國家通訊傳播委員會 全球資訊網 關於本會 新聞公告 法令查詢 業務統計 政府資訊公開 業務申辦 服務與推廣 國家通訊傳播委員會 全球資訊網 關於本會 新聞公告 法令查詢 業務統計 政府資訊公開 業務申辦 服務與推廣 國家通訊傳播委員會 全球資訊網 關於本會 新聞公告 法令查詢 業務統計 政府資訊公開 業務申辦 服務與推廣 國家通訊傳播委員會 全球資訊網 關於本會 新聞公告 法令查詢 業務統計 政府資訊公開 業務申辦 服務與推廣 國家通訊傳播委員會 全球資訊網 關於本會 新聞公告 法令查詢 業務統計 政府資訊公開 業務申辦 服務與推廣 國家通訊傳播委員會 全球資訊網 關於本會 新聞公告 法令查詢 業務統計 政府資訊公開 業務申辦 服務與推廣 國家通訊傳播委員會 全球資訊網 關於本會 新聞公告 法令查詢 業務統計 政府資訊公開 業務申辦 服務與推廣 國家通訊傳播委員會 全球資訊網 關於本會 新聞公告 法令查詢 業務統計 政府資訊公開 業務申辦 服務與推廣 國家通訊傳播委員會 全球資訊網 關於本會 新聞公告 法令查詢 業務統計 政府資訊公開 業務申辦 服務與推廣 國家通訊傳播委員會 全球資訊網 關於本會 新聞公告 法令查詢 業務統計 政府資訊公開 業務申辦 服務與推廣
進入內容區塊

NCC國家通訊傳播委員會

資安檢測項目

        ESS檢測分為資料層、應用程式層、通訊協定層、作業系統層及硬體層五個層別,各層別之檢測項目及安全需求如下表。初級共有22項,中級共有35項(含5個選測項目),高級共有44項(含5個選測項目)。

層別

檢測項目

安全需求

初級

中級

高級

(D)

1.資料使用授權

D.1.1.B手機系統內建軟體於存取敏感性資料前,應取得使用者同意。

D.1.2.M(+) 手機系統內建軟體經使用者設定拒絕存取敏感性資料後,該軟體不應仍可存取。

 

選測

選測

2.資料儲存保護

D.2.1.B手機系統內建軟體應將帳號之密碼儲存於作業系統保護區內或以加密方式儲存。

D.2.2.M(+) 手機系統內建軟體於儲存敏感性資料時應提供資料加密功能,以避免遭不正當方式取得敏感性資料。

 

選測

選測

D.2.3.M(+) 手機系統內建軟體與遠端伺服器溝通之帳號及密碼不應以明文方式存在於執行檔中,以避免遭不正當的方式存取。

 

選測

選測

3.資料遺失保護

D.3.1.B 手機系統應提供使用者遠端鎖定功能及相關安全設定,以確保手機在遺失或遭竊的情況下,可讓使用者在遠端啟動鎖定。

D.3.2.B 手機系統應提供使用者遠端刪除資料功能及相關安全設定,以確保手機在遺失或遭竊的情況下,可讓使用者在遠端刪除資料。

D.3.3.B 手機系統應提供資料備份功能。

(A)

1.程式身分辨識

A.1.1.B 手機系統內建軟體在初次存取使用者已綁定裝置之帳戶時,應先行認證使用者身分與其權限,以確保內建軟體具備該帳戶使用權限。

2.程式信任來源

A.2.1.B 手機系統內建軟體具備付費功能時,應使用有效期間之伺服器憑證,以確保付費交易之安全。

A.2.2.B 手機系統內建軟體應可識別其發行資訊,以確保使用者瞭解其來源。

3.程式執行授權

A.3.1.B 手機系統內建軟體在未調整付費功能使用設定情況下,應於每次付費前,提示並取得使用者同意後才可執行。

A.3.2.B 手機系統內建軟體所需之權限須與「廠商自我宣告表」所宣告之「功能說明」與「權限說明」相符。

A.3.3.M 手機系統內建軟體所開啟之網路連接埠須與「廠商自我宣告表」所宣告之「通訊埠」相符。

 

