Використання SSL у програмі iPhone - Експорт відповідності


75

Я розглядаю створення програми для iPhone, яка буде взаємодіяти з веб-службою REST. Оскільки деякі чутливі для користувача дані (ім’я, адреса, вік тощо) будуть передані, я розглядаю захист з'єднань за допомогою SSL.

Однак на своїх попередніх ескападах до подання App Store я побачив, що першим запитанням, яке мені задають, є "Чи використовує ваша програма шифрування?" і, залежно від відповіді на це та інші подальші запитання, може знадобитися дотримання вимог США щодо експорту.

Моя компанія не базується в США, а також у нас немає офісу в США.

Хтось ще надсилав програму, яка використовує SSL для таких цілей? Якщо так, то чи потрібно було щось робити, щоб отримати дозвіл на його використання, або від Apple, або від уряду США?


Ви в кінцевому підсумку використовували ERN або CCATS?
Ден П.

3
Примітка: У BIS EAR відбулись суттєві зміни 20 вересня 2016 р., Див. Відповідь @ user3562927. Більшість реєстрацій більше не потрібні.
zaph

Відповіді:


51

Оновлення станом на 20 вересня 2016 року

ERN більше не потрібні, тому, здається, багатьом програмам більше не потрібно буде реєструватися в уряді США. (Хоча, можливо, вам все одно доведеться подавати дворічний звіт про самокласифікацію Додаток № 8 до звіту частини 742). Http://www.bis.doc.gov/InformationSecurity2016-updates

(Дякую @EugenioDeHoyos та @ user3562927 за те, що вказували на це!)

Цей сторонній веб-сайт може допомогти вам у підготовці вашого звіту: Генератор звітів про самокласифікацію (Інший користувач додав посилання на нього, я не пробував сам).

Французька державна реєстрація все ще необхідна для продажу у Франції.

В ITunes Connect Питання та відповіді були оновлені , щоб покрити ці зміни і є найбільш читаних посиланням , яку я знайшов.

Стара відповідь

Процес змінився, станом на літо 2010 року, і вам (можливо) потрібна ERN зараз, а не CCATS, як це було потрібно на момент написання Джоном своєї відповіді.

Див. Обмеження експорту Apple iTunes для програм . Запитання iTunes connect також містять багато корисної інформації щодо дотримання вимог щодо експорту.

Зараз також існують обмеження, що застосовуються до розповсюдження програм із шифруванням у французькому магазині програм - див. Поширені запитання щодо iTunes Connect та французький потік дотримання вимог щодо експорту на devforums .


2
Станом на 20 вересня 2016 року це вже НЕ ВЖЕ точно. Вам більше не потрібно реєструватися через BIS США, але вам все одно потрібно класифікувати ваш додаток як такий, що використовує шифрування через Apple. Дивіться відповідь @ user3562927 нижче та цей документ, зокрема "Реєстрація шифрування більше не потрібна - частина інформації з реєстрації тепер надходить у Додаток № 8 до звіту частини 742". bis.doc.gov/InformationSecurity2016-updates
Eugenio De Hoyos

1
@EugenioDeHoyos Чудово, дякую, що вказали на це! Я оновив свою відповідь.
JosephH

2
@BrianKnoblauch Див. Розділ bis.doc.gov/index.php/documents/regulation-docs/… 'ДОДАТОК №. 8 ДО ЧАСТИНИ 742 - ЗВІТ ПРО САМУ КЛАСИФІКАЦІЮ ДО ПУНКТІВ ШИФРУВАННЯ для отримання детальної інформації про файл CSV, який слід надіслати електронною поштою. Мені досі не зовсім зрозуміло, коли ви / не потребуєте подавати такий звіт. Я підозрюю, що, ймовірно, багато людей, які повинні це робити, не роблять цього.
JosephH

1
@izzyMachado Посилання, яке я надаю на документацію Apple за адресою help.apple.com/app-store-connect/#/devc3f64248f, є найкращим для прочитання. Очевидно, я б запропонував вам відповісти "так" лише на тему "чи відповідає якість вашої програми будь-якому з винятків", якщо ваша програма насправді відповідає вимогам. Схоже, якщо ваш додаток відповідає критеріям звільнення, французькі документи не потрібні.
JosephH

1
@sceee так, це вимога до імпорту, не має значення, безкоштовний це або платний додаток. Поширені запитання про iTunes Connect були досить вичерпними минулого разу, коли я перевіряв.
JosephH

13

Зараз у листопаді 2017 року ...

