Kriptografik modül içeren cihazların güvenlik gereksinimleri
On the security requirements of devices with cryptographic modules
Yazar: HALİL KARAALAN
Danışman: YRD. DOÇ. DR. SEDAT AKLEYLEK
Ondokuz Mayıs Üniversitesi / Fen Bilimleri Enstitüsü / Bilgisayar Mühendisliği Ana Bilim Dalı
Derece: Yüksek Lisans, 2014
Konu: Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrol = Computer Engineering and Computer Science and Control

Özet:
Bu çalışmada kriptografik modüllerin farklı seviyelerdeki güvenlik gereksinimlerine ve kripto modülü içeren kriptolu cep telefonları (KCT) ile USB bellek kriptolayıcı (USBK) cihazlarına yönelik tehditler ve bu cihazların güvenlik gereksinimlerine değinilmiştir. Bu gereksinimler Federal Information Processing Standard (FIPS 140-3 ve FIPS 180-4)'te tanımlanan güvenlik ihtiyaçları ile halen kullanılmakta olan kriptolu cep telefonları ve USBK bellek kriptolayıcılarının güvenlik özelliklerinin analiz edilmesi suretiyle açıklanmıştır. FIPS 140-3 bilgisayar ve iletişim sistemlerindeki gizlilik dereceli bilgileri koruyan bir güvenlik sisteminde kullanılan kriptografik modül için farklı güvenlik seviyeleri belirler ve her seviyede modülün güvenlik gereksinimlerini tanımlar. Hedeflenen güvenlik modeli güvenlik seviyeleri, tehdit seviyeleri ve kriptografik olarak güvenli ve onaylı algoritma gereksinimlerinden oluşmaktadır. Yapılan araştırma ve analizlerde KCT'nin sıradan cep telefonlarına nazaran şifreli konuşma ve mesajlaşma gibi üstün niteliklere sahip olduğu ancak yine de yetkisiz erişim, akıllı kartın kurcalanması, yapısal (fiziksel) bozulma, saldırılar (DoS,vb.), kötü yazılımlar ve kriptanaliz gibi pek çok tehdide açık olduğu görülmektedir. USBK cihazı, kullanıcılarına verilerini bir harici bellek ve/veya USB belleğe göNderdikten sonra koruma imkanı veren entegre bir sistemdir. Kullanıcı veri aktarma sırasında bu veriyi şifreler. Ancak USBK cihazlarının da yetkisiz erişim, entegre devrenin kurcalanarak anahtarların ele geçirilmesi, yapısal bozulma gibi tehditlerle karşı karşıya olduğu görülmüş; bu tehditlere karşı cihazda biyometrik kimlik denetimi, kurcalama delili, tespiti ve tepki devresi, sıcaklık ve gerilim değişimlerine karşı fiziksel direnç, uzaktan erişim ve acil anahtar silme güvenlik özelliklerinin bulunması gerektiği anlaşılmıştır.

Abstract:
In this study, security requirements are given for different levels of cryptographic modules and threats to mobile phones and USBs with crypto module and security requirements of these devices. The security requirements given in Federal Information Processing Standard (FIPS 140-3 and 180-4) are analyzed. New security requirements and features of the mobile phones with crypto module and USBK crypto devices are proposed. The FIPS 140-3 specifies the security requirements for a cryptographic module utilized within a security system protecting sensitive information in computer and telecommunication systems and provides different security levels. The proposed security model consists of security levels, threat levels, cryptographically secure and approved algorithm requirements. Mobile phones with crypto module have outstanding security features according to the other cell phones, such as encrypted voice and data communication. In this thesis, it's concluded that they have threats as unauthorised access, tampering smart card, corruption, attacks, malwares and cryptanalysis. USBK is an integrated system which provides users to protect their data after the transmission to a back disk. The user can transfer data by encrypting it. It's concluded that there are several threats like unauthorised access, revealing keys by probing the integrated circuit and corruption and the device should have security features such as biometric authentication, tampering detection, evidence and response, physical robustness to temperature and voltage exchanges, remote access and immediate key zerozation.