移动应用安全形势分析报告

《移动应用安全形势分析报告》（2020 年）中国互联网协会 APP 数据安全测评服务工作组
移动应用安全形势
分析报告
（2020 年）
中国互联网协会
APP 数据安全测评服务工作组
前言
近年来，随着移动互联产业的兴起，移动应用软件（App）逐渐
渗透到社会生活的各个领域，App 种类和数量呈爆发式增长。第三方
软件开发包（SDK）、移动应用接口（API）、人脸识别等生物技术广
泛集成、应用于移动应用软件中，为日益丰富的 App 功能、服务提供
了技术上的解决方案。然而，在新技术快速发展、应用场景迅速扩展、
数据成为社会发展重要生产要素的同时，安全形势不断变化，安全风
险也呈多样化发展趋势，个人隐私数据泄漏、技术滥用等造成的安全
问题亟待解决。
2020 年 9 月 27 日,在工信部网安局指导下，中国互联网协会"App
数据安全测评服务工作组"成立大会在中国信息通信研究院举行，工
作组旨在进一步推动 App 数据安全测评工作在行业内普及深化，鼓励
第三方机构提供 App 数据安全和个人信息安全测评咨询服务，规范
App 数据安全测评标准，提高服务能力和服务质量。工作组成立以来，
在 App 数据安全领域积极开展前瞻研究和实践探索，持续收录 App 并
进行安全监测，分析风险因素及安全形势。
报告全文以工作组积累的 App 安全监测数据为基础，分享了 App
相关基础数据统计，并对常见安全风险因素进行了分析，从服务器端
安全、人脸识别技术安全、移动应用程序接口安全等重点领域分析了
应用现状、安全形势和发展趋势等。最后，提出构建移动 App 安全生
态的相关建议。
在数字经济蓬勃发展的大背景下，App 安全不仅需要技术手段上
的安全防护，还需要安全意识和管理运维水平的同步提升，亟需多方
共同协作努力，为行业健康发展提供助力。
参编单位：
中国信息通信研究院、北京智游网安科技有限公司（爱加密）、深圳
市网安计算机安全检测技术有限公司、北京梆梆安全科技有限公司、
全知科技（杭州）有限责任公司
编写组成员：
王丹辉、解伯延、陈湉、谢仰、黄伟杰、庞俊峰、朱通、程智力、黄
华勇、孟杰、刘灵灵、费嫒、方兴、刘明辉、王然、戚琳、朴鸿国、
秦博阳
目录
一、移动应用发展概况...................................................................................................................3
（一）移动应用软件发展概况...............................................................................................3
1、移动应用软件数量统计.............................................................................................3
2、移动应用软件类型及属地分布................................................................................4
3、应用分发渠道统计.....................................................................................................5
（二）第三方 SDK 发展概况.................................................................................................6
（三）移动应用产业概况.......................................................................................................8
二、移动应用常见安全风险...........................................................................................................9
（一）安全漏洞威胁用户数据安全.......................................................................................9
（二）恶意程序诱发安全问题.............................................................................................10
（三）违法违规使用个人信息.............................................................................................12
（四）移动应用服务器端存在安全隐患............................................................................13
（五）第三方服务潜藏安全风险........................................................................................15
三、移动应用安全重点领域.........................................................................................................17
（一） App 服务器端安全.....................................................................................................17
1、 App 服务器端安全问题分析.........................................................................................17
（1）安全配置复杂度较高........................................................................................17
（2）安全漏洞修复影响运行....................................................................................18
（3）建设过程安全投入不足....................................................................................19
（4）重视边界防护忽视内部安全............................................................................19
2、 App 服务器端安全措施.................................................................................................20
（1）加强 App 服务器端安全基线管理........................................................................20
（2）对 App 服务器端安全进行整体规划....................................................................20
（3） App 服务器端边界防护与内部安全建设并重......................................................20
（4）建立完善的 App 服务器端安全制度流程............................................................21
（二）人脸识别技术安全.....................................................................................................21
1、人脸识别技术市场发展前景..................................................................................22
2、人脸识别技术带来的安全挑战..............................................................................23
（1）安全保障机制欠缺易造成人脸数据泄漏........................................................23
（2）技术应用不规范为人脸数据滥用提供可能....................................................24
（3）深度伪造技术严重威胁用户财产甚至人身安全............................................24
3、人脸识别技术的应用及安全要点..........................................................................25
（三）移动应用程序接口安全.............................................................................................29
1、外部安全挑战...........................................................................................................30
（1）非法利用 API 漏洞................................................................................................30
（2）外部攻击难以抵御.............................................................................................30
（3）网络爬虫工具涌现.............................................................................................30
（4）合作方恶意留存数据........................................................................................31
（5）非法篡改 API 请求参数........................................................................................31
2、内部安全隐患...........................................................................................................31
（1）身份认证机制.....................................................................................................32
（2）访问授权机制.....................................................................................................32
（3）数据脱敏策略.....................................................................................................32
（4）返回数据筛选机制.............................................................................................33
（5）异常行为监测.....................................................................................................33
（6）合作方管理.........................................................................................................33
3、 API 安全措施...........................................................................................................34
四、构建移动 App 安全生态的相关建议..........................................................................................35
（一）完善法律法规体系.....................................................................................................35
（二）推进系列标准研制.....................................................................................................36
（三）提升技术防护能力.....................................................................................................37
（四）促进行业规范发展.....................................................................................................37
（五）提高主体责任意识.....................................................................................................38
《移动应用安全形势分析报告》（2020 中国互联网协会 APP 数据安全测评服务工作
一、移动应用发展概况
（一）移动应用软件发展概况
1、移动应用软件数量统计
工作组成立以来，持续收录 App 并进行安全监测，2020
年共收录全国 Android 系统 App 327 万余款，对应 APK（安
装包）1044 万余个，小程序 64 万余个。根据监测数据统计，
2020 年我国新增 App 30 万余款，2019 年同期新增约 81 万
款，App 增幅环比下降 168.9%。2020 年新增小程序 3 万余个
1
，2019 年同期新增 11 万余个，小程序增幅环比下降
257.3%。新增 App 数量较 2019 年有较大幅度下降，其主要
原因可能在于一方面受新冠疫情影响较大，App 更新迭代速
度放缓；另一方面“超级 App+小程序”模式兴起，更为方便
快捷的小程序取代部分 App 功能成为发展趋势。
图 1 全国移动应用及小程序概况
1
因采集数据时部分数据受到微信限制，小程序新增数据仅供参考
3
2、移动应用软件类型及属地分布
从当前各移动应用分发渠道 App 功能类型细分领域来
看，休闲益智类 App 以 34 万余款的数量占据第一位，占监
测收录 App 总量的 10.50%；其次是生活实用类 App，占市
场应用的 7.52%，共 24 万余款，资讯阅读类 App，占市场应
用的 6.49%，共计 21 万余款。
图 2 细分领域 App 数量及占比
根据监测期内对国内各省、自治区、直辖市 App 属地进

