Le valutazioni Common Criteria (CC) rappresentano uno standard internazionale (ISO/IEC 15408) per la certificazione della sicurezza dei prodotti IT.
Questo schema fornisce una base comune per la specifica, l’implementazione e la valutazione delle caratteristiche di sicurezza, permettendo di confrontare in modo oggettivo diversi prodotti e facilitando l’accettazione reciproca tra gli enti di certificazione a livello globale attraverso accordi di mutuo riconoscimento (vedi il Common Criteria Recognition Arrangement – CCRA).
Indice degli argomenti
La complessità delle PP-configuration nelle valutazioni common criteria
Un elemento fondamentale del framework Common Criteria è il Protection Profile (PP). I PP sono documenti standardizzati che definiscono requisiti di sicurezza per una specifica categoria di prodotti (ad esempio firewall, sistemi operativi, dispositivi crittografici e così via), stabilendo una baseline comune di requisiti da rispettare. Essi forniscono un insieme di requisiti funzionali e garanzia che un prodotto deve soddisfare per essere considerato conforme al PP. Grazie ai PP, le valutazioni possono essere rese più rapide, comparabili e, soprattutto, ripetibili.
Tuttavia, nella pratica, i moderni prodotti ICT tendono a coprire funzionalità che ricadono sotto più di un PP. Per rispondere a questa esigenza, lo schema Common Criteria ha introdotto il concetto di PP-Configuration: una composizione strutturata di più Protection Profile che permette di valutare un prodotto rispetto a un insieme coerente di requisiti provenienti da protection profile differenti. In tale ambito, le PP-Configuration consentono l’integrazione di PP-Module e Functional Package, ovvero componenti modulari riutilizzabili che forniscono requisiti aggiuntivi specifici per determinate funzionalità (ad esempio, l’autenticazione biometrica o la cifratura dei dati). Questa architettura modulare permette una maggiore flessibilità e scalabilità nelle valutazioni, adattandosi meglio alla complessità dei prodotti contemporanei e promuovendo la riusabilità dei requisiti già definiti.
Il valore dell’automazione nella gestione delle PP-Configuration
In questo contesto, l’utilizzo di tool automatici diventa cruciale. La crescente complessità delle PP-Configuration, unita alla necessità di garantire coerenza e correttezza nella selezione e personalizzazione dei requisiti, rende sempre più evidente il bisogno di strumenti software che supportino le fasi di analisi, generazione e verifica della documentazione di valutazione.
In questo articolo si esplorerà come l’automazione possa contribuire a migliorare l’efficienza, la qualità e l’affidabilità delle valutazioni Common Criteria basate su PP e PP-Configuration.
PP-Configuration: struttura e complessità
Secondo lo standard CC, una PP-Configuration è costruita a partire dall’unione di un Protection Profile base, uno o più PP-Module e, opzionalmente, uno o più Functional Package. Tuttavia, questa unione non è meramente formale: essa richiede una fusione semantica e strutturale di diverse sezioni critiche dei documenti che la compongono.
Le sezioni più direttamente coinvolte nel processo di integrazione sono:
- la Security Problem Definition (SPD),
- i Security Objectives,
- e, soprattutto, i Security Functional Requirements (SFRs).
La Security Problem Definition descrive il contesto in cui opera l’Oggetto della Valutazione (OdV): in essa vengono elencate le minacce ipotizzate e le assunzioni sull’ambiente operativo. La sezione dei Security Objectives ha il compito di affrontare i problemi identificati nella SPD, articolando obiettivi specifici sia per l’OdV sia per l’ambiente che lo circonda. Infine, la sezione dei Security Functional Requirements elenca i requisiti tecnici che l’OdV deve soddisfare per raggiungere gli obiettivi di sicurezza definiti nel capitolo precedente.
Nel contesto di una PP-Configuration, tutti questi elementi devono essere estratti, armonizzati e integrati a partire dai documenti originari. Questo processo è tutt’altro che banale: oltre alla necessità di garantire coerenza terminologica e logica tra elementi provenienti da fonti diverse, bisogna anche gestire sovrapposizioni, dipendenze incrociate e potenziali contraddizioni tra requisiti o assunzioni.
