Ce diaporama a bien été signalé.
Nous utilisons votre profil LinkedIn et vos données d’activité pour vous proposer des publicités personnalisées et pertinentes. Vous pouvez changer vos préférences de publicités à tout moment.
經濟部工業局 
「手機APP軟體基本資安規範(草案)」 
(初稿第四版修訂) 
委託單位:經濟部工業局 
執行單位:財團法人資訊工業策進會 
日期:103年 12月 2日
修訂說明 
版次 
修訂日期 
主要修訂內容 
初稿第四 版修訂 
103年 
12月2日 
依據103年11月26日「手機APP軟體基本資安規範」 專家座談會之專家審視意見修訂,修訂內容摘述如下: 
 依據政府所訂之標準用詞修訂部分術語及術...
版次 
修訂日期 
主要修訂內容 
自願性之基本資安準則,適用於非特定領域之行 動應用程式及行之共通性功能。 
 修改「4.1.1.2.行動應用程式安全更新」為「4.1.1.2. 行動應用程式更新」 
 修改「4.1.2.6.敏感性資料分享...
版次 
修訂日期 
主要修訂內容 
布」、「4.1.1.3.行動應用程式安全性問題回報」、 「4.1.2.4.敏感性資料分享」、「4.1.3.個人資料保 護」、「4.1.6.2.連線管理機制」、「4.1.7.1.防範 惡意程式碼與資安漏洞」 
...
i 
目 次 
1. 概述 ...................................................... 1 
2. 適用範圍 .............................................
ii 
表 目 次 
表 1 技術要求安全分類 ......................................................... 9
1 
1. 概述 
因應國人使用行動裝置及網路資通訊APP軟體已成為生活中不可或缺的一部份, 各種不同應用面向之行動應用程式需求快速地增長,然而受限於時其開發 過程大多以功能為導向,較缺乏通盤性地安全開發考量致惡意式數隨 之快速增長,產生敏感性...
2 
2. 適用範圍 
本規範為提供行動應用程式相關業者之基本資安準則,屬自願性準則,各業者 可自行評估及參酌遵循;本規範適用於非特定領域1之行動應用程式,與行動應 用程式之共通性功能2。特定領域之行動應用程式,其專業功能及所需之資安規 範應由...
3 
3. 術語定義 
 行動應用程式(Mobile Application):指一種設計給智慧型手機、平板電腦 和其他行動裝置使用之應用程式。 
 行動應用程式商店(Application Store):指行動裝置使用者透過內建在中之行動...
4 
政府機關或企業簽發之憑證。 
 憑證機構(Certificate Authority):指簽發憑證之機關、法人。 
 惡意程式碼:指在未經使用者同意之情況下,侵害使用者權益,包括但不限 於任何具有惡意特徵或行為之程式碼。 
 資安漏...
5 
4. 技術要求 
4.1. 行動應用程式資訊安全技術要求項目 
本節針對不同面向之行動應用程式安全訂定技術要求,其中包括五大面向:行 動應用程式發布安全、敏感性資料保護、付費資源控管安全、行動應用程式使 用者身分認證、授權與連線管理安全及...
6 
並提供使用者拒絕之權利,行動應程式亦需記錄同意存取個人資料行為。 
4.1.2.2. 敏感性資料利用 
行動應用程式於使敏感性資料前主通知者,並提供拒絕之權 利。 
行動應用程式如採密碼認證主提醒使者設定較複雜之。 
行動應用程式提醒使者...
7 
取。 
4.1.2.6. 敏感性資料刪除 
行動應用程式如儲存使用者敏感性資料,應提供使用者刪除之權利。 
4.1.3. 付費資源控管安全 
本面向主要規範付費資源控管之相關資訊安全技術要求,包含付費源之使用 與控管等面向。 
4.1.3...
8 
本面向主要規範行動應用程式身之相關資訊安全技術要求,包含防範惡意程 式碼與避免資安漏洞、行動應用程完整性函庫引全使者輸入驗 證等面向。 
4.1.5.1. 防範惡意程式碼與避免資安漏洞 
行動應用程式本身不應含有惡意程式碼。 
行動應用程...
9 
5. 安全分類 
不同應用類別之行動程式對於安全性有之要求,本章節針對不同類型 行動應用程式之安全要求進劃分,共為三類別: 第一類、僅純功能性 第二類、具認證功能連網行為 第三類、具交易功能(包含認證、連網行為) 
安全分類針對每一類,定...
10 
6. 參考資料 
6.1. Open Web Application Security Project(OWASP) 
 OWASP: Top 10 Mobile Risks 
6.2. 美國 
 NIST: Technical C...
11 
criteria for IT security) 
 ISO/IEC 14598(Information technology - Software product evaluation) 
 ISO/IEC 9126(Softw...
