T-TAF 110-2022 智能終端側(cè)業(yè)務(wù)風(fēng)險(xiǎn)防控安全指南

電信終端產(chǎn)業(yè)協(xié)會發(fā)布I 1 1 1 1 1 2 2 2 2 3 3 3 3 3 3 4本文件按照GB/T1.1-2020《標(biāo)準(zhǔn)化工作導(dǎo)則第1部分：標(biāo)準(zhǔn)化文件的結(jié)構(gòu)和起草規(guī)則》的規(guī)定請注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識別專利的責(zé)任。公司、北京字節(jié)跳動科技有限公司、聯(lián)想（北京）有吳月升、唐家偉、郭建領(lǐng)、張屹、姚一楠、王宇曉、李汝鑫、林巍巍1智能終端側(cè)業(yè)務(wù)風(fēng)險(xiǎn)防控安全指南本文件適用于智能終端側(cè)的業(yè)務(wù)風(fēng)險(xiǎn)防控安全4縮略語API：應(yīng)用程序接口（ApplicationInterface）APP:應(yīng)用程序（ApplicatioROM：只讀存儲器（ReadOnlyMeTEE：可信執(zhí)行環(huán)境（TrustedExecutionEnviroIMEI：國際移動設(shè)備識別碼（InternationalMobileEqIMSI：國際移動用戶識別碼（InternationalMobileSubsMAC：媒體訪問控制（MediaAccessControl）SIM：客戶識別模塊（SubscriberIdentity圖1給出智能終端側(cè)業(yè)務(wù)風(fēng)險(xiǎn)防控通用架構(gòu)，包括業(yè)務(wù)風(fēng)險(xiǎn)防控能策略組件三個(gè)部分。風(fēng)控組件基于安全環(huán)境（如TEE等）實(shí)現(xiàn)，包括系統(tǒng)風(fēng)控、應(yīng)用風(fēng)控、身份風(fēng)控模用APP調(diào)用。智能終端平臺負(fù)責(zé)給業(yè)務(wù)風(fēng)控模型提供輸入，風(fēng)控策略組件根據(jù)智輸入判斷得出當(dāng)前的風(fēng)2a)是否真實(shí)物理智能終端，防止模擬器、云手機(jī)等手段（）；b)設(shè)備是否被UNLOCK及ROOT（基）；）；）；h)是否共享當(dāng)前屏幕（針對支付等高安全）；3）；b)最近特定天數(shù)重置/刷機(jī)的次數(shù)，用于識別黑灰產(chǎn)常用的設(shè)備歸零操作（基礎(chǔ)需求）；度風(fēng)險(xiǎn)為高級（或中級）風(fēng)險(xiǎn)，則智能終端側(cè)的業(yè)務(wù)風(fēng)險(xiǎn)定為高級6.1、6.2、6.3中的各單項(xiàng)風(fēng)險(xiǎn)分值為10分，總風(fēng)險(xiǎn)分值為各單項(xiàng)分值之和?？傦L(fēng)險(xiǎn)分值反饋給業(yè)務(wù)應(yīng)用，供業(yè)務(wù)應(yīng)用決策參考；或者通過分級原則確定風(fēng)險(xiǎn)等級，反饋給業(yè)務(wù)4A.1接口描述*@param1:app_name標(biāo)識app調(diào)用者名稱，用于輔助風(fēng)控模塊*@param3:in_param輸入數(shù)據(jù)，部分命令需要輔助參數(shù)，也GET_RISK_SCORE,/*獲取風(fēng)險(xiǎn)評估分?jǐn)?shù)，可以通過in_paramGET_RISK_MAX_VALUE,/*獲取各風(fēng)險(xiǎn)域下風(fēng)險(xiǎn)值的最大值SPECIFIED_RISK_OPT,/*APP定制策略命令執(zhí)行，根據(jù)in_paramUPDATE_RISK_CONFIG,/*更新風(fēng)控策略配置，包括系統(tǒng)通用策略和APP定制RESERVED/*預(yù)留，暫不實(shí)現(xiàn)}A.3風(fēng)險(xiǎn)域定義APPLICATION,/*