"ИНФОРМАЦИОННАЯ ТЕХНОЛОГИЯ. МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ. КРИТЕРИИ ОЦЕНКИ БЕЗОПАСНОСТИ ИНФОРМАЦИОННЫХ ТЕХНОЛОГИЙ. ЧАСТЬ 2. ФУНКЦИОНАЛЬНЫЕ ТРЕБОВАНИЯ БЕЗОПАСНОСТИ. ГОСТ Р ИСО/МЭК 15408-2-2008" (утв. Приказом Ростехрегулирования от 18.12.2008 N 520-ст)
11. Класс FIA. Идентификация и аутентификация
Семейства класса FIA содержат требования к функциям установления и верификации заявленного идентификатора пользователя.
Идентификация и аутентификация требуются для обеспечения ассоциации пользователей с соответствующими атрибутами безопасности (такими как идентификатор, группы, роли, уровни безопасности или целостности).
Однозначная идентификация уполномоченных пользователей и правильная ассоциация атрибутов безопасности с пользователями и субъектами критичны для осуществления принятых политик безопасности. Семейства этого класса связаны с определением и верификацией идентификаторов пользователей, определением их полномочий на взаимодействие с ОО, а также с правильной ассоциацией атрибутов безопасности с каждым уполномоченным пользователем. Эффективность требований других классов (таких как "Защита данных пользователя", "Аудит безопасности") во многом зависит от правильно проведенных идентификации и аутентификации пользователей.
Рисунок 36. Декомпозиция класса FIA "Идентификация и аутентификация"
11.1. Отказы аутентификации (FIA_AFL)
11.1.1. Характеристика семейства
Семейство FIA_AFL содержит требования к определению числа неуспешных попыток аутентификации и к действиям ФБО при превышении ограничений на неуспешные попытки аутентификации. Параметрами, определяющими возможное число попыток аутентификации, среди прочих могут быть число попыток и допустимый интервал времени.
11.1.2. Ранжирование компонентов
Рисунок 37. Ранжирование компонентов семейства FIA_AFL
FIA_AFL.1 "Обработка отказов аутентификации" содержит требование, чтобы ФБО были способны прервать процесс открытия сеанса после определенного числа неуспешных попыток аутентификации пользователя. Также требуется, чтобы после прерывания процесса открытия сеанса ФБО были способны блокировать учетные данные пользователя или место входа (например, рабочую станцию), с которого выполнялись попытки, до наступления определенного администратором условия.
Для функций управления из класса FMT могут рассматриваться следующие действия:
a) управление ограничениями для неуспешных попыток аутентификации;
b) управление действиями, предпринимаемыми при неуспешной аутентификации.
11.1.4. Аудит: FIA_AFL.1
Если в ПЗ/ЗБ включено семейство FAU_GEN "Генерация данных аудита безопасности", то следует предусмотреть возможность аудита следующих действий:
a) минимальный: достижение ограничения неуспешных попыток аутентификации и предпринятые действия (например, блокирование терминала), а также при необходимости последующее восстановление нормального состояния (например, деблокирование терминала).
11.1.5. FIA_AFL.1 Обработка отказов аутентификации
Иерархический для: нет подчиненных компонентов.
Зависимости: FIA_UAU.1 Выбор момента аутентификации
11.1.5.1. FIA_AFL.1.1
#ФБО должны обнаруживать, когда произойдет [выбор: &[назначение: положительное целое число], устанавливаемое администратором положительное целое число в пределах [назначение: диапазон допустимых значений]&] неуспешных попыток аутентификации, относящихся к [назначение: список событий аутентификации]#.
11.1.5.2. FIA_AFL.1.2
#При достижении или превышении определенного числа неуспешных попыток аутентификации ФБО должны выполнить [назначение: &список действий&]#.
11.2. Определение атрибутов пользователя (FIA_Atd)
11.2.1. Характеристика семейства
Все уполномоченные пользователи могут, помимо идентификатора пользователя, иметь другие атрибуты безопасности, применяемые при осуществлении ПВО. Семейство FIA_Atd определяет требования для ассоциации атрибутов безопасности с пользователями в соответствии с необходимостью поддержки ПБО.