12 
附錄一、工作小組成員 外部專家(依姓氏筆畫排列) 
姓名 
職稱 
單位名稱 
林家弘 
協理 
香港商漢德技術監督服務亞太有限公 司 
台灣分公林家樑 
顧問 
安華聯網科技股份有限公司 
洪偉淦(法人代表) 
總經理 
趨勢科技股份...
13 
附錄二、技術要求項目與各國規範對照表 
技術要求 
OWASP對應項目 
美國NIST[註 1] 
歐洲ENISA[註 2] 
大陸YD/T 2407-2013[註 3] 
4.1.1.1.行動應用程式 發布 
N/A 
Executi...
14 
技術要求 
OWASP對應項目 
美國NIST[註 1] 
歐洲ENISA[註 2] 
大陸YD/T 2407-2013[註 3] 
4.1.2.3.敏感性資料儲 存 
M2: Insecure Data Storage 
M4: Un...
15 
技術要求 
OWASP對應項目 
美國NIST[註 1] 
歐洲ENISA[註 2] 
大陸YD/T 2407-2013[註 3] 
4.1.3.2.付費資源控管 
M5: Poor Authorization and Authenti...
16 
技術要求 
OWASP對應項目 
美國NIST[註 1] 
歐洲ENISA[註 2] 
大陸YD/T 2407-2013[註 3] 
完整性 
Protections 
Evaluation – Classes Loaded 
全要求 ...
17 
附錄三、技術要求項目參考檢核表 
項次 
序號 
技術要求 
4.1.1.1.行動應用程式發布 
1 
行動應用程式應於可受信賴或可追蹤來源之行動應用程式商店發 布,且行動應用程式應於發布時說明欲存取之敏感性資料、行動裝置 資源及宣告之...
18 
項次 
序號 
技術要求 
加密處理。 
11 
行動應用程式儲存敏感性資料前,主通知使者並提供拒 絕之權利,且儲存敏感性資料僅限用於其使聲明途。 
12 
敏感性資料不應儲存於暫檔或紀錄中,亦出現行動用程 式之程碼。 
4.1.2.4...
19 
項次 
序號 
技術要求 
4.1.5.1.防範惡意程式碼與避免資安漏 洞 
22 
行動應用程式本身不應含有惡意程式碼。 
23 
行動應用程式本身應避免資安漏洞。 
4.1.5.2.行動應用程式完整性 
24 
行動應用程式使足夠安...
Prochain SlideShare
Chargement dans…5
×

經濟部工業局「手機App軟體基本資安規範」(初稿)(2014 12-02)(v7)

1 421 vues

Publié le

2014-11-26 參加 工業局的 App資安規範 初稿 電子檔案

該計畫主辦於 2014-12-3 提供該電子檔,並同意公開在社群與網路,故上傳於 shildshare 方便傳閱。

License 依照原本的 License 而定,因為該電子檔案沒有指定 License 方式,故暫時選用「All Rights Reserved」

Publié dans : Droit
  • Soyez le premier à commenter

經濟部工業局「手機App軟體基本資安規範」(初稿)(2014 12-02)(v7)

  1. 1. 經濟部工業局 「手機APP軟體基本資安規範(草案)」 (初稿第四版修訂) 委託單位:經濟部工業局 執行單位:財團法人資訊工業策進會 日期:103年 12月 2日
  2. 2. 修訂說明 版次 修訂日期 主要修訂內容 初稿第四 版修訂 103年 12月2日 依據103年11月26日「手機APP軟體基本資安規範」 專家座談會之專家審視意見修訂,修訂內容摘述如下:  依據政府所訂之標準用詞修訂部分術語及術語定 義: - 修改用詞「憑證中心」為「憑證機構」、「發 佈」為「發布」、「搜集」為「蒐集」、「官 方」為「可受信賴或可追蹤來源」 - 修改定義:「行動應用程式商店」、「憑證」、 「憑證機構」、「惡意程式碼 」、「付費資源」  將資訊安全技術要求項目「4.1.3.個人資料保護」 與「4.1.4.密碼處理安全」整併到「4.1.2.敏感性資 料保護」,修訂如下: - 修改相對應原章節內容「1. 概述」、「4.1.2.1. 敏感性資料儲存」、「4.1.2.2.敏感性資料使 用」、「4.1.2.5.敏感性資料刪除」、「4.1.3.1. 付費資源使用」、「4.1.4.2. 連線管理機制」、 「表一」、「附錄二」、「附錄三」 - 刪除章節內容「4.1.3.個人資料保護」、「4.1.4. 密碼處理安全」 - 刪除前述章節內容中不再使用之術語定義「個 人資料外洩」、「許可證」 - 增加章節「敏感性資料蒐集」內容,章節項目 編號為4.1.2.1,原4.1.2.1~4.1.2.5項目依序調 整  考量伺服端資訊安全,新增章節內容「4.2.伺服端 安全技術要求項目」,由業者自我宣告或切結其 伺服端資安防護與管理措施。  將「可信任來源之加密模組」修訂為「足夠安全 強度之加密演算法與適當之金鑰長度」,並修改 相對應章節內容「4.1.2.4.敏感性資料儲存」、「附 錄三」  修改章節內容「2.適用範圍」,增加說明本規範為
