クラス：利用者データ保護 (FDP)

5.3.1 アクセス制御 (FDP_ACF)

FDP_ACF_EXT.1 拡張：セキュリティアクセス制御

FDP_ACF_EXT.1.1 TSF は、あるアプリケーションからアクセス可能であるようなシステ ムサービスを制限するメカニズムを提供しなければならない (shall)。

適用上の注釈：本要件が適用されるシステムサービスの例には、以下が含まれる。

 カメラとマイクロフォン入力デバイスからのデータを取得する

 現在のGPS位置情報を取得する

 システムワイドなクレデンシャル保存からのクレデンシャルを読み出す

 連絡先リスト／アドレス帳を読み出す

 保存された写真を読み出す

 テキストメッセージを読み出す

 電子メールを読み出す

 デバイスID情報を読み出す

 ネットワークアクセスを取得する 保証アクティビティ：

評価者は、アプリケーションによる利用が可能なシステムサービスがすべてTSSに列挙さ れていることを保証しなければならない (shall)。評価者は、アプリケーションがこれらの システムサービスとインタフェースする方法、及びこれらのシステムサービスがTSFによ り保護される手段についてもTSSに記述されていることを保証しなければならない (shall)。

TSS は、以下のどのカテゴリにそれぞれのシステムサービスが分類されるかを記述しなけ ればならない (shall)：

1) アクセスが許可されるアプリケーションなし 2) 特権アプリケーションがアクセスを許可される

3) 利用者の権限付与によりアプリケーションがアクセスを許可される 4) すべてのアプリケーションがアクセスを許可される

特権アプリケーションには、TSF 開発者により開発された任意のアプリケーションが含ま れる。TSS は、サードパーティのアプリケーションへ特権が付与される方法を記述しなけ ればならない (shall)。特権アプリケーションの両方の種別について、TSSは、特権がいつ どのように検証されるか、及びTSFが特権のないアプリケーションがそれらのサービスへ のアクセスを防止する方法を記述しなければならない (shall)。

利用者がアクセスを承諾してもよい任意のアプリケーションについて、評価者は、そのア プリケーションがインストールされる時または実行時に、利用者が認証を求めるプロンプ ト表示されるかどうかをTSSが識別していることを保証しなければならない (shall)。評価 者は、アプリケーションがシステムサービスへアクセスするのを制限するための指示が利 用者操作ガイダンスに含まれていることを保証しなければならない (shall)。

保証アクティビティの注釈：以下のテストは、消費者向けモバイルデバイス製品には通常

含まれないツールを評価者へ提供するようなテストプラットフォームへのアクセスをベン ダが提供することが必要とされる。

評価者は、以下のテストを目的とするアプリケーションを書かくか、または、開発者がそ のようなアプリケーションを提供しなければならない (shall)。

テスト1：アプリケーションがアクセスを許可されることがないようなシステムサービスの それぞれについて、評価者はテストアプリケーションによってシステムサービスへのアク セスを試行し、そのアプリケーションがシステムサービスへアクセスできないことを検証 しなければならない (shall)。

テスト2：特権を持つアプリケーションのみがアクセスを許可されるようなシステムサービ スのそれぞれについて、評価者は特権を持たないアプリケーションによってシステムサー ビスへのアクセスを試行し、そのアプリケーションがシステムサービスへアクセスできな いことを検証しなければならない (shall)。評価者は、特権を持つアプリケーションによっ てシステムサービスへのアクセスを試行し、そのアプリケーションがシステムサービスへ アクセスできることを検証しなければならない (shall)。

テスト3：利用者がアクセスを得るようなシステムサービスのそれぞれについて、評価者は テストアプリケーションによってシステムサービスへのアクセスを試行しなければならな い (shall)。評価者は、そのようなアクセスをシステムがブロックするか、または利用者の 権限付与を求めるプロンプトを表示するかのどちらかであることを保証しなければならな い (shall)。利用者の権限付与を求めるプロンプト表示はランタイム時またはインストール 時のどちらで行われてもよいが、TSS に記述されたふるまいと一貫しているべきである (should)。

