智能卡读写机具安全技术要求（EAL4 增强）

范围

本标准规定了对智能卡读写机具（以下简称机具）进行EAL4 增强安全保护所需要的安全技术要求。

本标准主要适用于接触式智能卡读写机具的测试和评估，可以用于指导机具的研制、开发和产品采购。

规范性引用文件

下列文件中的条款通过本部分的引用而成为本部分的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本部分，然而，鼓励根据本部分达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本部分。

GB/T 18336.1-2008 信息技术 安全技术 信息技术安全性评估准则 第1部分： 简介和一般模型

GB/T 18336.2-2008 信息技术 安全技术 信息技术安全性评估准则 第2部分： 安全功能要求

GB/T 18336.3-2008 信息技术 安全技术 信息技术安全性评估准则 第3部分： 安全保证要求

术语和定义

GB/T 18336-2001中界定的以及下列术语定义适用于本标准。

智能卡smart card

具有中央处理器（CPU）的集成电路卡，即CPU卡，是将一个具有中央处理器的集成电路芯片镶嵌于塑料基片中，并封装成卡的形式。从数据传输方式上可分为接触式和非接触式。

机具 card reader

机具是一个与智能卡有交互能力的读写设备，它能有效地获得鉴别信息和用户数据，并将其传给应用软件，生成一个可靠的用户活动。

应用软件 application software

机具软件的一部分，实现机具的应用功能。

系统软件 system software

系统软件是机具中除应用软件外的软件（包括了安全模块中的专有软件）。

缩略语

下列缩略语适用于本标准。

I/O： 输入/输出（Input/Output）

NVM： 非易失性存储器(Non-volatile Memory)

RAM： 随机存取存储器（Random-access memory）

TOE： 评估对象(Target of Evaluation)

TSF： TOE安全功能(TOE Security Functions)

PIN： 个人识别码(Personal Identification Number)

ST： 安全目标（Security Target）

机具描述

概述

机具是智能卡应用过程中卡与用户间的交互平台，它应在受控环境中使用。机具由硬件组件和软件构成。软件分为系统软件和应用软件两部分。系统软件分为嵌入到硬件中的和能远程更改的两部分；应用软件可以下载到机具中用以提供产品预期的功能。

TOE是一个不含应用的机具产品，因此本标准中描述的安全功能是机具中除应用之外的所有安全功能。

适用于本标准的机具应该具有键盘、显示部件，可广泛应用于电信、银行、公安、建设、交通、社保、税务及各种收费、储值、查询等CPU卡管理应用系统。

TOE的组成

一个典型TOE应包括：

a)I/O接口（键盘、显示部件、打印机、芯片连接部件等）；

b)一个处理单元；

c)存储器（RAM，NVM等）；

d)产品所需的一个或更多的操作单元；

e)物理和逻辑的密码模块。

图1所示为TOE的组成。

图1 TOE的组成

密码模块可以包括专有的硬件和软件，专有软件可以嵌入到NVM存储器中，也可以被有条件的下载至NVM存储器中，或者两者兼备。该密码模块是一个集成了与智能卡处理有关的安全功能的IT（信息技术）组件，它管理有关安全处理功能的密码操作。其内部结构如下图2所示：

图2 密码模块

机具服务

机具提供已设计的功能。其中一些功能调用了安全模块提供的安全功能。

机具提供的服务有：

a)与智能卡的安全交互；

b)有关数据处理的安全服务。

安全模块提供的部分功能包括：

a)对安全功能所用密匙的密匙管理

b)对设备中运行的应用的密匙操作处理，如加密，解密，签名的生成和确认；

c)对外设备唯一性的标识/鉴别。

机具的生命周期

下表描述了机具的生命周期。

a)设计时期：机具硬件、系统软件和应用软件的设计与开发；

b)制造时期：制造和测试；

c)个人化时期：为使机具唯一而载入设备的密钥（明确的标识符），以及系统/应用软件签名；

d)前使用时期：机具包装和交付；

e)使用时期：系统/应用软件下载，最终用户使用机具，维护人员维护机具；

f)废弃时期：机具生命期结束处理。

表1 机具生命周期

主要时期	生命周期阶段	过渡事件	描述
设计	硬件和系统软件的设计与开发

完成和测试

机具设计者负责机具硬件和系统软件的设计，将机具的预定功能和物理、逻辑特征相结合。系统软件可分为启动程序和可下载的程序。
制造	机具制造和测试	完成	机具制造者负责生产机具
个人化	初始密钥的载入及测试	载入

机具制造者的安全管理员负责装载实现安全要求的初始密钥。
系统软件的签名	签名	若组件存在则必须保护它的完整性和真实性。
使用前	机具的包装和交付	安装	机具制造者负责包装和运送机具到用户指定的目的地。

根据机具的类型，可直接递送给最终用户或专门机构。
使用	系统软件和应用软件下载	完成	最终用户负责从指定的服务器下载相应软件。

上表表示了涵盖在本标准的范围中的时期。

TOE的一般功能

为支持机具上运行的应用，TOE应至少提供以下功能：

依据TOE外部部件的请求，提供连接智能卡的服务功能

依据应用请求，提供与智能卡之间的交互功能

提供密钥管理功能，包括密钥生成、分配、撤销、存储

为应用提供安全服务功能：

算术运算

密码运算（加密、数字签名、哈希）

外部数据处理

格式化、安全化外部交易

安全环境

资产

需要保护的资产：

与TOE安全相关的资产包括下面两类：

1．内部TOE资产

下面是TOE的一些典型资产并被当作TSF数据。它们在生命周期的某些阶段被装载到TOE中，可能是在开发环境或在制造环境中。资产包括物理和逻辑两方面：

•安全模块提供的密码资源（密码功能）和操作它们的密钥处理单元；

•密钥和安全模块的密钥存储器；

•处理单元和密钥存储器间的连接；

•系统软件（启动程序和可下载程序）；

密码资源和密钥可以与系统软件以同样的方式下载。在下文中，它们的下载被看作是系统软件下载的一部分。

在维护阶段，系统软件在下载前被看作是外部TOE资产（用户数据）。

2．外部TOE资产

下面的资产属于可下载到机具中的应用。它们被看作是用户数据，在用户环境中，它们仅出现在应用下载之后。即使应用数据和密钥是占用TOE范围内的存储器的资源，它们也不属于TOE范围以内。

•TOE上运行的应用软件；

•应用数据和密钥

应用数据和密钥与应用软件以同样的方式下载。在下文中，它们的下载被看作是应用软件下载的一部分。

假设

开发环境的假设

A_DESIGN.01：设计者颁布和维持了一个描述安全规则的书面程序，并应用于开发环境。

A_DESIGN.02：设计者和安全管理员确保对设计阶段特别是系统软件签名阶段所涉及的密钥进行保护。

生产环境的假设

A_MANUF.01：制造者颁布和维持了一个描述安全规则的书面程序，并应用于生产环境。

A_MANUF.02：制造者和安全管理员确保对个人化阶段特别是系统软件和应用软件签名阶段所涉及的密钥进行保护。

用户环境的假设

A_RESP：用户在使用TOE时，被告知其责任。

A_PRIVATE： TOE规定为在受控环境中使用。

A_APPLI.01：TOE规定为遵从智能卡相关规范的应用软件所使用。

A_APPLI.02：应用级的安全要求确保系统软件与应用间的相互鉴别和完整性。

威胁

威胁主体

TOE的威胁主体有：

a)最终用户：最终用户是指通过授权途径收到产品的人。他可以改变应用的交互数据或伪造应用的正常处理。

b)设计/制造者安全管理员：有进行密钥管理、机具初始密钥的安全装载和系统软件签名操作的权利的操作员。

c)应用软件提供者：负责应用软件的设计和开发，他可能通过欺诈的方式改变应用软件。应用软件提供者被看作是威胁主体是因为他有能力在他开发的应用中插入一个特洛伊木马。当他作为一个用户，这个应用可能试图去访问TOE的内部资产或属于其它应用的外部资产。

