xác thực các luồng thông tin. Các quy tắc này được bổ sung thêm vào các quy tắc được chỉ rõ trong các thành phần nói trước. Chúng có trong FDP_IFF.1.4 bởi vì chúng dự định chứa các ngoại trừ đối với các quy tắc trong các thành phần trước đó. Một ví dụ về các quy tắc xác quyền rõ ràng luồng thông tin được dựa trên véc-tơ ưu tiên liên kết với một chủ thể mà luôn cho phép chủ thể khả năng tạo ra luồng thông tin đối với thông tin được bao hàm bởi SFP cụ thể. Nếu không cần khả năng như vậy thì tác giả PP/ST cần phải chỉ rõ "none".

Trong FDP_IFF.1.5, chủ thể PP/ST cần phải chỉ rõ các quy tắc dựa trên các thuộc tính an toàn, làm từ chối luồng tin rõ ràng. Các quy tắc này bổ sung cho các quy tắc đã chỉ ra trong các phần tử trước đó. Chúng có trong FDP_IFF.1.5, dự định chứa các ngoại lệ đối với các quy tắc trong các thành phần trước đó. Một ví dụ về các quy tắc từ chối rõ ràng cho các luồng tin là dựa trên vectơ đặc quyền liên kết đến một chủ thể mà luôn từ chối chủ thể khả năng tạo ra luồng tin bao bởi SFP đã định trước. Nếu không cần năng lực bổ sung như vậy, tác giả PP/ST cần phải chỉ rõ "none".

F.6.3. FDP_IFF.2 Các thuộc tính an toàn phân cấp

F.6.3.1. Chú thích cho ứng dụng người sử dụng

Thành phần này yêu cầu mọi SFP kiểm soát luồng tin trong TSP sử dụng các thuộc tính an toàn phân lớp tạo thành một tấm lưới.

Điều quan trọng cần lưu ý là các yêu cầu về quan hệ phân lớp đã xác định trong FDP_IFF.2.4 chỉ cần áp dụng cho các thuộc tính an toàn kiểm soát luồng tin đối với các SFP kiểm soát luồng tin đã xác định trong FDP_IFF.2.1. Thành phần này không chủ ý áp dụng cho các SFP khác, ví dụ như các SFP kiểm soát truy nhập.

FDP_IFF.2.6 cho thấy các yêu cầu đối với tập hợp các thuộc tính an toàn để tạo ra một tấm lưới. Một số chính sách luồng thông tin định nghĩa trong văn học và thực hiện trong các sản phẩm IT là dựa trên tập hợp các thuộc tính an toàn mà tạo ra tấm lưới. FDP_IFF.2.6 đặc biệt được bao gồm để chỉ rõ loại chính sách luồng thông tin.

Giống thành phần trước, thành phần này có thể áp dụng để thực hiện một số chính sách đặc quyền bao các quy tắc cho phép cấp quyền rõ ràng hoặc từ chối các thông tin.

...

...

...

F.6.3.2. Các hoạt động

F.6.3.2.1. Chỉ định

Trong FDP_IFF.2.1, chủ thể PP/ST cần phải chỉ rõ các SFP kiểm soát luồng tin thực thi bởi TSF. Tên của SFP kiểm soát luồng tin, phạm vi kiểm soát cho chính sách này được định nghĩa trong các thành phần thuộc chính sách kiểm soát luồng tin (FDP_IFC).

Trong FDP_IFF.2.1, chủ thể PP/ST cần phải chỉ rõ, đối với mỗi kiểu chủ thể và thông tin được kiểm soát, các thuộc tính an toàn tương ứng với đặc tả của các quy tắc SFP. Ví dụ, các thuộc tính an toàn có thể là định danh chủ thể, nhãn độ nhạy chủ thể, nhãn độ trống của chủ thể, nhãn độ nhạy thông tin… Các kiểu thuộc tính an toàn cần phải đủ khả năng hỗ trợ các yêu cầu của môi trường.

Trong FDP_IFF.2.2, chủ thể PP/ST cần phải chỉ rõ đối với mỗi thao tác, mối quan hệ trên cơ sở các thuộc tính an toàn cần được duy trì giữa chủ thể và các thuộc tính an toàn thông tin mà TSF sẽ thực hiện. Các mối quan hệ này cần dựa trên cơ sở các mối quan hệ có sắp xếp của các thuộc tính an toàn.

Trong FDP_IFF.2.3, tác giả PP/ST cần phải chỉ rõ mọi quy tắc SFP kiểm soát luồng tin bổ sung để TSF được thực thi. Nó bao gồm các quy tắc của SFP mà hoặc là không dựa vào các thuộc tính an toàn của thông tin và chủ thể hoặc quy tắc tự động sửa các thuộc tính an toàn của thông tin hay chủ thể như là kết quả của một thao tác truy cập. Một ví dụ về trường hợp đầu là một quy tắc của SFP kiểm soát giá trị ngưỡng cho các loại thông tin cụ thể. Cũng có thể cho ví dụ trong trường hợp SFP luồng thông tin chứa các quy tắc truy cập vào dữ liệu phân tích nơi mà chủ thể chỉ được phép truy cập kiểu thông tin đó với số lần truy cập nhất định. Một ví dụ cho trường hợp thứ hai có thể là một quy tắc chỉ ra trong điều kiện nào và các thuộc tính an toàn của một chủ thể và đối tượng thay đổi như là kết quả của thao tác truy cập như thế nào. Một số chính sách luồng thông tin ví dụ có thể giới hạn số thao tác truy cập vào thông tin với các thuộc tính an toàn cụ thể. Nếu không có quy tắc bổ sung nào, chủ thể PP/ST cần phải chỉ rõ "none".

Trong FDP_IFF.2.4, tác giả PP/ST cần phải chỉ rõ mọi quy tắc, dựa trên các thuộc tính an toàn, mà cấp phép rõ ràng cho luồng thông tin. Các quy tắc này được bổ sung vào các quy tắc đã ghi rõ trong các thành phần trước đó. Chúng có trong FDP_IFF.2.4 bởi vì chúng dự định chứa các ngoại trừ đối với các quy tắc trong thành phần trước đó. Một ví dụ về các quy tắc cấp phép luồng thông tin rõ ràng dựa trên vec-tơ ưu tiên liên kết với một chủ thể mà luôn cấp cho chủ thể khả năng tạo ra luồng thông tin cho thông tin mà được bao hàm bởi SFP đã được xác định. Nếu không có năng lực bổ sung nào, chủ thể PP/ST cần phải chỉ rõ "none".

Trong FDP_IFF.2.5, chủ thể PP/ST cần phải chỉ rõ các quy tắc, dựa trên các thuộc tính an toàn, mà từ chối rõ ràng cho luồng tin. Các quy tắc này bổ sung cho các quy tắc đã chỉ ra trong các phần tử trước đó. Chúng chứa trong FDP_IFF.2.5, có chứa các ngoại lệ đối với các quy tắc đó. Một ví dụ về các quy tắc từ chối rõ ràng cho các luồng tin là dựa trên vectơ đặc quyền liên quan đến một chủ thể, luôn từ chối chủ thể khả năng tạo ra luồng thông tin bao bởi SFP đã định trước. Nếu không có năng lực bổ sung nào, chủ thể PP/ST cần phải chỉ rõ "none".

F.6.4. FDP_IFF.3 Giới hạn các luồng thông tin bất hợp pháp

...

...

...

Thành phần này cần được dùng khi tối thiểu một trong số SFP có yêu cầu kiểm soát các luồng tin trái phép mà không yêu cầu giảm bớt luồng tin.

Để chỉ ra các luồng tin trái phép, cần có năng lực tối đa nhất định. Ngoài ra, một chủ thể PP/ST có khả năng chỉ ra việc các luồng tin trái phép có phải kiểm toán hay không.

F.6.4.2. Các hoạt động

F.6.4.2.1. Chỉ định

Trong FDP_IFF.3.1, chủ thể PP/ST cần phải chỉ rõ một SFP kiểm soát luồng tin thực thi bởi TSF. Tên của SFP kiểm soát luồng tin, phạm vi kiểm soát cho chính sách này được định nghĩa trong các thành phần thuộc chính sách kiểm soát luồng tin (FDP_IFC).

Trong FDP_IFF.3.1, chủ thể PP/ST cần phải chỉ rõ các kiểu luồng thông tin trái phép trong phạm vi dung lượng tối đa.

Trong FDP_IFF.3.1, chủ thể PP/ST cần phải chỉ rõ dung lượng tối đa cho phép cho các kiểu luồng tin trái phép đã xác định.

F.6.5. FDP_IFF.4 Loại trừ từng phần các luồng thông tin bất hợp pháp

F.6.5.1. Chú thích cho ứng dụng người sử dụng

...

...

...

F.6.5.2. Các hoạt động

F.6.5.2.1. Chỉ định

Trong FDP_IFF.4.1, chủ thể PP/ST cần phải chỉ rõ một SFP kiểm soát luồng tin thực thi bởi TSF. Tên của SFP kiểm soát luồng tin, phạm vi kiểm soát cho chính sách này được định nghĩa trong các thành phần thuộc chính sách kiểm soát luồng tin (FDP_IFC).

Trong FDP_IFF.4.1, chủ thể PP/ST cần phải chỉ rõ các kiểu luồng tin trái phép trong phạm vi dung lượng tối đa.

Trong FDP_IFF.4.1, chủ thể PP/ST cần phải chỉ rõ dung lượng tối đa cho phép cho các kiểu thông tin trái phép đã xác định.

Trong FDP_IFF.4.1, chủ thể PP/ST cần phải chỉ rõ các kiểu luồng thông tin trái phép cần được loại trừ. Danh sách này có thể không trống vì thành phần này có yêu cầu loại trừ một số luồng thông tin trái phép.

F.6.6. FDP_IFF.5 Không có các luồng thông tin bất hợp pháp

F.6.6.1. Chú thích cho ứng dụng người sử dụng

Thành phần này cần được dùng khi các SFP có yêu cầu kiểm soát các luồng tin trái phép yêu cầu loại trừ mọi luồng tin trái phép. Tuy nhiên, chủ thể PP/ST cần xem xét kỹ lưỡng ảnh hưởng của việc loại trừ mọi luồng tin trái phép có thể có đối với thao tác bình thường của TOE.

...

...

...

F.6.6.2. Các hoạt động

F.6.6.2.1. Chỉ định

Trong FDP_IFF.5.1, chủ thể PP/ST cần phải chỉ rõ ra SFP kiểm soát luồng tin cần loại trừ luồng tin trái phép. Tên của SFP kiểm soát luồng tin, phạm vi kiểm soát cho chính sách này được định nghĩa trong các thành phần thuộc chính sách kiểm soát luồng tin (FDP_IFC).

F.6.7. FDP_IFF.6 Giám sát luồng thông tin bất hợp pháp

F.6.7.1. Chú thích cho ứng dụng người sử dụng

Họ này định nghĩa các cơ chế để nhập TSF-trung dữ liệu người dùng từ bên ngoài TOE vào TOE để các thuộc tính an toàn dữ liệu người dùng có thể được bảo toàn. Tính chắc chắn của các thuộc tính an toàn này được chỉ rõ bởi tính chắc chắn dữ liệu TSF TSF-liên kết (FPT_TDC).

Nhập từ bên ngoài TOE (FDP_ITC) liên quan đến các giới hạn về nhập khẩu, đặc điểm người dùng của các thuộc tính an toàn, và liên kết các thuộc tính an toàn với dữ liệu người dùng.

Họ này, và họ xuất tương ứng EXPORT từ TOE (FDP_ETC), chỉ ra TOE liên quan với dữ liệu người dùng bên ngoài kiểm soát của nó thế nào. Họ này liên quan đến việc chỉ định và tách thuộc tính an toàn dữ liệu người dùng.

Các hoạt động khác nhau có thể liên quan ở đây:

...

...

...

b) Nhập khẩu dữ liệu, gồm các thuộc tính an toàn, từ một môi trường và phân loại ra các thuộc tính an toàn đối tượng nào là tương ứng;

c) Nhập khẩu dữ liệu người dùng, gồm các thuộc tính an toàn, từ một môi trường sử dụng kỹ thuật đánh dấu mã hóa để bảo vệ liên hợp dữ liệu người dùng và các thuộc tính an toàn.

Họ này không liên quan với việc xác định dữ liệu người dùng có được nhập khẩu hay không. Nó liên quan đến các dữ liệu của các thuộc tính an toàn để liên kết với dữ liệu người dùng đã được nhập.

Thành phần này cần được dùng khi muốn rằng TSF có thể giám sát các luồng tin trái phép sử dụng một dung lượng vượt quá mức cho phép. Nếu cần kiểm chứng các luồng tin này, thành phần này có thể giúp cung cấp nguồn thông tin kiểm chứng được lấy từ họ FAU_GEN tạo dữ liệu kiểm toán an toàn.

F.6.7.2. Các hoạt động

F.6.7.2.1. Chỉ định

Trong FDP_IFF.6.1, chủ thể PP/ST cần phải chỉ rõ một SFP kiểm soát luồng tin thực thi bởi TSF. Tên của TSF kiểm soát luồng tin, phạm vi kiểm soát cho chính sách này được định nghĩa trong các thành phần thuộc chính sách kiểm soát luồng tin (FDP_IFC).

Trong FDP_IFF.6.1, chủ thể PP/ST cần phải chỉ rõ các kiểu luồng tin trái phép cần được giám sát khi có dung lượng vượt quá mức tối đa.

Trong FDP_IFF.6.1, chủ thể PP/ST cần phải chỉ rõ dung lượng tối đa mà TSF dùng để giám sát các luồng tin trái phép.

...

...

...

F.7.1. Chú thích cho người sử dụng

Họ này định nghĩa các cơ chế để nhập TSF-trung gian dữ liệu người dùng từ bên ngoài TOE vào TOE để các thuộc tính an toàn dữ liệu người dùng có thể được bảo toàn. Tính chắc chắn của các thuộc tính an toàn này được chỉ rõ bởi tính chắc chắn dữ liệu TSF TSF-liên kết (FPT_TDC).

Nhập từ bên ngoài TOE (FDP_ITC) liên quan đến các giới hạn về nhập khẩu, đặc điểm người dùng của các thuộc tính an toàn, và liên kết các thuộc tính an toàn với dữ liệu người dùng.

Họ này, và họ xuất tương ứng EXPORT từ TOE (FDP_ETC), chỉ ra TOE liên quan với dữ liệu người dùng bên ngoài kiểm soát của nó thế nào. Họ này liên quan đến việc chỉ định và tách thuộc tính an toàn dữ liệu người dùng.

Một số thao tác có thể có là:

a) Nhập dữ liệu người dùng từ một môi trường chưa định dạng (đĩa từ, băng từ, bộ quét, video hay tín hiệu kiểm chứng) không có chứa một thuộc tính an toàn nào, và đánh dấu vật lý để biểu thị nội dung.

b) Nhập dữ liệu người dùng có thuộc tính an toàn từ một môi trường và kiểm tra các thuộc tính an toàn cho đối tượng có chính xác không.

c) Nhập dữ liệu người dùng, bao gồm cả thuộc tính an toàn từ một môi trường có sử dụng kỹ thuật mật mã để bảo vệ mối quan hệ giữa thuộc tính an toàn và dữ liệu người dùng.

Họ này không liên quan đến việc xác định xem dữ liệu người dùng có được nhập liệu không. Nó chỉ liên quan đến các giá trị của thuộc tính an toàn kết hợp với dữ liệu người dùng được nhập.

...

...

...

Nếu có sẵn các thuộc tính an toàn tin cậy, chúng có thể kết hợp với dữ liệu người dùng bằng phương thức vật lý (các thuộc tính an toàn trên cùng phương tiện), hoặc qua logic (các thuộc tính an toàn được cấp riêng, song có gắn liền định danh đối tượng, ví dụ tổng kiểm tra mật mã).

Họ này có liên quan đến việc nhập TSF-trung gian dữ liệu người dùng và duy trì sự kết hợp của các thuộc tính an toàn như SFP yêu cầu. Các họ khác liên quan đến các khía cạnh khác ví dụ như tính nhất quán, kênh tin cậy, tính vẹn toàn nằm ngoài phạm vi họ này. Ngoài ra, nhập liệu từ bên ngoài kiểm soát TSF (FDP_ITC) chỉ liên quan đến giao diện môi trường nhập liệu. Kết xuất ra kiểm soát TSF bên ngoài (FDP_ETC) chịu trách nhiệm đối với môi trường phía đầu kia (nguồn phát).

Một số yêu cầu nhập liệu quen thuộc là:

a) Nhập dữ liệu người dùng không có thuộc tính an toàn;

b) Nhập dữ liệu người dùng có thuộc tính an toàn, trong đó cả hai kết hợp với nhau và các thuộc tính an toàn biểu diễn phần nào thông tin đang được nhập.

Các yêu cầu nhập liệu này có thể xử lý bởi TSF với hoặc không có can thiệp của con người, tùy theo những hạn chế CNTT và chính sách an toàn của tổ chức. Ví dụ, nếu dữ liệu người dùng nhận được qua kênh "mật", các thuộc tính an toàn của các đối tượng được đặt thành "mật".

Nếu có nhiều SFP (kiểm soát luồng tin, và/hoặc kiểm soát truy nhập) thì chúng cần lặp các thành phần này cho mỗi SFP.

F.7.2. FDP_ITC.1 Nhập dữ liệu người dùng không có các thuộc tính an toàn

F.7.2.1. Chú thích cho ứng dụng người sử dụng

...

...

...

F.7.2.2. Các hoạt động

F.7.2.2.1. Chỉ định

Trong FDP_ITC.1.1, chủ thể PP/ST cần phải chỉ rõ các kiểm soát truy nhập SFP và/hoặc các SFP kiểm soát luồng tin khi thực thi nhập dữ liệu người dùng. Dữ liệu người dùng được nhập vào thuộc phạm vi Chỉ định bởi các SFP này.

Trong FDP_ITC.1.3, chủ thể PP/ST cần phải chỉ ra mọi quy tắc kết xuất bổ sung hoặc "none" nếu như không có quy tắc kết xuất bổ sung nào. Các quy tắc này được thực thi bởi TSF bổ sung thêm cho SFP kiểm soát truy nhập và/hoặc SFP kiểm soát luồng tin đã chọn trong FDP_ITC.1.1.

F.7.3. Nhập liệu dữ liệu người dùng với các thuộc tính an toàn FDP_ITC.2

F.7.3.1. Chú thích cho ứng dụng người sử dụng

Thành phần này dùng để chỉ ra việc nhập dữ liệu người dùng với các thuộc tính an toàn tin cậy kết hợp với chúng.

Chức năng này dựa vào các thuộc tính an toàn có kết hợp chính xác và rõ ràng với các đối tượng của môi trường nhập liệu. Khi đã được nhập liệu, các đối tượng này sẽ có cùng các thuộc tính như vậy. Điều này đòi hỏi sự nhất quán dữ liệu TSF giữa các TSF (FPT_TDC) để đảm bảo tính nhất quán của dữ liệu. Đây có thể là trường hợp chủ thể PP/ST chỉ rõ các quy tắc nhập liệu.

F.7.3.2. Các hoạt động

...

...

...

Trong FDP_ITC.2.1, tác giả PP/ST cần phải chỉ rõ một SFP kiểm soát truy cập và/hoặc các SFP kiểm soát luồng thông tin cần thực thi khi nhập dữ liệu người dùng từ bên ngoài TOE. Dữ liệu người dùng mà chức năng này nhập liệu được thông qua việc Chỉ định các SFP.

Trong FDP_ETC.2.4, chủ thể PP/ST cần phải chỉ ra mọi quy tắc luồng tin bổ sung hoặc "none" nếu như không có quy tắc luồng tin bổ sung nào. Các quy tắc này được thực thi bởi TSF bổ sung thêm cho SFP kiểm soát truy nhập và/hoặc SFP kiểm soát luồng tin đã chọn trong FDP_ITC.2.1.

F.8. Vận chuyển nội bộ TOE (FDP_ITT)

F.8.1. Chú thích cho người sử dụng

Họ này cung cấp các yêu cầu liên quan đến việc bảo vệ dữ liệu người dùng khi vận chuyển các phần của một TOE xuyên qua một kênh nội bộ. Việc vận chuyển này trái ngược với họ bảo vệ vận chuyển bí mật dữ liệu người dùng giữa các TSF (FDP_UCT) và họ bảo vệ vận chuyển đảm bảo vẹn toàn dữ liệu người dùng giữa các TSF (FDP_UIT), trong đó có sự bảo vệ dữ liệu người dùng khi vận chuyển qua các TSF khác nhau thông qua kênh bên ngoài và kết xuất từ TOE (FDP_ETC), và nhập liệu từ bên ngoài TOE (FDP_ITC), chỉ rõ việc vận chuyển TSF-trung gian tới hoặc từ bên ngoài TOE.

Các yêu cầu trong họ này cho phép chủ thể PP/ST chỉ ra độ an toàn mong muốn cho dữ liệu người dùng khi vận chuyển bên trong TOE. Tính an toàn có thể là bảo vệ chống khai phá, sửa đổi, mất tính sẵn sàng.

Việc xác định mức độ phân tách về vật lý mà họ này cần áp dụng tùy thuộc vào môi trường sử dụng. Trong môi trường máy chủ, có thể xuất hiện các nguy cơ khi vận chuyển dữ liệu giữa các phần của TOE tách biệt nhau qua BUS hệ thống. Trong các môi trường an toàn khác, việc vận chuyển có thể qua các phương tiện kết nối mạng truyền thống.

Nếu có nhiều SFP (kiểm soát luồng tin, và/hoặc kiểm soát truy nhập), thì chúng cần lặp lại các thành phần này cho mỗi SFP.

F.8.2. FDP_ITT.1 Bảo vệ chuyển giao cơ sở bên trong

...

...

...

F.8.2.1.1. Chỉ định

Trong FDP_ITC.1.1, chủ thể PP/ST cần phải chỉ rõ các kiểm soát truy nhập SFP và/hoặc các SFP kiểm soát luồng tin bao hàm các thông tin đang vận chuyển.

F.8.2.1.2. Phép chọn

Trong FDP_ITC.1.1, chủ thể PP/ST cần phải chỉ rõ các kiểu lỗi truyền tải để TSF cần phải tránh khi vận chuyển dữ liệu người dùng. Các tùy chọn là để lộ, sửa đổi, mất khả năng dùng.

F.8.3. FDP_ITT.2 Phân tách truyền tải bởi các thuộc tính

F.8.3.1. Chú thích cho ứng dụng người sử dụng

Thành phần này có thể dùng, ví dụ để cung cấp các mẫu khác nhau cho việc bảo vệ thông tin với các mức rõ ràng khác nhau.

Một cách để tách biệt dữ liệu khi vận chuyển là thông qua việc sử dụng tách biệt các kênh vật lý hoặc logic.

F.8.3.2. Các hoạt động

...

...

...

Trong FDP_ITC.2.1, chủ thể PP/ST cần phải chỉ rõ các kiểm soát truy nhập SFP và/hoặc các SFP kiểm soát luồng tin bao hàm thông tin đang được truyền tải.

F.8.3.2.2. Phép chọn

Trong FDP_ITC.2.1, chủ thể PP/ST cần phải chỉ rõ các kiểu lỗi truyền tải để TSF cần phải tránh khi vận chuyển dữ liệu người dùng. Các tùy chọn là để lộ, sửa đổi, mất khả năng dùng.

F.8.3.2.3. Chỉ định

Trong FDP_ITC.2.2, chủ thể PP/ST cần phải chỉ rõ các thuộc tính an toàn, các giá trị mà TSF dùng để xác định khi nào cần tách biệt dữ liệu đang truyền tải giữa các phần vật lý tách biệt của TOE.

Một ví dụ là nếu dữ liệu người dùng kết hợp với định danh của một chủ sở hữu được truyền tải tách biệt với dữ liệu người dùng có kết hợp với định danh của một chủ sở hữu khác. Trong trường hợp này giá trị định danh của chủ sở hữu dữ liệu là giá trị cần dùng để xác định khi nào cần tách biệt dữ liệu vận chuyển.

F.8.4. FDP_ITT.3 Giám sát toàn vẹn

F.8.4.1. Chú thích cho ứng dụng người sử dụng

Thành phần này dùng để kết hợp với hoặc là FDP_ITT.1 phần bảo vệ vận chuyển nội bộ cơ bản hoặc FDP_ITT.2 phần tách biệt vận chuyển qua thuộc tính. Nó đảm bảo rằng TSF kiểm tra dữ liệu người dùng nhận được (và các thuộc tính của nó) về tính toàn vẹn.

...

...

...

Chủ thể PP/ST cũng cần phải chỉ ra các kiểu lỗi có thể phát hiện. Chủ thể PP/ST cần phải xem xét sự sửa đổi dữ liệu, thay thế dữ liệu, thay đổi thứ tự dữ liệu, phát lại dữ liệu, dữ liệu không toàn vẹn…ngoài các lỗi toàn vẹn khác.

Chủ thể PP/ST phải chỉ ra các thao tác mà TSF cần có để phát hiện ra lỗi. Ví dụ: bỏ qua dữ liệu người dùng, yêu cầu lại dữ liệu, thông báo quản trị có thẩm quyền, định tuyến lại lưu lượng tới các tuyến khác.

F.8.4.2. Các hoạt động

F.8.4.2.1. Chỉ định

Trong FDP_ITT.3.1, chủ thể PP/ST cần phải chỉ rõ các kiểm soát truy nhập SFP và/hoặc các SFP kiểm soát luồng tin bao hàm thông tin đang được chuyển tải và giám sát về các lỗi toàn vẹn.

Trong FDP_ITT.3.1, chủ thể PP/ST cần phải chỉ rõ các kiểu lỗi toàn vẹn được giám sát trong khi truyền tải dữ liệu người dùng.

Trong FDP_ITT.3.2, chủ thể PP/ST cần phải chỉ rõ các thao tác mà TSF cần có khi xảy ra lỗi toàn vẹn. Một ví dụ là TSF cần yêu cầu phát lại dữ liệu người dùng. Các SFP chỉ ra trong FDP_ITT.3.1 sẽ thực thi như thao tác cần thực hiện bởi TSF.

F.8.5. FDP_ITT.4 Giám sát toàn vẹn dựa trên thuộc tính

F.8.5.1. Chú thích cho ứng dụng người sử dụng

...

...

...

Chủ thể PP/ST cần phải chỉ ra các kiểu lỗi cần được phát hiện. Chủ thể PP/ST cần xem xét: sự sửa đổi dữ liệu, thay thế dữ liệu, thay đổi thứ tự dữ liệu, phát lại dữ liệu, dữ liệu không toàn vẹn… ngoài các lỗi toàn vẹn khác.

Chủ thể PP/ST phải chỉ ra các thuộc tính (và các kênh truyền liên quan) cần cho giám sát lỗi toàn vẹn.

Chủ thể PP/ST phải chỉ ra các thao tác mà TSF cần có để phát hiện ra lỗi. Ví dụ: bỏ qua dữ liệu người dùng, yêu cầu lại dữ liệu, thông báo quản trị có thẩm quyền, định tuyến lại lưu lượng tới các tuyến khác.

F.8.5.2. Các hoạt động

F.8.5.2.1. Chỉ định

Trong FDP_ITT.4.1, chủ thể PP/ST cần phải chỉ rõ các SFP kiểm soát truy nhập và/hoặc các SFP kiểm soát luồng tin bao hàm thông tin đang được chuyển tải và giám sát về các lỗi toàn vẹn.

Trong FDP_ITT.4.1, chủ thể PP/ST cần phải chỉ rõ các kiểu lỗi toàn vẹn cần được giám sát trong khi truyền tải dữ liệu người dùng.

Trong FDP_ITT.4.1, chủ thể PP/ST cần phải chỉ rõ danh sách các thuộc tính an toàn cần có để phân biệt các kênh truyền. Danh sách này dùng để xác định dữ liệu người dùng nào cần được giám sát lỗi toàn vẹn, trên cơ sở các thuộc tính an toàn và kênh truyền tải của nó. Phần tử này liên quan trực tiếp đến việc phân tách truyền tải FDP_ITT.2 qua các thuộc tính.

Trong FDP_ITT.4.2, chủ thể PP/ST cần phải chỉ rõ các thao tác mà TSF cần có khi xảy ra lỗi toàn vẹn. Một ví dụ là TSF cần yêu cầu phát lại dữ liệu người dùng. Các SFP chỉ ra trong FDP_ITT.3.1 sẽ thực thi như thao tác cần thực hiện bởi TSF.

...

...

...

F.9.1. Chú thích cho người sử dụng

Họ này xét nhu cầu cần đảm bảo rằng các tài nguyên TSF-kiểm soát, khi đã bị đưa ra khỏi một đối tượng và trước khi chúng được đặt lại vào một đối tượng khác, được TSF xử lý theo cách có thể để tái cấu trúc tất cả hoặc một phần dữ liệu chứa trong tài nguyên trước khi nó được định vị lại.

Một TOE thường có một số chức năng mà có tiềm năng đưa tài nguyên ra khỏi đối tượng và cũng có thể đặt lại những tài nguyên này vào các đối tượng. Một số, nhưng không phải tất cả các tài nguyên có thể được dùng để lưu trữ dữ liệu trọng yếu từ lần dùng tài nguyên trước và đối với các FDP_RIP tài nguyên này yêu cầu chúng được chuẩn bị để tái sử dụng. Việc tái sử dụng đối tượng áp dụng để làm rõ yêu cầu của đối tượng hoặc người dùng để cho phép các tài nguyên cũng như các thao tác ẩn của TSF mà ảnh hưởng trong việc bỏ ra ngoài và tái định vị sau đó các tài nguyên để phân biệt các đối tượng. Các ví dụ về yêu cầu rõ ràng là việc xóa hoặc cắt bớt một tệp hoặc để ra một khoảng bộ nhớ chính. Các ví dụ về thao tác ẩn của TSF là việc bỏ ra và tái định vị các khu vực bí mật.

Các yêu cầu tái sử dụng đối tượng liên quan đến nội dung của tài nguyên thuộc về một đối tượng, không phải tất cả thông tin về tài nguyên hoặc đối tượng mà có thể lưu trữ ở nơi nào đó trong TSF. Một ví dụ thỏa mãn yêu cầu FDP_RIP đối với các tệp khi đối tượng yêu cầu tất cả các phần tạo ra tệp cần được chuẩn bị để tái sử dụng.

Họ này cũng áp dụng cho các tài nguyên có thể sử dụng lại tuần tự bởi các chủ thể trong hệ thống. Ví dụ, đa số hệ điều hành thường dựa trên các thanh ghi phần cứng (tài nguyên) để hỗ trợ các tiến trình trong hệ thống. Khi các tiến trình chuyển từ trạng thái "run" sang "sleep" (hoặc ngược lại), các thanh ghi trên sẽ được sử dụng lại tuần tự bởi các chủ thể khác. Trong khi thao tác "chuyển đổi" (swapping) không được coi là cấp phát hoặc giải phóng tài nguyên. Bảo vệ thông tin dư thừa (FDP_RIP) có thể áp dụng cho các sự kiện và tài nguyên.

Bảo vệ thông tin dư thừa (FDP_RIP) thường kiểm soát truy nhập tới thông tin không phải là một phần của đối tượng đang xác định hoặc đang được truy nhập. Tuy nhiên, trong một số trường hợp, điều này không hoàn toàn đúng. Lấy ví dụ, đối tượng "A" là một tệp, đối tượng B là một đĩa nơi lưu giữ tệp. Nếu đối tượng A bị xóa, thông tin về đối tượng A sẽ bị kiểm soát bởi phần bảo vệ thông tin dư thừa (FDP_RIP) ngay cả khi nó vẫn còn là một phần của đối tượng B.

Điều quan trọng cần lưu ý là phần bảo vệ thông tin dư thừa (FDP_RIP) chỉ áp dụng cho các đối tượng trực tuyến (on-line) chứ không cho các đối tượng ngoại tuyến (off-line) ví như những gì backup trên băng từ. Lấy ví dụ, nếu 1 tệp bị xóa trong TOE, phần bảo vệ thông tin dư thừa (FDP_RIP) sẽ có thể yêu cầu không có thông tin dư thừa sau khi giải phóng. Tuy nhiên TSF không thể mở rộng phép thực hiện này cho cùng một tệp tồn tại ở dạng backup ngoại tuyến. Bởi vậy, chính tệp đó vẫn dùng được. Nếu đây là mối nghi ngại thì chủ thể PP/ST cần đảm bảo rằng các đối tượng môi trường phù hợp được đặt ra để hỗ trợ quản trị các đối tượng ngoại tuyến.

Bảo vệ thông tin dư thừa (FDP_RIP) và Rollback (FDP_ROL) có thể xung đột khi Bảo vệ thông tin dư thừa (FDP_RIP) thực hiện yêu cầu xóa thông tin dư thừa tại thời điểm ứng dụng giải phóng đối tượng đến TSF (nghĩa là giải phóng tài nguyên). Bởi vậy việc chọn chức năng "Deallocation) của Bảo vệ thông tin dư thừa (FDP_RIP) cần không được sử dụng với Rollback (FDP_ROL) do không có thông tin cần lấy lại. Việc chọn lựa khác là "không sẵn sàng khi cấp phát" có thể dùng với Rollback (FDP_ROL), tuy nhiên có nguy cơ là tài nguyên đang giữ thông tin đã được cấp phát cho đối tượng mới trước khi rollback có tác dụng. Khi xảy ra điều đó, rollback sẽ không thể thực hiện được.

Trong Bảo vệ thông tin dư thừa (FDP_RIP) không có các yêu cầu kiểm toán, bởi vì đó không phải chức năng được người dùng thực hiện. Kiểm toán các tài nguyên đã cấp phát hoặc giải phóng có thể thực thi trong các thao tác của SFP kiểm soát truy nhập hoặc SFP kiểm soát luồng tin.

...

...

...

F.9.2. FDP_RIP.1 Bảo vệ thông tin dư thừa tập con

F.9.2.1. Chú thích cho ứng dụng người sử dụng

Thành phần này yêu cầu cho mỗi tập con đối tượng trong TOE là TSF sẽ đảm bảo rằng không có thông tin dư thừa dùng được chứa trong một tài nguyên đã được cấp phát hoặc đã giải phóng cho các đối tượng đó.

F.9.2.2. Các hoạt động

F.9.2.2.1. Chỉ định

Trong FDP_RIP.1.1, chủ thể PP/ST cần phải chỉ rõ sự kiện, việc cấp phát hoặc giải phóng tài nguyên gọi đến chức năng Bảo vệ thông tin dư thừa.

F.9.2.2.2. Chỉ định

Trong FDP_RIP.1.1, chủ thể PP/ST cần phải chỉ rõ danh sách các đối tượng cho phần bảo vệ thông tin dư thừa.

