經濟部工業局「手機app軟體基本資安規範」(初稿)(2014 12-02)(v7)

經濟部工業局

「手機 APP 軟體基本資安規範（草案）」

（初稿第四版修訂）

委託單位：經濟部工業局

執行單位：財團法人資訊工業策進會

日期：103 年 12 月 2 日

修訂說明

版次修訂日期主要修訂內容

初稿第四

版修訂

103 年

12 月 2 日

依據 103年 11月 26日「手機 APP軟體基本資安規範」

專家座談會之專家審視意見修訂，修訂內容摘述如下：

依據政府所訂之標準用詞修訂部分術語及術語定

義：

- 修改用詞「憑證中心」為「憑證機構」、「發

佈」為「發布」、「搜集」為「蒐集」、「官

方」為「可受信賴或可追蹤來源」

- 修改定義：「行動應用程式商店」、「憑證」、

「憑證機構」、「惡意程式碼」、「付費資源」

將資訊安全技術要求項目「4.1.3.個人資料保護」

與「4.1.4.密碼處理安全」整併到「4.1.2.敏感性資

料保護」，修訂如下：

- 修改相對應原章節內容「1. 概述」、「4.1.2.1.

敏感性資料儲存」、「4.1.2.2.敏感性資料使

用」、「4.1.2.5.敏感性資料刪除」、「4.1.3.1.

付費資源使用」、「4.1.4.2. 連線管理機制」、

「表一」、「附錄二」、「附錄三」

- 刪除章節內容「4.1.3.個人資料保護」、「4.1.4.

密碼處理安全」

- 刪除前述章節內容中不再使用之術語定義「個

人資料外洩」、「許可證」

- 增加章節「敏感性資料蒐集」內容，章節項目

編號為 4.1.2.1，原 4.1.2.1~4.1.2.5 項目依序調

整

考量伺服端資訊安全，新增章節內容「4.2.伺服端

安全技術要求項目」，由業者自我宣告或切結其

伺服端資安防護與管理措施。

將「可信任來源之加密模組」修訂為「足夠安全

強度之加密演算法與適當之金鑰長度」，並修改

相對應章節內容「4.1.2.4.敏感性資料儲存」、「附

錄三」

修改章節內容「2.適用範圍」，增加說明本規範為


自願性之基本資安準則，適用於非特定領域之行

動應用程式及行動應用程式之共通性功能。

修改「4.1.1.2.行動應用程式安全更新」為「4.1.1.2.

行動應用程式更新」

修改「4.1.2.6.敏感性資料分享」內容增加說明為

單一行動裝置之不同行動應用程式間資料分享

初稿第三

版修訂

103 年

11 月 20 日


第三次工作小組會議討論意見，修訂內容如下：

新增章節內容：

「 6.參考資料」新增美國參考資料「NIST:

Cryptographic Algorithm Validation Program

（CAVP）」和「NIST: Cryptographic Module

Validation Program（CMVP）」

新增國際標準「 ISO/IEC 19790（ Information

technology - Security techniques - Security

requirements for cryptographic modules）」

修改章節內容：

「1.概述」修改「行動應用程式」與「行動應用程

式商店」說明

修改安全技術要求：「4.1.1.3.行動應用程式安全

性問題回報」、「4.1.4.2.密碼使用」、「4.1.6.2.

