(0) exportieren Drucken
Alle erweitern
Erweitern Minimieren

Zertifizierung von Exchange Server 2003 nach den Common Criteria

 

Letztes Änderungsdatum des Themas: 2009-04-27

Veröffentlicht: 15. November 2005

Die Sicherheit beginnt mit einem guten Softwarecode und einem qualitativ hochwertigen Testverfahren für diesen Code. Daran schließt sich ein Prozess zur Identifikation und Behebung von Sicherheitslücken, eine entsprechende Aktualisierung und die Überwachung durch Dritte auf Grundlage anerkannter Standards an. Microsoft hat daher Microsoft Exchange Server 2003 auf Grundlage des neuen CCITSE-Standards (Common Criteria for Information Technology Security Evaluation) gründlich und unabhängig evaluieren lassen.

Die Common Criteria wurden 1999 als internationaler Standard ratifiziert und ersetzen den alten europäischen ITSEC- und den US-amerikanischen TCSEC-Bewertungsstandard (mit der bekannten C2-Klassifizierung). Die Staaten, die die Common Criteria anerkennen, sind davon überzeugt, dass durch diesen Standard mehr IT-Produkte mit verbesserter Sicherheit verfügbar werden, Kunden bei Softwarekaufentscheidungen IT-Produkte besser beurteilen können und sich das Vertrauen der Verbraucher in die Sicherheit von IT-Produkten erhöht.

Dieses Dokument enthält einen Überblick über die Common Criteria, die Vorteile der Zertifizierung, die zertifizierten Exchange Server 2003-Szenarien und die Ressourcen, die für den Kunden zum Konfigurieren und Verwalten einer Exchange Server 2003-Umgebung zur Verfügung stehen, deren Sicherheit dem CCITSE-Standard entspricht.

Die Regierung der Vereinigten Staaten verfügt über eine Reihe von Bewertungskriterien zur Beurteilung der Sicherheit von Computersystemen. Viele Bundesbehörden und private Unternehmen kaufen ausschließlich Systeme, die bestimmten Ebenen dieser Bewertungskriterien entsprechen. Die bekannte C2-Klassifizierung des US-amerikanischen TCSEC-Standards (Trusted Computer Systems Evaluation Criteria) stellte eine solche Einstufung dar. Das europäische Gegenstück zu TCSEC, der ITSEC-Standard (Information Technology Security Evaluation Criteria), nahm eine vergleichbare Klassifizierung vor. Der amerikanische TCSEC- und der europäische ITSEC-Standard wurden aktualisiert. Dabei hielt eine Reihe von Staaten es für erforderlich, dem zunehmend höheren technologischen Entwicklungsstand und dem wachsenden Bedarf nach weiteren internationalen Standards für die Bewertung Rechnung zu tragen. Über die ISO (International Organization for Standardization) wurde gemeinsam ein neues Sicherheitsbewertungsverfahren entwickelt, das den Namen CCITSE (Common Criteria for Information Technology Security Evaluation, zu Deutsch „Gemeinsame Kriterien für die Bewertung der Sicherheit von Informationstechnologie“) erhielt. Im vorliegenden Dokument wird dieses Verfahren kurz als „Common Criteria“ bezeichnet.

Bei den Common Criteria werden Produktklassen (z. B. Betriebssysteme) nach den Anforderungen an die Sicherheitsfunktionen und Vertrauenswürdigkeit bewertet, die in so genannten „Schutzprofilen“ definiert sind. Schutzprofile werden für Betriebssysteme, Firewalls, Smart Cards oder andere Produkte entwickelt, von denen die Einhaltung von Sicherheitsvorgaben erwartet werden kann. Das Profil „Controlled Access Protection“ (Zugriffsrechte nach Schutzstufe) beispielsweise bezieht sich auf Betriebssysteme und ersetzt die alten C2-Bewertungsanforderungen. Im Rahmen der Common Criteria wurden für bewertete Produkte auch mehrere EAL-Stufen (Evaluation Assurance Levels) definiert. Je höher die EAL-Zertifizierung, desto höher auch die Stufe der Vertrauenswürdigkeit, die ein korrektes und effektives Arbeiten der Sicherheitsfunktionen eines Produkts gewährleistet.

