波仔
📡 第五章 防火墙功能与防范威胁的对策
📄 一句话概括

安全认证不是广告词，是「有第三方替你把文档和实现翻过一遍」。 ISCA 是日本运行的一套评价认证制度，依据的是国际标准 ISO/IEC 15408。

📝 本节和前面几节的关系

05.08 讲完性能指标，05.09 讲「怎么证明」。 标准、制度、认证产品，是三个不同层次的东西，先分清。

一、三个层次先分清

标准：规定「怎么评」。ISO/IEC 15408 就是这一层。 制度：规定「谁来评、评完发什么证」。各国的体系在这一层。 认证产品：具体的设备拿到的那张证。

ISCA 属于第二层： 它是日本国内运行的 IT 安全评价与认证体系，技术上依据 ISO/IEC 15408（公共标准）。

所以「ISCA 认证」这个说法的完整意思是： 「这台设备在日本的那套体系下、按公共标准评过，等级是 EAL 某级」。 它不代表「全世界通用」，但因为它依据的是国际标准，所以评价结论有可比性。

二、认证评的是什么

它评的不是「这台设备安不安全」，而是三件更具体的事：

一、你声称的功能，是不是真的实现了。 这叫「功能要求」（SFR）的验证。 二、你的开发过程，是不是能保证「实现和文档一致」。 这叫「保证要求」（SAR），也就是 EAL 的组成。 三、你的文档，是不是能让别人独立验证上面两条。

注意第一条的措辞：「你声称的」——这很关键。 标准不管你声称的功能强不强，只管「你有没有做到你说的」。 所以一个功能很少的产品可以拿高等级，一个功能花哨的产品可能只拿到低等级。

这个设计是有道理的： 因为「该有什么功能」因场景而异，没法统一规定；而「说了就要做到」是普适的。 但它也意味着：看等级不能代替看功能清单。

三、采购时怎么用它

三个问题，按顺序问：

一、评价范围是什么：证书上会写明「评价对象」（TOE）包含哪些部分。 如果只评了转发面，管理界面的漏洞就不在范围内。 二、等级是多少、对应哪份保护轮廓： 同一类产品往往有「保护轮廓」（PP），拿同一份 PP 的两个产品，等级才有直接可比性。 三、评价的是哪个版本：认证是对「某个固件版本」发的，升级之后严格来说要重新评。 所以证书上一定写着版本号，要和你手上的对得上。

这三问的顺序不能换： 先看范围（管不管你要的那部分），再看等级（做到什么程度），最后看版本（是不是你现在这台）。 只问「你们过没过 EAL4」是不够的。

四、动手 Demo：ISCA 这类认证，到底证明了什么

这段先把「标准、制度、认证」三个层次分开，再把 EAL 七个等级与它们的评价深度列出来， 最后说明「等级高不等于更安全」。

rows = [
    (u"EAL1", u"功能测试", u"基本可用"),
    (u"EAL2", u"结构测试", u"商用常规"),
    (u"EAL4", u"系统设计测试与复查", u"商用最高常见档"),
    (u"EAL7", u"形式化验证", u"极高保障"),
]

实跑输出：

--------------------------------------------------------------------
ISCA 这类认证，到底证明了什么
--------------------------------------------------------------------
**买安全设备时，规格书上的「已通过某某认证」不是广告，是「有人替你把文档和实现都翻过一遍」。**

**ISCA 与它依据的标准是什么关系**：

  国际标准：ISO/IEC 15408，通称「公共标准」（Common Criteria）。
  落地制度：各国自己运行的评价认证体系，ISCA 就是日本的这一套。
  FIPS 140：美国的一套，专管密码模块。

**注意区别**：标准是「怎么评」，制度是「谁来评、评完发证」。

**认证里最常被引用的一个词是 EAL**，它分七级：

  等级     评价深度               典型含义
  --------------------------------------------------
  EAL1     功能测试               基本可用
  EAL2     结构测试               商用常规
  EAL3     系统测试与检查         开发过程受控
  EAL4     系统设计测试与复查     商用最高常见档
  EAL5     半形式化设计与测试     专用硬件
  EAL6     半形式化验证           高价值场景
  EAL7     形式化验证             极高保障

**EAL 高不等于「更安全」**，**它评的是「有没有做到自己声称的功能」，不是「功能本身够不够强」。**
**一个 EAL4 的防火墙，可能功能很少但实现很扎实；一个功能花哨的产品可能只做到 EAL2。**

「标准、制度、认证」这三层要分清： 很多人把「过了 ISO/IEC 15408」与「过了某国认证」混为一谈， 其实前者是「按什么评」，后者是「谁评的、发的什么证」。

EAL4 是商用产品最常见的最高档： 再往上（EAL5 到 EAL7）要求半形式化甚至形式化验证，成本会翻好几倍，通常只有专用硬件或高保障场景才做。 所以看到 EAL4 不用觉得「不够高」，它已经是主流上限。

最后那句「等级高不等于功能强」是本节的落点： EAL 评的是「有没有做到自己声称的」，不是「声称的东西够不够强」。 所以采购时要「先看范围、再看等级、最后看版本」，三问缺一不可。

30 秒实验

  1. 找一台设备的认证证书，看它的评价范围写到哪一部分。
  2. 看证书上的固件版本与你手上的对不对得上。
  3. 想一想：为什么「功能少但扎实」的产品反而容易拿高等级？

常见误区

  1. 以为过了认证就等于安全。它只证明「说到做到」。
  2. 以为等级越高功能越强。评的是实现质量，不是功能范围。
  3. 以为认证一次永久有效。它绑定具体版本，升级后要重评。
自测三问（点开对答案） 1. 标准、制度、认证三个层次分别指什么？ —— 怎么评（ISO/IEC 15408）、谁来评发什么证（各国体系如 ISCA）、具体设备拿到的证。 2. 公共标准评的是哪三件事？ —— 声称的功能是否实现、开发过程能否保证一致、文档能否支撑独立验证。 3. 采购时看认证的三个问题按什么顺序问？ —— 评价范围、等级与保护轮廓、评价对应的版本。

下一节：美国的那套密码模块标准——FIPS 140。

相关笔记