YDT 4543-2023移動應(yīng)用程序在線加固服務(wù)系統(tǒng)指標(biāo)要求和評估方法

ICS目次33.160.60

CCSM30

YD

中華人民共和國通信行業(yè)標(biāo)準(zhǔn)

YD/T××××—××××

移動應(yīng)用程序在線加固服務(wù)系統(tǒng)

指標(biāo)要求和評估方法

Technicalrequirementsandtestmethodsfor

mobileprogramonlineservicereinforcementsystem

（報批稿）

20××-××-××發(fā)布20××-××-××實施

中華人民共和國工業(yè)和信息化部發(fā)布

××/T××××—××××

前言

本文件按照GB/T1.1—2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》

的規(guī)定起草。

請注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機構(gòu)不承擔(dān)識別這些專利的責(zé)任。

本文件由中國通信標(biāo)準(zhǔn)化協(xié)會提出并歸口。

本文件起草單位：中國信息通信研究院、阿里巴巴（中國）有限公司、騰訊科技有限公

司、北京奇虎科技有限公司、維沃移動通信有限公司。

本文件主要起草人：石霖、閔棟、龔文全、孫明俊、宋超、曾志峰、盧佐華、賈科、吳

昊、楊光夫、魏哲、馬宏亮、蔣旭憲、高磊、湯姿平、張屹、侯文婷、王俊、姚一楠、王江

勝。

II

××/T××××—××××

移動應(yīng)用程序在線加固服務(wù)系統(tǒng)指標(biāo)要求和評估方法

1范圍

本文件規(guī)定了移動應(yīng)用程序在線加固服務(wù)系統(tǒng)的指標(biāo)要求和評估方法。本文件適用于對

安卓操作系統(tǒng)移動應(yīng)用程序在線加固服務(wù)系統(tǒng)的評估、驗收等。

本文件主要針對安卓操作系統(tǒng)適用，其他系統(tǒng)僅供參考，并且為真實部署環(huán)境，而非測

試環(huán)境的。

2規(guī)范性引用文件

本文件沒有規(guī)范性引用文件。

3術(shù)語和定義

3.1

移動應(yīng)用程序在線加固服務(wù)系統(tǒng)mobileprogramonlinesevicereinforcementsystem

幫助開發(fā)者對其移動應(yīng)用產(chǎn)品進行保護的系統(tǒng)，能夠保證移動應(yīng)用的完整性、保密性、

可用性，降低被逆向、被篡改、被仿冒等風(fēng)險，且不影響原移動應(yīng)用的功能。

3.2

用戶user

使用移動應(yīng)用程序在線加固服務(wù)系統(tǒng)解決其業(yè)務(wù)問題的組織、個人或信息系統(tǒng)。

3.3

安卓android

基于Linux的自由及開放源代碼的操作系統(tǒng)，主要使用于移動設(shè)備，如智能手機和平板

電腦，由Google公司和開放手機聯(lián)盟領(lǐng)導(dǎo)及開發(fā)。

3.4

核心轉(zhuǎn)儲coredump

核心轉(zhuǎn)儲特指把內(nèi)存中的內(nèi)容復(fù)制到其它存儲設(shè)備上。

4縮略語

下列縮略語適用于本文件。

API:應(yīng)用編程接口(ApplicationProgrammingInterface)

SDK:軟件開放工具包(SoftwareDevelopmentKit)

5指標(biāo)要求和評估方法概述

1

××/T××××—××××

5.1指標(biāo)要求概述

本文件規(guī)定了移動應(yīng)用程序在線加固服務(wù)系統(tǒng)三個方面的要求：基本信息披露、系統(tǒng)成

熟度評估和服務(wù)質(zhì)量評估。其中基本信息披露包括：系統(tǒng)名稱、系統(tǒng)版本號、系統(tǒng)基本描述

等指標(biāo)。系統(tǒng)成熟度評估包括：功能要求、性能要求、開放性要求、可靠性要求、易用性要

求、可維護性要求、安全性要求、禁止項要求。服務(wù)質(zhì)量評估包括：服務(wù)可審查性、服務(wù)計

量準(zhǔn)確性等。指標(biāo)體系如表1。

表1移動應(yīng)用程序在線加固服務(wù)系統(tǒng)指標(biāo)體系

指標(biāo)體系具體指標(biāo)