Obwohl die Common Criteria bereits 1999 als Standard ratifiziert wurden, stehen aufgrund der strengen und langwierigen Testanforderungen die Testergebnisse für die zur Bewertung vorgelegten Betriebssysteme erst heute zur Verfügung. Das Testverfahren für Microsoft Exchange Server 2003 wurde vor kurzem abgeschlossen. Exchange Server 2003 erzielte als Testergebnis die Bewertung EAL 4, erweitert um Systematic Flaw Remediation. Die Zertifizierung von Exchange Server 2003 mit der bisher höchsten Bewertungsstufe beruht auf realitätsgetreuen Szenarien, die von Umfang und Bandbreite her ihresgleichen suchen.

Die Existenz der Common Criteria wirkt sich auf jeden aus, der IT-Systeme benutzt, implementiert und verwaltet.

Erstens gewährleisten die Common Criteria ein bestimmtes Qualitätsniveau, indem sie u. a. dem Kunden erlauben, bei der Beschaffung von Informationstechnologie einheitliche, strenge und unabhängig geprüfte Bewertungsvorgaben anzuwenden. Dadurch wird die Messlatte für die Qualität der Produkte, die der Kunde implementiert, höher gelegt, und in der Werbung nimmt mehr „Ehrlichkeit“ Einzug. Das bedeutet jedoch nicht, dass alle Produkte, die nach den Common Criteria zertifiziert wurden, frei von sämtlichen Sicherheitslücken sind; die Zertifizierung steht jedoch für eine höhere Vertrauenswürdigkeit in Bezug auf die Sicherheit des Produkts.

Zweitens erhält der Kunde im Rahmen des Common Criteria-Programms eine Fülle von Informationen, die für eine höhere Sicherheit bei der eigentlichen Implementierung und dem Einsatz der bewerteten Produkte sorgen. Anbieter, die die Möglichkeiten der Common Criteria nutzen, können ihren Kunden bei der Erstellung sichererer IT-Systeme behilflich sein.

Im weiteren Verlauf dieses Dokuments werden die Vorteile der Common Criteria behandelt. Daran schließt sich eine detailliertere Beschreibung der speziellen Bewertungen für Exchange Server 2003 an. Am Schluss des Dokuments befinden sich einige Hinweise, wie der Kunde mit den von der Zertifizierungsstelle bereitgestellten Informationen seine Konfigurations- und Implementierungsplanungen wirklich verbessern kann.

Die Staaten, die den Common Criteria-Standard ratifiziert haben, hatten erkannt, das eine gemeinsame Befürwortung einheitlicher IT-Sicherheitsstandards für eine bessere Verfügbarkeit evaluierter IT-Produkte mit höherer Sicherheit sorgen würde.* Diese Staaten hatten aber auch erkannt, dass die Common Criteria das Vertrauen seitens der Verbraucher in die Sicherheit von IT-Produkten sowie die Effizienz und Wirtschaftlichkeit des Bewertungs- und Zertifizierungsverfahrens steigern würden.**

Die Common Criteria helfen dem Kunden auf verschiedene Art und Weise, informierte Entscheidungen in Bezug auf die Sicherheit zu treffen:

  • Der Kunde kann seine speziellen Vorgaben mit den einheitlichen und universellen Common Criteria-Standards vergleichen und die für ihn erforderliche Sicherheitsstufe bestimmen.
  • Der Kunde kann leichter ermitteln, welche Produkte jeweils seinen Sicherheitsanforderungen entsprechen. Da nach den Common Criteria die Zertifizierungsstellen verpflichtet sind, detaillierte Berichte über die Sicherheitsfunktionen erfolgreich evaluierter Produkte anzufertigen, kann der Kunde anhand dieser Berichte die relative Sicherheit von IT-Konkurrenzprodukten beurteilen.
  • Der Kunde kann sich auf die Bewertungen nach den Common Criteria verlassen, da sie nicht von Anbietern, sondern von unabhängigen Testlabors vorgenommen werden. Die Common Criteria werden allerdings zunehmend als Benchmark für den Einkauf verwendet; so hat beispielsweise das US-Verteidigungsministerium angekündigt, für Produkte, bei denen Datensicherheit und Vertrauenswürdigkeit erforderlich sind, nur noch nach den Common Criteria bewertete Systeme einzusetzen.
  • Da es sich bei den Common Criteria um einen internationalen Standard handelt, stellen sie ein Regelwerk bereit, das Kunden mit internationaler Geschäftstätigkeit für die Auswahl von Produkten verwenden können, die den Sicherheitsanforderungen am jeweiligen lokalen Standort entsprechen.