Насправді це юридичні речі, тому це вказівки на те, що я знайшов корисним і як я тлумачив речі. Не сприймайте це як пораду (це не так).

Поширені запитання щодо Apple, як згадано в інших відповідях, є чудовим початковим місцем: https://itunespartner.apple.com/en/apps/faq/Managing%20Your%20Apps_Export%20Compliance

Це призводить до наступного: У iTunes Connect перейдіть до свого додатка. Виберіть вкладку "особливості" вгорі та виберіть "Шифрування" збоку. Клацніть на «Додати документацію про відповідність експорту для iOS» на головній сторінці. Перше запитання говорить: „Відповідність експорту: чи ваш додаток призначений для використання криптографії ...” Виберіть „Так”. Наступні запитання говорять (і я копіюю та вставляю):

Чи відповідає ваш додаток будь-якому з наступного:
(a) Кваліфікується на одне або кілька винятків, передбачених категорією 5, частина 2
(b) Використання шифрування обмежується шифруванням в операційній системі (iOS або macOS)
(c) Лише здійснює виклик ( s) через HTTPS
(d) Додаток доступний лише в США та / або Канаді

(c) - посилання на стиль SSL (відповідно до вашого запитання), тому виберіть Так для цього питання. [Зверніть увагу, що внизу вказівок на цьому екрані є посилання на вищевказане посилання на поширені запитання]

Вибравши "Так", одне зі спливаючих вікон повідомляє (і я цитую):

Якщо ви використовуєте ATS або дзвоните на HTTPS, зауважте, що вам потрібно подати до уряду США звіт про самокласифікацію на кінець року. Вивчайте більше

І повертаючись до поширених запитань, ключова цитата:

Чому мій додаток вимагає перевірки шифрування, якщо я не проживаю в США? Чи можу я обійти огляд шифрування, якщо я випускаю свій додаток лише у своїй країні?

Ваш додаток буде завантажено на сервер Apple у США, а це означає, що ваш додаток буде експортований із США і на нього поширюватиметься законодавство США про експорт. Ця вимога застосовується, навіть якщо ви плануєте розповсюджувати лише у вашій країні.

Останній біт, я думаю, відповідає на другий біт вашого запитання ... Ви все одно повинні дотримуватись, навіть якщо ви не в США і навіть якщо ви не збираєтеся розповсюджувати за межами вашої країни ...

Отже, станом на те, що я читав сьогодні (у листопаді 2017 р.), Якщо за допомогою SSL (HTTPS) у додатку iOS, навіть якщо він знаходиться за межами США, потрібно встановити прапорці біля iTunes Connect ... (Процес розпочався в розділі 'особливості вкладка ', описана вище). Крім цього, вам тоді потрібно скласти щорічний звіт про самокласифікацію.

Посилання в поширених запитаннях щодо Apple на даний момент порушено (поки я це пишу), але це посилання корисне: https://www.bis.doc.gov/index.php/policy-guidance/product-guidance/high -performance-computers / 223-new-encryption / 1238-how-to-to-file-an-Annual-Self-Classification-Report

Ця сторінка містить електронні адреси, на які потрібно надіслати звіт (його потрібно надіслати у 2 місця), коли його потрібно надіслати та який формат та інформацію потрібно надіслати (ретельно створений дуже прописаний файл .csv), мені не вдалося знайти це з пошуковою системою bis.doc.gov, але знайшов це за допомогою загальної пошукової системи, яка шукає "Звіт про самокласифікацію на кінець року". Тож якщо це конкретне посилання загине в майбутньому, цей пошук може допомогти знайти будь-яку заміну :)

Щодо подробиць про те, як створити цей файл .csv для додатка iOS із використанням SSL, я ще не впевнений - я сподіваюся на успіх і відредагую цю публікацію з деталями, якщо це здасться доречним.

