TIÊU CHUẨN QUỐC GIA

TCVN 12211:2018

ISO/IEC 24759:2017

CÔNG NGHỆ THÔNG TIN - CÁC KỸ THUẬT AN TOÀN - YÊU CẦU KIỂM THỬ CHO MÔ-ĐUN MẬT MÃ

Information technology - Security techniques - Test requirements for cryptographic modules

MỤC LỤC

Lời nói đầu

1  Phạm vi áp dụng

2  Tài liệu viện dẫn

...

...

...

4  Ký hiệu và chữ viết tắt

5  Tổ chức tài liệu

5.1  Tổng quan

5.2  Các khẳng định và các yêu cầu an toàn

6  Các yêu cầu an toàn

6.1  Tổng quan

6.2  Đặc tả mô-đun mật mã

6.3  Giao diện mô-đun mật mã

6.4  Các vai trò, dịch vụ và xác thực

...

...

...

6.6  Môi trường hoạt động

6.7  An toàn vật lý

6.8  An toàn không xâm lấn

6.9  Quản lý tham số an toàn nhạy cảm

6.10  Tự kiểm tra

6.11  Đảm bảo vòng đời

6.12  Giảm thiểu các tấn công khác

6.13  Yêu cầu tài liệu

6.14  Chính sách an toàn mô-đun mật mã

...

...

...

6.16  Phương pháp tạo và thiết lập các thông số an toàn nhạy cảm được phê duyệt

6.17  Cơ chế xác thực được phê duyệt

6.18  Chuẩn đo kiểm tra giảm thiểu tấn công không xâm lấn được phê duyệt

Lời nói đầu

TCVN 12211:2018 hoàn toàn tương đương với ISO/IEC 24759:2017.

TCVN 12211:2018 do Cục Quản lý mật mã dân sự và Kiểm định sản phẩm mật mã biên soạn, Ban Cơ yếu Chính phủ đề nghị, Tổng cục Tiêu chuẩn Đo lường Chất lượng thẩm định, Bộ Khoa học và Công nghệ công bố.

CÔNG NGHỆ THÔNG TIN - CÁC KỸ THUẬT AN TOÀN - YÊU CẦU KIỂM THỬ CHO MÔ-ĐUN MẬT MÃ

...

...

...

1  Phạm vi áp dụng

Tiêu chuẩn này quy định các phương pháp được các trung tâm kiểm định sử dụng để kiểm tra xem các mô-đun mật mã có tuân theo các yêu cầu được quy định trong TCVN 11295 hay không. Các phương pháp được phát triển để cung cấp tính chất khách quan cao trong quá trình kiểm thử và để đảm bảo sự nhất quán giữa các trung tâm kiểm định .

Tiêu chuẩn này cũng quy định các yêu cầu đối với thông tin mà các nhà cung cấp cung cấp cho các trung tâm kiểm định như các bằng chứng hỗ trợ để chứng tỏ các mô-đun mật mã của họ tuân theo các yêu cầu được quy định trong TCVN 11295.

Nhà cung cấp có thể sử dụng tiêu chuẩn này như là hướng dẫn để thử xác minh xem mô-đun mật mã của họ có đáp ứng được các yêu cầu được quy định trong TCVN 11295 trước khi đề nghị phòng kiểm thử.

2  Tài liệu viện dẫn

Các tài liệu sau (toàn bộ hoặc một phần) là tham chiếu quy chuẩn trong tài liệu này và không thể thiếu được cho việc áp dụng tiêu chuẩn này. Đối với các tài liệu viện dẫn ghi năm công bố thì chỉ áp dụng phiên bản được nêu. Đối với các tài liệu viện dẫn không ghi năm công bố thì áp dụng phiên bản mới nhất của tài liệu được tham chiếu (bao gồm cả các sửa đổi, bổ sung nếu có).

TCVN 11295, Công nghệ thông tin - Kỹ thuật an toàn - Các yêu cầu an toàn cho mô-đun mật mã.

3  Thuật ngữ và định nghĩa

Với mục đích của tiêu chuẩn này, các thuật ngữ và định nghĩa được đưa ra trong TCVN 11295 được áp dụng.

...

...

...

Với mục đích của tiêu chuẩn này, các ký hiệu và thuật ngữ viết tắt quy định trong TCVN 11295:2016 được áp dụng.

5  Tổ chức tài liệu

5.1  Tổng quan

Điều 6 đặc tả các phương pháp được các trung tâm kiểm định sử dụng và các yêu cầu về thông tin mà nhà cung cấp phải cung cấp cho các trung tâm kiểm định. Điều 6, bên cạnh tiểu mục tổng quan 6.1, còn gồm 11 điều con tương ứng với 11 lĩnh vực về các yêu cầu an toàn và 6 tiểu mục tương ứng với sáu phụ lục từ A đến F của TCVN 11295:2016.

5.2  Các khẳng định và các yêu cầu an toàn

Trong mỗi tiểu mục dưới đây, các yêu cầu an toàn tương ứng từ TCVN 11295:2016 được chia thành một tập các khẳng định (nghĩa là các phát biểu phải đúng cho mô-đun mà thỏa mãn yêu cầu của một lĩnh vực cụ thể ở một mức độ quy định. Tất cả các khẳng định là các trích dẫn trực tiếp từ TCVN 11295:2016.

Các khẳng định được ký hiệu theo dạng:

AS <requirement_number>. <assertion sequence_number>

Trong đó "requirement_number" là số của lĩnh vực tương ứng được đặc tả trong TCVN 11295:2016 (tức là từ 1 đến 12 và từ A đến F), và "assertion_sequence_number" là số xác định tuần tự cho các khẳng định bên trong tiểu mục. Sau mỗi phát biểu của từng khẳng định, các mức độ an toàn mà khẳng định áp dụng (cấp độ từ 1 đến 4) được liệt kê trong dấu ngoặc đơn.

...

...

...

VE<requirement_number>.<assertion_sequence_number>.<sequence_number>

Trong đó "sequence_number" và "assertion_sequence_number" là giống với sổ yêu cầu khẳng định, và số tuần tự, "sequence_number" là một xác định tuần tự với các yêu cầu của nhà cung cấp trong yêu cầu khẳng định.

Cũng theo mỗi khẳng định và các yêu cầu được áp cho nhà cung cấp là một bộ yêu cầu được áp cho kiểm thử viên của mô-đun mật mã. Những yêu cầu này hướng dẫn kiểm thử viên làm thế nào để kiểm thử mô-đun mật mã tương ứng với khẳng định cụ thể. Các yêu cầu này được biểu thị theo hình thức sau:

TE<requirement_number>.<assertion_sequence_number>.<sequence_number>

Trong đó "requirement_number” và "assertion_sequence_number" là giống với số yêu cầu khẳng định, và số tuần tự, “sequence_number” là một xác định tuần tự với các yêu cầu của kiểm thử viên trong yêu cầu khẳng định.

Tổ chức chịu trách nhiệm có thể sửa đổi, thêm hoặc xóa VEs và/hoặc TE trong tiêu chuẩn này.

5.3  Khẳng định với tham khảo chéo

Để rõ ràng trong một số khẳng định, các tham chiếu chéo tới TCVN 11295:2016 hoặc các số khẳng định khác đã được đặt giữa dấu ngoặc nhọn "{" và "}". Các tài liệu tham khảo chéo được viết in nghiêng.

6  Các yêu cầu an toàn

...

...

...

CHÚ THÍCH Tiểu mục này đưa ra các yêu cầu chung để đạt được các khẳng định ở các tiểu mục khác trong Điều 6 và TCVN 11295:2016, Phụ lục A đến F. Tiểu mục này không tự khẳng định và không được kiểm tra riêng biệt.

AS01.01: (Tổng quan - Mức 1, 2, 3, và 4)

Điều này đặc tả các yêu cầu an toàn mà mô đun mật mã phải đáp ứng theo TCVN 11295:2016.

AS01.02: (Tổng quan - Mức 1, 2,3, và 4)

Mô-đun mật mã phải được kiểm tra theo các yêu cầu của từng lĩnh vực được đề cập trong Điều này.

CHÚ THÍCH Các bài kiểm tra có thể được thực hiện theo một trong các cách sau:

a) Kiểm thử viên thực hiện các bài kiểm tra tại cơ sở của kiểm thử viên

b) Kiểm thử viên thực hiện các bài kiểm tra tại cơ sở của nhà cung cấp

c) Kiểm thử viên giám sát các nhà cung cấp thực hiện các bài kiểm tra tại cơ sở của nhà cung cấp

...

...

...

- Kiểm thử viên xây dựng kế hoạch kiểm tra cần thiết và các bài kiểm tra cần thiết.

- Kiểm thử viên trực tiếp quan sát các bài kiểm tra đang thực hiện.

Một khẳng định thất bại nếu bất kỳ thử nghiệm tiếp theo của nó thất bại.

AS01.03: (Tổng quan - Mức 1, 2,3, và 4)

Mô-đun mật mã phải được đánh giá độc lập ở từng lĩnh vực

AS01.04: (Tổng quan - Mức 1, 2,3, và 4)

Tất cả tài liệu, bao gồm bản sao của người sử dụng và tài liệu cài đặt, các đặc tả thiết kế, tài liệu về vòng đời phải được cung cấp cho một mô-đun mật mã mà phải qua quy trình đánh giá và kiểm tra độc lập.

6.2  Đặc tả mô-đun mật mã

6.2.1  Các yêu cầu chung đối với đặc tả mô-đun mật mã

...

...

...

Mô-đun mật mã phải là một tập hợp bao gồm phần cứng, phần mềm, phần sụn hoặc sự kết hợp của chúng, mà ở mức tối thiểu, thực hiện một dịch vụ mật mã quy định trước sử dụng một thuật toán mật mã, hàm hoặc tiến trình an toàn được phê duyệt và được chứa trong một ranh giới mật mã quy định.

CHÚ THÍCH Khẳng định này không được kiểm tra riêng biệt.

AS02.02: (Đặc tả - Mức 1, 2, 3, và 4)

Các yêu cầu tài liệu được quy định trong tiểu mục A.2.2 {TCVN 11295:2016}.

CHÚ THÍCH Khẳng định này được kiểm tra trong phần ASA.01.

6.2.2  Các loại mô-đun mật mã

AS02.03: (Đặc tả - Mức 1, 2, 3, và 4)

Một mô-đun mật mã được định nghĩa là một trong các loại mô-đun sau đây:

- Mô-đun phần cứng là một mô-đun mà ranh giới mật mã được đặc tả ở chu vi phần cứng. Phần sụn và/hoặc phần mềm, cũng có thể bao gồm một hệ điều hành, có thể được bao gồm trong ranh giới mật mã phần cứng này.

...

...

...

- Mô-đun phần sụn là một mô-đun mà ranh giới mật mã phân định các thành phần riêng biệt của phần sụn mà thực thi trong một môi trường hoạt động hạn chế hoặc không thể sửa đổi. Nền tảng tính toán và hệ điều hành của môi trường hoạt động mà phần sụn thực thi nằm bên ngoài ranh giới mô-đun phần sụn được xác định nhưng có ranh giới rõ ràng với mô-đun phần sụn.

- Mô-đun phần mềm lai ghép là một mô-đun mà ranh giới mật mã phân định phức hợp của một thành phần phần mềm và một thành phần phần cứng rời rạc (nghĩa là thành phần phần mềm không được chứa trong ranh giới mô-đun phần cứng). Nền tảng tính toán và hệ điều hành của môi trường hoạt động mà phần mềm thực thi nằm ngoài ranh giới mô-đun phần mềm lai ghép quy định.

- Mô-đun phần sụn lai ghép là một mô-đun mà ranh giới mật mã phân định phức hợp của một thành phần phần sụn và một thành phần phần cứng rời rạc (nghĩa là thành phần phần sụn không được chứa trong ranh giới mô-đun phần cứng). Nền tảng tính toán và hệ điều hành của môi trường hoạt động mà phần sụn thực thi nằm ngoài ranh giới mô-đun phần sụn lai ghép quy định nhưng có ranh giới rõ ràng với mô-đun phần sụn lai ghép.

Thông tin cần thiết từ nhà cung cấp

VE02.03.01: Nhà cung cấp phải cung cấp mô tả của mô-đun mật mã trong đó có mô tả dạng mô-đun mật mã. Phải giải thích lý do lựa chọn dạng mô-đun.

VE02.03.02: Nhà cung cấp phải cung cấp đặc tả của mô-đun mật mã, xác định rõ tất cả thành phần phần cứng, phần mềm hay phần sụn của mô-đun mật mã.

Các thủ tục kiểm thử cần thiết

TE02.03.01: Kiểm thử viên phải xác minh rằng tài liệu của nhà cung cấp có được quy định là một trong các dạng mô-đun được liệt kê trong AS02.03.

TE02.03.02: Kiểm thử viên phải xác minh từ tài liệu đặc tả của nhà cung cấp đã cung cấp, bằng việc quy định tất cả thành phần phần cứng, phần mềm và hoặc phần sụn (AS02.15 đến AS02.18), mô-đun mật mã đó tương ứng với loại mô-đun mật mã nào.

...

...

...

Đối với các mô-đun phần cứng và phần sụn, các yêu cầu an toàn vật lý, không xâm lấn được chỉ ra và có thể áp dụng các tiểu mục 7,7 và 7,8 trong {TCVN 11295:2016}.

CHÚ THÍCH Khẳng định này không được kiểm tra riêng biệt.

AS02.05: (Đặc tả - Mức 1, 2, 3, và 4)

Đối với các mô-đun phần mềm đang thực thi trong môi trường có thể sửa đổi, các yêu cầu về an toàn vật lý được chỉ ra trong {TCVN 11295:2016 }. Tiểu mục 7.7 là một tùy chọn và các yêu cầu an toàn không xâm lấn trong tiểu mục 7.8 {TCVN 11295:2016} được áp dụng.

CHÚ THÍCH Khẳng định này không được kiểm tra riêng biệt.

AS02.06: (Đặc tả - Mức 1, 2, 3, và 4)

Đối với mô-đun lai ghép, tất cả yêu cầu áp dụng của tiểu mục 7,5, 7,6, 7,7 và 7,8 {TCVN 11295:2016} được áp dụng.

CHÚ THÍCH Khẳng định này không được kiểm tra riêng biệt.

6.2.3  Ranh giới mật mã

...

...

...

AS02.07: (Đặc tả - Mức 1, 2, 3, và 4)

Ranh giới mật mã bao gồm một chu vi được xác định rõ ràng (ví dụ: bộ các thành phần phần cứng, phần mềm hoặc phần sụn) thiết lập ranh giới của tất cả thành phần của mô-đun mật mã.

Thông tin cần thiết từ nhà cung cấp

VE02.07.01: Tài liệu của nhà cung cấp phải quy định rõ tất cả các thành phần trong ranh giới mật mã.

Các thủ tục kiểm thử cần thiết

TE02.07.01: Kiểm thử viên phải xác minh bằng cách kiểm tra và từ tài liệu của nhà cung cấp xem tất cả thành phần được quy định rõ trong AS02.15 đến AS02.18 đều nằm trong ranh giới mật mã.

TE02.07.02: Kiểm thử viên phải xác minh bằng cách xem xét kỹ từ tài liệu của nhà cung cấp rằng không có thành phần không quy định mà chưa được quy định rõ tại AS02.15 đến AS02.18 trong ranh giới mật mã.

AS02.08: (Đặc tả - Mức 1, 2, 3, và 4)

Các yêu cầu trong {TCVN 11295:2016} áp dụng cho mọi thuật toán, các chức năng an toàn, các tiến trình và các thành phần nội bộ ranh giới mật mã của mô-đun.

...

...

...

AS02.09: (Đặc tả - Mức 1, 2, 3, và 4)

Ranh giới mật mã tối thiểu bao gồm tất cả các thuật toán, các chức năng an toàn, tiến trình và các thành phần của mô-đun mật mã (tức là an toàn có liên quan nằm trong phạm vi của tiêu chuẩn này).

Thông tin cần thiết từ nhà cung cấp

VE02.09.01: Nhà cung cấp phải cung cấp danh sách tất cả thuật toán liên quan tới an toàn, các chức năng an toàn, các tiến trình và các thành phần an toàn trong ranh giới mật mã.

Các thủ tục kiểm thử cần thiết

TE02.09.01: Kiểm thử viên phải xác minh xem nhà cung cấp đã cung cấp tài liệu quy định rõ và liệt kê rõ ràng tất cả thuật toán liên quan tới an toàn, các chức năng an toàn, tiến trình và các thành phần của mô-đun trong ranh giới mật mã.

AS02.10: (Đặc tả - Mức 1, 2, 3, và 4)

Các thuật toán không an toàn liên quan, các chức năng an toàn, các tiến trình hoặc các thành phần được sử dụng theo chế độ hoạt động được phê duyệt phải được thực thi theo cách không can thiệp hoặc làm ảnh hưởng tới hoạt động của mô-đun mật mã được phê duyệt.

Thông tin cần thiết từ nhà cung cấp

...

...

...

Các thủ tục kiểm thử cần thiết

TE02.10.01: Kiểm thử viên phải xác minh qua việc xem xét tài liệu và kiểm tra mô-đun xem các chức năng không an toàn liên quan đến là không gây cản trở hoặc làm ảnh hưởng đến chế độ hoạt động được phê duyệt của mô-đun.

TE02.10.02: Kiểm thử viên phải xác minh tính đúng đắn của mọi lý do cơ bản về việc không can thiệp hoặc làm ảnh hưởng đến mô-đun mà nhà cung cấp đưa ra. Trách nhiệm chứng minh là của nhà cung cấp; nếu có bất kỳ sự không chắc chắn hoặc nghi ngờ, kiểm thử viên phải yêu cầu nhà cung cấp cung cấp thêm thông tin khi cần thiết.

AS02.11: (Đặc tả - Mức 1, 2, 3, và 4)

Tên xác định của một mô-đun mật mã miêu tả cho sự tổng hợp của các thành phần trong ranh giới mật mã hóa và không miêu tả cho sự tổng hợp hoặc sản phẩm lớn hơn.

Thông tin cần thiết từ nhà cung cấp

VE02.11.01: Nhà cung cấp phải cung cấp tên của mô-đun.

Các thủ tục kiểm thử cần thiết

TE02.11.01: Kiểm thử viên phải xác minh rằng tên mô-đun của nhà cung cấp phù hợp với sự tổng hợp các thành phần trong ranh giới mật mã.

...

...

...

AS02.12: (Đặc tả - Mức 1, 2, 3, và 4)

Mô-đun mật mã tối thiểu phải quy định rõ thông tin về phiên bản các thành phần phần cứng, phần mềm và phần sụn riêng biệt.

Thông tin cần thiết từ nhà cung cấp

VE02.12.01: Nhà cung cấp phải cung cấp thông tin về phiên bản từng thành phần phần cứng, phần mềm và phần sụn riêng biệt.

Các thủ tục kiểm thử cần thiết

TE02.12.01: Kiểm thử viên phải xác minh thông tin về phiên bản của mô-đun phần cứng, phần mềm và phần sụn riêng biệt.

AS02.13: (Đặc tả - Mức 1, 2, 3, và 4)

Các thành phần phần cứng, phần mềm hoặc phần sụn được loại trừ (không kiểm định) phải thực thi sao cho không can thiệp hoặc làm ảnh hưởng đến hoạt động an toàn được phê duyệt của mô-đun mật mã.

Thông tin cần thiết từ nhà cung cấp

...

...

...

VE02.13.02: Tài liệu của nhà cung cấp phải cung cấp lý do để loại bỏ từng thành phần. Lý do cơ bản phải mô tả mỗi thành phần được loại trừ như thế nào, khi hoạt động bình thường hoặc khi trục trặc, không thể can thiệp vào hoạt động an toàn được phê duyệt của mô-đun. Lý do cơ bản có thể được phê duyệt nếu chúng được cung cấp đầy đủ trong tài liệu, bao gồm:

a) Thành phần này không được kết nối với các thành phần liên quan đến an toàn của mô-đun, cho phép truyền không hợp lệ về SSP, bản rõ, hoặc các thông tin khác có thể cản trở hoạt động an toàn được phê duyệt của mô-đun,

b) Mọi thông tin được xử lý bởi thành phần một cách chặt chẽ để sử dụng cục bộ trong mô-đun và không làm ảnh hưởng đến tính chính xác của việc điều khiển, trạng thái hoặc dữ liệu đầu ra.

Các thủ tục kiểm thử cần thiết

TE02.13.01: Kiểm thử viên phải xác minh từ tài liệu do nhà cung cấp cung cấp rằng các thành phần được loại trừ của ranh giới mật mã phải không can thiệp vào hoạt động an toàn được phê duyệt của mô-đun.

TE02.13.02: Kiểm thử viên phải xác minh tính chính xác của mọi lý do cơ bản để loại trừ do nhà cung cấp đưa ra. Trách nhiệm chứng minh là của phía nhà cung cấp; nếu có bất kỳ sự không chắc chắn hoặc nghi ngờ, kiểm thử viên phải yêu cầu nhà cung cấp cung cấp thêm thông tin khi cần thiết.

TE02.13.03: Kiểm thử viên phải thao tác (ví dụ như làm cho thành phần hoạt động không như thiết kế) với các thành phần được loại trừ theo cách gây ra các hoạt động không chính xác của thành phần được loại trừ. Kiểm thử viên phải xác minh rằng sự hoạt động không chính xác của các thành phần được loại trừ phải không can thiệp vào hoạt động an toàn được phê duyệt của mô-đun.

AS02.14: (Đặc tả - Mức 1, 2, 3, và 4)

Phần cứng, phần mềm hoặc phần sụn được loại trừ phải được đặc tả trong phụ lục A của {TCVN 11295:2016}.

...

...

...

VE02.14.01: Mọi thành phần được loại trừ khỏi các yêu cầu về an toàn phải được liệt kê rõ ràng trong tài liệu của nhà cung cấp.

Các thủ tục kiểm thử cần thiết

TE02.14.01: Kiểm thử viên phải xác minh xem nhà cung cấp có chỉ ra rằng mọi thành phần của mô-đun này được loại trừ khỏi các yêu cầu của TCVN 11295:2016.

6.2.3.2  Định nghĩa về ranh giới mật mã

AS02.15: (Đặc tả - Mức 1, 2, 3, và 4)

Ranh giới mật mã của mô-đun mật mã phần cứng phải được giới hạn và xác định:

- Tập các thành phần phần cứng có thể bao gồm:

- Các cấu trúc vật lý, bao gồm các bo mạch, các chất nền, hoặc bề mặt lắp ráp khác mà cung cấp kết nối vật lý giữa các thành phần,

- Các linh kiện điện tử chủ động như các mạch bán tích hợp, các mạch tích hợp tùy biến hay các mạch tích hợp chung, các bộ xử lý, bộ nhớ, các nguồn cung cấp điện, các bộ chuyển đổi,...

...

...

...

- Phần sụn có thể gồm hệ điều hành,

- Các dạng thành phần khác mà không được liệt kê ở trên.

Thông tin cần thiết từ nhà cung cấp

VE02.15.01: Tất cả thành phần phần cứng của mô-đun mật mã phải được quy định trong tài liệu của nhà cung cấp. Các thành phần được liệt kê bao gồm các điều sau đây:

a) Các cấu trúc vật lý bao gồm bo mạch, các chất nền hoặc bề mặt lắp ráp mà cung cấp dây dẫn vật lý liên kết nối giữa các thành phần.

1) Bo mạch, chất nền và bề mặt lắp ráp.

b) Các linh kiện điện tử chủ động như các mạch bán tích hợp, mạch tích hợp tùy biến hoặc mạch tích hợp chung, bộ vi xử lý, bộ nhớ, các nguồn cấp điện, các bộ chuyển đổi...

