Zdravim,
co přesně znamená ono "+" v hodnocení ? Přijde mi to jako takový typicky marketingový trik. CC pokud vím, definují sedm úrovní (EAL1 až EAL7), ale nikde se nepíše nic o jakýchsi mezistupních. Znamená tedy "+", že kromě splnění všech požadavků kladených na EAL4 jsou splněny i některé z EAL5 ? Pokud ano, je někde definováno, co to "+" přesně obsahuje ?.
Každý ochranný profil (Protection Profile) je konkretizací dokumentu Common Criteria pro nějaký typ bezpečnostních podmínek na nějaké objekty (např. SW, HW pro el.podpis). Ochranný profil se opírá tedy o CC, ale navíc je dále rozpracovává ve vztahu ke konkretní bezpečnostní problematice. Znaménko + je často využíváno a značí určité zpřísnění dané úrovně (pro daný cíl je EAL 4 málo, EAL5 zase moc). Pro konkrétní význam znaménka + je třeba se podívat na jeho význam do příslušného ochranného profilu - zde CAPP (Controlled Access Protection Profile Compliance).
Děkuji za vysvětlení,
měl bych ještě jeden dotaz. Na http://www.commoncriteriaportal.org/public/consumer/index.php?menu=5 je v seznamu PP uveden CCAP ve verzi 1.d z roku 1999 s úrovní zabezpečení EAL3. Jak tedy může být nějaký produkt certifikovaný na EAL4+, když úroveň zabezpečení daného PP je pouze EAL3 ?
Je jediné vysvětlení, existuje novější verze tohoto profilu, která umožňuje hodnocení na EAL 4+.
Ale nepomohu vám s jejím vyhledáním, navíc nemusí být ani veřejná. Chtělo by se to podívat na příslušný certifikační report, zase ovšem jestli je nebo bude k dispozici.
Podívejte se také na diskusi na Schneierově blogu: http://www.schneier.com/blog/archives/2005/12/microsoft_windo.html
k obdobné certifikaci Windows, myslím, že tu najdete řadu zajímavých postřehů.
Jinak operační systémy nejsou zrovna moje parketa a jejich hodnocení asi přeci jen je trochu i šamanství a víra (známá teze - každý i jednoduchý program má v sobě nějakou chybu a operační systém je program trošku komplikovanější...). Na druhou stranu - proces hodnocení má v sobě obsaženu potenciál řadu věci upravit tak, aby definované požadavky byly naplněny a potom zhodnotit výsledek. Tj. produkt, který prošel procesem hodnocení by měl být na tom lépe než produkt nehodnocený a to i přesto, že hodnocení nemůže být stoprocentní.