เกี่ยวกับการรับรองความปลอดภัยของ Apple

การตรวจสอบความถูกต้องอัลกอริทึมการเข้ารหัส

การตรวจสอบความถูกต้องของการปรับใช้ความถูกต้องของอัลกอริทึมการเข้ารหัสจำนวนมากและฟังก์ชั่นความปลอดภัยที่เกี่ยวข้องเป็นข้อกำหนดเบื้องต้นสำหรับการตรวจสอบความถูกต้อง FIPS 140-3 อีกทั้งสนับสนุนของการรับรองอื่นๆ การตรวจสอบความถูกต้องจะได้รับการจัดการโดยโปรแกรมการตรวจสอบความถูกต้องอัลกอริทึมการเข้ารหัส (CAVP) ของสถาบันมาตรฐานและเทคโนโลยีแห่งชาติ (NIST) การรับรองของการตรวจสอบความถูกต้องสำหรับการปรับใช้กับ Apple สามารถดูได้โดยใช้ตัวช่วยอำนวยความสะดวกการค้นหาของ CAVP โปรดดูที่เว็บไซต์โปรแกรมการตรวจสอบความถูกต้องอัลกอริทึมการเข้ารหัส (CAVP) สำหรับข้อมูลเพิ่มเติม

การตรวจสอบความถูกต้องของโมดูลการเข้ารหัส: FIPS 140-2/3 (ISO/IEC 19790)

โมดูลการเข้ารหัสของ Apple ได้รับการตรวจสอบความถูกต้องซ้ำๆ โดยโปรแกรมการตรวจสอบความถูกต้องโมดูลการเข้ารหัส (CMVP) ว่าเป็นไปตามมาตรฐานการประมวลผลข้อมูลสำหรับโมดูลการเข้ารหัสสหรัฐอเมริกากลาง (FIPS 140-2) หลังจากการเปิดตัวครั้งใหญ่แต่ละครั้งของระบบปฏิบัติการตั้งแต่ปี 2555 หลังจากการเปิดตัวครั้งใหญ่ในแต่ละครั้ง Apple จะส่งโมดูลทั้งหมดไปยัง CMVP เพื่อตรวจสอบความถูกต้องเกี่ยวกับความสอดคล้องกับมาตรฐาน นอกจากโมดูลเหล่านี้จะถูกใช้งานโดยระบบปฏิบัติการและแอปของ Apple แล้ว โมดูลเหล่านี้ยังมอบความสามารถด้านการเข้ารหัสให้กับบริการที่ให้บริการโดย Apple และมีให้ใช้งานสำหรับแอปของบริษัทอื่นอีกด้วย

Apple ได้รับความปลอดภัยระดับ 1 ในแต่ละปีสำหรับโมดูลแบบซอฟต์แวร์ “Corecrypto Module สำหรับ Intel” และ “Corecrypto Kernel Module สำหรับ Intel” สำหรับ macOS สำหรับ Apple Silicon โมดูล “Corecrypto Module สำหรับ ARM” และ “Corecrypto Kernel Module สำหรับ ARM” สามารถใช้ได้กับ iOS, iPadOS, tvOS, watchOS และเฟิร์มแวร์บนชิป Apple T2 Security ที่ฝังอยู่ในคอมพิวเตอร์ Mac

ในปี 2562 Apple ได้รับความปลอดภัยระดับ 2 FIPS 140-2 สำเร็จเป็นครั้งแรกสำหรับโมดูลการเข้ารหัสฮาร์ดแวร์แบบฝังในที่ระบุเป็น “Apple Corecrypto Module: การจัดเก็บกุญแจอย่างปลอดภัย” ซึ่งทำให้รัฐบาลของสหรัฐอเมริกาอนุญาตให้ใช้กุญแจที่สร้างขึ้นและจัดการใน Secure Enclave Apple เดินหน้าการตรวจสอบความถูกต้องสำหรับโมดูลการเข้ารหัสฮาร์ดแวร์ในระดับความปลอดภัยที่สูงขึ้นอยู่เสมอในการเปิดตัวระบบปฏิบัติการครั้งใหญ่แต่ละครั้ง

