YD/T 3667-2020 标准解读

一、标准整体架构与篇章体系

• 第1章 范围：明确标准适用于移动通信智能终端（含智能手机、平板电脑、车载通信终端等具备蜂窝网络接入能力的设备）所识别、描述、标识漏洞的统一格式要求，不涉及漏洞检测、修复或管理流程。
• 第2章 规范性引用文件：引用GB/T 25069—2010《信息安全技术 术语》、YD/T 2486—2013《移动互联网恶意程序描述规范》及ISO/IEC 19770-2:2015《信息技术 软件资产管理体系 第2部分：软件识别标签》作为术语与结构基础。
• 第3章 术语和定义：界定“漏洞标识”“标识符主体”“时间戳字段”“影响域编码”“可信度等级”等12项核心术语，全部为强制性定义，构成后续条款语义锚点。
• 第4章 漏洞标识总体结构：规定标识由“前缀+主体+校验”三段式构成，总长度≤64字符，采用ASCII可打印字符集，禁止空格与控制字符；其中前缀固定为“VULN-MT/”，为主体结构强制约束起点。
• 第5章 标识字段详细要求：按字段粒度逐项规定必选/可选属性、编码规则、取值范围及格式示例，含版本号（V）、厂商代码（M）、设备型号编码（D）、漏洞类型码（T）、发现时间戳（S）、序列号（N）、校验码（C）共7个逻辑字段。
• 第6章 标识生成与校验规则：定义SHA-256哈希截断生成校验码的具体算法步骤，规定时间戳须采用UTC时区、ISO 8601格式（YYYYMMDDHHMMSS），并明确厂商代码须在工业和信息化部备案数据库中唯一映射。

二、强制性核心条款分级

1. 结构完整性强制条款：
   • 4.1条：标识必须完整包含前缀“VULN-MT/”、主体字段（V/M/D/T/S/N）、校验字段（C），缺一不可；
   • 5.1条：“V”字段为两位数字，表示标识格式版本，当前仅允许“20”（对应YD/T 3667-2020）；
   • 5.2条：“M”字段为四位大写字母+数字组合，须与工信部《移动终端厂商代码备案表》登记代码严格一致。
2. 语法合规强制条款：
   • 5.4条：“T”字段采用两级编码，一级为漏洞成因（如INJ=注入、XSS=跨站脚本、RCE=远程代码执行），二级为影响对象（如OS=操作系统、APP=预装应用、MOD=基带模块），编码间以连字符“-”连接，禁止省略二级；
   • 5.5条：“S”字段时间戳必须为14位数字，精确到秒，且不得早于设备首次入网认证时间；
   • 6.2条：校验码为对“V/M/D/T/S/N”六字段按顺序拼接后，经SHA-256哈希取前8位十六进制大写字符，不足8位前置补零。
3. 数据权威强制条款：
   • 6.1条：厂商代码（M）与设备型号编码（D）的映射关系须在标识发布前完成工信部备案，未备案标识视为无效；
   • 5.3条：“D”字段须采用GB/T 33757—2017《移动终端型号命名规范》第5.2条规定的12位定长编码，首两位为分类码（如SM=智能手机），后十位为流水号，禁止使用非数字字符。

三、推荐性优化条款解读

• 字段扩展建议（附录A）：允许在主体末尾附加“E=”开头的扩展字段（如E=SEC=HWP=2023Q3），用于标注安全补丁包版本或硬件平台代际，该字段不参与校验，不影响标识有效性，适用于OEM厂商差异化漏洞跟踪场景。
• 多影响域编码推荐（5.4条注）：当单个漏洞同时影响OS与APP时，推荐采用“T=INJ-OS,INJ-APP”逗号分隔形式，提升影响面可读性，但接收方须兼容解析多值结构。
• 可信度标注建议（附录B）：鼓励在标识后附加“[CONF=x]”（x∈{L,M,H}），表示漏洞验证可信度等级（L=实验室复现、M=日志证据、H=实际攻击捕获），属非强制元数据，供下游分析系统加权使用。
• 国际化支持推荐（6.3条）：建议厂商在配套元数据XML文档中同步提供标识的UTF-8编码设备名称、漏洞描述及CVE关联ID，增强跨语言协同响应能力，不改变标识本身ASCII约束。

四、通用基础条款说明