F.9.3. FDP_RIP.2 Bảo vệ thông tin dư thừa đầy đủ

...

...

...

Thành phần này yêu cầu cho mọi đối tượng trong TOE là TSF sẽ đảm bảo rằng không có thông tin dư thừa dùng được chứa trong một tài nguyên đã được cấp phát hoặc đã giải phóng cho các đối tượng đó.

F.9.3.2. Các hoạt động

F.9.3.2.1. Phép chọn

Trong FDP_RIP.2.1, chủ thể PP/ST cần phải chỉ rõ sự kiện, việc cấp phát hoặc giải phóng tài nguyên gọi đến chức năng bảo vệ thông tin dư thừa.

F.10. Khôi phục (FDP_ROL)

F.10.1. Chú thích cho người sử dụng

Họ này chỉ nhu cầu cần quay trở lại một trạng thái hợp lệ định trước, ví dụ như nhu cầu của một người dùng muốn hoàn lại những sửa đổi trong tệp, hoặc hoàn lại các giao dịch trong trường hợp chuỗi giao dịch chưa hoàn thiện khi thao tác với cơ sở dữ liệu.

Họ này nhằm hỗ trợ người dùng hoàn lại một trạng thái hợp lệ định trước sau khi người dùng đã hoàn lại các thao tác, hoặc trong một cơ sở dữ liệu phân tán, hoàn lại mọi bản sao phân bố của cơ sở dữ liệu về trạng thái trước khi xảy ra thao tác lỗi.

Bảo vệ thông tin dư thừa (FDP_RIP) và Hoàn lại (FDP_ROL) xung đột khi bảo vệ thông tin dư thừa (FDP_RIP) thực thi với việc nội dung không còn khả dụng tại thời điểm một tài nguyên được giải phóng khỏi một đối tượng. Bởi vậy, việc sử dụng chức năng bảo vệ thông tin dư thừa (FDP_RIP) không thể kết hợp với chức năng Hoàn lại Rollback (FDP_ROL) vì không còn thông tin để hoàn lại. Bảo vệ thông tin dư thừa (FDP_RIP) có thể chỉ sử dụng với Hoàn lại (FDP_ROL) khi thực thi với điều kiện nội dung thông tin sẽ không còn khả dụng ở thời điểm tài nguyên được cấp phát tới một đối tượng khác. Lý do là cơ chế hoàn lại (FDP_ROL) sẽ có một cơ hội truy nhập thông tin trước đó vẫn có thể còn có trong TOE để thực thi thành công việc hoàn lại thao tác. Yêu cầu để hoàn lại được giới hạn bởi một số hạn định. Ví dụ, một bộ soạn thảo văn bản thường chỉ cho phép hoàn lại một số lệnh nhất định. Một ví dụ khác là backup. Nếu băng từ backup bị quay chiều, sau khi băng từ đã được sử dụng lại, thì không còn có thể gọi lại thông tin. Đó cũng là giới hạn đối với yêu cầu hoàn lại.

...

...

...

F.10.2.1. Chú thích cho ứng dụng người sử dụng

Thành phần này cho phép một người dùng hay chủ thể được hoàn lại một tập các thao tác trên một tập đối tượng định trước. Phép hoàn lại chỉ có thể trong hạn định, ví dụ cho tới một lượng ký tự hoặc tới một hạn định thời gian.

F.10.2.2. Các hoạt động

F.10.2.2.1. Chỉ định

Trong FDP_ROL.1.1, chủ thể PP/ST cần phải chỉ rõ các SFP kiểm soát truy nhập và/hoặc các SFP kiểm soát luồng tin cần thực thi khi thực hiện các thao tác hoàn lại. Điều này cần thiết để đảm bảo rằng việc hoàn lại không dùng để phá vỡ các SFP đã cho.

Trong FDP_ROL.1.1, chủ thể PP/ST cần phải chỉ rõ danh sách các thao tác có thể hoàn lại.

Trong FDP_ROL.1.1, chủ thể PP/ST cần phải chỉ rõ thông tin và/hoặc danh sách các đối tượng dùng trong chính sách hoàn lại.

Trong FDP_ROL.1.2, chủ thể PP/ST cần phải chỉ rõ giới hạn chặn cho các thao tác hoàn lại. Giới hạn có thể chỉ ra là một khoảng thời gian định trước, ví dụ, các thao tác có thể hoàn lại khi đã thực thi trong vòng 2 phút trở lại. Các giới hạn khác có thể được xác định là số tối đa các thao tác cho phép, hoặc kích thước bộ đệm.

F.10.3.1. FDP_ROL.2 Khôi phục cải tiến Chú thích cho ứng dụng người sử dụng

...

...

...

F.10.3.2. Các hoạt động

F.10.3.2.1. Chỉ định

Trong FDP_ROL.2.1, chủ thể PP/ST cần phải chỉ rõ các SFP kiểm soát truy nhập và/hoặc các SFP kiểm soát luồng tin cần thực thi khi thực hiện các thao tác hoàn lại. Điều này cần thiết để đảm bảo rằng việc hoàn lại không dùng để phá vỡ các SFP đã cho.

Trong FDP_ROL.2.1, chủ thể PP/ST cần phải chỉ rõ danh sách các đối tượng dùng trong chính sách hoàn lại.

Trong FDP_ROL.2.2, chủ thể PP/ST cần phải chỉ rõ hạn định mà giới hạn mà các thao tác hoàn lại có thể thực thi. Giới hạn có thể được chỉ ra là một khoảng thời gian định trước, ví dụ, các thao tác có thể hoàn lại khi đã thực thi trong vòng 2 phút trở lại. Các giới hạn khác có thể được xác định là số tối đa các thao tác cho phép, hoặc kích thước bộ đệm.

F.11. Toàn vẹn dữ liệu lưu trữ (FDP_SDI)

F.11.1. Chú thích cho người sử dụng

Họ này cung cấp các yêu cầu về việc bảo vệ dữ liệu người dùng trong khi chúng được lưu giữ trong khoang chứa do TSF kiểm soát.

Các bất ổn hoặc lỗi phần cứng có thể ảnh hưởng đến dữ liệu đã lưu trong bộ nhớ. Họ này cho các yêu cầu nhằm phát hiện các lỗi không định trước này. Sự toàn vẹn của dữ liệu người dùng khi lưu giữ trong các thiết bị nhớ do TSF kiểm soát cũng được xét đến trong họ này.

...

...

...

Họ này khác với phép vận chuyển TOE nội bộ (FDP_ITT) là nó bảo vệ dữ liệu người dùng khỏi các lỗi toàn vẹn khi truyền tải dữ liệu bên trong TOE.

F.11.2. FDP_SDI.1 Giám sát toàn vẹn lưu trữ dữ liệu

F.11.2.1. Chú thích cho ứng dụng người sử dụng

Thành phần này giám sát các lỗi toàn vẹn cho dữ liệu đã lưu trong phương tiện lưu trữ. Chủ thể PP/ST có thể chỉ ra các loại thuộc tính dữ liệu người dùng khác nhau để dùng làm cơ sở cho việc giám sát.

F.11.2.2. Các hoạt động

F.11.2.2.1. Chỉ định

Trong FDP_SDI.1.1, chủ thể PP/ST cần phải chỉ ra các lỗi toàn vẹn mà TSF có thể phát hiện.

Trong FDP_SDI.1.1, chủ thể PP/ST cần phải chỉ ra các thuộc tính dữ liệu người dùng có thể sử dụng làm cơ sở cho việc giám sát.

F.11.3. FDP_SDI.2 Giám sát toàn vẹn dữ liệu lưu trữ và hành động

...

...

...

Thành phần này giám sát các lỗi toàn vẹn cho dữ liệu đã lưu trong phương tiện lưu trữ. Chủ thể PP/ST có thể chỉ ra thao tác nào cần thực hiện khi phát hiện có lỗi toàn vẹn.

F.11.3.2. Các hoạt động

F.11.3.2.1. Chỉ định

Trong FDP_SDI.2.1, chủ thể PP/ST cần phải chỉ ra các lỗi toàn vẹn mà TSF có thể phát hiện.

Trong FDP_SDI.2.1, chủ thể PP/ST cần phải chỉ ra các thuộc tính dữ liệu người dùng có thể sử dụng làm cơ sở cho việc giám sát.

Trong FDP_SDI.2.2, chủ thể PP/ST cần phải chỉ ra các thao tác cần có khi phát hiện có lỗi toàn vẹn.

F.12. Bảo vệ vận chuyển bí mật dữ liệu người dùng-TSF (FDP_UCT)

F.12.1. Chú thích cho người sử dụng

Họ này xác định các yêu cầu để đảm bảo tính bí mật của dữ liệu người dùng khi truyền tải qua một kênh bên ngoài giữa TOE và sản phẩm CNTT tin cậy khác. Tính bí mật cần thực hiện bằng việc cấm khai phá không có thẩm quyền dữ liệu người dùng trong quá trình truyền giữa hai đầu cuối. Các đầu cuối có thể là một TSF hoặc một người dùng.

...

...

...

F.12.2. FDP_UCT.1 Bí mật trao đổi dữ liệu cơ bản

F.12.2.1. Chú thích cho ứng dụng người sử dụng

TSF có khả năng bảo vệ dữ liệu người dùng chống khai phá trong khi chúng được trao đổi.

F.12.2.2. Các hoạt động

F.12.2.2.1. Chỉ định

Trong FDP_UCT.1.1, chủ thể PP/ST cần phải chỉ rõ các SFP kiểm soát truy nhập và/hoặc các SFP kiểm soát luồng tin cần được thực hiện khi trao đổi dữ liệu người dùng. Các chính sách đã Chỉ định sẽ được thực thi để ra quyết định về việc ai có thể trao đổi dữ liệu và dữ liệu nào có thể được trao đổi.

F.12.2.2.2. Phép chọn

Trong FDP_UCT.1.1, chủ thể PP/ST cần phải chỉ rõ phần tử này được áp dụng cho một cơ chế truyền tải hay thu nhận dữ liệu người dùng.

F.13. Bảo vệ vận chuyển toàn vẹn dữ liệu người dùng liên-TSF (FDP_UIT)

...

...

...

Họ này xác định các yêu cầu với việc đảm bảo toàn vẹn cho dữ liệu người dùng khi truyền tải giữa TSF và sản phẩm CNTT tin cậy khác, và khôi phục lại từ các lỗi có thể phát hiện được. Ít nhất, họ này giám sát sự toàn vẹn của dữ liệu người dùng chống sự sửa đổi. Ngoài ra, họ này hỗ trợ các cách khác nhau để sửa các lỗi toàn vẹn đã phát hiện ra.

Họ này xác định các yêu cầu đảm bảo toàn vẹn cho dữ liệu người dùng khi đang truyền, trong khi đó chức năng toàn vẹn dữ liệu kết xuất TSF (FPT_ITI) xử lý dữ liệu TSF.

Chức năng bảo vệ truyền tải toàn vẹn dữ liệu người dùng liên TSF (FDP_UIT) và bảo vệ truyền tải bí mật dữ liệu người dùng liên TSF (FDP_UCT) đi đôi với nhau, vì chức năng bảo vệ truyền tải bí mật dữ liệu người dùng liên TSF (FDP_UCT) xét tính bí mật của dữ liệu người dùng. Bởi vậy, cơ chế tương tự thực thi bảo vệ truyền tải toàn vẹn dữ liệu người dùng liên TSF (FDP_UIT) có thể dùng được để thực thi các họ khác như bảo vệ truyền tải bí mật dữ liệu người dùng liên TSF (FDP_UCT) và họ nhập liệu từ bên ngoài kiểm soát TSF (FDP_ITC).

F.13.2. FDP_UIT.1 Toàn vẹn trao đổi dữ liệu

F.13.2.1. Chú thích cho ứng dụng người sử dụng

TSF có khả năng cơ bản là gửi hoặc nhận dữ liệu người dùng theo cách phát hiện được sự sửa đổi dữ liệu người dùng. Không cần có yêu cầu nào cho một cơ chế TSF để khôi phục sửa đổi đó.

F.13.2.2. Các hoạt động

F.13.2.2.1. Chỉ định

FDP_UIT.1.1, chủ thể PP/ST cần phải chỉ rõ các SFP kiểm soát truy nhập và/hoặc các SFP kiểm soát luồng tin cần được thực hiện khi truyền hoặc nhận dữ liệu người dùng. Các chính sách đã Chỉ định sẽ được thực thi để ra quyết định về việc ai có thể gửi hoặc nhận dữ liệu và dữ liệu nào có thể được gửi hoặc nhận.

...

...

...

Trong FDP_UIT.1.1, chủ thể PP/ST cần phải chỉ rõ phần tử này được áp dụng cho một cơ chế truyền tải hay thu nhận các đối tượng.

Trong FDP_UIT.1.1, chủ thể PP/ST cần phải chỉ rõ dữ liệu cần phải được bảo vệ chống sửa đổi, xóa, chèn hoặc phát lại.

Trong FDP_UIT.1.2, chủ thể PP/ST cần phải chỉ rõ lỗi các kiểu như: sửa đổi, xóa, chèn thêm hay phát lại được phát hiện.

F.13.3. FDP_UIT.2 Khôi phục trao đổi dữ liệu gốc

F.13.3.1. Chú thích cho ứng dụng người sử dụng

Thành phần này cung cấp khả năng khôi phục từ một tập các lỗi truyền đã xác định, nếu cần thiết, sử dụng sự trợ giúp của sản phẩm CNTT tin cậy khác.

Do sản phẩm CNTT tin cậy khác nằm ngoài TSC, TSF không thể kiểm soát hành vi của nó. Tuy nhiên, nó có thể cung cấp các chức năng có khả năng hợp tác với sản phẩm CNTT tin cậy khác để nhằm mục đích khôi phục. Ví dụ, TSF có thể chứa các chức năng tùy theo nguồn phát sản phẩm CNTT tin cậy khác để gửi lại dữ liệu khi phát hiện có lỗi xảy ra.

Thành phần này liên quan đến khả năng TSF xử lý khôi phục lỗi như vậy.

F.13.3.2. Các hoạt động

...

...

...

Trong FDP_UIT.2.1, chủ thể PP/ST cần phải chỉ rõ các SFP kiểm soát truy nhập và/hoặc các SFP kiểm soát luồng tin cần thực thi khi khôi phục dữ liệu. Các chính sách đã Chỉ định sẽ được thực thi để ra quyết định về việc dữ liệu nào có thể khôi phục và cách thức có thể khôi phục nó.

Trong FDP_UIT.2.1, chủ thể PP/ST cần phải chỉ rõ danh sách các lỗi toàn vẹn mà TSF với sự trợ giúp của nguồn phát sản phẩm CNTT tin cậy khác có thể khôi phục lại dữ liệu người dùng ban đầu.

F.13.4. FDP_UIT.3 Khôi phục trao đổi dữ liệu đích

F.13.4.1. Chú thích cho ứng dụng người sử dụng

Thành phần này cung cấp khả năng khôi phục từ một tập các lỗi truyền đã xác định. Nó hoàn tất nhiệm vụ mà không cần có sự trợ giúp của sản phẩm CNTT tin cậy khác. Ví dụ, nếu phát hiện ra lỗi nào đó, giao thức truyền tải cần phải đủ mạnh để cho phép TSF khôi phục lại lỗi dựa trên cơ sở tổng kiểm tra và các thông tin khả dụng khác trong giao thức.

F.13.4.2. Các hoạt động

F.13.4.2.1. Chỉ định

Trong FDP_UIT.3.1, chủ thể PP/ST cần phải chỉ rõ các SFP kiểm soát truy nhập và/hoặc các SFP kiểm soát luồng tin cần thực thi khi khôi phục dữ liệu. Các chính sách đã Chỉ định sẽ được thực thi để ra quyết định về việc dữ liệu nào có thể khôi phục và cách thức có thể khôi phục nó.

Trong FDP_UIT.3.1, chủ thể PP/ST cần phải chỉ rõ danh sách các lỗi toàn vẹn mà chỉ bản thân TSF nguồn thu có khả năng khôi phục lại dữ liệu người dùng ban đầu.

...

...

...

PHỤ LỤC G

(Quy định)

LỚP FIA: ĐỊNH DANH VÀ XÁC THỰC

Một yêu cầu bảo mật thông thường là để xác nhận rõ người dùng, thực thể các chức năng trong một TOE. Điều này không chỉ là xác minh định danh yêu cầu của mỗi người mà còn xác nhận mỗi người dùng đó có thực là người mà họ yêu cầu không. Điều này được thực hiện bằng cách yêu cầu người dùng cung cấp TSF về một vài thông tin cái mà được biết như là TSF dùng để liên kết với người dùng trong câu hỏi.

Các họ trong lớp này gửi các yêu cầu có chức năng để thiết lập và xác minh một định danh người dùng được yêu cầu. Định danh và xác thực được yêu cầu để đảm bảo rằng người dùng được liên kết (được trợ giúp) với các thuộc tính an toàn thích hợp (vd như định danh, nhóm, quy tắc, bảo mật hoặc các mức toàn vẹn).

Việc định danh rõ ràng của người dùng có thẩm quyền và sự liên kết (trợ giúp) đúng của các thuộc tính an toàn với người dùng và các đối tượng (subject) là điều kiện để áp đặt các chính sách an toàn.

Họ định danh người dùng (FIA_UID) thực hiện (gửi) việc xác định định danh của một người dùng.

Họ xác thực người dùng (FIA_UAD) thực hiện việc xác thực định danh một người dùng.

Họ lỗi xác thực (FIA_AFL) thực hiện việc định nghĩa hạn chế lặp lại việc thử xác định không thành công.

...

...

...

Họ ràng buộc đối tượng người dùng (FIA_USB) thực hiện việc liên kết đúng của các thuộc tính an toàn cho mỗi người dùng có thẩm quyền.

Họ miêu tả các vấn đề bảo mật (FIA_SOS) thực hiện việc phát sinh và xác minh các vấn đề bảo mật mà thỏa mãn một tập đã định nghĩa.

Hình G1 chỉ ra sự tách lớp này thành các thành  phần hợp thành.

Hình G1 - Sự phân cấp lớp FIA: định danh và xác thực

G.1. Các lỗi xác thực (FIA_AFL)

G.1.1. Chú thích cho ứng dụng người sử dụng

Họ này gửi những yêu cầu về định nghĩa các giá trị đối với việc thử xác thực và các hành động TSF trong trường hợp lỗi thử xác thực. Các tham số như là số lần thử và ngưỡng thời gian là không hạn chế.

Tiến trình thiết lập phiên là sự tương tác với người dùng để thực thi việc thiết lập phiên độc lập với thực thi hành động. Nếu số lần thử xác thực không thành công vượt quá ngưỡng đã Chỉ định hoặc tài khoản người dùng hoặc thiết bị đầu cuối (hoặc cả 2) thì sẽ bị khóa. Nếu tài khoản người dùng bị khóa, người dùng không thể đăng nhập vào hệ thống. Nếu thiết bị đầu cuối bị khóa, thiết bị đầu cuối (hay địa chỉ của thiết bị đó) không được sử dụng cho bất kỳ lần đăng nhập nào. Duy trì cả 2 trường hợp này cho đến khi thỏa mãn điều kiện lập lại.

...

...

...

G.1.2.1. Chú thích cho ứng dụng người sử dụng

Tác giả PP/ST có thể định nghĩa số lần thử xác thực không thành công hoặc có thể chọn để giúp nhà phát triển TOE hoặc người dùng có thẩm quyền định nghĩa số này. Việc thử xác thực không thành công không cần phải liên tục, nhưng đúng hơn là có sự liên quan tới một sự kiện xác thực. Như vậy một sự kiện xác thực có thể được tính toán từ phiên thiết lập thành công trước ở một thiết bị đầu cuối đã xác định.

Tác giả PP/ST có thể xác định một danh sách các hành động mà TSF sẽ thực thi trong trường hợp lỗi xác thực. Một người quản trị có thẩm quyền có thể cũng được phép quản lý các sự kiện, nếu được phép của tác giả PP/ST. Các sự kiện đó có thể là các hành động: khởi tạo hành động đầu cuối, khởi tạo tài khoản người dùng hoặc đưa ra cảnh báo với người quản trị. Các điều kiện dưới trạng thái nào mà sẽ được lưu trữ một cách thông thường phải được xác định trên hành động đó.

Để ngăn chặn từ chối dịch vụ, TOE luôn đảm bảo rằng có ít nhất một tài khoản người dùng không bị khóa.

Hơn nữa các hành động cho TSF có thể xác định bởi tác giả PP/ST gồm các quy tắc cho việc khởi tạo lại quy trình thiết lập phiên người dùng, hoặc gửi một cảnh báo tới người quản trị. Ví dụ các hành động này là: cho tới khi thời gian Chỉ định trôi qua, cho tới khi người quản trị có thẩm quyền kích hoạt lại tài khoản hoặc thiết bị đầu cuối, một lần thử trước đó bị lỗi (tất cả các lần thử mà bị lỗi, 2 lần liên tiếp ngắt kích hoạt).

G.1.2.2. Các hoạt động

G.1.2.2.1. Chỉ định

Trong FIA_AFL.1.1, tác giả PP/ST nên chọn hoặc là gán một số nguyên hoặc cụm từ sau "Người quản trị nhập số nguyên dương" và đưa ra dải giá trị chấp nhận được.

G.1.2.2.2. Chỉ định

...

...

...

Trong FIA_AFL.1.1, nếu việc gán số nguyên dương mà được chọn, tác giả PP/ST xác định số mặc định (số nguyên dương) của lần thử xác thực không thành công, khi bằng hoặc lớn hơn, cái mà sẽ gây ra các sự kiện.

Trong FIA_AFL.1.1, nếu một người quản trị khai báo số nguyên dương là được chọn, tác giả PP/ST nên xác định dải giá trị chấp nhận được từ cái mà người quản trị của TOE có thể khai báo số lần thử xác thực không thành công. Số lần thử xác thực nên ít hơn hoặc bằng giá trị cận trên và lớn hơn hoặc bằng giá trị cận dưới.

Trong FIA_AFL.1.2, tác giả PP/ST nên xác định các hành động để thực thi trong trường hợp bằng hoặc lớn hơn ngưỡng. Các hành động này có thể sẽ khóa tài khoản trong 5 phút, khóa thiết bị đầu cuối cho một lần tăng (2 hoặc nhiều hơn số lần thử không thành công trong 1 giây), hoặc khóa tài khoản cho tới khi bị khóa bởi người quản trị và khai báo đồng thời tới người quản trị. Các hành động nên xác định phép đo và nếu khoảng đo là thích hợp (hoặc cận dưới của phép đo).

G.1.2.2.3. Phép chọn

Trong FIA_AFL.1.2, tác giả PP/ST cần chọn hoặc sự kiện gặp gỡ hoặc vượt quá số lượng đã xác định các thử xác thực không thành công sẽ thúc đẩy TSF thao tác.

G.1.2.2.4. Chỉ định

Trong FIA_AFL.1.2, tác giả PP/ST cần chỉ rõ các thao tác được thực hiện trong trường hợp ngưỡng được đáp ứng hoặc bị vượt quá hoặc được lựa chọn. Các thao tác này có thể bị vô hiệu hóa trong 5 giây, vô hiệu giới hạn số lần gia tăng (2 mũ số lần thử không thành công tính theo giây), hoặc vô hiệu tài khoản đến khi quản trị mở khóa và đồng thời thông báo với quản trị.

Các thao tác cần chỉ rõ các biện pháp và nếu có thể áp dụng thì là khoảng thời gian của biện pháp (hoặc các điều kiện trong đó các biện pháp nào sẽ kết thúc).

G.2. Định nghĩa thuộc tính người dùng (FIA_ATD)

...

...

...

Tất cả người dùng có thẩm quyền có thể có một tập các thuộc tính an toàn, không phải là định danh người dùng, mà nó được dùng để bắt buộc các SFR. Họ này định nghĩa các yêu cầu cho việc liên kết các thuộc tính an toàn người dùng với các người dùng mà cần để trợ giúp TSF trong việc ra quyết định an toàn.

Có sự phụ thuộc vào các định nghĩa chính sách an toàn riêng biệt. Những định nghĩa riêng này nên chứa danh sách các thuộc tính mà cần thiết cho việc bắt buộc chính sách.

G.2.2. Xác định thuộc tính người dùng FIA_ATD.1

G.2.2.1. Chú thích cho ứng dụng người sử dụng

Thành phần này xác định các thuộc tính an toàn mà nên được duy trì tại mức của người dùng. Điều này có nghĩa là các thuộc tính an toàn đã liệt kê được gán và có thể được thay đổi tại mức người dùng. Bên cạnh đó, việc thay đổi thuộc tính an toàn trong danh sách này liên kết với một người dùng không nên có ảnh hưởng tới các thuộc tính an toàn của bất kỳ người dùng khác.

Trong trường hợp các thuộc tính an toàn thuộc về nhóm các người dùng (như là danh sách các khả năng đối với một nhóm), người dùng sẽ cần có một tham chiếu (như thuộc tính an toàn) tới nhóm có liên quan.

G.2.2.2. Các hoạt động

G.2.2.2.1. Chỉ định

Trong FIA_ATD.1.1, tác giả PP/ST nên xác định các thuộc tính an toàn mà được liên kết tới một người dùng riêng. Ví dụ như một danh sách là {"thông hành", "định danh nhóm", "quyền"}.

...

...

...

G.3.1. Chú thích cho người sử dụng

Họ này định nghĩa các yêu cầu đối với các cơ chế mà bắt buộc tập đặc tính đã xác định trên các vấn đề bảo mật đã được cung cấp, và phát sinh vấn đề bảo mật để thỏa mãn tập đã xác định. Ví dụ như các cơ chế có thể bao gồm việc kiểm tra mật khẩu người dùng tự động, hoặc sự phát sinh mật khẩu tự động.

Một vấn đề bảo mật có thể được phát sinh bên ngoài TOE (vd được chọn bởi người dùng và được giới thiệu trong hệ thống). Như trong trường hợp, việc xác minh thành phần bảo mật FIA_SOS.1 có thể được sử dụng để đảm bảo rằng vấn đề bảo mật được phát sinh mở rộng tham gia tới các chuẩn nhất định, ví dụ một kích cỡ tối thiểu có thể không được sử dụng trước đó mà không xuất hiện trong từ điển.

Vấn đề bảo mật cũng có thể được sinh bởi TOE. Trong trường hợp đó, sự phát sinh thành phần bảo mật FIA_SOS.2 TSF có thể được sử dụng để yêu cầu TOE đảm bảo rằng các vấn đề bảo mật sẽ tham gia tới một vài tập đã xác định.

Các vấn đề bảo mật chứa dữ liệu xác thực cung cấp bởi người dùng cho cơ chế xác thực mà được dựa trên hiểu biết chủ động của người dùng. Khi khóa mật mã được áp dụng, lớp FCS: việc trợ giúp mật mã nên được sử dụng thay cho họ này.

G.3.2. Thẩm tra các bí mật FIA_SOS.1

G.3.2.1. Chú thích cho ứng dụng người sử dụng

Các vấn đề bảo mật có thể được phát sinh bởi người dùng. Thành phần này đảm bảo rằng các vấn đề phát sinh bởi người dùng đó có thể được xác minh theo tập đặc tính nhất định.

G.3.2.2. Các hoạt động

...

...

...

Trong FIA_SOS.1.1, tác giả PP/ST nên cung cấp một tập đặc tính đã xác định. Việc xác định tập đặc tính có thể đơn giản như việc miêu tả việc kiểm tra đặc tính được thực hiện, hoặc thông dụng như một tham chiếu tới chuẩn mà một quốc gia công bố để định nghĩa tập đặc tính mà các vấn đề bảo mật phải tuân theo. Ví dụ tập đặc tính có thể bao gồm một miêu tả cấu trúc bảng chữ cái của các vấn đề bảo mật được chấp nhận và/hoặc khoảng không gian mà các vấn đề bảo mật có thể chấp nhận phải tuân theo.

G.3.3. FIA_SOS Tạo các bí mật TSF

G.3.3.1. Chú thích cho ứng dụng người sử dụng

Thành phần này cho phép TSF phát sinh các vấn đề bảo mật cho chức năng đặc trưng như là xác thực bằng mật khẩu.

Khi nào thì bộ phát sinh số ngẫu nhiên được sử dụng trong một thuật tính toán phát sinh bảo mật, nên chấp nhận nó như đầu vào là số ngẫu nhiên mà đầu ra là một kết quả hoàn toàn không thể đoán trước. Dữ liệu ngẫu nhiên này có thể nhận được từ một số tham số sẵn sàng như đồng hồ hệ thống, đăng ký hệ thống, ngày, thời gian… Các tham số nên được chọn để đảm bảo rằng số dữ liệu duy nhất có thể phát sinh từ đầu vào này nên là ít hơn hoặc bằng số tối thiểu vấn đề bảo mật phải được phát sinh.

G.3.3.2. Các hoạt động

G.3.3.2.1. Chỉ định

Trong FIA_SOS.2.1, tác giả PP/ST nên cung cấp một tập đặc tính đã xác định. Việc xác định tập đặc tính có thể đơn giản như miêu tả sự kiểm tra đặc tính để thực hiện hoặc thông thường như tham chiếu tới chuẩn quốc gia mà định nghĩa các tập đặc tính các vấn đề bảo mật phải tuân theo. Ví dụ tập đặc tính có thể bao gồm một miêu tả cấu trúc bảng chữ cái về các vấn đề bảo mật chấp nhận được và/hoặc không gian mà các vấn đề bảo mật chấp nhận phải tuân theo.

Trong FIA_SOS.2.2, tác giả PP/ST nên cung cấp một danh sách các chức năng TSF cho cái mà vấn đề phát sinh TSF phải được sử dụng. Ví dụ như chức năng có thể bao gồm một mật khẩu dựa trên cơ chế xác thực.

...

...

...

G.4.1. Chú thích cho ứng dụng người sử dụng

Họ này định nghĩa các kiểu cơ chế xác thực người dùng được trợ giúp bởi TSF. Họ này định nghĩa các thuộc tính yêu cầu trên cái mà cơ chế xác thực người dùng dựa vào.

G.4.2. FIA_UAU.1 Định thời cho xác thực

G.4.2.1. Chú thích cho ứng dụng người sử dụng

Thành phần này yêu cầu rằng tác giả PP/ST định nghĩa các hành động trung gian TSF có thể được thực thi bởi TSF thay cho người dùng trước khi định danh yêu cầu của người dùng được xác thực. Các hành động trung gian TSF không có khái niệm bảo mật với người dùng một cách sai để định danh chúng ưu tiên hơn việc xác thực. Đối với tất cả các hành động trung gian TSF không nằm trong danh sách, người dùng phải được xác thực trước khi hành động được thực thi bởi TSF thay cho người dùng.

Thành phần này không thể điều khiển mặc dù các hành động có thể thực thi trước khi thực hiện phần định danh. Điều này yêu cầu sử dụng hoặc thời gian định danh FIA_UID.1 và định danh người dùng FIA_UID.2 trước khi có bất kỳ hành động với chỉ định thích hợp.

G.4.2.2. Các hoạt động

G.4.2.2.1. Chỉ định

Trong FIA_UAU.1.1, tác giả PP/ST nên xác định danh sách các hành động trung gian TSF mà có thể thực thi bởi TSF thay cho người dùng trước khi định danh yêu cầu của người dùng được xác thực. Danh sách này có thể không rỗng. Nếu không hành động nào là thích hợp, thành phần xác thực người dùng trong FIA_UAU.2 trước khi có bất kỳ hành động nào nên được sử dụng để thay thế. Một ví dụ như hành động có thể bao gồm yêu cầu trợ giúp thủ tục đăng nhập.

...

...

...

G.4.3.1. Chú thích cho ứng dụng người sử dụng

Thành phần này yêu cầu người dùng được xác thực trước khi bất kỳ hành động trung gian TSF có thể thực hiện thay cho người dùng đó.

G.4.4. FIA_UAU.3 Xác thực không thể giả mạo

G.4.4.1. Chú thích cho ứng dụng người sử dụng

Thành phần này gửi các yêu cầu cho cơ chế để cung cấp việc bảo vệ dữ liệu xác thực. Dữ liệu xác thực được chép từ người khác, hoặc bằng cách xây dựng nên được bảo vệ hoặc bị từ chối. Các cơ chế này cung cấp sự tin tưởng cái mà người dùng xác thực bởi TSF thực sự là người mà họ yêu cầu.

Thành phần này chỉ sử dụng được với cơ chế xác thực dựa trên xác thực dữ liệu mà không thể chia sẻ (ví dụ như sinh học). TSF có thể bảo vệ hoặc ngăn chặn việc chia sẻ mật khẩu bên ngoài điều khiển TSF một cách dễ dàng.

G.4.4.2. Các hoạt động

G.4.4.2.1. Phép chọn

Trong FIA_UAU.3.1, tác giả PP/ST nên xác định nơi TSF sẽ tìm thấy, ngăn chặn, hoặc bảo vệ và ngăn chặn việc giả mạo của xác thực dữ liệu.

...

...

...

G.4.5. FIA_UAU.4 Các cơ chế sử dụng xác thực đơn

G.4.5.1. Chú thích cho ứng dụng người sử dụng

Thành phần này gửi các yêu cầu cho cơ chế xác thực dựa trên dữ liệu sử dụng xác thực đơn. Dữ liệu sử dụng xác thực đơn có thể là một vài thứ mà người dùng có hoặc biết chứ không phải thứ mà người dùng là nó. Ví dụ dữ liệu sử dụng xác thực đơn bao gồm sử dụng mật khẩu đơn, thời gian mã hóa, và/hoặc số ngẫu nhiên tra cứu từ bảng bảo mật.

Tác giả PP/ST có thể xác định cơ chế xác thực nào mà yêu cầu này áp dụng.

G.4.5.2. Các hoạt động

G.4.5.2.1. Chỉ định

Trong FIA_UAU.4.1, tác giả PP/ST nên xác định danh sách các cơ chế xác thực tới cái mà yêu cầu này áp dụng. Chỉ định này có thể là "tất cả các cơ chế xác thực". Ví dụ chỉ định này có thể là "cơ chế xác thực ứng dụng tới người xác thực bên mạng ngoài".

G.4.6. FIA_UAU.5 Cơ chế đa xác thực

G.4.6.1. Chú thích cho ứng dụng người sử dụng

...

...

...

Các chức năng quản lý trong lớp FMT có thể cung cấp các khả năng duy trì cho tập các cơ chế xác thực, như là các vai trò xác định nơi việc xác thực thành công.

Cho phép người dùng nặc danh tương tác với TOE, một cơ chế xác thực "không" có thể là được hợp nhất. Sử dụng truy cập nên được giải thích rõ ràng trong các vai trò của FIA_UAU.5.2.