連線管理機制」、「4.1.7.1.防範惡意程式碼與避

免資安漏洞」、「4.1.7.2.行動應用程式完整性」

新增術語定義：「憑證中心」

修改術語定義：「敏感性資料」、「個人資料外

洩」

刪除術語定義：「圖形密碼」

初稿第二

版修訂

103 年

11 月 14 日


第二次工作小組會議討論意見，修訂內容如下：

新增安全技術要求：

「4.1.7.行動應用程式碼安全」新增「4.1.7.2.行動

應用程式碼完整性」

修改安全技術要求：「4.1.1.1.行動應用程式發


布」、「4.1.1.3.行動應用程式安全性問題回報」、

「4.1.2.4.敏感性資料分享」、「4.1.3.個人資料保

護」、「4.1.6.2.連線管理機制」、「4.1.7.1.防範

惡意程式碼與資安漏洞」

修改術語定義：「行動應用程式」、「行動應用

程式商店」、「敏感性資料」、「個人資料」、

「個人資料外洩」、「密碼」

新增術語定義：「資安漏洞」

初稿第一

版修訂

103 年

11 月 7 日

依據 103 年 11 月 4 日「手機 APP 軟體基本資安規範」

第一次工作小組會議討論意見，修訂內容如下：

修改章節內容：

「參考標準與法規」移至「參考資料」章節

「安全等級」章節修改為「安全分類」

新增安全技術要求：

｢4.1.2.敏感性資料保護」新增「4.1.2.4.敏感性資料

分享」

｢4.1.3.個人資料保護」新增「4.1.3.6 個人資料刪除」

修改安全技術要求內容：「4.1.5.1.付費資源使

用」、｢4.1.4.密碼處理安全」、｢4.1.7.行動應用程

式碼安全」

新增術語定義：「惡意程式碼」

修改術語定義：「行動應用程式」、「行動應用

程式商店」、「敏感性資料」、「個人資料」、

「個人資料外洩」、「密碼」、「函式庫」、「注

入攻擊」

刪除術語定義：「憑證中心」

i

目次

1. 概述 ...................................................................................................................... 1

2. 適用範圍 .............................................................................................................. 2

3. 術語定義 .............................................................................................................. 3

4. 技術要求 .............................................................................................................. 5

4.1. 行動應用程式資訊安全技術要求項目 ................................................... 5

4.1.1. 行動應用程式發布安全 ................................................................ 5

4.1.2. 敏感性資料保護 ............................................................................ 5

4.1.3. 付費資源控管安全 ........................................................................ 7

4.1.4. 行動應用程式使用者身分認證、授權與連線管理安全 ............ 7

4.1.5. 行動應用程式碼安全 .................................................................... 7

4.2. 伺服端安全技術要求項目 ....................................................................... 8

5. 安全分類 .............................................................................................................. 9

6. 參考資料 ............................................................................................................ 10

6.1. Open Web Application Security Project（OWASP） ............................. 10

6.2. 美國 ......................................................................................................... 10

6.3. 歐洲 ......................................................................................................... 10

6.4. 大陸 ......................................................................................................... 10

6.5. 日本 ......................................................................................................... 10

6.6. 國際標準 ................................................................................................. 10

6.7. 國內法律 ................................................................................................. 11

附錄一、工作小組成員 ......................................................................................... 12

附錄二、技術要求項目與各國規範對照表 ......................................................... 13

附錄三、技術要求項目參考檢核表 ..................................................................... 17

ii

表目次

表 1 技術要求安全分類 ......................................................................................... 9

