การรับรองความปลอดภัยของผลิตภัณฑ์ การตรวจสอบ และคำแนะนำสำหรับ iOS

บทความนี้ประกอบด้วยข้อมูลอ้างอิงสำหรับการรับรองผลิตภัณฑ์ที่สำคัญ การตรวจสอบการเข้ารหัส และคำแนะนำด้านความปลอดภัยสำหรับแพลตฟอร์ม iOS ติดต่อเราได้ที่ security-certifications@apple.com หากคุณมีคำถาม

การตรวจสอบโมดูลการเข้ารหัส

สามารถดูใบรับรองการตรวจสอบความสอดคล้อง FIPS 140-2 ทั้งหมดของ Apple ได้ที่หน้าผู้จำหน่าย CMVP Apple ทุ่มเททำงานเพื่อการตรวจสอบโมดูล CoreCrypto และ CoreCrypto Kernel ในการเผยแพร่หลักแต่ละครั้งของ iOS การตรวจสอบนี้สามารถดำเนินการได้ในเวอร์ชั่นสุดท้ายของโมดูลที่เผยแพร่และส่งอย่างเป็นทางการแล้วก่อนการเผยแพร่ OS ต่อสาธารณะเท่านั้น ขณะนี้ CMVP รักษาสถานะการตรวจสอบของโมดูลการเข้ารหัสที่อยู่ในรายการแยกกันสองรายการโดยขึ้นอยู่กับสถานะปัจจุบันของโมดูลเหล่านั้น โมดูลเริ่มต้นใน Implementation Under Test List จากนั้นดำเนินการต่อใน Modules in Process List

iOS 12

Apple ทุ่มเททำงานเพื่อการตรวจสอบโมดูล CoreCrypto v9.0 ที่ใช้โดย iOS 12 ซึ่งพร้อมให้บริการปลายปีนี้

การตรวจสอบที่เกี่ยวข้อง

เวอร์ชั่นก่อนหน้า

iOS เวอร์ชั่นก่อนหน้าเหล่านี้มีใบรับรองโมดูลการเข้ารหัสและเก็บถาวรไว้แล้วในตอนนี้

  • iOS 8
  • iOS 7

คู่มือการกำหนดค่าการรักษาความปลอดภัย

องค์กรที่มุ่งเน้นความปลอดภัยจะมีคู่มือที่มีการกำหนดและผ่านการตรวจสอบมาเป็นอย่างดี เพื่อแนะนำวิธีการกำหนดค่าแพลตฟอร์มแบบต่างๆ สำหรับการใช้งานที่เป็นที่ยอมรับ คู่มือการกำหนดค่าการรักษาความปลอดภัยจะให้ภาพรวมของคุณสมบัติต่างๆ ใน macOS และ iOS ที่คุณสามารถใช้เพื่อเพิ่มการปกป้อง ซึ่งเรียกว่า "การปิดช่องโหว่ให้กับอุปกรณ์ของคุณ" รัฐบาลทั่วโลกร่วมมือกับ Apple และพัฒนาคู่มือที่ออกแบบมาเพื่อให้คำแนะนำและข้อเสนอแนะสำหรับการรักษาสภาพแวดล้อมที่ปลอดภัยมากยิ่งขึ้น 

หากต้องการใช้คู่มือเหล่านี้ คุณต้องเป็นผู้ใช้ที่มีประสบการณ์หรือผู้ดูแลระบบ มีความคุ้นเคยกับอินเทอร์เฟซผู้ใช้ และมีความรู้ในการใช้งานเครื่องมือการจัดการสำหรับแพลตฟอร์มเป้าหมาย หากมีความคุ้นเคยกับแนวคิดของระบบเครือข่ายขั้นพื้นฐานจะเป็นประโยชน์อย่างมาก คำแนะนำบางอย่างในคู่มือนี้มีความซับซ้อน และการดำเนินการใดๆ ที่คลาดเคลื่อนไปจากนี้อาจทำให้เกิดผลเสียหรือทำให้การป้องกันลดลงได้ โปรดทดสอบการเปลี่ยนแปลงใดๆ ก็ตามที่ดำเนินการกับการตั้งค่าอุปกรณ์ของคุณอย่างถี่ถ้วน ก่อนที่จะนำไปแจกจ่าย