11.2.2. Ранжирование компонентов
Рисунок 38. Ранжирование компонентов семейства FIA_Atd
FIA_Atd.1 "Определение атрибутов пользователя" позволяет поддерживать атрибуты безопасности пользователя для каждого пользователя индивидуально.
11.2.3. Управление: FIA_Atd.1
Для функций управления из класса FMT могут рассматриваться следующие действия:
a) уполномоченный администратор может быть способен определять дополнительные атрибуты безопасности для пользователей, если это указано в операции назначения.
11.2.4. Аудит: FIA_Atd.1
Нет событий, для которых следует предусмотреть возможность аудита.
11.2.5. FIA_Atd.1 Определение атрибутов пользователя
Иерархический для: нет подчиненных компонентов.
Зависимости: нет зависимостей.
11.2.5.1. FIA_Atd.1.1
#ФБО должны поддерживать для каждого пользователя следующий список атрибутов безопасности: [назначение: &список атрибутов безопасности&]#.
11.3. Спецификация секретов (FIA_SOS)
11.3.1. Характеристика семейства
Семейство FIA_SOS определяет требования к механизмам, которые реализуют определенную метрику качества для предоставляемых секретов и генерируют секреты, соответствующие определенной метрике.
11.3.2. Ранжирование компонентов
Рисунок 39. Ранжирование компонентов семейства FIA_SOS
FIA_SOS.1 "Верификация секретов" содержит требование, чтобы ФБО верифицировали, отвечают ли секреты определенной метрике качества.
FIA_SOS.2 "Генерация секретов ФБО" содержит требование, чтобы ФБО были способны генерировать секреты, отвечающие определенной метрике качества.
11.3.3. Управление: FIA_SOS.1
Для функций управления из класса FMT могут рассматриваться следующие действия:
a) управление метрикой, используемой для верификации секретов.
Для функций управления из класса FMT могут рассматриваться следующие действия:
a) управление метрикой, используемой при генерации секретов.
11.3.5. Аудит: FIA_SOS.1, FIA_SOS.2
Если в ПЗ/ЗБ включено семейство FAU_GEN "Генерация данных аудита безопасности", то следует предусмотреть возможность аудита следующих действий:
a) минимальный: отклонение ФБО любого проверенного секрета;
b) базовый: отклонение или принятие ФБО любого проверенного секрета;
c) детализированный: идентификация любых изменений заданных метрик качества.
11.3.6. FIA_SOS.1 Верификация секретов
Иерархический для: нет подчиненных компонентов.
Зависимости: нет зависимостей.
11.3.6.1. FIA_SOS.1.1
#ФБО должны предоставлять механизм для верификации того, что секреты соответствуют [назначение: &определенная метрика качества&]#.
11.3.7. FIA_SOS.2 Генерация секретов ФБО
Иерархический для: нет подчиненных компонентов.
Зависимости: нет зависимостей.
11.3.7.1. FIA_SOS.2.1
#ФБО должны предоставлять механизм генерации секретов, соответствующих [назначение: &определенная метрика качества&]#.
11.3.7.2. FIA_SOS.2.2
#ФБО должны быть способны использовать генерируемые ими секреты для [назначение: &список функций ФБО&]#.
11.4. Аутентификация пользователя (FIA_UAU)
11.4.1. Характеристика семейства
Семейство FIA_UAU определяет типы механизмов аутентификации пользователя, предоставляемые ФБО. Оно также определяет те атрибуты, на которых необходимо базировать механизмы аутентификации пользователя.
11.4.2. Ранжирование компонентов
Рисунок 40. Ранжирование компонентов семейства FIA_UAU
FIA_UAU.1 "Выбор момента аутентификации" позволяет пользователю выполнить некоторые действия до аутентификации пользователя.
FIA_UAU.2 "Аутентификация до любых действий пользователя" содержит требование, чтобы пользователи были аутентифицированы прежде, чем ФБО даст им возможность предпринимать какие-либо действия.