1

1. 概述

因應國人使用行動裝置及網路資通訊 APP 軟體已成為生活中不可或缺的一部份，

各種不同應用面向之行動應用程式需求快速地增長，然而受限於時程，其開發

過程大多以功能為導向，較缺乏通盤性地安全開發考量，導致惡意程式數量隨

之快速增長，產生敏感性資料竊取、惡意程式碼執行等問題，造成使用者個人

資料外洩或財務上之損失，政府應有相對應資訊安全防護機制，來保障國人之

個人資料及財產。

經濟部工業局依據 103 年 6 月 24 日行政院國家資通安全會報第 26 次委員會議

決議，針對非手機內建之應用軟體，著手蒐集國際資安規範資訊，研議訂定「手

機 APP 軟體基本資安規範」（以下簡稱「本規範」）。本規範所稱「手機 APP 軟

體」於本文皆沿用業界通用之「行動應用程式」稱之。

經濟部工業局之業務管轄範圍，乃於協助國內產業升級，並促進國內產業經濟

發展，本規範之內容為行動應用程式基礎性資安規範，非可完全適用於不同資

訊安全等級之各級政府機關（構）業務，若有特定目的需求須加強資訊安全管

理作業，應由各級政府機關（構）業務制定該特定領域相關之資安規範，以利

維持機關業務之順利運作及保障民眾權益。

本規範旨在透過提高行動應用程式之基礎自我安全防護能力，從設計階段著手

保護隱私，最小化行動應用程式存取使用者個人資料，簡化使用者操作介面，

讓使用者較易確認行動應用程式所使用之個人資料，避免使用者權益受到損害，

並提供行動應用程式開發廠商於開發階段自主參考，提高行動應用程式之安全

能力。本規範安全技術要求，係考量適用範圍內之行動應用程式運行於未具有

管理系統權限之行動裝置，從行動應用程式發布、敏感性資料保護、付費資源

控管、行動應用程式使用者身分認證、授權與連線管理安全、行動應用程式碼

安全等五個層面提出技術要求，透過本規範要求，祈使能提升行動應用程式之

品質與安全，對使用者亦多一層保障，並促進行動應用程式產業發展，創造行

動應用程式開發者與使用者雙贏局面。

2

2. 適用範圍

本規範為提供行動應用程式相關業者之基本資安準則，屬自願性準則，各業者

可自行評估及參酌遵循；本規範適用於非特定領域1之行動應用程式，與行動應

用程式之共通性功能2。特定領域之行動應用程式，其專業功能及所需之資安規

範應由各目的事業主管機關訂定之。

1 特定領域：指歸類於某一專門領域，由特定主管機關及法律加以規範、管制，例如金融、醫療、稅務等。

2 共通性功能：指行動應用程式運作所需、具有共同性、相類似之基礎功能，例如資料儲存、傳輸保護機制或

使用者身分認證機制等。

3

3. 術語定義

行動應用程式（Mobile Application）：指一種設計給智慧型手機、平板電腦

和其他行動裝置使用之應用程式。

行動應用程式商店（Application Store）：指行動裝置使用者透過內建在裝置

中之行動應用程式商店或透過網站對應用程式、音樂、雜誌、書籍、電影、

電視節目進行瀏覽、下載或購買。

敏感性資料：指依使用者行為或行動應用程式之運作，建立或儲存於行動裝

置及其附屬儲存媒介之資訊，而該資訊之洩漏有對使用者造成損害之虞，包

括但不限於個人資料、密碼、即時通訊訊息、筆記、備忘錄、通訊錄、地理

位置、行事曆、通話紀錄及簡訊。

個人資料：係指依據「個人資料保護法」上定義之所有得以直接或間接方式

識別該個人之資料。個人資料指自然人之姓名、出生年月日、國民身分證統

一編號、護照號碼、特徵、指紋、婚姻、家庭、教育、職業、病歷、醫療、

基因、性生活、健康檢查、犯罪前科、聯絡方式、財務情況、社會活動、國

際行動設備識別碼（International Mobile Equipment Identity, IMEI）、國際行

動用戶識別碼（International Mobile Subscriber Identity, IMSI）及其他得以直

接或間接方式識別該個人之資料。

密碼（Password）：指能讓使用者完全或有限度之使用系統或取得一組資料

之識別使用者身分用之字元串。

付費資源：指透過行動應用程式內建購買功能取得之額外功能、內容及訂閱

項目。

交談識別碼（Session ID）：指在建立連線時，指派給該連線之識別碼，並做

為連線期間之唯一識別碼；當連線結束時，該識別碼可釋出並重新指派給新

之連線。

憑證（Certificate）：憑證依電子簽章法定義為載有簽章驗證資料，用以確認

簽署人身分、資格之電子形式證明；於本規範中係指由可受信賴之憑證機構、

4

政府機關或企業簽發之憑證。

憑證機構（Certificate Authority）：指簽發憑證之機關、法人。

惡意程式碼：指在未經使用者同意之情況下，侵害使用者權益，包括但不限

於任何具有惡意特徵或行為之程式碼。

資安漏洞：指行動應用程式安全方面之缺陷，使得系統或行動應用程式資料

之保密性、完整性、可用性面臨威脅。

函式庫（Library）：指將一些繁複或者牽涉到硬體層面之程式包裝成函式

（Function）或物件（Object）收集在一起，編譯成二進位碼提供程式設計

者使用。

注入攻擊（Code Injection）：指因行動應用程式設計缺陷而執行使用者所輸

入之惡意指令，包括但不限於命令注入（Command Injection）、資料隱碼攻

擊（SQL Injection）。

5

4. 技術要求

4.1. 行動應用程式資訊安全技術要求項目

本節針對不同面向之行動應用程式安全訂定技術要求，其中包括五大面向：行

動應用程式發布安全、敏感性資料保護、付費資源控管安全、行動應用程式使

用者身分認證、授權與連線管理安全及行動應用程式碼安全。

4.1.1. 行動應用程式發布安全

