ICS35.240.01 L70 移动互联网应用程序（App）数据安全测评能 力要求 2022-11-01发布 2023-02-01实施团体标准 T/ISC0018—2022 中国互联网协会 发布DatasecuritytestandevaluationcapabilityrequirementsformobileInternetapplications 全国团体标准信息平台 全国团体标准信息平台 T/ISC0018—2022 I目  次 1范围.................................................................................1 2规范性引用文件.......................................................................1 3术语和定义和缩略语...................................................................1 4移动互联网应用程序数据安全测评能力模型...............................................1 5移动互联网应用程序数据安全测评能力管理要求...........................................2 6移动互联网应用程序数据安全测评能力技术要求...........................................3 附录A（资料性附录）基础级AndroidApp数据安全重点测评项目及方法....................6 附录B（资料性附录）基础级iOSApp数据安全重点测评项目及方法.......................11 附录C（资料性附录）增强级AndroidApp数据安全测评项目及方法.......................14 附录D（资料性附录）增强级iOSApp数据安全测评项目及方法...........................18 附录E（资料性附录）App数据安全测评报告模板........................................20 全国团体标准信息平台 T/ISC0018—2022 II前  言 本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起 草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这些专利的责任。 本标准由中国互联网协会归口。 本标准主要起草单位：中国信息通信研究院、中国电子技术标准化研究院、中国软件评测中心、国 家工业信息安全发展研究中心、深圳市网安计算机安全检测技术有限公司、北京智游网安科技有限公司 （爱加密）、北京梆梆安全科技有限公司、成都思维世纪科技有限责任公司 本标准主要起草人：解伯延、王丹辉、谢玮、魏薇、陈湉、刘行、高超、唐刚、秦晓磊、余宇舟、 张渊、秦博阳、钟子呈、黄伟杰、韩云、章明珠、姜会安、任江辉、曾礼、方宁、卢佐华 全国团体标准信息平台 T/ISC0018—2022 1移动互联网应用程序（App）数据安全测评能力要求 1范围 本文件提供了了移动互联网应用程序数据安全测评工作的指南，对移动互联网应用程序 数据安全测评工作要求、测评内容进行了描述和规范，并针对移动互联网应用程序源文件、 存储、交互、安全防护等方面的数据安全风险给出相应测评方法。 本标准适用于移动互联网应用程序数据安全测评，可供测评机构开展移动互联网应用程 序数据安全测评工作时作为参考，为相关机构强化测评能力、健全技术手段提供指引，也可 供应用程序开发者、运营者在实施数据安全防护策略时参考。 2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期 的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括 所有的修改单）适用于本文件。GB/T37988—2019信息安全技术数据安全能力成熟度模 型 3术语和定义和缩略语 3.1术语和定义 下列术语和定义适用于本文件。 3.1.1移动互联网应用程序mobileinternetapplication 运行在移动智能终端上的应用程序。 注：包括移动智能终端预置、下载安装的应用程序和小程序。 3.1.2数据安全datasecurity 数据安全，是指通过采取必要措施，保障数据得到有效保护和合法利用，并持续处于安 全状态的能力。 [来源：GB/T37988—2019，定义3.1] 3.1.3识别identification 涉及查找、辨识和记录潜在数字证据的过程。 [来源：ISO/IEC27037:2012，定义3.12] 3.2缩略语 下列缩略语适用于本文件。 App移动互联网应用程序mobileinternetapplication 4移动互联网应用程序数据安全测评能力模型 全国团体标准信息平台 T/ISC0018—2022 2App数据安全测评能力管理要求明确测评对象、测评启动条件、测评实施流程以及测评 报告规范，App数据安全测评能力技术要求分为基础级与增强级，测评内容主要包括与数据 安全明确相关的风险、漏洞等测评项，测评能力模型如图1所示。 基础级App数据安全测评技术要求覆盖数据存储机制、传输情况、权限调用行为等易于 识别、核验的测评项。 增强级App数据安全测评技术要求覆盖恶意攻击防范、数据安全机制等需要一定技术能 力储备及人工核验的较为复杂的测评项。 图1App数据安全测评能力模型 5移动互联网应用程序数据安全测评能力管理要求 5.1测评对象要求 App数据安全测评的对象是App运营者、分发服务平台等App业务相关方开发、运营或分 发的App软件产品。 5.2测评启动条件要求 除行业主管部门组织开展的数据安全测评工作以外，满足下列情形之一的，App运营者、 应用分发平台及时启动测评，测评可自行进行或委托第三方进行： 全国团体标准信息平台 T/ISC0018—2022 3a)App于应用分发平台上线或于产品官网等其他渠道提供下载时开展测评； b)根据App运营者、应用分发平台自身计划开展测评，如定期测评，以及在App业务功 能、程序逻辑等发生较大变化时开展测评； c)行业主管部门要求开展数据安全测评时开展测评； d)国家法律法规有相关要求或满足国家法律法规有关情形时开展测评。 5.3测评实施流程要求 测评实施流程包括如下三个阶段： a)准备阶段 测评准备阶段包括制定测评方案、确定测评小组人员、获取被测App样本、明确测评项 目范围、评估测评环境及测评工具。 b)实施阶段 测评实施阶段包括采用工具扫描、沙箱模拟、动态测试、人工干预、功能遍历等方式， 发现App数据安全风险，评估App数据安全保护能力，针对风险制定整改措施。 c)结束阶段 测评结束阶段包括对实施过程、测评结果、整改方案等进行审查核验，根据准备阶段制 定的测评报告模板编制测评报告。 5.4测评报告规范要求 测评报告应当包括以下组成部分（参见附录E）： a)App基本信息，包括被测App样本名称、版本、系统类型、样本来源、样本获取时间、 样本文件大小、样本文件MD5、运营者名称等； b)测评设备信息，包括测评设备软硬件名称、软硬件配置、版本等； c)测评项目说明，包括测评覆盖的风险项类别、名称、简要说明等； d)测评结果汇总，包括测评发现风险数量统计、风险分布统计、风险名称、描述、对 应整改建议等； e)测评结果明细，详细记录测评过程中发现的风险所在的文件路径、字段,对风险所在 位置进行截图存证并详细标注，同时针对发现的数据安全风险提出针对性的整改、修复建议。 6移动互联网应用程序数据安全测评能力技术要求 6.1基础级App数据安全测评能力技术要求 6.1.1源文件安全 基础级数据源文件安全问题测评以App源代码、资源文件、安全配置风险为核心，应对 App源文件中Java代码反编译、核心文件或关键明文字符串加密保护措施、测试代码残留、 注入漏洞等进行测评。 重点测评项目包括但不限于Js资源文件未加密、So文件破解、单元测试配置风险、WebSQL 注入漏洞、Plists信息泄漏、明文字符串泄露、外部函数显式调用风险、代码未混淆等（参 见附录A、附录B）。 6.1.2数据存储安全 全国团体标准信息平台 T/ISC0018—2022 4基础级数据存储安全问题测评以App功能配置、重要信息存储为核心，应对Webview组件 保存用户、密码功能的设置、安全策略有效性、本地存储数字证书文件的安全性、加密算法 的密钥设置、明文存储情况等进行测评。 重点测评项目包括但不限于Webview明文存储密码、WebviewFile同源策略绕过、明文 数字证书、调试日志函数调用、应用数据任意备份、密钥硬编码、数据库明文存储、配置文 件信息明文存储等（参见附录A、附录B）。 6.1.3数据交互安全 基础级数据交互安全问题测评以App组件配置、传输机制为核心，应对组件注册方式、 组件导出属性设置、数据传输协议情况等进行测评。 重点测评项目包括但不限于动态注册Receiver、Activity组件导出、Service组件导出、 BroadcastReceiver组件导出、ContentProvider组件导出、HTTP传输数据风险、缺乏有效 的Token机制等（参见附录A、附录B）。 6.1.4数据安全防护机制 基础级App数据安全防护机制测评以安全防护机制脆弱性为核