行统计，发现当前北京市及广东省两地 App 数量远超其他省
市，其中北京市 App 数量占全国监测发现总量的 28.29%，共
计 927019 款，广东省占总数 28.25%，共计 925653 款。而排
名第三的湖北省 App 数量仅占监测总量的 5.20%，共计 17 万
余款。从监测数据分布来看，当前我国 App 产品属地分布差
距较大，北京市、广东省两地 App 产品数量超过全国监测总
量的一半以上。
4
图 3 App 属地分布
3、应用分发渠道统计
监测覆盖分发渠道 900 余个，其中 PC 端渠道总计 885
个，移动端渠道总计 24 个。监测发现 2020 年新增 App 分发
渠道 242 个，相较于 2019 年新增 393 个，环比下降
62.40%。其中 App 数量排名前三的分发渠道分别是：豌豆荚，
约 70 万余款，占总量的 21.63%，360 市场，约 63 万余款，
占总量的 19.45%；应用宝，约 63 万余款，占总量的
19.40%。
5
图 4 应用分发渠道 App 数量统计
（二）第三方 SDK 发展概况

App 开发者、运营者出于开发成本、运行效率考量，在 App
开发设计过程中大量使用第三方软件开发包（SDK）简化开发流
程。从 SDK 类型上看，当前 App 嵌入的 SDK 包括推送、统计、
支付、广告、社交、地图等，普遍存在一款 App 集成多个
SDK 的情况。根据国外 SDK 管理厂商 SafeDK 发布的《安卓市场
中的移动 SDK 数据趋势》（Mobile SDKs Data Trend s in
The Android Market）统计，2018 年全球 App 平均嵌入 SDK
已经达到 18.3 个。
2020 年共收录嵌入推送类 SDK 的 App 53 万余款，占嵌
入 SDK 的 App 总数 31.10%；嵌入统计类 SDK 的 App 近 33
万
6
款，占比 19.05%；嵌入支付类 SDK 的 App 近 27 万款，占

比 15.49%。
图 5 嵌入不同类型 SDK 的 App 数量统计
收录 SDK 总数 1598 个，统计 SDK 提供者 289 家，从

地域分布情况来看，SDK 分布集中在北京市、上海市、广东
省等移动互联网产业较为发达省市，其中北京市共计 90 家，
广东省共计 35 家，上海市共计 31 家。
图 6 SDK 提供者地域分布
7
（三）移动应用产业概况
随着移动应用领域业务场景和技术产品迅速发展，移动
应用产业链逐步成熟。当前移动应用产业展现出上游开发主
体多元化，中游小程序、快应用等新型应用模式兴起，下游
功能类型高度细分的发展趋势。
产业上游：门槛持续降低，开发运营主体多元化
移动应用产业上游开发主体呈多元化发展，除却传统的
企业开发者，还出现了大量小团队、工作室、个人开发者，
使得移动应用业务产品更加多样化。
产业中游：逐步形成“小程序+宿主 App”模式
产业中游方面，小程序、快应用的异军突起使得移动应
用分发渠道发生变革。据不完全统计，在微信、支付宝、百
度等超级 App 上集中了一定规模的小程序活跃用户，用户数
量高达 8 亿。“小程序+宿主 App”和快应用等新兴渠道对传
统应用商店的分发模式造成了冲击。
产业下游：面向不同领域 App 产品场景高度细分
产业下游应用场景方面，移动应用也更加专注于向特定
细分领域发展，如在电商、金融、文娱、生活等领域产生更
多的细分场景，形成多维度满足用户需求垂直应用软件。
8
二、移动应用常见安全风险
（一）安全漏洞威胁用户数据安全
2020 年度收录存在安全漏洞威胁的 APK 860 万余个，同
一 App 普遍存在多个漏洞。其中存在的 Janus 漏洞风险 App
数量最多，占监测总量的 78.13%；其次是 Java 代码加壳检
测，占总量的 62.45%；排在第三位的是动态注册 Receiver
风险，占总量的 61.16%。
图 7 常见 App 安全漏洞统计
根据 App 所属地域统计，排名前三的分别是：北京市占
比 22.93%，存在安全漏洞的 APK 共计 197 万余个；广东省
占比 22.39%，共计 App 192 万余个；上海市占比 7.66%，
共计 App 65 万余个，以下是排名前十的情况：
9
图 8 存在安全漏洞的 App 属地分布
通过对收录的 104 项安全漏洞分析检测，九成以上的 App

