umwelt-online: Archivdatei - VO (EWG) Nr. 3821/85 über das Kontrollgerät im Straßenverkehr (12)

zurück

Allgemeine Sicherheitsanforderungen für die Kontrollgerätkarte

1. Einführung

In diesem Abschnitt werden die Kontrollgerätkarte, mögliche Sicherheitsgefährdungen sowie die zu erfüllenden Sicherheitsziele beschrieben. Außerdem enthält er Erläuterungen zu den zur Durchsetzung der Sicherheitsanforderungen erforderlichen Funktionen, und es erfolgt eine Auflistung der Mindestanforderungen an die Sicherheitsmechanismen und die erforderliche Gewährleistungsebene für Entwicklung und Evaluierung.

Die hier aufgeführten Anforderungen entsprechen den Anforderungen im Hauptteil von Anhang I B. Im Interesse einer besseren Verständlichkeit können sich Doppelungen zwischen den Anforderungen im Hauptteil von Anhang I B und den Sicherheitsanforderungen ergeben. Bei Diskrepanzen zwischen einer Sicherheitsanforderung und der Anforderung im Hauptteil von Anhang I B, auf die sich diese Sicherheitsanforderung bezieht, geht die Anforderung im Hauptteil von Anhang I B vor.

Anforderungen im Hauptteil von Anhang I B, auf die sich diese Sicherheitsanforderungen nicht beziehen, sind nicht Gegenstand der Funktionen zur Durchsetzung von Sicherheitsanforderungen.

Eine Kontrollgerätkarte ist eine serienmäßige Chipkarte mit einer speziellen Kontrollgerätanwendung. Sie muss den aktuellen Funktions- und Sicherheitsanforderungen an Chipkarten genügen. Die im Folgenden dargelegten Sicherheitsanforderungen beinhalten daher nur die zusätzlichen Sicherheitsanforderungen in Bezug auf die Kontrollgerätanwendung.

Zwecks besserer Zuordnung zu den in der Dokumentation über Entwicklung und Evaluierung verwendeten Begriffen wurden für die möglichen Sicherheitsgefährdungen sowie die zu erfüllenden Ziele, Verfahrensmöglichkeiten und SEF-Spezifikationen eindeutige Bezeichnungen gewählt.

2. Abkürzungen, Begriffsbestimmungen und Referenzdokumente

2.1. Abkürzungen

2.2. Begriffsbestimmungen

2.3. Referenzdokumente

3. Grundprinzip des Produkts

3.1. Beschreibung und Verwendung der Kontrollgerätekarte

Eine Kontrollgerätekarte ist eine Chipkarte wie in IC PP und ES PP beschrieben, die eine Anwendung zur Verwendung der Karte mit dem Kontrollgerät beherbergt.

Die grundlegenden Funktionen der Kontrollgerätekarte sind:

• das Speichern der Karten- und der Karteninhaberkenndaten. Diese Daten werden von der Fahrzeugeinheit verwendet, um den Karteninhaber zu identifizieren, dementsprechende Funktionen und Datenzugriffsrechte zu gewähren und sicherzustellen, dass dem Karteninhaber seine Tätigkeiten zugerechnet werden können,
• das Speichern von Karteninhabertätigkeitsdaten, von Ereignis- und Störungsdaten sowie von Kontrolltätigkeitsdaten, die auf den Karteninhaber bezogen sind.

Eine Kontrollgerätekarte ist somit zur Verwendung durch das Kartenschnittstellengerät einer Fahrzeugeinheit gedacht. Ebenso kann es durch jeden sonstigen Kartenleser (z.B. eines PC), der das uneingeschränkte Zugriffsrecht auf jegliche Benutzerdaten hat, verwendet werden.

In der Endnutzungsphase des Lebenszyklus einer Kontrollgerätekarte (Phase 7 des Lebenszyklus gemäß Beschreibung in ES PP), können nur Fahrzeugeinheiten Benutzerdaten auf die Karte schreiben.

Die funktionellen Anforderungen an eine Kontrollgerätekarte sind im Hauptteil von Anhang I B und in Anlage 2 beschrieben.

3.2. Lebenszyklus der Kontrollgerätekarte

Der Lebenszyklus der Kontrollgerätekarte entspricht dem in ES PP beschriebenen Lebenszyklus einer Chipkarte.

3.3. Sicherheitsgefährdungen

Neben den in ES PP und IC PP aufgelisteten allgemeinen Sicherheitsgefährdungen für eine Chipkarte kann es bei Kontrollgerätekarten zu folgenden Sicherheitsgefährdungen kommen.