FIA_UAU.3 "Аутентификация, защищенная от подделок" содержит требование, чтобы механизм аутентификации был способен выявить аутентификационные данные, которые были фальсифицированы или скопированы, и предотвратить их использование.
FIA_UAU.4 "Механизмы одноразовой аутентификации" содержит требование наличия механизма аутентификации, который оперирует аутентификационными данными одноразового использования.
FIA_UAU.5 "Сочетание механизмов аутентификации" содержит требование предоставления и применения различных механизмов аутентификации пользователей в особых случаях.
FIA_UAU.6 "Повторная аутентификация" содержит требование возможности определения событий, при которых необходима повторная аутентификация пользователя.
FIA_UAU.7 "Аутентификация с защищенной обратной связью" содержит требование, чтобы во время аутентификации пользователю предоставлялась строго ограниченная информация о ней.
11.4.3. Управление: FIA_UAU.1
Для функций управления из класса FMT могут рассматриваться следующие действия:
a) управление аутентификационными данными администратором;
b) управление аутентификационными данными пользователем, ассоциированным с этими данными;
c) управление списком действий, которые могут быть предприняты до того, как пользователь аутентифицирован.
11.4.4. Управление: FIA_UAU.2
Для функций управления из класса FMT могут рассматриваться следующие действия:
a) управление аутентификационными данными администратором;
b) управление аутентификационными данными пользователем, ассоциированным с этими данными.
11.4.5. Управление: FIA_UAU.3, FIA_UAU.4, FIA_UAU.7
Действия по управлению не предусмотрены.
11.4.6. Управление: FIA_UAU.5
Для функций управления из класса FMT могут рассматриваться следующие действия:
a) управление механизмами аутентификации;
b) управление правилами аутентификации.
11.4.7. Управление: FIA_UAU.6
Для функций управления из класса FMT могут рассматриваться следующие действия:
a) управление запросом на повторную аутентификацию, если для уполномоченного администратора предусмотрена возможность такого запроса.
11.4.8. Аудит: FIA_UAU.1
Если в ПЗ/ЗБ включено семейство FAU_GEN "Генерация данных аудита безопасности", то следует предусмотреть возможность аудита следующих действий:
a) минимальный: неуспешное использование механизма аутентификации;
b) базовый: все случаи использования механизма аутентификации;
c) детализированный: все действия при посредничестве ФБО до аутентификации пользователя.
11.4.9. Аудит: FIA_UAU.2
Если в ПЗ/ЗБ включено семейство FAU_GEN "Генерация данных аудита безопасности", то следует предусмотреть возможность аудита следующих действий:
a) минимальный: неуспешное использование механизма аутентификации;
b) базовый: все случаи использования механизма аутентификации.
11.4.10. Аудит: FIA_UAU.3
Если в ПЗ/ЗБ включено семейство FAU_GEN "Генерация данных аудита безопасности", то следует предусмотреть возможность аудита следующих действий:
a) минимальный: обнаружение фальсифицированных аутентификационных данных;
b) базовый: все безотлагательно предпринимаемые меры и результаты проверок на фальсифицированные данные.
11.4.11. Аудит: FIA_UAU.4
Если в ПЗ/ЗБ включено семейство FAU_GEN "Генерация данных аудита безопасности", то следует предусмотреть возможность аудита следующих действий:
a) минимальный: попытки повторного использования аутентификационных данных.
11.4.12. Аудит: FIA_UAU.5
Если в ПЗ/ЗБ включено семейство FAU_GEN "Генерация данных аудита безопасности", то следует предусмотреть возможность аудита следующих действий:
a) минимальный: итоговое решение по аутентификации;
b) базовый: результат действия каждого активизированного механизма вместе с итоговым решением.
11.4.13. Аудит: FIA_UAU.6
Если в ПЗ/ЗБ включено семейство FAU_GEN "Генерация данных аудита безопасности", то следует предусмотреть возможность аудита следующих действий:
a) минимальный: неуспешная повторная аутентификация;
b) базовый: все попытки повторной аутентификации.
11.4.14. Аудит: FIA_UAU.7
Нет событий, для которых следует предусмотреть возможность аудита.
11.4.15. FIA_UAU.1 Выбор момента аутентификации
Иерархический для: нет подчиненных компонентов.
