Beveiligingsprofiel Boordcomputer Taxi (PP-BCT) Versie 1.8. Datum 6 februari 2015 Status Definitief

Transcriptie

1 Beveiligingsprfiel Brdcmputer Taxi (PP-BCT) Versie 1.8 Datum 6 februari 2015 Status Definitief

2

3 Beveiligingsprfiel Brdcmputer Taxi (PP-BCT) Versie 1.8 Datum 6 februari 2015 Status Definitief

4 Beveiligingsprfiel Brdcmputer Taxi (PP-BCT) 6 februari 2015 Inhud Artikel 1 Intrductie 5 Artikel 2 Afkrtingen, acrniemen, definities en referenties 5 Artikel 2.1 PP Referentie 5 Artikel 2.2 Claim vr vlden aan de Cmmn Criteria 5 Artikel 2.3 Ntities 5 Artikel 2.4 Afkrtingen en acrniemen 5 Artikel 2.5 Referentienrmen 6 Artikel 3 Overzicht van de TOE 6 Artikel 3.1 Beschrijving van de TOE 6 Artikel 3.2 Levenscyclus van de TOE 9 Artikel 3.3 Entiteiten 11 Artikel Subjecten - middelen 11 Artikel Subjecten gebruikers 11 Artikel Objecten 12 Artikel 3.4 Begrenzingen van de TOE 14 Artikel 4 Beveiligingsprbleem 15 Artikel 4.1 Beveiligingsbeleid 15 Artikel 4.2 Aannames 19 Artikel 5 Beveiligingsdelstellingen 20 Artikel 5.1 Beveiligingsdelen vr de TOE 20 Artikel 5.2 Beveiligingsdelen vr de mgeving 21 Artikel 6 Functinele beveiligingseisen 22 Artikel 6.1 Beveiligingsrllen 23 Artikel 6.2 Identificatie en Authenticatie 23 Artikel 6.3 BCT-tegangsbeleid 25 Artikel 6.4 Handtekeningen 28 Artikel 6.5 Beveiligingsaudit 29 Artikel 6.6 Bescherming van de BCT 32 Artikel 7 Garantieniveau 33 Artikel 8 Ratinale 33 Artikel 8.1 Beveiligingsdelstellingen 33 Artikel Beveiligingsbeleid 33 Artikel Aannames 35 Artikel 8.2 Beveiligingsdelstellingen vr de TOE 35 Artikel 8.3 Afhankelijkheden 37 Pagina 4 van 38

5 Beveiligingsprfiel Brdcmputer Taxi (PP-BCT) 6 februari 2015 Bijlage 1 bij de Regeling brdcmputer taxi Artikel 1 Intrductie Deze bijlage is een beveiligingsprfiel (Prtectin Prfile) vr de vertuigcmpnenten van de brdcmputer in vereenstemming met de Cmmn Criteria versie 3.1. Het beveiligingsprfiel geeft een beschrijving van het dr de brdcmputer te implementeren beleid, de te realiseren beveiligingsdelstellingen, en de te behalen beveiligingseisen, alsmede het vereiste garantieniveau vr de brdcmputer, zals afgeleid is bij een eerdere afhankelijkheids- en kwetsbaarheidsanalyse. Dit beveiligingsprfiel vr de brdcmputer is pgesteld vr de Inspectie Leefmgeving en Transprt van het Ministerie van Infrastructuur en Milieu. Artikel 2 Artikel 2.1 Artikel 2.2 Afkrtingen, acrniemen, definities en referenties PP Referentie Dit dcument is het Beveiligingsprfiel Brdcmputer Taxi (PP-BCT) Versie 1.8, 6 februari Claim vr vlden aan de Cmmn Criteria Dit beveiligingsprfiel vldet aan Cmmn Criteria versie 3.1 Revisie 4. Hewel de Internatinal English versie is gebruikt vr het ntwikkelen van dit beveiligingsprfiel, is (met testemming van het certificeringsschema) dit prfiel in het Nederlands. Dit beveiligingsprfiel: is CC Deel 2 cnfrm; is CC Deel 3 cnfrm; is EAL3 cnfrm; claimt niet te vlden aan andere beveiligingsprfielen; vereist strikte cnfrmering van andere beveiligingsprfielen (PPs) f beveiligingsspecificaties (STs) die aan dit beveiligingsprfiel willen vlden. Artikel 2.3 Ntities Dit dcument vlgt de naamgeving en ntaties vr beveiligingsprfielen vlgens de Cmmn Criteria standaard. Er zijn unieke labels tegewezen aan entiteiten zdat deze gemakkelijk terug te vinden zijn. De labels beginnen met één van de nderstaande karakters: A O OE OT P S Assumptin (aanname) Object (bject) Security bjective fr the Envirnment (mgevingsdelstellingen) Security bjective fr the TOE (beveiligingsdelstelling) Organisatinal Security Plicy (beleid) Subject (persn, middel f een prces) Artikel 2.4 Afkrtingen en acrniemen CA Certificatieautriteit CC Cmmn Criteria (referentienrm) CEN Eurpean Cmmittee fr Standardizatin Pagina 5 van 38

6 Beveiligingsprfiel Brdcmputer Taxi (PP-BCT) 6 februari 2015 CWA CEN Wrkshp Agreements EAL Evaluatin Assurance Level (garantieniveau) EH Elektrnische handtekening EPROM Erasable Prgrammable Read Only Memry ETSI Eurpean Telecmmunicatins Standards Institute FIPS Federal Infrmatin Prcessing Standards GNSS Glbal Navigatin Satellite System IEC Internatinal Electrtechnical Cmmissin IETF Internet Engineering Task Frce ISO Internatinal Organisatin fr Standardisatin PIN Persnal identificatin number (PIN-cde) PP Prtectin Prfile (Beveiligingsprfiel) PKI Public Key Infrastructure (publieke sleutel methdiek) PUB Public ROM Read Only Memry (ROM-geheugen) RFC Request fr Cmments SFP Security Functin Plicy SFR Security Functinal Requirement (Beveiligingseis) SHA Secure Hash Algrithm ST Security Target (Beveiligingsspecificatie) TOE Target f Evaluatin (nderwerp van de evaluatie) TS Technical Standard TSF TOE Security Functinality TSFI TSF Interface Artikel 2.5 Referentienrmen De TOE wrdt getetst cnfrm het nrmenkader van Cmmn Criteria fr Infrmatin Technlgy Security Evaluatin, versie 3.1, revisie 3, July De TOE ndersteunt de vlgende standaarden wanneer cryptgrafische bewerkingen dienen te wrden uitgeverd: Het SHA cryptgrafische algritme vr hash functies zals gedefinieerd in de ISO/IEC , FIPS PUB en ETSI TS standaarden; ETSI TS Electrnic Signature Frmats en de FIPS PUB standaarden vr elektrnische handtekeningen; Artikel 3 Artikel 3.1 Overzicht van de TOE Beschrijving van de TOE De TOE is een cntrleapparaat bedeld vr installatie in aut s gebruikt vr taxiverver. Het del is m handhavingprcessen te helpen uitveren dr de elektrnische registratie van de ritadministratie en de arbeids-, rij- en rusttijden en het p aanvraag ter beschikking stellen van deze infrmatie aan bevegde persnen ter cntrle. De TOE kent vier werkingsmdi, te weten: peratinele mdus, cntrle mdus, activering/keuringsmdus en bedrijfsmdus. De peratinele mdus kent drie werkingsniveaus: basis, arbeidstijd en taxiverver. Wanneer taxiverver wrdt aangebden f arbeidstijd plaatsheeft, selecteert de bestuurder handmatig het crrespnderende werkingsniveau. In de peratinele mdus, werkingsniveau arbeidstijd f taxiverver, wrden gegevens geregistreerd ver de uitgeverde taxiritten en de arbeids-, rij-, en rusttijden van de bestuurder. De aanvang en het Pagina 6 van 38

