FS.55 MDSCS：评估方法

1 简介

本文件是移动设备安全认证计划（MDSCert）文档的一部分，描述了 MDSCert 计划的评估方法。该计划旨在评估移动设备是否符合 ETSI 消费者移动设备保护配置文件（ETSI TS 103 732 系列 [2]）和 GSMA MDSCert 安全要求。

2 制造商评估工件

制造商需要向 MDSCert 安全测试实验室提供以下评估工件：

• 问卷（所有级别）：包含有关移动设备安全功能和合规性的信息，包括公共和机密信息。
• 用于评估的设备（2 级和 3 级）：制造商需要提供最终生产型号或后期工程模型，并说明如何为测试准备设备。

3 评估方法

MDSCert 计划提供三个安全保证级别，每个级别都对应不同的评估流程和输出内容：

• 级别 1：评估技术报告
• 级别 2：评估技术报告和功能测试报告
• 级别 3：评估技术报告、功能测试报告和漏洞分析与渗透测试报告

评估流程包括初始审查、材料收集、评估活动（问卷调查、功能测试、漏洞分析与渗透测试）和评估报告的编制。

4 证据评估

评估员将审查制造商提供的问卷和补充证据，以确定其是否完整、准确和一致地说明了移动设备对 MDSCert 安全要求的合规性。

5 功能测试

功能测试旨在验证移动设备的安全功能，包括加密功能和生物识别功能。测试结果将被评为通过、不通过或不一致。

6 漏洞分析与渗透测试

漏洞分析与渗透测试旨在识别和评估移动设备中潜在的漏洞。漏洞将被分类为三种类型，并使用攻击潜力评分进行评估。评估员将执行渗透测试，以验证移动设备对攻击的抵抗力。

7 组成、重用和等效性

MDSCert 计划允许制造商重用外部认证组件的证据，以证明其对 MDSCert 安全要求的合规性。这包括组件评估和整个设备评估。

Annex A 文档管理

本附件提供了有关文档历史记录、MDSCert 文档许可和其他信息的详细信息。