本面向主要規範發布行動應用程式之相關資訊安全技術要求，包含發布、更新

與問題回報等面向。

4.1.1.1. 行動應用程式發布

行動應用程式應於可受信賴或可追蹤來源之行動應用程式商店發布，且行動應

用程式應於發布時說明欲存取之敏感性資料、行動裝置資源及宣告之權限用

途。

4.1.1.2. 行動應用程式更新

行動應用程式應提供更新機制，並於有安全性更新時主動通知使用者，讓使用

者透過可受信賴或可追蹤來源之行動應用程式商店，下載更新行動應用程式。

4.1.1.3. 行動應用程式安全性問題回報

行動應用程式開發者應提供回報安全性問題之管道。

行動應用程式開發者應於適當期間內回覆問題並改善。

4.1.2. 敏感性資料保護

本面向主要規範敏感性資料與個人資料保護之相關資訊安全技術要求，包含敏

感性資料蒐集、利用、儲存、傳輸、分享與刪除等面向。

4.1.2.1. 敏感性資料蒐集

行動應用程式蒐集之資料包含可辨識個人身份之資料時，應主動通知使用者，

6

並提供使用者拒絕之權利，行動應用程式亦需記錄使用者同意存取個人資料之

行為。

4.1.2.2. 敏感性資料利用

行動應用程式應於使用敏感性資料前主動通知使用者，並提供使用者拒絕之權

利。

行動應用程式如採用密碼認證應主動提醒使用者設定較複雜之密碼。

行動應用程式應提醒使用者定期更改密碼。

4.1.2.3. 敏感性資料儲存

敏感性資料應採用足夠安全強度之加密演算法與適當之金鑰長度，進行加密處

理後再儲存。

敏感性資料應儲存於受作業系統保護之區域，使之無法任意被其他應用程式存

取，如需儲存敏感性資料於共享儲存空間，應於儲存前進行加密處理。

行動應用程式儲存敏感性資料前，應主動通知使用者並提供使用者拒絕之權利，

且儲存之敏感性資料僅限用於其使用聲明之用途。

敏感性資料不應儲存於暫存檔或紀錄檔中，亦不應出現於行動應用程式之程式

碼。

4.1.2.4. 敏感性資料傳輸

行動應用程式透過網路傳輸敏感性資料，應進行安全加密，並使用足夠安全強

度之加密演算法與適當長度之金鑰。

4.1.2.5. 敏感性資料分享（單一行動裝置）

單一行動裝置之不同行動應用程式間，分享資料如包含敏感性資料時，應主動

通知使用者並提供使用者拒絕之權利。

行動應用程式分享敏感性資料時，應確保分享資料僅授權之行動應用程式可存

7

取。

4.1.2.6. 敏感性資料刪除

行動應用程式如儲存使用者敏感性資料，應提供使用者刪除之權利。

4.1.3. 付費資源控管安全

本面向主要規範付費資源控管之相關資訊安全技術要求，包含付費資源之使用

與控管等面向。

4.1.3.1. 付費資源使用

行動應用程式應於使用付費資源前主動通知使用者，並供使用者選擇提示頻率

（每次提示或於特定時間內同意）與拒絕之權利。

4.1.3.2. 付費資源控管

行動應用程式應於使用付費資源前進行使用者認證，並記錄使用之付費資源與

時間。

4.1.4. 行動應用程式使用者身分認證、授權與連線管理安全

本面向主要規範行動應用程式於使用者身分認證、授權與連線管理之相關資訊

安全技術要求，包含使用者身分認證與授權及連線管理機制等面向。

4.1.4.1. 使用者身分認證與授權

行動應用程式應有適當之身分認證機制，以驗證使用者身分，並依使用者身分

授權。

4.1.4.2. 連線管理機制

行動應用程式不應使用具有規則性之交談識別碼。

行動應用程式應確保憑證於有效期限內，且為可受信賴之憑證機構、政府機關

或企業簽發之憑證。

4.1.5. 行動應用程式碼安全

8

本面向主要規範行動應用程式本身之相關資訊安全技術要求，包含防範惡意程

式碼與避免資安漏洞、行動應用程式完整性、函式庫引用安全與使用者輸入驗

證等面向。

4.1.5.1. 防範惡意程式碼與避免資安漏洞

行動應用程式本身不應含有惡意程式碼。

行動應用程式本身應避免資安漏洞。

4.1.5.2. 行動應用程式完整性

行動應用程式應使用足夠安全強度之完整性驗證機制確保本身之完整性。

4.1.5.3. 函式庫引用安全

行動應用程式在其引用之函式庫有更新時，應作相對應之更新，更新方式應參

考 4.1.1 行動應用程式發布安全。

4.1.5.4. 使用者輸入驗證

行動應用程式應針對使用者輸入字串，進行安全檢查並應具備注入攻擊防護機

制。

4.2. 伺服端安全技術要求項目

（內容待增訂）

考量行動應用程式運作整體安全，亦須考量伺服端資訊安全，故行動應用程式

涉及伺服端之資訊安全需求，將納入本規範後續階段之編修。本規範為以行動

應用程式之基礎資安規範為主要範疇，如行動應用程式涉及伺服端之資訊安全

需求，由業者自我宣告或切結其伺服端資安防護與管理措施，或對於其伺服端

服務之資安防護與管理，提出第三方檢驗證通過證明。

9

5. 安全分類

不同應用類別之行動應用程式對於安全性有不同之要求，本章節針對不同類型

行動應用程式之安全要求進行劃分，共分為三類，分別為：

第一類、僅純功能性

第二類、具認證功能、具連網行為

第三類、具交易功能（包含認證、連網行為）

安全分類針對每一類，定義須符合技術要求項目之最小集合，意即行動應用程

式需符合其所屬分類中之所有安全技術要求。各分類安全要求項目詳如表 1。

表1 技術要求安全分類

編

號技術要求

安全分類

一二三

1 4.1.1.1.行動應用程式發布 V V V

2 4.1.1.2.行動應用程式更新 V V V

3 4.1.1.3.行動應用程式安全性問題回報 V V V

4 4.1.2.1.敏感性資料蒐集 V V V

5 4.1.2.2.敏感性資料利用 V V V

6 4.1.2.3.敏感性資料儲存 V V V

