Bijlage:
Keuze EAL-niveau voor Common Criteria certificering
Inleiding
De Deskundigengroep heeft opdracht gekregen de specificaties op te stellen voor de stemprinter en
stemmenteller, waaronder de Protection Profiles voor de Common Criteria certificering die de
commissie Van Beek heeft geadviseerd.
Een van de (vele) punten van overweging met betrekking tot de Protection Profiles is het
zogenaamde EAL-niveau waartegen de Common Criteria certificering moet plaatsvinden.
De commissie Van Beek heeft in haar rapport van december 2013 over het EAL-niveau het
volgende geadviseerd:
“Vanwege de maatregelen die de commissie wenselijk acht gaat zij er vanuit dat minimaal EALniveau 5 zal moeten worden gebruikt. Mogelijk zal er voor de stemprinter een ander niveau moeten
worden gebruikt dan voor de scanner (de stemmenteller).”
In deze bijlage wordt nader ingegaan op de EAL-materie en op de keuzen van de
Deskundigengroep omtrent het voor de Protection Profiles te hanteren EAL-niveau.
Evaluation Assurance Level
Binnen het stelsel van de Common Criteria wordt met de Evaluation Assurance Level (EAL)
aangeduid met welke diepgang de evaluatie wordt uitgevoerd op de te certificeren producten. Hoe
hoger het EAL-niveau, hoe groter de diepgang waarmee is getoetst dat de implementatie van het
product voldoet aan hetgeen in de Protection Profiles is bepaald ten aanzien van de beveiliging van
de te certificeren objecten. Het EAL-niveau bepaalt derhalve de mate van zekerheid die men kan
krijgen omtrent de vraag of de beveiligingsmaatregelen die in een Protection Profile staan zijn
geïmplementeerd.
Het EAL-niveau bepaalt dus niet direct de mate van beveiliging. De mate van beveiliging wordt
bepaald door de beveiligingsmaatregelen die zijn beschreven in een Protection Profile. De enige
uitzondering op deze regel is de zekerheidsklasse AVA (Assurance Vulnerability Analysis), die niet
alleen het niveau of de intensiteit van de kwetsbaarheidsanalyse vaststelt, maar ook het
aanvalspotentieel, ofwel de moeite die een potentiële aanvaller moet doen om in te breken in het
systeem. De keuze voor een hogere AVA-klasse vereist bescherming tegen een hoger
aanvalspotentieel.
Een EAL-niveau correspondeert met een pakket aan zekerheidscontroles. Deze zekerheidscontroles
zijn ingedeeld in klassen, daarbinnen in families en daarbinnen weer in zekerheidscomponenten:
•

Een klasse geeft een eerste categorisering van de zekerheidscontroles, zoals de wijze waarop
het systeem ontwikkeld en gedocumenteerd moeten worden (Development), de wijze waarop
het systeem functioneel getest moet worden (Test) en de kwetsbaarheidanalyses die de
evaluator moet uitvoeren (Vulnerability assessment). Een klasse wordt afgekort met drie
letters, in het voorbeeld is dat “ADV”, “ATE” en “AVA”.

•

Een familie geeft binnen een klasse een verdere indeling, bijvoorbeeld bij functionele testen
van de beveiliging de dekking van de testen, de diepgang van de testen, de documentatie/
vastlegging van de testen en het uitvoeren van functionele testen door een evaluator. Een
familie wordt aangeduid met de code voor de klasse plus een drieletterige code voor de familie,
voor het uitvoeren van functionele testen door de evaluator is dat “ATE_IND”.
Bijlage: Keuze EAL-niveau voor Common Criteria certificering

1

•

Een zekerheidscomponent is binnen een familie een pakket aan zekerheidscontroles. Dit wordt
aangeduid met een cijfer en is bij een hoger nummer altijd een uitgebreider pakket, dus met
meer diepgang in de evaluatie. Bijvoorbeeld in de familie functionele testen door de evaluator
(ATE_IND) loopt het op van het door de evaluator functioneel testen voor een deel van de
beveiliging gerelateerde functionaliteit (cijfer 1) tot het functioneel testen van alle beveiliging
gerelateerde functionaliteit en tevens het herhalen van alle ook door de leverancier uitgevoerde
en gedocumenteerde functionele testen (cijfer 3).

In onderstaande tabel is per klasse en daarbinnen de familie weergegeven welke
zekerheidscomponent bij een EAL-niveau hoort. Ofwel wat de diepgang van de evaluatie is op het
betreffende onderwerp.