La generazione di una PP-Configuration rappresenta quindi una fase critica — e delicata — della valutazione Common Criteria. Eventuali errori o incoerenze introdotti in questa fase possono avere un impatto significativo sulla validità della valutazione complessiva.
Dalla complessità al controllo: l’impatto dei tool automatici
In questo contesto, tool automatici possono fornire un supporto fondamentale, offrendo benefici tangibili sia in termini di accuratezza che di efficienza:
- Generazione automatica delle sezioni principali: i tool possono assistere l’utente nella composizione iniziale della PP-Configuration, generando automaticamente le liste della Security Problem Definition, degli Security Objectives e dei Security Functional Requirements. Grazie all’automazione, si ha la garanzia che tali sezioni siano coerenti e consistenti con quelle definite nei documenti di origine.
- Rilevamento di ridondanze e incompatibilità: durante la fusione di più moduli e package, possono emergere requisiti duplicati, semanticamente sovrapposti o addirittura incompatibili. Un tool automatico è in grado di identificare questi casi, offrendo al valutatore la possibilità di risolverli in modo guidato, scegliendo i requisiti più adeguati per il contesto specifico.
- Allineamento alle versioni aggiornate: l’automazione consente di mantenere la PP-Configuration sempre allineata con le ultime versioni disponibili dei PP, moduli e package ufficiali. Questo è particolarmente utile in contesti dove le specifiche vengono aggiornate frequentemente e c’è il rischio di usare versioni obsolete.
- Riduzione del rischio di errore umano: automatizzare le fasi più meccaniche e soggette a distrazione permette di ridurre gli errori tipici delle attività manuali e di focalizzare l’attenzione del valutatore sugli aspetti concettualmente critici della valutazione.
In definitiva, i tool automatici non sostituiscono il ruolo analitico e decisionale dell’esperto, ma lo potenziano, offrendo un ambiente di lavoro più controllato, coerente e aggiornato. In una fase così delicata come quella iniziale della valutazione Common Criteria, l’automazione può fare la differenza tra una base solida e un processo destinato a scontrarsi con revisioni, ambiguità e ritardi.
Come funzionano i tool automatici common criteria
Affinché un tool automatico possa supportare efficacemente la generazione di una PP-Configuration, deve innanzitutto essere in grado di importare e interpretare le informazioni contenute nei documenti sorgente. Questo richiede l’implementazione di una meccanica di import capace di parsificare (ovvero interpretazione dei dati e traduzione in un linguaggio intermedio) i contenuti strutturati dei vari Protection Profile, PP-Module e Functional Package.
Per rendere possibile questa operazione, è necessario che i documenti seguano un formato standard. Sebbene possano essere creati manualmente, in molti casi è possibile fare riferimento a fonti ufficiali già esistenti. Un esempio significativo è il repository GitHub dell’Autorità statunitense NIAP (National Information Assurance Partnership) che ospita la maggior parte dei PP, PP-Module e Functional Package in formato XML strutturato.
È nella fase successiva, quella della composizione della PP-Configuration, dove si concentra la maggiore complessità. A questo punto, il tool deve combinare le informazioni provenienti da fonti diverse, preservandone la coerenza semantica e strutturale.
Durante questa fase iniziale di composizione automatica, il tool non effettua direttamente de-duplicazioni o rimozioni. Al contrario, ogni elemento conflittuale o duplicato viene contrassegnato e lasciato deliberatamente nell’output intermedio. In questo modo, il sistema garantisce trasparenza e controllo all’utente, evitando decisioni arbitrarie o non tracciabili.
Successivamente, attraverso un’apposita interfaccia grafica, l’utente può analizzare i conflitti identificati e risolverli manualmente, selezionando quali elementi mantenere ed eventualmente modificare. Questo approccio a due fasi — generazione automatica seguita da intervento assistito — permette di coniugare efficienza operativa e flessibilità decisionale, lasciando all’utente finale il pieno controllo del risultato.