G.4.6.2. Các hoạt động

G.4.6.2.1. Chỉ định

Trong FIA_UAU.5.1, tác giả PP/ST nên định nghĩa cơ chế xác thực có thể dùng được. Một ví dụ danh sách có thể là: "không, cơ chế mật khẩu, sinh học (quét võng mạc), cơ chế S/key".

Trong FIA_UAU.5.2, tác giả PP/ST nên xác định các vai trò miêu tả cơ chế xác thực cung cấp việc xác thực như thế nào và mỗi cơ chế được sử dụng khi nào. Điều này có nghĩa là phải miêu tả mỗi vị trí của tập cơ chế mà có thể được sử dụng cho việc xác thực người dùng. Một ví dụ danh sách các vai trò là: "nếu người dùng có quyền sử dụng cả hai cơ chế mật khẩu đặc biệt và một cơ chế sinh học, thành công khi cả hai thành công; đối với tất cả người dùng khác cơ chế mật khẩu sẽ được sử dụng".

Tác giả PP/ST có thể đưa ra các biên cái mà người quản trị có thẩm quyền có thể xác định các vai trò riêng biệt. Một ví dụ về vai trò là: "người dùng luôn phải được xác thực bởi phương pháp thẻ bài; người quản trị có thể định rõ việc thêm các cơ chế xác thực được sử dụng". Tác giả PP/ST không những phải chọn để xác định biên bất kỳ mà còn bỏ hoàn toàn cơ chế xác thực và vai trò của chúng cho người quản trị có thẩm quyền.

G.4.7. FIA_UAU.6 Xác thực lại

G.4.7.1. Chú thích cho ứng dụng người sử dụng

...

...

...

G.4.7.2. Các hoạt động

G.4.7.2.1. Chỉ định

Trong FIA_UAU.6.1, tác giả PP/ST nên xác định danh sách các điều kiện yêu cầu xác thực lại. Danh sách này có thể bao gồm khoảng thời gian không thao tác của một người dùng xác định, người dùng yêu cầu một sự thay đổi trong thao tác của các thuộc tính an toàn, hoặc người dùng yêu cầu TSF thực thi một vài chức năng giới hạn an toàn.

Tác giả PP/ST có thể đưa ra các biên nơi mà việc xác thực lại có thể xuất hiện và việc xác định cho người quản trị có thẩm quyền. Một ví dụ về vai trò là: "người dùng luôn phải được xác thực lại ít nhất một lần trong ngày; người quản trị có thể chỉ rõ việc xác thực lại nên xảy ra thường xuyên hơn chứ không phải là một lần trong 10 phút".

G.4.8. FIA_UAU.7 Phản hồi xác thực có bảo vệ

G.4.8.1. Chú thích cho ứng dụng người sử dụng

Thành phần này gửi phản hồi trong tiến trình xác thực cái mà sẽ cung cấp tới người dùng. Trong một vài hệ thống phản hồi bao gồm chỉ dẫn nhiều ký tự được gõ như thế nào nhưng không chỉ ra các ký tự đó, trong hệ thống khác thậm chí thông tin này có thể là không thích hợp.

Thành phần này yêu cầu dữ liệu xác thực là không được cung cấp như là việc phản hồi tới người dùng. Trong môi trường máy trạm, nó có thể hiển thị một "ký tự thay thế" (chẳng hạn như ký tự sao) cho mỗi ký tự mật khẩu, và không phải là ký tự thực.

G.4.8.2. Các hoạt động

...

...

...

Trong FIA_UAU.7.1, tác giả PP/ST nên xác định việc phản hồi liên quan tới quy trình xác thực cái mà sẽ được cung cấp tới người dùng. Ví dụ về một sự phản hồi chỉ định là "số ký tự được gõ", kiểu phản hồi khác là "cơ chế xác thực gây lỗi xác thực".

G.5. Định danh người dùng (FIA_UID)

G.5.1. Chú thích cho ứng dụng người sử dụng

Họ này định nghĩa các điều kiện cái mà người dùng được yêu cầu để định danh chúng trước khi thực thi bất kỳ các hành động nào khác được làm trung gian bởi TSF và yêu cầu định danh người dùng

G.5.2. FIA_UID.1 Định thời cho định danh

G.5.2.1. Chú thích cho ứng dụng người sử dụng

Thành phần này đưa ra các yêu cầu cho người dùng để được định danh. Tác giả PP/ST có thể chỉ rõ các hành động có thể được thực thi trước khi việc định danh xảy ra.

Nếu thời gian định danh FIA_UID.1 được sử dụng, các hành động trung gian TSF đề cập trong Thời gian định danh FIA_UID.1 cũng nên xuất hiện trong thời gian xác thực FIA_UID.1 này.

G.5.2.2. Các hoạt động

...

...

...

Trong FIA_UID.1.1, tác giả PP/ST nên xác định danh sách các hành động trung gian TSF mà có thể được thực thi bởi TSF thay cho người dùng trước khi người dùng phải định danh. Nếu không có hành động nào thích hợp, thành phần định danh người dùng FIA_UID.2 trước khi có bất kỳ hành động nào được sử dụng thay thế. Một ví dụ như một hành động có thể bao gồm yêu cầu cho trợ giúp quá trình đăng nhập.

G.5.3. FIA_UID.2 Định danh người dùng trước khi hành động

G.5.3.1. Chú thích cho ứng dụng người sử dụng

Trong thành phần này người dùng sẽ được định danh. Một người dùng không được phép bởi TSF để thực thi bất kỳ hành động nào trước khi định danh.

G.6. Liên kết chủ thể - người dùng (FIA_USB)

G.6.1. Chú thích cho ứng dụng người sử dụng

Một người dùng được xác thực để sử dụng TOE, đặc biệt là hành động một đối tượng. Các thuộc tính an toàn người dùng là được liên kết với đối tượng này (toàn bộ hoặc một phần). Họ này định nghĩa các yêu cầu để tạo và duy trì sự liên kết của các thuộc tính an toàn người dùng để đối tượng thao tác trên quyền của người dùng.

G.6.2. FIA_USB.1 Liên kết chủ thể - người dùng

G.6.2.1. Chú thích cho ứng dụng người sử dụng

...

...

...

Qua đó, khi một đối tượng được tạo ra, đối tượng đó đang hành động thay cho người dùng mà khởi tạo việc tạo. Trong nhiều trường hợp nơi mà tình trạng giả mạo được sử dụng, đối tượng vẫn thao tác thay cho người dùng, nhưng định danh của người dùng đó là không được biết. Một chủ đề đặc biệt của đối tượng là các đối tượng đó phục vụ nhiều người dùng (ví dụ một tiến trình tại máy chủ). Trong nhiều trường hợp người dùng tạo đối tượng này được thừa nhận để là "người sở hữu".

G.6.2.2. Các hoạt động

G.6.2.2.1. Chỉ định

Trong FIA_USB.1.1, tác giả PP/ST nên xác định danh sách các thuộc tính an toàn người dùng mà được giới hạn tới các đối tượng.

Trong FIA_USB.1.2, tác giả PP/ST nên xác định bất kỳ các vai trò mà được áp dụng lên sự liên kết khởi tạo của các thuộc tính với các đối tượng, hoặc "không".

Trong FIA_USB.1.3, tác giả PP/ST nên xác định bất kỳ các vai trò nào mà được áp dụng khi thay đổi được tạo ra để các thuộc tính an toàn người dùng liên kết với các đối tượng hành động thay cho người dùng hoặc "không".

PHỤ LỤC H

(Quy định)

...

...

...

Lớp này xác định việc quản lý một vài lĩnh vực của TSF: các thuộc tính an toàn, dữ liệu TSF và các chức năng trong TSF. Các vai trò quản lý khác nhau và sự tương tác của chúng cũng có thể được xác định, như là sự phân tách khả năng.

Trong môi trường nơi TOE được tạo ra từ nhiều phần vật lý riêng biệt mà hình thức một hệ thống phân tán, thời gian tranh luận với mối liên quan để lan truyền các thuộc tính an toàn, dữ liệu TSF, và sự thay đổi chức năng trở nên rất phức tạp, đặc biệt nếu thông tin được yêu cầu để thay thế một phần của TOE. Cái này nên được quan tâm khi lựa chọn các thành phần như sự thu hồi FMT_REV.1, hoặc quyền hạn thời gian FMT_SAE.1, nơi cơ chế là bị suy yếu. Trong trường hợp, sử dụng các thành phần từ bên trong TOE TSF bao gồm cả sự thay thế dữ liệu (FPT_TRG) là thích hợp.

Hình H.1 chỉ ra sự phân tách của lớp này vào trong các thành phần hợp thành của nó.

Hình H.1 - Phân cấp lớp FMT: Quản lý an toàn

H.1. Quản lý các chức năng trong TSF (FMT_MOF)

H.1.1. Chú thích cho ứng dụng người sử dụng

Các chức năng quản lý TSF sẵn sàng với người dùng có thẩm quyền để cài đặt và điều khiển thao tác bảo mật của TOE. Các chức năng quản trị này đặc biệt là một trong số các chủ đề khác nhau như sau:

a) Các chức năng quản lý liên quan tới điều khiển truy cập, tính toán và điều khiển xác thực bắt buộc bởi TOE. Ví dụ, định nghĩa và cập nhật các thuộc tính an toàn người dùng (ví dụ định danh duy nhất liên quan tới tên người dùng, tài khoản người dùng, tham số nhập hệ thống) hoặc định nghĩa và cập nhật kiểm toán điều khiển hệ thống (ví dụ sự lựa chọn các sự kiện kiểm toán, quản lý vết kiểm toán, phân tích vết kiểm toán, và sinh báo cáo kiểm toán), định nghĩa và cập nhật các thuộc tính chính sách người dùng (như xóa người dùng), định nghĩa các tên điều khiển truy cập hệ thống được biết, điều khiển và quản lý người dùng.

...

...

...

c) Các chức năng quản lý mà liên quan tới sự cài đặt và cấu hình chung. Ví dụ cấu hình TOE, khôi phục thủ công, cài đặt cố định an toàn TOE (nếu có thể), sửa và cài đặt lại phần cứng.

d) Các chức năng quản lý mà liên quan tới điều khiển công việc lặp đi lặp lại và duy trì nguồn tài nguyên TOE. Ví dụ, bật và tắt thiết bị phần cứng, lắp thiết bị lưu trữ ngoài, lưu trữ và khôi phục đối tượng.

Chú ý rằng các chức năng này cần được thể hiện trong TOE dựa trên các họ bao gồm trong PP hoặc ST. Trách nhiệm của tác giả PP/ST để đảm bảo rằng các chức năng tương ứng sẽ được cung cấp để quản lý TOE một cách an toàn.

TSF có thể chứa các chức năng mà có thể được điều khiển bởi người quản trị. Ví dụ, tắt các chức năng kiểm toán, bật đồng bộ thời gian, và thay đổi cơ chế xác thực.

H.1.2. FMT_MOF.1 Các cơ chế hoạt động của quản lý chức năng an toàn

H.1.2.1. Chú thích cho ứng dụng người sử dụng

Thành phần này cho phép các vai trò đã định danh để quản lý các chức năng an toàn của TSF. Điều này có thể thu được trạng thái hiện tại của chức năng an toàn, bật hoặc tắt chức năng an toàn, hoặc thay đổi cơ chế của chức năng an toàn. Ví dụ thay đổi cơ chế của các chức năng an toàn là thay đổi cơ chế xác thực.

H.1.2.2. Các hoạt động

H.1.2.2.1. Phép chọn

...

...

...

H.1.2.2.2. Chỉ định

Trong FMT_MOF.1.1, tác giả PP/ST nên xác định các chức năng mà có thể được thay đổi bởi các vai trò định danh. Ví dụ bao gồm kiểm toán và xác định thời gian.

Trong FMT_MOF.1.1, tác giả PP/ST nên xác định các vai trò mà được phép thay đổi các chức năng trong TSF. Các vai trò có thể được xác định trong các vai trò an toàn FMT_SMR.1.

H.2. Quản lý các thuộc tính an toàn (FMT_MSA)

H.2.1.Chú thích cho người sử dụng

Họ này định nghĩa các yêu cầu trong việc quản lý các thuộc tính an toàn.

Các thuộc tính an toàn ảnh hưởng hành vi của TSF. Các mẫu thuộc tính an toàn là một nhóm mà người dùng thuộc vào đó, vai trò mà anh ta cảm nhận, quyền ưu tiên của một quá trình (chủ thể), và các quyền thuộc về một vai trò hoặc một người dùng. Các thuộc tính an toàn này có thể cần được quản lý bởi người dùng, một chủ thể, một người dùng được cấp quyền cụ thể (người dùng với các quyền nhất định đối với việc quản lý này) hoặc các giá trị được tiếp nhận theo một chính sách hoặc một tập hợp các quy tắc nhất định.

Lưu ý rằng quyền gán cho người dùng là thuộc tính an toàn của nó và đối tượng tiềm năng để quản lý bởi việc quản lư các thuộc tính an toàn FMT_MSA.1.

Các thuộc tính an toàn FMT_MSA.2 có thể được dùng để đảm bảo rằng bất kỳ sự kết hợp của các thuộc tính an toàn được chấp nhận là một trạng thái an toàn. Định nghĩa "đảm bảo an toàn" có nghĩa là gì, có trong hướng dẫn TOE.

...

...

...

H.2.2. FMT_MSA.1 Quản lý các thuộc tính an toàn

H.2.2.1. Chú thích cho ứng dụng người sử dụng

Thành phần này cho phép người dùng thao tác trong các vai trò đó để quản lý các thuộc tính an toàn đã định danh. Người dùng được gán một vai trò trong thành phần các vai trò an toàn FMT_SMR.1.

Giá trị mặc định của tham số là giá trị tham số có được khi nó xảy ra mà không có các giá trị được gán chính xác. Một giá trị khởi tạo được cung cấp trong khi khởi tạo một tham số, và chèn giá trị mặc định.

H.2.2.2. Các hoạt động

H.2.2.2.1. Chỉ định

Trong FMT_MSA.1.1, tác giả PP/ST nên liệt kê truy cập điều khiển SFP hoặc điều khiển luồng thông tin SFP cho các thuộc tính an toàn nào được áp dụng.

H.2.2.2.2. Phép chọn

Trong FMT_MSA.1.1, tác giả PP/ST nên xác định các thao tác có thể được áp dụng tới các thuộc tính an toàn đã định danh. Tác giả PP/ST có thể xác định vai trò có thể thay đổi giá trị mặc định (thay_đổi_mặc_định), yêu cầu, thay đổi thuộc tính an toàn, xóa hoàn toàn các thuộc tính an toàn hoặc định nghĩa thao tác của chúng.

...

...

...

Trong FMT_MSA.1.1, tác giả PP/ST nên xác định các thuộc tính an toàn mà có thể thao tác bởi các vai trò đã định danh. Dễ dàng cho tác giả PP/ST để xác định giá trị mặc định như là quyền truy cập mặc định có thể được quản lý. Ví dụ của các thuộc tính an toàn này là xóa người dùng, độ ưu tiên mức dịch vụ, danh sách điều khiển truy cập, quyền truy cập mặc định.

Trong FMT_MSA.1.1, tác giả PP/ST nên xác định các vai trò mà được phép thao tác trên các thuộc tính an toàn. Các vai trò có thể là được xác định trong các vai trò an toàn FMT_SMR.1.

Trong FMT_MSA.1.1, nếu lựa chọn, tác giả PP/ST nên xác định các thao tác khác nào mà vai trò có thể thực thi. Ví dụ như một thao tác có thể được tạo ra.

H.2.3. FMT_MSA.2 Đảm bảo các thuộc tính an toàn

H.2.3.1. Chú thích cho ứng dụng người sử dụng

Thành phần này chứa các yêu cầu về các giá trị có thể được gán tới các thuộc tính an toàn. Các giá trị được gán như là TOE sẽ còn lại trong trạng thái an toàn.

Sự định nghĩa "đảm bảo an toàn" là gì là không có câu trả lời trong thành phần này nhưng có thể thấy trong sự phát triển của TOE và các thông tin kết quả trong hướng dẫn. Ví dụ có thể là nếu một tài khoản người dùng được tạo, nó có thể có một mật khẩu không tầm thường.

H.2.3.2. Các hoạt động

H.2.3.2.1. Chỉ định

...

...

...

H.2.4. FMT_MSA.3 Khởi tạo thuộc tính tĩnh

H.2.4.1. Chú thích cho ứng dụng người sử dụng

Thành phần này yêu cầu TSF cung cấp các giá trị mặc định cho các thuộc tính an toàn của đối tượng thích hợp, cái mà có thể được ghi đè lên bởi giá trị khởi tạo. Nó vẫn có thể cho một đối tượng mới để có các thuộc tính an toàn khác khi tạo, nếu có một cơ chế tồn tại để xác định các quyền khi tạo.

H.2.4.2. Các hoạt động

H.2.4.2.1. Chỉ định

Trong FMT_MSA.3.1, tác giả PP/ST nên liệt kê điều khiển truy cập SFP hoặc điều khiển luồng thông tin SFP cho cái mà các thuộc tính an toàn áp dụng.

H.2.4.2.2. Phép chọn

Trong FMT_MSA.3.2, tác giả PP/ST nên chọn tài sản ngầm định các thuộc tính kiểm soát truy cập sẽ bị hạn chế, cho phép hay là tài sản khác. Chỉ một trong các tùy chọn này được chọn.

H.2.4.2.3. Chỉ định

...

...

...

Trong FMT_MSA.3.2, tác giả PP/ST nên chỉ rõ những vai trò được phép sửa đổi các giá trị của các thuộc tính an toàn. Các vai trò có thể được chỉ rõ trong các vai trò An toàn FMT_SMR.1.

H.2.5. FMT_MSA Kế thừa giá trị thuộc tính an toàn

H.2.5.1. Chú thích cho ứng dụng người sử dụng

Thành phần này yêu cầu đặc tính của tập hợp các quy tắc thông qua đó thuộc tính an toàn thừa kế các giá trị và các điều kiện được đáp ứng cho các quy tắc được áp dụng.

H.2.5.2. Các hoạt động

H.2.5.2.1. Chỉ định

Trong FMT_MSA.4.1, tác giả PP/ST chỉ rõ các quy tắc điều hành giá trị mà sẽ được thừa kế bởi thuộc tính an toàn xác định, gồm các điều kiện mà có thể đáp ứng đối với các quy tắc được áp dụng. Ví dụ, nếu một tệp mới hoặc đường dẫn được tạo (trong một hệ thống tệp đa cấp), nhãn hiệu của nó là nhãn hiệu mà tại đó người dùng đăng nhập đúng lúc nó tạo ra.

H.3. Quản lý dữ liệu TSF (FMT_MTD)

H.3.1. Chú thích cho người sử dụng

...

...

...

H.3.2. FMT_MTD.1 Quản lý dữ liệu TSF

H.3.2.1. Chú thích cho ứng dụng người sử dụng

Thành phần này cho phép người dùng với một vai trò nào đó để quản lý các giá trị dữ liệu TSF. Người dùng được gán tới một vai trò bên trong thành phần các vai trò an toàn FMT_SMR.1.

Giá trị mặc định của một tham số là các giá trị tham số tạo ra khi mà nó không được gán các giá trị xác định. Một giá trị khởi tạo được cung cấp trong suốt quá trình khởi tạo của tham số và ghi chèn lên giá trị mặc định.

H.3.2.2. Các hoạt động

H.3.2.2.1. Phép chọn

Trong FMT_MTD.1.1, tác giả PP/ST nên xác định các thao tác mà có thể được áp dụng tới dữ liệu TSF định danh. Tác giả PP/ST có thể xác định vai trò có thể thay đổi giá trị mặc định (thay_đổi_mặc_định), xóa, hỏi hay thay đổi dữ liệu TSF, hoặc xóa hoàn toàn dữ liệu TSF. Nếu được yêu cầu tác giả PP/ST có thể xác định bất kỳ kiểu thao tác nào. Để lọc "dữ liệu TSF sạch" có nghĩa là nội dung của dữ liệu TSF sẽ bị xóa hẳn, nhưng thực thể mà lưu trữ dữ liệu TSF thì vẫn còn trong TOE.

H.3.2.2.2. Chỉ định

Trong FMT_MTD.1.1, tác giả PP/ST nên xác định dữ liệu TSF có thể được thao tác dựa trên các vai trò định danh. Dễ dàng cho tác giả PP/ST xác định giá trị mặc định có thể được quản lý.

...

...

...

Trong FMT_MTD.1.1, nếu được chọn, tác giả PP/ST nên xác định vai trò có thể thực thi trên các thao tác khác nào. Ví dụ có thể là "tạo".

H.3.3. FMT_MTD.2 Quản lý hạn chế trên dữ liệu TSF

H.3.3.1. Chú thích cho ứng dụng người sử dụng

Thành phần này xác định sự hạn chế trên dữ liệu TSF, và các hành động có thể được tạo ra nếu sự hạn chế này là bị vượt quá. Thành phần này, ví dụ, sẽ cho phép sự hạn chế kích cỡ vết kiểm toán được định nghĩa, và xác định các hành động được tạo ra khi sự hạn chế này là bị vượt quá.

H.3.3.2. Các hoạt động

H.3.3.2.1. Chỉ định

Trong FMT_MTD.2.1, tác giả PP/ST nên xác định dữ liệu TSF có thể có sự hạn chế, và giá trị của sự hạn chế đó. Ví dụ như dữ liệu TSF là số người dùng đăng nhập.

Trong FMT_MTD.2.1, tác giả PP/ST nên xác định các vai trò mà được phép thay đổi sự hạn chế trên dữ liệu TSF và các hành động được thực hiện. Các vai trò có thể là được xác định trong các vai trò an toàn FMT_SMR.1.

Trong FMT_MTD.2.2, tác giả PP/ST nên xác định các hành động được thực hiện nếu hạn chế được xác định trên dữ liệu TSF xác định là bị vượt quá. Ví dụ như hành động TSF khai báo người dùng có thẩm quyền và phát sinh bản ghi kiểm toán.

...

...

...

H.3.4.1. Chú thích cho ứng dụng người sử dụng

Thành phần này bao gồm các yêu cầu các giá trị mà có thể được gán tới dữ liệu TSF. Các giá trị được gán nên như là TOE vẫn còn trong trạng thái an toàn.

Định nghĩa "đảm bảo an toàn" có nghĩa là gì không được trả lời trong thành phần này nhưng có trong sự phát triển của TOE và thông tin kết quả trong hướng dẫn.

H.3.4.2. Các hoạt động

H.3.4.2.1. Chỉ định

Trong FMT_MTD.3.1 tác giả PP/ST cần chỉ rõ dữ liệu TSF nào yêu cầu chỉ các giá trị đảm bảo an toàn được chấp nhận.

H.4. Hủy bỏ (FMT_REV)

H.4.1. Chú thích cho người sử dụng

Họ này gửi sự thu hồi các thuộc tính an toàn cho một vài thực thể bên trong TOE.

...

...

...

H.4.2.1. Chú thích cho ứng dụng người sử dụng

Thành phần này xác định các yêu cầu trong việc thu hồi các quyền. Nó yêu cầu việc xác định các vai trò thu hồi. Ví dụ:

Sự thu hồi sẽ chiếm không gian trên lần đăng nhập sau của người dùng;

Sự thu hồi sẽ chiếm không gian trên việc thử mở tài liệu đó trong lần sau;

Sự thu hồi sẽ chiếm không gian trong một lần cố định. Cái này có nghĩa rằng tất cả kết nối mở là được đánh giá lại trong mỗi phút.

H.4.2.2. Các thao tác

H.4.2.2.1. Phép chọn

Trong FMT_REV.1.1, tác giả PP/ST nên chỉ rõ các thuộc tính an toàn nào sắp bị thu hồi khi có thay đổi với các đối tượng, chủ thể, người dùng, các tài nguyên khác liên kết.

H.4.2.2.2. Phép chọn

...

...

...

H.4.2.2.3. Chỉ định

Trong FMT_REV.1.1, tác giả PP/ST nên xác định các vai trò mà được phép thay đổi các chức năng trong TSF. Các vai trò có thể được xác định trong các vai trò an toàn FMT_SMR.1.

Trong FMT_REV.1.1, nếu thêm nguồn tài nguyên được lựa chọn, tác giả PP/ST nên xác định hay không khả năng thu hồi các thuộc tính an toàn của chúng sẽ được cung cấp bởi TSF.

Trong FMT_REV.1.2, tác giả PP/ST nên xác định các vai trò thu hồi. Ví dụ các vai trò này có thể bao gồm: "ưu tiên thao tác tiếp theo trên nguồn tài nguyên liên quan" hoặc "cho tất cả việc tạo đối tượng mới".

H.5. Hết hạn thuộc tính an toàn (FMT_SAE)

H.5.1. Chú thích cho ứng dụng người sử dụng

Họ này gửi các chức năng để bắt buộc sự hạn chế thời gian cho tính hợp lệ của các thuộc tính an toàn. Họ này có thể được áp dụng để xác định các yêu cầu tới hạn cho các thuộc tính điều khiển truy cập, các thuộc tính định danh và xác thực, chứng chỉ (chứng chỉ khóa như ANSI X509 là một ví dụ), các thuộc tính kiểm toán,…

H.5.2. FMT_SAE.1 Cấp phép hạn chế thời gian

H.5.2.1. Các hoạt động

...

...

...

Trong FMT_SAE.1.1, tác giả PP/ST nên cung cấp danh sách các thuộc tính an toàn cho sự tới hạn nào được trợ giúp. Ví dụ như một thuộc tính phải là khoảng an toàn của người dùng.

Trong FMT_SAE.1.1, tác giả PP/ST nên xác định các vai trò mà được phép để thay đổi các thuộc tính an toàn trong TSF. Các vai trò có thể được xác định trong các vai trò an toàn FMT_SMR.1.

Trong FMT_SAE.1.2, tác giả PP/ST nên cung cấp một danh sách các hành động để thực hiện cho mỗi thuộc tính an toàn khi nó hết hạn. Một ví dụ có thể là khoảng trống an toàn của người dùng, khi nó hết hạn, được thiết lập khoảng trống cho phép thấp nhất trên TOE. Nếu việc thu hồi ngay lập tức được yêu cầu bởi PP/ST, hành động "việc thu hồi ngay lập tức" nên được xác định.

H.6. Đặc tả các chức năng quản lý (FMT_SMF)

H.6.1. Chú thích cho người sử dụng

Họ này cho phép sự xác định các chức năng quản lý được cung cấp bởi TOE. Mỗi chức năng quản lý an toàn không những là được liệt kê trong việc thi hành chỉ định mà còn là quản lý thuộc tính an toàn, quản lý dữ liệu TSF, hoặc quản lý chức năng an toàn.

H.6.2. FMT_SMF.1 Định rõ các chức năng quản lý

H.6.2.1. Chú thích cho ứng dụng người sử dụng

Thành phần này xác định các chức năng quản lý để được cung cấp.

...

...

...

H.6.2.2. Các hoạt động

H.6.2.2.1. Chỉ định

Trong FMT_SMF.1.1, tác giả PP/ST nên xác định các chức năng quản lý được cung cấp bởi TSF, hoặc quản lý thuộc tính an toàn, quản lý dữ liệu an toàn TSF, hoặc quản lý chức năng an toàn.

H.7. Các quy tắc quản lý an toàn (FMT_SMR)

H.7.1. Chú thích cho người sử dụng

Họ này giảm khả năng kết quả làm hỏng từ người sử dụng quyền của họ bằng cách thực thi các hành động bên ngoài sự phản hồi chức năng được gán cho họ. Nó cũng gửi đi luồng mà cơ chế không tương xứng được cung cấp để quản trị an toàn tới TSF.

Họ này yêu cầu thông tin được duy trì định danh người dùng nào có thẩm quyền để sử dụng một chức năng quản trị liên quan đến an toàn.

Một vài hành động quản lý có thể được thực thi bởi người dùng, còn lại thực hiện bởi người được Chỉ định với tổ chức. Họ này cho phép định nghĩa các vai trò khác nhau, như là quyền sở hữu, quyền biên soạn, quyền quản trị, quản lý hàng ngày.

Các vai trò này được sử dụng trong họ này là các vai trò liên quan đến an toàn. Mỗi vai trò có thể bao gồm một tập mở rộng các khả năng (vd như thư mục gốc trong UNIX), hoặc có thể là một quyền đơn lẻ (ví dụ quyền đọc một đối tượng đơn như là tài liệu tra cứu).

...

...

...

Một vài kiểu vai trò có thể là loại trừ lẫn nhau. Ví dụ quản lý hàng ngày có thể là được định nghĩa và người dùng thao tác, nhưng không thể xóa người dùng (Cái nào là vai trò đảo ngược tới người quản trị). Lớp này sẽ cho phép các chính sách như là điều khiển 2 người được xác định.

H.7.2. FMT_SMR.1 Các quy tắc an toàn

H.7.2.1. Chú thích cho ứng dụng người sử dụng

Thành phần này xác định các vai trò khác mà TSF nên công nhận. Thông thường hệ thống lọc ra sự khác nhau giữa người quản lý thực thể, người quản trị và người dùng khác.

H.7.2.2. Các hoạt động

H.7.2.2.1. Chỉ định

Trong FMT_SMR.1.1, tác giả PP/ST nên xác định các vai trò mà được thừa nhận bởi hệ thống. Có các vai trò mà người dùng làm xuất hiện để đánh giá về an toàn. Ví dụ: quyền sở hữu, quyền soạn thảo và quyền quản trị.

H.7.3. FMT_SMR.2 Hạn chế về các vai trò an toàn

H.7.3.1. Chú thích ứng dụng cho người sử dụng

...

...

...

Các điều kiện trên các vai trò đó xác định mối liên hệ giữa các vai trò khác như là sự hạn chế trên khi vai trò có thể được thừa nhận bởi người dùng.

H.7.3.2. Các hoạt động

H.7.3.2.1. Chỉ định

Trong FMT_SMR.2.1, tác giả PP/ST nên xác định các vai trò mà được thừa nhận bởi hệ thống. Có các vai trò mà người dùng làm xuất hiện để đánh giá về vấn đề an toàn. Ví dụ: người sở hữu, nhà soạn thảo, nhà quản trị.

Trong FMT_SMR.2.3, tác giả PP/ST nên xác định các điều kiện mà ảnh hưởng chỉ định các vai trò. Ví dụ các điều kiện này là: "một tài khoản không thể có cả 2 vai trò soạn thảo và quản trị" hoặc "một người dùng liên quan tới vai trò sở hữu".

H.7.4. FMT_SMR.3 Chỉ định các vai trò

H.7.4.1. Chú thích cho ứng dụng người sử dụng

Thành phần này xác định một yêu cầu rõ ràng phải được đưa ra để thừa nhận vai trò xác định.

H.7.4.2. Các hoạt động

...

...

...

Trong FMT_SMR.3.1, tác giả PP/ST nên xác định các vai trò mà yêu cầu rõ ràng là được công nhận.

Ví dụ: Soạn thảo và quản trị.

PHỤ LỤC I

(Quy định)

LỚP FPR: RIÊNG TƯ

Lớp này mô tả các yêu cầu có thể thu thập nhằm thỏa mãn các nhu cầu riêng tư của người dùng, trong khi đó vẫn cho phép hệ thống mềm dẻo như có thể được để duy trì việc kiểm soát thỏa đáng hoạt động của hệ thống.

Trong các thành phần của lớp này có sự linh hoạt về việc người dùng có thẩm quyền hay không được thể hiện bởi các chức năng an toàn cần thiết. Ví dụ, một tác giả PP/ST có thể xem xét phù hợp về việc có cần bảo vệ tính riêng tư của các người dùng đối với một người dùng có thẩm quyền phù hợp.

Lớp này cùng với các lớp khác (ví dụ các lớp liên quan đến kiểm toán, kiểm soát truy nhập, tuyến tin cậy, hoặc không chối bỏ) cung cấp độ mềm dẻo trong xác định hành vi riêng tư. Mặt khác, các yêu cầu trong lớp này có thể ẩn chứa các giới hạn về việc sử dụng các thành phần của các lớp khác, ví dụ như FIA: Nhận dạng và Xác thực hoặc FAU: Kiểm toán an toàn. Lấy ví dụ, nếu người dùng có thẩm quyền không được phép xem danh tính người dùng (ví dụ Nặc danh hoặc Biệt hiệu), rõ ràng là không thể duy trì các người dùng cá nhân có trách nhiệm cho mọi hành động liên quan đến an toàn mà họ thực hiện thể hiện các nhu cầu riêng tư. Tuy nhiên, vẫn có thể đặt các yêu cầu kiểm toán trong một PP/ST, trong đó một sự kiện liên quan đến an toàn cụ thể xảy ra quan trọng hơn là biết xem ai là người chịu trách nhiệm đối với nó.

...

...

...

Lớp này mô tả 4 họ: Nặc danh, Biệt hiệu, Tính không thể kết nối và Tính không thể quan sát. Nặc danh, Biệt hiệu, Tính không thể kết nối có quan hệ liên kết phức tạp. Khi chọn một họ, sự chọn lựa nên tùy thuộc vào các mối đe dọa xác định. Đối với một số kiểu đe dọa tính riêng tư, biệt hiệu (Pseudonymity) sẽ là phù hợp hơn Nặc danh (ví dụ nếu như có yêu cầu kiểm toán). Ngoài ra, một số kiểu đe dọa tính riêng tư được ngăn chặn tốt nhất bằng tổ hợp các thành phần từ một số họ.

Tất cả các họ đều giả thiết rằng một người dùng không thực hiện rõ ràng một hành động làm lộ danh tính bản thân họ. Ví dụ, TSF không dự kiến giám sát tên người dùng trong các bản tin điện tử hoặc cơ sở dữ liệu.

Tất cả các họ trong lớp này đều có các thành phần có thể thấy được thông qua các thao tác. Các thao tác này cho phép tác giả PP/ST định rõ các người dùng/chủ thể phối hợp mà TSF phải đối mặt. Một ví dụ về thể hiện của Nặc danh có thể là: "TSF cần phải đảm bảo rằng các người dùng và/hoặc chủ thể cần không thể xác định ra danh tính người dùng trong phạm vi ứng dụng tư vấn từ xa".

Lưu ý rằng TSF nên không chỉ quy định việc bảo vệ chống lại các người dùng riêng lẻ, mà còn phải chống lại việc các người dùng phối hợp nhằm nhận được thông tin.

Hình I.1 chỉ ra sự phân tách lớp này thành những thành phần hợp thành.

Hình I.1 - Phân cấp lớp FPR: Riêng tư

I.1. Nặc danh (FPR_ANO)

I.1.1. Chú thích cho người sử dụng

...

...

...

Mục đích của họ này là chỉ rõ ra một người dùng hoặc chủ thể có thể thực hiện hành động mà không hé lộ danh tính người dùng cho các người dùng, chủ thể và các đối tượng khác. Họ này cung cấp cho tác giả PP/ST một phương tiện để nhận dạng tập các người dùng không có khả năng định danh ra một ai đó đang thực hiện những hành động xác định.