Deze tabel maakt duidelijk dat voor de meeste families een hoger EAL leidt tot een uitgebreidere
evaluatie. Bij de klasse Vulnerability Assessment, bijvoorbeeld, neemt de diepgang van de
kwetsbaarheidsanalyse (AVA_VAN) toe van AVA_VAN.1 bij EAL1 tot AVA_VAN.5 bij EAL7. Bij
sommige families is ongeacht het EAL-niveau de diepgang in de evaluatie hetzelfde. Een voorbeeld
om dit te illustreren: binnen de klasse “Guidance documents” wordt bij de “Operationele user
Bijlage: Keuze EAL-niveau voor Common Criteria certificering

2

guidance” gecodeerd met AGD_OPE de gebruikersdocumentatie bij elk mogelijk EAL-niveau met
dezelfde diepgang (zijnde 1) geëvalueerd. De tabel laat ook zien dat er één familie is die in geen
enkel EAL wordt gebruikt. In de klasse Life-Cycle Support wordt voor ‘Flaw remediation’ (ALC_FLR),
ofwel het in kaart brengen en verhelpen van potentiële beveiligingsproblemen, niet één van de
mogelijke zekerheidscomponenten (ALC_FLR.1 tot en met ALC_FLR.3) gebruikt in een EAL.
Overwegingen bij de selectie van het Evaluation Assurance Level
Over het algemeen genomen leiden alle zekerheidscomponenten tot meerwaarde, maar ook tot
extra kosten voor het certificeringsproces. Een CC-evaluatie duurt doorgaans zes tot twaalf
maanden; dit hangt onder meer af van de betreffende zekerheidscomponenten. Voor
productwijzigingen is een deltacertificering vereist, die eveneens tot extra kosten leidt per
zekerheidscomponent. Het spreekt voor zich dat een langdurige certificeringsprocedure
problematisch kan zijn gezien de strikte deadlines die bij verkiezingen gelden. Mede daarom is het
van belang om de zekerheidscomponenten zorgvuldig te selecteren.
In de stemprinter en stemmenteller kunnen standaardcomponenten zijn verwerkt (apparatuur en
programmatuur), zoals besturingssysteem, beeldschermen, printers, scanners enz. Het gebruik van
dergelijke standaardcomponenten biedt voordelen (in zowel tijd als geld) bij de ontwikkeling van
apparatuur, maar kan tegelijkertijd de evaluatie complexer maken. Mogelijk zijn deze
zekerheidscomponenten niet volgens CC-vereisten ontwikkeld, of is ten behoeve van de evaluatie
geen volledige documentatie voorhanden. Zekerheidscomponenten voor evaluatie die beperkingen
opleggen aan de ontwikkeling van standaardcomponenten kunnen het gebruik daarvan lastig of
zelfs onmogelijk maken. De zekerheidscomponenten moeten daarom zodanig worden gekozen dat
dit risico minimaal blijft.
Het gekozen Evaluation Assurance Model
Voor de Protection Profiles voor de stemprinter en stemmenteller is gekozen voor EAL4, en wel om
de volgende redenen:
•

EAL4 omvat een code review, maar de lagere niveaus niet. Een code review kan het
vertrouwen (van het publiek) vergroten en kan potentiële beveiligingskwetsbaarheden aan het
licht brengen;

•

EAL5 en hoger voegen zekerheidscomponenten toe die het gebruik van standaardcomponenten
(apparatuur en programmatuur) ernstig bemoeilijken maar niet per se bijdragen aan de
beveiliging van het product;

•

Zekerheidscomponenten waarvan de extra beveiligingswaarde opweegt tegen de kosten
kunnen als “extra’s” aan EAL4 worden toegevoegd (EAL4+).

Overzicht van relevante zekerheidscomponenten
Wanneer EAL4 wordt gekozen voor de Protection Profiles kan voor bepaalde aspecten in een CCcertificering toch het zekerheidsniveau van hogere EAL’s worden bereikt. Daartoe dient voor elke
zekerheidscomponent die nog niet bij EAL4 is ondergebracht te worden vastgesteld of die
component in het Protection Profile aan EAL4 moet worden toegevoegd. Deze “plussen” in
aanvulling op EAL4 worden “augmentations” genoemd. De onderstaande tabel geeft de standaard
zekerheidscomponenten weer die wel in de CC zijn gespecificeerd, maar geen deel uitmaken van
EAL4. Dit zijn dus de zekerheidscomponenten die eventueel als augmentations toegevoegd kunnen
worden aan de Protection Profiles voor de stemprinter en stemmenteller. In de tabel wordt ook
beargumenteerd waarom de zekerheidscomponent wel of niet zou moeten worden opgenomen als
augmentation in aanvulling op EAL4 in de Protection Profiles. Het criterium daarvoor is dat een
Bijlage: Keuze EAL-niveau voor Common Criteria certificering

