前  言

本标准按照GB/T1.1-2009给出的规则起草。

本标准参考了NIAP发布的PP《Protection Profile for Mobile Device Fundamentals, Version 2.0》中安全保证要求和安全保障要求的相关组件描述。

本标准由全国信息安全标准化技术委员会（SAC/T260）提出并归口。

本标准起草单位： 中国信息通信研究院(工业和信息化部电信研究院)、北京邮电大学、中国移动通信集团公司、华为技术有限公司

本标准主要起草人：翟世俊、宁华、潘娟、杨正军、姚一楠、焦四辈、国炜、袁琦、袁捷、邱勤、黄曦、杨光华、何申、彭华熹、梁洪亮、刘书昌

引  言

随着移动互联网技术的迅速发展，移动终端得到了广泛的应用，并且在功能上不断扩展。伴随着移动终端智能化及网络宽带化的趋势，移动互联网业务层出不穷，日益繁荣。与此同时，移动终端也面临着各种安全威胁，如恶意吸费、盗取账户、监听电话、自动联网等，移动终端的安全面临着严峻挑战。本标准的制定，有助于提高移动终端的安全水准，降低移动终端面临的风险，保护用户个人安全以及国家安全，防止移动终端对移动互联网安全产生的不利影响，推动整个移动互联网的健康发展。

本标准中涉及到的密码应用，应依据国家密码管理局规定实施。

本标准仅给出了移动终端应满足的安全保护的技术要求，对移动终端的具体技术实现方式、方法等不作规定。

​

​

信息安全技术　移动终端安全保护技术要求

范围

本标准规定了移动终端的安全保护技术要求，包括安全问题、安全目的、安全功能要求和安全保障要求。

本标准适用于移动终端的设计、开发、测试和评估。

规范性引用文件

下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。

GB/T 18336.1-2008 信息技术 安全技术 信息技术安全性评估准则 第1部分：简介和一般模型

NIAP, Protection Profile for Mobile Device Fundamentals, Version 2.0, 17.09.2014

术语、定义和缩略语

术语和定义

GB/T 18336.1-2008中界定的以及下列术语、定义和缩略语适用于本文件。

移动终端 mobile device

能够接入移动通信网，提供应用软件开发接口，并能够安装和运行第三方应用软件的移动终端。

移动终端用户 mobile device user

使用移动终端，与移动终端进行交互并负责移动终端的物理控制和操作的对象。

用户数据 user data

由用户产生或为用户服务的数据，包括由用户在本地生成的数据、为用户在本地生成的数据、在用户许可后由外部进入用户数据区的数据等。

应用软件 application software

移动终端操作系统之上安装的，向用户提供服务功能的软件。

访问控制 access control

一种保证数据处理系统的资源只能由被授权主体按授权方式进行访问的手段。

授权 authorization

在用户身份经过认证后，根据预先设置的安全策略，授予用户相应权限的过程。

数字签名 digital signature

附在数据单元后面的数据，或对数据单元进行密码变换得到的数据。允许数据的接收者验证数据的来源和完整性，保护数据不被篡改、伪造，并保证数据的不可否认性。

漏洞 vulnerability

​ 漏洞是计算机信息系统在需求、设计、实现、配置、运行等过程中，有意或无意产生的缺陷。这些缺陷以不同形式存在于计算机信息系统的各个层次和环节之中，一旦被恶意主体所利用，就会对计算机信息系统的安全造成损害，从而影响计算机信息系统的正常运行。

缩略语

下列缩略语适用于本文件。

ASLR

DEK

MDM

RBG

REK

ST

TLS

TOE

TSF

TSFI

WLAN

地址空间布局随机化

数据加密密钥

移动终端管理

随机数产生

根加密密钥

安全目标

传输层安全协议

评估对象

TOE安全功能

TOE安全功能接口

无线局域网

Address space layout randomization

Data Encryption Key

Mobile Device Management

Random Bit Generation

Root Encryption Key

Security Target

Transport Layer Security

Target of Evaluation

TOE Security Functionality

TSF Interface

Wireless local area network

移动终端概述

本标准的评估对象(TOE)是移动终端，由硬件平台和系统软件组成。该终端可以提供无线连接，以及可能包括提供安全消息、电子邮件、网络、VPN连接、VoIP(IP语音)功能的软件，用于访问受保护的数据和应用，以及与其他移动终端进行通信。移动终端的网络环境如图1所示。在该标准中，移动终端包括智能手机、平板电脑和其他具有类似功能的移动终端。

图1 移动终端的网络环境

移动终端提供必要的服务，如加密服务、静态数据保护以及密钥存储服务，以支持移动终端上应用程序的安全操作。并执行额外的安全功能，如安全策略实施、应用的强制访问控制、抗开发功能、用户认证和软件完整性保护，以应对安全威胁。该标准描述了由移动终端和服务器提供的必要安全服务，作为安全移动架构的基础。

该标准描述了由移动终端和服务器提供的必要安全服务，作为安全移动架构的基础。如图2所示，一个典型的架构应包括第三方或捆绑组件，提供：

——数据在传输过程中的保护 (如VPN 客户端, VoIP 客户端, Web 浏览器)；

——安全策略管理 (如 MDM系统)。

无论这些组件是被厂商捆绑作为移动终端的一部分，或是由第三方开发的，都必须分别按照相关标准进行验证。

图2 可选的额外移动终端组件

安全问题

假设

配置(A.CONFIG)

假设正确地配置了TOE的安全功能，以确保连接网络之间的所有网络通信都能执行TOE的安全策略。

通知(A.NOTIFY)

假设如果移动终端被盗或丢失，移动用户能够及时通知管理员。

预防措施(A.PRECAUTION)

假设移动用户执行了预防措施，以减少丢失或失窃的移动终端的风险。

安全威胁

网络窃听（T.EAVESDROP）

攻击者位于无线通信信道或者网络中的任何地方处，监听或者截获移动终端与另一端点进行交互的数据。

网络攻击（T.NETWORK）

攻击者位于无线通信信道或者网络中的任何一点处，攻击者可以借助发起和移动终端的通信对其进行攻击，或者借助更改移动终端和其他端点之间的通信对其进行攻击。这些攻击包括将恶意软件、恶意网页或者邮件通过网络发送到终端。

物理访问（T.PHYSICAL）

移动终端被盗或者丢失后，攻击者可通过对移动终端的物理接入获得终端设备上的数据。物理访问的接入方式包括外部硬件接口、用户接口，或者直接进行破坏性地接入到终端的存储介质。

恶意或有缺陷的应用（T.FLAWAPP）

移动终端上安装的应用程序可能包含恶意代码或者可利用的代码。这些代码可能是被开发者故意加入的，或者是作为软件库的一部分被开发者无意中加入的。恶意应用程序可能会泄露它们已经访问的数据。这些恶意或有缺陷的应用软件先攻击平台的系统软件，进而获得额外的权限来实施进一步的恶意行为，这些恶意的行为包括控制终端的传感器，如GPS，摄像头，麦克风，以便收集用户的信息，然后将这些信息发送到网络。有缺陷的应用软件可能会给攻击者进行基于网络攻击或者物理攻击的机会。

持续攻击（T.PERSISTENT）

移动终端被攻击者持续占用意味着该终端已经失去了完整性，并且不能恢复它。移动终端被攻击者持续访问，对移动终端自身构造了持续的威胁。在这种情况下，移动终端以及它上面的数据可以被攻击者控制。

安全目的

TOE安全目的

通信保护（O.COMMS）

为了应对网络窃听和网络攻击的威胁，对于在移动终端和远程网络实体之间通过无线方式传输用户数据以及配置数据，需使用可信的通信路径。移动终端将能够使用下面标准协议中的一个或多个进行通信：IPsec，DTLS，TLS，或HTTPS，实施该要求能提供互通性和抗密码攻击。

存储保护（O.STORAGE）

为了应对丢失的移动终端中(T.PHYSICAL)用户数据保密性损失的问题，移动终端将使用静态数据保护。移动终端能够对存储在终端上的数据和密钥进行加密，并防止对这些加密数据的非授权访问。

移动终端安全策略配置（O.CONFIG）

为了确保移动终端对存储或处理的用户数据进行保护，移动终端将提供配置和应用被用户和管理者定义的安全策略的能力。如果配置了安全策略，这些安全策略的应用必须优先于用户指定的安全策略。

授权和鉴别（O.AUTH）

为了应对丢失的移动终端中(T.PHYSICAL)用户数据保密性损失的问题，在访问受保护的功能和数据之前，要求用户向终端输入一个鉴别因子。某些非敏感功能(例如，紧急呼叫，文本通知)可以在输入认证因子之前进行访问。在终端丢失或被偷的情况下，将按照配置的非活动周期自动锁定终端，来确保终端的授权访问。对于网络接入，要求对可信通信路径的端点进行身份认证，以确保攻击不能建立未授权的网络连接，来破坏终端的完整性。

移动终端完整性（O.INTEGRITY）

为了确保移动终端的完整性，移动终端将执行自测试来确保关键功能、软件/固件和数据的完整性。这些自测试的任何故障都应通知用户。为了应对包含恶意或有缺陷代码的应用程序问题(T.FLAWAPP)，在移动终端上安装/执行目标程序之前，应验证软件/固件下载更新的完整性。另外，操作系统应限制应用程序只能访问系统服务和允许它们进行交互的数据。操作系统将通过随机内存布局，来进一步防止恶意应用程序访问它们没被授权的数据。

环境安全目的

配置(OE.CONFIG)

TOE管理员应正确配置移动终端安全功能，来创建预定的安全策略。

通知(OE.NOTIFY)

如果移动终端丢失或被盗，移动用户将立即通知管理员。

预防措施(OE.PRECAUTION)

移动用户执行预防措施，以减少移动终端丢失或被盗的风险。

安全功能要求

表1列出了移动终端安全功能要求组件，下述各条对各组件给出了详细说明。

表1 安全功能要求组件

FAU类：安全审计

审计数据产生(FAU_GEN.1)

FAU_GEN.1.1 TSF应能为下述可审计事件产生可审计记录：

1）审计功能的启动和关闭；

2）可审计事件的最小集合；

3）[赋值：其他专门定义的可审计事件]。

FAU_GEN.1.2 TSF应在每个审计记录中至少记录如下信息：

1）事件的日期和事件、事件的类型、事件的主体身份、事件的结果(成功或失败)；

\2) 基于安全功能组件中可审计事件定义的[赋值：其他审计相关信息]

审计查阅(FAU_SAR.1)

FAU_SAR.1.1 TSF应为[赋值：授权用户，审计管理员]提供从审计记录中读取[赋值：审计信息列表]的能力。

FAU_SAR.1.2 TSF应以便于用户理解的方式提供审计记录。

有限审计查阅(FAU_SAR.2)

FAU_SAR.2.1 除具有明确读访问权限的用户外，TSF应禁止所有用户对审计记录的访问。

可选审计查阅(FAU_SAR.3)

FAU_SAR.3.1 TSF应根据[赋值：具有逻辑关系的标准]提供对审计数据进行[赋值：搜索、分类、排序]的能力。

选择性审计(FAU_SEL.1)

FAU_SEL.1.1 TSF应能根据以下属性从审计事件集中包括或排除可审计事件：

1）[选择：用户身份，事件类型]

2）[赋值：审计选择所依据的附加属性表]

受保护的审计迹存储(FAU_STG.1)

FAU_STG.1.1 TSF应保护所存储的审计记录，以避免未授权的删除。

FAU_STG.1.2 TSF应能[选择，选取一个：防止、检测]对审计迹中所存储审计记录的未授权修改。

防止审计数据丢失(FAU_STG.4)

FAU_STG.4.1 如果审计迹已满，TSF应[选择，选取一个：“忽略可审计事件”、“阻止可审计事件，除具有特权的授权用户产生的”、“涵盖所存储的最早的审计记录”]和[赋值：审计存储失效时所采取的其他动作]。

FCS类：密码支持

密钥生成(FCS_CKM.1.1(1))

FCS_CKM.1.1(1) 移动终端的安全功能应根据符合下列标准[赋值：标准列表]的一个特定的密钥生成算法[赋值：密钥生成算法]和规定的密钥长度[赋值：密钥长度]来生成密钥。

密钥生成(WLAN)(FCS_CKM.1.1(2))

FCS_CKM.1.1(2) 移动终端的安全功能应使用FCS_RBG_EXT.1中规定的随机比特生成器，按照规定的密钥生成算法[赋值：密钥生成算法]和规定的密钥大小[赋值：密钥长度]生成密钥。

密钥建立(FCS_CKM.2.1(1))

FCS_CKM.2.1(1) 移动终端的安全功能应根据符合下列标准[赋值：标准列表]中的一个特定的密钥建立方法[赋值：密钥建立方法]来执行密钥建立。

密钥分发(FCS_CKM.2.1(2))

FCS_CKM.2.1(2) 移动终端的安全功能应根据符合下列标准[赋值：标准列表]中的一个特定的密钥分发方法[赋值：密钥分发方法]来分发密钥。

密钥支持(FCS_CKM_EXT.1)

FCS_CKM_EXT.1.1 移动终端的安全功能应支持[选择：硬件隔离，硬件保护]的密钥大小为[选择：密钥长度]的根加密密钥。

FCS_CKM_EXT.1.2 移动终端的安全功能上的系统软件应只能通过密钥请求[选择：加密/解密，密钥分发]，不能够读取，导入，导出根加密密钥。

FCS_CKM_EXT.1.3 应按照FCS_RBG_EXT.1的随机位生成器来生成根加密密钥。

数据加密密钥(FCS_CKM_EXT.2)

FCS_CKM_EXT.2.1 所有的数据加密密钥应按照[选择：密钥长度]AES密钥的安全强度对应的熵来随机生成。

密钥加密密钥(FCS_CKM_EXT.3)

FCS_CKM_EXT.3.1 所有密钥加密密钥(KEKs)应为[赋值：密钥长度]密钥，至少相应于被KEK加密的密钥的安全强度。

FCS_CKM_EXT.3.2 移动终端的安全功能应使用以下方法[赋值：方法列表]，从一个口令授权因子中导出所有密钥加密密钥。

密钥销毁(FCS_CKM_EXT.4)

FCS_CKM_EXT.4.1 移动终端的安全功能应按照规定的密钥销毁方法[选择：密钥销毁方法]销毁密钥。

FCS_CKM_EXT.4.2 移动终端的安全功能应销毁所有不再需要的明文密钥材料和关键安全参数。

TSF擦除(FCS_CKM_EXT.5)

FCS_CKM_EXT.5.1 移动终端的安全功能应按照规定的数据擦除方法[选择：数据擦除方法]擦除所有受保护数据。

FCS_CKM_EXT.5.2 移动终端的安全功能应在擦拭程序结束时重新启动。

密码盐值生成(FCS_CKM_EXT.6)

FCS_CKM_EXT.6.1 移动终端的安全功能应使用满足FCS_RBG_EXT.1的RBG生成所有的盐值。

密码运算(FCS_COP.1)

FCS_COP.1.1(1) 移动终端的安全功能应按照满足下列标准[赋值：标准列表]规定的密码算法[赋值：密码算法]和密钥长度[赋值：密钥长度]执行加密/解密。

FCS_COP.1.1(2) 移动终端的安全功能应按照满足下列标准[赋值：标准列表]规定的密码算法[赋值：密码算法]和密钥长度[赋值：密钥长度]来执行[赋值：密码散列]。

FCS_COP.1.1(3) 移动终端的安全功能应按照规定的密码算法[赋值：密码算法]执行密码签名服务(生成和验证)。

FCS_COP.1.1(4) 移动终端的安全功能应按照满足下列标准[赋值：标准列表]规定的密码算法[赋值：密码算法]和密钥长度[赋值：密钥长度]来执行散列消息鉴别。

FCS_COP.1.1(5) 移动终端的安全功能应按照下列标准[赋值：标准列表]规定的密码算法[赋值：密码算法]和输出密钥长度[赋值：密钥长度]来执行基于口令的密钥导出算法。

HTTPS协议(FCS_HTTPS_EXT.1)

FCS_HTTPS_EXT.1.1 移动终端的安全功能应执行符合标准的HTTPS协议。

FCS_HTTPS_EXT.1.2 移动终端的安全功能应执行使用TLS的HTTPS协议。

FCS_HTTPS_EXT.1.3 如果对等证书被视为无效，移动终端的安全功能应通知应用程序和[选择：没有建立连接，请求应用程序授权建立连接，没有其他的动作]。

初始向量生成(FCS_IV_EXT.1)

FCS_IV_EXT.1.1 移动终端的安全功能应按照规定的加密模式[赋值：加密模式]的要求来生成初始向量。

随机位生成器(FCS_RBG.1)

FCS_RBG_EXT.1.1 移动终端的安全功能应产生TSF密码功能中所使用的所有随机数，随机数产生器应符合国家标准和国家密码管理机构相关标准要求。

密码算法服务(FCS_SRV_EXT.1)

FCS_SRV_EXT.1.1 移动终端的安全功能应向应用提供一种机制来请求TSF执行密码运算[赋值：密码运算列表]。

密钥存储(FCS_STG_EXT.1)

FCS_STG_EXT.1.1 移动终端的安全功能应为非对称私钥和[选择：对称密钥，持久秘密，没有其他密钥] 提供[选择：硬件，硬件隔离，基于软件]的安全密钥存储。

FCS_STG_EXT.1.2 移动终端的安全功能应能根据[选择：用户，管理员]和[选择：运行在TSF上的应用，无其他项目]请求，将密钥/秘密导入到安全密钥存储中。

FCS_STG_EXT.1.3 移动终端的安全功能应能根据[选择：用户，管理员]的请求，销毁存储在安全密钥存储中的密钥/秘密。

FCS_STG_EXT.1.4 移动终端的安全功能应只允许导入了密钥/秘密的应用才能使用密钥/秘密。例外的情况只能是被[选择：用户，管理员，普通应用开发者]明确授权。

FCS_STG_EXT.1.5 移动终端的安全功能应只允许导入了密钥/秘密的应用才能请求销毁密钥/秘密。例外的情况只能是被[选择：用户，管理员，普通应用开发者]明确授权。

存储密钥的加密(FCS_STG_EXT.2)

FCS_STG_EXT.2.1 移动终端的安全功能应通过KEKs加密所有的DEKs和KEKs和 [选择：长期信任的信道密钥材料，所有基于软件的密钥存储，没有其他密钥] ，即是[选择： 通过REK利用 [选择：由REK加密，由链接到REK的KEK加密]来保护，通过REK和口令利用[选择：由REK和口令派生的KEK加密，由链接到REK的KEK和口令派生KEK加密]来保护].

FCS_STG_EXT.2.2 应使用下列标准[赋值：标准列表]规定的密码算法[赋值：密码算法]对DEKs和KEKs和 [选择：长期信任的信道密钥材料，所有基于软件的密钥存储，没有其他密钥]进行加密。

存储密钥的完整性(FCS_STG_EXT.3)

FCS_STG_EXT.3.1 移动终端的安全功能应通过以下方式[赋值：方式列表]来保护DEKs和KEKs和 [选择：长期信任的信道密钥材料，所有基于软件的密钥存储，没有其他密钥]的完整性。

FCS_STG_EXT.3.2 在使用密钥之前，移动终端的安全功能应验证存储密钥的[选择：哈希，数字签名，MAC]的完整性。

EAP-TLS客户端协议(FCS_TLSC_EXT.1)

FCS_TLSC_EXT.1.1 移动终端的安全功能应执行TLS 1.0和[选择：TLS 1.1, TLS 1.2, 没有其他TLS版本]中支持的以下密码套件：[赋值：密码套件列表]。

FCS_TLSC_EXT.1.2 移动终端的安全功能应验证服务器证书为EAP-TLS提供了[选择： 链接到指定的CAs中的一个，包括可接受的鉴别服务器证书的指定FQDN]。

FCS_TLSC_EXT.1.3 如果对方的证书是无效的，移动终端的安全功能应不建立可信信道。

FCS_TLSC_EXT.1.4 移动终端的安全功能应支持使用规定的证书来进行相互验证。

TLS客户端协议(FCS_TLSC_EXT.2)

FCS_TLSC_EXT.2.1 移动终端的安全功能应执行TLS 1.2中支持的以下密码套件：[赋值：密码套件列表]。

FCS_TLSC_EXT.2.1 移动终端的安全功能应验证给出的标识与RFC 6125规定的参考标识相匹配。

FCS_TLSC_EXT.2.3 如果对方的证书是无效的，移动终端的安全功能应不建立可信信道。

FCS_TLSC_EXT.2.4 移动终端的安全功能应支持使用规定的证书来进行相互验证。

FDP类：用户数据保护

访问控制(FDP_ACF_EXT.1)

FDP_ACF_EXT.1.1 移动终端的安全功能应提供一种机制来限制应用程序访问系统服务。

FDP_ACF_EXT.1.2 移动终端的安全功能应提供一种访问控制策略来防止[选择：应用程序，应用程序组]访问[选择：应用程序，应用程序组]存储的[选择：全部，隐私]数据。例外的只能是被[选择：用户，管理员，普通的应用程序开发者]明确授权用于共享。

静态数据保护(FDP_DAR_EXT.1)

FDP_DAR_EXT.1.1 应加密所有受保护数据。

FDP_DAR_EXT.1.2 应使用密钥大小为[选择: 密钥长度]，模式为[选择: XTS, CBC, GCM]，密码算法为[赋值：密码算法]的DEKs来执行加密。

子集信息流控制(FDP_IFC_EXT.1)

FDP_IFC_EXT.1.2 移动终端的安全功能应[选择：向VPN客户端提供一个接口以确保所有的IP流量(而不是建立VPN连接所需的IP流量)流经IPSec VPN客户端，确保所有的IP流量(而不是建立VPN连接所需的IP流量)流经IPSec VPN客户端]。

用户数据存储(FDP_STG_EXT.1)

FDP_STG_EXT.1.1 移动终端的安全功能应为信任锚数据库提供受保护的存储。

TSF间用户数据传输保护(FDP_UPC_EXT.1)

FDP_UPC_EXT.1.1 移动终端的安全功能应为运行在TOE上的非TSF应用提供一种方式来使用TLS，HTTPS，蓝牙BR/EDR，和[选择：DTLS，蓝牙LE，其他协议]，为非TSF应用和其他IT产品之间提供受保护的通信信道，该信道与其他通信信道是逻辑隔离的，提供有保证的终端节点的鉴别，保护信道数据以免被泄露，并检测信道数据的修改。

FDP_UPC_EXT.1.2 移动终端的安全功能应允许非TSF应用通过可信信道发起通信。

FIA类：标识和鉴别.

鉴别失败处理(FIA_AFL_EXT.1)

FIA_AFL_EXT.1.1 移动终端的安全功能应检测何时发生[赋值：正整数]次相对于该用户最后成功鉴别的未成功鉴别尝试。

FIA_AFL_EXT.1.2 当超过所定义的未成功鉴别尝试的次数，移动终端的安全功能应擦除所有受保护的数据。

FIA_AFL_EXT.1.3 移动终端的安全功能应在发生断电后保持不成功的鉴别尝试次数。

蓝牙用户鉴别(FIA_BLT_EXT.1)

FIA_BLT_EXT.1.1 移动终端的安全功能应在与其他蓝牙设备配对前要求进行用户鉴别。

端口访问实体鉴别(FIA_PAE_EXT.1)

FIA_PAE_EXT.1 对于“请求”角色中的端口访问实体，移动终端的安全功能应符合IEEE标准802.1X。

口令管理(FIA_PMG_EXT.1)

FIA_PMG_EXT.1.1 TSF应支持以下口令鉴别因子：

口令应能够由[选择: 大写和小写字母，[赋值：至少52个字母集合]]，数字和特殊字符 [选择： “!”, “@”, “#”, “$”, “%”, “^”, “&”, “*”, “(“, “)”, 赋值：其他字符]的任意组合来构成；

口令的长度应支持[赋值：大于等于14的整数]个字符。

鉴别节流(FIA_TRT_EXT.1)

FIA_TRT_EXT.1.1 移动终端的安全功能应通过[选择：防止通过外部接口鉴别，在不正确鉴别尝试之间强加一个时延]来自动限制用户鉴别尝试。用户鉴别尝试连续失败次数不超过10次，两次尝试间隔应不小于500毫秒。

受保护的鉴别反馈(FIA_UAU.7)

FIA_UAU.7.1 对于鉴别正在进行的用户，移动终端的安全功能应向终端的提供隐式显示。

加密运算鉴别(FIA_UAU_EXT.1)

FIA_UAU_EXT.1.1 在启动时，移动终端的安全功能应在解密受保护数据和加密DEKs、KEKs和[选择：长期可信信道的密钥材料，所有基于软件的密钥存储，无其他密钥]之前，要求用户给出口令鉴别因子。

鉴别的时机(FIA_UAU_EXT.2)

FIA_UAU_EXT.2.1 在用户被鉴别之前，移动终端的安全功能应允许执行代表用户的[选择：[赋值：动作列表]，无其他动作]。

FIA_UAU_EXT.2.2 在允许执行代表用户的任何其他TSF介导之前，移动终端的安全功能应要求每个用户都已被成功鉴别。

重鉴别(FIA_UAU_EXT.3)

FIA_UAU_EXT.3.1 当用户更改口令鉴别因子时，移动终端的安全功能应要求用户输入正确的口令鉴别因子，并按照TSF和用户发起的锁定过度到解锁状态，和[选择：[赋值：其他条件]，无其他条件]。

证书的验证(FIA_X509_EXT.1)

FIA_X509_EXT.1.1 TSF应按照下面的规则验证证书：

国家标准或国际标准规定的证书验证和证书路径验证。

证书路径必须以信任锚数据库中的证书终止。

对于所有CA证书，TSF应通过确保basicConstraints扩展的存在和将CA标志设置为TRUE来验证一个证书的路径。

移动终端的安全功能应使用[选择：规定的在线证书状态协议，规定的证书撤销列表]来验证证书的吊销状态。

移动终端的安全功能应按照以下规则来验证extendedKeyUsage域：

用于可信更新和执行代码完整性验证的证书应在extendedKeyUsage域具有代码签名用途。

在 extendedKeyUsage 域，提交给TLS的服务器证书应具有服务器验证用途。

FIA_X509_EXT.1.2 如果basicConstraints 扩展存在以及CA标识设置为TRUE，移动终端的安全功能应只把证书当作CA证书。

X509证书鉴别(FIA_X509_EXT.2)

FIA_X509_EXT.2.1 移动终端的安全功能应使用规定的证书来支持EAP-TLS 交换鉴别，以及[选择： IPsec, TLS, HTTPS, DTLS]]，和[选择：系统软件更新代码签名，移动应用代码签名，完整性验证代码签名，[赋值：其他用途]，没有其他用途]。

FIA_X509_EXT.2.2 当移动终端的安全功能无法建立连接以确定证书的有效性时，移动终端的安全功能应[选择：允许管理员选择是否接受这些情况下的证书，允许管理员选择是否接受这些情况下的证书，接受证书，不接受证书]。

证书请求验证(FIA_X509_EXT.2)

FIA_X509_EXT.3.1 移动终端的安全功能应向应用程序提供证书验证服务。

FIA_X509_EXT.3.2 移动终端的安全功能应向请求的应用程序提供验证成功或失败的回应。

FMT类：安全管理

安全功能行为管理(FMT_MOF.1)

FMT_MOF.1.1 移动终端的安全功能应限制用户执行表2第3列中功能的能力。

FMT_MOF.1.2 当设备已注册并根据管理员的配置策略，移动终端的安全功能应限制管理员执行表2第5列中功能的能力。

管理功能规范(FMT_SMF_EXT.1)

FMT_SMF_EXT.1.1 移动终端的安全功能应能够执行如下管理功能：

表2 管理功能

补救行动规范(FMT_SMF_EXT.1)

FMT_SMF_EXT.1 移动终端的安全功能应向非注册的终端提供[选择：擦除受保护数据，擦除敏感数据，提醒管理员，移除应用，[赋值：其他可用补救行动的列表]]以及[选择：[赋值：其他管理员配置的触发器]，没有其他触发器]。

FPT类：TSF保护

抗开发服务(位址空间布局随机化)(FPT_AEX_EXT.1)

FPT_AEX_EXT.1.1 移动终端的安全功能应向应用提供位址空间布局随机化。

FPT_AEX_EXT.1.2 任何用户空间映射的基地址将包括至少8个不可预测的位。

抗开发服务(内存页权限)(FPT_AEX_EXT.2)

FPT_AEX_EXT.2.1 移动终端的安全功能应能够执行读取，写入，和物理内存的每个页面的执行权限。

抗开发服务(堆栈溢出保护)(FPT_AEX_EXT.3)

FPT_AEX_EXT.3.1 在应用处理器上的非特权执行域执行的移动终端安全功能进程应执行基于堆栈的缓冲区溢出保护。

域隔离(FPT_AEX_EXT.4)

FPT_AEX_EXT.4.1 移动终端的安全功能应保护自己以免被不可信主体修改。

FPT_AEX_EXT.4.2 移动终端的安全功能应在应用之间执行地址空间隔离。

密钥存储(FPT_KST_EXT.1)

FPT_KST_EXT.1.1 移动终端的安全功能不得在可读的非易失性存储器中存储任何明文密钥材料。

无密钥传输(FPT_KST_EXT.2)

FPT_KST_EXT.2.1 移动终端的安全功能不应在评估对象的安全边界外传输任何明文密钥材料。

无明文密钥导出(FPT_KST_EXT.3)

FPT_KST_EXT.3.1 移动终端的安全功能应确保评估对象的用户不可能导出明文密钥。

自检提示(FPT_NOT_EXT.1)

FPT_NOT_EXT.1.1 当下述类型的错误发生时，移动终端的安全功能应过渡到非操作模式，并且[选择：将错误记录到审计日志中，通知管理员，[赋值：其他行动]，没有其他行动]：

自检错误

安全功能软件完整性验证错误

[选择：无其他错误，[赋值：其他错误]].

可靠的时间戳(FPT_STM.1)

FPT_STM.1.1 移动终端的安全功能应能够提供可靠的时间戳供它自己使用。

安全功能加密功能测试(FPT_TST_EXT.1)

FPT_TST_EXT.1.1 移动终端的安全功能应在初始启动(启动电源)期间运行一套自我测试，来证明所有加密功能的正确操作。

安全功能完整性测试(FPT_TST_EXT.2)

FPT_TST_EXT.2.1 移动终端的安全功能应通过应用处理器操作系统内核验证应用处理器启动链和[选择：存储在可变的介质中的所有的可执行代码，[赋值：其他执行代码的列表]，无其他执行代码]的完整性，在它执行之前通过使用[选择：使用硬件保护的非对称密钥的数字签名，硬件保护的非对称密钥，硬件保护的散列]存储在可变介质中。

可信更新：TSF版本查询(FPT_TUD_EXT.1)

FPT_TUD_EXT.1.1 移动终端的安全功能应向授权用户提供查询TOE固件/软件当前版本的能力。

FPT_TUD_EXT.1.2 移动终端的安全功能应向授权用户提供查询终端硬件模式的当前版本的能力。

FPT_TUD_EXT.1.3 移动终端的安全功能应向授权用户提供查询已安装的移动应用的当前版本的能力。

可信更新的验证(FPT_TUD_EXT.2)

FPT_TUD_EXT.2.1 移动终端的安全功能应在安装这些更新之前使用制造商的数字签名来验证更新到应用处理器系统软件和[选择：[赋值：其他处理器系统软件]，无其他处理器系统软件]的软件。

FPT_TUD_EXT.2.2 移动终端的安全功能应[选择：从不更新，只被验证的软件更新]安全功能启动的完整性[选择：密钥, 散列]。

FPT_TUD_EXT.2.3 移动终端的安全功能应验证数字签名验证密钥用于TSF更新[选择: 被验证为信任锚数据库中的公钥， 匹配硬件保护的公共密钥]。

FPT_TUD_EXT.2.4 移动终端的安全功能应在安装之前使用数字签名机制验证移动应用软件。

FTA类：TOE访问

TSF和用户发起的锁定状态(FTA_SSL_EXT.1)

FTA_SSL_EXT.1.1 移动终端的安全功能应在一定时间间隔的不活动状态后，转变为锁定状态。

FTA_SSL_EXT.1.2 移动终端的安全功能应在用户或管理员发起后，转变为锁定状态。

FTA_SSL_EXT.1.3 移动终端的安全功能应在转换到锁定状态时执行以下操作：

清除或覆盖显示终端，遮挡以前的内容；

[赋值：在转换到锁定状态下执行其他动作]。

无线网络接入(FTA_WSE_EXT.1)

FTA_WSE_EXT.1.1 移动终端的安全功能应能够尝试连接到按照在FMT_SMF_EXT.1中被管理员配置的指定为可接受网络的无线网络。

FTP类：可信路径/信道

可信通道通信(FTP_ITC_EXT.1)

FTP_ITC_EXT.1.1 移动终端的安全功能应为它自己和另一可信IT产品提供一条通信信道，该信道在逻辑上与其他通信信道不同，并且向其端点提供确定的标识，保护信道中数据免遭泄露，并且能够检测信道数据的篡改。

FTP_ITC_EXT.1.2 移动终端的安全功能应允许安全功能通过可信通道发起通信。

FTP_ITC_EXT.1.3 移动终端的安全功能应通过可信通道发起通信，用于无线接入点连接，管理通信，配置连接和[选择：OTA更新，无其他连接]。

安全保障要求

表3列出了安全保障要求组件。下述各条对各组件给出了详细的说明。

表3 安全保障要求组件

ADV类：开发

基本功能规范(ADV_FSP.1)

开发者行为元素：

ADV_FSP.1.1D 开发者应提供功能规范。

ADV_FSP.1.2D 开发者应提供功能规范到安全功能要求的追溯。

内容和形式元素

ADV_FSP.1.1C 功能规范应描述所有TSFI的目的和使用方法。

ADV_FSP.1.2C 功能规范应标识和描述与每个TSFI关联的所有参数。

ADV_FSP.1.3C 功能规范应为作为SFR互不干扰接口的隐分类提供基本原理。

ADV_FSP.1.4C 功能规范应论证安全功能要求到TSFI的追溯。

评估者行为元素：

ADV_ FSP.1.1E 评估者应确认所提供的信息满足证据的内容和形式的所有要求。

ADV_ FSP.1.2E 评估者应确定功能规范是安全功能要求的一个准确和完整的具体例证说明。

AGD类：指导性文档

用户操作指南(AGD_OPE.1)

开发者行为元素：

AGD_OPE.1.1D 开发者应提供用户操作指南。

内容和形式元素

AGD_OPE.1.1C 用户操作指南应对每个用户角色进行描述，在安全处理环境中应被控制的用户可访问的功能和特权，包含适当的警示信息。

AGD_OPE.1.2C 用户操作指南应对每个用户角色进行描述，怎样以安全的方式使用TOE提供的可用接口。

AGD_OPE.1.3C 用户操作指南应对每个用户角色进行描述，可用功能和接口，尤其是受用户控制的所有安全参数，适当时应指明安全值。

AGD_OPE.1.4C 用户操作指南应对每一种用户角色明确说明，与需要执行的用户可访问功能有关的每一种安全相关事件，包括改变TSF所控制实体的安全特性。

AGD_OPE.1.5C 用户操作指南应标示TOE运行的所有可能状态(包括操作导致的失败或操作性错误)，它们与维持安全运行之间的因果关系和联系

AGD_OPE.1.6C 用户操作指南应对每一种用户角色进行描述，为了充分实现ST中描述的运行环境安全目的所必须执行的安全策略。

AGD_OPE.1.7C 用户操作指南应是明确和合理的。

评估者行为元素：

AGD_OPE.1.1E 评估者应确认所提供的信息满足证据的内容和形式的所有要求。

准备程序(AGD_PRE)

开发者行为元素：

AGD_PRE.1.1D 开发者应提供TOE，包括它的准备过程。

内容和形式元素：

AGD_ PRE.1.1C 准备过程应描述按照开发者交付程序安全接收TOE必要的全部步骤。

AGD_ PRE.1.2C 准备过程应描述安全安装TOE以及依据ST中描述的运行环境安全目的安全准备操作环境必要的全部步骤。

评估者行为元素：

AGD_ PRE.1.1E 评估者应确认提供的信息满足证据的内容和形式的所有要求。

AGD_ PRE.1.2E 评估者应运用准备过程确认TOE能为操作做好安全准备。

ALC类：生命周期支持

TOE标签(ALC_CMC.1)

开发者行为元素：

ALC_CMC.1.1D 开发者应提供TOE及其参照号。

内容和形式元素：

ALC_CMC.1.1C 应给TOE标记唯一的参照号。

评估者行为元素：

ALC_CMC.2.1E 评估者应确认所提供的信息满足证据的内容和形式的所有要求。

TOE 配置管理覆盖部分(ALC_CMS.2)

开发者行为元素：

ALC_CMS.2.1D 开发者应提供TOE配置列表。

内容和形式元素：

ALC_CMS.2.1C 配置列表应包括下列内容：TOE本身，安全保障要求所要求的评估证据。

ALC_CMS.2.2C 配置列表应唯一标识配置项。

评估者行为元素：

ALC_CMS.2.1E 评估者应确认所提供的信息满足证据的内容和形式的所有要求。

及时的安全更新(ALC_TSU_EXT)

开发者行为元素：

ALC_TSU_EXT.1.1D 开发者应提供在TSS中及时安全更新是如何给TOE的描述。

内容和形式元素：

ALC_TSU_EXT.1.1C 该描述应包括TOE软件/固件的安全更新的创建和部署过程。

ALC_TSU_EXT.1.2C 该描述应给出漏洞公开披露和TOE安全更新公开可用之间的时间窗的时间长度，以天为单位。

ALC_TSU_EXT.1.3C 该描述应包括涉及TOE的安全问题报告的公开可用的机制。

评估者行为元素：

ALC_TSU_EXT.2.1E评估者应确认所提供的信息满足证据的内容和形式的所有要求。

ASE类：安全目标评估

符合性声明(ASE_CCL.1)

开发者行为元素：

ASE_CCL.1.1D 开发者应提供符合性声明。

ASE_CCL.1.2D 开发者应提供符合性声明的基本原理。

内容和形式元素：

ASE_CCL.1.1C 符合性声明应说明ST及TOE所遵从的标准。

ASE_CCL.1.2C 符合性声明应论证TOE类型与其遵从的标准中的TOE类型是一致的。

ASE_CCL.1.3C 符合性声明应论证安全问题定义与其遵从的标准中安全问题定义是一致的。

ASE_CCL.1.4C 符合性声明应论证安全目的与其遵从的标准中的安全目的是一致的。

ASE_CCL.1.5C 符合性声明应论证其安全要求与其遵从的标准中的安全要求是一致的。

评估者行为元素

ASE_CCL.1.1E 评估者应能确认所提供的信息满足证据的内容和形式的所有要求。

扩展组件定义(ASE_ECD.1)

开发者行为元素：

ASE_ECD.1.1D 开发者应提供安全要求的陈述。

ASE_ECD.1.2D 开发者应提供扩展组件定义。

内容和形式元素：

ASE_ECD.1.1C 安全要求的陈述应标明所有扩展的安全要求。

ASE_ECD.1.2C 扩展组件定义应为每一个扩展的安全要求定义一个扩展组件。

ASE_ECD.1.3C 扩展组件定义应为描述每一个扩展组件与标准现有组件、族、类的关系。

ASE_ECD.1.4C 扩展组件定义应使用标准现有组件、族、类及方法作为表达形式。

ASE_ECD.1.5C 扩展组件应由可度量的和客观的组件组成，以便于论证是否遵从这些组件。

评估者行为元素

ASE_ECD.1.1E 评估者应能确认所提供的信息满足证据的内容和形式的所有要求。

ASE_ECD.1.2E 评估者应确认已有组件无法明确表示扩展组件。

ST引言(ASE_INT.1)

开发者行为元素：

ASE_INT.1.1D 开发者应提供ST引言。

内容和形式元素：

ASE_INT.1.1C ST引言应包含ST实例、TOE实例、TOE概述及TOE描述。

ASE_INT.1.2C ST实例应唯一标识ST。

ASE_INT.1.3C TOE实例应唯一标识TOE。

ASE_INT.1.4C TOE概述应简述TOE用途和主要安全特征。

ASE_INT.1.5C TOE概述应标识TOE类型。

ASE_INT.1.6C TOE概述应标识不属于TOE但TOE需要的任何硬件、软件及固件。

ASE_INT.1.7C TOE应陈述TOE的物理范围。

ASE_INT.1.8C TOE的描述应陈述TOE的逻辑范围。

评估者行为元素

ASE_INT.1.1E 评估者应能确认所提供的信息满足证据的内容和形式的所有要求。

ASE_INT.1.2E 评估者应确认TOE实例、TOE概述及TOE描述之间的一致性。

安全目的(ASE_OBJ.1)

