การรับรองความปลอดภัยของผลิตภัณฑ์ การตรวจสอบ และคำแนะนำสำหรับ iOS

Apple ทุ่มเททำงานเพื่อการตรวจสอบโมดูล CoreCrypto v9.0 ที่ใช้โดย iOS 12 ซึ่งพร้อมให้บริการปลายปีนี้

• โมดูลการเข้ารหัส Apple FIPS v8.0
• อุปกรณ์ที่ใช้ร่วมกับ iOS ได้
• คู่มือบทบาทเจ้าหน้าที่เข้ารหัสสำหรับ ARM ที่เป็นไปตาม FIPS 140-2 (PDF)
• #3148: ใบรับรองและนโยบายความปลอดภัยของโมดูล CoreCrypto
• #3147: ใบรับรองและนโยบายความปลอดภัยของโมดูล CoreCrypto Kernel

• v1.0 — #3223: Apple SEP Secure Key Store Cryptographic Module

• โมดูลการเข้ารหัส Apple iOS FIPS v7.0
• อุปกรณ์ที่ใช้ร่วมกับ iOS ได้
• คู่มือบทบาทเจ้าหน้าที่เข้ารหัสสำหรับ iOS 10 ที่สอดคล้องกับมาตรฐาน FIPS 140-2 (PDF)
• CoreCrypto #2827: ใบรับรองโมดูลและนโยบายความปลอดภัย (PDF)
• CoreCrypto Kernel #2828: ใบรับรองโมดูลและนโยบายความปลอดภัย (PDF)

• โมดูลการเข้ารหัส Apple iOS FIPS v6.0
• อุปกรณ์ที่ตรงตามมาตรฐาน
• คู่มือบทบาทเจ้าหน้าที่เข้ารหัสสำหรับ iOS 9 ที่สอดคล้องกับมาตรฐาน FIPS 140-2 (PDF)
• CoreCrypto #2594: ใบรับรองโมดูลและนโยบายความปลอดภัย{ (PDF)
• CoreCrypto Kernel #2609: ใบรับรองโมดูลและนโยบายความปลอดภัย{ (PDF)

iOS เวอร์ชั่นก่อนหน้าเหล่านี้มีใบรับรองโมดูลการเข้ารหัสและเก็บถาวรไว้แล้วในตอนนี้

• iOS 8
• iOS 7

เยอรมนี (BSI)
คำแนะนำในการกำหนดค่า

สหราชอาณาจักร (NCSC)
คำแนะนำด้านความปลอดภัย EUD: iOS 11

สหรัฐอเมริกา (DISA, NIST, NSA)
Apple iOS 10 ISCG
SCAP-on-Apple
CIS: Center for Internet Security

ออสเตรเลีย (ASD)
คู่มือการปิดช่องโหว่ของ iOS
คู่มือการปิดช่องโหว่ของ iOS (PDF)
คู่มือการปิดช่องโหว่ของ iOS (iBook)

นิวซีแลนด์ (GCSB)
คู่มือการปิดช่องโหว่ของ iOS
คู่มือการปิดช่องโหว่ของ iOS (PDF)
คู่มือการปิดช่องโหว่ของ iOS (iBook)

 

Apple ได้รับใบรับรอง ISO 27001 และ ISO 27018 ในด้านระบบการจัดการความปลอดภัยข้อมูลสำหรับโครงสร้างพื้นฐาน การพัฒนา และการปฏิบัติงานที่สนับสนุนผลิตภัณฑ์และการบริการต่อไปนี้ ซึ่งก็คือ Apple School Manager, iCloud, iMessage, FaceTime, Apple ID ที่ได้รับการจัดการ, Siri และ iTunes U ที่สอดคล้องกับเอกสารแสดงมาตรการที่นำมาใช้งาน v2.1 ระบุวันที่ 11 กรกฎาคม 2017 Apple ได้รับการรับรองว่าปฏิบัติอย่างสอดคล้องกับมาตรฐาน ISO จาก British Standards Institution เว็บไซต์ BSI มีการรับรองสำหรับการปฏิบัติตามมาตรฐาน ISO 27001 และ ISO 27018

เป้าหมายตามที่ระบุไว้โดยชุมชน เกณฑ์ทั่วไป คือ ชุดมาตรฐานด้านความปลอดภัยที่ได้รับการยอมรับในระดับสากล ที่ให้การประเมินผลความสามารถในการรักษาความปลอดภัยที่ชัดเจนและเชื่อถือได้ของผลิตภัณฑ์เทคโนโลยีสารสนเทศ ความสามารถในการประเมินว่าคุณสมบัติของผลิตภัณฑ์ตรงตามมาตรฐานด้านความปลอดภัยโดยอิสระนี้จะช่วยสร้างความมั่นใจให้กับลูกค้ามากขึ้นเกี่ยวกับความปลอดภัยของผลิตภัณฑ์เทคโนโลยีสารสนเทศ ซึ่งนำไปสู่การตัดสินใจบนพื้นฐานของข้อมูลที่ดีขึ้น