7 Beveiligingsprfiel Brdcmputer Taxi (PP-BCT) 6 februari 2015 beëindigen van een rit wrdt dr een actieve bedieningshandeling van de bestuurder bij de TOE kenbaar gemaakt. Hierbij dient de beladingtestand (beladen/nbeladen) te wrden aangegeven. Daarnaast draagt de TOE in alle mdi zrg vr het beschikbaar stellen van de basisgegevens tijd en afgelegde afstand, en de psitie van het vertuig. In het werkingsniveau basis wrdt k de registratie van gebeurtenissen geverd. In de peratinele mdus is het werkingsniveau basis een apart werkingsniveau. In de verige mdi integreert de TOE de basis functinaliteit met de verige functinaliteit van de betreffende mdus. De TOE bestaat ten minste uit een verwerkingseenheid, een geheugen, een tijdklk, een ISO 7816 kaartinterface, een ISO 7810 ID-000 kaartinterface ten beheve van de systeemkaart, een psitiebepalingssensr f een interface vr de psitiebepalingssensr, een verplaatsingspnemer, een interface vr de bewegingspnemer, een gegevensverbrengingsinterface, een interface vr de taxameter, een leesvenster en vrzieningen vr de inver van gebruikersgegevens. De TOE kan dr middel van additinele verbindingen aan andere inrichtingen wrden gekppeld, f daarmee geïntegreerd wrden. Tegang tt de TOE wrdt verleend dr middel van een brdcmputerkaart met PIN-cde en vrzien van een (authenticatie)certificaat. Er wrden vier gebruikersrllen vrzien, te weten bestuurder, tezichthuder, werkplaats en ververder. De mschakeling tussen werkingsmdi gebeurt dr het plaatsen van de crrecte brdcmputerkaart in de TOE. Er wrden vier verschillende kaarten nderscheiden, te weten: chauffeurskaart, inspectiekaart, keuringskaart en ndernemerskaart. Brdcmputerkaarten maken geen nderdeel uit van de TOE. Bij aanvang van de dienst dient een chauffeurskaart in de TOE te zijn geplaatst. De bestuurder meldt zich aan met de chauffeurskaart en een persnlijk identificatie cde (PIN-cde). De TOE registreert de persnlijke arbeids-, rij- en rusttijden van de bestuurder en slaat deze p in het interne geheugen van de TOE en p de chauffeurskaart. In vrkmende gevallen heeft een chauffeur geen kaart en dan dient hij zijn burgerservicenummer in te veren. Dit burgerservicenummer dient alleen vr identificatie, en wrdt dr de TOE verder niet gecntrleerd. De brdcmputerkaarten vr de bestuurder zijn vrzien van een certificaat vr het elektrnisch identificeren van de persn en het ndertekenen van geregistreerde gegevens. De TOE gebruikt een systeemkaart welke is vrzien van certificaten vr identificatie van de TOE en het plaatsen van elektrnische handtekeningen. Het certificaat ten beheve van de TOE wrdt in de prductiefase in de vrm van de systeemkaart geïmplementeerd in de TOE. Deze certificaten wrden uitgegeven nder verantwrdelijkheid van de Minister van Infrastructuur en Milieu. Systeemkaarten zijn geen nderdeel van de TOE. De TOE vert gegevens uit naar een leesvenster en kan gegevens ter beschikking stellen ten beheve van een externe printer en externe inrichtingen. Pagina 7 van 38

8 Beveiligingsprfiel Brdcmputer Taxi (PP-BCT) 6 februari 2015 De peratinele mgeving van de TOE geïnstalleerd in de aut is weergegeven in nderstaande figuur. Figuur 1 De systeemkaart plaatst een elektrnische handtekening (EH) per uitgeverde rit ver alle ritgegevens terstnd nadat de bestuurder heeft aangegeven dat de rit teneinde is. De chauffeurskaart plaatst een elektrnische handtekening bij het einde van de dienst van de bestuurder ver de arbeids-, rij- en rusttijden van de bestuurder gedurende de dienst. Hiervr wrdt het persnsgebnden certificaat van de chauffeurkaart gebruikt waarbij de bestuurder vraf zijn gedkeuring verleent dr het ingeven van de PIN-cde van de chauffeurskaart. De systeemkaart plaatst een elektrnische handtekening ver de geregistreerde gegevens wanneer deze wrden pgeslagen en wanneer deze wrden uitgeverd naar een externe gegevensdrager. Pagina 8 van 38

9 Beveiligingsprfiel Brdcmputer Taxi (PP-BCT) 6 februari 2015 De kppeling van bestuurder aan de geregistreerde gegevens en de waarbrging van de integriteit en authenticiteit van de gegevens wrdt in nderstaande figuur geïllustreerd: Figuur 2 Artikel 3.2 Levenscyclus van de TOE De typische levenscyclus van een TOE wrdt geïllustreerd dr nderstaande figuur. Het verkrijgen van een typegedkeuring is een verantwrdelijkheid van de fabrikant. Eventuele reparaties wrden uitgeverd dr, f nder verantwrdelijkheid van, de fabrikant. Installatie van eventuele nieuwere versies van prgrammatuur mgen dr erkende werkplaatsen met een prgrammatuurrevisie wrden uitgeverd na een succesvlle authenticatie met een keuringskaart. Indien naar het rdeel van de Dienst Wegverkeer bij/na het implementeren van een bepaalde prgrammatuurrevisie geen kalibratie van de brdcmputer bendigd is, dan mag die prgrammatuurrevisie k buiten een erkende werkplaats dr eenieder p de brdcmputer geïmplementeerd wrden indien deze zich in peratinele mdus met werkingsniveau basis bevindt en er geen gebruikerssessie actief is. Teneinde de blijvend crrecte werking van de brdcmputer te kunnen waarbrgen, met de brdcmputer ten aanzien van het implementeren van prgrammatuurrevisies de vlgende acties uitveren: Pagina 9 van 38

10 Beveiligingsprfiel Brdcmputer Taxi (PP-BCT) 6 februari 2015 De brdcmputer met verhinderen dat een prgrammatuurrevisie die wel gevlgd met wrden dr kalibratie kan wrden geïnstalleerd znder een vrafgaande succesvlle authenticatie met een keuringskaart. De brdcmputer met van elke aangebden prgrammatuurrevisie en daarin pgenmen prgrammatuur vaststellen dat deze integer en authentiek is, alvrens deze te installeren. De brdcmputer met van elke aangebden prgrammatuurrevisie middels een dr de Dienst Wegverkeer gedgekeurde p versienummers gebaseerde cntrle vaststellen dat de prgrammatuurrevisie geschikt is vr het vervangen van de p de brdcmputer peratinele prgrammatuur, alvrens de prgrammatuurrevisie te installeren. De brdcmputer met elke succesvl geïnstalleerde prgrammatuurrevisie direct na installatie in zijn geheugen registreren nder vermelding van de na installatie geldende basisgegevens, gebeurtenisgegevens en systeemgegevens. Brdcmputer Taxi levenscyclus Verantwrdelijkheid fabrikant Verantwrdelijkheid werkplaats Verantwrdelijkheid ndernemer Ontwikkelmgeving Installatie & keuring mgeving Operatinele mgeving Ontwikkeling (type)gedkeuring Prductie Kalibratie/ijking Sftware update(s) Peridieke cntrle Opslag Distributie Levering Installatie Acceptatie Operatineel Sftware update(s) Reparatie Sftware update(s) Einde levensduur Hergebruik Figuur 3 Pagina 10 van 38