1) Bộ xử lý bao gồm bộ vi xử lý, bộ xử lý tín hiệu số, bộ vi xử lý tùy chỉnh, bộ vi điều khiển hoặc các dạng bộ xử lý khác (quy định nhà sản xuất và loại),

2) Các mạch tích hợp bộ nhớ chỉ đọc (ROM) cho mã có thể thực thi chương trình và dữ liệu (có thể gồm ROM lập trình mặt nạ (mask-programmed ROM), ROM có thể lập trình (PROM) như PROM có thể xóa được bằng tia cực tím (EPROM), ROM lập trình được và xóa được bằng xung điện (EEPROM) hoặc bộ nhớ Flash),

...

...

...

4) Các mạch tích hợp bán tùy biến, quy định cho ứng dụng, như là các mảng cổng (GA), mảng logic khả trình (PLA), mảng cổng khả trình theo trường (FPGA), hoặc các thiết bị logic khả trình khác,

5) Các mạch tích hợp tùy biến hoàn toàn, quy định cho ứng dụng, gồm mọi mạch tích hợp mật mã tùy biến,

6) Các thành phần nguồn điện, gồm bộ cấp nguồn, bộ chuyển đổi nguồn (ví dụ các mô-đun chuyển đổi từ xoay chiều sang một chiều (AC-to-DC) hoặc một chiều sang một chiều (DC-to- DC), máy biến thế), các đầu nối nguồn đầu vào và các đầu nối nguồn đầu ra,

7) Các phần tử điện tử chủ động khác (các phần tử mạch thụ động như điện trở kéo lên/kéo xuống hoặc các tụ điện phân dòng không cần phải bao gồm nếu chúng không cung cấp chức năng liên quan tới an toàn như một phần của mô-đun mật mã).

c) Các cấu trúc vật lý, như các lớp bao quanh, các vật liệu bọc hoặc đóng gói, các đầu nối và các giao diện,

1) Cấu trúc vật lý và lớp bao quanh, gồm mọi cửa hoặc vật phủ có thể tháo lắp được,

2) Các vật liệu bọc hoặc đóng gói,

3) Các đầu nối ranh giới,

4) Các đầu nối giữa các ghép phần độc lập cơ bản trong mô-đun

...

...

...

1) Mã được thực thi

2) Không sửa đổi được

i) Không thể sửa đổi được

ii) Có thể sửa đổi được

e) Các loại linh kiện khác không được liệt kê ở trên

1) Thiết bị làm mát hoặc sưởi, chẳng hạn như tấm dẫn, luồng không khí làm mát, bộ trao đổi nhiệt, cánh quạt làm mát, quạt, máy sưởi, hoặc các thiết bị khác để giảm hoặc tăng nhiệt.

VE02.15.02: Tài liệu của nhà cung cấp phải quy định rõ thiết kế và các phương pháp lắp ráp (ví dụ: các chốt và sự lắp ráp) của mô-đun, gồm các bản vẽ có kích cỡ ít nhất là xấp xỉ với tỷ lệ.

VE02.15.03: Tài liệu của nhà cung cấp phải mô tả các tham số vật lý chính của mô-đun, gồm mô tả về vỏ, điểm truy cập, bo mạch, vị trí cung cấp điện, cách chạy dây kết nối, thiết bị làm mát và các tham số quan trọng khác.

VE02.15.04: Tài liệu của nhà cung cấp phải bao gồm một sơ đồ khối biểu diễn ranh giới của mô-đun và quan hệ của mô-đun các thành phần phần cứng.

...

...

...

TE02.15.01: Kiểm thử viên phải quy định tất cả thành phần phần cứng của mô-đun mật mã. Các thành phần được liệt kê bao gồm các điều sau đây:

a) Các cấu trúc vật lý bao gồm bo mạch, chất nền hoặc bề mặt lắp ráp mà cung cấp đi dây kết nối vật lý giữa các thành phần.

1) Bo mạch, chất nền và bề mặt lắp ráp.

b) Các linh kiện điện tử chủ động như các mạch bán tích hợp, mạch tích hợp tùy biến hoặc mạch tích hợp chung, bộ vi xử lý, bộ nhớ, nguồn cung cấp điện, bộ chuyển đổi...

1) Bộ xử lý bao gồm bộ vi xử lý, bộ xử lý tín hiệu số, bộ vi xử lý tùy chỉnh, bộ vi điều khiển hoặc mọi dạng bộ xử lý khác (quy định nhà sản xuất và loại),

2) Các mạch tích hợp bộ nhớ chỉ đọc (ROM) cho mã có thể thực thi chương trình và dữ liệu (có thể gồm ROM lập trình mặt nạ (mask-programmed ROM), ROM có thể lập trình (PROM) như PROM có thể xóa được bằng tia cực tím (EPROM), ROM lập trình được và xóa được bằng xung điện (EEPROM) hoặc bộ nhớ Flash),

3) Bộ nhớ truy cập ngẫu nhiên (RAM) hoặc các mạch tích hợp khác để lưu trữ dữ liệu tạm thời,

4) Các mạch tích hợp bán tùy biến, quy định cho ứng dụng, như là các mảng cổng (GA), mảng logic khả trình (PLA), mảng cổng khả trình theo trường (FPGA), hoặc các thiết bị logic khả trình khác,

5) Các mạch tích hợp tùy biến hoàn toàn, quy định cho ứng dụng, gồm mọi mạch tích hợp mật mã tùy biến,

...

...

...

7) Các phần tử điện tử chủ động khác (các phần tử mạch thụ động như điện trở kéo lên/ kéo xuống hoặc các tụ điện phân dòng không cần phải bao gồm nếu chúng không cung cấp chức năng liên quan tới an toàn như một phần của mô-đun mật mã).

c) Các cấu trúc vật lý, như các lớp bao quanh, các vật liệu bọc hoặc đóng gói, các đầu nối và các giao diện,

1) Cấu trúc vật lý và lớp bao quanh, gồm mọi cửa hoặc vật phủ có thể tháo lắp được,

2) Các vật liệu bọc hoặc đóng gói,

3) Các đầu nối ranh giới,

4) Các kết nối giữa các thành phần độc lập cơ bản trong mô-đun.

d) Phần sụn, có thể bao gồm hệ điều hành,

1) Mã được thực thi

2) Không sửa đổi được

...

...

...

ii) Có thể sửa đổi được

e) Các loại thành phần khác không được liệt kê ở trên

1) Thiết bị làm mát hoặc sưởi, chẳng hạn như tấm dẫn, luồng không khí làm mát, bộ trao đổi nhiệt, cánh quạt làm mát, quạt, máy sưởi, hoặc các thiết bị khác để giảm hoặc tăng nhiệt.

TE02.15.02: Kiểm thử viên phải xác minh rằng danh sách các thành phần là nhất quán với thông tin được cung cấp cho các khẳng định khác của 6.2.3, được định nghĩa như sau:

a) Đặc tả về ranh giới mật mã theo khẳng định AS02.07. Xác minh rằng mọi thành phần nội bộ ranh giới mật mã đã có trong danh sách các thành phần và ngược lại. Cũng xác minh rằng mọi thành phần bên ngoài ranh giới mật mã là không được liệt kê là các thành phần của mô-đun mật mã.

b) Đặc tả của sơ đồ khối theo khẳng định ASA.01. Xác minh rằng mọi thành phần riêng biệt được quy định rõ trong sơ đồ khối (ví dụ bộ vi xử lý, các mạch tích hợp quy định cho ứng dụng) cũng được liệt kê trong danh sách các thành phần.

c) Mọi thành phần được loại trừ khỏi các yêu cầu của TCVN 11295:2016 tuân theo các quy định của các khẳng định AS02.13 và AS02.14. Xác minh rằng các thành phần được loại trừ như vậy vẫn được liệt kê trong danh sách các thành phần.

TE02.15.03: Kiểm thử viên phải xác minh xem ranh giới mật mã có tiếp giáp về mặt vật lý, chẳng hạn không có kẽ (lỗ) hở mà có thể cho phép truy cập vào, ra không điều khiển hoặc truy cập khác tới mô-đun mật mã. (Bảo vệ vật lý và bảo vệ chống can thiệp được bao phủ riêng biệt theo các yêu cầu trong 7.7 của TCVN 11295:2016). Thiết kế mô-đun cũng phải đảm bảo rằng không có giao diện không điều khiển vào hoặc ra của mô-đun mật mã.

TE02.15.04: Kiểm thử viên phải xác minh xem ranh giới mật mã có bao quanh mọi thành phần được quy định trong sơ đồ khối theo khẳng định ASA.01 như nhập vào, xuất ra, hoặc xử lý SSP, bản rõ hoặc các thông tin khác.

...

...

...

a) Công bố CSP, bản rõ, hoặc các thông tin khác không được điều khiển mà nếu được sử dụng không đúng có thể dẫn tới sự nguy hại,

b) Các sửa đổi không điều khiển của SSP hoặc các thông tin khác mà nếu sử dụng không đúng có thể gây nguy hại.

TE02.15.06: Kiểm thử viên phải xác minh rằng tài liệu của nhà cung cấp về thiết kế của mô-đun bao gồm vị trí và kích thước gần đúng của các thành phần chính đã khai báo của mô-đun. Điều này bao gồm các bản vẽ mà ít nhất là xấp xỉ về tỷ lệ.

TE02.15.07: Kiểm thử viên phải xác minh rằng tài liệu của nhà cung cấp quy định rõ các lắp ráp vật lý chính của mô-đun và cách lắp ráp hoặc đưa chúng vào mô-đun.

TE02.15.08: Kiểm thử viên phải xác minh rằng tài liệu của nhà cung cấp mô tả các tham số vật lý chính của mô-đun. Mô tả này phải bao gồm ít nhất những điều sau đây:

a) Hình dạng bao quanh và kích cỡ xấp xỉ gồm mọi cửa hoặc vật phủ

b) Kích thước xấp xỉ của bo mạch, thiết kế, và các kết nối

c) Vị trí của nguồn cấp điện, bộ chuyển đổi điện và nguồn đầu vào và đầu ra

d) Cách chạy dây liên kết nối: định tuyến và các đầu cuối

...

...

...

f) Các loại thành phần khác mà không được liệt kê ở trên

TE02.15.09: Kiểm thử viên phải xác minh rằng nhà cung cấp cung cấp sơ đồ khối miêu tả ranh giới và quan hệ của các mô-đun thành phần phần cứng.

AS02.16: (Đặc tả - Mức 1, 2, 3, và 4)

Ranh giới mật mã của một mô-đun phần mềm mật mã được phân định và quy định rõ:

- Một tập các tệp hoặc tệp mã thực thi cấu thành mô-đun mật mã; và

- Một mẫu cụ thể của mô-đun mật mã được lưu trữ trong bộ nhớ và được thực thi bởi một hoặc nhiều bộ xử lý.

Thông tin cần thiết từ nhà cung cấp

VE02.16.01: Tất cả thành phần phần mềm của mô-đun mật mã được xác định trong tài liệu của nhà cung cấp. Các thành phần được liệt kê phải gồm các điều sau đây:

a) Tập hợp các tập tin thực thi hoặc các tệp cấu thành mô-đun mật mã,

...

...

...

VE02.16.02: Tài liệu của nhà cung cấp phải quy định rõ kiến trúc phần mềm nội bộ bao gồm cả cách các thành phần phần mềm tương tác.

VE02.16.03: Tài liệu của nhà cung cấp phải quy định rõ môi trường phần mềm (ví dụ: hệ điều hành, thư viện thời gian chạy,...) mà mô-đun thực thi.

Các thủ tục kiểm thử cần thiết

TE02.16.01: Kiểm thử viên phải xác minh rằng tài liệu cần chứa danh sách các thành phần bao gồm tất cả thành phần phần mềm của mô-đun mật mã.

TE02.16.02: Kiểm thử viên phải xác minh rằng danh sách các thành phần bao gồm tất cả sự cố của các loại thành phần sau đây, không bao gồm các loại thành phần không được sử dụng trong mô-đun:

a) Bộ các tập tin thực thi hoặc các tệp cấu thành mô-đun mật mã; và

b) Các loại thành phần khác không được liệt kê ở trên.

TE02.16.03: Kiểm thử viên phải xác minh rằng danh sách các thành phần phải tương ứng với thông tin được cung cấp cho các khẳng định của 6.2.3, được định nghĩa như sau:

a) Các đặc tả của ranh giới mật mã theo khẳng định AS02.07. Xác minh rằng tất cả thành phần nội bộ ranh giới mật mã bao gồm trong danh sách các thành phần và ngược lại. Cũng xác minh rằng mọi thành phần bên ngoài ranh giới mật mã không được liệt kê như các thành phần của mô-đun mật mã.

...

...

...

c) Các đặc tả của sơ đồ khối theo khẳng định ASA.01. Xác minh rằng mọi thành phần riêng biệt được quy định trong biểu đồ khối cũng được liệt kê trong danh sách các thành phần.

d) Mọi thành phần được loại trừ khỏi các yêu cầu của TCVN 11295:2016 theo các mục các khẳng định AS02.13 và AS02.14. Xác minh rằng các thành phần được loại trừ như vậy vẫn còn được liệt kê trong danh sách các thành phần.

TE02.16.04: Như một ngoại lệ nhỏ đối với các yêu cầu trên, nhà cung cấp được phép loại trừ một số thành phần nhất định khỏi yêu cầu của TCVN 11295:2016 sau khi đáp ứng các yêu cầu theo các khẳng định AS02.13 và AS02.14 trong 6.2.3.1. Kiểm thử viên phải xác minh rằng mọi giao diện hoặc kết nối vật lý giữa các thành phần được loại trừ như vậy và phần còn lại của mô-đun không cho phép các điều sau:

a) Công bố không được điều khiển của CSP, bản rõ, hoặc các thông tin khác mà nếu sử dụng nhầm có thể gây nguy hại, hoặc

b) Sửa đổi không được điều khiển của SSP hoặc các thông tin khác mà có thể gây nguy hại.

TE02.16.05: Kiểm thử viên phải xác minh rằng tài liệu của nhà cung cấp quy định rõ các thành phần phần mềm chính của mô-đun và cách chúng được liên kết với nhau tạo thành mô-đun.

AS02.17: (Đặc tả - Mức 1, 2, 3, và 4)

Ranh giới mật mã của một mô-đun phần sụn mật mã được phân định và quy định rõ:

- Một tập tệp hoặc các tệp mã thực thi cấu thành mô-đun mật mã; và

...

...

...

Thông tin cần thiết từ nhà cung cấp

VE02.17.01: Tất cả thành phần phần sụn của mô-đun mật mã phải được xác định trong tài liệu của nhà cung cấp. Các thành phần được liệt kê phải gồm:

a) Tập các tập tin thực thi hoặc các tệp cấu thành mô-đun mật mã,

b) Các loại thành phần an toàn khác có liên quan mà không được liệt kê ở trên.

VE02.17.02: Tài liệu của nhà cung cấp phải chỉ thị kiến trúc phần sụn nội bộ bao gồm cả cách các thành phần phần sụn tương tác.

VE02.17.03: Tài liệu của nhà cung cấp phải chỉ thị môi trường phần sụn (ví dụ: hệ điều hành, thư viện thời gian chạy,...) mà mô-đun thực thi.

Các thủ tục kiểm thử cần thiết

TE02.17.01: Kiểm thử viên phải xác minh rằng tài liệu bao gồm danh sách các thành phần bao gồm tất cả thành phần phần sụn của mô-đun mật mã.

TE02.17.02: Kiểm thử viên phải xác minh rằng danh sách các thành phần bao gồm sự có mặt của các loại thành phần sau, chỉ loại trừ các loại thành phần mà không được sử dụng trong mô-đun:

...

...

...

b) Các loại thành phần khác không được liệt kê ở trên

TE02.17.03: Kiểm thử viên phải xác minh rằng danh sách các thành phần phải tương ứng với thông tin được cung cấp cho các khẳng định của mục dưới đây, như được định nghĩa như sau:

a) Đặc tả về ranh giới mật mã theo khẳng định AS02.07. Xác minh rằng tất cả thành phần nội bộ ranh giới mật mã đã bao gồm trong danh sách các thành phần và ngược lại. Cũng xác minh rằng mọi thành phần bên ngoài ranh giới mật mã không được liệt kê là các thành phần của mô-đun mật mã.

b) Đặc tả về phần sụn theo khẳng định ASA.01. Xác minh rằng danh sách các thành phần phần sụn giống như trong đặc tả theo khẳng định AS02.07.

c) Đặc tả của sơ đồ khối theo khẳng định ASA.01. Xác minh rằng mọi thành phần riêng biệt được quy định trong biểu đồ khối cũng được liệt kê trong danh sách các thành phần.

d) Mọi thành phần được loại trừ khỏi các yêu cầu của TCVN 11295:2016 theo các mục các khẳng định AS02.13 và AS02.14. Xác minh rằng các thành phần được loại trừ như vậy vẫn được liệt kê trong danh sách các thành phần.

TE02.17.04: Như một ngoại lệ nhỏ đối với các yêu cầu trên, nhà cung cấp được phép loại trừ một số thành phần nhất định khỏi yêu cầu của TCVN 11295:2016 sau khi đáp ứng các yêu cầu theo các khẳng định AS02.13 và AS02.14 trong 6.2.3.1. Kiểm thử viên phải xác minh rằng mọi giao diện hoặc kết nối vật lý giữa các thành phần được loại trừ như vậy và phần còn lại của mô-đun không cho phép các điều sau:

a) Công bố không được điều khiển của CSP, bản rõ, hoặc các thông tin khác mà nếu sử dụng nhầm có thể gây nguy hại,

b) Sửa đổi không được điều khiển của SSP hoặc các thông tin khác có thể dẫn tới nguy hại.

...

...

...

AS02.18: (Đặc tả - Mức 1, 2, 3, và 4)

Ranh giới mật mã của một mô-đun mật mã lai ghép phải:

- Là hỗn hợp của ranh giới thành phần mô-đun phần cứng và ranh giới thành phần phần mềm hoặc phần sụn tách rời; và

- Bao gồm tất cả cổng và giao diện từ mỗi thành phần.

CHÚ THÍCH Ngoài các thành phần phần mềm hoặc phần sụn tách rời, thành phần phần cứng cũng có thể bao gồm phần sụn hoặc phần mềm nhúng.

Thông tin cần thiết từ nhà cung cấp

VE02.18.01: Mô-đun mật mã phải được xác định trong tài liệu của nhà cung cấp dưới dạng mô-đun phần mềm lai ghép hoặc mô-đun phần sụn lai ghép.

a) Đối với các thành phần mô-đun phần mềm lai ghép, tài liệu của nhà cung cấp phải cung cấp thông tin theo yêu cầu tư VE02.15.01 tới VE02.15.04 và từ VE02.16.01 tới VE02.16.03.

b) Đối với các thành phần mô-đun phần sụn lai ghép, tài liệu của nhà cung cấp phải cung cấp thông tin theo yêu cầu từ VE02.15.01 tới VE02.15.04 và từ VE02.17.01 tới VE02.17.03.

...

...

...

TE02.18.01: Kiểm thử viên phải xác minh rằng tài liệu quy định mô-đun là hoặc mô-đun phần mềm lai ghép hoặc mô-đun phần sụn lai ghép.

a) Đối với các thành phần mô-đun phần mềm lai ghép, kiểm thử viên phải thực hiện theo các thủ tục được yêu cầu từ TE02.15.01 tới TE02.15.09 và từ TE02.16.01 tới TE02.16.05.

b) Đối với các thành phần mô-đun phần sụn lai ghép, kiểm thử viên phải thực hiện theo các thủ tục được yêu cầu từ TE02.15.01 tới TE02.15.09 và từ TE02.17.01 tới TE02.17.05.

6.2.4.  Các chế độ hoạt động

6.2.4.1  Các yêu cầu chung của các chế độ hoạt động

AS02.19: (Đặc tả - Mức 1, 2, 3, và 4)

Người vận hành phải có thể vận hành mô-đun trong một chế độ hoạt động đã được phê duyệt.

Thông tin cần thiết từ nhà cung cấp

VE02.19.01: Nhà cung cấp phải cung cấp chính sách an toàn không đăng ký độc quyền về mô tả chế độ hoạt động được phê duyệt.

...

...

...

Các thủ tục kiểm thử được yêu cầu

TE02.19.01: Kiểm thử viên phải xác minh rằng chính sách an toàn không đăng ký độc quyền do nhà cung cấp đưa ra, chứa mô tả về chế độ hoạt động được phê duyệt.

TE02.19.02: Kiểm thử viên phải gọi tới chế độ hoạt động được phê duyệt sử dụng các chỉ dẫn do nhà cung cấp đưa ra trong chính sách an toàn không đăng ký độc quyền. Kiểm thử viên phải xác minh, bằng cách thẩm tra và từ tài liệu của nhà cung cấp, rằng mô-đun mật mã là chế độ hoạt động được phê duyệt như là kết quả của các chỉ dẫn của tài liệu.

AS02.20: (Đặc tả - Mức 1, 2, 3, và 4)

Chế độ hoạt động đã được phê duyệt phải được quy định là tập các dịch vụ bao gồm ít nhất một dịch vụ sử dụng thuật toán mật mã, hàm hoặc tiến trình an toàn dược phê duyệt và các dịch vụ hoặc tiến trình được mô tả trong tiểu mục {7.4.3 TCVN 11295:2016}.

Thông tin cần thiết từ nhà cung cấp

VE02.20.01: Nhà cung cấp phải cung cấp chứng chỉ hợp lệ cho từng chức năng an toàn được phê duyệt.

VE02.20.02: Nhà cung cấp phải cung cấp danh sách tất cả chức năng an toàn không được phê duyệt.

Các thủ tục kiểm thử cần thiết

...

...

...

TE02.20.02: Kiểm thử viên phải xác minh rằng nhà cung cấp đã cung cấp danh sách các chức năng an toàn không được phê duyệt.

AS02.21: (Đặc tả - Mức 1, 2, 3, và 4)

Các thuật toán mật mã, các hàm và tiến trình an toàn hoặc các dịch vụ khác không được phê duyệt không được quy định trong tiểu mục 7.4.3 {TCVN 11295:2016} thì người vận hành không được sử dụng trong một chế độ hoạt động được phê duyệt trừ khi thuật toán mật mã hoặc chức năng an toàn là một phần của tiến trình được phê duyệt và không liên quan đến an toàn cho hoạt động được phê duyệt (ví dụ một thuật toán mật mã hoặc khóa không được phê duyệt có thể được sử dụng để che giấu dữ liệu hoặc CSP nhưng kết quả được xem là bảo rõ không được bảo vệ và không cung cấp chức năng liên quan đến an toàn cho tới khi nó được bảo vệ bằng một thuật toán mật mã được phê duyệt).

Thông tin cần thiết từ nhà cung cấp

VE02.21.01: Tài liệu của nhà cung cấp phải xác định tất cả thuật toán mật mã, các chức năng an toàn hoặc các tiến trình không được phê duyệt được sử dụng cho mỗi dịch vụ trong mỗi chế độ hoạt động được phê duyệt.

VE02.21.02: Tài liệu của nhà cung cấp phải cung cấp lý do cơ bản để giải thích việc sử dụng các thuật toán mật mã, các chức năng an toàn hoặc các tiến trình không được phê duyệt, được xem là không liên quan đến an toàn cho hoạt động của tiến trình được phê duyệt.

Các thủ tục kiểm thử cần thiết

TE02.21.01: Kiểm thử viên phải xác minh bằng cách thẩm tra rằng tài liệu của nhà cung cấp xác định tất cả thuật toán mật mã, các chức năng an toàn hoặc các tiến trình không được phê duyệt được sử dụng cho từng dịch vụ trong từng chế độ hoạt động được phê duyệt.