7 4.1.2.4.敏感性資料傳輸 V V

8 4.1.2.5.敏感性資料分享（單一行動裝置） V V V

9 4.1.2.6.敏感性資料刪除 V V V

10 4.1.3.1.付費資源使用 V

11 4.1.3.2.付費資源控管 V

12 4.1.4.1.使用者身分認證與授權 V V

13 4.1.4.2.連線管理機制 V V

14 4.1.5.1.防範惡意程式碼與避免資安漏洞 V V V

15 4.1.5.2.行動應用程式完整性 V

16 4.1.5.3.函式庫引用安全 V V V

17 4.1.5.4.使用者輸入驗證 V V V

10

6. 參考資料

6.1. Open Web Application Security Project（OWASP）

OWASP: Top 10 Mobile Risks

6.2. 美國

NIST: Technical Considerations for Vetting 3rd Party Mobile Applications（Draft）

NIST: Cryptographic Algorithm Validation Program（CAVP）

NIST: Cryptographic Module Validation Program（CMVP）

Federal CIO Council: Government Mobile and Wireless Security Baseline

6.3. 歐洲

ENISA: Smartphone Secure Development Guidelines for App Developers

6.4. 大陸

YD/T 2407-2013 移動智慧終端安全能力技術要求

YD/T 2408-2013 移動智慧移終端安全能力測試方法

6.5. 日本

JSSEC: Security Guideline for using Smartphones and Tablets

6.6. 國際標準

ISO/IEC 27001（Information security management）

ISO/IEC 20000（Information technology - Service management）

ISO/IEC 19790（Information technology - Security techniques - Security

requirements for cryptographic modules）

ISO/IEC 15408（Information technology - Security techniques - Evaluation

11

criteria for IT security）

ISO/IEC 14598（Information technology - Software product evaluation）

ISO/IEC 9126（Software engineering - Product quality）

6.7. 國內法律

個人資料保護法（民國 99 年 05 月 26 日）

電子簽章法（民國 90 年 11 月 14 日）

12

附錄一、工作小組成員

外部專家（依姓氏筆畫排列）

姓名職稱單位名稱

林家弘協理香港商漢德技術監督服務亞太有限公

司台灣分公司

林家樑顧問安華聯網科技股份有限公司

洪偉淦（法人代表）總經理趨勢科技股份有限公司

翁浩正執行長戴夫寇爾股份有限公司

高義智組長國立交通大學資訊技術服務中心

陳麒元助理教授國立宜蘭大學資訊工程學系

內部專家

姓名職稱單位名稱

吳兆琰主任資訊工業策進會策會科技法律研究所

陳志宇研究員資訊工業策進會策會科技法律研究所

莊晏詞研究員資訊工業策進會策會科技法律研究所

洪光鈞專案顧問資訊工業策進會策會資安科技研究所

陳培德組長資訊工業策進會策會資安科技研究所

林志鴻組長資訊工業策進會策會資安科技研究所

張凱綦經理資訊工業策進會策會資安科技研究所

吳東杰副工程師資訊工業策進會策會資安科技研究所

許志毓副工程師資訊工業策進會策會資安科技研究所

13

附錄二、技術要求項目與各國規範對照表

技術要求 OWASP 對應項目美國 NIST[註 1] 歐洲 ENISA[註 2] 大陸 YD/T

2407-2013[註 3]

4.1.1.1.行動應用程式

發布

N/A Executive Summary 9. Ensure secure

distribution/provisioning

of mobile applications

5.5.2 應用軟件安全認

證機制要求


更新




5.5.4 預置應用軟件安

全要求


安全性問題回報





全要求

4.1.2.1.敏感性資料蒐

集

N/A 4. Mobile App

Evaluation - Privacy

and Personally

Identifiable

Information

7. Pay specific attention

to the collection and

storage of consent for

the collection and use of

user’s data


全要求

4.1.2.2.敏感性資料利

用

N/A 4. Mobile App


and Personally

Identifiable

Information

7. Pay specific attention

to the collection and

storage of consent for

the collection and use of

