J.7.1 Замечания для пользователя

J.6.4.2.1 Назначение

J.6.4.2 Операции

В FPT_PHP.3.1 автору ПЗ/ЗБ следует специфицировать для списка устройств/элементов, реализующих ФБО, сценарии физического проникновения; ФБО следует противодействовать физическому проникновению, выполняемому по этим сценариям. Этот список может относиться к определенному подмножеству физических устройств и элементов, реализующих ФБО, выделенному на основе учета технологических ограничений и физической незащищенности прибора. Выделение такого подмножества следует четко определить и логически обосновать. Кроме того, ФБО следует реагировать на попытки физического проникновения автоматически. При автоматической реакции на физическое проникновение следует сохранять политику устройства, например, если проводится политика конфиденциальности, то прибор был бы физически отключен для того, чтобы защищаемая информация не могла быть считана.

В FPT_PHP.3.1 автору ПЗ/ЗБ следует специфицировать список устройств/элементов, реализующих ФБО, для которых ФБО следует противодействовать физическому проникновению согласно идентифицированным сценариям.

J.7 Надежное восстановление (FPT_RCV)

Требования семейства FPT_RCV «Надежное восстановление» обеспечивают, чтобы ФБО могли определить, не нарушена ли защита ФБО при запуске, и восстанавливаться без нарушения защиты после прерывания операций. Это семейство важно, потому что начальное состояние ФБО при запуске или восстановлении определяет защищенность ОО в последующем.

Компоненты данного семейства позволяют устанавливать безопасное состояние ФБО или предотвращать их переход в опасное состояние после сбоев, прерывания функционирования или перезапуска. В число возможных сбоев обычно включают:

a) сбои, которые всегда приводят к аварийным отказам системы (например, устойчивая несогласованность критичных системных таблиц; неуправляемые переходы в коде ФБО, вызванные сбоями аппаратных или программно-аппаратных средств; сбои питания, процессора, связи);

b) сбои носителей, приводящие к тому, что часть носителя или весь носитель, представляющий объекты ФБО, становится недоступным или неисправным (например, ошибки четности, неисправность головок дисков, устойчивый сбой чтения/записи, неточная юстировка головок дисков, износ магнитного покрытия, запыленность поверхности диска);

c) прерывание функционирования вследствие ошибочных действий администратора или отсутствия его своевременных действий (например, неожиданное прекращение работы из-за неподготовленности к отключению питания, игнорирование перерасхода критичных ресурсов, неадекватная инсталлированная конфигурация).

Важно отметить, что восстановление может быть предусмотрено для сценария как частичного, так и полного отказа. Полный отказ может возникнуть в неразделенной операционной системе, в распределенной среде его вероятность меньше. В такой среде некоторые подсистемы могут отказать, в то время как другие части останутся работающими. Более того, критичные элементы могут иметь избыточность (дублирование дисков, альтернативные маршруты) и точки проверки. Под восстановлением имеется в виду восстановление безопасного состояния.

При выборе FPT_RCV «Надежное восстановление» необходимо принимать во внимание следующие взаимосвязи между FPT_RCV «Надежное восстановление» и FPT_TST «Самотестирование ФБО»:

a) На необходимость надежного восстановления могут указывать результаты самостестирования ФБО, когда результаты самотестирования указывают, что ФБО находятся в небезопасном состоянии, и требуется возврат в безопасное состояние или переход в режим аварийной поддержки.

b) Сбой, как было рассмотрено выше, может быть идентифицирован администратором. Либо администратор может выполнить действия для возврата ОО в безопасное состояние и затем прибегнуть к самотестированию ФБО, чтобы подтвердить, что безопасное состояние было достигнуто. Либо самотестирование ФБО может быть применено для завершения процесса восстановления.

c) Сочетание пунктов a) и b); когда на необходимость надежного восстановления указывают результаты самотестирования ФБО, администратор выполняет действия по возврату ОО в безопасное состояние, а затем прибегает к самотестированию ФБО, чтобы подтвердить, что безопасное состояние было достигнуто.

d) Самотестирование направлено на обнаружение сбоев/прерываний обслуживания, за которым следует либо автоматическое восстановление, либо переход в режим аварийной поддержки.

Семейство FPT_RCV идентифицирует режим аварийной поддержки. В этом режиме нормальное функционирование может оказаться невозможным или сильно ограниченным из-за возможности перехода в опасное состояние. В таких случаях обычно доступ разрешается только уполномоченным пользователям, а более конкретно, кто может получить доступ в режиме аварийной поддержки, определяется в классе FMT «Управление безопасностью». Если в классе FMT нет никаких указаний о том, кто имеет право доступа в этом режиме, теоретически допускается, что восстановить систему может любой пользователь. Однако на практике это нежелательно, поскольку пользователь, восстанавливающий систему, может установить конфигурацию ОО, нарушающую ФТБ.

Механизмы, предназначенные для обнаружения исключительных состояний при эксплуатации, определяются в FPT_TST «Самотестирование ФБО», FPT_FLS «Безопасность при сбое» и в других разделах, относящихся к проблеме "Сохранность программного обеспечения". Вероятно, что использование одного из этих семейств потребуется при выборе FPT_RCV «Надежное восстановление». Это должно обеспечить, чтобы ОО был в состоянии определить необходимость в восстановлении.

В этом семействе применяется выражение "безопасное состояние". Оно относится к состоянию, при котором данные ФБО непротиворечивы и продолжают корректное осуществление ПБО. Это состояние может быть состоянием после загрузки системы или состоянием в некоторой контрольной точке.

После восстановления может потребоваться (через самостестирование ФБО) подтверждение того, что безопасное состояние достигнуто. Однако если восстановление выполняется таким образом, что только безопасное состояние может быть достигнуто, иначе восстановление не происходит, тогда зависимость от компонента самотестирования ФБО (FPT_TST.1 «Тестирование ФБО») может быть признана ненужной.

J.7.2 FPT_RCV.1 Ручное восстановление

Дата добавления: 2014-01-15