试题一(15分)
某开发团队开发一款安卓地图APP，在开发过程中需要遵循安卓权限规范、OWASP移动安全要求进行安全设计，请结合安卓安全相关知识回答下列问题。
【问题6】(5分)OWASP移动应用TOP10威胁清单如下：
M1：凭据不当使用 M2：供应链安全不足 M3：不安全认证授权 M4：输入输出校验不足
M5：不安全通信 M6：隐私管控不足 M7：二进制保护不足 M8：安全配置错误
M9：不安全数据存储 M10：加密不足
结合场景匹配对应的威胁编号：
(1)应用在logcat日志打印输出idcard、email、phone等敏感信息;
(2)APP集成第三方SDK;
(3)应用配置允许备份应用数据(android:allowBackup="true")。
参考答案(1)M6：隐私管控不足。logcat日志中输出身份证号、邮箱、手机号等个人敏感信息，违反隐私保护要求。
(2)M2：供应链安全不足。第三方SDK引入的依赖组件存在已知漏洞或恶意行为，属于供应链安全风险。
(3)M8：安全配置错误。allowBackup开启后，攻击者可通过adb备份提取应用私有数据，属于配置不当导致的安全风险。
粤公网安备44010602001432号