3.3.1. Letztliche Ziele

Das Ziel von Manipulationen wird letztendlich darin bestehen, die im PO gespeicherten Benutzerdaten zu verfälschen

3.3.2. Angriffswege

Angriffe auf die Ressourcen des PO sind möglich durch:

• den Versuch, unrechtmäßige Kenntnis über Hardware- und Softwareentwurf des PO zu erlangen, insbesondere über dessen Sicherheitsfunktionen bzw. Sicherheitsdaten. Unrechtmäßige Kenntnis kann durch Angriffe auf Material der Konstrukteure bzw. Hersteller (Diebstahl, Bestechung) oder durch unmittelbare Untersuchung des PO (physische Erkundung, Interferenzanalyse) erworben werden.
• Ausnutzung von Schwächen im konstruktiven Entwurf bzw. in der Ausführung des PO (Hardware- bzw. Softwarefehler, Übertragungsfehlfunktionen, im PO durch äußere Einwirkungen hervorgerufene Fehler, Ausnutzen von Schwächen der Sicherheitsfunktionen, wie z.B. der Authentisierungsverfahren, Datenzugriffskontrolle, kryptografischen Operationen usw.).
• Manipulation des PO bzw. der Sicherheitsfunktionen des PO durch physische, elektrische oder logische Angriffe bzw. durch eine Kombination derselben.

3.4. Sicherheitsziele

Das wichtigste Sicherheitsziel des gesamten digitalen Fahrtenschreibersystems ist Folgendes:

3.5. Informationstechnische Sicherheitsziele

Neben den in ES PP und IC PP aufgelisteten allgemeinen Sicherheitszielen für eine Chipkarte tragen folgende spezielle IT-Sicherheitsziele des PO zu dessen Hauptsicherheitsziel während der Endnutzungsphase des Lebenszyklus bei:

3.6. Physische, personelle bzw. verfahrenstechnische Mittel

Die physischen, personellen bzw. verfahrenstechnischen Anforderungen, die zur Sicherheit des PO beitragen, sind in ES PP und IC PP aufgeführt (Kapitel zu Sicherheitszielen für das Umfeld).

4. Sicherheitserzwingende Funktionen

In diesem Abschnitt werden einige der zulässigen Operationen wie Zuweisung bzw. Auswahl von ES PP näher spezifiziert und zusätzliche funktionelle Anforderungen an die SEF gestellt.

4.1. Einhaltung von Schutzprofilen

CPP_301 Das PO hält die IC PP ein.

CPP_302 Das PO hält die ES PP, wie im weiteren näher spezifiziert, ein.

4.2. Identifizierung und Authentisierung des Benutzers

Die Karte muss die Geräteeinheit, in die sie eingesteckt wird, identifizieren und erkennen, ob es sich um ein authentisiertes Fahrzeug handelt oder nicht. Die Karte darf ungeachtet der Geräteeinheit, an die sie angeschlossen ist, jegliche Benutzerdaten exportieren. Eine Ausnahme bilden die Kontrollkarte und die Unternehmenskarte, die die Karteninhaberkenndaten nur an authentisierte Fahrzeugeinheiten exportieren dürfen / (damit sich ein Kontrolleur durch Lesen seines Namens auf der Anzeige bzw. dem Ausdruck vergewissern kann, dass es sich bei der Fahrzeugeinheit nicht um einen Nachbau handelt).

4.2.1. Identifizierung des Benutzers

Zuweisung (FIA_UID.1.1) Liste von TSF-vermittelten Handlungen: keine.

Zuweisung (FIA_ATD.1.1) Liste von Sicherheitsattributen:

4.2.2. Authentisierung des Benutzers

Zuweisung (FIA_UAU.1.1) Liste von TSF-vermittelten Handlungen:

• Fahrer- und Werkstattkarten: Export von Benutzerdaten mit Sicherheitsattributen (Kartendaten-Übertragungsfunktion),
• Kontrollkarte: Export von Benutzerdaten ohne Sicherheitsattribute, mit Ausnahme der Karteninhaberkenndaten.

Die Authentisierung der Fahrzeugeinheit besteht in der Nachweisführung, dass sie über Sicherheitsdaten verfügt, die nur aus dem System selbst stammen können.

Auswahl (FIA_UAU.3.1 und FIA_UAU.3.2): verhindern.

Zuweisung (FIA_UAU.4.1) Identifizierte(r) Authentisierungsmechanismen(-mus): jeder beliebige Authentisierungsmechanismus.

Die Werkstattkarte stellt durch Prüfung eines PIN-Codes einen zusätzlichen Authentisierungsmechanismus bereit. (Dieser Mechanismus soll es der Fahrzeugeinheit ermöglichen, die Identität des Karteninhabers zu prüfen; er dient indes nicht dem Schutz des Inhalts der Werkstattkarte.)

