Commercial Solutions for Classified

Commercial Solutions for Classified (CSfC), també cridat COTS-for-Secret, és una iniciativa de la NSA que permet a les agències del Govern Federal dels Estats Units usar solucions basada en la composició de múltiples COTS propostes per proveïdors, a través del Commercial Solutions Partnership Program (CSPP), i que han segut verificades i aprovades per complir els estàndarts de seguritat nacional. Des del punt de vista de països aliats d'Estats Units, CSfC permet que en alguns casos ya no tinguen que utilisar dispositius de criptografia de EE. UU., sino que poden adquirir i implementar els seus propis.

L'idea de CSfC no és reemplaçar els productes de tipo 1, sino , basant-se en les necessitats, poder usar la ferramenta adequada per a cada cas.

L'idea darrere del programa CSfC és realisar Defensa en profunditat (DiD), un concepte de ciberseguridad pel que en posar múltiples solucions comercials de seguritat, un damunt de l'atre, el risc de que totes estes solucions fallaren, és molt més baix de lo que seria quan s'utilisa una sola solució. Un dels requisits claus en CSfC és el doble sifrat per a senyes en trànsit i senyes en repòs. Per eixemple, les directrius de la NSA per a la conectivitat de múltiples llocs requerixen que els paquets de senyes classificades se sifren dos voltes abans d'enviar-ho a través d'una ret no confiable: primer per un component de sifrat intern, i després per un component de sifrat exterior. Este doble sifrat de senyes té que ser dessifrat dos voltes despuix d'aplegar al seu destí.

Hi ha gran número de dispositius CSfC[2], entre els que es poden trobar enrutadors, servidors AAA, punts d'accés, sistemes WIPS, MDM,...

Comparació en productes de tipo 1

Com els productes CSfC estan formats per composició de COTS i els Productes de tipo 1 són productes GOTS, açò du implícit que hereten les ventages i inconvenients d'estos tipos de productes. Per eixemple, CSfC accelera els temps en l'obtenció del producte i supon un potencial aforro en els costs de desenroll, tongada i manteniment del producte.

Atres ventages de CSfC front als productes de tipo 1 són: No necessita entrenament especialisat: Els productes de tipo 1 requerixen coneiximent alvançat especialisat. No obstant, CSfC requerix sol coneiximent de tecnologia comercial que ya conformen les arquitectura de ciberseguridad estàndar, per lo que en la majoria dels casos, el seu equip no té que passar per entrenament especial per a usar-los. Més ràpit escomençar a utilisar-les: normalment és més fàcil agarrar i escomençar en CSfC, especialment quan s'incrementa en l'organisació l'us de CSfC. A voltes escomençar en els productes de tipo 1 pot ser més ràpit perque són productes coneguts pel personal experimentat, pero açò deuria canviar es gún es vaja utilisant més CSFC. Mes flexibilitat tècnica: És habitual que CSfC permeta més configuracions. Per eixemple, és habitual que un producte CSfC permeta més tipos de conexions de ret que un productes de tipo 1. La seua possessió té menys riscs. Els CSfC són menys rigorosos en els requisits de propietat i us. Per eixemple, no hi ha necessitat de seguritat vigilada per guàrdies 24/7. Per tant este tipo de productes són millors candidats per al seu us en unitats remotes, centres d'operacions temporals o el cas de drons a on és fàcil que caiga en mans enemigues. Facilita la colaboració entre agències governamentals, aliats i entitats en distints llímits jurisdiccionals. Evita barreres per a la colaboració ya que una més amplia la comunitat de socis que poden usar estos métodos per a compartir informació classificada d'una forma segura. Utilisa estàndarts oberts (inicialment Suite B i després Suite CNSA) mentres que els productes de tipo 1 usen algoritmes secrets (Suite A). Permet fàcil gestió de claus usant PKI mentres que els productes de tipo 1 usen claus aprovades per la NSA. El procés de certificació dura un any o menys, mentres en els productes de tipo 1 tarda varis anys. En CSfC la certificació lo que indica és que el desenrollador ha seguit les directrius de la NSA, la responsabilitat final de l'us del dispositiu és deixada a l'autoritat de aprovación designada o DAA (de l'anglés Designated Approving Authority) de l'organisació final.

Desenroll

Habitualment una implementació CSfC requerix d'a lo manco una dotzena de components de distints proveïdors i cada component té que ser aprovat per al seu us. La NSA proveïx una arquitectura de referència per a ser usades com a començ de la construcció d'un tipo de producte CSfC. El proveïdor desenrolla una solució composta de l'arquitectura publicada i presenta la solució a la NSA per a la seua revisió i aprovació. Finalment la NSA decidix si aprova l'implementació proposta.

Els components elegibles són publicats i actualisats periòdicament per la NSA. Proveïdors que vullguen que els seus productes siguen elegibles com a components CSfC tenen que enviar el component a la NIAP per a la seua evaluació i aprovació d'acort a perfile/s de protecció aplicable/s del Govern d'Estats Units (Common Criteria). A continuació el proveïdor té que sometre's al FIPS per a la validació del procés i finalment realisar un memoràndum d'acort en la NSA.

Ademés, la NSA també propon una llista d'integradors confiables (Trusted Integrators) que són empreses que poden ajudar en el desenroll. També hi ha proveïdors que construïxen baix demanat productes CSfC i que permeten cert grau d'intervenció durant el procés de desenroll.