Das im Rahmen der Common Criteria bereitgestellte Sicherheitsregelwerk bringt gewissermaßen eine gemeinsame Sicherheits„sprache“ für IT-Produkte hervor, die sowohl Anbieter als auch Verbraucher verstehen. Anbieter können sich bei der Beschreibung der Sicherheitsfunktionen ihrer Produkte auf diese „Sprache“ stützen, indem sie angeben, welche Common Criteria-Bewertungen ihre Produkte erzielt haben. In vergleichbarer Weise können sich auch Verbraucher diese „Sprache“ zunutze machen, um ihre Sicherheitsanforderungen zu definieren und zu vermitteln, was wiederum die Anbieter in die Lage versetzt, Produkte zu entwickeln, die diesen Anforderungen gerecht werden.

Außerdem erlaubt die Common Criteria-„Sprache“ den Anbietern, durch eine entsprechende Entwicklung ihrer IT-Produkte leichter nachweisen zu können, dass ihre Produkte bestimmte Sicherheitsanforderungen erfüllen. Das Bewertungsverfahren birgt darüber hinaus die Möglichkeit, die Produktsicherheit durch einen unparteiischen Dritten evaluieren zu lassen.

Microsoft hat die Common Criteria von Anfang an anerkannt und unterstützt. Exchange Server 2003 wurde von Microsoft der TÜV Informationstechnik GmbH (TÜViT), einem unabhängigen, für die Bewertung nach den Common Criteria anerkannten/akkreditierten Gutachter, zur Bewertung übergeben. Microsoft und TÜViT hatten schon vorher miteinander gearbeitet: Die TÜViT GmbH hatte bereits die entsprechenden EAL 2 und EAL 4+ Bewertungen für Microsoft Internet Security and Acceleration (ISA) Server 2000 und ISA Server 2004 erteilt.

Zum besseren Verständnis, an welcher Stelle EAL 4 im Rahmen der sieben Sicherheitsstufen einzuordnen ist, sollte man wissen, dass nach dem Willen der Entwickler der Common Criteria die EAL-Stufen 5-7 der Bewertung von Produkten vorbehalten sind, die mit speziellen konstruktiven Sicherheitstechniken ausgestattet sind. Daher kommen diese Stufen im Allgemeinen weniger für Produkte, die für den kommerziellen Vertrieb gedacht sind, in Frage. EAL 4 stellt demnach also die höchste Stufe dar, mit der Produkte, die nicht speziell auf die Anforderungen der EAL-Stufen 5-7 ausgelegt sind, bewertet werden können. Damit ein Produkt über die EAL-Stufe 4 hinaus auch noch die Anforderung „Flaw Remediation“ erfüllt, wie das bei Exchange Server 2003 der Fall ist, muss der Entwickler/Anbieter Fehlerbeseitigungsprozeduren einsetzen, mit denen die Protokollierung von Sicherheitslücken, die Identifikation von Korrekturmaßnahmen und die Weitergabe von Informationen zu den Korrekturmaßnahmen an den Kunden beschrieben wird. Microsoft Security Response Center führt bei Exchange Server 2003 diese Rollenvorgaben aus.

TÜViT dazu: „The evaluation of Exchange Server 2003 according to Common Criteria EAL 4 opens a new dimension, since Exchange Server 2003 is the first product of this kind awarded this assurance level. TUViT is proud to have met this exciting challenge". (Die Bewertung von Exchange Server 2003 mit der Stufe EAL 4 der Common Criteria eröffnet eine neue Dimension, da Exchange Server 2003 als erstes Produkt seiner Art mit dieser Vertrauenswürdigkeitsstufe ausgezeichnet wurde. TÜViT ist stolz darauf, sich dieser hochinteressanten Herausforderung gestellt zu haben.)