  3. 3. 版次 修訂日期 主要修訂內容 自願性之基本資安準則,適用於非特定領域之行 動應用程式及行之共通性功能。  修改「4.1.1.2.行動應用程式安全更新」為「4.1.1.2. 行動應用程式更新」  修改「4.1.2.6.敏感性資料分享」內容增加說明為 單一行動裝置之不同行動應用程式間資料分享 初稿第三 版修訂 103年 11月20日 依據103年11月18日「手機APP軟體基本資安規範」 第三次工作小組會議討論意見,修訂內容如下:  新增章節內容: 「6.參考資料」新增美國參考資料「NIST: Cryptographic Algorithm Validation Program(CAVP)」和「NIST: Cryptographic Module Validation Program(CMVP) 」 新增國際標準「ISO/IEC 19790(Information technology - Security techniques - Security requirements for cryptographic modules) 」  修改章節內容: 「1.概述」修改「行動應用程式」與「行動應用程 式商店」說明  修改安全技術要求:「4.1.1.3.行動應用程式安全 性問題回報」、「4.1.4.2.密碼使用」、「4.1.6.2. 連線管理機制」、「4.1.7.1.防範惡意程式碼與避 免資安漏洞」、「4.1.7.2.行動應用程式完整性」  新增術語定義:「憑證中心」  修改術語定義:「敏感性資料」、「個人資料外 洩」  刪除術語定義:「圖形密碼」 初稿第二 版修訂 103年 11月14日 依據103年11月11日「手機APP軟體基本資安規範」 第二次工作小組會議討論意見,修訂內容如下:  新增安全技術要求: 「4.1.7.行動應用程式碼安全」新增「4.1.7.2.行動 應用程式碼完整性」  修改安全技術要求:「4.1.1.1.行動應用程式發
  4. 4. 版次 修訂日期 主要修訂內容 布」、「4.1.1.3.行動應用程式安全性問題回報」、 「4.1.2.4.敏感性資料分享」、「4.1.3.個人資料保 護」、「4.1.6.2.連線管理機制」、「4.1.7.1.防範 惡意程式碼與資安漏洞」  修改術語定義:「行動應用程式」、「行動應用 程式商店」、「敏感性資料」、「個人資料」、 「個人資料外洩」、「密碼」 新增術語定義:「資安漏洞」 初稿第一 版修訂 103年 11月7日 依據103年11月4日「手機APP軟體基本資安規範」 第一次工作小組會議討論意見,修訂內容如下:  修改章節內容: 「參考標準與法規」移至「參考資料」章節 「安全等級」章節修改為「安全分類」  新增安全技術要求: 「4.1.2.敏感性資料保護」新增「4.1.2.4.敏感性資料 分享」 「4.1.3.個人資料保護」新增「4.1.3.6個人資料刪除」  修改安全技術要求內容:「4.1.5.1.付費資源使 用」、「4.1.4.密碼處理安全」、「4.1.7.行動應用程 式碼安全」  新增術語定義:「惡意程式碼」  修改術語定義:「行動應用程式」、「行動應用 程式商店」、「敏感性資料」、「個人資料」、 「個人資料外洩」、「密碼」、「函式庫」、「注 入攻擊」 刪除術語定義:「憑證中心」
  5. 5. i 目 次 1. 概述 ...................................................... 1 2. 適用範圍 .............................................. 2 3. 術語定義 .............................................. 3 4. 技術要求 .............................................. 5 4.1. 行動應用程式資訊安全技術要求項目 ................................................... 5 4.1.1. 行動應用程式發布安全 ................................ 5 4.1.2. 敏感性資料保護 ............................................ 5 4.1.3. 付費資源控管安全 ........................................ 7 4.1.4. 行動應用程式使者身分認證、授權與連線管理安全 ............ 7 4.1.5. 行動應用程式碼安全 .................................... 7 4.2. 伺服端安全技術要求項目 ....................................... 8 5. 安全分類 .............................................. 9 6. 參考資料 ............................................ 10 6.1. Open Web Application Security Project(OWASP) ............................. 10 6.2. 美國 ......................................... 10 6.3. 歐洲 ......................................... 10 6.4. 大陸 ......................................... 10 6.5. 日本 ......................................... 10 6.6. 國際標準 ................................. 10 6.7. 國內法律 ................................. 11 附錄一、工作小組成員 ......................................................... 12 附錄二、技術要求項目與各國規範對照表 ......................................................... 13 附錄三、技術要求項目參考檢核表 ..................................... 17
