ICS35.030 CCSL80 中华人民共和国国家标准 GB/T43435—2023 信息安全技术 移动互联网应用程序(App) 软件开发工具包(SDK)安全要求 Informationsecuritytechnology—Securityrequirementsforsoftwaredevelopment kit(SDK)inmobileinternetapplications(App) 2023-11-27发布 2024-06-01实施 国家市场监督管理总局 国家标准化管理委员会发布目 次 前言 Ⅲ ………………………………………………………………………………………………………… 1 范围 1 ……………………………………………………………………………………………………… 2 规范性引用文件 1 ………………………………………………………………………………………… 3 术语和定义 1 ……………………………………………………………………………………………… 4 概述 2 ……………………………………………………………………………………………………… 4.1 SDK使用场景 2 ……………………………………………………………………………………… 4.2 SDK安全风险 2 ……………………………………………………………………………………… 5 SDK设计、开发、发布、运营、终止运营等阶段安全要求 2 ……………………………………………… 5.1 设计 2 ………………………………………………………………………………………………… 5.2 开发 2 ………………………………………………………………………………………………… 5.3 发布 3 ………………………………………………………………………………………………… 5.4 运营 3 ………………………………………………………………………………………………… 5.5 终止运营 3 …………………………………………………………………………………………… 6 SDK个人信息处理安全要求 4 …………………………………………………………………………… 6.1 个人信息收集 4 ……………………………………………………………………………………… 6.2 个人信息存储 4 ……………………………………………………………………………………… 6.3 个人信息使用和加工 4 ……………………………………………………………………………… 6.4 个人信息传输 5 ……………………………………………………………………………………… 6.5 个人信息提供 5 ……………………………………………………………………………………… 6.6 个人信息公开 5 ……………………………………………………………………………………… 6.7 个人信息删除 5 ……………………………………………………………………………………… 附录A(资料性) 常见SDK服务类型 6 …………………………………………………………………… 附录B(资料性) 常见SDK安全漏洞 9 …………………………………………………………………… 附录C(资料性) 常见SDK恶意行为 11 ………………………………………………………………… 附录D(资料性) 常见SDK处理个人信息安全问题 12 ………………………………………………… ⅠGB/T43435—2023 前 言 本文件按照GB/T1.1—2020《标准化工作导则 第1部分:标准化文件的结构和起草规则》的规定 起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由全国信息安全标准化技术委员会(SAC/TC260)提出并归口。 本文件起草单位:每日互动股份有限公司、中国电子技术标准化研究院、中国网络安全审查技术与 认证中心、中国信息通信研究院、北京百度网讯科技有限公司、安徽工程大学、蚂蚁科技集团股份有限公 司、华为技术有限公司、公安部第一研究所、国家计算机病毒应急处理中心、高德软件有限公司、北京快 手科技有限公司、罗克佳华科技集团股份有限公司、荣耀终端有限公司、友盟同欣(北京)科技有限公司、 公安部第三研究所、国家信息技术安全研究中心、国家计算机网络应急技术处理协调中心、浙江省大数 据联合计算中心有限公司、北京奇虎科技有限公司、北京小桔科技有限公司、小米通讯科技有限公司、 OPPO广东移动通信有限公司、阿里巴巴(北京)软件服务有限公司、北京抖音信息服务有限公司、秒针 信息技术有限公司、上海兆言网络科技有限公司、杭州云深科技有限公司、浙江大学、复旦大学、神策网 络科技(北京)有限公司、启明星辰信息技术集团股份有限公司、北京智游网安科技有限公司、上海合合 信息科技股份有限公司、华住酒店管理有限公司、上海游昆信息技术有限公司、科大讯飞股份有限公司、 同盾科技有限公司、贝壳找房(北京)科技有限公司、深圳海云安网络安全技术有限公司、北京指掌易科 技有限公司、北京腾云天下科技有限公司、泰尔卓信科技(北京)有限公司。 