韋芹余

江蘇省通信管理局

0 引言

APP（應(yīng)用程序，Application的縮寫）是指安裝在手機等智能終端上的應(yīng)用程序的代名詞。根據(jù)第47次《中國互聯(lián)網(wǎng)絡(luò)發(fā)展?fàn)顩r統(tǒng)計報告》，截至2020年12月，全國監(jiān)測到的APP數(shù)量為345萬款。APP作為移動終端重要內(nèi)容的載體，為互聯(lián)網(wǎng)用戶生活、工作、學(xué)習(xí)、社交提供豐富的使用體驗，在促進(jìn)經(jīng)濟(jì)社會發(fā)展、服務(wù)民生等方面發(fā)揮了不可替代的作用?；ヂ?lián)網(wǎng)用戶安裝使用APP主要的下載渠道是通過應(yīng)用商店，其他一些下載渠道還包括官方網(wǎng)站、二維碼、網(wǎng)盤、廣告推廣等方式。APP本身存在網(wǎng)絡(luò)安全隱患，例如遠(yuǎn)程命令執(zhí)行、數(shù)據(jù)未加密存儲、明文傳輸?shù)?，將?dǎo)致用戶數(shù)據(jù)泄露、財產(chǎn)損失。在個人信息保護(hù)方面，APP違法違規(guī)收集使用個人信息的問題十分突出。

目前APP行業(yè)存在一些亂象亟需規(guī)范管理：APP為了增大分發(fā)量，會盡可能多的在不同應(yīng)用商店上架，一些小的應(yīng)用商店為增加樣本數(shù)據(jù)，未經(jīng)開發(fā)者授權(quán)就轉(zhuǎn)發(fā)APP為用戶提供下載，導(dǎo)致同一款A(yù)PP多個版本并存，版本管理混亂；APP開發(fā)者受限于技術(shù)水平或缺乏網(wǎng)絡(luò)安全防護(hù)意識，程序未做代碼審計和風(fēng)險評估，存在網(wǎng)絡(luò)安全隱患即投向市場；有些APP未做加固或只做了簡單加固，程序容易被逆向破解，導(dǎo)致被抄襲模仿與山寨；APP強制授權(quán)、過度索權(quán)、超范圍收集個人信息的現(xiàn)象也普遍存在。

1 建設(shè)目標(biāo)

2019年1月份，國家多部門聯(lián)合開展APP違法違規(guī)收集使用個人信息專項治理，拉開了APP行業(yè)亂象治理的序幕。研究建設(shè)移動互聯(lián)網(wǎng)應(yīng)用程序（APP）檢測處置平臺，提升信息化監(jiān)管水平，以技術(shù)管技術(shù)，檢測通報APP網(wǎng)絡(luò)安全隱患，支撐管理部門打擊APP違法違規(guī)收集使用個人信息的行為，保護(hù)公民個人信息安全，強化企業(yè)合規(guī)經(jīng)營、守法經(jīng)營意識。

移動互聯(lián)網(wǎng)應(yīng)用程序（APP）檢測處置平臺要建設(shè)基于工作流技術(shù)的任務(wù)管理平臺，將信息匯聚、技術(shù)檢測、通報處置等各項工作定制成規(guī)范的業(yè)務(wù)流程，各流程可溯源、進(jìn)度可查看、證據(jù)可存檔，簡化人工操作，提高工作效率。平臺整合APP運營者、應(yīng)用商店、網(wǎng)絡(luò)安全廠商、第三方檢測機構(gòu)等多方資源，建成省級APP資源庫，聚類分析APP信息，引入APP自動化檢測引擎和沙箱分析模型，對APP進(jìn)行自動化、標(biāo)準(zhǔn)化、批量化的檢測，形成線上通報處置的工作機制。

2 系統(tǒng)架構(gòu)

2.1 平臺總體架構(gòu)

