Security Target voor de Cabman BCT. Bart Meeuwissen EUP-BCT R12

Transcriptie

1 Bart Meeuwissen EUP-BCT R12

2 Samenvatting Dit document beschrijft de Security Target voor de Cabman BCT. Dit document is niet bedoeld voor losse distributie. 1 EUP-BCT R12

3 Versie geschiedenis This version replaces all previous versions of this document. Please destroy all previous copies. Version Description Date Author R12 Final version during 2nd CC meeting. Removed change history EUP-BCT R12

4 Inhoudsopgave 1 Introductie ST en TOE Referenties TOE Overzicht en Gebruik Belangrijke security features Non-TOE Hardware/Software/Firmware TOE Beschrijving Fysieke scope Logische scope Conformering 8 3 Beveiliginsprobleem, doelstellingen en eisen Beveiligingsprobleem Beveiligingsdoelstellingen Definitie van extended componenten Definities van termen Functionele beveiligingseisen Garantieniveau Samengevatte TOE Specificatie 10 5 Rationales Afhankelijkheden EUP-BCT R12 INHOUDSOPGAVE

5 Bibliografie [1] CCRA. Common criteria for it security evaluation, part 1. files/ccfiles/ccpart1v3.1r4.pdf, [2] CCRA. Common criteria for it security evaluation, part 2. files/ccfiles/ccpart2v3.1r4.pdf, [3] CCRA. Common criteria for it security evaluation, part 3. files/ccfiles/ccpart3v3.1r4.pdf, [4] CCRA. Common methodology for it security evaluation. files/ccfiles/cemv3.1r4.pdf, [5] Euphoria. Configuration management.pdf. EUP-BCT , [6] Overheid. Bijlage 1: Protection profile, regeling specificaties en typegoedkeuring boordcomputer taxi.pdf. EUP-BCT , pages 16 35, [7] Overheid faqfabrikantenv1.9.pdf. EUP-BCT , EUP-BCT R12 BIBLIOGRAFIE

6 Security Target voor de Cabman BCT Introductie ST en TOE Referenties Dit is versie R12 van de Security Target voor Cabman BCT van Euphoria versie V1.x-x. 1.2 TOE Overzicht en Gebruik De TOE is een Boordcomputer Taxi, zoals bedoeld in PP [6]. Naast de basis functionaliteit, bevat de TOE ook een taxameter en een dataterminal. Met behulp van de dataterminal kan de taxicentrale ritten in plannen en kunnen tekst berichten worden verzonden en ontvangen en de telefoon van een externe modem worden bediend. Een chauffeur heeft ook de mogelijkheid om de TOE met behulp van een tweede scherm te bedienen. Dit scherm is niet deel van de TOE. Het invoeren van de PIN gebeurd echter altijd op het scherm van de TOE. Figuur 1.1: TOE Belangrijke security features De TOE bevat alle security features die vereist worden door PP [6] Non-TOE Hardware/Software/Firmware De TOE dient te worden gebruikt in combinatie met: 5 EUP-BCT R12 Introductie

7 Een voertuig, Een Bewegingsopnemer, een externe GPS-antenne, Een Systeemkaart zoals gedefinieerd in Artikel van PP [6], Een printer, Een taximeter invoer of een Tachometer invoer, Een of meerdere Chauffeurskaarten, Inspectiekaarten, Keuringskaarten, en Ondernemerskaarten, zoals gedefinieerd in Artikel van PP [6], Een USB-stick van de inspecteur (dit is een S.HANDHAVINGSMIDDEL zoals gedefinieerd in Artikel van PP [6]), GPRS-Modem of een Mobitex-Modem voor externe communicatie met de taxicentrale. 1.3 TOE Beschrijving Fysieke scope Fysieke Scope Cabman Boord Computer Taxi (BCT) V1.x-x Hardware BCT Hardware PN n.v.t. Software BCT Software EUP-BCT-3 V1.x-x BCT Kernel + drivers EUP-BCT-4 V1.x-x Handleidingen BCT Installation manual EUP-BCT V1.x-x BCT User manual EUP-BCT V1.x-x Figuur 1.2: Fysieke scope Software/handleidingen versienummer is opgebouwd uit een major, minor en patchlevel (VMajor.Minor- Patchlevel). Zie [5] voor meer informatie over deze versienummering Logische scope Naast de in Artikel 3.1 van PP [6] beschreven functionaliteit, bevat de TOE twee optioneel te configureren modules, de taximeter module en een dataterminal module. Taximeter-module Deze optioneel te configureren module heeft alle functionaliteit voor het geijkt bepalen van de ritprijs op basis van een tarievenstructuur en vervangt daarmee de optionele externe S.TAXAMETER. Als door de TOE configuratie deze module niet actief is, heeft de TOE de mogelijkheid een externe S.TAXAMETER aan te sluiten. Dataterminal-module Deze module geeft extra functionaliteit voor de communicatie tussen de taxicentrale en de taxi. Deze functionaliteit is: Ontvangen en versturen van tekst berichten van/naar de taxicentrale, Communiceren met de taxicentrale via de telefoon (via extern modem), 6 EUP-BCT R12 Introductie

