JR∕T 0231—2021 银行业第三方软件开发工具包(SDK)安全接入指南(金融).pdf
《JR∕T 0231—2021 银行业第三方软件开发工具包(SDK)安全接入指南(金融).pdf》由会员分享,可在线阅读,更多相关《JR∕T 0231—2021 银行业第三方软件开发工具包(SDK)安全接入指南(金融).pdf(16页珍藏版)》请在咨信网上搜索。
1、附件 8ICS 35.240.40CCS A 11JR中 华 人 民 共 和 国 金 融 行 业 标 准JR/T 02312021银行第三方软件开发工具包(SDK)安全接入指南Guidelines for security access of importing third party softwaredevelopment kit in bank2021 - 07 - 22 发布2021 - 07 - 22 实施中国人民银行发 布JR/T 02312021I目次前言.II引言.III1范围.12规范性引用文件.13术语和定义.14缩略语.25工具包分类.26总体原则.36.1信息保护.36.
2、2信息透明.36.3无主观恶意.46.4全周期管理.47第三方工具包设计安全.47.1资源控制.47.2身份认证.47.3访问控制.57.4数据安全.57.5软件容错.57.6攻击防护.67.7安全审计.67.8个人信息收集.67.9第三方工具包交付.7附录 A (资料性)第三方工具包恶意行为. 8附录 B (资料性)银行集成第三方软件开发工具包的安全指南.10参考文献.12JR/T 02312021II前言本文件按照GB/T 1.12020标准化工作导则第1部分:标准化文件的结构和起草规则的规定起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本文件由中国银行业
3、协会提出。本文件由全国金融标准化技术委员会(SAC/TC 180)归口。本文件起草单位:中国银行业协会、中国工商银行股份有限公司、中国农业银行股份有限公司、中国银行股份有限公司、兴业银行股份有限公司、北京银联金卡科技有限公司、北京梆梆安全科技有限公司、北京奇虎科技有限公司、网神信息技术(北京)股份有限公司。本文件主要起草人:潘光伟、张芳、高峰、李宽、王阳、敦宏程、苏建明、刘涌、叶红、蒋家堂、孟宪哲、金驰、戴心齐、马强、牟天宇、李亚敏、赵成刚、陈嘉、胡江海、谢振哲、高强裔、贝松涛、郭显杰、林宝晶。JR/T 02312021III引言随着银行网上应用功能的日益丰富,软件开发工具包(SDK,soft
4、ware development kit)越来越多地集成到了银行网络金融应用当中, 在支持方便快捷开发的同时, 也在金融信息安全等方面带来了一些隐患和问题。银行应用系统中集成第三方软件开发工具包关系金融信息系统的稳定可靠, 不安全的第三方软件开发工具包引入银行应用系统可能带来用户信息泄露、 资产窃取等风险, 需要对银行引进第三方软件开发工具包的过程进行约束, 规范第三方软件开发工具包引进的安全性, 促进第三方软件开发工具包在银行各类应用中集成的安全、健康发展。JR/T 023120211银行第三方软件开发工具包(SDK)安全接入指南1范围本文件提供了第三方软件开发工具包(以下简称第三方工具包)
5、引入的总体原则、工具包分类以及安全技术指南。本文件适用于银行引入第三方软件开发工具包的安全技术参考, 也供保险、 证券等其他金融行业参考。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。 其中, 注日期的引用文件,仅该日期对应的版本适用于本文件;不注日期的引用文件,其最新版本(包括所有的修改单)适用于本文件。GB/T 352732020信息安全技术个人信息安全规范GB/T 363282018信息技术软件资产管理标识规范JR/T 00682020网上银行系统信息安全通用规范JR/T 01712020个人金融信息保护技术规范3术语和定义JR/T 00682020和J
6、R/T 01712020界定的以及下列术语和定义适用于本文件。3.1软件开发工具包software development kit; SDK基于特定软件包、软件框架、硬件平台、操作系统等建立应用软件时所使用的软件开发工具集合。3.2宿主应用host application引用工具包的应用。3.3支付敏感信息payment sensitive information影响网上银行安全的密码、密钥以及交易敏感数据。注:密码包括转账密码、查询密码、登录密码、证书的PIN等,密钥包括但不限于用于确保通讯安全、报文完整性等的对称密钥、私钥等,交易敏感数据包括但不限于完整磁道信息、有效期、CVN、CVN2。
