我的应用程序是否“包含加密”？

如果你没有明确使用加密库，或者滚动你自己的加密代码，那么我认为答案是否定的

如果您使用 Apple 提供的安全框架或 CommonCrypto 库，您确实在您的应用程序中包含加密，并且您必须回答“是”——因此，仅仅因为库是由 Apple 提供的，并不能让您摆脱困境。

关于最初的问题，最近在Apple开发论坛上的帖子使我相信，即使您使用的只是SSL，您也需要回答“是”。

我问了苹果公司同样的问题，并得到了答案（来自高级出口合规专家），“通过https发送信息会迫使数据通过SSL的安全通道，因此它符合美国政府对CCATS审查和批准的要求。请注意，苹果已经为他们的SSL实施这样做了，但对于政府来说，如果你使用的加密（对他们来说）与你自己编码的加密相同，这并不重要。我还更新了我们的博客（http://blog.theanimail.com），因为 Tim 链接到它，其中包含有关该过程的更新和详细信息。希望能有所帮助。

以正确的方式获得应用的批准并不难。SSL （HTTPS/TLS） 仍然是加密，除非您仅将其用于身份验证，否则您应该获得适当的批准。我刚刚获得批准，我的应用现在在商店中，用于使用 SSL 加密数据流量（而不仅仅是身份验证）的东西。

这是我写的一篇博客文章，以便其他人可以以正确的方式做到这一点。

Apple iTunes 导出限制

我发现美国工业和安全局的这个常见问题解答非常有帮助。

加密

问题15（什么是注4？）是重要的一点：

...

附注 4 排除在第 5 类第 2 部分中的项目示例包括但不限于以下内容：

消费者应用。一些例子：

软件或音乐的盗版和防盗; 音乐、电影、曲调/音乐、数码照片 – 播放器、录音机和组织者 游戏/游戏 – 设备、运行时软件、HDMI 和其他组件接口、开发工具 液晶电视、蓝光/DVD、视频点播 （VoD）、电影院、数字录像机 （DVR） /个人录像机 （PVR） – 设备、在线媒体指南、商业内容完整性和保护、HDMI 和其他组件接口（非视频会议）; 打印机、复印机、扫描仪、数码相机、互联网摄像机 – 包括零件和子组件 家用公用设施和电器

更新：自 2016 年 9 月下旬起，使用 HTTPS 现在不受 ERN 的约束

https://stackoverflow.com/a/40919650/4976373

---

不幸的是，我认为即使您只使用 HTTPS（如果您的应用程序不是问题 2 中包含的例外），您的应用程序也“包含美国 BIS 加密”。

引用 iTunes Connect 上的常见问题解答：

"我如何知道我是否可以遵循出口商注册和报告 （ERN） 流程？

如果您的应用使用、访问、实现或合并行业标准加密算法，但用于问题 2 中列出的豁免目的以外的目的，则需要提交 ERN 授权。标准加密的示例包括：AES、SSL、https。此授权要求您在每年 1 月向两个美国政府机构提交年度报告，其中包含有关您的应用的信息。 "

"第二个问题：您的产品是否有资格获得第 5 类第 2 部分提供的任何豁免？

美国出口法规第 5 类第 2 部分（信息安全和加密法规）对使用、访问、实施或合并加密的应用程序和软件有几项豁免。

与误解出口法规或不准确申请豁免相关的所有责任均由应用程序的所有者和开发者承担。

如果您符合以下任何条件，您可以对问题回答“是”：

（i） 如果您根据 BIS 在加密问题中提供的指导，确定您的应用程序未被归类为 EAR 第 2 部分第 5 类。《出口管理条例》第 774 部分第 3 号补充协议中关于医疗设备的谅解声明可在联邦法规电子法典网站上访问。请访问加密页面“常见问题”部分的问题#15，了解BIS列出的可以申请注4豁免的示例项目。

（ii） 您的应用仅使用、访问、实施或合并用于身份验证的加密

（iii） 您的应用使用、访问、实施或合并密钥长度不超过 56 位对称、512 位非对称和/或 112 位椭圆曲线的加密

（iv） 您的应用是大众市场产品，密钥长度不超过 64 位对称，如果没有对称算法，则不超过 768 位非对称和/或 128 位椭圆曲线。

请查看第 5 类第 2 部分的注 3，以了解大众市场定义的标准。

（v） 您的应用程序是专门为银行用途或“货币交易”而设计的。术语“货币交易”包括票价或信用功能的收取和结算。

（vi） 您的应用的源代码是“公开可用的”，您的应用免费向公众分发，并且您已满足 740.13 规定的通知要求。（e）。

请访问加密网页，以防您需要进一步的帮助来确定您的应用是否有资格获得任何豁免。

如果您认为您的应用符合豁免条件，请对问题回答“是”。

对于仅使用 TLS 连接到自己的 Web 服务器的应用程序开发人员来说，所有这些都可能非常令人困惑。因为 ATS（应用程序传输安全）变得越来越重要，我们被鼓励将所有内容转换为 https - 我认为更多的开发人员会遇到这个问题。