user’s data


全要求

5.6.2 文件類用戶數據

的授權訪問

14


2407-2013[註 3]

4.1.2.3.敏感性資料儲

存

M2: Insecure Data

Storage

M4: Unintended Data

Leakage

M6: Broken

Cryptography

4. Mobile App

Evaluation - Protect

Sensitive Data

1. Identify and protect

sensitive data on the

mobile device

5.6.3 用戶數據的加密

存儲

4.1.2.4.敏感性資料傳

輸

M3: Insufficient

Transport Layer

Protection

4. Mobile App

Evaluation - Protect

Sensitive Data

3. Ensure sensitive data

is protected in transit


全要求


的授權訪問

4.1.2.5.敏感性資料分

享（單一行動裝置）

M5: Poor Authorization

and Authentication

4. Mobile App

Evaluation - Preserve

Privacy

4. Implement user

authentication and

authorization and

session management

correctly


的授權訪問

4.1.2.6.敏感性資料刪

除

N/A N/A 1. Identify and protect

sensitive data on the

mobile device

5.6.4 用戶數據的徹底

刪除

4.1.3.1.付費資源使用 N/A N/A 8. Implement controls to

prevent unauthorised

access to paid-for

resources


全要求

15


2407-2013[註 3]

4.1.3.2.付費資源控管 M5: Poor Authorization

and Authentication

N/A 8. Implement controls to

prevent unauthorised

access to paid-for

resources


全要求

4.1.4.1.使用者身分認

證與授權

M5: Poor Authorization

and Authentication

4. Mobile App


and Personally

Identifiable

Information

4. Implement user

authentication and

authorization and

session management

correctly


的授權訪問

4.1.4.2.連線管理機制 M9: Improper Session

Handling

4. Mobile App

Evaluation – Network

Events

4. Implement user

authentication and

authorization and

session management

correctly


全要求

4.1.5.1.防範惡意程式

碼與資安漏洞

M7: Client Side

Injection

M8: Security Decisions

Via Untrusted Inputs

4. Mobile App

Evaluation:

Malicious Functionality

Malware Detection

Communication with

Known Disreputable

Sites

Libraries Loaded

6. Secure data

integration with third

party services and

applications

10. Carefully check

any runtime

interpretation of code

for errors


全要求

4.1.5.2.行動應用程式 M10: Lack of Binary 4. Mobile App N/A 5.5.4 預置應用軟件安

16


2407-2013[註 3]

完整性 Protections Evaluation – Classes

Loaded

全要求

4.1.5.3.函式庫引用安

全

M7: Client Side

Injection



4. Mobile App

Evaluation:

Native Methods

Libraries Loaded

6. Secure data

integration with third

party services and

applications


全要求

4.1.5.4.使用者輸入驗

證

M7: Client Side

Injection



4. Mobile App

Evaluation – Input

Validation

10. Carefully check any

runtime interpretation of

code for errors


全要求

[註 1] NIST: Technical Considerations for Vetting 3rd Party Mobile Applications（Draft）

