Technicalrequirementsand電信終端產(chǎn)業(yè)協(xié)會(huì)發(fā)布I I 1 1 1 3 3 3 4 4 5 6 6 6 7 7 7 8 8 8 整性、真實(shí)性、不可否認(rèn)性需求的應(yīng)遵循密碼相關(guān)國(guó)家標(biāo)準(zhǔn)和行本文件中的某些內(nèi)容可能涉及專利。本文件的發(fā)布機(jī)構(gòu)不承擔(dān)識(shí)別這些專利的責(zé)司，青島海信通信有限公司，青島海爾通信有限公司，北限公司，深圳康佳通信科技有限公司、四川長(zhǎng)虹信息為華、康亮、陳燦峰、鄭梁、劉新平、竇麗娟、林舜大、盧小濤、唐博能電視的安全能力，促進(jìn)我國(guó)智能電視安全生態(tài)的穩(wěn)定發(fā)展，制定1智能電視安全能力技術(shù)要求和測(cè)試方法本文件規(guī)定了智能電視的硬件，操作系統(tǒng)，預(yù)置應(yīng)用，第三方應(yīng)用，網(wǎng)絡(luò)通信和人工智能服務(wù)6本文件僅提出智能電視安全能力技術(shù)要求和測(cè)試GB/T35273-2020信息安全技術(shù)個(gè)人信息安全GBXXX-XXX互聯(lián)網(wǎng)電視接收設(shè)備SJ/T11688-2017智能電視智能GY/T277-2019視音頻內(nèi)容分發(fā)數(shù)字版權(quán)管理技術(shù)規(guī)范T/TAF071.1-2020智能家居終端設(shè)備通用安全能力技術(shù)2預(yù)置應(yīng)用是指由智能電視廠商自行或與互聯(lián)網(wǎng)信息服務(wù)提供者合作在智能電視出廠前安裝在其系預(yù)置應(yīng)用是指由智能電視廠商自行或與互聯(lián)網(wǎng)信息服務(wù)提供者合作在智能電視出廠前安裝在其系第三方應(yīng)用third-partyapplicAPI：應(yīng)用程序編程接口（ApplicationProgrammingInterface）APP：應(yīng)用（Application）AI：人工智能（ArtificialIntelligence）CNVD：國(guó)家信息安全漏洞共享平臺(tái)（ChinaNationalVulnerabilityDatCNNVD：中國(guó)國(guó)家信息安全漏洞庫（ChinaNationalVulnerabilityDatabaseofInformDNS：域名系統(tǒng)（DomainNameSysteDLNA：數(shù)字生活網(wǎng)絡(luò)聯(lián)盟（DigitalLivingNetworkAlliance）DRM：數(shù)字版權(quán)管理（DigitalRightsManagemeHTTP：超文本傳輸協(xié)議（HyperTextTransferProtocHTTPS：超文本傳輸安全協(xié)議（HyperTextTransferProtocoloverSecITVID：互聯(lián)網(wǎng)電視接收設(shè)備標(biāo)識(shí)（InternetTVReceivingDevSSL：安全套接層（SecureSockeWLAN：無線局域網(wǎng)絡(luò)（WirelessLocalAreaNetworTEE：可信執(zhí)行環(huán)境（TrustedExecutionEnviro3TLS：安全傳輸協(xié)議（TransportLayerSecuUSB：通用串行總線（UniversalSerialB圖1為智能電視安全能力框架，主要包含6個(gè)部分：最底層是智能電視硬件安全能力，之上為操作系統(tǒng)安全能力，頂層為預(yù)置應(yīng)用安全能力和第三方應(yīng)用安全能力，網(wǎng)絡(luò)通信安全能力和人能力涉及上述層面。個(gè)人信息處理活動(dòng)應(yīng)遵照GB/Ta)硬件安全能力：保障智能電視存儲(chǔ)安全及處理芯片安全，避免芯片內(nèi)b)操作系統(tǒng)安全能力：對(duì)智能電視操作系統(tǒng)進(jìn)行安全配置，提出相應(yīng)的安全要求，利用操作系c)預(yù)置應(yīng)用安全能力：智能電視出廠能電視應(yīng)對(duì)這些預(yù)置應(yīng)用做出安全要求，使其不可進(jìn)行越權(quán)、惡意收集d)第三方應(yīng)用安全能力：部分智能電視支持用戶安裝第三方應(yīng)用，智能電視應(yīng)對(duì)的合法性進(jìn)行驗(yàn)證，并對(duì)應(yīng)用的安裝進(jìn)行鑒權(quán)e)網(wǎng)絡(luò)通信安全能力：保障智能電視通信安全，包括WLANf)人工智能服務(wù)安全能力：對(duì)于提供AI服務(wù)的智能電視，AI服務(wù)應(yīng)具備抵抗模型竊取或機(jī)器學(xué)4），b)智能電視保留可調(diào)試物理接口，可調(diào)試物理接口訪問受限，如非拆機(jī)狀態(tài)下不可訪問或用戶c)智能電視保留可調(diào)試物理接口，訪問可d)智能電視保留可調(diào)試物理接口，訪問可調(diào)試物理接口采用a)硬件平臺(tái)應(yīng)具備不可改寫的用于存儲(chǔ)校驗(yàn)密a)智能電視應(yīng)對(duì)啟動(dòng)過程中每個(gè)步驟加載的組件驗(yàn)證簽名的正確性，包括但不限于引導(dǎo)加序、內(nèi)核、內(nèi)核擴(kuò)展項(xiàng)，確保系統(tǒng)分區(qū)不被惡意程序修改，校驗(yàn)根密鑰受硬件保護(hù)，不可修智能電視編譯固件時(shí)，應(yīng)去除二進(jìn)制固件中的符號(hào)表信息，增加固件調(diào)試及a)默認(rèn)關(guān)閉操作系統(tǒng)調(diào)試接口和遠(yuǎn)程登錄端口（如SSH端口和Telnet端口）。5b)核心系統(tǒng)守護(hù)進(jìn)程和業(yè)務(wù)應(yīng)用應(yīng)隔離到不同的安全域，并為每個(gè)域定義不同的訪問策略。a)離線方式進(jìn)行系統(tǒng)與固件升級(jí)時(shí)，應(yīng)對(duì)升級(jí)文件的完整性進(jìn)行校驗(yàn)，包括驗(yàn)證升級(jí)包的b)在線方式進(jìn)行系統(tǒng)與固件升級(jí)時(shí)，應(yīng)對(duì)升級(jí)文件的來源和完整性進(jìn)行校驗(yàn)，包括驗(yàn)證升級(jí)包c(diǎn))進(jìn)行系統(tǒng)與固件更新，當(dāng)發(fā)生更新失敗時(shí)，不應(yīng)出現(xiàn)系統(tǒng)d)提醒用戶進(jìn)行升級(jí)，并給出最新版本號(hào)以及更新b)應(yīng)支持高危漏洞修復(fù)及安全防御機(jī)制。a)智能電視使用射頻或藍(lán)牙遙控器時(shí)，射頻或藍(lán)牙遙控器應(yīng)支持與智能電視之間的雙向認(rèn)b)智能電視應(yīng)對(duì)遙控端APP實(shí)施身份認(rèn)證，以防止非授權(quán)的操作；或支持在使用遙控端APP執(zhí)行敏操作時(shí)，通過驗(yàn)證碼等手段進(jìn)行二次校驗(yàn)6b)應(yīng)驗(yàn)證登錄應(yīng)用的用戶身份及憑據(jù)的有效性，采用二維碼掃描或用戶名密碼登錄方式，并對(duì)c)應(yīng)驗(yàn)證登錄應(yīng)用的用戶身份及憑據(jù)的有效性，宜支持生物特征a)應(yīng)不允許安裝未簽名應(yīng)用或者不受信任的代碼，禁止安裝未授權(quán)的第三方應(yīng)用軟a)智能電視應(yīng)支持對(duì)稱加密算法對(duì)用戶數(shù)據(jù)進(jìn)行加密傳b)智能電視應(yīng)支持TLS協(xié)議對(duì)用戶數(shù)據(jù)d)安全傳輸協(xié)議應(yīng)具備抵抗因編程語言固有缺陷造成的安全漏洞，如使用可抵抗應(yīng)防止攻擊者將用戶使用人工智能功能時(shí)的交互數(shù)據(jù)上傳指向到自己的服務(wù)器，如設(shè)置上7a)智能電視機(jī)器學(xué)習(xí)算法應(yīng)具備抵抗對(duì)抗性攻擊的應(yīng)對(duì)機(jī)器學(xué)習(xí)模型進(jìn)行安全保護(hù)，以保護(hù)機(jī)器學(xué)習(xí)模型不被非法竊取，如為機(jī)器學(xué)習(xí)模型預(yù)測(cè)API接口設(shè)置一定的訪問控制機(jī)制，使之不可被公開獲取。機(jī)器學(xué)習(xí)模型可被限制在TEE加載和運(yùn)智能電視所支持的安全能力劃分為5個(gè)等級(jí)，第五級(jí)是最高等級(jí)。智能電視可選擇支持到不同的等級(jí)。達(dá)到相應(yīng)等級(jí)的智能電視可在說明書上進(jìn)根據(jù)智能電視所支持的安全能力程度，將智能等級(jí)定義了智能電視對(duì)應(yīng)的安全能力的最小集合，也就是智能電視必須支持該集合中的所有安才能標(biāo)識(shí)為該級(jí)別，例如達(dá)到第五級(jí)的智能電視應(yīng)支持本文件第五章所定義的所有安全能力。具體的1√√√√√2√√√√√3---√√4√√√√√5√√√√√6--√√√7√√√√√8√√√√√9--√√√---√√--√√√--√√√-√√√√-√√√√--√√√√√√√√√√√√√8√√√√√--√√√---√√----√----√步驟2：模擬用戶通過調(diào)試命令連接可調(diào)試物理接口，查看預(yù)期結(jié)果:在步驟2之后，若可調(diào)試物理接口未向用戶開測(cè)試項(xiàng)目：智能電視保留可調(diào)試物理接口，可調(diào)試物理接口訪問受限，如非拆機(jī)狀態(tài)下不可訪問9步驟2：模擬用戶通過調(diào)試命令連接可調(diào)試物理接口，查看訪預(yù)期結(jié)果:測(cè)試項(xiàng)目：智能電視保留可調(diào)試物理接口，訪問可調(diào)試物理接口采用非通用口令認(rèn)證或證書認(rèn)步驟2：模擬用戶通過調(diào)試命令連接可調(diào)試物理接口，查看可預(yù)期結(jié)果:在步驟2之后，若訪問可調(diào)試物理接口需要“未見異常”，否則為“不符合要求”，測(cè)評(píng)結(jié)束。測(cè)試項(xiàng)目：智能電視保留可調(diào)試物理接口，訪問可調(diào)試物理接口采用證書認(rèn)證，且預(yù)期結(jié)果:在步驟2之后，若智能電視可調(diào)試物理接口不在步驟3之后，若用戶證書存儲(chǔ)在TEE或安全芯片中，測(cè)評(píng)結(jié)果為“未見異常”，否則為“不符合測(cè)試項(xiàng)目：硬件平臺(tái)應(yīng)具備不可改寫用于存儲(chǔ)校驗(yàn)密鑰、ITV預(yù)期結(jié)果:在步驟2之后，若智能電視采用的芯片支持安預(yù)期結(jié)果:步驟2：模擬攻擊者，對(duì)存儲(chǔ)芯片內(nèi)固件進(jìn)預(yù)期結(jié)果:在步驟2之后，若智能電視存儲(chǔ)芯片支持對(duì)固測(cè)試項(xiàng)目：芯片支持對(duì)安全要求不同的應(yīng)用區(qū)提供不同等級(jí)的安全管步驟2：根據(jù)智能電視采用的芯片，核查該芯片支持預(yù)期結(jié)果:預(yù)期結(jié)果:步驟2：檢查廠商提交的文檔，查看密碼算預(yù)期結(jié)果:在步驟2之后，若智能電視使用安全芯片實(shí)現(xiàn)測(cè)試項(xiàng)目：智能電視插入外部存儲(chǔ)設(shè)備時(shí)，應(yīng)給與用戶相應(yīng)預(yù)期結(jié)果:在步驟2之后，若智能電視給與用戶相應(yīng)的提測(cè)試項(xiàng)目：智能電視應(yīng)對(duì)啟動(dòng)過程中每個(gè)步驟加載的組件驗(yàn)證簽名的正確性，包括但不限于引導(dǎo)程序、內(nèi)核、內(nèi)核擴(kuò)展項(xiàng)，并驗(yàn)證簽名的正確性，確保系統(tǒng)分區(qū)不被惡意程序修改。預(yù)期結(jié)果:測(cè)試項(xiàng)目：智能電視編譯固件時(shí)，應(yīng)去除二進(jìn)制固件中的符號(hào)步驟2：通過網(wǎng)絡(luò)抓包的方式抓取設(shè)備的固件升級(jí)包或者直預(yù)期結(jié)果:測(cè)試項(xiàng)目：默認(rèn)關(guān)閉操作系統(tǒng)調(diào)試接口和遠(yuǎn)程登錄端口（如SSH端口和Tenlent端口）。步驟2：模擬攻擊者，嘗試通過系統(tǒng)服務(wù)和遠(yuǎn)程登錄端口（SSH端口和Tenlent端口）開啟調(diào)試接預(yù)期結(jié)果:測(cè)試項(xiàng)目：核心系統(tǒng)守護(hù)進(jìn)程和業(yè)務(wù)應(yīng)用應(yīng)隔離到不同的安全測(cè)試項(xiàng)目：核心系統(tǒng)守護(hù)進(jìn)程和業(yè)務(wù)應(yīng)用應(yīng)隔離到不同的安全步驟2：根據(jù)智能電視采用的訪問控制策略執(zhí)行“adbshellgetenforce”命令，若結(jié)果為Enforci預(yù)期結(jié)果:在步驟2之后，若執(zhí)行命令，根據(jù)返回結(jié)果判斷訪問策略開啟測(cè)試項(xiàng)目：離線方式進(jìn)行系統(tǒng)與固件升級(jí)時(shí)，應(yīng)對(duì)升級(jí)文件的完整性進(jìn)行校驗(yàn)，包括驗(yàn)證升級(jí)包預(yù)期結(jié)果:在步驟2之后，若沒有對(duì)升級(jí)包進(jìn)行SHA-256等完整性校驗(yàn)，測(cè)評(píng)結(jié)果為“不符合要求”，測(cè)評(píng)結(jié)在步驟3之后，若偽造的升級(jí)包無法成功刷測(cè)試項(xiàng)目：在線方式進(jìn)行系統(tǒng)與固件升級(jí)時(shí)，應(yīng)對(duì)升級(jí)文件的來源和完整性進(jìn)行校驗(yàn)，包括驗(yàn)證預(yù)期結(jié)果:在步驟2之后，若沒有對(duì)升級(jí)包進(jìn)行SHA-256等完整性校驗(yàn)，測(cè)評(píng)結(jié)果為“不符合要求”，測(cè)評(píng)結(jié)在步驟3之后，偽造的升級(jí)包無法成功刷入步驟2：模擬終端進(jìn)行因更新包缺陷而導(dǎo)致更新失敗，查看智預(yù)期結(jié)果:在步驟2之后，若智能電視系統(tǒng)可用，測(cè)評(píng)結(jié)預(yù)期結(jié)果:在步驟2之后，若更新過程中，采用了HTTPS等安全傳輸協(xié)議，測(cè)評(píng)結(jié)果為“未見異常”，否則為測(cè)試項(xiàng)目：緊急情況下可在線強(qiáng)制升級(jí)，若若需強(qiáng)制升級(jí)，應(yīng)提示并告知用戶原預(yù)期結(jié)果:在步驟2之后，若可以成功刷入系統(tǒng)升級(jí)包預(yù)期結(jié)果:在步驟2之后，若未發(fā)現(xiàn)6個(gè)月前公布的高危漏洞，測(cè)評(píng)結(jié)果為“未見異常”，否則為“不符合要預(yù)期結(jié)果:在步驟2之后，若未發(fā)現(xiàn)6個(gè)月前公布的中危及以上漏洞，測(cè)評(píng)結(jié)果為“未見異常”，否則為“不步驟2：模擬終端緊急缺陷或漏洞，嘗試通預(yù)期結(jié)果:測(cè)試項(xiàng)目：按需進(jìn)行服務(wù)端口的打開，或開放系統(tǒng)端口時(shí)進(jìn)行訪預(yù)期結(jié)果:在步驟2之后，若智能電視開啟的接口未見可預(yù)期結(jié)果:在步驟2之后，若智能電視默認(rèn)禁止系統(tǒng)進(jìn)程測(cè)試項(xiàng)目：應(yīng)為系統(tǒng)進(jìn)程進(jìn)行分組，并對(duì)不同的組配置相應(yīng)的文件訪預(yù)期結(jié)果:在步驟2之后，若開啟了