XTS-400

XTS -400は、マルチレベルの安全なコンピュータオペレーティング システムです。データと情報の処理にマルチレベルのスケジューリングを使用するマルチユーザーおよびマルチタスクです。ネットワーク環境で動作し、ギガビット イーサネットとIPv4およびIPv6の両方をサポートします。

XTS-400 は、 Intel x86ハードウェアとSecure Trusted Operating Program ( STOP )オペレーティング システムを組み合わせたものです。XTS-400 はBAE Systemsによって開発され、2003 年 12 月にバージョン 6.0 として最初にリリースされました。

STOP は高保証セキュリティを提供し、 Common Criteria保証レベル評価で EAL5 以上を獲得した初の汎用オペレーティングシステムです。 ^[1] XTS-400 は、異なる機密レベルの複数の同時データセット、ユーザー、ネットワークをホストし、分離して信頼することができます。

XTS-400 は、通常の作業用の信頼できない環境と、管理作業および特権アプリケーション用の信頼できる環境の両方を提供します。信頼できない環境は、従来のUnix環境に似ています。ほとんどの Linux コマンドとツールを実行するLinuxアプリケーション、および再コンパイルの必要なくほとんどの Linux アプリケーションとのバイナリ互換性を提供します。この信頼できない環境にはX Window System GUIが含まれますが、画面上のすべてのウィンドウは同じ感度レベルである必要があります。

信頼できる環境とさまざまなセキュリティ機能をサポートするために、STOP はアプリケーションに独自のAPIセットを提供します。これらの独自の API を使用するプログラムを開発するには、特別なソフトウェア開発環境 (SDE) が必要です。また、複雑な Linux/Unix アプリケーションを XTS-400 に移植する場合にも SDE が必要です。

その後、STOPオペレーティングシステムの新しいバージョンであるSTOP 7 ^{[2]が導入され、パフォーマンスが向上し、} RBACなどの新機能が追加されていると主張されています。

XTS-400 は、高保証のMLSシステムとして、クロスドメイン ソリューションで使用できます。クロスドメイン ソリューションでは通常、制御された方法で 1 つ以上のセキュリティ機能を一時的に回避できる特権ソフトウェアの開発が必要です。このような部分は XTS-400 の CC 評価の範囲外ですが、認定を受けることはできます。

XTS-400 は、デスクトップ、サーバー、またはネットワーク ゲートウェイとして使用できます。デスクトップ ソリューションをサポートするために、対話型環境、一般的な Unixコマンド ライン ツール、および GUI が用意されています。XTS-400 は、異なる感度レベルで複数の同時ネットワーク接続をサポートしているため、複数の異なるネットワークに接続された複数の単一レベルのデスクトップを置き換えることができます。

サーバー機能をサポートするため、XTS-400 はラックマウント構成で実装でき、無停電電源装置(UPS) を受け入れ、複数のネットワーク接続を許可し、SCSIサブシステム上の多数のハード ディスクに対応し (ファイル システム内のスパース ファイル実装を使用してディスク ブロックも保存)、信頼できるバックアップ/保存ツールを提供します。インターネット デーモンなどのサーバー ソフトウェアを移植して、XTS-400 で実行できます。

XTS-400 のような高保証システムの一般的な用途は、セキュリティ特性が異なる 2 つのネットワーク間の情報フローを保護することです。XTS システムに基づく顧客保護ソリューションはいくつかあります。

XTS-400 バージョン 6.0.E は、2004 年 3 月に ALC_FLR.3 (検証レポート CCEVS-VR-04-0058) が追加された EAL4 で Common Criteria (CC) 評価を完了しました。バージョン 6.0.E は、Labeled Security Protection Profile (LSPP) およびControlled Access Protection Profile (CAPP) という保護プロファイルにも準拠していますが、どちらのプロファイルも機能と保証の点で優れています。