d)应用软件管理员：他负责远程下载到机具中的最新软件的可用性。

e)安全管理员（在个人化阶段）：有权为个人化TOE而进行密钥管理的操作员，他可能修改TOE的密钥。

f)入侵者：通过非授权途径获取产品，或者以其他方式非法访问TOE。他希望直接或通过一个应用去：

–用伪造的资产替代至少一个TOE内部资产；

–改变TOE，以通过一个未授权的方式使用它；

–篡改TOE，以获取应用数据和密钥。

威胁描述

在第四章所定义的TOE应能够抵抗下面描述的威胁。威胁主体企图通过功能性的攻击或者对环境的操纵，或通过特定的硬件操纵或其他的攻击，来滥用资产。

假定攻击的方式：

•渗透：通过设备的物理穿孔或设备的未授权的打开去获取设备内的敏感信息，例如，密钥。因此，渗透是一种基于设备物理特性的攻击方式。

•监测：通过监测电磁辐射去发现设备内的敏感信息，或监视，监听，电子监测进入设备内的秘密数据。因此，监测是一种基于设备物理特性的攻击方式。

•操纵：在非授权状态下向设备发送一串输入指令，以便造成设备敏感信息的泄露或以未授权的方式获取某项服务。例如，造成设备进入其“测试模式”，以便获取敏感信息或者操纵设备的完整性。操纵是一种基于设备逻辑特性的攻击方式。

•篡改：对设备的逻辑或物理特性进行未授权的篡改和变更。例如，在PIN登陆点和PIN加密点之间的PINpad(遵从ISO 9564-1的PIN登录设备)上插入一个揭露PIN的机制。注意该篡改可能包含渗透，不仅为泄露设备内的信息，而且为了改变设备。对设备中的密钥进行未授权的替换就是一种篡改形式。篡改是一种基于设备逻辑或物理特性的攻击方式。

•替换：将一个设备未授权的取代另一个设备。这个取代设备可能是一个外形相似的“伪造品”或者是一个仿冒设备，它由全部或部分正确的逻辑特性加上一些未授权的功能组成，例如揭露PIN的机制。这个取代设备可能是一个曾经合法的设备经过未授权的篡改后来替换其它合法的设备。转移是一种替换的方式，它被用在一个更适合执行渗透和篡改攻击的环境，或作为替换攻击的前奏，设备可能从其操作环境中被取走。当攻击者用更改过的替代品取代目标设备而不是真正地篡改它时，替换可以被看成是篡改的一个特例。替换是一种基于设备的逻辑和物理特性的攻击方式。

内部TOE资产的威胁

T_INTERN.01：入侵者用某些部件已被篡改（克隆）的相似的设备来替换TOE。

T_INTERN.02：TOE的一个或更多的密码资源由于被监测、管理疏忽或程序不当而被制造者安全管理员或安全管理员或入侵者在个人化阶段或之前被更改。

T_INTERN.03：TOE的一个或更多的密码资源在使用阶段被入侵者更改，入侵者可能通过对内部功能的更改使TOE处于一种不安全的状态。

T_INTERN.04：TOE的一个或更多的密钥由于安全管理员或入侵者滥用其特权而被更改。

T_INTERN.05：TOE的一个或更多的密钥由于安全管理员或入侵者滥用其特权而被泄露。

T_INTERN.06：用于传输密钥的TOE内部连接被入侵者访问。

T_INTERN.07：系统软件被入侵者更改以绕过安全控制。

外部TOE资产的威胁

T_EXTERN.01：威胁主体可能以某种与安全策略不一致的方式更改或替换应用软件。

T_EXTERN.02：外部资产被暴露在特定的物理上或程序上控制不当的环境中，并允许下列威胁主体之一：应用提供者、应用软件管理员或入侵者访问它。

组织安全策略

本节描述的是TOE必须遵守的安全策略：

P_PRODUCT.01：TOE的用户不能破坏属于其他用户的资产的完整性和保密性。

P_PRODUCT.02：安全模块必须对TOE的处理器进行控制，以控制对TOE外部接口的访问。

P_IDENT：TOE应能向适当的核验者提供唯一的标识并给出其身份证据。

安全目的

TOE的安全目的主要包括下面几方面：

•TOE只能操作真实可信的资源；

•TOE必须确保已下载的应用及相关数据的完整性；

•TOE必须保护内部数据；

•TOE必须是从外部可证明的

TOE安全目的

O_TOE.01：TOE必须确保它所管理的密钥在存储和使用中的保密性。

O_TOE.02：TOE必须确保它所管理的密码资源和密钥在存储和使用中的完整性。

O_TOE.03：TOE必须确保对处理单元和安全模块存储器间连接的保护。

O_TOE.04：TOE必须确保对系统软件或下载到TOE中的应用的鉴别。

O_TOE.05：TOE必须确保TOE外部资产（包括应用数据和密钥）在存储和使用中的完整性，以及这些数据的其它任何形式（如被电子存储的或被显示到屏幕上的）在存储和使用中的完整性。

O_TOE.06：TOE必须提供针对篡改的自我保护。

O_TOE.07：TOE必须确保它的安全功能持续正常的运行。

O_TOE.08：依照适当的安全策略，TOE必须能够为适当的核验者生成它的特定身份的证明。

O_TOE.09：TOE应具备应对内部技术故障的能力。

环境安全目的

与TOE环境有关的安全目的：

O_ENV.01：最终用户在使用TOE时必须被告知他们的责任。

O_ENV.02：TOE不能偏离它的预定用法。

O_ENV.03：管理和使用TOE不能危及TOE管理的资产。

O_ENV.04：在生命周期的每个阶段，对TOE负责的实体必须颁布和维持一个书面程序并应用于整个阶段。

O_ENV.05：开发环境和生产环境下，当密钥被使用时，对TOE负责的实体必须确保对密钥的保护。

O_ENV.06：生产环境下，密钥的更改必须对安全管理员进行鉴别，并且要产生一个该更改的安全审计迹。

安全要求

安全功能要求

表2列出了机具信息技术安全要求功能组件。随后对各组件给出了详细的说明。已经完成的操作用粗体字表示，在安全目标中需要定义的赋值及选择用斜体字表示。

表2 安全功能要求组件

安全功能类	安全功能组件标识	组件名称
FCS类：密码支持	FCS_CKM.1	密钥产生
FCS_CKM.2	密钥分配
FCS_CKM.4	密钥销毁
FCS_COP.1	密码运算
FDP类：用户数据保护	FDP_DAU.1	基本数据鉴别
FIA类：标识和鉴别	FIA_AFL.1	鉴别失败处理
FIA_UAU.2	任何行动前的用户鉴别
FIA_UID.2	任何行动前的用户标识
FMT类：安全管理	FMT_MOF.1	安全功能行为的管理
FMT_MTD.1	TSF数据的管理
FMT_SMR.1	安全角色
FPT类：TSF保护	FPT_FLS.1	带保存安全状态的失败
FPT_ITT.1	内部TSF数据传送的基本保护
FPT_PHP.3	物理攻击抵抗
FPT_RCV.2	自动恢复
FPT_TST.1	TSF检测

FCS类：密码支持

密钥管理(FCS_CKM)