TE02.21.02: Kiểm thử viên phải xác minh tính chính xác của mọi lý do cơ bản do nhà cung cấp đưa ra. Trách nhiệm chứng minh là bên phía nhà cung cấp; Nếu có bất kỳ sự không chắc chắn hoặc nghi ngờ nào, kiểm thử viên phải yêu cầu nhà cung cấp đưa thêm thông tin bổ sung khi cần thiết.

...

...

...

AS02.22: (Đặc tả - Mức 1, 2, 3, và 4)

Các CSP phải được chọn lọc giữa các dịch vụ và chế độ hoạt động được phê duyệt và không được phê duyệt (ví dụ: không chia sẻ hoặc truy cập).

Thông tin cần thiết từ nhà cung cấp

VE02.22.01: Nhà cung cấp phải cung cấp danh sách tất cả CSP trong mô-đun và quy định cách sử dụng giữa các dịch vụ và chế độ hoạt động được phê duyệt và không được phê duyệt.

VE02.22.02: Nhà cung cấp phải cung cấp mô tả về cách thức mỗi CSP được lựa chọn giữa các dịch vụ và chế độ hoạt động được phê duyệt và không được phê duyệt.

Các thủ tục kiểm thử cần thiết

TE02.22.01: Kiểm thử viên phải xác minh rằng tài liệu của nhà cung cấp chứa mô tả về sử dụng của mỗi CSP trong một chế độ hoạt động được phê duyệt hoặc không được phê duyệt.

TE02.22.02: Kiểm thử viên phải xác minh bằng cách thẩm tra và từ tài liệu của nhà cung cấp rằng các CSP được lựa chọn giữa các dịch vụ và chế độ hoạt động được phê duyệt và không được phê duyệt.

AS02.23: (Đặc tả - Mức 1, 2, 3, và 4)

...

...

...

CHÚ THÍCH Khẳng định này được kiểm tra theo ASB.01

AS02.24: (Đặc tả - Mức 1, 2, 3, và 4)

Tất cả dịch vụ phải cung cấp một chỉ thị khi dịch vụ sử dụng thuật toán mật mã, hàm hoặc tiến trình an toàn được phê duyệt theo một dạng thức đã được phê duyệt và các dịch vụ hoặc tiến trình đó được quy định trong tiểu mục 7.4.3 {TCVN 11295:2016}.

Thông tin cần thiết từ nhà cung cấp

VE02.24.01. Tài liệu của nhà cung cấp phải quy định rõ chỉ thị cho mỗi dịch vụ.

Các thủ tục kiểm thử cần thiết

TE02.24.01: Kiểm thử viên phải xác minh rằng tài liệu của nhà cung cấp có mô tả về chỉ thị khi dịch vụ sử dụng thuật toán mật mã, chức năng an toàn hoặc tiến trình được phê duyệt theo dạng thức được phê duyệt.

TE02.24.02: Kiểm thử viên phải thực hiện tất cả các dịch vụ và xác minh rằng chỉ thị cung cấp một trình bày rõ ràng về việc liệu dịch vụ có sử dụng thuật toán mật mã được phê duyệt, chức năng hoặc quy trình an toàn theo cách được chấp thuận hay không.

6.2.4.3  Hoạt động bị xuống cấp (Degraded operation)

...

...

...

Đối với một mô-đun mật mã làm việc trong hoạt động bị xuống cấp, các tiểu mục sau AS02.26 đến AS02.30 {TCVN 11295:2016} phai áp dụng:

CHÚ THÍCH Khẳng định này không được kiểm thử riêng biệt.

AS02.26: (Đặc tả - Mức 1, 2, 3, và 4)

Hoạt động bị xuống cấp chỉ được đưa vào sau khi thoát khỏi trạng thái lỗi;

Thông tin cần thiết từ nhà cung cấp

VE02.26.01: Nếu mô-đun mật mã cho phép hoạt động bị xuống cấp, nhà cung cấp phải cung cấp mô tả về tất cả hoạt động bị xuống cấp sau khi thoát khỏi trạng thái lỗi.

VE02.26.02: Nhà cung cấp phải cung cấp các đặc tả về hoạt động bị xuống cấp. Đối với từng hoạt động bị xuống cấp, phải có đặc tả sau:

a) Điều kiện chuyển vào và thoát khỏi hoạt động bị xuống cấp

b) Các thuật toán, các hàm, dịch vụ hoặc tiến trình an toàn hoạt động

...

...

...

d) Các cơ chế, chức năng, hoặc các thành phần bị cô lập trong hoạt động bị xuống cấp

e) Kỹ thuật để cô lập các cơ chế, chức năng hoặc các thành phần

f) Thông tin trạng thái được cung cấp trong hoạt động bị xuống cấp

g) Chỉ thị trạng thái nếu cố gắng sử dụng thuật toán, chức năng an toàn hoặc tiến trình không hoạt động

Các thủ tục kiểm thử cần thiết

TE02.26.01: Kiểm thử viên phải xác minh rằng tài liệu của nhà cung cấp quy định hoạt động xuống cấp và các điều kiện chuyển vào và thoát khỏi.

TE02.26.02: Kiểm thử viên sử dụng tài liệu của nhà cung cấp để kiểm tra xem hoạt động xuống cấp chỉ có thể được truy cập sau khi thoát khỏi tình trạng lỗi. Kiểm thử viên phải kiểm tra xem có chỉ thị trạng thái lỗi (xem AS03.11) hay không.

TE02.26.03: Kiểm thử viên phải sử dụng mô-đun mật mã, làm cho nó hoạt động trong từng hoạt động bị xuống cấp. Đối với mỗi hoạt động bị xuống cấp, kiểm thử viên phải cố gắng thực hiện dịch vụ để xác minh rằng tất cả thuật toán tự kiểm tra có điều kiện được thực hiện trước khi sử dụng lần đầu tiên của bất cứ thuật toán mật mã nào.

TE02.26.04: Kiểm thử viên trước tiên phải thao tác mô-đun mật mã, làm cho nó hoạt động trong từng hoạt động xuống cấp. Kiểm thử viên phải thực hiện các hoạt động tự kiểm tra trước khi hoạt động để xác minh tồn tại xuống cấp của mô-đun mật mã đến vượt qua các bài thử mà không bị lỗi với mọi hoạt động tự kiểm tra trước thành công.

...

...

...

AS02.27: (Đặc tả - Mức 1, 2, 3, và 4)

Mô-đun này phải cung cấp thông tin trạng thái khi cấu hình lại và hoạt động xuống cấp.

CHÚ THÍCH Sự khẳng định này không phải là thử nghiệm riêng biệt. Được kiểm tra như là một phần của AS02.26.

AS02.28: (Đặc tả - Mức 1, 2, 3, và 4)

Cơ chế hoặc chức năng lỗi phải bị cô lập.

Thông tin cần thiết từ nhà cung cấp

VE02.28.01: Yêu cầu tài liệu của nhà cung cấp được quy định rõ trong VE02.26.02. Nhà cung cấp thiết kế phải đảm bảo rằng mọi lỗi từ các cơ chế, chức năng và thành phần bị lỗi không thể gây cản trở hoặc làm ảnh hưởng tới hoạt động đã được phê duyệt của mô-đun mật mã.

Các thủ tục kiểm thử cần thiết

TE02.28.01: Kiểm thử viên phải xác minh bằng cách kiểm tra từ tài liệu của nhà cung cấp rằng các cơ chế, chức năng và các thành phần lỗi bị cô lập trước khi đi vào hoạt động bị xuống cấp.

...

...

...

AS02.29: (Đặc tả - Mức 1, 2, 3, và 4)

Tất cả các thuật toán tự kiểm tra có điều kiện phải được thực thi trước khi hoạt động đầu tiên sử dụng thuật toán mật mã sau khi đưa vào hoạt động bị xuống cấp.

CHÚ THÍCH Khẳng định này không được kiểm tra riêng rẽ. Được kiểm tra như là một phần của AS02.26

AS02.30: (Đặc tả - Mức 1, 2, 3, và 4)

Các dịch vụ phải cung cấp một chỉ thị khi sử dụng một thuật toán, chức năng an toàn hoặc tiến trình không hoạt động.

Thông tin cần thiết từ nhà cung cấp

VE02.30.01: Yêu cầu tài liệu của nhà cung cấp được quy định rõ trong VE02.26.02. Thiết kế của nhà cung cấp phải đảm bảo rằng kết thúc dịch vụ có chỉ thị khi sử dụng một thuật toán, chức năng an toàn hoặc tiến trình không hoạt động.

Các thủ tục kiểm thử cần thiết

TE02.30.01: Kiểm thử viên phải xác minh từ tài liệu của nhà cung cấp rằng các dịch vụ cung cấp chỉ thị đã được ghi nhận khi sử dụng một thuật toán, chức năng an toàn hoặc tiến trình không hoạt động.

...

...

...

AS02.31: (Đặc tả - Mức 1, 2, 3, và 4)

Mô-đun mật mã phải vẫn hoạt động xuống cấp cho đến khi mô-đun mật mã truyền đi mà không bị lỗi tất cả phép thử tự động tiền hoạt động thành công.

CHÚ THÍCH Khẳng định này không được kiểm tra riêng rẽ. Được kiểm tra như là một phần của AS02.26.

AS02.32: (Đặc tả - Mức 1, 2, 3, và 4)

Nếu mô-đun mật mã không thể tự kiểm tra tiền hoạt động, mô-đun này phải không đi vào hoạt động bị xuống cấp.

CHÚ THÍCH Khẳng định này không được kiểm tra riêng rẽ. Được kiểm tra như là một phần của AS02.26.

6.3  Giao diện mô-đun mật mã

6.3.1  Các yêu cầu chung đối với giao diện mô-đun mật mã

AS03.1: (Các giao diện của mô-đun - Mức 1, 2, 3, và 4)

...

...

...

Thông tin cần thiết từ nhà cung cấp

VE03.01.01: Tài liệu của nhà cung cấp phải quy định rõ từng cổng vật lý và các giao diện logic của mô-đun mật mã bao gồm:

a) Cổng vật lý và các chân cắm quy định

b) Các vỏ bọc vật lý, cổng, các lỗ vật lý

c) Các giao diện logic (ví dụ API và tất cả tín hiệu dữ liệu/điều khiển/trạng thái khác), các tên và chức năng của tín hiệu

d) Điều khiển thủ công (ví dụ: nút hoặc công tắc) cho đầu vào điều khiển vật lý thích hợp

e) Các chỉ thị trạng thái vật lý (ví dụ: đèn hoặc màn hình) cho các đầu ra trạng thái thể chất có thể áp dụng

f) Cách sắp xếp các giao diện logic đến các cổng vật lý, điều khiển thủ công và các chỉ thị trạng thái vật lý của mô-đun mật mã

g) Các đặc tính vật lý, logic, và điện khi có thể áp dụng cho các cổng và giao diện trên

...

...

...

VE03.01.03: Đối với mỗi đầu vào vật lý hoặc logic của mô-đun mật mã, hoặc đầu ra vật lý và logic từ mô-đun, tài liệu của nhà cung cấp phải quy định rõ giao diện logic mà đầu vào hoặc đầu ra vật lý liên quan, và cổng nhập/xuất vật lý. Các đặc tả được cung cấp phải tuân theo các đặc tả của các thành phần mô-đun mật mã được cung cấp theo 6.2 và 6.11 của tiêu chuẩn này và các đặc tả của các giao diện logic được cung cấp trong các khẳng định AS03.04 đến AS03.11 của 6.3.3.

Các thủ tục kiểm thử cần thiết

TE03.01.01: Kiểm thử viên phải xác minh rằng tài liệu của nhà cung cấp quy định từng cổng vật lý và các giao diện logic của mô-đun mật mã. Các yêu cầu kỹ thuật bắt buộc bao gồm:

a) Tất cả cổng vào và ra vật lý, bao gồm các chân cắm quy định rõ của chúng, các vị trí vật lý trong mô-đun, tóm tắt các tín hiệu logic truyền qua từng cổng và chuỗi thời gian của các luồng tín hiệu nếu có hai hoặc nhiều tín hiệu chia sẻ cùng một chân cắm vật lý

b) Tất cả vỏ bọc, cửa ra vào, hoặc lỗ hổng vật lý, kể cả vị trí thực của chúng trong mô-đun mã hóa, và các thành phần hoặc chức năng có thể được truy cập và/hoặc sửa đổi -thông qua mỗi vỏ bọc/cửa/lỗ

c) Tất cả giao diện logic đầu vào và đầu ra (ví dụ như các API và tất cả tín hiệu dữ liệu/điều khiển/trạng thái khác), bao gồm một sơ đồ khối được liệt kê hoặc Chú thích tất cả dữ liệu logic, các đầu vào điều khiển, dữ liệu, các đầu ra trạng thái của mô-đun mật mã, danh sách mô tả tên và chức năng của tín hiệu

d) Tất cả điều khiển thủ công được sử dụng để nhập các tín hiệu điều khiển, chẳng hạn như các công tắc hoặc nút bấm, bao gồm vị trí thực của chúng trong mô-đun mật mã, và danh sách mô tả các tín hiệu điều khiển có thể được nhập theo cách thủ công

e) Tất cả chỉ thị trạng thái vật lý, bao gồm vị trí thực của chúng trong mô-đun và danh sách mô tả các dấu hiệu chỉ thị trạng thái được thể hiện về mặt vật lý

f) Cách sắp xếp các giao diện đầu vào và đầu ra logic đến cổng vào và ra vật lý, các điều khiển thủ công và các chỉ thị trạng thái vật lý của mô-đun mật mã

...

...

...

TE03.01.02: Kiểm thử viên phải xác minh rằng tài liệu của nhà cung cấp quy định rõ tất cả luồng thông tin và các điểm truy cập vật lý của mô-đun mật mã, bằng cách kiểm tra các sơ đồ khối, các đặc tả thiết kế và/hoặc mã nguồn và các sơ đồ được cung cấp trong 6.2 và 6.11 của tiêu chuẩn này, và mọi tài liệu khác cung cấp bởi nhà cung cấp. Tài liệu phải quy định rõ mối quan hệ của các luồng thông tin và các điểm truy cập vật lý tới các cổng vật lý và các giao diện logic của mô-đun mật mã. Kiểm thử viên phải so sánh các thông tin trên với thông tin được cung cấp theo các khẳng định AS02.07 và AS02.15 đến AS02.18 và xác minh rằng không có sự không nhất quán trong việc mô tả các thành phần và thiết kế vật lý cho các cổng vào ra.

TE03.01.03: Kiểm thử viên phải xác minh rằng đối với mỗi đầu vào vật lý hoặc logic cho mô-đun mật mã, hoặc đầu ra vật lý và logic từ mô-đun, tài liệu của nhà cung cấp quy định giao diện logic mà đầu vào hoặc đầu ra vật lý liên quan đến cổng vào ra vật lý. Các đặc tả được cung cấp phải tuân theo các đặc tả của các thành phần mô-đun mật mã được cung cấp theo 6.2 và 6.11 của tiêu chuẩn này và các đặc tả của các giao diện logic được cung cấp trong các khẳng định AS03.04 đến AS03.11 của 6.3.3.

TE03.01.04: Kiểm thử viên phải xác minh bằng kiểm tra mô-đun mật mã rằng tất cả đặc tả nêu trên được cung cấp bởi tài liệu của nhà cung cấp tuân theo thiết kế thực tế của mô-đun mật mã.

AS03.02: (Các giao diện của mô-đun - Mức 1, 2, 3, và 4)

Các giao diện logic của mô-đun mật mã phải khác biệt với nhau mặc dù chúng có thể chia sẻ một cổng vật lý (ví dụ dữ liệu đầu vào có thể nhập và dữ liệu đầu ra có thể thoát qua cùng một cổng) hoặc có thể được phân bố qua một hoặc nhiều cổng vật lý (ví dụ dữ liệu đầu vào có thể nhập thông qua cả một cổng nối tiếp và một cổng song song)

CHÚ THÍCH Một giao diện chương trình ứng dụng (API) của thành phần phần mềm của một mô-đun mật mã có thể được định nghĩa như một hoặc nhiều giao diện logic.

Thông tin cần thiết từ nhà cung cấp

VE03.02.01: Thiết kế của nhà cung cấp phải tách các giao diện mô-đun mật mã thành những bộ phân loại hợp lý và riêng biệt bằng cách sử dụng các bộ phân loại được liệt kê trong khẳng định AS03.04, và nếu có thể là AS03.12 và AS03.13 trong 6.3.3. Thông tin này phải tuân theo đặc tả của các giao diện logic và các cổng vật lý được cung cấp trong AS03.01 trong 6.3.1.

VE03.02.02: Tài liệu của nhà cung cấp phải quy định rõ cách sắp xếp từng loại giao diện logic đến cổng vật lý của mô-đun mật mã. Một giao diện logic có thể được phân bố trên nhiều cổng vật lý, hoặc hai hoặc nhiều giao diện logic có thể chia sẻ một cổng vật lý miễn là các luồng thông tin được giữ logic riêng biệt. Nếu hai hoặc nhiều giao diện logic chia sẻ cùng một cổng vật lý, tài liệu của nhà cung cấp phải quy định rõ cách thức thông tin từ các loại giao diện khác nhau được giữ logic riêng biệt.

...

...

...

TE03.02.01. Kiểm thử viên phải xác minh từ tài liệu của nhà cung cấp và qua mô-đun mật mã, rằng các giao diện mô-đun logic là khác nhau và riêng biệt cho các loại giao diện được quy định trong khẳng định AS03.04 và nếu có là AS03.12 và AS03.13 của 6.3.3. Thông tin này phải tuân theo đặc tả và thiết kế của các giao diện logic và các cổng vật lý được cung cấp ở AS03.01 trong 6.3.1.

TE03.02.02: Kiểm thử viên phải xác minh rằng tài liệu cung cấp quy định rõ cách sắp xếp từng loại giao diện logic đến cổng vật lý của mô-đun mật mã. Giao diện logic có thể được phân bố trên nhiều cổng vật lý, hoặc hai hoặc nhiều giao diện hợp lý có thể chia sẻ một cổng vật lý. Nếu hai hoặc nhiều giao diện chia sẻ cùng một cổng vật lý, kiểm thử viên phải xác minh rằng tài liệu của nhà cung cấp quy định cách các luồng thông tin cho các giao diện đầu vào, đầu ra, điều khiển và trạng thái được giữ một cách riêng biệt.

AS03.03: (Các giao diện của mô-đun - Mức 1, 2, 3, và 4)

Các yêu cầu tài liệu quy định tại tiểu mục A.2.3 {TCVN 11295:2016} phải được cung cấp.

Thông tin cần thiết từ nhà cung cấp

VE03.03.01: Nhà cung cấp phải cung cấp tài liệu theo quy định tại A.2.3 TCVN 11295:2016.

Các thủ tục kiểm thử cần thiết

TE03.03.01: Kiểm thử viên phải xác minh tính đầy đủ của tài liệu được nêu trong A.2.3 của TCVN 11295:2016.

6.3.2  Phân loại giao diện

...

...

...

AS03.04: (Các giao diện của mô-đun - Mức 1, 2, 3, và 4)

Mỗi mô-đun mật mã phải có năm giao diện sau ("đầu vào" và "đầu ra" được quy định rõ trong mô-đun):

- Giao diện đầu vào dữ liệu

- Giao diện đầu ra dữ liệu

- Giao diện đầu vào điều khiển

- Giao diện đầu ra điều khiển

- Giao diện đầu ra trạng thái

Thông tin cần thiết từ nhà cung cấp

VE03.04.01: Tài liệu của nhà cung cấp chia các giao diện của mô-đun mật mã ra một cách rõ ràng riêng biệt là năm giao diện logic quy định sau đây trong mô-đun mật mã ("đầu vào" và "đầu ra" được quy định rõ trong mô-đun):

...

...

...

b) Giao diện đầu ra dữ liệu (cho đầu ra của dữ liệu được quy định trong AS03.06 và AS03.07),

c) Giao diện điều khiển đầu vào (cho đầu vào của các phát biểu như được quy định trong AS03.08),

d) Giao diện điều khiển đầu ra (cho đầu ra của các phát biểu như được quy định trong AS03.09, và AS03.10) và

e) Giao diện đầu ra trạng thái (cho đầu ra của thông tin trạng thái như đã nêu trong AS03.11).

Các thủ tục kiểm thử cần thiết

TE03.04.01: Kiểm thử viên phải xác minh rằng tài liệu của nhà cung cấp có quy định rõ năm giao diện logic được liệt kê trong VE03.04.01 đã được thiết kế trong mô-đun mật mã chưa. Nếu có, xác minh rằng các giao diện logic trong mô-đun mật mã có thực thi theo các khẳng định AS03.05 đến AS03.11 trong 6.3.3 hay không.

Giao diện đầu vào dữ liệu

AS03.05: (Giao diện đầu vào dữ liệu - Mức 1, 2, 3, và 4)

Tất cả dữ liệu (trừ dữ liệu điều khiển được nhập thông qua giao diện điều khiển đầu vào) được nhập vào và xử lý bởi một mô-đun mật mã (bao gồm bản rõ, bản mã, SSP và thông tin trạng thái từ một mô-đun khác) phải nhập thông qua giao diện "đầu vào dữ liệu".

...

...

...

VE03.05.01: Mô-đun mật mã phải có một giao diện đầu vào dữ liệu. Tất cả dữ liệu (trừ dữ liệu điều khiển nhập thông qua giao diện điều khiển đầu vào) được nhập vào và xử lý bởi mô-đun mật mã phải nhập thông qua giao diện đầu vào dữ liệu, bao gồm:

a) Bản rõ

b) Bản mã hoặc dữ liệu được ký

c) Khóa mật mã và dữ liệu quản lý khóa khác (bản rõ hoặc bản mã)

d) Dữ liệu xác thực (bản rõ hoặc bản mã)

e) Thông tin trạng thái từ các nguồn bên ngoài

f) Dữ liệu đầu vào khác

VE03.05.02: Tài liệu của nhà cung cấp phải quy định rõ cho mọi thiết bị đầu vào ngoài được sử dụng với mô-đun mật mã để cho dữ liệu vào giao diện đầu vào dữ liệu, chẳng hạn như thẻ thông minh, thẻ, màn hình và/hoặc các thiết bị lưu trữ khác.

Các thủ tục kiểm thử cần thiết

...

...

...

a) Bản rõ đã được mã hoặc ký bằng mô-đun mật mã

b) Bản mã hoặc các dữ liệu đã ký mà phải được giải mã hoặc xác minh bởi mô-đun mật mã

c) Bản rõ hoặc các khoá mật mã và dữ liệu quản lý khóa khác được nhập vào và sử dụng bởi mô-đun mật mã gồm dữ liệu và vectơ khởi tạo, chia nhỏ thông tin khoá và/hoặc thông tin thống kê của khóa. (Các yêu cầu quản lý khóa khác được nêu trong 7.9 của TCVN 11295:2016).

d) Bản rõ hoặc dữ liệu xác thực được mã hóa là đầu vào của mô-đun mật mã gồm mật khẩu, mã PIN và/hoặc thông tin sinh trắc học.

e) Thông tin trạng thái từ các nguồn bên ngoài (ví dụ: một mô-đun hoặc thiết bị mật mã khác)

f) Mọi thông tin khác được nhập vào mô-đun mật mã để xử lý hoặc lưu trữ, ngoại trừ thông tin điều khiển được bảo lưu riêng trong AS03.08.