1．系統(tǒng)名稱

2．系統(tǒng)版本號

3．系統(tǒng)基本描述

4．業(yè)務(wù)運營起始時間

一、基本信息披露5．收費方式

6．系統(tǒng)功能

7．系統(tǒng)涉及的硬件、軟件清單信息

8．知識產(chǎn)權(quán)狀況說明

9．行業(yè)實施案例

10．功能要求

11．性能要求

12．開放性要求

13.可靠性要求

二、系統(tǒng)成熟度評估

14．易用性要求

15．可維護性要求

16.安全性要求

17.禁止項要求

18．服務(wù)可審查性

三、服務(wù)質(zhì)量評估

19．服務(wù)計量準(zhǔn)確性

5.2評估方法概述

針對移動應(yīng)用程序在線加固服務(wù)系統(tǒng)的評估方法包括材料檢查和技術(shù)測試兩類測評方

法，具體如下：

2

××/T××××—××××

——材料檢查是通過對測評對象進行觀察、查驗、分析以幫助測評人員理解、澄清或取

得證據(jù)的過程。檢查主要有評審、核查、審查、觀察、研究和分析等，檢查對象是文檔、機

制、設(shè)備等；

——技術(shù)測試是指使用預(yù)定的方法/工具使測評對象產(chǎn)生特定的結(jié)果，將運行結(jié)果與預(yù)