テスト4：すべてのアプリケーションによってアクセス可能であるとしてTSSに列挙され たシステムサービスのそれぞれについて、評価者はアプリケーションがシステムサービス へアクセスできることをテストしなければならない (shall)。

FDP_ACF_EXT.1.2 TSFは、 [選択：アプリケーションプロセス、アプリケーションプロ セスのグループ] が、他の [選択：アプリケーションプロセス、アプリケーションプロセス のグループ] によって保存された [選択：すべての、プライベートな] データへアクセスす ることを防止するアクセス制御ポリシーを提供しなければならない (shall)。例外として、

[選択：利用者、管理者、共通アプリケーション開発者]による共有のための明示的な場合の み権限付与されることがある。

適用上の注釈：アプリケーションプロセスのグループは、エンタープライズ、管理された、

作業環境、個人、管理されていない、または個人環境のいずれかに特定することができる。

プライベートなデータは、それを書き込んだアプリケーションによってのみアクセス可能 なデータと定義される。プライベートなデータは、アプリケーションが設計によって共有 ストレージ領域へ書き込み可能なデータとは区別される。

保証アクティビティ：

評価者は、どのデータ共有がアプリケーション間で許可されるか、どのデータ共有が許可 されないか、及び不許可共有がどのように防止されるかについて記述されていることを検 証するため、TSSを検査しなければならない (shall)。

テスト：評価者は、2つのアプリケーションを書くか、または開発者がそれらを提供するか しなければならない、ひとつは一意の文字列を含むデータを保存し、他方がそのデータへ のアクセスを試行するものである(shall)。「アプリケーションのグループ」が選択された場 合、2つのアプリケーションは異なるグループに配置されなければならない (shall)。「プラ

イベートなデータ」が選択される場合、アプリケーションは指定された共有ストレージ領 域へ書き込んではならない (shall not)。評価者は、保存された一意の文字列へ2番目のアプ リケーションがアクセスできないことを検証しなければならない (shall)。評価者は、利用 者、または管理者として、または最初のアプリケーションとの共通アプリケーション開発 者による 3 番目のアプリケーションを用いることのいずれかによってアクセスを得て、そ のアプリケーションが保存された一意の文字列へアクセスできることを検証しなければな らない (shall)。

5.3.2 保存データの保護 (FDP_DAR)

FDP_DAR_EXT.1 拡張：保護データの暗号化

FDP_DAR_EXT.1.1 暗号化は、すべての保護データを網羅しなければならない (shall)。 適用上の注釈：1.2「用語集」に定義されるように、保護データはすべての非TSFデータで あり、すべての利用者またはエンタープライズデータを含む。

FDP_DAR_EXT.1.2 暗号化は、[選択：XTS、CBC、GCM] モードの AES で鍵長 [選択：

128、256] ビットにより、DEKを用いて実行されなければならない (shall)。

適用上の注釈：256ビットの鍵長の使用は、2015年の第3四半期以降に評価に入る製品に ついて必須となる。

保証アクティビティ：

評価者は、どのデータが DAR 実装によって保護されるか、そしてどのデータが TSFデー タとみなされるかを ST の TSS セクションが示していることを検証しなければならない (shall)。評価者は、このデータがすべての保護データを含むことを保証しなければならない (shall)。

評価者は、設定の記述及びDAR保護の利用が利用者に対して認証クレデンシャルの設定及 び提供を越えたいかなるアクションも行うことを要求しないことを決定するため、AGDガ イダンスをレビューしなければならない (shall)。 評価者は、設定が利用者に対してファイ ルごとに暗号化を識別することを要求しないことを決定するため、AGD ガイダンスについ てもレビューしなければならない (shall)。

保証アクティビティの注釈：以下のテストは、消費者向けモバイルデバイス製品では通常 見られないようなツールを提供するテストプラットフォームへのアクセスを評価者に提供 するよう開発者に要求する。

テスト1：評価者は、AGDガイダンスに従って暗号化を有効化しなければならない (shall)。

評価者は、ファイルの作成またはアプリケーションの使用のいずれかにより、利用者デー タ (非システムデータ) を作成しなければならない (shall)。 評価者は、FIA_UAU_EXT.1 のテスト 1 と組み合わせて、製品の電源が切られる際に本データが暗号化されていること を検証するため、開発者により提供されるツールを利用しなければならない (shall)。