Do vậy, nếu một chủ thể, sử dụng nặc danh, thực hiện một hành động, một chủ thể khác sẽ không thể xác định danh tính hoặc thậm chí cả sự tham chiếu tới danh tính của người dùng đang chiếm dụng chủ thể đó. Nặc danh tập trung vào việc bảo vệ danh tính của người dùng, không tập trung vào bảo vệ danh tính chủ thể; do đó, danh tính của các chủ thể không tránh được việc bị tiết lộ.

Mặc dù danh tính của chủ thể không bị đưa ra cho các chủ thể hay người dùng khác, nhưng TSF không bị ngăn cấm rõ ràng việc lấy được danh tính người dùng. Trong trường hợp TSF không được phép biết danh tính của người dùng, FPR_ANO.2 Nặc danh không kèm thông tin yêu cầu sẽ có thể sử dụng. Trong trường hợp đó, TSF đó không cần yêu cầu thông tin người dùng.

Giải nghĩa từ "xác định" nên được xem xét theo nghĩa rộng nhất của từ…

Phân mức thành phần phân biệt giữa người dùng và người dùng có thẩm quyền. Một người dùng có thẩm quyền thường bị loại trừ khỏi thành phần, và do đó, được phép gọi danh tính của người dùng. Tuy nhiên, không có yêu cầu đặc biệt về việc người dùng có thẩm quyền phải có khả năng xác định danh tính người dùng. Đối với tính riêng tư cao nhất, các thành phần được sử dụng để chỉ rằng không có người dùng hay người dùng được cấp quyền nào có khả năng xem được danh tính của bất kì ai khi đang thực hiện một hành động nào đó.

Mặc dù một số hệ thống sẽ quy định tính nặc danh cho tất cả các dịch vụ mà nó đưa ra, các hệ thống còn lại quy định tính nặc danh cho một số các chủ thể/hoạt động. Để cung cấp khả năng linh hoạt này, một hoạt động được đưa vào khi định nghĩa phạm vi cho yêu cầu. Nếu tác giả PP/ST muốn đề cập đến tất cả các chủ thể/hoạt động, các từ "tất cả các chủ thể/hoạt động" cần được quy định.

Các ứng dụng có thể có, bao gồm khả năng tạo ra truy vấn có tính mật tới cơ sở dữ liệu công cộng, phản hồi các điều tra điện tử, hoặc thanh toán hay đóng góp mang tính nặc danh.

Các ví dụ về những người dùng hay các chủ thể thù địch tiềm ẩn là những nhà cung cấp, vận hành hệ thống, các đối tác truyền thông và những người dùng có ý lén đưa những phần mềm độc hại (ví dụ như Trojan Horses) vào hệ thống. Tất cả những người dùng này có thể thẩm tra cách thức sử dụng (ví dụ, ai đã sử dụng dịch vụ gì) và lạm dụng thông tin này.

I.1.2. FPR_ANO.1 Nặc danh

...

...

...

Thành phần này đảm bảo rằng danh tính của một người dùng được bảo vệ chống bị lộ. Tuy nhiên, có thể có những trường hợp một người dùng có thẩm quyền cho trước có thể xác định ra ai đã thực hiện một số hành động nhất định nào đó. Thành phần này có khả năng linh hoạt bắt giữ một hoặc toàn bộ chính sách riêng tư.

I.1.2.2. Các hoạt động

I.1.2.2.1. Chỉ định

Trong FPR_ANO.1.1, tác giả PP/ST nên định rõ tập các người dùng và/hoặc chủ thể mà TSF cần phải bảo vệ. Ví dụ, ngay cả khi tác giả PP/ST chỉ rõ một vai trò người dùng riêng lẻ hoặc một chủ thể, TSF phải không chỉ bảo vệ chống lại từng người hoặc chủ thể đơn lẻ, mà còn phải bảo vệ trước sự phối hợp của nhiều người dùng và/hoặc chủ thể. Ví dụ, một tập các người dùng có thể tạo một nhóm người dùng và có thể hoạt động với cũng một vai trò hoặc có thể cũng sử dụng một hoặc nhiều tiến trình.

Trong FPR_ANO.1.1, tác giả PP/ST nên định ra danh sách các người dùng và/hoặc chủ thể và/hoặc đối tượng mà danh tính người dùng thật của chủ thể cần được bảo vệ, ví dụ "ứng dụng bỏ phiếu".

I.1.3. FPR_ANO.2 Nặc danh không có thông tin níu kéo

I.1.3.1. Chú thích cho ứng dụng người sử dụng

Thành phần này đảm bảo rằng TSF không được phép biết danh tính người dùng.

I.1.3.2. Các hoạt động

...

...

...

Trong FPR_ANO.2.1, tác giả PP/ST nên định rõ tập các người dùng và/hoặc chủ thể mà TSF cần phải bảo vệ. Ví dụ, ngay cả khi tác giả PP/ST chỉ rõ một vai trò người dùng riêng lẻ hoặc một chủ thể, TSF phải không chỉ bảo vệ chống lại từng người dùng hoặc chủ thể đơn lẻ, mà còn phải bảo vệ trước sự phối hợp của nhiều người dùng và/hoặc chủ thể. Ví dụ, một tập các người dùng có thể tạo một nhóm người dùng và có thể hoạt động với cũng một vai trò hoặc có thể cũng sử dụng một hoặc nhiều tiến trình.

Trong FPR_ANO.2.1, tác giả PP/ST nên định danh ra danh sách các người dùng và/hoặc chủ thể và/hoặc đối tượng mà danh tính người dùng thật của chủ thể cần được bảo vệ, ví dụ "ứng dụng bỏ phiếu".

Trong FPR_ANO.2.2, tác giả PP/ST nên định danh ra danh sách các dịch vụ ràng buộc với yêu cầu nặc danh, ví dụ "truy cập các thông tin về công việc".

Trong FPR_ANO.2.2, tác giả PP/ST nên định ra danh sách các chủ thể cần được bảo vệ danh tính người dùng thật của chủ thể cần được bảo vệ, khi các dịch vụ xác định được cung cấp.

I.2. Biệt danh (FPR_PSE)

I.2.1. Chú thích cho người sử dụng

Biệt hiệu đảm bảo rằng một người dùng có thể sử dụng một tài nguyên hoặc dịch vụ mà không lộ danh tính người dùng nó, song vẫn phải chịu trách nhiệm về việc sử dụng. Người dùng có thể chịu trách nhiệm thông qua việc liên quan trực tiếp đến một bí danh tham chiếu lưu trong TSF, hoặc qua việc cung cấp một bí danh được dùng cho các mục đích xử lý, ví dụ một số tài khoản.

Trong một vài khía cạnh, biệt hiệu giống với nặc danh. Cả biệt hiệu giống và nặc danh đều bảo vệ cho danh tính của người dùng, nhưng trong biệt hiệu mỗi tham chiếu đến danh tính người dùng được duy trì đối với trách nhiệm giải trình hoặc các mục đích khác.

Thành phần biệt hiệu FPR_PSE.1 không chỉ rõ các yêu cầu về tham chiếu tới danh tính người dùng. Đối với mục đích chỉ rõ các yêu cầu về tham chiếu này có 2 tập yêu cầu: Biệt hiệu nghịch đảo FPR_PSE.2 và Biệt hiệu bí danh FPR_PSE.3.

...

...

...

Cách sử dụng khác của tham chiếu là dùng một bí danh cho mỗi người dùng. Ví dụ, người dùng nào không muốn bị nhận dạng, có thể cung cấp một tài khoản với việc tính phí sử dụng tài nguyên. Trong những trường hợp như vậy, tham chiếu đến danh tính người dùng là bí danh cho người dùng đó, còn những người dùng hay chủ thể khác có thể sử dụng bí danh để thực thi các chức năng của họ mà không cần danh tính người dùng (ví dụ, các hoạt động thống kê về việc sử dụng hệ thống). Trong trường hợp này, tác giả PP/ST có thể mong muốn kết hợp biệt hiệu bí danh FPR_PSE.3 để chỉ rõ các quy tắc mà tham chiếu phải tuân thủ theo.

Nhờ sử dụng các cấu trúc ở trên, tiền điện tử có thể được tạo ra với biệt hiệu nghịch đảo được FPR_PSE.2 chỉ rõ danh tính người dùng sẽ được bảo vệ và, nếu được chỉ ra trong điều kiện là sẽ có một yêu cầu dò tìm ra danh tính người dùng nếu tiền điện tử được lấy ra 2 lần. Khi người dùng trung thực, thì danh tính người dùng được bảo vệ, nếu người dùng tìm cách lừa đảo, thì danh tính sẽ bị truy dò ra.

Một loại khác của hệ thống có thể là một thẻ tín dụng điện tử, nơi người dùng sẽ cung cấp một biệt hiệu để chỉ báo tài khoản từ tiền mặt có thể bị trừ. Trong những trường hợp như thế, ví dụ, FPR_PSE.3 Alias pseudonymity có thể được sử dụng. Thành phần này sẽ chỉ rõ danh tính người dùng được bảo vệ và, hơn nữa, chỉ rõ cùng một người dùng sẽ được ấn định cho các giá trị mà họ đã được cung cấp tiền (nếu được chỉ rõ trong các điều kiện).

Nên nhận biết rõ ràng, các thành phần mang tính chất nghiêm ngặt hơn không thể kết hợp với các yêu cầu khác, chẳng hạn như, nhận dạng và chứng thực hay kiểm tra. Sự giải thích về "quyết định danh tính" nên được đưa ra ở ý nghĩa rộng nhất của từ ngữ. Thông tin thông được cung cấp bởi TSF trong suốt quá trình hoạt động, cũng không thể quyết định toàn bộ chủ thể hay người sở hữu của chủ thể yêu cầu hoạt động đó, TSF cũng không ghi lại thông tin, sẵn có đối với những người dùng hay các chủ thể, cái mà có thể nhận ra định danh người dùng trong tương lai.

Mục đích đó là TSF không biểu lộ bất kì thông tin nào sẽ làm hại đến danh tính người dùng, ví dụ, danh tính của các chủ thể hành động với tư cách người dùng. Thông tin được xem là nhạy cảm phụ thuộc vào sự cố gắng mà kẻ tấn công có khả năng thực hiện.

Các ứng dụng có thể có gồm những dịch vụ có thể tính cước người gọi đối với dịch vụ điện thoại mà không để lộ danh tính của họ, hoặc được tính cước đối với việc sử dụng anonymous của hệ thống thanh toán điện tử.

Ví dụ về những người dùng thù địch tiềm ẩn là những nhà cung cấp, những nhân viên vận hành hệ thống, những đối tác truyền thông và những người sử dụng, những người lén đưa những đoạn mã độc (ví dụ: Trojan Horses) vào hệ thống. Tất cả những kẻ tấn công có thể kiểm tra những gì mà người dùng đã sử dụng ở những dịch vụ đó và lạm dụng thông tin chúng lấy được. Ngoài những dịch vụ Anonymity, những dịch vụ Pseudonymity bao gồm những phương pháp cấp phép mà không cần xác minh, đặc biệt đối với thanh toán anonymous ("Tiền số"). Điều này giúp những nhà cung cấp thu phí một cách an toàn trong khi duy trì anonymity khách hàng.

I.2.2. FPR_PSE.1 Biệt danh

I.2.2.1. Chú thích cho ứng dụng người sử dụng

...

...

...

I.2.2.2. Các hoạt động

I.2.2.2.1. Chỉ định

Trong FPR_PSE.1.1, tác giả PP/ST nên định rõ tập các người dùng và/hoặc chủ thể mà TSF cần phải bảo vệ. Ví dụ, ngay cả khi tác giả PP/ST chỉ rõ một vai trò người dùng riêng lẻ hoặc một chủ thể, TSF phải không chỉ bảo vệ chống lại từng người dùng hoặc chủ thể đơn lẻ, mà còn phải bảo vệ trước sự phối hợp của nhiều người dùng và/hoặc chủ thể. Ví dụ, một tập các người dùng có thể tạo một nhóm người dùng và có thể hoạt động với cũng một vai trò hoặc có thể cũng sử dụng một hoặc nhiều tiến trình.

Trong FPR_PSE.1.1, tác giả PP/ST nên định danh ra danh sách các chủ thể và/hoặc hoạt động và/hoặc đối tượng mà danh tính người dùng thật của chủ thể nên được bảo vệ, ví dụ "truy nhập các thông tin về công việc".

Trong FPR_PSE.1.2, tác giả PP/ST nên định danh ra một hoặc nhiều số các bí danh mà TSF có thể cung cấp.

Trong FPR_PSE.1.2, tác giả PP/ST nên định danh ra danh sách các chủ thể mà TSF có thể cung cấp một bí danh.

I.1.2.2.2. Phép chọn

Trong FPR_PSE.1.3, tác giả PP/ST nên chỉ ra hoặc bí danh người dùng được tạo bởi TSF, hoặc cung cấp bởi người dùng. Chỉ có thể chọn một trong các tùy chọn này.

I.1.2.2.3. Chỉ định

...

...

...

I.2.3. FPR_PSE.2 Biệt danh nghịch đảo

I.2.3.1. Chú thích cho ứng dụng người sử dụng

Trong thành phần này, TSF cần đảm bảo trong các điều kiện xác định, danh tính người dùng liên quan tới một tham chiếu quy định có thể được xác định.

Trong FPR_PSE.1, TSF cần phải quy định một bí danh thay vì danh tính người dùng. Khi các điều kiện đặc trưng được thỏa mãn, danh tính người dùng ứng với bí danh có thể được xác định.

I.2.3.2. Các hoạt động

I.2.3.2.1. Chỉ định

Trong FPR_PSE.2.1, tác giả PP/ST nên định rõ tập các người dùng và/hoặc chủ thể mà TSF cần phải bảo vệ. Ví dụ, ngay cả khi tác giả PP/ST chỉ rõ một vai trò người dùng riêng lẻ hoặc một chủ thể, TSF phải không chỉ bảo vệ chống lại từng người dùng hoặc chủ thể đơn lẻ, mà còn phải bảo vệ trước sự phối hợp của nhiều người dùng và/hoặc chủ thể. Ví dụ, một tập các người dùng có thể tạo một nhóm người dùng và có thể hoạt động với cũng một vai trò hoặc có thể cũng sử dụng một hoặc nhiều tiến trình.

Trong FPR_PSE.2.1, tác giả PP/ST nên định danh ra danh sách các người dùng và/hoặc chủ thể và/hoặc đối tượng mà danh tính người dùng thật của chủ thể cần được bảo vệ, ví dụ "ứng dụng bỏ phiếu".

Trong FPR_PSE.2.2, tác giả PP/ST nên định danh ra danh sách các dịch vụ ràng buộc với yêu cầu nặc danh, ví dụ "truy nhập các thông tin về công việc".

...

...

...

I.2.3.2.2. Phép chọn

Trong FPR_PSE.2.3, tác giả PP/ST nên chỉ ra hoặc bí danh người dùng được tạo bởi TSF, hoặc cung cấp bởi người dùng. Chỉ có thể chọn một trong các tùy chọn này.

I.2.3.2.3. Chỉ định

Trong FPR_PSE.2.3, tác giả PP/ST nên định danh ra đại lượng mà bí danh do người dùng tạo ra hoặc TSF tạo ra cần được tuân thủ theo.

I.2.3.2.4. Phép chọn

Trong FPR_PSE.2.4, tác giả PP/ST nên chỉ ra hoặc bí danh người dùng được tạo bởi TSF, hoặc cung cấp bởi người dùng. Chỉ có thể chọn một trong các tùy chọn này.

I.2.3.2.5. Chỉ định

Trong FPR_PSE.2.4, tác giả PP/ST nên định danh ra đại lượng mà bí danh do người dùng tạo ra hoặc TSF tạo ra cần được tuân thủ theo.

I.2.4. FPR_PSE.3 Biệt danh bí danh

...

...

...

Trong thành phần này, TSF cần đảm bảo trong các điều kiện xác định, danh tính người dùng liên quan tới một tham chiếu quy định có thể được xác định.

Nếu một người dùng muốn sử dụng các tài nguyên mà không lộ danh tính, biệt hiệu có thể dùng được. Tuy nhiên, mỗi khi người dùng truy nhập hệ thống, cần sử dụng đúng bí danh đó. Các điều kiện này có thể chỉ rõ trong thành phần này.

I.2.4.2. Các hoạt động

I.2.4.2.1. Chỉ định

Trong FPR_PSE.3.1, tác giả PP/ST nên định rõ tập các người dùng và/hoặc chủ thể mà TSF cần phải bảo vệ. Ví dụ, ngay cả khi tác giả PP/ST chỉ rõ một vai trò người dùng riêng lẻ hoặc một chủ thể, TSF phải không chỉ bảo vệ chống lại từng người dùng hoặc chủ thể đơn lẻ, mà còn phải bảo vệ trước sự phối hợp của nhiều người dùng và/hoặc chủ thể. Ví dụ, một tập các người dùng có thể tạo một nhóm người dùng và có thể hoạt động với cũng một vai trò hoặc có thể cũng sử dụng một hoặc nhiều tiến trình.

Trong FPR_PSE.3.1, tác giả PP/ST nên định danh ra danh sách các người dùng và/hoặc chủ thể và/hoặc đối tượng mà danh tính người dùng thật của chủ thể cần được bảo vệ, ví dụ "ứng dụng bỏ phiếu".

Trong FPR_PSE.3.2, tác giả PP/ST nên định danh ra danh sách các dịch vụ ràng buộc với yêu cầu nặc danh, ví dụ "truy nhập các thông tin về công việc".

Trong FPR_PSE.3.2, tác giả PP/ST nên định danh ra danh sách các chủ thể cần được bảo vệ danh tính người dùng thật của chủ thể cần được bảo vệ, khi các dịch vụ xác định được cung cấp.

I.2.4.2.2. Phép chọn

...

...

...

I.2.4.2.3. Chỉ định

Trong FPR_PSE.3.3, tác giả PP/ST nên định danh ra đại lượng mà bí danh do người dùng tạo ra hoặc TSF tạo ra cần được tuân thủ theo.

Trong FPR_PSE.3.4, tác giả PP/ST nên định danh ra đại lượng mà bí danh do người dùng tạo ra hoặc TSF tạo ra cần được tuân thủ theo.

I.3. Tính không thể liên kết (FPR_UNL)

I.3.1. Chú thích cho ứng dụng người sử dụng

Tính không thể liên kết đảm bảo rằng một người dùng có thể sử dụng các tài nguyên hoặc dịch vụ mà không có khả năng liên kết các việc sử dụng với nhau. Không thể liên kết khác với biệt hiệu ở chỗ, mặc dù ở biệt hiệu, không biết ai dùng song vẫn có mối quan hệ giữa các hành động.

Những yêu cầu đối với tính không thể liên kết được định ra để bảo vệ danh tính người dùng chống lại việc sử dụng profiling của các hoạt động. Ví dụ, khi một thẻ điện thoại thông minh được gắn một số duy nhất, thì công ty điện thoại có thể xác định hành vi của người dùng thẻ đó. Khi hồ sơ điện thoại của những người dùng được biết đến, thì thẻ có thể được liên kết với một người dùng cụ thể. Việc ẩn giấu đi mối quan hệ giữa các viện dẫn khác nhau của một dịch vụ hay một truy nhập sẽ ngăn chặn các kiểu thu thập thông tin.

Như là một kết quả, một yêu cầu cho tính không thể liên kết có thể gợi ra rằng định danh chủ thể và người dùng của một hoạt động phải được bảo vệ. Vì thế thông tin này có thể được sử dụng để liên kết tới những hoạt động với nhau.

Tính không thể liên kết yêu cầu các hoạt động khác nhau không có khả năng liên quan đến nhau. Mối quan hệ này đưa ra các dạng. Ví dụ, người dùng đã liên kết với một hoạt động, hay một đầu cuối đã khởi đầu một hành động, hay thời gian mà hành động được thực hiện. Tác giả PP/ST có thể xác định rõ loại quan hệ nào được trình bày là phải phù hợp.

...

...

...

Ví dụ về những chủ thể và người dùng thù địch tiềm ẩn là những nhà cung cấp, những nhân viên vận hành hệ thống, những đối tác truyền thông và những người sử dụng, những người lén đưa những đoạn mã độc (ví dụ: Trojan Horses) vào hệ thống, chúng không hoạt động nhưng lại muốn nhận thông tin. Tất cả những kẻ tấn công có thể kiểm tra (ví dụ: những gì người dùng sử dụng những dịch vụ đó) và lạm dụng thông tin chúng lấy được. Unlinkability bảo vệ người dùng khỏi các nối kết được tạo ra giữa các hành động của khách hàng. Một ví dụ như một chuỗi các cuộc gọi mà các khách hàng anoymous thực hiện với các đối tác khác nhau, nơi mà sự kết hợp những danh tính của các đối tác có thể làm lộ danh tính của khách hàng đó.

I.3.2. FPR_UNL.1 Tính không thể liên kết

I.3.2.1. Chú thích cho ứng dụng người sử dụng

Thành phần này đảm bảo rằng người dùng không thể liên kết các hoạt động khác nhau trong hệ thống để lấy thông tin.

I.3.2.2. Các hoạt động

I.3.2.2.1. Chỉ định

Trong FPR_UNL.1.1, tác giả PP/ST nên định rõ tập các người dùng và/hoặc chủ thể mà TSF cần phải bảo vệ. Ví dụ, ngay cả khi tác giả PP/ST chỉ rõ một vai trò người dùng riêng lẻ hoặc một chủ thể, TSF phải không chỉ bảo vệ chống lại từng người dùng hoặc chủ thể đơn lẻ, mà còn phải bảo vệ trước sự phối hợp của nhiều người dùng và/hoặc chủ thể. Ví dụ, một tập các người dùng có thể tạo một nhóm người dùng và có thể hoạt động với cũng một vai trò hoặc có thể cũng sử dụng một hoặc nhiều tiến trình.

Trong FPR_UNL.1.1, tác giả PP/ST nên định danh ra danh sách các hoạt động liên quan đến yêu cầu không thể liên kết, ví dụ "gửi thư".

I.3.2.2.2. Phép chọn

...

...

...

I.3.2.2.3. Chỉ định

Trong FPR_UNL.1.1, tác giả PP/ST nên định danh ra danh sách các quan hệ cần bảo vệ, ví dụ "cùng xuất phát từ một terminal".

I.4. Tính không thể quan sát (FPR_UNO)

I.4.1. Chú thích cho ứng dụng người sử dụng

Tính không thể quan sát đảm bảo rằng một người có thể sử dụng các tài nguyên hoặc dịch vụ mà những người khác, đặc biệt là đối tác thứ ba, không có khả năng quan sát được các dịch vụ hoặc tài nguyên đang được dùng.

Tính không thể quan sát tiếp cận danh tính người dùng từ hướng khác so với những cách tiếp cận quen thuộc trước đó của Nặc danh, Biệt hiệu và tính không thể quan sát. Trong trường hợp này, mục đích đó là để che giấu đi việc sử dụng tài nguyên hay dịch vụ chứ không nhằm vào việc che giấu định danh của người dùng.

Các kĩ thuật có thể được thêm vào để thực thi tính không thể quan sát. Ví dụ về các kĩ thuật đưa ra cho Tính không thể quan sát là:

a) Tính không thể quan sát ảnh hưởng đến cấp phát thông tin: Thông tin liên quan Tính không thể quan sát (ví dụ: thông tin mô tả một hoạt động đã diễn ra) có thể được định phần ở các vị trí bên trong TOE. Thông tin này có thể được định phần tới một phần được lựa chọn ngẫu nhiên khiến kẻ tấn công không biết tấn công vào phần nào của TOE. Một hệ thống luân phiên có thể phân phối thông tin đến mức không  phần nào của TOE có đủ thông tin đó, nếu bị phá vỡ, tính riêng tư của người dùng sẽ bị thỏa hiệp. Kỹ thuật này rõ ràng được nhắm đến trong Tính không thể quan sát ảnh hưởng đến cấp phát thông tin FPR_UNO.2.

b) Quảng bá: Khi thông tin được quảng bá (ví dụ: ethernet, radio), những người dùng không có khả năng xác định được người thực sự nhận và sử dụng thông tin đó.

...

...

...

Đôi khi, người dùng không nên xem việc sử dụng một tài nguyên, nhưng một người dùng có thẩm quyền thì phải được phép xem việc sử dụng tài nguyên đó để thực hiện nhiệm vụ của mình. Trong trường hợp đó, Tính quan sát được người dùng có thẩm quyền (FPR_UNO.4) được sử dụng, quy định khả năng cho một hoặc nhiều người dùng có quyền để quan sát việc sử dụng.

Họ này sử dụng khái niệm "các phần của TOE". Đó là bất kì phần nào của TOE, phân chia hoặc theo vật lý hoặc theo logic các phần khác của TOE. Trường hợp phân chia logic có thể liên quan đến phân chia tên miền (FPR_SEP).

Tính không thể quan sát về truyền thông có thể là một nhân tố quan trọng trong nhiều khu vực, chẳng hạn như sự thực thi các điều trong hiến pháp, các chính sách tổ chức, hay trong các ứng dụng liên quan tới quân đội.

I.4.2. FPR_UNO.1 Tính không thể quan sát

I.4.2.1. Chú thích cho ứng dụng người sử dụng

Thành phần này yêu cầu rằng việc sử dụng một chức năng hoặc tài nguyên không thể bị người dùng không được phép theo dõi.

I.4.2.2. Các hoạt động

I.4.2.2.1. Chỉ định

Trong FPR_UNO.1.1, tác giả PP/ST nên định rõ tập các người dùng và/hoặc chủ thể mà TSF cần phải bảo vệ. Ví dụ, ngay cả khi tác giả PP/ST chỉ rõ một vai trò người dùng riêng lẻ hoặc một chủ thể, TSF phải không chỉ bảo vệ chống lại từng người dùng hoặc chủ thể đơn lẻ, mà còn phải bảo vệ trước sự phối hợp của nhiều người dùng và/hoặc chủ thể. Ví dụ, một tập các người dùng có thể tạo một nhóm người dùng và có thể hoạt động với cũng một vai trò hoặc có thể cũng sử dụng một hoặc nhiều tiến trình.

...

...

...

Trong FPR_UNO.1.1, tác giả PP/ST nên định danh ra danh sách các đối tượng được quy định trong yêu cầu không thể quan sát. Một ví dụ có thể là một mail server hoặc một ftp site xác định.

Trong FPR_UNO.1.1, tác giả PP/ST nên định ra tập các người dùng/chủ thể cần bảo vệ chống bị quan sát. Một ví dụ có thể là: "Người dùng đang truy nhập hệ thống thông qua Internet".

I.4.3. FPR_UNO.2 Tính không thể quan sát ảnh hưởng đến cấp phát thông tin

I.4.3.1. Chú thích cho ứng dụng người sử dụng

Thành phần này yêu cầu việc sử dụng một chức năng hoặc tài nguyên không thể quan sát được bởi những người dùng hoặc chủ thể xác định. Ngoài ra, thành phần này chỉ ra thông tin liên quan đến tính riêng tư của người dùng được phân bố trong TOE và kẻ tấn công không thể biết phần nào của TOE là mục tiêu hoặc chúng sẽ phải tấn công tới nhiều phần trong TOE.

Ví dụ về việc sử dụng thành phần này là việc sử dụng nút được cấp phát ngẫu nhiên cung cấp một chức năng. Trong trường hợp đó, thành phần đó có thể yêu cầu rằng tính riêng tư có liên quan thông tin không chỉ cần có sẵn với mỗi phần được nhận dạng của TOE, và sẽ không truyền thông được với bên ngoài phần này của TOE.

Một ví dụ phức tạp hơn được biết đến là trong các "thuật toán bỏ phiếu". Các phần của TOE sẽ được gọi trong dịch vụ đó, nhưng không riêng rẽ nào của TOE sẽ có thể vi phạm chính sách đó. Vì mỗi người có thể bỏ ra một phiếu (hoặc không) mà không cần TOE quyết định liệu phiếu đó đã được bỏ chưa hay chuyện gì đã xảy ra cho cái phiếu đó (trừ khi phiếu đó đã được nhất trí).

I.4.3.2. Các hoạt động

I.4.3.2.1. Chỉ định

...

...

...

Trong FPR_UNO.2.1, tác giả PP/ST nên định danh ra danh sách các hoạt động liên quan đến yêu cầu không thể quan sát. Những người dùng/chủ thể khác sẽ không thể quan sát được các hoạt động trên các đối tượng trực thuộc trong danh sách xác định (ví dụ đọc / ghi đối tượng).

Trong FPR_UNO.2.1, tác giả PP/ST nên định danh ra danh sách các đối tượng được quy định trong yêu cầu không thể quan sát. Ví dụ có thể là một máy chủ thư điện tử hoặc một ftp site xác định.

Trong FPR_UNO.2.1, tác giả PP/ST nên định ra tập các người dùng / chủ thể cần bảo vệ chống bị quan sát. Một ví dụ có thể là: "Người dùng đang truy nhập hệ thống thông qua Internet".

Trong FPR_UNO.2.2, tác giả PP/ST nên nhận dạng thông tin nào có liên quan đến riêng tư nên được phân phối trong một cách thức được kiểm soát. Ví dụ những thông tin này có thể là: địa chỉ IP của chủ thể, địa chỉ IP của đối tượng, thời gian, các khóa mã hóa được sử dụng.

Trong FPR_UNO.2.2, tác giả PP/ST nên xác định rõ những điều kiện để thông tin nên gắn vào. Những điều kiện này nên được duy trì thông suốt thời gian sống của thông tin có liên quan đến tính riêng tư của mỗi trường hợp. Ví dụ những điều kiện này có thể là: "thông tin chỉ cần trình bày ở các phần riêng biệt của TOE mà không cần truyền thông ra bên ngoài phần đó của TOE", "Thông tin chỉ cần đặt ở từng phần cụ thể của TOE, nhưng cần được chuyển tới phần khác của TOE một cách định kì", "Thông tin cần được phân phối giữa các phần khác nhau của TOE chẳng hạn như sự thỏa hiệp của 5 phần bất kì nào của TOE sẽ không thỏa hiệp chính sách an toàn".

I.4.4. FPR_ANO.3 Tính không thể quan sát không có thông tin níu kéo

I.4.4.1. Chú thích cho ứng dụng người sử dụng

Thành phần này yêu cầu TSF không được thử lấy thông tin vi phạm tính không thể quan sát khi cung cấp các dịch vụ xác định. Do đó, TSF không yêu cầu (ví dụ thử lấy từ các thực thể khác) mọi thông tin có thể vi phạm tính không thể quan sát.

I.4.4.2. Các hoạt động

...

...

...

Trong FPR_ANO.3.1, tác giả PP/ST nên định danh ra danh sách các dịch vụ liên quan đến yêu cầu không thể quan sát, ví dụ "truy nhập thông tin việc làm".

Trong FPR_ANO.3.1, tác giả PP/ST nên định danh ra danh sách các chủ thể mà các thông tin liên quan riêng tư cần được bảo vệ khi cung cấp các dịch vụ.

Trong FPR_ANO.3.1, tác giả PP/ST nên định ra thông tin liên quan đến riêng tư cần được bảo vệ trước các chủ thể xác định. Các ví dụ bao gồm việc nhận dạng chủ thể đã sử dụng dịch vụ và định lượng một dịch vụ đã sử dụng ví dụ như sử dụng tài nguyên bộ nhớ.

I.4.5. FPR_ANO.4 Tính quan sát được người dùng có thẩm quyền

I.4.5.1. Chú thích cho ứng dụng người sử dụng

Thành phần này dùng để yêu cầu sẽ có một hoặc nhiều người dùng có thẩm quyền có quyền xem mức sử dụng tài nguyên. Nếu không có thành phần này, việc xem lại được cho phép, song không bắt buộc.

I.4.5.2. Các hoạt động

I.4.5.2.1. Chỉ định

Trong FPR_ANO.4.1, tác giả PP/ST nên định ra tập những người dùng có phép được TSF cung cấp khả năng quan sát mức sử dụng tài nguyên. Một tập người dùng có quyền, ví dụ có thể tạo thành nhóm người dùng có quyền có thể hoạt động với cùng một vai trò hoặc có thể sử dụng cùng một hoặc nhiều tiến trình.

...

...

...

PHỤ LỤC J

(Quy định)

LỚP FPT: BẢO VỆ TSF

Lớp này bao gồm các họ yêu cầu chức năng liên quan tới tính toàn vẹn và việc quản lý các cơ chế cung cấp TSF và liên quan tới tính toàn vẹn của dữ liệu TSF. Trong một số ý nghĩa, các họ trong lớp này có thể xuất hiện để sao lại các thành phần trong FDP: Lớp bảo vệ dữ liệu người sử dụng; chúng thậm chí có thể được thực thi bằng những cơ chế giống nhau. Tuy nhiên, FDP: Bảo vệ dữ liệu người sử dụng tập trung vào việc bảo vệ dữ liệu của người sử dụng, trong khi đó FPT: Bảo vệ của TSF lại tập trung vào việc bảo vệ dữ liệu TSF. Trên thực tế, các thành phần của lớp FPT: Bảo vệ của lớp TSF là cần thiết để cung cấp các yêu cầu mà người ta không thể can thiệp hoặc bỏ qua các SFP trong TOE.

Từ quan điểm của lớp này, ba phần quan trọng sau tạo nên TSF:

a) Thực thi của TSF mà tiến hành và thực hiện các cơ chế bắt buộc các SFR.

b) Dữ liệu của TSF: là các cơ sở dữ liệu quản lý hướng dẫn việc thực hiện TSP.

c) Thực thể bên ngoài mà TSF có thể tương tác với để ép buộc các SFR.

...

...

...

a) Bảo vệ vật lý TSF (FPT_PHP): cung cấp cho người sử dụng được ủy quyền khả năng phát hiện các cuộc tấn công từ bên ngoài vào các phần của TOE tạo nên TSF.

b) Kiểm tra các thực thể bên ngoài (FPT_TEE) và tự kiểm tra TSF (FPT_TST) cung cấp người dùng được cấp quyền với khả năng xác nhận thao tác chính xác của các thực thể bên ngoài tương tác với TSF để ép buộc các SFR, và tính toàn vẹn của dữ liệu TSF và mã thực hiện.

c) Khôi phục được tin cậy (FPT_RCV) An ninh thất bại (FPT_FLS), và tính nhất quán của bản sao dữ liệu TSF bên trong TOE (FPT_TRC): nhắm đến hành vi của TSF khi và ngay sau khi lỗi xảy ra.

d) Tính sẵn sàng của dữ liệu TSF được xuất (FPT_ITA), Tính tin cậy của dữ liệu TSF được xuất (FPT_ITC), Tính toàn vẹn của dữ liệu TSF được xuất (FPT_ITI): nhắm đến việc bảo vệ và tính sẵn sàng của dữ liệu TSF giữa TSF và một sản phẩm IT được tin cậy khác.

e) Truyền dữ liệu TSF trong nội bộ TOE (FPT_ITI): nhắm đến việc bảo vệ dữ liệu TSF khi nó được truyền đi giữa các phần tách nhau về mặt vật lý của TOE.

