韋芹余

江蘇省通信管理局

0 引言

APP（應(yīng)用程序，Application的縮寫(xiě)）是指安裝在手機(jī)等智能終端上的應(yīng)用程序的代名詞。根據(jù)第47次《中國(guó)互聯(lián)網(wǎng)絡(luò)發(fā)展?fàn)顩r統(tǒng)計(jì)報(bào)告》，截至2020年12月，全國(guó)監(jiān)測(cè)到的APP數(shù)量為345萬(wàn)款。APP作為移動(dòng)終端重要內(nèi)容的載體，為互聯(lián)網(wǎng)用戶生活、工作、學(xué)習(xí)、社交提供豐富的使用體驗(yàn)，在促進(jìn)經(jīng)濟(jì)社會(huì)發(fā)展、服務(wù)民生等方面發(fā)揮了不可替代的作用。互聯(lián)網(wǎng)用戶安裝使用APP主要的下載渠道是通過(guò)應(yīng)用商店，其他一些下載渠道還包括官方網(wǎng)站、二維碼、網(wǎng)盤(pán)、廣告推廣等方式。APP本身存在網(wǎng)絡(luò)安全隱患，例如遠(yuǎn)程命令執(zhí)行、數(shù)據(jù)未加密存儲(chǔ)、明文傳輸?shù)?，將?dǎo)致用戶數(shù)據(jù)泄露、財(cái)產(chǎn)損失。在個(gè)人信息保護(hù)方面，APP違法違規(guī)收集使用個(gè)人信息的問(wèn)題十分突出。

目前APP行業(yè)存在一些亂象亟需規(guī)范管理：APP為了增大分發(fā)量，會(huì)盡可能多的在不同應(yīng)用商店上架，一些小的應(yīng)用商店為增加樣本數(shù)據(jù)，未經(jīng)開(kāi)發(fā)者授權(quán)就轉(zhuǎn)發(fā)APP為用戶提供下載，導(dǎo)致同一款A(yù)PP多個(gè)版本并存，版本管理混亂；APP開(kāi)發(fā)者受限于技術(shù)水平或缺乏網(wǎng)絡(luò)安全防護(hù)意識(shí)，程序未做代碼審計(jì)和風(fēng)險(xiǎn)評(píng)估，存在網(wǎng)絡(luò)安全隱患即投向市場(chǎng)；有些APP未做加固或只做了簡(jiǎn)單加固，程序容易被逆向破解，導(dǎo)致被抄襲模仿與山寨；APP強(qiáng)制授權(quán)、過(guò)度索權(quán)、超范圍收集個(gè)人信息的現(xiàn)象也普遍存在。

1 建設(shè)目標(biāo)

2019年1月份，國(guó)家多部門(mén)聯(lián)合開(kāi)展APP違法違規(guī)收集使用個(gè)人信息專項(xiàng)治理，拉開(kāi)了APP行業(yè)亂象治理的序幕。研究建設(shè)移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序（APP）檢測(cè)處置平臺(tái)，提升信息化監(jiān)管水平，以技術(shù)管技術(shù)，檢測(cè)通報(bào)APP網(wǎng)絡(luò)安全隱患，支撐管理部門(mén)打擊APP違法違規(guī)收集使用個(gè)人信息的行為，保護(hù)公民個(gè)人信息安全，強(qiáng)化企業(yè)合規(guī)經(jīng)營(yíng)、守法經(jīng)營(yíng)意識(shí)。

移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序（APP）檢測(cè)處置平臺(tái)要建設(shè)基于工作流技術(shù)的任務(wù)管理平臺(tái)，將信息匯聚、技術(shù)檢測(cè)、通報(bào)處置等各項(xiàng)工作定制成規(guī)范的業(yè)務(wù)流程，各流程可溯源、進(jìn)度可查看、證據(jù)可存檔，簡(jiǎn)化人工操作，提高工作效率。平臺(tái)整合APP運(yùn)營(yíng)者、應(yīng)用商店、網(wǎng)絡(luò)安全廠商、第三方檢測(cè)機(jī)構(gòu)等多方資源，建成省級(jí)APP資源庫(kù)，聚類分析APP信息，引入APP自動(dòng)化檢測(cè)引擎和沙箱分析模型，對(duì)APP進(jìn)行自動(dòng)化、標(biāo)準(zhǔn)化、批量化的檢測(cè)，形成線上通報(bào)處置的工作機(jī)制。

2 系統(tǒng)架構(gòu)

2.1 平臺(tái)總體架構(gòu)

規(guī)劃建設(shè)APP檢測(cè)處置平臺(tái)，應(yīng)充分考慮系統(tǒng)可擴(kuò)展性，各模塊之間充分解耦，根據(jù)現(xiàn)有資源和條件，實(shí)現(xiàn)按需進(jìn)行模塊封裝。總體架構(gòu)可分為數(shù)據(jù)采集匯入、數(shù)據(jù)存儲(chǔ)資源庫(kù)、檢測(cè)分析引擎、在線處置等模塊，整體架構(gòu)如圖1所示，各層功能說(shuō)明如下：

