信息安全技术无线局域网客户端安全技术要求（评估保障级2级增强）(GB-T 33563-2017).docx

《信息安全技术无线局域网客户端安全技术要求（评估保障级2级增强）(GB-T 33563-2017).docx》由会员分享，可在线阅读，更多相关《信息安全技术无线局域网客户端安全技术要求（评估保障级2级增强）(GB-T 33563-2017).docx（35页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、ICS35.040L80中华人民共和国国家标准GB/T XXXXXXXXX信息安全技术 无线局域网客户端安全技术要求（评估保证级2级增强）Information security technology Security technology requirements on Wireless Local Area Network (WLAN) Client（EAL2+）XXXX - XX - XX发布XXXX - XX - XX实施GB/T XXXXXXXXX目次前言引言1范围12规范性引用文件13术语和定义14缩略语25约定26TOE描述36.1概述36.2管理46.3加密46.4审计46.5

2、鉴别46.6TOE IT环境47TOE安全环境47.1假设47.2威胁57.3组织安全策略58安全目的58.1TOE安全目的68.2环境安全目的69TOE安全要求79.1TOE安全功能要求79.1.1概述79.1.2FAU类:安全审计89.1.3FCS类:密码支持99.1.4FDP类:用户数据保护109.1.5FMT类:安全管理109.1.6FPT类:TSF保护119.2TOE安全保证要求1210IT环境安全要求1210.1概述1210.2FAU类:安全审计1310.3FDP类:用户数据保护1410.4FIA类:标识与鉴别1410.5FMT类:安全管理1410.6FPT类:TSF保护15附录A

3、（资料性附录）基本原理16A.1概述16A.2安全目的基本原理16A.3安全要求基本原理20参考文献29前言本标准按照GB/T 1.1-2009给出的规则起草。本标准由全国信息安全标准化技术委员会（SAC/TC 260）提出并归口。本标准主要起草单位：中国信息安全测评中心、北京邮电大学、中国科学院研究生院信息安全国家重点实验室、西安西电捷通无线网络通信股份有限公司。本标准主要起草人：郭涛、朱龙华、崔宝江、刘威鹏、张翀斌、张普含、时志伟、郝永乐、王眉林、胡亚楠。引言本标准依据GB/T 18336-2008信息技术安全技术信息技术安全性评估准则中所规定的安全技术要求（保护轮廓）的结构形式，参考GB

4、/Z 20283-2006 信息安全技术保护轮廓和安全目标的产生指南，制定了无线局域网客户端安全技术要求（评估保证级2级增强）。本标准详细描述了与无线局域网客户端安全环境相关的假设、威胁、组织安全策略，定义了无线局域网客户端及其支撑环境的安全目的，并由其导出安全功能要求和安全保证要求，通过基本原理论证安全要求能够追溯并覆盖安全目的，安全目的能够追溯并覆盖安全环境相关的假设、威胁和组织安全策略。本标准定义了必须在生产商安全目标文档中包括的安全要求的最小集合，但对无线局域网客户端的具体技术实现方式、方法等不作要求。IIIGB/T XXXXXXXXX信息安全技术无线局域网客户端安全技术要求（评估保证

5、级2级增强）1 范围本标准规定了无线局域网客户端（评估保证级2级增强）的安全技术要求，主要包括无线局域网客户端的安全假设、威胁和组织策略，以及安全目的、安全功能要求和安全保证要求。本标准在GB/T 18336-2008中规定的评估保证级2级安全保证要求组件的基础上，增加了评估保证级3级中的ACM_SCP.1（TOE CM覆盖），ALC_FLR.2（缺陷报告过程）和AVA_MSU.1（指南审查）三个保证组件。本标准适用于符合评估保证级2级增强的无线局域网客户端的设计、开发、测试、评估和产品的采购。2 规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于

6、本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB 15629.11-2003信息技术 系统间远程通信和信息交换 局域网和城域网 特定要求第11部分：无线局域网媒体访问控制和物理层规范GB 15629.11-2003/XG1-2006 信息技术 系统间远程通信和信息交换 局域网和城域网 特定要求第11部分：无线局域网媒体访问控制和物理层规范第1号修改单GB/T 18336.1-2008 信息技术 安全技术 信息技术安全性评估准则 第1部分：简介和一般模型GB/T 18336.2-2008 信息技术 安全技术 信息技术安全性评估准则 第2部分：安全功能要求GB/T