Hình J.1 - Phân cấp lớp FPT: Bảo vệ TSF

f) Phát hiện việc xem lại (FPT_RPL): nhắm đến việc xem lại nhiều loại thông tin và/hoặc thao tác.

g) Giao thức đồng bộ trạng thái (FPT_SSP): nhắm đến sự đồng bộ các trạng thái dựa vào dữ liệu TSF giữa các phần khác nhau của một TSF được phân phối.

...

...

...

i) Tính nhất quán dữ liệu TSF giữa các TSF (FPT_TDC): nhắm đến sự nhất quán của dữ liệu TSF được chia sẻ giữa TSF và các sản phẩm IT được tin cậy khác.

J.1. An toàn khi có lỗi (FPT_FLS)

J.1.1. Chú thích cho người sử dụng

Các yêu cầu của họ tiêu chuẩn này đảm bảo rằng TOE sẽ không vi phạm các TSP của nó trong trường hợp có một số loại hỏng hóc tại TSF.

J.1.2. FPT_FLS.1 Lỗi với bảo toàn trạng thái an toàn

J.1.2.1. Chú thích cho ứng dụng người sử dụng

Thuật ngữ "trạng thái an toàn" nói tới một trạng thái trong đó dữ liệu TSF là nhất quán và TSF tiếp tục thực hiện đúng TSP. "Trạng thái an toàn" được định nghĩa trong mô hình TSP. Nếu người phát triển được cung cấp một định nghĩa rõ ràng về trạng thái an toàn và lý do vì sao nó nên được giữ an toàn, thì sự phụ thuộc từ FPT_FLS.1 Hỏng hóc có sự duy trì trạng thái an toàn đến ADV_SPM.1 Mô hình chính sách an ninh TOE không chính thống được bỏ qua.

Mặc dù người ta mong muốn kiểm tra các tình huống mà hỏng hóc có sự duy trì trạng thái an toàn xảy ra, điều này là không thể trong tất cả các trường hợp. Tác giả PP/ST nên xác định những tình huống mà việc kiểm tra là bắt buộc và khả thi.

Hỏng hóc trong TSF có thể bao gồm các hỏng hóc "cứng", tức là một thiết bị trục trặc cần bảo dưỡng, phục vụ hoặc sửa chữa của TSF. Hỏng hóc trong TSF cũng có thể bao gồm các hỏng hóc "mềm", chỉ yêu cầu TSF khởi tạo hoặc thiết lập lại.

...

...

...

J.1.2.2.1. Chỉ định

Trong FPT_FLS.1.1, tác giả PP/ST nên liệt kê các loại hỏng hóc trong TSF mà TSF có thể "mất an toàn" tức là nên duy trì một trạng thái an toàn và tiếp tục thực hiện đúng TSP.

J.2. Tính sẵn sàng xuất dữ liệu TSF (FPT_ITA)

J.2.1. Chú thích cho người sử dụng

Họ tiêu chuẩn này định nghĩa các quy tắc đối với việc ngăn ngừa mất mát tính sẵn sàng của dữ liệu TSF di chuyển giữa TSF và một sản phẩm IT được tin cậy khác. Dữ liệu này có thể là dữ liệu then chốt TSF chẳng hạn như mật khẩu, khóa dữ liệu kiểm toán hoặc mã thực thi TSF.

Họ tiêu chuẩn này được sử dụng trong ngữ cảnh phân tán trong đó TSF đang cung cấp dữ liệu TSF cho một sản phẩm IT ở xa được tin cậy. TSF chỉ có thể thực hiện các biện pháp tại địa điểm của nó và không thể chịu trách nhiệm về TSF tại một sản phẩm IT được tin cậy nào khác.

Nếu có các đơn vị khác đo lường sự sẵn sàng cho các loại dữ liệu TSF khác nhau thì thành phần này nên được lặp lại cho mỗi cặp duy nhất của đơn vị đo lường và kiểu dữ liệu TSF.

J.2.2. FPT_ITA.1 Tính sẵn sàng liên TSF trong hệ tính sẵn sàng được định nghĩa

J.2.2.1. Các hoạt động

...

...

...

Trong FPT_ITA.1.1, tác giả PP/ST nên được xác định các loại dữ liệu TSF cụ thể là đối tượng của đơn vị đo lường độ sẵn sàng.

Trong FPT_ITA.1.1, tác giả PP/ST nên xác định đơn vị đo lường độ sẵn sàng đối với dữ liệu TSF khả dụng. Trong FPT_ITA.1.1, tác giả PP/ST nên xác định các điều kiện trong đó sự sẵn sàng phải được đảm bảo. Ví dụ, chúng ta cần phải có một liên kết giữa TOE và sản phẩm IT ở xa được tin cậy.

J.3. Tính bí mật của dữ liệu TSF xuất ra (FPT_ITC)

J.3.1. Chú thích cho người sử dụng

Họ tiêu chuẩn này định nghĩa các quy tắc để bảo vệ hệ thống khỏi hành động cung cấp trái phép dữ liệu di chuyển giữa TSF và một sản phẩm IT ở xa được tin cậy. Ví dụ về dữ liệu này là dữ liệu then chốt như mật khẩu, khóa, dữ liệu kiểm toán hoặc mã thực thi TSF.

Họ tiêu chuẩn này được sử dụng trong ngữ cảnh hệ thống phân tán trong đó TSF đang cung cấp dữ liệu TSF cho một sản phẩm IT được tin cậy khác. TSF chỉ có thể thực hiện các biện pháp tại địa điểm của nó và không thể chịu trách nhiệm về TSF tại một sản phẩm IT được tin cậy nào khác.

J.3.2. FPT_ITC.1 Độ tin cậy liên TSF trong quá trình truyền tải

J.3.2.1. Chú thích cho đánh giá viên

Tính tin cậy của dữ liệu TSF trong thời gian truyền là cần thiết để bảo vệ những thông tin như vậy khỏi bị lộ. Một số thực thi có khả năng cung cấp tính tin cậy bao gồm việc sử dụng các thuật toán mã hóa cũng như các kỹ thuật trải phổ.

...

...

...

J.4.1. Chú thích cho người sử dụng

Họ tiêu chuẩn này định nghĩa các quy tắc cho việc bảo vệ dữ liệu TSF khỏi các thay đổi trái phép trong thời gian truyền giữa TSF và một sản phẩm IT ở xa được tin cậy. Ví dụ của dữ liệu loại này là dữ liệu then chốt TSF như mật khẩu, khóa, dữ liệu kiểm toán hoặc mã thực thi TSF.

Họ tiêu chuẩn này được sử dụng trong ngữ cảnh hệ thống phân tán, trong đó, TSF đang trao đổi dữ liệu TSF với một sản phẩm IT được tin cậy khác. Chú ý rằng một yêu cầu nhắm đến sự thay đổi, phát hiện hoặc khôi phục tại một sản phẩm IT ở xa được tin cậy không thể được xác định, bởi vì các cơ chế mà sản phẩm IT ở xa được tin cậy sẽ sử dụng để bảo vệ dữ liệu của nó không thể được xác định trước. Vì lý do này, những yêu cầu này được diễn tả theo nghĩa của "TSF cung cấp một khả năng" mà sản phẩm IT ở xa được tin cậy có thể sử dụng.

J.4.2. FPT_ITI.1 Phát hiện sự thay đổi liên-TSF

J.4.2.1. Chú thích cho ứng dụng người sử dụng

Thành phần này nên được sử dụng trong những tình huống trong đó người ta có khả năng phát hiện khi nào dữ liệu bị thay đổi. Một ví dụ của tình huống như vậy là khi một sản phẩm IT ở xa được tin cậy có thể yêu cầu TSF của TOE truyền lại dữ liệu khi sự thay đổi nội dung được phát hiện, hoặc đáp trả lại những kiểu yêu cầu như vậy.

Sức mạnh được kỳ vọng của việc phát hiện thay đổi nội dung được dựa vào một đơn vị xác định đo lường sự thay đổi, nó là một hàm số của thuật toán được sử dụng, từ đơn giản như sử dụng các cơ chế kiểm tra tổng yếu và kiểm tra chẵn lẻ mà không thể phát hiện được sự thay đổi nhiều bit cho tới các hướng tiếp cận kiểm tra tổng được mã hóa phức tạp hơn.

J.4.2.2. Các hoạt động

J.4.2.2.1. Chỉ định

...

...

...

Trong FPT_ITI.1.2, PP/ST nên xác định những hành động được thực hiện nếu một sự thay đổi dữ liệu TSF được phát hiện ra. Một ví dụ về hành động như vậy là "từ chối dữ liệu TSF, và yêu cầu sản phẩm được tin cậy ban đầu gửi lại dữ liệu TSF".

J.4.3. FPT_ITI.2 Phát hiện và chỉnh sửa thay đổi liên-TSF

J.4.3.1. Chú thích cho ứng dụng người sử dụng

Thành phần này nên được sử dụng trong các tình huống trong đó việc phát hiện và khắc phục việc thay đổi dữ liệu then chốt TSF là cần thiết.

Sức mạnh kỳ vọng của việc phát hiện thay đổi nội dung dựa vào một đơn vị đo lường sự thay đổi cụ thể, nó là một hàm số của thuật toán được sử dụng, từ đơn giản như sử dụng các cơ chế kiểm tra tổng yếu và kiểm tra chẵn lẻ mà không thể phát hiện được sự thay đổi nhiều bit cho tới các hướng tiếp cận kiểm tra tổng được mã hóa phức tạp hơn. Đơn vị đo lường cần được định nghĩa có thể hoặc là tham chiếu tới các cuộc tấn công mà nó chống lại (ví dụ chỉ có 1 trong số 1000 bản tin ngẫu nhiên được chấp nhận), hoặc tham chiếu tới các cơ chế phổ biến trong các tài liệu nghiên cứu (ví dụ sức mạnh của thuật toán phải tương đương với sức mạnh của thuật toán SHA).

Hướng tiếp cận được lấy để sửa sự thay đổi thông tin phải được thực hiện thông qua một số dạng kiểm tra tổng sửa sai.

J.4.3.2. Chú thích cho đánh giá viên

Một số cách thức có thể thỏa mãn yêu cầu này liên quan tới việc sử dụng các hàm mật mã hoặc một dạng kiểm tra tổng nào đó.

J.4.3.3. Các hoạt động

...

...

...

Trong FPT_ITI.2.1, PP/ST nên xác định đơn vị xác định đo lường sự thay đổi mà cơ chế phát hiện phải thỏa mãn. Đơn vị đo lường sự thay đổi này sẽ xác định sức mạnh kỳ vọng của việc phát hiện thay đổi nội dung.

Trong FPT_ITI.2.2, PP/ST nên xác định những hành động được thực hiện nếu một sự thay đổi dữ liệu TSF được phát hiện ra. Một ví dụ về hành động như vậy là "từ chối dữ liệu TSF, và yêu cầu sản phẩm được tin cậy ban đầu gửi lại dữ liệu TSF".

Trong FPT_ITI.2.3, tác giả PP/ST nên định nghĩa các kiểu thay đổi nội dung mà TSF nên có khả năng khôi phục được từ đó.

J.5. Vận chuyển dữ liệu nội bộ TOE TSF (FPT_ITT)

J.5.1. Chú thích cho người sử dụng

Họ này cung cấp các yêu cầu hướng tới việc bảo vệ dữ liệu TSF khi nó được truyền đi giữa các phần tách biệt nhau của một TOE qua một kênh truyền nội bộ.

Sự quyết định cấp độ tách biệt (vật lý hoặc logic) có thể khiến ứng dụng của họ này trở nên có ích phụ thuộc vào môi trường sử dụng được dự tính. Trong một môi trường thù địch, có thể có nhiều rủi ro từ việc truyền dữ liệu giữa các phần của TOE tách biệt nhau chỉ bởi một kênh hệ thống hoặc một kênh truyền thông giữa các tiến trình. Trong một môi trường hiền hòa hơn, các truyền thông có thể đi qua phương tiện mạng thông thường hơn.

J.5.2. Chú thích cho đánh giá viên

Một cơ chế thiết thực sẵn có cho một TSF để cung cấp việc bảo vệ này là dựa vào mật mã.

...

...

...

J.5.3.1. Các hoạt động

J.5.3.1.1. Phép chọn

Trong FPT_ITT.1.1, tác giả PP/ST nên xác định kiểu bảo vệ kỳ vọng được cung cấp từ các lựa chọn: lộ thông tin, hay thay đổi nội dung.

J.5.4. FPT_ITT.2 Phân chia vận chuyển dữ liệu TSF

J.5.4.1. Chú thích cho ứng dụng người sử dụng

Một trong những cách để đạt được sự phân tách dữ liệu TSF dựa vào các thuộc tính có liên quan SFP là thông qua việc sử dụng các kênh truyền logic hoặc vật lý.

J.5.4.2. Các hoạt động

J.5.4.2.1. Phép chọn

Trong FPT_ITT.2.1, tác giả PP/ST nên xác định kiểu bảo vệ kỳ vọng được cung cấp từ các lựa chọn: lộ thông tin, thay đổi nội dung.

...

...

...

J.5.5.1. Các hoạt động

J.5.5.1.1. Phép chọn

Trong FPT_ITT.3.1, tác giả PP/ST nên xác định kiểu sửa đổi mong muốn mà TSF cần phải có khả năng phát hiện. Tác giả PP/ST nên chọn từ tập sau: sửa đổi dữ liệu, thay thế dữ liệu, sắp xếp lại dữ liệu, xóa dữ liệu, hoặc bất kỳ lỗi toàn vẹn nào.

J.5.5.1.2. Chỉ định

Trong FPT_ITT.3.1, nếu tác giả PP/ST chọn phương án sau trong đoạn trước thì tác giả cũng nên xác định các lỗi toàn vẹn khác mà TSF nên có khả năng phát hiện.

Trong FPT_ITT.3.2, tác giả PP/ST nên xác định hành động được thực hiện khi một lỗi toàn vẹn được xác định.

J.6. Bảo vệ vật lý TSF (FPT_PHP)

J.6.1. Chú thích cho người sử dụng

Các thành phần bảo vệ vật lý TSF tham chiếu tới các giới hạn về truy nhập không được phép tới TSF và tới sự ngăn chặn và chống trả lại thay đổi vật lý không được phép hoặc thay thế của TSF.

...

...

...

Ví dụ về các kịch bản xáo trộn vật lý bao gồm tấn công cơ học, bức xạ, thay đổi nhiệt độ.

Có thể chấp nhận để các chức năng sẵn sàng cho người sử dụng được cho phép để phát hiện sự xáo trộn vật lý chỉ sẵn sàng ở chế độ không kết nối hoặc bảo trì. Việc kiểm soát nên ở đúng vị trí để giới hạn truy nhập đối với người sử dụng được cho phép trong những chế độ như vậy. Bởi vì TSF có thể không thao tác trong các chế độ đó, việc cung cấp sự ràng buộc đơn giản đối với truy nhập của người sử dụng được cho phép có thể là không thực hiện được. Thực thi vật lý của TOE có thể bao gồm nhiều cấu trúc: ví dụ một vỏ bọc bên ngoài, thẻ, chip nhớ. Toàn bộ tập hợp các "thành phần" này phải bảo vệ (bảo vệ, nhắc nhở và chống lại) TSF khỏi sự xáo trộn vật lý. Điều này không có nghĩa là tất cả các thiết bị cung cấp những đặc trưng này, nhưng toàn bộ cấu trúc vật lý hoàn chỉnh này nên làm được điều đó.

Mặc dù chỉ có tối thiểu công việc kiểm tra liên quan tới các thành phần này, nó lại là toàn bộ bởi vì một khả năng lớn các cơ chế phát hiện và cảnh báo có thể được thực thi một cách hoàn chỉnh trong phần cứng, bên dưới mức tương tác với một hệ thống con kiểm tra (ví dụ một hệ thống phát hiện bằng phần cứng dựa vào việc làm ngắt mạch và bật sáng một đi-ốt phát quang nếu mạch bị ngắt khi một nút được bấm bởi người sử dụng được cho phép). Tuy nhiên, một tác giả PP/ST có thể xác định rằng đối với một môi trường nguy cơ được dự báo cụ thể, việc kiểm tra sự xáo trộn vật lý là cần thiết. Nếu đúng trường hợp này, tác giả PP/ST nên bao gồm các yêu cầu phù hợp trong danh sách các sự kiện cần kiểm tra. Chú ý rằng bao gồm trong các yêu cầu này có thể tiềm ẩn các hệ quả đối với thiết kế phần cứng và giao diện của nó đối với phần mềm.

J.6.2. FPT_PHP.1 Phát hiện thụ động các tấn công vật lý

J.6.2.1. Chú thích cho ứng dụng người sử dụng

FPT_PHP.1 Phát hiện thụ động các tấn công vật lý nên được sử dụng khi các mối đe dọa từ hành động xáo trộn không được phép các thành phần của TOE không được trái với các phương thức mang tính thủ tục. Nó nhắm tới các nguy cơ của các xáo trộn vật lý với TSF không phát hiện được. Điển hình là một người sử dụng được cho phép có thể được cung cấp chức năng xác minh liệu có sự xáo trộn nào đã xảy ra không. Như đã viết, thành phần này đơn giản là cung cấp một khả năng TSF để phát hiện hành động xáo trộn. Đặc tả của các chức năng quản lý trong FMT_MOF.1 Quản lý các chức năng bảo mật nên được cân nhắc để xác định ai có thể sử dụng khả năng đó và bằng cách nào họ có thể sử dụng khả năng đó. Nếu điều này được thực hiện bởi các cơ chế không phải IT (ví dụ kiểm tra vật lý) thì các chức năng quản lý là không bắt buộc.

J.6.3. FPT_PHP.2 Thông báo tấn công vật lý

J.6.3.1. Chú thích cho ứng dụng người sử dụng

FPT_PHP.2 Báo cáo tấn công vật lý nên được sử dụng khi các mối đe dọa từ hành động xáo trộn không được phép các thành phần của TOE không được trái với các phương thức mang tính thủ tục và người ta yêu cầu rằng các cá nhân được Chỉ định được thông báo về hành động xáo trộn vật lý. Nó nhắm tới nguy cơ mà hành động xáo trộn vật lý với các thành phần TSF mặc dù được phát hiện ra nhưng có thể không được chú ý.

...

...

...

J.6.3.2.1. Chỉ định

Trong FPT_PHP.2.3, tác giả PP/ST nên cung cấp một danh sách các thiết bị / thành phần TSF mà việc phát hiện tích cực các hành động xáo trộn vật lý là bắt buộc.

Trong FPT_PHP.2.3, tác giả PP/ST nên Chỉ định một người sử dụng hoặc một vai trò để nhận báo cáo khi hành động xáo trộn được phát hiện. Kiểu người sử dụng hoặc vai trò có thể đa dạng tùy thuộc vào thành phần quản trị bảo mật cụ thể (từ họ hành vi FMT_MOF.1 Quản lý các chức năng bảo mật) được bao gồm trong PP/ST.

J.6.4. FPT_PHP.3 Chống tấn công vật lý

J.6.4.1. Chú thích cho ứng dụng người sử dụng

Từ một số dạng xáo trộn, việc TSF không chỉ phát hiện ra hành động xáo trộn mà còn thực sự chống lại nó hoặc trì hoãn kẻ tấn công là cần thiết.

Thành phần này nên được sử dụng các thiết bị TSF và các thành phần TSF được kỳ vọng để thao tác trong môi trường mà hành vi xáo trộn vật lý (ví dụ quan sát, phân tích hoặc thay đổi) các bộ phận nội tại của một thiết bị TSF hoặc bản thân thành phần đó là một nguy cơ.

J.6.4.2. Các hoạt động

J.6.4.2.1. Chỉ định

...

...

...

Trong FPT_PHP.3.1, tác giả PP/ST nên xác định danh sách các thiết bị / thành phần TSF mà TSF nên bảo vệ chống lại hành động xáo trộn vật lý trong các kịch bản được xác định trước.

J.7. Khôi phục tin cậy (FPT_RCV)

J.7.1. Chú thích cho người sử dụng

Các yêu cầu trong họ này đảm bảo TSF có thể xác định rằng TOE được khởi động mà không bị vô hiệu hóa chức năng bảo vệ và có thể khôi phục mà không bị vô hiệu hóa chức năng bảo vệ sau khi bị gián đoạn thao tác. Họ này là quan trọng vì trạng thái khởi động của TSF xác định việc bảo vệ của các trạng thái sau đó.

Các thành phần khôi phục tạo dựng lại các trạng thái an toàn TSF, hoặc ngăn ngừa sự chuyển sang các trạng thái không an toàn, như là một phản ứng trực tiếp khi gặp các hỏng hóc, gián đoạn thao tác trong dự kiến hoặc khi khởi động. Các hỏng hóc phải được lường trước bao gồm:

a) Tình trạng không thao tác của các hành động không che được mà luôn gây ra đổ vỡ của hệ thống (Ví dụ sự thiếu nhất quán của các bảng hệ thống then chốt, các chuyển giao không được kiểm soát trong nội bộ mã TSF được gây ra bởi các hỏng hóc chớp nhoáng của phần cứng hoặc phần dẻo, hỏng hóc nguồn, hỏng hóc bộ vi xử lý, hỏng hóc về truyền thông).

b) Các hỏng hóc về phương tiện truyền thông gây ra một phần hoặc tất cả các phương tiện truy truyền thông đại diện cho các đối tượng TSF làm cho chúng trở nên không thể truy nhập được hoặc bị sai lệch (ví dụ: lỗi kiểm tra chẵn lẻ, hỏng đầu đọc ổ đĩa, lỗi đọc/ghi do đầu đọc ổ đĩa bị lệch, lớp phủ từ bị bong, bui trên bề mặt ổ đĩa)

c) Sự gián đoạn thao tác gây ra bởi hành động quản lý sai lầm hoặc thiểu hành động quản lý đúng lúc (ví dụ: tắt hệ thống không đúng cách bằng việc tắt nguồn, bỏ qua sự khan hiếm các tài nguyên then chốt, cấu hình được cài đặt không phù hợp).

Chú ý rằng việc khôi phục có thể bắt đầu một kịch bản hỏng hóc toàn bộ hoặc một phần. Mặc dù một hỏng hóc toàn bộ có thể xảy ra trong một hệ điều hành đơn nhưng điều này ít có khả năng xảy ra trong một môi trường phân tán. Trong những môi trường như vậy, các hệ thống con có thể bị hỏng nhưng các phần còn lại vẫn thao tác. Hơn nữa, các thành phần then chốt có thể có dự phòng (ổ đĩa, kênh truyền) và có thể có các điểm kiểm tra. Do đó, việc khôi phục được diễn tả theo ý nghĩa là khôi phục về một trạng thái an toàn.

...

...

...

a) Nhu cầu cho việc khôi phục được tin cậy có thể được chỉ ra trong các kết quả của việc tự kiểm tra TSF trong đó các kết quả của các phép tự kiểm tra cho biết rằng TSF đang ở trong một trạng thái không an toàn và trở lại một trạng thái an toàn hoặc yêu cầu vào chế độ bảo dưỡng.

b) Một hỏng hóc, như được trình bày ở trên có thể được xác định bởi nhà quản trị. Hoặc là nhà quản trị thực hiện hành động để đưa TOE trở lại một trạng thái an toàn và sau đó kích hoạt các phép tự kiểm tra để khẳng định rằng đã đạt được trạng thái an toàn. Hoặc, các phép tự kiểm tra có thể được kích hoạt để hoàn chỉnh quá trình khôi phục.

c) Một sự kết hợp của các mục a. và b. ở trên, trong đó nhu cầu đối với việc khôi phục được tin cậy được chỉ ra thông qua kết quả của việc tự kiểm tra TSF, nhà quản trị thực hiện các hành động để đưa TOE trở lại một trạng thái an toàn và sau đó kích hoạt các phép tự kiểm tra để khẳng định rằng đã đạt được trạng thái an toàn.

d) Các phép tự kiểm tra phát hiện một hỏng hóc hoặc sự gián đoạn dịch vụ, sau đó hoặc là khôi phục tự động hoặc đưa vào chế độ bảo dưỡng.

Họ này xác định một chế độ bảo dưỡng. Trong chế độ bảo dưỡng, hành động bình thường có thể không thực hiện được hoặc bị cấm ngặt, bằng không thì các trạng thái không an toàn có thể xảy ra. Trong các tình huống điển hình, chỉ có người sử dụng được cho phép mới nên được cho phép để truy nhập vào chế độ này nhưng các chi tiết thực sự về ai có thể truy nhập vào chế độ này là một chức năng của FMT: Bảo mật và quản lý. Nếu FMT: Bảo mật và quản lý không kiểm soát được ai có thể truy nhập vào chế độ này thì có thể cho phép bất kỳ người sử dụng này khôi phục hệ thống nếu TOE bắt đầu một trạng thái như vậy. Tuy nhiên, trong thực tế, cũng có thể không mong chờ việc người sử dụng khôi phục hệ thống có cơ hội để cấu hình TOE theo các gây vi phạm các SFR.

Các cơ chế được thiết kế để phát hiện các điều kiện ngoại lệ trong thời gian thao tác đều nằm trong Tự kiểm tra TSF (FPT_TST), Lỗi bảo mật (FPT_FLS), và các lĩnh vực khác mà nhắm tới khái niệm "An toàn phần mềm". Có một khả năng lớn là việc sử dụng các họ này sẽ được yêu cầu để hỗ trợ việc ban hành Khôi phục được tin cậy (FPT_RCV). Điều này là để đảm bảo rằng TOE sẽ không thể phát hiện ra khi nào cần phải khôi phục.

Trong toàn bộ họ này, cụm từ "trạng thái an toàn" được sử dụng. Nó ám chỉ một trạng thái này đó mà TOE có dữ liệu TSF nhất quán và một TSF có thể thi hành chính sách một cách đúng đắng. Trạng thái này có thể là phần "khởi đầu" cho một hệ thống sạch, hoặc nó có thể là một trạng thái được kiểm tra nào đó.

Tiếp theo việc khôi phục, cần khẳng định rằng trạng thái an toàn đã đạt được thông qua việc tự kiểm tra của TSF. Tuy nhiên, nếu việc khôi phục được thực hiện theo cách mà chỉ có một trạng thái an toàn đạt được còn không thì việc khôi phục bị hỏng thì sự phụ thuộc vào thành phần tự kiểm tra TSF FPT_TST.1 Kiểm tra TSF có thể không còn cần thiết.

J.7.2. FPT_RCV.1 Khôi phục thủ công

...

...

...

Trong phân cấp của họ yêu cầu khôi phục được tin cậy, việc khôi phục chỉ yêu cầu sự can thiệp thủ công là ít được mong đợi nhất, bởi vì nó ngăn việc sử dụng hệ thống theo các thức tự động. Thành phần này được dự định để sử dụng trong các TOE mà không yêu cầu việc khôi phục tự động về một trạng thái an toàn. Các yêu cầu của thành phần này làm giảm nguy cơ vô hiệu hóa chức năng bảo vệ là kết quả từ việc TOE được thực hiện có giám sát trả về một trạng thái an toàn sau khi khôi phục từ một hỏng hóc hoặc sự gián đoạn nào khác.

J.7.2.2. Chú thích cho đánh giá viên

Các chức năng sẵn có cho người sử dụng được phép đối với việc khôi phục được tin cậy chỉ có trong chế độ bảo dưỡng là chấp nhận được. Việc giám sát nên được đưa vào nhằm giới hạn truy nhập trong khi bảo dưỡng cho người sử dụng được cho phép.

J.7.2. Các hoạt động

J.7.2.3.1. Chỉ định

Trong FPT_RCV.1.1, tác giả PP/ST nên xác định danh sách các hỏng hóc hoặc các gián đoạn (ví dụ hỏng nguồn, cạn kiệt lưu trữ kiểm tra, hoặc bất kỳ hỏng hóc hoặc gián đoạn nào) theo sau việc TOE bắt đầu chế độ bảo dưỡng.

J.7.3. FPT_RCV.2 Khôi phục tự động

J.7.3.1. Chú thích cho ứng dụng người sử dụng

Việc khôi phục tự động được cân coi là hữu ích hơn so với khôi phục thủ công bởi vì nó cho phép máy móc thao tác theo cách thức giảm bớt sự chú ý của con người.

...

...

...

J.7.3.2. Chú thích cho đánh giá viên

Các chức năng sẵn có cho người sử dụng được phép đối với việc khôi phục được tin cậy chỉ có trong chế độ bảo dưỡng là chấp nhận được. Việc giám sát nên được đưa vào nhằm giới hạn truy nhập trong khi bảo dưỡng cho người sử dụng được cho phép.

Đối với FPT_RCV.2.1, trách nhiệm của nhà phát triển TSF là xác định tập hợp các hỏng hóc có thể khôi phục được và các gián đoạn về dịch vụ. Giả định rằng sức mạnh của các cơ chế khôi phục tự động sẽ được xác minh.

J.7.3.3. Các hoạt động

J.7.3.3.1. Chỉ định

Trong FPT_RCV.2.1, tác giả PP/ST nên xác định danh sách các hỏng hóc hoặc gián đoạn dịch vụ (ví dụ hỏng nguồn, cạn kiệt lưu trữ kiểm tra, hoặc bất kỳ hỏng hóc hoặc gián đoạn nào) theo sau việc TOE bắt đầu chế độ bảo dưỡng.

Trong FPT_RCV.2.2, tác giả PP/ST nên xác định danh sách các hỏng hóc hoặc các gián đoạn khác để buộc thực hiện chức năng khôi phục tự động.

J.7.4. FPT_RCV.3 Khôi phục tự động tránh tổn thất lớn

J.7.4.1. Chú thích cho ứng dụng người sử dụng

...

...

...

Thành phần FPT_RCV.3 Khôi phục tự động mà không bị mất mát không đáng mở rộng phạm vi bao quát tính năng của FPT_RCV.2 Khôi phục tự động bằng cách yêu cầu không có mất mát không đáng của dữ liệu hoặc đối tượng TSF trong TSC. Tại FPT_RCV.2 Khôi phục tự động, các cơ chế khôi phục tự động có thể khôi phục một cách được tin cậy bằng cách xóa bỏ tất cả các đối tượng và trả về cho TSF một trạng thái an toàn. Kiểu khôi phục tự động này được ngăn ngừa trong FPT_RCV.3 Khôi phục tự động mà không bị mất mát không đáng.

Thành phần này nhắm tới nguy cơ vô hiệu hóa chức năng bảo vệ là kết quả từ một TOE tự động trả về một trạng thái không an toàn sau khi khôi phục từ một hỏng hóc hoặc sự gián đoạn khác với sự mất mát lớn về dữ liệu TSF hoặc đối tượng dưới sự kiểm soát của TSF.

J.7.4.2. Chú thích cho đánh giá viên

Các chức năng sẵn có cho người sử dụng được phép đối với việc khôi phục được tin cậy chỉ có trong chế độ bảo dưỡng là chấp nhận được. Việc giám sát nên được đưa vào nhằm giới hạn truy nhập trong khi bảo dưỡng cho người sử dụng được cho phép.

Giả định rằng đánh giá viên sẽ xác minh sức mạnh của các cơ chế khôi phục tự động.

J.7.4.3. Các hoạt động

J.7.4.3.1. Chỉ định

Trong FPT_RCV.3.1, tác giả PP/ST nên xác định danh sách các hỏng hóc hoặc gián đoạn dịch vụ (ví dụ hỏng nguồn, cạn kiệt lưu trữ kiểm tra) theo sau việc TOE bắt đầu chế độ bảo dưỡng.

Trong FPT_RCV.3.2, tác giả PP/ST nên xác định danh sách các hỏng hóc hoặc các gián đoạn khác mà việc khôi phục tự động là phải thực hiện được.

...

...

...

J.7.5. FPT_RCV.4 Khôi phục chức năng

J.7.5.1. Chú thích cho ứng dụng người sử dụng

Việc khôi phục chức năng yêu cầu rằng nếu như có hỏng hóc trong TSF thì một số SF xác định trong TSF nên hoặc là hoàn thành một cách thành công hoặc là khôi phục về một trạng thái an toàn.

J.7.5.2. Các hoạt động

J.7.5.2.1. Chỉ định

Trong FPT_RCV.4.1, tác giả PP/ST nên xác định danh sách các SF và các kịch bản hỏng hóc. Khi gặp sự kiện một trong các kịch bản đã xác định xảy ra, những SF đã được xác định phải hoặc là hoàn thành một cách thành công hoặc là khôi phục về trạng thái an toàn và chắc chắn.

J.8. Phát hiện chạy lại (FPT_RPL)

J.8.1. Chú thích cho người sử dụng

Họ này nhắm tới việc phát hiện xem lại đối với các loại thực thể khác nhau và các hành động tương ứng để sửa chữa.

...

...

...

J.8.2.1. Chú thích cho ứng dụng người sử dụng

Các thực thể bao gồm ở đây là, ví dụ, thông điệp, yêu cầu dịch vụ, phản hồi dịch vụ hoặc phiên.

J.8.2.1.1. Chỉ định

Trong FPT_RPL.1.1, tác giả PP/ST nên cung cấp một danh sách các thực thể đã được xác định mà việc phát hiện replay có thể thực hiện được. Ví dụ về các thực thể như vậy bao gồm: thông điệp, yêu cầu dịch vụ, phản hồi dịch vụ và phiên người sử dụng.

J.8.2.2. Các hoạt động

J.8.2.2.1. Chỉ định

Trong FPT_RPL.1.1, tác giả PP/ST nên cung cấp một danh sách các thực thể đã được xác định mà việc phát hiện replay là có thể thực hiện được. Ví dụ về các thực thể như vậy bao gồm: thông điệp, yêu cầu dịch vụ, phản hồi dịch vụ và phiên người sử dụng.

Trong FPT_RPL.1.2, tác giả PP/ST nên xác định một danh sách các hành động có thể thực hiện bởi TSF khi việc xem lại bị phát hiện. Tập hợp tiềm năng các hành động có thể thực hiện bao gồm: từ chối thực thể được xem lại, yêu cầu khẳng định thực thể từ nguồn được xác định, và ngắt đối tượng mà thực thể được xem lại bắt nguồn từ đó.

J.9. Giao thức đồng bộ trạng thái (FPT_SSP)

...

...

...