2
存在高危漏洞，游戏类存在高危漏洞的 App 数量最多，占高
危漏洞 App 总量的 30.38%，其次是生活服务类，占比为
15.52%，第三为教育类，占比为 13.71%。
图 9 存在高危漏洞的 App 类型分布
（二）恶意程序诱发安全问题
2020 年度收录存在恶意程序的 App 20 万余款，其中流
氓行为恶意程序数量最多。这些恶意程序主要存在对移动用
2
按照风险对数据安全的危害或相关漏洞在国内外漏洞库内分级，将目前 App 面临的数据安全风险大致分
为高、中、低三个等级。
1
户的隐恶意扣费、广告推送等多种恶意行为，对移动用户的
个人信息及财产安全带来巨大的威胁。
图 10 恶意程序类型统计
“流氓行为”类恶意程序对设备、系统没有直接损害行
为，但会严重影响用户体验，其主要行为包括在用户不知情
或未授权的情况下自动捆绑安装、频繁弹出广告窗口、执行
用户未授权的其他操作等等，种类繁杂，不仅影响用户体验，也
可能成为不良信息、欺诈诱骗等违法违规行为的载体，为移
动 App 的数据安全带来极大的隐患。
“窃取隐私”类恶意程序会在在用户不知情或未授权的
情况下，通过隐蔽执行的手段，窃取用户设备个人隐私信息
的，直接导致用户个人隐私信息泄露。
“恶意扣费”类恶意程序会在后台执行恶意行为，消耗
用户资费，或在用户不知情的情况下私自下载付费应用并完
1
成支付，造成用户资费损失。
（三）违法违规使用个人信息
由于 App 的数量巨大，部分 App 违法违规收集使用个人
信息的问题尚未得到根本性的解决。常见的违法违规使用个
人信息的场景包括：未逐一列举第三方 SDK 收集使用个人信
息的目的、类型；以不正当方式误导用户收集个人信息；超
出隐私政策中声明的范围，向第三方供应链上下游公司提供
个人信息等。
2020 年度针对收录的 40 万余款 App 进行个人信息合规
性监测，其中，58.88. % 的 App 存在“用户明确表示不同意
仍收集个人信息”的问题，该违规行为可能存在强制收集用
户个人信息的情况；55.93%的应用存在“收集个人信息前未
征得用户同意”的问题，在用户不知情的情况下收集相关个
人信息数据，容易造成用户在不知情的情况下隐私被盗取、
贩卖、被他人记录等结果；34.65%的应用存在“收集个人信
息的频度超出业务功能实际需要”的问题。
1
图 11 个人信息合规问题分布
（四）移动应用服务器端存在安全隐患
中国信通院 2020 年初发起了“移动应用（App）服务器
端信息安全专项推进行动”，根据初测结果来看，日志记录
不完整、身份认证机制未开启等组件配置安全隐患在受检企
业 App 服务器端大数据平台中普遍存在。其中排在前五位的
是日志记录不完整、身份认证机制未开启、账号权限未最小
化、审计日志文件权限未最小化和组件间数据传输未加密，
出现以上配置安全隐患的企业在所有受检企业中的占比分
别为 90%、88%、80%、79%、74%。这些配置管理上的安全隐患
会给 App 服务器端大数据平台带来数据安全审计日志不全、
组件访问权限管理失控、敏感数据泄露或被篡改、集群拒绝
服务等安全危害。
1
图 12 服务器配置类安全问题统计
Kafka 信息泄露、Zookeeper 安全绕过、Zookeeper 本地

信息泄露、Hive 身份验证等安全特征管理方面的安全漏洞占
所有检出漏洞的大多数，出现以上安全漏洞的企业在所有受
检企业中的占比分别为 76%、60%、38%和 21%。如图 2 所示，
安全漏洞 TOP6 中，Zookeeper 缓冲区溢出、Flink 注入等输
入验证类安全漏洞出现率较低。
1
图 13 服务器安全漏洞统计
从单个组件的安全隐患（组件配置安全隐患和安全漏
洞）数量占比排名来看，处于 Top3 的组件为
HDFS、MapReduce 和 Yarn，分别为 31.3%、15.9%和 15%，这
些组件为产生最早的 Hadoop 组件，代码是完全开源的，攻
击者对这些组件的了解程度较高，因此此类组件中安全隐患
出现的较多。
图 14 单个组件安全隐患占比
（五）第三方服务潜藏安全风险
在 App 开发逐渐模块化、去中心化的趋势下，App 业务
1
功能的实现愈发依赖第三方插件、 SDK、小程序的汇入，导
致 App 接口种类、数量快速增长。常见的第三方 SDK、小程
序、移动应用接口服务等存在自身携带安全漏洞的可能性，
且具有收集使用个人信息规则不明确的风险，第三方服务安
全问题也逐渐成为各方关注的焦点问题。
以 SDK 为例，2020 年的 315 晚会上点名指出了手机端应
用软件（App）内含的 SDK 插件存在违规收集个人信息的问
题，且涉嫌窃取用户隐私信息。除了常见的收集用户手机号
码、设备信息之外，SDK 插件还可能会收集用户短信、通讯
录、应用安装列表和传感器信息等用户隐私信息，并将其采
集之后发送至指定服务器进行存储。2018 年曝出的“寄生推”
事件中，第三方 SDK 通过预留后门云端控制的方式，对目标用
户下发包含恶意功能的代码包，进行恶意推广，牟取灰色收
益，波及 300 余款知名 App，受影响用户高达 2000 余万。
由于第三方服务泛用性、灵活性等特点，其安全问题不
仅直接影响到其自身功能涉及的大量数据，也会给接入服务
的 App 业务数据带来威胁，对 App 的安全治理工作构成了较
大的威胁。在安全漏洞层面，较为常见的是 SDK 安全漏洞、
API 安全漏洞等。在个人信息保护层面，近年来国家对 App
进行了强监管，成立了 App 专项治理工作组，工信部、公安
部、网信办、教育部、人民银行均采取行动，治理了超过百
万款 App 的隐私安全问题，但目前相关要求大部分以 App 为
1
对象，小程序、快应用尚不属于监管重点。在数据安全层面，采
集与传输过程中存在使用不安全的加密协议与加密套件、存
储过程中未采取足够强的加密措施、对外共享未采取脱敏、
去标识化技术等问题，均为潜在数据安全的风险。
三、移动应用安全重点领域
（一）App 服务器端安全
中国信息通信研究院安全研究所《大数据平台安全研究
报告》指出，随着移动应用在人们日常生活中的渗透不断提
升，大量的数据被采集和存储在了移动应用的服务器端。服
务器端大数据平台对内运营的支撑能力不断提升，数据来源
不断丰富，数据分析挖掘功能不断创新，企业对平台的安全
保障需求也不断提高。目前，App 服务器端大数据平台组件
往往独立设计、开发，并根据不同的业务需求进行组合搭建，若
是对平台组件的安全管控不当，极易造成非法访问、敏感数
据泄露等安全风险。
1、App 服务器端安全问题分析
（1）安全配置复杂度较高
基于 Hadoop 的开源平台已日渐成熟，但基于 Hadoop 的