3

zekerheidscomponent moet bijdragen aan de beveiliging van de stemprinter en stemmenteller en
het gebruik van standaardcomponenten (programmatuur en apparatuur) niet geheel mag
uitsluiten.
De tabel is als volgt opgebouwd:


Kolom 1: bevat de codes van de zekerheidscomponenten die niet “standaard” tot EAL4
behoren. Die zekerheidscomponenten kunnen in de vorm van een augmentation aan EAL4
worden toegevoegd. Als een zekerheidscomponent tot een hogere EAL-klasse behoort, is in
deze kolom weergegeven bij welke EAL-niveaus die zekerheidscomponent wel is inbegrepen.



Kolom 2: geeft inhoudelijk weer wat de betreffende zekerheidscomponent inhoudt.



Kolom 3: argumenten ter overweging om een zekerheidscomponent al dan niet op te nemen.

Zekerheids

Omvat

component

Argumenten voor of tegen opname van een augmentation
als aanvulling op EAL4

(zit in EAL)
ADV

Ontwikkeling

ADV_FSP.5 De functionele specificatie van

De augmentation ADV_FSP.5 leidt tot aanvullende eisen

(EAL 5,6)

beveiligingsgerelateerde functies

omdat daardoor een semi-formele aanpak en het

moet op een semi-formele wijze

verschaffen van uitgebreide fouteninfo verplicht is.

worden opgesteld (zoals Unified

Dit bevordert de controleerbaarheid en transparantie

Modeling Language).

doordat het de functionele specificatie van de beveiligings

ADV_FSP.6 De functionele specificatie van de

gerelateerde functies eenduidig maakt en de analyse van

(EAL 7)

foutcondities ondersteunt.

beveiligingsgerelateerde functies

moet op een formele wijze worden Een gestructureerde, semi-formele benadering wordt veel
opgesteld (een wiskundige basis

gebruikt voor functionele specificaties. De grondige

hebben).

aandacht voor foutcondities draagt bij aan de
kwaliteitsborging van het product.
Deze augmentation maakt het gebruik van
standaardcomponenten mogelijk lastiger als de
beveiligingsgerelateerde functies daarvan nog niet semiformeel zijn beschreven, maar niet onmogelijk.
De augmentation ADV_FSP.6 vereist een formele
beschrijving van het voor de beveiliging relevante gedeelte
van de productinterface en een volledige beschrijving van
alle foutsituaties die kunnen optreden.
De formele beschrijving van de interface van de
beveiligingsfunctionaliteit bevordert de controleerbaarheid
en de transparantie.
Formele modelleringstechnieken zijn niet gangbaar in de
ontwikkeling van de omvangrijkere standaard
programmatuur componenten.
Deze augmentation zal het dan ook moeilijk of zelfs
onmogelijk maken om standaardcomponenten te
gebruiken.

ADV_IMP.2 Er moet een relatie gelegd worden De augmentation ADV_IMP.2 leidt tot aanvullende eisen
(EAL 6,7)

tussen ontwerpdocumentatie van

door verplicht te stellen dat de ontwikkelaar een volledige

de beveiligingsgerelateerde

beschrijving van de beveiligingsgerelateerde functies

functies en de volledige

verstrekt aan de evaluator, inclusief de desbetreffende

implementatie (zowel de

ontwerpdocumentatie.

Bijlage: Keuze EAL-niveau voor Common Criteria certificering

4

Zekerheids

Omvat

component

Argumenten voor of tegen opname van een augmentation
als aanvulling op EAL4

(zit in EAL)
programmatuur als de

Dit vergroot de reikwijdte van de analyse van de

apparatuur).

implementatie door de evaluator en geeft meer zekerheid
omtrent de ontwikkeling. De transparantie en
controleerbaarheid zijn echter al geborgd onder
zekerheidscomponent ADV_IMP.1, waarbij de evaluator een
specifiek onderdeel van de implementatie analyseert.
Deze augmentation is bij de ontwikkeling van
standaardcomponenten mogelijk niet gevolgd. Het expliciet
voorschrijven dat er een relatie wordt gelegd tussen
ontwerpdocumentatie en implementatie, kan dan echter
leiden tot aanzienlijk zwaardere inspanningen aan de kant
van de ontwikkelaar.
Deze augmentation zal het dan ook moeilijker maken om
standaardcomponenten te gebruiken.

