基于GDPR法規(guī)下的移動(dòng)應(yīng)用信息安全法規(guī)研究

姜義重 許蘊(yùn)盈 肖利平 鄭杰峰

（1.珠海格力電器股份有限公司 珠海 519070；2.廣東中創(chuàng)智家科學(xué)研究有限公司 廣州 510663）

引言

歐盟推出的《一般數(shù)據(jù)保護(hù)法案》中文簡(jiǎn)稱“GDPR”，該法案的實(shí)施目標(biāo)是在歐盟共同體范圍內(nèi)；是構(gòu)建個(gè)人信息安全相關(guān)的信息收集、資料保護(hù)規(guī)則、權(quán)利要求以及個(gè)人信息流動(dòng)要求等方面的要求，GDPR法規(guī)[1]主要要求的是產(chǎn)品在交互過程中“云”“管”“端”“邊”對(duì)信息的收集、傳遞、存儲(chǔ)等環(huán)節(jié)中的對(duì)于個(gè)人信息是否有安全策略，能否達(dá)到安全的效果。GDPR法規(guī)要求的信息安全研究構(gòu)簡(jiǎn)圖如圖1。

通過對(duì)以上信息安全的架構(gòu)梳理結(jié)合法規(guī)相關(guān)的要求，可以明確知道GDPR法規(guī)的主要要求是對(duì)于在歐盟共同體范圍內(nèi)的成員，對(duì)于智能產(chǎn)品在控制的過程中，要求企業(yè)對(duì)用戶的個(gè)人權(quán)利至上原則，對(duì)數(shù)據(jù)收集、存儲(chǔ)、轉(zhuǎn)發(fā)等做出了嚴(yán)格的管控要求；同時(shí)對(duì)違反要求的企業(yè)進(jìn)行嚴(yán)格的懲罰。GDPR較廣的適用范圍將對(duì)中國(guó)企業(yè)的移動(dòng)應(yīng)用安全、數(shù)據(jù)收集、處理和交易產(chǎn)生重大影響。比如，一家中國(guó)的電子商務(wù)公司在中國(guó)境內(nèi)為歐盟數(shù)據(jù)主體提供電子商務(wù)服務(wù)，收集有關(guān)個(gè)人數(shù)據(jù)，也應(yīng)當(dāng)遵循GDPR的相關(guān)要求[2]。

1 GDPR法規(guī)對(duì)家電產(chǎn)品APP信息安全的技術(shù)要求

隨著信息時(shí)代的到來，人們對(duì)手機(jī)的依賴性也越來越強(qiáng)，通過手機(jī)端的APP進(jìn)行娛樂、生活、學(xué)習(xí)，但是在應(yīng)用的過程對(duì)于APP的使用者要進(jìn)行相關(guān)的注冊(cè)、聯(lián)網(wǎng)、應(yīng)用，在一系列的操作下，APP獲取了很多用戶的信息，比如位置、賬戶、密碼、通訊錄等想關(guān)信息；有些信息的獲得是經(jīng)過用戶允許的，有些信息的獲取是在用戶不知情的情況下。而近年來我國(guó)智能家電產(chǎn)業(yè)發(fā)展迅速，智能家電的市場(chǎng)普及率和滲透率呈快速增長(zhǎng)態(tài)勢(shì)，越來越多的智能家電產(chǎn)品可以使用手機(jī)的產(chǎn)品APP進(jìn)行日常控制。智能家電在不斷收集消費(fèi)者個(gè)人信息和用戶習(xí)慣等為其生活帶來便利的同時(shí)，也為消費(fèi)者帶來了隱藏的隱私安全風(fēng)險(xiǎn)。按照GDPR的法規(guī)要求，在用戶不知情或未同意的情況下獲取用戶的相關(guān)信息是非法的，是要處于嚴(yán)格的懲罰措施，因此了解GDPR法規(guī)對(duì)用戶的關(guān)鍵信息權(quán)利要求就至關(guān)重要，通過對(duì)GDPR法規(guī)要求的個(gè)人信息安全權(quán)利要求，進(jìn)行針對(duì)性的方案設(shè)計(jì)，有利于法規(guī)的符合性。如圖2即是對(duì)GDPR法規(guī)對(duì)個(gè)人信息安全的權(quán)利要求。