App 服务器端大数据平台在配置管理方面复杂度较高，主要
体现在三个方面。一是配置文件集中管理难，平台采用分布
式部署方式，集群规模越大，组件种类、配置文件集中管理
1
难度越大。二是排查配置问题困难，App 服务器端一旦出现
配置问题，需要工作人员登录各集群节点查找配置文件，排
查问题，这使得因配置问题造成的业务损失持续时间较长，
无法及时止损。三是不安全配置易出现，缺省配置、错误配
置均可能造成配置不安全的问题。同时，平台组件的版本更
新可能会带来新的安全配置特性，如若未及时更新组件安全
配置，亦可能带来新的安全风险。
（2）安全漏洞修复影响运行
大多数组件配置安全隐患可以通过直接修改错误的配
置参数进行修复，而安全漏洞类安全隐患的修复更为复杂，
对 App 服务器端运行的影响也更大。一方面，安全漏洞的修复
可能为集群的正常运行带来不确定因素。目前大部分安全漏
洞在特定版本的组件中出现，修复方式主要包括关闭相关端
口或服务、打补丁、升级版本和使用相似组件替换等四种，无论
采用哪种方式，都会给整个服务器端兼容与稳定带来不确定
性。另一方面，安全漏洞的修复需要一定时间周期。一是安
全漏洞的修复补丁主要依赖于平台服务商、社区等机构，
在相关方没有发布解决方案之前，企业很难自主进行修复。
二是修复安全漏洞一般需要先在测试集群中进行版本变化后
的兼容性、稳定性等测试，还需与使用该服务的用户同步更
新时间后，再进行统一的维护升级。
1
（3）建设过程安全投入不足
平台建设初期，首先将有限的精力集中到亟待解决的平
台功能性问题上，通常使得安全规划工作相对欠缺，安全防
范措施未能同步建设。随着服务的业务扩展，平台性能变成
多数企业优先考虑的问题，集群节点不断扩充，经费和人力
被集中投入到集群建设中去，安全性可能被再次忽视。当功
能建设日渐成熟时，安全基线模糊、人员安全能力弱、安全
配置修改困难等问题愈加突出，因为缺少整体的安全规划，
普遍通过“补丁”的方式对服务器端进行修补，甚至在不能
打“补丁”的情况下，重新进行设计实施，导致建设成本大
幅提升。
（4）重视边界防护忽视内部安全
实践中，企业往往借助原有的网络安全设施，例如，
WAF、IDS 等，对网络边界进行加固，忽视了 App 服务器端大
数据平台自身存在的安全问题。这种做法一般会带来两方面
的安全隐患，一方面，平台虽然隔离于外网，却不能排除“内
鬼” 带来的风险。另一方面，开源的平台组件存在着大量已
知或未知的漏洞，攻击者可以采用社工、穿透等手段渗透进内网，
针对组件的漏洞进行扫描，进而加以利用，从而使平台陷
入“防御空心”的状态。
1
2、App 服务器端安全措施
（1）加强 App 服务器端安全基线管理
对于组件配置管理，应加强三个方面的建设。一是，明
确安全基线具体内容，建立安全基线更新机制。企业需要梳
理自身 App 服务器端的技术特点，针对性的建立适合自身的
安全基线。二是，建立组件配置统一管理平台。以自动化部
属配置的方式替代人工修改配置的方式，解决人工修改配置
易出错、效率低的问题。三是，加强 App 服务器端组件的安
全漏洞管理工作。理清平台各组件的版本和各组件间的版本
兼容关系，一旦发现安全漏洞，根据组件版本兼容关系及时
选择安全补丁或升级组件。
（2）对 App 服务器端安全进行整体规划
针对 App 服务器端建设应有整体的安全规划。在 App 服

务器端建设的初始阶段，在解决平台功能方面从无到有的问
题的同时，亦要考虑到平台安全防护的从无到有。在 App 服
务器端功能迭代的同时，应考虑到当下的防护手段是否能够
满足当下的防护需求。当 App 服务器端的规模和性能从量变
到质变的时候，亦要考虑到安全技术手段能够满足当下的规
模和性能，如果不能应及时更新安全技术手段。
（3） App 服务器端边界防护与内部安全建设并重
杜绝 App 服务器端防护只讲边界防护而忽视内部安全的
2
问题。App 服务器端的安全规划应该是具有全面性的，既要
守好“家门”，又要管好“家人”。两者的防护应是相辅相
成的关系，任何一方的薄弱，都会带来“木桶”效应，让非
法入侵者有机可乘。
（4）建立完善的 App 服务器端安全制度流程
在 App 服务器端安全流程制度的建设方面，有如下两方
面建议。一方面制定针对 App 服务器端的专项安全制度，实现
“对症下药”。安全制度方面宜包括组织架构、人员规范和
技术要求。在组织架构方面，应明确 App 服务器端对应的各
组织的安全责任关系；在人员规范方面，应对 App 服务器端
的使用者制定基本的访问、操作规范，使人员“有法可依”；在
技术要求方面，应针对企业 App 服务器端自身的防护需求，提
出安全技术要求。另一方面建立 App 服务器端的使用管理规
范。对于 App 服务器端管理、开发部门内部和外部人员宜有不
同的使用流程规范，在使用效率和流程安全之间做出权衡。
（二）人脸识别技术安全
中国信息通信研究院安全研究所《人脸识别技术在 App
应用中的隐私安全研究报告（2020 年）》研究发现，随着人
脸识别技术的迅速发展，“刷脸”逐渐成为新时期生物识别
技术应用的主要领域。在进入 2017 年之后，人脸识别更是
2
迎来了井喷式的爆发，互联网企业面对法律法规以及某些业
务上的需求，纷纷推出账号实名认证，并将人脸认证环节在
相关 App 中实现。然而，人脸识别技术在快速发展、深入社
会、提升身份认证便捷度和效率的同时，也给我们带来了诸
多安全挑战。个人隐私数据泄漏、技术滥用等造成的安全风
险亟待解决。
1、人脸识别技术市场发展前景
根据前瞻产业研究院对六大权威机构的汇总，乐观估计
2020 年我国计算机视觉市场规模有望突破 1000 亿，具体数
据如表一所示；中性预测 2020 年我国计算机视觉市场规模
在 700 亿元左右，市场发展前景可期。
表 1 2020 年我国计算机视觉市场规模预测
机构类型机构规模复合增长率
CAICT 600 亿元 96%
腾讯研究院 660 亿元 110%左右