11 Beveiligingsprfiel Brdcmputer Taxi (PP-BCT) 6 februari 2015 Artikel 3.3 Artikel Artikel Entiteiten Vr de TOE zijn de vlgende types van entiteiten (subjecten en bjecten) relevant: Subjecten - middelen S.BEWEGINGSOPNEMER Het instrument, f een deel ervan, gekppeld aan de TOE dat een signaal in de vrm van een impuls afgeeft ver de beweging van de aut p basis waarvan de TOE de afgelegde afstand van de aut kan bepalen. S.POSITIEBEPALINGSSENSOR Het instrument, f een deel ervan, gekppeld aan de TOE dat een signaal afgeeft aan de TOE ver de lcatie van de aut p basis van verkregen infrmatie van een satelliet psitiebepalingsysteem. S.BOORDCOMPUTERKAART De geheugenkaart met chip vr gebruik in de TOE waarmee de TOE de identiteit van de kaarthuder kan vaststellen en waarp gegevens kunnen wrden pgeslagen. S.SYSTEEMKAART De geheugenkaart met chip die de TOE in staat stelt een elektrnische handtekening te plaatsen. S.PRINTER Een externe inrichting waaraan gegevens beschikbaar kunnen wrden gesteld vr het afdrukken p papier. S.TAXAMETER De geijkte externe inrichting vr het bepalen van de ritprijs p basis van een tarievenstructuur. S.HANDHAVINGSMIDDELEN Fysiek aan de TOE gekppelde hulpmiddelen, waarnder externe gegevensdragers en k te beschuwen als externe gegevensdragers, t.b.v. tezichthuders vr het uitlezen en eventueel verwerken van gegevens. S.KALIBRATIEMIDDELEN Fysiek aan de TOE gekppelde hulpmiddelen, waarnder externe gegevensdragers en k te beschuwen als externe gegevensdragers, t.b.v. een erkende werkplaats vr het uitlezen van gegevens en/f het ijken, kalibreren, activeren en deactiveren van de TOE. S.BEDRIJFSMIDDELEN Fysiek f lgisch aan de TOE gekppelde hulpmiddelen, waarnder externe gegevensdragers en k te beschuwen als externe gegevensdragers, t.b.v. de ververder vr de verdracht van gegevens van en naar de bedrijfsadministratie. S.UPDATEMIDDELEN Fysiek f lgisch aan de TOE gekppelde hulpmiddelen, waarnder externe gegevensdragers en k te beschuwen als externe gegevensdragers, vr de verdracht van prgrammatuurrevisies naar de TOE. Subjecten gebruikers S.CHAUFFEURSKAART Een aan de bestuurder afgegeven brdcmputerkaart waarmee de brdcmputer de identiteit van de desbetreffende bestuurder kan vaststellen, een elektrnische handtekening kan plaatsen, en waarmee de peratinele mdus van de TOE kan wrden geactiveerd. S.INSPECTIEKAART Pagina 11 van 38

12 Beveiligingsprfiel Brdcmputer Taxi (PP-BCT) 6 februari 2015 Een aan de met het tezicht p de naleving belaste persn afgegeven brdcmputerkaart die de desbetreffende persn identificeert en waarmee de cntrlemdus van de brdcmputer kan wrden geactiveerd. S.KEURINGSKAART Een aan een erkende werkplaats afgegeven brdcmputerkaart die de desbetreffende werkplaats identificeert en waarmee de activerings- en keuringsmdus van de brdcmputer kan wrden geactiveerd. S.ONDERNEMERSKAART Een aan een ververder afgegeven brdcmputerkaart die de desbetreffende ververder identificeert en waarmee de bedrijfsmdus van de brdcmputer kan wrden geactiveerd. Artikel Objecten O.BASISGEGEVENS De tijd, afgelegde afstand en gegevens betreffende verplaatsing zals bijgehuden dr de TOE. O.ARBEIDSTIJDGEGEVENS De arbeids-, rij- en rusttijden gegevens van de bestuurder zijnde de rijtijd, pauze en andere werkzaamheden dan rijden geregistreerd dr de TOE. O.RITGEGEVENS De gegevens per individuele rit bestaande uit ten minste de begin- en eindlcatie, de begin- en einddatum en tijd, afgelegde afstand, de ritprijs, de beladingstestand en identiteit van de bestuurder geregistreerd dr de TOE. O.BEDRIJFSGEGEVENS Gegevens ver de ververder, waarnder autrisaties vr het gedurende een bepaalde peride nafhankelijk van een kaartsessie uitlezen van de TOE, zals zijn vastgelegd p de TOE. O.KAARTHOUDERGEGEVENS Gegevens pgeslagen p de brdcmputerkaart ingebracht in de TOE. O.POSITIEGEGEVENS Gegevens betreffende de lcatie van de aut die dr de S.POSITIEBEPALINGSSENSOR aan de TOE wrden aangeleverd. O.BEWEGINGSGEGEVENS Gegevens betreffende snelheid en afgelegde afstand die dr S.BEWEGINGSOPNEMER f S.POSITIEBEPALINGSSENSOR aan de TOE wrden aangeleverd. O.GEBEURTENISGEGEVENS Gegevens geregistreerd dr de TOE met betrekking tt rutinematige en uitznderlijke gebeurtenissen p basis waarvan analyses mgelijk zijn en de verantwrdelijke gebruiker f prces kan wrden bepaald. O.SYSTEEMGEGEVENS Specifieke gegevens ter ndersteuning f ndzakelijk vr het functineren van de TOE f vr identificatie en instellingen van de TOE functies, bestaande uit O.VASTE_SYSTEEMGEGEVENS, O.VARIABELE_SYSTEEMGEGEVENS en O.PROGRAMMATUURGEGEVENS. O.VASTE_SYSTEEMGEGEVENS Vaste gegevens van de TOE, zals de naam van diens fabrikant, het serienummer en het buwjaar. O.VARIABELE_SYSTEEMGEGEVENS Wijzigbare gegevens van de TOE, waarnder het kenteken van de aut en O.INSTELLINGSGEGEVENS. Pagina 12 van 38

13 Beveiligingsprfiel Brdcmputer Taxi (PP-BCT) 6 februari 2015 O.INSTELLINGSGEGEVENS Die subset van O.VARIABELE_SYSTEEMGEGEVENS die aan kalibratie nderhevig is. O.PROGRAMMATUUR De cmbinatie van TOE uitverbare cde en gegevens zals de CA certificaathiërarchie(ën) ndig vr het verifiëren van de geldigheid en authenticiteit van certificaten van brdcmputer- en systeemkaarten, alsmede de bij dat geheel behrende O.PROGRAMMATUURGEGEVENS. O.PROGRAMMATUURGEGEVENS Versie-identificerende (vaste) gegevens van O.PROGRAMMATUUR, waarnder een versienummer en een gedkeuringsnummer. De O.PROGRAMMATUURGEGEVENS van de p de TOE peratinele O.PROGRAMMATUUR vrmen eveneens een subset van O.SYSTEEMGEGEVENS. O.PROGRAMMATUURREVISIE De cmbinatie van een versie van O.PROGRAMMATUUR die is bedeld m de p de TOE peratinele O.PROGRAMMATUUR f delen daarvan te vervangen, een O.KALIBRATIEINDICATIE en een O.VERVANGBARE_VERSIES. O.KALIBRATIEINDICATIE Een vast attribuut van een O.PROGRAMMATUURREVISIE dat aanduidt f het vervangen van de p de TOE peratinele O.PROGRAMMATUUR met de in de O.PROGRAMMATUURREVISIE pgenmen O.PROGRAMMATUUR wel (psitief) f niet (negatief) gevlgd met wrden dr kalibratie van O.INSTELLINGSGEGEVENS. O.VERVANGBARE_VERSIES Een in een O.PROGRAMMATUURREVISIE pgenmen criterium (zals een lijst f wildcard) waarmee een versienummer kan wrden vergeleken m te bepalen f het met dat criterium crrespndeert. Ter verduidelijking is in de nderstaande figuur de samenhang van de p de TOE aanwezige O.SYSTEEMGEGEVENS en de p de TOE peratinele O.PROGRAMMATUUR en hun subbjecten / attributen grafisch weergegeven. O.SYSTEEMGEGEVENS O.VASTE_SYSTEEM- GEGEVENS, waarnder: - naam fabrikant - serienummer - buwjaar O.VARIABELE_SYSTEEM- GEGEVENS, waarnder: - kenteken O.PROGRAMMATUUR- GEGEVENS, waarnder: - versienummer - gedkeuringsnummer O.PROGRAMMATUUR - uitverbare cde - CA certificaathiërarchieën O.INSTELLINGS- GEGEVENS, waarnder: - cnstante brdcmputer Figuur 4 Pagina 13 van 38