ADV_INT.1

De interne opbouw van het

Augmentations ADV_INT.1 en ADV_INT.2 houden een

product moet voor een deel van

controle in dat de implementatie van (een deel van) de

de beveiliginggerelateerde

beveiligingsgerelateerde functies goed gestructureerd is.

functies goed gestructureerd zijn.

Een goed gestructureerde code bevordert de

ADV_INT.2

De interne opbouw van de

controleerbaarheid van het product.

(EAL 5)

beveiligingsgerelateerde functies

Door producten die heden ten dage zijn ontwikkeld zal aan

moet goed gestructureerd zijn.

dit vereiste worden voldaan. Deze augmentation staat het

ADV_INT.3

De interne opbouw van de

gebruik van standaardcomponenten derhalve niet in de

(EAL 6,7)

beveiligingsgerelateerde functies

weg.

moet goed gestructureerd zijn en
niet onnodig complex.

De augmentation ADV_INT.3 vereist daarnaast dat de
opbouw van beveiligingsgerelateerde functies niet onnodig
complex is.
Deze augmentation bevordert weliswaar de transparantie
en controleerbaarheid van het product, maar de
gebruikelijke ontwikkeling van componenten is niet
noodzakelijkerwijs gericht op minimalisering van de
complexiteit. Dat komt doordat ontwikkelaars hun code
lang niet altijd toespitsen op een specifiek
gebruiksscenario, en complexe structuren handhaven die
bijvoorbeeld zijn afgeschreven, maar wel bruikbaar blijven
voor het onderhoud van oudere productversies.
Deze augmentation kan het gebruik van
standaardcomponenten dus moeilijker maken, of zelfs
onmogelijk.

ADV_SPM.1 Het beveiligingsbeleid voor

De augmentation ADV_SPM.1 stelt het op formele wijze

(EAL 6,7)

specifieke

uitwerken van beveiligingsmaatregelen verplicht.

beveiligingsmaatregelen van het

Dit vergroot de controleerbaarheid van de implementatie,

systeem moet zijn ondergebracht

aangezien onderdelen van de beveiligingsfunctionaliteit een

in een formeel model, waarvan is

grondig ontwerpproces moeten doorlopen.

bewezen dat het effectief is.

Formele modelleringstechnieken worden echter niet
algemeen gebruikt bij de gebruikelijke wijze van

Bijlage: Keuze EAL-niveau voor Common Criteria certificering

5

Zekerheids

Omvat

component

Argumenten voor of tegen opname van een augmentation
als aanvulling op EAL4

(zit in EAL)
ontwikkeling van programmatuur en zijn voor omvangrijke
systemen mogelijk überhaupt niet toepasbaar.
Deze augmentation kan het gebruik van
standaardcomponenten dus moeilijker maken, of zelfs
onmogelijk.
ADV_TDS.4 Het ontwerp van de

De augmentation ADV_TDS.4 vereist dat de ontwikkelaar

(EAL 5)

beveiligingsgerelateerde

semi-formele methoden hanteert voor het ontwerp van

deelsystemen moet semi-formeel

deelsystemen.

worden opgesteld.

Een semi-formele aanpak vermindert de ambiguïteit en

ADV_TDS.5 Het ontwerp van de

vergroot de inzichtelijkheid van het ontwerp van

(EAL 6)

beveiligingsgerelateerde

programmatuur. Dit draagt dus bij aan de

deelsystemen moet semi-formeel

controleerbaarheid en transparantie.

worden opgesteld. Het ontwerp

Semi-formele methoden voor ten minste een deel van het

van de beveiligingsgerelateerde

ontwerp worden in de ontwikkeling van programmatuur

modules moet semi-formeel

incidenteel gehanteerd, maar zijn wel de standaard praktijk

worden opgesteld.

bij de ontwikkeling van apparatuur.

ADV_TDS.6 Het ontwerp van

Deze augmentation zal het gebruik van

(EAL 7)

beveiligingsgerelateerde

standaardcomponenten lastiger maken, maar niet

deelsystemen moet op een

onmogelijk.

formele wijze worden opgesteld.
Het ontwerp van de

De augmentation ADV_TDS.5 stelt het gebruik van semi-

beveiligingsgerelateerde modules

formele methoden ook op moduleniveau verplicht.

moet semi-formeel worden

In algemene zin gelden ook hier de opmerkingen ten

opgesteld. De overeenstemming

aanzien van ADV_TDS.4, maar het zal lastiger zijn om

met de functionele specificatie van standaard (programmatuur en apparatuur) componenten te
gebruiken, omdat ontwikkelaars niet altijd semi-formele
de beveiligingsgerelateerde
functies moet formeel worden

methoden tot op moduleniveau toepassen.

