Validatie van cryptografische modules
Alle Apple FIPS 140-2 Conformance Validation Certificates staan op de CMVP-leverancierspagina. Apple neemt actief deel aan de validatie van de modules CoreCrypto en CoreCrypto Kernel voor elke belangrijke release van iOS. Validatie kan alleen worden uitgevoerd op een definitieve releaseversie van de module en kan alleen formeel worden ingediend na de openbare release van het OS. CMVP houdt nu de validatiestatus van cryptografische modules bij in twee afzonderlijke lijsten, afhankelijk van hun huidige status. De modules beginnen in de Implementation Under Test List en gaan vervolgens naar de Modules in Process List.
iOS 12
- Apple cryptografische modules met FIPS-validatie v9.0 voor ARM
- iOS 12-compatibele apparaten
- Crypto Officer Role Guide for FIPS 140-2 Compliance for ARM v9.0 (pdf)
- #3433: Apple CoreCrypto Module voor ARM v9.0
- #3438: Apple CoreCrypto Kernel Module voor ARM v9.0
Gerelateerde validatie (Module in Process)
iOS 11
Gerelateerde validatie
Vorige versies
Deze vorige iOS-versies hadden cryptografische modulevalidaties en zijn nu gearchiveerd:
- iOS 10
- iOS 9
- iOS 8
- iOS 7
Handleidingen voor beveiligingsconfiguratie
Beveiligingsgerichte ondernemingen bieden goed omschreven en onderzochte richtlijnen voor het configureren van de diverse platformen voor aanvaardbaar gebruik. Handleidingen voor beveiligingsconfiguratie bieden een overzicht van functies in macOS en iOS die u kunt gebruiken om de beveiliging te verbeteren. Dit staat bekend als 'het verharden van uw apparaat'. Overheden wereldwijd hebben in samenwerking met Apple richtlijnen ontwikkeld voor het geven van instructies en aanbevelingen voor het behoud van een veiligere omgeving.
Voor het gebruik van deze handleidingen moet u een ervaren gebruiker of systeembeheerder zijn, de gebruikersinterface kennen en weten hoe beheertools werken voor het doelplatform. Kennis van de basisconcepten van netwerken is een voordeel. Bepaalde instructies in de handleidingen zijn ingewikkeld. Als u deze niet precies opvolgt, kan dit leiden tot nadelige effecten of een slechtere bescherming. Test alle wijzigingen in de instellingen van een apparaat grondig voordat u overgaat tot implementatie.
Raadpleeg voor meer informatie de Handleiding iOS-beveiliging (pdf).
DE (BSI)
Basisbeginselen iOS-beveiliging ('Grundschutz iOS')
iOS-implementatiehandleiding (Umsetzungshinweise iOS)
VK (NCSC)
EUD-richtlijnen voor iOS en macOS
VS (DISA, NIST, NSA)
Apple iOS 12 STIG
SCAP-on-Apple
CIS: iOS
AU (ASD)
iOS Hardening Guidance
iOS Hardening Guide (pdf)
iOS Hardening Guide (iBook)
NZ (GCSB)
iOS Hardening Guidance
iOS Hardening Guide (pdf)
iOS Hardening Guide (iBook)
Beveiligingscertificeringen
Een lijst van openbaar geïdentificeerde, actieve en afgeronde certificeringen van Apple.
ISO 27001- en 27018-certificering
Apple is ISO 27001- en ISO 27018-gecertificeerd voor het implementeren van een Information Security Management System (ISMS) voor de infrastructuur, ontwikkeling en bewerkingen die deze producten en voorzieningen ondersteunen: Apple School Manager, iTunes U, iCloud, iMessage, FaceTime, beheerde Apple ID's, Siri en Schoolwork, in overeenstemming met het Statement of Applicability v2.2, d.d. 5-11-2018. Apple's naleving van de ISO-standaarden is gecertificeerd door de British Standards Institution. Op de website van BSI staan de nalevingscertificaten voor ISO 27001 en ISO 27018.
Common Criteria-certificering
Het doel, zoals geformuleerd door de Common Criteria-community, is dat een internationaal goedgekeurde reeks beveiligingsnormen een duidelijke en betrouwbare evaluatie van de beveiligingsmogelijkheden van IT-producten biedt. Door de externe beoordeling van de mogelijkheden van een product om aan de veiligheidsnormen te voldoen, geeft een Common Criteria-certificering de klant meer vertrouwen in de veiligheid van een IT-product en heeft deze meer informatie om een beslissing te nemen.
