8.1　安全目的基本原理

8.1　安全目的基本原理

下面的表3說明了TOE的安全目的能應對所有可能的威脅、假設和組織安全策略。

下面論述每一種威脅、組織安全策略和假設都至少有一個或一個以上安全目的與其對應，因此是完備的。論述過程也說明了沒有一個安全目的沒有相應的威脅、組織安全策略和假設與之對應，這證明每個安全目的都是必要的；沒有多余的安全目的不對應威脅、組織安全策略和假設，因此說明了安全目的是充分的。

T.IllegalPrg_Attack

為了抵御非法程序攻擊，通過O.User_Identification, O.User_Authentication確保下載應用程序前，用戶必須已被明確標識并進行了安全鑒別；O.DataAcc_Control確保對數據實施了訪問控制管理，以防止非法程序繞過訪問控制措施讀取或修改數據；另外，OE.App_Program確保應用程序的開發過程不會包含惡意代碼且下載過程能以一種安全的規程進行。

T.Info_Leak

針對攻擊者利用TOE執行過程中泄露的功耗、電磁輻射及時耗等側信道信息而發起的側信道等信息泄露攻擊，O.InfoLeak_Prevention要求TOE必須具有抵抗或緩解此類攻擊的能力。OE.Chip_Hardware可確保硬件平臺能夠抵御側信道攻擊，因而保證由硬件平臺實現的密碼算法在此攻擊下的安全性。

T.Failure_Exploitation

故障利用攻擊可通過分析TOE的運行故障以獲取敏感數據信息或濫用TOE的安全功能，為此，O.Status_Recovery確保當故障發生時TOE工作狀態可恢復或調整至安全狀態，而不泄露有利于攻擊者的故障信息。OE.Chip_Hardware可確保硬件平臺能夠抵御故障引入攻擊，因而保證由硬件平臺實現的密碼算法在此攻擊下的安全性。

T.Lifecycle_Misuse

攻擊者利用生命周期功能濫用而造成對TOE的安全威脅，可通過O.Lifecycle_Control控制特定生命周期的特定指令和功能，通過對TOE生命周期各階段進行管理來防止此類攻擊。

T.Logical_Attack

邏輯攻擊是攻擊者利用嵌入式軟件的邏輯接口，對數據或安全功能造成威脅， O.User_Identification, O.User_Authentication確保可訪問各邏輯接口的用戶已被明確標識且通過了安全鑒別，因而防止攻擊者對各邏輯接口的非法訪問；此外O. Replay_Prevention要求通過相關安全機制以抵御重放攻擊；O.ResidualInfo_Clearance要求安全數據在使用完成后被完全刪除，抵御攻擊者利用殘余信息而獲取敏感信息或濫用TOE的安全功能；O.DataAcc_Control要求對文件系統及其他數據實施訪問控制管理，防止攻擊者繞過訪問控制機制獲取或篡改數據信息；O. Crypto要求TOE以安全的方式支持密碼功能，以抵御利用密碼算法的安全缺陷而進行的邏輯攻擊。

T.Physical_Manipulation

物理操縱攻擊是攻擊者利用芯片失效性分析和半導體逆向工程技術，對芯片實施物理剖片和探測，以獲取存儲與芯片內的數據信息。OE.Chip_Hardware可確保硬件平臺能夠抵御物理操縱攻擊，O.Crypto_Security進一步確保即使遭受物理剖片和電路探測等攻擊后仍可保證密碼安全。

P.Crypto_Management

強調了使用國家或行業的密碼標準和規范的要求，O.Crypto_Security直接滿足了這一組織安全策略要求，可確保在設計和開發過程中正確使用這些標準。

P.IdData_Management

對IC卡嵌入式軟件的開發和個人化等過程應具備標識TOE的能力提出要求，這一策略可直接由O.IdData_Storage安全目的來滿足。

P.Chip_Selection

確立了TOE應采用至少通過EAL4+測評的IC卡芯片，提出OE.Chip_Hardware確保芯片可抵抗物理攻擊、環境干擾攻擊、側信道攻擊等，以至少達到EAL4+安全要求。

A.Comm_Channel

應確保TOE與IC卡終端之間的通信信道是安全可靠的，OE.Comm_Channel提供了環境安全目的，確保通信路徑是可信的。

A.App_Program

該假設對安裝在IC卡嵌入式軟件之上的應用程序本身及其安裝流程的安全性提出了條件，OE.App_Program提供了針對性的環境安全目的，可滿足該假設條件。

A.Chip_Hardware

對TOE運行所依賴的底層芯片抵抗物理攻擊的安全性提出要求，OE.Chip_Hardware提供了環境安全目的，確保芯片能夠抵抗物理攻擊、環境干擾攻擊和側信道攻擊等。

A.OutData_Management

該假設對安全功能數據在TOE外部存儲和管理的安全性提出了要求，OE.OutData_Management提供了針對性的環境安全目的，可確保外部存儲和管理TSF數據的措施是安全的。

A.Personnel

該假設對TOE用戶的使用安全性提出了要求，OE.Personnel環境要求確保操作人員需要在經過培訓后嚴格地遵守安全的操作規程，因此可以滿足這一假設。