Internette uygulamaların güvenlik seviyelerinin ölçüldüğü ve belli seviyler içeren standartlar vardır. Hemen hemen herkes "C2 security level" tanımı ile karşılaşmıştır herhalde. Özellikle Windows NT'yi UNIX'e karşı üstün tutanların ağzından düşmeyen bir güvenlik seviyesi olan C2 nedir? ve kimler nasıl belirler bu seviyeleri?

National Security Agency adındaki organizasyon belli kriterlere ve şartlara göre test edilen uygulamaların bir listesini tutar. EPL, Evaluated Product List, denilen bu liste test edilen ürünlerin güvenlik açısından hangi seviyede olduğunu belirler. Bu ürünlerin testi ise NCSA (National Computer Security Center) organizasyonu tarafından TPEP (Trusted Product Evaluation Program) programı yürütülerek yapılır.

Ürünler daha önceden belirlenmiş olan bir index'e göre sınıflandırılırlar. TPEP'in çokça sorulan sorularında sınıfın tanımı aşağıdaki gibi yapılmıştır:

Bir sınıf Trusted Computer Security Evaluation Criteria, TCSEC'in gerektirdiği özelliklerin toplanmış halidir. TCSEC kriterinde 7 seviye vardır. Bunlar: A1, B3, B2, B1, C2, C1 ve D. Güvenlik seviyeleri büyükten küçüğe sıralanmıştır. Yani A1 seviyesine sahip bir sistem çok güvenli D seviyesi ise çok güvensiz bir sistemi belirtmektedir.

Nedir bu TCSEC? diyebilirsiniz. Güvenlik seviylerinin belirlenmesi için çeşitli organizasyonlar, onların kullandığı programlar ve bu programların da kullandığı test kriterleri vardır. İşte kullanılan bu programlar Trust Technology Assessment Program (TTAP), Trusted Product Evaluation Program (TPEP) ve Rating Maintenance Phase (RAMP)'dır. Kullanılan kriterler ise Common Criteria (CC)ve Trusted Computer Security Evaluation Criteria (TCSEC)'dir. Şimdi de kısaca bu programları ve kriterleri inceleyelim:

TPEP programı
1981 yılında Adalet Bakanlığı (Department of Defense, DoD) National Security Agency'e bilgisayar güvenliğinin sorumluluğunu verdi. Ve DoD Computer Security Center kuruldu daha sonra ismi değiştirilerek NCSC (National Computer Security Center) oldu. NCSC daha sonra "Orange Book" olarak ta bilinen ilk DoD Trusted Computer System Evaluation Criteria (TCSEC) kriterini yayınladı. 1985'te DoS Standart (DOD 5200.28-STD) adı altında tekrar yayınlanarak TCSEC kriterinin temelini oluşturdu.

TCSEC standartı güvenliğin gittikçe arttığı bir sınıflandırma yapısına sahiptir. Her seviye hem bir önceki seviyenin güvenlik seviyesine sahip olup hemde ek bazı özellikleri içermektedir.

İşte üreticilerin ürünleri bu TCSEC kriteri çerçevesinde Trusted Product Evaluation Program (TPEP) programıyla sınıflandırılır ve belli sınıf kodlarını alırlar. TPEP programıyla test edilen ve sonuçlanan ürünler EPL (Evaluation Product List) listesinde yayınlanırlar.

TPEP programının ana amacı daha fazla güvenli bilgisayar ürününün geliştirilmesini teşvik etmektir.

TTAP programı
Trust Technology Assessment Program, NSA ve National Institude of Standarts and Technology (NIST) tarafından ortaklaşa geliştirilen ve ürünlerin güvenlik testi için kullanılan ticari bir programdır. Program ilk olarak TCSEC C2 seviyesine sahip ürünler üzerinde yoğunlaşmaktadır. Ancak program ilerledikçe ve Common Criteria (CC) daha da geliştikçe diğer ürünlerde dahil edilecektir.

TTAP'e katılmak ve test işlemlerini yapmak için için öncelikle organizasyonun TTAP Evaluation Facility (TEF) olarak değerlendirilmesi gerekmektedir. İlk olarak TEF adayı TTAP Oversight Board'a başvurur. Eğer kabul edilirse TEF adayı deneme testleri yapması için girmesi için provisional TEF listesine konur. Daha sonra provisional TEF bir üreticiyle anlaşarak güvenli bir ürün üzerinde deneme testi yapar. Bu testten sonra provisional TEF, TEF seviyesine yükselir ve TTAP altında ürün tesleri yapmaya hak kazanır.

TTAP 1997'de iki yıllık bir pilot uygulamayla başladı. Bu süre içerisinde TTAP programı ve kriterleri incelenerek daha da geliştirilmesi düşünülüyor.