進(jìn)程分組，并進(jìn)行了相應(yīng)的權(quán)限配測(cè)試項(xiàng)目：智能電視使用射頻或藍(lán)牙遙控器時(shí)，射頻或藍(lán)牙遙控器應(yīng)支持與智能電視之間的雙向預(yù)期結(jié)果:在步驟3之后，若智能電視未能成功執(zhí)行控測(cè)試項(xiàng)目：智能電視應(yīng)對(duì)遙控端APP實(shí)施身份認(rèn)證，以防止非授執(zhí)行敏操作時(shí)，通過驗(yàn)證碼等手段進(jìn)行二次校驗(yàn)，同時(shí)驗(yàn)證碼應(yīng)限制一定時(shí)間內(nèi)的嘗試頻次，以防止預(yù)期結(jié)果:在步驟1之后，若智能電視不支持對(duì)控制端APP的身份認(rèn)證，測(cè)評(píng)結(jié)果為“不符合要求”，測(cè)評(píng)結(jié)在步驟3之后，若智能電視未能成功執(zhí)行控制信號(hào)，測(cè)評(píng)在步驟4之后，若控制端APP提醒用戶進(jìn)行二次認(rèn)證，如采用驗(yàn)證碼驗(yàn)證，且限制一定時(shí)間內(nèi)的嘗試頻次，測(cè)評(píng)結(jié)果為“未見異常”，否則為“不符合要求”，測(cè)評(píng)步驟2：使用自動(dòng)化掃描工具掃描并驗(yàn)證預(yù)置軟件是否存在CNVD和CNNVD六個(gè)月前公布的高危漏預(yù)期結(jié)果:在步驟2之后，若未存在高危漏洞，測(cè)評(píng)結(jié)果測(cè)試項(xiàng)目：智能電視應(yīng)對(duì)獲取應(yīng)用過程中與服務(wù)器的相關(guān)通信進(jìn)行證步驟2：預(yù)置應(yīng)用使用不正確的證書與智能電視進(jìn)行通信，預(yù)期結(jié)果:測(cè)試項(xiàng)目：進(jìn)行更新時(shí)，應(yīng)對(duì)更新包進(jìn)行版本號(hào)在步驟2之后，若軟件更新包未包含有身份信“不符合要求”，測(cè)評(píng)結(jié)束；否則進(jìn)行步驟預(yù)期結(jié)果:測(cè)試項(xiàng)目：應(yīng)驗(yàn)證登錄應(yīng)用的用戶身份及憑據(jù)的有效性，如采步驟2：模擬未驗(yàn)證身份的用戶進(jìn)行預(yù)置應(yīng)用登錄操作，并執(zhí)預(yù)期結(jié)果:在步驟2之后，若預(yù)置應(yīng)用提示用戶進(jìn)行身份并對(duì)登入用戶設(shè)置一定的有效期，超過有效期步驟2：模擬未驗(yàn)證身份的用戶進(jìn)行預(yù)置應(yīng)步驟3：檢查廠商提交的用戶登錄代碼，檢查是否對(duì)登預(yù)期結(jié)果:測(cè)試項(xiàng)目：應(yīng)驗(yàn)證登錄應(yīng)用的用戶身份及憑據(jù)的有效性，宜支持生物特征認(rèn)證登錄形預(yù)期結(jié)果:在步驟2之后，若預(yù)置應(yīng)用支持生物特征驗(yàn)證測(cè)試項(xiàng)目：應(yīng)不允許安裝未簽名應(yīng)用或者不受信任的代碼預(yù)期結(jié)果:測(cè)試項(xiàng)目：智能電視應(yīng)對(duì)獲取應(yīng)用過程中與服務(wù)器的相關(guān)通信進(jìn)行證預(yù)期結(jié)果:在步驟2之后，若未能成功完成應(yīng)用安裝流預(yù)期結(jié)果:預(yù)期結(jié)果:測(cè)試項(xiàng)目：智能電視應(yīng)支持對(duì)稱算法對(duì)用戶數(shù)據(jù)進(jìn)行加密預(yù)期結(jié)果:預(yù)期結(jié)果:預(yù)期結(jié)果:測(cè)試項(xiàng)目：安全傳輸協(xié)議應(yīng)具備抵抗因編程語言固有缺陷造成的安全漏洞，如使用可抵抗內(nèi)存安預(yù)期結(jié)果:在步驟2之后，若安全傳輸協(xié)議可以抵抗內(nèi)存預(yù)期結(jié)果:在步驟1之后，若未具備D