国内机构
艾瑞咨询 725 亿元 162.7%
艾媒 iiMedia Research 780 亿元 125.5%
Ganter 110 亿美元 117%

国外机构
CB Insight 160 亿美元 128%
数据来源：前瞻产业研究院
根据亿欧智库的统计结果显示，2018 年安防占人脸识别
市场份额的 61.1%，金融占 17.1%，智慧园区占 6.7%，互联
网服务占 3.9%，交通出行占 3.3%，个人智能占 2.9%，其他
2
（包括：智能汽车、智能零售、政务服务、运营商服务等）
占 5.0%，人脸识别应用市场份额分布如图 2 所示。
数据来源：亿欧智库研究报告
图 15 人脸识别市场应用分布图
2、人脸识别技术带来的安全挑战
（1）安全保障机制欠缺易造成人脸数据泄漏
当前关于人脸识别技术的安全技术标准和使用规范不
够完善，对于人脸数据控制者的责任和义务，人脸数据主体
的权利以及人脸数据在收集、存储、处理等各环节应采取的
安全措施缺少相关规定。因此，人脸识别技术的大部分开发
企业和应用服务提供商已采取的安全措施可能难以应对人
脸识别技术面临的安全威胁，容易发生人脸数据泄露等安全
事件。除此之外，网络安全生态环境持续恶化，系统的安全
漏洞几乎不可避免，因此人脸数据库泄漏事件也屡见不鲜。
更为可怕的是，由于生物识别信息是唯一的，是不可再生的，因
此，一旦丢失或者泄露，则是永久泄露，将贻害无穷。
2
（2）技术应用不规范为人脸数据滥用提供可能
随着人脸识别技术越来越普遍的应用到人们的生活中，
人脸特征也逐渐成为了人们的身份证件之一，但是人脸识别
技术的应用存在一些不规范的问题。首先，大部分 App 在采
集人脸数据时并未依据《规范》单独明确告知并征得用户同
意，甚至未在隐私政策中说明使用人脸识别技术的目的、范
围和方式，使得人脸数据被动收集、使用成为常态。其次，
部分社交娱乐类 App、在线教育类 App 未按照相关法律法规
要求收集、使用人脸数据，导致人脸识别技术滥用事件时有
发生。
（3）深度伪造技术严重威胁用户财产甚至人身安全
由于人脸识别技术具有非接触性、成本低、检测快、自
动学习等特点，人脸识别已经成为身份识别中的重要手段。
但是，与人脸识别技术共同发展的，还有借助机器学习系统、图
像视频更改人脸的“深度伪造”技术。自 2017 年以来，深
度伪造技术开始活跃在网络中，随着这一技术算法的日趋成
熟，无论是人像还是声音、视频都可以被伪造或合成，并可
达到几乎不能辨别真伪的程度，身份欺骗成功率高达
99.5％，甚至成为许多人脸识别系统的克星。鉴于此，借助
深度伪造技术破解人脸识别等验证系统，非法盗刷他人支付
账户、获取他人个人信息或从事其他冒名的违法活动已成为
2
可能，严重威胁到公民财产安全和人身安全，甚至会使国家
安全和公共安全受到威胁，引发社会忧虑和信任危机。
3、人脸识别技术的应用及安全要点
随着人脸识别技术的日益成熟，已经有很多 App 用到了
人脸识别技术，特别是金融和互联网领域的 App 纷纷接入了
人脸识别技术应用于身份识别和面部特征提取分析。目前，
人脸识别技术主要应用在金融类、在线教育类、电信类、出
行类、美图娱乐类、电商类、智慧园区类 App 中。
（1）金融类 App
金融类 App 接入人脸识别功能最主要是为了保障用户在
使用过程中的资金交易安全性，通过人脸识别可以有效防止
账号被盗造成用户财产损失的情况发生，还可以通过人脸识
别技术提供远程开户、绑卡核身、账户登录、分期购物、人
脸考勤、人脸支付等服务。
在人脸识别落地金融行业过程中，各大银行也纷纷尝试
将人脸识别引入刷脸支付、即时开卡、VTM 等金融场景中，
但从技术角度来看，光线条件、天气（雨、雪、雾）、用户
整容等仍然会影响人脸识别结果。在转账支付、即时开卡等
高安全级别业务中不能单纯依靠人脸识别技术来解决用户
身份核查的问题，还需要采用双因素甚至多因素认证来提升
身份核查在金融领域的安全性。
2
（2）在线教育类 App
在线教育类 App 接入人脸识别功能的用途之一是为了查

验学员身份，避免一账号多个人使用的情况，给网校造成损
失。还可以帮助在线课堂老师了解学生学习状态，通过面部
表情识别让教师更加理解学生的需求，弥补网络授课相较于
传统授课在师生交流环节上的不足。
在线教育类 App 服务对象大多数是未满 14 周岁的儿童，
由于儿童认知能力、危险识别能力和自我保护能力相对薄
弱，儿童的个人生物识别信息更是社会各界保护的重点。根
据南都个人信息保护研究中心发布的《人脸识别落地场景观
察报告（2019）》的调研结果显示，33.84%的受访人员不同
意将人脸识别技术应用到教育类相关系统中。在对未成年人
使用人脸识别技术时应更加谨慎，通过安全保障措施加强对
未成年人的权益保护。
（3）电信类 App
电信类 App 接入人脸识别功能的主要目的是为了实现
SIM 卡激活过程中的实名认证，在激活的过程中上传身份证
信息后进行人像视频认证，需要用户录制一段 6 秒的视屏，
视频审核通过后 SIM 卡才可激活成功。
2019 年 9 月 27 日，工信部办公厅印发了《关于进一步
做好电话用户实名登记管理有关工作的通知》，指导电信企
2
业扎实开展电话用户实名登记工作。为确保电话入网环节人
证一致，创新运用人工智能等技术手段，工信部要求电信企
业自 2019 年 12 月 1 日起在实体渠道全面实施人像比对技术
措施，人像比对一致后方可办理入网手续。因此，为了维护
公民在网络空间的合法权益，有效防范电信网络诈骗的问
题，在线上办理 SIM 卡激活时也同样需要进行人脸识别。
（4）出行类 App
出行类 App 接入人脸识别功能能够最大限度的保障司机
的安全、乘客的安全以及载运货物的安全。司机需要进行人
脸图像认证才能接单，一方面可以保障司机的身份信息和财
产安全，防止出现盗号的情况；另一方面也可以保障乘客的
人身安全，防止遇到不良司机。
2018 年 9 月 11 日，交通运输部、中央网信办、公安部
等多部门组成的专项工作检查组陆续进驻网约车和顺风车
平台公司，开展安全专项检查，并且规定相关 App 在派单前
应用人脸识别等技术，对车辆和驾驶员一致性进行审查。人
脸识别技术应用到出行类 App 中可以有效保障司机、乘客的
财产和人身安全。
（5）美图娱乐类 App
美图娱乐类 App 通过人脸识别功能保障账号安全性之