FCS_CKM.1 密钥产生

FCS_CKM.1.1：TSF应根据符合下面[赋值：标准列表]的特定密钥产生算法[赋值：密钥产生算法]和特定的密钥长度[赋值：密钥长度]来产生密钥。

FCS_CKM.2 密钥分配

FCS_CKM.2.1：TSF应根据符合下面[赋值：标准列表]的特定密钥分配方法[赋值：密钥分配方法]来分配密钥。

FCS_CKM.4 密钥销毁

FCS_CKM.4.1：TSF应根据符合下面[赋值：标准列表]的特定密钥销毁方法[赋值：密钥销毁方法]来销毁密钥。

密码运算(FCS_COP)

FCS_COP.1 密码运算

FCS_COP.1.1：TSF应根据符合下面[赋值：标准列表]的特定密码算法[赋值：密码算法]和特定的密钥长度[赋值：密钥长度]来执行[赋值：密码运算列表]。

密码运算列表：

·对等鉴别

·密钥产生

·消息摘要计算

·MAC计算

·内部密钥保护

·数字签名产生和验证

·数据的加密和解密

·密钥分配

FDP类：用户数据保护

数据鉴别(FDP_DAU)

FDP_DAU.1 基本数据鉴别

FDP_DAU.1.1：TSF应提供产生保证[赋值：客体或信息类别列表]的有效性的证据的能力。

FDP_DAU.1.2：TSF应为[赋值：主体列表]提供能力，以验证指定信息有效性的证据。

FIA类：标识和鉴别

鉴别失败(FIA_AFL)

FIA_AFL.1 鉴别失败处理

FIA_AFL.1.1：当与[赋值：鉴别事件列表]相关的[赋值：数目]次不成功鉴别尝试出现时，TSF应检测。

数目=1

鉴别事件列表=数字签名失败

FIA_AFL.1.2：当达到或超过所定义的不成功鉴别尝试的次数时，TSF应[赋值：行动列表]。

行动列表=发送一个错误通知或停止

用户鉴别(FIA_UAU)

FIA_UAU.2 任何行动前的用户鉴别

FIA_UAU.2.1：在允许任何代表用户的其他TSF促成的行动执行前，TSF应要求该用户已被成功鉴别。

细化 1：鉴别=校验装载到TOE中的用户的数字签名

细化 2：用户=应用或下载的系统软件

用户标识(FIA_UID)

FIA_UID.2 任何行动前的用户标识

FIA_UID.2.1：在允许任何代表用户的其他TSF促成的行动执行之前，TSF应要求用户标识自己。

细化：用户=应用

FMT类：安全管理

FMT类的管理活动

FMT类中的管理功能应考虑下列活动：

表3 管理活动与功能要求的对应关系

功能	活动
FCS_CKM.1	a)对修改密钥属性的管理
FCS_CKM.2	a)对修改密钥属性的管理
FCS_CKM.4	a)对修改密钥属性的管理
FCS_COP.1	NM
FDP_DAU.1	a)系统中，要对其进行数据鉴别的客体，其赋值和修改应是可配置的
FIA_AFL.1	a)管理失败的鉴别尝试,

b)管理鉴别失败时将要采取的行动
FIA_UAU.2	a)管理员对鉴别数据的管理
FIA_UID.2	a)用户身份的管理
FMT_MOF.1	a)管理可以与TSF中的功能相互作用的角色组
FMT_MTD.1	a)管理可以与TSF中的数据相互作用的角色组
FMT_SMR.1	NA
FPT_FLS.1	NM
FPT_ITT.1	a)管理TSF要防止的修改类型,

b)管理用来保护在TSF不同的部分间传送的数据的保护机制
FPT_PHP.3	a)管理对物理篡改的自动应答
FPT_RCV.2	a)管理者维护模式下谁能够获得恢复能力,

b)管理通过自动化过程来处理的失败及服务中断列表
FPT_TST.1	a)管理TSF自检产生条件，如初始化启动期间、固定间隔或特定条件

NM：无管理活动

NA：不适用

TSF中功能的管理(FMT_MOF)

FMT_MOF.1：安全功能行为的管理

FMT_MOF.1.1：TSF应仅限于[赋值：已识别的授权角色]对功能[赋值：功能列表]具有[选择：确定其行为，禁止，允许，修改其行为]的能力。

TSF数据的管理(FMT_MTD)

FMT_MTD.1 TSF数据的管理

FMT_MTD.1.1：TSF应仅限于[赋值：已标识的授权角色]能够对[赋值：TSF数据列表]具有[选择：改变默认值，查询，修改，删除，清空，[赋值：其他操作]]。

安全管理角色(FMT_SMR)

FMT_SMR.1 安全角色

FMT_SMR.1.1：TSF应维护角色[赋值：已标识的授权角色]。

FMT_SMR.1.2：TSF应能够把用户和角色关联起来。

细化：用户=安全管理员

FPT类：TSF保护

失败保护(FPT_FLS)

FPT_FLS.1 带保存安全状态的失败

FPT_FLS.1.1：TSF在下列失败发生时应保存一个安全状态：[赋值：TSF的失败类型列表]。

TOE内TSF数据的传送(FPT_ITT)

FPT_ITT.1 内部TSF数据传送的基本保护

FPT_ITT.1.1：TSF应保护TSF数据在TOE的分离部分间传送时不被[选择：泄露，修改]。

TSF物理保护(FPT_PHP)

FPT_PHP.3 物理攻击抵抗

FPT_PHP.3.1：TSF应通过自动应答来抵抗对[赋值：TSF设备/元件列表]的[赋值：各种物理篡改]，以遵从TSP。

可信恢复(FPT_RCV)

FPT_RCV.2 自动恢复

FPT_RCV.2.1：当不能从失败或服务中断自动恢复时，TSF应进入维护方式，该方式提供将TOE返回到一个安全状态的能力。

FPT_RCV.2.2：对[赋值：失败/服务中断列表]，TSF应确保通过自动化过程使TOE返回到一个安全状态。

TSF自检(FPT_TST)

FPT_TST.1 TSF检测

FPT_TST.1.1：TSF应运行一套自检[选择：初始化启动期间，正常工作期间周期性地，授权用户要求，满足[赋值：产生自检的条件]]以表明TSF操作的正确性。

FPT_TST.1.2：TSF为授权用户提供对TSF数据完整性的验证能力。

FPT_TST.1.3：TSF为授权用户提供对存储的TSF可执行代码完整性的验证能力。

细化：用户=设备维护者，安全管理员

TOE安全保证要求

表4列出了TOE安全保证要求组件，下述各条对各组件给出了详细的说明。

表4 安全保证要求组件

安全保证类	安全保证要求组件标识	组件名称
ACM类：配置管理	ACM_AUT.1	部分配置管理自动化
ACM_CAP.4	产生支持和接受程序
ACM_SCP.2	跟踪配置管理范围问题
ADO类：交付和运行	ADO_DEL.2	修改监测
ADO_IGS.1	安装、生成和启动过程
ADV类：开发	ADV_FSP.2	完全定义的外部接口
ADV_HLD.2	安全加强的高层设计
ADV_IMP.1	安全功能实现的子集
ADV_INT.1	模块化
ADV_LLD.1	描述性低层设计
ADV_RCR.1	非形式化对应性论证
ADV_SPM.1	非形式化TOE安全策略模型
AGD类：指导性文档	AGD_ADM.1	管理员指南
AGD_USR.1	用户指南
ALC类：生命周期支持	ALC_DVS.1	安全措施标识
ALC_LCD.1	开发者定义的生命周期模型
ALC_TAT.1	明确定义的开发工具
ATE类：测试	ATE_COV.2	范围分析
ATE_DPT.1	测试： 高层设计
ATE_FUN.1	功能测试
ATE_IND.2	独立性测试—抽样
AVA类：脆弱性评定	AVA_MSU.2	分析确认
AVA_SOF.1	安全功能强度评估
AVA_VLA.3	中级抵抗力

