《智能电视操作系统数据存储安全技术要求和评测方法（征求意见稿）》

ICS

CCS

团体标准

T/CVIAXX-2022

智能电视操作系统数据存储安全技术要求和评测方法

Technicalrequirementsandevaluationmethodsfordatastoragesecurityof

smartTVoperatingsystem

（征求意见稿）

2022-XX-XX发布2022-XX-XX实施

中国电子视像行业协会发布

T/CVIAXX-202

前言

本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规则

起草。

请注意本文件的某些内容可能涉及专利。本文件发布机构不承担识别这些专利的责任。

本文件由中国电子视像行业协会提出并归口。

本文件主要起草单位：海信视像科技股份有限公司、深圳市酷开网络科技股份有限公司、深圳

TCL新技术有限公司、重庆市易平方科技有限公司、聚好看科技股份有限公司、深圳创维-RGB电子

有限公司、四川虹魔方网络科技有限公司、中家院（北京）检测认证有限公司、青岛海尔多媒体有限

公司、康佳集团股份有限公司、康佳电子科技有限公司、厦门厦华科技有限公司

本文件主要起草人：宗明聪、吴旭、刘金刚、林舜大、田灯友、尹占江、赵燕伟、李鑫、徐崖洲、

罗少锋、赵曈、张晓娜、薛元。

本文件是首次发布。

II

T/CVIAXX-202

智能电视操作系统数据存储安全技术要求和评测方法

1范围

本文件规定了智能电视数据存储的技术要求和评测方法，对具体的技术实现方案不做限定。

本文件适用于智能电视产品，其他具有操作系统的智能终端（如智能机顶盒，智慧屏等）也可以

参考使用。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文

件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适

用于本文件。

GB/T35273-2020信息安全技术个人信息安全规范

CCRC-TR-0XX-2021智能电视产品安全技术要求和测试评价方法

SJ/T11592-2016智能电视概念模型

3术语、定义和缩略语

3.1术语和定义

GB/T35273-2020、CCRC-TR-0XX-2021和SJ/T11592-2016界定的以及下列术语和定义适用于本

文件。

3.1.1

智能电视smarttelevision

智能电视是具有操作系统、能安装和卸载应用软件、具备一种或多种人机交互方式、能接收数字

电视广播、接入互联网或其他网络并实现网络服务、可扩展其他应用或业务的电视。

3.1.2

数据存储datastorage

数据以某一种格式记录在终端设备内部或者外部存储介质上。

3.1.3

安全机制securitymechanism

用来实施安全服务的机制，通过一种或多种措施确保所要维护的系统安全。

3.1.4

外接设备externalequipment

通过智能电视暴露在外的接口接入智能电视操作系统的设备，包括但不限于摄像头、麦克风等设

备。

1

T/CVIAXX-202

3.1.5

重要资源keyresources

智能电视操作系统中涉及的系统配置信息、用户数据、系统关键分区、系统程序文件等资

源。

3.2缩略语

ADB：安卓调试桥（AndroidDebugBridge）

JTAG：联合测试行动小组（JointTestActionGroup）

UART：通用异步收发传输器（UniversalAsynchronousReceiver-Transmitter）

4智能电视数据存储安全概述

4.1智能电视数据存储安全防护模型见图1。

访问控制

外部防范调试端口1

网络与蓝牙连接

数据访问安全机制

智能电视

数据存储

安全

数据完整性校验

内部控制数据加密

数据删除、恢复出厂

数据存储安全机制

图1智能电视数据存储安全模型

5技术要求

5.1数据访问安全机制

5.1.1访问控制

2

T/CVIAXX-202

访问控制应满足如下要求：

a)支持对用户数据、关键文件、存储模块等重要资源配置访问控制策略，普通用户无法读写系

统内划分的重要资源；

b)具备防范外接设备（包括摄像头、麦克风）非授权访问和使用的机制，当操作系统或者应用

软件试图启用外接设备时，应确保用户知情并可控；

c)智能电视操作系统不提供提权指令（包括但不限于su、sudo、adbroot等），用户无法在智能

电视终端使用提权指令进行提权操作；

d)智能电视操作系统禁止普通用户利用修改权限指令修改系统分区、用户分区文件权限，普通