7、18336.3-2008 信息技术 安全技术 信息技术安全性评估准则 第3部分：安全保证要求GB/T 25069-2010 信息安全技术 术语3 术语、定义GB/T 18336-2008、GB/T 25069-2010中界定的及以下术语和定义适用于本标准。3.1基本服务组 basic service set；BSS受单个协调功能所控制的站集合。3.2扩展服务集 extended service set; ESS由一个或多个互联的BSS与集成的局域网（LAN）构成的集合，对与其中某个BSS站点关联的任何站的逻辑链路控制层而言，它表现为单个的BSS。3.3独立基本服务组 independent b

8、asic service set; IBSS能够成一个自包含网络且不能访问DS的BSS。3.4泛端口 portal逻辑点，来自非本部分的局域网的MAC服务数据单元在本逻辑点上进入ESS中的分布式系统。3.5站(点) station;STA包含符合本标准的与无线媒体的MAC和PHY接口的任何设备。3.6无线局域接入系统 WLAN access system由能够实现用户接入无线局域网络的设备构成的整体。4 缩略语下列略缩语适用于本标准BSS基本服务组（Basic Service Set）CM配置管理（Configuration Management）EAL评估保证级（Evaluation Ass

9、urance Level）ESS扩展服务集（Extended Service Set）IBSS独立基本服务组（Independent Basic Service Set）IT信息技术（Information Technology）PP保护轮廓（Protection Profile）SF安全功能（Security Function）SFP安全功能策略（Security Function Policy）SOF功能强度（Strength of Function）ST安全目标（Security Target）STA站（点）（Station）TOE评估对象（Target of Evaluation）TS

10、CTSF控制范围（TSF Scope of Control）TSFTOE安全功能（TOE Security Functions）TSFITSF接口（TSF Interface）TSPTOE安全策略（TOE Security Policy）WASWLAN接入系统（WLAN Access System）WLAN无线局域网（Wireless Local Area Network）5 约定5.1 假设TOE安全环境假设的命名以“A.”(Assume)开始例如，A.ADMINISTRATION。5.2 威胁TOE安全环境威胁的命名以“T.” (Threat)开始例如，T.SIGNAL_DETECT。5.

11、3 策略TOE安全环境策略的命名以“P.”(Policy)开始例如，P.GUIDANCE。5.4 目的TOE安全目的和IT环境安全目的的命名分别以“O.”(Objective)和“OE.”(Objective Environment)开始例如，O.ACCESS和OE.ADMIN。5.5 扩展要求本标准中使用的部分安全要求并未包括在GB/T 18336-2008中，这样的要求被称为“扩展要求”。扩展要求按照GB/T 18336-2008中“类/族/组件”模型进行定义和标识。在本标准中，扩展要求使用“EXP”表示。5.6 操作GB/T 18336-2008允许对功能组件进行四种操作：赋值、细化、选

12、择和反复，以执行安全功能要求。本标准按以下方式突出标识上述四种操作：赋值：允许指定参数。赋值部分以粗斜体形式表示。细化：允许增加细节。细化部分以下划线形式表示。选择：允许从一个列表中选定一项或者多项。选择部分将以粗体形式表示。反复：允许一个组件在不同操作时被使用超过一次以上。6 TOE描述6.1 综述典型的无线局域网系统包括IBSS、BSS和ESS三种结构，如图1-图3所示。本标准的评估对象（TOE）指的是IBSS、BSS以及ESS结构下的无线局域网客户端，是STA的一种存在形态。目前TOE典型的存在形式有PCI、PCMICA、USB接口无线网卡以及其他嵌入式无线网卡等。TOE是用户接入WLA