GDPR的要求不僅要滿足權(quán)限[3]的要求，同時(shí)也對(duì)信息安全防范、傳輸?shù)募用堋⑼ㄐ艛?shù)據(jù)的可靠性進(jìn)行了甄別，避免在數(shù)據(jù)存儲(chǔ)、交互的過程中產(chǎn)生信息泄露的風(fēng)險(xiǎn)，針對(duì)風(fēng)險(xiǎn)通常情況下是按照一定的風(fēng)險(xiǎn)等級(jí)進(jìn)行相應(yīng)的分級(jí)處理，一般情況下信息安全等級(jí)分為四級(jí)，具體劃分如表1。

表1 信息安全等級(jí)劃分

在漏洞的處理過程中，一般情況下要遵循以下要求：

1）無風(fēng)險(xiǎn)要求：完全接受無風(fēng)險(xiǎn)；

2）低風(fēng)險(xiǎn)要求：減少低風(fēng)險(xiǎn)數(shù)量；

3）中風(fēng)險(xiǎn)要求：盡可能的規(guī)避中風(fēng)險(xiǎn)；

4）高風(fēng)險(xiǎn)與致命風(fēng)險(xiǎn)：必須立即進(jìn)行風(fēng)險(xiǎn)整改。

2 GDPR法規(guī)下智能產(chǎn)品移動(dòng)應(yīng)用安全的研究

結(jié)合以上GDPR法規(guī)對(duì)研究對(duì)象、權(quán)利要求的研究，要有一些針對(duì)性的研究方案，對(duì)存在的風(fēng)險(xiǎn)問題進(jìn)行整改和規(guī)避；因GDPR法規(guī)是針對(duì)在歐盟銷售的智能產(chǎn)品在用戶信息收集過程中的權(quán)利要求，如何對(duì)相關(guān)的權(quán)利要求進(jìn)行保障，通過研究標(biāo)準(zhǔn)進(jìn)行梳理以下幾個(gè)方面的要求，進(jìn)而達(dá)到滿足GDPR信息安全法規(guī)的要求。

GDPR法規(guī)權(quán)利要求中移動(dòng)應(yīng)用要進(jìn)行哪些方面的安全評(píng)估，主要體現(xiàn)在以下幾個(gè)方面：

基礎(chǔ)信息要求：依據(jù)GDPR的原則中對(duì)個(gè)人數(shù)據(jù)相關(guān)的原則在基礎(chǔ)信息方面應(yīng)當(dāng)具備相關(guān)APP的用途以及功能說明，并且這類說明對(duì)于用戶而言是可以理解的，對(duì)于聯(lián)網(wǎng)目的功能與描述一致，在一些“越獄”或“Root”的設(shè)備上安裝時(shí)應(yīng)當(dāng)有相關(guān)的安全提示告知用戶。

訪問保護(hù)要求：應(yīng)當(dāng)具備安全的措施，尤其是在針對(duì)密碼、用戶名、安全令牌方面以及坐標(biāo)、使用信息等；在安全處理和存儲(chǔ)數(shù)據(jù)方面必須全面明確數(shù)據(jù)在處理和存儲(chǔ)的安全的保護(hù)策略；對(duì)于應(yīng)用程序編程接口（簡(jiǎn)稱API）要有相關(guān)的記錄同時(shí)必須使用戶擁有相關(guān)的接口停用全。

數(shù)據(jù)保護(hù)要求：在聲明中用戶必須完整了解相關(guān)的數(shù)據(jù)保護(hù)聲明，明確在運(yùn)行過程中會(huì)處理那些數(shù)據(jù)用戶何總目的。

數(shù)據(jù)傳輸保護(hù)要求:在傳輸過程中應(yīng)當(dāng)有相關(guān)加密算法、可靠的身份驗(yàn)證方式，明確用戶端的功能與權(quán)限管理情況以及多客戶端功能情況下的權(quán)限管理。