bewezen.
De augmentation ADV_TDS.6 vereist het gebruik van een
formeel model voor het ontwerp van
beveiligingsgerelateerde deelsystemen, alsmede formeel
bewijs dat het formele model overeenstemt met de
functionele specificatie.
Deze augmentation bevordert de controleerbaarheid van
het ontwerp omdat het ontwerp een grondig ontwerpproces
moeten doorlopen.
Formele methoden worden bij de gebruikelijke ontwikkeling
van programmatuur echter niet algemeen gebruikt en zijn
voor omvangrijke systemen wellicht zelfs onmogelijk.
Deze augmentation kan het gebruik van
standaardcomponenten derhalve bijzonder moeilijk maken,
of zelfs onmogelijk.
ALC

Product levenscyclus

ALC_CMC.5 Wijzigingen aan het product en de De augmentation ALC_CMC.5 vereist strikte toepassing van
(EAL 6,7)

(ontwerp)documentatie daarvan

het configuratiemanagementsysteem en leidt tot een sterke

moeten in een geautomatiseerd

verbetering van de registratie- en controlemogelijkheden

Bijlage: Keuze EAL-niveau voor Common Criteria certificering

6

Zekerheids

Omvat

component

Argumenten voor of tegen opname van een augmentation
als aanvulling op EAL4

(zit in EAL)
configuratiemanagementsysteem

van het systeem. De kans op niet-gecontroleerde

worden vastgelegd. Het

wijzigingen van een product wordt hiermee nog verder

configuratiemanagementsysteem

verminderd dan onder de vereisten van ALC_CMC.4, en dat

moet tevens aangeven dat als er

komt de transparantie en controleerbaarheid ten goede.

ergens in het product of de

Deze augmentation is bij de ontwikkeling van

documentatie iets wordt gewijzigd standaardcomponenten echter mogelijk niet gevolgd en is
welke andere delen van het

dan niet of lastig achteraf alsnog toe te passen.

product of documentatie daardoor
worden geraakt.
ALC_CMS.5 Het configuratiemanagement

De augmentation ALC_CMC.5 vereist dat het

(EAL 5,6,7) moet ook de gebruikte

configuratiemanagementsysteem ook

ontwikkelhulpmiddelen en

ontwikkelhulpmiddelen omvat. Dit bevordert de

daaraan gerelateerde informatie

controleerbaarheid en transparantie, omdat op deze manier

omvatten.

de gehele ontwikkelomgeving nauwkeurig wordt
beschreven en herstelbaar is. Als deze werkwijze nog niet
wordt gehanteerd maakt deze augmentation het echter
moeilijk, zo niet onmogelijk, om standaardcomponenten te
gebruiken.

ALC_DVS.2 Uit beveiligingsdocumentatie moet De augmentation ALC-DVS.2 vereist dat wordt onderzocht
(EAL 6,7)

blijken dat de

of de beveiligingsmaatregelen voor het ontwikkelen van het

beveiligingsmaatregelen voor het

product toereikend zijn.

ontwerpen en ontwikkelen van het Dit bevordert de controleerbaarheid en transparantie van
product afdoende bescherming

de beveiligingsmaatregelen. Deze verbeterde

bieden waardoor de

controleerbaarheid is doorgaans haalbaar indien er al

vertrouwelijkheid en integriteit

beveiligingsmaatregelen voor de ontwikkeling gelden

van het product is gewaarborgd.

conform ALC_DVS.1.
Deze augmentation vindt steeds vaker toepassing. Hij
wordt bijvoorbeeld ook toegepast in het PP van de
Europese Unie die geldt voor de chip in de paspoorten.

ALC_FLR.1

Er moeten processen zijn

Deze augmentations bevorderen de controleerbaarheid en

ingeregeld om aangetroffen

transparantie en dragen er toe bij dat er systematische

potentiële

aandacht is voor de afwikkeling van potentiële beveiligings-

beveiligingsgerelateerde

gerelateerde problemen en het oplossen ervan.

problemen te identificeren, te
ALC_FLR.2

analyseren en op te lossen.

