YD/T 3663-2020 标准解读

一、标准适用范围与执行边界

• 适用主体：移动通信智能终端制造商、预装操作系统及核心应用的整机厂商、承担终端安全风险评估服务的第三方检测机构；不适用于纯硬件模组（如基带芯片、射频模块）供应商及未集成通信功能的独立IoT设备（如蓝牙耳机、非蜂窝型智能手表）。
• 适用场景：面向公众销售的具备蜂窝通信能力（2G/3G/4G/5G）、运行Android或类Android操作系统的智能手机、平板电脑、CPE终端；覆盖终端出厂前型式检验、入网许可前安全评估、重大系统升级（含OS大版本更新、预置应用批量变更）后的再评估。
• 排除条件：仅支持Wi-Fi/蓝牙连接的终端；定制化行业终端（如电力巡检PDA、公安单兵终端）且其软件栈经国家主管部门专项认证并豁免本标准；已停产超18个月且无在网用户增量的旧型号终端；运营商定制ROM中未修改底层安全机制、仅增删非系统级应用的轻量级版本。

二、核心实操技术要求

1. 风险识别项强制覆盖：须完成全部12类风险维度检测，包括固件签名验证缺失、调试接口未关闭（JTAG/SWD）、预置应用权限越界（如通讯录应用申请位置权限）、系统服务提权漏洞（如CVE-2020-0041类Binder提权）、OTA升级包完整性校验失效、生物特征数据明文存储等；每类风险需提供可复现的测试用例编号及触发路径。
2. 自动化检测覆盖率：静态分析须覆盖100%预装APK的AndroidManifest.xml与smali代码；动态行为监控须捕获≥95%系统服务调用链（基于Android 10+ SELinux audit.log全量采集）；对TEE环境的检测须通过GlobalPlatform TEE Internal Core API调用日志比对验证。
3. 验收阈值硬性规定：高危风险（CVSS≥7.0）数量为0；中危风险（CVSS 4.0–6.9）≤3项且须全部提供厂商确认的修复排期；低危风险（CVSS＜4.0）允许存在但须在评估报告中逐条说明缓解措施；所有风险验证须在标准附录B规定的统一测试环境（Android 11 AOSP+Qualcomm SM8250平台）下完成。

三、典型业务场景应用案例

四、实操难点与解决方案

• 难点1：TEE环境黑盒检测不可达——采用标准附录E规定的侧信道注入法：向Keymaster HAL发送构造的ECDSA签名请求，监测Secure Monitor响应时间方差＞15μs即判定密钥泄露风险；所有测试须在ARM TrustZone官方测试套件v2.1.0基准下完成校准。
• 难点2：预置应用动态行为干扰评估——启用Android 12+的AppSearch索引隔离模式，在/system/app目录挂载只读overlayfs，强制所有预置应用运行于受限profile；通过dumpsys package --uid命令实时验证UID绑定关系，阻断跨应用数据共享通道。
• 难点3：多SOC平台适配成本高——使用标准第10.2条定义的抽象层驱动框架：将高通Hexagon DSP内存保护检测逻辑封装为libqseecom.so兼容接口；联发科平台调用teei_client_invoke_command实现同等校验；统一输出符合ISO/IEC 15408 EAL2+格式的证据包。