GB/T 43435-2023 信息安全技术 移动互联网应用程序（App）软件开发工具包（SDK）安全要求

　　ICS 35. 030 CCS L 80

　　中 华 人 民 共 和 国 国 家 标 准

　　GB/T 43435—2023

　　信息安全技术 移动互联网应用程序(App)软件开发工具包(SDK)安全要求

　　Information securitytechnology—Security requirementsforsoftwaredevelopment

　　kit(SDK) in mobileinternetapplications(App)

　　2023-11-27发布 2024-06-01实施

　　国家市场监督管理总局国家标准化管理委员会

　　

　　发

　　

　　布

　　GB/T 43435—2023

　　目 次

　　前言 Ⅲ

　　1 范围 1

　　2 规范性引用文件 1

　　3 术语和定义 1

　　4 概述 2

　　4. 1 SDK使用场景 2

　　4. 2 SDK安全风险 2

　　5 SDK设计 、开发 、发布 、运营 、终止运营等阶段安全要求 2

　　5. 1 设计 2

　　5. 2 开发 2

　　5. 3 发布 3

　　5. 4 运营 3

　　5. 5 终止运营 3

　　6 SDK个人信息处理安全要求 4

　　6. 1 个人信息收集 4

　　6. 2 个人信息存储 4

　　6. 3 个人信息使用和加工 4

　　6. 4 个人信息传输 5

　　6. 5 个人信息提供 5

　　6. 6 个人信息公开 5

　　6. 7 个人信息删除 5

　　附录 A (资料性) 常见 SDK 服务类型 6

　　附录 B (资料性) 常见 SDK安全漏洞 9

　　附录 C (资料性) 常见 SDK 恶意行为 11

　　附录 D (资料性) 常见 SDK处理个人信息安全问题 12

　　Ⅰ

　　GB/T 43435—2023

　　前 言

　　本文件按照 GB/T 1. 1—2020《标准化工作导则 第 1部分 :标准化文件的结构和起草规则》的规定起草 。

　　请注意本文件的某些内容可能涉及专利 。本文件的发布机构不承担识别专利的责任 。

　　本文件由全国信息安全标准化技术委员会(SAC/TC260)提出并归 口 。

　　本文件起草单位 :每日互动股份有限公司 、中国电子技术标准化研究院 、中国网络安全审查技术与认证中心 、中国信息通信研究院 、北京百度网讯科技有限公司 、安徽工程大学 、蚂蚁科技集团股份有限公司 、华为技术有限公司 、公安部第一研究所 、国家计算机病毒应急处理中心 、高德软件有限公司 、北京快手科技有限公司 、罗克佳华科技集团股份有限公司 、荣耀终端有限公司 、友盟同欣(北京)科技有限公司 、公安部第三研究所 、国家信息技术安全研究中心 、国家计算机网络应急技术处理协调中心 、浙江省大数据联合计算中心有限公司 、北京奇虎科技有限公司 、北京小桔科技有限公司 、小米通讯科技有限公司 、 OPPO 广东移动通信有限公司 、阿里巴巴(北京)软件服务有限公司 、北京抖音信息服务有限公司 、秒针信息技术有限公司 、上海兆言网络科技有限公司 、杭州云深科技有限公司 、浙江大学 、复旦大学 、神策网络科技(北京)有限公司 、启明星辰信息技术集团股份有限公司 、北京智游网安科技有限公司 、上海合合信息科技股份有限公司 、华住酒店管理有限公司 、上海游昆信息技术有限公司 、科大讯飞股份有限公司 、同盾科技有限公司 、贝壳找房(北京)科技有限公司 、深圳海云安网络安全技术有限公司 、北京指掌易科技有限公司 、北京腾云天下科技有限公司 、泰尔卓信科技(北京)有限公司 。