XTS-400 バージョン 6.1.E は、ALC_FLR.3 および ATE_IND.3 (検証レポート CCEVS-VR-05-0094) が追加された EAL5 で 2005 年 3 月に評価を完了しましたが、LSPP および CAPP に準拠しています。EAL5+ 評価には、秘密チャネルの分析と、国家安全保障局による追加の脆弱性分析およびテストが含まれていました。

XTS-400 バージョン 6.4.U4 は、ALC_FLR.3 および ATE_IND.3 (検証レポート CCEVS-VR-VID10293-2008) が追加された EAL5 で 2008 年 7 月に評価を完了しましたが、LSPP および CAPP にも準拠しています。前バージョンと同様に、秘密チャネルの分析と、国家安全保障局による追加の脆弱性分析およびテストも含まれています。

XTS-400のすべての評価の公式投稿は、検証済み製品リストで確認できます。^{[3] [4]}

STOP がほとんどのオペレーティング システムと一線を画す主なセキュリティ機能は、必須の機密ポリシーです。必須の整合性ポリシーをサポートしていることも、STOP がほとんどのMLSまたは信頼されたシステムと一線を画す理由です。機密ポリシーは不正な開示の防止を扱いますが、整合性ポリシーは不正な削除や変更 (ウイルスが行う可能性のある損害など) の防止を扱います。通常の (つまり、信頼されていない) ユーザーに、オブジェクトの機密レベルまたは整合性レベルを変更する裁量はありません。これらのポリシーの基礎は、 Bell–LaPadulaおよびBiba の形式モデルです。

機密性と整合性の両方のポリシーは、システム上のすべてのユーザーとすべてのオブジェクトに適用されます。STOP は、16 の階層的な機密性レベル、64 の非階層的な機密性カテゴリ、8 の階層的な整合性レベル、および 16 の非階層的な整合性カテゴリを提供します。必須の機密性ポリシーは、米国国防総省 のデータ機密性分類モデル (つまり、「非機密」、「秘密」、「極秘」) を適用しますが、商用環境向けに構成することもできます。

その他のセキュリティ機能は次のとおりです。

• 識別と認証。システム サービスを使用する前、または情報にアクセスする前に、ユーザーを一意に識別して認証することを強制します。ユーザーの識別は、アクセス制御の決定や、監査メカニズムによる説明責任のために使用されます。
• 任意アクセス制御(DAC) はUnixと同じように表示され、すべてのオブジェクトにアクセス制御リストが存在することを含みます。set-id 関数は制御された方法でサポートされます。
• 必須のサブタイプポリシー。これにより、完全なタイプの適用またはドメイン タイプの適用ポリシーをサポートする信頼されたシステムの機能の一部が許可されます。
• すべてのセキュリティ関連イベントと信頼できるツールを監査し、管理者が潜在的なセキュリティ違反を検出して分析できるようにします。
• 信頼できるパス。これにより、ユーザーは機密操作中に信頼できるセキュリティ機能(TSF) と直接やり取りしていることを確認できます。これにより、たとえば、トロイの木馬がログイン プロセスを偽装してユーザーのパスワードを盗むことを防ぎます。
• 信頼できないユーザーやプロセスのアクティビティからオペレーティング システム コードとデータ ファイルを分離し、特にマルウェアによるシステムの破壊やその他の影響を防ぎます。
• プロセスを相互に分離する（あるプロセス/ユーザーが別のプロセスの内部データやコードを改ざんできないようにするため）。
• 参照モニター機能。これにより、オペレーティング システムによる監視をバイパスするアクセスができなくなります。
• 必須の整合性ポリシーを使用して、管理者、オペレーター、およびユーザーの役割を厳密に分離します。
• データの清掃を防ぐための残留情報（つまり、オブジェクトの再利用）メカニズム。
• システムの構成、セキュリティ上重要なデータの管理、ファイル システムの修復を行うための信頼できる評価済みツール。
• オンデマンドのセキュリティ メカニズムの自己テスト。
• TSF から上位層ネットワーク サービスを除外し、TSF がそれらのサービスの既知の脆弱性の影響を受けないようにします。

