在iPhone应用程序中使用SSL - 导出合规性

Question

我正在寻找创建一个与REST Web服务通信的iPhone应用程序.因为会传输一些用户敏感数据(名称,地址,年龄等),所以我正在考虑保护与SSL的连接.

然而,在我之前对App Store提交的越狱中,我看到我问的第一个问题是"你的应用程序是否使用加密？" 根据对此问题和其他后续问题的回答,可能需要美国出口合规.

我的公司不在美国,我们也没有美国办事处.

是否有其他人使用SSL提交了一个应用程序用于此类目的？如果是这样,您是否需要做任何事情才能获得使用它的许可,无论是来自Apple还是来自美国政府？

Answer 1

截至2016年9月20日更新

不再需要ERN,因此似乎许多应用程序将不再需要向美国政府注册.(尽管您可能仍需要在第742部分报告中提交两年一次的补编第8号.)http://www.bis.doc.gov/InformationSecurity2016-updates

(感谢@EugenioDeHoyos和@ user3562927指出这一点!)

法国政府注册仍需在法国出售.

在iTunes Connect的常见问题已更新来弥补这一变化,是最可读的参考,我发现.

老答案

截至2010年夏季,这个过程发生了变化,你(可能)现在需要一个ERN,而不是在约翰写答案时必要的CCATS.

请参阅Apple iTunes对应用程序的导出限制.iTunes connect faq还包含许多有关导出合规性的有用信息.

现在还有一些限制适用于在法国应用程序商店中分发带加密的应用程序 - 请参阅itunes connect FAQ和devforums上的法语出口合规性主题.

Answer 2

现在在2017年11月......

这真的是合法的东西,所以这是我发现有用的东西以及我如何解释事物的指针.不要把它作为建议(事实并非如此).

其他答案中提到的Apple常见问题解答是一个很好的起点:https://itunespartner.apple.com/en/apps/faq/Managing%20Your%20Apps_Export%20Compliance

这导致执行以下操作:在iTunes Connect中,转到您的应用程序.选择顶部的"功能"标签,然后选择侧面的"加密".单击主页面中的"为iOS添加导出合规性文档".第一个问题是:'导出合规性:您的应用是否设计为使用加密...'选择'是'.以下问题说(我复制并粘贴):

您的应用是否符合以下任何条件:
(a)符合第5类第2部分规定的一项或多项豁免条件
(b)加密的使用仅限于操作系统内的加密(iOS或macOS)
(c)仅拨打电话( s)通过HTTPS
(d)应用程序仅在美国和/或加拿大提供

(c)是SSL样式引用(根据您的问题),因此对此问题选择"是".[注意此屏幕上的指南底部有一个链接到上面的FAQ链接]

在选择"是"时,弹出指导框之一(并且我引用):

如果您正在使用ATS或拨打HTTPS,请注意您需要向美国政府提交年终自我分类报告.学到更多

回到FAQ中,一个关键的引用是:

如果我不住在美国,为什么我的应用需要加密审核？如果我只在我的国家/地区发布我的应用程序,我可以绕过加密审核吗？

您的应用程序将上传到美国的Apple服务器,这意味着您的应用程序将从美国出口,并受美国出口法律的约束.即使您只打算在自己的国家/地区分发,此要求也适用.

我认为最后一点回答你问题的第二点......即使你不在美国,即使你不打算在你自己的国家之外分发,你仍然必须遵守...

因此,就我今天(2017年11月)所读到的,如果在iOS应用程序中使用SSL(HTTPS),即使在美国境外,也需要在iTunes Connect中勾选框...(该过程始于'功能'标签''如上所述).除此之外,您还需要制作年度自我分类报告.

Apple常见问题解答中与此相关的链接目前已被删除(正如我所写),但此链接很有用:https: //www.bis.doc.gov/index.php/policy-guidance/product-guidance/high -性能的计算机/ 223-新的加密/ 1238-如何对文件的年度自分类报告

此页面包含的电子邮件地址发送您的报告(你必须将它发送到2个地方),当它必须被发送,需要发送(一个精心创作的非常规定.csv文件)什么样的格式和信息,我没能找到这与bis.doc.gov搜索引擎,但发现它使用搜索'年终自我分类报告'的一般搜索引擎.因此,如果此特定链接在将来消失,此搜索可能有助于找到任何替换:)

至于如何使用SSL为iOS应用程序制作这个.csv文件的细节我还不确定 - 我希望能够取得成功,并且如果合适的话,将编辑这篇文章的详细信息.