Tool automatici per la generazione dei security target
Il valore di un tool automatico non si esaurisce nella sola generazione della PP-Configuration. Se il risultato di questa fase viene esportato in un formato standardizzato — ad esempio XML — diventa possibile utilizzarlo come input per ulteriori strumenti che assistono il valutatore nelle successive fasi del processo Common Criteria. Questo permette di costruire un ecosistema di strumenti compatibili tra loro, capaci di scambiarsi dati in modo strutturato e continuo, supportando così ogni fase del processo di valutazione — dalla definizione dei requisiti iniziali fino alla produzione della documentazione finale.
Tra le attività più importanti che seguono la definizione della PP-Configuration c’è senza dubbio la generazione del Security Target (ST). Il Security Target è un documento fondamentale per una valutazione CC in quanto descrive in dettaglio l’oggetto della valutazione, traducendo i requisiti generici dei Protection Profile o della PP-Configuration in un contesto concreto e applicabile a uno specifico prodotto.
Come già detto, i Protection Profile definiscono requisiti generali per una categoria di prodotti (es. firewall, database, hypervisor,…), lasciando intenzionalmente un certo grado di flessibilità. Questa flessibilità si manifesta attraverso due meccanismi ben noti nel linguaggio Common Criteria:
- Assignment: punti del testo lasciati aperti, da completare con contenuto libero (es. definire un formato di log, un algoritmo, una soglia).
- Selection: scelte multiple predefinite, da selezionare secondo il comportamento del prodotto (es. scegliere tra AES, RSA, o SHA-256 per una funzione crittografica).
Nel Security Target, queste operazioni devono essere completate per adattare i requisiti generici definiti dalla PP-Configuration alle specifiche caratteristiche del prodotto oggetto della valutazione.
Un tool ben progettato può assistere l’utente anche in questa fase, offrendo un’interfaccia grafica strutturata come un ambiente di lavoro coerente con la PP-Configuration importata. In questo ambiente, l’utente ha la possibilità di navigare tra i requisiti funzionali ereditati dalla PP-Configuration e, per ciascuno di essi, completare le assignment inserendo testo libero dove richiesto e selezionare, tramite appositi controlli, le opzioni previste nei punti di selection.
L’interazione con il tool non si limita alla semplice compilazione, ma diventa un processo guidato e consapevole, in cui ogni scelta è contestualizzata rispetto ai requisiti ereditati. In questo modo, la generazione del Security Target non parte da un documento vuoto, ma viene costruita in continuità logica con la PP-Configuration, assicurando consistenza e riducendo i tempi e i margini di errore.
Sviluppi futuri per i tool automatici common criteria
L’automazione delle attività legate alla definizione e gestione delle PP-Configuration rappresenta un passo concreto verso la modernizzazione del processo di valutazione Common Criteria. Fornire ai valutatori un ambiente controllato, dotato di un’interfaccia grafica coerente e strutturata, in cui sia possibile generare in modo guidato la documentazione necessaria, costituisce un importante valore aggiunto in termini di efficienza, coerenza e riduzione degli errori.
Ma il potenziale di un simile ambiente non si limita alla sola generazione della PP-Configuration o del Security Target. L’approccio può essere esteso ulteriormente, supportando anche la produzione dei principali rapporti di valutazione previsti dal Common Criteria: ADV (Development), AGD (Guidance Documents), ALC (Life-cycle Support), ASE (Security Target Evaluation), ATE (Tests), e AVA (Vulnerability Assessment). Questi rapporti seguono una struttura modulare e ripetitiva, il che li rende particolarmente adatti a una generazione automatica dello scheletro. Molte sezioni possono essere precompilate in modo coerente, estraendo informazioni dalla PP-Configuration importata, riducendo così l’onere iniziale per il valutatore e migliorando l’allineamento complessivo della documentazione.
In conclusione, l’adozione di strumenti automatici per supportare la redazione e la gestione della documentazione Common Criteria non solo è possibile, ma auspicabile. Si tratta di una naturale evoluzione del processo che permette di alzare il livello di qualità e affidabilità delle valutazioni, ridurre i costi, e accelerare i tempi di consegna, senza compromettere la profondità e l’obiettività dell’analisi.
