6.5 軟件/固件安全

6.5.1 檢測目的

軟件/固件安全檢測包括22個測評單元，檢測送檢的密碼模塊的軟件/固件所采用的完整性保護技術及其實現是否安全，以及軟件/固件安全文檔是否按照 GB/T 37092-2018 規定的要求編寫。

6.5.2 測評單元[05.01]

安全要求：

本條的要求應適用于密碼模塊的軟件和固件部件。

送檢材料要求：

本條不單獨提供材料。

檢測程序要求：

本條不單獨進行檢測。

6.5.3 測評單元[05.02]

安全要求：

密碼模塊軟件/固件安全文檔應按照 GB/T 37092-2018 中A.2.5規定的要求編寫。

送檢材料要求：

送檢材料的軟件/固件安全部分應按照 GB/T 37092-2018 中A.2.5規定的要求編寫。

檢測程序要求：

檢測人員應核實送檢廠商完整的提供了 GB/T 37092-2018 中A.2.5所要求的文檔。

6.5.4 測評單元[05.03]

安全要求：

對于安全一級，下列安全要求(安全要求[05.04]~安全要求[05.11])應適用于密碼模塊內的軟件和固件部件。

送檢材料要求：

本條不單獨提供材料。

檢測程序要求：

本條在測評單元[05.04]~測評單元[05.11]中進行檢測。

6.5.5 測評單元[05.04]

安全要求：

所有的軟件和固件應符合GB/T37092-2018中7.11.7的規定，確保安裝前未被修改。

送檢材料要求：

a)送檢廠商應提供軟件和固件的說明書。

b)送檢文檔應描述如何確保在安裝前所有的軟件與固件未被修改。

檢測程序要求：

a)檢測人員應通過檢查密碼模塊核實送檢文檔中的說明書與密碼模塊的實際設計一致。

b)檢測人員應核實送檢廠商使用的，確保在安裝前所有的軟件與固件未被修改的方法的安全性。

6.5.6 測評單元05.05]

安全要求：

密碼邊界內的所有軟件和固件部件應使用核準的完整性技術進行保護，這些完整性技術可以由該密碼模塊提供，也可以由另一個經確認的密碼模塊提供。

送檢材料要求：

a)送檢文檔中應詳細說明所有的軟件和固件部件所使用的、已核準的完整性技術。這些完整性技術可由該密碼模塊提供，也可由另一個經確認的密碼模塊提供。

b)送檢文檔中應明確說明如何在所有的軟件和固件部件中應用了完整性技術(使用單個的消息鑒別碼或簽名，或多個分離的鑒別碼或簽名)。

c)送檢文檔應明確說明完整性技術所使用密鑰的位置。如果核準的數字簽名被當作完整性技術使用，那么送檢材料應明確說明簽名私鑰(用于生成參考簽名)的位置。

檢測程序要求：

6.5.7 測評單元[05.06]

安全要求：

如果完整性測試失敗，密碼模塊應進入錯誤狀態。

送檢材料要求：

a)送檢廠商應提供軟件和固件完整性測試的說明書。這個機制應是核準的安全功能。

b)送檢文檔中應說明如果完整性測試失敗，模塊將進入錯誤狀態。

c)送檢文檔中應說明在多個分離的消息鑒別碼或簽名中，任何一個消息鑒別碼或簽名驗證失敗都會導致模塊進入錯誤狀態。

檢測程序要求：

a)檢測人員應核實如果完整性測試失敗，模塊進入錯誤狀態。

b)檢測人員應核實在完整性測試完成后，此測試過程中生成的臨時值被置零。

c)檢測人員應核實在多個分離的消息鑒別碼或簽名中，任何一個消息鑒別碼或簽名的驗證失敗都導致模塊進入錯誤狀態。

6.5.8 測評單元[05.07]

安全要求：

在多個分離的消息鑒別碼或簽名中，任何一個消息鑒別碼或簽名驗證失敗都應導致密碼模塊進入錯誤狀態。

送檢材料要求：

本條不單獨提供材料。

檢測程序要求：

本條不單獨進行檢測。

6.5.9 測評單元[05.08]

安全要求：

一旦完成了完整性測試，密碼模塊軟件或固件的完整性測試的過程中生成的臨時值應被置零。

送檢材料要求：

本條不單獨提供材料。

檢測程序要求：：

本條不單獨進行檢測。

6.5.10 測評單元[05.09]

安全要求：

操作員應能夠通過 GB/T 37092-2018 中7.3.2規定的硬件密碼模塊接口、軟件或固件密碼模塊接口、混合固件密碼模塊接口或混合軟件密碼模塊接口服務按需執行核準的完整性技術。

送檢材料要求：

送檢文檔應說明通過硬件密碼模塊接口、軟件或固件密碼模塊接口、混合固件密碼模塊接口或混合軟件密碼模塊接口服務按需執行已核準的完整性技術的方法。

檢測程序要求：

a)檢測人員應核實可通過硬件密碼模塊接口、軟件或固件密碼模塊接口、混合固件密碼模塊接口或混合軟件密碼模塊接口服務完成完整性測試。

b)檢測人員應核實在完整性測試的執行過程中，(見 GB/T 37092-2018 中7.3.2提到的)密碼模塊的所有的數據和控制輸入、數據和狀態輸出以及(見 GB/T 37092-2018 中7.4.3提到的)相關服務可通過硬件密碼模塊接口、軟件或固件密碼模塊接口、混合固件密碼模塊接口或混合軟件密碼模塊接口服務傳輸。

6.5.11 測評單元[05.10]