13、N的最终设备，任何情况下WLAN客户端与无线或有线网络间的数据交互都必须通过无线局域网接入系统（WAS）。图1 IBSS结构下的TOE图2 BSS结构下的TOE图3 ESS结构下的TOETOE在大多数情况下组件作为存在于计算机或移动设备中。因此，TOE自身不能提供典型环境下所需要的全部安全要求。TOE主要依靠其自身附带的计算环境来执行管理任务。因此需要对于TOE IT环境附加一定的安全要求。TOE安全功能要求和IT环境安全要求能够缓解威胁和满足策略。6.2 管理管理员负责安装、配置和维护TOE。由于TOE是更大系统的一部分，所以负责管理TOE IT环境的管理员也应负责管理TOE。本标准不排除多

14、个单独管理的角色，但是要求只有一个TOE管理员。6.3 加密TOE包括密码模块的要求。密码模块是提供密码服务的系统或应用的一部分。符合本标准的产品和系统应使用符合国家标准和国家密码管理机构批准的密码模块。6.4 审计TOE是更大系统的一部分，其审计的职责仅限于产生审计事件。TOE的IT环境可以提供审计事件存储、查阅和恢复等审计机制。6.5 鉴别TOE在大多数情况下组件作为存在于计算机或移动设备中，因此，不需要标识和鉴别功能。但TOE的IT环境可以提供用户-主体绑定等鉴别机制。6.6 TOE IT环境运行TOE所需的操作系统和硬件平台（例如，PC、笔记本计算机）一般不要求作为TOE的一部分。但是

15、，由于TOE是更大系统的一部分，因此对于TOE所依赖IT环境增加保护是必要的。7 TOE安全环境7.1 假设 7.1.1 A.PHYSICALTOE IT环境提供与TOE及其所包含数据的价值相一致的物理安全。7.1.2 A.NO_EVIL管理员是可信的，经过正式培训且遵循管理员指南。7.2 威胁7.2.1 T.ACCIDENTAL_ADMIN_ERROR管理员可能不正确安装或配置TOE，导致无效的安全机制。7.2.2 T.CRYPTO_COMPROMISE用户或进程可能引起与密码功能相关联的关键数据或可执行代码被不适当的访问（查看、修改或删除），从而破坏了密码机制和受该机制保护的数据。7.2.

16、3 T.POOR_DESIGN要求规范或TOE设计中的无意错误可能导致可被恶意用户或进程利用的缺陷。7.2.4 T.IMPLEMENTATIONTOE设计的实施中的无意错误可能导致恶意用户或进程利用的缺陷。7.2.5 T.POOR_TEST由于缺乏或对TOE安全功能正确运行的测试不充分，导致不正确TOE的行为未被发现，从而存在潜在的安全脆弱性。7.2.6 T.RESIDUAL_DATA恶意用户或进程利用重新分配TOE资源来获取对于资源的未授权访问。7.2.7 T.TSF_COMPROMISE恶意用户或进程通过简易的攻击引起TSF数据或可执行代码被非法的访问（查看、修改或删除）。7.3 组织安全

17、策略7.3.1 P.ACCOUNTABILITYTOE的授权用户对自身在TOE内的行为负责。7.3.2 P.CRYPTOGRAPHY只有符合国家标准和国家密码管理机构要求的密码（方法和实施）才能用于密钥管理（例如，密钥的产生、访问、分发、销毁、处理和储存）和密码服务（例如，加密、解密、签名、散列、密钥交换和随机数产生服务）。8 安全目的8.1 TOE安全目的8.1.1 O.ADMIN_GUIDANCETOE应为安全管理员提供必要的信息以便于安全管理。8.1.2 O.AUDIT_GENERATIONTOE应具有检查和创建与用户相关联的安全相关事件记录的能力。8.1.3 O.CORRECT_TSF

18、_OPERATIONTOE应提供测试TSF以确保TSF在客户站点正确运行的能力。8.1.4 O.CRYPTOGRAGHYTOE应使用已获国家标准和国家密码管理机构要求的密码服务。8.1.5 O.MANAGETOE应提供支持管理员管理TOE安全所必需的功能和设施。8.1.6 O.RESIDUAL_INFORMATIONTOE应确保资源被重新分配时TOE控制范围受保护资源所包含的任何信息不被泄漏。8.1.7 O.CONFIGURATION_IDENTIFICATION由于TOE迅速重新分发，应采用一种方式完全标识TOE的配置，该方式将允许在实现时错误能够被标识和改正。8.1.8 O.DECUMEN

