第三级商密测评—物理和环境安全

物理和环境安全层面的测评对象识别和确定

背景：

GB/T 39786-2021 《信息安全技术 信息系统密码应用基本要求》在8.1节中要求“

a） 宜采用密码技术进行物理访问身份鉴别，保证重要区域进入人员身份的真实性；

b） 宜采用密码技术保证电子门禁系统进出记录数据的存储完整性；

c） 宜采用密码技术保证视频监控音像记录数据的存储完整性

”。相应的，GB/T 43206-2023 《信息安全技术 信息系统密码应用测评要求》在“6.1 物理和环境安全”中规定该安全层面的测评对象包括信息系统所在机房等重要区域及其电子门禁系统和视频监控系统。

问题：

如何确定该层面的测评对象？

对于系统部署在非被测系统单位管辖范围之内的情况，如运营商机房、云服务提供商机房、其他单位或部门管辖的机房等，在物理和环境层面该如何判定该指标的适用性？如何开展测评？

解答：

物理和环境安全层面的测评对象为被测信息系统所在的物理机房，具体为物理机房的电子门禁系统和视频监控系统。

如果被测信息系统所在的物理机房采用多区域部署或被测信息系统重要资产分布在不同的物理机房内，那么针对该信息系统设计的所有物理机房应作为测评对象进行测评，密评人员需现场取证。

针对被测信息系统部署在被测系统单位管辖范围之外的情况，物理和环境安全层面仍然适用，即需要针对该安全层面进行测评。

1） 如果被测信息系统所在的IDC机房、运营商机房或云服务提供商机房等经历过商用密码应用安全性评估且相应系统评估结果为“符合”或“基本符合”，则可以复用商用密码应用安全性评估报告中“物理和环境安全”层面的相关测评结论。特别地，如果云平台通过了商用密码应用安全性评估，并且级别不低于云上应用系统的网络安全保护等级时，则云上应用系统（与云平台处于同一物理机房）的物理和环境安全层面可以复用云平台相应的测评结论。

2） 如果被测信息系统所在的IDC机房、运营商机房或云服务提供商机房等未经历过商用密码应用安全性评估或经历过的相应系统评估结果为“不符合”，则密评人员需要现场取证；对于条件不允许的情况，可以通过系统建设方或租赁方要求IDC机房或云服务提供商机房等运维方提供相关说明文件和证据以支撑测评结论。

问题：

当被测信息系统的机房采用多层门禁措施，且不同门禁采用的物理访问身份鉴别机制不一致时，例如外层门禁采用非密码技术，而内层门禁采用经检测认证合格的安全门禁系统实现，则物理和环境安全层面的“身份鉴别”指标该如何选择测评检查点？

解答：

针对此情况需要考虑多层电子门禁系统的保护范围。

如果信息系统所在的受保护对象都在多层门禁的保护范围之内，则可在多层门禁系统中选择密码应用最合规、正确、有效的进行测评，但要注意多层门禁之间的物理区域存在非授权人员访问的情形。

如果存在某个受保护对象只在最外层电子门禁系统的保护下，那么应该以最外层的电子门禁作为测评对象。

如果受保护对象在多个电子门禁的保护下，那么所有提供保护的电子门禁都需要测评。

几种情况示例如下：

在上述示例中：

图9-1中，可选择一个密码应用最合规、正确、有效的门禁进行测评，测评过程中两个门禁中有一个满足测评要求即可。但是同时要注意，如果门禁1与门禁2之间物理区域还有未授权人员可以访问的话，则必须对门禁2进行测评；而外层门禁可能会起到安全加固和安全风险缓解作用，密评机构需根据实际情况进行确认。

图9-2中，应选择门禁1测评。

图9-3中，门禁1和门禁2都需要测评。

电子门禁记录数据存储完整性测评时的注意事项

背景：

一些信息系统所在机房已经部署合规的电子门禁系统，厂商也声称机房进出记录受到完整性保护。

问题：

对于符合GM/T 0036-2014 《采用非接触卡的门禁系统密码应用技术指南》标准的电子门禁系统，其门禁系统内置的进出记录数据存储的完整性保护是否可以直接采信产品检测结果，如不可直接采信，是否需要门禁系统厂商提供其他证据？