期的結(jié)果進行比對的過程，主要包括手工驗證、工具測試等測試操作。

5.3指標(biāo)評估方法總覽

根據(jù)檢查和測試兩類評估方法，對移動應(yīng)用程序在線加固服務(wù)系統(tǒng)的每個指標(biāo)的真實性

進行評估，各指標(biāo)項對應(yīng)的評測方法如表2所示。

表2移動應(yīng)用程序在線加固服務(wù)系統(tǒng)指標(biāo)評測方法一覽表

具體指標(biāo)檢查測試

材料檢查

1.系統(tǒng)名稱——

2.系統(tǒng)版本號材料檢查——

3.系統(tǒng)基本描述材料檢查——

4.業(yè)務(wù)運營起始時間材料檢查——

5.收費方式材料檢查——

6．系統(tǒng)功能材料檢查——

7．系統(tǒng)涉及的硬件、軟件清單信息材料檢查——

8．知識產(chǎn)權(quán)狀況說明材料檢查——

9．行業(yè)實施案例材料檢查——

10．功能要求——技術(shù)測試

材料檢查

11．性能要求——

12．開放性要求材料檢查技術(shù)測試

13．可靠性要求材料檢查——

14．易用性要求材料檢查技術(shù)測試

15．可維護性要求材料檢查——

16.安全性要求材料審查——

17.禁止項要求材料審查技術(shù)測試

18．服務(wù)可審查性材料檢查——

19．服務(wù)計量準(zhǔn)確性材料檢查技術(shù)測試

6具體指標(biāo)項及評估方法

3

××/T××××—××××

6.1基本信息披露

評估對象：移動應(yīng)用程序在線加固服務(wù)系統(tǒng)的基本信息。

評估方法：主要基于材料檢查的方式。

材料檢查：由參評企業(yè)提供系統(tǒng)指標(biāo)的說明材料，包括：

——系統(tǒng)名稱：提供系統(tǒng)對外提供服務(wù)的商業(yè)名稱；

——系統(tǒng)版本號：提供系統(tǒng)對外提供的最新版本號；

——系統(tǒng)基本描述：提供系統(tǒng)基本描述應(yīng)當(dāng)至少包括系統(tǒng)提供的服務(wù)功能、使用方式和

收費方式的簡介；

——業(yè)務(wù)運營起始時間：提供系統(tǒng)開始運營起始時間的說明材料；

——收費方式：提供系統(tǒng)收費方式的說明材料，例如按調(diào)用次數(shù)、使用時長等方式；

——系統(tǒng)功能：提供系統(tǒng)完整的功能說明文檔；

——系統(tǒng)涉及的硬件、軟件清單信息：提供本次評測系統(tǒng)涉及的硬件、軟件清單信息，

清單內(nèi)容包括軟件版本、硬件設(shè)備型號等信息；

——行業(yè)實施案例：提供真實的行業(yè)實施案例。

6.2功能要求

評估對象：移動應(yīng)用程序在線加固服務(wù)系統(tǒng)的整體功能。

評估方法：主要基于技術(shù)測試的方式。

技術(shù)測試，測試整體功能的實際效果，由參評企業(yè)提供測試賬號，要求：

——具有dex文件的反編譯保護功能；

——具有dex文件的反篡改保護功能；

——具有dex文件的反調(diào)試保護功能；

——具有so文件的反編譯保護功能（可選）；

——具有so文件的反篡改保護功能（可選）；

——具有so文件的反調(diào)試保護功能（可選）；

——具有so庫與應(yīng)用綁定功能（可選）；

——具有資源文件的反篡改功能（可選）；

——具有資源文件的加密保護功能（可選）；

——具有防注入保護功能（可選）；

——具有防內(nèi)存核心轉(zhuǎn)儲保護功能（可選）；

——具有安卓系統(tǒng)SDK源碼混淆功能（可選）；

——具有ODEX文件的反編譯保護功能（可選）；

——具有ODEX文件的完整性功能（可選）。

注1:dex文件是安卓系統(tǒng)中可執(zhí)行文件。

注2:so文件是安卓系統(tǒng)中用到的一種函數(shù)庫文件。

6.3性能要求

評估對象：移動應(yīng)用程序在線加固服務(wù)系統(tǒng)性能。

評估方法：主要基于材料檢查的方式。

材料檢查：由參評企業(yè)提供系統(tǒng)指標(biāo)的說明材料，包括加固服務(wù)對移動應(yīng)用程序執(zhí)行效

率等方面影響情況。

6.4開放性要求

評估對象：移動應(yīng)用程序在線加固服務(wù)系統(tǒng)的開放方式。

4

××/T××××—××××

評估方法：主要基于材料檢查和技術(shù)測試的方式。

——材料檢查：由參評企業(yè)應(yīng)提供與承諾相符的有關(guān)開放性的材料，包括移動應(yīng)用程序

在線加固服務(wù)系統(tǒng)可開放的相關(guān)功能文檔。（可選）

——技術(shù)測試：測試開發(fā)性的實際效果，由參評企業(yè)提供測試賬號，要求：

?支持開放API接口（可選）；

?支持以第三方功能模塊的形式提供給其他軟件系統(tǒng)集成（可選）。

6.5可靠性要求

評估對象：移動應(yīng)用程序在線加固服務(wù)系統(tǒng)的可靠性。

評估方法：主要基于材料檢查的方式。

材料檢查：由參評企業(yè)應(yīng)提供與承諾相符的有關(guān)可靠性的材料，包括：

——系統(tǒng)緊急恢復(fù)時間，廠家提供材料對系統(tǒng)緊急恢復(fù)時間進行說明。

——支持系統(tǒng)自動備份：

?備份內(nèi)容包括數(shù)據(jù)，配置信息。