ประเทศสมาชิกเห็นพ้องต้องกันที่จะยอมรับการรับรองผลิตภัณฑ์เทคโนโลยีสารสนเทศโดยมีความมั่นใจในระดับเดียวกัน ทางองค์กรการจัดการรับรองเกณฑ์ทั่วไป (CCRA) ซึ่งสมาชิกภาพพร้อมกับระดับความลึกและความกว้างของโปรไฟล์การคุ้มครองยังคงเติบโตขึ้นเรื่อยๆ เป็นประจำทุกปี เพื่อรับมือกับเทคโนโลยีใหม่ๆ ข้อตกลงนี้อนุญาตให้นักพัฒนาผลิตภัณฑ์ดำเนินการรับรองภายใต้หนึ่งในแบบแผนการอนุญาตใดๆ ที่มีอยู่

โปรไฟล์การป้องกัน (Protection Profile - PP) ก่อนหน้าจะถูกจัดเก็บไว้ และได้เริ่มถูกแทนที่ด้วยการพัฒนาของโปรไฟล์การป้องกันตามเป้าหมาย ซึ่งจะมุ่งเน้นไปที่การแก้ปัญหาและสภาพแวดล้อมที่เฉพาะเจาะจง ด้วยความพยายามร่วมกันเพื่อรับประกันถึงการรับรู้ร่วมกันอย่างต่อเนื่องในหมู่สมาชิก CCRA ทั้งหมด ชุมชนด้านเทคนิคสากล (International Technical Community - iTC) จึงเดินหน้าผลักดันการพัฒนา PP ในอนาคตทั้งหมด และการปรับปรุงโปรไฟล์การป้องกันเชิงร่วมมือ (Collaborative Protection Profile - cPP) ซึ่งได้รับการพัฒนาจากจุดเริ่มต้นที่มีความเกี่ยวข้องกับหลายๆ แผน

Apple เริ่มพยายามที่จะดำเนินการรับรองภายใต้การปรับโครงสร้างเกณฑ์ทั่วไปใหม่นี้พร้อมด้วย PP ที่เลือก โดยเริ่มต้นในช่วงต้นปี 2015 ด้านล่างนี้คือการรับรองของ Apple ที่แจ้งต่อสาธารณะ กำลังใช้งาน และเสร็จสมบูรณ์แล้ว 

ตามเนื้อหาสรุปจากหน้า รายการผลิตภัณฑ์ที่ได้รับการประเมิน (Evaluated Products List หรือ EPL) จะมีข้อมูลดังนี้

Australian Signals Directorate (ASD) จะรักษารายการผลิตภัณฑ์ที่ได้รับการประเมิน (Evaluated Products List หรือ EPL) ด้านความปลอดภัยของผลิตภัณฑ์ ICT ที่ประเมินโดย ASD สำหรับการใช้ในหน่วยงานภาครัฐของประเทศออสเตรเลียและนิวซีแลนด์

• ผลิตภัณฑ์ใน EPL ได้ผ่านการรับรองเพื่อวัตถุประสงค์ที่เฉพาะเจาะจง
• ผลิตภัณฑ์ใน EPL อาจถูกใช้เพื่อสร้างระบบและเครือข่ายความปลอดภัยตามที่ได้อธิบายไว้ในคู่มือข้อมูลความปลอดภัย (Information Security Manual หรือ ISM) ของรัฐบาลออสเตรเลีย
• ผลิตภัณฑ์ได้รับการรับรองผ่านเกณฑ์ทั่วไป (Common Criteria หรือ CC) ของ ISO 15408 ที่ได้รับการยอมรับในระดับสากล พอร์ทัล CC จะลงรายการผลิตภัณฑ์อื่นๆ ด้วยการรับรองผ่านการยอมรับร่วมกันที่อาจนำมาใช้ได้เช่นกัน
• สำนักงานการรับรอง ASD หรือ Australasian Certification Authority เป็นผู้ควบคุมโปรแกรมการประเมินข้อมูลความปลอดภัยในแถบประเทศออสตราเลเซีย (Australasian Information Security Evaluation Program หรือ AISEP)ที่ดูแลการทดสอบผลิตภัณฑ์ด้วย
• EPL ปรากฏอยู่ในรายการการประเมินการเข้ารหัสลับของ ASD ด้วยเช่นกัน

ผลิตภัณฑ์: iOS 9
ชนิดของผลิตภัณฑ์: ผลิตภัณฑ์อุปกรณ์เคลื่อนที่
สถานะของผลิตภัณฑ์: เสร็จสมบูรณ์
ระดับการประกัน: ประเมินโดย ASD
เวอร์ชั่น 9.3.5 หรือสูงกว่า
คู่มือ: PDF

ตามเนื้อหาสรุปจากหน้าการประกันผลิตภัณฑ์เชิงพาณิชย์ - ผลิตภัณฑ์ระดับรักษาความปลอดภัย (Commercial Product Assurance - products at foundation grade) ของ NCSC จะมีข้อมูลดังนี้