解答：

由于GM/T 0036-2014 《采用非接触卡的门禁系统密码应用技术指南》中规定的相关要求，主要针对的是采用基于非接触式的门禁系统对机房进出人员身份鉴别这一场景，因此，对门禁系统进行密评实施时，按照密评相关标准，需要相关密码厂商提供门禁系统进出记录数据完整性保护的相关证据，并提供实现该密码应用的密码产品检测认证合规性的证明。

商用密码应用证书检测结果查询

注意：需要用国密浏览器打开

https://service.scctc.org.cn/xxfb/jcyw/jczscx/jcjgcx/


国密浏览器推荐
零密浏览器
https://www.zotrus.com/browser


信息系统密码应用基本要求


金融行业信息系统商用密码应用基本要求


信息系统密码应用测评要求
身份鉴别


电子门禁记录数据存储完整性


视频监控记录数据存储完整性


金融行业信息系统商用密码应用测评要求
身份鉴别


电子门禁记录数据存储完整性


视频监控记录数据存储完整性


总体评价


密评改造
浪潮云


信息系统密码应用测评作业指导
测评对象
信息系统所在机房等重要区域，测评对象包括但不限于信息系统所在的责任单位机房、 IDC机房、云服务提供商机房等。
可能涉及到的访谈人员、文档和测评工具
人员：系统负责人、安全主管、机房管理员、密码应用岗位人员（如密码操作员、 密钥管理员）、密码产品厂商研发人员等；
文档：电子门禁系统相关技术文档，如通过评估的密码应用方案、机房建设方案、 机房检测报告等；密钥管理制度及策略类文档；商用密码产品认证证书、国家密码 管理部门同意在特定行业使用的密码算法证明文件等；
测评工具：协议分析工具、算法校验工具。
测评实施操作说明


身份鉴别
推荐测评方式
第二类：配置检查、代码审查
取证过程
密码产品中，发卡过程对门禁卡中身份鉴别算法及其密钥的配置信息。
身份鉴别机制有效性证据，例如， 密码调用代码，或者条件允许情况下， 获取门禁卡与读卡器之间鉴别过程的报文（包括如鉴别过程和算法）。
门禁卡试错测试结果，例如使用其他权限门禁卡、是否可以复制门禁卡的测试 情况记录。
注：若非合规密码产品实现情形，需获取相关证据 以表明采用了有效的替代性风险控制措施，例如， 基于生物特征识别技术（如指纹、人脸等）、重要 区域出入口专人值守+机房访问登记记录 +视频监 控系统进行实时监控等检查证据。
电子门禁系统
产品类型：
电子门禁系统
测评实施要点：
1） 尝试制作一些错误的电子门禁卡，验证这些卡无法打开门禁；

2） 利用发卡系统分发不通权限的电子门禁卡，验证非授权的卡无法打开门禁；

3） 尝试复制电子门禁卡，验证无法进行有效复制

预期结果：
1） 错误的电子门禁卡无法打开门禁；

2） 不同权限的电子门禁卡仅能打开授权的门禁，非授权的电子门禁卡无法打开门禁；

3） 电子门禁卡无法被复制使用。
电子门禁记录数据存储完整性
推荐测评方式：
第二类：配置检查、代码审查；
第三类：基于密码机制的主动分析（条件允许情况下，尝试篡改）
取证过程
门禁记录及其签名值或 MAC 值等，以及如签名结果有效性验证、数据格式分析等结果。
密码产品中，门禁记录存储完整性保护算法及其密钥的配置信息。
完整性校验机制及校验结果，例如，密码调用代码，或者条件允许情况下，篡改门禁记录的测试情况记录。
视频监控记录数据存储完整性
推荐测评方式：
第二类：配置检查、代码审查；
第三类：基于密码机制的主动分析（条件允许情况下，尝试篡改）
取证过程
视频监控记录及其签名值或 MAC 值等，以及如签名结果有效性验证、数据格式分析等结果。
密码产品中，视频监控记录存储完整性保护算法及其密钥的配置信息。
完整性校验机制及校验结果，例如，密码调用代码，或者条件允许情况下，篡改视频监控记录的测试情况记录。

原文始发于微信公众号（利刃信安）：【商密测评】第三级商密测评—物理和环境安全