Security Lab



Поиск  Пользователи  Правила 
Закрыть
Логин:
Пароль:
Забыли свой пароль?
Войти  
Форум » Обсуждение статей (закрыто) » Обсуждение новостей
Страницы: 1 2 След.
RSS
Windows XP и Server 2003 получили сертификаты Common Criteria четверто
 
#1
Это нравится:0Да/0Нет
22.12.2005 21:28:15
Обсуждение статьи Windows XP и Server 2003 получили сертификаты Common Criteria четвертого уровня
 
 
 
#2
Это нравится:0Да/0Нет
22.12.2005 21:28:16
>> Предполагается, что сертификация Common Criteria позволит Microsoft привлечь крупных клиентов из числа государственных ведомств, финансовых организаций и пр.
Они и так сидят на них.
>> Важно отметить, что СС вовсе не гарантирует отсутствие дыр в программном обеспечении. Сертификат означает лишь, что в продукт заложены эффективные средства безопасности.

Как всегда дорабатываем напильником.
 
 
 
#3
Это нравится:0Да/0Нет
22.12.2005 21:30:01
Было бы не плохо увидеть сам текст сертификата и соответсвующие документы, а не пресс-релиз маркетологов Microsoft.
 
 
 
#4
Это нравится:0Да/0Нет
22.12.2005 21:42:47
Цитата
Три года назад сертификат Common Criteria четвертого уровня (Evaluation Assurance Level 4, EAL 4) получила операционная система Windows 2000. Теперь к ней добавились Windows Server 2003 Standard Edition (32-битная версия с первым сервис-паком), Windows Server 2003 Enterprise Edition (32-разрядная и 64-разрядная версии с первым пакетом обновлений), Windows Server 2003 Datacenter Edition (32-разрядная и 64-разрядная варианты с SP1), Windows Server 2003 Certificate Server CIMC, а также Windows XP Professional и Windows XP Embedded со вторым сервис-паком. Причем на этот раз продуктам Microsoft был выдан сертификат EAL 4+, где символ "+" означает соответствие требованиям ALC_FLR.3
типа никто не помнит критические уязвимости в lsass, в ДКОМ, в медиаплеере, в осле, в винапдейте, в иис-е, в смтп, в ннтп... (думаю, и десятой части не перечислил..)
причем, не далее как на днях писали сколько дней в этом году масдай работал с незакрытыми критическими дырами...
а тут ей сертификат 4-го уровня.. гы-гы...
интересно, Common Criteria кто-нить всурьез воспринимает?..
вот и потом и ломай себе голову над
Цитата
Сертификат означает что в продукт заложены эффективные средства безопасности
:funny:
 
 
 
#5
Это нравится:0Да/0Нет
22.12.2005 21:55:27
Цитата
Serg пишет:
типа никто не помнит критические уязвимости в lsass, в ДКОМ, в медиаплеере, в осле, в винапдейте, в иис-е, в смтп, в ннтп... (думаю, и десятой части не перечислил..)
причем, не далее как на днях писали сколько дней в этом году масдай работал с незакрытыми критическими дырами...
а тут ей сертификат 4-го уровня.. гы-гы...
Можно предположить, что сертификат выдан, как и на предыдущие ОС, на автономные системы.
 
 
 
#6
Это нравится:0Да/0Нет
23.12.2005 06:12:39
Они могут хоть благославление от Папы Римского получить, а всё равно система с закрытыми исходниками с точки зрения безопасности...ну, в общем, это даже не смешно.
 
 
 
#7
Это нравится:0Да/0Нет
23.12.2005 08:14:41
Можно подумать, что система с открытыми исходниками с точки зрения безопасности - это очень смешно.
 
 
 
#8
Это нравится:0Да/0Нет
23.12.2005 08:38:01
:o
 
 
 
#9
Это нравится:0Да/0Нет
23.12.2005 10:08:27
Помнится года 2 назад на секлабе была статьтя, когда Win2k получила EAL 4, в той же статье писалось, что Linux провалил попытку присвоени EAL 3.
Отсюда можно сделать вывод на тему:
Цитата
интересно, Common Criteria кто-нить всурьез воспринимает?..
 
 
 
#10
Это нравится:0Да/0Нет
23.12.2005 10:23:39
Помнится года 2 назад на секлабе была статьтя, когда Win2k получила EAL 4, в той же статье писалось, что Linux провалил попытку присвоени EAL 3.
Отсюда можно сделать вывод на тему:
интересно, Common Criteria кто-нить всурьез воспринимает?..

Вывод:
Ядро Линукс менее безопасно чем ядро Виндов ?
 
 
 
#11
Это нравится:0Да/0Нет
23.12.2005 10:39:49
Цитата
Гость пишет:
Ядро Линукс менее безопасно чем ядро Виндов ?
Не факт. Помимо исследования кодов необходимы разные "левые" бумажки.  :D
http://www.osp.ru/os/2005/03/054.htm
 
 
 
#12
Это нравится:0Да/0Нет
23.12.2005 10:41:03
Цитата
Вывод:
Ядро Линукс менее безопасно чем ядро Виндов ?

