创蓝云智万数服务安全白皮书V1.0

【权力与免责声明】

本安全白皮书著作权归上海创蓝云智信息科技股份有限公司所有（以下简称“创蓝云智”），未经创蓝云智事先书面许可，任何主体不得以任何形式复制、修改、传播、摘编本文档的全部或部分内容。

本白皮书仅供参考，不构成创蓝云智对任何产品或服务的明示、默示保证。本白皮书基于现状编写，其包含的信息（包括技术规范、业务指标、法律法规政策及网址参考）可能会随产品升级或政策调整而发生变化，创蓝云智保留随时更新此文档的权力，届时将不再另行通知，因使用本文档产生的一切风险由使用者自行承担。

本安全白皮书未授予您任何创蓝云智及其关联公司产品的任何知识产权的法律权利。

1.概述

作为国内领先的企业级云通信服务商，创蓝云智长久以来致力于为全球企业客户提供稳定可靠、安全可信、合法合规的融合通信服务。创蓝云智深刻理解数据安全与用户隐私是现代企业运营的生命线。因此，我们始终将 “数据安全、隐私保护、合规第一” 作为产品研发与运营服务的最高准则。

本白皮书系统地介绍了创蓝云智在万数服务（包括一键登录、活体检测及行为验证码等场景）领域的安全架构设计、产品合规能力及安全运营机制。万数服务基于运营商独有的通信网关取号能力及大数据风控能力，深度融合了AI活体检测、OCR证件识别、多因子身份认证等多项核心技术，通过“运营商认证能力+大数据风控能力”的叠加，在保障用户身份信息真实性与设备环境安全性的基础上，有效防止身份伪造、冒用及账号盗用等风险，为互联网、金融、电商、社交等行业客户提供安全、便捷的一站式身份认证解决方案。我们旨在通过透明化的安全治理和高标准的技术防护，帮助客户更清晰地了解创蓝云智云通讯平台在数字认证业务中的安全实践，携手构建安全可信的数字身份生态体系。

2.安全责任共担模型

为了保障万数服务业务全链路的安全，基于相关法律法规及创蓝云智对客户提供的相关应用及服务，创蓝云智倡导并践行“安全责任共担模型”。在整个业务流转和技术交互链路中，创蓝云智云平台、企业客户以及上游基础运营商与合作伙伴分别承担相应的安全保障职责：

1）创蓝云智安全责任

创蓝云智负责其所提供万数服务及产品的应用安全、主机安全、网络安全、数据安全、业务安全等，并为客户提供保护云端应用及数据的技术手段，同时负责平台内部身份及访问控制、安全监控和安全运营等，包括但不限于：

• 建立健全覆盖万数业务的安全管理相关岗位、管理制度、事件应急处置及培训体系；

• 保障创蓝云智万数服务平台数据中心、服务器及网络硬件的物理与环境安全；

• 保障创蓝云智万数服务平台软件和网络安全，涵盖操作系统及数据库补丁管理、网络访问控制、DDoS防护及灾难恢复等；

• 负责万数服务平台PaaS平台、API/SDK接口、认证路由引擎的应用安全、主机安全及网络边界防护；

• 负责客户在创蓝云智万数服务平台的认证数据包、设备指纹、活体检测影像及身份信息等敏感数据的加密传输、脱敏及审计；

• 依据《网络安全法》《个人信息保护法》《数据安全法》等监管要求，严格实施认证业务资质审核、数据合规性校验及认证结果溯源管理；

• 通过与外部第三方独立安全监管与审计机构合作，对万数服务平台进行安全合规与审计评估。

2）客户安全责任

客户基于创蓝云智提供的万数服务进行一键登录、行为验证，需综合运用相关安全机制，规范使用创蓝云智产品及服务，并承担以下责任：

• 客户应保障其应用系统及其主机、网络、数据等安全，并对创蓝云智的安全预警相关问题及时进行处理和修复；

• 客户应妥善保管其创蓝云智账号（含API Key等鉴权凭证），为每个运维管理人员分配独立的子账号，授予完成运维管理工作所需的最小权限，通过角色授权实现职责分离；