　　本文件主要起草人 :董霖、方毅、刘行、周程、胡影、金岩、郄世杰、樊华、田晴云、何延哲、李浩川、武林娜、常浩伦 、李颖莹 、韩淼 淼 、彭 婕 、邓 婷 、徐 雨 晴 、安 泽 亮 、白 晓 媛 、衣 强 、韩 煜 、刘 彦 、张 鑫 、黄 玥 澎 、王 昕 、郭变香、赵晓娜、贾紫薇、田宇轩、张艳、曹岳、林星辰、王一宇、易立、姚一楠、张娜、黄香敏、付艳艳、黄天宁、田申、李昳婧 、高雅 、严涵 、吕繁荣 、尹祖勇 、王秋 、解伯延 、汤立波 、臧磊 、周亚金 、郑磊 、李腾 、魏超 、张昀 、王彬 、沈林 、余 明 明 、史 景 、桑 文 锋 、姚 栋 、谭 成 、李 彪 、谢 朝 海 、落 红 卫 、蔡 欣 奕 、刘 笑 岑 、张 朝 、葛 梦 莹 、刘桢 。

　　Ⅲ

　　GB/T 43435—2023

　　信息安全技术 移动互联网应用程序(App)

　　软件开发工具包(SDK)安全要求

　　1 范围

　　本文件规定了移动互联网应用程序(App)软件开发工具包(SDK)设计 、开发 、发布 、运营 、终止运营等阶段和个人信息处理活动的安全要求 。

　　本文件适用于 SDK 开发 、运营 ,并供 SDK安全检测和评估参考使用 。

　　2 规范性引用文件

　　下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款 。其中 , 注 日期的引用文件 ,仅该日期对应的版本适用于本文件 ;不注日期的引用文件 ,其最新版本(包括所有的修改单) 适用于本文件 。

　　GB/T 25069—2022

　　信息安全技术

　　术语

　　GB/T 34975—2017

　　信息安全技术

　　移动智能终端应用软件安全技术要求和测试评价方法

　　GB/T 35273—2020

　　信息安全技术

　　个人信息安全规范

　　GB/T 37964—2019

　　信息安全技术

　　个人信息去标识化指南

　　GB/T 41391—2022

　　信息安全技术

　　移动互联网应用程序(App)收集个人信息基本要求

　　3 术语和定义

　　GB/T 25069—2022、GB/T 35273—2020、GB/T 41391—2022界定的以及下列术语和定义适用于本文件 。

　　3. 1

　　软件开发工具包 softwaredevelopmentkit;SDK

　　协助软件开发的软件库 。

　　注 : 软件开发工具包通常包括相关二进制文件 、API、文档 、范例和工具的集合 。

　　[来源 :GB/T 41391—2022,3. 14,有修改] 3.2

　　软件开发工具包运营者 softwaredevelopmentkitoperator

　　软件开发工具包的开发者 、所有者 、管理者或提供者 。

　　注 : 简称 SDK运营者 ,也包括 SDK相关的个人信息处理者 。

　　3.3

　　移动互联网应用程序运营者 mobile internetapplication operator

　　移动互联网应用程序的开发者 、所有者 、管理者或提供者 。

　　注 : 简称 App运营者 ,也包括 App相关的个人信息处理者 。

　　[来源 :GB/T 41391—2022,3. 2,有修改]

　　1

　　GB/T 43435—2023

　　3.4

　　最终用户 end user

　　在移动终端设备上使用移动互联网应用程序的用户 。

　　3.5

　　热更新 hotupdate

　　通过动态下发和加载代码 ,在 App或 SDK不重新下载和安装的情况下 ,改变其原有代码逻辑或资源文件 。

　　3.6

　　公共仓库 publicrepository

　　方便开发者上传和下载源码或者二进制程序的公共平台 。

　　4 概述

　　4. 1 SDK 使用场景

　　SDK运营者将实现特定 功 能 的 代 码 开 发 并 封 装 成 SDK, App运 营 者 将 SDK 嵌 入 其 开 发 的 App中 ,最终用户通过 App使用 SDK提供的功能 ,例如广告 、推送等 ,常见 SDK 服务类型见附录 A。

