YD/T 3668-2020 标准解读

一、核心指标体系梳理

• 应用签名完整性验证响应时延：≤150ms（95%分位值）
• 敏感权限调用前用户授权确认弹窗触发率：≥99.99%（单次安装周期内）
• 运行时动态代码加载检测覆盖率：≥98.5%（覆盖dex、so、jar三类载体）
• WebView组件JSBridge接口白名单外调用阻断率：100%（含反射调用路径）
• 本地存储数据加密强度：AES-256-GCM或SM4-CBC（密钥长度≥256bit，IV随机性熵值≥128bit）
• 网络通信TLS版本强制要求：TLS 1.2及以上，禁用SSLv3、TLS 1.0、TLS 1.1
• 证书固定（Certificate Pinning）策略生效率：≥99.97%（HTTPS请求中实际执行pinning校验的比例）
• 调试接口禁用率：100%（release构建中android:debuggable=false且无残留调试符号）
• 第三方SDK安全能力符合率：≥95%（所集成SDK须满足本标准全部基础级指标）
• 崩溃日志脱敏达标率：100%（内存快照、堆栈中不得出现明文token、身份证号、银行卡号等PII字段）

二、关键参数精准释义

1. 应用签名完整性验证响应时延：自系统发起PackageManager.verifyApkSignature()调用起，至返回SIGNATURE_MATCH或SIGNATURE_NO_MATCH结果的耗时；测算口径为连续1000次签名验证操作的P95值；判定依据以Android 11+ Package Manager Service日志时间戳差值为准。
2. 敏感权限调用前用户授权确认弹窗触发率：针对android.permission.READ_CONTACTS等12类危险权限（见附录A），每次调用requestPermissions()前必须经由系统级Dialog展示授权说明；测算口径为安装后全生命周期内所有权限请求事件中合规弹窗触发次数占比。
3. 运行时动态代码加载检测覆盖率：对ClassLoader.loadClass()、DexClassLoader构造、System.loadLibrary()、Runtime.exec()四类入口点实施Hook检测；覆盖率达标的判定需通过静态AST分析+动态插桩双验证，漏检任一so文件中JNI_OnLoad即视为未覆盖。
4. WebView组件JSBridge接口白名单外调用阻断率：白名单限定为标准定义的7个安全接口（如bridge.invoke("getDeviceInfo")）；阻断判定以WebChromeClient.onConsoleMessage()捕获"JSBridge blocked"日志且HTTP响应码为403为依据。
5. 本地存储数据加密强度：AES-256-GCM要求AAD长度≥16字节、认证标签长度=16字节；SM4-CBC要求PKCS#7填充且CBC模式下IV不可复用；熵值测量采用NIST SP 800-90B Entropy Assessment Tool v2.0实测。

三、参数合格区间界定

四、参数管控实操建议

• 日常管控：在CI/CD流水线嵌入自动化检测节点，于build.gradle中配置android.applicationVariants.all { variant → variant.assembleProvider.configure { dependsOn 'verifySecurityMetrics' } }，调用YD/T 3668-2020合规性扫描工具链（v2.3.1+）执行全量指标校验。
• 数据统计：采集维度须包含设备厂商、Android版本、应用版本、网络类型（Wi-Fi/4G/5G）、地理位置（按GB/T 2260-2007行政区划代码三级编码）；所有指标原始数据保留周期≥180日，聚合统计采用TDigest算法压缩P95计算误差≤0.05%。
• 偏差修正：当WebView JSBridge阻断率＜100%时，立即冻结对应SDK版本，执行源码级审计并替换为符合YD/T 3668-2020附录C.4.2接口规范的封装层；当TLS版本不合规时，强制注入ConscryptProvider并重写OkHttpClient.Builder.sslSocketFactory()，禁止使用系统默认SSLSocketFactory。