19、TED_DESIGNTOE的设计应以文档的形式充分和准确地记录。8.1.9 O.PARTIAL_FUNCTIONAL_TESTING应对TOE进行安全功能测试以表明TSF满足它的安全功能要求。8.1.10 O.VULNERABILITY_ANALYSIS应对TOE进行脆弱性分析以表明TOE的设计和实施不包含任何明显的缺陷。8.2 环境安全目的8.2.1 OE.MANAGETOE IT环境应增加TOE的功能和设施以支撑管理员对于TOE安全的管理，并且要防止这些功能和设施被未授权使用。8.2.2 OE.NO_EVIL管理员是可信的，经过正式培训且遵循管理员指南。8.2.3 OE.PHYSICALI

20、T环境提供与TOE价值和TOE包含的数据相称的物理安全。8.2.4 OE.RESIDUAL_INFORMATIONTOE IT环境确保资源被重新分配时TOE控制范围内保护资源包含的信息不能被泄漏。8.2.5 OE.SELF_PROTECTIONTOE IT环境应为自身和TOE本身运行维护一个域，该域能够保护它们及其资源免受外部干扰或非授权暴露。8.2.6 OE.TIME_STAMPSTOE IT环境应提供可靠的时间戳并为管理员提供为时间戳设置时间的能力。8.2.7 OE.TOE_ACCESSTOE IT环境应提供对用户逻辑访问TOE进行控制的机制。9 TOE安全要求9.1 TOE安全功能要求9

21、.1.1 概述本文规定了TOE必须满足的安全功能要求，这些要求由GB/T 18336.2给出的和扩展的安全功能要求组件组成。表1列出了无线局域网客户端安全功能要求组件，并对各组件给出了详细的说明。TOE安全功能强度声明：除了密码功能外，通过概率和排列机制实现的TOE安全功能的最小强度为基本级功能强度。表1 TOE安全功能要求安全功能要求类安全功能要求组件组件名称依赖关系FAU类:安全审计FAU_GEN_EXP.1审计数据产生FPT_STM.1FCS类:密码支持FCS_BCM_EXP.1基准密码模块无FCS_CKM_EXP.2密钥建立FDP_ITC.1或FCS_COP_EXP.1; FCS_CK

22、M.1;FCS_CKM.4;FMT_MSA.2FCS类:密码支持FCS_CKM.4密钥销毁FDP_ITC.1或FDP.ITC.2或FCS_CKM.1FMT_MSA.2FCS_COP_EXP.1随机数产生FDP_ITC.1表1(续) TOE安全功能要求安全功能要求类安全功能要求类安全功能要求类安全功能要求类FCS类:密码支持FCS_COP_EXP.1随机数产生或FCS_CKM.1;FCS_CKM.4;FMT_MSA.2FCS_COP_EXP.2密码操作（数据加解密）FDP_ITC.1或FCS_CKM.1;FCS_CKM.4;FMT_MSA.2FDP类:用户数据保护FDP_IFC.1子集信息流控制

23、FDP_IFF.1FDP_IFF.1简单安全属性FDP_IFC.1FMT_MSA.3FDP_RIP.1子集残留信息保护无FMT类:安全管理FMT_MSA.2安全的安全属性ADV_SPM.1FDP_IFC.1FMT类:安全管理FMT_MSA.2安全的安全属性FMT_MSA.1FMT_SMR.1FMT_MSA.3静态属性初始化FMT_MSA.1FMT_SMR.1FMT_SMF.1(1)管理功能规范（密码功能）无FMT_SMF.1(2)管理功能规范（审计记录产生）无FMT_SMF.1(3)TSF数据管理（密码密钥数据）无FPT类:TSF保护FPT_TST_EXP.1TSF测试无FPT_TST_EXP