圖1 APP檢測(cè)處置平臺(tái)整體架構(gòu)

數(shù)據(jù)采集匯入：通過(guò)多種渠道采集、收集APP臺(tái)賬信息，可包括應(yīng)用商店報(bào)送在架的APP信息；APP運(yùn)營(yíng)者登記報(bào)備APP信息；通過(guò)網(wǎng)絡(luò)爬蟲(chóng)技術(shù)收集APP信息；在項(xiàng)目建設(shè)過(guò)程中，可引入第三方廠家的分析數(shù)據(jù)。

數(shù)據(jù)存儲(chǔ)資源庫(kù)：建成APP信息、運(yùn)營(yíng)者信息、應(yīng)用商店信息、APP文件庫(kù)，還包括檢測(cè)報(bào)告、安全隱患、違規(guī)問(wèn)題清單等數(shù)據(jù)。

檢測(cè)分析：平臺(tái)建立自動(dòng)化檢測(cè)流水線，對(duì)新入庫(kù)的APP進(jìn)行網(wǎng)絡(luò)安全檢測(cè)、違法違規(guī)收集使用個(gè)人信息檢測(cè)，支持第三方機(jī)構(gòu)導(dǎo)入人工檢測(cè)報(bào)告。

在線處置：建立APP通報(bào)處置電子化、處置流程可視化的工作流，形成通報(bào)、在線反饋、復(fù)測(cè)、審核的閉環(huán)管理。

2.2 系統(tǒng)角色及功能權(quán)限

平臺(tái)分為管理員、APP運(yùn)營(yíng)者、應(yīng)用商店、第三方機(jī)構(gòu)4種角色，每種角色在平臺(tái)里的功能權(quán)限如圖2所示。

圖2 系統(tǒng)角色及功能權(quán)限

3 核心功能

3.1 建立省級(jí)APP資源庫(kù)

目前累計(jì)發(fā)現(xiàn)江蘇省內(nèi)共有15.6萬(wàn)款A(yù)PP，按照版本去重后共有2.1萬(wàn)款，涉及運(yùn)營(yíng)單位6900余家。按照屬地管理原則開(kāi)展APP治理，可通過(guò)多種渠道，不斷更新、擴(kuò)充省內(nèi)APP臺(tái)賬信息，建立省級(jí)APP資源庫(kù)，優(yōu)化APP數(shù)據(jù)臺(tái)賬更新機(jī)制，一方面結(jié)合增值電信企業(yè)名單、已有運(yùn)營(yíng)者名單，進(jìn)行新版本APP、新增APP數(shù)據(jù)的精準(zhǔn)爬??；另一方面聯(lián)系對(duì)接應(yīng)用商店、第三方廠家，匯入APP數(shù)據(jù)。

探索開(kāi)展APP登記報(bào)備，通過(guò)建立APP線上報(bào)備系統(tǒng)，鼓勵(lì)省內(nèi)APP開(kāi)發(fā)運(yùn)營(yíng)者自主報(bào)送APP。平臺(tái)支持用戶注冊(cè)，填報(bào)企業(yè)信息、聯(lián)系人信息、APP信息，并上傳程序文件。平臺(tái)自動(dòng)化解析出上傳程序文件的應(yīng)用名稱、版本號(hào)、包名、MD5、個(gè)人隱私權(quán)限申請(qǐng)等信息。在平臺(tái)登記的企業(yè)信息、聯(lián)系人信息，后續(xù)可以用于開(kāi)展線上的通報(bào)處置。

3.2 自動(dòng)化技術(shù)檢測(cè)

（1）網(wǎng)絡(luò)安全檢測(cè)。按照《網(wǎng)絡(luò)安全法》規(guī)定，APP運(yùn)營(yíng)者作為網(wǎng)絡(luò)服務(wù)的提供者，應(yīng)當(dāng)落實(shí)網(wǎng)絡(luò)安全主體責(zé)任。根據(jù)《移動(dòng)互聯(lián)網(wǎng)惡意程序描述格式》、《移動(dòng)應(yīng)用軟件安全評(píng)估方法》，平臺(tái)部署自動(dòng)化分析引擎，從程序代碼安全、組件安全、通信安全、數(shù)據(jù)存儲(chǔ)安全、內(nèi)部數(shù)據(jù)交互安全、業(yè)務(wù)交互安全、安全策略和漏洞檢測(cè)八個(gè)方面對(duì)APP是否存在惡意行為、網(wǎng)絡(luò)安全隱患等方面進(jìn)行檢測(cè)和評(píng)估，評(píng)判是否符合移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序（APP）網(wǎng)絡(luò)安全相關(guān)標(biāo)準(zhǔn)要求，生成網(wǎng)絡(luò)安全檢測(cè)報(bào)告。