Các hệ thống phân tán có thể làm tăng độ phức tạp hơn là các hệ thống tập trung thông qua tiềm năng đối với các khác biệt trong trạng thái giữa các thành phần của hệ thống, và thông qua trễ truyền thông. Trong hầu hết các trường hợp, sự đồng bộ trạng thái giữa các chức năng phân tán liên quan tới một giao thức trao đổi, chứ không phải một hành động đơn giản. Khi có ác ý tồn tại trong môi trường phân tán của các giao thức này, cần phải có các giao thức có khả năng tự bảo vệ phức tạp hơn.

Giao thức đồng bộ trạng thái (FPT_SSP) thiết đặt yêu cầu cho các chức năng bảo mật then chốt của TSF để sử dụng một giao thức được tin cậy. Giao thức đồng bộ trạng thái (FPT_SSP) đảm bảo rằng hai phần phân tán của TOE (ví dụ như hai máy tính) có các trạng thái của chúng được đồng bộ nhau sau một hành động liên quan tới bảo mật.

Một số trạng thái có thể không bao giờ được đồng bộ hoặc chi phí giao dịch có thể quá cao trong sử dụng thực tế; việc thu hồi một khóa mật mã là một ví dụ, trong đó việc biết được trạng thái sau hành động thu hồi được khởi phát có thể không bao giờ được biết tới. Hoặc là hành động được thực hiện và sự xác nhận không thể gửi đi được, hoặc là thông điệp bị từ chối bởi đối tác truyền thông thù địch và việc thu hồi không bao giờ xảy ra. Tính không xác định là duy nhất đối với các hệ thống phân tán. Tính không xác định và sự đồng bộ trạng thái có liên quan, và một giải pháp như nhau có thể áp dụng. Sẽ là vô ích nếu thiết kế cho các trạng thái không xác định; tác giả PP/ST nên diễn tả các yêu cầu khác trong những tình huống như vậy (ví dụ phát bạo động, kiểm soát sự kiện).

J.9.2. FPT_SSP.1 Xác nhận tin cậy một chiều (đơn)

J.9.2.1. Chú thích cho ứng dụng người sử dụng

Trong thành phần này, TSF phải cung cấp một xác nhận cho một phần khác của TSF khi được yêu cầu. Việc xác nhận này nên chỉ rõ rằng một phần của TOE phân tán đã nhận thành công một sự chuyển giao không bị thay đổi từ một phần khác của TOE phân tán.

J.9.3. FPT_SSP.2 Xác nhận tin cậy hai chiều

J.9.3.1. Chú thích cho ứng dụng người sử dụng

Trong thành phần này, ngoài TSF có khả năng cung cấp một xác nhận về việc nhận được dữ liệu truyền, TSF phải tuân theo yêu cầu từ một phần khác của TSF về một xác nhận dành cho xác nhận đã nhận được.

...

...

...

J.10. Nhãn thời gian (FPT_STM)

J.10.1. Chú thích cho người sử dụng

Họ này nhắm tới các yêu cầu đối với một chức năng dấu thời gian nằm trong một TOE. Nhiệm vụ của tác giả PP/ST là làm rõ ý nghĩa của cụm từ "dấu thời gian tin cậy được" và xác định trách nhiệm trong việc xác định sự chấp nhận tin cậy.

J.10.2. FPT_STM.1 Thẻ thời gian tin cậy

J.10.2.1. Chú thích cho ứng dụng người sử dụng

Một số khả năng sử dụng của thành phần này bao gồm việc cung cấp dấu thời gian cho các mục đích kiểm soát cũng như cho việc kết thúc thuộc tính bảo mật.

J.11. Tính nhất quán dữ liệu liên-TSF (FPT_TDC)

J.11.1. Chú thích cho người sử dụng

Trong một môi trường phân tán hoặc hệ thống ghép, một TOE có thể cần trao đổi dữ liệu TSF (ví dụ các thuộc tính SFP liên kết với dữ liệu, thông tin kiểm soát, thông tin định danh) với sản phẩm IT được tin cậy khác. Họ này định nghĩa các yêu cầu đối với việc chia sẻ và thông dịch nhất quán các thuộc tính giữa TSF của TOE và các thuộc tính của một sản phẩm IT được tin cậy khác.

...

...

...

Họ này khác với FDP_ETC và FDP_ITC, vì hai họ này chỉ liên quan tới việc giải quyết các thuộc tính bảo mật giữa TSF và các phương diện xuất/nhập của nó. Nếu tính toàn vẹn của dữ liệu TSF được xét tới, các yêu cầu nên được chọn từ họ. Tính toàn vẹn của dữ liệu TSF được xuất (FPT_ITI). Các thành phần này xác định các yêu cầu đối với TSF để có thể phát hiện hoặc phát hiện và sửa các thay đổi đối với dữ liệu TSF khi chuyển qua.

J.11.2. FPT_TDC.1 Tính nhất quán dữ liệu TSF cơ bản liên-TSF

J.11.2.1. Chú thích cho ứng dụng người sử dụng

TSF chịu trách nhiệm duy trì tính nhất quán của dữ liệu TSF được sử dụng bởi hoặc được liên kết với chức năng cụ thể và các chức năng chung cho hai hoặc nhiều hệ thống được tin cậy. Để dữ liệu TSF được sử dụng hợp lý (ví dụ để tạo cho dữ liệu người sử dụng có cùng mức độ bảo vệ như ở bên trong TOE) bằng cách nhận sản phẩm IT được tin cậy, TOE và sản phẩm IT được tin cậy khác phải sử dụng một giao thức được thiết lập trước để trao đổi dữ liệu TSF.

J.11.2.2. Các hoạt động

J.11.2.2.1. Chỉ định

Trong FPT_TDC.1.1, tác giả PP/ST nên định nghĩa danh sách các kiểu dữ liệu TSF mà TSF sẽ cung cấp khả năng thông dịch một cách nhất quán khi được chia sẻ giữa TSF và sản phẩm IT được tin cậy khác.

Trong FPT_TDC.1.2, tác giả PP/ST nên Chỉ định danh sách các quy tắc thông dịch sẽ được áp dụng bởi TSF.

J.12. Kiểm thử các thực thể bên ngoài (FPT_TEE)

...

...

...

Họ này định nghĩa các yêu cầu việc kiểm thử một hoặc hơn nữa các thực thể bên ngoài do TSF thực hiện. Các thực thể bên ngoài này không phải là người dùng, và chúng có thể gồm liên hợp của phần mềm và/hoặc phầnc ứng tương tác với TOE.

Mẫu kiểu kiểm thử có thể là:

a) Các kiểm thử đối với sự xuất hiện của tường lửa, và có thể xem việc cấu hình đã đúng chưa.

b) Các kiểm thử một số tài sản của hệ điều hành mà một TOE chạy trên đó.

c) Kiểm thử một số tài sản của IC mà một OS TOE thẻ thông minh chạy trên đó (có nghĩa máy phát số ngẫu nhiên)

Lưu ý rằng thực thể bên ngoài này có thể "nói dối" về kết quả kiểm thử, hoặc là có mục đích hoặc là do làm việc không đúng.

Các kiểm thử này có thể thực hiện hoặc là chỉ trong một số trạng thái bảo trì, lúc khởi động, đang trực tuyến, hoặc là liên tục. Các thao tác do TOE thực hiện bởi vì kết quả kiểm tra thử cũng được định nghĩa trong họ này.

J.12.2. Các Chú thích cho đánh giá viên

Các kiểm thử thực thể bên ngoài có thể đủ để kiểm thử tất cả các đặc tính của chúng mà TSF tin cậy.

...

...

...

J.12.3.1. Chú thích cho ứng dụng người sử dụng

Thành phần này không dự định để áp dụng cho người dùng là con người.

Thành phần này hỗ trợ cho việc kiểm thử theo định kỳ các tài sản liên quan các thực thể bên ngoài mà thao tác của TSF dựa vào, bằng việc yêu cầu khả năng gọi chức năng kiểm thử định kỳ.

Tác giả PP/ST có thể lọc các yêu cầu để chỉ rõ chức năng cần sẵn sàng ở chế độ on-line, off-line hay là bảo dưỡng hay không.

J.12.3.2. Các Chú thích cho đánh giá viên

Các chức năng kiểm thử định kỳ sẵn sàng chỉ trong một chế độ off-line hoặc bảo dưỡng là chấp nhận được. Trong khi bảo dưỡng, các kiểm soát cần sẵn sàng để giới hạn người dùng được cấp quyền truy cập vào.

J.12.3.3. Các hoạt động

J.12.3.3.1. Phép chọn

Trong FPT_TEE.1.1, tác giả PP/ST cần ghi rõ khi nào TSF sẽ chạy kiểm thử thực thể bên ngoài, trong lúc đầu khởi động, định kỳ trong thao tác thông thường, khi một người dùng được cấp quyền yêu cầu, và trong các điều kiện khác. Nếu các kiểm thử chạy thường xuyên, thì người dùng đầu cuối có thể tin hơn rằng TOE đang vận hành chính xác hơn là nếu các kiểm thử chạy ít thường xuyên. Tuy nhiên, cần tin rằng TOE đang vận hành chính xác phải cân bằng với ảnh hưởng tiềm năng đối với phản kháng của TOE, cũng như mọi lần, tự kiểm thử có thể làm chậm thao tác thông thường của TOE.

...

...

...

Trong FPT_TEE.1.1, tác giả PP/ST cần ghi rõ các tài sản của các thực thể bên ngoài do các kiểm thử kiểm tra. Các ví dụ về tài sản này có thể gồm cấu hình hoặc tài sản sẵn sàng của máy chủ thư mục hỗ trợ một số phần kiểm soát truy cập của TSF.

Trong FPT_TEE.1.1, tác giả PP/ST cần, nếu chọn các điều kiện khác, chỉ rõ tần số mà tự kiểm thử sẽ chạy. Một ví dụ của điều kiện và tần số khác này có thể sẽ chạy kiểm thử mỗi lần người dùng yêu cầu bắt đầu một phiên với TOE. Ví dụ, có thể là trường hợp kiểm thử một máy chủ thư mục trước khi nó tương tác với TSF trong quá trình xác thực người dùng.

Trong FPT_TEE.1.2, tác giả PP/ST cần chỉ rõ thao tác nào TSF sẽ thực thi khi kiểm thử không thực hiện được. Ví dụ về thao tác này, được minh họa bởi ví dụ máy chủ thư mục, có thể bao gồm cả việc kết nối tới một máy chủ dự phòng đang sẵn sàng hoặc mặt khác cả việc tìm máy chủ sao lưu.

J.13. Tính nhất quán bản sao dữ liệu bên trong TOE TSF (FPT_TRC)

J.13.1. Chú thích cho người sử dụng

Các yêu cầu của họ này là cần thiết để đảm bảo tính nhất quán của dữ liệu TSF khi dữ liệu này được sao chép ở bên trong TOE. Dữ liệu như vậy có thể trở thành không nhất quán nếu một kênh nội bộ giữa các phần của TOE trở nên không thao tác. Nếu TOE được cấu trúc nội bộ như một mạng của các phần của TOE, điều này có thể xảy ra khi các phần bị vô hiệu hóa, các liên kết mạng bị đứt, v.v…

Cách thức đảm bảo tính nhất quán không được xác định trong thành phần này. Nó có thể đạt được thông qua một dạng của ghi nhớ giao dịch (trong đó các giao dịch thích hợp được truy lục lại cho một trạm khi kết nối lại); nó có thể cập nhật dữ liệu được sao lưu thông qua một giao thức đồng bộ. Nếu một giao thức cụ thể là cần thiết cho một PP/ST, nó có thể được xác định thông qua sự sàng lọc.

Cũng có khả năng không thể đồng bộ được một số trạng thái, hoặc chi phí cho việc đồng bộ như vậy là quá cao. Ví dụ của tình huống như vậy là việc thu hồi kênh truyền thông và khóa mật mã. Các trạng thái trung gian có thể xảy ra, nếu một hành vi cụ thể được mong đợi, nó nên được xác định thông qua sự sàng lọc.

J.13.2. FPT_TRC.1 Tính nhất quán bên trong TSF

...

...

...

J.13.2.1.1. Chỉ định

Trong FPT_TRC.1.2, tác giả PP/ST nên xác định danh sách các SF phụ thuộc vào tính nhất quán của bản sao dữ liệu TSF.

J.14. Tự kiểm tra TSF (FPT_TST)

J.14.1. Chú thích cho người sử dụng

Họ này định nghĩa các yêu cầu đối với phép tự kiểm tra của TSF tương ứng với một số thao tác chính xác được kỳ vọng. Ví dụ là các giao diện cho các chức năng bắt buộc thực hiện và các thao tác số học mẫu trên các phần then chốt của TOE. Các phép thử này có thể được thực hiện khi khởi động, định kỳ, theo yêu cầu của người sử dụng được cho phép, hoặc khi các điều kiện khác được thỏa mãn. Các hành động được thực hiện bởi TOE là kết quả của phép tự kiểm tra được định nghĩa trong họ khác. Các yêu cầu của họ này cũng là cần thiết để phát hiện sự hư hại của mã thực thi TSF (ví dụ phần mềm TSF) và dữ liệu TSF gây bởi nhiều hỏng hóc khác nhau và không nhất thiết gây ra việc dừng thao tác của TOE (mà có thể được quản lý bởi một họ khác). Các phép kiểm tra này phải được thực hiện bởi vì những hỏng hóc này có thể không được ngăn ngừa một cách cần thiết. Những hỏng hóc như vậy có thể xảy ra hoặc là bởi vì các chế độ hỏng hóc chưa biết trước hoặc sơ suất trong thiết kế phần cứng, phần dẻo hoặc phần mềm hoặc bởi vì sự hư hại mang tính phá hoại đối với TSF do bảo vệ logic hoặc vật lý không phù hợp.

Thêm vào đó, việc sử dụng thành phần này, với các điều kiện thích hợp, có thể giúp ngăn ngừa các thay đổi TSF không thích hợp hoặc mang tính phá hoại được áp dụng vào TOE thao tác là kết quả của các thao tác bảo dưỡng.

Thuật ngữ "thao tác chính xác của TSF" trước tiên ám chỉ tới thao tác của phần mềm TSF và tính toàn vẹn của dữ liệu TSF. Cỗ máy trừu tượng mà phần mềm TSF được thực thi theo đó được kiểm tra thông qua sự phụ thuộc vào Kiểm tra cỗ máy trừu tượng bên dưới (FPT_AMT).

J.14.2. FPT_TST.1 Kiểm tra TST

J.14.2.1. Chú thích cho ứng dụng người sử dụng

...

...

...

J.14.2.2. Chú thích cho đánh giá viên

Có thể chấp nhận các chức năng dành cho người sử dụng được phép đối với việc kiểm tra định kỳ chỉ dành cho chế độ không kết nối hoặc bảo dưỡng. Các kiểm soát nên ở vị trí để hạn chế truy nhập trong các chế độ này đối với người sử dụng được cho phép.

J.14.2.3. Các hoạt động

J.14.2.3.1. Phép chọn

Trong FPT_TST.1.1, tác giả PP/ST nên xác định khi nào TSF sẽ thực thi phép kiểm tra TSF; trong thời gian khởi động, định kỳ trong thời gian thao tác bình thường, khi nhận được yêu cầu của một người sử dụng được cho phép, khi gặp các điều kiện khác. Đối với trường hợp sau, tác giả PP/ST cũng nên Chỉ định những điều kiện đó là gì thông qua các Chỉ định sau.

Trong FPT_TST.1.1, tác giả PP/ST nên xác định liệu các phép tự kiểm tra có được thực hiện hay không để chứng minh thao tác chính xác của toàn bộ TSF hoặc chỉ một số phần xác định của TSF.

J.14.2.3.2. Chỉ định

Trong FPT_TST.1.1, tác giả PP/ST nên xác định điều kiện mà tự phép kiểm tra nên xảy ra.

Trong FPT_TST.1.1, tác giả PP/ST nên, nếu được lựa chọn, xác định danh sách các phần của TSF sẽ là chủ thể để tự kiểm tra.

...

...

...

Trong FPT_TST.1.2, tác giả PP/ST nên xác định liệu tính toàn vẹn dữ liệu có được xác minh đối với tất cả dữ liệu TSF không hay là chỉ với dữ liệu được lựa chọn.

J.14.2.3.4. Chỉ định

Trong FPT_TST.1.2, tác giả PP/ST nên, nếu được lựa chọn, xác định danh sách dữ liệu TSF sẽ được xác minh tính toàn vẹn.

PHỤ LỤC K

(Phụ lục)

LỚP FRU: SỬ DỤNG TÀI NGUYÊN

Lớp này cung cấp ba họ yêu cầu chức năng cung cấp sự sẵn sàng được yêu cầu bởi các tài nguyên chẳng hạn như khả năng tính toán và/hoặc không gian lưu trữ. Họ chịu lỗi cung cấp việc bảo vệ chống lại sự không sẵn sàng của các khả năng gây ra bởi hỏng hóc của TOE. Họ Quyền ưu tiên của dịch vụ đảm bảo rằng các tài nguyên sẽ được cấp phát cho các nhiệm vụ quan trọng hơn hoặc là cấp bách hơn và không thể bị độc chiếm bởi các nhiệm vụ có Quyền ưu tiên thấp hơn. Họ Cấp phát tài nguyên cung cấp các giới hạn trong việc sử dụng các tài nguyên sẵn có, từ đó ngăn chặn người sử dụng khỏi việc độc chiếm tài nguyên.

Hình K.1 cho thấy phân tách của lớp này thành các thành phần cấu thành của nó.

...

...

...

Hình K.1 - Phân cấp lớp FRU: Sử dụng tài nguyên

K.1. Khả năng chịu lỗi (FRU_FLT)

K.1.1. Chú thích cho người sử dụng

Họ này cung cấp các yêu cầu đối với tính sẵn có của các khả năng thậm chí trong cả các tình huống trục trặc. Ví dụ về các trục trặc như vậy là trục trặc nguồn, trục trặc phần cứng hoặc lỗi phần mềm. Trong trường hợp xác định được là lỗi như vậy, TOE sẽ duy trì các khả năng đã được xác định. Tác giả PP/ST có thể xác định rằng, ví dụ, một TOE được sử dụng trong nhà máy hạt nhân sẽ có thể tiếp tục thao tác của quy trình tắt hệ thống khi gặp trường hợp trục trặc nguồn hoặc trục trặc truyền thông xảy ra.

Bởi vì TOE chỉ có thể tiếp tục hoạt động chính xác của nó nếu các SFR được bắt buộc thực hiện, yêu cầu là hệ thống này phải giữ nguyên trong một trạng thái an toàn sau khi gặp trục trặc. Khả năng này được cung cấp bởi FPT_FLS.1 Trục trặc với sự duy trì trạng thái an toàn.

Các cơ chế để cung cấp khả năng chịu lỗi có thể là chủ động hoặc bị động. Nếu là cơ chế chủ động, các chức năng xác định được đưa vào thac tác sao cho chúng được kích hoạt trong trường hợp lỗi xảy ra. Ví dụ, báo động lửa là một cơ chế chủ động: TSF sẽ phát hiện lửa và có thể thực hiện hành động như chuyển thao tác sang dự phòng. Trong cơ chế bị động, kiến trúc của TOE có khả năng quản lý lỗi. Ví dụ, việc sử dụng một cách thức bầu đa số nro đó với nhiều bộ vi xử lý là một giải pháp bị động; trục trặc của một bộ vi xử lý sẽ không làm gián đoạn hành động của TOE (mặc dù nó cần được phát hiện để cho phép khắc phục).

Đối với họ này, trục trặc được phát hiện một cách vô tình (chẳng hạn như ngập lụt hoặc tháo nhầm thiết bị) hoặc có chủ ý (chẳng hạn như việc độc chiếm) sẽ là không quan trọng.

K.1.2. FRU_FLT.1 Khả năng chịu lỗi suy giảm

K.1.2.1. Chú thích cho ứng dụng người sử dụng

...

...

...

K.1.2.2. Các hoạt động

K.1.2.2.1. Chỉ định

Trong FRU_FLT.1.1, tác giả PP/ST nên xác định danh sách các khả năng TOE mà TOE sẽ duy trì trong suốt thời gian và sau khi một lỗi được xác định.

Trong FRU_FLT.1.1, tác giả PP/ST nên xác định danh sách các loại trục trặc mà TOE rõ ràng phải được bảo vệ. Nếu một trục trặc trong danh sách này xảy ra, TOE sẽ có thể tiếp tục thao tác của nó.

K.1.3. FRU_FLT.2 Khả năng chịu đựng lỗi giới hạn

K.1.3.1. Chú thích cho ứng dụng người sử dụng

Thành phần này được dự định để xác định loại trục trặc nào mà TOE phải chống chịu được. Bởi vì thật là khó để mô tả tất cả các trục trặc, có thể phải xác định phân loại các trục trặc. Ví dụ của các trục trặc chung gồm có ngập lụt phòng máy tính, ngắt nguồn điện trong thời gian ngắn, hỏng CPU hoặc máy tính, trục trặc phần mềm hoặc tràn bộ đệm.

K.1.3.2. Các hoạt động

K.1.3.2.1. Chỉ định

...

...

...

K.2. Ưu tiên dịch vụ (FRU_PRS)

K.2.1. Chú thích cho người sử dụng

Các yêu cầu của họ này cho phép TSF kiểm soát việc sử dụng tài nguyên trong phạm vi TSF bởi người sử dụng và các chủ thể mà các thao tác có quyền ưu tiên cao trong phạm vi TSF sẽ luôn đạt được mà không bị cản trở hoặc bị làm chậm trễ bởi các thao tác có quyền ưu tiên thấp. Nói cách khác, các nhiệm vụ cấp bách sẽ không bị trì hoãn bởi các nhiệm vụ ít cấp bách hơn.

Họ này có thể ứng dụng vào nhiều loại tài nguyên, ví dụ, khả năng xử lý và dung lượng kênh truyền thông.

Cơ chế Quyền ưu  tiên của dịch vụ có thể là chủ động hoặc bị động. Trong hệ thống Quyền ưu tiên của dịch vụ bị động, hệ thống sẽ lựa chọn nhiệm vụ có quyền ưu  tiên cao nhất khi phải lựa chọn giữa hai ứng dụng đang đợi phục vụ. Trong khi sử dụng các cơ chế Quyền ưu tiên của dịch vụ bị động, khi một nhiệm vụ có quyền ưu tiên thấp đang chạy, nó không thể bị ngắt bởi một nhiệm vụ có quyền ưu tiên cao. Khi sử dụng các cơ chế Quyền ưu tiên của dịch vụ chủ động, các nhiệm vụ có quyền ưu tiên thấp có thể bị ngắt bởi các nhiệm vụ mới có quyền ưu tiên cao.

Yêu cầu kiểm toán nói rằng tất cả các lý do từ chối nên được kiểm toán. Người phát triển được quyết định một thao tác không bị từ chối mà bị trì hoãn.

K.2.2. FRU_PRS.1 Ưu tiên dịch vụ có giới hạn

K.2.2.1. Chú thích cho ứng dụng người sử dụng

Thành phần này định nghĩa các quyền ưu tiên cho một chủ thể và các tài nguyên mà quyền ưu tiên này sẽ được sử dụng với. Nếu một chủ thể cố gắng thao tác trên một tài nguyên được kiểm soát bởi các yêu cầu Quyền ưu tiên của Dịch vụ, truy cập và/hoặc thời gian của truy cập sẽ phụ thuộc vào quyền ưu tiên của chủ thể, quyền ưu tiên của chủ thể đang hành động, và quyền ưu tiên của các chủ thể vẫn ở trong hàng đợi.

...

...

...

K.2.2.2.1. Chỉ định

Trong FRU_PRS.1.2, tác giả PP/ST nên xác định một danh sách các tài nguyên được kiểm soát mà TSF buộc thực hiện quyền ưu tiên của dịch vụ (ví dụ: các tài nguyên như các tiến trình, không gian đĩa, bộ nhớ, băng thông).

K.2.3. FRU_PRS.2 Quyền ưu tiên dịch vụ đầy đủ

K.2.3.1. Chú thích cho ứng dụng người sử dụng

Thành phần này định nghĩa các quyền ưu tiên cho một chủ thể. Tất cả các tài nguyên có thể chia sẻ trong TSC sẽ tùy thuộc vào cơ chế Quyền ưu tiên của Dịch vụ. Nếu một chủ thể có thực hiện trên một tài nguyên TSC chia sẻ được, truy cập và/hoặc thời gian truy cập sẽ phụ thuộc vào quyền ưu tiên của chủ thể, quyền ưu tiên của chủ thể đang hành động, và quyền ưu tiên của các chủ thể vẫn ở trong hàng đợi.

K.3. Cấp phát tài nguyên (FRU_RSA)

K.3.1. Chú thích cho ứng dụng người sử dụng

Các yêu cầu của họ này cho phép TSF kiểm soát việc sử dụng các tài nguyên trong phạm vi TSC bởi người sử dụng và các chủ thể mà việc từ chối dịch vụ không được phép sẽ không xảy ra do việc độc chiếm tài nguyên bởi người sử dụng hoặc chủ thể khác.

Các quy tắc cấp phát tài nguyên cho phép tạo ra hạn ngạch hoặc các cách làm khác để định nghĩa các giới hạn đối với số lượng của không gian tài nguyên hoặc thời gian có thể được cấp phát vì lợi ích của một người sử dụng hoặc một chủ thể xác định. Ví dụ, các quy tắc này có thể là:

...

...

...

Việc kiểm soát việc cấp phát / giải phóng của các đơn vị tài nguyên đã được Chỉ định trước nằm trong sự kiểm soát của TSF.

Nói chung, những chức năng này sẽ được thực thi thông qua việc sử dụng các thuộc tính được Chỉ định cho người sử dụng và các tài nguyên.

Mục đích của những thành phần này là để đảm bảo một mức độ công bằng cụ thể giữa các người sử dụng và các chủ thể (ví dụ: một người sử dụng đơn lẻ nào đó không nên cấp phát tất cả không gian sẵn có). Bởi vì việc cấp phát tài nguyên thường vượt quá thời gian tồn tại của một chủ thể (tức là tệp tin thường tồn tại lâu hơn các ứng dụng mà sinh ra nó), và nhiều bản cài đặt của các chủ thể bởi cùng một người sử dụng không nên tác động tiêu cực quá nhiều tới các người sử dụng khác, các thành phần cho phép các giới hạn cấp phát liên quan tới các người sử dụng. Trong một số tình huống các tài nguyên được cấp phát bởi một chủ thể (ví dụ bộ nhớ chính hoặc chu trình CPU). Trong những ví dụ đó, các thành phần cho phép việc cấp phát tài nguyên là dựa trên cấp bậc của chủ thể.

Họ này áp đặt các yêu cầu đối với việc cấp phát tài nguyên, không phải là bản thân việc sử dụng tài nguyên đó. Các yêu cầu kiểm toán do đó, như đã được nói tới, cũng áp dụng cho việc cấp phát tài nguyên, không áp dụng cho việc sử dụng tài nguyên đó.

K.3.2. FRU_RSA.1 Các chỉ tiêu tối đa

K.3.2.1. Chú thích cho ứng dụng người sử dụng

Thành phần này cung cấp các yêu cầu đối với cơ chế hạn ngạch mà chỉ áp dụng cho một tập hợp xác định các tài nguyên có thể chia sẻ trong TOE. Các yêu cầu này cho phép các hạn ngạch gắn với một người sử dụng nào đó có thể được Chỉ định cho các nhóm người sử dụng hoặc chủ thể cũng như áp dụng được đối với TOE.

K.3.2.2. Các hoạt động

K.3.2.2.1. Chỉ định

...

...

...

K.3.2.2.2. Phép chọn

Trong FRU_RSA.1.1, tác giả PP/ST nên lựa chọn xem liệu các hạn ngạch tối đa có áp dụng cho những người sử dụng đơn lẻ, cho một nhóm người sử dụng hoặc chủ thể đã được định nghĩa, hoặc bất kỳ kết hợp nào đó của các đối tượng này.

Trong FRU_RSA.1.1, tác giả PP/ST nên lựa chọn xem liệu các hạn ngạch tối đa có thể áp dụng cho bất kỳ thời gian nào (một cách đồng thời), hoặc trong một khoảng thời gian cụ thể.

K.3.3. FRU_RSA.2 Các chỉ tiêu tối đa và tối thiểu

K.3.3.1. Chú thích cho ứng dụng người sử dụng

Thành phần này cung cấp các yêu cầu đối với các cơ chế hạn ngạch áp dụng cho một tập hợp xác định các tài nguyên chia sẻ được trong TOE. Các yêu cầu này cho phép các hạn ngạch gắn với một người sử dụng nào đó có thể được Chỉ định cho các nhóm người sử dụng hoặc chủ thể cũng như áp dụng được đối với TOE.

K.3.3.2. Các hoạt động

K.3.3.2.1. Chỉ định

Trong FRU_FRS.2.1, tác giả PP/ST nên xác định các tài nguyên mà các giới hạn cấp phát tài nguyên tối đa và tối thiểu được yêu cầu (ví dụ các tiến trình, không gian đĩa, bộ nhớ, băng thông). Nếu tất cả các tài nguyên trong TSF cần được bao gồm, cụm từ "tất cả các tài nguyên TSF" có thể được xác định.

...

...

...

Trong FRU_RSA.2.1, tác giả PP/ST nên lựa chọn xem liệu các hạn ngạch tối đa có áp dụng cho những người sử dụng đơn lẻ, cho một nhóm đã được định nghĩa các người sử dụng hoặc các chủ thể hoặc bất kỳ kết hợp nào đó của những đối tượng này.

Trong FRU_RSA.2.1, tác giả PP/ST nên lựa chọn liệu các hạn ngạch tối đa có áp dụng cho thời gian bất kỳ (một cách đồng thời), hoặc trong một khoảng thời gian xác định.

K.3.3.2.3. Chỉ định

Trong FRU_RSA.2.2, tác giả PP/ST nên xác định các tài nguyên được kiểm soát mà các giới hạn cấp phát tối thiểu được thiết đặt (ví dụ các tiến trình, không gian đĩa, bộ nhớ băng thông). Nếu tất cả các tài nguyên trong TSF cần được bao gồm, cụm từ "tất cả các tài nguyên TSF" có thể được xác định.

K.3.3.2.4. Phép chọn

Trong FRU_RSA.2.2, tác giả PP/ST nên lựa chọn xem liệu các hạn ngạch tối thiểu có áp dụng cho những người sử dụng đơn lẻ, cho một nhóm đã được định nghĩa các người sử dụng hoặc các chủ thể hoặc bất kỳ kết hợp nào đó của những đối tượng này.

Trong FRU_RSA.2.2, tác giả PP/ST nên lựa chọn liệu các hạn ngạch tối thiểu có áp dụng cho thời gian bất kỳ (một cách đồng thời), hoặc trong một khoảng thời gian xác định.

PHỤ LỤC L

...

...

...

LỚP FTA: TRUY NHẬP TOE

Việc thiết lập phiên của người sử dụng bao gồm việc tạo ra một hoặc nhiều chủ thể thực hiện các thao tác trong TOE đại diện cho người sử dụng. Vào lúc kết thúc thủ tục thiết lập phiên, với các yêu cầu truy nhập TOE được thỏa mãn, các chủ thể được tạo ra mang các thuộc tính được xác định bởi các chức năng định danh và xác thực. Họ này xác định các yêu cầu chức năng đối với việc kiểm soát sự thiết lập một phiên của người sử dụng.

Một phiên của người sử dụng được định nghĩa là khoảng thời gian bắt đầu vào lúc định danh / xác thực, hoặc nếu phù hợp hơn, lúc bắt đầu của tương tác giữa người sử dụng và hệ thống, cho đến lúc tất cả các chủ thể (các tài nguyên và các thuộc tính) liên quan tới phiên đó được giải phóng.

Hình L.1 minh họa cấu trúc của lớp này thành các thành phần cấu thành của nó.

Hình L.1 - Phân cấp lớp FTA: Truy nhập TOE

L.1. Giới hạn trên phạm vi các thuộc tính có thể lựa chọn (FTA_LSA)

L.1.1. Chú thích cho người sử dụng

Họ này định nghĩa các yêu cầu sẽ giới hạn các thuộc tính an toàn phiên mà một người sử dụng có thể lựa chọn và các chủ thể mà một người sử dụng có thể được gắn với dựa vào: phương thức của truy cập nhập; vị trí hoặc cổng truy nhập; và/hoặc thời gian (ví dụ giờ-trong-ngày, ngày-trong-tuần).

...

...

...

a) Phương thức truy nhập có thể được sử dụng để xác định kiểu môi trường mà người sử dụng sẽ thao tác (ví dụ giao thức truyền tệp, đầu cuối, vtam).

b) Vị trí của truy nhập có thể được sử dụng để giới hạn miền của các thuộc tính lựa chọn được của người sử dụng dựa vào một vị trí của người sử dụng hoặc cổng truy nhập. Khả năng này là sử dụng cụ thể trong các môi trường sẵn có các phương tiện quay số hoặc các phương tiện mạng.

c) Thời điểm truy nhập có thể được sử dụng để giới hạn miền của các thuộc tính lựa chọn được của người sử dụng. Ví dụ, các khoảng có thể dựa vào giờ-trong-ngày, ngày-trong-tuần, hoặc các ngày cụ thể. Ràng buộc này cung cấp một số bảo vệ đối với các thao tác của người sử dụng mà có thể xảy ra vào một thời điểm mà việc giám sát phù hợp hoặc các biện pháp thủ tục phù hợp có thể không được sử dụng.

L.1.2. FTA_LSA.1 Giới hạn trên phạm vi các thuộc tính có thể lựa chọn

L.1.2.1. Các hoạt động

L.1.2.1.1. Chỉ định

Trong FTA_LSA.1.1, tác giả PP/ST nên xác định tập hợp các thuộc tính an ninh phiên được ràng buộc. Ví dụ của các thuộc tính an ninh phiên này là mức độ được phép của người sử dụng, mức độ toàn vẹn và các vai trò.

Trong FTA_LSA.1.1, tác giả PP/ST nên xác định tập hợp các thuộc tính có thể được sử dụng để xác định phạm vi của các thuộc tính an ninh phiên. Ví dụ của các thuộc tính như vậy là định danh người sử dụng, vị trí thao tác, thời điểm truy nhập và phương thức truy nhập.

L.2. Giới hạn về nhiều phiên diễn ra đồng thời (FTA_MCS)

...

...

...

Họ này định nghĩa số lượng phiên mà một người sử dụng có thể có đồng thời (các phiên đồng thời). Số lượng các phiên đồng thời này có thể hoặc là tập hợp của một nhóm người sử dụng hoặc đối với mỗi người sử dụng đơn lẻ.

L.2.2. FTA_MCS.1 Giới hạn cơ sở trên đa phiên đồng thời

L.2.2.1. Chú thích cho ứng dụng người sử dụng

Thành phần này cho phép hệ thống giới hạn số lượng phiên để sử dụng hiệu quả các tài nguyên của TOE.

