2022智能家居產(chǎn)品信息安全評價方案

I智能家居產(chǎn)品信息安全評價方案（2022版）目錄3442規(guī)范性弓I用文件. 43術(shù)語、定義和縮略語 41術(shù)語和定義. 454．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．．5555障9611111

能 價. 1122附錄A 典型應(yīng)用場景...............................................22附錄B 智能家居產(chǎn)品威脅分析.......................................23附錄C (資料性附錄）智能家居個人信息分類.......................................24智能家居產(chǎn)品信息安全評價規(guī)范本規(guī)范規(guī)定了智能家居產(chǎn)品的安全評價要求及評價方法。本標準適用于第三方檢測機構(gòu)和認證機構(gòu)對智能家居產(chǎn)品進行檢測、評估和認證，也可以在智能家居產(chǎn)品的設(shè)計和實現(xiàn)時參照使用。GB/T25069信息安全技術(shù)術(shù)語GB/T35134設(shè)備描述方法GB/T35273GB/T18336信息技術(shù)安全技術(shù)信息技術(shù)安全評估準則術(shù)語、定義和縮略語25069、35134、GB/T35273和GB/T3.1.3.1.1智能家居設(shè)備smarthomedevice，、義3.2]控制終端controlterminals， ，實現(xiàn)對智能家居設(shè)備3.1.3控制端應(yīng)用 controlapplication由用戶操作，與網(wǎng)絡(luò)服務(wù)連接，能對智能設(shè)備進行遠程操作應(yīng)用程序。3.1.4智能家居應(yīng)用服務(wù)平臺軟件applicationplatformsoftwareofsmarthome4web服務(wù)的軟件系統(tǒng)。43.1.5

設(shè)備添加device設(shè)備添加deviceadding將操作員與智能家居設(shè)備建立關(guān)聯(lián)關(guān)系的行為。操作員可對添加的設(shè)備進行遠程查詢、管理和控制3.1.6設(shè)備綁定device設(shè)備綁定devicebindingHTTPS HypertextTransfer ProtocolSecureSocketLayerID Identification/IdentityIP Internetprotocol

安全文本傳輸協(xié)議身份標識網(wǎng)絡(luò)互聯(lián)的協(xié)議智能家居產(chǎn)品包括智能家居設(shè)備、控制端應(yīng)用、智能家居應(yīng)用服務(wù)平臺軟件。其中，智能家居設(shè)備包括智能家居網(wǎng)關(guān)設(shè)備、控制設(shè)備以及智能家居應(yīng)用設(shè)備。5評價要求5評價要求待、測試、脆弱性評定等。1 一個智能家居設(shè)備一次只能被一個賬戶綁定，該綁定賬戶作為設(shè)備的主控制賬戶，綁定后設(shè)備重置前不允許其他賬戶綁定；55失。5212 智能家居設(shè)備發(fā)生網(wǎng)絡(luò)交互時，設(shè)備應(yīng)記錄日志，并傳輸?shù)椒?wù)平臺。