[註 2] ENISA: Smartphone Secure Development Guidelines for App Developers

[註 3] YD/T 2407-2013 移動智慧終端機安全能力技術要求

17

附錄三、技術要求項目參考檢核表

項次序號技術要求

4.1.1.1.行動應用程式發布 1 行動應用程式應於可受信賴或可追蹤來源之行動應用程式商店發

布，且行動應用程式應於發布時說明欲存取之敏感性資料、行動裝置

資源及宣告之權限用途。

4.1.1.2.行動應用程式更新 2 行動應用程式應提供更新機制，並於有安全性更新時主動通知使用

者，讓使用者透過可受信賴或可追蹤來源之行動應用程式商店，下載

更新行動應用程式。

4.1.1.3.行動應用程式安全性問題回報 3 行動應用程式開發者應提供回報安全性問題之管道。

4 行動應用程式開發者應於適當期間內回覆問題並改善。

4.1.2.1.敏感性資料蒐集 5 行動應用程式蒐集之資料包含可辨識個人身份之資料時，應主動通知

使用者，並提供使用者拒絕之權利，行動應用程式亦需記錄使用者同

意存取個人資料之行為。

4.1.2.2.敏感性資料利用 6 行動應用程式應於使用敏感性資料前主動通知使用者，並提供使用者

拒絕之權利。

7 行動應用程式如採用密碼認證應主動提醒使用者設定較複雜之密碼。

8 行動應用程式應提醒使用者定期更改密碼。

4.1.2.3.敏感性資料儲存 9 敏感性資料應採用足夠安全強度之加密演算法與適當之金鑰長度，進

行加密處理後再儲存。

10 敏感性資料應儲存於受作業系統保護之區域，使之無法任意被其他應

用程式存取，如需儲存敏感性資料於共享儲存空間，應於儲存前進行

18


加密處理。

11 行動應用程式儲存敏感性資料前，應主動通知使用者並提供使用者拒

絕之權利，且儲存之敏感性資料僅限用於其使用聲明之用途。

12 敏感性資料不應儲存於暫存檔或紀錄檔中，亦不應出現於行動應用程

式之程式碼。

4.1.2.4.敏感性資料傳輸 13 行動應用程式透過網路傳輸敏感性資料，應進行安全加密，並使用足

夠安全強度之加密演算法與適當長度之金鑰。

4.1.2.5.敏感性資料分享（單一行動裝

置）

14 單一行動裝置之不同行動應用程式間，分享資料如包含敏感性資料

時，應主動通知使用者並提供使用者拒絕之權利。

15 行動應用程式分享敏感性資料時，應確保分享資料僅授權之行動應用

程式可存取。

4.1.2.6.敏感性資料刪除 16 行動應用程式如儲存使用者敏感性資料，應提供使用者刪除之權利。

4.1.3.1.付費資源使用 17 行動應用程式應於使用付費資源前主動通知使用者，並供使用者選擇

提示頻率（每次提示或於特定時間內同意）與拒絕之權利。

4.1.3.2.付費資源控管 18 行動應用程式應於使用付費資源前進行使用者認證，並記錄使用之付

費資源與時間。

4.1.4.1.使用者身分認證與授權 19 行動應用程式應有適當之身分認證機制，以驗證使用者身分，並依使

用者身分授權。

4.1.4.2.連線管理機制 20 行動應用程式不應使用具有規則性之交談識別碼。

21 行動應用程式應確保憑證於有效期限內，且為可受信賴之憑證機構、

政府機關或企業簽發之憑證。

19


4.1.5.1.防範惡意程式碼與避免資安漏

洞

22 行動應用程式本身不應含有惡意程式碼。

23 行動應用程式本身應避免資安漏洞。

4.1.5.2.行動應用程式完整性 24 行動應用程式應使用足夠安全強度之完整性驗證機制確保本身之完

整性。

4.1.5.3.函式庫引用安全 25 行動應用程式在其引用之函式庫有更新時，應作相對應之更新，更新

方式應參考 4.1.1 行動應用程式發布安全。

4.1.5.4.使用者輸入驗證 26 行動應用程式應針對使用者輸入字串，進行安全檢查並應具備注入攻

擊防護機制。

經濟部工業局「手機app軟體基本資安規範」(初稿)(2014 12-02)(v7)

Law