FS.53移动设备安全认证方案概述

1 简介

• MDSCert 方案概述：该方案旨在提供一个行业安全保证框架，提高移动设备（如智能手机和平板电脑）的安全能力透明度，并促进整个移动设备生态系统安全水平的提升。
• 利益相关者：该方案对移动设备制造商、移动网络运营商、移动设备用户和政策制定者等利益相关者都有价值。
• 文档范围：本文档介绍了 MDSCert 方案，并定义了 MDSCert 争议解决程序 (MDSCert DRP)、GSMA FS.53 - MDSCert 方案概述、GSMA FS.54 - MDSCert 安全测试实验室认证和 GSMA FS.55 - MDSCert 产品评估方法。
• 文档维护：GSMA 设备安全小组负责维护 MDSCert 方案文档，并促进所有相关利益相关者的定期审查。
• 定义：本文档定义了与 MDSCert 方案相关的术语，例如认证、评估、保护配置文件、参考移动设备等。
• 缩写：本文档定义了与 MDSCert 方案相关的缩写，例如 3GPP、5G、CC、CCRA、DRC、ETSI、eUICC、GSMA、IEC、ILAC、ISO、MDSCert、MSCB、MSTL 等。
• 参考文献：本文档列出了相关的参考文献，例如 RFC 2119、ETSI TS 103 732 系列、ISO/IEC 17025、ISO/IEC 17011、CC 2022 Rel 1 等。
• 约定：本文档使用 RFC2119 中定义的关键词来解释要求级别。

2 MDSCert 的范围

• MDSCert 方案考虑的因素：移动设备技术、产品、安全生命周期、安全保证级别的可见性、市场接受度和参与度。
• MDSCert 方案的目标：为移动设备用户提供一个安全保证框架，提高移动设备安全能力的透明度，并促进整个移动设备生态系统安全水平的提升。
• MDSCert 方案的服务对象：移动设备用户、移动设备制造商、组件供应商、操作系统供应商、移动网络运营商、官方/政府信息安全机构和监管机构、媒体和消费者咨询机构。
• MDSCert 方案的安全基线：一套技术（功能）和非技术要求，证明移动设备的安全功能。
• MDSCert 方案的安全要求：基于 ETSI 消费移动设备保护配置文件 (ETSI TS 103 732 系列) 的技术（功能）和非技术要求。
• MDSCert 方案的排除项：3GPP 移动无线电接口、UICC 和/或 eUICC。

3 MDSCert 方案概述

• MDSCert 方案的目的：使参与制造商能够证明其特定的移动设备产品已达到行业认可的安全水平。
• MDSCert 方案的认证：达到必要安全级别的产品将获得有时间限制的证书，以确认其合规性。
• MDSCert 方案的实施：方案所有者可以利用 GSMA MDSCert 方案文档来实施认证方案。
• MDSCert 方案的角色：方案所有者、移动设备制造商、MDSCert 方案认证机构 (MSCB)、MDSCert 方案测试实验室 (MSTL)。
• MDSCert 方案的相似性认证：一种根据先前测试和认证的移动设备的相似性来授予移动设备认证的方法。
• MDSCert 方案的证书有效期：由方案所有者设定，最长为两年。
• MDSCert 方案的认证维护：产品必须重新评估，以保持认证状态，因为安全要求可能会随着不断变化的威胁环境而发展，并确保产品在生命周期内的更新得到执行。
• MDSCert 方案的证书撤销：如果移动设备产品在正式分析后不再符合 MDSCert 方案的安全要求，方案所有者可能会撤销证书。

4 MDSCert 方案中的角色

• GSMA：通过设备安全小组设定方案中包含的整体安全要求，并维护供任何潜在方案所有者使用的方案文档。
• 方案所有者：负责方案的整体方向和运营。
• 移动设备制造商：根据 MDSCert 方案的要求提交移动设备进行评估。
• MDSCert 方案认证机构 (MSCB)：负责获得和维持 ISO/IEC 17065 认证，以参与并提供 MDSCert 方案的认证服务。
• MDSCert 方案测试实验室 (MSTL)：由 MSCB 授权执行移动设备评估的测试实验室。