CPA จะทำการประเมินผลิตภัณฑ์ที่ไม่ได้วางจำหน่ายทั่วไปและผู้พัฒนาของผลิตภัณฑ์นั้น โดยจะทำการประเมินผ่านการรักษาความปลอดภัยที่เผยแพร่ได้และมาตรฐานด้านการพัฒนา ผลิตภัณฑ์รักษาความปลอดภัยที่ผ่านการประเมินได้อย่างสมบูรณ์จะได้รับการรับรอง Foundation Grade (ผลิตภัณฑ์รักษาความปลอดภัย) ซึ่งหมายความว่า ผลิตภัณฑ์ได้รับการพิสูจน์แล้วว่าสามารถปฏิบัติการด้านความปลอดภัยเชิงพาณิชย์ได้ดีและเหมาะสมกับการลดสิ่งแวดล้อมที่เป็นภัยให้น้อยลงได้

• การรับรองของ CPA มีระยะเวลา 2 ปี และอนุญาตให้ผลิตภัณฑ์สามารถอัพเดทได้ในระหว่างช่วงเวลาการรับรองหากมีช่องโหว่เกิดขึ้นและจำเป็นต้องอัพเดท 
• การรับรองของ CPA ได้รับการยอมรับโดยแคตตาล็อกของ NATO และได้รับการยอมรับให้เป็นการประเมินที่จำเป็นสำหรับแคตตาล็อกของ EU
• Foundation Gradeสามารถอธิบายได้เพิ่มเติมโดย NCSC

จากที่ได้กล่าวถึงไว้ในหน้าCommercial Solutions for Classified (โซลูชั่นเชิงพาณิชย์สำหรับข้อมูลลับ หรือ CSfC) จะมีข้อมูลดังนี้

ลูกค้ารัฐบาลสหรัฐฯ มีความต้องการเพิ่มมากขึ้นในการใช้งานเทคโนโลยีฮาร์ดแวร์และซอฟต์แวร์ในเชิงพาณิชย์ที่ทันสมัยที่สุดในท้องตลาดโดยทันที ภายในระบบรักษาความปลอดภัยแห่งชาติ (National Security System - NSS) เพื่อให้บรรลุวัตถุประสงค์ของภารกิจ ดังนั้น คณะกรรมการประกันข้อมูล (Information Assurance Directorate - IAD) ของหน่วยงานความมั่นคงแห่งชาติ/บริการรักษาความปลอดภัยส่วนกลาง (NSA/CSS) จึงกำลังพัฒนาวิธีการใหม่เพื่อเพิ่มประสิทธิภาพให้กับเทคโนโลยีที่เกิดขึ้นใหม่ เพื่อให้สามารถส่งมอบโซลูชั่น IA ได้ทันเวลามากขึ้นสำหรับความต้องการของลูกค้าที่เกิดขึ้นอย่างรวดเร็ว

โปรแกรมโซลูชั่นเชิงพาณิชย์สำหรับข้อมูลลับ (CSfC) ของ NSA/CSS ได้รับการจัดตั้งขึ้น เพื่อช่วยให้สามารถนำผลิตภัณฑ์ในเชิงพาณิชย์มาใช้ในโซลูชั่นแบบมีเลเยอร์สำหรับการป้องกันข้อมูลลับของ NSS ซึ่งจะช่วยให้สามารถทำการสื่อสารได้อย่างปลอดภัยตามมาตรฐานเชิงพาณิชย์ ในโซลูชั่นที่สามารถนำมาใช้งานจริงในช่วงเวลาเพียงไม่กี่เดือน ไม่ใช่เป็นปีๆ

สภาพแวดล้อมการทำงานที่เป็นความลับซึ่งต้องการปรับใช้โซลูชั่นของ Apple มีเพิ่มมากขึ้นอย่างที่ไม่เคยเป็นมาก่อน แต่ก็ถูกระงับด้วยเหตุผลด้านการรับรองผลิตภัณฑ์ ด้วยความพยายามของ Apple เพื่อให้ได้การรับรองเกณฑ์ทั่วไปในส่วนของโปรไฟล์การป้องกันที่ระบุไว้ข้างต้น จึงทำให้ผลิตภัณฑ์ของ Apple ปรากฏอยู่ในรายการ และมีอยู่ใน รายชื่อส่วนประกอบของ CSfC

เมื่อการรับรองเกณฑ์ทั่วไปเพิ่มเติมของผลิตภัณฑ์ Apple ได้เริ่มต้นด้วยโปรไฟล์การป้องกันที่เกี่ยวข้องแต่ละโปรไฟล์แล้ว คอมโพเนนต์ของ Apple ที่สอดคล้องกันก็จะถูกส่งเพื่อขอรับการรับรองในรายชื่อส่วนประกอบของ CSfC และถูกเพิ่มเข้าไว้ในตารางด้านล่าง