我的应用程序只是使用 https 协议在我们的服务器和用户之间交换数据。在免责声明中看到“使用加密”这个词有点吓人，所以我给美国政府办公室打了个电话，并与工业和安全局 （BIS） 的代表进行了交谈 http://www.bis.doc.gov/index.php/about-bis/contact-bis。

该代表向我询问了我的应用程序，因为它通过了“主要功能测试”，因为它与安全/通信无关，只是使用 https 作为将我的客户数据连接到我们的服务器的通道 - 它属于 EAR99 类别，这意味着它无需获得政府许可（见 https://www.bis.doc.gov/index.php/licensing/commerce-control-list-classification/export-control-classification-number-eccn)

我希望这对其他应用程序开发人员有所帮助。

自 2016 年 9 月 20 日起，使用 https（或其他形式的加密）的应用不再需要注册： https://web.archive.org/web/20170312060607/https://www.bis.doc.gov/index.php/informationsecurity2016-updates

事实上，在 SNAP-R 上，您不能再选择“加密注册”：

具体来说，他们指出：

不再需要加密注册 - 部分信息 从注册到现在的增刊第 8 号到第 742 部分 报告。

这意味着您可能需要向 BIS 发送年度报告，但您不需要注册，并且可以在提交应用程序时注明它是豁免的。

@hisnameisjimmy正确：你会注意到（至少从今天，2016 年 12 月 1 日开始），当你提交应用以供审核并访问导出合规性演练时，你会注意到菜单现在指出 HTTPS 是加密的豁免版本（如果你在每次调用中都使用它）：

是的，根据 iTunes Connect 的“出口合规性信息”屏幕，如果您使用内置的 iOS 或 MacOS 加密（钥匙串、https），则您使用的加密是出于美国政府出口法规的目的。您是否有资格获得出口合规性豁免取决于您的应用的功能以及它如何使用这种加密。随附的图片显示了 iTunes Connect 出口合规性屏幕，以帮助您确定出口报告义务。特别是，它指出：

如果您正在使用 ATS 或调用 HTTPS，请注意，您需要向美国政府提交年终自我分类报告。了解更多信息

简短的回答：是的，但你不必做任何事情

我在网上搜索了几个小时。实际上，这很容易，您可以在itunes connect中验证这一点：

1. 你所要做的

如果您的应用仅使用 HTTPS 或仅对身份验证、令牌等使用加密，则无需执行任何操作，只需包含即可

<key>ITSAppUsesNonExemptEncryption</key><false/>

在您的 Info.plist 中，您就完成了。

2. 验证

您可以在 itunes connect 中验证这一点。

• 选择你的应用
• 选择的功能
• 选择加密
• 点击“+”
• 按照对话框操作
• 对于 https 或身份验证，答案是肯定的和肯定的

无论如何，您当然应该仔细阅读对话框。

---

可以在这里找到一篇非常有用的文章：

https://www.cocoanetics.com/2017/02/itunes-connect-encryption-info/

简单的答案是“是”（应用具有加密功能）和“是”（应用使用豁免加密）。 在我的应用程序中，我刚刚在 WKWebView 中打开了我公司的网站，但由于它使用“https”，因此它将被视为豁免加密。 有关详细信息，请 Apple 文档： https://developer.apple.com/documentation/security/complying_with_encryption_export_regulations?language=objc

或者，只需在应用的 info.plist 文件中添加密钥“ITSAppUsesNonExemptEncryption”和值“NO”。这样，iTunes connect就不会再问你这个问题了。 更多的信息： https://developer.apple.com/documentation/bundleresources/information_property_list/itsappusesnonexemptencryption?language=objc

您可以按照以下 3 个简单步骤来验证您的申请是否获得豁免： https://help.apple.com/app-store-connect/#/dev63c95e436

您可能需要向美国政府提交此年度自我分类。欲了解更多信息，请访问：https://www.bis.doc.gov/index.php/policy-guidance/encryption/4-reports-and-reviews/a-annual-self-classification

看起来像 HTTPS 计数

链接到“了解更多”：
https://www.bis.doc.gov/index.php/policy-guidance/encryption/4-reports-and-reviews/a-annual-self-classification

只是补充我个人对一个非常特殊情况的解释： 在我的应用程序中，用户可以选择自己访问网站或让我的应用程序打开 Safari，Safari 将调用 HTTPS 网站。可以是任何 - 自己的网站、文章等。我解释 Safari 进行实际的 HTTPS 调用，而不是我的应用程序，因此用“否”回答第一个问题（或在 info.plist 中设置标志），并且不需要每年报告。