ГОСТ Р ИСО/МЭК ТО 15446— 2008
С.4.2.2
Типовые источники угроз
Типовые источники угроз (или агенты угроз) для ОО, содержащих криптографические функциональные воз
можности. включают в себя {но не ограничиваются):
a) уполномоченных пользователей ОО;
b
) неуполномоченных лиц.
П р и м е ч а н и е — В данном контексте уполномоченным пользователем является тот. кто уполномочен
(авторизован) иметь доступ к определенным активам ИТ.
С.4.2.3
Типовые ИТ-активы. связанные с криптографией
Типовые виды ИТ-активов в ОО. связанные с криптографией, требующие защиты, включают в себя (но не
ограничиваются):
a) криптографические переменные (включая секретные ключи, частные ключи, публичные ключи, парамет
ры публичных ключей, векторы инициализации и тд.);
b
) исходные данные и выходные данные криптографической функции (например, открытый и зашифрован
ный тексты);
c) реализация криптографического алгоритма в аппаратных средствах, программном обеспечении и/или
программно-аппаратных средствах;
d) параметры вызовов (также известные как «другие критические параметры безопасности»).
С.4.2.4
Типовые виды атак (реализации угроз)
ИТ-активы. связанные с криптографией, обычно нуждаются в защите от нескольких видов атак. Они включа
ют в себя (но не ограничиваются):
a) обнаружение электромагнитного излучения, исходящего от ОО;
b
) маскировку под уполномоченных пользователей ОО;
c) внесение ошибок в ОО:
d) неправильное использование (то есть эксплуатацию или администрирование) ОО;
e) сбои (отказы) аппаратных, программно-аппаратных или программных средств, составляющих ОО;
f) физическое воздействие.
П р и м е ч а н и е — Данные атаки не обязательно ограничиваются криптографическими активами.
С.4.2.5
Типовые угрозы
Используя типовые исходные данные для трехэлементных кортежей, идентифицированные в предыду
щих подпунктах, существует не более 48специфических угроз (то естьдва источника угрозы на шесть видов атак
на четыре ИТ-актива, связанных с криптографией). Примеры сформированных таким образом угроз приведены
в таблице С.1.
Т а б л и ц а С.1 — Типовые угрозы, относящиеся к криптографическим активам
Идентификатор угрозы
Типовая yipoaa
T.EMI
Связанные с криптографией активы ИТ могут быть раскрыты неуполномоченно
му лицу или пользователю через электромагнитные излучения ОО
N.IMPERSON
Нарушитель (внешний или внутренний) может выдавать себя за уполномочен
ного пользователя ОО
TERROR
Неуполномоченное лицо или пользователь ОО. инициируя ошибки в ОО. может
добиться несанкционированного раскрытия или модификации связанных с крип
тографией активов ИТ
T.MOOFY
Целостность информации может быть поставлена под угрозу (скомпрометиро
вана) из-за несанкционированной модификации или уничтожения информации
нарушителем
ТАТТАСК
Необнаруженная компрометация связанных с криптографией активов ИТ мо
жет произойти в результате попыток нарушителя (внутреннего или внешнего)
выполнения действий, на выполнение которых нарушитель не уполномочен
T.ABUSE
Необнаруженная компрометация связанных с криптографией активов ИТ мо
жет произойти в результате преднамеренного или непреднамеренного выпол
нения любым уполномоченным пользователем ОО действий, на выполнение
которых уполномочено конкретное лицо
70