5 MDSCert 安全要求

• MDSCert 安全要求类别：密码学、更新、预加载应用程序和权限、身份验证、用户和隐私设置、设备完整性、连接性、漏洞修复和补丁、设备生命周期、设备引导程序、设备安全配置、OTA 客户端和更新、设备签名密钥。
• MDSCert 安全要求来源：现有的行业和政府安全要求集、最佳实践的解释。
• MDSCert 安全要求参考：ETSI TS 103 732 系列。

6 安全保证级别

• MDSCert 安全保证级别：MDSCert 方案定义了三个安全保证级别，以将安全要求和保证级别分开，并提供最大的灵活性。
• 安全保证级别 1 (验证自我评估)：移动设备制造商进行自我评估。
• 安全保证级别 2 (功能测试 + 文档审查)：除了级别 1 评估的证据外，还对移动设备进行功能测试，并由 MSTL 验证问卷中信息的准确性。
• 安全保证级别 3 (级别 2 + 渗透测试)：除了级别 2 评估的证据和 MSTL 进行的功能测试外，MSTL 还将执行漏洞评估，包括渗透测试。

7 MDSCert 方案流程

• MDSCert 方案流程阶段：准备阶段、提交阶段、评估阶段、认证阶段。
• 准备阶段：移动设备制造商选择要评估和认证的移动设备产品或产品系列，选择所需的安全保证级别，并同意参与方案的条款和条件。
• 提交阶段：移动设备制造商根据所选的安全保证级别要求提交问卷、任何额外的证据文件和工件、任何认可的与组件相关的安全证书、任何认可的与产品相关的安全证书、相似性说明、认可的用于重新使用的历史认证证据、以及级别 2/3 的产品样本。
• 评估阶段：MSTL 审查问卷的完整性和准确性，运行功能测试，审查移动设备制造商提交的文档，并执行渗透测试（级别 3）。
• 认证阶段：MSTL (或 MSCB) 准备评估报告，并将其提交给 MSCB 进行正式审查。MSCB 审查评估报告、评估程序和 MSTL 使用的测试方法。如果评估报告获得批准，MSCB 将准备认证报告，其中包括认证结果（通过或未通过），并将其交付给移动设备制造商、MSTL (或 MSCB) 和方案所有者。成功的认证将由方案所有者发布，并指定为“有效”。

8 MDSCert 方案认证决策和证明

• 认证决策：MSCB 负责认证决策，决策结果记录在认证报告文档中。认证决策可以是以下之一：认证或未认证。
• 证明：如果认证决策为正面，则将发行 MDSCert 方案证书，该证书描述了认证的范围、安全保证级别和有效期。正式认证文件仅在 MSCB 批准认证后才会签发，包括证书和认证报告。

9 MDSCert 方案认证场景

• 单个移动设备：对单个移动设备进行评估，所有要求都根据所申请的证书的安全保证级别进行审查和合规性评估。
• 多个移动设备和相似性：移动设备制造商可以选择评估一系列移动设备模型（产品系列），而不是单个产品。可以同时评估相似的移动设备模型，也可以在不同的时间评估，只要它们具有共同的特征即可。
• 移动设备、组成和可重用性：MDSCert 方案促进外部认证的再利用，以提供效率。移动设备制造商可以使用从其他公共第三方方案获得的与设备或其组件相关的安全证书作为符合某些 GSMA MDSCert 安全要求的证据。

10 MDSCert 方案证书有效期

• MDSCert 方案证书有效期：由方案所有者设定，最长为两年或不超过移动设备的剩余支持期。
• MDSCert 方案证书有效期延长：移动设备制造商可以选择证明其对 MDSCert 要求的持续合规性，方法有三种：完全重新评估、维护评估和有针对性的响应评估。

