引言：信息安全，一场无处不在的战争
想象一下，你每天都在用手机、电脑，甚至智能手表，与数字世界进行着无形的交流。这些设备和系统，构建了一个庞大而复杂的网络，支撑着现代社会的一切。然而，在这个看似安全的世界里，潜伏着各种各样的威胁——黑客、病毒、恶意软件，以及更隐蔽的风险，如设计缺陷、人为失误和利益驱动。信息安全，不再是技术人员的专属领域，而是关乎每个人的生活和未来。
本文将深入探讨信息安全领域一个重要的评估标准——Common Criteria（通用标准），并结合具体的案例，揭示其背后的复杂性、潜在的漏洞以及由此引发的意识盲区。我们将以通俗易懂的方式，带你了解信息安全的基本概念，以及如何在数字时代保护自己。
第一部分：Common Criteria——信息安全评估的基石与困境
Common Criteria (CC) 是一种国际标准，旨在为信息安全产品和系统提供一个统一的评估框架。它由一系列标准和测试规范组成，用于评估产品的安全功能和安全性级别。简单来说，CC就像一个“安全检查清单”，帮助我们判断一个产品是否足够安全，是否能够保护我们的数据和隐私。
为什么需要Common Criteria？
在当今这个高度互联的世界里，信息安全至关重要。无论是政府机构、金融企业，还是个人用户，都依赖于信息系统的安全可靠。CC的出现，旨在解决不同国家和地区之间信息安全评估的差异性问题，促进全球范围内的信息安全合作。
Common Criteria的评估流程：一个充满挑战的过程
Common Criteria的评估流程相当复杂，通常由独立的评估机构（称为CLEF，Commercial Licensed Evaluation Facilities）进行。这些CLEF通常与政府或情报机构有密切联系，这本身就带来了一个潜在的问题——利益冲突。
案例一：英国国民健康服务（NHS）的加密困境
英国国民健康服务（NHS）面临着保护患者隐私的严峻挑战。为了解决这个问题，NHS决定对内部网络流量进行加密。然而，在选择加密解决方案时，NHS的决策受到了英国信号情报局（GCHQ）的强烈影响。
GCHQ要求使用“密钥保管”（key escrow）的加密产品，即密钥存储在安全的地方，以便在紧急情况下能够解密数据。为了满足GCHQ的要求，NHS组织了一系列测试。其中一个测试使用了来自丹麦的商业加密软件，该软件没有密钥保管功能，但价格便宜。另一个测试则使用了来自英国国防承包商的软件，该软件具备密钥保管功能，但价格昂贵。
令人震惊的是，测试结果却出人意料：丹麦软件运行良好，而英国软件则存在诸多问题。然而，负责评估的CLEF却出乎意料地报告了相反的结果，声称英国软件运行良好，而丹麦软件则存在问题。
这种结果的背后，可能存在多种原因：
- 利益冲突： CLEF的资金来源是供应商，因此他们可能会倾向于选择那些能够给供应商带来好处的评估结果。
- 情报机构的影响： CLEF与情报机构的密切联系，可能导致他们受到情报机构的某种压力，从而影响评估结果的客观性。
- 信息不对称： CLEF可能无法充分了解产品的技术细节，从而导致评估结果的偏差。
最终，经过另一家CLEF的介入，真相才得以揭露。但这一事件暴露了Common Criteria评估流程中存在的严重问题——评估的独立性和客观性受到威胁。
第二部分：Common Criteria评估背后的暗箱操作与潜在风险
Common Criteria评估流程的复杂性，为各种形式的暗箱操作提供了空间。除了利益冲突和情报机构的影响，还有供应商利用评估流程进行“走钢丝”的现象。
案例二：英国智能卡电子行驶证的“安全”陷阱
为了应对欧洲各国对传统纸质行驶证的淘汰，英国政府和汽车行业推动了基于智能卡的电子行驶证。然而，在推广过程中，一些利益集团利用Common Criteria评估流程，将一个根本不安全的系统包装成“安全”的产品。
智能卡电子行驶证的核心问题在于，它依赖于智能卡上的数字签名来验证驾驶员的身份和车辆信息。然而，由于缺乏对智能卡安全性的充分考虑，以及对用户体验的忽视，该系统存在着严重的漏洞。
为了掩盖这些漏洞，一些供应商雇佣了一家英国CLEF进行评估。这家CLEF的员工来自一家军工公司，他们对智能卡技术一无所知。然而，他们并没有拒绝这项业务，而是编写了一份“宽松”的保护配置文件，并且没有质疑英国政府对该项目的反对。
最终，该系统被批准使用，但其安全性却令人担忧。例如，一些安全专家发现，即使是简单的病毒或木马程序，也能够通过欺骗驾驶员的智能卡，伪造合法的数字签名。
这一事件暴露了Common Criteria评估流程中存在的系统性缺陷：
- CLEF的专业性不足： 评估团队缺乏必要的专业知识，无法识别系统中的安全漏洞。
- 利益驱动： 供应商为了获得认证，不惜采取各种手段，甚至牺牲系统的安全性。
- 缺乏问责制： 没有有效的机制来追究CLEF的责任，导致他们缺乏足够的动力来保证评估的客观性和准确性。
信息安全意识的缺失：数字时代的盲区
Common Criteria评估流程的缺陷，最终导致了许多不安全的系统和产品进入市场。这不仅给用户带来了安全风险，也损害了Common Criteria的声誉。
更令人担忧的是，许多用户缺乏基本的安全意识，对信息安全风险的认识不足。他们可能随意点击不明链接，下载未经授权的软件，或者使用弱密码，从而给黑客提供了可乘之机。
如何提升信息安全意识？
信息安全意识的提升，需要从多个方面入手：
- 技术层面： 学习如何使用安全软件，设置强密码，定期更新系统和软件。
- 行为层面： 避免点击不明链接，不下载未经授权的软件，不随意透露个人信息。
- 认知层面： 了解常见的安全威胁，提高对安全风险的警惕性。
结论：共同构建安全数字世界
Common Criteria作为信息安全评估的重要标准，在保障数字世界安全方面发挥着重要作用。然而，其评估流程中存在的缺陷，以及用户缺乏的安全意识，都给信息安全带来了巨大的挑战。
解决这些挑战，需要政府、企业、技术专家和用户共同努力。政府应加强对Common Criteria评估流程的监管，确保其独立性和客观性。企业应将信息安全作为产品设计和开发过程中的核心考虑因素。技术专家应不断开发新的安全技术，以应对日益复杂的安全威胁。而用户则应提高安全意识，采取积极的安全措施，共同构建一个安全可靠的数字世界。
昆明亭长朗然科技有限公司是您值得信赖的信息安全合作伙伴。我们专注于提供定制化的信息安全意识培训，帮助您的企业构建强大的安全防线。我们提供模拟钓鱼邮件、安全意识视频、互动式培训等多种形式的培训课程，满足不同企业的需求。如果您希望了解更多关于如何提升组织机构的安全水平，欢迎随时联系我们，我们将竭诚为您提供专业的咨询和服务。
- 电话：0871-67122372
- 微信、手机：18206751343
- 邮件：info＠securemymind.com
- QQ: 1767022898