До цього, однак, у цьому зв’язаному документі: https://www.bis.doc.gov/index.php/documents/new-encryption/1651-740-17-enc-table/file (який, можливо, вам доведеться збільшити читати) Я вважаю, що відповідний рядок є 3-м (b) (1), оскільки вимоги до подання відповідають. Це стосується необхідності

подати Supp. 8, частина 742, електронною поштою

Цей документ також має стовпець ECCN, і я прийшов до думки, що відповідний номер ECCN - це 5A002

Цей наступний документ містить докладнішу інформацію про вибір правильного коду ECCN:

https://www.bis.doc.gov/index.php/documents/new-encryption/1652-cat-5-part-2-quick-reference-guide/file

Читаючи це, на сьогоднішній день найкращим припущенням є те, що якщо SSL використовується як невелика частина програми, це стосується коду 5A002.a.4

ОНОВЛЕННЯ:

Тож внизу вказівок bis.doc.gov в описі для створення файлу .csv сказано:

  • Перший рядок річного звіту про самокласифікацію повинен складатися з наступних 12 записів: НАЗВА ПРОДУКТА, НОМЕР МОДЕЛІ, ВИРОБНИК, ECCN, ТИП АВТОРИЗАЦІЇ, ТИП ТОВАРУ, НАЗВАННЯ ТЕЛЕФОНА, ЕЛЕКТРОННА АДРЕСА, АДРЕСА ПОШТОВОЇ ВЕРСІЇ КОМПОНЕНТИ, НЕАмериканські виробничі локації.
  • Жоден запис не може залишатися порожнім.
  • НАЗВА ТОВАРУ та ECCN мають бути заповнені.
  • Для МОДЕЛЬНОГО НОМЕРА та ВИРОБНИКА, якщо потрібно, введіть "NONE" або "N / A"
  • Для ТИПУ АВТОРИЗАЦІЇ введіть ENC або MMKT.
  • Для ТИПУ ПУНКТУ виберіть зі списку типів елементів, наведених у додатку. 8 до частини 742 (а) (6).
  • Заголовки стовпців НАЗВАННЯ ІМЕНІВ через НЕАмериканські МІСЦЕ ВИРОБНИЦТВА відносяться до компанії в цілому, і тому їх слід вводити однаковими для кожного товару (тобто, лише одна контактна особа, одна відповідь "ТАК" чи "НІ") продукти, про які повідомляється, включають компоненти шифрування, що не належать до США, а для звіту потрібен один перелік виробничих місць, що не входять до США). Дублюйте цю інформацію в кожному рядку електронної таблиці
  • Єдине дозволене використання коми - необхідний роздільник між 12 записами для кожного рядка-позиції. Дозволені лише коми, котрі вставляються автоматично під час перетворення електронних таблиць.

Використовуючи додаток № 8 до частини 742 - Звіт про самокласифікацію для елементів шифрування для подальших вказівок, я потрапив до файлу .csv таким чином:

PRODUCT NAME, MODEL NUMBER, MANUFACTURER, ECCN, AUTHORIZATION TYPE, ITEM TYPE, SUBMITTER NAME, TELEPHONE NUMBER, E-MAIL ADDRESS, MAILING ADDRESS, NON-U.S. COMPONENTS, NON-U.S. MANUFACTURING LOCATIONS
[my-app-name] iOS App,[my-App-version-number],SELF,5A002,ENC,Link encryption,[My-name],[my-phone-number],[my-email],[my address with no commas],YES,[my-location]

Зверніть увагу, що це повинен бути добре сформований файл .csv, що це не зовсім. Я пропоную створити щось у електронній таблиці та зберегти як .csv

Також зауважте, що це не рекомендований результат - це моє найкраще тлумачення як некваліфікованої особи, яка не мала поради. Приклад .csv внизу керівництва bis.doc.gov допоміг мені далі і, здавалося, припускав, що ECCN може бути просто 5A002 без додаткових деталей. ТИП ЕЛЕМЕНТА потрібно вибрати зі списку в Додатку № 8 - щось інше може краще відповідати природі вашого додатка. Я не був настільки впевнений у МОДЕЛІ НОМЕР, але приклад виглядав так, ніби він використовував описи типів версій номерів. Можливо, тут буде кращий додаток Apple ID. Враховуючи, що це необов’язково, це може не мати значення ...

ОНОВЛЕННЯ (січень 2019 р.): Нарешті зробив свою заявку на 2018 рік і пішов на:

PRODUCT NAME, MODEL NUMBER, MANUFACTURER, ECCN, AUTHORIZATION TYPE, ITEM TYPE, SUBMITTER NAME, TELEPHONE NUMBER, E-MAIL ADDRESS, MAILING ADDRESS, NON-U.S. COMPONENTS, NON-U.S. MANUFACTURING LOCATIONS
[my-app-name] iOS App,N/A,SELF,5A002,ENC,Link encryption,[My-name],[my-phone-number],[my-email],[my address with no commas],NO,[my-location]

Зміни повинні були поставити "N / A" як номер моделі та "NO" для неамериканських КОМПОНЕНТІВ. "НІ", оскільки в моєму додатку немає вбудованих компонентів (США чи НЕ США) - код шифрування - це просто бібліотека шифрування iOS.


3
Дякую за UPDATE: Я піду тепер , <App name>, <App Sku>, SELF, 5D002, MMKT, Other (iOS App), <Your name>, <Your phone number>, <Your email>, <Your home address>, no, n/aяк запропоновано тут simonfairbairn.com/bis-year-end-self-classification-report ECCN = 5D002 , оскільки SSL є OpenSource ДОЗВОЛУ TYPE = MMKT , тому що я сподіваюся , що для «масового ринку» ^^ ITEM ТИП = (xlix) Інше (вкажіть).
Ronny Elflein r11lein

4
Здається, 5D992це підходить для більшості додатків масового ринку, які просто використовують такі компоненти криптографії, як SSL, а не 5D002(див. "Примітку 3 до категорії 5, частина 2").
Тео

хто-небудь знає, чи ми вибираємо ТАК для інших, не використовуваних нами компонентів, якщо ми використовуємо рекламний SDK inMobi (компанія базується за межами Сінгапуру, але має офіси в США)?
isJulian00

1
@izzyMachado Я зрозумів, що весь мій додаток не для нас, оскільки він був розроблений та скомпільований у Великобританії, саме тому я подумав ТАК у стовпці "Неіспольовані компоненти". Хоча я можу помилятися ...
Маркус

1
@izzyMachado Насправді, дякую, що позначили це. Я думаю, мені потрібно поставити "НІ", оскільки це все є частиною мого додатка, а не зовнішнім придбаним компонентом.
Маркус

11

Я фактично повернувся до Apple, і виявляється, що будь-яка програма, що використовує SSL , потребує схвалення (на жаль). Очевидно, є деякі винятки, наприклад, якщо програма використовує SSL лише для однієї платіжної операції.

Класифікація товарів CCATS для додатків iPhone у 8 простих кроках та відповідність експорту шифрування iPhone для додатків, що здійснюють з’єднання HTTPS (TLS), містить більше інформації в розділі Класифікація товарів CCATS для масового ринку .


Це також залежить від використання криптографії. Якщо ви використовуєте криптографію лише для автентифікації, тоді вам не потрібна ліцензія на експорт від Міністерства торгівлі. Отже, eNULLшифрові набори в порядку (але я не впевнений, наскільки вони корисні).
jww

2
Зараз друга ланка мертва.
DevC

1
Перша ланка також мертва
andrewb

2
посилання мертві, обидва
Майк

10

Всі ці відповіді застаріли станом на 20 вересня 2016 року. Я щойно зв’язався з представниками SNAP-R (уряд), і вони сказали, що нове законодавство приземлилося 20 вересня. Новий регламент скасовує вимогу реєструвати ваш додаток просто тому, що він використовує шифрування.

Я описав їм свою програму (гру), і вони сказали, що це "EAR-99", що означає, що мені не потрібно реєструватися. Ймовірно, що Apple збирається оновити свій веб-сайт. Але тим часом, якщо ви намагаєтеся пройти цей процес, оскільки використовуєте SSL / HTTPS, просто зупиніться зараз. Ви навіть не досягнете успіху в заповненні анкет, оскільки вони суттєво змінилися.


1
Деякі посилання на зміни 9/20: Зміни в засобах управління інформаційною безпекою BIS забезпечують розслаблений контроль, скасування вимог щодо реєстрації Dentons , Зміни в регламенті імплементації США для продуктів шифрування, Програмне забезпечення та технології Shadden , Регламент адміністрації експорту (EAR) BIS .
zaph

1
Я просто теж це пережив. Онлайн-програма SNAP-R більше не дозволяє створювати робочий елемент "Реєстрація шифрування". Я також спілкувався з ними по телефону, і вони сказали мені, що станом на 20 вересня реєстрація більше не потрібна. Вам все одно потрібно класифікувати ваш додаток через Apple як такий, що використовує шифрування, але вам більше не потрібно заповнювати додаткову "Реєстрацію шифрування".
Eugenio De Hoyos

1
Зверніть увагу на рядок: "Реєстрація шифрування більше не потрібна - частина інформації з реєстрації тепер надходить у Додаток № 8 до частини 742". у наступному резюме оновлення BIS: bis.doc.gov/InformationSecurity2016-updates
Eugenio De Hoyos

3
так, але чи нам потрібно буде подавати розширений «звіт про самокласифікацію» (щорічно) або запитувати класифікацію в BIS? (argh ...)
Джорджо Дайно

1
З того, що я зараз читаю, виходить, що навіть без необхідності реєстрації (за винятком), якщо ви використовуєте TLS, вам потрібно щороку робити цей звіт про самокласифікацію ... bis.doc.gov/index.php/policy -керівництво / шифрування / ... - "Щорічний звіт про самокласифікацію є вимогою для предметів, що експортуються відповідно до винятків ліцензій ENC - 740.17 (b) (1), Крім випадків, коли для товару не було подано Класифікацію товарів (CCATS)."
Брайан Ноблауч,

7

Я знайшов цю статтю від когось, хто нещодавно пройшов цей процес (грудень 2015 р.) Надзвичайно корисним. Загальний консенсус, схоже, полягає в тому, що вам дійсно потрібно пройти цей процес, навіть якщо ви просто використовуєте виклик REST, який використовує SSL. Ця стаття допоможе вам швидко пройти процес.

https://carouselapps.com/2015/12/15/legally-submit-app-apples-app-store-uses-encryption-obtain-ern/


4

Сьогодні я зіткнувся з цим питанням і думав, що повернусь, щоб повідомити про свій досвід.

Перевірте: http://tigelane.blogspot.com/2011/01/apple-itunes-export-restrictions-on.html для процедури, яка для мене добре працювала (не забудьте прочитати цілу справу, включаючи коментарі - там відбулись деякі зміни з моменту вихідної публікації, переважно на краще, і оновлена ​​інформація міститься в коментарях).

Зараз процес досить впорядкований (за винятком того, що Safari та Chrome не визнають сертифікат SSL власного сайту. Трохи іронічно. :-); Я отримав схвалення приблизно через 10-15 хвилин після подання інформації.

Я гадаю, що це стало для них звичною справою (принаймні, якщо ви використовуєте лише SSL, а не якусь екзотичну криптографію).


3

Оскільки програма налаштовує та використовує безпечні SSL-з'єднання, вона вважається продуктом шифрування. Американський контроль експорту залежить від того, чи використовуєте ви шифрування, а не де ви його знайдете. Немає значення, що ви використовуєте вбудовану функцію замість того, щоб писати власну, комерційну бібліотеку чи спеціалізований процесор - це все одно елемент шифрування.

Відвідайте веб-сайт BIS за адресою www.bis.doc.gov/encryption або зателефонуйте до довідкової служби за номером 202-482-0707, якщо ви хочете обговорити деталі вашого додатка. Якщо ви дізнаєтесь, що вам потрібна класифікація шифрування, тоді посилання на SNAPR також є там.

Використовуючи наш веб-сайт, ви визнаєте, що прочитали та зрозуміли наші Політику щодо файлів cookie та Політику конфіденційності.
Licensed under cc by-sa 3.0 with attribution required.