L.2.2.2. Các hoạt động

L.2.2.2.1. Chỉ định

Trong FTA_MCS.1.2, tác giả PP/ST nên xác định một số lượng ngầm định các phiên đồng thời được sử dụng.

L.2.3. FTA_MCS.2 Giới hạn thuộc tính mỗi người dùng cho nhiều phiên đồng thời

L.2.3.1. Chú thích cho ứng dụng người sử dụng

...

...

...

L.2.3.2. Các hoạt động

L.2.3.2.1. Chỉ định

Trong FTA_MCS.2.1, tác giả PP/ST nên xác định các quy tắc xác định số lượng tối đa các phiên đồng thời. Một ví dụ về một quy tắc như vậy là "số lượng tối đa các phiên đồng thời là một nếu người sử dụng có một mức phân loại "bí mật" và bằng năm trong những trường hợp còn lại".

Trong FTA_MCS.2.2, tác giả PP/ST nên xác định số lượng tối đa ngầm định các phiên đồng thời được sử dụng.

lại người sử dụng, phải xảy ra.

L.3. Khóa và chấm dứt phiên (FTA_SSL)

L.3.1. Chú thích cho người sử dụng

Họ này định nghĩa các yêu cầu đối với TSF để cung cấp khả năng khóa và mở khóa người dùng đầu hoặc TSF đầu và hủy các phiên tương tác.

Khi một người sử dụng đang tương tác trực tiếp với các chủ thể trong TOE (phiên tương tác), thiết bị đầu cuối của người sử dụng là có thể bị tấn công nếu bị bỏ mặc. Họ này cung cấp các yêu cầu đối với TSF để cấm thao tác (khóa) thiết bị đầu cuối hoặc kết thúc phiên sau một khoảng thời gian xác định không thao tác, và đối với người sử dụng để kích hoạt việc cấm thao tác (khóa) thiết bị đầu cuối hoặc hủy phiên. Để kích hoạt lại thiết bị đầu cuối, một sự kiện được xác định bởi tác giả PP/ST, chẳng hạn như xác thực lại người dùng phải xảy ra.

...

...

...

Một tác giả PP/ST nên cân nhắc liệu có nên bao gồm FTP_TRP.1 Đường truyền được tin cậy. Trong trường hợp như vậy, chức năng "khóa phiên"  nên được bao gồm trong tháo tác tại FTP_TRP.1 Đường truyền được tin cậy.

L.3.2. FTA_SSL.1 Khóa phiên khởi tạo bởi TSF

L.3.2.1. Chú thích cho ứng dụng người sử dụng

FTA_SSL.1 khóa phiên được khởi phát bởi TSF cung cấp khả năng cho TSF để khóa một phiên người sử dụng đang thao tác sau một khoảng thời gian xác định. Việc khóa một thiết bị đầu cuối có thể ngăn ngừa bất kỳ tương tác nào thêm với một phiên đang thao tác thông qua việc sử dụng đầu cuối đã bị khóa.

Nếu các thiết bị hiển thị được ghi đè, nội dung thay thể không nhất thiết là tĩnh (tức là cho phép "các thao tác tiết kiệm màn hình").

Thành phần này cho phép tác giả PP/ST xác định sự kiện nào sẽ mở khóa cho phiên. Các sự kiện này có thể liên quan tới thiết bị đầu cuối (ví dụ tập hợp cố định các phím để mở khóa cho phiên), người sử dụng (ví dụ xác thực lại) hoặc thời gian.

L.3.2.2. Các hoạt động

L.3.2.2.1. Chỉ định

Trong FTA_SSL.1.1, tác giả PP/ST nên xác định khoảng thời gian không thao tác của người sử dụng từ đó kích hoạt việc khóa một phiên tương tác. Nếu điều này được mong đợi, tác giả PP/ST có thể, thông qua việc Chỉ định, xác định khoảng thời gian còn lại dành cho một nhà quản trị được cho phép hoặc người sử dụng đó. Các chức năng quản lý trong lớp FMT có thể xác định khả năng để thay đổi khoảng thời gian này, đưa chúng trở thành giá trị ngầm định.

...

...

...

L.3.3. FTA_SSL.2 Khóa tạo bởi người dùng

L.3.3.1. Chú thích cho ứng dụng người sử dụng

FTA_SSL.2 Việc mở khóa được khởi phát bởi người sử dụng cung cấp khả năng đối với một người sử dụng được cho phép để khóa và mở khóa phiên tương tác riêng của người đó. Điều đó cung cấp cho người sử dụng được cho phép khả năng để phong tỏa một cách hiệu quả việc sử dụng thêm các phiên đang thao tác mà không phải ngắt phiên đang thao tác.

Nếu các thiết bị hiển thị được ghi đè, nội dung thay thế không nhất thiết là tĩnh (tức là cho phép "các thao tác tiết kiệm màn hình").

L.3.3.2. Các hoạt động

L.3.3.2.1. Chỉ định

Trong FTA_SSL.2.2, tác giả PP/ST nên xác định các sự kiện nên xảy ra trước khi phiên được mở khóa. Các ví dụ về một sự kiện như vậy là: "xác thực lại người sử dụng" hoặc "người sử dụng nhập vào một chuỗi phím để mở khóa".

L.3.4. FTA_SSL.3 Kết thúc phiên khởi tạo bởi TSF

L.3.4.1. Chú thích cho ứng dụng người sử dụng

...

...

...

Tác giả PP/ST nên biết rằng một phiên có thể tiếp tục sau khi người sử dụng kết thúc thao tác của họ, ví dụ, việc xử lý chạy nền. Yêu cầu này có thể ngắt chủ thể chạy nền này sau một khoảng thời gian không thao tác của người sử dụng mà không quan tâm tới trạng thái của chủ thể.

L.3.4.2. Các hoạt động

L.3.4.2.1. Chỉ định

Trong FTA_SSL.3.1, tác giả PP/ST nên xác định khoảng thời gian không thao tác của người sử dụng mà sẽ khởi phát việc kết thúc một phiên không thao tác. Nếu điều này được mong đợi, tác giả PP/ST có thể, thông qua việc Chỉ định, xác định khoảng thời gian còn lại dành cho một nhà quản trị được cho phép hoặc người sử dụng đó. Các chức năng quản lý trong lớp FMT có thể xác định khả năng để thay đổi khoảng thời gian này, đưa chúng trở thành giá trị ngầm định.

L.3.5. FTA_SSL.4 Kết thúc phiên khởi tạo bởi người dùng

L.3.5.1. Chú thích cho ứng dụng người sử dụng

Việc hủy bỏ người dùng ban đầu FTA_SSL cho phép người dùng được cấp quyền hủy bỏ phiên tương tác của anh ta.

Tác giả PP/ST cần ý thức rằng một phiên có thể tiếp tục sau khi người dùng kết thúc hoạt động của anh ta, ví dụ, xử lý cơ sở. Yêu cầu này có thể cho phép người dùng hủy bỏ đối tượng cơ sở mà không cần quan tâm đến trạng thái của chủ thể.

L.4. Các biểu trưng truy nhập TOE (FTA_TAB)

...

...

...

Trước khi định danh và xác thực, các yêu cầu truy nhập TOE cung cấp khả năng cho TOE để hiển thị một thông điệp cảnh báo mang tính chất tư vấn người sử dụng tiềm năng nên gắn với việc sử dụng phù hợp của TOE.

L.4.2. FTA_TAB.1 Các biểu trưng truy nhập TOE mặc định

L.4.2.1. Chú thích cho ứng dụng người sử dụng

Thành phần này yêu cầu việc cảnh báo mang tính chất tư vấn liên quan tới việc sử dụng không được phép của TOE. Một tác giả PP/ST có thể sàng lọc yêu cầu để bao gồm một biểu ngữ ngầm định.

L.5. Lịch sử truy nhập TOE (FTA_TAH)

L.5.1. Chú thích cho người sử dụng

Họ này định nghĩa các yêu cầu đối với TSF để hiển thị cho người sử dụng, tiếp theo việc thiết lập thành công phiên làm việc đối với TOE, một lịch sử của các nỗ lực không thành công nhằm truy nhập tài khoản. Lịch sử này có thể bao gồm ngày, giờ, cách thức truy nhập, và công của truy nhập thành công cuối cùng vào TOE, cũng như số lượng các nỗ lực không thành công nhằm truy nhập vào TOE tính từ truy nhập thành công cuối cùng bởi một người sử dụng xác định.

L.5.2. FTA_TAH.1 Lịch sử truy nhập TOE

L.5.2.1. Chú thích cho ứng dụng người sử dụng

...

...

...

Thành phần này yêu cầu người sử dụng được cung cấp thông tin. Người sử dụng nên có thể xem lại thông tin, nhưng không bị buộc phải làm như vậy. Nếu một người sử dụng muốn như vậy thì họ có thể, ví dụ, tạo ra các đoạn mã lệnh để từ chối thông tin này và bắt đầu các tiến trình khác.

L.5.2.2. Các hoạt động

L.5.2.2.1. Phép chọn

Trong FTA_TAH.1.1, tác giả PP/ST nên lựa chọn các thuộc tính an ninh của việc thiết lập phiên thành công cuối cùng mà sẽ được hiển thị tại giao diện người sử dụng. Các mục là: ngày, giờ, phương thức truy nhập (chẳng hạn ftp), và/hoặc vị trí (ví dụ thiết bị đầu cuối 50).

Trong FTA_TAH.1.2, tác giả PP/ST nên lựa chọn các thuộc tính an ninh của việc thiết lập phiên thành công cuối cùng mà sẽ được hiển thị tại giao diện người sử dụng. Các mục là: ngày, giờ, phương thức truy nhập (chẳng hạn ftp), và/hoặc vị trí (ví dụ thiết bị đầu cuối 50).

L.6. Thiết lập phiên TOE (FTA_TSE)

L.6.1. Chú thích cho người sử dụng

Họ này định nghĩa các yêu cầu để từ chối chấp nhận một người sử dụng thiết lập một phiên với TOE dựa vào các thuộc tính chẳng hạn như vị trí hoặc cổng truy nhập, thuộc tính an ninh của người sử dụng (ví dụ định danh, mức độ được phép, mức độ toàn vẹn, tư cách thành viên của một vai trò), khoảng thời gian (ví dụ giờ-trong-ngày, ngày-trong-tuần, ngày theo lịch) hoặc kết hợp của các tham số trên.

Họ này cung cấp khả năng cho tác giả PP/ST để xác định các yêu cầu đối với TOE để đặt các ràng buộc lên khả năng của một người sử dụng được cho phép để thiết lập một phiên với TOE. Định danh của các ràng buộc liên quan có thể đạt được thông qua việc sử dụng thao tác lựa chọn. Các ví dụ của các thuộc tính có thể được sử dụng để xác định các ràng buộc thiết lập phiên là:

...

...

...

b) Các thuộc tính an ninh của người sử dụng có thể được sử dụng để đặt các ràng buộc lên khả năng của một người sử dụng để thiết lập một phiên thao tác với TOE. Ví dụ, những thuộc tính này có thể cung cấp khả năng từ chối việc thiết lập phiên dựa vào một trong số các thông tin sau:

Định danh của người sử dụng

Mức độ được phép của người sử dụng

Mức độ toàn vẹn của người sử dụng

Tư cách thành viên của một vai trò

Khả năng này là liên quan cụ thể tới các tình huống trong đó việc cho phép hoặc đăng nhập có thể xảy ra tại một vị trí khác so với nơi các kiểm tra truy nhập TOE được thực hiện.

c) Thời gian truy nhập có thể được sử dụng để ràng buộc khả năng của một người sử dụng để thiết lập một phiên thao tác với TOE dựa vào các khoảng thời gian. Ví dụ, các khoảng thời gian có thể dựa vào giờ-trong-ngày, ngày-trong-tuần hoặc các ngày theo lịch. Ràng buộc này cung cấp khả năng bảo vệ mang tính chất hành động lại các hành động có thể xảy ra tại một thời điểm mà việc giám sát thích hợp hoặc các biện pháp thủ tục thích hợp có thể không được thực hiện.

L.6.2. FTA_TSE.1 Thiết lập phiên TOE

L.6.2.1. Các hoạt động

...

...

...

Trong FTA_TSE.1.1, tác giả PP/ST nên xác định các thuộc tính có thể được sử dụng để hạn chế thiết lập phiên. Ví dụ về các thuộc tính có thể là định danh người sử dụng, vị trí ban đầu (ví dụ không cho phép thiết bị đầu cuối ở xa), thời gian truy nhập (ví dụ các giờ ở bên ngoài khoảng), hoặc thưởng thức truy nhập (ví dụ X-windows).

PHỤ LỤC M

(Quy định)

LỚP FTP: ĐƯỜNG DẪN/KÊNH TIN CẬY

Người sử dụng thường cần thực hiện các chức năng thông qua tương tác trực tiếp với TSF. Một đường truyền được tin cậy cung cấp sự tin tưởng rằng một người sử dụng đang truyền thông trực tiếp với TSF bất cứ khi nào nó được kích hoạt. Một phản hồi của người sử dụng thông qua một đường truyền được tin cậy đảm bảo rằng các ứng dụng không được tin cậy không thể chặn hoặc làm thay đổi phản hồi của người sử dụng. Tương tự như vậy, các kênh được tin cậy là một các tiếp cận đối với truyền thông an toàn giữa TSF và các sản phẩm IT được tin cậy khác.

Sự thiếu vắng của một đường truyền được tin cậy có thể cho phép các lỗ hổng kiểm soát hoặc kiểm soát truy nhập trong các môi trường mà các ứng dụng không được tin cậy được sử dụng. Những ứng dụng này có thể chặn thông tin riêng tư của người sử dụng, chẳng hạn như mật khẩu, và sử dụng nó để đóng giả những người sử dụng khác. Kết quả là, trách nhiệm đối với bất kỳ hành động hệ thống nào không thể được Chỉ định một cách đáng tin cậy cho một thực thể kiểm soát được. Cũng như vậy, những ứng dụng này có thể đưa ra thông tin sai trên màn hiển thị của người sử dụng không hề nghi ngờ, kết quả là các hành động tiếp theo của người sử dụng có thể bị sai và dẫn đến lỗ hổng an ninh.

Hình M.1 biểu diễn phân tách của lớp này gồm các thành phần cấu thành nó.

...

...

...

M.1. Kênh tin cậy liên-TSF (FTP_ITC)

M.1.1. Chú thích cho người sử dụng

Họ này định nghĩa các quy tắc dành cho việc tạo ra một kết nối kênh truyền được tin cậy chạy giữa TSF và một sản phẩm IT được tin cậy khác để đảm bảo hiệu năng của các thao tác an ninh then chốt giữa các sản phẩm. Một ví dụ của một thao tác an ninh then chốt như vậy là việc cập nhật cơ sở dữ liệu xác thực TSF bởi việc chuyển giao dữ liệu từ một sản phẩm được tin cậy mà chức năng của nó là thu thập dữ liệu kiểm toán.

M.1.2. FTP_ITC.1 Kênh tin cậy liên TSF

M.1.2.1. Chú thích cho ứng dụng người sử dụng

Thành phần này nên được sử dụng khi yêu cầu một kênh truyền thông được tin cậy giữa TSF và một sản phẩm IT được tin cậy khác.

M.1.2.2. Các hoạt động

M.1.2.2.1. Phép chọn

Trong FTP_ITC.1.2, tác giả PP/ST phải xác định xem liệu TSF cục bộ hay sản phẩm IT được tin cậy ở xa hay cả hai sẽ có khả năng khởi phát kênh truyền được tin cậy.

...

...

...

Trong FTP_ITC.1.3, tác giả PP/ST nên xác định các chức năng yêu cầu một kênh truyền được tin cậy. Các ví dụ về các chức năng này có thể bao gồm việc chuyển giao người sử dụng, chủ thể và/hoặc các thuộc tính an ninh đối tượng và đảm bảo tính nhất quán của dữ liệu TSF.

M.2. Đường dẫn tin cậy (FTP_TRP)

M.2.1. Chú thích cho ứng dụng người sử dụng

Họ này định nghĩa các yêu cầu để thiết lập và duy trì việc truyền thông được tin cậy đến và đi khỏi người sử dụng và TSF. Một đường truyền được tin cậy có thể được yêu cầu đối với bất kỳ tương tác liên quan tới an ninh nào. Việc tráo đối đường truyền được tin cậy có thể được khởi phát bởi một người sử dụng trong suốt thời gian tương tác với TSF, hoặc TSF có thể thiết lập truyền thông với người sử dụng thông qua một đường truyền được tin cậy.

M.2.2. FTP_TRP.1 Đường dẫn tin cậy

M.2.2.1. Chú thích cho ứng dụng người sử dụng

Thành phần này nên được sử dụng khi việc truyền thông được tin cậy giữa một người sử dụng và TSF được yêu cầu, hoặc là chỉ dành cho các mục đích xác thực ban đầu hoặc là dành cho các thao tác bổ sung của người sử dụng xác định.

M.2.2.2. Các hoạt động

M.2.2.2.1. Phép chọn

...

...

...

Trong FTP_TRP.1.1, tác giả PP/ST nên xác định sẽ bảo vệ dữ liệu không bị sửa đổi, để lộ và/hoặc các kiểu vi phạm tính toàn vẹn và tin cậy khác.

M.2.2.2.2. Chỉ định

Trong FTP_TRP.1.1, nếu được lựa chọn, tác giả PP/ST nên xác định bất cứ kiểu bổ sung vi phạm tính toàn vẹn và tin cậy nào trước việc đường dẫn tin cậy sẽ bảo vệ dữ liệu.

M.2.2.2.3. Phép chọn

Trong FTP_TRP.1.2, tác giả PP/ST nên chỉ rõ TSF, người dùng nội bộ, và hoặc người dùng từ xa có thể bắt đầu đường dẫn thế nào.

Trong FTP_TRP.1.3, tác giả PP/ST nên chỉ rõ đường dẫn tin cậy sẽ được sử dụng cho xác thực người dùng đầu tiên và/hoặc cho các dịch vụ cụ thể khác.

M.2.2.2.4. Chỉ định

Trong FTP_TRP.1.3, nếu được lựa chọn, tác giả PP/ST nên xác định các dịch vụ khác mà nếu cần sẽ yêu cầu đường dẫn tin cậy cho các dịch vụ này.

...

...

...

Lời nói đầu

Lời giới thiệu

1. Phạm vi áp dụng

2. Tài liệu viện dẫn

3. Thuật ngữ, định nghĩa, ký hiệu và các từ viết tắt

4. Tổng quan

4.1. Bố cục của tiêu chuẩn

5. Mô hình các yêu cầu chức năng

6. Các thành phần chức năng an toàn

...

...

...

6.1.1. Cấu trúc lớp

6.1.2. Cấu trúc họ

6.1.3. Cấu trúc thành phần

6.2. Danh mục thành phần

6.2.1. Nhấn mạnh các thay đổi thành phần

7. Lớp FAU: Kiểm toán an toàn

7.1. Phản hồi tự động kiểm toán an toàn (FAU_ARP)

7.1.1. Hành xử của họ

7.1.2. Phân mức thành phần

...

...

...

7.1.4. Kiểm toán FAU_ARP.1

7.1.5. Cảnh báo an toàn FAU_ARP.1

7.2. Tạo các dữ liệu kiểm toán an toàn (FAU_GEN)

7.2.1. Hành xử của họ

7.2.2. Phân mức thành phần

7.2.3. Quản lý của FAU_GEN.1, FAU_GEN.2

7.2.4. Kiểm toán của FAU_GEN1, FAU_GEN2

7.2.5. Tạo dữ liệu kiểm toán FAU_GEN.1

7.2.6. FAU_GEN.2 Kết hợp định danh người dùng

...

...

...

7.3.1. Hành xử của họ

7.3.2. Phân mức thành phần

7.3.3. Quản lý của FAU_SAA.1

7.3.4. Quản lý của FAU_SAA.2

7.3.5. Quản lý của FAU_SAA.3

7.3.6. Quản lý của FAU_SAA.4

7.3.7. Kiểm toán của FAU_SAA.1, FAU_SAA.2, FAU_SAA.3, FAU_SAA.4.

7.3.8. FAU_SAA.1 Phân tích khả năng phá hoại

7.3.9. FAU_SAA.2 Phát hiện bất thường dựa trên mô tả tóm tắt

...

...

...

7.3.11. AU_SAA.4 Thử nghiệm tấn công phức tạp

7.4. Soát xét kiểm toán an toàn (FAU_SAR)

7.4.1. Hành xử của họ

7.4.2. Phân mức thành phần

7.4.3. Quản lý của FAU_SAR.1

7.4.4. Quản lý của FAU_SAR.2, FAU_SAR.3

7.4.5. Kiểm toán của FAU_SAR.1

7.4.6. Kiểm toán của FAU_SAR.2

7.4.7. Kiểm toán của FAU_SAR.3

...

...

...

7.4.9. FAU_SAR.2 Soát xét kiểm toán có hạn chế

7.4.10. FAU_SAR.3 Soát xét kiểm toán có chọn lựa

7.5. Lựa chọn sự kiện kiểm toán an toàn (FAU_SEL)

7.5.1. Hành xử của họ

7.5.2. Phân mức thành phần

7.5.3. Quản lý của FAU_SEL.1

7.5.4. Kiểm toán của FAU_SEL.1

7.5.5. FAU_SEL.1 kiểm toán lựa chọn

7.6. Lưu trữ sự kiện kiểm toán an toàn (FAU_STG)

...

...

...

7.6.2. Phân mức thành phần

7.6.3. Quản lý của FAU_STG.1

7.6.4. Quản lý của FAU_STG.2

7.6.5. Quản lý của FAU_STG.3

7.6.6. Quản lý của FAU_STG.4

7.6.7. Kiểm toán của FAU_STG.1, FAU_STG.2

7.6.8. Kiểm toán của FAU_STG.3

7.6.9. Kiểm toán của FAU_STG.4

7.6.10. FAU_STG.1 Lưu trữ vết kiểm toán có bảo vệ

...

...

...

7.6.12. FAU_STG.3 Hành động trong trường hợp dữ liệu kiểm toán có thể bị mất

7.6.13. FAU_STG.4 Ngăn chặn mất dữ liệu kiểm toán

8. Lớp FCO: Truyền thông

8.1. Không chối bỏ nguồn gốc (FCO_NRO)

8.1.1. Hành xử của họ

8.1.2. Phân mức thành phần

8.1.3. Quản lý của FCO_NRO.1, FCO_NRO.2

8.1.4. Kiểm toán của FCO_NRO.1

8.1.5. Kiểm toán của FCO_NRO.2

...

...

...

8.1.7. FCO_NRO.2 Thực thi kiểm chứng nguồn gốc

8.2. Không thể từ chối của bên nhận (FCO_NRR)

8.2.1. Hành xử của họ

8.2.2. Phân mức thành phần

8.2.3. Quản lý của FCO_NRR.1, FCO_NRR.2

8.2.4. Kiểm toán của FCO_NRR.1

8.2.5. Kiểm toán của FCO_NRR.2

8.2.6. FCO_NRR.1 Lựa chọn kiểm chứng bên nhận

8.2.7. FCO_NRR.2 Thực thi kiểm chứng bên nhận

...

...

...

9.1. Quản lý khóa mật mã (FCS_CKM)

9.1.1. Hành xử của họ

9.1.2. Phân mức thành phần

9.1.3. Quản lý của FCS_CKM.1, FCS_CKM.2, FCS_CKM.3, FCS_CKM.4

9.1.4. Kiểm toán của FCS_CKM FCS_CKM.1, FCS_CKM.2, FCS_CKM.3, FCS_CKM.4

9.1.5. FCS_CKM.1 Tạo khóa mật mã

9.1.6. FCS_CKM.2 Phân phối khóa mật mã

9.1.7. FCS_CKM.3 Truy nhập khóa mật mã

9.1.8. FCS_CKM.4 Hủy bỏ khóa mật mã

...

...

...

9.2.1. Hành xử của họ

9.2.2. Phân mức thành phần

9.2.3. Quản lý của FCS_COP.1

9.2.4. Kiểm toán của FCS_COP.1

9.2.5. FCS_COP.1 Hoạt động mật mã

10. Lớp FDP: Bảo vệ dữ liệu người dùng

10.1. Chính sách kiểm soát truy cập (FDP_ACC)

10.1.1. Hành xử của họ

10.1.2. Phân mức thành phần

...

...

...

10.1.4. Kiểm toán của FDP_ACC.1, FDP_ACC.2

10.1.5. FDP_ACC.1 Kiểm soát truy nhập tập con

10.1.6. FDP_ACC.2 Kiểm soát truy nhập toàn bộ

10.2. Các chức năng kiểm soát truy nhập (FDP_ACF)

10.2.1. Hành xử của họ

10.2.2. Phân mức thành phần

10.2.3. Quản lý của FDP_ACF.1

10.2.4. Kiểm toán của FDP_ACF.1

10.2.5. FDP_ACF.1 Kiểm soát truy nhập dựa trên thuộc tính an toàn

...

...

...

10.3.1. Hành xử của họ

10.3.2. Phân mức thành phần

10.3.3. Quản lý của FDP_DAU.1, FDP_DAU.2

10.3.4. Kiểm toán của FDP_DAU.1

10.3.5. Kiểm toán của FDP_DAU.2

10.3.6. FDP_DAU.1 Xác thực dữ liệu cơ sở

10.3.7. FDP_DAU.2 Xác thực dữ liệu với định danh người đảm bảo

10.4 . Xuất dữ liệu từ TOE (FDP_ETC)

10.4.1. Hành xử của họ

...

...

...

10.4.3. Quản lý của FDP_ETC.1

10.4.4. Quản lý của FDP_ETC.2

10.4.5. Kiểm toán của FDP_ETC.1, FDP_ETC.2

10.4.6. FDP_ETC.1 Xuất dữ liệu người dùng không có các thuộc tính an toàn

10.4.7. FDP_ETC.2 Xuất dữ liệu người dùng với các thuộc tính an toàn

10.5 . Chính sách kiểm soát luồng thông tin (FDP_IFC)

10.5.1. Hành xử của họ

10.5.2. Phân mức thành phần

10.5.3. Quản lý của FDP_IFC.1, FDP_IFC.2

...

...

...

10.5.5. FDP_IFC.1 Kiểm soát luồng thông tin tập con

10.5.6. FDP_IFC Kiểm soát luồng thông tin đầy đủ

10.6. Các chức năng kiểm soát luồng thông tin (FDP_IFF)

10.6.1. Hành xử của họ

10.6.2. Phân mức thành phần

10.6.3. Quản lý của FDP_IFF.1, FDP_IFF.2

10.6.4. Quản lý của FDP_IFF.3, FDP_IFF.4, FDP_IFF.5

10.6.5. Quản lý của FDP_IFF.6

10.6.6. Kiểm toán của FDP_IFF.1, FDP_IFF.2, FDP_IFF.5

...

...

...

10.6.8. FDP_IFF.1 Các thuộc tính an toàn đơn giản

10.6.9. FDP_IFF.2 Các thuộc tính an toàn phân cấp

10.6.10. FDP_IFF.3 Giới hạn các luồng thông tin bất hợp pháp

10.6.11. FDP_IFF.4 Loại trừ từng phần các luồng thông tin bất hợp pháp

10.6.12. FDP_IFF.5 Không có các luồng thông tin bất hợp pháp

10.6.13. FDP_IFF.6 Giám sát luồng thông tin bất hợp pháp

10.7. Nhập dữ liệu từ bên ngoài TOE (FDP_ITC)

10.7.1. Hành xử của họ

10.7.2. Phân mức thành phần

...

...

...

10.7.4. Kiểm toán của FDP_ITC.1, FDP_ITC.2

10.7.5. FDP_ITC.1 Nhập dữ liệu người dùng không có các thuộc tính an toàn

10.7.6. FDP_ITC.2 Nhập dữ liệu người dùng với các thuộc tính an toàn

10.8 . Vận chuyển nội bộ TOE (FDP_ITT)

10.8.1. Hành xử của họ

10.8.2. Phân mức thành phần

10.8.3. Quản lý của FDP_ITT.1, FDP_ITT.2

10.8.4. Quản lý của FDP_ITT.3, FDP_ITT.4

10.8.5. Kiểm toán của FDP_ITT.1, FDP_ITT.2

...

...

...

10.8.7. FDP_ITT.1 Bảo vệ vận chuyển nội bộ cơ sở

10.8.8. FDP_ITT.2 Phân tách truyền tải bởi các thuộc tính

10.8.9. FDP_ITT.3 Giám sát toàn vẹn

10.8.10. FDP_ITT.4 Giám sát toàn vẹn dựa trên thuộc tính

10.9. Bảo vệ thông tin dư thừa (FDP_RIP)

10.9.1. Hành xử của họ

10.9.2. Phân mức thành phần

10.9.3. Quản lý của FDP_RIP.1, FDP_RIP.2

10.9.4. Kiểm toán của FDP_RIP.1, FDP_RIP.2

...

...

...

10.9.6. FDP_RIP.2 Bảo vệ thông tin dư thừa đầy đủ

10.10. Khôi phục (FDP_ROL)

10.10.1. Hành xử của họ

10.10.2. Phân mức thành phần

10.10.3. Quản lý của FDP_ROL.1, FDP_ROL.2

10.10.4. Kiểm toán của FDP_ROL.1, FDP_ROL.2

10.10.5. FDP_ROL.1 Khôi phục cơ bản

10.10.6. FDP_ROL.2 Khôi phục cải tiến

10.11. Toàn vẹn dữ liệu lưu trữ (FDP_SDI)

...

...

...

10.11.2. Phân mức thành phần

10.11.3. Quản lý của FDP_SDI.1

10.11.4. Quản lý của FDP_SDI.2

10.11.5. Kiểm toán của FDP_SDI.1

10.11.6. Kiểm toán của FDP_SDI.2

10.11.7. FDP_SDI.1 Giám sát toàn vẹn dữ liệu lưu trữ

10.11.8. FDP_SDI.2 Giám sát toàn vẹn dữ liệu lưu trữ và hành động

10.12. Bảo vệ vận chuyển bí mật dữ liệu người dùng liên-TSF (FDP_UCT)

10.12.1. Hành xử của họ

...

...

...

10.12.3. Quản lý của FDP_UCT.1

10.12.4. Kiểm toán của FDP_UCT.1

10.12.5. FDP_UCT.1 Bí mật trao đổi dữ liệu cơ bản

10.13. Bảo vệ vận chuyển toàn vẹn dữ liệu người dùng liên-TSF (FDP_UIT)

10.13.1. Hành xử của họ

10.13.2. Phân mức thành phần

10.13.3. Quản lý của FDP_UIT.1, FDP_UIT.2, FDP_UIT.3

10.13.4. Kiểm toán của FDP_UIT.1

10.13.5. Kiểm toán của FDP_UIT.2, FDP_UIT.3

...

...

...

10.13.7. FDP_UIT.2 Khôi phục trao đổi dữ liệu gốc

10.13.8. FDP_UIT.3 Khôi phục trao đổi dữ liệu đích

11. Lớp FIA: Định danh và xác thực

11.1. Các lỗi xác thực (FIA_AFL)

11.1.1. Hành xử của họ

11.1.2. Phân mức thành phần

11.1.3. Quản lý của FIA_AFL.1

11.1.4. Kiểm toán của FIA_AFL.1

11.1.5. Xử lỗi xác thực FIA_AFL.1

...

...

...

11.2.1. Hành xử của họ

11.2.2. Phân mức thành phần

11.2.3. Quản lý của FIA_ATD.1

11.2.4. Kiểm toán của FIA_ATD.1

11.2.5. FIA_ATD.1 Định nghĩa thuộc tính người dùng

11.3. Đặc tả các của các bí mật (FIA_SOS)

11.3.1. Hành xử của họ

11.3.2. Phân mức thành phần

11.3.3. Quản lý của FIA_SOS.1

...

...

...

11.3.5. Kiểm toán của FIA_SOS.1, FIA_SOS.2

11.3.6. FIA_SOS.1 Thẩm tra của các bí mật

11.3.7. FIA_SOS.2 Tạo các bí mật TSF

11.4 . Xác thực người dùng (FIA_UAU)

11.4.1. Hành xử của họ

11.4.2. Phân mức thành phần

11.4.3. Quản lý của FIA_UAU.1

11.4.4. Quản lý của FIA_UAU.2

11.4.5. Quản lý của FIA_UAU.3, FIA_UAU.4, FIA_UAU.7

...

...

...

11.4.7. Quản lý của FIA_UAU.6

11.4.8. Kiểm toán của FIA_UAU.1

11.4.9. Kiểm toán của FIA_UAU.2

11.4.10. Kiểm toán của FIA_UAU.3

11.4.11. Kiểm toán của FIA_UAU.4

11.4.12. Kiểm toán của FIA_UAU.5

11.4.13. Kiểm toán của FIA_UAU.6

11.4.14. Kiểm toán của FIA_UAU.7

11.4.15. FIA_UAU.1 Định thời cho xác thực

...

...

...

11.4.17. FIA_UAU.3 Xác thực không thể giả mạo

11.4.18. FIA_UAU.4 Các cơ chế xác thực đơn

11.4.19. FIA_UAU.5 Cơ chế đa xác thực

11.4.20. FIA_UAU.6 Xác thực lại

11.4.21. FIA_UAU.7 Phản hồi xác thực có bảo vệ

11.5 . Định danh người dùng (FIA_UID)

11.5.1. Hành xử của họ

11.5.2. Phân mức thành phần

11.5.3. Quản lý của FIA_UID.1

...

...

...

11.5.5. Kiểm toán của FIA_UID.1, FIA_UID.2

11.5.6. FIA_UID.1 Định thời cho định danh

11.5.7. FIA_UID.2 Định danh người dùng trước khi hành động

11.6 . Liên kết chủ đề - người dùng (FIA_USB)

11.6.1. Hành xử của họ

11.6.2. Phân mức thành phần

11.6.3. Quản lý của FIA_USB.1

11.6.4. Kiểm toán của FIA_USB.1

11.6.5. FIA_USB.1 Liên kết chủ thể - người dùng

...

...

...

12.1. Quản lý các chức năng trong TSF (FMT_MOF)

12.1.1. Hành xử của họ

12.1.2. Phân mức thành phần

12.1.3. Quản lý của FMT_MOF.1

12.1.4. Kiểm toán của FMT_MOF.1

12.1.5. FMT_MOF.1 Các cơ chế hoạt động của quản lý chức năng an toàn

12.2. Quản lý các thuộc tính an toàn (FMT_MSA)

12.2.1. Hành xử của họ

12.2.2. Phân mức thành phần

...

...

...