RAMP programı
Rating Maintenance Phase (RAMP) Bir üretici daha önceden bir EPL seviyesi almış olduğu bir ürününün yeni sürümünü çıkardığında bu sürümün de aynı seviyeye sahip olduğu söylenemez. Yani ürünün bu sürümünün de test edilerek güvenlik seviyesinin belirlenmesi gerekmektedir. Ancak ürünlerin yeni sürümleri çok hızlı bir şekilde çıktığı ve test kaynaklarının sınırlı oluşu bu işlemi imkansız kılmaktadır. Öbür yandan da ticari olarak güvenli ürünlerin oluşması için bu yeni sürümlerin de devamlı olarak test edilmesi gerekmektedir. İşte RAMP bunun için kurulmuş bir programdır.

RAMP bir ürüne tekrar bir sınıf testi yaparken test zamanını kullanılan kaynakları azaltmak yollarını aramaktadır.

CC kriteri
1996'da US, UK, Almanya, Fransa, Kanada ve Hollanda çok uluslu market için ortak bir test standartı geliştirdiler. Bu standart "Common Criteria for Information Technology Security Evaluation" (CCITSE) yada kısaca "Common Criteria" (CC) olarak bilinir.

CC altında TCSEC'teki güvenlik seviyeleri "Protection Profile" (PP) olarak belirlenirleri. TCSEC özellikleri ve seviyeleri birbirine bağlar ama CC Protection Profile'ların özelliklerin ve kriterlerin istenilen kombinasyonda birleştirilmesine imkan verir. TCSEC sınırlı bir seviye sunmasına karşın CC kullanıcıların belli bir formatta kendi gereksinimlerini yazmalarına imkan verir.

TCSEC
TCSEC bilgisayar sistemlerinin güvenliğini test etmek için kullanılan bir kriterdir. Ancak artık bu kritere göre yeni test işlemleri yapılmamaktadır. Daha önce de belirttiğim gibi kitap renginden dolayı "Orange Book" olarak ta bilinmektedir. Güvenlik seviyeleri:

D seviyesi : En düşük koruma düzeyi.
Daha üst düzeydeki kriteleri sağlayamayan sistemler bu kategoride yer alırlar ve güvensiz ürünler sınıfına dahil edilirler.

C1 seviyesi: Discretionary güvenlik seviyesi
Bu seviyedeki bir sistem kullanıcıları ve veriyi ayırarak isteğe bağlı güvenlik seviyesini sağlamaktadır. Aynı zamanda kişisel seviyede erişim sınırlamaları da sağlamaktadır. Kullanıcıların özel bilgilerini korumaları ve diğer kişilerin kazayla okumalarını engellemeleri için uygun bir sistem.

C2 seviyesi : Kontrollü erişim seviyesi
Bu seviye C1'e göre daha fazla ve daha alt düzeyede erişim kontrolü sağlamaktadır. Bu seviye login procedürleri, güvenlik olaylarının izlenmesi ve kaynak ayırımlarıyla kullanıcıların tek tek kontrol edilebilmesini gerektirmektedir.

B1 seviyesi: Etiketlenmiş güvenlik seviyesi
B1 seviyesi C2 seviyesinin tüm özelliklerini içermektedir. Bunlara ek olarak resmi olmayan security policy modelini, veri etiketleme, isimlendirilmiş nesneler üzerinde zorunlu erişim kontrolü'nü de sağlaması gerekmektedir.

B2 seviyesi: Structured güvenlik seviyesi
B2 seviyesinde TCB (Trusted Computing Base) açık olarak belirtilmiş ve döküm edilmiş formal security policy model'e dayanması gerekmektedir. B1 seviyesindeki tüm özellikleri içermesi ve mandatory erişim kontrolünün veri işleme sistemindeki tüm olay ve nesnelere kadar genişletilmesi gerekmektedir.

B3 seviyesi : Güvenlik alanları (domain)
B3 sınıfı TCB reference monitor requirementları sağlaması gerekmektedir. Bir güvenlik yöneticisi desteklenmeli ve audit makanizması tüm güvenlikle ilgili olayları kontrol etmesi için genişletilmeli ve system recovery procedürleri eklenmelidir.

A1 sınıfı: Onaylanmış tasarım seviyesi
A1 sınıfı fonksiyonellik açısından B3 seviyesiyle aynıdır. Aradaki farklılık TCB'nin tasarım ve gerçekleme tekniklerinde yatmaktadır. Kullanılan tekniklerle TCB'nin daha doğru ve güvenilir bir şekilde gerçeklenir.