安全要求如下：如智能家居設(shè)備與應(yīng)用服務(wù)平臺相互驗證成功與失敗等）；通信會話的終止（包括設(shè)備的正常終止和非正常終止）；3)對智能家居設(shè)備的關(guān)鍵操作；本地審計記錄應(yīng)有相應(yīng)的保護措施，防止存儲空間超過閥值后審計記錄被破壞； 數(shù)據(jù)保護智能家居設(shè)備對存儲在設(shè)備內(nèi)的重要數(shù)據(jù)提供安全防護，要求如下：（)的存儲安全；5.5.2.固件安全安全要求如下：關(guān)鍵代碼及重要數(shù)據(jù)（如鑒別數(shù)據(jù)、密鑰等5 智能家居設(shè)備通過具備網(wǎng)關(guān)能力的設(shè)備連接到家庭網(wǎng)絡(luò)和云端服務(wù)平臺，針對于這類提供網(wǎng)關(guān)能力的特殊設(shè)備，即智能家居網(wǎng)關(guān)設(shè)備，增加如下的安全要求：智能家居網(wǎng)關(guān)設(shè)備應(yīng)支持智能家居設(shè)備的注冊和管理；智能家居網(wǎng)關(guān)設(shè)備應(yīng)支持防火墻功能；綁定功能、基千源地址的的惡意網(wǎng)址攔截功能；智能家居網(wǎng)關(guān)設(shè)備應(yīng)具備帶寬控制功能并采用安全路由協(xié)議。65221 身份鑒別6敗處理措施；控制端應(yīng)用應(yīng)具備登錄超時后的鎖定或者注銷功能；5222 數(shù)據(jù)保護a) 存儲的機密性和完整性。 應(yīng)用安全解分析和篡改；控制端應(yīng)用應(yīng)確保使用的第三方庫和開源組件不存在已公布的高危漏洞；處理要求。.4運行安全523 智能家居應(yīng)用服務(wù)平臺軟件231 標識與鑒別系統(tǒng)應(yīng)為登錄用戶提供唯一的身份標識，同時用戶標識與該用戶的所有可審計事件相關(guān)聯(lián)；鑒別進行時，系統(tǒng)應(yīng)僅向用戶提供非鑒別數(shù)據(jù)（如圓點、星號等）作為鑒別數(shù)據(jù)輸入的反饋；應(yīng)提供用戶登錄超時鎖定或注銷功能，終止會話后，用戶需要重新登錄。2 訪問控制的屬性組（用戶角色）實現(xiàn)訪問控制。 審計功能的啟動和關(guān)閉；77通過控制端應(yīng)用對智能家居設(shè)備進行的操作；設(shè)備狀態(tài)的變化；其他系統(tǒng)參數(shù)配置和管理安全功能行為的操作。信息；信息；功能， d)應(yīng)提供根據(jù)條件對審計數(shù)據(jù)進行查詢或排序的功能；審計信息應(yīng)存儲在永久性存儲介質(zhì)中，當審計存儲空間被耗盡時，系統(tǒng)應(yīng)采取措施， ： 可審計事件或覆蓋所存儲的最早的計記錄等。.4安全管理應(yīng)能夠?qū)Π踩巧捌錂?quán)限進行維護， b)系統(tǒng)應(yīng)僅允許授權(quán)管理員執(zhí)行下列安全功能數(shù)據(jù)管理操作：設(shè)置鑒別嘗試次數(shù)；設(shè)置審計日志告警門限值；設(shè)置會話超時時間；若產(chǎn)品存在多個組件，應(yīng)為不同組件之間提供時間同步的功能；一性。應(yīng)采用HTTPS等安全傳輸協(xié)議，保證訪問傳輸安全；系統(tǒng)應(yīng)提供安全保護措施， 保證重要數(shù)據(jù)在存儲過程中的完整性和保密性，包括但不限于鑒別、、重要審計數(shù)據(jù)、重要配置數(shù)據(jù)和個人信息等；應(yīng)提供數(shù)據(jù)有效性檢驗功能，保證通過人機接口輸入或通過通信接口輸入的內(nèi)容符合系統(tǒng)設(shè)定智能家居設(shè)備、應(yīng)用服務(wù)平臺、控制端應(yīng)用其中任意兩方在通信時，應(yīng)保證通信和數(shù)據(jù)傳輸?shù)陌踩?