• 客户应对其应用的一键登录功能、行为验证功能等部署有效的图形验证码或风控机制，防止API接口被恶意攻击者调用；

• 确保所提交的认证请求及用户身份信息真实合法，不用于违法犯罪、虚假注册、身份冒用等场景，严格遵循个人信息保护相关要求，明示用户信息采集范围与使用目的，未经用户授权不得调用认证接口；

• 客户应使用创蓝云智平台操作审计服务记录管理控制台操作及API调用日志；

• 客户应保证其与创蓝云智平台交互的数据、内容等安全及合规，确保认证数据的采集与传输符合相关法律法规及国家标准要求。

3）合作伙伴责任

创蓝云智合作伙伴主要是指与创蓝云智合作，将其软件、服务承载在创蓝云智平台，向客户提供服务的主体，包括但不限于人脸算法提供商、运营商认证能力合作方等。创蓝云智合作伙伴应遵循创蓝云智相应的合作伙伴安全管理规范及标准，严格遵守国家相关法律、法规，保护用户信息安全。

• 创蓝云智合作伙伴应保障其所提供服务的基础设施、物理设备、操作系统、服务产品等安全，及时发现系统的安全漏洞并修复，修复漏洞过程不影响客户业务可用性；

• 创蓝云智合作伙伴应按照适用数据保护法律要求和与创蓝云智签订的协议要求，建立相应的数据安全能力，落实必要的管理和技术措施，为合作过程中相关数据提供充分的安全保障，防止身份认证数据、生物特征信息等敏感数据遭受未经授权的获取、使用、泄露、损毁、丢失等，同时应对保护技术和安全措施进行定期检查，以确保这些措施持续提供适当的安全水平。

3.资质与安全合规能力

3.1 合规

创蓝云智万数服务积极履行法律法规及贯彻相关政策，严格落实《网络安全法》《个人信息保护法》《数据安全法》及实名制管理相关法规要求，全面遵守工信部关于电信和互联网用户身份信息保护及核验管理规定。公司在身份认证业务中严格遵循个人信息采集的最小必要原则、明示同意及知情权保障等合规要求，针对活体检测涉及的人脸生物特征信息、一键登录涉及的手机号及网络身份信息等敏感数据，建立了专项合规管理流程，确保业务运营各环节符合国家法律法规及行业监管要求。

3.2 核心资质与认证

创蓝云智积极对接国内外高标准的安全风控体系，将基于互联网安全威胁的对抗经验融入到万数服务平台的安全防护中，将众多的合规标准融入自身合规内控管理和产品设计中，同时广泛参与各类云通讯及数字身份认证服务相关的标准制定并贡献最佳实践，通过权威机构的审查与认证，为客户提供合规合法的身份认证服务保障。创蓝云智万数服务所依托的核心资质包括：

3.3 个人信息保护

长期以来，创蓝云智致力于保护每位客户及终端用户的个人信息，充分尊重并保障其对其个人信息的知情权、访问权、更正权及删除权等合法权益。在万数服务场景中，创蓝云智严格遵守《个人信息保护法》《网络安全法》《数据安全法》及相关实名制管理要求，针对一键登录、活体检测及行为验证码等业务中涉及的手机号、设备指纹、人脸生物特征信息、身份证号及认证结果等个人敏感数据，建立了专项个人信息保护机制。

公司全面落实个人信息采集的最小必要原则，在一键登录场景中仅取号不留存，在活体检测场景中人脸生物特征信息仅用于当场核验比对、不予持久化存储。在用户授权同意、数据采集范围限定、信息使用目的明确及第三方数据共享管控等方面实施全流程合规管理，确保万数业务在采集、处理、传输及销毁全生命周期中，用户个人信息得到充分的知情同意保障与技术安全保护，有效防范个人信息泄露、滥用及非授权访问风险。

3.4 透明度

创蓝云智长期致力于通过多种渠道向客户透明服务相关情况。客户一般可通过创蓝云智官网提出对相关资质、服务使用情况、产品说明等信息的咨询，我们将 7×24 小时不间断处理来自您的建议与咨询。对于客户合理的要求，创蓝云智服务团队均会及时响应客户的需求。