Worden deze processen nog niet uitgevoerd, dan kan dat

Er moeten processen zijn

alsnog worden gedaan na de productontwikkeling. Deze

ingeregeld om aangetroffen

augmentations sluiten het gebruik van

potentiële

standaardcomponenten dus niet uit.

beveiligingsgerelateerde
problemen te identificeren, te
analyseren en op te lossen. Alle
gemelde potentiële
beveiliginggerelateerde problemen
moeten worden aangepakt.
ALC_FLR.3

Er moeten processen zijn
ingeregeld om aangetroffen
potentiële

Bijlage: Keuze EAL-niveau voor Common Criteria certificering

7

Zekerheids

Omvat

component

Argumenten voor of tegen opname van een augmentation
als aanvulling op EAL4

(zit in EAL)
beveiligingsgerelateerde
problemen te identificeren, te
analyseren en op te lossen. Alle
gemelde potentiële
beveiliginggerelateerde problemen
moeten worden aangepakt.
Gebruikers worden tijdig op de
hoogte gebracht van potentiële
beveiliginggerelateerde problemen
en de afwikkeling daarvan.
ALC_LCD.2

Voor de ontwikkeling en

(EAL 7)

onderhoud wordt gebruik gemaakt transparantie doordat de kwaliteitseigenschappen van het

Deze augmentation bevordert de controleerbaarheid en

van metrieken om de kwaliteit

product objectief wordt afgedwongen.

van het product objectief vast te

Deze augmentation is voor standaardcomponenten echter

stellen, zoals metrieken voor de

mogelijk niet gevolgd en is dan niet of lastig achteraf

complexiteit van code en mean

alsnog toe te passen.

time to failure.
ALC_TAT.2

De toegepaste

De augmentations bevorderen de controleerbaarheid en

(EAL 5)

ontwikkelstandaarden moeten zijn transparantie.
beschreven.

ALC_TAT.3 is voor standaardcomponenten echter mogelijk

ALC_TAT.3

De toegepaste

niet gevolgd en is dan niet of lastig achteraf alsnog toe te

(EAL 6,7)

ontwikkelstandaarden moeten zijn passen.
beschreven, ook voor de
gebruikte (standaard)producten
van derden.

ASE

Evaluatie

ASE_TSS.2

Er moet voor het product een

De augmentation ASE_TSS.2 vereist dat de samenvatting

samenvatting van de specificatie

van de specificaties van de beveiliging gerelateerde functies

van de beveiliging gerelateerde

wordt aangevuld met een beschrijving van het ontwerp van

functies zijn waarin wordt

de beveiligingsarchitectuur van het product.

beschreven hoe aan de

De augmentation draagt bij aan de controleerbaarheid en

beveiligingsdoelstellingen wordt

transparantie.

voldaan. De samenvatting van de
specificatie moet ook beschrijven
hoe het product zichzelf
beschermt tegen negatieve
invloeden van buitenaf,
manipulatie en het omzeilen van
de beveiliging.
ATE

Testen

ATE_COV.3 Alle beveiliginggerelateerde

Deze augmentation zorgt ervoor dat er zo uitputtend

(EAL 6,7)

functionaliteit moet aantoonbaar

mogelijk wordt getest.

volledig zijn getest.

Dit bevordert de controleerbaarheid en transparantie.
Deze augmentation is bij de ontwikkeling van
standaardcomponenten echter mogelijk niet gevolgd en is
dan niet of lastig achteraf alsnog toe te passen.
Let op: dit dekt alleen het testen van de

Bijlage: Keuze EAL-niveau voor Common Criteria certificering

8

Zekerheids

Omvat

component

Argumenten voor of tegen opname van een augmentation
als aanvulling op EAL4

(zit in EAL)
beveiligingsgerelateerde functionaliteit en dus niet ALLE
functionaliteit.
ATE_DPT.2

De testen moeten de goede

Deze augmentations zorgen ervoor dat de beveiliging zo

werking van alle modules die een

uitputtend mogelijk wordt getest.

beveiligingsmaatregel
implementeren omvatten (in

De augmentations ATE-DPT.2 en ATE_DTP.3 vereisen dat

plaats van alleen subsystemen die de beveiligingsgerelateerde modules worden getest. Deze
een beveiligingsmaatregel

augmentations dragen bij aan de controleerbaarheid en

implementeren).

transparantie. Deze augmentations zijn voor

ATE_DPT.3

De testen moeten de goede

standaardcomponenten echter mogelijk niet gevolgd en is

(EAL 5,6)

werking van alle

dan niet of lastig achteraf alsnog toe te passen.

beveiligingsgerelateerde modules
omvatten.

Onder ATE_DPT.4 wordt een zeer strikte implementatietest

ATE_DPT.4

De testen van de

verplicht gesteld. Dit bevordert de controleerbaarheid,

(EAL 7)

beveiligingsgerelateerde

maar maakt het als deze test nog niet is uitgevoerd

functionaliteit moeten de goede

moeilijk of zelfs onmogelijk om standaardcomponenten te

werking van alle aspecten van de

gebruiken.

implementatie (in zowel de
programmatuur als de

Lagere ATE_DPT augmentations worden vaak toegepast,

apparatuur) omvatten.

zoals in het PP van de Europese Unie die geldt voor de chip
in de paspoorten en het PP van de Europese Unie die geldt
voor de digitale tachograaf.