12.2.4. Quản lý của FMT_MSA.2

12.2.5. Quản lý của FMT_MSA.3

12.2.6. Quản lý của FMT_MSA.4

12.2.7. Kiểm toán của FMT_MSA.1

12.2.8. Kiểm toán của FMT_MSA.2

12.2.9. Kiểm toán của FMT_MSA.3

12.2.10. Kiểm toán của FMT_MSA.4

12.2.11. FMT_MSA.1 Quản lý các thuộc tính an toàn

12.2.12. FMT_MSA.2 Các thuộc tính an toàn

...

...

...

12.2.14. FMT_MSA.4 88

12.3 . Quản lý dữ liệu TSF (FMT_MTD)

12.3.1. Hành xử của họ

12.3.2. Phân mức thành phần

12.3.3. Quản lý của FMT_MTD.1

12.3.4. Quản lý của FMT_MTD.2

12.3.5. Quản lý của FMT_MTD.3

12.3.6. Kiểm toán của FMT_MTD.1

12.3.7. Kiểm toán của FMT_MTD.2

...

...

...

12.3.9. FMT_MTD.1 Quản lý dữ liệu TSF

12.3.10. FMT_MTD.2 Quản lý các hạn chế trên dữ liệu TSF

12.3.11. FMT_MTD.3 Dữ liệu TSF an toàn

12.4 . Hủy bỏ (FMT_REV)

12.4.1. Hành xử của họ

12.4.2. Phân mức thành phần

12.4.3. Quản lý của FMT_REV.1

12.4.4. Kiểm toán của FMT_REV.1

12.4.5. FMT_REV.1 Hủy bỏ

...

...

...

12.5.1. Hành xử của họ

12.5.2. Phân mức thành phần

12.5.3. Quản lý của FMT_SAE.1

12.5.4. Kiểm toán của FMT_SAE.1

12.5.5. FMT_SAE.1 Cấp phép hạn chế thời gian

12.6 . Đặc tả các chức năng quản lý (FMT_SMF)

12.6.1. Hành xử của họ

12.6.2. Phân mức thành phần

12.6.3. Quản lý của FMT_SMF.1

...

...

...

12.6.5. FMT_SMF.1 Định rõ các chức năng quản lý

12.7 . Các quy tắc quản lý an toàn (FMT_SMR)

12.7.1. Hành xử của họ

12.7.2. Phân mức thành phần

12.7.3. Quản lý của FMT_SMR.1

12.7.4. Quản lý của FMT_SMR.2

12.7.5. Quản lý của FMT_SMR.3

12.7.6. Kiểm toán của FMT_SMR.1

12.7.7. Kiểm toán của FMT_SMR.2

...

...

...

12.7.9. FMT_SMR.1 Các quy tắc an toàn

12.7.10. FMT_SMR.2 Hạn chế về các vai trò an toàn

12.7.11. FMT_SMR.3 Chỉ định các vai trò

13. Lớp FPR: Riêng tư

13.1. Nặc danh (FPR_ANO)

13.1.1. Hành xử của họ

13.1.2. Phân mức thành phần

13.1.3. Quản lý của FPR_ANO.1, FPR_ANO.2

13.1.4. Kiểm toán của FPR_ANO.1, FPR_ANO.2

...

...

...

13.1.6. FPR_ANO.2 Nặc danh không có thông tin níu kéo

13.2 . Biệt danh (FPR_PSE)

13.2.1. Hành xử của họ

13.2.2. Phân mức thành phần

13.2.3. Quản lý của FPR_PSE.1, FPR_PSE.2, FPR_PSE.3

13.2.4. Kiểm toán của FPR_PSE.1, FPR_PSE.2, FPR_PSE.3

13.2.5. FPR_PSE.1 Biệt danh

13.2.6. FPR_PSE.2 Biệt danh nghịch đảo

13.2.7. FPR_PSE.3 Biệt danh bí danh

...

...

...

13.3.1. Hành xử của họ

13.3.2. Phân mức thành phần

13.3.3. Quản lý của FPR_UNL.1

13.3.4. Kiểm toán của FPR_UNL.1

13.3.5. FPR_UNL1.1 Tính không thể liên kết

13.4. Tính không thể quan sát (FPR_UNO)

13.4.1. Hành xử của họ

13.4.2. Phân mức thành phần

13.4.3. Quản lý của FPR_UNO.1, FPR_UNO.2

...

...

...

13.4.5. Quản lý của FPR_UNO.4

13.4.6. Kiểm toán của FPR_UNO.1, FPR_UNO.2

13.4.7. Kiểm toán của FPR_UNO.3

13.4.8. Kiểm toán của FPR_UNO.4

13.4.9. FPR_UNO.1 Tính không thể quan sát

13.4.10. FPR_UNO.2 Tính không thể quan sát ảnh hưởng đến cấp phát thông tin

13.4.11. FPR_UNO.3 Tính không thể quan sát không có thông tin níu kéo

13.4.12. FPR_UNO.4 Tính quan sát được người dùng có thẩm quyền

14. Lớp FPT: bảo vệ TSF

...

...

...

14.1.1. Hành xử của họ

14.1.2. Phân mức thành phần

14.1.3. Quản lý của FPT_FLS.1

14.1.4. Kiểm toán của FPT_FLS.1

14.1.5. FPT_FLS.1 Lỗi với bảo toàn trạng thái an toàn

14.2. Tính sẵn sàng xuất dữ liệu TSF (FPT_ITA)

14.2.1. Hành xử của họ

14.2.2. Phân mức thành phần

14.2.3. Quản lý của FPT_ITA.1

...

...

...

14.2.5. FPT_ITA.1 Tính sẵn sàng liên TSF trong hệ tính sẵn sàng được định nghĩa

14.3 . Tính bí mật của dữ liệu TSF xuất ra (FPT_ITC)

14.3.1. Hành xử của họ

14.3.2. Phân mức thành phần

14.3.3. Quản lý của FPT_ITC.1

14.3.4. Kiểm toán của FPT_ITC.1

14.3.5. FPT_ITC.1 Độ tin cậy liên TSF trong quá trình truyền tải

14.4 . Tính toàn vẹn của dữ liệu TSF xuất ra (FPT_ITI)

14.4.1. Hành xử của họ

...

...

...

14.4.3. Quản lý của FPT_ITI.1

14.4.4. Quản lý của FPT_ITI.2

14.4.5. Kiểm toán của FPT_ITI.1

14.4.6. Kiểm toán của FPT_ITI.2

14.4.7. FPT_ITI.1 Phát hiện sự thay đổi liên-TSF

14.4.8. FPT_ITI.2 Phát hiện và chỉnh sửa thay đổi liên-TSF

14.5 . Vận chuyển dữ liệu nội bộ TOE TSF (FPT_ITT)

14.5.1. Hành xử của họ

14.5.2. Phân mức thành phần

...

...

...

14.5.4. Quản lý của FPT_ITT.2

14.5.5. Quản lý của FPT_ITT.3

14.5.6. Kiểm toán của FPT_ITT.1, FPT_ITT.2

14.5.7. Kiểm toán của FPT_ITT.3

14.5.8. FPT_ITT.1 Bảo vệ vận chuyển dữ liệu nội bộ TSF cơ bản

14.5.9. FPT_ITT.2 Phân chia vận chuyển dữ liệu TSF

14.5.10. FPT_ITT.3 Giám sát tính toàn vẹn dữ liệu TSF

14.6 . Bảo vệ vật lý TSF (FPT_PHP)

14.6.1. Hành xử của họ

...

...

...

14.6.3. Quản lý của FPT_PHP.1

14.6.4. Quản lý của FPT_PHP.2

14.6.5. Quản lý của FPT_PHP.3

14.6.6. Kiểm toán của FPT_PHP.1

14.6.7. Kiểm toán của FPT_PHP.2

14.6.8. Kiểm toán của FPT_PHP.3

14.6.9. FPT_PHP.1 Phát hiện thụ động tấn công vật lý

14.6.10. FPT_PHP.2 Thông báo tấn công vật lý

14.6.11. FPT_PHP.3 Chống tấn công vật lý

...

...

...

14.7.1. Hành xử của họ

14.7.2. Phân mức thành phần

14.7.3. Quản lý của FPT_RCV.1

14.7.4. Quản lý của FPT_RCV.2, FPT_RCV.3

14.7.5. Quản lý của FPT_RCV.4

14.7.6. Kiểm toán của FPT_RCV.1, FPT_RCV.2, FPT_RCV.3

14.7.7. Kiểm toán của FPT_RCV.4

14.7.8. FPT_RCV.1 Khôi phục thủ công

14.7.9. FPT_RCV.2 Khôi phục tự động

...

...

...

14.7.11. FPT_RCV.4 Khôi phục chức năng

14.8 . Phát hiện chạy lại (FPT_RPL)

14.8.1. Hành xử của họ

14.8.2. Phân mức thành phần

14.8.3. Quản lý của FPT_RPL.1

14.8.4. Kiểm toán của FPT_RPL.1

14.8.5. FPT_RPL.1 Phát hiện chạy lại

14.9 . Giao thức đồng bộ trạng thái (FPT_SSP)

14.9.1. Hành xử của họ

...

...

...

14.9.3. Quản lý của FPT_SSP.1, FPT_SSP.2

14.9.4. Kiểm toán của FPT_SSP.1, FPT_SSP.2

14.9.5. FPT_SSP.1 Xác nhận tin cậy một chiều (đơn)

14.9.6. FPT_SSP.2 Xác nhận tin cậy hai chiều

14.10. Nhãn thời gian (FPT_STM)

14.10.1. Hành xử của họ

14.10.2. Phân mức thành phần

14.10.3. Quản lý của FPT_STM.1

14.10.4 Kiểm toán của FPT_STM.1

...

...

...

14.11. Tính nhất quán dữ liệu liên-TSF (FPT_TDC)

14.11.1. Hành xử của họ

14.11.2. Phân mức thành phần

14.11.3. Quản lý của FPT_TDC.1

14.11.4. Kiểm toán của FPT_TDC.1

14.11.5. FPT_TDC.1 Tính nhất quán dữ liệu TSF cơ bản liên-TSF

14.12. Kiểm thử các thực thể bên ngoài (FPT_TEE)

14.12.1. Hành xử của họ

14.12.2. Phân mức thành phần

...

...

...

14.12.4. Kiểm toán của FPT_TEE.1

14.12.5. FPT_TEE.1 Kiểm thử các thực thể bên ngoài

14.13. Tính nhất quán bản sao dữ liệu bên trong TOE TSF (FPT_TRC)

14.13.1. Hành xử của họ

14.13.2. Phân mức thành phần

14.13.3. Quản lý của FPT_TRC.1

14.13.4. Kiểm toán của FPT_TRC.1

14.13.5. FPT_TRC.1 Tính nhất quán bên trong TSF

14.14. Tự kiểm tra TSF (FPT_TST)

...

...

...

14.14.2. Phân mức thành phần

14.14.3. Quản lý của FPT_TST.1

14.14.4. Kiểm toán của FPT_TST.1

14.14.5. FPT_TST.1 Kiểm tra TSF

15. Lớp FRU: Sử dụng tài nguyên

15.1. Khả năng chịu lỗi (FRU_FLT)

15.1.1. Hành xử của họ

15.1.2. Phân mức thành phần

15.1.3. Quản lý của FRU_FLT.1, FRU_FLT.2

...

...

...

15.1.5. Kiểm toán của FRU_FLT.2

15.1.6. FRU_FLT.1 Khả năng chịu lỗi suy giảm

15.1.7. FRU_FLT.2 Khả năng chịu lỗi giới hạn

15.2. Ưu tiên dịch vụ (FRU_PRS)

15.2.1. Hành xử của họ

15.2.2. Phân mức thành phần

15.2.3. Quản lý của FRU_PRS.1, FRU_PRS.2

15.2.4. Kiểm toán của FRU_PRS.1, FRU_PRS.2

15.2.5. FRU_PRS.1 Ưu tiên dịch vụ có giới hạn

...

...

...

15.3. Cấp phát tài nguyên (FRU_RSA)

15.3.1. Hành xử của họ

15.3.2. Phân mức thành phần

15.3.3. Quản lý của FRU_RSA.1

15.3.4. Quản lý của FRU_RSA.2

15.3.5. Kiểm toán của FRU_RSA.1, FRU_RSA.2

15.3.6. FRU_RSA.1 Các chỉ tiêu tối đa

15.3.7. FRU_RSA.2 Các chỉ tiêu tối đa và tối thiểu

16. Lớp FTA: Truy nhập TOE

...

...

...

16.1.1. Hành xử của họ

16.1.2. Phân mức thành phần

16.1.3. Quản lý của FTA_LSA.1

16.1.4. Kiểm toán của FTA_LSA.1

16.1.5. FTA_LSA.1 Giới hạn trên phạm vi các thuộc tính có thể lựa chọn

16.2 . Giới hạn về nhiều phiên diễn ra đồng thời (FTA_MCS)

16.2.1. Hành xử của họ

16.2.2. Phân mức thành phần

16.2.3. Quản lý của FTA_MCS.1

...

...

...

16.2.5. Kiểm toán của FTA_MCS.1, FTA_MCS.2

16.2.6. FTA_MCS.1 Giới hạn cơ sở trên đa phiên đồng thời

16.2.7. FTA_MCS.2 Giới hạn thuộc tính mỗi người dùng cho nhiều phiên đồng thời

16.3 . Khóa và chấm dứt phiên (FTA_SSL)

16.3.1. Hành xử của họ

16.3.2. Phân cấp thành phần

16.3.3. Quản lý của FTA_SSL.1

16.3.4. Quản lý của FTA_SSL.2

16.3.5. Quản lý của FTA_SSL.3

...

...

...

16.3.7. Kiểm toán của FTA_SSL.1, FTA_SSL.2

16.3.8. Kiểm toán của FTA_SSL.3

16.3.9. Kiểm toán của FTA_SSL.4

16.3.10. FTA_SSL.1 Khóa phiên khởi tạo bởi TSF

16.3.11. FTA_SSL.2 Khóa khởi tạo bởi người dùng

16.3.12. FTA_SSL.3 Kết thúc phiên khởi tạo bởi TSF

16.4 . Các biểu trưng truy nhập TOE (FTA_TAB)

16.4.1. Hành xử của họ

16.4.2. Phân mức thành phần

...

...

...

16.4.4. Kiểm toán của FTA_TAB.1

16.4.5. FTA_TAB.1 Các biểu trưng truy nhập TOE mặc định

16.5 . Lịch sử truy nhập TOE (FTA_TAH)

16.5.1. Hành xử của họ

16.5.2. Phân mức thành phần

16.5.3. Quản lý của FTA_TAH.1

16.5.4. Kiểm toán của FTA_TAH.1

16.5.5. FTA_TAH.1 Lịch sử truy nhập TOE

16.6. Thiết lập phiên TOE (FTA_TSE)

...

...

...

16.6.2. Phân mức thành phần

16.6.3. Quản lý của FTA_TSE.1

16.6.4. Kiểm toán của FTA_TSE.1

16.6.5. FTA_TSE.1 Thiết lập phiên TOE

17. Lớp FTP: Đường dẫn/Kênh tin cậy

17.1. Kênh tin cậy liên-TSF (FTP_ITC)

17.1.1. Hành xử của họ

17.1.2. Phân mức thành phần

17.1.3. Quản lý của FTP_ITC.1

...

...

...

17.1.5. FTP_ITC.1 Kênh tin cậy liên TSF

17.2. Đường dẫn tin cậy (FTP_TRP)

17.2.1. Hành xử của họ

17.2.2. Phân mức thành phần

17.2.3. Quản lý của FTP_TRP.1

17.2.4. Kiểm toán của FTP_TRP.1

17.2.5. FTP_TRP.1 Đường dẫn tin cậy

Phụ lục A_(Quy định)_Ghi chú về ứng dụng các yêu cầu chức năng an toàn

A.1. Cấu trúc phần ghi chú

...

...

...

A.1.2. Cấu trúc họ

A.1.3. Cấu trúc thành phần

A.2. Các bảng về mối phụ thuộc

Phụ lục B_(Quy định)_Các lớp, họ và thành phần chức năng

Phụ lục C_(Quy định)_Lớp FAU: Kiểm toán an toàn

C.1. Các yêu cầu kiểm toán trong môi trường phân tán

C.2. Đáp ứng tự động kiểm toán an toàn (FAU_ARP)

C.2.1. Chú thích cho người sử dụng

C.2.2. FAU_ARP.1 Cảnh báo an toàn

...

...

...

C.3.1. Chú thích cho người sử dụng

C.3.2. FAU_GEN.1 Tạo dữ liệu kiểm toán

C.3.3. FAU_GEN.2 Kết hợp định danh người dùng

C.4. Phân tích kiểm toán an toàn (FAU_SAA)

C.4.1. Chú thích cho người sử dụng

C.4.2. FAU_SAA.1 Phân tích khả năng vi phạm

C.4.3. FAU_SAA.2 Phát hiện bất thường dựa trên mô tả tóm tắt

C.4.4. FAU_SAA Thử nghiệm tấn công đơn giản

C.4.5. FAU_SAA.4 Thử nghiệm tấn công phức tạp

...

...

...

C.5.1. Chú thích cho người sử dụng

C.5.2. FAU_SAR.1 Soát xét kiểm toán

C.5.3. FAU_SAR.2 Soát xét kiểm toán có hạn chế

C.5.4. FAU_SAR.3 Soát xét kiểm toán có chọn lựa

C.6. Lựa chọn sự kiện kiểm toán an toàn (FAU_SEL)

C.6.1. Chú thích cho người sử dụng

C.6.2. FAU_SEL.1 Kiểm toán lựa chọn

C.7. Lưu trữ sự kiện kiểm toán an toàn (FAU_STG)

C.7.1. Chú thích cho người sử dụng

...

...

...

C.7.3. FAU_STG.2 Đảm bảo sự sẵn sàng của dữ liệu kiểm toán

C.7.4. FAU_STG.3 Hành động trong trường hợp có thể mất mát dữ liệu kiểm toán

C.7.5. FAU_STG.4 Ngăn chặn mất mát dữ liệu kiểm toán

Phụ lục D_(Quy định)_Lớp FCO: Truyền thông

D.1. Không chối bỏ nguồn gốc (FCO_NRO)

D.1.1. Chú thích cho người sử dụng

D.1.2. FCO_NRO.1 Lựa chọn kiểm chứng nguồn gốc

D.1.3. FCO_NRO.2 Thực thi kiểm chứng nguồn gốc

D.2. Không thể từ chối của bên nhận (FCO_NRR)

...

...

...

D.2.2. FCO_NRR.1 Lựa chọn kiểm chứng bên nhận

D.2.3. FCO_NRR.2 Thực thi kiểm chứng bên nhận

Phụ lục E_(Quy định)_Lớp FCS: Hỗ trợ mật mã

Ε.1. Quản lý khóa mật mã (FCS_CKM)

Ε.1.1. Chú thích cho người sử dụng

Ε.1.2. FCS_CKM.1 Tạo khóa mật mã

Ε.1.3. FCS_CKM.2 Phân phối khóa mật mã

Ε.1.4. FCS_CKM.3 Truy nhập khóa mật mã

Ε.1.5. FCS_CKM.4 Hủy bỏ khóa mật mã

...

...

...

Ε.2.1. Chú thích cho người sử dụng

Ε.2.2. FCS_COP.1 Hoạt động mật mã

Phụ lục F_(Quy định)_Lớp FDP: Bảo vệ dữ liệu người dùng

F.1. Chính sách kiểm soát truy nhập (FDP_ACC)

F.1.1. Chú thích cho người sử dụng

F.1.2. FDP_ACC.1 Kiểm soát truy nhập tập con

F.1.3. FDP_ACC.2 Kiểm soát truy nhập toàn bộ

F.2. Các chức năng kiểm soát truy nhập (FDP_ACF)

F.2.1. Chú thích cho người sử dụng

...

...

...

F.3. Xác thực dữ liệu (FDP_DAU)

F.3.1. Chú thích cho người sử dụng

F.3.2. Xác thực dữ liệu cơ sở FDP_DAU.1

F.3.3. FDP_DAU.2 Xác thực dữ liệu với định danh người đảm bảo

F.4. Xuất dữ liệu ra ngoài TOE (FDP_ETC)

F.4.1. Chú thích cho người sử dụng

F.4.2. FDP_ETC.1 Xuất dữ liệu người dùng không có các thuộc tính an toàn

F.4.3. FDP_ETC.2 Xuất dữ liệu người dùng với thuộc tính an toàn

F.5. Chính sách kiểm soát luồng tin (FDP_IFC)

...

...

...

F.5.2. FDP_IFC.1 Kiểm soát luồng thông tin tập con

F.5.3. FDP_IFC.2 Kiểm soát luồng tin đầy đủ

F.6. Các chức năng kiểm soát luồng tin (FDP_IFF)

F.6.1. Chú thích cho người sử dụng

F.6.2. FDP_IFF.1 Các thuộc tính an toàn đơn giản

F.6.3. FDP_IFF.2 Các thuộc tính an toàn phân cấp

F.6.4. FDP_IFF.3 Giới hạn các luồng thông tin bất hợp pháp

F.6.5. FDP_IFF.4 Loại trừ từng phần các luồng thông tin bất hợp pháp

F.6.6. FDP_IFF.5 Không có các luồng thông tin bất hợp pháp

...

...

...

F.7. Nhập dữ liệu từ bên ngoài TOE (FDP_ITC)

F.7.1. Chú thích cho người sử dụng

F.7.2. FDP_ITC.1 Nhập dữ liệu người dùng không có các thuộc tính an toàn

F.7.3. Nhập dữ liệu người dùng với các thuộc tính an toàn FDP_ITC.2

F.8. Vận chuyển nội bộ TOE (FDP_ITT)

F.8.1. Chú thích cho người sử dụng

F.8.2. FDP_ITT.1 Bảo vệ chuyển giao cơ sở bên trong

F.8.3. FDP_ITT.2 Phân tách truyền tải bởi các thuộc tính

F.8.4. FDP_ITT.3 Giám sát toàn vẹn

...

...

...

F.9. Bảo vệ thông tin dư thừa (FDP_RIP)

F.9.1. Chú thích cho người sử dụng

F.9.2. FDP_RIP.1 Bảo vệ thông tin dư thừa tập con

F.9.3. FDP_RIP.2 Bảo vệ thông tin dư thừa đầy đủ

F.10. Khôi phục (FDP_ROL)

F.10.1. Chú thích cho người sử dụng

F.10.2. FDP_ROL.1 Khôi phục cơ bản

F.10.3. FDP_ROL.2 Khôi phục cải tiến Chú thích cho ứng dụng người sử dụng

F.11. Toàn vẹn dữ liệu lưu trữ (FDP_SDI)

...

...

...

F.11.2. FDP_SDI.1 Giám sát toàn vẹn lưu trữ dữ liệu

F.11.3. FDP_SDI.2 Giám sát toàn vẹn dữ liệu lưu trữ và hành động

F.12. Bảo vệ vận chuyển bí mật dữ liệu người dùng liên-TSF (FDP_UCT)

F.12.1. Chú thích cho người sử dụng

F.12.2. FDP_UCT.1 Bí mật trao đổi dữ liệu cơ bản

F.13. Bảo vệ chuyển toàn vẹn dữ liệu người dùng liên-TSF (FDP_UIT)

F.13.1. Chú thích cho người sử dụng

F.13.2. FDP_UIT.1 Toàn vẹn trao đổi dữ liệu

F.13.3. FDP_UIT.2 Khôi phục trao đổi dữ liệu gốc

...

...

...

Phụ lục G_(Quy định)_Lớp FIA: Định danh và xác thực

G.1. Các lỗi xác thực (FIA_AFL)

G.1.1. Chú thích cho người sử dụng

G.1.2. FIA_AFL.1 Xử lý lỗi xác thực

G.2. Định nghĩa thuộc tính người dùng (FIA_ATD)

G.2.1. Chú thích cho người sử dụng

G.2.2. Xác định thuộc tính người dùng FIA_ATD.1

G.3. Đặc tả các bí mật (FIA_SOS)

G.3.1. Chú thích cho người sử dụng

...

...

...

G.3.2.2.1. Chỉ định

G.3.3. FIA_SOS.1 Tạo các bí mật TSF

G.4. Xác thực người dùng (FIA_UAU)

G.4.1. Chú thích cho người sử dụng

G.4.2. FIA_UAU.1 Định thời cho xác thực

G.4.3. FIA_UAU.2 Xác thực người dùng trước khi hành động

G.4.4. FIA_UAU.3 Xác thực không thể giả mạo

G.4.5. FIA_UAU.4 Các cơ chế sử dụng xác thực đơn

G.4.6. FIA_UAU.5 Cơ chế đa xác thực

...

...

...

G.4.8. FIA_UAU.7 Phản hồi xác thực có bảo vệ

G.5. Định danh người dùng (FIA_UID)

G.5.1. Chú thích cho người sử dụng

G.5.2. FIA_UID.1 Định thời cho định danh

G.5.3. FIA_UID.2 Định danh người dùng trước khi hành động

G.6 . Liên kết chủ thể - người dùng (FIA_USB)

G.6.1. Chú thích cho người sử dụng

G.6.2. FIA_USB.1 Liên kết chủ thể - người dùng

Phụ lục H_(Quy định)_Lớp FMT: Quản lý an toàn

...

...

...

H.1.1. Chú thích cho người sử dụng

H.1.2. FMT_MOF.1 Các cơ chế hoạt động của quản lý chức năng an toàn

H.2. Quản lý các thuộc tính an toàn (FMT_MSA)

H.2.1. Chú thích cho người sử dụng

H.2.2. FMT_MSA.1 Quản lý các thuộc tính an toàn

H.2.3. FMT_MSA.2 Đảm bảo các thuộc tính an toàn

H.2.4. FMT_MSA.3 Khởi tạo thuộc tính tĩnh

H.2.5. FMT_MSA Kế thừa giá trị thuộc tính an toàn

H.2.5.1. Chú thích cho ứng dụng người sử dụng

...

...

...

H.3.1. Chú thích cho người sử dụng

H.3.2. FMT_MTD.1 Quản lý dữ liệu TSF

H.3.3. FMT_MTD.2 Quản lý hạn chế trên dữ liệu TSF

H.3.4. FMT_MTD.3 Dữ liệu TSF an toàn

H.4. Hủy bỏ (FMT_REV)

H.4.1. Chú thích cho người sử dụng

H.4.2. FMT_REV.1 Hủy bỏ

H.5 . Hết hạn thuộc tính an toàn (FMT_SAE)

H.5.1. Chú thích cho ứng dụng người sử dụng

...

...

...

H.6. Đặc tả các chức năng quản lý (FMT_SMF)

H.6.1. Chú thích cho người sử dụng

H.6.2. FMT_SMF.1 Định rõ các chức năng quản lý

H.7. Các quy tắc quản lý an toàn (FMT_SMR)

H.7.1. Chú thích cho người sử dụng

H.7.2. FMT_SMR.1 Các quy tắc an toàn

H.7.3. FMT_SMR.2 Hạn chế về các vai trò an toàn

H.7.4. FMT_SMR.3 Chỉ định các vai trò

Phụ lục I_(Quy định)_Lớp FPR: Riêng tư

...

...

...

I.1.1. Chú thích cho người sử dụng

I.1.2 . FPR_ANO.1 Nặc danh

I.1.3 . FPR_ANO.2 Nặc danh không có thông tin níu kéo

I.2. Biệt danh (FPR_PSE)

I.2.1. Chú thích cho người sử dụng

I.2.2 . FPR_PSE.1 Biệt danh

I.2.3 . FPR_PSE.2 Biệt danh nghịch đảo

I.2.4 . FPR_PSE.3 Biệt danh bí danh

I.3. Tính không thể liên kết (FPR_UNL)

...

...

...

I.3.2 . FPR_UNL.1 Tính không thể liên kết

I.4. Tính không thể quan sát (FPR_UNO)

I.4.1. Chú thích cho người sử dụng

I.4.2 FPR_UNO.1 Tính không thể quan sát

I.4.3 . FPR_UNO.2 Tính không thể quan sát ảnh hưởng đến cấp phát thông tin

I.4.4 . FPR_UNO.3 Tính không thể quan sát không có thông tin níu kéo

I.4.5 . FPR_UNO.4 Tính quan sát được người dùng có thẩm quyền

Phụ lục J_(Quy định)_Lớp FPT: Bảo vệ TSF

J.1. An toàn khi có lỗi (FPT_FLS)

...

...

...

J.1.2. FPT_FLS.1 Lỗi với bảo toàn trạng thái an toàn

J.2. Tính sẵn sàng xuất dữ liệu TSF (FPT_ITA)

J.2.1. Chú thích cho người sử dụng

J.2.2. FPT_ITA.1 Tính sẵn sàng liên TSF trong hệ tính sẵn sàng được định nghĩa

J.3. Tính bí mật của dữ liệu TSF xuất ra (FPT_ITC)

J.3.1. Chú thích cho người sử dụng

J.3.2. FPT_ITI.1 Độ tin cậy liên TSF trong quá trình truyền tải

J.4. Tính toàn vẹn của dữ liệu TSF xuất ra (FPT_ITI)

J.4.1. Chú thích cho người sử dụng

...

...

...

J.4.3. FPT_ITT.2 Phát hiện và chỉnh sửa thay đổi liên-TSF

J.5. Vận chuyển dữ liệu nội bộ TOE TSF (FPT_ITT)

J.5.1. Chú thích cho người sử dụng

J.5.2. Chú thích cho đánh giá viên

J.5.3. FPT_ITT.1 Bảo vệ vận chuyển dữ liệu nội bộ TSF cơ bản

J.5.4. FPT_ITT.2 Phân chia vận chuyển dữ liệu TSF

J.5.5. FPT_ITT.3 Giám sát tính toàn vẹn dữ liệu TSF

J.6. Bảo vệ vật lý TSF (FPT_PHP)

J.6.1. Chú thích cho người sử dụng

...

...

...

J.6.3. FPT_PHP.2 Thông báo tấn công vật lý

J.6.4. FPT_PHP.3 Chống tấn công vật lý

J.7. Khôi phục tin cậy (FPT_RCV)

J.7.1. Chú thích cho người sử dụng

J.7.2. FPT_RCV.1 Khôi phục thủ công

J.7.3. FPT_RCV.2 Khôi phục tự động

J.7.4. FPT_RCV.3 Khôi phục tự động tránh tổn thất lớn

J.7.5. FPT_RCV.4 Khôi phục chức năng

J.8. Phát hiện chạy lại (FPT_RPL)

...

...

...

J.8.2. FPT_RPL.1 Phát hiện chạy lại

J.9. Giao thức đồng bộ trạng thái (FPT_SSP)

J.9.1. Chú thích cho người sử dụng

J.9.2. FPT_SSP.1 Xác nhận tin cậy một chiều (đơn)

J.9.3. FPT_SSP.2 Xác nhận tin cậy hai chiều

J.10. Nhãn thời gian (FPT_STM)

J.10.1. Chú thích cho người sử dụng

J.10.2. FPT_STM.1 Thẻ thời gian tin cậy

J.11. Tính nhất quán dữ liệu liên-TSF (FPT_TDC)

...

...

...

J.11.2. FPT_TDC.1 Tính nhất quán dữ liệu TSF cơ bản liên-TSF

J.12. Kiểm thử các thực thể bên ngoài (FPT_TEE)

J.12.1. Chú thích cho người sử dụng

J.12.2. Các chú thích cho đánh giá viên

J.12.3. FPT_TEE.1 Kiểm thử thực thể bên ngoài

J.13. TÍnh nhất quán bản sao dữ liệu bên trong TOE TSF (FPT_TRC)

J.13.1. Chú thích cho người sử dụng

J.13.2. FPT_TRC.1 Tính nhất quán bên trong TSF

J.14. Tự kiểm tra TSF (FPT_TSF)

...

...

...

J.14.2. FPT_TSF.1 Kiểm tra TSF

Phụ lục K_(Quy định)_Lớp FRU: Sử dụng tài nguyên

K.1. Khả năng chịu lỗi (FRU_FLT)

K.1.1. Chú thích cho người sử dụng

K.1.2. FRU_FLT.1 Khả năng chịu lỗi suy giảm

K.1.3. FRU_FLT.2 Khả năng chịu đựng lỗi giới hạn

K.2. Ưu tiên dịch vụ (FRU_PRS)

K.2.1. Chú thích cho người sử dụng

K.2.2. FRU_PRS.1 Ưu tiên dịch vụ có giới hạn

...

...

...

K.3. Cấp phát tài nguyên (FRU_RSA)

K.3.1. Chú thích cho người sử dụng

K.3.2. FRU_RSA.1 Các chỉ tiêu tối đa

K.3.3. FRU_RSA.2 Các chỉ tiêu tối đa và tối thiểu

Phụ lục L_(Quy định)_Lớp FTA: Truy cập TOE

L.1. Giới hạn trên phạm vi các thuộc tính có thể lựa chọn (FTA_LSA)

L.1.1. Chú thích cho người sử dụng

L.1.2. FTA_LSA.1 Giới hạn trên phạm vi các thuộc tính có thể lựa chọn

L.2. Giới hạn về nhiều phiên diễn ra đồng thời (FTA_MCS)

...

...

...

L.2.2. FTA_MCS.1 Giới hạn cơ sở trên đa phiên đồng thời

L.2.3. FTA_MCS.2 Giới hạn thuộc tính mỗi người dùng cho nhiều phiên đồng thời

L.3. Khóa và chấm dứt phiên (FTA_SSL)

L.3.1. Chú thích cho người sử dụng

L.3.2. FTA_SSL.1 Khóa phiên khởi tạo bởi TSF

L.3.3. FTA_SSL.2 Khóa khởi tạo bởi người dùng

L.3.4. FTA_SSL.3 Kết thúc phiên khởi tạo bởi TSF

L.3.5. FTA_SSL.4 Kết thúc phiên khởi tạo bởi người dùng

L.4. Các biểu tượng truy nhập TOE (FTA_TAB)

...

...

...

L.4.2. FTA_TAB.1 Các biểu trưng truy nhập TOE mặc định

L.5. Lịch sử truy nhập TOE (FTA_TAH)

L.5.1. Chú thích cho người sử dụng

L.5.2. FTA_TAH.1 Lịch sử truy nhập TOE

L.6. Thiết lập phiên TOE (FTA_TSE)

L.6.1. Chú thích cho người sử dụng

L.6.2. FTA_TSE.1 Thiết lập phiên TOE

Phụ lục M_(Quy định)_Lớp FTP: Đường dẫn/Kênh tin cậy

M.1 . Kênh tin cậy liên-TSF (FTP_ITC)

...

...

...

M.1.2. FTP_ITC.1 Kênh tin cậy liên TSF

M.2. Đường dẫn tin cậy (FTP_TRP)

M.2.1. Chú thích cho người sử dụng

M.2.2. FTP_TRP.1 Đường dẫn tin cậy