Neues Schutzprofil für Betriebssysteme
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat ein neues Schutzprofil für Betriebssysteme vorgestellt, das ‘Operating System Protection Profile (OSPP)’. Das nach den Common Criteria zertifizierte Schutzprofil wird nach BSI-Angaben den Entwicklungen moderner verteilter Betriebssysteme gerecht und löst nicht mehr zeitgemäße Schutzprofile ab.
Das OSPP wurde demnach in Abstimmung mit einem eigens gegründeten Forum entwickelt, an dem sich neben dem BSI und der atsec information security GmbH auch Vertreter des US-amerikanischen Zertifizierungsschemas NIAP und Betriebssystemhersteller beteiligten, darunter Argus Systems, Hewlett-Packard, IBM, Juniper Networks, Microsoft, Novell, Oracle, Red Hat, Sun Microsystems und Univention.
Mit dem OSPP wird unterschieden zwischen einer Basis-Funktionalität, die alle Server-Betriebssysteme oder Betriebssysteme in einer verwalteten Umgebung grundsätzlich zu erbringen haben und weiteren optionalen Funktionalitäten, die in ‘Extended Packages’ gebündelt werden. Derzeit gibt es acht Extended Packages:
- Rollen basierendes Management
- Zentraler Audit-/Log-Server
- Universelle Kryptographie für Anwendungen
- Zentrale Idenfikations- und Authentisierungs-Dienste
- Sicherheits-Label basierende Zugriffskontrolle
- Integritätsschutz
- Trusted Boot
- Virtualisierung (realisiert durch Hard- oder Software)
Das OSPP verlangt vom Hersteller zudem, dass er seine Prozesse im Umgang mit Produktfehlern im Rahmen der Evaluierung darlegt. Mit Hilfe des OSPP und der Extended Packages werden werden nun auch Sicherheitsbedürfnisse und Einsatz-Szenarien aus dem kommerziellen Umfeld abgedeckt. Die Vertrauenswürdigkeitsstufe entspricht mit EAL4 der gängigen Praxis in den internationalen Betriebssystem-Zertifizierungen.
