2022年8月5日，按照《中国互联网协会团体标准管理办法》的规定，经审查通过，中国互联网协会正式批准发布团体标准T/ISC 0017-2022《移动互联网应用程序SDK安全技术要求及测试方法》。（标准下载链接：https://www.isc.org.cn//profile//2022/08/08/cb100e46-1d62-470e-9089-1ad7437279e0.pdf）
本标准于2021年9月10日在中国互联网协会正式立项，由中国信息通信研究院（以下简称“中国信通院”）牵头，联合腾讯云计算（北京）有限责任公司、深圳凡泰极客科技有限责任公司、深圳市网安计算机安全检测技术有限公司、北京腾云天下科技有限公司、深圳市和讯华谷信息技术有限公司、北京贵士信息科技有限公司、每日互动股份有限公司、北京数智鑫源科技有限公司等多家单位共同研制。
近年来，伴随着移动互联网应用（Application, App）的迅猛发展，软件开发工具包（Software Development Kit, SDK）被广泛应用于App开发中，“安全发展、标准先行”，《移动互联网应用程序SDK安全技术要求及测试方法》的发布，不仅能为SDK产品安全水平的提升带来有益参考，也为建立健全相关安全测评手段提供了清晰指引。
标准研制思路
本标准研制过程中充分考虑了SDK产品的技术特性，聚焦SDK开发、运维环节，明确相关环节安全要求，给出相应测评、验证方法，为SDK开发者、App开发者、相关机构等各方提升安全水平、强化测评能力、健全技术手段提供指引。
标准内容简析
SDK在设计开发时聚焦于功能的实现，安全风险难以完全避免，需要通过规范安全开发、运营流程尽量减少风险。标准将重点安全要求划分为五大方向：
1. 代码及资源文件安全
大量移动互联网SDK基于安卓系统及JAVA语言环境开发，灵活性较大，且缺少统一的分发平台与安全审核机制，针对SDK代码及资源文件安全编译、存储等提出要求，可以降低重要逻辑、业务实现方法等安全信息泄露的风险，提高SDK分发包的安全水平，保护企业及用户的合法权益。
2. 数据存储安全
在业务功能的实现过程中，部分SDK在用户终端设备上创建本地文件，用于存储运行所需的数据，约束SDK本地数据存储安全措施可以有效规避如重要数据明文存储、本地数据访问控制措施不足等问题。
3. 数据交互安全
与服务端的数据交互是多数SDK实现业务功能的必要手段，但如果重要数据、个人信息过程中以明文方式基于不安全的协议传输，可能导致数据泄露，威胁产品安全及用户权益。对SDK数据传输机制进行规范，可以降低数据在传输过程中被截获、窃取的风险，是提高产品安全水平的重要一环。
4. 重要组件安全
从技术业务逻辑上看，SDK产品常作为某类业务功能、服务的实现手段，为宿主App提供附加功能或服务，故无法避免与宿主App、系统组件、其他应用进行联调、交互。针对其这一特征，对SDK重要组件、联调机制、安全配置提出要求，提升SDK开发集成的安全性、便利性，为产品推广提供助力。
根据上述思路，本标准在第五章内根据SDK实际开发、运行、维护中面临的主要安全挑战提出了30余项安全要求，覆盖基本安全机制、数据存储、数据交互、重要组件、代码及资源文件等方面，并在第六章中给出了对应的测评方法。测评方法紧扣安全要求，可以有效指导SDK安全测评工作的开展。
了解更多行业信息以及业务合作请联系：