本文件主要起草人:董霖、方毅、刘行、周程、胡影、金岩、郄世杰、樊华、田晴云、何延哲、李浩川、武林娜、 常浩伦、李颖莹、韩淼淼、彭婕、邓婷、徐雨晴、安泽亮、白晓媛、衣强、韩煜、刘彦、张鑫、黄玥澎、王昕、 郭变香、赵晓娜、贾紫薇、田宇轩、张艳、曹岳、林星辰、王一宇、易立、姚一楠、张娜、黄香敏、付艳艳、黄天宁、 田申、李昳婧、高雅、严涵、吕繁荣、尹祖勇、王秋、解伯延、汤立波、臧磊、周亚金、郑磊、李腾、魏超、张昀、 王彬、沈林、余明明、史景、桑文锋、姚栋、谭成、李彪、谢朝海、落红卫、蔡欣奕、刘笑岑、张朝、葛梦莹、 刘桢。 ⅢGB/T43435—2023 信息安全技术 移动互联网应用程序(App) 软件开发工具包(SDK)安全要求 1 范围 本文件规定了移动互联网应用程序(App)软件开发工具包(SDK)设计、开发、发布、运营、终止运营 等阶段和个人信息处理活动的安全要求。 本文件适用于SDK开发、运营,并供SDK安全检测和评估参考使用。 2 规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中,注日期的引用文 件,仅该日期对应的版本适用于本文件;不注日期的引用文件,其最新版本(包括所有的修改单)适用于 本文件。 GB/T25069—2022 信息安全技术 术语 GB/T34975—2017 信息安全技术 移动智能终端应用软件安全技术要求和测试评价方法 GB/T35273—2020 信息安全技术 个人信息安全规范 GB/T37964—2019 信息安全技术 个人信息去标识化指南 GB/T41391—2022 信息安全技术 移动互联网应用程序(App)收集个人信息基本要求 3 术语和定义 GB/T25069—2022、GB/T35273—2020、GB/T41391—2022界定的以及下列术语和定义适用于 本文件。 3.1 软件开发工具包 softwaredevelopmentkit;SDK 协助软件开发的软件库。 注:软件开发工具包通常包括相关二进制文件、API、文档、范例和工具的集合。 [来源:GB/T41391—2022,3.14,有修改] 3.2 软件开发工具包运营者 softwaredevelopmentkitoperator 软件开发工具包的开发者、所有者、管理者或提供者。 注:简称SDK运营者,也包括SDK相关的个人信息处理者。 3.3 移动互联网应用程序运营者 mobileinternetapplicationoperator 移动互联网应用程序的开发者、所有者、管理者或提供者。 注:简称App运营者,也包括App相关的个人信息处理者。 [来源:GB/T41391—2022,3.2,有修改] 1GB/T43435—2023 3.4 最终用户 enduser 在移动终端设备上使用移动互联网应用程序的用户。 3.5 热更新 hotupdate 通过动态下发和加载代码,在App或SDK不重新下载和安装的情况下,改变其原有代码逻辑或资 源文件。 3.6 公共仓库 publicrepository 方便开发者上传和下载源码或者二进制程序的公共平台。 4 概述 4.1 SDK使用场景 SDK运营者将实现特定功能的代码开发并封装成SDK,App运营者将SDK嵌入其开发的App 中,最终用户通过App使用SDK提供的功能,例如广告、推送等,常见SDK服务类型见附录A。 4.2 SDK安全风险 最终用户在SDK使用过程中存在的安全风险主要包括: a) SDK安全漏洞,由于SDK技术方案不合理或者因自身代码缺陷产生的技术层面的安全隐患 和风险,例如弱加密算法漏洞等,常见SDK安全漏洞见附录B; b) SDK恶意行为,利用SDK进行违法、非正当的行为,例如广告刷量等,常见SDK恶意行为见 附录C; c) SDK处理个人信息安全问题,SDK运营过程中涉及个人信息处理的安全问题,例如超范围收 集个人信息等,常见SDK处理个人信息安全问题见附录D。 5 SDK设计、开发、发布、运营、终止运营等阶段安全要求 5.1 设计 SDK设计阶段的安全要求包括: a) SDK应仅包含与其声明功能相符合的功能,功能设计应符合正当、必要的原则; b) SDK宜提供单独控制热更新功能开启或关闭的选项,并确保App运营者在不接受热更新功能 的情况下仍可正常使用SDK其他功能; c) 在非服务所必需或者无合理场景下,SDK不应自启动