14 Beveiligingsprfiel Brdcmputer Taxi (PP-BCT) 6 februari 2015 Eveneens ter verduidelijking is in de nderstaande figuur de pbuw van een O.PROGRAMMATUURREVISIE pgenmen. O.PROGRAMMATUURREVISIE, met: - O.KALIBRATIEINDICATIE - O.VERVANGBARE_VERSIES O.PROGRAMMATUUR- GEGEVENS, waarnder: - versienummer - gedkeuringsnummer O.PROGRAMMATUUR - uitverbare cde en/f - CA certificaathiërarchieën Figuur 5 Artikel 3.4 Begrenzingen van de TOE De TOE (Target f Evaluatin) is de selectie van hardware en sftware en bijbehrende handleidingen die uiteindelijk wrdt geëvalueerd. De TOE met alle functinaliteit mvatten die ndig is m aan de eisen in dit prfiel te vlden, maar mag daarnaast k andere zaken bevatten, zals een ruteplanningsapplicatie. De minimale mvang van de TOE wrdt schematisch weergegeven in nderstaande figuur: Pagina 14 van 38

15 Beveiligingsprfiel Brdcmputer Taxi (PP-BCT) 6 februari 2015 Figuur 6 Alle nderdelen die in deze afbeelding binnen de grijze mheining wrden weergegeven meten nderdeel zijn van de TOE. Dus bijvrbeeld de (vertuig) sensr vr bewegingsgegevens (bewegingspnemer) en de psitiebepalingssensr (GNSS) heven geen deel uit te maken van de TOE maar de aansluiting van deze sensren weer wel Andere zaken die in deze figuur zijn weergegeven (zals de taxameter en de printer), mgen nderdeel zijn van de TOE, hewel dit niet altijd praktisch is. Ok extra sftware en hardware die niet in deze figuur zijn weergegeven (zals de bvengenemde ruteplanningsapplicatie) mgen deel uitmaken van de TOE. Daarnaast is het tegestaan m extra hardware f sftware binnen de fysieke behuizing van de TOE p te nemen, znder dat deze hardware f sftware meteen nderdeel wrden van de TOE. Het is echter niet tegestaan m tijdens de evaluatie van de TOE aan te nemen dat deze extra hardware f sftware vertruwd f gedaardig is: de evaluatie van de TOE dient ndubbelzinnig aan te tnen dat de TOE ng steeds vldet aan dit Beschermingsprfiel als deze pgenmen hardware f sftware niet vertruwd f gedaardig is. Artikel 4 Artikel 4.1 Beveiligingsprbleem Beveiligingsbeleid P.VASTLEGGEN De TOE legt de vlgende gegevens vast, afhankelijk van de werkingsmdus en het actieve werkingsniveau: Pagina 15 van 38

16 Beveiligingsprfiel Brdcmputer Taxi (PP-BCT) 6 februari 2015 Operatinele mdus basis: In ingeschakelde testand registreert de TOE altijd de psitie- en gebeurtenisgegevens. Direct na installatie van een prgrammatuurrevisie registreert de TOE de na installatie geldende basisgegevens, gebeurtenisgegevens en systeemgegevens. Indien een brdcmputerkaart is ingebracht registreert de TOE de identiteit van de kaarthuder; Operatinele mdus arbeidstijd: Na een handmatige selectie van het werkingsniveau arbeidstijd, registreert de TOE de psitie- en gebeurtenisgegevens en de arbeidstijdgegevens. Het werkingsniveau arbeidstijd wrdt autmatisch geselecteerd dr het inbrengen van de chauffeurskaart, en kan znder chauffeurskaart handmatig geselecteerd wrden na het inveren van een burgerservicenummer. Indien een brdcmputerkaart is ingebracht registreert de TOE de identiteit van de kaarthuder, indien identificatie plaatsvindt met een burgerservicenummer, dan registreert de TOE dit burgerservicenummer; Operatinele mdus taxiverver: Na een handmatige selectie van het werkingsniveau taxiverver, registreert de TOE de psitie- en gebeurtenisgegevens, de arbeidstijdgegevens en de ritgegevens. Indien een brdcmputerkaart is ingebracht registreert de TOE de identiteit van de kaarthuder, indien identificatie plaatsvindt met een burgerservicenummer, dan registreert de TOE dit burgerservicenummer; Cntrlemdus: De TOE registreert de psitie- en gebeurtenisgegevens en de identiteit van de kaarthuder; Activering/keuringsmdus: De TOE registreert de psitie- en gebeurtenisgegevens en de identiteit van de kaarthuder. Direct na installatie van een prgrammatuurrevisie registreert de TOE de na installatie geldende basisgegevens, gebeurtenisgegevens en systeemgegevens; Bedrijfsmdus: De TOE registreert de psitie- en gebeurtenisgegevens en de identiteit van de kaarthuder. P.BEWAREN_EN_BORGEN De TOE bewaart de vastgelegde gegevens zdat: wijzigingen van de gegevens detecteerbaar zijn; de gegevens nweerlegbaar gekppeld zijn aan de TOE; de gegevens nweerlegbaar gekppeld zijn aan de huder van een brdcmputerkaart. P.ACTIES De TOE kan de vlgende acties uitveren, afhankelijk van de werkingsmdus, het actieve werkingsniveau en de ingebrachte en geauthenticeerde brdcmputerkaart: Selecteren van de juiste werkingsmdus; Activering, deactivering en nderzek van de TOE; Instellen van de bedrijfsvergrendeling; Detecteren en registreren van stringen 1 ; Detecteren en registeren van futen 2 ; Detecteren en registeren van gebeurtenissen; 1 Een string treedt p wanneer een nderbreking in de crrecte werking van de brdcmputer dr een gebeurtenis f fut een permanent karakter heeft. 2 Een fut treedt p wanneer de crrecte werking van de brdcmputer gedurende krte tijd wrdt nderbrken. Pagina 16 van 38

17 Beveiligingsprfiel Brdcmputer Taxi (PP-BCT) 6 februari 2015 Gegevens tnen p een leesvenster; Gegevens verbrengen van en naar een externe gegevensdrager; Gegevens verbrengen van de chauffeurskaart naar de TOE; Gegevens verbrengen naar een externe inrichting; Gegevens beschikbaar stellen t.b.v. een printer; Geven van waarschuwingssignalen Prgrammatuurrevisies verbrengen van externe updatemiddelen naar de TOE; Prgrammatuur van de TOE updaten met prgrammatuur uit een prgrammatuurrevisie. P.UITVOEREN_GEGEVENS De TOE kan de geregistreerde gegevens uitveren, afhankelijk van de ingebrachte brdcmputerkaart: Geen kaart, geen andere authenticatie: systeemgegevens naar een leesvenster. Geen kaart, authenticatie p basis van burgerservicenummer: systeemgegevens naar een leesvenster; ritgegevens van de huidige sessie naar een leesvenster; arbeids-, rij- en rusttijden van de huidige sessie naar een leesvenster; ritgegevens van de huidige sessie naar een uitverinterface vr een printer; arbeids-, rij- en rusttijden van de huidige sessie naar een uitverinterface vr een printer; Chauffeurskaart: systeemgegevens naar een leesvenster; eigen ritgegevens naar een leesvenster; eigen arbeids-, rij- en rusttijden naar een leesvenster; eigen arbeids-, rij- en rusttijden naar de chauffeurskaart; eigen ritgegevens naar een uitverinterface vr een printer; eigen arbeids-, rij- en rusttijden naar een uitverinterface vr een printer. Inspectiekaart: alle gegevens met uitzndering van psitiegegevens en beveiligingsgegevens, naar een leesvenster; naar een uitverinterface vr een printer; naar een extern handhavingsmiddel. Keuringskaart: alle gegevens met uitzndering van psitiegegevens en beveiligingsgegevens, naar een leesvenster; naar een uitverinterface vr een printer; naar een extern kalibratiemiddel. Keuringskaart, na actieve handeling gevlgd dr Inspectiekaart: de psitiegegevens naar een extern handhavingsmiddel. Ondernemerskaart: alle gegevens vastgelegd in de bedrijfsvergrendeling vr de desbetreffende ververder met uitzndering van psitiegegevens en beveiligingsgegevens, naar een leesvenster; naar een uitverinterface vr een printer; naar een extern bedrijfsmiddel. Pagina 17 van 38