，具體安全要求如下：應(yīng)采取安全保護措施，保證通信和數(shù)據(jù)傳輸?shù)谋Ｃ苄院屯暾?；?yīng)采用適當?shù)陌踩珯C制（如序列號）來確保通信雙方傳輸數(shù)據(jù)沒有被重放；重新建立會話或會話超時，應(yīng)重新進行身份驗證。5.5.個人信息保護8智能家居產(chǎn)品應(yīng)在采取相關(guān)措施保護用戶個人信息，具體要求如下：8應(yīng)在用戶同意后讀取用戶通訊錄、通話記錄、、 日程表數(shù)據(jù)、確認情況下刪除或修改用戶通訊錄、通話記錄、、 日程表數(shù)據(jù)的行為。e) 3 1 開發(fā)5311 開發(fā)者應(yīng)提供產(chǎn)品的安全功能的安全架構(gòu)描述，安全架構(gòu)描述應(yīng)滿足以下要求：與產(chǎn)品設(shè)計文檔中對安全功能實施抽象描述的級別一致；描述與安全功能要求一的；證實智能家居產(chǎn)品安全功能能夠防止被破壞； 功能規(guī)范開發(fā)者應(yīng)提供完備的功能規(guī)范說明，功能規(guī)范說明應(yīng)滿足以下要求：開發(fā)者應(yīng)提供產(chǎn)品的功能規(guī)范文檔；功能規(guī)范應(yīng)對智能家居產(chǎn)品的范圍及產(chǎn)品的應(yīng)用環(huán)境和使用限制進行描述；功能規(guī)范應(yīng)對智能家居的安全功能及其外部接口進行描述；功能規(guī)范應(yīng)是內(nèi)在一致的； 產(chǎn)品設(shè)計開發(fā)者應(yīng)提供產(chǎn)品設(shè)計文檔，產(chǎn)品設(shè)計文檔應(yīng)滿足以下要求：應(yīng)描述每一提供的映射關(guān)系能夠證實設(shè)計中描述的所有行為能夠映射到調(diào)用它的安全功能接口。2 開發(fā)者應(yīng)提供明確和合理的操作用戶指南，操作用戶指南與為評估而提供的其他所有文檔保待一致，并且對每一種用戶角色進行描述，具體應(yīng)滿足以下要求：9在安全處理環(huán)境中應(yīng)被控制的用戶可訪問的功能和特權(quán)，包含適當?shù)木拘畔?；如何以安全的方式使用智能家居產(chǎn)品提供的可用接口；明確各類操作用戶可用功能和接口，尤其是受用戶控制的所有安全參數(shù)，適當時應(yīng)指明安全值；每一種與需要執(zhí)行的管理功能有關(guān)的安全相關(guān)事件，包括對安全功能所控制的實體的安全特性操作用戶指南應(yīng)標識產(chǎn)品運行的所有可能狀態(tài)（與維待安全運行之間的因果關(guān)系和聯(lián)系；充分實現(xiàn)安全目的所必須執(zhí)行的安全策略；533 生命周期支持331 配置管理能力開發(fā)者的配置管理應(yīng)滿足以下要求：配置管理計劃應(yīng)描述配置管理系統(tǒng)是如何使用的，并確保實施的配置管理與配置管理計劃一致；配置項清單用來描述組成智能家居產(chǎn)品的配置項，并確保所有配置項具備唯一332 配置管理范圍配置項列表至少包括智能家居產(chǎn)品、安全保障要求的評估證據(jù)和產(chǎn)品的組成部分。5.3.3 交付程序5.3.4 1 覆蓋智能家居產(chǎn)品的安全功能間的對應(yīng)性。53.42 開發(fā)者應(yīng)提供測試文檔，測試文檔包括測試計劃、測試程序描述、預期的測試結(jié)果和實際的測試結(jié)果。3.43 開發(fā)者應(yīng)提供用于測試的產(chǎn)品；獨立第三方檢測機構(gòu)針對開發(fā)者提供的產(chǎn)品及配套的資源進行抽樣測試。35 106

