Tiêu chuẩn quốc gia TCVN 11295:2016 (hoàn toàn tương đương với tiêu chuẩn quốc tế ISO/IEC 19790:2012) về Công nghệ thông tin - Các kỹ thuật an toàn - Yêu cầu an toàn cho mô-đun mật mã là văn bản kỹ thuật cốt lõi thiết lập các yêu cầu an toàn đối với việc thiết kế và thực thi các mô-đun mật mã. Tiêu chuẩn này áp dụng cho các mô-đun được sử dụng để bảo vệ thông tin nhạy cảm trong các hệ thống máy tính và viễn thông.

- Tổng quan về phạm vi và các điều khoản đầu (Điều 1 đến Điều 4)

Các điều khoản đầu tiên của tiêu chuẩn đặt ra nền tảng lý thuyết, phạm vi áp dụng và các định nghĩa kỹ thuật cơ bản:

• Phạm vi áp dụng (Điều 1): Tiêu chuẩn quy định chi tiết các yêu cầu an toàn đối với mô-đun mật mã ở bốn cấp độ an toàn tăng dần (từ Cấp độ 1 đến Cấp độ 4). Các yêu cầu này bao gồm các lĩnh vực liên quan đến thiết kế, vận hành và bảo trì mô-đun mật mã.
• Tài liệu viện dẫn (Điều 2): Xác định các tiêu chuẩn quốc tế và quốc gia liên quan chặt chẽ, làm cơ sở tham chiếu không thể tách rời khi áp dụng TCVN 11295:2016.
• Thuật ngữ và định nghĩa (Điều 3): Định nghĩa rõ ràng các khái niệm chuyên ngành như ranh giới mật mã (cryptographic boundary), tham số an toàn nhạy cảm (SSP), khóa mật mã, trạng thái lỗi, và các cơ chế tự kiểm tra.
• Ký hiệu và thuật ngữ viết tắt (Điều 4): Chuẩn hóa các ký hiệu toán học, các chữ viết tắt kỹ thuật để đảm bảo tính thống nhất trong việc diễn giải và đánh giá mô-đun mật mã.

- Yêu cầu an toàn đối với Phần cứng (Hardware) của mô-đun mật mã

Phần cứng của mô-đun mật mã là thực thể vật lý chứa đựng các thành phần xử lý mật mã. Tiêu chuẩn đưa ra các yêu cầu nghiêm ngặt nhằm bảo vệ toàn vẹn vật lý:

• Xác định ranh giới vật lý: Mô-đun mật mã phải có một ranh giới vật lý được xác định rõ ràng, bao bọc toàn bộ các thành phần phần cứng thực hiện chức năng mật mã.
• An toàn vật lý (Physical Security): Tùy thuộc vào cấp độ an toàn, phần cứng phải có khả năng chống can thiệp (tamper evidence), chống xâm nhập trái phép (tamper resistance) hoặc phát hiện và phản ứng với can thiệp vật lý (tamper detection and response).
• Giao diện vật lý: Các cổng vật lý và giao diện của mô-đun phải được thiết kế để ngăn chặn việc rò rỉ thông tin mật mã nhạy cảm và ngăn chặn các truy cập trái phép vào bên trong ranh giới mật mã.

- Yêu cầu an toàn đối với Phần sụn (Firmware) của mô-đun mật mã

Phần sụn đóng vai trò trung gian điều khiển phần cứng và thực thi các thuật toán mật mã cấp thấp. Các yêu cầu an toàn đối với phần sụn bao gồm:

• Kiểm tra tính toàn vẹn: Khi khởi động hoặc theo yêu cầu, mô-đun mật mã phải thực hiện kiểm tra tính toàn vẹn của phần sụn bằng các thuật toán mật mã mạnh (như chữ ký số hoặc mã xác thực thông điệp MAC).
• Cập nhật an toàn: Quy trình tải hoặc cập nhật phần sụn mới vào mô-đun mật mã phải được kiểm soát chặt chẽ, yêu cầu xác thực nguồn gốc và tính toàn vẹn của mã phần sụn mới trước khi cho phép thực thi.

- Yêu cầu an toàn đối với Phần mềm (Software) của mô-đun mật mã

Đối với các mô-đun mật mã được triển khai dưới dạng phần mềm hoặc có chứa thành phần phần mềm chạy trên môi trường hệ điều hành chung:

• Môi trường vận hành (Operating Environment): Tiêu chuẩn phân loại môi trường vận hành thành môi trường có thể sửa đổi và môi trường không thể sửa đổi. Mỗi loại môi trường có các yêu cầu kiểm soát an toàn tương ứng để ngăn chặn mã độc can thiệp vào hoạt động mật mã.
• Bảo vệ bộ nhớ và kiểm soát truy cập: Phần mềm mật mã phải được cô lập trong vùng bộ nhớ an toàn, ngăn chặn các tiến trình khác đọc hoặc ghi đè lên các tham số an toàn nhạy cảm (SSP) và khóa mật mã.
• Kiểm tra tính toàn vẹn phần mềm: Áp dụng các cơ chế tự kiểm tra định kỳ để đảm bảo mã phần mềm không bị sửa đổi hoặc bị thay thế trái phép.

- Phần tách lôgic của các vai trò và các dịch vụ yêu cầu và tùy chọn

Để đảm bảo nguyên tắc phân chia nhiệm vụ và kiểm soát truy cập an toàn, tiêu chuẩn quy định việc phân tách lôgic rõ ràng giữa các vai trò và dịch vụ:

• Phân tách vai trò (Roles): Mô-đun mật mã phải hỗ trợ tối thiểu hai vai trò riêng biệt là Vai trò Người dùng (User Role) - thực hiện các dịch vụ mật mã thông thường, và Vai trò Quản trị mật mã (Crypto Officer Role) - thực hiện các nhiệm vụ cấu hình, quản lý khóa và bảo trì hệ thống.
• Dịch vụ yêu cầu (Required Services): Mô-đun mật mã bắt buộc phải cung cấp các dịch vụ cơ bản bao gồm: khởi tạo mô-đun, tự kiểm tra (self-tests), hiển thị trạng thái hoạt động, và xóa an toàn (zeroization) các tham số an toàn nhạy cảm khi phát hiện xâm nhập hoặc theo yêu cầu.
• Dịch vụ tùy chọn (Optional Services): Các dịch vụ mật mã bổ sung như mã hóa, giải mã, tạo chữ ký số, thiết lập khóa có thể được cấu hình tùy chọn nhưng phải tuân thủ nghiêm ngặt chính sách an toàn của mô-đun.
• Tách biệt lôgic (Logical Separation): Đảm bảo rằng các luồng dữ liệu, cổng lôgic và không gian địa chỉ của các vai trò và dịch vụ khác nhau được cô lập hoàn toàn, không cho phép rò rỉ thông tin giữa các phiên làm việc hoặc giữa các vai trò khác nhau.