　　4.2 SDK 安全风险

　　最终用户在 SDK使用过程中存在的安全风险主要包括 :

　　a) SDK安全漏洞 , 由于 SDK技术方案不合理或者因 自身代码缺陷产生的技术层面的安全隐患和风险 ,例如弱加密算法漏洞等 ,常见 SDK安全漏洞见附录 B;

　　b) SDK 恶意行为 ,利用 SDK进行违法 、非正当的行为 ,例如广告刷量等 , 常见 SDK 恶意行为见附录 C;

　　c) SDK处理个人信息安全问题 ,SDK运营过程中涉及个人信息处理的安全问题 ,例如超范围收集个人信息等 ,常见 SDK处理个人信息安全问题见附录 D。

　　5 SDK 设计、开发、发布、运营、终止运营等阶段安全要求

　　5. 1 设计

　　SDK设计阶段的安全要求包括 :

　　a) SDK应仅包含与其声明功能相符合的功能 ,功能设计应符合正当 、必要的原则 ;

　　b) SDK宜提供单独控制热更新功能开启或关闭的选项 ,并确保 App运营者在不接受热更新功能的情况下仍可正常使用 SDK其他功能 ;

　　c) 在非服务所必需或者无合理场景下 ,SDK不应自启动或者关联启动其他 App。

　　5.2 开发

　　SDK 开发阶段的安全要求包括 :

　　a) 应满足 GB/T 34975—2017中 4. 1. 5. 1、4. 1. 5. 2、4. 1. 5. 3 的要求 ;

　　b) SDK运营者应对 SDK进行安全自评估 ,如代码审计 、安全漏洞扫描 、隐私合规检测等 ;

　　c) SDK运营者宜对广告 、支付 、认证 、安全风控等安全要求较高的 SDK进行第三方安全测评 ;

　　d) SDK运营者应对 SDK 中集成使用的第三方代码和/或组件进行安全检测 。

　　2

　　GB/T 43435—2023

　　5.3 发布

　　SDK发布阶段的安全要求包括 :

　　a) SDK运营者应通过官方网站 、开源社区 、公共仓库或以其他方式提供 SDK 下载文件 、集成文档和 API文档 、隐私政策 、问题反馈和投诉渠道等信息 ;

　　b) SDK运营者应在官方网站 、开源社区或集成文档中提供隐私政策 ,并在隐私政策中声明 SDK所具有的全部功能和个人信息处理规则 ,告知的信息应完整 、准确 、及时 ,不存在故意隐瞒 、欺骗等行为 ;

　　c) SDK运营者发布 SDK 时应提供相关的数字签名(包括 SDK 运营者和/或第三方安全测评机构签发的数字签名) ;

　　d) 通过公共仓库进行 SDK发布时 ,SDK运营者应对公共仓库账号进行妥善保管 ,避免因公共仓库账号泄露引发的安全风险 。

　　5.4 运营

　　SDK运营阶段的安全要求包括 :

　　a) SDK运营者应向 App运营者提供 SDK安全能力说明及安全评估报告(包括自评估和/或第三方安全测评机构报告) ,如数据安全存储 、数据安全交互 、关键组件安全配置 、代码及资源文件安全等方面 ;

　　b) 如 SDK存在热更新机制 ,SDK运营者应在热更新推送前向 App运营者告知本次热更新的具体内容及可能造成的影响 ,在涉及用户利益受损的紧急情况下 ,SDK 运营者应当在紧急情况消除后及时告知 ;如热更新内容涉及个人信息处理目的 、方式和范围的变更 ,应通过邮件 、电话等逐一送达方式告知 App运营者 ,并宜通过 App征得用户同意后再推送更新 ;

　　c) SDK运营者如在运营期间发现 SDK安全漏洞 ,应告知 App运营者 ,并按照有关规定完成漏洞处置以及配合 App运营者重新集成修复后的 SDK;