TE03.05.02: Kiểm thử viên phải xác minh xem tài liệu của nhà cung cấp có nêu rõ mọi thiết bị đầu vào bên ngoài được sử dụng với mô-đun mật mã để nhập dữ liệu vào giao diện dữ liệu đầu vào, chẳng hạn như thẻ thông minh, thẻ, bàn phím, bộ nạp phím và/hoặc thiết bị sinh trắc học. Kiểm thử viên phải nhập dữ liệu vào giao diện dữ liệu đầu vào bằng cách dùng thiết bị đầu vào bên ngoài đã được quy định và kiểm tra xem dữ liệu nhập vào của thiết bị bên ngoài có các chức năng như đã quy định rõ hay không.

Giao diện đầu ra dữ liệu

AS03.06: (Giao diện đầu ra dữ liệu - Mức 1, 2, 3, và 4)

...

...

...

Thông tin cần thiết từ nhà cung cấp

VE03.06.01: Mô-đun mật mã phải có một giao diện đầu ra dữ liệu. Tất cả dữ liệu (trừ dữ liệu trạng thái xuất ra thông qua giao diện đầu ra trạng thái và dữ liệu điều khiển xuất ra thông qua giao diện đầu ra điều khiển) được xử lý và xuất ra bởi mô-đun mật mã phải xuất ra thông qua giao diện đầu ra dữ liệu, bao gồm:

a) Bản rõ

b) Bản mã và chữ ký số

c) Khóa mật mã và dữ liệu quản lý khóa khác (bản rõ hoặc bản mã)

d) Mọi thông tin khác được xuất ra từ mô-đun mã hóa sau khi xử lý hoặc lưu trữ, ngoại trừ thông tin trạng thái được quy định riêng biệt trong AS03.11 và thông tin điều khiển được quy định riêng biệt trong AS03.09 và AS03.10 của 6.3.3

VE03.06.02: Tài liệu của nhà cung cấp phải quy định rõ cho mọi thiết bị đầu ra ngoài được sử dụng với mô-đun mật mã để cho ra dữ liệu từ giao diện đầu ra dữ liệu, chẳng hạn như thẻ thông minh, thẻ, màn hình và/hoặc các thiết bị lưu trữ khác.

Các thủ tục kiểm thử cần thiết

TE03.06.01: Kiểm thử viên phải xác minh bằng cách kiểm tra xem mô-đun mật mã gồm có một giao diện đầu ra dữ liệu và giao diện đầu ra dữ liệu này hoạt động theo quy định. Kiểm thử viên phải xác minh rằng tất cả dữ liệu (ngoại trừ dữ liệu trạng thái xuất ra thông qua giao diện đầu ra trạng thái và dữ liệu điều khiển xuất ra thông qua giao diện đầu ra điều khiển) đã được xử lý và xuất bởi mô-đun mật mã xuất ra thông qua giao diện đầu ra dữ liệu, bao gồm:

...

...

...

b) Bản mã đã được mã hóa và chữ ký số đã được tạo ra bởi mô-đun mật mã

c) Bản rõ hoặc các khoá mật mã và các dữ liệu quản lý khóa khác đã được tạo ra và xuất ra từ mô- đun, bao gồm dữ liệu khởi tạo và vectơ, thông tin khóa chia nhỏ và/hoặc thông tin thống kê của khóa (các yêu cầu quản lý khóa khác được quy định trong 7.9 của TCVN 11295:2016)

d) Mọi thông tin khác được xuất ra từ mô-đun mã hóa sau khi xử lý hoặc lưu trữ, ngoại trừ thông tin trạng thái được quy định riêng biệt trong AS03.11 của 6.3.3 và thông tin điều khiển được quy định riêng biệt trong AS03.09 và AS03.10 của 6.3.3.

TE03.06.02: Kiểm thử viên phải xác minh xem tài liệu của nhà cung cấp có nêu rõ mọi thiết bị đầu ra bên ngoài dùng với mô-đun mật mã để lấy dữ liệu đầu ra từ giao diện đầu ra dữ liệu, chẳng hạn như thẻ thông minh, thẻ, hiển thị và/hoặc các thiết bị lưu trữ khác. Kiểm thử viên phải lấy dữ liệu từ giao diện đầu ra dữ liệu bằng cách sử dụng các thiết bị đầu ra ngoài đã được quy định và xác minh rằng dữ liệu đầu ra của thiết bị đầu ra bên ngoài có chức năng như đã quy định.

AS03.07: (Giao diện đầu ra dữ liệu - Mức 1, 2, 3, và 4)

Tất cả dữ liệu xuất ra qua giao diện "đầu ra dữ liệu" phải bị khóa khi thực hiện nhập thủ công, tự kiểm tra tiền hoạt động, nạp phần mềm/phần sụn và xóa trắng; Hoặc khi mô-đun mật mã đang ở trong trạng thái lỗi.

Thông tin cần thiết từ nhà cung cấp

VE03.07.01: Tài liệu của nhà cung cấp phải quy định rõ cách mô-đun mật mã khóa dữ liệu đầu ra trong khi thực hiện nhập thủ công, tự kiểm tra trước khi vận hành, nạp phần mềm hoặc nhúng phần mềm và xóa trắng; Hoặc khi mô-đun mật mã đang ở trong trạng thái lỗi.

VE03.07.02: Tài liệu của nhà cung cấp phải quy định rõ cách thiết kế mô-đun mật mã đảm bảo rằng tất cả dữ liệu xuất ra qua giao diện đầu ra dữ liệu bị khóa trong khi thực hiện nhập thủ công, tự kiểm tra tiền hoạt động, nạp phần mềm/phần sụn và xóa trắng; Hoặc khi mô-đun mật mã đang ở trong trạng thái lỗi.

...

...

...

TE03.07.01: Kiểm thử viên phải xác minh rằng tài liệu của nhà cung cấp quy định rõ tất cả dữ liệu xuất ra thông qua giao diện đầu ra dữ liệu phải đều bị khóa.

a) Bất cứ khi nào mô-đun mật mã thực hiện:

1) Nhập thủ công,

2) Tự kiểm tra tiền hoạt động,

3) Nạp phần mềm/phần sụn,

4) Xóa trắng;

b) Hoặc khi mô-đun mật mã ở trạng thái lỗi

Thủ tục kiểm thử này có thể được điều chỉnh lại như sau:

a) Kiểm thử viên phải xác minh từ tài liệu của nhà cung cấp rằng mỗi khi các dịch vụ sau được khởi động thì tất cả dữ liệu xuất ra thông qua giao diện đầu ra dữ liệu bị khóa cho đến khi dịch vụ hoàn thành:

...

...

...

2) Tự kiểm tra tiền hoạt động,

3) Nạp phần mềm/phần sụn,

4) Xóa trắng;

b) Kiểm thử viên phải xác minh từ tài liệu của nhà cung cấp rằng mỗi khi một điều kiện bị lỗi được phát hiện và chuyển sang trạng thái lỗi, thì tất cả dữ liệu xuất ra thông qua giao diện đầu ra dữ liệu đều bị khóa, cho đến khi lỗi được phục hồi.

TE03.07.02: Kiểm thử viên phải tạo ra mô-đun mật mã để nhập từng trạng thái sau:

a) Trạng thái thực hiện nhập SSP thủ công,

b) Trạng thái tự kiểm tra thực hiện tự kiểm tra tiền hoạt động,

c) Trạng thái nạp phần mềm/phần sụn,

d) Trạng thái xóa trắng,

...

...

...

Và xác minh rằng tất cả dữ liệu ra thông qua giao diện đầu ra dữ liệu đều bị khóa.

Nếu kiểm thử viên không thể gọi được ra lỗi thì nhà cung cấp phải cung cấp cho kiểm thử viên lý do tại sao không thể thực hiện kiểm tra này. Trong trường hợp này, kiểm thử viên phải làm theo các thủ tục thay thế được cho phép bởi tổ chức kiểm tra có thẩm quyền, để đảm bảo rằng tất cả dữ liệu xuất ra thông qua giao diện đầu ra dữ liệu đều bị khóa.

Ví dụ: Kiểm tra mã nguồn được sử dụng.

TE03.07.03: Kiểm thử viên phải xác minh rằng tài liệu của nhà cung cấp quy định rõ tất cả dữ liệu xuất ra thông qua giao diện đầu ra dữ liệu bị khóa bất cứ khi nào mô-đun mật mã đang ở trong điều kiện tự kiểm tra. Kiểm thử viên phải xác minh từ tài liệu của nhà cung cấp rằng khi thực hiện tự kiểm tra, tất cả dữ liệu xuất ra thông qua giao diện đầu ra dữ liệu bị khóa cho đến khi hoàn thành tự kiểm tra. Thông tin trạng thái để hiển thị kết quả tự kiểm tra có thể được cho phép từ giao diện đầu ra trạng thái. Kiểm thử viên cũng phải xác minh rằng các điều kiện tự kiểm tra được quy định để đáp lại sự khẳng định này giống hệt với các phép tự kiểm tra được quy định rõ trong AS10.14.

TE03.07.04: Kiểm thử viên phải điều khiển cho mô-đun để thực hiện tự kiểm tra và xác minh rằng tất cả dữ liệu xuất ra thông qua giao diện đầu ra dữ liệu đều bị khóa. Nếu thông tin trạng thái được xuất ra từ giao diện đầu ra trạng thái cho biết kết quả của các phép tự kiểm tra, kiểm thử viên phải xác minh rằng không có CSP, bản rõ, hoặc các thông tin khác được đưa ra mà nếu sử dụng sai có thể dẫn đến sai sót. Nếu kiểm thử viên không thể xuất dữ liệu trong suốt trạng thái tự kiểm tra cụ thể thì nhà cung cấp phải cung cấp cho kiểm thử viên lý do tại sao không thể thực hiện kiểm tra này. Trong trường hợp này, kiểm thử viên phải làm theo các thủ tục thay thế được cho phép bởi tổ chức chịu trách nhiệm, để đảm bảo rằng tất cả dữ liệu xuất ra thông qua giao diện đầu ra dữ liệu bị khóa.

Ví dụ 1: Kiểm tra mã nguồn được sử dụng

Ví dụ 2: Sử dụng trình mô phỏng

Ví dụ 3: Sử dụng trình sửa lỗi

TE03.07.05: Kiểm thử viên phải xác minh rằng tài liệu của nhà cung cấp quy định mô-đun mật mã đảm bảo rằng tất cả dữ liệu xuất ra thông qua giao diện đầu ra dữ liệu phải bị khóa trong các trạng thái lỗi hoặc điều kiện tự kiểm tra. Kiểm thử viên cũng phải kiểm tra thiết kế của mô-đun mật mã để đảm bảo rằng giao diện đầu ra dữ liệu trên thực tế bị khoá về mặt logic hoặc vật lý trong những điều kiện này.

...

...

...

AS03.08: (Giao diện đầu vào điều khiển - Mức 1, 2, 3, và 4)

Tất cả lệnh, tín hiệu (ví dụ đầu vào đồng hồ) và dữ liệu điều khiển đầu vào (bao gồm cả các gọi hàm chức năng và điều khiển thủ công như công tắc, nút bấm và bàn phím) được sử dụng để điều khiển hoạt động của một mô-đun mật mã phải được nhập thông qua giao diện "đầu vào điều khiển".

Thông tin cần thiết từ nhà cung cấp

VE03.08.01: Mô-đun mật mã phải có giao diện đầu vào điều khiển. Tất cả lệnh, tín hiệu và dữ liệu điều khiển (trừ dữ liệu được nhập thông qua giao diện đầu vào dữ liệu) được sử dụng để điều khiển hoạt động của mô-đun mật mã phải được nhập thông qua giao diện đầu vào điều khiển, bao gồm:

a) Các lệnh nhập logic thông qua một API (ví dụ: cho các thành phần phần mềm và phần sụn của mô-đun mật mã)

b) Tín hiệu nhập logic hoặc vật lý thông qua một hoặc nhiều cổng vật lý (ví dụ: cho các thành phần phần cứng của mô-đun mật mã)

c) Các đầu vào điều khiển thủ công (ví dụ: sử dụng công tắc, nút bấm hoặc bàn phím)

d) Mọi dữ liệu điều khiển đầu vào khác

VE03.08.02: Nếu có thể, tài liệu của nhà cung cấp phải quy định rõ mọi thiết bị đầu vào bên ngoài làm việc với mô-đun mật mã để nhập lệnh, tín hiệu và dữ liệu điều khiển vào giao diện đầu vào điều khiển, chẳng hạn như thẻ thông minh, thẻ hoặc bàn phím.

...

...

...

TE03.08.01: Kiểm thử viên phải xác minh bằng cách kiểm tra xem mô-đun mật mã bao gồm một giao diện đầu vào điều khiển và giao diện đầu vào điều khiển đó có hoạt động theo quy định hay không. Kiểm thử viên phải xác minh xem tất cả lệnh, tín hiệu và dữ liệu điều khiển (trừ dữ liệu được nhập thông qua giao diện đầu vào dữ liệu) được sử dụng để điều khiển hoạt động của mô-đun mật mã phải nhập thông qua giao diện đầu vào điều khiển, bao gồm:

a) Các lệnh nhập logic thông qua một API, chẳng hạn như gọi hàm trong thư viện phần mềm hoặc trong thẻ thông minh

b) Tín hiệu đầu vào logic hoặc vật lý thông qua một hoặc nhiều cổng vật lý, chẳng hạn như các lệnh và tín hiệu được gửi qua cổng nối tiếp hoặc thẻ PC

c) Đầu vào điều khiển thủ công (ví dụ: sử dụng công tắc, nút bấm hoặc bàn phím)

d) Mọi dữ liệu điều khiển đầu vào khác

TE03.08.02: Kiểm thử viên phải xác minh xem tài liệu của nhà cung cấp có quy định rõ mọi thiết bị đầu vào bên ngoài làm việc với mô-đun mật mã để nhập lệnh, tín hiệu và dữ liệu điều khiển vào giao diện đầu vào điều khiển, chẳng hạn như thẻ thông minh, thẻ hoặc bàn phím. Kiểm thử viên phải nhập các lệnh thông qua giao diện đầu vào điều khiển bằng thiết bị đầu vào bên ngoài quy định và kiểm tra xem các lệnh nhập này với thiết bị đầu vào bên ngoài có hoạt động đúng theo quy định không.

Giao diện đầu ra điều khiển

AS03.09: (Giao diện đầu ra điều khiển - Mức 1, 2, 3, và 4)

Tất cả lệnh, tín hiệu và dữ liệu điều khiển đầu ra (ví dụ lệnh điều khiển cho mô-đun khác) được sử dụng để điều khiển hoặc quy định rõ trạng thái hoạt động của mô-đun mật mã thông qua giao diện "đầu ra điều khiển".

...

...

...

VE03.09.01: Tài liệu của nhà cung cấp phải quy định rõ tất cả lệnh, tín hiệu và dữ liệu điều khiển đầu ra (ví dụ lệnh điều khiển tới mô-đun khác) được sử dụng để điều khiển hoặc quy định rõ trạng thái hoạt động của một mô-đun mật mã phải đi ra thông qua giao diện đầu ra điều khiển

Các thủ tục kiểm thử cần thiết

TE03.09.01: Kiểm thử viên phải xác minh rằng tài liệu của nhà cung cấp phải quy định rõ tất cả lệnh, tín hiệu và dữ liệu điều khiển đầu ra (ví dụ lệnh điều khiển tới mô-đun khác) dùng để điều khiển hoặc quy định rõ trạng thái hoạt động của một mô-đun mật mã phải thoát ra thông qua giao diện đầu ra điều khiển

TE03.09.02: Nếu giao diện đầu ra điều khiển được quy định rõ, kiểm thử viên phải xác minh xem giao diện đầu ra điều khiển hoạt động theo quy định hay không.

AS03.10: (Giao diện đầu ra điều khiển - Mức 1, 2, 3, và 4)

Tất cả đầu ra điều khiển thông qua giao diện "đầu ra điều khiển" phải được khóa khi mô-đun mật mã ở trong trạng thái lỗi, trừ các ngoại lệ được quy định và ghi trong chính sách an toàn.

Thông tin cần thiết từ nhà cung cấp

VE03.10.01: Tài liệu của nhà cung cấp phải quy định mô-đun mật mã đảm bảo rằng tất cả đầu ra điều khiển thông qua giao diện đầu ra điều khiển bị khóa bất cứ khi nào mô-đun đang ở trạng thái lỗi (trạng thái lỗi được nêu trong 7.11 của TCVN 11295:2016). Thông tin trạng thái có thể được lấy từ giao diện đầu ra trạng thái để xác định loại lỗi.

VE03.10.02: Tài liệu của nhà cung cấp phải quy định rõ cách thiết kế mô-đun mật mã đảm bảo rằng tất cả đầu ra điều khiển thông qua giao diện đầu ra điều khiển đều bị khóa bất cứ khi nào mô-đun đang ở trong điều kiện tự kiểm tra (tự kiểm tra được trình bày trong 7.10 của TCVN 11295:2016). Thông tin trạng thái để hiển thị kết quả tự kiểm tra có thể được lấy từ giao diện đầu ra trạng thái.

...

...

...

TE03.10.01: Kiểm thử viên phải xác minh tài liệu của nhà cung cấp quy định rằng tất cả đầu ra điều khiển thông qua giao diện đầu ra điều khiển bị khóa bất cứ khi nào mô-đun mật mã đang ở trạng thái lỗi. Kiểm thử viên phải xác minh từ tài liệu của nhà cung cấp rằng khi phát hiện tình trạng lỗi và nhập trạng thái lỗi, tất cả đầu ra điều khiển qua giao diện đầu ra điều khiển phải bị khóa cho đến khi phục hồi được lỗi. Kiểm thử viên cũng phải xác minh rằng các trạng thái lỗi được quy định rõ trong khẳng định này giống hệt với các trạng thái lỗi quy định trong AS11.08.

TE03.10.02: Kiểm thử viên phải tạo ra mô-đun mã hóa để nhập mỗi trạng thái lỗi quy định và xác minh rằng tất cả đầu ra điều khiển thông qua giao diện đầu ra điều khiển bị khóa. Nếu thông tin trạng thái được xuất ra từ giao diện đầu ra trạng thái để xác định loại lỗi, Kiểm thử viên phải xác minh rằng đầu ra thông tin không nhạy cảm. Các hoạt động sau đây có thể được sử dụng để làm cho mô-đun mật mã chuyển sang trạng thái lỗi như mở nắp, tháo vỏ, cửa ra vào, nhập các lệnh, phím, hoặc thông số không chính xác, giảm điện áp đầu vào và/hoặc các hành động gây lỗi khác.

Nếu không thể cho kiểm thử viên gây ra lỗi thì nhà cung cấp phải cung cấp cho kiểm thử viên lý do tại sao không thể thực hiện kiểm tra này.

TE03.10.03: Kiểm thử viên phải xác minh tài liệu của nhà cung cấp quy định rõ tất cả đầu ra điều khiển thông qua giao diện đầu ra điều khiển bị khóa bất cứ khi nào mô-đun mật mã đang ở trong điều kiện tự kiểm tra. Kiểm thử viên phải xác minh từ tài liệu của nhà cung cấp rằng khi thực hiện tự kiểm tra, tất cả đầu ra điều khiển thông qua giao diện đầu ra điều khiển phải bị khóa cho đến khi việc tự kiểm tra hoàn tất. Kiểm thử viên cũng phải xác minh rằng các điều kiện tự kiểm tra được quy định để đáp ứng với sự khẳng định này giống hệt với các phép tự kiểm tra được quy định rõ trong AS10.14.

TE03.10.04: Kiểm thử viên phải làm cho mô-đun thực hiện tự kiểm tra và xác minh rằng tất cả đầu ra điều khiển thông qua giao diện đầu ra điều khiển bị khóa.

TE03.10.05: Kiểm thử viên phải xác minh rằng tài liệu của nhà cung cấp quy định mô-đun mật mã đảm bảo rằng tất cả đầu ra điều khiển thông qua giao diện đầu ra điều khiển phải được khóa trong các trạng thái lỗi hoặc điều kiện tự kiểm tra. Kiểm thử viên cũng phải xác minh bằng cách kiểm tra việc thực hiện mô-đun mã hóa thì giao diện đầu ra điều khiển trên thực tế bị khóa về mặt logic hoặc vật lý trong những điều kiện này hay không.

Giao diện đầu ra trạng thái

AS03.11: (Giao diện đầu ra trạng thái - Mức 1, 2, 3, và 4)

Tất cả tín hiệu, chỉ số (ví dụ như chỉ số báo lỗi), và dữ liệu trạng thái đầu ra [bao gồm mã trả lại và các chỉ số vật lý như hình ảnh (hiển thị, đèn báo), âm thanh (còi, tiếng, chuông) và cơ (rung động) được sử dụng để xác định trạng thái của một mô-đun mật mã phải thoát ra thông qua giao diện "đầu ra trạng thái".

...

...

...

Thông tin cần thiết từ nhà cung cấp

VE03.11.01: Mô-đun mật mã phải có giao diện đầu ra trạng thái. Tất cả thông tin trạng thái, tín hiệu, các chỉ thị logic và vật lý được sử dụng để biểu thị hoặc hiển thị trạng thái của mô-đun phải thoát ra thông qua giao diện đầu ra trạng thái, bao gồm:

a) Thông tin trạng thái xuất logic thông qua một API

b) Tín hiệu đầu ra logic hoặc vật lý thông qua một hoặc nhiều cổng vật lý

c) Các đầu ra trạng thái thủ công (ví dụ: sử dụng màn hình, bộ chỉ thị, đèn, còi, tiếng hoặc chuông)

d) Mọi thông tin trạng thái đầu ra khác

VEQ3.11.02: Nếu có thể, tài liệu của nhà cung cấp phải quy định rõ mọi thiết bị đầu ra bên ngoài làm việc với mô-đun mật mã để cho ra thông tin trạng thái, tín hiệu, chỉ thị logic vật lý thông qua giao diện đầu ra trạng thái như thẻ thông minh, thẻ, màn hình và/hoặc các thiết bị lưu trữ khác.

Các thủ tục kiểm thử cần thiết

TE03.11.01: Kiểm thử viên phải kiểm tra xem mô-đun mật mã gồm một giao diện đầu ra trạng thái và giao diện đầu ra trạng thái đó hoạt động theo quy định hay không. Kiểm thử viên phải xác minh rằng tất cả thông tin trạng thái, tín hiệu, chỉ thị logic và vật lý được sử dụng để biểu thị hoặc hiển thị trạng thái của mô-đun phải đi ra thông qua giao diện đầu ra trạng thái, bao gồm:

...

...

...

b) Tín hiệu đầu ra logic hoặc vật lý thông qua một hoặc nhiều cổng vật lý, chẳng hạn như trạng thái thông tin được gửi qua cổng nối tiếp hoặc đầu nối thẻ máy tính

c) Các đầu ra trạng thái thủ công (ví dụ: sử dụng đèn LED, còi hoặc màn hình)

d) Mọi thông tin trạng thái đầu ra khác

TE03.11.02: Kiểm thử viên phải xác minh rằng tài liệu của nhà cung cấp quy định rõ mọi thiết bị đầu ra bên ngoài (nếu có) được sử dụng với mô-đun mật mã để lấy thông tin trạng thái, tín hiệu, chỉ thị logic và vật lý thông qua giao diện đầu ra trạng thái.

TE03.11.03: Kiểm thử viên phải xác minh rằng thông tin trạng thái lấy ra từ giao diện đầu ra trạng thái không được xuất ra bất kỳ thông tin nào có thể gây ra lỗi tới CSP.