24、.2对密码模块进行TSF测试无9.1.2 FAU类：安全审计9.1.2.1 FAU_GEN_EXP.1 审计数据产生FAU_GEN_EXP.1.1 TSF应能为下述可审计事件产生审计记录：a）所有表2中列出的审计事件。表2 审计事件要求审计事件附加的审计记录内容FCS_CKM_EXP.2密钥传输过程中的检测到的错误无FCS_CKM.4密钥的销毁无FDP_IFC.1丢弃不满足无线客户端加密策略的数据包源和目的设备的MAC地址FMT_SMF.1(1)改变TOE加密算法，包括选择对通信不进行加密加密算法选择（或无）FMT_SMF.1(3)改变密钥数据无（TOE不应在审计日志中记录密钥）FPT_TSF

25、_EXP.1执行自检自检成功或失败FPT_TSF_EXP.2执行自检自检成功或失败FAU_GEN_EXP.1.2 TSF应在每个审计记录中至少记录下列信息：a）事件的日期和时间，事件的类型，主体身份（如果适用）、事件的结果（成功或失效）；b）对每种审计事件类型，基于PP/ST中功能组件的可审计事件，表2审计事件第三列规定的信息。应用注释：如果在审计事件中记录的数据是有意义的，那么“如果适用”指的就是在审计记录中应包含的数据。对于某些审计事件而言，如果没有特别说明，那么“无”审计记录也是可以接受的。9.1.3 FCS类：密码支持9.1.3.1 FCS_BCM_EXP.1 基准密码模块FCS_BC

26、M_EXP.1.1 密码模块在执行密码功能时应采用国家标准和国家密码管理机构相关标准要求的密码算法。FCS_BCM_EXP.1.2 对TOE密码模块进行认可的测试应该遵循国家标准和国家密码管理机构相关标准。9.1.3.2 FCS_CKM_EXP.2 加密密钥建立FCS_CKM_ EXP.2.1 TSF应提供以下加密密钥建立技术：通过人工装载建立加密密钥，赋值：附加的加密密钥建立技术。密码模块依据国家标准和国家密码管理机构相关标准规定的手工加密密钥分发方法能在下面的环境赋值：密码模块输出密钥的环境接受密钥输入和输出密钥。应用注释：ST作者使用第一个赋值以显示评估中应该包括的附加密钥生成技术。如果

27、TOE不包括附加密钥生成技术，那么就赋值为“无”。应用注释：ST作者使用第二个赋值去详细描述密钥从密码模块输出的条件（例如，仅在某种类型的密钥产生活动期间）。应用注释：这个要求规定TSF密码模块有能力执行手工密钥输入/输出，这个能力应遵循国家标准和国家密码管理机构认可的过程。这不排除ST作者规定额外的密钥生成技术。9.1.3.3 FCS_CKM.4 密钥销毁FCS_CKM.4.1 TSF应根据符合下列条件的密钥归零方法来销毁密钥：a）符合国家标准和国家密码管理机构相关标准中的密钥安全管理的密钥归零要求b）对所有私钥、明文加密密钥和其它重要的密码安全参数进行清零是迅速的、完备的c）通过三次或三次

28、以上交替地覆盖重要的密码安全参数储存区执行归零操作d）一旦将密钥/CSP传输到其他地方，TSF应三次或三次以上交替地覆盖私钥、明文加密密钥和其它重要的密码安全参数的中间储存区应用注释：d）适用于密钥/参数在处理过程中进行复制时涉及的位置，而b）c）适用于规定的存储密钥时被使用的位置。临时位置包括寄存器、物理存储器位置，甚至页文件和内存转储区。9.1.3.4 FCS_COP_EXP.1 随机数产生FCS_COP_EXP.1.1 TSF应产生TSF密码功能中所使用的所有随机数。随机数产生器应符合国家标准和国家密码管理机构相关标准的要求。应用注释：无论何时一个参考标准要求随机数产生功能，这个要求确认

29、了可以接受的随机数产生器的子集。虽然国家标准和国家密码管理机构认可的密码模块中要求实施随机数产生功能，但是在执行满足FCS_COP_EXP.2的密码运行的密码模块中没有要求实施随机数产生功能。注意，这个要求没有要求随机数产生功能是通用的（例如，通过API的非可信用户）。9.1.3.5 FCS_COP_EXP.2 密码运行FCS_COP_EXP.2.1 遵循无线客户加密策略，通过使用赋值：国家标准和国家密码管理机构认可的算法运行在赋值：一个或多个国家标准和国家密码管理机构支持的模式支持赋值：一个或多个国家标准和国家密码管理机构认可的密钥长度的密码模块执行加密和解密。9.1.4 FDP类:用户数据