FIPS 140-3 ได้รับการอนุญาตโดยกระทรวงพาณิชย์ของสหรัฐอเมริกาในปี 2562 การเปลี่ยนแปลงที่โดดเด่นที่สุดของมาตรฐานในเวอร์ชั่นนี้คือข้อกำหนดมาตรฐาน ISO/IEC โดยเฉพาะอย่างยิ่ง ISO/IEC 19790:2015 และมาตรฐานการทดสอบที่เกี่ยวข้อง ISO/IEC 24759:2017 CMVP ได้เริ่มต้นโปรแกรมการเปลี่ยนผ่านและระบุว่า ตั้งแต่ปี 2563 เป็นต้นไป โมดูลการเข้ารหัสจะเริ่มรับการตรวจสอบความถูกต้องโดยใช้ FIPS 140-3 เป็นพื้นฐาน โมดูลการเข้ารหัสของ Apple มุ่งหมายที่จะปฏิบัติตามและเปลี่ยนไปใช้มาตรฐาน FIPS 140-3 ในทันทีที่สามารถปฏิบัติได้

สำหรับโมดูลการเข้ารหัสที่อยู่ระหว่างกระบวนการทดสอบและการตรวจสอบความถูกต้อง CMVP จะเก็บรักษารายการที่แยกกันสองรายการซึ่งอาจมีข้อมูลเกี่ยวกับการตรวจสอบความถูกต้องที่เสนอ สำหรับโมดูลการเข้ารหัสที่อยู่ระหว่างการทดสอบในห้องปฏิบัติการที่มีการรับรอง รายการการปรับใช้อยู่ระหว่างการทดสอบ อาจระบุโมดูลในรายการ หลังจากที่ห้องปฏิบัติการได้ดำเนินการทดสอบเสร็จสมบูรณ์แล้วและแนะนำให้เข้ารับการตรวจสอบความถูกต้องจาก CMVP โมดูลการเข้ารหัสของ Apple จะแสดงขึ้นในรายการโมดูลในกระบวนการ ตอนนี้การทดสอบในห้องปฏิบัติการเสร็จสมบูรณ์แล้วและรอการตรวจสอบความถูกต้องของการทดสอบโดย CMVP เนื่องจากระยะเวลาของกระบวนการประเมินสามารถผันแปรได้ ให้ดูรายการกระบวนการทั้งสองรายการที่ด้านบนเพื่อระบุสถานะปัจจุบันของโมดูลการเข้ารหัสของ Apple ระหว่างวันที่ที่มีการเปิดตัวระบบปฏิบัติการครั้งใหญ่และการออกการรับรองการตรวจสอบความถูกต้องโดย CMVP

การรับรองผลิตภัณฑ์: (เกณฑ์ทั่วไป ISO/IEC 15408)

เกณฑ์ทั่วไป (ISO/IEC 15408) เป็นมาตรฐานที่หลายองค์กรใช้เป็นพื้นฐานในการดำเนินการประเมินความปลอดภัยของผลิตภัณฑ์ IT

สำหรับการรับรองที่อาจรู้จักกันในชื่อการจัดการรับรองเกณฑ์ทั่วไป (CCRA) ระดับสากล ให้ดูที่พอร์ทัลเกณฑ์ทั่วไป มาตรฐานเกณฑ์ทั่วไปยังอาจมีการใช้ภายนอก CCRA โดยแบบแผนการตรวจสอบความถูกต้องระดับชาติและระดับส่วนตัวอีกด้วย ในยุโรป การยอมรับร่วมกันอยู่ภายใต้ข้อตกลง SOG-IS เช่นเดียวกันกับ CCRA

เป้าหมายก็เพื่อให้ชุดมาตรฐานความปลอดภัยที่ผ่านการรับรองในระดับสากลสามารถประเมินความสามารถด้านการรักษาความปลอดภัยของผลิตภัณฑ์เทคโนโลยีสารสนเทศได้อย่างชัดเจนและน่าเชื่อถือ ซึ่งเป็นเป้าหมายที่ชุมชนเกณฑ์ทั่วไประบุไว้ เมื่อจัดให้มีการประเมินแบบอิสระเกี่ยวกับความสามารถของผลิตภัณฑ์ในการปฏิบัติตามมาตรฐานด้านความปลอดภัย การรับรองเกณฑ์ทั่วไปจึงทำให้ลูกค้ามีความมั่นใจมากขึ้นเกี่ยวกับความปลอดภัยของผลิตภัณฑ์เทคโนโลยีสารสนเทศและตัดสินใจได้อย่างรอบคอบมากขึ้น