規(guī)劃建設(shè)APP檢測處置平臺，應(yīng)充分考慮系統(tǒng)可擴(kuò)展性，各模塊之間充分解耦，根據(jù)現(xiàn)有資源和條件，實現(xiàn)按需進(jìn)行模塊封裝?？傮w架構(gòu)可分為數(shù)據(jù)采集匯入、數(shù)據(jù)存儲資源庫、檢測分析引擎、在線處置等模塊，整體架構(gòu)如圖1所示，各層功能說明如下：

圖1 APP檢測處置平臺整體架構(gòu)

數(shù)據(jù)采集匯入：通過多種渠道采集、收集APP臺賬信息，可包括應(yīng)用商店報送在架的APP信息；APP運營者登記報備APP信息；通過網(wǎng)絡(luò)爬蟲技術(shù)收集APP信息；在項目建設(shè)過程中，可引入第三方廠家的分析數(shù)據(jù)。

數(shù)據(jù)存儲資源庫：建成APP信息、運營者信息、應(yīng)用商店信息、APP文件庫，還包括檢測報告、安全隱患、違規(guī)問題清單等數(shù)據(jù)。

檢測分析：平臺建立自動化檢測流水線，對新入庫的APP進(jìn)行網(wǎng)絡(luò)安全檢測、違法違規(guī)收集使用個人信息檢測，支持第三方機構(gòu)導(dǎo)入人工檢測報告。

在線處置：建立APP通報處置電子化、處置流程可視化的工作流，形成通報、在線反饋、復(fù)測、審核的閉環(huán)管理。

2.2 系統(tǒng)角色及功能權(quán)限

平臺分為管理員、APP運營者、應(yīng)用商店、第三方機構(gòu)4種角色，每種角色在平臺里的功能權(quán)限如圖2所示。

圖2 系統(tǒng)角色及功能權(quán)限

3 核心功能

3.1 建立省級APP資源庫

目前累計發(fā)現(xiàn)江蘇省內(nèi)共有15.6萬款A(yù)PP，按照版本去重后共有2.1萬款，涉及運營單位6900余家。按照屬地管理原則開展APP治理，可通過多種渠道，不斷更新、擴(kuò)充省內(nèi)APP臺賬信息，建立省級APP資源庫，優(yōu)化APP數(shù)據(jù)臺賬更新機制，一方面結(jié)合增值電信企業(yè)名單、已有運營者名單，進(jìn)行新版本APP、新增APP數(shù)據(jù)的精準(zhǔn)爬??；另一方面聯(lián)系對接應(yīng)用商店、第三方廠家，匯入APP數(shù)據(jù)。

探索開展APP登記報備，通過建立APP線上報備系統(tǒng)，鼓勵省內(nèi)APP開發(fā)運營者自主報送APP。平臺支持用戶注冊，填報企業(yè)信息、聯(lián)系人信息、APP信息，并上傳程序文件。平臺自動化解析出上傳程序文件的應(yīng)用名稱、版本號、包名、MD5、個人隱私權(quán)限申請等信息。在平臺登記的企業(yè)信息、聯(lián)系人信息，后續(xù)可以用于開展線上的通報處置。

3.2 自動化技術(shù)檢測

（1）網(wǎng)絡(luò)安全檢測。按照《網(wǎng)絡(luò)安全法》規(guī)定，APP運營者作為網(wǎng)絡(luò)服務(wù)的提供者，應(yīng)當(dāng)落實網(wǎng)絡(luò)安全主體責(zé)任。根據(jù)《移動互聯(lián)網(wǎng)惡意程序描述格式》、《移動應(yīng)用軟件安全評估方法》，平臺部署自動化分析引擎，從程序代碼安全、組件安全、通信安全、數(shù)據(jù)存儲安全、內(nèi)部數(shù)據(jù)交互安全、業(yè)務(wù)交互安全、安全策略和漏洞檢測八個方面對APP是否存在惡意行為、網(wǎng)絡(luò)安全隱患等方面進(jìn)行檢測和評估，評判是否符合移動互聯(lián)網(wǎng)應(yīng)用程序（APP）網(wǎng)絡(luò)安全相關(guān)標(biāo)準(zhǔn)要求，生成網(wǎng)絡(luò)安全檢測報告。