?說明系統(tǒng)備份的方式有哪些，定期備份（時間），是否支持自定義備份。

——具有用戶信息保護機制：

?用戶數(shù)據(jù)是否加密，采用哪些加密算法等。

?用戶提交的移動應(yīng)用是否有保護措施。

——系統(tǒng)開放的特殊端口。

——說明加固后是否會附加其他功能。

——支持提供移動應(yīng)用運行時安全狀態(tài)信息，包括提供移動應(yīng)用運行崩潰信息等。（可

選）

6.6易用性要求

評估對象：移動應(yīng)用程序在線加固服務(wù)系統(tǒng)的易用性。

評估方法：主要基于材料檢查和技術(shù)測試的方式。

——材料檢查：由參評企業(yè)應(yīng)提供與承諾相符的有關(guān)易用性的材料，包括：

?當(dāng)前版本發(fā)布時間；

?系統(tǒng)說明書；

?電子版快速幫助手冊；

?操作演示文檔；

?應(yīng)用安全加固服務(wù)功能測試驗證報告。

——技術(shù)測試：測試易用性的實際效果，由參評企業(yè)提供測試賬號，要求：

?試用系統(tǒng)；

?系統(tǒng)在線試用。

6.7可維護性要求

評估對象：移動應(yīng)用程序在線加固服務(wù)系統(tǒng)的可維護性。

評估方法：主要基于材料檢查的方式。

材料檢查，由參評企業(yè)提供與承諾相符的安全性說明材料，要求：

——支持在線更新，主要包括服務(wù)系統(tǒng)的功能更新、版本升級等；

——支持運行狀態(tài)監(jiān)控；

——支持異常通知，當(dāng)加固系統(tǒng)出現(xiàn)問題時，通過推送機制通知加固使用者。

6.8安全性要求

5

××/T××××—××××

評估對象：移動應(yīng)用程序在線加固服務(wù)系統(tǒng)整體安全性

評估方法：主要基于材料檢查的方式，包括：

材料檢查，由參評企業(yè)提供與承諾相符的安全性說明材料，包括：

——支持服務(wù)器的訪問控制；

——數(shù)據(jù)加密存儲傳輸?shù)姆绞剑?/p>

?數(shù)據(jù)包括用戶身份信息、統(tǒng)計數(shù)據(jù)與上傳的原始安裝包；

?支持密鑰生成、存儲、傳輸和使用的保護措施。

——支持做到一次一密、用完清除內(nèi)存、刪除后不可恢復(fù)；

——支持日志審計。

6.9禁止項要求

評估對象：移動應(yīng)用程序在線加固服務(wù)系統(tǒng)的禁止項。

評估方法：主要基于材料檢查和技術(shù)測試的方式，主要是材料審查和技術(shù)測試。

材料審查，參評企業(yè)應(yīng)提供與承諾相符的禁止項相關(guān)材料，包括：

——提供用戶有關(guān)使用其服務(wù)的操作指導(dǎo)/說明資料；

——不同類型用戶的功能差異化說明、第三方接入API和文檔等；

——評估加固系統(tǒng)無惡意修改原APP功能的行為，包括：

?禁止加固系統(tǒng)在原APP中加入/改變/刪除任何通信功能、通信目標(biāo)；

?禁止修改原APP的功能實現(xiàn)（安全存儲除外）；

?禁止增加原APP外的其他功能。

——禁止支持搜集用戶隱私。

技術(shù)測試，由參評企業(yè)提供測試賬號測試是否滿足以下條件,要求：

——禁止加固系統(tǒng)增加推送、廣告等內(nèi)容；

——禁止APP運行期間彈出或顯示與原APP功能無關(guān)的信息；

——禁止固系統(tǒng)修改/增加/刪除原APP的安全訪問權(quán)限（例如通訊錄/聯(lián)系人等）；

——禁止加固系統(tǒng)修改原APP的GUI。

6.10服務(wù)可審查性

評估對象：移動應(yīng)用程序在線加固服務(wù)系統(tǒng)整體業(yè)務(wù)服務(wù)可審查性。

評估方法：主要基于材料檢查和技術(shù)測試的方式，包括：

材料檢查：由參評企業(yè)應(yīng)提供與承諾相符的可審查性的材料，包括：

——操作審計：關(guān)鍵組件的3個月內(nèi)運行日志、運維人員的操作記錄等；

——人員審計：人員權(quán)限管理規(guī)定、人員基本信息等；

——承諾書：開發(fā)商簽名和加固廠商簽名之間的責(zé)任和意義；

——支持電子簽名加固后的APP及數(shù)據(jù)保存和備份；

——電子簽名：加固系統(tǒng)恢復(fù)的APP，應(yīng)提供完整性校驗的電子簽名，簽名描述文件包

含（不限于）如下信息：

?提供加固系統(tǒng)公司信息；

?提供加固系統(tǒng)軟件信息；

?提供加固系統(tǒng)軟件版本；

?提供加固日期。

——支持使用加固系統(tǒng)提供方的證書進行簽名。

6.11服務(wù)計量準(zhǔn)確性

評估對象：移動應(yīng)用程序在線加固服務(wù)系統(tǒng)整體服務(wù)計量準(zhǔn)確性。

評估方法：主要基于材料檢查和技術(shù)測試的方式，包括：

6

××/T××××—××××

——材料檢查：由參評企業(yè)應(yīng)提供與承諾相符的服務(wù)計量的材料，包括：

?提供計量方式；

?提供計量周期和顆粒度；

?提供計量日志。

——技術(shù)測試：使用移動應(yīng)用安全加固服務(wù)，按參評企業(yè)提供的查詢方式審查包括服務(wù)

調(diào)用次數(shù)和其他所付費功能是否與使用情況一致。

7

××/T××××—××××

