在資訊安全認證領域，Security Assurance Requirements（SAR） 是 Common Criteria 框架的核心支柱，定義產品如何被驗證、測試與文件化，確保安全功能真正可信賴，而非僅停留在宣稱層面。
SAR 的本質：保證活動的結構化定義
SAR 並非描述產品「做了什麼」，而是描述「如何證明它做對了」。CC 框架將 SAR 組織於 CC Part 3 中，以類別（Class）、家族（Family）、組件（Component）三層架構呈現。每個 SAR 組件對應具體的保證活動，涵蓋開發文件審查（ADV）、生命週期支援（ALC）、測試活動（ATE）與漏洞評估（AVA）四大主軸。評估實驗室依據這些要求，對開發者提交的證據進行獨立審查，形成客觀的信任基礎。SAR 的嚴格程度隨 Evaluation Assurance Level（EAL） 提升而遞增，從 EAL1 的基礎功能測試到 EAL7 的形式化驗證。
四大 SAR 類別的核心職責
ADV（開發） 要求開發者提供從安全架構到實作細節的完整文件，包含 TSF（TOE Security Functions）的內部結構說明。ALC（生命週期） 規範設定管理、交付程序與缺陷修復流程，確保產品在開發與維護階段的完整性。ATE（測試） 要求開發者執行功能測試，並由評估者獨立重複驗證，確認測試結果的一致性。AVA（漏洞評估） 是最關鍵的一環，評估者針對公開漏洞資料庫與滲透測試，判斷 TOE 在預期環境中的抗攻擊能力。這四個類別共同構成一道從設計到部署的完整信任鏈。
💡 重點整理
- SAR 定義「如何驗證」，而 SFR（Security Functional Requirements）定義「驗證什麼」。
- EAL 等級決定所需 SAR 組件的廣度與深度，並非產品功能強度的指標。
- AVA_VAN 組件的滲透測試強度，直接反映產品對真實攻擊的抵抗能力評估層級。
- Protection Profile（PP）可預先封裝特定應用場景所需的 SAR 組合，加速評估流程。
掌握 SAR 的框架邏輯，是理解 CC 認證流程的關鍵起點。選擇適當的 EAL 等級與 SAR 組合，能在安全保證強度與評估成本之間取得最佳平衡。
📚 參考文獻
- Common Criteria Portal — CC Part 3: Security Assurance Components（官方文件，最權威的 SAR 定義來源）
- NIAP — National Information Assurance Partnership（美國 CC 評估機構，提供 PP 與評估指引）
⚠️ 本文內容基於撰寫時的最新資訊，實際應用時請參考官方文件的最新版本。
留言
張貼留言