Varnostni ukrepi

Povzetek. Ta stran vodi tehnične in organizacijske ukrepe WKL TrustBridge kot katalog. Vsak ukrep navaja, katero zahtevo izpolnjuje, iz česa sestoji in kako se dokaže. Katalog je most med varnostnimi cilji na strani Izpeljava arhitekture in dokazi na strani Revizija in dokazi. Tehnične varnostne meje so zavarovane s samodejnimi preverjanji v gradnji, organizacijski ukrepi pa z vlogami, postopki in vajami.

Pojmi

Tehnični ukrep – uveljavi ga programska ali strojna oprema.
Organizacijski ukrep – uveljavijo ga vloge, postopki in nadzor.
Vrata – samodejno preverjanje v gradnji ali pri izvajanju testov, ki ob kršitvi gradnjo prekine.

Katalog

Kriptografija in ključi

ID	Ukrep	Zahteva	Dokaz
M-01	Ključi CA samo v HSM, neizvozljivi, tudi ML-DSA	A-03	preverjanje delavca CA ob zagonu (prstni odtis, neizvozljivost); zapisnik ceremonije
M-02	En ključ pripada natanko eni CA; nov ključ = nova generacija CA	A-03, A-08	pravilnik, register
M-03	Hibridni certifikati z alternativnim podpisom ML-DSA	A-07	preverjanje ustvarjenih certifikatov s klasičnimi preverjevalci in preverjevalci s podporo PQ
M-04	ML-DSA in ML-KEM preverjena z objavljenimi testnimi primeri NIST	A-06	204 testni primeri, preizkuševališče navzkrižno preverjeno s ponaredbami
M-05	Testni vektorji zunaj repozitorija, kontrolna vsota vsake datoteke pred uporabo ponovno izračunana; odstopajoča datoteka pomeni neuspeh	A-17	izvajanje testov
M-06	Brez tihega umika na šibkejši postopek; vsak umik potrebuje politiko, revizijski vpis, kodo razloga in telemetrijo	A-07	arhitekturni test
M-07	Brez ustvarjanja ključev za vlagatelje; samo CSR z dokazom posesti (pri hibridnem za oba ključa)	A-15	preverjanje v delavcu CA
M-08	Brez zasebnih ključev v podatkovni bazi, prenosnih objektih, dnevnikih ali sporočilih o napakah	A-03, A-16	arhitekturni test; pregled dnevnikov

Ločitev in pravice

ID	Ukrep	Zahteva	Dokaz
M-10	Delavec CA brez dohodne povezave, nikoli v procesu ali računu storitve HTTP	A-02, A-03	arhitekturni test; omrežna konfiguracija
M-11	Lastna prijava v podatkovno bazo za vsako storitev z natanko potrebnimi pravicami	A-09	preverjanje pravic
M-12	Upravljanje brez dostopa do HSM in brez konfiguracije za ključe CA	A-03	arhitekturni test
M-13	Distribucija brez zasebnega ključa in brez pravice pisanja; pred dostavo preveri podpise	A-04	arhitekturni test
M-14	Tuji ključi z najemnikom `(mandant_id, id)` in varnost na ravni vrstic pri branju	A-09	testi z več najemniki
M-15	Upravljalni odjemalec brez povezave s podatkovno bazo	A-09, A-20	vrata za izvorno kodo aplikacije Access

Pooblastitev in celovitost

ID	Ukrep	Zahteva	Dokaz
M-20	Odobritev kot podpis zgoščene vrednosti naročila; odobritelji samo v lokalnem pravilniku	A-02	register z odobritvami
M-21	Dva odobritelja za varnostno pomembne razrede profilov (certifikati CA, certifikati odobriteljev in agentov, razmerja)	A-02	pravilnik
M-22	Naročilo bajt za bajtom, identifikator SHA-256; prikaz iz natanko teh bajtov	A-02	testi upravljalne aplikacije
M-23	Preverjanje vsakega naročila glede na pravilnik: razred profila, CA, najemnik, ime, razširitve, veljavnost, rok, enkratnost	A-01, A-02	testi delavca CA z nedovoljenimi naročili
M-24	Omejitev imen (kritična) v vsakem certifikatu CA, trdno določena v orodju korenske CA	A-01	preverjanje ustvarjenih certifikatov CA
M-25	Pogodba preverjevalca za nasprotne strani; testni certifikati za preverjanje	A-01	testni certifikati, partnerske pogodbe

Razpoložljivost in ponovni zagon

ID	Ukrep	Zahteva	Dokaz
M-30	Seznami preklicanih veljavni 72 ur, ritem 6 ur, takoj po preklicu	A-04	meritev med delovanjem
M-31	Druga pot objave mimo podatkovne baze	A-04, A-05	vaja izpada
M-32	Izredni preklic na konzoli gostitelja delavca CA	A-05	vaja
M-33	Namera v registru pred podpisom; ponovni zagon z isto serijsko številko	A-18	testi s prisilno prekinitvijo
M-34	Rezervna instanca za delavca CA in HSM; distribucija z visoko razpoložljivostjo	A-04	vaja izpada