เรียนรู้เพิ่มเติมใน คู่มือความปลอดภัย iOS (PDF)

การรับรองความปลอดภัย

รายการรับรองของ Apple ที่แจ้งต่อสาธารณะ กำลังใช้งาน และเสร็จสมบูรณ์แล้ว

การรับรอง ISO 27001 และ 27018

Apple ได้รับใบรับรอง ISO 27001 และ ISO 27018 ในด้านระบบการจัดการความปลอดภัยข้อมูลสำหรับโครงสร้างพื้นฐาน การพัฒนา และการปฏิบัติงานที่สนับสนุนผลิตภัณฑ์และการบริการต่อไปนี้ ซึ่งก็คือ Apple School Manager, iCloud, iMessage, FaceTime, Apple ID ที่ได้รับการจัดการ, Siri และ iTunes U ที่สอดคล้องกับเอกสารแสดงมาตรการที่นำมาใช้งาน v2.1 ระบุวันที่ 11 กรกฎาคม 2017 Apple ได้รับการรับรองว่าปฏิบัติอย่างสอดคล้องกับมาตรฐาน ISO จาก British Standards Institution เว็บไซต์ BSI มีการรับรองสำหรับการปฏิบัติตามมาตรฐาน ISO 27001 และ ISO 27018

Common Criteria Certification

เป้าหมายตามที่ระบุไว้โดยชุมชน เกณฑ์ทั่วไป คือ ชุดมาตรฐานด้านความปลอดภัยที่ได้รับการยอมรับในระดับสากล ที่ให้การประเมินผลความสามารถในการรักษาความปลอดภัยที่ชัดเจนและเชื่อถือได้ของผลิตภัณฑ์เทคโนโลยีสารสนเทศ ความสามารถในการประเมินว่าคุณสมบัติของผลิตภัณฑ์ตรงตามมาตรฐานด้านความปลอดภัยโดยอิสระนี้จะช่วยสร้างความมั่นใจให้กับลูกค้ามากขึ้นเกี่ยวกับความปลอดภัยของผลิตภัณฑ์เทคโนโลยีสารสนเทศ ซึ่งนำไปสู่การตัดสินใจบนพื้นฐานของข้อมูลที่ดีขึ้น

ประเทศและภูมิภาคที่เป็นสมาชิกเห็นพ้องต้องกันที่จะยอมรับการรับรองผลิตภัณฑ์เทคโนโลยีสารสนเทศโดยมีความมั่นใจในระดับเดียวกัน ทางองค์กรการจัดการรับรองเกณฑ์ทั่วไป (CCRA) ซึ่งสมาชิกภาพพร้อมกับระดับความลึกและความกว้างของโปรไฟล์การคุ้มครองยังคงเติบโตขึ้นเรื่อยๆ เป็นประจำทุกปี เพื่อรับมือกับเทคโนโลยีใหม่ๆ ข้อตกลงนี้อนุญาตให้นักพัฒนาผลิตภัณฑ์ดำเนินการรับรองภายใต้หนึ่งในแบบแผนการอนุญาตใดๆ ที่มีอยู่

โปรไฟล์การป้องกัน (Protection Profile - PP) ก่อนหน้าจะถูกจัดเก็บไว้ และได้เริ่มถูกแทนที่ด้วยการพัฒนาของโปรไฟล์การป้องกันตามเป้าหมาย ซึ่งจะมุ่งเน้นไปที่การแก้ปัญหาและสภาพแวดล้อมที่เฉพาะเจาะจง ด้วยความพยายามร่วมกันเพื่อรับประกันถึงการรับรู้ร่วมกันอย่างต่อเนื่องในหมู่สมาชิก CCRA ทั้งหมด ชุมชนด้านเทคนิคสากล (International Technical Community - iTC) จึงเดินหน้าผลักดันการพัฒนา PP ในอนาคตทั้งหมด และการปรับปรุงโปรไฟล์การป้องกันเชิงร่วมมือ (Collaborative Protection Profile - cPP) ซึ่งได้รับการพัฒนาจากจุดเริ่มต้นที่มีความเกี่ยวข้องกับหลายๆ แผน