4.2.3. Fehlgeschlagene Authentisierungen

Zusätzlich beschreiben die folgenden Zuweisungen die Reaktion der Karte auf jede einzelne fehlgeschlagene Authentisierung.

UIA_301 Zuweisung (FIA_AFL.1.1) Nummer: 1, Liste der Authentisierungsereignisse: Authentisierung eines Kartenschnittstellengeräts.

Zuweisung (FIA_AFL.1.2) Handlungsliste:

• Warnung der angeschlossenen Geräteeinheit,
• Behandlung des Benutzers als NON_VEHICLE_UNIT.

Zusätzlich beschreiben die folgenden Zuweisungen die Reaktion der Karte im Fall eines fehlgeschlagenen zusätzlichen Authentisierungsmechanismus gemäß Anforderung UIA_302.

UIA_302 Zuweisung (FIA_AFL.1.1) Nummer: 5, Liste der Authentisierungsereignisse:
PIN-Prüfungen (Werkstattkarte).

Zuweisung (FIA_AFL.1.2) Handlungsliste:

• Warnung der angeschlossenen Geräteeinheit,
• Sperren des PIN-Prüfverfahrens, so dass jeder nachfolgende Versuch der PIN-Prüfung fehlschlägt,
• Möglichkeit der Anzeige der Sperrung an nachfolgende Benutzer.

4.3. Zugriffskontrolle

4.3.1. Zugriffskontrollregeln

Während der Endnutzungsphase ihres Lebenszyklus ist die Kontrollgerätkarte Gegenstand der Sicherheitsfunktionsregeln (SFP) für einfache Zugriffskontrolle mit der Bezeichnung AC_SFP.

Zuweisung (FDP_ACC.2.1) Zugriffskontroll-SFP: AC_SFP.

4.3.2. Zugriffskontrollfunktionen

Zuweisung (FDP_ACF.1.1) Zugriffskontroll-SFP: AC_SFP.

Zuweisung (FDP_ACF.1.1) Benannte Gruppe von Sicherheitsattributen:
USER_GROUP.

Zuweisung (FDP_ACF.1.2) Vorschriften für den Zugriff durch/auf kontrollierte Subjekte und kontrollierte Objekte unter Anwendung von kontrollierten Operationen auf kontrollierte Objekte:

4.4. Zuordnungsmöglichkeit

ACT_301 Das PO muss die Kenndaten dauerhaft gespeichert halten.

ACT_302 Uhrzeit und Datum der Personalisierung des PO werden angegeben. Diese Angaben sind von einer Änderung ausgeschlossen.

4.5. Audit

Die PO muss Ereignisse, die auf eine potentielle Sicherheitsverletzung des PO hindeuten, überwachen.

Zuweisung (FAU_SAA.1.2) Teilmenge von beschriebenen auditierbaren Ereignissen:

• fehlgeschlagene Karteninhaberauthentisierung (5 aufeinander folgende erfolglose PIN-Prüfungen),
• Fehler beim Selbsttest,
• Speicherdatenintegritätsfehler,
• Integritätsfehler bei der Eingabe von Tätigkeitsdaten.

4.6. Genauigkeit

4.6.1. Speicherdatenintegrität

Zuweisung (FDP_SDI.2.2) Vorzunehmende Handlungen: Warnung der angeschlossenen Geräteeinheit.

4.6.2. Basisdatenauthentisierung

Zuweisung (FDP_DAU.1.1) Liste von Objekten bzw. Informationsarten: Tätigkeitsdaten.

Zuweisung (FDP_DAU.1.2) Liste von Subjekten: beliebige.

4.7. Zuverlässigkeit während des Betriebs

4.7.1. Prüfungen

Auswahl (FPT_TST.1.1): beim ersten Einschalten sowie regelmäßig während des normalen Betriebs.

Hinweis: "Beim ersten Einschalten" bedeutet: bevor der Code ausgeführt wird (und nicht notwendigerweise während Antwort auf Rücksetzverfahren).

RLB_302 Die Selbsttests des PO beinhalten die Integritätsfeststellung eines jeglichen nicht im ROM abgelegten Softwarecodes.

RLB_303 Bei Erkennen eines Fehlers während der Selbstprüfung warnt die TSF die angeschlossene Geräteeinheit.

Nach Abschluss der OS-Prüfung werden alle speziellen Prüfbefehle und -handlungen deaktiviert bzw. entfernt. Es darf nicht möglich sein, diese Steuerungen zu überschreiben und zur erneuten Verwendung zu reaktivieren. Ausschließlich auf ein bestimmtes Lebenszyklusstadium bezogene Befehle dürfen nie während eines anderen Stadiums zugreifbar sein.