　　d) 如 App运营者与 SDK运营者分属不同的法人实体 ,SDK运营者应与 App运营者通过合同等形式明确双方的安全责任及应实施的个人信息安全措施 ,约定 App运营者应当通过隐私政策等文件将 SDK 在 App中实际处理个人信息的目的 、方式 、处理的个人信息种类 、保存期限 、个人信息主体行使权利的方式等规则告知最终用户 ;

　　e) SDK运营者如发现 App运营者未能向最终用户告知 SDK个人信息处理规则 ,或授权同意方式不符合要求的 ,应主动提示其及时改进 ;如果 App运营者在约定时间内未完成改进的 ,SDK运营者应当停止向其继续提供服务 ;

　　f) SDK运营者应建立响应个人信息主体请求和投诉机制 ,个人信息主体可通过 App运营者向SDK运营者进行请求和投诉 ;

　　g) 因 SDK 引发个人信息安全事件的 ,SDK 运营者应按照 GB/T 35273—2020 的第 10章关于个人信息安全事件处置的要求进行处置 ;

　　h) SDK运营者应按照 GB/T 35273—2020的第 11章落实组织的个人信息安全管理要求 。

　　5.5 终止运营

　　SDK终止运营阶段的安全要求包括 :

　　a) SDK运营者在终止运营前 ,应提前告知受影响的 App运营者 ;

　　b) SDK运营者在终止运营后 ,应按照 6. 7c)的要求对个人信息进行处理 。

　　3

　　GB/T 43435—2023

　　6 SDK个人信息处理安全要求

　　6. 1 个人信息收集

　　SDK个人信息收集的安全要求包括以下内容 。

　　a) 应满足 GB/T 35273—2020中第 5 章的要求 。

　　b) SDK运营者应明确个人信息处理规则和保护责任 ,包括 :

　　1) SDK 收集的个人信息的目的 、方式 、范围 ;

　　2) SDK 申请的系统权限和申请目的 ;

　　3) SDK 收集的个人信息的保存期限 、被停止嵌入后的个人信息处理方式 ;

　　4) 个人信息安全责任和保护措施 ;

　　5) SDK是否存在热更新机制 ;

　　6) SDK是否存在自启动 、关联启动 ;

　　7) SDK 收集的个人信息是否涉及向境外提供 ;

　　8) SDK 自行或协助 App响应用户个人信息权利请求的措施 。

　　c) SDK 收集的个人信息不应超出隐私政策等方式中声明的个人信息收集范围 。

　　d) SDK在保证功能正常前提下应以最小范围收集个人信息 。

　　注 : 范围通常涉及收集个人信息的类型 、频率 、数量 、精度等 。

　　e) SDK应仅声明和申请实现 SDK服务目的最小范围的系统权限 ,不应申请与 SDK 功能无关的系统权限 。

　　f) 在最终用户或 App运营者未使用 SDK提供的某项业务功能时 ,SDK不应主动通过 App申请或使用 App已申请的该项业务功能所需的权限 。

　　g) SDK 收集个人信息前 ,应通过 App征得最终用户同意 。

　　h) SDK 收集敏感个人信息前 ,应通过 App征得最终用户单独同意 。

　　6.2 个人信息存储

　　SDK个人信息存储的安全要求包括 :

　　a) 应满足 GB/T 35273—2020中 6. 1 的要求 ;

　　b) SDK运营者应对 SDK运行所使用的文件 、数据库中的敏感个人信息进行加密存储以及完整性校验 ,避免个人信息泄露或被篡改 。

　　6.3 个人信息使用和加工

　　SDK个人信息使用和加工的安全要求包括 :

　　a) 应满足 GB/T 35273—2020中第 7章的要求 ;

　　b) SDK运营者对个人信息的使用和加工方式应与隐私政策等形式中声明的内容保持一致 ,如汇聚融合 、用户画像等 ;

　　c) SDK运营者如果需要对收集个人信息的使用或加工的 目 的进行变更 ,应重新告知 App运营者 ,并通过 App告知用户并征得用户同意 ;

　　d) SDK运营者 人 员 访 问 通 过 SDK 收 集 的 个 人 信 息 , 应 进 行 访 问 控 制 , 并 遵 循 最 小 必 要 授 权原则 ;