STOP は単一のパッケージでのみ提供されるため、特定のパッケージにすべてのセキュリティ機能が含まれているかどうかについて混乱が生じることはありません。必須ポリシーを無効にすることはできません。ポリシー構成では、大量のドメインとデータ タイプ (および付随するアクセス ルール) を定義するという、潜在的に複雑なプロセスは必要ありません。

システムの信頼性を維持するには、XTS-400 のインストール、起動、および構成は信頼できる担当者が行う必要があります。また、サイトではハードウェア コンポーネントの物理的な保護も提供する必要があります。システムとソフトウェア アップグレードは、BAE Systems から安全な方法で出荷されます。

ご希望のお客様のために、XTS-400 は Mission Support Cryptographic Unit (MSCU) とFortezzaカードをサポートしています。MSCU はタイプ 1暗号化を実行し、米国 国家安全保障局によって別途精査されています。

CC 評価では、XTS-400 で特定のハードウェアを使用する必要があります。これにより、使用できるハードウェア構成に制限が課せられますが、いくつかの構成が可能です。XTS-400 では、オプションのミッション サポート暗号化ユニット (MSCU) を除き、標準の PC および市販の(COTS) コンポーネントのみが使用されます。

ハードウェアは、最大 2.8 GHz の速度の Intel Xeon ( P4 )中央処理装置(CPU) をベースにしており、最大 2 GB のメイン メモリをサポートします。

ギガビット イーサネットなどのアドイン カードには、PCI (Peripheral Component Interconnect) バスが使用されます。最大16 個のイーサネット接続を同時に確立でき、それらすべてを異なる必須のセキュリティおよび整合性レベルで構成できます。

SCSIサブシステムは、多数の高性能周辺機器を接続するために使用されます。 SCSI 周辺機器の 1 つは、Fortezza をサポートできる PC カード リーダーです。複数のSCSIホストアダプタを含めることができます。

XTS-400 には、同じグループによって開発された評価済みの先祖製品がいくつかありました。Secure Communications Processor (SCOMP)、XTS-200、XTS-300 です。すべての先行製品は、Trusted Computer System Evaluation Criteria (TCSEC) (別名Orange Book ) 標準に基づいて評価されました。SCOMP は、1984 年に、当時の最高の機能および保証レベルである A1 で評価を完了しました。それ以来、この製品は、独自のハードウェアとインターフェイスから、コモディティ ハードウェアと Linux インターフェイスへと進化してきました。

XTS-200 は、 Unix のようなアプリケーションとユーザー環境をサポートする汎用オペレーティング システムとして設計されました。XTS-200 は、1992 年に B3 レベルで評価を完了しました。

XTS-300 は、独自のミニコンピュータ ハードウェアから COTS の Intel x86 ハードウェアに移行しました。XTS-300 は、1994 年に B3 レベルで評価を完了しました。XTS-300 は、CC の保証継続サイクルに非常によく似た、複数の評価メンテナンス サイクル (別名 RAMP) も経て、最終的に 2000 年にバージョン 5.2.E が評価されました。

XTS-400 の開発は 2000 年 6 月に開始されました。顧客が目にする主な変更点は、 Linux APIへの特定の準拠でした。XTS システムのセキュリティ機能により API にいくつかの制限が課され、追加の独自のインターフェイスが必要になりますが、準拠は十分であるため、ほとんどのアプリケーションは再コンパイルせずに XTS で実行できます。システムの以前のバージョンと比較して、いくつかのセキュリティ機能が追加または改善され、パフォーマンスも向上しました。

2006 年 7 月現在、XTS 製品ラインは引き続き機能強化されています。

2006 年 9 月 5 日、米国特許庁はBAE Systems Information Technology, LLC に米国特許番号 7,103,914「信頼できるコンピュータ システム」を付与しました。