EPL adresine http://www.radium.ncsc.mil/tpep/epl/index.html bir bakarsanız listede bulunan sistemlerin çoğunun şuanda hiç kullanılmayan sistemler olduğunu görürsünüz. Mesela:

AST 386/25 and Premium 386/33
HP Vectra 386
NCR PC386sx
Zenith Z-386/33

Sistemleri listede görebilirsiniz. Ancak bunlar artık tarih olmuş sistemlerdir. Anlaşıldığı kadarıyla bilgisayar sistemleri okadar hızla gelişiyorki sistemler bu uzun testlerden geçipte listede yerini alana kadar eskimiş oluyor.

Listeyi dikkatlice incelerseniz en üst güvenlik seviyesinde bulunan iki ürünün UNIX ürünü olduğunu görürsünüz. Yani dünyanın en güvenli sistemleri olarak nitelenen bu sistemler:

Wang Federal, Inc.'in XTS-300 STOP 4.1a* sistemi B3 seviyesi
Trusted Information Systems, Inc.'ın Trusted XENIX 4.0* sistemi B2 seviyesinde

Evet EPL listesinde en üst seviyede yer almayı başaran bu sistemler dünyanın en güvenli UNIX sistemleri olarak geçiyorlar.

EPL listesinde her seviyede üç değişik kategori bulunmaktadır. Mesela A1 seviyesinde işletim sistemleri, ağ ürünleri ve güvenli uygulamaları adında üç değişik kategori vardır ve bunlardan sadece ağ ürünleri kategorisi doludur. Ve bu kategoriye ulaşabilmiş ve onaylanmış tasarım etiketini alabilen iki sistem var bunlar:

The Boeing Company MLS LAN
Gemini Computers, Inc. Gemini Trusted Network Processor

sistemleridir.
Bu konuda daha fazla bilgi edinmek ve araştırmak için http://www.radium.ncsc.mil adresine gidiniz.

Windows NT güvenliği hakkında ufak bir hikaye: IBM'in çözüm ortağı Metacom'da çalıştığım sıralarda IBM'de bir eğitim seminerine gitmiştim. Bu arada Metacom IBM'in RS6000 çözüm ortağıydı. Ortağıydı diyorum zira en son elemanı olan ben de ordan çıktıktan sonra şirket battı! RS6000 sistemini bilmeyenler için kısaca açıklayayım IBM'in Risc işlemciler üzerinde çalışan AIX isimli unix sistemidir RS6000. Seminere Windows NT sistem yöneticileri de vardı. Bir arkadaşla neden RS6000? sorusu üzerinde tartışırken NT hayranı bir yönetici geldi ve tabi bir UNIX'çi olarak benim NT'nin güvenilirsizliği üzerine söylediklerimi duymuş olacak ki hemen konuşmaya katıldı. Ve NT güvenliği konusundaki savunmasında söylediği ilk söz NT'nin C2 güvenlik seviyesini almış olduğuydu! Yani NT'yi savunanlar (aynı zamanda diğer kullanıcılar da)C2 güvenlik seviyesini alan bir sistemin güvenli olduğunu düşünmektedirler. Ama bu yaygın kanaat aslında yanlıştır. Çünkü C2 güvenlik seviyesi aslında yukarıda da görebileceğiniz gibi listedeki en düşük seviyedir. Ve zaten güvenlik konusunda iddialı olmak isteyen her sistemin sahip olması gereken en alt düzey seviyedir. Çoğu kişi EPL'in ne olduğunu bilmediği için C2 güvenlik seviyesini almış ve NSA tarafından güvenli kabül edilmiş denilince sistemin tamamen güvenli olduğunu sanıyorlar. Kaldıki NT C2 güvenlik seviyesini sadece belli platformlar üzerinde ve ağ bağlantısı yokken almıştı, sadece Compaq Proliant 2000 ve 4000 Pentium ve the DECpc AXP/150 Alpha üzerinde.

Ben bir NT taraftarı yada bir UNIX taraftarı olarak bir NT ve UNIX tartışmasına girmek istemiyorum. Ve NT sisteminin güvensiz bir sistem olduğunu da vurgulamak niyetinde değilim, Windows NT'yi Service Pack 6.0 ve C2 security güncellemeleri ile daha güvenli hale getirmek için çalışan ürün geliştiricilerini aslında bu başarılarından dolayı kutluyorum. Ben sadece kullanıcıların bazı konularda doğru bilgilenmeleri ve olayları daha doğru yorumlamaları gerektiği kanısındayım.

eline koluna bacagına sağlık.

valla heryerine sağlık kısacası
güzel dökümanlar

ehueheu lütfen forumda sapıklık yapmayalım :D:DD