部分配置管理自动化（ACM_AUT.1）

开发者行为元素：

ACM_AUT.1.1D 开发者应该使用配置管理系统。

ACM_AUT.1.2D 开发者应该提供配置管理计划。

证据元素的内容和表示：

ACM_AUT.1.1C 配置管理系统应该能够提供一种自动方式，通过该方式确保只能对TOE的实现表示进行已授权的改变。

ACM_AUT.1.2C 配置管理系统应该能够提供一种自动方式来支持TOE的生成。

ACM_AUT.1.3C 配置管理计划应该描述在配置管理系统中使用的自动工具。

ACM_AUT.1.4C 配置管理计划应该描述在配置管理系统中如何使用自动工具。

评估者行为元素：

ACM_AUT.1.1E 评估者应确认所提供的信息满足证据的内容和形式的所有要求。

产生支持和接受程序（ACM_CAP.4）

开发者行为元素：

ACM_CAP.4.1D 开发者应为TOE提供一个参照号。

ACM_CAP.4.2D 开发者应使用配置管理系统。

ACM_CAP.4.3D 开发者应提供配置管理文档。

证据元素的内容和表示：

ACM_CAP.4.1C TOE参照号对每个版本应是唯一的。

ACM_CAP.4.2C 应该给每个代码和文档标记上其参照号。

ACM_CAP.4.3C 配置管理文档应包括配置清单、配置管理计划和接受计划。

ACM_CAP.4.4C 配置清单应描述组成代码和文档的配置项。

ACM_CAP.4.5C 配置管理文档应描述对配置项进行唯一标识的方法。

ACM_CAP.4.6C 配置管理系统应唯一的标识所有配置项。

ACM_CAP.4.7C 配置管理计划应描述配置管理系统是如何使用的。

ACM_CAP.4.8C 证据应该证明配置管理系统的运作与配置管理计划相一致。

ACM_CAP.4.9C 配置管理文档应提供证据证明所有的配置项都被配置管理系统有效地维护。

ACM_CAP.4.10C 配置管理系统应提供方法保证对配置项只进行授权修改。

ACM_CAP.4.11C 配置管理系统应支持TOE的产生。

ACM_CAP.4.12C 接受计划应描述用来接受修改过的或新建的作为TOE一部分的配置项的程序。

评估者行为元素：

ACM_CAP.4.1E 评估者应确认所提供的信息满足证据的内容和形式的所有要求。

跟踪配置管理范围问题（ACM_SCP.2）

开发者行为元素：

ACM_SCP.2.1D 开发者应提供配置管理文档。

证据元素的内容和表示：

ACM_SCP.2.1C 配置管理文档应说明配置管理系统至少能跟踪以下几项：TOE实现表示，设计文档，测试文档，用户文档，管理员文档，配置管理文档和安全缺陷。

ACM_SCP.2.2C 配置管理文档应描述配置管理系统是如何跟踪配置项的。

评估者行为元素：

ACM_SCP.2.1E 评估者应确认所提供的信息满足证据的内容和形式的所有要求。

修改监测（ADO_DEL.2）

开发者行为元素：

ADO_DEL.2.1D 开发者应将把TOE或其部分交付给用户的程序文档化。

ADO_DEL.2.2D 开发者应使用交付过程。

证据元素的内容和表示：

ADO_DEL.2.1C 交付文档应描述在给用户方分配TOE的版本时，用以维护安全所必需的所有程序。

ADO_DEL.2.2C 交付文档应描述如何提供多种程序和技术上的措施来检测修改，或检测开发者的主拷贝和用户方收到的版本之间的任何差异。

ADO_DEL.2.3C 交付文档应描述如何使用多种程序来发现试图伪装成开发者，甚至是在开发者没有向用户方发送任何东西的情况下，向用户方交付TOE。

评估者行为元素：

ADO_DEL.2.1E 评估者应确认所提供的信息都满足证据的内容和形式的所有要求。

安装、生成和启动过程（ADO_IGS.1）

开发者行为元素：

ADO_IGS.1.1D 开发者应将TOE安全地安装、生成和启动所必要的程序文档化。

证据元素的内容和表示：

ADO_IGS.1.1C 文档中应描述TOE的安全安装、生成和启动所必要的步骤。

评估者行为元素：

ADO_IGS.1.1E 评估者应确认所提供的信息都满足证据的内容和形式的所有要求。

ADO_IGS.1.2E 评估者应确定安装、生成和启动程序最终产生了安全的配置。

完全定义的外部接口（ADV_FSP.2）

开发者行为元素：

ADV_FSP.2.1D 开发者应当提供功能规范。

证据元素的内容和表示：

ADV_FSP.2.1C 功能规范应当用非形式化的风格来描述安全功能及其外部接口。

ADV_FSP.2.2C 功能规范应当是内在一致的。

ADV_FSP.2.3C 功能规范应当描述使用所有外部安全功能接口的用途与使用方法，要提供所有的影响、例外情况和错误消息的全部细节。

ADV_FSP.2.4C 功能规范应当完备地表示安全功能。

ADV_FSP.2.5C 功能规范应当包括安全功能是完备地表示的合理性。

评估者行为元素：

ADV_FSP.2.1E 评估者应确认所提供的信息满足证据的内容和形式的所有要求。

ADV_FSP.2.2E 评估者应决定功能规范是TOE安全功能要求的精确和完备的实例化。

安全加强的高层设计（ADV_HLD.2）

开发者行为元素：

ADV_HLD.2.1D 开发者将提供安全功能的高层设计。

证据元素的内容和表示：

ADV_HLD.2.1C 高层设计的表示应当是非形式化的。

ADV_HLD.2.2C 高层设计应当是内在一致的。

ADV_HLD.2.3C 高层设计应当按子系统来描述安全功能的结构。

ADV_HLD.2.4C 高层设计应当描述安全功能的每个子系统所提供的安全功能。

ADV_HLD.2.5C 高层设计应当标识安全功能要求的任何基础的硬件、固件和软件，连同这些硬件、固件或软件实现的支持性保护机制提供的功能表示。

ADV_HLD.2.6C 高层设计应当标识安全功能子系统的所有接口。

ADV_HLD.2.7C 高层设计应当标识安全功能子系统的哪些接口是外部可见的。

ADV_HLD.2.8C 高层设计应当描述安全功能子系统所有接口的用途和使用方法，并适当提供影响、例外情况和错误消息的细节。

ADV_HLD.2.9C 高层设计应当描述把TOE分成安全策略实施和其它子系统的这种分离。

评估者行为元素：

ADV_HLD.2.1E 评估者应当确认所提供的信息满足证据的内容和形式的所有要求。

ADV_HLD.2.2E 评估者应当决定功能规范是TOE安全功能要求的精确且完备的示例。

安全功能实现的子集（ADV_IMP.1）

开发者行为元素：

ADV_IMP.1.1D 开发者应当为以下所选的安全功能子集提供实现表示：

与TOE物理结构相关的子集：

结构组成、电气原理图和印制电路板（PCB）图，包括物理防护结构

NVM处理

RAM存取

与TOE逻辑结构相关的子集：

安全数据的检查和处理

用户数据的检查和处理

与TOE提供的调试功能相关的子集。

调试功能的锁定

锁定功能的配置

与TOE提供的中断和复位功能相关的子集。

证据元素的内容和表示：

ADV_IMP.1.1C 实现表示应当无歧义而且详细地定义安全功能，使得无须进一步设计就能生成安全功能。

ADV_IMP.1.2C 实现表示应当是内在一致的。

评估者行为元素：

ADV_IMP.1.1E 评估者应当确认提供的信息满足证据的内容和形式的所有要求。

ADV_IMP.1.2E 评估者应当决定所提供的最不抽象的安全功能表示是TOE安全功能要求的精确且完备实例化。

模块化（ADV_INT.1）

开发者行为元素：

ADV_INT.1.1D 开发者应当以模块方式设计和构建安全功能，以避免设计模块之间出现不必要的交互作用。

ADV_INT.1.2D 开发者应当提供结构化描述。

证据元素的内容和表示：

ADV_INT.1.1C 结构化描述应当标识安全功能的模块。

ADV_INT.1.2C 结构化描述应当描述每个安全功能模块的用途、接口、参数和影响。

ADV_INT.1.3C 结构化描述应当描述安全功能设计是如何使得独立的模块间避免不必要的交互作用。

评估者行为元素：

ADV_INT.1.1E 评估者应当确认所提供的信息满足证据的内容和表示的所有要求。

ADV_INT.1.2E 评估者应当决定低层设计和实现表示是遵循结构化描述的。

描述性低层设计（ADV_LLD.1）

开发者行为元素：

ADV_LLD.1.1D 开发者应当提供安全功能的低层设计。

证据元素的内容和表示：

ADV_LLD.1.1C 低层设计的表示应当是非形式化的。

ADV_LLD.1.2C 低层设计应当是内在一致的。

ADV_LLD.1.3C 低层设计应当以模块方式来描述安全功能。

ADV_LLD.1.4C 低层设计应当描述每个模块的用途。

ADV_LLD.1.5C 低层设计应当依据所提供的安全功能性和对其它模块的依赖性关系两方面来定义模块间的相互关系。

ADV_LLD.1.6C 低层设计应当描述每个安全策略实施功能是如何被提供的。

ADV_LLD.1.7C 低层设计应当标识安全功能模块的所有接口。

ADV_LLD.1.8C 低层设计应当标识安全功能模块的哪些接口是外部可见的。

ADV_LLD.1.9C 低层设计应当描述安全功能模块的所有接口的用途与方法，适当时，应提供影响、例外情况和错误消息的细节。

ADV_LLD.1.10C 低层设计应当描述如何将TOE分离成安全策略实施模块和其它模块。

评估者行为元素：

ADV_LLD.1.1E 评估者应当确认所提供的信息满足证据的内容和形式的所有要求。

ADV_LLD.1.2E 评估者应当决定低层设计是TOE安全功能要求的一个精确且完备的实例化。

非形式化对应性论证 （ADV_RCR.1）

开发者行为元素：

ADV_RCR.1.1D 开发者应当在所提供的安全功能表示的所有相邻对之间提供对应性分析。

证据元素的内容和表示：

ADV_RCR.1.1C 对于所提供的安全功能表示的每个相邻对，分析应当论证，较为抽象的安全功能表示的所有相关安全功能在较不抽象的安全功能表示中得到正确且完备地细化。