A.3.4.M(+) 手機系統內建軟體不應在未取得使用者同意之情況下,於背景撥打電話或發送簡訊。

 

選測

選測

A.3.5.M(+) 手機系統內建軟體於使用者設定關閉時,應停止該內建軟體所有相關程序。

 

選測

選測

4.程式執行安全

A.4.1.B 手機系統內建軟體應提供回報安全性問題之管道。

A.4.2.M 手機系統內建軟體應具備資料隱碼攻擊字串的處理能力。

 

A.4.3.M 手機系統內建軟體應具備延伸標記語言攻擊字串的處理能力。

 

(P)

 

1.協定使用授權

P.1.1.B 手機應提供使用者可開啟及關閉無線傳輸技術功能之介面。

P.1.2.B 當手機之無線傳輸技術功能確認開啟時,應給予使用者相對應的提示狀態。

P.1.3.B 手機以無線傳輸技術功能與其他設備進行第一次連接時,須經使用者同意後才可建立連線。

P.1.4.B 手機應提供使用者可開啟及關閉近場通訊技術功能之介面。

2.協定傳輸保護

P.2.1.B 手機系統內建軟體透過無線傳輸技術功能傳輸敏感性資料時,應使用加密傳輸,以確保敏感性資料安全。

P.2.2.M 手機系統內建軟體應避免交談識別碼遭重送攻擊。

 

P.2.3.M 手機系統內建軟體與付費功能伺服器間之加密傳輸,應使用安全之加密演算法。

 

3.協定執行安全

P.3.1.M 手機系統應具備通訊協定內容的錯誤處理能力。

 

(O)

 

1.系統操作授權

O.1.1.B 手機系統之更新來源應與「廠商自我宣告表」中所宣告之「資料連結伺服器之IP/DN/公司主機名稱」相符。

O.1.2.B 手機系統於下載或安裝更新作業系統時應提供更新資訊,並告知使用者更新內容。

2.系統身分辨識

O.2.1.B 手機系統應支援螢幕解鎖保護機制,以保護個人資訊避免遭未經授權的使用。

O.2.2.B 手機系統應支援螢幕解鎖錯誤之強制鎖定保護機制,以保護個人資訊,避免遭未經授權的使用。

O.2.3.B 手機系統應提供至少72種密碼輸入值,包含英文大寫、英文小寫、數字及特殊符號等,且密碼長度應可達14碼以上。

O.2.4.M 手機系統之螢幕鎖定解鎖資料,不應以明文方式儲存於手機上,以避免遭未經授權的使用。

 

3.系統執行安全

O.3.1.B 手機系統應提供回報安全性問題之管道。

O.3.2.M 手機系統應具備記憶體配置保護機制,以避免程式與參考函式在記憶體中的位址被不當應用。

 

O.3.3.H 手機系統應建立與通訊目標間受信任的傳輸通道,作為傳輸期間資料保護使用。

 

 

O.3.4.H 手機開機過程應提供密碼功能測試與系統軟體完整性自我測試機制。

 

 

O.3.5.H 手機系統應具備驗證錯誤計數機制,當嘗試錯誤超過手機設定門檻值時,應抹除受保護之資訊。

 

 

層(H)

1.金鑰管理保護

H.1.1.H 手機之金鑰管理,包含加密及通訊密鑰之產生、交換、合併與銷毀,應符合NIST、ANSI或IEEE發布之金鑰使用及管理標準。

 

 

H.1.2.H 手機所有儲存於行動裝置之金鑰,都應對其機密性與完整性提供額外保護。

 

 

H.1.3.H 金鑰不得以明文方式存放於非揮發性之記憶體,且不得以明文型態用任何方式匯出或直接對外傳輸。

 

 

2.演算法強度要求

H.2.1.H 手機實作之加密、解密及簽章演算法,應符合NIST、ANSI或IEEE發布之金鑰演算法標準。

 

 

H.2.2.H 手機實作之演算法,應依據各模式要求,產生初始化向量,並符合NIST發布之初始化向量要求。

 

 

H.2.3.H 金鑰使用之亂數,應符合NIST或ANSI發布之隨機位元產生規範要求。