通用标准的选项

Question

对于 [Under-attack] 等国际通用标准存在一些批评。1

您认为使用 CC 开发 IT 产品的优点和缺点是什么？

Answer 1

我是 BSI（德国）和 NIAPP（美国）计划的通用标准评估员。 我的经验不多，但我想我有资格回答这个问题。

优点：

1. 使用 CC 进行开发的首要优势是能够与美国政府开展业务。 每当我对某人说这句话时，我的内心都会崩溃，因为我真的希望安全是首要原因。 但可惜...
2. 其次，它极大地提高了设计文档的质量，因为 CC 的大部分内容都是围绕分析文档而展开的，而良好的文档是必要条件。 找到一个好的实验室，他们可能会为您完成所有这些工作。
3. 它会让您意识到您从未想过的安全问题，例如客户如何知道我运送给他们的产品确实来自我而不是冒充我的人？
4. 最后，可悲的是，它将提高产品的技术安全性。 获得一个好的实验室，您将获得非常强大的安全产品和认证。 拿到一个不好的证书，你就只能带着一张证书离开。

缺点：

1. 极其昂贵。 除非你有足够的资金来吸收数十万美元的冲击，否则你不适合CC。 但是，如果您有意与联邦政府合作，如果他们真的喜欢您的产品，您可能会让他们付钱。
2. 极其耗时。 我们的评估持续 9-16 个月，具体取决于产品的复杂程度和评估保证级别。 给您一个想法，EAL 4 的通用 Linux 发行版可能需要一整年才能完成。
3. 该证书仅适用于您产品的确切版本号。 进行更新，证书无效。 （但是，是否接受修补产品取决于国防部的申请官员，因此并非所有希望都消失了。
4. 它的价值在联邦市场之外的任何地方几乎毫无价值。
5. 根据您选择的方案，您将面临某些最好的办法是找到一个可以帮助您完成所有事情的好实验室。

请注意，我从开发人员的角度为您提供了不同的优点和缺点。在从技术上讨论标准的制定方式及其有效性时，我们会讨论优点和缺点。

Answer 2

OP 已经很旧了，但万一有人正在研究 CC...

早在 2008 年，我就已发表的对 CC 的批评写了一篇论文。
我在国防部会议上介绍了这篇论文。
“共同标准：对其问题和批评的调查”
2009 年国防部网络犯罪会议，密苏里州圣路易斯，2009 年 1 月

我刚刚将这篇论文放在我的网站上，仅供参考：
https://jimyuill.com/cs-research/comp-sec-papers/< /a>

该论文已过时，但可能有用，因为某些问题可能仍然存在。

摘要：通用标准（CC）是一些政府（例如美国国防部）用于采购的计算机安全标准。 要在这些市场销售信息安全产品，需要获得 CC 认证。 关于 CC 的问题已经发表了很多文章，并且对 CC 也有广泛的批评。 例如，美国 CC 项目的一位主管最近被引述说：“捍卫该项目是一项全职工作。 这是一项艰巨的工作。” 本文对有关 CC 的问题和批评进行了调查。 该文件提供了：(a) 对所报告问题的分类，(b) 按类别组织的对所报告问题的调查，以及 (c) 特别有用和权威的来源注释指南。 本文旨在为以下人员提供资源：评估 CC 的可能用途、准备使用 CC 或研究 CC 本身。

对 CC 的批评分为三类：

• CC 有效性问题
• CC 规定的局限性问题
• CC 实施问题