  6. 6. ii 表 目 次 表 1 技術要求安全分類 ......................................................... 9
  7. 7. 1 1. 概述 因應國人使用行動裝置及網路資通訊APP軟體已成為生活中不可或缺的一部份, 各種不同應用面向之行動應用程式需求快速地增長,然而受限於時其開發 過程大多以功能為導向,較缺乏通盤性地安全開發考量致惡意式數隨 之快速增長,產生敏感性資料竊取、惡意程式碼執行等問題造成使用者個人 資料外洩或財務上之損失,政府應有相對資訊安全防護機制來保障國人之 個人資料及財產。 經濟部工業局依據103年 6月 24日行政院國家資通安全會報第26次委員會議 決議,針對非手機內建之應用軟體著蒐集國際資安規範訊研訂定「機 APP軟體基本資安規範」(以下簡稱「)。所手機APP軟 體」於本文皆沿用業界通之「行動應程式稱。 經濟部工業局之務管轄範圍,乃於協助國內產升級並促進發展,本規範之內容為行動應用程式基礎性資安規範,非可完全適用於不同訊安全等級之各政府機關(構)業務,若有特定目的需求須加強資管 理作業,應由各級政府機關(構)務制定該特領域相之資安規範,以利 維持機關業務之順利運作及保障民眾權益。 本規範旨在透過提高行動應用程式之基礎自我安全防護能力,從設計階段著手 保護隱私,最小化行動應用程式存取使者個人資料簡操作介面讓使用者較易確認行動應程式所之個人資料,避免使用者權益受到損害, 並提供行動應用程式開發廠商於階段自主參考,提高行動應用程式之安全 能力。本規範安全技術要求,係考量適用範圍內之行動應程式運於未具有 管理系統權限之行動裝置,從應用程式發布、敏感性資料保護、付費資源 控管、行動應用程式使者身分認證授權與連線管理安全行動應用程式碼 安全等五個層面提出技術要求,透過本規範要求祈使能提升行動應用程式之 品質與安全,對使用者亦多一層保障並促進行動應程式產業發展創造動應用程式開發者與使雙贏局面。
  8. 8. 2 2. 適用範圍 本規範為提供行動應用程式相關業者之基本資安準則,屬自願性準則,各業者 可自行評估及參酌遵循;本規範適用於非特定領域1之行動應用程式,與行動應 用程式之共通性功能2。特定領域之行動應用程式,其專業功能及所需之資安規 範應由各目的事業主管機關訂定之。 1 特定領域:指歸類於某一專門領域,由特定主管機關及法律加以規範、制,例如金融、醫療、稅務等。 2 共通性功能:指行動應用程式運作所需、具有共同性、相類似之基礎功能,例如資料儲存、傳輸保護機制或 使用者身分認證機制等。
  9. 9. 3 3. 術語定義  行動應用程式(Mobile Application):指一種設計給智慧型手機、平板電腦 和其他行動裝置使用之應用程式。  行動應用程式商店(Application Store):指行動裝置使用者透過內建在中之行動應用程式商店或透過網站對、音樂雜誌書籍電影電視節目進行瀏覽、下載或購買。  敏感性資料:指依使用者行為或行動應用程式之運作,建立或儲存於行動裝 置及其附屬儲存媒介之資訊,而該洩漏有對使用者造成損害虞包 括但不限於個人資料、密碼即時通訊息筆記備忘錄錄地理 位置、行事曆、通話紀錄及簡訊。  個人資料:係指依據「個人資料保護法」上定義之所有得以直接或間方式 識別該個人之資料。指自然姓名、出生年月日國民身分證統 一編號、護照碼特徵指紋婚姻家庭教育職業病歷醫療基因、性生活健康檢查犯罪前科聯絡方式財務情況社會動國 際行動設備識別碼(International Mobile Equipment Identity, IMEI)、國際行 動用戶識別碼(International Mobile Subscriber Identity, IMSI)及其他得以直 接或間方式識別該個人之資料。  密碼(Password):指能讓使用者完全或有限度之使用系統或取得一組資料 之識別使用者身分之字元串。  付費資源:指透過行動應用程式內建購買功能取得之額外、容及訂閱 項目。  交談識別碼(Session ID):指在建立連線時,指派給該之識別碼,並做 為連線期間之唯一識別碼;當連線結束時,該可釋出並重新指派給之連線。  憑證(Certificate):憑證依電子簽章法定義為載有驗資料,用以確認 簽署人身分、資格之電子形式證明;於本規範中係指由可受信賴之憑證機構、
  10. 10. 4 政府機關或企業簽發之憑證。  憑證機構(Certificate Authority):指簽發憑證之機關、法人。  惡意程式碼:指在未經使用者同意之情況下,侵害使用者權益,包括但不限 於任何具有惡意特徵或行為之程式碼。  資安漏洞:指行動應用程式安全方面之缺陷,使得系統或行動應用程式資料 之保密性、完整可用面臨威脅。  函式庫(Library):指將一些繁複或者牽涉到硬體層面之程式包裝成函(Function)或物件(Object)收集在一起,編譯成二進位碼提供程式設計 者使用。  注入攻擊(Code Injection):指因行動應用程式設計缺陷而執使者所輸 入之惡意指令,包括但不限於命注(Command Injection)、資料隱碼攻 擊(SQL Injection)。