Via een Common Criteria Recognition Arrangement (CCRA) zijn de deelnemende landen en regio's overeengekomen de certificering van IT-producten te erkennen met hetzelfde vertrouwen. Het aantal leden en de omvang en reikwijdte van beschermingsprofielen blijven jaarlijks groeien om aan de opkomende technologie te voldoen. Met deze overeenkomst kan een productontwikkelaar een bepaalde certificering nastreven die aan elk machtigingsschema voldoet.
Eerdere beschermingsprofielen zijn gearchiveerd en worden gaandeweg vervangen door de ontwikkeling van doelgerichte beschermingsprofielen die zijn gericht op specifieke oplossingen en omgevingen. In een gezamenlijke inspanning om een wederzijdse herkenning tussen alle CCRA-leden te behouden, blijft de iTC (International Technical Community) alle ontwikkelingen en updates van beschermingsprofielen in de toekomst stimuleren om cPP's (Collaborative Protection Profiles) te verkrijgen die vanaf het begin met meerdere schema's zijn ontwikkeld.
Apple streeft sinds het begin van 2015 naar certificeringen onder deze nieuwe Common Criteria-herstructurering met bepaalde beschermingsprofielen. De certificeringen van Apple die openbaar geïdentificeerd, actief en voltooid zijn, vindt u in de lijst hieronder.
iOS 12
Beschermingsprofiel |
VID |
Opleverdatum |
|
Mobiel apparaat |
maart 2019 |
||
MDM Agent |
maart 2019 |
||
WLAN Agent |
maart 2019 |
||
VPN Client |
maart 2019 |
||
Toepassingssoftware (Contacten) |
februari 2019 |
||
Browser (Safari) |
Naar verwachting juni 2019 |
iOS 11
|
Beschermingsprofiel |
VID |
Opleverdatum |
Mobiel apparaat |
30 maart 2018 |
||
MDM Agent |
30 maart 2018 |
||
WLAN Agent |
30 maart 2018 |
||
VPN Client |
10 mei 2018 |
||
Toepassingssoftware (Contacten) |
13 september 2018 |
||
Browser (Safari) |
9 november 2018 |
Vorige versies
Certificeringen van vorige iOS-versies zijn nu gearchiveerd:
- iOS 10
- iOS 9
Grote versie-updates van beschermingsprofielen gepubliceerd door de Common Criteria-community vinden doorgaans om de 12-18 maanden plaats met aanvullende of bijgewerkte SFR's (Security Functional Requirements).
In het Common Criteria Portal vindt u een volledige lijst met beschermingsprofielen (PP's), Collaborative Protection Profiles (cPP's) alsook de bijbehorende geldigheidsdata. Deze zijn ook te vinden onder het schema van uw keuze, zoals de National Information Assurance Partnership (NIAP), het schema voor de VS.
Goedgekeurd voor gebruik door de overheid
Informatie van bepaalde landen en regio's die goedgekeurde apparaten hebben voor gebruik door de overheid.
Australische overheid
Zoals in het overzicht op de pagina EPL - Evaluated Products List wordt vermeld:
De Australian Signals Directorate (ASD) houdt de Evaluated Products List (EPL) van ICT-beveiligingsproducten bij die worden geëvalueerd door ASD voor gebruik door overheidsinstellingen in Australië en Nieuw-Zeeland.
- Producten op de EPL zijn gecertificeerd voor bepaalde doeleinden.
- Producten op de EPL worden mogelijk gebruikt om beveiligde systemen en netwerken te ontwikkelen zoals wordt beschreven in de Australian Government Information Security Manual (ISM).
- Producten worden gecertificeerd aan de hand van de internationaal erkende ISO 15408 Common Criteria (CC). Het CC Portal bevat andere producten met gelijkwaardig erkende certificeringen die ook kunnen worden gebruikt.
- Het certificeringskantoor van ASD, de Australasian Certification Authority, controleert het Australasian Information Security Evaluation Program (AISEP) waarmee producttests worden uitgevoerd door gelicentieerde commerciële evaluatiefaciliteiten.
- Op de EPL staan ook de Cryptographic Evaluations van ASD.
Product: iOS 9
Producttype: mobiele producten
Productstatus: voltooid
Verzekeringsniveau: beoordeeld door ASD
Versie: 9.3.5 of hoger
Handleiding: pdf
Britse overheid
Zoals in het overzicht op de pagina Commercial Product Assurance van NCSC - producten op basisniveau staat:
CPA evalueert commerciële standaardproducten en de ontwikkelaars van deze producten aan de hand van gepubliceerde beveiligings- en ontwikkelingsstandaarden. Een beveiligingsproduct dat als goed wordt beoordeeld, krijgt het certificaat Foundation Grade. Dit betekent dat het product heeft aangetoond een goede commerciële beveiligingspraktijk te bevatten en dat het geschikt is voor omgevingen met een laag dreigingsniveau.