1 測試評價方法與評價規(guī)范要求一一對應(yīng)，它給出具體的方法來智能家居產(chǎn)品是否滿足評價規(guī)范要求。評價方法分為檢測和評估，其中，檢測內(nèi)容為產(chǎn)品的安全功能要求，評估內(nèi)容為產(chǎn)品的安全保障要求。62 安全功能評價62.1 智能家居設(shè)備1 設(shè)備添加與綁定的檢測方法和結(jié)果判定如下：檢測方法：將設(shè)備與某個帳戶進行綁定操作，檢查只有成功綁定之后才能進行網(wǎng)絡(luò)控制操作；結(jié)果判定：設(shè)備經(jīng)用戶賬戶綁定后才可進行網(wǎng)絡(luò)控制；設(shè)備一一個賬戶綁定；1)-4)為“合”，其他情況為“不符合”。6.1.2 安全審計的檢測方法和結(jié)果判定如下：檢測方法：檢查設(shè)備是否實現(xiàn)了本地審計功能；檢查審計記錄是否包括事件的日期和時間、事件的類型（連接驗證、會話終止、主客體標識和結(jié)果信息；設(shè)備本地實現(xiàn)了審計日志的功能；設(shè)備能夠?qū)Ω黜棽僮魇录M行了完備的記錄；設(shè)備采用了有效安全機制保護本地存儲的審計數(shù)據(jù)；設(shè)備采用了有效安全機制保護審計數(shù)據(jù)的傳輸；-4116213 數(shù)據(jù)保護數(shù)據(jù)保護的檢測方法和結(jié)果判定如下：檢測方法：檢查設(shè)備對本地存儲的關(guān)鍵數(shù)據(jù)和音視頻數(shù)據(jù)是否采取了適宜的安全保護措施（如加密）；掃描設(shè)備的通信端口，檢查是否能獲取重要信息；進行自保護。結(jié)果判定：設(shè)備采用了適宜的安全機制存儲關(guān)鍵數(shù)據(jù)和其他重要數(shù)據(jù)；設(shè)備網(wǎng)絡(luò)端口沒有泄露重要信息；只執(zhí)行安全的控制指令數(shù)值。-3)項均滿足為“合”，其他情況為“合”。 固件安全固件安全的檢測方法和結(jié)果判定如下：檢測方法：；升級包、固件升級版本進行完整性校驗并驗證來源可靠性；-3215 對具有網(wǎng)關(guān)功能的設(shè)備的補充要求檢測方法和結(jié)果判定如下：檢測方法：攔截；ARP該數(shù)據(jù)包；包；IP12IP檢查設(shè)備采用的路由協(xié)議是否安全。結(jié)果判定：設(shè)備提供了智能家居設(shè)備注冊和管理功能；設(shè)備提供了防火墻和白名單限制；設(shè)備具備帶寬控制功能并采用了安全路由協(xié)議。1-32 2.1 身份鑒別身份鑒別的測試評價方法如下：檢查控制端應(yīng)用是否具備口令強度檢查機制（）；檢查控制端應(yīng)用是否具備口令時效性檢查機制（如主動提示用戶定期修改口令等）；用戶登錄后長時間不進行任何操作；發(fā)起頻率進行限制。結(jié)果判定具備鑒別失敗處理措施；具備口令強度檢查機制，初始化及修改用戶口令時，能夠根據(jù)策略檢查輸入口令的長度和登錄超時后能進行鎖定或者注銷；符合”，”。2 數(shù)據(jù)保護數(shù)據(jù)存儲保護的測試評價方法如下：測試方法：對重要數(shù)據(jù)完整性進行破壞，查看控制端應(yīng)用是否對完整性收到破壞的數(shù)據(jù)進行檢測和提刀；13-2)項均滿足為“符合”，其他情況為“合”。