  11. 11. 5 4. 技術要求 4.1. 行動應用程式資訊安全技術要求項目 本節針對不同面向之行動應用程式安全訂定技術要求,其中包括五大面向:行 動應用程式發布安全、敏感性資料保護、付費資源控管安全、行動應用程式使 用者身分認證、授權與連線管理安全及行動應用程式碼安全。 4.1.1. 行動應用程式發布安全 本面向主要規範發布行動應用程式之相關資訊安全技術要求,包含發布、更新 與問題回報等面向。 4.1.1.1. 行動應用程式發布 行動應用程式應於可受信賴或可追蹤來源之行動應用程式商店發布,且行動應 用程式應於發布時說明欲存取之敏感性資料、行動裝置資源及宣告之權限用 途。 4.1.1.2. 行動應用程式更新 行動應用程式提供更新機制,並於有安全性時主動通知使用者讓者透過可受信賴或可追蹤來源之行動應用程式商店,下載更新行動應用程式。 4.1.1.3. 行動應用程式安全性問題回報 行動應用程式開發者提供回報安全性問題之管道。 行動應用程式開發者於適當期間內回覆問題並改善。 4.1.2. 敏感性資料保護 本面向主要規範敏感性資料與個人資料保護之相關資訊安全技術要求,包含敏 感性資料蒐集、利用儲存、傳輸、分享與刪除等面向。 4.1.2.1. 敏感性資料蒐集 行動應用程式蒐集之資料包含可辨識個人身份時,主通知使者,
  12. 12. 6 並提供使用者拒絕之權利,行動應程式亦需記錄同意存取個人資料行為。 4.1.2.2. 敏感性資料利用 行動應用程式於使敏感性資料前主通知者,並提供拒絕之權 利。 行動應用程式如採密碼認證主提醒使者設定較複雜之。 行動應用程式提醒使者定期更改密碼。 4.1.2.3. 敏感性資料儲存 敏感性資料應採用足夠安全強度之加密演算法與適當之金鑰長度,進行加密處 理後再儲存。 敏感性資料應儲存於受作業系統保護之區域,使之無法任意被其他應用程式存 取,如需儲存敏感性資料於共享空間,應於儲存前進行加密處理。 行動應用程式儲存敏感性資料前,應主動通知使用者並提供拒絕之權利, 且儲存之敏感性資料僅限用於其使聲明之途。 敏感性資料不應儲存於暫檔或紀錄中,亦出現行動用程式之碼。 4.1.2.4. 敏感性資料傳輸 行動應用程式透過網路傳輸敏感性資料,應進行安全加密,並使用足夠安全強 度之加密演算法與適當長度之金鑰。 4.1.2.5. 敏感性資料分享(單一行動裝置) 單一行動裝置之不同行動應用程式間,分享資料如包含敏感性時,應主動 通知使用者並提供拒絕之權利。 行動應用程式分享敏感性資料時,應確保分享資料僅授權之行動用程式可存
  13. 13. 7 取。 4.1.2.6. 敏感性資料刪除 行動應用程式如儲存使用者敏感性資料,應提供使用者刪除之權利。 4.1.3. 付費資源控管安全 本面向主要規範付費資源控管之相關資訊安全技術要求,包含付費源之使用 與控管等面向。 4.1.3.1. 付費資源使用 行動應用程式於使付費資源前主通知者,並供選擇提示頻率 (每次提示或於特定時間內同意)與拒絕之權利。 4.1.3.2. 付費資源控管 行動應用程式於使付費資源前進者認證,並記錄之與 時間。 4.1.4. 行動應用程式使者身分認證、授權與連線管理安全 本面向主要規範行動應用程式於使用者身分認證、授權與連線管理之相關資訊 安全技術要求,包含使用者身分認證與授權及連線管理機制等面向。 4.1.4.1. 使用者身分認證與授權 行動應用程式有適當之身分認證機制,以驗使用者並依身分 授權。 4.1.4.2. 連線管理機制 行動應用程式不使具有規則性之交談識別碼。 行動應用程式確保憑證於有效期限內,且為可受信賴之憑證機構、政府機關 或企業簽發之憑證。 4.1.5. 行動應用程式碼安全
  14. 14. 8 本面向主要規範行動應用程式身之相關資訊安全技術要求,包含防範惡意程 式碼與避免資安漏洞、行動應用程完整性函庫引全使者輸入驗 證等面向。 4.1.5.1. 防範惡意程式碼與避免資安漏洞 行動應用程式本身不應含有惡意程式碼。 行動應用程式本身應避免資安漏洞。 4.1.5.2. 行動應用程式完整性 行動應用程式應使用足夠安全強度之完整性驗證機制確保本身之完整性。 4.1.5.3. 函式庫引用安全 行動應用程式在其引用之函式庫有更新時,應作相對之更新,方式應參 考 4.1.1行動應用程式發布安全。 4.1.5.4. 使用者輸入驗證 行動應用程式針對使者輸入字串,進行安全檢查並應具備注入攻擊防護機 制。 4.2. 伺服端安全技術要求項目 (內容待增訂) 考量行動應用程式運作整體安全,亦須考量伺服端資訊安全,故行動應用程式 涉及伺服端之資訊安全需求,將納入本規範後續階段之編修。本規範為以行動 應用程式之基礎資安規範為主要疇,如行動應用程式涉及伺服端訊全 需求,由業者自我宣告或切結其伺服端資安防護與管理措施,或對於其伺服端 服務之資安防護與管理,提出第三方檢驗證通過證明。
