Lista de verificación de criptografía del auditor
Los elementos de revisión de criptografía 9 del anexo 2 §A2.8. Un CCSA-QSA ejecuta esta lista de verificación en cada operación criptográfica relacionada con CCM. Los elementos capturan hallazgos, no estados de requisitos.
El auditor aplica la lista de verificación durante la evaluación y complementa los procedimientos de prueba de Enfoque Definido. Los elementos 7 (canal lateral) y 9 (СКЗИ) son condicionales: se aplican al nivel 3 y al nivel ruso respectivamente.
Lista de verificación de criptografía del auditor
- 01B.1
Inventario criptográfico completo: todas las operaciones documentadas (vinculadas al Inventario CCM, B.1.1).
- 02
Auditoría de versión: no hay bibliotecas obsoletas o al final de su vida útil (EOL) en las rutas de producción.
- 03
Revisión de la configuración: conjuntos de cifrado TLS reforzados, parámetros KDF correctos, RNG configurados correctamente.
- 04B.2
Verificación de fuente aleatoria: se utiliza un TRNG / DRBG o /dev/urandom certificado por FIPS en un kernel compatible; no hay respaldo a un RNG débil.
- 05B.3
Almacenamiento de claves verificado: CCM está aislado (partición HSM, enclave seguro, sobre MPC); no hay texto sin cifrar en registros o volcados de memoria.
- 06B.5
Cronograma de rotación de claves documentado y probado (B.5.1).
- 07L3
Evaluación de riesgos de canal lateral (para el nivel 3): mitigaciones de ataques de potencia y sincronización.
- 08
Integridad de la documentación: algoritmos, tamaños de clave, cadencia de rotación y procedimientos de eliminación establecidos explícitamente para cada categoría CCM.
- 09СКЗИ
Nivel de compatibilidad (si corresponde): para clientes rusos, se verificaron certificados СКЗИ válidos.
Hoja de trabajo ROC: evaluación de requisitos
El ROC es un documento de auditor. A continuación se muestran los campos de la Hoja de trabajo de evaluación de requisitos, repetidos para cada requisito B.X.Y, más la hoja de trabajo de validación de transferencia (§A3.6). En el sitio esta es una plantilla de referencia; El Consejo distribuye versiones listas para copiar de Word/PDF/Markdown.
Procedimientos de prueba de enfoque definido: examinar / entrevistar / observar / rastrear
Referencias de evidencia e identificadores de artefactos
Hallazgos y observaciones
Los ocho requisitos críticos se someten a pruebas completas de enfoque definido independientemente de las certificaciones básicas; la transferencia nunca se aplica a ellos.
Listas de verificación
Borrador v0.2 -> v1.0. Sujeto a cambios antes de 2027-01-01.