Est-ce que mon application "contient du cryptage"?

Question

Je télécharge un binaire pour la première fois. iTunes Connect m'a demandé :

Les lois sur l'exportation exigent que les produits contenant un chiffrement soient correctement autorisés pour l'exportation.
Le non-respect pourrait entraîner des pénalités sévères.
Pour plus d'informations, cliquez ici.
Votre produit contient-il un chiffrement ?

J'utilise https://, mais uniquement via NSURLConnection and UIWebView.

M'interprétation est que mon application ne "contient pas de chiffrement," mais je me demande si cela est clairement spécifié quelque part. Les "pénalités sévères" ne semblent pas du tout agréables, donc "je pense que c'est correct" est un peu douteux... une réponse autorisée serait préférable.

Merci.

Answer 1

MISE À JOUR : L'utilisation de HTTPS est désormais exemptée de l'ERN depuis fin septembre 2016

https://stackoverflow.com/a/40919650/4976373

---

Malheureusement, je crois que votre application "contient du chiffrement" selon les termes du US BIS même si vous utilisez simplement HTTPS (si votre application n'est pas une exception incluse dans la question 2).

Citation de FAQ sur iTunes Connect:

"Comment savoir si je peux suivre le processus d'enregistrement et de déclaration à l'exportation (ERN) ?

Si votre application utilise, accède, implémente ou intègre des algorithmes de chiffrement standard de l'industrie à des fins autres que celles répertoriées comme exemptions dans la question 2, vous devez soumettre une autorisation ERN. Les exemples de chiffrement standard sont : AES, SSL, https. Cette autorisation nécessite que vous soumettiez un rapport annuel à deux agences gouvernementales américaines avec des informations sur votre application chaque janvier."

"2e question : Votre produit bénéficie-t-il d'exemptions prévues dans la catégorie 5 partie 2 ?

Il existe plusieurs exemptions disponibles dans les réglementations d'exportation américaines dans la catégorie 5 partie 2 (réglementations sur la sécurité de l'information et le chiffrement) pour les applications et les logiciels qui utilisent, accèdent, implémentent ou intègrent un chiffrement.

Toutes les responsabilités liées à une mauvaise interprétation des réglementations d'exportation ou à la revendication inexacte d'une exemption sont supportées par les propriétaires et développeurs des applications.

Vous pouvez répondre "OUI" à la question si vous remplissez l'un des critères suivants :

(i) si vous déterminez que votre application n'est pas classée dans la catégorie 5, partie 2 de l'EAR en vous basant sur les directives fournies par le BIS à la question de chiffrement. La déclaration de compréhension pour les équipements médicaux dans le Supplément n° 3 à la Partie 774 de l'EAR peut être consultée sur le site du Code of Federal Regulations électronique. Veuillez visiter la Question n°15 dans la section FAQ de la page de chiffrement pour des exemples d'éléments répertoriés par le BIS pouvant bénéficier des exemptions de la Note 4.

(ii) votre application utilise, accède, implémente ou intègre le chiffrement pour l'authentification uniquement

(iii) votre application utilise, accède, implémente ou intègre un chiffrement avec des longueurs de clé ne dépassant pas 56 bits symétriques, 512 bits asymétriques et/ou 112 bits elliptiques

(iv) votre application est un produit grand public avec des longueurs de clé ne dépassant pas 64 bits symétriques, ou en l'absence d'algorithmes symétriques, ne dépassant pas 768 bits asymétriques et/ou 128 bits elliptiques.

Veuillez consulter la Note 3 dans la catégorie 5 partie 2 pour comprendre les critères de définition du grand public.

(v) votre application est spécialement conçue et limitée pour une utilisation bancaire ou des 'transactions monétaires.' Le terme 'transactions monétaires' inclut la collecte et le règlement des tarifs ou des fonctions de crédit.

(vi) le code source de votre application est "publiquement disponible", votre application est distribuée gratuitement au grand public, et vous avez respecté les exigences de notification prévues à l'article 740.13.(e).

Veuillez visiter la page web de chiffrement en cas de besoin d'aide supplémentaire pour déterminer si votre application bénéficie d'exemptions.

Si vous pensez que votre application est éligible à une exemption, veuillez répondre "OUI" à la question."

Answer 2

Il n'est pas difficile d'obtenir l'approbation pour votre application de la bonne manière. SSL (HTTPS/TLS) est toujours un chiffrement et sauf si vous l'utilisez uniquement pour l'authentification, alors vous devriez obtenir l'approbation appropriée. Je viens de recevoir l'approbation, et mon application est maintenant dans le magasin pour quelque chose qui utilise SSL pour chiffrer le trafic de données (pas seulement l'authentification).

Voici une entrée de blog que j'ai faite pour que d'autres puissent le faire de la bonne manière.

restrictions d'exportation d'apple itunes

Answer 3

J'ai posé la même question à Apple et j'ai obtenu la réponse (d'un spécialiste de la conformité à l'exportation senior) selon laquelle "envoyer des informations sur https force les données à passer par un canal sécurisé à partir de SSL, donc cela relève de l'exigence du gouvernement américain en matière d'examen et d'approbation du CCATS." Notez que cela n'a pas d'importance qu'Apple l'ait déjà fait pour leur implémentation SSL, mais pour le gouvernement, si vous UTILISEZ un cryptage qui est le même (pour eux) que si vous l'aviez codé vous-même. J'ai également mis à jour notre blog (http://blog.theanimail.com) depuis que Tim y a fait référence avec des mises à jour et des détails sur le processus. J'espère que cela vous aide.

Answer 4

Si vous utilisez le framework Security ou les bibliothèques CommonCrypto fournies par Apple, vous incluez bien la cryptographie dans votre application et vous devez répondre oui - tout simplement parce que les bibliothèques ont été fournies par Apple ne vous dispense pas de cette obligation.

En ce qui concerne la question initiale, des publications récentes dans les forums de développement d'Apple me laissent penser que vous devez répondre oui même si tout ce que vous utilisez est le SSL.

Answer 5

J'ai trouvé cette FAQ du Bureau de l'Industrie et de la Sécurité des États-Unis très utile.

cryptage

La question 15 (Qu'est-ce que la Note 4?) est le point important:

...

Des exemples d'articles exclus de la Catégorie 5, Partie 2 par la Note 4 incluent, mais sans s'y limiter, les éléments suivants:

Applications grand public. Quelques exemples:

prévention du piratage et du vol de logiciels ou de musique; musique, films, airs/musique, photos numériques – lecteurs, enregistreurs et organisateurs jeux/jouets – dispositifs, logiciel d'exécution, HDMI et autres interfaces de composants, outils de développement TV LCD, Blu-ray / DVD, vidéo à la demande (VàD), cinéma, enregistreurs vidéo numériques (DVRs) / enregistreurs vidéo personnels (PVRs) – dispositifs, guides de médias en ligne, intégrité et protection du contenu commercial, HDMI et autres interfaces de composants (hors visioconférence); imprimantes, photocopieurs, scanners, appareils photo numériques, caméras Internet – y compris les pièces et sous-ensembles services publics et appareils ménagers