  15. 15. 9 5. 安全分類 不同應用類別之行動程式對於安全性有之要求,本章節針對不同類型 行動應用程式之安全要求進劃分,共為三類別: 第一類、僅純功能性 第二類、具認證功能連網行為 第三類、具交易功能(包含認證、連網行為) 安全分類針對每一類,定義須符合技術要求項目之最小集,意即行動應用程 式需符合其所屬分類中之有安全技術要求。各分類安全要求項目詳如表 1。 表1 技術要求安全分類 編 號 技術要求 安全分類 一 二 三 1 4.1.1.1.行動應用程式發布 V V V 2 4.1.1.2.行動應用程式更新 V V V 3 4.1.1.3.行動應用程式安全性問題回報 V V V 4 4.1.2.1.敏感性資料蒐集 V V V 5 4.1.2.2.敏感性資料利用 V V V 6 4.1.2.3.敏感性資料儲存 V V V 7 4.1.2.4.敏感性資料傳輸 V V 8 4.1.2.5.敏感性資料分享(單一行動裝置) V V V 9 4.1.2.6.敏感性資料刪除 V V V 10 4.1.3.1.付費資源使用 V 11 4.1.3.2.付費資源控管 V 12 4.1.4.1.使用者身分認證與授權 V V 13 4.1.4.2.連線管理機制 V V 14 4.1.5.1.防範惡意程式碼與避免資安漏洞 V V V 15 4.1.5.2.行動應用程式完整性 V 16 4.1.5.3.函式庫引用安全 V V V 17 4.1.5.4.使用者輸入驗證 V V V
  16. 16. 10 6. 參考資料 6.1. Open Web Application Security Project(OWASP)  OWASP: Top 10 Mobile Risks 6.2. 美國  NIST: Technical Considerations for Vetting 3rd Party Mobile Applications(Draft)  NIST: Cryptographic Algorithm Validation Program(CAVP)  NIST: Cryptographic Module Validation Program(CMVP)  Federal CIO Council: Government Mobile and Wireless Security Baseline 6.3. 歐洲  ENISA: Smartphone Secure Development Guidelines for App Developers 6.4. 大陸  YD/T 2407-2013移動智慧終端安全能力技術要求  YD/T 2408-2013移動智慧終端安全能力測試方法 6.5. 日本  JSSEC: Security Guideline for using Smartphones and Tablets 6.6. 國際標準  ISO/IEC 27001(Information security management)  ISO/IEC 20000(Information technology - Service management)  ISO/IEC 19790(Information technology - Security techniques - Security requirements for cryptographic modules)  ISO/IEC 15408(Information technology - Security techniques - Evaluation
  17. 17. 11 criteria for IT security)  ISO/IEC 14598(Information technology - Software product evaluation)  ISO/IEC 9126(Software engineering - Product quality) 6.7. 國內法律  個人資料保護法(民國99年 05月 26日)  電子簽章法(民國90年 11月 14日)
  18. 18. 12 附錄一、工作小組成員 外部專家(依姓氏筆畫排列) 姓名 職稱 單位名稱 林家弘 協理 香港商漢德技術監督服務亞太有限公 司 台灣分公林家樑 顧問 安華聯網科技股份有限公司 洪偉淦(法人代表) 總經理 趨勢科技股份有限公司 翁浩正 執行長 戴夫寇爾股份有限公司 高義智 組長 國立交通大學 資訊技術服務中心 陳麒元 助理教授 國立宜蘭大學 資訊工程學系 內部專家 姓名 職稱 單位名稱 吳兆琰 主任 資訊工業策進會 科技法律研究所 陳志宇 研究員 資訊工業策進會 科技法律研究所 莊晏詞 研究員 資訊工業策進會 科技法律研究所 洪光鈞 專案顧問 資訊工業策進會 資安科技研究所 陳培德 組長 資訊工業策進會 資安科技研究所 林志鴻 組長 資訊工業策進會 資安科技研究所 張凱綦 經理 資訊工業策進會 資安科技研究所 吳東杰 副工程師 資訊工業策進會 資安科技研究所 許志毓 副工程師 資訊工業策進會 資安科技研究所
  19. 19. 13 附錄二、技術要求項目與各國規範對照表 技術要求 OWASP對應項目 美國NIST[註 1] 歐洲ENISA[註 2] 大陸YD/T 2407-2013[註 3] 4.1.1.1.行動應用程式 發布 N/A Executive Summary 9. Ensure secure distribution/provisioning of mobile applications 5.5.2 應用軟件安全認 證機制要求 4.1.1.2.行動應用程式 更新 N/A Executive Summary 9. Ensure secure distribution/provisioning of mobile applications 5.5.4 預置應用軟件安 全要求 4.1.1.3.行動應用程式 安全性問題回報 N/A Executive Summary 9. Ensure secure distribution/provisioning of mobile applications 5.5.4 預置應用軟件安 全要求 4.1.2.1.