STOP はモノリシック カーネルオペレーティング システムです(Linux も同様)。Linux 互換の API を提供していますが、STOP はUnixまたはUnix のようなシステムから派生したものではありません。STOP は高度に階層化され、高度にモジュール化されており、比較的コンパクトでシンプルです。これらの特性により、歴史的に高保証評価が容易になりました。

STOP は 4 つのリングに階層化されており、各リングはさらにいくつかの階層に分割されています。最も内側のリングにはハードウェア特権があり、特権コマンドを含むアプリケーションは最も外側のリングで実行されます。内側の 3 つのリングがカーネルを構成します。外側のリングのソフトウェアは、内側のリングのソフトウェアを改ざんできません。カーネルはすべてのプロセスのアドレス空間の一部であり、通常のプロセスと特権プロセスの両方で必要です。

セキュリティカーネルは、最も内側で最も権限のあるリングを占有し、すべての必須ポリシーを適用します。セキュリティ カーネルは、プロセスを別のプロセスから分離する仮想プロセス環境を提供します。セキュリティ カーネルは、すべての低レベルのスケジューリング、メモリ管理、および割り込み処理を実行します。セキュリティ カーネルは、I/OサービスとIPCメッセージ メカニズムも提供します。セキュリティ カーネルのデータは、システム全体にわたります。

信頼されたシステム サービス (TSS) ソフトウェアは、リング 1 で実行されます。TSS はファイル システムを実装し、TCP/IPを実装し、ファイル システム オブジェクトに対して任意アクセス制御ポリシーを適用します。TSS のデータは、それが実行されているプロセスに対してローカルです。

オペレーティング システム サービス (OSS) はリング 2 で実行されます。OSS は、アプリケーションに Linux のような API を提供するほか、システムのセキュリティ機能を使用するための独自のインターフェイスも提供します。OSS は、シグナル、プロセス グループ、および一部のメモリ デバイスを実装します。OSS のデータは、それが実行されているプロセスに対してローカルです。

ソフトウェアは、システムがセキュリティ ポリシーを適用するために依存している機能(ユーザー認証の確立など) を実行する場合、信頼できるソフトウェアとみなされます。この決定は、整合性レベルと権限に基づいて行われます。信頼できないソフトウェアは、整合性レベル 3 (すべての整合性カテゴリ) 以下で実行されます。一部のプロセスでは、機能を実行するために権限が必要です。たとえば、セキュア サーバーは、より低い機密レベルでユーザーのセッションを確立しながら、システムの高い機密レベルに保持されているユーザー アクセス認証データベースにアクセスする必要があります。

XTS-400 は多くのアプリケーション環境で高いレベルのセキュリティを提供できますが、それを実現するにはトレードオフが必要です。一部の顧客にとって潜在的な弱点には次のようなものがあります。

• 内部階層化とモジュール化がより厳格になり、セキュリティ チェックが追加されるため、パフォーマンスが低下します。
• すぐに使用できるアプリケーション レベルの機能が少なくなります。
• 複雑なアプリケーションを実行するには、ソース レベルの変更が必要になる場合があります。
• 信頼できるユーザー インターフェイスは GUI を利用せず、コマンド ライン機能は制限されています。
• ハードウェアの選択肢が限られている。
• 組み込み環境やリアルタイム環境には適していません。

• 公式サイト、BAE
• XTS-400 EAL5+ 認定製品ページ
• XTS-400 EAL5+アーカイブ検証済み製品ページ
• XTS-400 EAL4+アーカイブ検証済み製品ページ
• 米国特許 7,103,914: 信頼できるコンピュータ システム
• 安全なオペレーティングシステムと強制的なセキュリティの必要性に関する論文
• モントレーセキュリティアーキテクチャ（MYSEA）、STOP OSを活用した海軍大学院プロジェクト
• XMPP とクロス ドメイン共同情報環境 (CDCIE) の概要、単一ドメイン環境とクロス ドメイン環境の両方での多国間情報共有 (STOP OS を利用)