30、保护9.1.4.1 FDP_IFC.1 子集信息流控制FDP_IFC.1.1 TSF应对主体：客户端，接入系统；信息：网络数据包；操作：接收数据包和传输数据包执行TOE加密策略。9.1.4.2 FDP_IFF.1 简单安全属性FDP_IFF.1.1 TSF应基于下列类型的主体和信息安全属性：主体：客户端，接入系统；信息：加密/加密标志；网络接口的传播方向执行TOE加密策略。FDP_IFF.1.2 如果支持下列规则，TSF应允许一个受控主体和受控信息之间由受控操作流动：a）如果加密/解密标志没有显示TOE应该执行加密，那么所有数据包可能不进行任何修改就通过。b）如果传输的方向是从操作系统到网络接

31、口，且加密/解密标志显示TOE应该执行加密，那么TOE必须通过FCS_COP_EXP.2.1加密用户数据。如果成功，通过无线接口传输数据包。c）如果传输的方向是从网络接口到操作系统，且加密/解密标志显示TOE应该执行解密，那么TOE必须通过FCS_COP_EXP.2.1解密用户数据。如果成功，把信息交给操作系统。d）选择：赋值：对于每一个TSF将执行的操作，主体和信息安全属性之间支持的基于安全属性的关系，访问点/系统策略规则没有确定附加的信息流。FDP_IFF.1.3 TSF应执行选择：赋值：附加的信息流控制SFP规则，“没有附加的信息流控制SFP规则”FDP_IFF.1.4 TSF应提供下列

32、选择：赋值：附加的SFP能力列表，“没有附加的SFP能力”。FDP_IFF.1.5 TSF应根据下列规则：选择：赋值：基于安全属性明确授权信息流的规则，“没有清晰的授权规则”明确批准一个信息流。FDP_IFF.1.6 TSF应根据下列规则：选择：赋值：基于安全属性明确拒绝信息流的规则，“没有清晰的拒绝规则”明确拒绝一个信息流。应用注释：加解密标志确定对TOE进行管理设置。应用注释：TOE加密策略使用本标准TOE环境部分描述的P.WIRELESS ENCRYPTION SFP加密策略。虽然P.WIRELESS ENCRYPTION SEP描述得非常明确（当管理员要求TOE加密/解密无线流量时，T

33、OE应该遵守这个要求），但是策略具体实施的过程中要求考虑数据流经TOE的方向。9.1.4.3 FDP_RIP.1 子集残留信息保护FDP_RIP.1.1 TSF应确保一个资源的任何先前信息内容，在选择：分配资源到，释放资源自客体网络数据包对象时不再可用。应用注释：这个要求保证TOE不允许先前传输的数据包数据插入到当前数据包未使用的区域或填充区。相似地，TOE必需确保清除共享存储区内先前传输的数据包内容或用于传输TOE与安装TOE的计算机之间数据包的机制（TSC内）。9.1.5 FMT类:安全管理9.1.5.1 FMT_MSA.2 安全的安全属性FMT_MSA.2.1 TSF应确保安全属性只接受

34、安全的值。9.1.5.2 FMT_MSA.3 静态属性初始化FMT_MSA.3.1 TSF应执行无线客户加密策略，以便为用于执行SFP的安全属性提供受限的默认值。FMT_MSA.3.2 TSF应允许管理员在客体或信息被创建时指定替换性的初始值以代替原来的默认值。9.1.5.3 FMT_SMF.1(1) 管理功能规范（密码功能）FMT_SMF.1.1(1) TSF应能执行下面的安全管理功能：遵照无线客户端策略（通过FCS_COP_EXP.2）对网络数据包进行加解密。应用注释：这个要求确保负责管理TOE的人员能够对WLAN客户端传输的加密/解密数据选择FCS_COP_EXP.2指定的加密算法或不进

