Kontrolna lista za reviziju

Točke provjere za revizore i službenike za IT sigurnost za validaciju implementacije post-kvantne kriptografije.

Upotreba

Ova kontrolna lista služi kao dokaz za:

BSI IT-Grundschutz revizije
NIS2 provjere usklađenosti
ISO 27001 certifikacije
Interne sigurnosne preglede
Revizore (IDW PS 330)

Napomena: Kopirajte ovu kontrolnu listu i ispunite stupac statusa (✓/✗) tijekom revizije.

1. Kriptografske osnove

1.1 Usklađenost algoritama

#	Točka provjere	Zahtjev	Dokaz	✓
—	—————-	———	——-	—
1.1.1	Algoritam potpisa	NIST FIPS 204 (ML-DSA)	FIPS 204	☐
1.1.2	Enkapsulacija ključeva	NIST FIPS 203 (ML-KEM)	FIPS 203	☐
1.1.3	Klasični potpisi	RSA-2048+ ili ECDSA P-256+	OpenSSL 3.6	☐
1.1.4	Hash algoritmi	SHA-256/384/512	OpenSSL 3.6	☐
1.1.5	Bez zastarjelih algoritama	Bez MD5, SHA-1, 3DES	Pregled koda	☐

1.2 Duljine ključeva

#	Točka provjere	Minimalna duljina	Preporučeno	✓
—	—————-	——————-	————-	—
1.2.1	ML-DSA ključ potpisa	ML-DSA-44	ML-DSA-65	☐
1.2.2	ML-KEM enkapsulacija ključa	ML-KEM-512	ML-KEM-768	☐
1.2.3	RSA duljina ključa	2048 bita	3072 bita	☐
1.2.4	ECDSA krivulja	P-256	P-384	☐
1.2.5	AES duljina ključa	128 bita	256 bita	☐

2. Upravljanje ključevima

2.1 Generiranje ključeva

#	Točka provjere	Zahtjev	Dokaz	✓
—	—————-	———	——-	—
2.1.1	Generator slučajnih brojeva	CSPRNG (kriptografski siguran)	OpenSSL RAND	☐
2.1.2	Izvor entropije	Hardware-RNG ili /dev/urandom	OS konfiguracija	☐
2.1.3	Bez predvidljivih seed-ova	Bez statičnih seed-ova	Pregled koda	☐

2.2 Pohrana ključeva

#	Točka provjere	Zahtjev	Dokaz	✓
—	—————-	———	——-	—
2.2.1	Privatni ključevi šifrirani	AES-256-GCM ili ekvivalent	PEM-export test	☐
2.2.2	Zaštita lozinkom	Min. 20 znakova, visoka entropija	Politika	☐
2.2.3	Bez ključeva u čistom tekstu	Bez plaintext na datotečnom sustavu	grep pretraga	☐
2.2.4	Zaštita pristupa	Datotečne dozvole (600)	ls -la	☐

2.3 Derivacija ključeva

#	Točka provjere	Zahtjev	Dokaz	✓
—	—————-	———	——-	—
2.3.1	KDF algoritam	HKDF (RFC 5869) ili Argon2id	API upotreba	☐
2.3.2	Salt korišten	Min. 16 bajtova, slučajno	Pregled koda	☐
2.3.3	Iteracije	PBKDF2 ≥100.000, Argon2id ≥3	Konfiguracija	☐
2.3.4	Memory-Hard KDF za lozinke	Argon2id preferiran	API upotreba	☐

2.4 Uništavanje ključeva

#	Točka provjere	Zahtjev	Dokaz	✓
—	—————-	———	——-	—
2.4.1	Sigurno brisanje	SecureZeroMemory ili ekvivalent	Pregled koda	☐
2.4.2	IDisposable implementiran	Automatsko oslobađanje resursa	API analiza	☐
2.4.3	Bez materijala ključa u logovima	Ključevi nisu zapisani	Analiza logova	☐

3. Upravljanje certifikatima

3.1 PKI struktura

#	Točka provjere	Zahtjev	Dokaz	✓
—	—————-	———	——-	—
3.1.1	Root-CA offline	Air-Gapped ili HSM	Operativna doku	☐
3.1.2	Intermediate-CA prisutan	Odvajanje Root/Issuing	Lanac certifikata	☐
3.1.3	pathLenConstraint postavljen	CA hijerarhija ograničena	Analiza certifikata	☐