外，还可以实现各种极具创意的互动营销活动。App 可接入
2
人脸关键点定位功能来帮助用户定位包括眉毛、眼睛、下巴
等在内的人脸关键部位，方便用户使用美颜功能，还可通过
人脸识别技术提供照片换脸、视频换脸、同款表情包、换装
换发型等服务。
美图娱乐类 App 使用人脸识别技术是业务功能所必要
的，但应对其收集、使用个人生物识别信息进行规范。根据
《信息安全技术个人信息安全规范》，美图娱乐类 App 扩展
业务功能中应遵循最小必要原则合理使用人脸识别技术，并
应单独告知并征得用户同意。
（6）电商类 App
电商类 App 接入人脸识别功能的主要用途之一是为了保

障用户账号的安全。同时，电商类 App 为了提升用户服务体
验，利用人脸识别功能提供在线换装、试戴等服务。除此之
外，电商类 App 还将人脸识别技术应用于后台图像数据管理，
即对违禁图片和广告图片、直播、短视频的管理等。
电商类 App 使用人脸识别技术基本上都是为了提升用户
服务体验、增强用户粘性或者为用户提供便捷性，属于电商
类 App 的扩展业务功能。因此，电商类 App 在使用人脸识别
技术获取面部特征信息时，应告知并征得用户的同意，不可
强制要求用户提供面部特征信息。
2
（7）智慧园区类 App
智慧园区类 App 接入人脸识别功能主要目的是进行门禁

管理、考勤管理、会议管理等，解决企业楼宇园区内权限管
理、外勤人员考勤、参会人员进行会议注册和签到等问题。
智慧园区类 App 使用人脸识别技术为企业节省人工成
本，操作高效快捷且便于管理。但是，通过深度伪造来欺骗
人脸检测的安全事件层出不穷，国家机关、保密单位等重要
部门不应单纯依靠人脸识别技术进行门禁管理。
（三）移动应用程序接口安全
应用程序接口（Application Programming
Interface， API）是软件开发中实现数据交互操作的重要
技术手段，在 App 开发、运维中发挥着关键作用。一方面满足
了不同领域、不同业务 App 实现功能的数据传输、操作需求，
另一方面也为 App 依赖的各类组件、模块、SDK 等提供了便捷
的数据传输方案。
中国信息通信研究院安全研究所《应用程序接口（API）
数据安全研究报告（2020 年）》指出，API 技术在通信、金融、
交通等诸多领域得到广泛应用，涉及包含敏感信息、重要数
据在内的数据传输、操作。近年来，国内外发生多起由于
API 漏洞被恶意攻击或安全管理疏漏导致的数据安全事件，
对相关企业和用户权益造成严重损害，逐渐引起各方关注。
2
1、外部安全挑战
由于 API 攻击渗透或安全管理疏漏导致的数据安全事件
频传，API 安全挑战正在逐渐由从传统的 Web 应用、网站建
设场景，向移动互联网、App 程序开发等场景转移。萦绕在
API 技术外部的安全威胁主要分布在五个方面：
（1）非法利用 API 漏洞
在 API 的开发、部署过程中不可避免产生安全漏洞，这
些漏洞通常存在于通信协议、请求方式、请求参数和响应参
数等环节。不法分子利用 API 在身份认证、权限管理等环节
存在的各类漏洞，进行越权调用、窃听、篡改等不法行为，
窃取 API 传输的用户个人信息、业务数据。
（2）外部攻击难以抵御
API 是外部网络攻击的主要对象之一，针对 API 的常见网

络攻击包括重放攻击、DDoS 攻击、注入攻击、会话 cookie 篡
改、中间人攻击、内容篡改、参数篡改等。当前部分 API 安
全机制难以有效抵御外部攻击，一旦遭受不法分子攻击，可
能由于安全配置不当或防护水平不足，导致 App 服务中断、数
据传输遭监听。
（3）网络爬虫工具涌现
近年来网络爬虫大行其道，逐渐成为 API 安全的重大挑

战，网络爬虫能够在短时间内爬取目标应用上的所有数据，
3
具有爬取效率高、获取数据量大等特点。通过开放 API 对 HTML

进行抓取是网络爬虫最简单直接的实现方式之一，特别是随
着 Python 等语言的兴起，爬虫工具开发门槛降低，API 爬虫
大量涌现，而 App 客户端数据又多以 JSON 形式传输，解析
简单，反爬虫能力弱，易受到数据爬取行为的威胁。
（4）合作方恶意留存数据
App 开发者、运营者通过 API 实现与合作第三方之间数

据交互的过程中，可能存在合作方恶意留存接口数据的风
险。以个人身份验证类合作为例，在需要进行实名验证的时
候，合作方可通过 API 请求调用相关个人身份信息，此过程
中恶意合作方可能留存验证结果，经过长时间积累，非法变
相获取大量的个人身份信息资源。
（5）非法篡改 API 请求参数
不法分子可通过篡改 API 请求参数，通过遍历或反复尝

试获取数据，结合其它信息匹配映射关系，达到窃取数据的
目的。可被篡改的 API 参数通常有姓名、身份证号码、账号、
员工 ID 等。
2、内部安全隐患
应对外部威胁的同时，API 也需要应对来自内部安全隐
患。API 类型和数量随着业务发展而扩张，通常在设计初期
未进行整体规划，缺乏统一规范，尚未形成体系化的安全管
3
理机制。同时，传统安全防护模式针对外部威胁较为有效，
难以解决内部隐患。从内部脆弱性来看，影响 API 安全的因
素主要包括以下几方面。
（1）身份认证机制
身份认证是保障 API 数据安全第一道防线。一方面，若