Für Microsoft wurden bzw. werden außerdem die folgenden Produkte zertifiziert:

  • Microsoft Windows Server 2000
  • Microsoft Windows Server 2003 (in Arbeit)
  • Microsoft Windows XP (in Arbeit)
  • Microsoft Windows Certificate Server (in Arbeit)
  • ISA Server 2000
  • ISA Server 2004

Noch einmal zur Verdeutlichung: Einer der wichtigsten, handfesten Vorteile einer Zertifizierung nach den Common Criteria sind die für den Kunden bereitgestellten Leitlinien, mit denen die Implementierung und der Betrieb von Exchange Server 2003 in einer sichereren Netzwerkumgebung vereinfacht wird. An diesem Punkt hat sich Microsoft intensiv darum bemüht, die im Rahmen der Common Criteria erfassten Bewertungsdaten in einer praktischen und nachvollziehbaren Art und Weise zu präsentieren. Als Ergebnis dieser Bemühungen verfügt der Kunde nun über spezielle Ressourcen, in denen Empfehlungen sowie bewährte Methoden und Verfahren hinsichtlich Architektur und Konfiguration sinnvoll dargestellt sind. Dabei handelt es sich um die folgenden Ressourcen:

Mit dem im Handbuch Evaluated Configuration Administrator’s Guide beschriebenen Dienstprogramm Exchange Server 2003 Common Criteria File Checksum Integrity Verifier kann sichergestellt werden, dass die englischsprachigen Binärdateien in Ihrem System mit denjenigen übereinstimmen, die für die Zertifizierung von Exchange Server 2003 nach den Common Criteria verwendet wurden.

Für Microsoft ist es von größter Wichtigkeit, die Sicherheit seiner Produkte und Dienste zu optimieren. Unter diesem Gesichtspunkt hat auch das Zertifizierungsprogramm nach den Common Criteria die volle Unterstützung von Microsoft, die sich unmittelbar in der erfolgreichen Entwicklung von Exchange Server 2003 niedergeschlagen hat - ein Produkt, das die für kommerziell verfügbare Systeme definierten Sicherheitsanforderungen nicht nur erfüllt, sondern sogar übersteigt. Die Arbeit von Microsoft gründet sich auf die Überzeugung, dass das Bewertungs- und Zertifizierungssystem der Common Criteria für einen verlässlichen, international anerkannten Standard sorgt, mit dem der Verbraucher die Sicherheit von IT-Produkten bewerten und Vertrauen in die Produktsicherheit entwickeln kann. Durch die Definition klarer und beständiger Sicherheitsstandards und die Einrichtung eines unabhängigen Sicherheitsbewertungsverfahrens begünstigen die Common Criteria die Vorteile und Leistungspotenziale, die Einzelpersonen, Unternehmen und Regierungen in sicheren Computerumgebungen erzielen können.

Weitere Informationen finden Sie in den folgenden Ressourcen:

* Die folgenden Staaten sind an den Common Criteria beteiligt: Australien, Österreich, Kanada, Tschechische Republik, Finnland, Frankreich, Deutschland, Griechenland, Ungarn, Israel, Italien, Japan, Niederlande, Neuseeland, Norwegen, Republik Korea, Singapur, Spanien, Schweden, Türkei, Großbritannien und Nordirland sowie die USA. Weitere Informationen zu den Common Criteria und den daran beteiligten Staaten finden Sie unter Welcome to the Common Criteria portal (englischsprachig).

** Arrangement on the Recognition of Common Criteria Certificates in the Field of Information Technology Security, Preamble (May 2000) (http://www.niap-ccevs.org/cc-scheme/cc_docs/ccra.pdf).

 
Fanden Sie dies hilfreich?
(1500 verbleibende Zeichen)
Vielen Dank für Ihr Feedback.
Anzeigen:
© 2014 Microsoft