4.全方位安全技术与架构

4.1 创蓝云智产品安全架构

创蓝云智万数系统依托自研的高并发数字身份认证架构，深度融合多层次安全产品能力，构建了覆盖身份认证业务全数据生命周期的纵深防御体系。该架构从网络安全、主机安全、应用安全、数据安全、业务安全五大维度出发，结合数字身份认证场景特有的用户授权管理、生物特征信息保护、设备指纹采集及认证结果防篡改等核心安全要求，为互联网金融、电商、社交、政务等行业客户提供安全可信的一站式数字身份认证服务。

创蓝云智产品安全架构图 ：

4.2 网络安全

创蓝云智万数系统遵循“默认拒绝、最小开放、纵深防御”原则，结合身份认证业务对用户授权数据采集、生物特征信息传输及运营商网关交互等场景的高安全要求，构建了覆盖内外部的多层网络隔离与访问控制体系：

• 所有外部API网关、控制台及运营商认证能力接入网关统一接入高防DDoS清洗中心，抵御大流量攻击，并前置Web应用防火墙（WAF）实时拦截Web层攻击，保障认证业务入口及运营商取号链路的接入安全；

• 内部网络按业务划分为生产、测试、办公等安全域，不同域间默认隔离，云上不同应用间通过VPC技术实现逻辑隔离。任何跨域或跨VPC的网络打通须经安全工程师专项审批，并配以严格的安全组规则和白名单控制，经审批的跨域流量强制经过云防火墙进行深度检测，重点防范认证数据及生物特征信息在内部网络中遭受东西向渗透攻击；

• 与三大运营商及各认证机构之间的认证能力对接链路采用加密传输及白名单策略，仅允许预设的合法IP及端口交互。活体检测等场景中的高清视频流、OCR影像等大文件传输强制启用加密通道，防范数据在传输过程中被窃取或篡改，同时实施全链路超时与重连安全机制，确保网络抖动环境下的业务可用性；

• 安全团队定期对全量网络资产进行ACL策略巡检，自动识别高危端口及服务指纹，发现风险即下发工单闭环治理；对外API接口支持IP白名单机制，仅允许授信服务器调用，同时一键登录SDK接入点支持证书绑定（SSL Pinning）策略，有效防止API接口被非授权应用或伪造客户端调用。

4.3 主机安全

创蓝云智入侵检测系统（IDS）在万数系统部署了覆盖主机及容器层级的完整入侵检测与病毒防御能力，为分布在多地域机房/云节点的身份认证业务系统提供统一安全防护。平台涵盖异常登录检测、网站后门查杀（WebShell）、进程异常行为及网络连接检测、关键文件篡改检测、异常账号发现等核心功能。针对万数服务特有的活体检测算法引擎、OCR识别引擎、人脸比对服务及一键登录网关等关键组件，实施重点安全监控与防护，实时监测算法参数文件的完整性，防范对抗样本攻击风险。同时，系统支持对勒索软件、挖矿木马、DDoS攻击等主流恶意程序的实时拦截，并可检测Windows系统漏洞、Linux软件漏洞、Web-CMS漏洞及应用漏洞，能够针对突发紧急漏洞提供快速应急检测与修复方案。此外，结合身份认证业务中的高频调用特征，对认证接口异常请求、设备指纹伪造等潜在风险进行关联分析与识别，形成主机层面与应用层面的安全联防。

创蓝云智安全团队具备7×24小时反入侵应急响应能力，覆盖万数系统全量主机及容器资产，确保身份认证服务平台在各类攻击场景下的主机安全防线稳固可靠，为数字身份认证业务的安全稳定运行提供坚实保障。

4.4 数据安全

数据安全是创蓝云智业务的生命线，也是创蓝云智安全能力的核心体现。万数服务涉及手机号、设备信息，会员注册信息，创蓝云智围绕数据全生命周期构建了完善的安全防护体系，覆盖数据传输、及销毁各个环节，帮助用户有效防范数据泄露风险，全面满足《个人信息保护法》《数据安全法》等合规要求。