（2）收集使用個(gè)人信息檢測(cè)。APP違法違規(guī)收集使用個(gè)人信息檢測(cè)主要是依據(jù)《APP違法違規(guī)收集使用個(gè)人信息行為認(rèn)定方法》、《常見(jiàn)類型移動(dòng)互聯(lián)網(wǎng)應(yīng)用程序必要個(gè)人信息范圍規(guī)定》、《信息安全技術(shù) 個(gè)人信息安全規(guī)范》，平臺(tái)通過(guò)動(dòng)態(tài)沙箱、靜態(tài)引擎結(jié)合語(yǔ)義分析子引擎對(duì)APP進(jìn)行全方位的自動(dòng)化檢測(cè)，并生成檢測(cè)報(bào)告。自動(dòng)化的檢測(cè)方式主要是通過(guò)動(dòng)態(tài)沙箱提取APP隱私政策、靜態(tài)引擎提取APP權(quán)限，基于語(yǔ)義分析對(duì)隱私政策、權(quán)限進(jìn)行對(duì)比來(lái)確定APP是否存在越權(quán)、超范圍收集個(gè)人信息等問(wèn)題，通過(guò)監(jiān)測(cè)調(diào)用隱私權(quán)限頻次來(lái)確定是否存在高頻采集、頻繁索權(quán)的問(wèn)題，通過(guò)動(dòng)態(tài)沙箱的回傳數(shù)據(jù)監(jiān)控來(lái)檢測(cè)APP是否存在數(shù)據(jù)出境的情況。

（3）深度關(guān)聯(lián)分析。提供對(duì)指定搜索規(guī)則的APP進(jìn)行深度的關(guān)聯(lián)分析，對(duì)APP通聯(lián)地址歸屬地、家族名稱、開(kāi)發(fā)者、通聯(lián)地址等多個(gè)維度進(jìn)行關(guān)聯(lián)分析，通過(guò)更加精準(zhǔn)、更加細(xì)化的聚類分析，形成特征庫(kù)、家族庫(kù)，有利于后期的網(wǎng)絡(luò)安全事件溯源排查；對(duì)重點(diǎn)監(jiān)測(cè)的APP進(jìn)行沙箱養(yǎng)殖，提供長(zhǎng)時(shí)間的動(dòng)態(tài)運(yùn)行，讓APP盡可能多的展現(xiàn)出自身的行為，研究APP的傳播特點(diǎn)，運(yùn)行機(jī)理等，形成APP的文件行為、網(wǎng)絡(luò)行為，通信行為、系統(tǒng)行為的動(dòng)態(tài)監(jiān)控。

3.3 線上通報(bào)處置

建立APP線上通報(bào)處置的工作流，將極大提升處置的時(shí)效性、工作效率。平臺(tái)檢測(cè)發(fā)現(xiàn)存在網(wǎng)絡(luò)安全隱患、違法違規(guī)收集使用個(gè)人信息的APP后，生成處置工單，包括：整改要求、檢測(cè)報(bào)告、問(wèn)題清單。之后，系統(tǒng)管理員將處置工單派發(fā)給APP運(yùn)營(yíng)者，并進(jìn)行短信提醒。運(yùn)營(yíng)者登錄平臺(tái)查看整改通知，并對(duì)照問(wèn)題進(jìn)行排查，在線反饋處置報(bào)告。對(duì)APP進(jìn)行下架、恢復(fù)上架，平臺(tái)對(duì)接應(yīng)用商店派發(fā)工單，完成上架、下架處置。被下架的APP，運(yùn)營(yíng)者完成整改后，可申請(qǐng)恢復(fù)上架。

4 結(jié)束語(yǔ)

本文主要從技術(shù)、業(yè)務(wù)功能層面探索如何建設(shè)APP檢測(cè)處置平臺(tái)，形成技術(shù)檢測(cè)體系和處置流程，支撐做好APP管理工作，例如：開(kāi)展APP違法違規(guī)收集使用個(gè)人信息檢測(cè)及處置，APP惡意程序檢測(cè)及處置，APP行業(yè)分類數(shù)據(jù)統(tǒng)計(jì)，各設(shè)區(qū)市APP及運(yùn)營(yíng)者信息統(tǒng)計(jì)等。在平臺(tái)設(shè)計(jì)階段，還需要進(jìn)一步研究如何提升APP檢測(cè)的標(biāo)準(zhǔn)化和智能化，對(duì)匯聚的數(shù)據(jù)做好全生命周期管理，系統(tǒng)配套建設(shè)網(wǎng)絡(luò)安全防護(hù)措施。