敏感性資料蒐 集 N/A 4. Mobile App Evaluation - Privacy and Personally Identifiable Information 7. Pay specific attention to the collection and storage of consent for the collection and use of user’s data 5.5.4 預置應用軟件安 全要求 4.1.2.2.敏感性資料利 用 N/A 4. Mobile App Evaluation - Privacy and Personally Identifiable Information 7. Pay specific attention to the collection and storage of consent for the collection and use of user’s data 5.5.4 預置應用軟件安 全要求 5.6.2 文件類用戶數據 的授權訪問
  20. 20. 14 技術要求 OWASP對應項目 美國NIST[註 1] 歐洲ENISA[註 2] 大陸YD/T 2407-2013[註 3] 4.1.2.3.敏感性資料儲 存 M2: Insecure Data Storage M4: Unintended Data Leakage M6: Broken Cryptography 4. Mobile App Evaluation - Protect Sensitive Data 1. Identify and protect sensitive data on the mobile device 5.6.3 用戶數據的加密 存儲 4.1.2.4.敏感性資料傳 輸 M3: Insufficient Transport Layer Protection 4. Mobile App Evaluation - Protect Sensitive Data 3. Ensure sensitive data is protected in transit 5.5.4 預置應用軟件安 全要求 5.6.2文件類用戶數據 的授權訪問 4.1.2.5.敏感性資料分 享(單一行動裝置) M5: Poor Authorization and Authentication 4. Mobile App Evaluation - Preserve Privacy 4. Implement user authentication and authorization and session management correctly 5.6.2文件類用戶數據 的授權訪問 4.1.2.6.敏感性資料刪 除 N/A N/A 1. Identify and protect sensitive data on the mobile device 5.6.4 用戶數據的徹底 刪除 4.1.3.1.付費資源使用 N/A N/A 8. Implement controls to prevent unauthorised access to paid-for resources 5.5.4 預置應用軟件安 全要求
  21. 21. 15 技術要求 OWASP對應項目 美國NIST[註 1] 歐洲ENISA[註 2] 大陸YD/T 2407-2013[註 3] 4.1.3.2.付費資源控管 M5: Poor Authorization and Authentication N/A 8. Implement controls to prevent unauthorised access to paid-for resources 5.5.4 預置應用軟件安 全要求 4.1.4.1.使用者身分認 證與授權 M5: Poor Authorization and Authentication 4. Mobile App Evaluation - Privacy and Personally Identifiable Information 4. Implement user authentication and authorization and session management correctly 5.6.2文件類用戶數據 的授權訪問 4.1.4.2.連線管理機制 M9: Improper Session Handling 4. Mobile App Evaluation – Network Events 4. Implement user authentication and authorization and session management correctly 5.5.4 預置應用軟件安 全要求 4.1.5.1.防範惡意程式 碼與資安漏洞 M7: Client Side Injection M8: Security Decisions Via Untrusted Inputs 4. Mobile App Evaluation: Malicious Functionality Malware Detection Communication with Known Disreputable Sites Libraries Loaded 6. Secure data integration with third party services and applications 10. Carefully check any runtime interpretation of code for errors 5.5.4 預置應用軟件安 全要求 4.1.5.2.行動應用程式 M10: Lack of Binary 4. Mobile App N/A 5.5.4 預置應用軟件安
