《信息安全技术 移动应用网络安全评价规范》

ICS点击此处添加ICS号点击此处添加中国标准文献分类号信息安全技术移动应用网络安全评价规范点击此处添加与国际标准一致性程度的标识(征求意见稿)(本稿完成日期：2017年4月) 中华人民共和国国家质量监督检验检疫总局1信息安全技术移动应用网络安全评价规范件。凡是不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。GB/T18336-2015信息技术安全技术信息技术安全性评估准则2SQL结构化查询语言(StructuredQueryLanguage)XSS用户网络边界服务端服务端3m安全请求好图2移动应用的客户端架构移动应用的客户端主要由业务逻辑模块和安全模块构成：业务逻辑模块：完成移动应用每项业务特征过程的描述集合。安全模块：为移动应用涉及用户的账号、口令、个人信息等敏感数据提供加解密、为移动应用网络链接提供安全保障、存储用户个人密钥以及用户身份验证鉴权等功能的集合。移动应用的客户端涉及到的外部实体包括用户、系统、服务端和其他移动应用，包含以下功能：交互功能：实现用户与移动应用进行交互操作的集合，包括数据显示、数据输入等。接口功能：提供给移动应用开发人员基于移动应用访问的一组程序的能力集合，其无需访问源代码，或理解内部工作机制的细节。通信功能：移动应用与服务端进行通信和服务所必须遵循的规则和约定的集合。移动应用的服务端架构如图3所示。4移动应用移动应用业务逻辑系统迈界其他服务器1)移动应用的客户端：包括客户端业务逻辑、客户端安全模块、客户端交互功能、客户端接口功2)移动应用的服务端：包括服务端认证鉴权、服务端业务逻辑、服务端通信功能。5安全评价要求项关键项示例√√日志数据安全√√√身份认证安全√口令安全√√6a)客户端的源代码(包括Java、C、Python、Lua等语言的源代码)应进行混淆处理；c)客户端应对签名信息进行安全校验。a)应删除移动应用中的冗余或注释代码。比如开发人员信息、调试信息等。a)应保障客户端正常稳定运行，应具有异常处理安全机制。b)客户端应具有版本检测机制，提供版本更新功能。a)客户端应对组件权限进行限制，避免第三方移动应用随b)客户端应对组件进行安全配置，避免发生劫持组件的安全问题。7a)客户端应删除多余的权限配置，避免a)客户端应对第三方库进行完整性校验。a)客户端与服务器进行通信时应采用安全通信协议，例如SSL/TLS、IPSec等；b)客户端应对通信数字证书进行安全性校验。a)客户端与服务器进行通信时应对通信数据进行加密保护；8b)服务器应对敏感数据进行访问权限控制。b)服务器与客户端应具有双因子或多因子认证机制。b)服务器应对会话信息添加时间戳，进行完整性校验。a)服务器应对客户端错误请求引起的提示信息进行处9a)服务器与移动应用、与其他服务器进行通信时应对通信数b)服务器与移动应用、与其他服务器进行通信时b)应建立内部安全需求库，持续完善移动应用安全评价要求；b)应针对每一个威胁点，研究相应的a)安全评价阶段应有完善的测试方法(包括白盒测试和黑盒测试);a)交付的移动应用应具备适当的抵御恶意攻b)应对提供的移动应用进行安全监控，发现安全风险并为用户提供安全更新。a)需求分析文档(如：可行性分析报告、需求说明书);b)开发设计文档(如：概要设计说明书、详细设计说明书);c)内部测试文档(如：测试分析报告);d)产品白皮书(如：用户操作手册);a)客观公正原则：应对待测应用的评价应严格按照安全评价方案进行，实事求是、公平合理。