GB/T 39576-2020 具有融合功能的移动终端安全能力测试方法

　　ICS 33 . 050 M 30

　　中 华 人 民 共 和 国 国 家 标 准

　　GB/T 39576—2020

　　具有融合功能的移动终端安全能力

　　测试方法

　　Testmethodsforsecuritycapabilityofmobileterminalwithsyncreticfunction

　　2020-12-14 发布 2021-07-01 实施

　　国家市场监督管理总局国家标准化管理委员会

　　发

　　布

　　GB/T 39576—2020

　　GB/T 39576—2020

　　前 言

　　本标准按照 GB/T 1 . 1—2009 给出的规则起草。

　　请注意本文件的某些内容可能涉及专利。 本文件的发布机构不承担识别这些专利的责任。

　　本标准由中华人民共和国工业和信息化部提出。

　　本标准由全国通信标准化技术委员会(SAC/TC 485)归口 。

　　本标准起草单位：中国信息通信研究院、高通无线通信技术(中国)有限公司、真珍斑马技术(上海)贸易有限公司、联想移动通信科技有限公司。

　　本标准主要起草人：姚一楠、陈婉莹、董霁、翟世俊、王宇晓、王嘉义、杜志敏、翁元、李欣。

　　GB/T 39576—2020

　　引 言

　　随着移动互联网的快速发展，传统智能终端手机、平板电脑等，并不能完全满足用户的使用需求。因此出现了如车载智能终端、可穿戴智能终端、智能家居等很多具有融合功能的移动终端。 用户在享受其带来的丰富多彩的功能时，却也面临着很多安全风险。 近年来，在具有融合功能的移动终端上恶意吸费、隐私泄露等安全事件频发，大大影响到了用户的使用，也制约了其发展。 究其原因，融合功能逐渐增多，但是终端设计本身并没有过多的安全考虑，没有适当的安全保护，造成了个人信息泄漏、资费损失等安全问题。 因此，有必要对具有融合功能的移动终端的硬件、操作系统、外围接口 、应用软件及个人信息保护等方面提出一整套安全要求。

　　本标准是 GB/T 39575—2020 配套的测试方法。 本标准针对 GB/T 39575—2020 提出的技术指标设计了相应的、科学的测试方法，用于验证具有融合功能的移动终端是否满足技术要求的规定的内容。通过本标准可加强对具有融合功能的移动终端安全能力的管理，可从测试方法角度保证安全能力要求的实施，切实提高其安全能力。

　　GB/T 39576—2020

　　具有融合功能的移动终端安全能力

　　测试方法

　　1 范围

　　本标准规定了具有融合功能的移动终端安全能力的测试方法，包括硬件安全能力、操作系统安全能力、应用软件安全能力、通信连接安全能力、个人信息安全保护能力。

　　本标准适用于各种制式的具有融合功能的移动终端，其他终端也可参考使用。

　　2 规范性引用文件

　　下列文件对于本文件的应用是必不可少的。 凡是注 日期的引用文件，仅注 日期的版本适用于本文件 。凡是不注 日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。

　　GB/T 39575—2020 具有融合功能的移动终端安全能力技术要求

　　YD/T 3082—2016 移动智能终端上的个人信息保护技术要求

　　3 术语和定义、缩略语

　　3 . 1 术语和定义

　　下列术语和定义适用于本文件。

　　3 . 1 . 1

　　具有融合功能的移动终端 mobileterminalwithsyncreticfunction

　　可对人或物进行信息采集和处理，具备蜂窝网络和互联网络接入功能，支持语音或数据通信，用于具有融合功能的终端设备。

　　3.1.2

　　融合功能 syncreticfunction

　　基于终端硬件及软件资源和能力，在终端上承载的除语音和数据通信以外非通信行业功能(例如：数字电视广播、车辆控制、扫码、人体信息采集等)。

　　3.1.3

　　脱敏 desensitization

　　通过模糊化等方法处理原始数据，以实现屏蔽敏感数据且屏蔽后的数据不可逆向恢复的数据保护方式。

　　3 . 2 缩略语

　　下列缩略语适用于本文件。

　　API：应用程序编程接口(Application Programming Interface)

　　CNVD：国家信息安全漏洞共享平台(China National Vulnerability Database)

　　CNNVD：中国国家信息安全漏洞库(China National Vulnerability Database of Information Securi- ty)

　　GB/T 39576—2020

　　NFC：近场通信(Near Field Communication)

　　SD：安全数字存储卡(Secure Digital Memory Card)

　　USB：通用串行总线(Universal Serial Bus)

　　WLAN：无线局域网(Wireless Local Area Network)

　　4 具有融合功能的移动终端安全能力测试方法

　　4 . 1 概述

　　本章描述了针对具有融合功能的移动终端的各种安全能力进行评测的方法。 评测结果有以下两种：

　　— 未见异常：通过评测方法没有发现存在安全风险或安全事件;

　　— 不符合要求：直接发现安全事件或不符合安全能力要求;本章所提及的技术要求见 GB/T 39575—2020 。

　　4 . 2 硬件安全

　　4 . 2 . 1 标识唯 一

　　4 . 2 . 2 设计安全

　　GB/T 39576—2020

　　4 . 2 . 3 防止物理攻击

　　4 . 3 系统及软件安全

　　4 . 3 . 1 安全引导

　　GB/T 39576—2020

　　4 . 3 . 2 完整性校验

　　4 . 3 . 3 终端接入认证

　　4 . 3 . 4 标识与鉴别

　　GB/T 39576—2020

　　GB/T 39576—2020

　　4 . 3 . 5 访问控制

　　4 . 3 . 6 权限控制

　　GB/T 39576—2020

　　4 . 3 . 7 安全域隔离

　　4 . 3 . 8 日志审计

　　GB/T 39576—2020

　　4 . 3 . 9 系统安全性

　　4 . 3 . 10 升级更新

　　GB/T 39576—2020

　　4 . 3 . 1 1 软件安全

　　4 . 3 . 1 1 . 1 应用软件来源

　　4 . 3 . 1 1 . 2 应用软件签名

　　GB/T 39576—2020

　　4 . 3 . 1 1 . 3 应用软件安全

　　4 . 3 . 1 1 . 4 身份鉴别认证

　　4 . 3 . 1 1 . 5 最小化权限

　　GB/T 39576—2020

　　4 . 4 通信连接安全

　　4 . 4 . 1 网络接入安全

　　4 . 4 . 2 外围接口安全

　　GB/T 39576—2020

　　4 . 4 . 3 数据传输完整性

　　4 . 4 . 4 数据传输保密性

　　GB/T 39576—2020

　　4 . 4 . 5 数据传输健壮性

　　4 . 5 个人信息安全

　　4 . 5 . 1 个人信息采集

　　GB/T 39576—2020

　　4 . 5 . 2 个人信息存储

　　4 . 5 . 3 个人信息加工

　　GB/T 39576—2020

　　4 . 5 . 4 个人信息转移

　　4 . 5 . 5 个人信息删除

　　GB/T 39576—2020

　　参 考 文 献

　　[1] YD/T 2407 移动智能终端安全能力技术要求

　　[2] YD/T 2408 移动智能终端安全能力测试方法

　　[3] YD/T 2674—2013 移动智能终端信息安全设计导则