T∕CVIA 108.10-2023 智能电视信息安全 操作系统开源软件及第三方库使用安全技术要求和评测方法

Technicalrequirementsandevaluationmethodsfortsoftwareandthird-partylibrariesforoperat2023-12-06发布 1 1 13.1术语和定义 13.2缩略语 2 24.1配置和编码安全 24.2更新和维护安全 2 25.1配置和编码安全 25.2更新和维护安全 4 5 6请注意本文件的某些内容可能涉及专利。本文件发布技股份有限公司、深圳TCL新技术有限公司、重庆本文件主要起草人：鞠磊磊、王伟、郝亚斌、冯晓曦、彭健锋、张宏伟、高洁、马万辉、徐军、张勇、李鑫、邓文科、宁江、赵燕伟、张鑫、薛元、林恺杰、张利利、王佳电视也从普通电视发展为现在的智能电视，智能电视也进入了《智能电视信息安全操作系统开源软件及第三方库使用要求和评测方法》对智能电视操作系统在智能电视信息安全操作系统开源软件及第三方库使用安全技术要求和评测方法本文件规定了智能电视操作系统开源软件及第GB/T25069-2022信息安制输入与输出设备、操作网络与管理文件系统等基2CNNVD:中国国家信息安全漏洞公共平台（ChinCVE:通用漏洞披露（CommonVulnerabHTTPS：超文本传输安全协议（HyperTextTransferProtocoloverSecureSocketLayer）NVD:美国国家漏洞数据库（NationalVulnerabilit4.1配置和编码安全第三方库的配置文件进行审查和修改，保证其安全性和稳d)确保所有与开源软件及第三方库相关的通信，均通过4.2更新和维护安全35.1配置和编码安全a)评测标准：只允许特定用户a)评测标准：遵循权限最小化原则，仅为开源软件及第三方库步骤1后：如果使用开源软件及第三方库编码时只保留了必要功能，禁用了所有不必a)评测标准：使用开源软件及2)步骤2：使用抓包工具，分析和开源软件及第三方库有关的通信过程是否加密。2)步骤2后：如果分析出和开源软件及第三方库有关的通信过程支持加密，则评测结果为“符合要求”，评测结束；否则为“不符合要求”4a)评测标准：对于提供了安全功能的开步骤1后：如果使用开源软件及第三方库编码的操作系统5.2更新和维护安全a)评测标准：开源软件及第三方库及时更新到正式发布的最新版本，且最新版本没有CNVD、步骤1：检查操作系统中开源软件及第三方库使用的版本，使用漏洞扫描工具或直接查询步骤1后：如果开源软件及第三方库使用的是最新的正式版本，且最新版本没有CNVD、a)GPL许可证：使用或分发GPL许可证的开源软件及第三方库时，b)Apache许可证：使用或分发Apache许可证的开源软件及第三方库时，必须保留版许可证声明。如果修改了开源软件源代码，必须在文件中注明这c)MIT许可证：使用或分发MIT许可证的开源软件及第三方库时，必须包含版权声明和许可证d)BSD许可证：使用或分发BSD许可证的开源软件及第三方库时，必须包含版权声明和许可证声明。如果修改了开源软件源代码，必须在文件中注明这些e)LGPL许可证：使用或分发LGPL许可证的开源软件及第三方库时，必须包含版权声明和许f)Mozilla公共许可证：使用或分发Mozilla许可证的开源软件及第三方库时，必g)CDDL许可证：使用或分发CDDL许可证的开源软件及第三方库时，必须包含版权声明和许h)Eclipse许可证：使用或分发Eclipse许可证的开源软件及第三方库时，必须包含版权声明和许可证声明。如果修改了开源软件源代码，必须公开修改的i)Mulan许可证：使用或分发Mulan许可证的开源软件及第三方库时，必须包含版权声明和许6a)输入验证：对所有用户输入的数据进行验证，确保其符合预期的格式、长度和类型。使d)长度和范围检查：检查输入参数的长度和取值范围是否在预期的限制范围内。对数，验证其长度是否超过允许的最大长度；对于数字参数，验证其值是否在有效范e)数据库查询参数化：使用参数化查询或预编译语句执行数据库查询，而不是将f)上传检查：如果应用程序涉及文件上传功能，对上传的文件进行严格的检查和验g)授权与身份验证：对于需要访问敏感数据或执行敏感操作的功能，进行适