Apple เริ่มพยายามที่จะดำเนินการรับรองภายใต้การปรับโครงสร้างเกณฑ์ทั่วไปใหม่นี้พร้อมด้วย PP ที่เลือก โดยเริ่มต้นในช่วงต้นปี 2015 ด้านล่างนี้คือการรับรองของ Apple ที่แจ้งต่อสาธารณะ กำลังใช้งาน และเสร็จสมบูรณ์แล้ว 

iOS 11

 

โปรไฟล์การป้องกัน

VID

การสิ้นสุด

อุปกรณ์เคลื่อนที่

PP_MD_v3.1

10851

2018.03.30

MDM Agent

EP_MDM_Agent_v3.0

10851

2018.03.30

WLAN Agent

PP_WLAN_CLI_EP_v1.0

10851

2018.03.30

VPN Client

PP_VPN_IPSEC_CLIENT_V1.4

10876

2018.05.10

ซอฟต์แวร์แอพพลิเคชั่น (รายชื่อ)

PP_APP_v1.2

10915

ETA:2018.08

เบราเซอร์ (Safari)

PP_APP_v1.2

PP_APPWEBBROWSER_EP_v2.0

10916

ETA:2018.08

เวอร์ชั่นก่อนหน้า

iOS เวอร์ชั่นก่อนหน้าเคยมีใบรับรอง ซึ่งได้รับการเก็บถาวรไว้แล้วในตอนนี้

  • iOS 10
  • iOS 9

การปรับปรุงเวอร์ชั่นหลักที่มีการเผยแพร่ในโปรไฟล์การป้องกันโดยชุมชนเกณฑ์ทั่วไป โดยทั่วไปแล้วคาดว่าจะเป็นไปตามจังหวะเวลา 12-18 เดือน พร้อมการเพิ่มเติมหรือปรับปรุงข้อกำหนดการทำงานด้านการรักษาความปลอดภัย (Security Functional Requirement - SFR)

ภายใต้พอร์ทัลเกณฑ์ทั่วไป คุณสามารถดูรายการที่สมบูรณ์ของ โปรไฟล์การป้องกัน (PP), โปรไฟล์การป้องกันเชิงร่วมมือ (cPP) พร้อมกับวันที่มีผลบังคับใช้ได้ นอกจากนี้ คุณยังสามารถค้นหารายการเหล่านี้ได้ที่ใต้แบบแผนที่คุณเลือก เช่น National Information Assurance Partnership - ความร่วมมือในการประกันข้อมูลแห่งชาติ (NIAP) ซึ่งเป็นแบบแผนของสหรัฐอเมริกา

รับรองสำหรับการใช้ในหน่วยงานรัฐ

ข้อมูลจากประเทศและภูมิภาคที่ได้รับรองอุปกรณ์สำหรับการใช้ในหน่วยงานรัฐ

รัฐบาลออสเตรเลีย


ตามเนื้อหาสรุปจากหน้า รายการผลิตภัณฑ์ที่ได้รับการประเมิน (Evaluated Products List หรือ EPL) จะมีข้อมูลดังนี้

Australian Signals Directorate (ASD) จะรักษารายการผลิตภัณฑ์ที่ได้รับการประเมิน (Evaluated Products List หรือ EPL) ด้านความปลอดภัยของผลิตภัณฑ์ ICT ที่ประเมินโดย ASD สำหรับการใช้ในหน่วยงานภาครัฐของประเทศออสเตรเลียและนิวซีแลนด์