- CPA-certificering is 2 jaar geldig en producten mogen worden bijgewerkt tijdens de geldigheid van de certificering naarmate kwetsbaarheden ontstaan en updates vereist zijn.
- CPA-certificering wordt geaccepteerd door de NAVO-catalogus en wordt erkend als een van de benodigde evaluaties voor de EU-catalogus.
- Foundation Grade wordt verder uitgelegd door NCSC.
Duitse overheid
Zoals staat op de pagina Mobiele communicatie:
Overzicht
Smartphones en tablets bieden diverse voordelen in het beroeps- en privéleven en zijn inmiddels niet meer weg te denken als metgezel in alle mogelijke alledaagse situaties. Bij het omgaan met gevoelige informatie gaat het gebruik van mobiele IT en communicatietechnologie echter vaak ten koste van de beveiliging.
Veilige mobiele communicatieoplossingen die bedoeld zijn voor gebruik door de federale overheid moeten altijd zo goed mogelijk voldoen aan de behoeften van de moderne mobiele werker, maar ook aan de zwaarste beveiligingsvereisten voor het verwerken van gevoelige gegevens.
Om de leveringszekerheid te kunnen garanderen voor de federale overheid, is het eveneens belangrijk om meerdere aanbieders in de arm te nemen. Uitgebreide informatie hierover kunt u vinden in de brochure 'Veilig mobiel werken: probleemdefinitie, technische vereisten en oplossingen aan de hand van de vereisten voor mobiele apparaten die in gebruik zijn bij de federale overheid'.
SecurePIM Government SDS
Besturingssysteem: iOS
Goedkeuring t/m VS-NfD
Producent: virtual solution AG
Nieuwste iOS-apparaten (iPhone, iPad vanaf iOS-versie ≥ 12)
Amerikaanse overheid
Zoals staat op de pagina Commercial Solutions for Classified:
Klanten van Amerikaanse overheidsinstellingen vereisen steeds meer dat de meest moderne commerciële hardware- en softwaretechnologie die verkrijgbaar is op de markt, wordt gebruikt in National Security Systems (NSS) om de doelstellingen te verwezenlijken. Daarom is de Information Assurance Directorate (IAD) van de National Security Agency/Central Security Service (NSA/CSS) bezig met de ontwikkeling van nieuwe manieren om opkomende technologie zo te gebruiken dat meer tijdige IA-oplossingen voor snel evoluerende klantvereisten worden geleverd.
Het programma Commercial Solutions for Classified (CSfC) van NSA/CSS is opgesteld zodat commerciële producten kunnen worden gebruikt in gelaagde oplossingen die geclassificeerde NSS-gegevens beschermen. Hierdoor kan veilig worden gecommuniceerd op basis van commerciële standaarden in een oplossing die in maanden, en niet jaren, kan worden ingezet.
Steeds meer geclassificeerde omgevingen willen Apple oplossingen inzetten, maar worden hierin belemmerd door een gebrek aan productcertificeringen. Het streven van Apple naar Common Criteria-certificeringen bij het gebruik van de bovenstaande beschermingsprofielen heeft ervoor gezorgd dat de Apple producten op de CSfC-onderdelenlijst voorkomen en beschikbaar zijn.
Zodra extra Common Criteria-certificeringen van Apple producten zijn begonnen voor elk van de gerelateerde beschermingsprofielen, worden de bijbehorende Apple onderdelen ingediend ter goedkeuring voor vermelding op de CSfC-onderdelenlijst en toevoeging aan de onderstaande tabel.
CSfC-onderdelenlijst
De volgende Apple producten komen in aanmerking voor gebruik in een CSfC-oplossing:
Apple producten toevoegen aan de productenlijst
Steeds meer overheidsomgevingen vragen dat Apple producten worden toegevoegd aan hun programma's zoals CPA, EPL en CSfC. Als u een gemachtigde vertegenwoordiger bent van het overheidsprogramma in uw land voor oplossingen en producten van Apple op de equivalente productenlijst wilt plaatsen, neemt u contact met ons op door een e-mail te sturen naar security-certifications@apple.com.
Andere besturingssystemen
Raadpleeg deze artikelen voor meer informatie over productbeveiliging, validaties en richtlijnen voor: