【安全】移动端安全评估Checklist

app名称
自查点	检查方法	适用类别	修改方法	符合情况
传输协议	客户端与服务器端业务交互时，是否采用HTTPS传输协议	Android、IOS、小程序、SDK、方案	如果采用HTTP传输协议，改为HTTPS
密码传输	密码是否加密传输	Android、IOS、方案	密码采用非对称加密传输
错误密码次数	服务端是否限制错误密码输入次数	Android、IOS、小程序、SDK、方案	限制密码输入次数，建议次数10次
敏感信息传输	客户端与服务器端业务交互时，到服务器端的敏感信息要加密传输，服务器到客户端的敏感信息需要脱敏处理，敏感信息定义参见下表	Android、IOS、小程序、SDK、方案	出密码外其他敏感信息可采用对称加密
验证码时效	验证码有效时长是否超过5分钟	Android、IOS、小程序、SDK、方案	验证码时效不超过5分钟
验证码输入错误次数	服务端是否限制错误验证码码输入次数	Android、IOS、小程序、SDK、方案	限制密码输入次数，建议次数3次
验证码随机性	两次及以上验证码是否相同	Android、IOS、小程序、SDK、方案	每次验证码均不同
验证码请求次数	服务端是否限制验证码请求次数	Android、IOS、小程序、SDK、方案	每分钟验证码可请求1次；每天不超过30次
SQL注入检查	服务端在执行SQL操作时有没对特殊字符转换，或者当服务段得到的字符串含有特殊字符是停止执行SQL操作； 特殊字符：空格、单引号、双引号	服务端	如果数据库需要存储特殊字符需对特殊字符转意；否则返回错误信息。
XSS检测	服务端是否对客户端输入的特殊字符进行转意，且反馈到客户端也要进行转意； 特殊字符：<>&='"	Android、IOS、小程序、SDK、方案	当服务端对特殊字符要进行转意存储；在没必要的情况可限制特殊字符输入
服务端横向越权测试	当服务端执行已登录用的请求操作时，是否检查token或session是否属于该用户	Android、IOS、小程序、SDK、方案	服务端执行已登录用户的请求操作时，检测用户的token或session是否属于该用户，不属于返回错误信息
登出token注销	当用户退出登录时，服务端是否注销token或session	Android、IOS、小程序、SDK、方案	当用户退出登录，注销token
测试数据残留	代码中查找测试数据信息，包括手机号、账号密码、身份证号等	Android、IOS、小程序、SDK
敏感信息存储	运行客户端程序，执行业务操作，查看私有目录下是否明文存储了用户敏感信息 （Android：/data/data/packageName/xxx 和 databases数据库，IOS系统：App沙箱目录下）	Android、IOS
密钥硬编码	使用加密算法时，秘钥不能硬编码到Java代码中，如使用AES加密算法，KEY和IV不能以明文形式编写	Android、IOS、小程序、SDK
	在代码中，密钥处理方法：将加密街算法放到So库中实现 或 使用安全部安全加解密SDK实现
测试数据残留	代码中查找测试数据信息，包括手机号、账号密码、身份证号等	Android、IOS、小程序、SDK
敏感信息存储	运行客户端程序，执行业务操作，查看私有目录下是否明文存储了用户敏感信息	Android、IOS
	（Android：/data/data/packageName/xxx 和 databases数据库，IOS系统：App沙箱目录下）
调试模式	查看AndroidManifest.xml文件中，android:debuggable属性是否为false	Android
允许备份	查看AndroidManifest.xml文件中，android:allowBackup属性是否为false	Android
调试信息	运行客户端程序，执行业务操作，同时使用Logcat查看是否输出敏感调试信息	Android、IOS
组件安全	对外组件获取intent消息时是否加入异常判断	Android	组件在获取intent消息时加入异常判断
消息完整性	敏感信息在传输过程中，需使用签名保证消息完整性	方案
隐私相关	敏感信息获取，需要得到用户授权，使用方式需添加到隐私政策文本中	方案
越权检查	接入方案中的API接口，核心字段是否进行权限判断	方案
安全平台扫描	安全平台进行安全扫描	Android、IOS
数据分类分级
数据类型	机密信息P4	保密信息P3	次要信息P2
客户信息	密码、身份证号、银行卡信息、手机号	账号、姓名、详细地址、qq号、微信号、邮箱号、	用户名称、昵称、出生日期
		系统及设备信息，如IMEI、IMSI、Mac地址、地理位置等
交易信息		收货人、地址、股票等金融资产信息、客户信用评级、交易历史订单	浏览商品历史记录
日志信息		网络请求响应数据	商品搜索浏览记录
员工信息	密码、身份证号、银行卡信息、手机号	姓名、邮箱、聊天记录、附件文件、ERP账号、职务职级、组织架构信息