ผลิตภัณฑ์: iOS 9
ชนิดของผลิตภัณฑ์: ผลิตภัณฑ์อุปกรณ์เคลื่อนที่
สถานะของผลิตภัณฑ์: เสร็จสมบูรณ์
ระดับการประกัน: ประเมินโดย ASD
เวอร์ชั่น 9.3.5 หรือสูงกว่า
คู่มือ: PDF

รัฐบาลสหราชอาณาจักร


ตามเนื้อหาสรุปจากหน้าการประกันผลิตภัณฑ์เชิงพาณิชย์ - ผลิตภัณฑ์ระดับรักษาความปลอดภัย (Commercial Product Assurance - products at foundation grade) ของ NCSC จะมีข้อมูลดังนี้

CPA จะทำการประเมินผลิตภัณฑ์ที่ไม่ได้วางจำหน่ายทั่วไปและผู้พัฒนาของผลิตภัณฑ์นั้น โดยจะทำการประเมินผ่านการรักษาความปลอดภัยที่เผยแพร่ได้และมาตรฐานด้านการพัฒนา ผลิตภัณฑ์รักษาความปลอดภัยที่ผ่านการประเมินได้อย่างสมบูรณ์จะได้รับการรับรอง Foundation Grade (ผลิตภัณฑ์รักษาความปลอดภัย) ซึ่งหมายความว่า ผลิตภัณฑ์ได้รับการพิสูจน์แล้วว่าสามารถปฏิบัติการด้านความปลอดภัยเชิงพาณิชย์ได้ดีและเหมาะสมกับการลดสิ่งแวดล้อมที่เป็นภัยให้น้อยลงได้

  • การรับรองของ CPA มีระยะเวลา 2 ปี และอนุญาตให้ผลิตภัณฑ์สามารถอัพเดทได้ในระหว่างช่วงเวลาการรับรองหากมีช่องโหว่เกิดขึ้นและจำเป็นต้องอัพเดท 
  • การรับรองของ CPA ได้รับการยอมรับโดยแคตตาล็อกของ NATO และได้รับการยอมรับให้เป็นการประเมินที่จำเป็นสำหรับแคตตาล็อกของ EU
  • Foundation Gradeสามารถอธิบายได้เพิ่มเติมโดย NCSC

รัฐบาลสหรัฐอเมริกา


จากที่ได้กล่าวถึงไว้ในหน้าCommercial Solutions for Classified (โซลูชั่นเชิงพาณิชย์สำหรับข้อมูลลับ หรือ CSfC) จะมีข้อมูลดังนี้

ลูกค้ารัฐบาลสหรัฐฯ มีความต้องการเพิ่มมากขึ้นในการใช้งานเทคโนโลยีฮาร์ดแวร์และซอฟต์แวร์ในเชิงพาณิชย์ที่ทันสมัยที่สุดในท้องตลาดโดยทันที ภายในระบบรักษาความปลอดภัยแห่งชาติ (National Security System - NSS) เพื่อให้บรรลุวัตถุประสงค์ของภารกิจ ดังนั้น คณะกรรมการประกันข้อมูล (Information Assurance Directorate - IAD) ของหน่วยงานความมั่นคงแห่งชาติ/บริการรักษาความปลอดภัยส่วนกลาง (NSA/CSS) จึงกำลังพัฒนาวิธีการใหม่เพื่อเพิ่มประสิทธิภาพให้กับเทคโนโลยีที่เกิดขึ้นใหม่ เพื่อให้สามารถส่งมอบโซลูชั่น IA ได้ทันเวลามากขึ้นสำหรับความต้องการของลูกค้าที่เกิดขึ้นอย่างรวดเร็ว