评估者行为元素：

ADV_RCR.1.1E 评估者应当确认所提供的信息满足证据的内容和形式的所有要求。

非形式化安全策略模型（ADV_SPM.1）

开发者行为元素：

ADV_SPM.1.1D 开发者应提供安全策略模型。

ADV_SPM.1.2D 开发者应阐明功能规范和安全策略模型之间的对应性。

证据元素的内容和表示：

ADV_SPM.1.1C 安全策略模型应当是非形式化的。

ADV_SPM.1.2C 安全策略模型应当描述所有可以模型化的安全策略的规则与特征。

ADV_SPM.1.3C 安全策略模型应当包括合理性，即论证该模型对于所有可模型化的安全策略来说是一致的，而且是完备的。

ADV_SPM.1.4C 安全策略模型和功能规范之间的对应性论证应当说明，所有功能规范中的安全功能对于安全策略模型来说是一致的，而且是完备的。

评估者行为元素：

ADV_SPM.1.1E 评估者应当确认所提供的信息满足证据的内容和形式的所有要求。

管理员指南（AGD_ADM.1）

开发者行为元素：

AGD_ADM.1.1D 开发者应当提供TOE管理员指南。

证据的内容和表示元素：

AGD_ADM.1.1C 管理员指南应当描述管理员可使用的管理功能和接口。

AGD_ADM.1.2C 管理员指南应当描述如何以安全的方式管理TOE。

AGD_ADM.1.3C 管理员指南应当包含在安全处理环境中必须进行控制的功能和权限的警告。

AGD_ADM.1.4C 管理员指南应当描述所有与TOE的安全运行有关的用户行为的假定。

AGD_ADM.1.5C 管理员指南应当描述所有受管理员控制的安全参数，合适时，应指明安全值。

AGD_ADM.1.6C 管理员指南应当描述每种与需要执行的管理功能有关的安全相关事件，包括改变安全功能所控制的改变实体的安全特性。

AGD_ADM.1.7C 管理员指南应当与为评估所提供的其它所有文档保持一致。

AGD_ADM.1.8C 管理员指南应当为管理员描述与管理员有关的信息技术环境的所有的安全要求。

评估行为元素：

AGD_ADM.1.1E 评估者应确认所提供的信息都满足证据的内容和形式的所有要求。

用户指南（AGD_USR.1）

开发者行为元素：

AGD_USR.1.1D 开发者应当提供用户指南。

证据的内容和表示元素：

AGD_USR.1.1C 用户指南应该描述TOE的非管理员用户可用的功能和接口。

AGD_USR.1.2C 用户指南应该描述TOE提供的用户可访问的安全功能的用法。

AGD_USR.1.3C 用户指南应该包含受安全处理环境中所控制的用户可访问的功能和权限的警告。

AGD_USR.1.4C 用户指南应该清楚地阐述TOE安全运行中的用户所必须负的职责，包括有关在TOE安全环境阐述中找得到的用户行为的假设。

AGD_USR.1.5C 用户指南应该与为评估提供的其它所有文档保持一致。

AGD_USR.1.6C 用户指南应该为用户描述与用户有关的信息技术环境的所有安全要求。

评估者行为元素：

AGD_USR.1.1E 评估者应确认所提供的信息都满足证据的内容和形式的所有要求。

安全措施标识（ALC_DVS.1）

开发者行为元素：

ALC_DVS.1.1D 开发者应提供开发安全文档。

证据元素的内容和表示：

ALC_DVS.1.1C 开发安全文档应描述在TOE的开发环境中，用以保护TOE的设计和实现的保密性和完整性在物理、程序、人员以及其它方面必要的安全措施。

开发环境被定义为包括所有的设备，也就是对TOE开发和制造所需的设备之间的运输和交付。

ALC_DVS.1.2C 开发安全文档应提供开发和维护TOE时执行安全措施的证据。

评估者行为元素：

ALC_DVS.1.1E 评估者应确认所提供的信息都满足证据的内容和形式的所有要求。

ALC_DVS.1.2E 评估者应确认确实执行了安全措施。

开发者定义的生命周期模型（ALC_LCD.1）

开发者行为元素：

ALC_LCD.1.1D 开发者应建立生命周期模型用于开发和维护TOE。

ALC_LCD.1.2D 开发者应提供生命周期定义文档。

证据元素的内容和表示：

ALC_LCD.1.1C 生命周期定义文档应描述用于开发和维护TOE的模型。

ALC_LCD.1.2C 生命周期模型应提供对TOE开发和维护的必要的控制。

评估者行为元素：

ALC_LCD.1.1E 评估者应确认所提供的信息都满足证据的内容和形式的所有要求。

明确定义的开发工具（ALC_TAT.1）

开发者行为元素：

ALC_TAT.1.1D 开发者应描述用于开发TOE的工具。

ALC_TAT.1.2D 开发者应以文档的形式描述已选择的依赖实现的开发工具的选项。

证据元素的内容和表示：

ALC_TAT.1.1C 所有用于实现的开发工具都必须有明确定义。

ALC_TAT.1.2C 开发工具文档应无歧义地定义实现中的每个语句的含义。

ALC_TAT 1.3C 开发工具文档应无歧义地定义所有基于实现的选项的含义。

评估者行为元素：

ALC_TAT.1.1E 评估者应确认所提供的信息都满足证据的内容和形式的所有要求。

范围分析（ATE_COV.2）

开发者行为元素：

ATE_COV.2.1D 开发者应提供对测试覆盖范围的分析。

证据元素的内容和表示：

ATE_COV.2.1C 测试覆盖范围的分析将论证测试文档中所标识的测试和功能规范中所描述的安全功能之间的对应性。

ATE_COV.2.2C 测试覆盖范围的分析将论证功能规范中所描述安全功能和测试所文档标识的测试之间的对应性是完备的。

评估者行为元素：

ATE_COV.2.1E 评估者应确认提供的信息满足证据的内容和形式的要求。

测试： 高层设计（ATE_DPT.1）

开发者行为元素：

ATE_DPT.1.1D 开发者将提供对测试深度的分析。

证据元素的内容和表示：

ATE_DPT.1.1C 深度分析应当论证测试文档中所标识的测试足以论证该安全功能是和高层设计一致的。