安全要求：

GB/T 37092-2018 中7.3.3規定的密碼模塊的所有數據和控制輸人，數據、控制和狀態輸出，以及 GB/T 37092-2018 中7.4.3規定的服務，應通過定義的硬件密碼模塊接口、軟件或固件密碼模塊接口、混合固件密碼模塊接口或混合軟件密碼模塊接口完成。

送檢材料要求：

本條不單獨提供材料。

檢測程序要求：

本條不單獨進行檢測。

6.5.12 測評單元[05.11]

安全要求：

如果新加載的軟件或固件是密碼模塊運行所必須的，但不是完全替換或覆蓋經確認的密碼模塊，那么軟件/固件加載測試是適用的，并且應由經過確認的密碼模塊執行該測試。

送檢材料要求：

送檢廠商應提供通過已確認的模塊實現軟件/固件加載測試的說明。

檢測程序要求：

檢測人員應核實送檢文檔及其實現。

6.5.13 測評單元[05.12]

安全要求：

對于安全二級，除了安全一級的要求，還有下列要求(安全要求[05.13]~安全要求[05.16])應適用于密碼模塊內的軟件或固件部件。

送檢材料要求：

本條不單獨提供材料。

檢測程序要求：

本條作為測評單元[05.13]~測評單元[05.16]的一部分進行檢測。

6.5.14 測評單元[05.13]

安全要求：

密碼模塊的軟件和固件部件應只包含可運行形式的代碼，例如，不包括源代碼、目標代碼或實時編譯的代碼。

送檢材料要求：

送檢廠商應提供可執行形式的軟件和固件的說明。

檢測程序要求：

為避免存在可動態修改的代碼，檢測人員應核實送檢廠商的軟件說明書和密碼模塊的相關實現。

6.5.15 測評單元[05.14]

安全要求：

應確保操作員無法通過硬件密碼模塊接口、軟件或固件密碼模塊接口、混合固件密碼模塊接口或混合軟件密碼模塊接口的服務或控制設置，啟動或執行調試技術。

送檢材料要求：

送檢文檔應提供硬件密碼模塊接口、軟件或固件密碼模塊接口、混合固件密碼模塊接口或混合軟件密碼模塊接口服務的說明。

檢測程序要求：

a)檢測人員應核實送檢文檔中的服務或控制設置的說明。

b)檢測人員應核實送檢文檔，確認操作者無法通過這些服務或控制設置，啟動或執行調試技術。

c)檢測人員應測試這些服務或控制設置，以核實操作者不能啟動或執行調試技術。

6.5.16 測評單元[05.15]

安全要求：

密碼邊界內的所有軟件和固件應使用核準的數字簽名或帶密鑰的消息鑒別碼進行保護。

送檢材料要求：

本條不單獨提供材料。

檢測程序要求：

本條作為測評單元[05.16]的一部分進行檢測。

6.5.17 測評單元[05.16]

安全要求：

(接安全要求[05.15])如果計算的結果未能成功通過驗證，則測試失敗，并且密碼模塊應進人錯誤狀態。

送檢材料要求：

送檢文檔應標識用于保持密碼軟件和固件部件完整性的技術。

檢測程序要求：

a)檢測人員應核實送檢文檔滿足送檢材料要求[05.16]a)的要求。

b)檢測人員應嘗試破壞密碼軟件和固件部件。如果完整性未被破壞，則檢測不通過。

6.5.18 測評單元[05.17]

安全要求：

對于安全三級和四級，除了安全一級和二級的要求，下列要求(安全要求[05.18]~安全要求[05.21])應適用于密碼模塊內的軟件和固件部件。

送檢材料要求：

本條不單獨提供材料。

檢測程序要求：

本條作為測評單元[05.18]~測評單元[05.21]的一部分進行檢測。

6.5.19 測評單元[05.18]

安全要求：

密碼邊界內的所有軟件和固件應使用核準的數字簽名進行保護。

送檢材料要求：

本條不單獨提供材料。

檢測程序要求：

本條作為測評單元[05.19]的一部分進行檢測。

6.5.20 測評單元[05.19]

安全要求：

(接安全要求[05.18])如果計算的結果未能成功通過驗證，則測試失敗，并且密碼模塊應進入錯誤狀態。

送檢材料要求：

a)送檢文檔應說明核準的數字簽名機制。

b)送檢文檔中應說明如果使用核準的數字簽名機制對密碼邊界內的軟件或固件進行計算的結果不等于之前生成的結果，則測試失敗，模塊應進入錯誤狀態。

檢測程序要求：

a)檢測人員應通過檢查密碼模塊核實密碼邊界內的所有軟件和固件部件使用的加密機制了包含已核準的數字簽名機制。

b)檢測人員應使用已核準的數字簽名計算的結果與之前生成的結果進行比較，如果不相等，則測試失敗，模塊進人錯誤狀態。

6.5.21 測評單元[05.20]

安全要求：

數字簽名技術可以包含單個簽名，或者多個分離的簽名，分離的簽名中任何一個簽名的驗證失敗都應導致密碼模塊進入錯誤狀態。

送檢材料要求：

本條不單獨提供材料。

檢測程序要求：

本條與測評單元[05.05]一起進行檢測。

6.5.22 測評單元[05.21]

安全要求：

簽名私鑰應保存在密碼模塊外。

送檢材料要求：

送檢文檔應滿足送檢材料要求[05.05]c)的要求。送檢廠商的設計應確保生成參考簽名的簽名私鑰保存在密碼模塊的邊界之外。

檢測程序要求：

檢測人員應通過檢查和文檔審查，核實簽名私鑰保存在密碼邊界外。