18 Beveiligingsprfiel Brdcmputer Taxi (PP-BCT) 6 februari 2015 Ondernemerskaart: systeemgegevens naar een leesvenster; naar een uitverinterface vr een printer; naar een extern bedrijfsmiddel. De TOE kan de systeemgegevens en alle gegevens vastgelegd in de bedrijfsvergrendeling vr een bepaalde ververder met uitzndering van psitiegegevens en beveiligingsgegevens uitveren naar een extern bedrijfsmiddel (p afstand f lkaal) indien de TOE vr de betreffende ververder vergrendeld is en de TOE, als nderdeel van de bedrijfsgegevens, beschikt ver een unieke autrisatie vr deze uitver die een ng niet verstreken geldigheidsperide vr deze uitver vermeldt. P.INVOEREN_GEGEVENS De TOE kan gegevens inveren, afhankelijk van de ingebrachte brdcmputerkaart: Keuringskaart: variabele systeemgegevens van het bedieningspaneel; variabele systeemgegevens van een extern kalibratiemiddel. Ondernemerskaart: bedrijfsgegevens van het bedieningspaneel; bedrijfsgegevens van een extern bedrijfsmiddel. De TOE kan, nafhankelijk van het bestaan van een gebruikerssessie: Prgrammatuurrevisies inveren van een extern updatemiddel; Bedrijfsgegevens, waarnder unieke autrisaties vr gegevensuitver zals vermeld nder P.UITVOEREN_GEGEVENS, inveren van een extern bedrijfsmiddel (p afstand f lkaal), indien de TOE vr de betreffende ververder vergrendeld is en de bedrijfsgegevens zijn ndertekend dr een ndernemerskaart van die ververder. P.VEILIG_UPDATEN De TOE kan zijn peratinele prgrammatuur updaten met de prgrammatuur uit een (van een extern updatemiddel afkmstige) prgrammatuurrevisie indien de TOE heeft vastgesteld dat de prgrammatuurrevisie integer en authentiek is, uit het crrespnderen van het versienummer van de p de TOE peratinele prgrammatuur met de dr de Dienst Wegverkeer gedgekeurde invulling van O.VERVANGBARE_VERSIES blijkt dat de prgrammatuur uit de prgrammatuurrevisie geschikt is vr het updaten van de in de TOE peratinele prgrammatuur en een van de vlgende situaties van tepassing is: p de TOE is een werkplaatssessie actief f p de TOE is geen gebruikerssessie actief en uit de dr de Dienst Wegverkeer gedgekeurde invulling van O.KALIBRATIEINDICATIE Pagina 18 van 38

19 Beveiligingsprfiel Brdcmputer Taxi (PP-BCT) 6 februari 2015 Artikel 4.2 Aannames 3 blijkt dat het updaten niet gevlgd heft te wrden dr kalibratie van de TOE. P.DEACTIVERING De TOE kan met behulp van een keuringskaart wrden gedeactiveerd. Alle gegevens pgeslagen p de TOE tijdens de deactivering wrden vergebracht naar een extern kalibratiemiddel met uitzndering van psitiegegevens. Psitiegegevens kunnen alleen wrden vergebracht naar extern handhavingsmiddel als er tijdens P.DEACTIVERING p de TOE wrdt aangemeld met achtereenvlgens S.KEURINGSKAART en S.INSPECTIEKAART. A.BEDIENING Er wrdt verndersteld dat de bestuurder van de aut de TOE juist bedient en crrect het werkingsniveau, de beladingtestand en het mment van aanvang en beëindiging van een rit selecteert. A.SENSOREN Er wrdt verndersteld dat de gegevens aangebden p de sensrinterface(s) crrect zijn. A.SYSTEEMKAART Er wrdt verndersteld dat de systeemkaart een certificaat bevat welk nweerlegbaar is gekppeld met de TOE; alle gegevens die dr de TOE wrden aangebden crrect ndertekent; de handtekening terugstuurt naar de TOE. A.BOORDCOMPUTERKAART Er wrdt verndersteld dat een ingebrachte brdcmputerkaart een certificaat bevat welk nweerlegbaar is gekppeld met de brdcmputerkaarthuder; alle gegevens die dr de TOE wrden aangebden crrect ndertekent; de handtekening terugstuurt naar de TOE. A.BOORDCOMPUTERKAARTHOUDER Er wrdt verndersteld dat brdcmputerkaarthuders hun brdcmputerkaart niet aan derden uitreiken en hun PIN-cde geheim huden. A.PRINTER Er wrdt verndersteld dat gegevens die wrden aangebden ten beheve van een aangeslten printer, crrect wrden afgedrukt dr die printer. A.VOOR_ACTIVERING De TOE wrdt in inactieve testand geleverd aan vertuigfabrikanten, installateurs en/f erkende werkplaatsen. Deze zullen de TOE installeren waarna een erkende werkplaats de TOE zal kalibreren en vervlgens activeren. Na activering kan de TOE dr een erkende werkplaats middels deactivering weer in inactieve testand 3 NB: Dit zijn zaken die in de CC wrden aangenmen als zijnde waar. Ze wrden niet gecntrleerd. Mchten ze in de praktijk niet waar wrden gemaakt, dan is het zeer aannemelijk dat de TOE niet zijn delen zal bereiken. Pagina 19 van 38

20 Beveiligingsprfiel Brdcmputer Taxi (PP-BCT) 6 februari 2015 wrden teruggebracht. De cyclus van activering en deactivering dr erkende werkplaatsen kan zich gedurende de levensduur van de TOE meerdere keren herhalen. Vertuigfabrikanten, installateurs en/f erkende werkplaatsen zullen de integriteit van de TOE beschermen zlang de TOE zich niet in actieve testand bevindt. Artikel 5 Artikel 5.1 Beveiligingsdelstellingen Beveiligingsdelen vr de TOE OT.AUDIT De TOE legt beveiligingsrelevante gebeurtenisgegevens vast en tnt deze p het beeldscherm. OT.AUTHENTICATIE_BOORDCOMPUTERKAART De TOE zal een ingebrachte brdcmputerkaart authenticeren dr middel van zwel: een dr de eigenaar van de brdcmputerkaart in te brengen PIN; een p de brdcmputerkaart aanwezig geldig en authentiek certificaat. OT.VASTLEGGEN De TOE legt gegevens vast vlgens de regels van P.VASTLEGGEN en zdanig dat de geregistreerde gegevens een crrecte afspiegeling zijn van de waarden aangebden p de sensrinterface(s). OT.KOPPELEN_AAN_SYSTEEMKAART De TOE zal gegevens die geregistreerd dienen te wrden aan de systeemkaart aanbieden ter ndertekening met een elektrnische handtekening. OT.KOPPELEN_AAN_BOORDCOMPUTERKAART De TOE zal arbeids-, rij- en rusttijden van de bestuurder die geregistreerd dienen te wrden, aan de chauffeurskaart aanbieden ter ndertekening met een elektrnische handtekening. OT.OPSLAAN De TOE zal gegevens die geregistreerd dienen te wrden pslaan. De gegevens zullen gezamenlijk wrden pgeslagen met de elektrnische handtekeningen ver deze gegevens. OT.UITVOEREN_GEGEVENS De TOE kan geregistreerde gegevens uitveren vlgens de regels van P.UITVOEREN_GEGEVENS. Tenzij gegevens wrden uitgeverd naar printer f leesvenster wrden de bij de gegevens pgeslagen elektrnische handtekeningen eveneens uitgeverd. OT.INVOEREN_GEGEVENS De TOE kan gegevens inveren vlgens de regels van P.INVOEREN_GEGEVENS. OT.FYSIEKE_BEVEILIGING De TOE biedt fysieke weerstand zdanig dat het penmaken van de TOE in een labratrium kan wrden vastgesteld. Pagina 20 van 38