AS03.12: (Các giao diện của mô-đun - Mức 1,2, 3, và 4)

Ngoại trừ các mô-đun mật mã phần mềm, tất cả mô-đun phải có giao diện như sau:

CHÚ THÍCH Khẳng định này không được kiểm tra riêng biệt

AS03.13: (Các giao diện của mô-đun - Mức 1, 2, 3, và 4)

...

...

...

CHÚ THÍCH Giao diện điện không cần thiết nếu tất cả nguồn điện được cung cấp hoặc bảo dưỡng nội bộ mô-đun và việc thay thế pin nội bộ được coi là hoạt động bảo dưỡng vật lý và phải tuân thủ các yêu cầu quy định trong 7.7 của TCVN 11295:2016.

Thông tin cần thiết từ nhà cung cấp

VE03.13.01: Nếu mô-đun mật mã yêu cầu hoặc cung cấp điện đến/từ các thiết bị khác bên ngoài (ví dụ: nguồn điện hoặc pin bên ngoài), tài liệu của nhà cung cấp phải quy định rõ một giao diện điện và một cổng vật lý tương ứng.

VE03.13.02: Tất cả nguồn điện vào hoặc ra khỏi mô-đun mật mã đến/từ các thiết bị khác bên ngoài phải được truyền qua giao diện điện quy định.

Các thủ tục kiểm thử cần thiết

TE03.13.01: Kiểm thử viên phải xác minh xem tài liệu của nhà cung cấp có quy định liệu mô-đun mật mã có yêu cầu hay cung cấp điện đến/từ các thiết bị khác ngoài ranh giới mật mã (ví dụ: nguồn điện, dây nguồn, nguồn/đầu ra điện hoặc pin bên ngoài). Kiểm thử viên cũng phải xác minh rằng tài liệu của nhà cung cấp có quy định rõ một giao diện điện và một cổng vật lý tương ứng không.

TE03.13.02: Kiểm thử viên phải xác minh mô-đun mật mã xem tất cả nguồn vào hoặc ra khỏi mô-đun đến/từ các thiết bị khác bên ngoài ranh giới mật mã đều đi qua giao diện điện quy định hay không.

AS03.14: (Các giao diện của mô-đun - Mức 1, 2, 3, và 4)

Mô-đun mật mã phải phân biệt giữa dữ liệu, thông tin điều khiển và công suất cho nguồn đầu vào với dữ liệu, thông tin điều khiển, thông tin trạng thái, và công suất cho nguồn đầu ra.

...

...

...

VE03.14.01: Tài liệu của nhà cung cấp phải quy định rõ mô-đun mật mã phân biệt giữa dữ liệu và điều khiển đầu vào với dữ liệu, điều khiển và trạng thái cho đầu ra và cách đường đi vật lý, logic của dữ liệu đầu vào và thông tin điều khiển đi vào mô-đun thông qua các giao diện logic, vật lý đầu vào khi ngắt kết nối khỏi các đường dẫn vật lý, logic của dữ liệu đầu ra, thông tin điều khiển và trạng thái đi ra khỏi mô-đun thông qua các giao diện đầu ra được sử dụng.

VE03.14.02: Tài liệu của nhà cung cấp phải quy định rõ cách các đường đi vật lý và logic được sử dụng bởi dữ liệu đầu vào và thông tin điều khiển khi ngắt kết nối khỏi các đường dẫn vật lý, logic được sử dụng bởi dữ liệu đầu ra, thông tin điều khiển và trạng thái. Nếu các đường dẫn vật lý và logic được sử dụng bởi dữ liệu đầu vào, thông tin điều khiển và dữ liệu đầu ra được chia sẻ thì tài liệu của nhà cung cấp phải quy định rõ cách thức tách biệt hợp lý mà mô-đun mật mã phải thực thi.

VE03.14.03: Tài liệu của nhà cung cấp phải thể hiện sự nhất quán và phải quy định rõ mô-đun mật mã phân biệt giữa dữ liệu và điều khiển cho đầu vào với dữ liệu, điều khiển và trạng thái cho đầu ra, các đường dẫn vật lý và logic của dữ liệu đầu vào, thông tin điều khiển đi vào mô-đun thông qua các giao diện đầu vào được sử dụng khi ngắt kết nối logic hoặc vật lý từ các đường dẫn vật lý, logic của dữ liệu đầu ra, thông tin điều khiển và trạng thái đi ra khỏi mô-đun thông qua các giao diện đầu ra tương ứng.

Các thủ tục kiểm thử cần thiết

TE03.14.01: Kiểm thử viên phải xác minh rằng tài liệu của nhà cung cấp phải quy định cách mô-đun mật mã phân biệt giữa dữ liệu và điều khiển cho đầu vào với dữ liệu, điều khiển và trạng thái cho đầu ra. Dữ liệu nhập vào từ giao diện đầu vào dữ liệu và thông tin điều khiển được nhập từ giao diện đầu vào điều khiển phải được phân biệt logic hoặc vật lý với dữ liệu đầu ra đi ra khỏi giao diện dữ liệu đầu ra, điều khiển đầu ra xuất ra từ giao diện điều khiển đầu ra và thông tin trạng thái xuất ra từ giao diện đầu ra trạng thái.

TE03.14.02: Kiểm thử viên phải xác minh rằng các tài liệu cung cấp có quy định rõ cách các đường dẫn vật lý và logic được sử dụng bởi dữ liệu đầu vào và thông tin điều khiển khi ngắt kết nối vật lý hoặc logic khỏi các đường dẫn vật lý và logic được sử dụng bởi dữ liệu ra, thông tin điều khiển và trạng thái. Nếu các đường dẫn vật lý và logic được sử dụng bởi dữ liệu đầu vào và thông tin điều khiển cũng như dữ liệu đầu ra, thông tin điều khiển và trạng thái được chia sẻ về mặt vật lý thì kiểm thử viên phải xác minh rằng tài liệu của nhà cung cấp quy định rõ cách thức phân chia hợp lý mà mô-đun mật mã phải thực thi.

TE03.14.03: Kiểm thử viên phải xác minh tính nhất quán trong tài liệu của nhà cung cấp và mô-đun mật mã phân biệt giữa dữ liệu và điều khiển cho đầu vào với dữ liệu, điều khiển và trạng thái cho đầu ra và các đường dẫn vật lý và logic cho dữ liệu đầu vào và thông tin điều khiển nhập vào mô-đun thông qua các giao diện đầu vào tương ứng khi bị ngắt kết nối vật lý hoặc logic khỏi các đường dẫn vật lý và logic cho dữ liệu đầu ra, thông tin điều khiển và trạng thái thoát khỏi mô-đun thông qua các giao diện đầu ra tương ứng.

AS03.15: (Các giao diện của mô-đun - Mức 1, 2, 3, và 4)

Đặc tả mô-đun mật mã phải quy định rõ ràng định dạng dữ liệu đầu vào và thông tin điều khiển, bao gồm cả hạn chế độ dài đối với tất cả đầu vào có độ dài biến thiên.

...

...

...

VE03.15.01. Tài liệu của nhà cung cấp phải quy định rõ các đường dẫn vật lý và logic được sử dụng bởi tất cả loại dữ liệu đầu vào cơ bản được nhập vào mô-đun mật mã thông qua giao diện đầu vào dữ liệu và các cổng vật lý tương ứng. Tài liệu này phải bao gồm một đặc tả của các đường dẫn thích hợp (ví dụ các bản sao được đánh dấu hoặc Chú thích của sơ đồ, sơ đồ khối, hoặc các thông tin khác được cung cấp trong AS02.07 và AS02.15 đến AS02.18). Tất cả dữ liệu đầu vào nhập vào mô-đun mật mã thông qua giao diện đầu vào dữ liệu chỉ sử dụng các đường dẫn được quy định rõ trong khi đang được xử lý hoặc lưu trữ bởi từng phân đoạn vật lý hoặc logic của mô-đun. Các đường dẫn dữ liệu đầu vào phải được quy định rõ chi tiết đầy đủ để xác minh loại dữ liệu nào đi qua từng cổng vật lý tương ứng.

CHÚ THÍCH Thuật ngữ "tất cả loại dữ liệu đầu vào cơ bản" đề cập đến các mục được quy định rõ trong AS03.05 đối với đầu vào dữ liệu và các mục được đề cập trong AS03.08 đối với đầu vào điều khiển.

VE03.15.02: Tài liệu của nhà cung cấp phải quy định rõ rằng tất cả dữ liệu đầu vào nhập vào mô-đun mật mã thông qua giao diện đầu vào dữ liệu và các cổng vật lý tương ứng chỉ sử dụng các đường dẫn được quy định rõ. Tài liệu phải quy định rõ tất cả luồng thông tin vật lý và logic được dữ liệu đầu vào sử dụng đều tuân theo thiết kế và hoạt động của mô-đun mật mã. Tài liệu của nhà cung cấp phải quy định rằng không có xung đột giữa các đường dẫn được sử dụng dẫn đến lỗi của CSP, bản rõ hoặc các thông tin khác của mô-đun mật mã.

VE03.15.03: Tài liệu của nhà cung cấp phải quy định rõ ràng định dạng của dữ liệu đầu vào và thông tin điều khiển bao gồm cả hạn chế độ dài cho tất cả đầu vào có độ dài biến thiên.

VE03.15.04: Tài liệu của nhà cung cấp phải quy định thành phần nào trong ranh giới mật mã kiểm tra định dạng.

Các thủ tục kiểm thử cần thiết

TE03.15.01: Kiểm thử viên phải xác minh rằng tài liệu của nhà cung cấp quy định các đường dẫn vật lý và logic được sử dụng bởi tất cả loại dữ liệu đầu vào cơ bản được nhập vào mô-đun mật mã thông qua giao diện đầu vào dữ liệu. Kiểm thử viên cũng phải xác minh rằng các đường dẫn phải được ghi lại trong đặc tả kỹ thuật (ví dụ: bằng các bản sao được đánh dấu hoặc Chú thích của sơ đồ, sơ đồ khối, hoặc các thông tin khác được cung cấp trong AS02.07 và AS02.15 đến AS02.18). Kiểm thử viên phải xác minh tài liệu mà loại dữ liệu nào đi qua từng cổng vật lý tương ứng.

TE03.15.02: Kiểm thử viên phải xác minh từ tài liệu của nhà cung cấp và bằng cách kiểm tra mô-đun mật mã rằng tất cả dữ liệu nhập vào mô-đun thông qua giao diện đầu vào dữ liệu và các cổng vật lý tương ứng chỉ sử dụng các đường dẫn được quy định rõ. Kiểm thử viên phải kiểm tra tất cả luồng thông tin hợp lý và vật lý và phải xác minh rằng các đặc tả của các đường dẫn được sử dụng bởi dữ liệu đầu vào tuân theo thiết kế và hoạt động của mô-đun mật mã. Kiểm thử viên phải xác minh rằng không có xung đột giữa các đường dẫn được sử dụng có thể dẫn đến lỗi của CSP, bản rõ hoặc các thông tin khác.

TE03.15.03: Kiểm thử viên phải xác minh tài liệu của nhà cung cấp phải có định dạng rõ ràng cho tất cả dữ liệu đầu vào và thông tin điều khiển, bao gồm cả các hạn chế về độ dài cho mọi đầu vào có độ dài biến thiên.

...

...

...

TE03.15.05: Kiểm thử viên phải kiểm tra mã nguồn được sử dụng để đảm bảo rằng thành phần được quy định có thực sự kiểm tra định dạng hay không.

TE03.15.06: Kiểm thử viên phải cố gắng nhập dữ liệu và/hoặc thông tin điều khiển không tương thích với định dạng và xác minh rằng các đầu vào dịch vụ đó có bị mô-đun mật mã loại bỏ hay không.

CHÚ THÍCH Các nền tảng kiểm tra hoặc cấu hình có thể áp đặt một phần của định dạng/hạn chế.

Ví dụ 1: Một trình điều khiển thiết bị để sử dụng mô-đun mật mã là thực thi một phần của định dạng.

Ví dụ 2: Một lớp trong ngăn xếp giao thức chỉ hỗ trợ gói tin có độ dài cố định.

Nếu không thể cho kiểm thử viên nhập dữ liệu hoặc thông tin điều khiển cố định không tuân theo định dạng thì kiểm thử viên phải yêu cầu nhà cung cấp cung cấp lý do tại sao không thể thực hiện kiểm tra này. Trong trường hợp đó, kiểm thử viên phải làm theo các thủ tục thay thế được cho phép bởi tổ chức chịu trách nhiệm để đảm bảo rằng mô-đun mật mã có kiểm tra định dạng.

6.3.4  Kênh tin cậy

AS03.16: (Kênh tin cậy - Mức 3, và 4)

Đối với việc truyền tải các CSP dạng rõ không được bảo vệ, các thành phần khóa và dữ liệu xác thực giữa mô-đun mật mã và bên gửi hoặc bên nhận đầu cuối của mô-đun mật mã phải được thực hiện trên một kênh tin cậy.

...

...

...

VE03.16.01: Nhà cung cấp phải mô tả phương pháp truyền tải các CSP không được bảo vệ và cách thức chúng được bảo vệ thông qua một kênh tin cậy.

Các thủ tục kiểm thử cần thiết

TE03.16.01: Kiểm thử viên phải xác minh rằng kênh tin cậy có thể bảo vệ các CSP không được bảo vệ giữa ranh giới của mô-đun mật mã và bên gửi hoặc bên nhận đầu cuối.

AS03.17: (Kênh tin cậy - Mức 3, và 4)

Kênh tin cậy phải ngăn chặn sửa đổi, thay thế và tiết lộ trái phép trên kênh truyền.

CHÚ THÍCH Sự khẳng định này không phải là kiểm tra riêng biệt. Được kiểm tra như một phần của AS03.18 hoặc AS03.19

AS03.18: (Kênh tin cậy - Mức 3, và 4)

Các cổng vật lý được sử dụng cho kênh tin cậy phải được cách ly về mặt vật lý với tất cả cổng khác {hoặc thỏa mãn AS03.19}.

Thông tin cần thiết từ nhà cung cấp

...

...

...

VE03.18.02: Nếu mô-đun mật mã nhập hoặc xuất ra các CSP dạng rõ, các mô-đun này phải đảm bảo rằng các CSP dạng rõ vào hoặc ra khỏi mô-đun phải đi qua các cổng vật lý thích hợp, và không có dữ liệu, bản rõ hoặc bản mã được nhập vào hoặc thoát khỏi mô-đun thông qua cổng vật lý tương ứng.

Các thủ tục kiểm thử cần thiết

TE03.18.01: Kiểm thử viên phải xác minh xem tài liệu của nhà cung cấp có quy định liệu các mô-đun mật mã nhập vào hoặc xuất ra các CSP dạng rõ. Kiểm thử viên phải xác minh từ tài liệu của nhà cung cấp và kiểm tra các cổng vật lý trên mô-đun mật mã mà các cổng vật lý thích hợp được sử dụng cho đầu vào và đầu ra của CSP dạng rõ được tách biệt về vật lý với tất cả cổng vật lý khác của mô-đun.

TE03.18.02: Nếu mô-đun mật mã nhập vào hoặc xuất ra CSP dạng rõ, kiểm thử viên phải xác minh rằng chỉ các CSP bản rõ vào hoặc ra khỏi mô-đun thông qua các cổng vật lý thích hợp, và không có dữ liệu, bản rõ hoặc bản mã nhập vào hoặc thoát ra qua mô-đun thông qua cổng vật lý tương ứng.

AS03.19: (Kênh tin cậy - Mức 3, và 4)

Các giao diện logic được sử dụng cho kênh tin cậy được tách ra hợp lý khỏi tất cả giao diện khác {hoặc thỏa mãn AS03.18}.

Thông tin cần thiết từ nhà cung cấp

VE03.19.01: Tài liệu của nhà cung cấp phải mô tả các giao diện logic được sử dụng trong kênh tin cậy để nhập và xuất các CSP dạng rõ được tách biệt một cách logic với tất cả giao diện khác như thế nào.

VE03.19.02: Nếu mô-đun mật mã nhập hoặc xuất ra CSP, CES phải đảm bảo rằng các CSP dạng rõ vào hoặc ra khỏi mô-đun thông qua giao diện logic có sử dụng kênh tin cậy và không có dữ liệu, bản rõ hoặc mã hoá nào, nhập hoặc thoát khỏi qua giao diện logic có thể sử dụng kênh tin cậy.

...

...

...

Các thủ tục kiểm thử cần thiết

TE03.19.01: Kiểm thử viên phải xác minh từ tài liệu của nhà cung cấp và bằng cách kiểm tra mô-đun mật mã mà các giao diện logic được sử dụng trong kênh tin cậy để nhập và xuất các bản rõ CSP được tách ra hợp lý khỏi tất cả giao diện logic khác của mô-đun.

TE03.19.02: Nếu mô-đun mật mã nhập hoặc xuất CSP dạng rõ, kiểm thử viên phải xác minh rằng các CSP dạng rõ nhập hoặc thoát khỏi mô-đun thông qua giao diện logic có sử dụng kênh tin cậy không và không có dữ liệu, bản rõ hoặc bản mã nào, nhập hoặc thoát khỏi qua giao diện logic có thể sử dụng kênh tin cậy.

TE03.19.03: Kiểm thử viên phải xác minh tính chính xác của mọi lý do cơ bản được cung cấp bởi nhà cung cấp. Trách nhiệm chứng minh là phía nhà cung cấp; Nếu có bất kỳ sự không chắc chắn hoặc nghi ngờ, kiểm thử viên phải yêu cầu nhà cung cấp cung cấp thêm thông tin khi cần thiết.

TE03.19.04: Kiểm thử viên phải cố gắng truy cập vào đường truyền thông, kiểm tra xem kênh tin cậy có ngăn việc sửa đổi, thay thế và tiết lộ trái phép trên đường truyền hay không.

AS03.20: (Kênh tin cậy - Mức 3, và 4)

Xác thực dựa trên định danh phải được áp dụng cho tất cả dịch vụ sử dụng kênh tin cậy.

Thông tin cần thiết từ nhà cung cấp

VE03.20.01: Nhà cung cấp phải cung cấp mô tả về cơ chế xác thực được sử dụng bởi kênh tin cậy.

...

...

...

TE03.20.01: Kiểm thử viên phải xác minh rằng cơ chế xác thực dựa trên định danh phải được áp dụng cho tất cả dịch vụ sử dụng kênh tin cậy. Kiểm thử viên phải xác minh rằng các dịch vụ sử dụng kênh tin cậy không được cung cấp mà không cần phải thực hiện thành công hoạt động xác thực.

AS03.21: (Kênh tin cậy - Mức 3, và 4)

Chỉ thị trạng thái phải được cung cấp khi kênh tin cậy đang được sử đụng.

Thông tin cần thiết từ nhà cung cấp

VE03.21.01: Nhà cung cấp phải cung cấp mô tả về chỉ thị được cung cấp khi kênh tin cậy đang được sử dụng.

Các thủ tục kiểm thử cần thiết

TE03.21.01: Kiểm thử viên phải xác minh bằng cách sử dụng mô-đun xem bộ chỉ thị trạng thái có được cung cấp không khi kênh tin cậy đang được sử dụng.

AS03.22: (Kênh tin cậy - Mức 3, và 4)

Ngoài các yêu cầu của mức an toàn 3, đối với xác thực dựa trên định danh nhiều yếu tố với mức an toàn 4 phải được áp dụng cho tất cả dịch vụ sử dụng kênh tin cậy.

...

...

...

VE03.22.01: Nhà cung cấp phải cung cấp mô tả cơ chế xác thực dựa trên định danh đa nhân tố được sử dụng bởi kênh tin cậy

Các thủ tục kiểm thử cần thiết

TE03.22.01: Kiểm thử viên phải xác minh xem cơ chế xác thực dựa trên định danh đa nhân tố được áp dụng cho tất cả dịch vụ sử dụng kênh tin cậy. Kiểm thử viên phải xác minh xem rằng các dịch vụ sử dụng kênh tin cậy không được cung cấp phải không thực hiện thành công việc xác thực người vận hành.

6.4  Các vai trò, dịch vụ và xác thực

6.4.1  Các yêu cầu chung đối với vai trò, dịch vụ và xác thực

AS04.01: (Các vai trò, dịch vụ và xác thực - Mức 1, 2, 3 và 4).

Một mô-đun mật mã phải hỗ trợ các vai trò được phân quyền cho những người vận hành và các dịch vụ tương ứng trong mỗi vai trò.

CHÚ THÍCH Khẳng định này được kiểm thử theo AS04.11.

AS04.02: (Các vai trò, dịch vụ và các xác thực - Mức 1, 2, 3, và 4)

...

...

...

Thông tin cần thiết từ nhà cung cấp

VE04.02.01: Tài liệu của nhà cung cấp phải quy định rõ liệu có cho phép nhiều người vận hành đồng thời hay không. Tài liệu của nhà cung cấp phải quy định rõ phương pháp phân tách các vai trò và dịch vụ được phân quyền cho từng người vận hành. Tài liệu của nhà cung cấp cũng phải mô tả những hạn chế đối với vận hành đồng thời.

Ví dụ 1: Không cho phép một người vận hành đồng thời trong vai trò duy trì và vai trò người dùng.

Ví dụ 2: Cùng một lúc cho phép 16 người vận hành trong vai trò người sử dụng, nhưng chỉ có duy nhất một dịch vụ sinh khóa RSA có thể được chạy cùng một lúc trong mô-đun mật mã.

Ví dụ 3: Khi nhiều người vận hành đồng thời trong vai trò của chuyên viên mật mã được đăng nhập, nhưng mỗi chuyên viên không thể thay đổi dữ liệu xác thực của những người vận hành khác trong vai trò chuyên viên mật mã.

Các thủ tục kiểm thử cần thiết

TE04.02.01: Kiểm thử viên phải xác minh tài liệu của nhà cung cấp có miêu tả phương pháp được thực thi bởi mô-đun để phân tách vai trò và dịch vụ cho những người vận hành đồng thời hay không.

TE04.02.02: Kiểm thử viên phải nhận diện hai người vận hành độc lập: người vận hành 1 và người vận hành 2. Những người vận hành phải đảm nhận vai trò khác nhau. Kiểm thử viên phải xác minh rằng chỉ có các dịch vụ được phân bổ cho vai trò nào thì phải thực hiện trong vai trò đó. Kiểm thử viên cũng phải cố gắng để từng người vận hành truy cập vào dịch vụ duy nhất với vai trò đảm nhiệm của người vận hành khác để xác minh sự tách biệt được duy trì giữa các vai trò và dịch vụ cho phép trong những người vận hành đồng thời.

TE04.02.03: Nếu tài liệu của nhà cung cấp phải quy định rõ hạn chế đối với những người vận hành đồng thời, kiểm thử viên phải cố gắng vi phạm các hạn chế đó bằng cách cùng một lúc đồng thời đảm nhiệm vai trò bị hạn chế như là người vận hành độc lập và xác minh rằng các mô-đun thực thi có những hạn chế.

...

...

...

Các yêu cầu tài liệu được quy định rõ tại tiểu mục A.2.4 {TCVN 11295:2016}.

Thông tin cần thiết từ nhà cung cấp

VE04.03.01: Nhà cung cấp phải cung cấp tài liệu như mô tả trong A.2.4 {TCVN 11295:2016}.

Các thủ tục kiểm thử cần thiết

TE04.03.01: Kiểm thử viên phải kiểm tra tài liệu của nhà cung cấp tương ứng với mô tả trong A.2.4 {TCVN 11295:2016}.

6.4.2  Vai trò

AS04.04: (Vai trò - Mức 1, 2, 3, và 4)

Một mô-đun mật mã tối thiểu phải hỗ trợ vai trò của chuyên viên mật mã.