  22. 22. 16 技術要求 OWASP對應項目 美國NIST[註 1] 歐洲ENISA[註 2] 大陸YD/T 2407-2013[註 3] 完整性 Protections Evaluation – Classes Loaded 全要求 4.1.5.3.函式庫引用安 全 M7: Client Side Injection M8: Security Decisions Via Untrusted Inputs 4. Mobile App Evaluation: Native Methods Libraries Loaded 6. Secure data integration with third party services and applications 5.5.4 預置應用軟件安 全要求 4.1.5.4.使用者輸入驗 證 M7: Client Side Injection M8: Security Decisions Via Untrusted Inputs 4. Mobile App Evaluation – Input Validation 10. Carefully check any runtime interpretation of code for errors 5.5.4 預置應用軟件安 全要求 [註 1] NIST: Technical Considerations for Vetting 3rd Party Mobile Applications(Draft) [註 2] ENISA: Smartphone Secure Development Guidelines for App Developers [註 3] YD/T 2407-2013 移動智慧終端機安全能力技術要求
  23. 23. 17 附錄三、技術要求項目參考檢核表 項次 序號 技術要求 4.1.1.1.行動應用程式發布 1 行動應用程式應於可受信賴或可追蹤來源之行動應用程式商店發 布,且行動應用程式應於發布時說明欲存取之敏感性資料、行動裝置 資源及宣告之權限用途。 4.1.1.2.行動應用程式更新 2 行動應用程式提供更新機制,並於有安全性時主通知使者,讓使用透過可受信賴或可追蹤來源之行動應用程式商店,下載 更新行動應用程式。 4.1.1.3.行動應用程式安全性問題回報 3 行動應用程式開發者提供回報安全性問題之管道。 4 行動應用程式開發者於適當期間內回覆問題並改善。 4.1.2.1.敏感性資料蒐集 5 行動應用程式蒐集之資料包含可辨識個人身份時,主通知 使用者,並提供拒絕之權利行動應程式亦需記錄同 意存取個人資料之行為。 4.1.2.2.敏感性資料利用 6 行動應用程式於使敏感性資料前主通知者,並提供拒絕之權利。 7 行動應用程式如採密碼認證主提醒使者設定較複雜之。 8 行動應用程式提醒使者定期更改密碼。 4.1.2.3.敏感性資料儲存 9 敏感性資料應採用足夠安全強度之加密演算法與適當之金鑰長度,進 行加密處理後再儲存。 10 敏感性資料應儲存於受作業系統保護之區域,使無法任意被其他用程式存取,如需儲敏感性資料於共享空間應前進行
  24. 24. 18 項次 序號 技術要求 加密處理。 11 行動應用程式儲存敏感性資料前,主通知使者並提供拒 絕之權利,且儲存敏感性資料僅限用於其使聲明途。 12 敏感性資料不應儲存於暫檔或紀錄中,亦出現行動用程 式之程碼。 4.1.2.4.敏感性資料傳輸 13 行動應用程式透過網路傳輸敏感性資料,進安全加密並使足 夠安全強度之加密演算法與適當長金鑰。 4.1.2.5.敏感性資料分享(單一行動裝 置) 14 單一行動裝置之不同應用程式間,分享資料如包含敏感性時,應主動通知使用者並提供拒絕之權利。 15 行動應用程式分享敏感性資料時,確保僅授權之程式可存取。 4.1.2.6.敏感性資料刪除 16 行動應用程式如儲存使者敏感性資料,提供刪除之權利。 4.1.3.1.付費資源使用 17 行動應用程式於使付費資源前主通知者,並供選擇 提示頻率(每次或於特定時間內同意)與拒絕之權利。 4.1.3.2.付費資源控管 18 行動應用程式於使付費資源前進者認證,並記錄之費資源與時間。 4.1.4.1.使用者身分認證與授權 19 行動應用程式有適當之身分認證機制,以驗使用者並依用者身分授權。 4.1.4.2.連線管理機制 20 行動應用程式不使具有規則性之交談識別碼。 21 行動應用程式確保憑證於有效期限內,且為可受信賴之憑證機構、 政府機關或企業簽發之憑證。
  25. 25. 19 項次 序號 技術要求 4.1.5.1.防範惡意程式碼與避免資安漏 洞 22 行動應用程式本身不應含有惡意程式碼。 23 行動應用程式本身應避免資安漏洞。 4.1.5.2.行動應用程式完整性 24 行動應用程式使足夠安全強度之完整性驗證機制確保本身整性。 4.1.5.3.函式庫引用安全 25 行動應用程式在其引之函庫有更新時,作相對之更新,方式應參考4.1.1行動應用程式發布安全。 4.1.5.4.使用者輸入驗證 26 行動應用程式針對使者輸入字串,進安全檢查並具備注攻 擊防護機制。

×