atsec information security evaluiert IBM AIX 5.2 nach Common Criteria LSPP/EAL4+
2006-05-17atsec information security hat die erste Evaluation des AIX-Betriebssystems nach Common Critera Labeled Security Protection Profile (LSPP) erfolgreich abgeschlossen. IBM AIX 5.2 (AIX 5200-05) wurde erfolgreich gegen EAL 4 (erweitert durch ALC_FLR.1) evaluiert und genügt dem LSPP Schutzprofil. LSPP definiert Anforderungen an Produkte, die es erlauben, den Zugriff individueller Benutzer auf einzelne Datenobjekte zu kontrollieren.
AIX 5200-05 wurde vom Bundesamt für Sicherheit in der Informationstechnik (BSI) für den Betrieb auf der IBM Power Serie p520, p570 und p595 zertifiziert. IBM hat die Evaluation großzügig unterstützt.
In dieser Evaluation werden neben der Übereinstimmung mit LSPP zum ersten Mal auch die die erweiterten Zugriffskontrollen von AIX geprüft. Neben den üblichen Mechanismen Discretionary Access Control (DAC) und Mandatory Access Control (MAC) sind in AIX 5200-05 folgende Neuerungen implementiert:
- Mandatory Integrity Control (MIC)
- Trusted Computing Base (TCB)
- Advanced Security Networking (ASN)
- Privileges and Authorizations (teilt die root-Privilegien in ein Set von Privilegien, die relevant für den Kernel sind, und Authorisierungen, die sich auf den Userspace beziehen)
Betriebssystem-Evaluationen sind immer anspruchsvoll. Auf Grund der zusätzlichen Kontrollmechanismen war die Evaluation von AIX 5200-05 besonders komplex. Stephan Müller, atsec Lead Evaluator für dieses Projekt, erläutert: „Da sich AIX 5200-05 LSPP in der Kontrollfunktionalität sehr von früheren AIX-Versionen unterscheidet, bedurfte es für die Definition der Anforderungen im Kontext der Common Criteria eines sehr kreativen Ansatzes.“
Tatsächlich ist atsec information security der Marktführer in Common Criteria-Evaluationen für Betriebssysteme. Die Evaluation von Betriebssystemen ist die Königsdisziplin innerhalb der Common Criteria-Evaluation, ein Bereich, in dem atsec seinen Ruf als Marktführer weiterhin erfolgreich ausbaut. Helmut Kurth, atsec Chief Scientist, bemerkt dazu: „Von den 45 erfolgreichen Betriebssystem-Evaluationen weltweit (nachzulesen unter www.commoncriteriaportal.org), wurden 24 von atsec durchgeführt.”
Über atsec information security
atsec information security ist ein unabhängiges Beratungsunternehmen im Umfeld der Informationssicherheit, das einen auf die Geschäftsprozesse fokussierten Ansatz mit tiefem technischen Know-how und internationaler Erfahrung kombiniert. atsec nutzt das Fachwissen über Sicherheit, Prozesse und Standards, um seine Kunden mit einer Vielzahl von IT-Sicherheitsdienstleistungen zu unterstützen und damit zu verbesserten Geschäftprozessen und Produkten beizutragen. atsec zählt führende internationale Unternehmen wie IBM, HP, Swisscom, BMW, RWE, SGI und Vodafone zu seinen Kunden.