企业将未设置身份认证的内网 API 接口或端口开放到公网，
可能导致数据被未授权访问、调用、篡改、下载。另一方面，
身份认证机制可能存在单因素认证、无口令强度要求、密码
明文传输等安全隐患。
（2）访问授权机制
访问授权机制是保障 API 数据安全的第二道防线。系统

在识别用户之后，会根据权限控制表或权限控制矩阵判断该
用户的数据操作权限。导致访问授权机制风险的常见因素包
括授权策略选择不恰当、授权有效期过长、未及时收回权限
等，导致用户权限大于其实际所需权限，可以接触到本无权
访问的数据。
（3）数据脱敏策略
为前端界面展示提供数据支持也是 API 的重要功能之一。

API 数据脱敏策略通常可分为前端脱敏和后端脱敏。前者指
数据被 API 传输至前端后再进行脱敏处理；后者则相反， API
在后端完成脱敏处理，再将已脱敏数据传输至前端。脱
3
敏过程存在未加密传输、接收方终端缓存、脱敏策略不完善
等因素导致的数据泄露风险。
（4）返回数据筛选机制
如果 API 缺乏有效的返回数据筛选机制，可能由于返回数
据类型过多、数据量过大等因素形成安全隐患。一方面，部
分 API 设计初期未根据业务对 API 功能进行合理细分，数据
暴露面过大；另一方面，开发人员可能以提升速度为目的，忽视
后端服务器返回数据的筛选策略，使得大量数据通过接口传
输至前端并进行缓存，存在安全隐患。
（5）异常行为监测
如果缺少对 API 非正常访问行为的监测能力，非法调用、

功能滥用、越权操作等行为难以被及时发现并阻断。异常访
问行为通常与可接触敏感数据岗位或者高权限岗位密切相
关。美国执法机构和网络安全监管机构调查结果显示超过
85%的安全威胁来自企业内部，企业必须高度重视可能由内
部人员引发的数据安全威胁。
（6）合作方管理
当前，需要共享业务数据的应用场景日益扩展，对于涉
及个人敏感信息或重要数据的 API，企业应建立合作方管理
制度，并对合作方进行风险评估和安全防护能力审核，一旦
合作方存在安全隐患或不法企图，可能发生数据被篡改、泄
3
露、甚至非法贩卖等安全事件，对企业数据安全、社会形象
乃至经济利益造成影响。
3、API 安全措施
API 安全是移动应用软件数据安全保护的重要一环。企
业应在把握自身现状的基础上，建立健全 API 安全管理制度，
针对事前、事中和事后各阶段管理和技术需求差异，部署相
应安全措施，加强数据安全风险防范。
（1）事前
建立健全 API 设计、开发、测试等环节标准规范和管理

制度，引导 API 开发运维流程标准化；企业应对 API 部署情
况进行全面排查，梳理统计 API 类型、活跃接口数量、失活
接口数量等资产现状，针对 API 上线、运行中变更、失活后
下线等环节进行实时监控；在建立有效的身份认证基础上，
建立健全访问授权机制，严格遵循最小必要权限原则，尤其
针对提供数据增、删、改等高危操作的 API，严格规范用户
权限管理；加强 API 安全防护能力建设，针对重要接口部署
专门的防护设备保障其安全，建立健全安全防护体系。
（2）事中
加强 API 身份认证和异常行为实时监控能力建设，重点监
控具有典型机器行为特征的操作，针对内部特权账号建立实
时行为监测和审计机制，对异常登录、调用行为进行分析，
3
发现恶意行为及时告警，发现账号共享、借用、兼任等违规
行为及时对相关账号操作进行限制、阻断，实时监控数据流
向，落实数据分类分级管控措施。
（3）事后
制定 API 安全事件应急响应预案并纳入企业现有应急管
理体系，应急流程包括但不限于监测预警及报告、数据泄露
事件处置、危机处理及信息披露等环节；对接口访问、数据
调用等操作进行完整日志记录，并定期开展安全审计；建立
健全数据泄露溯源追责机制，制定 API 相关安全事件溯源方
案，及时追踪数据泄露途径、类型、规模、原因。
四、构建移动 App 安全生态的相关建议
构建 App 健康生态需要从完善相关法规政策、推进标准
研制、提升技术能力、促进行业自律和提高主体素养等方面
开展工作，充分调动各界力量，共同营造良好发展生态。
（一）完善法律法规体系
2021 年 6 月 10 日,十三届全国人大常委会第二十九次会
议表决通过了《中华人民共和国数据安全法》(以下简称《数据
安全法》)。《数据安全法》从数据安全与发展、数据安全
管理制度、数据安全保护义务、政务数据开放多个角度对数
据安全保护的义务和相应法律责任予以规定，完善了我国数
据安全治理体系中最重要的一块拼图。而《个人信息保护
3
法》尚未正式出台，个人信息安全的相关法律法规散见于《民法
典》《网络安全法》《消费者权益保护法》以及最高法、最
高检、国务院颁布的相关司法解释和规定中，对个人信息收
集、使用、存储、传输等作出原则性规定，缺乏针对 App 应
用、生物信息识别技术、第三方 SDK 等细分场景的法律或者
法规层级的文件。尽快完善移动应用技术安全、人脸识别等
个人生物信息使用及保护的法律法规研制，是社会、技术发
展的迫切需求。应进一步明确数据委托方与处理方或者数据
共享方与数据接收方分别的义务与责任，限制 App 开发者、运
营者违法违规采集、留存个人隐私信息行为，规范 App 开发
运营过程中数据安全要求，强化数据全生命周期管控，强化
责任追究，加大对侵害公民个人隐私行为的处罚力度。
（二）推进系列标准研制
App 数量急速扩张，SDK、API、人脸识别等技术应用逐
步成熟，作为移动互联网生态圈的重要一环，App 安全问题
会对相关企业、乃至整个移动互联网行业的稳健发展产生较
大的影响。国家监管以及标准层面均开始关注相关应用场景
的安全和合规问题，但在场景细化和对应要求上仍需要进一
步提供落地性指导。需联合行业各方力量，加快研制、完善
App 安全系列标准，指导行业规范人脸识别、SDK、API 等技
术在 App 中的安全应用，防范 App 自身功能和提供服务的安
全风险，例如 App 数据安全风险防范、人脸识别等生物识别
3
信息保护和安全要求、第三方 SDK 收集使用个人信息原则、