评估者行为元素：

ATE_DPT.1.1E 评估者应当确定提供的信息满足证据的内容和形式的要求。

功能测试（ATE_FUN.1）

开发者行为元素：

ATE_FUN.1.1D 开发者应当测试安全功能，并文档化结果。

ATE_FUN.1.2D 开发者应提供测试文档。

证据元素的内容和表示：

ATE_FUN.1.1C 测试文档应当包括测试计划、测试程序描述，预期的测试结果和实际的测试结果。

ATE_FUN.1.2C 测试计划应当标识要测试的安全功能，描述要执行的测试目标。

ATE_FUN.1.3C 测试过程描述应当标识要执行的测试，并描述每个安全功能的测试概况。这些概况包括对于其它测试结果的顺序依赖性。

ATE_FUN.1.4C 期望的测试结果应当表明成功测试运行后的预期输出。

ATE_FUN.1.5C 开发者执行的测试的结果应当论证每个被测试的安全性功能按照规定进行运作。

评估者行为元素：

ATE_FUN.1.1E 评估者应当确认所提供的信息满足证据的内容和形式的所有要求。

独立性测试—抽样（ATE_IND.2）

开发者行为元素：

ATE_IND.2.1D 开发者要提供被测试的TOE。

证据元素的内容和表示：

ATE_IND.2.1C TOE要与测试相适应。

ATE_IND.2.2C 开发者要提供一个与开发者的安全功能功能测试中使用的资源相当的集合。

评估者行为元素：

ATE_IND.2.1E 评估者应当确认所提供的信息满足证据的内容和形式的所有要求。

ATE_IND.2.2E 评估者应当适当测试一个安全功能子集，以确认TOE按照规范运行。

ATE_IND.2.3E 评估者应抽样执行测试文档里的测试样本，以验证开发者测试的结果。

分析确认（AVA_MSU.2）

开发者行为元素：

AVA_MSU.2.1D 开发者应提供指导性文档。

AVA_MSU.2.2D 开发者应当文档化对指导性文档的分析。

证据元素的内容与表示：

AVA_MSU.2.1C 指导性文档应该确定对TOE的所有可能的运行方式（包括失败和操作失误后的运行），它们的后果和对于保持安全运行的意义。

AVA_MSU.2.2C 指导性文档应该是完整的、清晰的、一致的、合理的。

AVA_MSU.2.3C 指导性文档应该列出所有对目标环境的假定。

AVA_MSU.2.4C 指导性文档应该列出所有对外部安全措施（包括外部程序的、物理的或人员的控制）的要求。

AVA_MSU.2.5C 分析文档应该论证指导性文档是完备的。

评估者行为元素：

AVA_MSU.2.1E 评估者应当确认提供的信息满足证据的内容和形式的所有要求。

AVA_MSU.2.2E 评估者应该重复所有配置与安装过程以及其它选择性过程，以确认只使用所提供的指导性文档就可以让TOE安全配置和使用。

AVA_MSU.2.3E 评估者应该决定使用指导性文档能检测到所有不安全状态。

AVA_MSU.2.4E 评估者应该决定分析文档说明了对于TOE的所有运行方式提供了安全运行指南。

安全功能强度评估（AVA_SOF.1）

开发者行为元素：

AVA_SOF.1.1D 开发者应对ST中标识的具有安全功能强度的安全机制进行TOE安全功能强度的分析。

证据元素的内容和表示：

AVA_SOF.1.1C 对于具有安全功能强度申明的安全机制，TOE安全功能强度分析应说明该机制达到或超过本标准或ST定义的最低安全功能强度。

AVA_SOF.1.2C 对于具有特定安全功能强度申明的安全机制，TOE安全功能强度分析应证明该机制达到或超过本标准或ST定义的特定安全功能强度。

评估者行为元素：

AVA_SOF.1.1E 评估者应确认所提供的信息满足证据的内容和形式的所有要求。

AVA_SOF.1.2E 评估者应确认安全功能强度声明是正确的。

中级抵抗力（AVA_VLA.3）

开发者行为元素：

AVA_VLA.3.1D 开发者应当分析可交付材料，以寻找用户违反安全策略的途径，并将分析结果文档化。

AVA_VLA.3.2D 开发者应当文档化已标识的脆弱性的分布。

证据元素的内容与表示：

AVA_VLA.3.1C 对所有已标识的脆弱性，文档应当能说明在所期望的TOE运行环境中无法利用这些脆弱性。

分析应考虑以下的一般脆弱性：

TOE可能遭受对内部存储器、数据传送机制、安全功能和测试方法的结构和内容的篡改；

通过监测电路和结构间的互连，TOE的器件内信息可能受到分析；

TOE可能遭受到运用逻辑命令来产生导致安全脆弱性的响应；

TOE可能遭受到如下分析：通过监测电磁辐射去发现设备内的敏感信息，或监视，监听，电子监测进入设备内的秘密数据；

TOE可能遭受在早期的同类或类似的TOE中已经标识的脆弱性。

AVA_VLA.3.2C 文档应当证明对于具有已标识脆弱性的TOE可以抵御中级强度的穿透性攻击。

AVA_VLA.3.3C 证据应当能说明对脆弱性的搜索是系统化的。

评估者行为元素：

AVA_VLA.3.1E 评估者应当确认提供的信息满足证据的内容和形式的所有要求。

AVA_VLA.3.2E 评估者应当在开发方脆弱性分析的基础上实施穿透性测试，确认开发者已经表述了明显的脆弱性。

AVA_VLA.3.3E 评估者应当实施独立的脆弱性分析。

AVA_VLA.3.4E 基于独立的脆弱性分析，评估者将应当实施独立的穿透性测试以决定在所期望环境下额外标识的脆弱性的可利用性。

AVA_VLA.3.5E 评估者应当确定TOE可以抵御具有中级攻击能力的攻击者发起的穿透性攻击。

基本原理

安全目的基本原理

下面的表5、表6、表7说明了智能卡嵌入式软件的安全目的能应对所有可能的威胁、假设和组织安全策略，即每一种威胁、假设和组织安全策略都至少有一个或一个以上安全目的与其对应，因此是完备的。没有一个安全目的没有相应的威胁、假设和组织安全策略与之对应，这证明每个安全目的都是必要的；没有多余的安全目的不对应威胁、假设和组织安全策略，因此说明了安全目的是充分的。