35、行加密。9.1.5.4 FMT_SMF.1(2) 管理功能规范（TOE审计记录产生）FMT_SMF.1.1(2) TSF应能执行下面的管理功能：打开或关闭安全审计（FAU_GEN_EXP.1）。应用注释：这个要求确保负责管理TOE的人员能够打开或关闭TOE审计记录产生。9.1.5.5 FMT_SMF.1(3) 管理功能规范（密码密钥数据）FMT_SMF.1.1(3) TSF应能执行下面的安全管理功能：遵照无线客户端策略设置、修改和删除密码密钥和密钥数据，打开或关闭密码密钥测试验证的功能。应用注释：这个要求的目的是提供配置TOE密钥的能力。配置密钥数据包括：设置密钥的生命周期，设置密钥长度等等。

36、9.1.6 FPT类:TSF保护9.1.6.1 FPT_TST_EXP.1 TSF测试FPT_TST_EXP.1.1 TSF应在初始启动或接收到授权用户的请求时将运行一套自测工具以显示TSF硬件部分的正常运行。FPT_TST_EXP.1.2 TSF应为授权用户提供使用TSF提供的加密功能去验证除审计数据以外所有TSF数据的完整性的能力。FPT_TST_EXP.1.3 TSF应能使用TSF提供的加密功能去验证存储的TSF可执行代码的完整性。应用注释：FPT_TST_EXP.1.1中，仅有TSF的硬件需要自测，这是因为硬件会随时间而变化（老化出现故障），所以这是有意义的；而软件通常不需要自测。FP

37、T_TST_EXP.1.3解决了TSF软件完整性。FPT_TST_EXP.1.2中，ST作者应确定不需要完整性验证的TSF数据。虽然一些TSF数据是动态的，因此不应该进行完整性验证，但是所有需要完整性验证的TSF数据被期望遵循这个要求。在元素FPT_TST_EXP.1.1和FPT_TST_EXP.1.2中，虽然典型的MAC和散列函数能被用于完整性验证，但是密码机制必须是FCS_COP_EXP.2指定的加密算法。由于本标准没有明确要求任何MAC或散列函数，ST作者可能重复FCS_COP_EXP.2。9.1.6.2 FPT_TST_EXP.2 对密码模块进行TSF测试FPT_TST_EXP.2.1

38、 TSF应在初始启动或接收到授权用户的请求时将运行一套自测工具以显示TSF加密组件的正常运行。FPT_TST_EXP.2.2 TSF应在产生密钥后立即运行一套遵循国家标准和国家密码管理机构相关标准的密码模块自测工具。应用注释：FPT_TST_EXP.2.2元素并没有强制要求TOE产生密钥。9.2 TOE安全保证要求本文规定了TOE必须满足的安全保证要求，这些要求由GB/T 18336.3-2008中的评估保证级2级的安全保证要求组件和增强组件组成，表3中用粗体字突出了增强组件。这些保证要求确定了TOE管理和评估活动，它们对于解决本标准所确定的威胁和策略是必需的。表3 TOE安全保证要求保证类保

39、证组件组件名称ACM：配置管理ACM_CAP.2 配置项ACM_SCP.1 TOE CM 覆盖ADO：交付和运行ADO_DEL.1 交付程序ADO_IGS.1 安装、生成和启动程序ADV：开发ADV_FSP.1 非形式化功能规范ADV_HLD.1 描述性高层设计ADV_RCR.1 非形式化对应性证实AGD：指导性文档AGD_ADM.1 管理员指南AGD_USR.1 用户指南ALD：生命周期支持ALC_FLR.2 缺陷报告程序ATE：测试ATE_COV.1 覆盖证据ATE_FUN.1 功能测试ATE_IND.2 独立测试抽样AVA：脆弱性评定AVA_MSU.1 指南审查AVA_SOF.1 TOE