21 Beveiligingsprfiel Brdcmputer Taxi (PP-BCT) 6 februari 2015 OT.BEWAKING_INTEGRITEIT De TOE zal de integriteit van de gegevens ten minste bewaken dr: Het testen van de integriteit van pgeslagen gegevens bij het pstarten van de TOE (O.SYSTEEMGEGEVENS), p verzek van een gebruiker f bij het verbrengen van gegevens; Het testen van de integriteit van de p de TOE peratinele O.PROGRAMMATUUR bij het pstarten van de TOE f p verzek van een gebruiker; Het testen van de crrecte werking van de TOE en de S.SYSTEEMKAART bij het pstarten van de TOE f p verzek van een gebruiker. OT.VEILIG_UPDATEN De TOE kan zijn peratinele prgrammatuur updaten met de prgrammatuur uit een (van een extern updatemiddel afkmstige) prgrammatuurrevisie indien de TOE heeft vastgesteld dat de prgrammatuurrevisie integer en authentiek is, het versienummer van de p de TOE peratinele prgrammatuur crrespndeert met het criterium in O.VERVANGBARE_VERSIES en een van de vlgende situaties van tepassing is: p de TOE is een werkplaatssessie actief f p de TOE is geen gebruikerssessie actief en O.KALIBRATIEINDICATIE is negatief. Artikel 5.2 Beveiligingsdelen vr de mgeving OE.VOOR_ACTIVERING De TOE wrdt in inactieve testand geleverd aan vertuigfabrikanten, installateurs en/f erkende werkplaatsen. Deze zullen de TOE installeren waarna een erkende werkplaats de TOE zal kalibreren en vervlgens activeren. Na activering kan de TOE dr een erkende werkplaats middels deactivering weer in inactieve testand wrden teruggebracht. De cyclus van activering en deactivering dr erkende werkplaatsen kan zich gedurende de levensduur van de TOE meerdere keren herhalen. Vertuigfabrikanten, installateurs en/f erkende werkplaatsen zullen de integriteit van de TOE beschermen zlang de TOE zich niet in actieve testand bevindt. OE.SENSOREN De mgeving van de TOE dient ervr zrg te dragen dat de gegevens die wrden aangebden p de sensrinterface(s) crrect zijn. Dit kan bijvrbeeld dr: crrecte installatie van TOE en sensren in het vertuig; cntrle van het vertuig p manipulatie van sensren en/f aansluiting. OE.PRINTER De mgeving van de TOE dient ervr zrg te dragen dat de gegevens die wrden aangebden dr de TOE aan de printer crrect wrden afgedrukt. Dit kan bijvrbeeld dr: crrecte installatie van TOE en printer in het vertuig; cntrle van het vertuig p manipulatie van printer en/f aansluiting. OE.BEDIENING Pagina 21 van 38

22 Beveiligingsprfiel Brdcmputer Taxi (PP-BCT) 6 februari 2015 De mgeving van de TOE dient ervr zrg te dragen dat de bestuurder van de aut crrect gebruik maakt van de mgelijkheden m het werkingsniveau, de beladingtestand, het begin en einde van een rit en de aanvang en einde van de dienst te selecteren. Dit kan bijvrbeeld dr: handleidingen en instructies; pleiding en training; ergnmisch ntwerp van de TOE en mntage in de aut. OE.SYSTEEMKAART De mgeving van de TOE dient een systeemkaart te bevatten die: een certificaat bevat welk nweerlegbaar is gekppeld met de TOE; alle gegevens die dr de TOE wrden aangebden crrect ndertekent; de handtekening terugstuurt naar de TOE. OE.BOORDCOMPUTERKAART De mgeving van de TOE dient brdcmputerkaarten te bevatten die: een certificaat bevat welk nweerlegbaar is gekppeld met de brdcmputerkaarthuder; alle gegevens die dr de TOE wrden aangebden crrect ndertekent; de handtekening terugstuurt naar de TOE. OE.BOORDCOMPUTERKAARTHOUDER Brdcmputerkaarthuders dienen hun brdcmputerkaart niet aan derden uit te reiken en hun PIN-cde geheim te huden. Bestuurders mgen maar één geldige chauffeurskaart in hun bezit hebben. OE.DEACTIVERING De TOE wrdt buiten gebruik gesteld (deactivering) dr erkende werkplaatsen. De pgeslagen gegevens wrden hierbij verwijderd met uitzndering van O.SYSTEEMGEGEVENS, O.PROGRAMMATUUR en O.POSITIEGEGEVENS. OE.VEILIG_UPDATEN De mgeving van de TOE dient prgrammatuurrevisies aan te leveren waarvan, vrafgaand aan het dr de fabrikant aan de prgrammatuurrevisie aanbrengen van enig integriteits- en authenticiteitskenmerk, de dr de fabrikant gekzen invulling van O.VERVANGBARE_VERSIES zdanig is dat deze dr de TOE wrdt gebruikt m vast te stellen f de prgrammatuur uit de desbetreffende prgrammatuurrevisie geschikt is vr het updaten van de p de TOE peratinele prgrammatuur en de dr de fabrikant gekzen invulling van O.KALIBRATIEINDICATIE en O.VERVANGBARE_VERSIES is gedgekeurd dr de Dienst Wegverkeer. Artikel 6 Functinele beveiligingseisen De functinele beveiligingseisen zijn verdeeld in een aantal functinele grepen. Iedere grep bevat één f meer nderling samenhangende eisen. De grepen zijn: Beveiligingsrllen: Deze definiëren de verschillende rllen en mdi van de TOE, en he deze rllen wrden aangenmen. Identificatie en Authenticatie: Deze definiëren he brdcmputerkaarten en andere randapparatuur wrden geïdentificeerd en waar ndig geauthenticeerd. Pagina 22 van 38

23 Beveiligingsprfiel Brdcmputer Taxi (PP-BCT) 6 februari 2015 BCT-tegangsbeleid: Hier wrdt beschreven wat wrdt vastgelegd, en wie daar wat mee mag den. Handtekeningen: Hier wrdt beschreven he handtekeningen wrden gevraagd aan Systeemkaart en Brdcmputerkaart Beveiligingsaudit: Hier wrdt beschreven he welke systeemgebeurtenissen wrden geregistreerd en he deze zijn beschermd Bescherming van de BCT: Hier wrdt beschreven he de fysieke beveiliging van de BCT werkt en he de integriteit wrdt gewaarbrgd. Artikel 6.1 Artikel 6.2 Beveiligingsrllen FMT_SMR.2 Restricties p gebruikersrllen FMT_SMR.2.1 De TSF kent de vlgende gebruikersrllen: BESTUURDER TOEZICHTHOUDER WERKPLAATS VERVOERDER ONBEKEND FMT_SMR.2.2 De TSF kan rllen met gebruikers assciëren FMT_SMR.2.3 De TSF zal de vlgende regels afdwingen: De rl BESTUURDER wrdt aangenmen (en de werkingsmdus wrdt Operatinele Mdus Arbeidstijd) als S.CHAUFFEURSKAART is ingebracht en geauthenticeerd, f als geen S.BOORDCOMPUTERKAART is ingebracht en de gebruiker met het burgerservicenummer is geïdentificeerd. De rl TOEZICHTHOUDER wrdt aangenmen (en de werkingsmdus wrdt Cntrle Mdus) als S.INSPECTIEKAART is ingebracht en geauthenticeerd De rl WERKPLAATS wrdt aangenmen (en de werkingsmdus wrdt Activerings/Keuringsmdus) als S.KEURINGSKAART is ingebracht en geauthenticeerd De rl VERVOERDER wrdt aangenmen (en de werkingsmdus wrdt Bedrijfsmdus) als S.ONDERNEMERSKAART is ingebracht en geauthenticeerd De rl ONBEKEND wrdt aangenmen (en de werkingsmde wrdt Operatinele Mdus Basis) als: Geen kaart is ingebracht en de gebruiker heeft zich niet met burgerservicenummer geïdentificeerd Wel een kaart is ingebracht maar de authenticatie faalt Identificatie en Authenticatie FIA_UID.1 Tijd van identificatie (Brdcmputerkaarten) FIA_UID.1.1 De TSF staat het registreren van de O.POSITIEGEGEVENS, en O.GEBEURTENISGEGEVENS namens de gebruikersrl ONBEKEND te, vrdat een gebruiker is geïdentificeerd. FIA_UID.1.2 De TSF eist dat S.CHAUFFEURSKAART, S.INSPECTIEKAART, S.KEURINGSKAART, en S.ONDERNEMERSKAART succesvl zijn geïdentificeerd p basis van de identiteit weergegeven in het certificaat p die brdcmputerkaart, alvrens andere handelingen te verrichten namens de desbetreffende gebruiker. FIA_UAU.1 Tijd van authenticatie (Brdcmputerkaarten) FIA_UAU.1.1 De TSF staat het registreren van de O.BASISGEGEVENS, O.ARBEIDSTIJDGEGEVENS, O.RITGEGEVENS, O.POSITIEGEGEVENS, Pagina 23 van 38