Chú thích Khẳng định này không được kiểm tra riêng biệt. Được kiểm tra như là một phần của AS04.05.

...

...

...

Vai trò của chuyên viên mật mã được cho là đảm nhiệm việc thực hiện các chức năng khởi tạo hoặc quản lý mật mã và các dịch vụ an toàn chung (ví dụ: cài đặt mô-đun, quản lý CSP, PSP và các chức năng kiểm thử).

Thông tin cần thiết từ nhà cung cấp

VE04.05.01: Trong tài liệu được yêu cầu, nhà cung cấp phải bao gồm ít nhất một vai trò chuyên viên mật mã. Những vai trò phải được quy định rõ theo tên và các dịch vụ được phép.

Các thủ tục kiểm thử cần thiết

TE04.05.01: Kiểm thử viên phải xác minh rằng tài liệu của nhà cung cấp có ít nhất một vai trò chuyên viên mật mã được quy định. Kiểm thử viên phải xác minh rằng các vai trò được quy định rõ theo tên và các dịch vụ được phép như đã quy định rõ trong AS04.05.

AS04.06: (Vai trò - Mức 1,2,3 và 4)

Nếu mô-đun mật mã hỗ trợ vai trò người dùng thì vai trò người dùng được đảm nhiệm để thực hiện các dịch vụ an toàn chung, bao gồm các thao tác mật mã và các chức năng an toàn được phê duyệt khác.

Thông tin cần thiết từ nhà cung cấp

VE04.06.01: Nếu mô-đun mật mã hỗ trợ vai trò người dùng, nhà cung cấp phải cung cấp tài liệu (1) nêu rõ vai trò người dùng được hỗ trợ và (2) quy định rõ vai trò theo tên và các dịch vụ được phép.

...

...

...

TE04.06.01: Kiểm thử viên phải quy định từ tài liệu của nhà cung cấp xem mô-đun mật mã có hỗ trợ vai trò người dùng không. Nếu mô-đun mật mã hỗ trợ vai trò người dùng thì kiểm thử viên phải xác thực tài liệu của nhà cung cấp rằng có ít nhất một vai trò người dùng được quy định. Kiểm thử viên phải xác minh rằng vai trò người dùng được quy định rõ theo tên và các dịch vụ được cho phép như đã quy định rõ trong AS04.06.

AS04.07: (Vai trò - Mức 1,2,3 và 4)

Tất cả SSP chưa được bảo vệ phải bị xóa trắng khi nhập vào hoặc thoát khỏi vai trò duy trì.

Thông tin cần thiết từ nhà cung cấp

VE04.07.01: Nếu mô-đun mật mã duy trì một giao diện truy cập, tài liệu của nhà cung cấp phải hướng dẫn 1) quy định rõ ràng vai trò duy trì được hỗ trợ, 2) quy định đầy đủ vai trò theo tên, mục đích và các dịch vụ cho phép, 3) quy định rõ duy trì giao diện truy cập theo VE07.11.01.

VE04.07.02: Tài liệu của nhà cung cấp phải quy định rõ các SSP không được bảo vệ của mô-đun được quy định trong 3.110 của TCVN 11295:2016 phải chủ động xóa trắng khi vai trò duy trì được thực hiện hoặc đã thoát ra.

Các thủ tục kiểm thử cần thiết

TE04.07.01: Kiểm thử viên phải xác minh các đặc tả giao diện mô-đun xem có quy định rõ là giao diện duy trì truy cập (xem AS07.11). Nếu có thì kiểm thử viên phải kiểm tra tài liệu của nhà cung cấp liên quan đến các vai trò phân quyền và xác minh rằng vai trò duy trì được quy định rõ theo tên, mục đích và các dịch vụ được phép.

TE04.07.02: Kiểm thử viên phải xác minh các đặc tả của các giao diện của mô-đun xem có đóng vai trò duy trì và kiểm tra xem có xóa trắng tất cả SSP không được bảo vệ như mô tả trong đặc tả của mô-đun hay không.

...

...

...

6.4.3  Các dịch vụ

6.4.3.1  Các yêu cầu chung về dịch vụ

AS04.08: (Các dịch vụ - Mức 1, 2, 3 và 4)

Các dịch vụ phải tham chiếu đến tất cả dịch vụ, hoạt động hoặc các chức năng có thể được thực thi bởi một mô-đun.

Chú thích Khẳng định này không phải kiểm tra riêng biệt.

AS04.09: (Các dịch vụ - Mức 1, 2, 3 và 4)

Đầu vào dịch vụ bao gồm tất cả dữ liệu hoặc điều khiển nhập vào trong mô-đun mà nó khởi tạo hoặc có dịch vụ, hoạt động hoặc các chức năng cụ thể.

CHÚ THÍCH Khẳng định này không kiểm tra riêng biệt.

AS04.10: (Các dịch vụ - Mức 1, 2, 3 và 4)

...

...

...

CHÚ THÍCH Khẳng định này không kiểm tra riêng biệt.

AS04.11: (Các dịch vụ - Mức 1, 2, 3 và 4)

Mỗi đầu vào dịch vụ phải tạo ra một đầu ra dịch vụ tương ứng.

Thông tin cần thiết từ nhà cung cấp

VE04.11.01: Tài liệu của nhà cung cấp phải mô tả mục đích và chức năng của mỗi dịch vụ. Tài liệu bao gồm từng dịch vụ: đầu vào dịch vụ, đầu ra dịch vụ tương ứng và vai trò phân quyền hoặc vai trò mà dịch vụ có thể thực thi.

Các thủ tục kiểm thử cần thiết

TE04.11.01: Kiểm thử viên phải kiểm tra tài liệu của nhà cung cấp xem có mô tả mục đích và chức năng của mỗi dịch vụ. Kiểm thử viên cũng phải kiểm tra xem các thông tin cho từng dịch vụ như sau: đầu vào dịch vụ, đầu ra dịch vụ tương ứng và vai trò được phân quyền hoặc những vai trò mà dịch vụ có thể thực thi.

TE04.11.02: Kiểm thử viên phải thực hiện các thao tác sau cho mỗi dịch vụ (tức là các dịch vụ an toàn và không an toàn, cả được phê duyệt và không được phê duyệt):

- Nhập mỗi đầu vào dịch vụ được quy định rõ và Chú thích rằng chúng tạo ra các đầu ra dịch vụ được quy định rõ.

...

...

...

- Đối với các dịch vụ yêu cầu người vận hành phải đảm nhận một vai trò, vai trò đảm nhận không được quy định rõ cho dịch vụ và nhập từng đầu vào dịch vụ được quy định rõ và quan sát để thấy rằng dịch vụ không được cung cấp.

- Đối với các dịch vụ yêu cầu người vận hành đảm nhận vai trò xác thực, vai trò đó là xác thực việc nhập từng đầu vào dịch vụ được quy định rõ và quan sát để thấy chúng phải dẫn đến đầu ra dịch vụ được quy định rõ.

- Đối với các dịch vụ yêu cầu người vận hành phải đảm nhận vai trò xác thực, vai trò phải được đảm nhiệm nhưng dữ liệu xác thực phải được sửa đổi để xác thực sai và nhập vào từng đầu vào dịch vụ được quy định rõ và quan sát để thấy rằng dịch vụ không được cung cấp.

- Đối với các dịch vụ cung cấp dữ liệu đi ra qua giao diện đầu ra dữ liệu, kiểm thử viên phải kiểm tra kết quả so với kết quả mong đợi.

Ví dụ: Nếu dịch vụ cung cấp đầu ra dữ liệu là một chức năng của dịch vụ dữ liệu đầu vào, kiểm thử viên phải xác minh kết quả đầu ra dữ liệu như là một chức năng của dữ liệu đầu vào được cung cấp.

AS04.12: (Các dịch vụ - Mức 1, 2, 3, và 4)

Một mô-đun mật mã phải cung cấp cho những người vận hành những dịch vụ sau.

CHÚ THÍCH Khẳng định này không cần kiểm thử riêng biệt.

Hiển thị thông tin Phiên bản của mô-đun

...

...

...

Mô-đun mật mã phải xuất ra tên hoặc định danh mô-đun và thông tin phiên bản có thể tương quan với bản ghi đã kiểm tra (ví dụ: thông tin phiên bản phần cứng, phần mềm và/hoặc phần sụn).

Thông tin cần thiết từ nhà cung cấp

VE04.13.01: Tài liệu của nhà cung cấp phải mô tả đầu ra của tên hiện tại và thông tin phiên bản của mô-đun mật mã.

VE04.13.02: Tài liệu của nhà cung cấp phải quy định tên hoặc định danh mô-đun và thông tin phiên bản được đăng như là bàn ghi đã kiểm tra.

VE04.13.03: Nhà cung cấp phải cung cấp tài liệu về chính sách an toàn không bản quyền hoặc tài liệu hướng dẫn quản trị viên, phải quy định rõ làm thế nào để tương quan đầu ra của tên hiện tại và thông tin phiên bản với bản ghi đã kiểm tra.

Các thủ tục kiểm thử cần thiết

TE04.13.01: Kiểm thử viên phải xác minh rằng các đầu ra dịch vụ (tức là tên, hoặc định danh mô-đun và thông tin phiên bản) xem có nhất quán với đặc tả và thông tin được cung cấp theo các khẳng định AS02.11, AS02.12 và AS11.04 hay không.

TE04.13.02: Kiểm thử viên phải xác minh xem nhà cung cấp đã cung cấp tài liệu (tức là chính sách an toàn không bản quyền hoặc tài liệu hướng dẫn quản trị viên) cung cấp đầy đủ thông tin để xác định rõ phiên bản của mô-đun.

TE04.13.03: Kiểm thử viên phải xác minh xem đầu ra của tên hiện tại hoặc định danh mô-đun và thông tin phiên bản đã đủ để người vận hành tương quan mô-đun với một bản ghi đã kiểm tra dưới sự trợ giúp của chính sách an toàn không bản quyền hoặc tài liệu hướng dẫn quản trị viên.

...

...

...

AS04.14: (Các dịch vụ - Mức 1, 2, 3, và 4)

Mô-đun mật mã phải xuất ra trạng thái hiện tại.

Thông tin cần thiết từ nhà cung cấp

VE04.14.01: Tài liệu của nhà cung cấp phải mô tả đầu ra của trạng thái hiện tại của mô-đun.

Các thủ tục kiểm thử cần thiết

TE04.14.01: Kiểm thử viên phải kiểm tra tài liệu của nhà cung cấp để xác minh rằng dịch vụ "hiển thị trạng thái" là được phân bổ cho ít nhất một vai trò được ủy quyền. Kiểm thử viên phải xác minh rằng các dịch vụ này được mô tả như đã quy định rõ trong AS04.14.

TE04.14.02: Kiểm thử viên phải xác minh rằng bộ chỉ thị “hiển thị trạng thái” tuân theo tài liệu của nhà cung cấp.

Thực hiện tự kiểm tra

AS04.15: (Dịch vụ - Mức 1, 2, 3, và 4)

...

...

...

Thông tin cần thiết từ nhà cung cấp

VE04.15.01: Tài liệu của nhà cung cấp phải mô tả sự khởi tạo và chạy các cuộc tự kiểm tra người dùng.

Các thủ tục kiểm thử cần thiết

TE04.15.01: Kiểm thử viên phải xác minh rằng mô-đun này cung cấp khởi tạo chạy các tự kiểm tra tiền hoạt động quy định rõ trong tiểu mục 7.10 {TCVN 11295:2016}, điều này được thực hiện theo khẳng định trong tài liệu TEA.01.01.

Thực hiện chức năng an toàn đã phê duyệt

AS04.16: (Các dịch vụ - Mức 1, 2, 3, và 4)

Mô-đun mật mã phải thực hiện ít nhất một chức năng an toàn được phê duyệt sử dụng trong chế độ hoạt động đã được phê duyệt quy định rõ trong tiểu mục 7.2.4 {TCVN 11295:2016}.

CHÚ THÍCH Khẳng định này không cần kiểm thử riêng biệt.

Thực hiện xóa trắng

...

...

...

Mô-đun mật mã phải thực hiện xóa trắng các tham số được quy định rõ trong tiểu mục 7.9.7 {TCVN 11295:2016}.

CHÚ THÍCH Khẳng định này không cần kiểm thử riêng biệt.

6.4.3.2  Khả năng bỏ qua

AS04.18: (Khả năng bỏ qua - Mức 1, 2, 3 và 4)

Nếu mô-đun có thể xuất ra dữ liệu quy định hoặc các phần tử trạng thái dưới dạng được bảo vệ bằng mật mã, hoặc (như kết quả của việc cấu hình mô-đun hoặc can thiệp người vận hành) cũng có thể xuất ra các phần tử dưới dạng không được bảo vệ, thì khả năng bỏ qua được định nghĩa.

Thông tin cần thiết từ nhà cung cấp

VE04.18.01: Nếu mô-đun thực thi khả năng bỏ qua thì tài liệu của nhà cung cấp phải mô tả dịch vụ bỏ qua.

Các thủ tục kiểm thử cần thiết

TE04.18.01: Kiểm thử viên phải xác minh rằng mô-đun thực thi khả năng bỏ qua được quy định rõ trong tài liệu của nhà cung cấp.

...

...

...

Nếu một mô-đun mật mã thực hiện khả năng bỏ qua, thì người vận hành đảm nhiệm vai trò được ủy quyền trước khi cấu hình khả năng bỏ qua

Thông tin cần thiết từ nhà cung cấp

VE04.19.01: Nếu mô-đun thực thi khả năng bỏ qua, tài liệu của nhà cung cấp phải mô tả cách thức người vận hành đảm nhiệm vai trò được ủy quyền trước khi cấu hình khả năng bỏ qua.

Các thủ tục kiểm thử cần thiết

TE04.19.01: Kiểm thử viên phải xác minh từ tài liệu của nhà cung cấp rằng mô-đun yêu cầu một người vận hành đảm nhận vai trò được phân quyền trước khi cấu hình khả năng bỏ qua.

TE04.19.02: Kiểm thử viên phải đảm nhận vai trò quy định được ghi lại để cấu hình khả năng bỏ qua và thực hiện cấu hình.

TE04.19.03: Kiểm thử viên phải đảm nhận một vai trò quy định mà không ghi trong cấu hình khả năng bỏ qua và cố gắng thực hiện cấu hình này. Khi đó, kiểm thử viên phải xác minh nỗ lực này là thất bại.

AS04.20: (Khả năng bỏ qua - Mức 1, 2, 3 và 4)

Nếu mô-đun mật mã thực thi khả năng bỏ qua, thì hai hành động nội bộ độc lập phải được yêu cầu để kích hoạt khả năng ngăn chặn sự bỏ qua không cố ý bản rõ do một lỗi đơn lẻ.

...

...

...

VE04.20.01: Nếu mô-đun thực thi khả năng bỏ qua, tài liệu của nhà cung cấp phải mô tả dịch vụ bỏ qua như đã quy định rõ trong AS04.20.

VE04.20.02: Mô hình trạng thái hữu hạn và các tài liệu khác của nhà cung cấp phải quy định rõ đối với tất cả quá trình chuyển đổi sang một trạng thái bỏ qua riêng biệt hoặc lần lượt, hai hành động nội bộ độc lập cần phải chuyển sang từng trạng thái bỏ qua.

Các thủ tục kiểm thử cần thiết

TE04.20.01 : Kiểm thử viên phải xác minh xem liệu khả năng bỏ qua có được thực hiện bởi mô-đun. Kiểm thử viên phải xác minh xem tài liệu của nhà cung cấp để kiểm tra rằng khả năng bỏ qua được cấp cho ít nhất một vai trò được ủy quyền.

TE04.20.02: Kiểm thử viên phải xác minh mô hình trạng thái hữu hạn và các tài liệu khác của nhà cung cấp trong đó mỗi quá trình chuyển đổi sang một trạng thái bỏ qua riêng biệt hoặc lần lượt của hai hành động nội bộ độc lập phải xảy ra để mô-đun mật mã chuyển sang trạng thái bỏ qua riêng biệt hoặc lần lượt.

TE04.20.03: Kiểm thử viên phải cố gắng thực hiện chuyển đổi sang từng trạng thái bỏ qua mà trạng thái này quy định rõ sự chuyển đổi và kiểm tra rằng để thực hiện chuyển đổi thì cần phải cả hai hành động nội bộ.

AS04.21: (Khả năng bỏ qua - Mức 1, 2, 3 và 4)

Nếu mô-đun mật mã thực thi chức năng bỏ qua thì hai hành động nội bộ độc lập phải sửa đổi hành vi của phần mềm và/hoặc phần cứng mà nó chỉ ra để làm trung gian khả năng bỏ qua.

Thông tin cần thiết từ nhà cung cấp

...

...

...

VE04.21.02: Tài liệu của nhà cung cấp phải quy định cách hai hành động nội bộ độc lập bảo vệ chống lại sự bỏ qua không cố ý của bản rõ do một lỗi đơn lẻ.

Các thủ tục kiểm thử cần thiết

TE04.21.01: Kiểm thử viên xác minh rằng tài liệu của nhà cung cấp quy định rõ cách hai hành động nội bộ độc lập bảo vệ chống lại sự bỏ qua không cố ý của bản rõ do một lỗi đơn lẻ.

TE04.21.02: Kiểm thử viên phải xác minh rằng hai hành động nội bộ độc lập sửa đổi hành vi của phần mềm và/hoặc phần cứng được quy định rõ để làm trung gian khả năng bỏ qua, bằng cách kiểm tra và bằng cách cố gắng chuyển sang trạng thái bỏ qua từ mỗi trạng thái quy định rõ sự chuyển đổi đó.

AS04.22: (Khả năng bỏ qua - Mức 1, 2, 3 và 4)

Nếu một mô-đun mật mã thực thi một khả năng bỏ qua thì mô-đun phải chỉ ra trạng thái để chỉ ra xem liệu có phải là khả năng bỏ qua hay không:

a) Không được kích hoạt và mô-đun đang cung cấp riêng các dịch vụ có xử lý mật mã (ví dụ bản rõ được mã hóa); hoặc

b) Được kích hoạt và mô-đun đang cung cấp riêng các dịch vụ không có xử lý mật mã (ví dụ bản rõ không được mã hóa); hoặc

c) Tùy chọn kích hoạt hoặc vô hiệu hóa và mô-đun đang cung cấp một số dịch vụ có xử lý mật mã và một số dịch vụ không có xử lý mật mã (ví dụ, đối với các mô-đun với nhiều kênh truyền thông, bản rõ có thể được mã hóa hoặc không được mã hóa tùy thuộc vào cấu hình của mỗi kênh).

...

...

...

VE04.22.01: Tài liệu của nhà cung cấp cho dịch vụ "hiển thị trạng thái" phải quy định rõ trạng thái bỏ qua.

Các thủ tục kiểm thử cần thiết

TE04.22.01: Kiểm thử viên phải xem lại tài liệu của nhà cung cấp cho dịch vụ "hiển thị trạng thái" và xác minh biểu thị dịch vụ bỏ qua.

TE04.22.02: Kiểm thử viên phải chuyển sang từng trạng thái bỏ qua và xác minh rằng chỉ thị "hiển thị trạng thái" quy định rõ trạng thái bỏ qua phù hợp.

6.4.3.3  Khả năng đầu ra mật mã tự khởi hoạt

AS04.23: (Khả năng đầu ra mật mã tự khởi hoạt - Mức 1,2,3 và 4)

Khả năng đầu ra mật mã tự khởi hoạt được cấu hình bởi chuyên viên mật mã và cấu hình này có thể được bảo toàn trong suốt chu kỳ cung cấp điện, khởi động lại hay thiết lập của mô-đun.

Thông tin cần thiết từ nhà cung cấp

VE04.23.01: Nhà cung cấp phải cung cấp mô tả về khả năng đầu ra mật mã tự khởi hoạt.

...

...

...

TE04.23.01: Kiểm thử viên phải xác minh khả năng đầu ra mật mã tự khởi hoạt phải được cấu hình bởi chuyên viên mật mã.

AS04.24: (Khả năng đầu ra mật mã tự khởi hoạt - Mức 1, 2, 3 và 4)

Nếu mô-đun mật mã thực thi khả năng đầu ra mật mã tự khởi tạo, thì cần phải thực hiện hai hành động nội bộ độc lập để kích hoạt khả năng ngăn chặn đầu ra không cố ý do một lỗi duy nhất.

CHÚ THÍCH Khẳng định này không kiểm tra riêng biệt và được kiểm tra như là một phần của AS04.25.

AS04.25: (Khả năng đầu ra mật mã tự khởi hoạt - Mức 1, 2, 3 và 4)

Nếu mô-đun mật mã thực thi khả năng đầu ra mật mã tự khởi hoạt, thì hai hành động độc lập nội bộ phải sửa đổi hành vi phần mềm và/hoặc phần cứng được quy định rõ để làm trung gian cho khả năng này (ví dụ: hai cờ phần mềm hoặc phần cứng khác nhau được thiết lập, một trong chúng có thể được người dùng khởi hoạt).

Thông tin cần thiết từ nhà cung cấp

VE04.25.01: Nhà cung cấp phải quy định rõ một tập hợp của hai hành động độc lập nội bộ để kích hoạt khả năng đầu ra mật mã khởi hoạt.

VE04.25.02: Nhà cung cấp cung cấp tài liệu phải quy định rõ cách thức hai hành động nội bộ độc lập sửa đổi hành vi của phần mềm và/hoặc phần cứng làm trung gian cho khả năng đầu ra mật mã tự khởi hoạt này.

...

...

...

Các thủ tục kiểm thử cần thiết

TE04.25.01: Kiểm thử viên phải kiểm tra xem mô-đun mật mã có thực thi khả năng đầu ra mật mã tự khởi tạo hay không. Kiểm thử viên phải xác minh rằng tài liệu của nhà cung cấp có quy định rõ hai hành động độc lập nội bộ được thực hiện bởi mô-đun mật mã trước khi kích hoạt khả năng đầu ra mật mã tự khởi hoạt. Kiểm thử viên cũng phải xác minh rằng tài liệu của nhà cung cấp quy định hai hành động nội bộ độc lập bảo vệ chống lại đầu ra không cố ý do một lỗi đơn lẻ.

TE04.25.02: Kiểm thử viên phải kích hoạt khả năng đầu ra mật mã tự khởi tạo và xác minh rằng hai hành động độc lập nội bộ hoạt động theo quy định. Nếu bất kỳ thành phần phần mềm hoặc phần sụn được thực thi trong quá trình kích hoạt, kiểm thử viên phải xác minh mã nguồn có thể áp dụng để đảm bảo rằng phần mềm hoặc phần sụn hỗ trợ yêu cầu cho hai hoạt động độc lập nội bộ trước khi kích hoạt khả năng đầu ra mật mã tự khởi hoạt.

TE04.25.03: Kiểm thử viên phải xác minh rằng một chỉ thị trạng thái được cung cấp để chỉ ra khi nào khả năng đầu ra mật mã tự khởi tạo đã được kích hoạt.

AS04.26: (Khả năng đầu ra mật mã tự khởi hoạt - Mức 1,2, 3 và 4)

Nếu một mô-đun mật mã thực thi khả năng đầu ra mật mã tự khởi hoạt, thì mô-đun phải hiển thị trạng thái để biểu thị khả năng đầu ra mật mã tự khởi hoạt được kích hoạt hay không.

Chú thích Khẳng định này không kiểm tra riêng biệt. Được kiểm tra như là một phần của AS04.25.

6.4.3.4  Nạp phần mềm/phần sụn

AS04.27: (Nạp phần mềm/phần sụn - Mức 1, 2, 3, và 4)

...

...

...

Chú thích Sự khẳng định này không phải là kiểm tra riêng biệt. Được kiểm tra như một phần của AS04.28.