Prijava in dostop

ID	Ukrep	Zahteva	Dokaz
M-40	Osebni ključ in drugi faktor za vsako osebo v upravljanju	A-10	testi prijave
M-41	Vsaka sprememba pravic skupaj z revizijskim vpisom v eni transakciji	A-11	testi
M-42	Na tuje objekte se odgovori z `404`	A-09	testi
M-43	Preverjanje pravic pri vsaki zahtevi, brez hranjenja v seji	A-10	testi odvzema
M-44	Omejene seje (privzeto 8 ur); preklic ključa takoj konča vse seje, vezane nanj	A-10	testi odvzema
M-45	Ključ za odobritev ločen od skrivnosti za prijavo, na pametni kartici ali varnostnem ključu s funkcijo PIV, PIN za vsak podpis	A-02	prevzem nosilcev
M-46	Pred vsako ceremonijo preverjanje, ali se novi imenski prostori prekrivajo z obstoječimi	A-01	orodje korenske CA

Beleženje in dokazi

ID	Ukrep	Zahteva	Dokaz
M-50	Tri ravni: operativni dnevnik, varnostni revizijski dnevnik, register	A-11	gl. Revizija in dokazi
M-51	Veriženje prek vseh polj z enoznačnim kodiranjem s predpono dolžine, za vsakega najemnika	A-11	preverjanje verige s ponaredbami
M-52	Zunanje sidro za glave verig, v katero se samo dodaja; sprotna kopija varnostnega revizijskega dnevnika	A-11	usklajevanje
M-53	Usklajevanje števcev podpisov modula z registrom	A-12	alarm ob odstopanju

Razvoj in dobavna veriga programske opreme

ID	Ukrep	Zahteva	Dokaz
M-60	Opozorila so napake; nedokumentiran javni vmesnik prekine gradnjo	A-17	gradnja
M-61	Vrata za imena proti starim ostankom in nadomestkom (prepovedani vzorci, odprte delovne oznake, metode z nadomestnim telesom)	A-17	gradnja sporoči datoteko, vrstico in vzorec
M-62	Brez skrivnosti v repozitoriju, tudi brez testnih ključev	A-17	iskanje skrivnosti v gradnji; preverjanje imenika testnih vektorjev glede ključnega gradiva
M-63	Preverjen izvor vseh kriptografskih knjižnic: dokaz izvora, v gradnji ponovno izračunana kontrolna vsota, vpis v kosovnico za vsako ciljno platformo	A-17	gradnja, kosovnica
M-64	Odvisnosti samo prek osrednjega upravljanja paketov s fiksnimi različicami	A-17	gradnja
M-65	Testi dokumentacije: dokazna veriga glede na strani in katalog ukrepov, brez notranjih sklicev, razrešljive povezave, vrstni red strani, pravila diagramov	A-17	`dotnet test`; z namernimi kršitvami viden kot neuspešen

Organizacijski ukrepi

ID	Ukrep	Zahteva
M-70	Ceremonije z vodjo, skrbniki (kvorum 3 od 5) in pričami; dva sefa	A-03, A-19
M-71	Načelo štirih oči za spremembe pravilnika delavca CA	A-02
M-72	Postopek ob kompromitaciji ključev CA, redno izvajan na vajah	A-12
M-73	Pogodba preverjevalca kot sestavni del partnerskih pogodb	A-01
M-74	Roki hrambe in brisanja dnevnikov, ki jih določi vsaka organizacija	A-16

Federacija in postkvantna plast

ID	Ukrep	Zahteva	Dokaz
M-80	Razmerja samo prek svežnjev zaupanja, ki jih podpiše delavec CA, z naraščajočo številko in omejeno veljavnostjo	A-21	testi z nepodpisanim, zastarelim in tujim svežnjem
M-81	Politika razmerja za vsako smer; sprememba samo z odobritvijo po pravici do spremembe te smeri	A-21	register; testi pravil odobritve
M-82	Brez navzkrižnih certifikatov; adapter TLS sprejema samo sidra aktivnih razmerij	A-21	testi z verigami tretjih
M-83	Zunanji PSK po RFC 9973 s `psk_dhe_ke` in hibridno skupino; prekinitev brez potrjene razširitve	A-22	posnetki prometa; testi z napačnim in zatrtim PSK
M-84	Skrivnosti samo v pomnilniku obeh udeleženih strežnikov; predaja samo prek lokalnega vmesnika posrednika ključev	A-22	arhitekturni test; preverjanje nosilcev podatkov in dnevnikov glede ključnega gradiva
M-85	Menjava povezave po najdaljši življenjski dobi razmerja; brez nadaljevanja seje in brez 0-RTT za povezave razmerij	A-22	dolgotrajni test s posnetkom prometa
M-86	Posredovanje identitete partnerja ciljni aplikaciji; ciljna aplikacija je dosegljiva samo prek adapterja TLS	A-23	omrežni test; test z glavami, ki jih nastavi odjemalec sam
M-87	V modelu Managed pri operativnem partnerju ni ključev za odobritev in ni vlog skrbnikov; menjava upravljavca prek nove generacije CA	A-24	pravilnik; poskusna menjava v testnem okolju

Česa ta stran ne dokazuje

Popolnosti glede na kateri koli predpis. Preslikava na predpise na strani Revizija in dokazi ni trditev o skladnosti.
Ukrepov ciljnih aplikacij. Kako na primer Database Gateway uveljavlja pooblastila, opisuje njegova lastna dokumentacija.