（2）收集使用個人信息檢測。APP違法違規(guī)收集使用個人信息檢測主要是依據(jù)《APP違法違規(guī)收集使用個人信息行為認(rèn)定方法》、《常見類型移動互聯(lián)網(wǎng)應(yīng)用程序必要個人信息范圍規(guī)定》、《信息安全技術(shù) 個人信息安全規(guī)范》，平臺通過動態(tài)沙箱、靜態(tài)引擎結(jié)合語義分析子引擎對APP進(jìn)行全方位的自動化檢測，并生成檢測報告。自動化的檢測方式主要是通過動態(tài)沙箱提取APP隱私政策、靜態(tài)引擎提取APP權(quán)限，基于語義分析對隱私政策、權(quán)限進(jìn)行對比來確定APP是否存在越權(quán)、超范圍收集個人信息等問題，通過監(jiān)測調(diào)用隱私權(quán)限頻次來確定是否存在高頻采集、頻繁索權(quán)的問題，通過動態(tài)沙箱的回傳數(shù)據(jù)監(jiān)控來檢測APP是否存在數(shù)據(jù)出境的情況。

（3）深度關(guān)聯(lián)分析。提供對指定搜索規(guī)則的APP進(jìn)行深度的關(guān)聯(lián)分析，對APP通聯(lián)地址歸屬地、家族名稱、開發(fā)者、通聯(lián)地址等多個維度進(jìn)行關(guān)聯(lián)分析，通過更加精準(zhǔn)、更加細(xì)化的聚類分析，形成特征庫、家族庫，有利于后期的網(wǎng)絡(luò)安全事件溯源排查；對重點監(jiān)測的APP進(jìn)行沙箱養(yǎng)殖，提供長時間的動態(tài)運行，讓APP盡可能多的展現(xiàn)出自身的行為，研究APP的傳播特點，運行機理等，形成APP的文件行為、網(wǎng)絡(luò)行為，通信行為、系統(tǒng)行為的動態(tài)監(jiān)控。

3.3 線上通報處置

建立APP線上通報處置的工作流，將極大提升處置的時效性、工作效率。平臺檢測發(fā)現(xiàn)存在網(wǎng)絡(luò)安全隱患、違法違規(guī)收集使用個人信息的APP后，生成處置工單，包括：整改要求、檢測報告、問題清單。之后，系統(tǒng)管理員將處置工單派發(fā)給APP運營者，并進(jìn)行短信提醒。運營者登錄平臺查看整改通知，并對照問題進(jìn)行排查，在線反饋處置報告。對APP進(jìn)行下架、恢復(fù)上架，平臺對接應(yīng)用商店派發(fā)工單，完成上架、下架處置。被下架的APP，運營者完成整改后，可申請恢復(fù)上架。

4 結(jié)束語

本文主要從技術(shù)、業(yè)務(wù)功能層面探索如何建設(shè)APP檢測處置平臺，形成技術(shù)檢測體系和處置流程，支撐做好APP管理工作，例如：開展APP違法違規(guī)收集使用個人信息檢測及處置，APP惡意程序檢測及處置，APP行業(yè)分類數(shù)據(jù)統(tǒng)計，各設(shè)區(qū)市APP及運營者信息統(tǒng)計等。在平臺設(shè)計階段，還需要進(jìn)一步研究如何提升APP檢測的標(biāo)準(zhǔn)化和智能化，對匯聚的數(shù)據(jù)做好全生命周期管理，系統(tǒng)配套建設(shè)網(wǎng)絡(luò)安全防護(hù)措施。