24 Beveiligingsprfiel Brdcmputer Taxi (PP-BCT) 6 februari 2015 O.BEWEGINGSGEGEVENS en O.GEBEURTENISGEGEVENS namens de gebruikersrl ONBEKEND te, vrdat een gebruiker is geauthenticeerd. FIA_UAU.1.2 De TSF eist dat S.CHAUFFEURSKAART, S.INSPECTIEKAART, S.KEURINGSKAART en S.ONDERNEMERSKAART succesvl zijn geauthenticeerd p basis van: Een minimaal 4 karakter lange PIN (deze authenticatie wrdt dr S.CHAUFFEURSKAART, S.INSPECTIEKAART, S.KEURINGSKAART en S.ONDERNEMERSKAART uitgeverd en het resultaat wrdt dr deze aan de TSF gerapprteerd), en Verificatie dat het certificaat p de brdcmputerkaart geldig en authentiek is. FIA_AFL.1 Falen van authenticatie (FIA_AFL) FIA_AFL.1.1 De TSF detecteert wanneer vijf (5) peenvlgende niet-succesvlle authenticatiepgingen plaatsvinden gerelateerd aan het authenticeren van dezelfde S.CHAUFFEURSKAART, S.INSPECTIEKAART, S.KEURINGSKAART f S.ONDERNEMERSKAART FIA_AFL.1.2 Als er vijf (5) peenvlgende niet-succesvlle authenticatiepgingen zijn gedetecteerd, dan zal de TSF: een gebeurtenis genereren; de gebruiker waarschuwen; aannemen dat de gebruikersrl ONBEKEND is. FIA_UAU.6 Herauthenticeren FIA_UAU.6.1 De TSF zal S.CHAUFFEURSKAART, S.INSPECTIEKAART, S.KEURINGSKAART en S.ONDERNEMERSKAART herauthenticeren nder de vlgende cndities: bij het plaatsen van een elektrnische handtekening dr een brdcmputerkaart; bij het inveren van de brdcmputerkaart; bij het pheffen van een geblkkeerde kaartsessie; bij herstel van de strmvrziening na een nderbreking FTA_SSL.2 Blkkeren van een sessie p initiatief van een gebruiker FTA_SSL.2.1 De TSF zal S.BOORDCOMPUTERKAART testaan een sessie te blkkeren dr het uitnemen van S.BOORDCOMPUTERKAART znder dat is aangegeven dat de sessie van de gebruiker is beëindigd en als de aut zich in de testand stilstaan bevindt dr middel van: het wissen van het scherm het blkkeren van alle inverapparatuur behalve die bendigd is vr het pheffen van de blkkering FTA_SSL.2.2 De TSF eist dat de vlgende handelingen plaatsvinden alvrens de blkkering p te heffen: het pnieuw inbrengen van dezelfde S.CHAUFFEURSKAART waarvr de kaartsessie is geblkkeerd. FTA_SSL.3 Autmatisch beëindigen van een sessie FTA_SSL.3.1 De TSF beëindigt een kaartsessie: Pagina 24 van 38

25 Beveiligingsprfiel Brdcmputer Taxi (PP-BCT) 6 februari 2015 als een geblkkeerde S.CHAUFFEURSKAART sessie niet binnen 60 minuten wrdt hervat; meteen als een andere S.BOORDCOMPUTERKAART wrdt ingebracht dan waarvr de TSF is geblkkeerd, tenzij de TSF in de testand P.DEACTIVERING is geplaatst dr een S.KEURINGSKAART waarna een S.INSPECTIEKAART wrdt aangebden, f; in de Operatinele Mdus Arbeidstijd f Operatinele Mdus Taxiverver een S.INSPECTIEKAART wrdt aangebden; als in een sessie van een S.ONDERNEMERSKAART, S.INSPECTIEKAART f S.KEURINGSKAART gedurende 5 minuten geen handelingen aan de TSF verricht. FIA_UID.2 Identificatie vr enige actie (Systeemkaart) FIA_UID.2.1 De TSF identificeert S.SYSTEEMKAART p basis van de identiteit weergegeven in het machine-gebnden certificaat zals vastgelegd p de systeemkaart verbnden met de TOE, alvrens handelingen te verrichten namens S.SYSTEEMKAART. FIA_UID.2 Identificatie vr enige actie (Overigen) FIA_UID.2.1 De TSF identificeert S.BEWEGINGSOPNEMER, S.POSITIEBEPALINGSSENSOR, S.PRINTER, S.TAXAMETER, S.HANDHAVINGSMIDDELEN, S.KALIBRATIEMIDDELEN, S.BEDRIJFSMIDDELEN en S.UPDATEMIDDELEN p basis van hun aanwezigheid p de daarvr bestemde interface, alvrens handelingen te verrichten namens de desbetreffende subjecten. Artikel 6.3 BCT-tegangsbeleid FDP_ACC.2 Vlledige tegangscntrle FDP_ACC.2.1 De TSF dwingt het tepassen van het BCT-tegangsbeleid af vr alle subjecten, alle bjecten en alle handelingen 4. FDP_ACC.2.2 De TSF garandeert dat alle verrichtingen tussen een subject gecntrleerd dr de TSF en een bject gecntrleerd dr de TSF zijn nderwrpen aan een tegangscntrle SFP. FDP_ACF.1 Tegangscntrle p basis van attributen FDP_ACF.1.1 De TSF dwingt het tepassen van het BCT-tegangsbeleid af vr bjecten vr alle subjecten en alle bjecten. FDP_ACF.1.2 De TSF dwingt de vlgende regels af m te bepalen f een verrichting tussen gecntrleerde subjecten en gecntrleerde bjecten is tegestaan: TSF zal: Altijd O.BEWEGINGSGEGEVENS inlezen, samenvatten, en samen met de tijd 5 en de gegevens betreffende verplaatsing beschikbaar stellen als O. BASISGEGEVENS; Altijd O.POSITIEGEGEVENS inlezen en vastleggen; O.ARBEIDSTIJDGEGEVENS vastleggen in Operatinele Mdus Arbeidstijd en Operatinele Mdus Taxiverver; O.RITGEGEVENS vastleggen in Operatinele Mdus Taxiverver. 4 Er zijn geen relevante beveiligingsattributen. 5 Zie FPT_STM.1 Pagina 25 van 38