8 Ontvangen van geplande ritten van de taxicentrale, Het starten en stoppen van geplande ritten in de BCT module, Versturen van start/stop en anuleer acties van een geplande rit aan de taxi centrale, Het ontvangen en lezen van extra geplande ritten relateerde informatie. 7 EUP-BCT R12 Introductie

9 2 Conformering Deze ST en de TOE conformeren aan: CC, versie 3.1R4, zoals beschreven in [1], [2], [3] en [4]. CC Part 2 als CC Part 2 conformant CC Part 3 als CC Part 3 conformant Deze ST conformeert aan PP [6], zoals geïnterpreteerd in [7]. Deze ST conformeert aan EAL 3, en aan geen andere packages. 8 EUP-BCT R12 Conformering

10 3 Beveiliginsprobleem, doelstellingen en eisen 3.1 Beveiligingsprobleem Zie Artikel 4 van PP [6]. 3.2 Beveiligingsdoelstellingen Zie Artikel 5 van PP [6]. 3.3 Definitie van extended componenten Geen: identiek aan PP [6]. 3.4 Definities van termen Zie Artikelen 2.4 en 3.3 van PP [6]. 3.5 Functionele beveiligingseisen Zie Artikel 6 van PP [6]. Zie ook [7] voor interpretaties hierop. 3.6 Garantieniveau Het garantieniveau is EAL3. Zie Artikel 7 van PP [6] voor een toelichting hierop. 9 EUP-BCT R12 Beveiliginsprobleem, doelstellingen en eisen

11 Security Target voor de Cabman BCT 4 Samengevatte TOE Specificatie Figuur 4.1: Het I&A interface van de TOE FMT_SMR.2, FIA_UID.1 (Boordcomputerkaarten), FIA_UAU.1 (Boord-computerkaarten), FIA_AFL.1 Het aannemen van een rol geschiedt door het inbrengen van een Chauffeurskaart, Inspectiekaart, Keuringskaart of Ondernemerskaart in het Passysteem van de TSF. De TSF zal deze kaart authenticeren middels het certificaat op de kaart. Vervolgens zal de TSF vragen om een authenticatie van de bij de kaart behorende persoon doormiddel van het invoeren van een minimaal 4-cijferige PIN op de TSF (de daadwerkelijke lengte van de PIN wordt door de kaart bepaald). Als er met de kaart 6 maal achtereen (dit wordt op de kaart bijgehouden) op een BCT foutief wordt getracht in te loggen, dan zal de kaart blokkeren. Als de BCT een geblokkeerde kaart krijgt aangeboden, kan er dus niet meer worden geauthenticeerd en wordt de gebruikersrol ONBEKEND. FIA_UAU.6 Voor de gebeurtenissen in FIA_UAU.6 zal een herauthenticatie moeten plaatsvinden door middel van PIN-invoer, identiek aan hierboven. FTA_SSL.2, FTA_SSL.3 Als de kaart wordt verwijderd, toont de TSF een herauthenticatiescherm als boven, en laat alleen herauthenticatie toe. Na herauthenticatie wordt de originele sessie hervat. Als er niet binnen het uur wordt geherauthenticeerd (of er wordt een andere kaart ingebracht, of aangemeld met BSN) wordt de sessie afgebroken. Ondernemers, inspectie of keuringssessies worden afgebroken als er meer dan vijf minuten geen activiteit plaatsvindt. FIA_UID.2 (Overigen), FDP_ITC.1 De TOE heeft specifieke interfaces voor S.BEWEGINGSOPNEMER, S.POSITIEBEPALINGS-SENSOR, S.PRINTER, S.TAXAMETER (optioneel ), S.HAND-HAVINGSMIDDELEN, 10 EUP-BCT R12 Samengevatte TOE Specificatie