SDK 与 App 之间角色和主体责任划分等。
（三）提升技术防护能力
面对愈加复杂成熟的恶意行为和攻击方式，在安全防护
方面，应建立适应 App 服务器端数据平台环境的安全防护和系
统安全管理机制，提升平台本身的安全防御能力，从安全机
制上防止数据的未授权访问和泄露，同时加强应急响应能力；
规范 App 设计开发、SDK 集成的规范化，减少安全隐患、漏洞；
结合数据加密、传输通道加密等举措，加强 API 安全保障；
针对人脸识别等生物信息技术应用进行必要性评估，配套相
应的安全防控措施，定期开展安全评估，促进 App 整体数据安
全保护水平的提升。在安全检测方面，强化针对 App 调用函数
的动态检测技术，与静态代码技术相结合，实现对恶意行为、
数据安全风险更高效、精准的监测预警，健全完善事中评估
和事后问责制度。激发技术成果转化，推进新技术新业务的
推广及应用等方式是构建良好移动应用安全生态的重要措
施。
（四）促进行业规范发展
相关社会组织或行业协会应主动发挥行业自律平台作
用，推动各利益相关方共同制定行业公约，推动行业标准建
设，推动相关安全产品和服务的开发应用，推广宣传相关最
佳实践，鼓励国内重点企业、科研机构、高校等加强合作，
3
加快对核心关键技术的攻关，提高行业整体数据安全水平，
促进行业良性规范发展。2020 年 9 月 27 日,在工信部网安局
指导下，中国互联网协会"App 数据安全测评服务工作组"成
立大会在中国信息通信研究院举行，工作组旨在进一步推动
App 数据安全测评工作在行业内普及深化，鼓励第三方机构
提供 App 数据安全和个人信息安全测评咨询服务，规范 App
数据安全测评标准，提高服务能力和服务质量。工作组将紧
抓政府支撑与行业服务两条主线，为政策有效落地、行业规
范发展提供有效支撑。
（五）提高主体责任意识
作为数据安全责任主体，App 相关企业应提高主体责任
意识，强化数据安全重视程度，履行法律法规要求的责任义
务。厘清 App 自身与 SDK 、应用分发平台等第三方合作关
系，制定数据处理协议等合作协议，约定合作方责任；自觉
规范人脸识别等生物信息技术在 App 中的应用，开展技术应
用必要性评估，定期进行风险评估，采集前须告知用途和可
能风险，保障用户知情权与选择权；应积极建立组织内部数
据安全与个人信息保护制度与执行机制，强化企业数据泄露
（丢失）、滥用、被篡改、被损毁、违规使用等安全事件应
急响应能力，发生数据安全事件时及时采取补救措施，上报
相关主管部门，通知涉事用户，完善网络安全和数据安全防
护措施。

移动应用安全形势分析报告

Uploaded by

Document Information

Copyright

Available Formats

Share this document

Share or Embed Document

Sharing Options

Did you find this document useful?

Is this content inappropriate?

Copyright:

Available Formats

移动应用安全形势分析报告

Uploaded by

Copyright:

Available Formats

《移动应用安全形势分析报告》（2020 年） 中国互联网协会 APP 数据安全测评服务工作组

图 2 细分领域 App 数量及占比

根据监测期内对国内各省、自治区、直辖市 App 属地进

图 4 应用分发渠道 App 数量统计

（二）第三方 SDK 发展概况

款，占比 19.05%；嵌入支付类 SDK 的 App 近 27 万款，占

图 5 嵌入不同类型 SDK 的 App 数量统计

收录 SDK 总数 1598 个，统计 SDK 提供者 289 家，从

图 8 存在安全漏洞的 App 属地分布

通过对收录的 104 项安全漏洞分析检测，九成以上的 App

图 9 存在高危漏洞的 App 类型分布

Kafka 信息泄露、Zookeeper 安全绕过、Zookeeper 本地

基于 Hadoop 的开源平台已日渐成熟，但基于 Hadoop 的

（2） 对 App 服务器端安全进行整体规划

针对 App 服务器端建设应有整体的安全规划。在 App 服

（3） App 服务器端边界防护与内部安全建设并重

（4） 建立完善的 App 服务器端安全制度流程

CAICT 600 亿元 96%

腾讯研究院 660 亿元 110%左右

艾 媒 iiMedia Research 780 亿元 125.5%

Ganter 110 亿美元 117%

（1） 金融类 App

（2） 在线教育类 App

在线教育类 App 接入人脸识别功能的用途之一是为了查

（3） 电信类 App

（4） 出行类 App

（5） 美图娱乐类 App

美图娱乐类 App 通过人脸识别功能保障账号安全性之

（6） 电商类 App

电商类 App 接入人脸识别功能的主要用途之一是为了保

（7） 智慧园区类 App

智慧园区类 App 接入人脸识别功能主要目的是进行门禁

（1） 非法利用 API 漏洞

API 是外部网络攻击的主要对象之一，针对 API 的常见网

近年来网络爬虫大行其道，逐渐成为 API 安全的重大挑

具有爬取效率高、获取数据量大等特点。通过开放 API 对 HTML

App 开发者、运营者通过 API 实现与合作第三方之间数

（5） 非法篡改 API 请求参数

不法分子可通过篡改 API 请求参数，通过遍历或反复尝

身份认证是保障 API 数据安全第一道防线。一方面，若

访问授权机制是保障 API 数据安全的第二道防线。系统

为前端界面展示提供数据支持也是 API 的重要功能之一。

如果缺少对 API 非正常访问行为的监测能力，非法调用、

建立健全 API 设计、开发、测试等环节标准规范和管理

四、构建移动 App 安全生态的相关建议

信息保护和安全要求、第三方 SDK 收集使用个人信息原则、

You might also like

《移动应用安全形势分析报告》（2020 年）中国互联网协会 APP 数据安全测评服务工作组

（2）对 App 服务器端安全进行整体规划

（4）建立完善的 App 服务器端安全制度流程

艾媒 iiMedia Research 780 亿元 125.5%

（1）金融类 App

（2）在线教育类 App

（3）电信类 App

（4）出行类 App

（5）美图娱乐类 App

（6）电商类 App

（7）智慧园区类 App

（1）非法利用 API 漏洞

（5）非法篡改 API 请求参数