目次

前言.......................................................................II

1范圍......................................................................1

2規(guī)范性引用文件.............................................................1

3術(shù)語和定義.................................................................1

4縮略語.....................................................................1

5指標(biāo)要求和評估方法概述.....................................................1

5.1指標(biāo)要求概述...........................................................2

5.2評估方法概述...........................................................2

5.3指標(biāo)要求和評估方法框架.................................................3

6具體指標(biāo)項及評估方法.......................................................3

6.1基本信息披露...........................................................4

6.2功能要求...............................................................4

6.3性能要求...............................................................4

6.4開放性要求.............................................................4

6.5可靠性要求.............................................................5

6.6易用性要求.............................................................5

6.7可維護性要求...........................................................5

6.8安全性要求.............................................................5

6.9禁止項要求.............................................................6

6.10服務(wù)可審查性..........................................................6

6.11服務(wù)計量準(zhǔn)確性........................................................6

I

××/T××××—××××

移動應(yīng)用程序在線加固服務(wù)系統(tǒng)指標(biāo)要求和評估方法

1范圍

本文件規(guī)定了移動應(yīng)用程序在線加固服務(wù)系統(tǒng)的指標(biāo)要求和評估方法。本文件適用于對

安卓操作系統(tǒng)移動應(yīng)用程序在線加固服務(wù)系統(tǒng)的評估、驗收等。

本文件主要針對安卓操作系統(tǒng)適用，其他系統(tǒng)僅供參考，并且為真實部署環(huán)境，而非測

試環(huán)境的。

2規(guī)范性引用文件

本文件沒有規(guī)范性引用文件。

3術(shù)語和定義

3.1

移動應(yīng)用程序在線加固服務(wù)系統(tǒng)mobileprogramonlinesevicereinforcementsystem

幫助開發(fā)者對其移動應(yīng)用產(chǎn)品進行保護的系統(tǒng)，能夠保證移動應(yīng)用的完整性、保密性、

可用性，降低被逆向、被篡改、被仿冒等風(fēng)險，且不影響原移動應(yīng)用的功能。

3.2

用戶user

使用移動應(yīng)用程序在線加固服務(wù)系統(tǒng)解決其業(yè)務(wù)問題的組織、個人或信息系統(tǒng)。

3.3

安卓android

基于Linux的自由及開放源代碼的操作系統(tǒng)，主要使用于移動設(shè)備，如智能手機和平板

電腦，由Google公司和開放手機聯(lián)盟領(lǐng)導(dǎo)及開發(fā)。

3.4

核心轉(zhuǎn)儲coredump

核心轉(zhuǎn)儲特指把內(nèi)存中的內(nèi)容復(fù)制到其它存儲設(shè)備上。

4縮略語

下列縮略語適用于本文件。

API:應(yīng)用編程接口(ApplicationProgrammingInterface)

