06.DevEco+Testing支撑应用开发者自测试.pdf

1、DevEcoDevEco TestingTesting支撑应用安全开发自测试支撑应用安全开发自测试应用安全风险分析及典型案例DevEco Testing安全检测演示应用安全风险分析应用云端2 2应用安全风险点1.Ability安全：Ability接收数据2.端云交互：HTTPS、Web接口3.权限的申请、使用4.签名证书的有效性5.系统通用配置及数据的存储等6.其他隐私、合规等1 1应用组件App配置文件Module配置文件签名证书3 3OS4 4数据存储运行环境5 56 6/DataShare.tsasync function verifyByUri(uri)let bundTokenIdF

2、romUri=getBundleNameAndTokenIDByUri(uri);/从外部传入的URI获取调用者的身份tokenIDverifyAccessByTokenId(bundTokenIdFromUri.tokenId,highPermission);/通过tokenID校验调用方权限DataShare泄露敏感个人数据/module.json文件extensionAbilities:name:DataShareExtAbility,uri:datashare:/calendar.DataShare,visible:true/服务暴露且未使用权限保护应用应用组件App配置文件Modul

3、e配置文件签名证书攻击演示DataShare泄露敏感个人数据1、攻击者调用createDataShareHelper函数指定URI路径无权限拉起DataShare组件2、攻击者构造形如datashare:/calendar.DataShare/tokenID=1234567的URI路径伪造自身身份，调用Insert，Query，Delete等函数操作个人数据修复建议:1、包含敏感个人数据的组件在module.json5文件中定义时，加上恰当的权限2、组件内部获取调用者身份使用系统接口rpc.IPCSkeleton.getCallingTokenId()，不要信任外部传入数据错误代码示例:ext

4、ensionAbilities:name:com.ohos.screenshot.ServiceExtAbility,srcEntrance:./ets/DataShareExtAbility.ets,type:service,visible:true/服务暴露攻击演示攻击思路:1.攻击者调用connectServiceExtensionAbility连接截图服务，获取服务的proxy对象2.调用proxy对象的注册方法，注册图片数据接收方3.调用proxy对象的截图方法，攻击者可以无权限接收用户屏幕内容Service泄露敏感功能其他的安全风险当前已经识别共43条，包含可测试性安全风险点27项

5、，隐私风险点16项成为开发者成为开发者发布阶段发布阶段1代码安全扫描DevEcoDevEco StudioStudio安全编码安全编码2开发者自测试开发者自测试3上架发布上架发布HarmonyOSHarmonyOS应用应用E2E E2E 安全检测能力安全检测能力集成验证集成验证DevEcoDevEco Studio+Studio+DevEcoDevEco TestingTesting开发阶段开发阶段 隐私合规：隐私声明合理性 病毒木马：远程控制，系统破坏等 广告合规：比如“摇一摇”仿冒侵权：名称、图标等造成侵权 版权资质：真实的资质文件安全检测AppGallery 安全漏洞(本地)：Abili

6、ty访问控制 安全配置(本地)：签名证书、Debug签名 安全漏洞(云端)：反编译+代码追踪 隐私检测(云端)：权限使用、申请规则TS/ETS编码规范应用安全风险分析及典型案例DevEco Testing安全检测演示DevEco Studio 应用安全检测插件（本地）预计9月份正式发布，1期检测规则共14条Ability安全必须显式设置不对外交互的Ability的visible属性为false必须对外交互的Ability应设置合理的访问权限只允许被特定应用或安全级别设备发现或