6.2.2.3 應(yīng)用安全應(yīng)用安全的測試評價方法如下：測試方法：檢查控制端應(yīng)用是否具備防逆向反編譯功能；檢查控制端應(yīng)用是否輸出調(diào)試日志；檢查控制端應(yīng)用使用的第三方庫和開源組件是否存在已公布的高危漏洞；結(jié)果判定控制端應(yīng)用具備防逆向反編譯功能；控制端應(yīng)用不輸出調(diào)試日志；控制端應(yīng)用使用的第三方庫和組件不存在已公布的高危漏洞；1)-4)為＂符合”，為“不符合”。6.2.運行安全檢查控制端應(yīng)用是否包含供應(yīng)者或開發(fā)者的簽名信息、軟件屬性信息；臨時文件是否完全刪除?？刂贫藨?yīng)用僅安裝功能說明文檔中說明的功能；包含供應(yīng)者或開發(fā)者的簽名信息、軟件屬性信息；卸載時能夠?qū)⑵浒窗惭b和使用過程中生成的數(shù)據(jù)完全刪除。-3623 智能家居應(yīng)用服務(wù)平臺軟件231 標識與鑒別標識與鑒別的測試評價方法與預期結(jié)果如下：測試評價方法： 一 以正確的鑒別信息和錯誤的鑒別信息， 錄，是否僅在輸入正確的鑒別信息才能登錄平臺并執(zhí)行相關(guān)操作；14臺，檢查是否僅允許授權(quán)用戶能夠查閱和修改鑒別數(shù)據(jù)；一定次數(shù)的登錄嘗試，驗證在達到允許的鑒別失敗嘗試次數(shù)后，平臺是否使該用戶賬號或登錄點失效；一結(jié)果判定：智能家居應(yīng)用服務(wù)平臺不能新建相同用戶標識的用用戶標識與用戶的審計事件進行了關(guān)聯(lián)；平臺僅允許輸入正確的鑒別信息才能登錄平臺并執(zhí)行相關(guān)操作；平臺提供了鑒別信息復雜度檢查功能，僅滿足復雜度要求的鑒別信息能夠設(shè)置成功；在達到一1) 為“符合”， 其他情況為“合”。6.2.3.2 訪問控制訪問控制的測試評價方法與預期結(jié)果如下：a)測試評價方法：查看產(chǎn)品說明文檔有關(guān)訪問控制的相關(guān)描述，檢查是否支持基于用戶角色或權(quán)限、IP等安全屬性的訪問控制；以授權(quán)用戶身份登錄智能家居應(yīng)用服務(wù)平臺，驗證設(shè)置的基于用戶角色或權(quán)限、IP等安全屬性的訪問控制功能是否有效。b)結(jié)果判定：1)能夠設(shè)置基于用戶角色或權(quán)限、IP等安全屬性的訪問控制策略，并且有效。1)為“合”，其為“不符合”。6.2.3.3 安全審計安全審計的測試評價方法與預期結(jié)果如下：a)測試評價方法：以授權(quán)用戶身份登錄智能家居應(yīng)用服務(wù)平臺執(zhí)行安全審計要求a)查看審計記錄， 檢查平臺是否對操作進行了審計記錄；述及結(jié)果等信息；計記錄便千用戶理解；以授權(quán)用戶身份登錄平臺，以一序結(jié)果是否正確；分別以授權(quán)用戶和非授權(quán)用戶身份執(zhí)行刪除審計記錄的， 戶執(zhí)行刪除審計記錄的操作，15檢查審計記錄是否存儲在永久存儲介質(zhì)中，不斷執(zhí)行可審計操作將審計數(shù)據(jù)空間寫滿，查看平臺是否采取相應(yīng)的措施，如： 忽略可審計事件或覆蓋所存儲的最早的審計記錄等。b)結(jié)果判定：智能家居應(yīng)用服務(wù)平臺對支持的事件發(fā)生產(chǎn)生了審計記錄；根據(jù)條件對審計數(shù)據(jù)進行查詢或排序的結(jié)果正確；1)-6)為“合”，其他情況為“不符合”。3.4 安全管理安全管理的測試評價方法與預期結(jié)果如下：a)測試評價方法：查看授權(quán)用戶所能執(zhí)行的操作與其角色的授權(quán)操作是否一授權(quán)操作是否一致； 51安全管理b) 一性。b)結(jié)果判定：5134b)中的安全功能數(shù)據(jù)管理操作；平臺能夠為不同組件之間提供時間同步；一性。