近年來(lái)，伴隨著移動(dòng)互聯(lián)網(wǎng)應(yīng)用（Application, App）的迅猛發(fā)展，軟件開(kāi)發(fā)工具包（Software Development Kit, SDK）也逐漸走進(jìn)大眾視野。根據(jù)工信部《2021年上半年互聯(lián)網(wǎng)和相關(guān)服務(wù)業(yè)運(yùn)行情況》數(shù)據(jù)，截至2021年6月底，國(guó)內(nèi)一款A(yù)pp平均集成超過(guò)20款SDK。SDK作為軟件開(kāi)發(fā)中常用的服務(wù)調(diào)用方式被廣泛應(yīng)用于App開(kāi)發(fā)中，為App日益豐富的功能實(shí)現(xiàn)提供了便捷方案，降低了開(kāi)發(fā)成本。然而，隨著移動(dòng)互聯(lián)網(wǎng)安全形勢(shì)不斷變化，SDK可能存在的安全風(fēng)險(xiǎn)、惡意行為，以及隱藏在App背后不透明地收集使用個(gè)人信息等問(wèn)題也日漸凸顯，為移動(dòng)互聯(lián)產(chǎn)業(yè)的健康有序發(fā)展帶來(lái)了一定影響?！鞍踩l(fā)展、標(biāo)準(zhǔn)先行”，在當(dāng)前復(fù)雜的安全形勢(shì)下，研制SDK相關(guān)安全標(biāo)準(zhǔn)為SDK行業(yè)安全水平整體提升提供了重要助力。

一、標(biāo)準(zhǔn)研制思路

中國(guó)信息通信研究院（以下簡(jiǎn)稱(chēng)中國(guó)信通院）牽頭研制的《移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序SDK安全規(guī)范》（以下簡(jiǎn)稱(chēng)標(biāo)準(zhǔn)）于2021年9月10日在中國(guó)互聯(lián)網(wǎng)協(xié)會(huì)正式立項(xiàng)。在標(biāo)準(zhǔn)編制過(guò)程中，中國(guó)信通院匯聚多方力量，吸收行業(yè)從業(yè)者寶貴經(jīng)驗(yàn)，聯(lián)合騰訊云計(jì)算（北京）有限責(zé)任公司、深圳凡泰極客科技有限責(zé)任公司、深圳市網(wǎng)安計(jì)算機(jī)安全檢測(cè)技術(shù)有限公司、北京騰云天下科技有限公司、深圳市和訊華谷信息技術(shù)有限公司、北京貴士信息科技有限公司、每日互動(dòng)股份有限公司、北京數(shù)智鑫源科技有限公司等多家單位，按部就班完成編制工作，并推進(jìn)至送審階段。

本標(biāo)準(zhǔn)研制過(guò)程中充分考慮了SDK產(chǎn)品的技術(shù)特性，在App開(kāi)發(fā)中，SDK常以“功能包”“服務(wù)包”的形態(tài)出現(xiàn)，具有泛用性、靈活性、便利性等特點(diǎn)。SDK提供方將原本復(fù)雜的服務(wù)、功能封裝后，App開(kāi)發(fā)者只要通過(guò)集成SDK的方式，即可如“搭積木”般在App中引入相關(guān)服務(wù)，在簡(jiǎn)化App開(kāi)發(fā)流程、豐富產(chǎn)品形態(tài)的同時(shí)，隱藏了服務(wù)實(shí)現(xiàn)邏輯，保護(hù)服務(wù)提供方的商業(yè)秘密?！兑苿?dòng)互聯(lián)網(wǎng)應(yīng)用程序SDK安全規(guī)范》標(biāo)準(zhǔn)聚焦SDK開(kāi)發(fā)、運(yùn)維環(huán)節(jié)，通過(guò)明確相關(guān)環(huán)節(jié)安全要求，力求為SDK開(kāi)發(fā)者提供有益的思路，減少SDK產(chǎn)品潛在安全風(fēng)險(xiǎn)、漏洞，同時(shí)給出各項(xiàng)要求的測(cè)評(píng)方法，為App開(kāi)發(fā)者、相關(guān)機(jī)構(gòu)強(qiáng)化測(cè)評(píng)能力、健全技術(shù)手段提供指引，幫助相關(guān)方發(fā)現(xiàn)并規(guī)避SDK安全風(fēng)險(xiǎn)。

二、標(biāo)準(zhǔn)安全要求簡(jiǎn)析

SDK在設(shè)計(jì)開(kāi)發(fā)時(shí)聚焦于功能的實(shí)現(xiàn)，安全風(fēng)險(xiǎn)難以完全避免，需要通過(guò)規(guī)范安全開(kāi)發(fā)、運(yùn)營(yíng)流程盡量減少風(fēng)險(xiǎn)。標(biāo)準(zhǔn)將SDK重點(diǎn)安全要求劃分為五大方向，除基礎(chǔ)安全外還包括：