Ато! В любом юниксе можно уронить систему командой от рута:

dd -i /dev/urandom -o /dev/mem

В винде для аналогичного эффекта надо помучиться :). Только в юниксах нормальному человеку не придёт в голову работать от рута, а винде приходится работать администратором ;)
 
 
 
#13
Это нравится:0Да/0Нет
23.12.2005 10:44:01
Солярис уж года полтора как EAL4, некоторые Линуксы тогда же прошли EAL3+.. А что там с Мандрейком, который собирались по EAL5 сертифицрировать?
 
 
 
#14
Это нравится:0Да/0Нет
23.12.2005 11:09:15
Цитата
Можно предположить, что сертификат выдан, как и на предыдущие ОС, на автономные системы.
я вижу ситуацыю в таком свете: у мелкософта на сегодняшний день почти весь рынок домашних и офисных персонал систем
а вот сами они хотят на серверный попасть. и из-за этого пытаюца впарить свой навоз под видом мегафкусной конфетки
но вот странно получаица... - линукса-юникса никому ничего не доказывали и по дефолту рулят на серверном пространстве, а мелкософт вместо того, что бы пропатчить свою ботву и сменить техманагеров высшего звена на более вменяемых, покупает бумажки, где написано что их системы самые лучшие. и веть самое плохое в этой ситуации, что тупорылые начальники, далекие от мира компьютеров им верят! например, как на моей прошлой работе...
обратите внимание, что на рынке персональных систем микрасофт такой рекламной деятельности не ведет
 
 
 
#15
Это нравится:0Да/0Нет
23.12.2005 11:12:26
Ядро Линукс менее безопасно чем ядро Виндов ?


скорее наоборот =).. 1ый класс по общим критериям - наиболее безопасный, 5 - наимение..

кстати хотелось бы увидеть на сек лабе список ОС и присвоенных им классов..
 
 
 
#16
Это нравится:0Да/0Нет
23.12.2005 11:13:55
Certified by the FAA, LynxOS-178 is a Posix-conformant OS that includes Rockwell Collins' VMOS intellectual property to execute in system mode and access hardware directly. With the addition of a separation kernel, LynxOS-178 has demonstrated EAL-7 functionality. Currently, LynxOS-178 can be easily certified to the Common Criteria EAL-4, and LynuxWorks is building on that technology to be able to deliver an RTOS certifiable to the Common Criteria EAL-7.
 
 
 
#17
Это нравится:0Да/0Нет
23.12.2005 11:52:36
Цитата
В винде для аналогичного эффекта надо помучиться
А ты мне дай права admin или SYSTEM на твоей машине и я тебе ее в момент в бсод бабахну или просто урою систему нафиг :funny:

"... знал дюжину способов относительно честно завалить windows NT с правами админа"
 
 
 
#18
Это нравится:0Да/0Нет
23.12.2005 11:57:19
Цитата
Гость пишет:
скорее наоборот =).. 1ый класс по общим критериям - наиболее безопасный, 5 - наимение..
Угу, их не 5, а семь классов и все нооборот 1 наименее безопасный, читайте ГОСТ.
 
 
 
#19
Это нравится:0Да/0Нет
23.12.2005 12:08:25
Требования Common Criteria, во-первых, нескольку устарели, а во-вторых, очень мало соотносятся с реальной безопасностью - которая определяется не соответствием длинным спецификациям, а многолетнеё практикой и исследованием исходного кода широким кругом независимых экспертов.

Хотя крупные организации на эту бумажку ведутся :(
 
 
 
#20
Это нравится:0Да/0Нет
23.12.2005 12:39:47
Цитата
Можно предположить, что сертификат выдан, как и на предыдущие ОС, на автономные системы.
Вы, простите, сертификацию от атестации отличить не можете? :-)
При сертификации объектом оценки является продукт, а не его экземпляр, установленный в определенном месте конкретным человеком на конкретном железе.
Соответственно и судить об автономности "в общем" никак нельзя.

А вообще, безопасность бывает не только сетевая.
В винде есть шаги в направлении отказа от всемогущего root'а.
Только ненадо про SELinux... ладно еще про RSBAC поговорить, но так его ж самому надо прикручивать - соответственно такое можно только аттестовать, но никак не сертифицировать. :-)

Что касается серьезного восприятия CC - существуют соответствующие профили защиты, задания по безопасности и т.д. согласно которых проводится оценка соответствия безопасности продуктов заявленной. Профиль содержит определенный ряд требований, причем там редко попадаются "нафиг ненужные или бредовые" угрозы, атаки и контрмеры. Так вот в винде реализованы контрмеры, а в opensource'овых UNIX-подобных осях - нет. Есть, конечно "trusted" версии, но это другое.

P.S. Качество и безопасность кода - одно, а вот защищенная ОС - это совсем другое...
 
 
 
Страницы: 1 2 След.
Читают тему