โปรแกรมโซลูชั่นเชิงพาณิชย์สำหรับข้อมูลลับ (CSfC) ของ NSA/CSS ได้รับการจัดตั้งขึ้น เพื่อช่วยให้สามารถนำผลิตภัณฑ์ในเชิงพาณิชย์มาใช้ในโซลูชั่นแบบมีเลเยอร์สำหรับการป้องกันข้อมูลลับของ NSS ซึ่งจะช่วยให้สามารถทำการสื่อสารได้อย่างปลอดภัยตามมาตรฐานเชิงพาณิชย์ ในโซลูชั่นที่สามารถนำมาใช้งานจริงในช่วงเวลาเพียงไม่กี่เดือน ไม่ใช่เป็นปีๆ

สภาพแวดล้อมการทำงานที่เป็นความลับซึ่งต้องการปรับใช้โซลูชั่นของ Apple มีเพิ่มมากขึ้นอย่างที่ไม่เคยเป็นมาก่อน แต่ก็ถูกระงับด้วยเหตุผลด้านการรับรองผลิตภัณฑ์ ด้วยความพยายามของ Apple เพื่อให้ได้การรับรองเกณฑ์ทั่วไปในส่วนของโปรไฟล์การป้องกันที่ระบุไว้ข้างต้น จึงทำให้ผลิตภัณฑ์ของ Apple ปรากฏอยู่ในรายการ และมีอยู่ใน รายชื่อส่วนประกอบของ CSfC

เมื่อการรับรองเกณฑ์ทั่วไปเพิ่มเติมของผลิตภัณฑ์ Apple ได้เริ่มต้นด้วยโปรไฟล์การป้องกันที่เกี่ยวข้องแต่ละโปรไฟล์แล้ว คอมโพเนนต์ของ Apple ที่สอดคล้องกันก็จะถูกส่งเพื่อขอรับการรับรองในรายชื่อส่วนประกอบของ CSfC และถูกเพิ่มเข้าไว้ในตารางด้านล่าง

รายชื่อส่วนประกอบของ CSfC

ผลิตภัณฑ์ Apple ต่อไปนี้สามารถใช้ในโซลูชั่น CSfC ได้

เพิ่มอุปกรณ์ Apple ไปที่รายการผลิตภัณฑ์

สภาพแวดล้อมการทำงานที่เป็นของรัฐบาลที่ต้องการให้ผลิตภัณฑ์ของ Apple เป็นไปตามโครงการของรัฐบาลเช่นเดียวกันกับ CPA, EPL และ CSfC มีเพิ่มมากขึ้น หากคุณเป็นตัวแทนที่ได้รับอนุญาตในโปรแกรมโซลูชั่นของรัฐบาลของคุณที่คล้ายคลึงกับ CSfC ของ NSA และสนใจขอบรรจุผลิตภัณฑ์ของ Apple เข้าไว้ในรายชื่อส่วนประกอบของคุณที่เทียบเท่า โปรดติดต่อเราที่ security-certifications@apple.com

ระบบปฏิบัติการอื่นๆ

ดูข้อมูลเพิ่มเติมเกี่ยวกับความปลอดภัย การตรวจสอบ และคำแนะนำ

ข้อมูลเกี่ยวกับผลิตภัณฑ์ที่ไม่ได้ผลิตโดย Apple หรือเว็บไซต์อิสระที่ไม่ได้ควบคุมหรือทดสอบโดย Apple มีให้โดยไม่มีคำแนะนำหรือการรับรองใดๆ Apple ไม่ขอรับผิดชอบในส่วนที่เกี่ยวกับการเลือก ประสิทธิภาพ หรือการใช้งานเว็บไซต์หรือผลิตภัณฑ์ของบริษัทอื่น Apple ไม่รับรองความถูกต้องหรือความน่าเชื่อถือของเว็บไซต์ของบริษัทอื่น ความเสี่ยงต่างๆ ในการใช้งานอินเทอร์เน็ตถือเป็นเรื่องปกติที่เกิดขึ้นได้ ติดต่อผู้จำหน่ายสำหรับข้อมูลเพิ่มเติม ชื่อบริษัทและชื่อผลิตภัณฑ์อื่นอาจเป็นเครื่องหมายการค้าของเจ้าของแต่ละราย

วันที่เผยแพร่: