Około 6 na 10 luk w certyfikowanych produktach ujawniono po dacie certyfikacji

Około 6 na 10 podatności dopasowanych do produktów z certyfikatem Common Criteria lub FIPS-140, z pominięciem kart chipowych, ujawniono już po dacie certyfikacji. To wynik analizy zespołu z Masaryk University z 2024 roku, o której w nagraniu dla Help Net Security mówi Mariia Bakhtina. Certyfikat opisuje produkt w chwili oceny. Pojedynczy dokument certyfikacyjny nie powie też, czy certyfikat jest nadal aktywny ani jak produkt wypada na tle innych z listy zakupowej. Zespół rozwija dwa otwarte narzędzia do analizy certyfikatów: sec-certs i SCRUTINY.

Kogo dotyczy

Dotyczy firm, które kupują sprzęt lub oprogramowanie z certyfikatem Common Criteria albo FIPS-140 i traktują go jako potwierdzenie, że produkt spełnia wszystkie wymagania.

Co zrobić

W dokumencie certyfikacyjnym (Security Target w Common Criteria, Security Policy w FIPS-140, zwykle do około 100 stron) sprawdź dokładną nazwę i wersję produktu, poziom zapewnienia wraz z uwzględnionymi zagrożeniami, ocenianą konfigurację oraz to, co wyłączono z zakresu. Tam leżą rzeczywiste granice deklaracji bezpieczeństwa.