AS04.28: (Nạp phần mềm/phần sụn - Mức 1, 2, 3, và 4)

Phần mềm và phần sụn được nạp phải được kiểm tra bởi một cơ quan có đủ thẩm quyền trước khi nạp để duy trì tính hợp lệ.

Thông tin cần thiết từ nhà cung cấp

VE04.28.01: Nhà cung cấp phải cung cấp chứng chỉ khẳng định tính hợp lệ được cấp bởi cơ quan thẩm quyền hợp lệ. Giấy chứng nhận này phải quy định rõ phần mềm hoặc phần sụn được nạp vào mô-đun mật mã.

Các thủ tục kiểm thử cần thiết

TE04.28.01: Kiểm thử viên phải xác minh xem phiên bản phần mềm hoặc phần sụn do ai khẳng định. Phiên bản này phải tương ứng với phiên bản được quy định rõ trong 7.2.3.1 của TCVN 11295:2016.

AS04.29: (Nạp phần mềm/phần sụn - Mức 1, 2, 3, và 4)

Tất cả dữ liệu xuất ra qua giao diện đầu ra dữ liệu đều bị chặn lại trước khi hoàn thành việc nạp phần mềm/phần sụn.

...

...

...

VE04.29.01: Nhà cung cấp phải mô tả quy trình được sử dụng để chặn dữ liệu đầu ra trong suốt quá trình nạp và kiểm tra nạp.

Các thủ tục kiểm thử cần thiết

TE04.29.01: Kiểm thử viên phải xác minh xem đầu ra dữ liệu có bị chặn lại trong quá trình nạp và kiểm tra nạp phần mềm hoặc phần sụn hay không.

AS04.30: (Nạp phần mềm/phần sụn - Mức 1, 2, 3, và 4)

Kiểm tra nạp phần mềm/phần sụn quy định trong tiểu mục 7.10.3.4 {TCVN 11295:2016} phải thực hiện trước khi nạp mã.

Chú thích Khẳng định này không cần kiểm tra riêng biệt. Được kiểm tra như một phần của AS10.37 đến AS10.41.

AS04.31: (Nạp phần mềm/phần sụn - Mức 1,2, 3, và 4)

Mô-đun mật mã phải từ chối thực hiện bất kỳ việc nạp hoặc sửa đổi các chức năng an toàn được phê duyệt cho đến sau khi hoạt động tự kiểm tra trước quy định tại tiểu mục 7.10.2 {TCVN 11295:2016} được thực hiện thành công.

CHÚ THÍCH Sự khẳng định này không kiểm nghiệm riêng biệt. Được kiểm tra như một phần của AS10.37 thông qua AS10.41

...

...

...

Thông tin phiên bản mô-đun được sửa đổi để hiển thị bổ sung hoặc cập nhật phần mềm hoặc phần sụn mới được nạp vào (tiểu mục 7.4.3 {TCVN 11295:2016}).

Thông tin nhà cung cấp

VE04.32.01; Nhà cung cấp phải cung cấp phương tiện để đọc phiên bản phần mềm hoặc phần sụn mới được nạp vào.

Các thủ tục kiểm thử cần thiết

TE04.32.01: Kiểm thử viên phải kích hoạt kiểm tra nạp phần mềm/phần sụn. Sau khi tự kiểm tra tiền hoạt động hoàn thành sau kiểm tra nạp phần mềm/phần sụn, kiểm thử viên phải xác minh rằng thông tin phiên bản đã được sửa đổi để hiển thị cho việc bổ sung và/hoặc cập nhật phần mềm hoặc phần sụn mới được nạp.

AS04.33: (Nạp phần mềm/phần sụn - Mức 1,2, 3, và 4)

Nếu việc nạp phần mềm hoặc phần sụn là một sự thay thế hình ảnh hoàn toàn, thì việc thiết lập mô-đun mới này cần phải yêu cầu tổ chức chịu trách nhiệm kiểm tra tính hợp lệ.

Thông tin cần thiết từ nhà cung cấp

VE04.33.01: Tài liệu của nhà cung cấp phải quy định xem các mô-đun hỗ trợ thay thế hình ảnh hoàn toàn như là kết quả của nạp phần mềm/phần sụn và kiểm tra nạp.

...

...

...

Các thủ tục kiểm thử cần thiết

TE04.33.01: Kiểm thử viên phải đảm bảo rằng việc thay thế hình ảnh hoàn toàn mới được kiểm tra hợp lệ bởi tổ chức chịu trách nhiệm thông qua kiểm tra tên và phiên bản được quy định rõ trong AS04.13.

AS04.34: (Nạp phần mềm/phần sụn - Mức 1, 2, 3, và 4)

Hình ảnh phần mềm hoặc phần sụn mới chỉ được thực thi sau khi chuyển đổi mô-đun thông qua việc khởi động lại nguồn điện.

Thông tin cần thiết từ nhà cung cấp

VE04.34.01: Nếu được hỗ trợ thay thế hình ảnh hoàn toàn, tài liệu của nhà cung cấp phải quy định rõ cách thức hình ảnh mới chỉ được thực thi sau khi chuyển đổi mô-đun thông qua việc khởi động lại nguồn điện.

Các thủ tục kiểm thử cần thiết

TE04.34.01: Kiểm thử viên phải khởi tạo việc kiểm tra nạp phần mềm/phần sụn. Sau khi kiểm tra nạp phần mềm/phần sụn đã vượt qua, kiểm thử viên phải xác minh rằng phần mềm hoặc phần sụn được nạp không thể được sử dụng cho đến khi tự kiểm tra tiền hoạt động đã được thực hiện thành công thông qua việc khởi động lại nguồn điện.

AS04.35: (Nạp phần mềm/phần sụn - Mức 1, 2, 3, và 4)

...

...

...

Thông tin cần thiết từ nhà cung cấp

VE04.35.01: Nếu hỗ trợ thay thế hình ảnh hoàn toàn, tài liệu của nhà cung cấp phải quy định rằng SSP phải xóa trắng trước khi thực thi hình ảnh mới.

VE04.35.02: Nếu hỗ trợ thay thế hình ảnh hoàn toàn, tài liệu của nhà cung cấp phải quy định rõ thông tin xóa trắng SSP bao gồm:

a) Kỹ thuật xóa trắng

b) Lý do giải thích cách thức kỹ thuật xóa trắng được thực hiện trong một khoảng thời gian không đủ để thỏa hiệp SSP.

Các thủ tục kiểm thử cần thiết

TE04.35.01: Kiểm thử viên phải xem xét tài liệu của nhà cung cấp để xác minh rằng thông tin được quy định đã có trong VE04.35.01. Kiểm thử viên phải quy định tính chính xác của mọi lý do cơ bản được cung cấp bởi nhà cung cấp. Trách nhiệm chứng minh là của nhà cung cấp; Nếu có bất kỳ sự không chắc chắn hoặc nghi ngờ, kiểm thử viên phải yêu cầu nhà cung cấp cung cấp thêm thông tin khi cần.

TE04.35.02: Kiểm thử viên cần lưu ý những SSP nào có mặt trong mô-đun và khởi động lại nguồn điện sau khi kiểm tra nạp phần mềm/phần sụn. Sau khi hoàn thành tự kiểm tra tiền hoạt động, kiểm thử viên phải cố gắng thực hiện vận hành mật mã bằng cách sử dụng mỗi SSP đã được lưu trữ trong mô-đun. Kiểm thử viên phải xác minh rằng mỗi SSP không thể được truy cập.

6.4.4  Xác thực

...

...

...

AS04.36: (Xác thực dựa trên vai trò - Mức 2, 3, và 4)

Nếu các cơ chế xác thực dựa trên vai trò được hỗ trợ bởi mô-đun mật mã, mô-đun yêu cầu rằng một hoặc nhiều vai trò hoặc được lựa chọn ẩn hoặc được lựa chọn hiển thị bởi người vận hành {và xác thực đảm nhiệm vai trò được lựa chọn (hoặc tập hợp các vai trò)}.

CHÚ THÍCH Khẳng định này không kiểm tra riêng biệt. Kiểm thử như là một phần AS04.37.

AS04.37: (Xác thực dựa trên vai trò - Mức 2, 3, và 4)

Nếu các cơ chế xác thực dựa trên vai trò được hỗ trợ bởi mô-đun mật mã, mô-đun {yêu cầu rằng một hoặc nhiều vai trò hoặc được lựa chọn ẩn hoặc được lựa chọn hiển thị bởi người vận hành và} phải xác thực đảm nhiệm vai trò được lựa chọn (hoặc tập hợp các vai trò).

Thông tin cần thiết từ nhà cung cấp

VE04.37.01: Nhà cung cấp phải ghi lại các loại xác thực được thực hiện trong mô-đun. Nhà cung cấp phải ghi lại các cơ chế được sử dụng để thực hiện việc lựa chọn ngầm định hoặc rõ ràng về vai trò hoặc tập hợp các vai trò và xác thực người vận hành để đảm nhận vai trò.

Các thủ tục kiểm thử cần thiết

TE04.37.01: Kiểm thử viên phải xác minh rằng tài liệu của nhà cung cấp có quy định rõ các cơ chế được sử dụng để lựa chọn các vai trò và xác thực người vận hành để đảm nhận một vai trò.

...

...

...

AS04.38: (Cơ chế xác thực dựa trên vai trò - Mức 2, 3 và 4)

Nếu mô-đun mật mã cho phép một người vận hành thay đổi vai trò, thì mô-đun phải xác thực giả định về vai trò bất kỳ đã không được xác thực trước đó đối với người vận hành đó.

Thông tin cần thiết từ nhà cung cấp

VE04.38.01: Tài liệu của nhà cung cấp phải mô tả khả năng người vận hành sửa đổi các vai trò và phải tuyên bố xác thực người vận hành để đảm nhận vai trò mới.

Các thủ tục kiểm thử cần thiết

TE04.38.01: Kiểm thử viên phải xác minh tài liệu của nhà cung cấp có kiểm tra phương pháp để một người vận hành có thể sửa đổi các vai trò bao gồm xác thực người vận hành để đảm nhận một vai trò mới hay không.

TE04.38.02: Kiểm thử viên phải thực hiện các kiểm thử sau đây:

a) Đảm nhiệm một vai trò, cố gắng sửa đổi vai trò khác mà người vận hành được phép giả định, và xác minh rằng mô-đun này cho phép người vận hành yêu cầu các dịch vụ được giao cho vai trò mới.

b) Đảm nhiệm một vai trò, cố gắng sửa đổi một vai trò khác mà người vận hành không được phép giả định, và xác minh rằng mô-đun không cho phép người vận hành yêu cầu các dịch vụ được quy định rõ cho vai trò mới.

...

...

...

AS04.39: (Xác thực dựa trên định danh - Mức 3 và 4)

Nếu các cơ chế xác thực dựa trên định danh được hỗ trợ bởi mô-đun mật mã, mô-đun yêu cầu rằng người vận hành phải được quy định rõ một cách duy nhất và riêng biệt, {yêu cầu rằng một hoặc nhiều vai trò hoặc được lựa chọn ẩn hoặc được lựa chọn hiển thị bởi người vận hành và xác thực định danh của người vận hành và phân quyền của người vận hành để đảm nhiệm vai trò hoặc tập hợp các vai trò đã lựa chọn}.

Thông tin cần thiết từ nhà cung cấp

VE04.39.01: Tài liệu của nhà cung cấp phải quy định rõ loại xác thực được thực thi trong mô-đun. Tài liệu của nhà cung cấp phải quy định rõ:

a) (Các) cơ chế được sử dụng để thực thi việc nhận dạng người vận hành,

CHÚ THÍCH 1 Điều này liên quan đến AS04.39.

b) (Các) cơ chế được sử dụng để thực hiện việc xác thực định danh của người vận hành,

CHÚ THÍCH 2 Điều này liên quan đến AS04.41.

c) (Các) Cơ chế được sử dụng để thực hiện việc lựa chọn ngầm định hoặc rõ ràng vai trò hoặc tập hợp các vai trò,

...

...

...

d) (Các) cơ chế được sử dụng để thực hiện việc xác minh sự cho phép của người vận hành để đảm nhận vai trò và

Chú thích 4: Điều này liên quan đến AS04.41.

e) (Các) cơ chế được sử dụng để duy trì mối quan hệ giữa người vận hành được định danh và đã xác thực với vai trò được lựa chọn hoặc tập hợp các vai trò được ủy quyền cho người vận hành.

CHÚ THÍCH 5: Điều này liên quan đến AS04.40, AS04.41, AS04.42 và AS11.13

Các thủ tục kiểm thử cần thiết

TE04.39.01: Kiểm thử viên phải xác minh tài liệu của nhà cung cấp quy định rõ:

a) Cách thức người vận hành được định danh duy nhất,

CHÚ THÍCH 6: Điều này liên quan đến AS04.39.

b) Cách thức định danh được xác thực,

...

...

...

c) Cách thức người vận hành lựa chọn một vai trò,

CHÚ THÍCH 8: Điều này liên quan đến AS04.40.

d) Cách thức phân quyền của người vận hành để đảm nhận vai trò được thực hiện dựa trên xác thực định danh và

CHÚ THÍCH 9: Điều này liên quan đến AS04.41.

e) Cách thức mối quan hệ được duy trì nội bộ giữa người vận hành được định danh và được xác thực với vai trò được lựa chọn hoặc tập hợp vai trò phân quyền được đảm nhiệm bởi người vận hành.

CHÚ THÍCH 10; Điều này liên quan đến AS04.40, AS04.41, AS04.42, và AS11.13.

TE04.39.02: Kiểm thử viên phải xác minh từ tài liệu của nhà cung cấp rằng quy trình định danh và xác thực được thực hiện như được quy định rõ trong tài liệu của nhà cung cấp theo VE04.39.01.

TE04.39.03: Kiểm thử viên phải khởi tạo lỗi trong quá trình xác thực và phải xác minh xem mô-đun không cho phép kiểm thử viên tiến hành vượt qua quy trình xác thực.

TE04.39.04: Kiểm thử viên phải xác thực thành công định danh của mình đối với mô-đun. Khi được yêu cầu chọn một hoặc nhiều vai trò, kiểm thử viên phải chọn các vai trò không tương thích với định danh đã được xác thực và phải xác minh rằng phân quyền để đảm nhận các vai trò bị từ chối.

...

...

...

AS04.40: (Xác thực dựa trên định danh - Mức 3 và 4)

{Nếu các cơ chế xác thực dựa trên định danh được hỗ trợ bởi mô-đun mật mã, thì mô-đun yêu cầu rằng người vận hành phải được định danh một cách duy nhất và riêng biệt}, phải yêu cầu rằng một hoặc nhiều vai trò hoặc được lựa chọn ẩn hoặc được lựa chọn hiển thị bởi người vận hành, {và xác thực định danh của người vận hành và phân quyền của người vận hành để đảm nhiệm vai trò hoặc tập hợp các vai trò đã lựa chọn}.

CHÚ THÍCH Khẳng định này không kiểm tra riêng biệt.

AS04.41: (Xác thực dựa trên định danh - Mức 3 và 4)

{Nếu các cơ chế xác thực dựa trên định danh được hỗ trợ bởi một mô-đun mật mã, thì mô-đun yêu cầu rằng người vận hành phải được định danh một cách duy nhất và riêng biệt}, phải yêu cầu rằng một hoặc nhiều vai trò được lựa chọn ẩn hoặc hiển thị bởi người vận hành, {và xác thực định dành của người vận hành và phân quyền của người vận hành để đảm nhiệm vai trò hoặc tập hợp các các vai trò đã lựa chọn}.

CHÚ THÍCH Khẳng định này không kiểm tra riêng biệt.

AS04.42: (Xác thực dựa trên định danh - Mức 3 và 4)

Nếu mô-đun mật mã cho phép một người vận hành thay đổi vai trò thì mô-đun phải kiểm tra phân quyền của người vận hành đã được định danh để đảm nhiệm mọi vai trò không được phân quyền trước đó.

VE04.42.01: Tài liệu của nhà cung cấp phải quy định rõ:

...

...

...

b) Cách thức một người vận hành có thể sửa đổi vai trò sau khi người vận hành được định danh và xác thực,

c) Cách thức mối quan hệ được duy trì nội bộ giữa nhà cung cấp được định danh và xác thực với vai trò được lựa chọn hoặc tập hợp vai trò phân quyền được đảm nhiệm bởi người vận hành [(xem mục e) của VE04.39.01],

d) Cách thức mô-đun mật mã thực thi việc xác minh sự cho phép người vận hành được định danh để đảm nhận một vai trò mà trước đó không được phân quyền,

e) Các điều kiện theo đó định danh của người vận hành phải được xác thực lại trong vai trò sửa đổi,

f) Cách thức mô-đun mật mã được thiết kế để đạt được sự khẳng định AS 11.13:

1) Cách thức mô-đun mật mã ngăn chặn thay đổi sang trạng thái của chuyên viên mật mã từ mọi vai trò khác ngoài chuyên viên mật mã, hoặc

2) Cách thức các kết quả của việc xác thực/phân quyền trước đó được xóa và mô-đun mật mã yêu cầu người vận hành phải xác thực và được phân quyền để đảm nhận vai trò của chuyên viên mật mã, khi thay đổi từ bất kỳ vai trò nào khác ngoài vai trò của chuyên viên mật mã.

Các thủ tục kiểm thử cần thiết

TE04.42.01: Kiểm thử viên phải quy định bằng cách kiểm tra từ tài liệu của nhà cung cấp liệu mô-đun mật mã có cho phép người vận hành sửa đổi vai trò hay không.

...

...

...

TE04.42.03: Kiểm thử viên phải thực hiện các kiểm thử sau đây:

a) Đảm nhiệm mỗi vai trò, cố gắng sửa đổi vai trò khác mà kiểm thử viên được ủy quyền đảm nhiệm, kiểm tra định danh của kiểm thử viên là không cần phải xác thực và kiểm tra kiểm thử viên có thể truy cập các dịch vụ liên quan đến vai trò mới. Kiểm thử viên phải thực hiện các dịch vụ trong vai trò mới không liên quan đến vai trò trước đó để minh chứng rằng kiểm thử viên đảm nhiệm là một vai trò khác.

b) Đảm nhiệm mỗi vai trò, cố gắng thay đổi một vai trò khác mà người vận hành không được phép đảm nhiệm và xác minh rằng mô-đun phủ nhận quyền truy cập vào vai trò dựa trên định danh của người vận hành.

TE04.42.04: Kiểm thử viên phải sử dụng mô-đun mật mã và xác minh rằng việc thay đổi vai trò của chuyên viên mật mã từ mọi vai trò khác ngoài vai trò chuyên viên mật mã là bị cấm, được quy định rõ trong tài liệu của nhà cung cấp được cung cấp theo VE04.42.01.

AS04.43: (Xác thực người vận hành - Mức 1,2,3 và 4)

Khi mô-đun mật mã được tái thiết lập, khởi động lại, tắt nguồn và bật lại sau đó, mô-đun này yêu cầu người vận hành phải được xác thực.

Thông tin cần thiết từ nhà cung cấp

VE04.43.01: Tài liệu của nhà cung cấp phải mô tả cách các kết quả xác thực trước đó bị xóa khi mô- đun tắt.

Các thủ tục kiểm thử cần thiết

...

...

...

TE04.43.02: Kiểm thử viên phải xác thực mô-đun và đảm nhận một hay nhiều vai trò, tắt mở mô-đun và cố gắng thực hiện các dịch vụ trong những vai trò đó. Để đạt được sự khẳng định này, mô-đun phải từ chối truy cập vào các dịch vụ và yêu cầu kiểm thử viên phải được xác thực lại.

AS04.44: (Xác thực người vận hành - Mức 1, 2, 3 và 4)

Dữ liệu xác thực trong một mô-đun mật mã được bảo vệ chống lại việc sử dụng, tiết lộ, thay đổi và thay thế trái phép.

CHÚ THÍCH Các chức năng an toàn đã được phê duyệt có thể được sử dụng như một phần của cơ chế xác thực.

Thông tin cần thiết từ nhà cung cấp

VE04.44.01: Tài liệu của nhà cung cấp phải mô tả việc bảo vệ tất cả dữ liệu xác thực trong mô-đun. Bảo vệ bao gồm việc thực thi các cơ chế bảo vệ chống lại tiết lộ, sửa đổi và thay thế trái phép.

Các thủ tục kiểm thử cần thiết

TE04.44.01: Kiểm thử viên phải xác minh tài liệu của nhà cung cấp mô tả bảo vệ xác thực dữ liệu. Kiểm thử viên phải xác minh rằng tài liệu mô tả cách thức dữ liệu được bảo vệ chống lại việc tiết lộ, thay đổi và thay thế trái phép.

TE04.44.02: Kiểm thử viên phải thực hiện các kiểm thử sau đây:

...

...

...

b) Sửa đổi dữ liệu xác thực bằng cách sử dụng bất kỳ phương pháp nào không được quy định rõ bởi tài liệu của nhà cung cấp và cố gắng nhập dữ liệu sửa đổi. Mô-đun này phải không cho phép kiểm thử viên được xác thực bằng cách sử dụng dữ liệu được sửa đổi.

AS04.45: (Xác thực người vận hành - Mức 1, 2, 3 và 4)

Nếu mô-đun mật mã không chứa dữ liệu xác thực được yêu cầu để xác thực người vận hành đối với lần đầu tiên mô-đun được truy cập, thì các phương pháp được phân quyền khác (chẳng hạn như các điều khiển thủ tục hoặc sử dụng tập thông số máy hoặc dữ liệu xác thực mặc định) phải được dùng để điều khiển truy cập tới mô-đun và khởi hoạt các cơ chế xác thực.

Thông tin cần thiết từ nhà cung cấp

VE04.45.01: Tài liệu của nhà cung cấp phải quy định rõ phương tiện để điều khiển để truy cập vào mô đun mật mã trước khi nó được khởi tạo.

Các thủ tục kiểm thử cần thiết.

TE04.45.01: Kiểm thử viên phải xác minh tài liệu của nhà cung cấp mô tả các thủ tục mà người vận hành được xác thực khi truy cập mô-đun lần đầu tiên.

TE04.45.02: Nếu truy cập vào mô-đun trước khi khởi hoạt được điều khiển, kiểm thử viên phải tạo ra một lỗi trên một mô-đun không khởi tạo và phải xác minh rằng các mô-đun này phải từ chối truy cập. Kiểm thử viên đảm nhiệm vai trò phân quyền và xác minh rằng việc xác thực theo yêu cầu tuân thủ các thủ tục đã được ghi lại. Kiểm thử viên phải cố gắng để đảm nhận vai trò khác trước khi mô-đun đã được khởi tạo và kiểm tra xem mô-đun có từ chối truy cập đến vai trò hay không.

TE04.45.03: Nếu dữ liệu xác thực mặc định được sử dụng để truy cập vào mô-đun và khởi tạo cơ chế xác thực, kiểm thử viên phải đảm nhận vai trò xác thực và xác minh rằng dữ liệu xác thực mặc định là được thay thế theo xác thực lần đầu. Kiểm thử viên cũng phải nhập dữ liệu xác thực mặc định sau khi xác thực lần đầu và xác minh rằng các mô-đun mật mã không cho phép kiểm thử viên được xác thực.

...

...

...

Nếu dữ liệu xác thực mặc định được sử dụng để điều khiển quyền truy cập vào mô-đun, thì dữ liệu xác thực mặc định được thay thế bằng xác thực lần đầu (tiểu mục 7.9.7 {TCVN 11295:2016}).

CHÚ THÍCH Khẳng định này không kiểm thử riêng biệt. Kiểm thử như một phần của AS04.45.