7、来源:JR/T 00682020,3.4JR/T 0231202123.4个人金融信息personal financial information金融机构通过提供金融产品和服务或其他渠道获取、加工和保存的个人信息。注:包括账户信息、鉴别信息、金融交易信息、个人身份信息、财产信息、借贷信息及其他反应特定个人某些情况的信息。来源:JR/T 01712020,3.24缩略语下列缩略语适用于本文件。CVN:安全验证码(Card Verification Number)CVN2:安全验证码2(Card Verification Number 2)DNS:域名服务器(Domain Name System)
8、PIN:个人识别密码(Personal Identification Number)SSL:加密套接字协议层(Secure Socket Layer)TLS:安全传输层协议(Transport Layer Security)UI:用户界面(User Interface)WAP:无线应用协议(Wireless Application Protocol)5工具包分类第三方工具包按照集成、工作方式,可分为以下类型:a)无交互类 SDK:SDK 完全嵌入到宿主应用中,SDK 服务的对象为银行应用的用户,SDK 不主动与第三方服务端交互, 当 SDK 需要获取信息时, 由宿主应用经由银行服务端向第三方服
9、务端发起信息获取请求,第三方服务端反馈无差别的数据,框架见图 1。图 1无交互类 SDK 框架示意图b)推送类 SDK:SDK 由嵌入到宿主应用部分和第三方服务端部分组成,SDK 服务的对象为宿主应用(银行应用)的用户,SDK 需要主动与第三方服务端进行通信,SDK 仅向第三方服务端发送简单参数信息(不包括能够定位到个体的个人金融信息或支付敏感信息),第三方服务端根据参数向 SDK 推送数据,框架见图 2。图 2推送类 SDK 框架示意JR/T 023120213c)交互服务类 SDK:SDK 由嵌入到宿主应用部分和后台服务器部分组成,SDK 服务对象为宿主应用(银行应用)的用户和第三方应用的
10、用户,工具包需要主动与后台服务器进行通信,工具包将用户输入信息反馈至后台服务器,通过交互实现功能,框架见图 3。图 3交互服务类 SDK 框架示意SDK的安全设计宜符合JR/T 00682020的规定,同时对于不同类型的SDK,其安全接入存在差异的,在第7章中,将根据工具包类型给出差异化的安全规定。6总体原则6.1信息保护第三方工具包在宿主应用中进行信息处理时在遵守GB/T 352732020中第6章规定的基础上,宜遵循以下原则:a)处理个人金融信息或支付敏感信息具有特定、明确、合理的目的,不扩大使用范围,在未声明情况下不改变处理敏感信息的目的。b)处理个人金融信息或支付敏感信息前,对敏感信息
11、的获取目的、获取内容、使用范围、采用的防护措施等进行说明和告知。c)只处理与处理目的有关的最少信息,达到处理目的后,删除敏感信息。d)明确个人金融信息或支付敏感信息处理过程中的责任,采取相应的措施落实相关责任,并对敏感信息处理过程进行记录以便追溯。e)不超出授权范围获取交易数据、客户及客户端信息等内容。f)未经授权情况下,不向非相关方提供宿主应用接口、交易数据、客户及客户端信息等内容。6.2信息透明第三方工具包的信息声明宜符合GB/T 363282018的规定。对于不符合的,宜提供以下信息:a)工具包名称及散列值。b)自身版本信息及兼容的宿主应用版本信息。注:此处的宿主应用版本信息指银行移动应
12、用版本信息。c)实现功能所需要的权限以及权限的使用条件。d)实现功能所需接触的敏感信息种类、操作类型、使用条件。e)引用的其他方组件信息。JR/T 023120214f)是否具有动态代码加载功能。g)工具包功能,包括但不限于推送、分享、计算、资源等。h)工具包集成、工作方式。6.3无主观恶意第三方工具包不宜实现所声明功能以外的其他功能,不宜包含以下主观恶意行为:a)恶意扣费行为。b)隐私窃取行为。c)远程控制行为。d)恶意传播行为。e)资费消耗行为。f)系统破坏行为。g)诱骗欺诈行为。h)流氓行为。各类主观恶意行为具体界定方式见附录A。6.4全周期管理对第三方工具包的管理采取全周期管理原则,对
13、合作方的接入前审核、引入中监控、退出时审计追溯等进行全周期管理。涉及第三方嵌入或接入的工具包,开展技术检测确保其个人信息收集、使用行为符合约定, 并对收集个人金融信息或支付敏感信息的行为进行审计, 发现超出约定的行为及时切断接入。本文件正文部分给出了工具包的安全设计条件, 可作为银行接入阶段的安全审核规范。 银行在集成第三方工具包时的安全审核和运维条件见附录B。7第三方工具包设计安全7.1资源控制不同类型的第三方工具包对宿主资源的调用宜满足表1的要求。表 1资源控制安全设计安全设计无交互类推送类交互类不突破宿主应用限制并更改相关内容。是是是提供服务优先级设定功能,能够配合宿主应用实现根据优先级