40、安全功能强度评估AVA_VLA.1 开发者脆弱性分析10 IT环境安全要求10.1 概述本问规定了TOE IT环境必须满足的安全功能要求，这些要求由GB/T 18336.2中的安全功能要求组件组成。表4列出了WLAN客户端安全功能要求组件，并对各组件给出了详细的说明。表4 IT环境安全要求安全功能要求类功能组件要求组件组件名称依赖关系FAU类：安全审计FAU_GEN.2用户身份关联FAU_GEN.1FIA_UID.1FAU_SAA.1潜在侵害分析FAU_GEN.1FAU_SAR.1审计查阅FAU_GEN.1FAU_SAR.2限制审计查阅FAU_SAR.1表4(续) IT环境安全要求安全功能要求

41、类功能组件要求组件组件名称依赖关系FAU类：安全审计FAU_SAR.3可选审计查阅FAU_SAR.1FAU_SEL.1选择性审计FAU_GEN.1FMT_MTD.1FAU_STG.1受保护的审计迹存储FAU_GEN.1FAU_STG.3审计数据可能丢失时的行为FAU_STG.1FDP类：用户数据保护FDP_RIP.1子集残留信息保护无FIA类：标识与鉴别FIA_USB.1用户主体绑定FIA_ATD.1FMT类：安全管理FMT_MOF.1安全功能行为的管理FMT_SMR.1FMT_SMF.1FMT类：安全管理FMT_MTD.1TSF数据的管理FMT_SMR.1FMT_SMF.1FMT_SMR.1

42、安全角色FIA_UID.1FPT类：TSF保护FPT_RVM.1TSP的不可旁路性无FPT_SEP.1TOE IT环境域分离无FPT_STM.1可信时间戳无应用注释：本标准要求TOE IT环境提供重要的功能。声明符合本标准的ST通过包括同样的要求作为TOE的一部分，满足一些或全部IT环境应该实现的要求也是可以接受的。10.2 FAU类:安全审计10.2.1 FAU_GEN.2用户身份关联FAU_GEN.2.1 TOE IT环境应能将每个可审计事件与引起该审计事件的用户身份进行关联。10.2.2 FAU_SAA.1 潜在侵害分析FAU_SAA.1.1 TOE IT环境应能使用一组规则去监测审计事

43、件，并基于这些规则指示出一个对TSP的潜在侵犯。FAU_SAA.1.2 TOE IT环境应执行下列规则监测审计事件：a）已知的用来指示潜在安全侵害的可审计事件的积累或表2中审计事件的组合b）无附加的规则。10.2.3 FAU_SAR.1 审计查阅FAU_SAR.1.1 TOE IT环境应为管理员提供从审计记录中读取所有审计数据的能力。FAU_SAR.1.2 TOE IT环境应以便于管理员理解的方式提供审计记录。应用注释：这个要求确保TOE IT环境为管理员提供管理员查看TOE产生的审计记录所必需的功能。10.2.4 FAU_SAR.2 限制审计查阅FAU_SAR.2.1 除明确准许读访问的用户

44、外，TOE IT环境应禁止所有用户对审计记录的读访问。应用注释：这个要求确保访问TOE产生的审计记录仅限于那些被授权查看信息的用户。10.2.5 FAU_SAR.3 可选审计查阅FAU_SAR.3.1 TOE IT环境应根据逻辑关系标准提供对审计数据进行分类、搜索、排序的能力。10.2.6 FAU_SEL.1 选择性审计FAU_SEL.1.1 TOE IT环境应能根据以下属性从审计事件集中包含或排除可审计事件：a）用户身份，主体身份，主机身份b）赋值：附加的可选的审计属性10.2.7 FAU_STG.1 受保护的审计迹存储FAU_STG.1.1 TOE IT环境应保护所存储的审计记录，以避免未授权的删除。FAU_STG.1.2 TOE IT环境应能防止对审计迹中所存审计记录的未授权修改。10.2.8 FAU_STG.3 审计数据可能丢失时的行为FAU_STG.3.1 如果审计迹超过管理员设定的存储容量百分比，TOE IT环境应采取通过在本地控制台上立即显示一条信息警告管理员，选择：赋值：采取其它的行动，“无”。应用注释：如果审计迹设置被超过，那么ST作者应该决定是否采取其它行动。如果采取行动，进行赋值；否则选择“无”。10.3 FDP类:用户数据保护F