-5)項均滿足為“合”，其他情況為“不符合”。6.2.3.5 數(shù)據(jù)保護數(shù)據(jù)保護的測試評價方法與預期結(jié)果如下：a)測試評價方法： 以授權(quán)用戶身份登錄智能家居應(yīng)用服務(wù)平臺，執(zhí)行修改系統(tǒng)配置、修改安全策略等操作，同時使用抓包工具截取數(shù)據(jù)進行分析，查看數(shù)據(jù)是否不為明文；16獲取的安全功能數(shù)據(jù)不為明文；1)項均滿足為“合”，其他情況為“不符合” 。24 通信安全通信安全的測試評價方法與預期結(jié)果如下：a)測試評價方法：驗證產(chǎn)品說明文檔中描述的通信和數(shù)據(jù)傳輸?shù)谋Ｃ苄院屯暾员Ｗo措施是否有效；檢查各組件之間會話超時，是否需要進行重新身份驗證。b)預期結(jié)果：智能家居設(shè)備、應(yīng)用服務(wù)平臺、控制端等組件之間通信雙方在建立連接之前，進行了雙向身份驗證；通信和數(shù)據(jù)傳輸?shù)谋Ｃ苄院屯暾员Ｗo措施有效；通信雙方傳輸數(shù)據(jù)防重放有關(guān)措施有效；-425 個人信息保護的檢測方法和結(jié)果判定如下：檢測方法：若存在收集個人信息的行為，則判斷其是否向用戶明示收集目的和范圍，且征得了用戶同意息等。檢查智能家居產(chǎn)品是否可以修改存儲的個人信息；和范圍；采用授權(quán)的方式修改個人信息；采用非授權(quán)的方式修改個人信息；若個人信息進行共享或轉(zhuǎn)讓時，測嘗試轉(zhuǎn)移個人信息，查看是否與約定目的和用途相同，17信息；結(jié)果判定：產(chǎn)品提供數(shù)據(jù)采集關(guān)閉功能；產(chǎn)品應(yīng)在用戶同意后讀取用戶本機號碼、、、 、信息等；智能家居產(chǎn)品提供給授權(quán)用戶個人信息刪除選項；-93 6.1 1 安全架構(gòu)描述的檢測方法和結(jié)果判定如下：檢測方法：檢查安全構(gòu)架文檔等證據(jù)是否準確描述安全構(gòu)架的要求。結(jié)果判定：開發(fā)者提供了產(chǎn)品安全功能安全架構(gòu)的描述；開發(fā)者提供的產(chǎn)品安全功能安全架構(gòu)的描述滿足證據(jù)的內(nèi)容和形式的要求。-2)為“符合”，為“合”。6.3.1.2 功能規(guī)范功能規(guī)范的測試方法和判定結(jié)果如下：檢查功能規(guī)范文檔等證據(jù)是否準確描述功能規(guī)范的要求。判定結(jié)果：開發(fā)者提供了產(chǎn)品功能規(guī)范文檔；功能規(guī)范文檔的內(nèi)容滿足要求。-2)為“符合”，為“不符合”。6.3.1.3 產(chǎn)品設(shè)計檢測方法和判定結(jié)果如下：檢測方法：18檢查產(chǎn)品設(shè)計文檔等證據(jù)是否準確描述產(chǎn)品設(shè)計的要求。判定結(jié)果：開發(fā)者提供了產(chǎn)品設(shè)計文檔；設(shè)計文檔的內(nèi)容滿足要求。1)-2)32 指導性文檔檢測方法和判定結(jié)果如下：檢測方法：檢查產(chǎn)品管理員指南、用戶指南等文檔是否準確描述操作用戶指南的要求。判定結(jié)果：文檔的內(nèi)容滿足要求。1)-2)項均滿足為“符合”，其他情況為“不符合”。633 331 檢測方法和判定結(jié)果如下：一性的標識。判定結(jié)果：配置文檔的內(nèi)容滿足要求。使用了配置管理系統(tǒng)， 且現(xiàn)場檢查的配置項在配置管理系統(tǒng)中均作出唯一1)-3)項均滿足為“符合”，其