用户不能修改系统分区，用户分区文件权限。

5.1.2调试端口

智能电视终端出厂时应关闭所有调试接口，包括ADB、JTAG、UART等，用户无法直接通过建

立物理连接访问智能电视系统控制后台；智能电视调试端口开启时，系统需配置端口安全访问控制策

略，支持身份验证，非授权用户无法通过验证，授权用户可访问智能电视系统控制后台。

5.1.3网络与蓝牙连接

网络与蓝牙连接应满足如下要求：

a)智能电视操作系统应具备关闭、禁止电视终端上与实际应用无关的端口、协议和服务的机制,

应在智能电视出厂时关闭无关网络端口、协议及服务；

b)智能电视操作系统应具备防范蓝牙连接非授权访问和使用的能力，当蓝牙设备试图连接智能

电视时，应确保用户知情并可控。

5.2数据存储安全机制

5.2.1数据完整性校验

智能电视操作系统应能提供完整性验证算法，并在操作系统读取智能电视终端数据时进行完整性

检测，防止通过非法途径对数据进行修改、插入和删除等操作。

当操作系统数据被非法修改或破坏时能够及时发现，系统提供给用户可察觉的警示信息。

5.2.2数据加密

智能电视操作系统应对系统关键数据（系统key、密钥）提供安全可靠的加密保护措施，推荐使

用安全性较高的密码算法，不得明文存储系统关键数据信息。

若智能电视收集用户姓名、性别、出生年月、个人通信信息，个人生物指征信息等隐私数据时，

需对用户数据进行强加密保存，不得明文存储用户数据。

5.2.3数据删除、恢复出厂

数据删除、恢复出厂应满足如下要求：

a)智能电视操作系统支持数据删除，用户应能够删除存储在智能电视中的图片、视频等用户

数据；

b)智能电视操作系统需提供恢复出厂设置功能，能够彻底清除用户账号密码、个性化配置等

隐私信息。

6评测方法

6.1数据访问安全机制评测方法

6.1.1访问控制

对智能电视操作系统数据存储安全访问控制的测试评价方法和预期结果如下：

3

T/CVIAXX-202

a）测试评价方法：

1）进入智能电视终端设备系统人机交互界面，查看系统重要资源（系统配置信息、系统关键

分区、用户数据、系统程序文件）是否配置访问控制策略（如读写权限、访问权限）；

2）智能电视终端需要使用外接设备（摄像头、麦克风）时，查看用户是否会收到外接设备授

权使用提示；

3）按照厂商提供文档资料，进入智能电视系统人机交互界面，命令行中使用提权指令（包括

但不限于su/sudo/adbroot）命令进行提权操作，查看是否提权成功；

4）按照厂商提供文档资料，进入智能电视系统人机交互界面，命令行中使用修改权限指令修

改系统分区、用户分区路径下文件权限，查看是否修改权限成功。

b）预期结果：

1）智能电视系统针对系统重要资源配置已配置访问控制策略；

2）智能电视系统首次使用外接设备时会收到授权申请；

3）提权指令无效，无法提权成功；

4）权限限制有效，无法进行修改权限操作。

6.1.2调试端口

对智能电视操作系统数据存储安全调试端口的测试评价方法和预期结果如下：

a）测试评价方法：

1)按照厂商提供的文档资料，设置正确的连接参数（端口号、波特率、流控等）后进行调

试口连接，根据是否可连接成功判断调试口状态是否启用；

2)按照厂商提供的文档资料，开启调试端口开关，根据调试口连接成功后能否支持自动登

录电视系统控制后台判断是否配置访问控制策略。

b）预期结果：

1)调试端口开关为禁用状态，无法建立连接，无任何信息打印，调试端口不可用；

2)调试端口开关配置访问控制策略，授权用户通过验证可访问人机交互后台，非授权用户

无法通过验证。

6.1.3网络与蓝牙连接

对智能电视操作系统数据存储网络与蓝牙连接的测试评价方法和预期结果如下：

a)测试评价方法：

1)通过端口扫描工具（如Nmap），在PC与电视处于同一局域网时，扫描智能电视端口查

看是否有与实际应用无关的网络调试端口；

2)通过带有蓝牙功能的其他设备（如手机、电脑）搜索、连接智能电视，查看智能电视是

否提示用户授权进行蓝牙连接。

b)预期结果：

1）系统中不存在与实际应用无关的网络调试端口，系统不支持远程登录服务；

2）带有蓝牙功能的其他设备（如手机、电脑）连接电视时，系统存在用户授权确认机制，用

户授权后连接成功，用户未授权连接失败。

6.2数据存储安全机制评测方法

6.2.1数据完整性校验

对智能电视操作系统数据完整性校验的测试评价方法和预期结果如下：

a)测试评价方法：

审查厂商提供的文档资料，查看是否支持数据完整性校验，数据完整性被破坏后能够及时发

现。对重要数据（如应用安装包、固件升级程序、操作系统配置信息、操作系统密钥）进行

完整性破坏，篡改数据内容，查看智能电视终端是否对完整性受到破坏的数据进行检测及提

醒。

b)预期结果:

4

T/CVIAXX-202

系统可以识别数据完整性遭到破坏，系统会提示告警信息。

6.2.2数据加密

对智能电视操作系统数据加密的测试评价方法和预期结果如下：

a)测试评价方法：

1)按照厂商提交的文档资料，打开智能电视调试接口，定位具体存储路径查看关键数据

（系统key、密钥）是否采用业界认可的安全密码算法加密保存；

2)根据厂商提供的收集用户信息的应用列表，遍历应用系统存储路径下的文件，查看文件

内容，查看用户信息是否明文存储。

b)预期结果：

1)系统key、密钥等系统关键数据采用了业界认可的安全密码算法保存；

2)系统均对涉及用户信息的内容采用了加密存储手段。

6.2.3数据删除、恢复出厂

对智能电视操作系统数据删除、恢复出厂的测试评价方法和预期结果如下：

a)测试评价方法：

1)根据厂商提供的说明文件，使用智能电视操作系统删除存储的数据（如相片、视频、文

件等），进入智能电视系统配置后台，查看对应路径下内容是否完全删除；

2)根据厂商提供的说明文件，执行恢复出厂操作，进入智能电视系统配置后台，确认与用

户相关信息是否完全删除，电视非预制应用是否完全删除，相关个性化配置信息是否全

部重置。

b)预期结果：

1)系统所提供删除数据功能为完全删除，对应存储路径下不存在删除的数据；

2)系统提供恢复出厂功能，且对应存储路径下无用户隐私信息，非预制应用被清除，相关

个性化配置信息全部重置。

5

T/CVIAXX-202T/CVIAXX-202

目次

前言......................................................................................................................................................................II

1范围...................................................................................................................................................................1

2规范性引用文件...............................................................................................................................................1

3术语、定义和缩略语.......................................................................................................................................1

3.1术语和定义.....................................................................................................................................................1

3.2缩略语.............................................................................................................................................................2

4智能电视数据存储安全概述...........................................................................................................................2

4.1智能电视数据存储安全防护模型见图1。...................................................................................................2

5技术要求...........................................................................................................................................................2

5.1数据访问安全机制..........................................................................................................................................2

5.2数据存储安全机制..........................................................................................................................................3

6评测方法...........................................................................................................................................................3

6.1数据访问安全机制评测方法..........................................................................................................................3

6.2数据存储安全机制评测方法..........................................................................................................................4

