【CTA认证】Android CTA资料及信息安全要求

2023-12-03 10:52

本文主要是介绍【CTA认证】Android CTA资料及信息安全要求,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!

认证资料需求

1. 说明书;需有应用场景、使用人群说明
2. 产品铭牌(需有IMEI号,产品名称需是:TD-LTE无线数据终端)
3. 产品整体尺寸长宽高
4. 原理框图;
5. 主板正反面照片(需拆除屏蔽罩);
6. 关键射频元器件清单。(会提供一个清单参考)
7. 软件配置信息列表

设备与文档

  1. 烧录cta固件
  2. 本地测好射频,内置好射频配置,
  3. 机器打孔,外接好射频天线
  4. 填好认证功能表格,比如安卓系统版本,支持的4g运营商是哪几个等
  5. 写一个声明文档,声明不支持的功能,比如不支持摄像

Android6.0以下应用默认不授权

设备在进行入网认证的时候,实验室要求应用在使用特殊权限的时候,需要告知用户,要用户授权才能使用相应的权限;而Android的动态申请权限是6.0才有的,也就是说,如果应用把sdk版本设置为6.0以下,那么应用则不需要动态申请权限就能默认获得AndroidManifest.xml里面配置的权限;这在入网实验室的不允许的,虽然低版本的应用不会申请授权,但是实验室要求默认不给低版本的应用授权,让用户在设置的应用中手动授权即可。所以,要解决这个问题,就是去掉限制Android6.0的这个条件,让所有版本的应用都需要动态申请权限。

  1. Android 6以下的app不能默认获取到权限,未获取到权限前相应的API调用要求失败
    比如一个Android 5.0的打电话应用,第一次打电话(要求默认为无权限),禁止。
    目前是会默认获取到权限,打电话不会禁止,不符合要求。
  2. 在设置中此应用的应用权限界面,要求可以手动进行权限允许
    比如一个Android 5.0的打电话应用,设置中允许权限后,打电话,允许。

wifi与蓝牙开关要弹窗

开关WIFI与蓝牙时,不限在设置中操作,或在代码中,都要弹个确认的窗口。

拆分申请权限分组

设备在进行入网认证的时候,实验室要求应用在使用特殊权限的时候,需要告知用户,要用户授权才能使用相应的权限;Android需要申请的危险权限,是以组的形势申请的,比如说,拨打电话、读取通话记录、写入通话记录都是属于电话权限分组;而在入网认证的时候,实验室要求这些权限组要拆分为单独的权限,每个权限就是独立的,不再是以组的形势

权限管理要细分到组中的权限,目前是按组管理的,不符合要求

  1. 比如申请打电话,权限是android.permission.CALL_PHONE,弹出的窗口却提示申请“拔打电话和管理 通话”允许后会把android.permission.READ_CONTACTS也允许了,不符合要求。
  2. 设置的应用权限界面,需要显示组中的项
    比如拨打电话、读取通话记录、写入通话记录都是属于电话权限分组,要求组中的成员都要显示出来,能单独操作。

手机号匹配

联系人中比如有11位号码,低版本的安卓输入7位号码都会匹配上,这是过不了认证的。

是否支持第三方应用

一般是声明不支持,如果支持安装第三方应用,认证会过的比较困难,因为实验室会安装第三方应用进行测试,要求第三方应用运行时请求运行权限时要正确弹出权限请求窗口。

大部分应用需要可卸载

所有第三方应用要求可卸载,某些安卓内置应用也要求能卸载。

CTA自测的总原则

1.没有经过用户同意,不可以有任何联网的行为。

2.任何需要定位,需要读取用户个人隐私信息(联系人,短信,通话记录等等)的情况,都需要先在CTA弹窗中明确询问用户是否同意,且在用户同意之前,不可以执行任何读取用户隐私的操作。

3.不可以明文传递用户的个人信息(e.g.手机的IMEI号,Mac地址等信息)

具体的测试点:

联网相关的测试

对手机短信的各种权限的测试(创建/删除/发送/读取短信和彩信的权限)

对手机联系人的各种权限的测试(创建/删除/查找/编辑/联系人,读取/创建/删除通话记录)

使用照相机/录音

使用定位

隐私测试:明文传递个人信息

具体测试:

联网相关的测试:

1. 手机还原设置后不启动待测试的应用,通过filddler或者wireshark查看测试应用没有上网数据。

2. 打开待测试应用后弹出上网提示,点击取消,通过filddler或者wireshark查看测试应用没有上网数据。

3. 打开待测试应用后弹出上网提示,点击同意,通过fiddler或者wireshark查看测试应用有上网数据,打开设置-应用,查看测试应用的隐私权限:”开启wifi”是允许。

手机短信/彩信的相关操作:

1. 待测试应用没有打开前进入设置-应用,查看测试应用的隐私权限 “发送短信””发送彩信””读取短信””通知类短信”和”读取彩信”是询问。

2. 打开待测试应用后,弹出发送短信/彩信的确认弹窗后点击拒绝,查看测试应用的隐私权限 “发送短信””发送彩信””读取短信””通知类短信”和”读取彩信”是拒绝。

3. 打开待测试应用后,弹出发送短信/彩信的确认弹窗后点击接受,查看测试应用的隐私权限 “发送短信””发送彩信””读取短信””通知类短信”和”读取彩信”是允许。

使用照相机的相关测试

1. 应用没有打开前进入设置-应用,查看测试应用的隐私权限 “相机”和”录音”是询问。

2. 打开应用后,弹出发送短信/彩信的确认弹窗后点击拒绝,查看测试应用的隐私权限 “相机”和”录音”是拒绝。

3. 打开应用后,弹出发送短信/彩信的确认弹窗后点击接受,查看测试应用的隐私权限 “相机”和”录音”是允许。

定位的相关测试

1. 应用没有打开前进入设置-应用,查看测试应用的隐私权限 “定位”是询问。

2. 打开应用后,弹出发送短信/彩信的确认弹窗后点击拒绝,查看测试应用的隐私权限 “定位”是拒绝。

3. 打开应用后,弹出发送短信/彩信的确认弹窗后点击接受,查看测试应用的隐私权限 “定位”是允许。

隐私测试:明文传递个人信息

用fiddler/wireshark截获待测试应用的所有网络请求,查看各种类型的网络请求里是否明文上传了用户的信息(e.g. IMEI,MAC,待测试应用的用户名和密码等信息)
作者:帅得不敢出门 谢绝转载

这篇关于【CTA认证】Android CTA资料及信息安全要求的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!



http://www.chinasem.cn/article/449176

相关文章

Android中Dialog的使用详解

《Android中Dialog的使用详解》Dialog(对话框)是Android中常用的UI组件,用于临时显示重要信息或获取用户输入,本文给大家介绍Android中Dialog的使用,感兴趣的朋友一起... 目录android中Dialog的使用详解1. 基本Dialog类型1.1 AlertDialog(

springboot security使用jwt认证方式

《springbootsecurity使用jwt认证方式》:本文主要介绍springbootsecurity使用jwt认证方式,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地... 目录前言代码示例依赖定义mapper定义用户信息的实体beansecurity相关的类提供登录接口测试提供一

Android Kotlin 高阶函数详解及其在协程中的应用小结

《AndroidKotlin高阶函数详解及其在协程中的应用小结》高阶函数是Kotlin中的一个重要特性,它能够将函数作为一等公民(First-ClassCitizen),使得代码更加简洁、灵活和可... 目录1. 引言2. 什么是高阶函数?3. 高阶函数的基础用法3.1 传递函数作为参数3.2 Lambda

Android自定义Scrollbar的两种实现方式

《Android自定义Scrollbar的两种实现方式》本文介绍两种实现自定义滚动条的方法,分别通过ItemDecoration方案和独立View方案实现滚动条定制化,文章通过代码示例讲解的非常详细,... 目录方案一:ItemDecoration实现(推荐用于RecyclerView)实现原理完整代码实现

Android App安装列表获取方法(实践方案)

《AndroidApp安装列表获取方法(实践方案)》文章介绍了Android11及以上版本获取应用列表的方案调整,包括权限配置、白名单配置和action配置三种方式,并提供了相应的Java和Kotl... 目录前言实现方案         方案概述一、 androidManifest 三种配置方式

SpringSecurity 认证、注销、权限控制功能(注销、记住密码、自定义登入页)

《SpringSecurity认证、注销、权限控制功能(注销、记住密码、自定义登入页)》SpringSecurity是一个强大的Java框架,用于保护应用程序的安全性,它提供了一套全面的安全解决方案... 目录简介认识Spring Security“认证”(Authentication)“授权” (Auth

Android WebView无法加载H5页面的常见问题和解决方法

《AndroidWebView无法加载H5页面的常见问题和解决方法》AndroidWebView是一种视图组件,使得Android应用能够显示网页内容,它基于Chromium,具备现代浏览器的许多功... 目录1. WebView 简介2. 常见问题3. 网络权限设置4. 启用 JavaScript5. D

Android如何获取当前CPU频率和占用率

《Android如何获取当前CPU频率和占用率》最近在优化App的性能,需要获取当前CPU视频频率和占用率,所以本文小编就来和大家总结一下如何在Android中获取当前CPU频率和占用率吧... 最近在优化 App 的性能,需要获取当前 CPU视频频率和占用率,通过查询资料,大致思路如下:目前没有标准的

一文详解kafka开启kerberos认证的完整步骤

《一文详解kafka开启kerberos认证的完整步骤》这篇文章主要为大家详细介绍了kafka开启kerberos认证的完整步骤,文中的示例代码讲解详细,感兴趣的小伙伴可以跟随小编一起学习一下... 目录一、kerberos安装部署二、准备机器三、Kerberos Server 安装1、配置krb5.con

Android开发中gradle下载缓慢的问题级解决方法

《Android开发中gradle下载缓慢的问题级解决方法》本文介绍了解决Android开发中Gradle下载缓慢问题的几种方法,本文给大家介绍的非常详细,感兴趣的朋友跟随小编一起看看吧... 目录一、网络环境优化二、Gradle版本与配置优化三、其他优化措施针对android开发中Gradle下载缓慢的问