代碼及資源文件安全

當(dāng)前，大量移動(dòng)互聯(lián)網(wǎng)SDK基于安卓系統(tǒng)及JAVA語(yǔ)言環(huán)境開(kāi)發(fā)，靈活性較大，且缺少統(tǒng)一的分發(fā)平臺(tái)與安全審核機(jī)制，針對(duì)SDK代碼及資源文件安全編譯、存儲(chǔ)等提出要求，能夠有效降低重要邏輯、業(yè)務(wù)實(shí)現(xiàn)方法等安全信息泄露的風(fēng)險(xiǎn)，保護(hù)企業(yè)及用戶(hù)的合法權(quán)益。

數(shù)據(jù)存儲(chǔ)安全

在業(yè)務(wù)功能的實(shí)現(xiàn)過(guò)程中，部分SDK在用戶(hù)終端設(shè)備上創(chuàng)建本地文件，用于存儲(chǔ)運(yùn)行所需的數(shù)據(jù)，約束SDK本地?cái)?shù)據(jù)存儲(chǔ)安全措施可以有效規(guī)避如重要數(shù)據(jù)明文存儲(chǔ)、本地?cái)?shù)據(jù)訪問(wèn)控制措施不足等問(wèn)題。

數(shù)據(jù)交換安全

與服務(wù)端的數(shù)據(jù)交互是多數(shù)SDK實(shí)現(xiàn)業(yè)務(wù)功能的必要手段，但如果重要數(shù)據(jù)、個(gè)人信息過(guò)程中以明文方式基于不安全的協(xié)議傳輸，可能導(dǎo)致數(shù)據(jù)泄露，威脅產(chǎn)品安全及用戶(hù)權(quán)益。對(duì)SDK數(shù)據(jù)傳輸機(jī)制進(jìn)行規(guī)范，可以降低數(shù)據(jù)在傳輸過(guò)程中被截獲、竊取的風(fēng)險(xiǎn)，是提高產(chǎn)品安全水平的重要一環(huán)。

重要組件安全

從技術(shù)業(yè)務(wù)邏輯上看，SDK產(chǎn)品常作為某類(lèi)業(yè)務(wù)功能、服務(wù)的實(shí)現(xiàn)手段，為宿主App提供附加功能或服務(wù)，故無(wú)法避免與宿主App、系統(tǒng)組件、其他應(yīng)用進(jìn)行聯(lián)調(diào)、交互。針對(duì)其這一特征，對(duì)SDK重要組件、聯(lián)調(diào)機(jī)制、安全配置提出要求，不僅可以降低組件不安全調(diào)用引發(fā)安全風(fēng)險(xiǎn)的可能性，而且可以提升SDK開(kāi)發(fā)集成的便利性，為產(chǎn)品的應(yīng)用提供助力。

根據(jù)上述思路，本標(biāo)準(zhǔn)在第五章內(nèi)根據(jù)SDK實(shí)際開(kāi)發(fā)、運(yùn)行、維護(hù)中面臨的主要安全挑戰(zhàn)提出了三十余項(xiàng)安全要求，覆蓋SDK開(kāi)發(fā)運(yùn)維的基本安全機(jī)制、數(shù)據(jù)存儲(chǔ)、數(shù)據(jù)交互、重要組件、代碼及資源文件等方面，并在第六章中給出了對(duì)應(yīng)的測(cè)評(píng)方法。標(biāo)準(zhǔn)測(cè)評(píng)方法在緊扣安全要求的同時(shí)，吸納SDK廠商、App廠商、用戶(hù)等各方訴求，綜合考慮測(cè)評(píng)成本及實(shí)施難度，給出具體方法介紹的同時(shí)提供了明確的結(jié)果判定準(zhǔn)則，可以有效指導(dǎo)SDK安全測(cè)評(píng)工作的開(kāi)展。

三、標(biāo)準(zhǔn)應(yīng)用持續(xù)推進(jìn)

2021年，中國(guó)信通院安全研究所大數(shù)據(jù)應(yīng)用與安全創(chuàng)新實(shí)驗(yàn)室發(fā)起“SDK安全專(zhuān)項(xiàng)行動(dòng)”，通過(guò)長(zhǎng)期前瞻研究和實(shí)踐探索，以《移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序SDK安全規(guī)范》標(biāo)準(zhǔn)和實(shí)踐經(jīng)驗(yàn)為基礎(chǔ)，建立了完整的SDK評(píng)測(cè)方案和指標(biāo)體系。

目前，“SDK安全專(zhuān)項(xiàng)行動(dòng)”已順利完成三期評(píng)測(cè)工作并已啟動(dòng)第四期評(píng)測(cè)，得到業(yè)內(nèi)積極反饋和廣泛認(rèn)可，已有近三十款SDK通過(guò)檢驗(yàn)并獲頒證書(shū)。與此同時(shí)，中國(guó)信通院聯(lián)合安全企業(yè)、互聯(lián)網(wǎng)廠商、評(píng)測(cè)機(jī)構(gòu)多方力量，持續(xù)推動(dòng)標(biāo)準(zhǔn)實(shí)踐應(yīng)用，聚焦行業(yè)熱點(diǎn)，構(gòu)建交流平臺(tái)，滿(mǎn)足SDK廠商、App開(kāi)發(fā)者、最終用戶(hù)多方需求，助力“SDK廠商安全高效開(kāi)發(fā)、App開(kāi)發(fā)者規(guī)范透明集成、最終用戶(hù)安心積極使用”的健康生態(tài)發(fā)展。