Liste de contrôle de cryptographie de l'auditeur
Les éléments d'examen de la cryptographie 9 de l'annexe 2 §A2.8. Un CCSA-QSA exécute cette liste de contrôle pour chaque opération cryptographique liée au CCM. Les éléments capturent les résultats, pas les statuts des exigences.
La liste de contrôle est appliquée par l'auditeur lors de l'évaluation et complète les procédures de test par approche définie. Les éléments 7 (canal latéral) et 9 (СКЗИ) sont conditionnels : ils s'appliquent respectivement au niveau 3 et au niveau russe.
Liste de contrôle de cryptographie de l'auditeur
- 01B.1
Inventaire cryptographique terminé — toutes les opérations documentées (liées à l'inventaire CCM, B.1.1).
- 02
Audit de version — aucune bibliothèque obsolète ou en fin de vie (EOL) dans les chemins de production.
- 03
Examen de la configuration — Suites de chiffrement TLS renforcées, paramètres KDF corrects, RNG configuré correctement.
- 04B.2
Vérification de source aléatoire — un TRNG / DRBG ou /dev/urandom certifié FIPS sur un noyau pris en charge est utilisé ; pas de repli sur un RNG faible.
- 05B.3
Stockage des clés vérifié — CCM est isolé (partition HSM, enclave sécurisée, enveloppe MPC) ; pas de texte en clair dans les journaux ou les vidages de mémoire.
- 06B.5
Calendrier de rotation des clés documenté et testé (B.5.1).
- 07L3
Évaluation des risques de canal secondaire (pour le niveau 3) — atténuation des attaques temporelles et électriques.
- 08
Complétude de la documentation — algorithmes, tailles de clé, cadence de rotation et procédures d'élimination explicitement indiquées pour chaque catégorie CCM.
- 09СКЗИ
Niveau de compatibilité (le cas échéant) — pour les clients russes, certificats СКЗИ valides vérifiés.
Feuille de travail ROC — évaluation des exigences
Le ROC est un document d'auditeur. Vous trouverez ci-dessous les champs de la feuille de travail d'évaluation des exigences, répétés pour chaque exigence B.X.Y, ainsi que la feuille de travail de validation de report (§A3.6). Sur le site, il s'agit d'un modèle de référence ; Des versions Word/PDF/Markdown prêtes à copier sont distribuées par le Conseil.
Procédures de test par approche définie : Examiner / Interviewer / Observer / Tracer
Références de preuves et identifiants d'artefacts
Constatations et observations
Les huit exigences critiques sont soumises à des tests complets d'approche définie, quelles que soient les certifications de base – le report ne s'applique jamais à elles.
Listes de contrôle
Brouillon v0.2 -> v1.0. Sous réserve de modifications avant 2027-01-01.