Зависимости: FIA_UID.1 Выбор момента идентификации
11.4.15.1. FIA_UAU.1.1
#ФБО должны допускать выполнение [назначение: &список действий, выполняемых при посредничестве ФБО&] от имени пользователя, прежде чем пользователь аутентифицирован#.
11.4.15.2. FIA_UAU.1.2
#ФБО должны требовать, чтобы каждый пользователь был успешно аутентифицирован до разрешения любого другого действия, выполняемого при посредничестве ФБО от имени этого пользователя#.
11.4.16. FIA_UAU.2 Аутентификация до любых действий пользователя
Иерархический для: FIA_UAU.1 Выбор момента аутентификации
Зависимости: FIA_UID.1 Выбор момента идентификации
11.4.16.1. FIA_UAU.2.1
ФБО должны требовать, чтобы каждый пользователь был успешно аутентифицирован до разрешения #любого действия#, выполняемого при посредничестве ФБО от имени этого пользователя.
11.4.17. FIA_UAU.3 Аутентификация, защищенная от подделок
Иерархический для: нет подчиненных компонентов.
Зависимости: нет зависимостей.
11.4.17.1. FIA_UAU.3.1
#ФБО должны [выбор: &обнаруживать, предотвращать&] применение любым пользователем ФБО аутентификационных данных, которые были подделаны#.
11.4.17.2. FIA_UAU.3.2
#ФБО должны [выбор: &обнаруживать, предотвращать&] применение любым пользователем ФБО аутентификационных данных, которые были скопированы у любого другого пользователя ФБО#.
11.4.18. FIA_UAU.4 Механизмы одноразовой аутентификации
Иерархический для: нет подчиненных компонентов.
Зависимости: нет зависимостей.
11.4.18.1. FIA_UAU.4.1
#ФБО должны предотвращать повторное применение аутентификационных данных, связанных с [назначение: &идентифицированный механизм (механизмы) аутентификации&]#.
11.4.19. FIA_UAU.5 Сочетание механизмов аутентификации
Иерархический для: нет подчиненных компонентов.
Зависимости: нет зависимостей.
11.4.19.1. FIA_UAU.5.1
#ФБО должны предоставлять [назначение: &список сочетаемых механизмов аутентификации&] для поддержки аутентификации пользователя#.
11.4.19.2. FIA_UAU.5.2
#ФБО должны аутентифицировать любой представленный идентификатор пользователя согласно [назначение: &правила, описывающие, как сочетание механизмов аутентификации обеспечивает аутентификацию&]#.
11.4.20. FIA_UAU.6 Повторная аутентификация
Иерархический для: нет подчиненных компонентов.
Зависимости: нет зависимостей.
11.4.20.1 FIA_UAU.6.1
#ФБО должны повторно аутентифицировать пользователя при [назначение: &список условий, при которых требуется повторная аутентификация&]#.
11.4.21. FIA_UAU.7 Аутентификация с защищенной обратной связью
Иерархический для: нет подчиненных компонентов.
Зависимости: FIA_UAU.1 Выбор момента аутентификации
11.4.21.1. FIA_UAU.7.1
#ФБО должны предоставлять пользователю только [назначение: &список допустимой информации обратной связи&] во время выполнения аутентификации#.
11.5. Идентификация пользователя (FIA_UID)
11.5.1. Характеристика семейства
Семейство FIA_UID определяет условия, при которых от пользователей требуется идентифицировать себя до выполнения при посредничестве ФБО каких-либо других действий, требующих идентификации пользователя.
11.5.2. Ранжирование компонентов
Рисунок 41. Ранжирование компонентов семейства FIA_UID
FIA_UID.1 "Выбор момента идентификации" позволяет пользователю выполнить некоторые действия перед своей идентификацией с использованием ФБО.
FIA_UID.2 "Идентификация до любых действий пользователя" содержит требование, чтобы пользователи идентифицировали себя прежде, чем ФБО позволят им предпринимать какие-либо действия.