12 S.KALIBRATIEMIDDELEN EN S.BEDRIJFSMIDDELEN, en neemt aan dat een apparaat die dat interface gebruikt, het bijbehorende S.* is. Omdat het hier alleen maar identificatie betreft en geen authenticatie is dit voldoende. De TOE draagt er ook zorg voor dat: Informatie die bedoeld is voor een interface, alleen maar naar dat interface gaat De opdracht tot uitvoer van bepaalde informatie alleen maar kan worden gegeven als de TOE in de juiste mode is. FDP_ACC.2, FDP_ACF.1, FDP_ETC.2, Afhankelijk van de aangenomen rol toont de TSF een aantal tab-bladen (zie Figuur 4.2 voor voorbeelden). Als een rol een bepaalde handeling (bijvoorbeeld het uitvoeren van gegevens plus een digitale handtekening) niet toestaat, is die handeling niet beschikbaar op de schermen die voor die rol worden getoond. Mode basis, alleen basis gegevens tab-blad is toegankelijk. Het is niet mogelijk om b.v. ritten te starten/stoppen Indien een chauffeur ingelogd is, geeft dit enkel toegang tot rit registratie functies, en een de persoonlijke ritadministratie. Indien succesvol ingelogd is met een werkplaats-pas geeft dit o.a. toegang tot configuratie, en software update functies. Figuur 4.2: Screenshots 11 EUP-BCT R12 Samengevatte TOE Specificatie

13 FAU_GEN.1, FAU_ARP.1, FAU_STG.1, FAU_STG.4, FRU_RSA.2 op de lijst in FAU_GEN.1 optreedt dan: Als er één van de gebeurtenissen registreert de TSF alle gevraagde gegevens over die gebeurtenis in een Flash-geheugen binnenin de TSF, Gerelateerde errors en storingen worden weergegeven op het scherm van de TSF en ook op een optioneel externe scherm voor de chauffeur. Het Flash-geheugen waar de gegevens in zijn opgeslagen is niet toegankelijk van buiten (niemand kan de gegevens wijzigen), en alleen de rollen die expliciet zijn geautoriseerd kunnen de gegevens wissen. Het Flash-geheugen heeft voldoende capaciteit voor 365 dagen normaal gebruik. Mocht het Flash-geheugen desondanks vol raken dan worden de oudste gegevens overschreven. FDP_DAU.2, FCS_COP.1 Als er gegevens worden opgeslagen en/of ge-exporteerd, dan worden deze voorzien van een digitale handtekening. De TSF geneert hiervoor een hash (SHA-256) en stuurt deze hash ter ondertekening naar danwel de systeemkaart, danwel de chauffeurskaart. FPT_STM.1 De TSF bevat een interne klok (met batterij). Als de TSF van de accu wordt afgekoppeld, sluit hij na vijf seconden af: de klok blijft echter doorlopen. FPT_PHP.1 De TSF heeft een behuizing waarbij in de constructie (naden/openingen/connectoren) al rekening gehouden is met tamper-evidence. De TSF wordt bijeengehouden middels vier schroeven. Deze 4 schroeven zijn voorzien van een tamper-evident plakzegel. Zie figuur 4.3, detail 1. FTP_ITC.1, FIA_UID.2 (Systeemkaart) De kaarthouder voor de systeemkaart is bereikbaar aan achterkant van de TSF. Na plaatsing van de systeemkaart wordt de toegang van de kaarthouder verzegeld met een tamperevident plakzegel. Zie figuur 4.3, detail 2. Figuur 4.3: Tamperseals locations Zowel de systeemkaart als de verbinding tussen de systeemkaart en de rest van de TOE kan niet worden benaderd tenzij de tamper-evident verzegeling wordt doorbroken. Daarnaast wordt de systeemkaart bij opstarten 12 EUP-BCT R12 Samengevatte TOE Specificatie

14 van de TSF geïdentificeerd door het checken van de identiteit op het certificaat van de systeemkaart en deze te vergelijken met de in de TOE opgeslagen identiteit. Het unieke serienummer van de TOE is tevens opgeslagen op de systeemkaart en wordt gecontroleerd. FPT_TST.1 Bij opstarten van de TOE wordt de integriteit van de TOE gecontroleerd door: Een CRC check over de uitvoerbare code Een CRC check over de O.SYSTEEMGEGEVENS Een status check van alle storingen in het systeem Op verzoek van de TOEZICHTHOUDER, WERKPLAATS of VERVOERDER, wordt de integriteit van de O.SYSTEEMGEGEVENS en/of de uitvoerbare code gecontroleerd door een CRC check. 13 EUP-BCT R12 Samengevatte TOE Specificatie

15 5 Rationales Zie Artikel 8.1 en 8.2 van PP [6]. 5.1 Afhankelijkheden Zie Artikel 8.3 van PP [6]. 14 EUP-BCT R12 Rationales