14、分配系统资源。是是是限制与外部数据源的最大会话连接数、单位时间会话建立数。否是是对软件开发工具包权限申请进行控制,采取最小授权原则,涉及用户个人信息处理的权限,单独向用户明示、申请。否否是对授权策略进行登记,并对软件开发工具包的敏感信息操作情况进行记录。否否是7.2身份认证不同类型的第三方工具包嵌入宿主部分与后台服务器部分间通信宜满足表2的要求。表 2身份认证安全设计JR/T 023120215安全设计无交互类推送类交互类工具包不与后台服务器通信,需要进行数据更新时,通过宿主应用获取更新数据。是否否工具包嵌入宿主部分对后台服务器部分进行身份认证。否是是工具包嵌入宿主部分与后台服务器部分间的身份
15、认证宜采用数字签名技术。否是是选取的身份认证、数字签名技术,符合 JR/T 00682020 中 6.2.2 的规定。否是是7.3访问控制不同类型的第三方工具包对宿主敏感信息取用以及工具包与后台服务器间交互宜满足表3的要求。表 3访问控制安全设计安全设计无交互类推送类交互类对工具包权限申请进行控制,采取最小授权原则。是是是工具包嵌入宿主部分仅能接收限定的后台服务器推送的数据,宜通过宿主应用与后台服务器进行通信。否是否工具包嵌入宿主部分仅能与限定的后台服务器进行数据交互,采用固定互联网协议地址、域名、白名单等方式,防止 DNS 欺骗、流量劫持等攻击。否否是工具包后台服务器在非授权情况下不主动唤醒
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- JRT 02312021 银行业第三方软件开发工具包SDK安全接入指南金融 JR 0231 2021 银行业 第三 软件 开发 工具包 SDK 安全 接入 指南 金融
1、咨信平台为文档C2C交易模式,即用户上传的文档直接被用户下载,收益归上传人(含作者)所有;本站仅是提供信息存储空间和展示预览,仅对用户上传内容的表现方式做保护处理,对上载内容不做任何修改或编辑。所展示的作品文档包括内容和图片全部来源于网络用户和作者上传投稿,我们不确定上传用户享有完全著作权,根据《信息网络传播权保护条例》,如果侵犯了您的版权、权益或隐私,请联系我们,核实后会尽快下架及时删除,并可随时和客服了解处理情况,尊重保护知识产权我们共同努力。
2、文档的总页数、文档格式和文档大小以系统显示为准(内容中显示的页数不一定正确),网站客服只以系统显示的页数、文件格式、文档大小作为仲裁依据,平台无法对文档的真实性、完整性、权威性、准确性、专业性及其观点立场做任何保证或承诺,下载前须认真查看,确认无误后再购买,务必慎重购买;若有违法违纪将进行移交司法处理,若涉侵权平台将进行基本处罚并下架。
3、本站所有内容均由用户上传,付费前请自行鉴别,如您付费,意味着您已接受本站规则且自行承担风险,本站不进行额外附加服务,虚拟产品一经售出概不退款(未进行购买下载可退充值款),文档一经付费(服务费)、不意味着购买了该文档的版权,仅供个人/单位学习、研究之用,不得用于商业用途,未经授权,严禁复制、发行、汇编、翻译或者网络传播等,侵权必究。
4、如你看到网页展示的文档有www.zixin.com.cn水印,是因预览和防盗链等技术需要对页面进行转换压缩成图而已,我们并不对上传的文档进行任何编辑或修改,文档下载后都不会有水印标识(原文档上传前个别存留的除外),下载后原文更清晰;试题试卷类文档,如果标题没有明确说明有答案则都视为没有答案,请知晓;PPT和DOC文档可被视为“模板”,允许上传人保留章节、目录结构的情况下删减部份的内容;PDF文档不管是原文档转换或图片扫描而得,本站不作要求视为允许,下载前自行私信或留言给上传者【曲****】。
5、本文档所展示的图片、画像、字体、音乐的版权可能需版权方额外授权,请谨慎使用;网站提供的党政主题相关内容(国旗、国徽、党徽--等)目的在于配合国家政策宣传,仅限个人学习分享使用,禁止用于任何广告和商用目的。
6、文档遇到问题,请及时私信或留言给本站上传会员【曲****】,需本站解决可联系【 微信客服】、【 QQ客服】,若有其他问题请点击或扫码反馈【 服务填表】;文档侵犯商业秘密、侵犯著作权、侵犯人身权等,请点击“【 版权申诉】”(推荐),意见反馈和侵权处理邮箱:1219186828@qq.com;也可以拔打客服电话:4008-655-100;投诉/维权电话:4009-655-100。