11.5.3. Управление: FIA_UID.1
Для функций управления из класса FMT могут рассматриваться следующие действия:
a) управление идентификаторами пользователей;
b) управление списком действий, если уполномоченный администратор может изменять действия, разрешенные до идентификации.
11.5.4. Управление: FIA_UID.2
Для функций управления из класса FMT могут рассматриваться следующие действия:
a) управление идентификаторами пользователей.
11.5.5. Аудит: FIA_UID.1, FIA_UID.2
Если в ПЗ/ЗБ включено семейство FAU_GEN "Генерация данных аудита безопасности", то следует предусмотреть возможность аудита следующих действий:
a) минимальный: неуспешное использование механизма идентификации пользователя, включая представленный идентификатор пользователя;
b) базовый: все случаи использования механизма идентификации пользователя, включая представленный идентификатор пользователя.
11.5.6. FIA_UID.1 Выбор момента идентификации
Иерархический для: нет подчиненных компонентов.
Зависимости: нет зависимостей.
11.5.6.1. FIA_UID.1.1
#ФБО должны допускать [назначение: &список действий, выполняемых при посредничестве ФБО&] от имени пользователя прежде, чем он идентифицирован#.
11.5.6.2. FIA_UID.1.2
#ФБО должны требовать, чтобы каждый пользователь был успешно идентифицирован до разрешения любого другого действия, выполняемого при посредничестве ФБО от имени этого пользователя#.
11.5.7. FIA_UID.2 Идентификация до любых действий пользователя
Иерархический для: FIA_UID.1 Выбор момента идентификации
Зависимости: нет зависимостей.
ФБО должны требовать, чтобы каждый пользователь был успешно идентифицирован до разрешения любого действия, выполняемого при посредничестве ФБО от имени этого пользователя.
11.6. Связывание пользователь-субъект (FIA_USB)
11.6.1. Характеристика семейства
Для работы с ОО аутентифицированный пользователь обычно активизирует какой-либо субъект. Атрибуты безопасности этого пользователя ассоциируются (полностью или частично) с этим субъектом. Семейство FIA_USB определяет требования по созданию и сопровождению ассоциации атрибутов безопасности пользователя с субъектом, действующим от имени пользователя.
11.6.2. Ранжирование компонентов
Рисунок 42. Ранжирование компонентов семейства FIA_USB
FIA_USB.1 "Связывание пользователь-субъект" требует спецификации каких-либо правил, определяющих ассоциацию между атрибутами пользователя и атрибутами субъекта, в которые они отображаются.
11.6.3. Управление: FIA_USB.1
Для функций управления из класса FMT могут рассматриваться следующие действия:
a) определение уполномоченным администратором атрибутов безопасности субъекта, задаваемых по умолчанию;
b) изменение уполномоченным администратором атрибутов безопасности субъекта.
11.6.4. Аудит: FIA_USB.1
Если в ПЗ/ЗБ включено семейство FAU_GEN "Генерация данных аудита безопасности", то следует предусмотреть возможность аудита следующих действий:
a) минимальный: неуспешное связывание атрибутов безопасности пользователя с субъектом (например, при создании субъекта);
b) базовый: успешное или неуспешное связывание атрибутов безопасности пользователя с субъектом (например, успешное или неуспешное создание субъекта).
11.6.5. FIA_USB.1 Связывание пользователь-субъект
Иерархический для: нет подчиненных компонентов.
Зависимости: FIA_Atd.1 Определение атрибутов пользователя
11.6.5.1. FIA_USB.1.1
#ФБО должны ассоциировать соответствующие атрибуты безопасности пользователя с субъектами, действующими от имени этого пользователя: [назначение: &список атрибутов безопасности пользователя&]#.
11.6.5.2. FIA_USB.1.2
#ФБО должны осуществлять следующие правила исходной ассоциации атрибутов безопасности пользователей с субъектами, действующими от имени пользователей: [назначение: &правила исходной ассоциации атрибутов&]#.
11.6.5.3. FIA_USB.1.3
#ФБО должны осуществлять следующие правила управления изменениями атрибутов безопасности пользователей, ассоциированными с субъектами, действующими от имени пользователей: [назначение: &правила изменения атрибутов&]#.