Standards und Richtlinien fuer IT-Sicherheit

Im 1983 veroeffentlichtem Orange Book (1995 durch das Red Book erweitert) erfolgt die Klassifizierung von IT - Systemen nach einer Reihe von detailliert beschriebenen Kriterien in die sieben Sicherheitsklasse D, C1, C2, C3, B1, B2, B3 und A1.

Systeme, die nicht die Anforderungen erfuellen in einer der Sicherheitsklassen C1 bis A1 eingereiht zu werden, werden als Klasse - D - Systeme bezeichnet und stellen den geringsten Sicherheitsstandard dar.

Die Kriterien fuer die Sicherheitsklasse C erfordern das Vorhandensein von benutzerbestimmbaren Zugangsbeschraenkungen. Damit sind Systeme gemeint, bei denen vom Benutzer die Rechte fuer den Systemzugang bestimmt werden koennen.

C1 - Systeme sind fuer Benutzergruppen geeignet, die sich alle auf dem selben Sicherheitsniveau befinden. Es wird lediglich die Trennung zwischen Benutzern und Daten gefordert. Die meisten UN*X - Systeme erfuellen die Anforderungen von C1 - Systemen.

Fuer C2 - Systeme muessen die benutzerbestimmbaren Beschraenkungen so realisiert sein, dasz die Operationen der einzelnen Benutzer ueberwacht und gespeichert werden koennen. Die einzelnen Benutzer muessen individuell identifizierbar und die Ueberwachungsdaten vor nicht autorisierten Zugriffen geschuetzt sein.

Folgende Operationen muessen ueberwacht werden koennen:

Die Klasse - B - Systeme fordern hinausgehen ueber die Klasse - C - Systemvoraussetzungen die Implementation von festgelegten, regelbasierenden Schutzmechanismen. Fuer Benutzer dieser Systeme ist es nicht mehr moeglich, in irgendeiner Form Rechte zu vergeben. Dies ist ausschlieszlich dem Systemadministrator vorbehalten und erfolgt nach definierten Regeln. Diese Regeln basieren auf der Klassifikation der jeweiligen Informationen in:

Jedem Objekt ist ueber eine Markierung einer der genannten Geheimhaltungsgrade zugeordnet. Ob ein Benutzer berechtigt ist, auf ein Objekt zuzugreife, wird durch einen Vergleich von Benutzerberechtigung und dem Geheimhaltungsgrag des Objectes festgelegt.

B1 - Systeme haben demnach folgende Kriterien zu erfuellen:

Die Sicherheitsklasse B1 kann mit erheblichen Anstrengungen (vor allem im Bereich der Dokumentation) von UN*X - Systemen noch erreicht werden. Eine Reiche von Herstellern bieten spezielle Versionen ihrer Betriebssysteme an, die B1 - Konform sind:

B2 - Systeme verschaerfen die Sicherheitskriterien weiter und fordern ueber die B1 - Klassifizierung hinausgehend:

Die Aufgaben des Operators sind die Durchfuehrung von Routine - Taetigkeiten wie Systemstarte, Sicherungskopien oder Wartungsarbeiten. Der Systemverwalter hat die Berechtigung, neue Benutzerzugaenge einzurichten und Sicherheitskontrollen durchzufuehren.

Das einzige nach B2 zertifizierte Betriebssystem ist XENIX 3.0 von Trusted Information Systems Inc.

B3 konforme Systeme muessen in der Regel von Grund auf als solche konzipiert und entwickelt werden. Ein UNIX - basierendes, B3-konformes System wuerde eine vollstaendige Neugestaltung des Kernels erfordern. Zu Testzwecken muessen alle nicht mit Sicherheitsfunktionen in Verbindung stehenden Softwarekomponentet entfernt werden koennen. Neben den B2 - Anforderungen muessen insbesondere:

Das derzeit einzige nach B3 zertifizierte System ist XTS200 von Wang Federal Inc.

Klasse - A - Systeme erfordern keienrlei Systemerweiterungen gegenueber der B3 - Klassifikation. Es musz jedoch das gesamte Modell des Softwaredesign als formale Beschreibung vorhanden sein. Auf Grundlage dieser Beschreibung ist ein Nachweis der fehlerfreien Implementation der Software zu erbringen. Dazu musz Die Konsistenz des benutzten Sicherheitsmodells einer Ueberpruefung mit mathematischen Methoden standhalten. Schlieszlich muessen Mechanismen nachgewiesen werden, die die Auslieferung von Soft- und Hardware in der spezifierten Form garantieren. Derzeit erfuellt kein kommerziell verfuegbares Betriebssyste die Anfoderungen von A1.

Die Konformitaetspruefung und offizielle Klassifizierung nach dem Orange-Book - Standard wird von National Computer Security Center durchgefuehrt Die Dauer einer Evaluierung wird fuer ein bis zwei Jahre beanschlagt. Evaluierungen werden lediglich fuer die Sicherheitsklassen ab B1 durchgefuehrt. In einer technischen Richtlinie wurden von NCSC vor einiger Zeit Hinweise und Interpretationen zur Klassifikation von IT - Systemen veroeffentlicht. Eine Liste aller zertifizierten Produkte sowie Informationen zu Zertifizierung sind auf der Commercial Product Evaluations Website des amerikanischen Verteidigungsministeriums verfuegbar.

Im Januar 1996 wurde gemeinsam von USE, Kanada, Groszbritannien, Deutschland, Frankreicht und den Niederlanden ein einheitlicher, multinationaler Sicherheitsstandard verabschiedet. Common Criteria for Information Technology Security Evaluation (CCITSE). Nachdem 1991 mit ITSEC ein erster europaeischer Sicherheitskatalog mit sieben Sicherheitsstufen (E0 - E6) erarbeitet worden war, schlossen sich 1993 die europaeichen Arbeitsgruppen mit der kanadischen (CTCPEC) und der nordamerikanischen Arbeitsgruppe (TCSEC) zusammen und erarbeiteten die CCITSE - Spezifikation. In CCITSE werden dabei im Unterschied zu ITSEC und Orange-Book acht unterschiedliche Stufen von Sicherheitssystemen unterschieden:

Die in der Bundesrepublik fuer die CCITSE - Kriterien zustaendige Behoerde ist das Bundesamt fuer Sicherheit in der Informationsverarbeitung (http://www.bsi.de/).