I

T/CVIAXX-202

智能电视操作系统数据存储安全技术要求和评测方法

1范围

本文件规定了智能电视数据存储的技术要求和评测方法，对具体的技术实现方案不做限定。

本文件适用于智能电视产品，其他具有操作系统的智能终端（如智能机顶盒，智慧屏等）也可以

参考使用。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文

件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适

用于本文件。

GB/T35273-2020信息安全技术个人信息安全规范

CCRC-TR-0XX-2021智能电视产品安全技术要求和测试评价方法

SJ/T11592-2016智能电视概念模型

3术语、定义和缩略语

3.1术语和定义

GB/T35273-2020、CCRC-TR-0XX-2021和SJ/T11592-2016界定的以及下列术语和定义适用于本

文件。

3.1.1

智能电视smarttelevision

智能电视是具有操作系统、能安装和卸载应用软件、具备一种或多种人机交互方式、能接收数字

电视广播、接入互联网或其他网络并实现网络服务、可扩展其他应用或业务的电视。

3.1.2

数据存储datastorage

数据以某一种格式记录在终端设备内部或者外部存储介质上。

3.1.3

安全机制securitymechanism

用来实施安全服务的机制，通过一种或多种措施确保所要维护的系统安全。

3.1.4

外接设备externalequipment

通过智能电视暴露在外的接口接入智能电视操作系统的设备，包括但不限于摄像头、麦克风等设

备。

1

T/CVIAXX-202

3.1.5

重要资源keyresources

智能电视操作系统中涉及的系统配置信息、用户数据、系统关键分区、系统程序文件等资

源。

3.2缩略语

ADB：安卓调试桥（AndroidDebugBridge）

JTAG：联合测试行动小组（JointTestActionGroup）

UART：通用异步收发传输器（UniversalAsynchronousReceiver-Transmitter）

4智能电视数据存储安全概述

4.1智能电视数据存储安全防护模型见图1。

访问控制

外部防范调试端口1

网络与蓝牙连接

数据访问安全机制

智能电视

数据存储

安全

数据完整性校验

内部控制数据加密

数据删除、恢复出厂

数据存储安全机制

图1智能电视数据存储安全模型

5技术要求

5.1数据访问安全机制

5.1.1访问控制

2

T/CVIAXX-202

访问控制应满足如下要求：

a)支持对用户数据、关键文件、存储模块等重要资源配置访问控制策略，普通用户无法读写系

统内划分的重要资源；

b)具备防范外接设备（包括摄像头、麦克风）非授权访问和使用的机制，当操作系统或者应用

软件试图启用外接设备时，应确保用户知情并可控；

c)智能电视操作系统不提供提权指令（包括但不限于su、sudo、adbroot等），用户无法在智能

电视终端使用提权指令进行提权操作；

d)智能电视操作系统禁止普通用户利用修改权限指令修改系统分区、用户分区文件权限，普通

用户不能修改系统分区，用户分区文件权限。

5.1.2调试端口

智能电视终端出厂时应关闭所有调试接口，包括ADB、JTAG、UART等，用户无法直接通过建

立物理连接访问智能电视系统控制后台；智能电视调试端口开启时，系统需配置端口安全访问控制策

略，支持身份验证，非授权用户无法通过验证，授权用户可访问智能电视系统控制后台。

5.1.3网络与蓝牙连接

网络与蓝牙连接应满足如下要求：

a)智能电视操作系统应具备关闭、禁止电视终端上与实际应用无关的端口、协议和服务的机制,

应在智能电视出厂时关闭无关网络端口、协议及服务；

b)智能电视操作系统应具备防范蓝牙连接非授权访问和使用的能力，当蓝牙设备试图连接智能

电视时，应确保用户知情并可控。

5.2数据存储安全机制

5.2.1数据完整性校验

智能电视操作系统应能提供完整性验证算法，并在操作系统读取智能电视终端数据时进行完整性

检测，防止通过非法途径对数据进行修改、插入和删除等操作。

当操作系统数据被非法修改或破坏时能够及时发现，系统提供给用户可察觉的警示信息。

5.2.2数据加密

智能电视操作系统应对系统关键数据（系统key、密钥）提供安全可靠的加密保护措施，推荐使

用安全性较高的密码算法，不得明文存储系统关键数据信息。

若智能电视收集用户姓名、性别、出生年月、个人通信信息，个人生物指征信息等隐私数据时，

需对用户数据进行强加密保存，不得明文存储用户数据。

5.2.3数据删除、恢复出厂

数据删除、恢复出厂应满足如下要求：

a)智能电视操作系统支持数据删除，用户应能够删除存储在智能电视中的图片、视频等用户

数据；

b)智能电视操作系统需提供恢复出厂设置功能，能够彻底清除用户账号密码、个性化配置等

隐私信息。

6评测方法

6.1数据访问安全机制评测方法

6.1.1访问控制

对智能电视操作系统数据存储安全访问控制的测试评价方法和预期结果如下：

3

T/CVIAXX-202

a）测试评价方法：

1）进入智能电视终端设备系统人机交互界面，查看系统重要资源（系统配置信息、系统关键

分区、用户数据、系统程序文件）是否配置访问控制策略（如读写权限、访问权限）；

2）智能电视终端需要使用外接设备（摄像头、麦克风）时，查看用户是否会收到外接设备授

权使用提示；

3）按照厂商提供文档资料，进入智能电视系统人机交互界面，命令行中使用提权指令（包括

但不限于su/sudo/adbroot）命令进行提权操作，查看是否提权成功；

4）按照厂商提供文档资料，进入智能电视系统人机交互界面，命令行中使用修改权限指令修

改系统分区、用户分区路径下文件权限，查看是否修改权限成功。

b）预期结果：

1）智能电视系统针对系统重要资源配置已配置访问控制策略；

2）智能电视系统首次使用外接设备时会收到授权申请；

3）提权指令无效，无法提权成功；

4）权限限制有效，无法进行修改权限操作。

6.1.2调试端口

对智能电视操作系统数据存储安全调试端口的测试评价方法和预期结果如下：

a）测试评价方法：

1)按照厂商提供的文档资料，设置正确的连接参数（端口号、波特率、流控等）后进行调

试口连接，根据是否可连接成功判断调试口状态是否启用；

2)按照厂商提供的文档资料，开启调试端口开关，根据调试口连接成功后能否支持自动登

录电视系统控制后台判断是否配置访问控制策略。

b）预期结果：

1)调试端口开关为禁用状态，无法建立连接，无任何信息打印，调试端口不可用；

2)调试端口开关配置访问控制策略，授权用户通过验证可访问人机交互后台，非授权用户

无法通过验证。

6.1.3网络与蓝牙连接

对智能电视操作系统数据存储网络与蓝牙连接的测试评价方法和预期结果如下：

a)测试评价方法：

1)通过端口扫描工具（如Nmap），在PC