《移動互聯網應用程序SDK安全技術要求及測試方法》正式發布
2022年8月5日，按照《中國互聯網協會團體標準管理辦法》的規定，經審查通過，中國互聯網協會正式批準發布團體標準T/ISC 0017-2022《移動互聯網應用程序SDK安全技術要求及測試方法》。（標準下載鏈接：https://www.isc.org.cn//profile//2022/08/08/cb100e46-1d62-470e-9089-1ad7437279e0.pdf）
本標準于2021年9月10日在中國互聯網協會正式立項，由中國信息通信研究院（以下簡稱“中國信通院”）牽頭，聯合騰訊云計算（北京）有限責任公司、深圳凡泰極客科技有限責任公司、深圳市網安計算機安全檢測技術有限公司、北京騰云天下科技有限公司、深圳市和訊華谷信息技術有限公司、北京貴士信息科技有限公司、每日互動股份有限公司、北京數智鑫源科技有限公司等多家單位共同研制。
近年來，伴隨著移動互聯網應用（Application, App）的迅猛發展，軟件開發工具包（Software Development Kit, SDK）被廣泛應用于App開發中，“安全發展、標準先行”，《移動互聯網應用程序SDK安全技術要求及測試方法》的發布，不僅能為SDK產品安全水平的提升帶來有益參考，也為建立健全相關安全測評手段提供了清晰指引。
標準研制思路
本標準研制過程中充分考慮了SDK產品的技術特性，聚焦SDK開發、運維環節，明確相關環節安全要求，給出相應測評、驗證方法，為SDK開發者、App開發者、相關機構等各方提升安全水平、強化測評能力、健全技術手段提供指引。
標準內容簡析
SDK在設計開發時聚焦于功能的實現，安全風險難以完全避免，需要通過規范安全開發、運營流程盡量減少風險。標準將重點安全要求劃分為五大方向：
1. 代碼及資源文件安全
大量移動互聯網SDK基于安卓系統及JAVA語言環境開發，靈活性較大，且缺少統一的分發平臺與安全審核機制，針對SDK代碼及資源文件安全編譯、存儲等提出要求，可以降低重要邏輯、業務實現方法等安全信息泄露的風險，提高SDK分發包的安全水平，保護企業及用戶的合法權益。
2. 數據存儲安全
在業務功能的實現過程中，部分SDK在用戶終端設備上創建本地文件，用于存儲運行所需的數據，約束SDK本地數據存儲安全措施可以有效規避如重要數據明文存儲、本地數據訪問控制措施不足等問題。
3. 數據交互安全
與服務端的數據交互是多數SDK實現業務功能的必要手段，但如果重要數據、個人信息過程中以明文方式基于不安全的協議傳輸，可能導致數據泄露，威脅產品安全及用戶權益。對SDK數據傳輸機制進行規范，可以降低數據在傳輸過程中被截獲、竊取的風險，是提高產品安全水平的重要一環。
4. 重要組件安全
從技術業務邏輯上看，SDK產品常作為某類業務功能、服務的實現手段，為宿主App提供附加功能或服務，故無法避免與宿主App、系統組件、其他應用進行聯調、交互。針對其這一特征，對SDK重要組件、聯調機制、安全配置提出要求，提升SDK開發集成的安全性、便利性，為產品推廣提供助力。
根據上述思路，本標準在第五章內根據SDK實際開發、運行、維護中面臨的主要安全挑戰提出了30余項安全要求，覆蓋基本安全機制、數據存儲、數據交互、重要組件、代碼及資源文件等方面，并在第六章中給出了對應的測評方法。測評方法緊扣安全要求，可以有效指導SDK安全測評工作的開展。
2021年，中國信通院安全研究所大數據應用與安全創新實驗室發起“SDK安全專項行動”，以《移動互聯網應用程序SDK安全技術要求及測試方法》內容為基礎，建立了完整的評測方案和指標體系，得到業內積極反饋和廣泛認可，已有50余款SDK產品通過檢驗并獲頒證書。目前中國信通院“SDK安全專項行動”第五期已正式啟動。
未來，中國信通院將聯合安全企業、互聯網廠商、評測機構多方力量，持續推動本標準的落地應用，依托“綠色SDK產業生態共建行動”，開展安全合規指引編制、優秀產品遴選等系列工作，助力“SK廠商安全高效開發、App開發者規范透明集成、最終用戶安心積極使用”的健康產業生態發展。
