あなたが設計したLSIから秘密情報が漏れてます ―― 暗号回路のトレンドはアルゴリズムの標準化から実装の安全性評価へ
● 暗号モジュールのセキュリティ評価基準も標準化へ
そこで登場するのが,情報セキュリティ製品の国際評価基準「ISO/IEC 15408 Common
Criteria」です(図2(a)).これは,製品開発者がセキュリティ目標を定め,それが正しく実装され,想定した環境において矛盾なく動作することを公的な第三者機関が検証することを規定したものです.ICカードのカタログには,「ISO/IEC 15408 EAL4」といった表記が見受けられます.このEALは"Evaluation Assurance Level"の略で,1~7のレベルが設定されています.レベルの高いものほど,セキュリティ目標に記載された事項がより厳密に検証されていることを表しています.
ただし,セキュリティ目標は開発者が自由に定めることができるので,製造から配送までの間に製品に改変が加えられていないことを保障する場合もあれば,暗号機能を対象外とする場合もあるなど,千差万別です.EALのレベルがセキュリティ強度を示すものではないことに注意が必要です.
ISO/IEC 15408を取得する製品が増えるにしたがって,製品カテゴリに応じた標準的なプロファイルが順次でき上がっています.こうした中,高いレベルのEALを取得するということは,セキュリティに真剣に取り組んでいる姿勢の表れでしょう.日本政府もISO/IEC
15408を取得した製品の利用を推進しています.