11 MDSCert 认证维护

• 产品变更和认证维护：移动设备在生命周期中会发生变化，这些变化会影响需要进行的重新评估类型。
• 通过产品重新评估进行认证维护：当证书即将到期时，唯一延长有效期的方法是对移动设备进行完全重新评估。
• 通过维护评估进行认证维护：在认证有效期内，移动设备制造商可能需要证明其对 MDSCert 安全要求的持续合规性。
• 通过维护评估进行认证维护：在级别 1 维护评估中，移动设备制造商应证明它已经测试了变更并验证了它们不会改变所声明的功能。
• 通过有针对性的响应评估进行认证维护：在认证有效期内，移动设备制造商可能需要证明对市场反馈中提出的 MDSCert 安全要求的具体问题的响应。

12 MDSCert 方案证书撤销

• MDSCert 方案证书撤销：如果移动设备制造商未能遵循在认证时声明的漏洞和补丁管理政策，证书将被撤销。
• MDSCert 方案证书撤销原因：移动设备制造商未及时修复可利用漏洞、未向 MSCB 通报新发现的可利用漏洞、自我声明过程中提出的合规性声明被证明不正确或不准确、MSCB 认为移动设备制造商对证书授予条款的响应是故意失败或违反了条款。

13 MDSCert 安全要求有效期

• MDSCert 安全要求有效期：MDSCert 安全要求不是静态的，会随着移动设备的功能发生变化和新的安全功能的出现而发生变化。
• MDSCert 安全要求更新：当发布新的要求参考和出版物时，GSMA 将会更新安全要求，这些要求将取代早期的要求。
• MDSCert 安全要求生命周期：当前、连续和已淘汰。
• MDSCert 安全要求过渡期：当发布新的要求时，将开始一个为期一年的过渡期。在此过渡期内，将有两套要求是当前的，因此任何评估都可以使用其中一套。

14 MDSCert 方案认证后市场反馈流程

• MDSCert 方案市场反馈流程：MDSCert 方案所有者需要提供一个机制，以便外部实体挑战设备的认证的准确性（以及由此产生的有效性）。
• 市场反馈流程步骤：提交挑战、MSCB 初步审查、通知移动设备制造商和 MSTL、移动设备制造商提供响应、最终确定挑战结果。
• 市场反馈挑战约束：任何组织不能就同一问题提交多次挑战。移动设备制造商不能挑战其他移动设备制造商，除非挑战是由移动设备制造商内部报告安全/漏洞问题的团体特别报告的。

15 MDSCert 方案争议解决流程

• MDSCert 方案争议解决流程：MDSCert 方案所有者应实施一个争议解决流程，以处理可能出现的有关 MDSCert 方案实施和/或解释的争议。
• MDSCert 方案争议解决流程示例：MDSCert 争议解决委员会 (DRC) 应根据 MDSCert DRP 进行操作，并可以使用额外的指南和/或定义进一步程序，以实现解决方案。
• MDSCert 方案争议解决流程可能出现的争议场景：移动网络运营商、移动设备制造商、MDSCert 测试实验室、MDSCert 认证机构、MDSCert 方案监督委员会之间的各种争议场景。
• MDSCert 方案争议解决流程范围之外的事项：与评估报告的事实、发现或建议有关的任何争议应由相应的 MSTL、MSCB 和移动设备制造商之间解决。
• MDSCert 方案争议解决委员会成员的责任：MDSCert DRC 的任何裁决都是“原样”提供的，对方案所有者、任何 MDSCert DRC 成员、方案所有者工作人员、MDSCert 方案监督委员会或方案所有者成员没有任何责任。

16 MDSCert 证书描述

• MDSCert 证书内容：产品名称、唯一标识符、评估设备的唯一标识符、移动设备的操作系统版本、移动设备制造商的名称、地址和联系方式、执行评估的 MSTL 的名称、地址和联系方式、签发证书的认证机构的名称、地址和联系方式、评估完成日期、证书有效期、方案安全要求版本、评估的安全级别。