　　e) SDK应优先在移动终端本地使用和加工个人信息 。

　　4

　　GB/T 43435—2023

　　6.4 个人信息传输

　　SDK个人信息传输的安全要求包括 :

　　a) SDK传输敏感个人信息前应提供区别其他个人信息的安全保障 ,如采取合适的方式对敏感个人信息进行单独加密 ;

　　b) SDK运营者与 App运营者之间传输敏感个人信息应采取加密处理等技术安全措施 。

　　6.5 个人信息提供

　　SDK个人信息提供的安全要求包括 :

　　a) 应满足 GB/T 35273—2020中 9. 1、9. 2、9. 6 的要求 ;

　　b) SDK运营者向 App运营者之外的其他机构或个人提供其处理的个人信息 ,应按照法律法规规定取得直接或间接用户授权 ,在间接用户授权的情况下 ,SDK 运营者应当对用户授权情况进行核查 、并留存核查记录 ;

　　注 : 直接用户授权指最终用户授权 SDK运营者向 App运营 者 之 外 的 其 他 机 构 或 个 人 提 供 其 个 人 信 息 ; 间 接 用 户授权指最终用户授权 App运营者之外的其他机构或个人从 SDK运营者共享个人信息 。

　　c) SDK运营者向 App运营者之外的其他机构或个人提供其处理的个人信息时 ,宜进行匿名化或去标识化处理 ,去标识化处理的过程可依据 GB/T 37964—2019的第 5 章 ;

　　d) SDK运营者向 App运营者之外的其他机构或个人提供个人信息时 ,应与数据接收方通过合同等形式明确双方的责任和义务 。

　　6.6 个人信息公开

　　SDK运营者不应公开其处理的个人信息 。

　　6.7 个人信息删除

　　SDK个人信息删除的安全要求包括 :

　　a) SDK运营者应向 App运营者提供个人信息删除机制 ,最终用户可通过 App行使个人信息删除权利 ,SDK运营者应在接收到 App运营者关于最终用户的个人信息删除的请求后 ,在服务器端删除其收集的个人信息或做匿名化处理 ;

　　b) App运营者停止接入 SDK并通知 SDK运营者后 ,SDK运营者应停止继续通过该 App收集个人信息 ,若 SDK运营者存在收集个人信息的 ,应按照双方合作协议中约定的个人信息处理要求和最终用户的授权范围 ,在服务器端删除其收集的个人信息或做匿名化处理 ;

　　c) SDK停止运营后 ,应在服务器端删除其收集的个人信息或做匿名化处理 。

　　5

　　GB/T 43435—2023

　　附 录 A

　　(资料性)