3.2 Proširenja certifikata

#	Točka provjere	Zahtjev	Dokaz	✓
—	—————-	———	——-	—
3.2.1	Basic Constraints	CA=true/false ispravno	openssl x509 -text	☐
3.2.2	Key Usage	keyCertSign samo za CA	openssl x509 -text	☐
3.2.3	Extended Key Usage	serverAuth/clientAuth	openssl x509 -text	☐
3.2.4	Subject Key Identifier	Prisutan	openssl x509 -text	☐
3.2.5	Authority Key Identifier	Za ne-Root-CA	openssl x509 -text	☐

3.3 Hibridni certifikati

#	Točka provjere	Zahtjev	Dokaz	✓
—	—————-	———	——-	—
3.3.1	PQ proširenje prisutno	OID za ML-DSA potpis	Dump certifikata	☐
3.3.2	Klasični potpis prisutan	RSA ili ECDSA	Dump certifikata	☐
3.3.3	Oba potpisa provjerljiva	Dual-validacija	Test skripta	☐

4. Konfiguracija

4.1 CryptoConfig

#	Točka provjere	Zahtjev	Dokaz	✓
—	—————-	———	——-	—
4.1.1	DefaultMode postavljen	Hybrid ili PostQuantum	Pregled koda	☐
4.1.2	OpenSSL putanja konfigurirana	Putanja do libcrypto.so/dll	Varijabla okruženja	☐
4.1.3	FIPS-mod aktiviran (opcionalno)	Za regulirana okruženja	OpenSSL-Config	☐

4.2 OpenSSL

#	Točka provjere	Zahtjev	Dokaz	✓
—	—————-	———	——-	—
4.2.1	Verzija ≥3.6.0	PQ-algoritmi dostupni	openssl version	☐
4.2.2	Nema zastarjele verzije	Sigurnosna ažuriranja	Changelog	☐
4.2.3	OQS-Provider nije potreban	Nativno u OpenSSL 3.6	openssl list -providers	☐

5. Rad

5.1 Opoziv

#	Točka provjere	Zahtjev	Dokaz	✓
—	—————-	———	——-	—
5.1.1	CRL konfiguriran	Distribution Point u certifikatima	Analiza certifikata	☐
5.1.2	CRL redovito ažuriran	Maks. 24h/7d prema politici	Scheduler/Cron	☐
5.1.3	OCSP dostupan (opcionalno)	AIA-proširenje u certifikatima	Analiza certifikata	☐

5.2 Nadzor

#	Točka provjere	Zahtjev	Dokaz	✓
—	—————-	———	——-	—
5.2.1	Istek certifikata nadziran	Upozorenje prije isteka	Monitoring konfiguracija	☐
5.2.2	Kripto operacije zapisane	Revizijski trag	Analiza logova	☐
5.2.3	Greške alarmirane	Iznimke protokolirane	Alerting konfiguracija	☐

6. Dokumentacija

#	Točka provjere	Zahtjev	Dokaz	✓
—	—————-	———	——-	—
6.1	Kriptografski koncept prisutan	BSI CON.1	Koncepti	☐
6.2	Algoritmi dokumentirani	Izbor obrazložen	Algoritmi	☐
6.3	API dokumentiran	Potpuna referenca	API	☐
6.4	Scenariji opisani	Primjeri implementacije	Scenariji	☐
6.5	Put migracije dokumentiran	Classic→Hybrid→PQ	Migracija	☐

Sažetak

Kategorija	Točke provjere	Prošlo	Nije prošlo
————	—————-	——–	————-
1. Kriptografske osnove	10	\|
2. Upravljanje ključevima	14	\|
3. Upravljanje certifikatima	11	\|
4. Konfiguracija	6	\|
5. Rad	6	\|
6. Dokumentacija	5	\|
Ukupno	52	\|

Rezultat revizije

Polje	Vrijednost
——-	————
Revizor	\| \| Organizacija \|
Datum	\| \| Pregledani sustav \|
WvdS verzija	\| \| OpenSSL verzija \|
Rezultat	☐ Prošlo ☐ Nije prošlo ☐ S uvjetima
Sljedeća revizija	__

Daljnje informacije

Wolfgang van der Stille @ EMSR DATA d.o.o. - Post-Quantum Cryptography Professional

audit, checkliste, compliance, pruefung

Inhaltsverzeichnis