AS04.47: (Xác thực người vận hành - Mức 1, 2, 3 và 4)

Nếu mô-đun mật mã sử dụng các chức năng an toàn để xác thực người vận hành, thì các chức năng an toàn đó được phê duyệt là các chức năng an toàn.

Thông tin cần thiết từ nhà cung cấp

VE04.47.01: Tài liệu của nhà cung cấp phải quy định danh sách các chức năng an toàn được sử dụng để xác thực người vận hành.

VE04.47.02: Nhà cung cấp phải cung cấp chứng chỉ kiểm tra hợp lệ cho mỗi chức năng an toàn được phê duyệt như được quy định rõ trong VE02.20.01.

Các thủ tục kiểm thử cần thiết

TE04.47.01: Kiểm thử viên phải xác minh rằng các chức năng an toàn được sử dụng để xác thực người vận hành là tất cả chức năng an toàn được phê duyệt.

...

...

...

Mô-đun thực thi cơ chế xác thực được phê duyệt quy định rõ tại phụ lục E {TCVN 11295:2016}.

Thông tin cần thiết từ nhà cung cấp

VE04.48.01: Tài liệu của nhà cung cấp phải mô tả cơ chế xác thực được phê duyệt sử dụng để xác thực người vận hành.

VE04.48.02: Nếu mô-đun thực thi cơ chế xác thực được phê duyệt, nhà cung cấp phải cung cấp chứng chỉ kiểm tra hợp lệ quy định rõ tại VE02.20.01.

Các thủ tục kiểm thử cần thiết

TE04.48.01: Kiểm thử viên phải xác minh cơ chế xác thực được sử dụng để xác thực người vận hành là được phê duyệt.

AS04.49: (Xác thực người vận hành - Mức 2, 3 và 4)

Độ mạnh của cơ chế xác thực đã được phê duyệt phải được quy định rõ trong chính sách an toàn (phụ lục B {TCVN 11295:2016}).

CHÚ THÍCH Khẳng định này không kiểm thử riêng biệt. Kiểm thử như một phân của ASB.01.

...

...

...

Đối với mỗi nỗ lực sử dụng cơ chế xác thực đã được phê duyệt, mô-đun phải đáp ứng độ mạnh của mục tiêu xác thực.

Thông tin cần thiết từ nhà cung cấp

VE04.50.01: Tài liệu của nhà cung cấp phải quy định rõ từng cơ chế xác thực và tỷ lệ phê duyệt sai hoặc xác suất mà một truy cập ngẫu nhiên thành công.

Các thủ tục kiểm thử cần thiết

TE04.50.01: Kiểm thử viên phải xác minh tài liệu của nhà cung cấp cho mỗi cơ chế xác thực mà tỷ lệ phê duyệt sai hoặc tỷ lệ truy cập ngẫu nhiên đã được quy định.

TE04.50.02: Kiểm thử viên phải xác minh tài liệu của nhà cung cấp cho mỗi cơ chế xác thực đáp ứng mục tiêu đặt ra.

AS04.51: (Xác thực người vận hành - Mức 2, 3, và 4)

Đối với nỗ lực nhiều lần cố sử dụng cơ chế xác thực đã được phê duyệt trong khoảng thời gian một phút, mô-đun phải đáp ứng được độ mạnh của mục tiêu xác thực.

Thông tin cần thiết từ nhà cung cấp

...

...

...

Các thủ tục kiểm thử cần thiết

TE04.51.01: Kiểm thử viên phải xác minh tài liệu của nhà cung cấp cho mỗi cơ chế xác thực quy định xác suất tương ứng của một lần ngẫu nhiên thành công là được quy định rõ.

TE04.51.02: Kiểm thử viên phải xác minh tài liệu của nhà cung cấp cho mỗi cơ chế xác thực rằng xác suất tương ứng của một lần ngẫu nhiên thành công là đạt được mục tiêu.

AS04.52: (Xác thực người vận hành - Mức 2, 3, và 4)

Cơ chế xác thực được phê duyệt phải đáp ứng bằng cách thực thi mô-đun và không dựa vào các quy tắc điều khiển quy trình hoặc quy tắc an toàn đã được tài liệu hóa (ví dụ: hạn chế kích thước mật khẩu).

Thông tin cần thiết từ nhà cung cấp

VE04.52.01 : Nhà cung cấp phải cung cấp mô tả đầy đủ về cơ chế xác thực.

Các thủ tục kiểm thử cần thiết

TE04.52.01: Kiểm thử viên phải xác minh bằng cách kiểm tra từ tài liệu của nhà cung cấp rằng cơ chế xác thực đã được phê duyệt là đáp ứng bởi mô-đun thực thi và không dựa vào các quy tắc điều khiển quy trình hoặc quy tắc an toàn đã được tài liệu hóa.

...

...

...

Nếu hệ điều hành thực hiện cơ chế xác thực, thì cơ chế xác thực phải đáp ứng các yêu cầu của mục này.

Thông tin cần thiết từ nhà cung cấp

VE04.53.01: Nhà cung cấp phải cung cấp đặc tả cơ chế xác thực của hệ điều hành.

Các thủ tục kiểm thử cần thiết

TE04.53.01: Kiểm thử viên phải xác minh từ tài liệu của nhà cung cấp và kiểm tra rằng cơ chế xác thực đã phê duyệt thực thi trong hệ điều hành đáp ứng các yêu cầu áp dụng.

AS04.54: (Xác thực người vận hành - Mức 2, 3 và 4)

Phản hồi dữ liệu xác thực cho người vận hành phải được che giấu trong quá trình xác thực (ví dụ: không hiển thị ký tự khi nhập mật khẩu).

Thông tin cần thiết từ nhà cung cấp

VE04.54.01: Tài liệu của nhà cung cấp phải quy định rõ phương pháp được sử dụng để che giấu thông tin phản hồi của dữ liệu xác thực cho người vận hành trong quá trình nhập dữ liệu xác thực.

...

...

...

TE04.54.01: Kiểm thử viên phải xác minh từ as.04 tài liệu của nhà cung cấp rằng dữ liệu xác thực được che giấu trong quá trình nhập dữ liệu.

TE04.54.02: Kiểm thử viên phải nhập dữ liệu xác thực và xác minh rằng không có hiển thị dữ liệu xác trong quá trình nhập dữ liệu.

AS04.55: (Xác thực người vận hành - Mức 2, 3 và 4)

Phản hồi được cung cấp cho người vận hành trong quá trình nỗ lực xác thực phải ngăn chặn việc làm suy yếu độ mạnh của cơ chế xác thực vượt ra ngoài độ mạnh xác thực được yêu cầu.

Thông tin cần thiết từ nhà cung cấp

VE04.55.01: Tài liệu của nhà cung cấp phải quy định rõ cơ chế phản hồi được sử dụng khi người vận hành đang nhập dữ liệu xác thực.

Các thủ tục kiểm thử cần thiết

TE04.55.01: Kiểm thử viên phải xác minh tài liệu của nhà cung cấp rằng cơ chế phản hồi không cung cấp thông tin có thể được sử dụng để đoán hoặc xác định dữ liệu xác thực.

TE04.55.02: Kiểm thử viên phải nhập dữ liệu xác thực để đảm nhận vai trò đảm bảo rằng cơ chế phản hồi không cung cấp thông tin hữu ích.

...

...

...

Nếu một mô-đun không hỗ trợ cơ chế xác thực, thì mô-đun phải yêu cầu người vận hành ngầm định hoặc rõ ràng lựa chọn một hoặc nhiều vai trò.

Thông tin cần thiết từ nhà cung cấp

VE04.56.01: Nhà cung cấp phải ghi lại loại xác thực được thực hiện cho mô-đun. Nhà cung cấp phải ghi lại các cơ chế được sử dụng để thực hiện việc lựa chọn ngầm định hoặc rõ ràng về vai trò hoặc tập hợp các vai trò xác thực của người vận hành để đảm nhận vai trò.

VE04.56.02: Nhà cung cấp cung cấp chính sách an toàn không bản quyền phải cung cấp mô tả về các vai trò, hoặc ngầm định hoặc rõ ràng, mà người vận hành có thể đảm nhiệm.

VE04.56.03: Nhà cung cấp cung cấp chính sách an toàn không bản quyền phải cung cấp hướng dẫn cho người vận hành đảm nhận các vai trò ngầm định hoặc rõ ràng.

Các thủ tục kiểm thử cần thiết

TE04.56.01: Kiểm thử viên phải xác minh rằng nhà cung cấp chính sách an toàn không bản quyền cung cấp mô tả về các vai trò, hoặc ngầm định hoặc rõ ràng, mà những người vận hành có thể đảm nhiệm và các phương tiện để đảm nhiệm từng vai trò.

TE04.56.02: Kiểm thử viên phải gọi phương thức được mô tả trong chính sách an toàn không bản quyền và xác minh rằng mỗi vai trò có thể được giả định ngầm hoặc rõ ràng.

AS04.57: (Xác thực người vận hành - Mức 2)

...

...

...

CHÚ THÍCH Khẳng định này không kiểm thử riêng biệt. Được kiểm thử như là một phần của AS04.36.

AS04.58: (Xác thực người vận hành - Mức 3 và 4)

Mô-đun mật mã phải sử dụng cơ chế xác thực dựa trên định danh để điều khiển truy cập vào mô-đun.

CHÚ THÍCH Khẳng định này không kiểm thử riêng biệt. Được kiểm thử như là một phần của AS04.39 đến AS04.41.

AS04.59: (Xác thực người vận hành - Mức 4)

Mô-đun mật mã phải sử dụng cơ chế xác thực dựa trên định danh nhiều yếu tố để điều khiển truy cập vào mô-đun.

Thông tin cần thiết từ nhà cung cấp

VE04.59.01: Nhà cung cấp phải cung cấp đặc tả xác thực dựa trên định danh nhiều yếu tố và cung cấp kiểm tra các tính năng của cơ chế.

Các thủ tục kiểm thử cần thiết

...

...

...

6.5  An toàn phần mềm/phần sụn

AS05.01: (An toàn phần mềm/phần sụn - Mức 1, 2, 3, và 4)

Các yêu cầu của mục này phải áp dụng cho các thành phần phần mềm và phần sụn của mô-đun mật mã.

Chú thích Khẳng định này không kiểm thử riêng biệt. Được kiểm tra như là một phần của AS05.02 thông qua AS05.23.

AS05.02: (An toàn phần mềm/phần sụn - Mức 1, 2, 3, và 4)

Các yêu cầu tài liệu quy định rõ tại tiểu mục A.2.5 {TCVN 11295:2016} phải được cung cấp.

Thông tin cần thiết từ nhà cung cấp

VE05.02.01: Nhà cung cấp phải cung cấp tài liệu quy định rõ tại A.2.5 của TCVN 11295:2016.

Các thủ tục kiểm thử cần thiết

...

...

...

AS05.03: (An toàn phần mềm/phần sụn - Mức 1, 2, 3, và 4)

Các yêu cầu sau đây phải áp dụng cho các thành phần phần mềm và phần sụn của mô-đun mật mã cho mức độ an toàn 1.

CHÚ THÍCH Khẳng định này không kiểm thử riêng biệt.

AS05.04: (An toàn phần mềm/phần sụn - Mức 1, 2, 3, và 4)

Tất cả các phần mềm và phần sụn phải là dưới dạng thỏa mãn các yêu cầu của TCVN 11295:2016 mà không cần sửa đổi trước khi cài đặt (tiểu mục 7.11.7 {TCVN 11295:2016}).

Thông tin cần thiết từ nhà cung cấp

VE05.04.01: Nhà cung cấp phải cung cấp đặc tả phần mềm và phần sụn.

Các thủ tục kiểm thử cần thiết

TE05.04.01: Kiểm thử viên phải xác minh bằng cách kiểm tra mô-đun mật mã, các đặc tả được cung cấp bởi tài liệu của nhà cung cấp xem có tuân theo thiết kế thực tế của mô-đun mật mã hay không.

...

...

...

Đối với mô-đun phần mềm và phần sụn và thành phần phần mềm hoặc phần sụn của một mô-đun lai ghép (ngoại trừ các thành phần phần mềm và phần sụn bên trong một thành phần phần cứng tách rời của một mô-đun lai ghép): Cơ chế mật mã sử dụng kỹ thuật toàn vẹn được phê duyệt phải được áp dụng cho tất cả thành phần phần mềm và phần sụn trong ranh giới mật mã đã được quy định của mô- đun theo một trong các cách sau:

- bởi chính mô-đun mật mã; hoặc là

- bởi một mô-đun mật mã hợp lệ khác hoạt động trong một chế độ vận hành đã được phê duyệt.

Thông tin cần thiết từ nhà cung cấp

VE05.05.01: Tài liệu của nhà cung cấp phải mô tả kỹ thuật toàn vẹn được áp dụng cho tất cả thành phần phần mềm và phần sụn và thành phần phần mềm hoặc phần sụn của một mô-đun lai ghép (ngoại trừ các thành phần phần mềm và phần cứng bên trong một thành phần phần cứng tách rời của một mô-đun lai ghép).

VE05.05.02: Nhà cung cấp cung cấp tài liệu phải quy định rõ cách thức kỹ thuật toàn vẹn được áp dụng cho tất cả thành phần phần mềm và phần sụn và thành phần phần mềm hoặc phần sụn của một mô-đun lai ghép (ngoại trừ các thành phần phần mềm và phần sụn bên trong một thành phần phần cứng tách rời của một mô-đun lai ghép) sử dụng một trong hai:

a) Một mã xác thực thông báo hoặc chữ ký hoàn chỉnh đơn lẻ;

hoặc là

b) Nhiều mã hoặc chữ ký rời rạc.

...

...

...

VE05.05.04: Tài liệu của nhà cung cấp phải quy định vị trí của khóa mật mã được sử dụng trong kỹ thuật toàn vẹn. Nếu chữ ký số đã phê duyệt được sử dụng làm kỹ thuật toàn vẹn, nhà cung cấp tài liệu cũng phải quy định rõ vị trí của khóa ký bí mật được sử dụng để tạo ra chữ ký tương ứng.

VE05.05.05: Nhà cung cấp phải cung cấp chứng chỉ khẳng định tính hợp lệ cho kỹ thuật toàn vẹn được phê duyệt như được quy định rõ trong VE02.20.01.

Các thủ tục kiểm thử cần thiết

TE05.05.01: Kiểm thử viên phải xác minh bằng cách kiểm tra mô-đun mật mã mà kỹ thuật toàn vẹn được phê duyệt áp dụng cho tất cả thành phần phần mềm và phần sụn và thành phần phần mềm hoặc phần sụn của mô-đun lai ghép (ngoại trừ các thành phần phần mềm và phần sụn bên trong phần cứng tách rời của một mô-đun lai ghép) nằm trong mô-đun.

TE05.05.02: Kiểm thử viên phải xác minh rằng nhà cung cấp đã cung cấp chứng chỉ khẳng định tính hợp lệ cho kỹ thuật toàn vẹn được phê duyệt như đã chỉ trong VE02.20.01.

TE05.05.03: Nếu mô-đun thực thi băm hoặc MAC để kiểm tra tính toàn vẹn của phần mềm/phần cứng, kiểm thử viên phải xác minh rằng tài liệu của nhà cung cấp về kiểm tra tính toàn vẹn của phần mềm/phần sụn mô tả đầy đủ quá trình mà mã băm hoặc MAC được tính toán và xác minh.

TE05.05.04: Nếu mô-đun này thực thi chữ ký số đã được phê duyệt để kiểm tra tính toàn vẹn của phần mềm/phần sụn, kiểm thử viên phải xác minh rằng tài liệu của nhà cung cấp về kiểm tra tính toàn vẹn của phần mềm/phần sụn bao gồm như sau:

a) Đặc tả của thuật toán chữ ký số đã được phê duyệt thực hiện.

b) Định danh của phần mềm và phần sụn được bảo vệ bằng chữ ký số được phê duyệt.

...

...

...

d) Xác minh chữ ký số được phê duyệt.

e) Thất bại của việc tự kiểm tra khi không xác minh chữ ký số đã được phê duyệt.

TE05.05.05: Ngay cả khi kỹ thuật toàn vẹn được phê duyệt được cung cấp bởi một mô-đun đã được kiểm chứng khác, kiểm thử viên phải kiểm tra quy định về việc vượt qua hay thất bại của kiểm tra tính toàn vẹn phần mềm/phần sụn như đã quy định rõ trong AS10.01.

TE05.05.06: Bằng cách kiểm tra mã nguồn và/hoặc tài liệu thiết kế, kiểm thử viên phải xác minh rằng việc thực hiện kiểm thử phần mềm/phần sụn có tuân theo thông tin được cung cấp trong AS05.05 và AS05.08 hay không.

TE05.05.07: Kiểm thử viên phải sửa đổi các thành phần phần mềm và phần sụn mật mã. Thử nghiệm này thất bại nếu các cơ chế toàn vẹn không phát hiện sửa đổi.

AS05.06: (An toàn phần mềm/phần sụn - Mức 1, 2, 3 và 4)

Đối với các thành phần phần mềm và phần sụn của một mô-đun mật mã phần cứng và các thành phần phần mềm hoặc phần sụn trong thành phần phần cứng tách rời của một mô-đun mật mã lai: Cơ chế mật mã sử dụng kỹ thuật toàn vẹn được phê duyệt hoặc mã phát hiện lỗi (EDC) phải được áp dụng cho tất cả thành phần phần mềm và phần sụn bên trong mô-đun phần cứng được quy định ranh giới mật mã hoặc trong các thành phần phần cứng tách rời của mô-đun lai ghép.

Thông tin cần thiết từ nhà cung cấp

VE05.06.01: Tài liệu của nhà cung cấp phải mô tả kỹ thuật toàn vẹn đã được phê duyệt hoặc mã phát hiện lỗi được áp dụng cho tất cả thành phần phần mềm và phần sụn của một mô-đun mật mã phần cứng và các thành phần phần mềm hoặc phần cứng trong một thành phần phần cứng tách rời của mô-đun mật mã lai.

...

...

...

VE05.06.03: Nếu mô-đun thực thi mã phát hiện lỗi, nhà cung cấp phải cung cấp tài liệu yêu cầu theo VE05.07.01.

VE05.06.04: Nếu mô-đun mật mã thực thi một kỹ thuật toàn vẹn đã được phê duyệt để kiểm tra tính toàn vẹn, tài liệu của nhà cung cấp phải cung cấp thông tin được quy định rõ theo VE05.05.02, VE05.05.04 và VE05.05.05.

Các thủ tục kiểm thử cần thiết

TE05.06.01: Kiểm thử viên phải xác minh bằng cách kiểm tra mô-đun mật mã rằng kỹ thuật toàn vẹn được phê duyệt hoặc mã phát hiện lỗi được áp dụng cho tất cả thành phần phần mềm và phần sụn của một mô-đun mật mã phần cứng và tất cả thành phần phần mềm hoặc phần cứng bên trong thành phần phần cứng tách rời của một mô-đun mật mã lai.

TE05.06.02: Nếu mô-đun thực thi mã phát hiện lỗi, kiểm thử viên phải làm theo các quy trình được quy định rõ trong TE05.07.01.

TE05.06.03: Nếu mô-đun thực thi mã băm hoặc MAC để kiểm tra tính toàn vẹn của phần mềm/phần sụn, kiểm thử viên phải tuân thủ các quy trình theo yêu cầu của TE05.05.03.

TE05.06.04: Nếu mô-đun thực thi một chữ ký số đã được phê duyệt để kiểm tra tính toàn vẹn của phần mềm/phần sụn, kiểm thử viên phải làm theo các thủ tục theo yêu cầu của TE5.05.04.

TE05.06.05: Bằng cách kiểm tra mã nguồn và/hoặc tài liệu thiết kế, kiểm thử viên phải xác minh rằng việc thực hiện kiểm thử phần mềm/phần sụn tuân theo thông tin được cung cấp từ AS05.06 đến AS05.08.

TE05.06.06: Kiểm thử viên phải sửa đổi các thành phần phần mềm, phần sụn mật mã. Thử nghiệm này thất bại nếu các cơ chế toàn vẹn không phát hiện ra các sửa đổi.

...

...

...

Nếu EDC được sử dụng, thì EDC có chiều dài ít nhất 16 bit.

Thông tin cần thiết từ nhà cung cấp

VE05.07.01: Nhà cung cấp phải cung cấp đặc tả của mã phát hiện lỗi được sử dụng trong mô-đun. Cơ chế này phải là mã phát hiện lỗi có chiều dài ít nhất 16 bit. Nhà cung cấp phải cung cấp:

a) Mô tả thuật toán tính EDC,

b) Tính toán của các EDC khi phần mềm và phần sụn được cài đặt,

c) Mô tả quá trình xác minh,

1) Tính toán lại các EDC khi tự kiểm tra được khởi hoạt,

2) So sánh EDC lưu trữ với EDC tính lại,

3) Đầu ra thành công hoặc thất bại dự kiến của kiểm thử.

...

...

...

TE05.07.01: Kiểm thử viên phải xác minh rằng mã phát hiện lỗi có chiều dài ít nhất 16 bit và xác minh bằng cách kiểm tra các thông tin được cung cấp sau đây:

a) Thực thi thuật toán tính EDC

b) Quá trình xác minh,

1) Tính toán lại các EDC khi tự kiểm tra được khởi hoạt,

2) So sánh EDC lưu trữ với EDC tính lại, và

3) Đầu ra thành công hoặc thất bại dự kiến của kiểm thử.

AS05.08: (An toàn phần mềm/phần sụn - Mức 1, 2, 3 và 4)

Nếu việc kiểm tra tính toàn vẹn thất bại (ví dụ kết quả tính toán không được xác minh thành công hoặc EDC không thể xác minh phụ thuộc vào loại mô-đun), mô-đun phải nhập vào trạng thái lỗi.

Thông tin cần thiết từ nhà cung cấp

...

...

...

Các thủ tục kiểm thử cần thiết

TE05.08.01: Kiểm thử viên phải xác minh xem nếu kiểm tra tính toàn vẹn thất bại, mô-đun phải nhập trạng thái lỗi.

TE05.08.02: Kiểm thử viên phải xác minh rằng mọi giá trị tạm thời được tạo ra trong suốt quá trình kiểm tra tính toàn vẹn được xóa trắng sau khi hoàn thiện kiểm tra tính toàn vẹn.

AS05.09: (An toàn phần mềm/phần sụn - Mức 1, 2, 3 và 4)

Kỹ thuật toàn vẹn được phê duyệt có thể bao gồm một mã xác thực thông báo hoặc chữ ký hoàn chỉnh đơn lẻ, hoặc nhiều mã xác thực hay chữ ký tách rời mà sự thất bại của mã xác thực hoặc chữ ký tách rời đều làm cho mô-đun đi vào trạng thái lỗi.

CHÚ THÍCH Khẳng định này không kiểm thử riêng biệt. Được kiểm tra như là một phần của AS05.05, AS05.06 và AS05.08.

AS05.10: (An toàn phần mềm/phần sụn - Mức 1, 2, 3 và 4)

Các giá trị tạm thời được tạo ra trong quá trình kiểm tra tính toàn vẹn của phần mềm hay phần sụn của mô-đun được xóa trắng khỏi mô-đun khi hoàn thành kiểm tra tính toàn vẹn.

CHÚ THÍCH Khẳng định này không kiểm thử riêng biệt. Được kiểm tra như là một phần của AS05.08.

...

...

...

Một người vận hành có thể thực hiện kiểm tra tính toàn vẹn theo yêu cầu thông qua dịch vụ HMI, SFMI, HSMI hoặc HFMI (tiểu mục 7.3.2 {TCVN 11295:2016}).