SDK:軟件開放工具包(SoftwareDevelopmentKit)

5指標(biāo)要求和評估方法概述

1

××/T××××—××××

5.1指標(biāo)要求概述

本文件規(guī)定了移動應(yīng)用程序在線加固服務(wù)系統(tǒng)三個方面的要求：基本信息披露、系統(tǒng)成

熟度評估和服務(wù)質(zhì)量評估。其中基本信息披露包括：系統(tǒng)名稱、系統(tǒng)版本號、系統(tǒng)基本描述

等指標(biāo)。系統(tǒng)成熟度評估包括：功能要求、性能要求、開放性要求、可靠性要求、易用性要

求、可維護性要求、安全性要求、禁止項要求。服務(wù)質(zhì)量評估包括：服務(wù)可審查性、服務(wù)計

量準(zhǔn)確性等。指標(biāo)體系如表1。

表1移動應(yīng)用程序在線加固服務(wù)系統(tǒng)指標(biāo)體系

指標(biāo)體系具體指標(biāo)

1．系統(tǒng)名稱

2．系統(tǒng)版本號

3．系統(tǒng)基本描述

4．業(yè)務(wù)運營起始時間

一、基本信息披露5．收費方式

6．系統(tǒng)功能

7．系統(tǒng)涉及的硬件、軟件清單信息

8．知識產(chǎn)權(quán)狀況說明

9．行業(yè)實施案例

10．功能要求

11．性能要求

12．開放性要求

13.可靠性要求

二、系統(tǒng)成熟度評估

14．易用性要求

15．可維護性要求

16.安全性要求

17.禁止項要求

18．服務(wù)可審查性

三、服務(wù)質(zhì)量評估

19．服務(wù)計量準(zhǔn)確性

5.2評估方法概述

針對移動應(yīng)用程序在線加固服務(wù)系統(tǒng)的評估方法包括材料檢查和技術(shù)測試兩類測評方

法，具體如下：

2

××/T××××—××××

——材料檢查是通過對測評對象進行觀察、查驗、分析以幫助測評人員理解、澄清或取

得證據(jù)的過程。檢查主要有評審、核查、審查、觀察、研究和分析等，檢查對象是文檔、機

制、設(shè)備等；

——技術(shù)測試是指使用預(yù)定的方法/工具使測評對象產(chǎn)生特定的結(jié)果，將運行結(jié)果與預(yù)

期的結(jié)果進行比對的過程，主要包括手工驗證、工具測試等測試操作。

5.3指標(biāo)評估方法總覽

根據(jù)檢查和測試兩類評估方法，對移動應(yīng)用程序在線加固服務(wù)系統(tǒng)的每個指標(biāo)的真實性

進行評估，各指標(biāo)項對應(yīng)的評測方法如表2所示。

表2移動應(yīng)用程序在線加固服務(wù)系統(tǒng)指標(biāo)評測方法一覽表

具體指標(biāo)檢查測試

材料檢查

1.系統(tǒng)名稱——

2.系統(tǒng)版本號材料檢查——

3.系統(tǒng)基本描述材料檢查——

4.業(yè)務(wù)運營起始時間材料檢查——

5.收費方式材料檢查——

6．系統(tǒng)功能材料檢查——

7．系統(tǒng)涉及的硬件、軟件清單信息材料檢查——

8．知識產(chǎn)權(quán)狀況說明材料檢查——

9．行業(yè)實施案例材料檢查——

10．功能要求——技術(shù)測試

材料檢查

11．性能要求——

12．開放性要求材料檢查技術(shù)測試

13．可靠性要求材料檢查——

14．易用性要求材料檢查