ประเทศสมาชิกได้ตกลงที่จะยอมรับการรับรองผลิตภัณฑ์เทคโนโลยีสารสนเทศด้วยความเชื่อมั่นในระดับเดียวกันผ่าน CCRA การประเมินที่จำเป็นก่อนการรับรองจะครอบคลุมและรวมถึง:

• โปรไฟล์การปกป้อง (PP)

• เป้าหมายความปลอดภัย (ST)

• ข้อกำหนดฟังก์ชั่นความปลอดภัย (SFR)

• ข้อกำหนดการรับประกันความปลอดภัย (SAR)

• ระดับการรับประกันการประเมิน (EAL)

โปรไฟล์การปกป้อง (PP) เป็นเอกสารที่ระบุข้อกำหนดด้านความปลอดภัยสำหรับคลาสของประเภทอุปกรณ์ (เช่น อุปกรณ์เคลื่อนที่) ซึ่งใช้สำหรับแสดงการเปรียบเทียบระหว่างการประเมินของผลิตภัณฑ์ IT ภายในคลาสเดียวกัน การเป็นสมาชิกของ CCRA รวมถึงการเพิ่มขึ้นของ PP ที่ได้รับการรับรองมีการเพิ่มขึ้นทุกปีอย่างต่อเนื่อง การทำความตกลงนี้อนุญาตให้นักพัฒนาผลิตภัณฑ์ใช้การรับรองเดียวภายใต้แบบแผนการอนุญาตการรับรองแบบใดแบบหนึ่งและกำหนดให้ได้รับการยอมรับจากผู้ลงนามทุกๆ คนที่ใช้การรับรอง

เป้าหมายความปลอดภัย (ST) กำหนดว่าอะไรบ้างที่จะได้รับการประเมินเมื่อผลิตภัณฑ์ IT ได้รับการรับรอง ST หมายถึงข้อกำหนดฟังก์ชั่นความปลอดภัย (SFR) ที่เฉพาะเจาะจงยิ่งขึ้น ซึ่งใช้สำหรับการประเมิน ST อย่างละเอียดยิ่งขึ้น

เกณฑ์ทั่วไป (CC) ยังรวมถึงข้อกำหนดการรับประกันความปลอดภัยอีกด้วย ตัววัดหนึ่งที่มักถูกระบุอยู่เป็นประจำก็คือระดับการรับประกันการประเมิน (EAL) โดย EAL จะรวมกลุ่มชุดของ SAR ที่เกิดขึ้นบ่อยครั้งเข้าด้วยกันและอาจถูกระบุอยู่ใน PP และ ST เพื่อรองรับการเปรียบเทียบ

PP ก่อนหน้านี้จำนวนมากถูกเก็บถาวรและแทนที่ด้วย PP แบบมุ่งเป้าซึ่งได้รับการพัฒนาและมุ่งเน้นโซลูชั่นและสภาพแวดล้อมที่เฉพาะเจาะจง ในความพยายามจากหลายฝ่ายที่จะให้มีการยอมรับร่วมกันระหว่างสมาชิก CCRA ทั้งหมดต่อไป ชุมชนเทคนิคสากล (iTC) ได้ถูกจัดตั้งขึ้นเพื่อพัฒนาและรักษาไว้ซึ่งโปรไฟล์การปกป้องเชิงร่วมมือ (cPP) ซึ่งมีการพัฒนาตั้งแต่เริ่มต้นโดยมีแผนของผู้ลงนาม CCRA ร่วมด้วย PP แบบมุ่งเป้าสำหรับกลุ่มผู้ใช้และการจัดการการยอมรับร่วมกันที่นอกเหนือจาก CCRA จะได้รับการพัฒนาต่อไปโดยผู้ที่ได้รับประโยชน์ร่วมกันที่เหมาะสม

Apple เริ่มใช้การรับรองภายใต้ CCRA ที่ได้รับการอัปเดตกับ cPP ที่เลือกตั้งแต่ต้นปี 2558 ตั้งแต่นั้นมา Apple ได้รับการรับรองเกณฑ์ทั่วไปสำหรับ iOS, iPadOS และ macOS เรื่อยมารวมถึงแอปหลักบางแอปของ Apple ด้วย นอกจากนี้ยังขยายความครอบคลุมเพื่อรวมการรับประกันความปลอดภัยโดย PP ใหม่

Apple ยังมีบทบาทเชิงรุกภายในชุมชนทางเทคนิคที่กำลังพัฒนาและอัปเดต PP และ cPP อีกด้วย