9.1　安全目的基本原理

下面的表1說明了智能卡的安全目的能應對所有可能的威脅、假設和組織安全策略。

a) T.Ua_Load

為了抵御非法程序攻擊，通過O.User_Identification, O.User_Authentication確保下載應用程序前，用戶必須已被明確標識并進行了安全鑒別；O.DataAcc_Control確保對數據實施了訪問控制管理，以防止非法程序繞過訪問控制措施讀取或修改數據；另外，OE.App_Program確保應用程序的開發過程不會包含惡意代碼且下載過程能以一種安全的規程進行。

b) T.INF-LEAK

針對攻擊者利用TOE執行過程中泄露的功耗、電磁輻射及時耗等側信道信息而發起的側信道等信息泄露攻擊，O.InfoLeak_Prevention要求TOE必須具有抵抗或緩解此類攻擊的能力。OE.Chip_Hardware可確保硬件平臺能夠抵御側信道攻擊，因而保證由硬件平臺實現的密碼算法在此攻擊下的安全性。

c) T.Flt_Ins、T.Inv_Inp

故障注入攻擊可通過分析TOE的運行故障以獲取敏感數據信息或濫用TOE的安全功能，為此，O.Status_Recovery確保當故障發生時TOE工作狀態可恢復或調整至安全狀態，而不泄露有利于攻擊者的故障信息。OE.Chip_Hardware可確保硬件平臺能夠抵御故障引入攻擊，因而保證由硬件平臺實現的密碼算法在此攻擊下的安全性。

d) T.Lc_Ftn

攻擊者利用生命周期功能濫用而造成對TOE的安全威脅，可通過O.Lifecycle_Control控制特定生命周期的特定指令和功能，通過對TOE生命周期各階段進行管理來防止此類攻擊。

e) T.Logical_Attack

邏輯攻擊是攻擊者利用嵌入式軟件的邏輯接口，對數據或安全功能造成威脅， O.User_Identification, O.User_Authentication確保可訪問各邏輯接口的用戶已被明確標識且通過了安全鑒別，因而防止攻擊者對各邏輯接口的非法訪問；此外O. Replay_Prevention要求通過相關安全機制以抵御重放攻擊；O.ResidualInfo_Clearance要求安全數據在使用完成后被完全刪除，抵御攻擊者利用殘余信息而獲取敏感信息或濫用TOE的安全功能；O.DataAcc_Control要求對文件系統及其他數據實施訪問控制管理，防止攻擊者繞過訪問控制機制獲取或篡改數據信息；O. Crypto要求TOE以安全的方式支持密碼功能，以抵御利用密碼算法的安全缺陷而進行的邏輯攻擊。

f) T.P_Probe、T.P_Alter

物理操縱攻擊是攻擊者利用芯片失效性分析和半導體逆向工程技術，對芯片實施物理剖片和探測，以獲取存儲與芯片內的數據信息。OE.Chip_Hardware可確保硬件平臺能夠抵御物理操縱攻擊，O.Crypto進一步確保即使遭受物理剖片和電路探測等攻擊后仍可保證密碼安全。

g) T.Access

為了抵御使用者或攻擊者可能在未經信息或資源的擁有者或責任者許可的條件下對信息或資源進行訪問，通過O.User_Authentication確保在訪問之前，用戶必須已被明確標識并進行了安全鑒別。

h) T.REPLAY、T.BRUTE-FORCE

為了抵御攻擊者可能刺探或搜索智能卡鑒別數據，通過O.Replay_Prevention確保相關鑒別數據不能被重復利用。

i) T.Env_Strs

通過O.Status_Recovery對環境狀態的檢測，來確保可能導致敏感信息泄漏的外部環境操縱攻擊。

j) T.Clon

通過O.ResidualInfo_Clearance對密鑰數據的及時進行銷毀，防止重要數據資源釋放或銷毀后再被訪問，以確保敏感信息泄露導致克隆的發生。

k) P.Crypto_Management、T.Crypt_Atk

強調了使用國家或行業的密碼標準和規范的要求，O.Crypto直接滿足了這一組織安全策略要求，可確保在設計和開發過程中正確使用這些標準。

l) P.IdData_Management

對智能卡嵌入式軟件的開發和個人化等過程應具備標識TOE的能力提出要求，這一策略可直接由O.IdData_Storage安全目的來滿足。

m) P.Chip_Selection

確立了TOE應采用至少通過EAL4+測評的安全芯片，提出OE.Chip_Hardware確保芯片可抵抗物理攻擊、環境干擾攻擊、側信道攻擊等，以至少達到EAL4+安全要求。

n) T.RND、A.Comm_Channel

應確保TOE與智能卡終端之間的通信信道是安全可靠的，OE.Comm_Channel提供了環境安全目的，確保通信路徑是可信的。

o) A.App_Program

該假設對安裝在智能卡嵌入式軟件之上的應用程序本身及其安裝流程的安全性提出了條件，OE.App_Program提供了針對性的環境安全目的，可滿足該假設條件。

p) A.Chip_Hardware

對TOE運行所依賴的底層芯片抵抗物理攻擊的安全性提出要求，OE.Chip_Hardware提供了環境安全目的，確保芯片能夠抵抗物理攻擊、環境干擾攻擊和側信道攻擊等。

q) A.OutData_Management

該假設對安全功能數據在TOE外部存儲和管理的安全性提出了要求，OE.OutData_Management提供了針對性的環境安全目的，可確保外部存儲和管理TSF數據的措施是安全的。

r) A.Personnel

該假設對TOE用戶的使用安全性提出了要求，OE.Personnel環境要求確保操作人員需要在經過培訓后嚴格地遵守安全的操作規程，因此可以滿足這一假設。