尽管如此,在这个链接的文档:https: //www.bis.doc.gov/index.php/documents/new-encryption/1651-740-17-enc-table/file (您可能需要放大)阅读)我认为相关的行是第3个(b)(1),因为提交要求匹配.它指的是必须的

提交补充.8,部分742,通过电子邮件

该文件还有一个ECCN专栏,我开始认为相关的ECCN编号是5A002点

下一个文档提供了有关选择正确的ECCN代码的更多详细信息:

https://www.bis.doc.gov/index.php/documents/new-encryption/1652-cat-5-part-2-quick-reference-guide/file

读这个我当前最好的猜测是,如果SSL被用作App的一小部分,这与代码5A002.a.4有关

更新:

因此,在bis.doc.gov指南的底部,创建.csv文件的说明如下:

• 年度自我分类报告的第一行必须包含以下12个条目:产品名称,型号,制造商,ECCN,授权类型,项目类型,提交者姓名,电话号码,电子邮件地址,邮寄地址,非美国组件,非美国制造地点.
• 没有条目可以留空.
• 必须填写产品名称和ECCN.
• 对于MODEL NUMBER和MANUFACTURER,如有必要,请输入"NONE"或"N/A".
• 对于AUTHORIZATION TYPE,输入ENC或MMKT.
• 对于ITEM TYPE,从Supp中提供的项目类型列表中选择.8至742(a)(6).
• 通过非美国制造地点的列标题提交名称与公司整体相关,因此每个产品应该输入相同的内容(即,只有一个联系点,一个'是'或'否'回答是否有任何报告的产品包含非美国采购的加密组件,报告中需要一份非美国制造地点列表.将此信息复制到电子表格的每一行
• 唯一允许使用逗号是每个订单项的12个条目之间的必要分隔符.允许的唯一逗号是在电子表格转换期间自动插入的逗号.

使用补充第8部分到第742部分 - 加密项目的自我分类报告以获得进一步的指导,我得到了一个.csv文件,如下所示:

PRODUCT NAME, MODEL NUMBER, MANUFACTURER, ECCN, AUTHORIZATION TYPE, ITEM TYPE, SUBMITTER NAME, TELEPHONE NUMBER, E-MAIL ADDRESS, MAILING ADDRESS, NON-U.S. COMPONENTS, NON-U.S. MANUFACTURING LOCATIONS
[my-app-name] iOS App,[my-App-version-number],SELF,5A002,ENC,Link encryption,[My-name],[my-phone-number],[my-email],[my address with no commas],YES,[my-location]

请注意,这应该是一个格式良好的.csv文件,这不是很好.我建议在电子表格中创建一些内容并保存为.csv

另请注意,这不是建议的结果 - 这是我最好的解释,因为没有资格的人没有任何建议.bis.doc.gov指南底部的示例.csv帮助我进一步,似乎暗示ECCN可能只是5A002而没有进一步的细节.必须从补充号码8的列表中选择项目类型 - 其他东西可能更适合您的应用程序的性质.我对MODEL NUMBER不太确定,但示例看起来像是使用版本号类型描述.也许App Apple ID在这里会更好.鉴于它是可选的,它可能无关紧要......

更新(2019年1月):最后提交了2018年的提交并继续:

PRODUCT NAME, MODEL NUMBER, MANUFACTURER, ECCN, AUTHORIZATION TYPE, ITEM TYPE, SUBMITTER NAME, TELEPHONE NUMBER, E-MAIL ADDRESS, MAILING ADDRESS, NON-U.S. COMPONENTS, NON-U.S. MANUFACTURING LOCATIONS
[my-app-name] iOS App,N/A,SELF,5A002,ENC,Link encryption,[My-name],[my-phone-number],[my-email],[my address with no commas],NO,[my-location]

这些变化是将'N/A'作为模型编号,将'N'表示为非美国组件.'不',因为我的应用程序(美国或非美国)没有买入的组件 - 加密代码只是iOS加密库.

Answer 3

我实际上回到了Apple,事实证明使用SSL的任何应用程序都需要批准(不幸的是).显然存在一些例外情况,例如,如果应用程序仅将SSL用于单个支付交易.

有8个简单步骤的iPhone应用程序的大众市场加密CCATS商品分类和 用于进行HTTPS(TLS)连接的应用程序的iPhone加密导出合规性的更多信息.

Answer 4

截至2016年9月20日,所有这些答案都已过时.我刚刚与SNAP-R人员(政府)取得联系,他们表示新立法于9月20日落实.新法规删除了仅仅因为它使用加密而注册您的应用程序的要求.

我向他们描述了我的应用程序(游戏),他们说这是一个"EAR-99",这意味着我不需要注册.Apple可能会更新他们的网站.但与此同时,如果您因为使用SSL/HTTPS而尝试完成此过程,请立即停止.您甚至不会成功填写表格,因为它们已经发生了重大变化.

Answer 5

我发现这篇文章来自最近(2015年12月)完成整个过程的人非常有帮助.总体共识似乎是,即使您只是使用利用SSL的REST调用,您确实需要完成此过程.本文将帮助您快速完成整个过程.

https://carouselapps.com/2015/12/15/legally-submit-app-apples-app-store-uses-encryption-obtain-ern/