Pular para o conteúdo principal

Common Criteria

O Common Criteria (CC), também conhecido como ISO/IEC 15408, é um padrão internacional para a certificação de segurança de produtos e sistemas de tecnologia da informação. Em essência, ele fornece um framework estruturado para que fabricantes possam fazer alegações sobre os recursos de segurança de seus produtos e para que laboratórios independentes possam verificar se essas alegações são verdadeiras.

Ele garante que um produto (ex: firewall, HSM, SO, etc.) foi projetado, testado e validado contra requisitos de segurança bem definidos. Geralmente esses produtos se encontram em algumas das categorias que falaremos mais adiante.

Produtos com CC são mais confiáveis para ambientes críticos — algumas licitações públicas exigem certificação CC. Geralmente é usado em:

  • Governo
  • Indústria militar
  • Infraestrutura crítica
  • Bancos e grandes empresas que exigem produtos "certificados"

Vamos pensar em uma impressora da HP que precisamos comprar e precisa atender ao CC. A certificação é concedida a um produto específico, não à empresa HP como um todo. E, definitivamente, não são todas as impressoras da HP (ou de qualquer outra marca) que são certificadas.

A certificação Common Criteria é um processo caro e demorado. Por isso, as empresas certificam estrategicamente apenas os modelos destinados a clientes que exigem esse nível de garantia. Certificar uma impressora doméstica aumentaria significativamente o preço do produto.

Conceitos do Common Criteria​

O fabricante define um Target of Evaluation (TOE) (o que será avaliado) e uma lista de requisitos de segurança. A avaliação é feita em laboratórios credenciados e pode alcançar níveis de garantia chamados de Evaluation Assurance Levels (EALs), que vão de 1 a 7 que veremos mais adiante.

  • Alvo de Avaliação (Target of Evaluation - TOE): Refere-se ao produto ou sistema que está sendo avaliado.
  • Perfil de Proteção (Protection Profile - PP): É um documento que define um conjunto de requisitos de segurança para uma categoria específica de produtos (por exemplo, firewalls ou sistemas operacionais). Ele é independente de um produto específico.
  • Alvo de Segurança (Security Target - ST): É um documento que detalha as especificações de segurança de um Alvo de Avaliação (TOE) específico. O ST define as funcionalidades de segurança do produto e as medidas de garantia que serão aplicadas durante a avaliação.

Categorias​

  1. Sistemas Operacionais (SO): Esta é uma das categorias mais críticas. O SO é a base sobre a qual todas as outras aplicações rodam, e sua segurança é primordial. A avaliação foca em garantir que o sistema operacional pode proteger a si mesmo e aos dados que gerencia.

    • O que é avaliado: Controle de acesso (permissões de usuário), inicialização segura (secure boot), proteção da memória, geração de logs de auditoria, criptografia de dados (como o BitLocker da Microsoft ou o FileVault da Apple).

  2. Dispositivos de Rede e Proteção de Perímetro: Esses produtos são a primeira linha de defesa de uma rede corporativa. A certificação garante que eles podem inspecionar o tráfego de forma confiável e aplicar as políticas de segurança definidas.

    • Avaliado Filtragem de pacotes, stateful inspection, criação de túneis VPN (Rede Privada Virtual), detecção e prevenção de intrusão (IDS/IPS), e a própria segurança do gerenciamento do dispositivo. Exemplo:
      • Firewalls de Próxima Geração (NGFW): Produtos da Palo Alto Networks, Check Point, Fortinet, SonicWall.
      • Roteadores e Switches: Equipamentos da Cisco e outras grandes marcas de infraestrutura de rede.
      • Gateways de VPN.

  3. Bancos de Dados: Valida os mecanismos que protegem esses dados contra acesso não autorizado e adulteração em banco de ados como Oracle, MySQL, etc

    • Avaliado controle de acesso granular a tabelas e colunas, criptografia de dados em repouso e em trânsito, separação de privilégios (evitando que até o administrador do banco de dados possa ver dados sensíveis) e auditoria robusta.

  4. Hardware e Circuitos Integrados (ICs): A segurança pode começar no nível mais baixo: o silício. A certificação aqui garante que o próprio hardware é seguro e resistente a ataques físicos e lógicos.

    • O que é avaliado:
      • Resistência a adulteração (tampering), proteção de chaves criptográficas armazenadas no chip, geração de números aleatórios de alta qualidade.
    • Exemplos concretos:
      • Smart Cards: Utilizados em cartões de crédito com chip, cartões de identificação governamental e tokens de autenticação.
      • Módulos de Segurança de Hardware (HSMs): Dispositivos que protegem e gerenciam chaves digitais para operações criptográficas críticas, essenciais em bancos e autoridades certificadoras.
      • Processadores Seguros: Como o Apple T2 Security Chip ou o Secure Enclave, que criam uma área protegida dentro do processador principal.
      • Trusted Platform Modules (TPMs): Chips dedicados a realizar operações de segurança.

  5. Mobilidade e Dispositivos Multifuncionais: Com o aumento do trabalho remoto e da conectividade, a segurança de dispositivos que antes eram simples se tornou crucial.

O que é avaliado: Separação segura entre dados corporativos e pessoais (conteinerização), segurança da comunicação sem fio (Wi-Fi, Bluetooth), proteção de dados no dispositivo (criptografia), e gerenciamento seguro de impressão em dispositivos multifuncionais. Exemplos: Impressoras, scanners, smartphones.

Níveis de Garantia de Avaliação (Evaluation Assurance Levels - EALs)​

O Common Criteria utiliza os Níveis de Garantia de Avaliação (EALs) para indicar o grau de rigor e profundidade da avaliação de segurança. Existem sete níveis, sendo o EAL1 o mais básico e o EAL7 o mais rigoroso:

  • EAL1: Funcionalmente Testado. Adequado para situações onde há alguma confiança na operação correta, mas as ameaças à segurança não são consideradas sérias.
  • EAL2: Estruturalmente Testado. Exige uma análise do projeto do produto e dos resultados dos testes do desenvolvedor.
  • EAL3: Metodicamente Testado e Verificado. A avaliação vai além dos testes e verifica o processo de desenvolvimento, incluindo o gerenciamento de configuração e os procedimentos de entrega segura.
  • EAL4: Metodicamente Projetado, Testado e Revisado. Este é o nível mais alto que é economicamente viável para aplicar em um produto já existente. A análise de vulnerabilidades é mais aprofundada.
  • EAL5: Semiformalmente Projetado e Testado. Requer uma abordagem de projeto semiformal e uma análise mais extensa de vulnerabilidades.
  • EAL6: Projeto Semiformalmente Verificado e Testado. Adiciona uma análise de projeto mais rigorosa e um teste sistemático completo das funcionalidades de segurança.
  • EAL7: Projeto Formalmente Verificado e Testado. É o nível mais alto e exige uma verificação formal do projeto, além de testes extensivos. É geralmente aplicado em produtos para ambientes de altíssimo risco.

É importante notar que um EAL mais alto não significa necessariamente que um produto é "mais seguro", mas sim que suas alegações de segurança foram testadas de forma mais rigorosa. A escolha do nível de EAL apropriado depende das necessidades de segurança do ambiente em que o produto será utilizado.