1）数据采集安全

数据采集安全的核心在于源头治理，通过精准的数据识别与分类分级，确保后续保护措施有的放矢。创蓝云智在获得用户明确授权后，方可采集身份认证所需的个人信息，严格遵循最小必要原则—— 一键登录仅取号不留存，活体检测人脸生物特征仅用于当场核验比对、不予持久化存储。数据分类分级系统可自动扫描并发现授权范围内各类敏感数据，依托关键字匹配、规则引擎和机器学习模型算法，精确识别敏感数据，进而实现基于业务内容的数据分类和基于敏感程度的数据分级，为差异化安全策略的制定提供精准依据。活体检测场景中的人脸生物特征信息自动标注为最高敏感级别，实施最严格的访问管控。

2）数据传输安全

创蓝云智万数服务所有数据传输链路（包括API调用、管理操作、认证数据上报及运营商网关交互）均强制启用SSL/TLS加密协议，确保用户在上传、下载及调用API过程中数据的机密性和完整性，有效防范链路窃听和中间人攻击。活体检测场景中的高清视频流、OCR影像等大文件传输强制启用加密通道，一键登录SDK与网关之间的交互采用证书绑定（SSL Pinning）机制，有效防范中间人攻击及伪造网关风险，保障用户授权数据在传输过程中的安全。

3）数据处理安全

数据处理过程中的隔离保护通过多维手段实现：在计算环境层面，采用可信执行环境实现硬件级隔离，保障活体检测、人脸比对等敏感计算过程的安全性；在权限管控层面，各产品通过精细化权限管理实现访问隔离，认证结果的调取、核验记录的导出及生物特征模板的更新等敏感操作均需经过独立的权限审批与审计；在数据内容层面，依据分类分级结果对敏感数据进行动态脱敏处理（如手机号中间4位脱敏展示、身份证号部分隐藏），确保未授权用户无法获取完整的敏感信息，在保障业务效率的同时有效降低数据泄露风险。生物特征信息在比对完成后即时删除，仅保留脱敏后的核验结果日志，从源头降低敏感数据泄露风险。

4）数据销毁安全

当创蓝云智终止为万数服务客户提供服务时，将严格按照协议约定及时删除或返还客户数据资产，覆盖各数据中心及备份节点中的认证记录、设备指纹及相关配置数据。数据清除操作遵循行业标准规范，确保数据不可恢复，且所有清除操作均留有完整审计记录，杜绝任何未授权访问的可能，保障身份认证业务数据生命周期的安全闭环。

4.5 应用安全

创蓝云智深度整合内部产品安全生命周期平台，将安全能力系统化地嵌入万数服务应用研发的全流程。该平台围绕数字身份认证业务特有的一键登录网关安全、活体检测算法防绕过及行为验证码防自动化等关键场景，在需求设计审核、架构审核、代码审计、渗透测试、漏洞扫描及漏洞运营等环节构建安全能力矩阵。

在产品架构审核阶段，重点评估一键登录SDK与运营商网关间的认证交互逻辑、活体检测算法模型文件的完整性保护、人脸比对服务的输入校验机制及行为验证码的防机器学习绕过设计，防范身份伪造、对抗样本攻击及自动化脚本绕过等风险；在开发阶段，遵循安全编码规范并完成代码审计，对活体检测SDK的算法模型加载逻辑、活体检测结果判定阈值及认证接口参数校验等关键模块开展专项代码安全审查；在测试审核阶段，针对认证全链路开展专项渗透测试，覆盖一键登录中间人攻击模拟、活体检测视频/图片注入攻击测试及行为验证码自动化绕过测试等场景；在应急响应阶段，建立面向身份认证业务特性的快速响应机制，覆盖各类认证算法绕过漏洞及SDK供应链风险的应急处置。

通过产品安全生命周期平台，创蓝云智拉通研发、测试与安全团队，形成高效协同的安全交付闭环，确保万数服务在发布前及运行中持续维持高安全水准，为数字身份认证业务提供安全可靠的应用级防护。

4.6 业务安全

业务安全贯穿万数服务从用户申请、日常运营到生态协作与产品迭代的全过程。创蓝云智通过严格的准入认证、规范的运营管理、体系化的合作伙伴管控以及全生命周期的产品变更安全评审，结合数字身份认证业务特有的个人信息采集授权、生物特征数据处理及认证结果防篡改等要求，确保万数服务业务合规、稳定、安全运行。

1）服务申请

真实有效的用户身份验证，既是对法人及个人合法权益的有效保护，也符合行业监管对身份认证服务使用者身份信息甄别的合规要求。客户申请万数服务时，创蓝云智实行先认证、后服务原则，所有客户须完成企业实名认证及身份认证业务专项资质审核后方可开通服务；针对涉及人脸生物特征信息采集、银行卡核验等高敏感场景和功能，另行触发业务风控审核。所有实名登记均须提交合法合规的书面证明文件，对政府机构、金融机构、政务平台等重要行业客户，安排专人回访复核，防止信息被滥用或冒用。同时，严格按照《个人信息保护法》要求，对万数服务中涉及的个人信息采集范围、使用目的及存储期限进行合规审查与备案，确保每一项认证业务在用户充分知情授权的前提下开展。

2）运营规范

创蓝云智依托完善的产品技术体系和深厚的行业安全运营经验，建立了与之配套的运营管理体系，为万数服务提供认证质量监控、数据合规审计、监管协查等全方位支持。

在权限管控方面，所有影响生产环境的操作均受严格权限控制和实时监控，各运营岗位遵循最小可用性隔离原则，确保权限与信息按需授予。在人员管理方面，每位运营人员入职即纳入完整的信息安全与业务技能培训体系，并定期进行运营质量复检，确保员工安全意识和专业能力持续提升。在万数业务专项运营方面，建立认证准确率监控、活体检测通过率分析、认证接口异常波动预警及个人信息授权有效期管理等机制，对认证数据异常访问行为实施实时预警与干预。

在监管协查方面，创蓝云智基于丰富的运营经验和全链路生产管理能力，为用户提供事件分析、处置建议、材料收集与反馈等全流程服务支持，并持续推动协查流程向合规化、高效化、可视化方向演进，满足监管机构对身份认证服务数据溯源及个人信息保护合规核查的时效性要求。

3）合作伙伴管理

为提升万数服务能力和用户体验，创蓝云智携手各领域优秀合作伙伴共建数字身份认证服务生态，并通过体系化制度保障合作链路的安全可控。

• 准入管理：对认证机构、人脸算法提供商、运营商认证能力合作方、OCR服务商等进行安全准入评估，明确合作伙伴的违规情形、处罚措施及清退规则，对资质造假、严重违约或给创蓝云智及客户造成重大损失的合作伙伴，视情节采取处罚或列入合作黑名单。对涉及生物特征信息处理的合作伙伴，额外要求其具备相应的数据安全保护能力及行业合规资质。

• 安全能力要求：在不同合作场景中对合作伙伴的安全能力提出差异化要求，鼓励其通过ISO27001、ISO27701等信息安全资质认证，并以此作为安全能力评价的重要组成部分；对涉及敏感个人信息处理的合作伙伴，要求其符合《个人信息保护法》关于委托处理的相关规定，并签署数据处理协议，明确双方的数据保护责任。

• 人员与项目管控：对合作项目参与人员在数据安全培训、终端安全配置、权限审批、数据传输与使用、安全审计与监控、合作交接及数据清理等方面均有严格的规范要求；违反规定造成信息泄露或业务影响的，将依据双方约定追究法律责任。

• 软件供应链安全：对软件供应商及算法提供商提供的组件、SDK和软件依法进行安全扫描与检测，存在中、高风险的安全隐患禁止上线；对活体检测SDK、人脸比对算法等关键组件实施专项安全评估，防范模型窃取、对抗样本攻击等风险；风险事件或威胁发生时，立即启动应急响应流程，快速降低对万数业务的影响。

4）产品发布变更

产品迭代过程中，创蓝云智结合万数服务特有的认证协议安全、生物特征数据处理及隐私合规等场景，对技术实现方案进行全流程安全评估，以保障业务的合法合规性、提前发现漏洞，减少/杜绝业务逻辑漏洞，有效控制业务风险。

