基于GDPR法规下的移动应用信息安全法规研究

姜义重 许蕴盈 肖利平 郑杰峰

（1.珠海格力电器股份有限公司 珠海 519070；2.广东中创智家科学研究有限公司 广州 510663）

引言

欧盟推出的《一般数据保护法案》中文简称“GDPR”，该法案的实施目标是在欧盟共同体范围内；是构建个人信息安全相关的信息收集、资料保护规则、权利要求以及个人信息流动要求等方面的要求，GDPR法规[1]主要要求的是产品在交互过程中“云”“管”“端”“边”对信息的收集、传递、存储等环节中的对于个人信息是否有安全策略，能否达到安全的效果。GDPR法规要求的信息安全研究构简图如图1。

通过对以上信息安全的架构梳理结合法规相关的要求，可以明确知道GDPR法规的主要要求是对于在欧盟共同体范围内的成员，对于智能产品在控制的过程中，要求企业对用户的个人权利至上原则，对数据收集、存储、转发等做出了严格的管控要求；同时对违反要求的企业进行严格的惩罚。GDPR较广的适用范围将对中国企业的移动应用安全、数据收集、处理和交易产生重大影响。比如，一家中国的电子商务公司在中国境内为欧盟数据主体提供电子商务服务，收集有关个人数据，也应当遵循GDPR的相关要求[2]。

1 GDPR法规对家电产品APP信息安全的技术要求

随着信息时代的到来，人们对手机的依赖性也越来越强，通过手机端的APP进行娱乐、生活、学习，但是在应用的过程对于APP的使用者要进行相关的注册、联网、应用，在一系列的操作下，APP获取了很多用户的信息，比如位置、账户、密码、通讯录等想关信息；有些信息的获得是经过用户允许的，有些信息的获取是在用户不知情的情况下。而近年来我国智能家电产业发展迅速，智能家电的市场普及率和渗透率呈快速增长态势，越来越多的智能家电产品可以使用手机的产品APP进行日常控制。智能家电在不断收集消费者个人信息和用户习惯等为其生活带来便利的同时，也为消费者带来了隐藏的隐私安全风险。按照GDPR的法规要求，在用户不知情或未同意的情况下获取用户的相关信息是非法的，是要处于严格的惩罚措施，因此了解GDPR法规对用户的关键信息权利要求就至关重要，通过对GDPR法规要求的个人信息安全权利要求，进行针对性的方案设计，有利于法规的符合性。如图2即是对GDPR法规对个人信息安全的权利要求。

GDPR的要求不仅要满足权限[3]的要求，同时也对信息安全防范、传输的加密、通信数据的可靠性进行了甄别，避免在数据存储、交互的过程中产生信息泄露的风险，针对风险通常情况下是按照一定的风险等级进行相应的分级处理，一般情况下信息安全等级分为四级，具体划分如表1。

表1 信息安全等级划分

在漏洞的处理过程中，一般情况下要遵循以下要求：

1）无风险要求：完全接受无风险；

2）低风险要求：减少低风险数量；

3）中风险要求：尽可能的规避中风险；

4）高风险与致命风险：必须立即进行风险整改。

2 GDPR法规下智能产品移动应用安全的研究

结合以上GDPR法规对研究对象、权利要求的研究，要有一些针对性的研究方案，对存在的风险问题进行整改和规避；因GDPR法规是针对在欧盟销售的智能产品在用户信息收集过程中的权利要求，如何对相关的权利要求进行保障，通过研究标准进行梳理以下几个方面的要求，进而达到满足GDPR信息安全法规的要求。

GDPR法规权利要求中移动应用要进行哪些方面的安全评估，主要体现在以下几个方面：

基础信息要求：依据GDPR的原则中对个人数据相关的原则在基础信息方面应当具备相关APP的用途以及功能说明，并且这类说明对于用户而言是可以理解的，对于联网目的功能与描述一致，在一些“越狱”或“Root”的设备上安装时应当有相关的安全提示告知用户。

访问保护要求：应当具备安全的措施，尤其是在针对密码、用户名、安全令牌方面以及坐标、使用信息等；在安全处理和存储数据方面必须全面明确数据在处理和存储的安全的保护策略；对于应用程序编程接口（简称API）要有相关的记录同时必须使用户拥有相关的接口停用全。

数据保护要求：在声明中用户必须完整了解相关的数据保护声明，明确在运行过程中会处理那些数据用户何总目的。

数据传输保护要求:在传输过程中应当有相关加密算法、可靠的身份验证方式，明确用户端的功能与权限管理情况以及多客户端功能情况下的权限管理。

软件开发和生命周期管理要求：在移动应用的开发和生命管理周期里要对其进行工艺文件有存档、变更流程有管控、紧急程序资源配置、质量管理以及进行相应的风险评估。

针对以上五个方面的要求，进行相关测试方法的研究，对于测试过程中发现的问题按照相应的威胁程度进行相应等级的划分。

GDPR法规对于移动应用安全测试流程、方法在法规中并未明确要求，在对我们进行移动应用的检测过程中使用的方法并未限制，因此在评估移动应用安全的时候，会针对能否通过试错的方式，获取想用用户的ID（Identity card 身份信息,简称ID），进而通过相应ID进行暴力的方式去进行获得密钥，如图3所示，即是在试错的情况下获得一个用户正确的ID。

对于能够获取的用户ID，进而获取ID对应的密码等相关信息，在GDPR的法规要求中是要去有相应的访问保护要求，因此能够通过试错的方式获取用户ID是被明确禁止的行为，属于高风险与致命风险，要求必须进行相应的整改，针对这类问题的整改，主要的方案集中在限制移动应用的登录次数，增加超过次数后登录的限制时间等。

GDPR法规对于移动应用安全传输也要求采用加密的方式进行，通常情况下开发人员会忽略移动应用后端的连接加密，而对于这样的未加密会让攻击者采用某一适当定位以查看合法用户网络流量的，攻击者可以记录和监控他们与APP之间的交互并获取正在传输的敏感信息。与此同时利用此漏洞，让合法用户权益受到损失。比如当客户端通过不安全的连接（例如公共Wi-Fi）或与受感染计算机共享的公司或家庭网络与服务器通信时，通常会发生这种情况。因此采用高等级的加密手段，可以有效避免通信过程中的敏感信息泄露。

3 结论

GDPR作为欧盟推出的一部信息安全保护法，对移动应用上的各个环节用户信息收集、存储、传输都有着一定的约束要求[4]，如何能够满足GDPR的法规的符合性，成为各企业技术开发人员关注的重点。在移动应用设计之初就需要重点关注相关GDPR法规对用户个人信息安全与个人隐私保护的策略，同时在开发过程中关注GDPR法规对基础信息、访问保护、数据保护、数据传输保护、软件开发和生命周期管理的相关要求，从而能够设计一款符合GDPR法规要求的智能产品移动应用。