軟件開發(fā)和生命周期管理要求：在移動(dòng)應(yīng)用的開發(fā)和生命管理周期里要對(duì)其進(jìn)行工藝文件有存檔、變更流程有管控、緊急程序資源配置、質(zhì)量管理以及進(jìn)行相應(yīng)的風(fēng)險(xiǎn)評(píng)估。

針對(duì)以上五個(gè)方面的要求，進(jìn)行相關(guān)測(cè)試方法的研究，對(duì)于測(cè)試過程中發(fā)現(xiàn)的問題按照相應(yīng)的威脅程度進(jìn)行相應(yīng)等級(jí)的劃分。

GDPR法規(guī)對(duì)于移動(dòng)應(yīng)用安全測(cè)試流程、方法在法規(guī)中并未明確要求，在對(duì)我們進(jìn)行移動(dòng)應(yīng)用的檢測(cè)過程中使用的方法并未限制，因此在評(píng)估移動(dòng)應(yīng)用安全的時(shí)候，會(huì)針對(duì)能否通過試錯(cuò)的方式，獲取想用用戶的ID（Identity card 身份信息,簡(jiǎn)稱ID），進(jìn)而通過相應(yīng)ID進(jìn)行暴力的方式去進(jìn)行獲得密鑰，如圖3所示，即是在試錯(cuò)的情況下獲得一個(gè)用戶正確的ID。

對(duì)于能夠獲取的用戶ID，進(jìn)而獲取ID對(duì)應(yīng)的密碼等相關(guān)信息，在GDPR的法規(guī)要求中是要去有相應(yīng)的訪問保護(hù)要求，因此能夠通過試錯(cuò)的方式獲取用戶ID是被明確禁止的行為，屬于高風(fēng)險(xiǎn)與致命風(fēng)險(xiǎn)，要求必須進(jìn)行相應(yīng)的整改，針對(duì)這類問題的整改，主要的方案集中在限制移動(dòng)應(yīng)用的登錄次數(shù)，增加超過次數(shù)后登錄的限制時(shí)間等。

GDPR法規(guī)對(duì)于移動(dòng)應(yīng)用安全傳輸也要求采用加密的方式進(jìn)行，通常情況下開發(fā)人員會(huì)忽略移動(dòng)應(yīng)用后端的連接加密，而對(duì)于這樣的未加密會(huì)讓攻擊者采用某一適當(dāng)定位以查看合法用戶網(wǎng)絡(luò)流量的，攻擊者可以記錄和監(jiān)控他們與APP之間的交互并獲取正在傳輸?shù)拿舾行畔ⅰＥc此同時(shí)利用此漏洞，讓合法用戶權(quán)益受到損失。比如當(dāng)客戶端通過不安全的連接（例如公共Wi-Fi）或與受感染計(jì)算機(jī)共享的公司或家庭網(wǎng)絡(luò)與服務(wù)器通信時(shí)，通常會(huì)發(fā)生這種情況。因此采用高等級(jí)的加密手段，可以有效避免通信過程中的敏感信息泄露。

3 結(jié)論

GDPR作為歐盟推出的一部信息安全保護(hù)法，對(duì)移動(dòng)應(yīng)用上的各個(gè)環(huán)節(jié)用戶信息收集、存儲(chǔ)、傳輸都有著一定的約束要求[4]，如何能夠滿足GDPR的法規(guī)的符合性，成為各企業(yè)技術(shù)開發(fā)人員關(guān)注的重點(diǎn)。在移動(dòng)應(yīng)用設(shè)計(jì)之初就需要重點(diǎn)關(guān)注相關(guān)GDPR法規(guī)對(duì)用戶個(gè)人信息安全與個(gè)人隱私保護(hù)的策略，同時(shí)在開發(fā)過程中關(guān)注GDPR法規(guī)對(duì)基礎(chǔ)信息、訪問保護(hù)、數(shù)據(jù)保護(hù)、數(shù)據(jù)傳輸保護(hù)、軟件開發(fā)和生命周期管理的相關(guān)要求，從而能夠設(shè)計(jì)一款符合GDPR法規(guī)要求的智能產(chǎn)品移動(dòng)應(yīng)用。