ATE_FUN.2

Bij het testen moet ook

Deze augmentation zorgt ervoor dat de beveiliging zo

(EAL 6,7)

meegenomen zijn of de volgorde

uitputtend mogelijk wordt getest.

van testen invloed kan hebben op

De augmentation draagt bij aan de controleerbaarheid en

de uitkomst en daardoor fouten

transparantie.

verborgen zouden kunnen blijven.
ATE_IND.3

De evaluator herhaalt alle door de De augmentation ATE_IND.3 vereist dat de evaluator alle

(EAL 7)

ontwikkelaar uitgevoerde testen

beveiligingsgerelateerde tests herhaalt. Deze augmentation

van de beveiligingsgerelateerde

verbreedt weliswaar de dekking van de verificatie, maar

functionaliteit in plaats van maar

leidt niet tot meer controleerbaarheid en transparantie

een deel om de uitkomsten van

omdat hetgeen wordt getest (zoals gedefinieerd in

die testen te valideren.

ATE_FUN en ATE_DPT) niet toeneemt.

De evaluator test zelf ook alle
beveiligingsgerelateerde
functionaliteit in plaats van alleen
een deel daarvan.
AVA

Kwetsbaarheidsanalyse

AVA_VAN.4 De evaluator moet de

De augmentations AVA_VAN.4 en AVA_VAN.5 vereisen een

(EAL 5)

kwetsbaarheidsanalyse

methodische benadering van de kwetsbaarheidsanalyse en

methodisch uitvoeren. De

geven ook een definitie van het veronderstelde

evaluator voert penetratietesten

aanvalsniveau. De keuze van het aanvalsniveau is

uit op basis van een aanvaller met afhankelijk van de waarde van hetgeen beschermd moet
een matig aanvalsniveau.

worden en de moeite die een aanvaller zich naar

AVA_VAN.5

De evaluator moet de

verwachting zou willen getroosten.

(EAL 6,7)

kwetsbaarheidsanalyse

Een methodische benadering van de kwetsbaarheidsanalyse

methodisch uitvoeren. De

waarborgt dat de beveiliging van het product zo uitputtend

Bijlage: Keuze EAL-niveau voor Common Criteria certificering

9

Zekerheids

Omvat

component

Argumenten voor of tegen opname van een augmentation
als aanvulling op EAL4

(zit in EAL)
evaluator voert penetratietesten

mogelijk wordt geëvalueerd. Het aanvalsniveau verwijst

uit op basis van een aanvaller

naar de soorten aanvallen waar rekening mee wordt

met een hoog aanvalsniveau.

gehouden. Dit vereist op zijn beurt een meer defensieve en
robuuste productimplementatie. Deze augmentation
waarborgt dat de beveiliging wordt gecontroleerd.
Deze augmentation wordt veel toegepast als aanvulling op
EAL4. Vaak wordt voor hoogwaardige bescherming het
hoogste aanvalsniveau gekozen. AVA_VAN.5 wordt
bijvoorbeeld ook toegepast in het PP van de Europese Unie
die geldt voor de chip in de paspoorten en het PP van de
Europese Unie die geldt voor de digitale tachograaf.
Afhankelijk van de beveiligingsvereisten voor de
afzonderlijke onderdelen van het systeem kan het gebruik
van “kant-en-klare” standaardcomponenten lastig zijn als
bij de ontwikkeling daarvan de beveiliging geen rol heeft
gespeeld. Als een standaardcomponent echter niet bestand
is tegen het veronderstelde hoge aanvalsniveau, dan is hij
niet geschikt voor het beoogde doel. Verder hoeven niet
alle standaardcomponenten in het systeem in gelijke mate
bij te dragen aan de beveiliging van dat systeem. Als er
bijvoorbeeld een sterk beveiligde component aanwezig is
die actief fysieke inbraakpogingen detecteert, kunnen
daarnaast ook standaardcomponenten worden gebruikt die
slechts tegen misbruik van functionaliteit bestand zijn.

