Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
BS EN 419251——认证设备安全要求标准系列（核心功能、可信通道与附加功能保护轮廓）
Security Requirements for Device for Authentication — Protection Profiles for Core Functionality, Trusted Channel Extension and Additional Functionality (2013 版)
🔐 BS EN 419251 是欧洲标准化委员会（CEN）制定的认证设备安全要求系列标准，由 BSI 以 BS EN 419251 编号在英国实施，技术归口于 BSI 技术委员会 IST/17（卡片与个人识别）。该系列分为三部分，分别规定认证设备核心功能、证书生成应用可信通道扩展以及附加功能的保护轮廓（Protection Profile, PP），为电子身份认证、智能卡与安全令牌等认证设备的安全性评估提供了基于通用准则（Common Criteria, CC）的标准化依据，是身份认证产品开发与安全认证的重要参考。
💡 保护轮廓（PP）是通用准则安全评估中一类”安全需求规范”：它描述某类认证设备应满足的安全目标、安全功能要求与保证要求，产品开发者可依据 PP 编写安全目标（ST）并通过评估机构验证，从而证明产品达到既定安全级别。
一、标准系列概述与适用范围 📌
BS EN 419251 系列由 EN 419251-1:2013、EN 419251-2:2013 与 EN 419251-3:2013 组成，全部经 CEN 于 2012 年 12 月 7 日批准，并于 2013 年 4 月 30 日由 BSI 发布为英国国家标准。标准适用于认证设备（如智能卡、USB 安全令牌、带有安全芯片的设备）的安全性评估，覆盖核心认证功能、证书生成应用的可信通信以及附加安全功能。
| 分部 | 标准号 | 主题 | 主要内容 |
|---|---|---|---|
| Part 1 | BS EN 419251-1:2013 | 核心功能保护轮廓（Core functionality） | 认证设备核心安全功能要求 |
| Part 2 | BS EN 419251-2:2013 | 可信通道扩展（Trusted channel to certificate generation application） | 与证书生成应用的可信通信扩展 |
| Part 3 | BS EN 419251-3:2013 | 附加功能（Additional functionality for security targets） | 安全目标的附加功能要求 |
⚠️ 认证设备存储与使用密钥等敏感数据，其安全评估必须基于权威的评估方法与保证等级。BS EN 419251 基于通用准则（CC），对评估的严格程度与保证级别提出了明确要求，开发与认证时须严格遵循。
二、核心功能保护轮廓（Part 1）🔑
BS EN 419251-1 规定了认证设备核心功能的保护轮廓。核心功能指设备用于用户身份认证的基本能力，包括密钥的生成、导入、安全存储与使用，认证协议的执行以及设备自身安全状态的保证。该部分定义了这些功能的安全目标、安全功能要求与保证要求，并规定了符合性声明（CC Conformance Claim、PP Claim 等）的方式，使评估者能系统验证设备的核心安全能力。
- 密钥管理：密钥的生成、导入、存储、使用与销毁均须在安全环境内进行。
- 认证协议：设备应安全执行用户认证与设备认证协议，防止重放、中间人攻击。
- 安全状态：设备应能检测并应对故障、物理攻击与非法访问。
- 符合性：明确 CC 符合性声明、PP 声明与包声明的方式。
三、可信通道扩展（Part 2）🛡️
BS EN 419251-2 规定了认证设备核心功能之外的扩展：通过可信通道（trusted channel）与证书生成应用（certificate generation application）进行安全通信。当设备需要向证书生成应用传输密钥或密钥材料以生成证书时，必须建立经过认证与加密的可信通道，防止密钥在传输过程中被窃取或篡改。该扩展还涉及密钥生成与管理、设备管理以及到证书生成和管理应用的安全通信。
✅ 可信通道的关键：通信双方必须相互认证，并建立加密与完整性保护。这样即使在不可信网络上传输密钥材料，也能保证其机密性与完整性。
四、附加功能保护轮廓（Part 3）➕
BS EN 419251-3 规定了认证设备安全目标（Security Target）的附加功能要求。当产品在核心功能之外还提供其他功能（如生物识别、多应用支持、特定行业功能）时，安全目标应将这些附加功能的安全要求一并纳入评估。该部分给出了附加功能的描述方式与安全要求框架，使认证设备的功能扩展不会削弱整体安全等级。
- 附加功能识别：明确设备提供的附加功能及其安全边界。
- 安全要求扩展：将附加功能的安全要求纳入安全目标。
- 整体安全一致性：确保功能扩展与核心安全目标不冲突、不削弱。
🚨 安全警示：认证设备的安全性建立在对密钥与安全芯片的充分保护之上。任何设计或实现缺陷（如侧信道泄漏、密钥提取、协议实现错误）都可能导致身份被冒用，应通过安全评估与渗透测试严格验证。
五、工程实践与应用 🛠️
- 🔍 电子身份认证：用于电子身份证、电子护照、eID 等身份认证产品的安全评估。
- 🔧 金融与支付：用于支付卡、电子钱包等金融安全产品的评估与认证。
- 📋 企业安全：用于 USB 令牌、智能卡等企业访问控制与数字签名设备。
- 📊 评估体系：产品开发者依据 PP 编写 ST，评估机构按 CC 方法验证并出具评估报告。
六、常见问题解答 ❓
❓ 问：什么是保护轮廓（PP）？
答：PP 是通用准则评估中对一类产品安全需求的规范，描述该类产品的安全目标、安全功能与保证要求，是产品安全评估的基准。
答：PP 是通用准则评估中对一类产品安全需求的规范，描述该类产品的安全目标、安全功能与保证要求，是产品安全评估的基准。
❓ 问：可信通道与普通加密通信有何区别？
答：可信通道强调通信双方的身份相互认证，并在此基础建立加密与完整性保护，专门用于传输敏感数据（如密钥），而普通加密通信不一定包含双向强认证。
答：可信通道强调通信双方的身份相互认证，并在此基础建立加密与完整性保护，专门用于传输敏感数据（如密钥），而普通加密通信不一定包含双向强认证。
❓ 问：核心功能与附加功能如何共同评估？
答：核心功能按 Part 1 的 PP 评估，附加功能按 Part 3 纳入安全目标。两部分须保持安全要求的一致性，不能因附加功能而削弱整体安全。
答：核心功能按 Part 1 的 PP 评估，附加功能按 Part 3 纳入安全目标。两部分须保持安全要求的一致性，不能因附加功能而削弱整体安全。
🔍 问：认证设备为何要按通用准则（CC）评估？
答：认证设备存储与使用敏感密钥，其安全需要权威、可重复的评估方法。CC 提供了标准化的评估框架与保证等级，使评估结果可被各方采信。
答：认证设备存储与使用敏感密钥，其安全需要权威、可重复的评估方法。CC 提供了标准化的评估框架与保证等级，使评估结果可被各方采信。