4.7.2. Software

RLB_304 Es darf keine Möglichkeit gegeben sein, die Software des PO bei der Praxisanwendung zu analysieren, auszuprüfen oder abzuändern.

RLB_305 Eingaben aus externen Quellen dürfen als Ausführungscode nicht akzeptiert werden.

4.7.3. Stromversorgung

RLB_306 Bei Unterbrechungen bzw. der Stromversorgung bzw. bei Stromschwankungen verbleibt das PO im Sicherheitsstatus.

4.7.4. Rücksetzbedingungen

RLB_307 Bei einer Unterbrechung der Stromversorgung (bzw. bei Stromschwankungen) am PO, beim Abbruch einer Transaktion vor deren Vollendung bzw. bei Vorliegen jeder sonstigen Rücksetzbedingung muss das PO sauber zurückgesetzt werden.

4.8. Datenaustausch

4.8.1. Datenaustausch mit einer Fahrzeugeinheit

DEX_301 Das PO prüft die Integrität und Authentizität der von einer Fahrzeugeinheit importierten Daten.

DEX_302 Bei Erkennen eines Integritätsfehlers der importierten Daten wird das PO:

• die datenexportierende Geräteeinheit warnen,
• die Daten nicht verwenden.

DEX_303 Das PO exportiert die Daten mit den zugehörigen Sicherheitsattributen an die Fahrzeugeinheit, so dass die Fahrzeugeinheit die Integrität und Authentizität der empfangenen Daten ebenfalls prüfen kann.

4.8.2. Export von Daten an eine Nicht-Fahrzeugeinheit (Übertragungsfunktion)

DEX_304 Das PO muss in der Lage sein, für an externe Datenträger übertragene Daten einen Herkunftsnachweis zu generieren.

DEX_305 Das PO muss in der Lage sein, dem Empfänger der übertragenen Daten eine Fähigkeit zur Prüfung des Herkunftsnachweises bereitzustellen.

DEX_306 Das PO muss in der Lage sein, die Daten mit den zugehörigen Sicherheitsattributen an den externen Datenträger zu exportieren, so dass sich Integrität und Authentizität der übertragenen Daten prüfen lassen.

4.9. Kryptografische Unterstützung

CSP_301 Falls die TSF kryptografische Schlüssel generiert, müssen diese genau festgelegten Schlüsselgenerierungsalgorithmen und genau festgelegten Schlüsselgrößen entsprechen. Die generierten kryptografischen Sitzungsschlüssel dürfen nur begrenzt oft (vom Hersteller noch festzulegen, jedoch höchstens 240mal) verwendbar sein.

CSP_302 Falls die TSF kryptografische Schlüssel vergibt, muss dies nach genau festgelegten Schlüsselvergabemethoden erfolgen.

5. Beschreibung der Sicherheitsmechanismen

Die geforderten Sicherheitsmechanismen werden in Anlage 11 beschrieben.

Alle sonstigen Sicherheitsmechanismen werden durch die Hersteller des PO festgelegt.

6. Mindestrobustheit der Sicherheitsmechanismen

Die Mindestrobustheit der Sicherheitsmechanismen der Fahrzeugeinheit ist Hoch, gemäß Definition in ITSEC.

7. Gewährleistungsebene

Die für die Kontrollgerätkarte vorgegebene Gewährleistungsebene ist die ITSEC-Ebene E3, gemäß Definition in ITSEC.

8. Grundlegendes Prinzip

Aus der folgenden Matrix ist das Prinzip der zusätzlichen SEF ersichtlich. Hierzu wird verdeutlicht:

• welche SEF welchen Sicherheitsgefährdungen entgegenwirken,
• welche SEF welche IT-Sicherheitsziele erfüllen.

.

1. Allgemeines

Diese Anlage enthält die Spezifizierung der Sicherheitsmechanismen zur Gewährleistung

• der gegenseitigen Authentisierung von Fahrzeugeinheiten (FE) und Kontrollgerätkarten, einschließlich der Sitzungsschlüsselvereinbarung,
• der Vertraulichkeit, Integrität und Authentisierung der Daten, die zwischen FE und Kontrollgerätkarten übertragen werden,
• der Integrität und Authentisierung der Daten, die von FE auf externe Speichermedien heruntergeladen werden,
• der Integrität und Authentisierung der Daten, die von Kontrollgerätkarten auf externe Speichermedien heruntergeladen werden.

1.1. Referenzdokumente

Die folgenden Referenzdokumente werden in dieser Anlage herangezogen:

1.2. Notationen und Abkürzungen

In dieser Anlage werden folgende Notationen und Abkürzungen verwendet:

weiter .