表5 假设、威胁及组织安全策略与安全目的对应关系

序号	假设/威胁/组织安全策略标识	安全目的标识	对应性描述
01	A_RESP	O_ENV.01

O_ENV.03	直接匹配。

使用TOE而不危及TOE管理的资产，意味着使用者实际上知道使用TOE的正确方法。
02	A_PRIVATE	O_ENV.02	该目的有助于保持TOE在受控环境中使用。
03	A_APPLI.01	O_ENV.02	TOE的目的是用于与智能卡交互。
04	A_APPLI.02	O_ENV.03	TOE鉴别应用程序的下载，并且通过维护完整性的控制保护对密码资源的访问。
05	A_DESIGN.01	O_ENV.03

O_ENV.04	假设在开发环境下，有书面程序和安全规则制约着对TOE的管理，TOE的管理就不会危及资产。

直接匹配。
06	A_DESIGN.02	O_ENV.03

O_ENV.05	假设在系统软件签名阶段，有书面程序和安全规则制约着对TOE的管理，TOE的管理就不会危及密钥。

直接匹配。
07	A_MANUF.01	O_ENV.03

O_ENV.04	假设在生产环境中，有书面程序和安全规则制约着对TOE的管理，TOE的管理就不会危及资产。

直接匹配。
08	A_MANUF.02	O_ENV.03

O_ENV.05

0_ENV.06	假设在个人化阶段，有书面程序和安全规则制约着对TOE的管理，TOE的管理就不会危及密钥。

直接匹配。

安全管理员的鉴别和安全审计迹的产生覆盖这个假设。
09	A_MANUF.03	O_ENV.03	假设在包装和交付阶段，有书面程序和安全规则制约着对TOE的管理，TOE的管理就不会危及资产。
10	T_INTERN.01	O_TOE.02,

O_TOE.04

O_TOE.05

O_TOE.06

O_TOE.08

O_ENV.04

O_ENV.05,

O_ENV.06	检查TOE组件的完整性和真实性，以确保这些组件未被它们的修改版本所替换。

TOE存储和使用应用程序密钥时，应用程序密钥完整性的检查，不允许对应用程序密钥在不受控制下用其它密钥替换。

TOE防篡改的自我保护，不允许在没有明显提示的情况下对物理组件作替换和修改，也不允许对已存在的自我保护机制作篡改。

TOE身份证明的验证确保可检测对设备的任何克隆。

在TOE的生命周期，实施的书面程序对TOE组件进行保护。这就确保安全管理员在受控方式下访问它们。

在生产环境中，对密钥的所有使用或修改都要由负责TOE的实体进行保护。
11	T_INTERN.02	O_TOE.02

O_ENV.04	TOE密码资源完整性的检查，确保它们不会在未被检测到的情况下被修改。

在TOE的生命周期，实施的书面程序保护TOE的密码资源，这就确保安全管理员在受控方式下访问它们。
12	T_INTERN.03	O_TOE.02

O_TOE.07,

O_TOE.09

O_ENV.04	TOE密码资源完整性的检查，确保它们不会在未被检测到的情况下被修改。

连续正确的操作保证和TOE提供的对内部技术上故障的防护可以保护TOE的安全功能在使用期间不被更改。

在TOE的生命周期，实施的书面程序保护TOE的密码资源。这确保安全管理员在受控方式下访问它们。
13	T_INTERN.04	O_TOE.02

O_ENV.05,

O_ENV.06

TOE密码资源完整性的检查，确保它们在存储期间不会在未被检测到的情况下被修改。

直接匹配，因为在生产环境中，对密钥的使用和更改，由对TOE负责的实体进行保护。
14	T_INTERN.05	O_TOE.01

O_ENV.05,

O_ENV.06	在存储和使用密钥时，密钥的保密性由TOE提供。

直接匹配，因为在生产环境中，对密钥的使用和更改，由对TOE负责的实体进行保护。
15	T_INTERN.06	O_TOE.01

O_TOE.02

O_TOE.03

O_TOE.06

在存储和使用密钥时，密钥的保密性由TOE提供。这就意味着它们在内部通信时必须被保护。

TOE密码资源完整性的检查，确保它们在内部通信期间不会在未被检测到的情况下被修改。

处理单元和存储器间连接的保护，TOE提供对密钥通过内部连接被传输时的保护。

防篡改的自我保护确保任何试图截取处理单元和存储器间连接的尝试都会失败或至少会被检测到。这就保护了通过内部连接传输的密钥。
16	T_INTERN.07	O_TOE.04

O_TOE.06

O_TOE.07	系统软件的鉴别有助于防止其被更换。因此，可防止未被检测到的替换。

防篡改的自我保护确保任何试图更改系统软件的尝试都会失败。

TOE提供的连续正确的操作保证防止系统软件安全功能的行为在它们使用期间被更改。
17	T_EXTERN.01	O_TOE.05	直接匹配。
18	T_EXTERN.02	O_TOE.03

O_TOE.05

O_TOE.06

O_ENV.03

O_ENV.04	TOE提供对处理单元和存储器间连接防护，保护了外部资产通过内部连接时的传输。

TOE存储和使用应用程序密钥时，应用程序密钥的完整性检查，不允许在不受控制的情况下对它们作替换或更改。

防篡改的自我保护确保任何试图更改运行在TOE中的应用软件或关联的数据和密钥的尝试都会失败。

管理操作以一种安全的方式执行，这种方式不会对TOE中运行的应用软件或相关数据和密钥引入不可更改或置换的风险。

在TOE的生命周期，实施的书面程序保护TOE的外部资产。这确保安全管理员在受控方式下访问它们。
19	P_PRODUCT.01	O_TOE.03

O_TOE.05	TOE提供对处理单元和存储器间连接防护，保护了外部资产通过内部连接时的传输。

直接匹配。
20	P_PRODUCT.02	O_TOE.01

O_TOE.02

O_TOE.05

O_TOE.06	TOE存储和使用密钥时，确保密钥的保密性意味着当它们在安全模块的内部处理器中被操作时有必要被保护。

要想确保TOE的密码资源在没有检测的内部通信时的完整性，需要执行一种控制，这种控制可避免TOE外部接口的控制被入侵者更改。

无论何种形式的TOE外部资产，在它们被存储和使用时，TOE都要维护它们的完整性。

防篡改的自我保护要求监测任何试图通过外部接口对运行在TOE中的应用软件或关联的数据和密钥的更改尝试。TOE应该通过对处理器的控制来保证监测。
21	P_IDENT	O_TOE.08	直接匹配。

表6 假设、威胁及组织安全策略与TOE安全目的的相互联系

O_TOE.01	O_TOE.02	O_TOE.03	O_TOE.04	O_TOE.05	O_TOE.06	O_TOE.07	O_TOE.08	O_TOE.09
T_INTERN.01
√
√	√	√
√
T_INTERN.02
√
T_INTERN.03
√
√
√
T_INTERN.04
√
T_INTERN.05	√
√
T_INTERN.06	√	√
√
T_INTERN.07
√
√	√
T_EXTERN.01
√
T_EXTERN.02
√
√	√
P_PRODUCT.01
√
√
P_PRODUCT.02
√	√
P_IDENT
√