5.3.3 サブセット情報フロー制御― VPN (FDP_IFC)

FDP_IFC_EXT.1 拡張：サブセット情報フロー制御

FDP_IFC_EXT.1.1 TSFは、 [選択：すべてのIPトラフィック (VPN接続を確立するために 要求されるIPトラフィックを除く) がIPsec VPNクライアントを流れることを可能とする VPNクライアントへのインタフェースを提供；すべてのIPトラフィック (VPN接続を確立 するために要求されるIPトラフィックを除く) がIPsec VPNクライアントを流れることを 有効化] しなければならない (shall)。

適用上の注釈：典型的には、VPN 接続を確立するために要求されるトラフィックは「制御 プレーン」トラフィックと呼ばれる； 一方、IPsec VPN によって保護されるIPトラフィ ックは「データプレーン」トラフィックと呼ばれる。すべての「データプレーン」トラフ ィックはVPN 接続を介して流れなければならず (must)、VPNはスプリットトンネルを行 ってはならない (must not)。(訳注：VPN Tunnel。どのデータをVPNトンネルに通すかを 管理者が制御すること)

IPsecクライアントが全く検証されていない場合、またはサードパーティのVPN クライア

ントが要求された情報フロー制御も実装している場合、最初の選択肢が選択されなければ ならない (shall)。これらの場合、TOE は要求される情報フロー制御を行うために TOE の ネットワークスタックを設定できるAPIをサードパーティのVPNクライアントに提供する。

ST作成者は、TSFがネイティブなVPNクライアントを提供する場合には2番目のオプシ ョンを選択しなければならない (IPsecがFTP_ITC_EXT.1で選択されている場合) (shall)。

ネイティブなVPNクライアントが検証されている場合、ST作成者はVPNクライアントの プ ロ テ ク シ ョ ン プ ロ フ ァ イ ル か ら FDP_IFC_EXT も 含 め な け れ ば な ら な い

(FTP_ITC_EXT.1においてIPsecが選択され、TSFが「IPsec仮想プライベートネットワー

ク (VPN) クライアントのプロテクションプロファイル」に適合した認証を受けている場 合) (shall)。

将来的には、本要件は、現在の要件 (IPsec高信頼チャネルが有効化される時、TSFからの すべてのトラフィックがそのチャネルを経由してルーティングされることを要求している) とTSFによる任意の通信を許可するIPsec高信頼チャネルの確立を実施する選択肢を持つ ことを区別させるかもしれない。

保証アクティビティ：

評価者は、VPN クライアントが有効化される時にTSF上のプロセスを通るIPトラフィッ クのルーティングがSTのTSSセクションに記述されていることを検証しなければならな い (shall)。 評価者は、どのトラフィックがVPN を通過せず、どのトラフィックが通過す るのかについて、及びST作成者によってVPN接続の確立に必要であると識別したトラフ ィックのみ (IKEトラフィック及びおそらくはHTTPSまたはDNSトラフィック) がVPN プロトコル (IPsec) によりカプセル化されないような設定が各ベースバンドプロトコルに ついて存在することについて、記述に示されていることを保証しなければならない (shall)。

評価者は、任意のサポートされたベースバンドプロトコル (例えばWiFi またはLTE) を用 いた際のIPトラフィックのルーティングにおける何らかの違いについてTSSセクションに 記述されていることを検証しなければならない (shall)。

評価者は、以下の選択肢の1つ (または複数) が、文書によって対処されていることを検証 しなければならない (shall)：

 上記の記述には、VPN クライアントが有効化された場合、すべての設定がすべて のデータプレーントラフィックをVPNクライアントによって確立されたトンネル インタフェースを介してルーティングすることが示されている。

 AGDガイダンスに、利用者及び／または管理者が本要件を満たすようにTSFを設 定可能な方法が記述されている。

 API 文書は、VPN クライアントがこのルーティングの指定を許可するセキュリテ ィ機能を含んでいる。

テスト1：ST作成者は、WiFiと携帯電話プロトコルとの間のルーティングに何らかの違い を識別している場合、評価者は識別された携帯電話プロトコルの 1 つを実装する基地局を