开发者行为元素：

ASE_OBJ.1.1D 开发者应陈述安全目的。

ASE_OBJ.1.2D 开发者应提供安全目的原理。

内容和形式元素：

ASE_OBJ.1.1C 安全目的应描述TOE安全目的和操作环境安全目的。

ASE_OBJ.1.2C 安全目的原理应追溯每一个TOE的安全目的所对应的威胁和要求实施的组织安全策略。

ASE_OBJ.1.3C 安全目的原理应追溯每一个操作环境的安全目的所对应的威胁和要求实施的组织安全策略，及其支持的假设。

ASE_OBJ.1.4C 安全目的的原理应证明安全目的应对了所有的威胁。

ASE_OBJ.1.5C 安全目的原理应证明安全目的实施了所有的组织安全策略。

ASE_OBJ.1.6C 安全目的原理应证明操作环境的安全目的支持了所有的假设。

评估者行为元素

ASE_OBJ.1.1E 评估者应能确认所提供的信息满足证据的内容和形式的所有要求。

安全要求导出(ASE_REQ.1)

开发者行为元素：

ASE_REQ.1.1D 开发者应陈述安全要求。

ASE_REQ.1.2D 开发者应提供安全要求原理。

内容和形式元素：

ASE_REQ.1.1C 安全要求应描述安全功能要求和安全保障要求。

ASE_REQ.1.2C 应对安全功能要求和安全保障要求中的所有主体、客体、操作、安全属性、外部实体及其他项目进行定义。

ASE_REQ.1.3C 安全要求陈述应标明安全要求的所有操作。

ASE_REQ.1.4C 应正确执行所有操作。

ASE_REQ.1.5C 应满足安全要求见的依赖关系，或者在安全要求原理中说明不满足的理由。

ASE_REQ.1.6C 安全要求原理应追溯每一安全要求到所对应的TOE的安全目的。

ASE_REQ.1.7C 安全要求原理应论证安全要求组件实现了所有的TOE安全目的。

ASE_REQ.1.8C 安全要求原理应解释选择安全保障要求组件的原因。

ASE_REQ.1.9C 安全要求的陈述应是内部一致的。

评估者行为元素

ASE_REQ.1.1E 评估者应能确认所提供的信息满足证据的内容和形式的所有要求。

安全问题定义(ASE_SPD.1)

开发者行为元素：

ASE_SPD.1.1D 开发者应提供安全问题定义。

内容和形式元素：

ASE_SPD.1.1C 安全问题定义应描述威胁。

ASE_SPD.1.2C 所有威胁应按照威胁主体、资产及攻击行为进行描述。

ASE_SPD.1.3C 安全问题定义应描述组织安全策略。

ASE_SPD.1.4C 安全问题定义应描述有关有关TOE操作环境的建设。

评估者行为元素

ASE_SPD.1.1E 评估者应能确认所提供的信息满足证据的内容和形式的所有要求。

TOE概要规范(ASE_TSS.1)

开发者行为元素：

ASE_TSS.1.1D 开发者应提供TOE概要规范。

内容和形式元素：

ASE_TSS.1.1C TOE概要规范应描述TOE如何满足每一个安全功能要求。

评估者行为元素

ASE_TSS.1.1E 评估者应能确认所提供的信息满足证据的内容和形式的所有要求。

ASE_TSS.1.2E 评估者应确认TOE概要规范与TOE概述和TOE描述一致。

ATE类：测试

独立测试-一致性(ATE_IND)

开发者行为元素：

ATE_IND.1.1D 开发者应提供用于测试的TOE。

内容和形式元素

ATE_IND.1.1C TOE应适合测试。

评估者行为元素：

ATE_IND.1.1E 评估者应确认所提供的信息满足证据的内容和形式的所有要求。

ATE_IND.1.2E 评估者应测试TSF的一个子集以确认TSF按照规定运行。

AVA类：脆弱性评估

脆弱性评估(AVA_VAN.1)

开发者行为元素：

AVA_VAN.1.1D开发者应提供用于测试的TOE。

内容和形式元素：

AVA_VAN.1.1C TOE应适合测试。

评估者行为元素：

AVA_VAN.1.1E 评估者应确认所提供的信息满足证据的内容和形式的所有要求。

AVA_VAN.1.2E 评估者应执行公共领域的调查以标识TOE的潜在脆弱性。

AVA_VAN.1.3E 评估者应基于已标识的潜在的脆弱性实施穿透性测试，确认TOE能抵抗具有基本攻击潜力的攻击者的攻击。

基本原理

安全目的基本原理

表4描述了移动终端的安全目的能应对所有可能的威胁、假设和组织安全策略。每一种威胁、组织安全策略和假设都至少有一个或一个以上安全目的与其对应，因此是完备的。

表 4 威胁与安全目的

安全要求基本原理

表5描述了针对每一个安全目的所对应的安全功能要求或安全保障要求，以说明安全目的得到正确实施。

表5 安全要求原理表

参 考 文 献

[1] YD/T 1699-2007 移动终端信息安全技术要求

[2] YD/T 1886-2009 移动终端芯片安全技术要求和测试方法

[3] YD/T 2407-2013 移动智能终端安全能力技术要求

[4] YD/T 2408-2013 移动智能终端安全能力测试方法

[5] GB/T 18336.2-2008 信息技术 安全技术 信息技术安全性评估准则 第2部分：安全功能要求

[6] GB/T 18336.3-2008 信息技术 安全技术 信息技术安全性评估准则 第3部分：安全保证要求

[7] ISO/IEC 15408-1:2009 Information technology —Security techniques—Evaluation criteria for IT security —Part 1: Introduction and general model

[8] ISO/IEC 15408-2:2008 Information technology —Security techniques—Evaluation criteria for IT security —Part 2:Security functional components

[9] ISO/IEC 15408-3:2008 Information technology —Security techniques—Evaluation criteria for IT security —Part 3:Security assurance components

[10] NIST SP800-124，Guidelines on Cell Phone and PDA Security,2008,8

[11] NIST SP800-124-rev1,Guidelines for Managing and Securing Mobile Devices in the Enterprise,2012

[12] US-Cert, cyber_threats_to_mobile_phones，2013

[13] US-Cert，Protecting Portable Devices: Data Security, Security Tip ST04-020，2013

[14] US-Cert，Protecting Portable Devices: Physical Security, Security Tip ST04-020，2013