表7 假设、威胁及组织安全策略与环境安全目的的相互联系

O_ENV.01	O_ENV.02	O_ENV.03	O_ENV.04	O_ENV.05	O_ENV.06
A_RESP	√
√
A_PRIVATE
√
A_APPLI.01
√
A_APPLI.02
√
A_DESIGN.01
√	√
A_DESIGN.02
√
√
A_MANUF.01
√	√
A_MANUF.02
√
√	√
A_MANUF.03
√
T_INTERN.01
√	√	√
T_INTERN.02
√
T_INTERN.03
√
T_INTERN.04
√	√
T_INTERN.05
√	√
T_EXTERN.02
√	√

安全要求基本原理

表8、表9、表10说明了安全要求的充分必要性、合理性，即每个安全目的都至少有一个安全要求（包括功能要求和保证要求）组件与其对应，每个安全要求都至少解决了一个安全目的，因此安全要求对安全目的而言是充分和必要的。

表8 安全目的与安全功能要求的匹配关系

序号	安全目的标识	安全要求标识	对应性描述
01	O_TOE.01	FCS_CKM.2

FMT_MTD.1,

FMT_SMR.1

FIA_UID.2

FPT_ITT.1

FPT_PHP.3	密钥分配的算法和密钥长度依照符合的标准，确保了对密钥的管理能保护它们的保密性。

TSF数据的管理和安全角色保证了在密钥管理时对密钥的保护。

任何行动前的用户标识确保与密钥有关的行动的控制。

内部TSF数据传送的基本保护，保证密钥在TOE各分离部分间的传输时的保护。

对物理攻击的抵抗有助于保护密钥的保密性。
02	O_TOE.02	FCS_CKM.2

FMT_MTD.1,

FMT_SMR.1

FIA_UID.2

FPT_ITT.1

FPT_PHP.3	密钥分配的算法和密钥长度依照符合的标准，确保了对密钥的管理能保护它们的完整性。

TSF数据的管理和安全角色保证了在密码资源管理时对密码资源的保护。

任何行动前的用户标识保证与密钥有关的行动的控制。

内部TSF数据传送的基本保护有助于保护密码资源不被篡改。

对物理攻击的抵抗有助于在管理和使用密码资源及密钥时保护它们的完整性。
03	O_TOE.03	FPT_ITT.1

FPT_PHP.3	内部TSF数据传送的基本保护，即保护处理单元和存储器间的连接。

对物理攻击的抵抗有助于保护TOE的内部连接。
04	O_TOE.04	FIA_AFL.1

FCS_COP.1

FCS_CKM.1

FCS_CKM.2

FCS_CKM.4

FIA_UAU.2	基本数据鉴别实现系统软件鉴别。

密码运算有助于提供鉴别。

依照符合标准的特定的密钥产生算法和特定的密钥长度，密钥生成可提供系统软件鉴别机制的安全保证。

依照符合标准的密钥分配算法，密钥分配可提供系统软件鉴别密钥的保密性的保证。

根据符合标准的密钥销毁算法，密钥销毁提供系统软件鉴别密钥（用于系统软件签名）的不可重用的保证。

用户鉴别保证用户身份不会被篡夺。任何下载伪造的系统软件或应用的企图都会在校验签名时被发现。系统软件或应用的签名能直接鉴别出系统软件的设计者、制造者或应用程序的设计者。

05	O_TOE.05	FCS_COP.1

FCS_CKM.1

FCS_CKM.2

FCS_CKM.4

FDP_DAU.1

FIA_UID.2

FPT_PHP.3	密码运算有助于提供鉴别。

根据符合标准的特定的密钥产生算法和特定的密钥长度，密钥产生提供应用鉴别和关联的数据与密钥保密性的保证

根据符合标准的特定的密钥产生算法和特定的密钥长度，密钥分配提供应用鉴别和相关数据与密钥保密性的保证。

根据符合标准的密钥销毁算法，密钥销毁提供系统软件鉴别密钥不可重用的保证。

基本数据鉴别提供在TOE上运行的应用软件、数据和密钥的真实性的保证。

任何行动前的用户鉴别保证对在TOE上运行的应用软件、相关数据和密钥有影响的行动的控制。

对物理攻击的抵抗有助于保护TOE内的应用软件、数据和密钥。
06	O_TOE.06	FPT_PHP.3	对物理攻击的抵抗有助于保护TOE。
07	O_TOE.07	FMT_MOF.1

FPT_FLS.1

FPT_PHP.3

FPT_RCV.2	安全功能行为的管理要求为了保证TOE持续正常的运行而实现一种机制。

带保存安全状态的失败确保TSF的持续正常运行。

物理攻击抵抗保护了TSF的行为，并为它们持续正常的运行提供了条件。

一旦失败，自动恢复提供了一个能复原到服务中断前的初始状态的方法。它允许重启安全功能操作并获得一个正确的行为。
08	O_TOE.08	FCS_COP.1	使用密码运算提供识别身份的证据。
09	O_TOE.09	FPT_FLS.1,

FPT_RCV.2,

FPT_TST.1	带保存安全状态的失败，自动恢复和TSF自检确保TOE不受内部技术故障的影响。

表9 安全目的与安全功能要求的相互关系

O_TOE.01	O_TOE.02	O_TOE.03	O_TOE.04	O_TOE.05	O_TOE.06	O_TOE.07	O_TOE.08	O_TOE.09
FCS_CKM.1
√	√
FCS_CKM.2	√	√
√	√
FCS_CKM.4
√	√
FCS_COP.1
√	√
√
FDP_DAU.1
√
FIA_AFL.1
√
FIA_UAU.2
√
FIA_UID.2	√	√
√
FMT_MOF.1
√
FMT_MTD.1	√	√
FMT_SMR.1	√	√
FPT_FLS.1
√
√
FPT_ITT.1	√	√	√
FPT_PHP.3	√	√	√
√	√	√
FPT_RCV.2
√
√
FPT_TST.1
√

安全功能要求的依赖关系

本条论述了包含在本标准内的安全要求组件之间满足的依赖关系。

表10 功能依赖关系分解

序号	组件	依赖关系
1	FCS_CKM.1	[FCS_CKM2或FCS_COP.1], FCS_CKM.4
2	FCS_CKM.2	[FDP_ITC.1或FCS_CKM.1], FCS_CKM.4
3	FCS_CKM.4	[FDP_ITC.1或FCS_CKM.1]
4	FCS_COP.1	[FDP_ITC.1或FCS_CKM.1], FCS_CKM.4
5	FDP_DAU.1	无
6	FIA_AFL.1	FIA_UAU.1
7	FIA_UAU.2	FIA_UID.1
8	FIA_UID.2	无
9	FMT_MOF.1	FMT_SMR.1
10	FMT_MTD.1	FMT_SMR.1
11	FMT_SMR.1	FIA_UID.1
12	FPT_FLS.1	ADV_SPM.1
13	FPT_ITT.1	无
14	FPT_PHP.3	无
15	FPT_RCV.2	FPT_TST.1, AGD_ADM.1, ADV_SPM.1
16	FPT_TST.1	无
参考文献

[1] Transactional Smartcard Reader Protection Profile Version 2.0

[2] Smart Card Security User Group Smart Card Protection Profile，Version 3.0

28

标准名称

CNIS

2013-07-19

gy

zle