Bijlage: Keuze EAL-niveau voor Common Criteria certificering

10

Selectie van zekerheidscomponenten
Geheel op maat gemaakte apparatuur waarin geen enkele standaardcomponent (programmatuur
en apparatuur) wordt gebruikt, zal leiden tot een zeer complex en daarom extra risicovol ontwerpen ontwikkelingstraject van de stemprinter en stemmenteller. De Deskundigengroep kiest daarom
niet voor zekerheidscomponenten die het gebruik van standaardcomponenten uitsluiten.
De Deskundigengroep kiest wel voor het in de Protection Profiles opnemen van AVA_VAN.5. Deze
zekerheidscomponent betreft een penetratietest en is bedoeld om zekerheid te verschaffen dat
stemprinter/stemmenteller bestand is tegen geavanceerde aanvallen. Een penetratietest heeft
betrekking op tal van bedreigingen in verband met fysieke en logische beveiliging, zoals
ongeautoriseerd vervangen van verkiezingsgegevens en programmatuur, manipulatie van
elektronica door externe krachten (bv. magnetische of elektrische pulsen) en onbedoeld uitlekken
van informatie (bv. via straling of licht). Bijvoorbeeld het via elektromagnetische straling uitlekken
van de stemkeuze van een kiezer, wat het geval was bij de stemmachines die tot en met 2007 zijn
gebruikt, zou in een dergelijke test opgemerkt moeten worden.
Verder kiest de Deskundigengroep voor het in de Protection Profiles opnemen van ALC_DVS.2.
Deze zekerheidscomponent versterkt het vertrouwen dat de stemprinter/stemmenteller op veilige
wijze zijn ontwikkeld en vermindert het risico van manipulatie tijdens het ontwikkelingsproces.
Van verscheidene andere zekerheidscomponenten (ADV_FSP.5, ADV_IMP.2, ADV_INT.2,
ADV_TDS.5, ALC_FLR.3, ALC_TAT.3, ASE_TSS.2, ATE_COV.3, ATE_DPT.3, ATE_FUN.2 en
ATE_IND.3) die het gebruik van standaardcomponenten (programmatuur en apparatuur) niet
uitsluiten, zou naar de mening van de Deskundigengroep de toegevoegde waarde niet opwegen
tegen de extra complexiteit en doorlooptijd van de evaluatie die deze zekerheidscomponenten met
zich meebrengen. Daarom heeft de Deskundigengroep deze zekerheidscomponenten niet in de
Protection Profiles opgenomen.
Maatwerk-zekerheidscomponent in aanvulling op EAL4
Naast de standaard zekerheidscomponenten is er ook een maatwerk-zekerheidscomponent
toegevoegd, te weten ALC_DEL.2. De achtergrond hiervan is dat een CC-evaluatie is gebaseerd op
de controle van slechts enkele stemprinters en stemmentellers. Bij de massaproductie van
stemprinters en stemmentellers kunnen afwijkingen van de geëvalueerde exemplaren voorkomen
die bedoelde of onbedoelde gevolgen hebben voor de beveiliging. De zekerheidscomponent
ALC_DEL.2 schrijft voor dat gecontroleerd wordt dat elke geproduceerde stemprinter en
stemmenteller identiek is aan de geëvalueerde exemplaren van de stemprinter en stemmenteller.
Een onafhankelijke deskundige dient te verifiëren en officieel te bevestigen dat elke geproduceerde
stemprinter en stemmenteller identiek is aan de geëvalueerde exemplaren van de stemprinter en
stemmenteller.
Conclusie
Het gekozen EAL is EAL4+, aangevuld met ALC_DVS.2, AVA_VAN.5 en maatwerkzekerheidscomponent ALC_DEL.2.
•

EAL4+: Dit is het hoogste EAL waarbij nog standaardcomponenten gebruikt kunnen worden.
Dit niveau omvat een broncode analyse die bij kan dragen aan het vertrouwen en potentiële
beveiligingsproblemen in beeld kan brengen bij de evaluatie.

•

AVA_VAN.5: Voert een penetratietest uit om aan te tonen dat het systeem goed bestand is
tegen een aanvaller met een hoog aanvalspotentieel. Deze zekerheidscomponent biedt het
vertrouwen dat de oplossing bestand is tegen een hoog aanvalspotentieel.
Bijlage: Keuze EAL-niveau voor Common Criteria certificering

11

•

ALC_DVS.2: Aangetoond moet worden dat de beveiligingsmaatregelen toereikend zijn.
Deze zekerheidscomponent biedt een extra waarborg dat er in de ontwikkelings- en
productieomgeving rekening wordt gehouden met beveiligingsvereisten.

•

ALC_DEL.2: Schrijft voor dat door een onafhankelijke deskundige wordt gecontroleerd dat elke
geproduceerde stemprinter/stemmenteller identiek is aan de geëvalueerde exemplaren.

Bijlage: Keuze EAL-niveau voor Common Criteria certificering

12