26 Beveiligingsprfiel Brdcmputer Taxi (PP-BCT) 6 februari 2015 Altijd O.PROGRAMMATUURREVISIEs (kunnen) inlezen van S.UPDATEMIDDELEN en (t.b.v. een eventuele update) vastleggen; Direct na het uitveren van een sftware update met een O.PROGRAMMATUURREVISIE de na de update geldende O.BASISGEGEVENS, O.GEBEURTENISGEGEVENS en O.SYSTEEMGEGEVENS vastleggen in Operatinele Mdus Basis c.q. Activerings- en Keuringsmdus; O.BEDRIJFSGEGEVENS van een bepaalde ververder (kunnen) inlezen van S.BEDRIJFSMIDDELEN, indien: de TSF vr de desbetreffende ververder is vergrendeld en de O.BEDRIJFSGEGEVENS zijn ndertekend dr een S.ONDERNEMERSKAART van de desbetreffende ververder; De vlgende gegevens: O.SYSTEEMGEGEVENS en alle O.BASISGEGEVENS, O.ARBEIDSTIJDENGEGEVENS, O.RITGEGEVENS, O.BEDRIJFSGEGEVENS, O.KAARTHOUDERGEGEVENS en O.GEBEURTENISGEGEVENS geregistreerd gedurende de peride dat de TSF vr de desbetreffende ververder is vergrendeld f vergrendeld geweest (bedrijfsvergrendeling) (kunnen) uitveren naar S.BEDRIJFSMIDDELEN, indien: de TSF vr de desbetreffende ververder is vergrendeld en de TSF, als nderdeel van O.BEDRIJFSGEGEVENS, beschikt ver een unieke autrisatie vr deze uitver die een ng niet verstreken geldigheidsperide vr deze uitver vermeldt. NB: Als gegevens wrden vastgelegd dan is dat inclusief de elektrnische handtekening 6. ONBEKEND mag de in de TOE peratinele O.PROGRAMMATUUR dr de O.PROGRAMMATUUR uit een (van S.UPDATEMIDDELEN afkmstige) O.PROGRAMMATUURREVISIE vervangen indien: de O.PROGRAMMATUURREVISIE integer en authentiek is, het versienummer van de in de TOE peratinele O.PROGRAMMATUUR crrespndeert met het criterium in O.VERVANGBARE_VERSIES uit de O.PROGRAMMATUURREVISIE en de O.KALIBRATIEINDICATIE uit de O.PROGRAMMATUURREVISIE negatief is. ONBEKEND mag O.SYSTEEMGEGEVENS tnen p een leesvenster. BESTUURDER mag de eigen: O.RITGEGEVENS, O.ARBEIDSTIJDENGEGEVENS en O.KAARTHOUDERGEGEVENS tnen p een leesvenster; O.ARBEIDSTIJDENGEGEVENS pslaan p de S.CHAUFFEURSKAART; O.ARBEIDSTIJDENGEGEVENS van de S.CHAUFFEURSKAART verbrengen naar de TOE; O.RITGEGEVENS en O.KAARTHOUDERGEGEVENS uitveren naar S.PRINTER. BESTUURDER mag O.SYSTEEMGEGEVENS tnen p een leesvenster. TOEZICHTHOUDER mag alle O.BASISGEGEVENS, O.ARBEIDSTIJDENGEGEVENS, O.RITGEGEVENS, O.BEDRIJFSGEGEVENS, 6 Zie FDP_DAU.2 Pagina 26 van 38

27 Beveiligingsprfiel Brdcmputer Taxi (PP-BCT) 6 februari 2015 O.KAARTHOUDERGEGEVENS, O.GEBEURTENISGEGEVENS en O.SYSTEEMGEGEVENS tnen p een leesvenster; uitveren naar S.PRINTER; uitveren naar S.HANDHAVINGSMIDDELEN. TOEZICHTHOUDER mag, mits de TOE is gedeactiveerd, O.POSITIEGEGEVENS uitveren naar S.HANDHAVINGSMIDDELEN. WERKPLAATS mag de TOE deactiveren. WERKPLAATS mag O.VARIABELE_SYSTEEMGEGEVENS aanpassen vanaf het bedieningspaneel; vanaf S.KALIBRATIEMIDDELEN. WERKPLAATS mag de in de TOE peratinele O.PROGRAMMATUUR dr de O.PROGRAMMATUUR uit een (van S.UPDATEMIDDELEN afkmstige) O.PROGRAMMATUURREVISIE vervangen indien: de O.PROGRAMMATUURREVISIE integer en authentiek is en het versienummer van de in de TOE peratinele O.PROGRAMMATUUR crrespndeert met het criterium in O.VERVANGBARE_VERSIES uit de O.PROGRAMMATUURREVISIE. WERKPLAATS mag alle O.BASISGEGEVENS, O.RITGEGEVENS, O.ARBEIDSTIJDENGEGEVENS, O.BEDRIJFSGEGEVENS, O.KAARTHOUDERGEGEVENS, O.GEBEURTENISGEGEVENS en O.SYSTEEMGEGEVENS tnen p een leesvenster; uitveren naar S.PRINTER; uitveren naar S.KALIBRATIEMIDDELEN. VERVOERDER mag alle O.BASISGEGEVENS, O.ARBEIDSTIJDENGEGEVENS, O.RITGEGEVENS, O.BEDRIJFSGEGEVENS, O.KAARTHOUDERGEGEVENS en O.GEBEURTENISGEGEVENS geregistreerd gedurende de peride dat de TSF vr de desbetreffende ververder is vergrendeld f vergrendeld geweest (bedrijfsvergrendeling) tnen p een leesvenster; uitveren naar S.PRINTER; uitveren naar S.BEDRIJFSMIDDELEN. VERVOERDER mag alle O.SYSTEEMGEGEVENS tnen p een leesvenster; uitveren naar S.PRINTER; uitveren naar S.BEDRIJFSMIDDELEN. VERVOERDER mag O.BEDRIJFSGEGEVENS aanpassen vanaf het bedieningspaneel; vanaf S.BEDRIJFSMIDDELEN. FDP_ACF FDP_ACF.1.4 De TSF zal expliciet tegang van subjecten naar bjecten weigeren gebaseerd p de vlgende regel: Alle niet in FDP_ACF.1.2 genemde tegang is niet tegestaan FDP_ETC.2 Exprt van gegevens met attributen 7 Vervallen. Pagina 27 van 38

28 Beveiligingsprfiel Brdcmputer Taxi (PP-BCT) 6 februari 2015 FDP_ETC.2.1 De TSF dwingt het gebruik van het BCT-tegangsbeleid af wanneer O.BASISGEGEVENS, O.ARBEIDSTIJDENGEGEVENS, O.RITGEGEVENS, O.POSITIEGEGEVENS, O.BEDRIJFSGEGEVENS, O.GEBEURTENISGEGEVENS en O.SYSTEEMGEGEVENS gegevens wrden vergebracht naar externe gegevensdragers f inrichtingen buiten de TSF. FDP_ETC.2.2 De TSF exprteert gegevens inclusief de bijbehrende elektrnische handtekening ver deze gegevens, behalve als deze naar S.PRINTER f het leesvenster wrden geëxprteerd. FDP_ETC.2.3 De TSF garandeert dat de elektrnische handtekening nlsmakelijk is geasscieerd met de geëxprteerde gegevens. FDP_ETC.2.4 De TSF dwingt de vlgende regels af wanneer gegevens wrden geëxprteerd van de TSF: De TSF handhaaft de rangschikking van gegevens (berichtvlgrde) bij gegevensverdracht naar externe gegevensdragers f inrichtingen; FDP_ITC.1 Imprt van gegevens znder attributen FDP_ITC.1.1 De TSF dwingt het gebruik van het BCT-tegangsbeleid af wanneer gegevens wrden ingelezen van S.BOORDCOMPUTERKAARTEN, S.BEWEGINGSOPNEMER, S.POSITIEBEPALINGSSENSOR, S.HANDHAVINGSMIDDELEN, S.KALIBRATIEMIDDELEN, S.BEDRIJFSMIDDELEN, S.UPDATEMIDDELEN f S.TAXAMETER. FDP_ITC.1.2 De TSF negeert attributen wanneer gegevens wrden ingelezen dr de TSF. FDP_ITC.1.3 De TSF dwingt de vlgende regels af wanneer gegevens wrden ingelezen dr de TSF: De TSF verwerkt gegevens alleen wanneer deze afkmstig zijn van: de interne tijdklk van de TSF; de interne verplaatsingspnemer van de TSF; cntact signaal (ignitin sense); inver dr de gebruiker via het bedieningspaneel; S.BEWEGINGSOPNEMER; S.POSITIEBEPALINGSSENSOR; S.BOORDCOMPUTERKAARTEN; S.SYSTEEMKAART; S.TAXAMETER; S.BEDRIJFSMIDDELEN; S.UPDATEMIDDELEN. Artikel 6.4 Handtekeningen FDP_DAU.2 Data authenticatie met identiteit FDP_DAU.2.1 De TSF kan een bewijs van de validiteit van gegevens genereren als vlgt: Een hash van O.RITGEGEVENS wrdt ndertekend dr de S.SYSTEEMKAART ver de vlledige set van desbetreffende O.RITGEGEVENS direct bij het registreren van deze gegevens per individuele rit; Een hash van O.ARBEIDSTIJDGEGEVENS wrdt ndertekend dr S.CHAUFFEURSKAART direct bij het registreren van deze gegevens bij het beëindigen van de dienst van de bestuurder f het afsluiten van de kaartsessie; Pagina 28 van 38