تحلیل اعتبار گواهینامه‌های امنیتی: چرا گواهی به معنای امنیت مطلق نیست

Security certification is a snapshot, and buyers read too much into it

ماریا باختینا از دانشگاه ماساریک هشدار می‌دهد که گواهینامه‌های امنیتی مانند Common Criteria یا FIPS-140 تنها یک تصویر لحظه‌ای از وضعیت محصول در گذشته هستند. تحلیل‌های جدید نشان می‌دهد که حدود ۶۰ درصد از آسیب‌پذیری‌های محصولات دارای گواهینامه، پس از تاریخ صدور گواهی کشف شده‌اند.

محدودیت‌های گواهینامه‌های امنیتی

گواهینامه‌هایی نظیر Common Criteria (CC) تنها تأیید می‌کنند که یک آزمایشگاه معتبر، محصول را در یک پیکربندی خاص و بر اساس ادعاهای خودِ فروشنده (Security Target) ارزیابی کرده است. این به معنای امنیت کلی محصول نیست و بسیاری از ویژگی‌ها ممکن است از محدوده ارزیابی خارج باشند.

در مورد FIPS 140، گواهی تنها مربوط به ماژول رمزنگاری است و هیچ تضمینی برای امنیت سیستم یا نرم‌افزاری که از آن استفاده می‌کند، ارائه نمی‌دهد. همچنین، سطح اطمینان (EAL) بالاتر لزوماً به معنای امنیت بیشتر نیست، بلکه تنها نشان‌دهنده دقت و عمق بیشتر در فرآیند ارزیابی است.

چالش‌های خرید و مدیریت گواهینامه‌ها

مدیران خرید اغلب تصور می‌کنند گواهینامه به معنای نبود آسیب‌پذیری است، در حالی که مواردی مانند ROCA، Minerva و TPM-Fail در محصولات دارای گواهینامه با سطوح اطمینان بالا کشف شده‌اند. علاوه بر این، گواهینامه‌ها دارای تاریخ انقضا هستند و پس از مدتی آرشیو می‌شوند، اما خریداران اغلب از وضعیت فعلی یا تغییرات پس از ارزیابی بی‌اطلاع می‌مانند.

ابزارهای شفاف‌سازی: sec-certs و SCRUTINY

تیم تحقیقاتی CRoCS برای مقابله با عدم شفافیت، ابزار متن‌باز sec-certs را توسعه داده است که اسناد گواهینامه‌ها را به یک پایگاه داده قابل جستجو تبدیل می‌کند. این ابزار گواهینامه‌ها را به آسیب‌پذیری‌های شناخته شده مرتبط می‌کند، هرچند دقت این تطبیق به دلیل ابهام در تعریف محدوده ارزیابی، حدود ۸۹ درصد است.

ابزار دیگر، SCRUTINY، یک کیت تست عملی است که عملکرد واقعی ماژول‌های رمزنگاری (مانند کارت‌های هوشمند یا تراشه‌های TPM) را بررسی می‌کند تا مشخص شود آیا پیاده‌سازی واقعی با ادعاهای فنی مطابقت دارد یا خیر.

نکته‌های کلیدی

• گواهینامه‌ها وضعیت محصول را در یک نقطه زمانی خاص نشان می‌دهند و تغییرات بعدی را پوشش نمی‌دهند.
• حدود ۶۰ درصد آسیب‌پذیری‌های محصولات دارای گواهینامه، پس از صدور گواهی شناسایی شده‌اند.
• گواهینامه CC بر اساس ادعاهای فروشنده صادر می‌شود و نه لزوماً امنیت جامع محصول.
• ابزار sec-certs امکان ردیابی وضعیت گواهینامه‌ها و آسیب‌پذیری‌های مرتبط را فراهم می‌کند.
• ابزار SCRUTINY برای تست عملی و اعتبارسنجی عملکرد رمزنگاری محصولات استفاده می‌شود.

چه باید کرد

• هنگام بررسی گواهینامه‌ها، حتماً محدوده (Scope) و پیکربندی ارزیابی‌شده را با نیازهای خود تطبیق دهید.
• از ابزارهایی مانند sec-certs برای بررسی وضعیت فعلی گواهینامه و وجود آسیب‌پذیری‌های مرتبط استفاده کنید.
• به جای تکیه صرف بر گواهینامه، از ابزارهای تست عملی مانند SCRUTINY برای ارزیابی واقعی عملکرد رمزنگاری استفاده کنید.
• از فروشنده بپرسید که آیا محصول مورد نظر پس از تاریخ صدور گواهینامه، بازنگری امنیتی شده است یا خیر.