• 创蓝云智在以下场景进行产品发布变更安全评审：

  • 当业务新建应用，或新增活体检测业务场景时，会进行线上及线下安全评审，对代码及业务流程进行审核，重点评估用户授权流程的合规性及敏感数据采集的必要性。

  • 当老应用进行日常迭代优化需求评审时，对其内容进行安全审核。

  • 当涉及敏感个人信息采集范围变更、生物特征信息处理方式调整、认证结果判定逻辑修改、数据共享第三方等敏感业务功能时，会进行线下安全、业务及法务专家联合评审。

• 产品发布变更主要的安全管控措施如下：

  • 安全培训：创蓝云智研发、测试等人员固定周期内接受应用安全标准/规范、隐私保护设计、社会工程等方面的安全意识培训。

  • 需求分析阶段：涉及安全相关或个人信息保护合规风险需求时，需求负责人主动发起风险评估，安全团队及法务合规团队介入进行需求评审，识别风险并制定安全与合规解决方案。

  • 架构设计阶段：网络环境存在重大变更或新增认证能力接入时，进行系统网络架构安全评审；业务存在重大变更或引入新的生物特征识别技术时，进行应用级别安全评审，重点评估认证业务在多方能力集成下的安全架构合理性及隐私合规性。

  • 开发阶段：应用研发过程中，遵循相应的应用安全开发规范和安全团队的编码建议方案，主动使用安全产品发现问题，上线前完成代码审计，对认证协议解析、生物特征比对逻辑等关键模块实施专项代码审查。

  • 测试阶段：应用测试过程中，按照相关规范进行测试，根据安全部门要求进行安全测试，针对认证全链路开展专项安全测试，覆盖一键登录中间人攻击模拟、活体检测注入攻击测试及行为验证码自动化绕过测试等场景，在上线前及时发现风险并进行处理。

  • 发布迭代阶段：应用发布主动接入安全发布平台，接入安全检测能力，并建立相应的审核流程，当变更符合安全及合规发布要求时，才可对外发布。

  • 上线运行阶段：应用及功能上线后，部署线上安全产品防御线上风险，对认证接口异常调用、活体检测通过率异常波动等业务风险进行实时监控。对于安全产品告警的风险及个人信息保护合规风险，技术团队联合法务合规团队进行风险确认与修复，确保万数服务持续合规稳定运行。

4.7 账户安全

创蓝云智基于自研账号安全管理系统，为客户提供全面的身份管理与资源访问控制能力。平台提供基于角色的资源访问控制服务，支持多因素认证（MFA）、强密码策略、自定义API权限策略等核心功能，同时支持IP白名单、域名白名单及强制SSL/TLS安全访问等多种限制条件，帮助客户在不同场景下精细化授权资源使用权限，有效防止账号被盗用或越权访问。针对万数服务特有的认证SDK接入场景，平台支持针对不同AppID的独立权限配置与鉴权管理，确保一键登录、活体检测等不同认证能力在客户侧按需授权、最小开放，有效降低因单一凭证泄漏导致的多业务线关联风险。同时，平台对涉及敏感数据查询与导出的操作实施二次授权审批流程，确保高敏感权限的授予与使用始终处于可管可控状态。

4.8 安全监控与运营

创蓝云智的安全监控与运营体系旨在及时发现平台应用、主机、网络等资源的攻击事件，并在安全事件发生后快速触发内部应急响应流程，消除影响。

安全监控方面，平台通过日志收集、异常分析检测、告警、处置四个环节形成闭环。系统全面采集平台主机日志、网络日志、应用日志，采用实时计算与离线计算相结合的方式，经安全风控算法模型处理分析，完成风险发现与监控。一旦检出异常安全事件，即在内部安全监控平台产生告警，并通过飞书、短信、电话等多渠道同步触发安全应急负责人，确保及时响应处置。

应急响应方面，平台对内部监控发现及外部上报的安全事件与漏洞进行统一应急处置。外部上报途径涵盖开源三方组件、三方威胁情报及内部漏洞系统。安全事件或漏洞一经发现，立即触发标准化应急响应流程并按规程处置。同时，创蓝云智成立专门团队不定期开展应急演练，持续验证和优化安全应急流程的有效性，保障安全生产常态化。