　　常见 SDK 服务类型

　　表 A. 1列出了常见 SDK 服务类型 。

　　表 A. 1 常见 SDK 服务类型

　　服务类型

　　基本功能

　　典型子类别

　　功能描述

　　广告类

　　提供广告展示(在 特 定 广 告 位 上 展 示由广告 主 投 放 的 广 告 信 息 的 功 能) 、监测归因等功能

　　广告投放

　　通过插屏广告 、浮 层 广 告 、原 生 广 告 、激 励 广告等形式向用户展示广告

　　广告监测

　　帮助广告主了解 广 告 投 放 的 状 况 、广 告 投 放策略的分 析 、广 告 的 效 果 评 估 , 并 提 供 广 告投放的结算依据

　　推送类

　　提供 应 用 相 关 的 通 知 或 消 息 推 送功能

　　无

　　提供应用相关的通知或消息推送功能

　　地图类

　　提供 地 图 展 示 、位 置 定 位 、路 径 导 航功能

　　地图展示

　　用于显示 地 图 内 容 , 包 含 二 维 、三 维 地 图 等数据

　　定位

　　提供精确或粗略定位能力

　　导航

　　提供路径 规 划 的 能 力 , 并 能 根 据 路 况 、交 通工具和偏好提供多种规划方案

　　支付类

　　提供移动支付 、收 单 功 能 等 金 融 业 务且保障用户的 账 户 、资 金 等 金 融 业 务安全

　　无

　　提供移动支付 、收 单 功 能 等 金 融 业 务 且 保 障用户的账户 、资金等金融业务安全

　　框架类

　　提供 开 发 某 一 类 App或 跨 平 台 App所需的整体框架

　　UI框架类

　　提供用户界面(UI)解决方案

　　网络框架类

　　简化网络访问功能的开发

　　存储框架类

　　优化存储访问速度 ,简化开发过程

　　文件下载类

　　提供内容分发 网 络(CDN) 、对 象 存 储 等 数 据下载的服务

　　架构框架类

　　提供整体的架构方案 ,优化项目结构和流程

　　多媒体框架类

　　提供音视频编解码 、PDF渲染 、音视频编辑 、图片编辑等能力

　　游戏引擎类

　　2D/3D/物理引擎

　　浏览器框架类

　　提供内嵌浏览器

　　跨平台开发框架

　　提供跨各类 移 动 操 作 系 统 以 及 Web 等 平 台的应用开发框架 , 以及小程序/小游戏框架

　　6

　　GB/T 43435—2023

　　表 A. 1 常见 SDK 服务类型 (续)

　　服务类型

　　基本功能

　　典型子类别

　　功能描述

　　统计类

　　通过埋点等方 式 ,通 过 数 据 化 图 表 等多种形式进行数据统计分析

　　统计分析

　　提供统计 分 析 服 务 。 帮 助 App开 发 者 分 析用户行为 、属性等 , 更 新 完 善 产 品 , 提 高 用 户体验

　　测试

　　提供线上测试功能 ,如 A/B测试

　　性能监控类

　　提供 App崩 溃 、App无 响 应 、卡 顿 等异常数据的收集与分析

　　无

　　提供 App崩 溃 、App无 响 应 、卡 顿 等 异 常 数据的收集与分析

　　登录类

　　提供手机号 、账号登录功能

　　手机号登录

　　提供基于 移 动 运 营 商 的 一 键 登 录 服 务 和 基于短信验证的登录服务

　　第三方账号登录

　　提供通过其 他 第 三 方 账 号 体 系 登 录 App的功能

　　认证类

　　提供生物特征识别 、身份认证等功能

　　生物特征认证类

　　提供人脸 、声纹等生物特征认证功能

　　身份认证

　　提供身份证识别 、实名认证功能

　　短信验证类

　　提供短信验证功能

　　社交类

　　提供社交功能 ,如 消 息 、分 享 、排 行 等功能

　　即时通信类

　　提供即时通信能 力 , 包 括 基 于 文 字 、图 像 、语音的点对点聊天 、群聊天等

　　社交分享类

　　帮助开发者实现 社 会 化 分 享 、登 录 、关 注 、获取好友列表等社会化功能

　　实时音视频类

　　提供实时音视频相关服务功能

　　音视频通话类

　　提供实时音视频通话相关功能

　　直播类

　　针对直播 场 景 提 供 直 播 推 流/拉 流 、互 动 等服务 ,满足移动直播和互动需求

　　客服类

　　提供客服对话 窗 口 、客 服 机 器 人 等 客服 功 能 , 实 现 用 户 与 客 服 便 捷 沟 通 、问题跟踪以及客服动态分配等功能

　　无

　　提供客 服 对 话 窗 口 、客 服 机 器 人 等 客 服 功能 ,实现用 户 与 客 服 便 捷 沟 通 、问 题 跟 踪 以及客服动态分配等功能

　　安全风控类

　　提供移动业务安全风控功能

　　加固类

　　通过技术手段对 应 用 进 行 加 固 , 防 止 应 用 被逆向 、篡改 、调试等 ,保护应用的安全

　　风控类

　　通过技术手段防 止 应 用 被 恶 意 篡 改 、恶 意 刷量 , 防作弊 ,从而保护开发者

　　加密类

　　提供密钥管理服务和常用加解密算法功能